Nach dem Schufa-Urteil des EuGH vom Dezember 2023 will die Bundesregierung das Bundesdatenschutzgesetz (BDSG) ändern und stärker beschränken, welche Faktoren Auskunfteien für die Berechnung ihrer Scores heranziehen dürfen. So sollen u.a. die Wohnadresse bzw. Postleitzahl („Geo-Scoring“) und wie oft man umzieht, der Name und die (ggf. vermutete) ethnische Herkunft, personenbezogene Daten aus der Nutzung sozialer Netzwerke, Gesundheitsdaten und Informationen über Ein- und Ausgänge von Zahlungen auf und von Bankkonten nicht mehr genutzt werden dürfen. Letzteres wäre eine Möglichkeit gewesen, die der EuGH in seinem Urteil noch offen gelassen hatte. Weiterhin sollen laut Gesetzesentwurf Auskunfteien wie die Schufa verpflichtet werden, auf Antrag der Verbraucher in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ unter anderem mitzuteilen, welche personenbezogenen Daten sie genutzt haben, wie diese gewichtet wurden und welche den Score am stärksten beeinflusst haben.

Derzeit wird auf den letzten Metern am AI Act, der KI-Verordnung der EU, gearbeitet, um die Verabschiedung noch vor der Europawahl im Juni 2024 möglich zu machen. Er soll das weltweit erste Gesetz werden, das Künstliche Intelligenz umfassend reguliert. Der Entwurf kommt aktuell  auf rund 900 Seiten – hier als Mensch den Überblick zu behalten, ist schon eine Herausforderung. Grundsätzlich soll der AI Act einen risikobasierten Regulierungsansatz verfolgen. Bestimmte Hochrisiko-Anwendungen von KI sollen demnach ganz verboten werden; und je unbedenklicher ein KI-System wird, desto weniger streng soll es reguliert werden.

Seit 14.12.2023 ist Threads, die Twitter-Alternative aus dem Hause Meta, auch in der EU verfügbar. Die bedenkliche Verknüpfung mit Instagram besteht weiterhin – eine sehr eingeschränkte Nutzung (nur für den Konsum, ohne Posten und Interagieren) ist jetzt aber auch ohne möglich – dank der DSGVO wurde diese Möglichkeit extra für EU-Nutzer geschaffen. Aber wem das nicht ausreicht, der muss personalisierter Werbung über Threads und Instagram hinweg zustimmen. Außerdem kann man sein Threads- oder Instagram-Konto nun doch jeweils separat löschen.

Gehören Sie auch zu den Unternehmen, die Fotos ihrer Mitarbeiter auf ihrer Firmenwebsite veröffentlichen? Klar, es wirkt authentischer, wenn dort die eigenen Leute zu sehen sind. Aber dabei gibt es, einiges zu beachten, ansonsten drohe hohe Schadensersatzforderungen! In dem Bereich konkurrieren DSGVO, Kunsturhebergesetz (KUG) und die Rechtsprechung des Bundesarbeitsgerichts. Um auf der sicheren Seite zu sein, sollte man alle drei beachten: Fotos sind personenbezogene Daten und dürfen grundsätzlich nur mit schriftlicher, informierter, freiwilliger, vorheriger Einwilligung der Abgebildeten verbreitet werden (siehe u.a. DSGVO Art. 6 und Art. 26 und §22/23 KUG).

Die Bundesregierung setzt derzeit den Digital Service Act, eine Verordnung der EU, in nationales Recht um, und arbeitet am Digitale-Dienste-Gesetz (DDG). Dieses soll ab 17. Februar 2024 das Telemediengesetz (TMG) und das Netzwerkdurchsetzungsgesetz (NetzDG) ersetzen. Im TMG steht seit 2017, dass Anbieter öffentlicher WLANs „nicht wegen einer rechtswidrigen Handlung eines Nutzers auf Schadensersatz oder Beseitigung oder Unterlassung einer Rechtsverletzung in Anspruch genommen werden [können]; dasselbe gilt hinsichtlich aller Kosten für die Geltendmachung und Durchsetzung dieser Ansprüche“.

Der Europäische Gerichtshof hat Anfang Dezember 2023 ein lang erwartetes Datenschutz-Urteil zur Schufa gefällt: Nach Artikel 22 der DSGVO darf man nicht ohne Eingreifen eines Menschen einer automatisiert getroffenen Entscheidung unterworfen werden, die rechtliche Wirkung entfaltet oder einen in ähnlicher Weise erheblich beeinträchtigt. Dies zielt auf automatisiertes Profiling ab und soll vor Diskriminierung und ungerechten Auswirkungen von automatisierten Entscheidungsfindungen schützen. Und dies gilt auch für die Schufa bzw. deren Kunden wie Banken und Mobilfunkunternehmen, die sich maßgeblich auf den Schufa-Score stützen.

Die EU-Kommission macht sich auf zum Endspurt der aktuellen Legislaturperiode: Möglichst noch vor der Europawahl 2024 soll die 2. Verordnung zur europäischen digitalen ID (eIDAS 2.0 – Verordnung, d.h. „Electronic Identification, Authentication and Trust Services“) stehen – das Update zur aktuellen Verordnung von 2014. Die finale Verabschiedung auf EU-Ebene wird bis Ende 2023 erwartet. Ende Juni 2023 haben sich die Mitgliedstaaten und das Europaparlament auf die Kernelemente der Vorgaben für die geplante europaweite elektronische Identität geeinigt:

Dass heutzutage mit Daten viel Geld verdient wird, ist kein Geheimnis. Wir werden immer mehr zu „gläsernen Bürgern“. Das „Sozialkredit-System“ in China zeigt, wohin das führen kann. Aber auch der deutsche Regierungsberater Gerd Gigerenzer konstatierte bereits Anfang 2018: „Wir sind längst auf dem Weg in den Überwachungsstaat“.

Zugegeben eine etwas altbackene Frage, aber sie beschäftigt uns immer wieder. Auch heute will ich vor allem auf aktuelle Gesetze und solche, die es werden wollen, eingehen und diese einmal kritisch beleuchten.

In diesem Monat kommen wir ganz ohne Gerichtsentscheidungen aus – stattdessen gibt es für die Justiz womöglich neues Futter von der Politik: Die EU hat den Data Act beschlossen und der Bundestag das Hinweisgeberschutzgesetz. Und auch die Gesetzentwürfe für Künstliche Intelligenz und die sogenannte „Chatkontrolle“ nehmen langsam Form an.

Drei Jahre nach dem Aus von „Privacy Shield“ ist endlich der Nachfolger, das „Data Privacy Framework“, am Start und soll die Grauzone bei Datentransfers zwischen den USA und der EU beenden. Um die zuvor vom EuGH geäußerten Bedenken auszuräumen, sollen US-Geheimdienste auf Daten aus der EU nur noch dann und nur so weit zugreifen dürfen, wie es „zum Schutz der nationalen Sicherheit“ erforderlich und verhältnismäßig ist. Diese Regelung gilt zusätzlich zu jenen der DSGVO, denen sich US-Unternehmen unterwerfen müssen, die Daten aus der EU importieren. Außerdem soll für Klagen von EU-Bürgern in den USA ein spezielles Gericht (Data Protection Review Court, DPRC) eingerichtet werden, dass z.B. die Löschung von Daten anordnen kann, die unter Verstoß gegen die neuen Garantien erhoben wurden. Der neue Datenschutzrahmen soll regelmäßig auf seine Wirksamkeit hin überprüft werden, das erste Mal bereits ein Jahr nach Inkrafttreten.