Gesundheitsdaten Datentransfer Drittland

Gesundheitsdaten: Was Sie beim Datentransfer in Drittstaaten beachten müssen

Ganz gleich ob es sich um länderübergreifende Projekte, die Nutzung ausländischer Dienstleister:innen oder um ein Angebot an möglichst viele Kund:innen handelt: Die Übertragung von Daten macht an Ländergrenzen keinen Halt. Gerade im Gesundheitsbereich ist die überregionale Zusammenarbeit von enormer Bedeutung. Allerdings verlangt die Datenschutz-Grundverordnung (DSGVO) einen besonders sensiblen Umgang mit Gesundheitsdaten. Was heißt das für Dienstleister:innen, die im globalen Kontext mit Gesundheitsdaten arbeiten?

Rechtliche Rahmenbedingungen

Nach Art. 5 Abs. 1 lit. a muss jede Datenverarbeitung im Anwendungsbereich der DSGVO rechtmäßig sein. Der Begriff Verarbeitung ist in Art. 4 Nr. 2 DSGVO näher bestimmt. Verarbeitungen sind zunächst die Erhebung, das Speichern oder das Löschen. Darunter fällt aber auch das Offenlegen oder die Übermittlung von Daten. Damit ist auch für jede Übermittlung von Daten innerhalb und außerhalb des Anwendungsbereichs der DSGVO eine Rechtsgrundlage erforderlich. Für eine Datenübermittlung in einen sogenannten Drittstaat – ein Land außerhalb des Europäischen Wirtschaftsraums – stellt Art. 44 DSGVO noch einmal besondere Voraussetzungen auf. Eine Übermittlung darf nur dann vorgenommen werden, wenn

die Kommission der Europäischen Union beschlossen hat, dass das betreffende Drittland ein angemessenes Schutzniveau bietet (Art. 45 DSGVO);
geeignete Garantien vorgesehen sind und den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen (Art. 46 DSGVO) oder
eine Ausnahme nach Art. 49 DSGVO greift.

Angemessenheitsbeschluss

Mittels eines Angemessenheitsbeschlusses nach Art. 45 Abs. 3 DSGVO kann die EU-Kommission feststellen, dass ein Drittstaat ein Datenschutzniveau erreicht, das betroffenen Personen einen der DSGVO vergleichbaren Schutz bietet. Liegt ein solcher Beschluss vor, ist die Übermittlung von Daten in diesen Drittstaat unter denselben Voraussetzungen zulässig, unter denen auch eine Datenübermittlung innerhalb des Europäischen Wirtschaftsraums zulässig wäre. Das heißt: auch Übermittlungen in Drittstaaten mit angemessenem Datenschutzniveau bedürfen einer Rechtsgrundlage nach Art. 6 oder 9 DSGVO.

Aktuell gibt es 14 Angemessenheitsbeschlüsse, über die die Kommission auf ihrer Website informiert. Zwar sind viele Drittstaaten wie Israel, Kanada, Neuseeland, die Schweiz oder das Vereinigte Königreich dadurch bereits abgedeckt. Allerdings hat der Europäische Gerichtshof (EuGH) eine entsprechende Übereinkunft der EU mit den USA, das sog. Privacy-Shield-Abkommen, und den darauf beruhenden Angemessenheitsbeschluss der EU-Kommission in seinem viel beachteten Schrems II-Urteil vom 16. Juli 2020 (Az. C-311/18) für ungültig erklärt. Da amerikanischen Behörden über weitreichende Datenzugriffsrechte verfügen würden, sei das Datenschutzniveau der USA nicht angemessen, so die Begründung der Richter (mehr zu der Entscheidung und ihren Folgen finden sie hier). Nachdem die EU-Kommission und die Vereinigten Staaten im März 2022 eine grundsätzliche Verständigung auf einen neuen Transatlantischen Datenschutzrahmen (engl. Trans Atlantic Data Privacy Framework) bekanntgegeben haben, unterzeichnete der amerikanische Präsident Joe Biden im Oktober 2022 eine Verfügung (engl. Executive Order), die die Befugnisse der US-Nachrichtendienste mit Blick auf die Auswertung personenbezogener Daten von EU-Bürger:innen einschränkt und einen zweistufigen Rechtsschutzmechanismus vorsieht. Auf der ersten Stufe sollen EU-Bürger:innen, die sich in ihren Rechten verletzt sehen, eine Beschwerde bei der regional zuständigen Datenschutzbehörde einreichen, die dann bei dem/der Bürgerrechtsbeauftragten (engl. Civil Liberties Protection Officer) geprüft werden. Gegen Entscheidungen der/des Bürgerrechtsbeauftragten sollen EU-Bürger:innen von einem neu zu schaffenden Datenschutzgericht (engl. Data Protection Review Court) vorgehen können.

