Kategorie: Datenschutz

Derzeit wird auf den letzten Metern am AI Act, der KI-Verordnung der EU, gearbeitet, um die Verabschiedung noch vor der Europawahl im Juni 2024 möglich zu machen. Er soll das weltweit erste Gesetz werden, das Künstliche Intelligenz umfassend reguliert. Der Entwurf kommt aktuell  auf rund 900 Seiten – hier als Mensch den Überblick zu behalten, ist schon eine Herausforderung. Grundsätzlich soll der AI Act einen risikobasierten Regulierungsansatz verfolgen. Bestimmte Hochrisiko-Anwendungen von KI sollen demnach ganz verboten werden; und je unbedenklicher ein KI-System wird, desto weniger streng soll es reguliert werden.

Seit 14.12.2023 ist Threads, die Twitter-Alternative aus dem Hause Meta, auch in der EU verfügbar. Die bedenkliche Verknüpfung mit Instagram besteht weiterhin – eine sehr eingeschränkte Nutzung (nur für den Konsum, ohne Posten und Interagieren) ist jetzt aber auch ohne möglich – dank der DSGVO wurde diese Möglichkeit extra für EU-Nutzer geschaffen. Aber wem das nicht ausreicht, der muss personalisierter Werbung über Threads und Instagram hinweg zustimmen. Außerdem kann man sein Threads- oder Instagram-Konto nun doch jeweils separat löschen.

Gehören Sie auch zu den Unternehmen, die Fotos ihrer Mitarbeiter auf ihrer Firmenwebsite veröffentlichen? Klar, es wirkt authentischer, wenn dort die eigenen Leute zu sehen sind. Aber dabei gibt es, einiges zu beachten, ansonsten drohe hohe Schadensersatzforderungen! In dem Bereich konkurrieren DSGVO, Kunsturhebergesetz (KUG) und die Rechtsprechung des Bundesarbeitsgerichts. Um auf der sicheren Seite zu sein, sollte man alle drei beachten: Fotos sind personenbezogene Daten und dürfen grundsätzlich nur mit schriftlicher, informierter, freiwilliger, vorheriger Einwilligung der Abgebildeten verbreitet werden (siehe u.a. DSGVO Art. 6 und Art. 26 und §22/23 KUG).

Die Bundesregierung setzt derzeit den Digital Service Act, eine Verordnung der EU, in nationales Recht um, und arbeitet am Digitale-Dienste-Gesetz (DDG). Dieses soll ab 17. Februar 2024 das Telemediengesetz (TMG) und das Netzwerkdurchsetzungsgesetz (NetzDG) ersetzen. Im TMG steht seit 2017, dass Anbieter öffentlicher WLANs „nicht wegen einer rechtswidrigen Handlung eines Nutzers auf Schadensersatz oder Beseitigung oder Unterlassung einer Rechtsverletzung in Anspruch genommen werden [können]; dasselbe gilt hinsichtlich aller Kosten für die Geltendmachung und Durchsetzung dieser Ansprüche“.

Der Europäische Gerichtshof hat Anfang Dezember 2023 ein lang erwartetes Datenschutz-Urteil zur Schufa gefällt: Nach Artikel 22 der DSGVO darf man nicht ohne Eingreifen eines Menschen einer automatisiert getroffenen Entscheidung unterworfen werden, die rechtliche Wirkung entfaltet oder einen in ähnlicher Weise erheblich beeinträchtigt. Dies zielt auf automatisiertes Profiling ab und soll vor Diskriminierung und ungerechten Auswirkungen von automatisierten Entscheidungsfindungen schützen. Und dies gilt auch für die Schufa bzw. deren Kunden wie Banken und Mobilfunkunternehmen, die sich maßgeblich auf den Schufa-Score stützen.

Die EU-Kommission macht sich auf zum Endspurt der aktuellen Legislaturperiode: Möglichst noch vor der Europawahl 2024 soll die 2. Verordnung zur europäischen digitalen ID (eIDAS 2.0 – Verordnung, d.h. „Electronic Identification, Authentication and Trust Services“) stehen – das Update zur aktuellen Verordnung von 2014. Die finale Verabschiedung auf EU-Ebene wird bis Ende 2023 erwartet. Ende Juni 2023 haben sich die Mitgliedstaaten und das Europaparlament auf die Kernelemente der Vorgaben für die geplante europaweite elektronische Identität geeinigt:

In diesem Monat kommen wir ganz ohne Gerichtsentscheidungen aus – stattdessen gibt es für die Justiz womöglich neues Futter von der Politik: Die EU hat den Data Act beschlossen und der Bundestag das Hinweisgeberschutzgesetz. Und auch die Gesetzentwürfe für Künstliche Intelligenz und die sogenannte „Chatkontrolle“ nehmen langsam Form an.

Drei Jahre nach dem Aus von „Privacy Shield“ ist endlich der Nachfolger, das „Data Privacy Framework“, am Start und soll die Grauzone bei Datentransfers zwischen den USA und der EU beenden. Um die zuvor vom EuGH geäußerten Bedenken auszuräumen, sollen US-Geheimdienste auf Daten aus der EU nur noch dann und nur so weit zugreifen dürfen, wie es „zum Schutz der nationalen Sicherheit“ erforderlich und verhältnismäßig ist. Diese Regelung gilt zusätzlich zu jenen der DSGVO, denen sich US-Unternehmen unterwerfen müssen, die Daten aus der EU importieren. Außerdem soll für Klagen von EU-Bürgern in den USA ein spezielles Gericht (Data Protection Review Court, DPRC) eingerichtet werden, dass z.B. die Löschung von Daten anordnen kann, die unter Verstoß gegen die neuen Garantien erhoben wurden. Der neue Datenschutzrahmen soll regelmäßig auf seine Wirksamkeit hin überprüft werden, das erste Mal bereits ein Jahr nach Inkrafttreten.

Zum fünften Geburtstag der DSGVO hat die irische Datenschutzbehörde die bislang größte Strafe in der EU aufgrund von Datenschutzverstößen verhängt: 1,2 Milliarden Euro! Tat und Täter sind allerdings wenig überraschend: Meta hat Facebook-Daten, auch nachdem „Privacy Shield“ 2020 vom EuGH gekippt wurde, weiter in die USA übertragen, wo je bekanntlich nicht das gleiche Datenschutzniveau wie hierzulande herrscht. Max Schrems hatte 2020 die Beschwerde eingelegt, in der jetzt auf Druck des Europäischen Datenschutzausschusses die Milliardenstrafe verhängt wurde. Außerdem soll Facebook binnen fünf Monaten „jede künftige Übermittlung personenbezogener Daten in die USA“ aussetzen und innerhalb von sechs Monaten die Verarbeitung (und Speicherung) aller personenbezogener Daten von EU-Bürgern in den USA einstellen.