Zwar ersetzt die Executive Order keinen Angemessenheitsbeschluss. Dennoch können sich Unternehmen – beispielsweise im Rahmen einer Datenschutz-Folgenabschätzung – darauf berufen, dass die Verfügung bereits jetzt zu einem verbesserten Schutzniveau der EU-Bürger:innen führt. Der endgültige Angemessenheitsbeschluss für die Vereinigten Staaten ist in Vorbereitung und wird nach derzeitigem Stand in der ersten Jahreshälfte 2023 erwartet. Ob er auch vor dem EuGH Bestand haben wird, bleibt abzuwarten.

Standardvertragsklauseln und Verbindliche Interne Datenschutzvorschriften

Liegt kein Angemessenheitsbeschluss vor, so kann eine Datenübermittlung gleichwohl rechtmäßig sein, wenn geeignete Garantien zum Schutz personenbezogener Daten vorliegen und den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Als besonders praxisrelevant erweisen sich in diesem Zusammenhang die Standardvertragsklauseln (engl. Standard Contractual Clauses, SCC) und die Verbindlichen Internen Datenschutzvorschriften (engl. Binding Corporate Rules, BCR).

Bei den SCC handelt es sich um Vertragsklauseln, die von der EU-Kommission vorgegeben werden und die zwischen einem/einer Datenexporteur:in und einem/einer Datenimporteur:in abgeschlossen werden können (Mehr Details dazu finden Sie hier). Der bloße Abschluss von SCC reicht als Rechtgrundlage für eine Drittlandsübermittlung allerdings nicht aus. Das hat der EuGH im bereits erwähnten Schrems II-Urteil festgestellt. Dort hat der EuGH außerdem die darüber hinaus für die Datenübermittlung in Drittländer geltenden Anforderungen aus den Artikeln 44 ff. DSGVO konkretisiert. Danach müssen die Verantwortlichen eigenverantwortlich prüfen, ob die personenbezogenen Daten, die übermittelt werden sollen, im Drittland gleichwertigen Schutz genießen (sog. Data Transfer Impact Assessment, TIA). Ist dies nicht der Fall, müssen zusätzliche vertragliche, technische oder organisatorische Maßnahmen (TOM) ergriffen werden, um ein Schutzniveau sicherzustellen, das mit dem Niveau des Europäischen Wirtschaftsraums vergleichbar ist.

Die soeben skizzierten Anforderungen gelten auch für konzerninterne Datenübermittlungen auf der Grundlage von BCR. Eine Unternehmensgruppe kann sich selbst verbindliche Regelungen auferlegen, die dann von den Aufsichtsbehörden noch einmal genehmigt werden müssen. Da BCR eine Vielzahl von Kriterien erfüllen müssen, um genehmigt zu werden (vgl. Art 47 Abs. 2 DSGVO), sind sie nicht für jede:n Anbieter:in von Gesundheitsdienstleistungen gleichermaßen geeignet. Gerade für internationale Unternehmen, die in großer Zahl personenbezogene Gesundheitsdaten in Drittländer übermitteln, bieten sie jedoch die Chance, maßgeschneiderte, rechtssichere und im Ergebnis kostengünstigere Lösungen zu entwickeln.

Ausnahmen

Falls weder ein Angemessenheitsbeschluss nach Art. 45 Abs. 3 DSGVO vorliegt noch geeignete Garantien nach Art. 46 DSGVO ist die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation nur unter den in Art. 49 DSGVO genannten Bedingungen zulässig. Praktisch bedeutsam ist vor allem die Einwilligung nach Art. 49 Abs. 1 S. 1 lit. a DSGVO. Sie bietet sich besonders dort an, wo die Datenverarbeitung von Vornherein auf eine Einwilligung gestützt wird. Wichtigstes Kriterium ist hierbei, dass die betroffene Person ausdrücklich und ordnungsgemäß über die Risiken einer Drittlandsübermittlung aufgeklärt wird und eine freiwillige und informierte Entscheidung treffen kann.

Während der EuGH in seiner Schrems II-Entscheidung noch explizit auf die Ausnahmeregelungen als gleichwertige Alternative zum Angemessenheitsbeschluss und den geeigneten Garantien nach Art. 46 DSGVO verwies, vertreten die europäischen Datenschutzaufsichtsbehörden eine restriktivere Auffassung. Sie sind der Ansicht, dass die Ausnahmetatbestände des Art. 49 DSGVO eng auszulegen seien und nur für eine gelegentliche Datenübermittlungen infrage kämen. Daher ist in jedem Einzelfall sorgfältig abzuwägen, ob und unter welchen Bedingungen eine Drittlandsübermittlung auf einen Ausnahmetatbestand gestützt werden kann.

Die ärztliche Schweigepflicht – eine zusätzliche Hürde

Gesundheitsdaten sind nicht nur durch das Datenschutzrecht geschützt. Ihre unbefugte Weitergabe kann in bestimmten Fällen auch strafrechtlich relevant sein. So stellt beispielsweise § 203 Abs. 1 Nr. 1 des Strafgesetzbuches (StGB) Verletzungen der ärztlichen Schweigepflicht unter Strafe – also auch das unbefugte Offenbaren von Patientendaten. Dieses Offenbarungsverbot stellt Ärzt:innen vor Herausforderungen. Sie müssen vielfach auf die Expertise externer Dienstleister:innen (z. B. im IT-Bereich) zurückgreifen, dürfen ihnen aber keine Informationen offenbaren, die von der ärztlichen Schweigepflicht umfasst sind.

Um auf das Spannungsfeld von zunehmender Digitalisierung und arbeitsteiligem Handeln auf der einen Seite und der Verschwiegenheitsverpflichtung von Ärzt:innen und weiteren Berufsgeheimnisträger:innen auf der anderen Seite zu reagieren, ist der Gesetzgeber mit dem Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen tätig geworden. Der neu eingefügte § 203 Abs. 3 StGB und das entsprechend geänderte bereichsspezifische Berufsrecht sehen seit 2017 weitgehend gleichlautende Erlaubnistatbestände für die Offenlegung vertraulicher Informationen gegenüber externen Dienstleister:innen vor. Danach darf der/die Berufsgeheimnisträger:in/Dienstleister:in den Zugang zu Patienten:innendaten eröffnen, soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist. Wegen der fundamentalen Bedeutung des Vertrauensverhältnisses zwischen Arzt/Ärztin und Patient:in sieht der Gesetzgeber eine enge Auslegung der Erforderlichkeit als geboten an. Erforderlich ist die Offenbarung von Berufsgeheimnisträger:innen anvertrauten Geheimnissen danach nur, wenn die Erbringung der Dienstleistung ohne Kenntnis des Geheimnisses nicht möglich ist (Need-to-know-Prinzip). Der/die Berufsgeheimnisträger:in ist laut Gesetzgeber verpflichtet, seine:n Dienstleister:in sorgfältig auszuwählen. Außerdem ist es ihm/ihr verboten, eine:n Dienstleister:in, dessen Eignung zweifelhaft ist, zu beauftragen.

Bei der Auswahl geeigneter Dienstleister:innen kann auch der Sitz des Dienstleisters/der Dienstleisterin eine Rolle spielen. Ärzt:innen und andere Berufsgeheimnisträger:innen dürfen zwar grundsätzlich auch im Ausland tätige Dienstleister:innen beauftragen. Neben der Erforderlichkeit der Tatsachenoffenbarung muss hierbei jedoch zwingend sichergestellt sein, dass der Schutz der Geheimnisse auch im Ausland gewahrt bleibt, genauer: Der Geheimnisschutz im Ausland muss dem in der Bundesrepublik vergleichbar sein. Laut Gesetzesbegründung kann für EU-Mitgliedsstaaten in der Regel von einem hinreichenden Geheimnisschutz ausgegangen werden. Bei der Beauftragung von externen Dienstleistern in Drittstaaten ist hingegen ein erhöhtes Maß an Vorsicht geboten. Sobald Ärzt:innen oder andere Berufsgeheimnisträger:innen beim Gesundheitsdatentransfer in Drittstaaten involviert sind, ist eine mögliche strafrechtliche Relevanz zu bedenken. Sonst können je nach Einzelfall nicht nur datenschutzrechtliche Konsequenzen, sondern auch eine persönliche Strafbarkeit von eingebundenen Berufsgeheimnisträgern wie Ärzten drohen.

Fazit

Im Bereich der Gesundheitsdienstleistungen, der durch hohe Internationalisierung und Spezialisierung gekennzeichnet ist, ist eine Arbeit ohne internationale Partner:innen schwer vorstellbar. Da sich viele dieser Partner:innen auch außerhalb des Europäischen Wirtschaftsraums befinden, muss es Anbieter:innen solcher Leistungen möglich sein, Gesundheitsdaten in Drittländer zu übermitteln. Der deutsche und der europäische Gesetzgeber stellen hohe Anforderungen an eine solche Drittlandsübermittlung. Nach dem Schrems-II-Urteil des EuGH gestaltet sie sich nun noch anspruchsvoller. Die notwendige Implementierung der neuen SCC, die damit einhergehende Prüfung des Schutzniveaus wie auch das Erfordernis ggf. ergänzender Schutzmaßnahmen verursachen erhebliche Rechtsunsicherheit und stellen Unternehmen vor große Herausforderungen. Berufsgeheimnisträger:innen müssen in diesem Zusammenhang besonders umsichtig handeln, da sie außerdem eine strafbewehrte Verschwiegenheitspflicht trifft. Unsere Expert:innen unterstützen Sie gerne dabei, die datenschutzrechtlichen und strafrechtlichen Vorgaben umzusetzen und die damit verbundenen Herausforderungen zu meistern.

Was regelt der Digital Services Act?

Am 16.11.2022 ist die Verordnung über einen Binnenmarkt für digitale Dienste – der Digital Services Act (DSA) – in Kraft getreten. Der DSA ist ein Kernelement der EU-Digitalstrategie der EU-Kommission und steht in engem Zusammenhang mit weiteren regulatorischen Vorhaben – insbesondere dem Digital Markets Act (DMA). Zentrales Anliegen der Strategie der EU-Kommission ist die Förderung von Innovation, Wachstum und Wettbewerbsfähigkeit des europäischen Binnenmarkts im digitalen Zeitalter. Der DSA und der DMA konzentrieren sich auf die Regulierung der in der EU angebotenen digitalen Dienste und schaffen einen klaren Transparenz- und Rechenschaftsrahmen für die Anbieter:innen solcher Dienste. Während die wettbewerbsrechtlichen Regeln des DMA in erster Linie für Gatekeeper gelten, nimmt der DSA für die Durchsetzung des Grundrechts- und Verbraucherschutzes alle Vermittlungsdienste in den Blick. Diese haben nun bis zum 17.02.2024 Zeit, ihre betrieblichen Abläufe mit dem vorgesehenen Pflichtenprogramm in Einklang zu bringen. Doch für wen gilt der DSA genau und welcher Handlungsbedarf besteht für die betroffenen Unternehmen? Unser Beitrag gibt einen ersten Überblick.

Für wen gilt der Digital Services Act?

Der DSA richtet sich an Vermittlungsdienste, die für Nutzer:innen in der Europäischen Union angeboten werden. Begrifflich ist dies sehr weit und erfasst alle digitalen Dienste, die Verbraucher:innen einen Zugang zu Dienstleistungen, Inhalten und Waren gestatten – sprich eine Vermittlerfunktion einnehmen. Konkret nimmt der DSA damit Access-, Caching- und Hosting-Anbieter:innen in den Blick. Neben Internetzugangsdiensten (z.B. der Telekom), sind dies etwa Online-Plattformen (z.B. soziale Netzwerke), Suchmaschinen und Online-Handelsplattformen. Die Größe – d.h. die Nutzer:innenzahl – des Dienstes spielt für die Anwendung des DSA zunächst keine Rolle. Allerdings gelten die spezifischen Vorschriften über Online-Plattformen und Online-Handelsplattformen nicht für Kleinst- und Kleinunternehmen. Darüber hinaus gelten besonders strenge Regeln für sehr große Online-Plattformen und sehr große Online-Suchmaschinen (sog. Gatekeeper). Um als solche zu gelten, muss die durchschnittliche monatliche Nutzer:innenzahl bei mindestens 45 Millionen liegen und eine ausdrückliche Benennung durch die EU-Kommission stattgefunden haben. Damit sollen vor allem Big-Tech-Konzerne wie Google oder Meta angesprochen werden.

Haftung für illegale Inhalte

Der DSA gestaltet zunächst unterschiedliche Haftungsregeln für Access-, Caching und Hosting-Dienste aus. Im Grundsatz haften die Dienste-Anbieter:innen nicht für übermittelte rechtswidrige Inhalte, es bestehen jedoch Ausnahmen. Access-Provider dürfen beispielsweise die Übermittlung nicht selbst veranlasst haben oder den Adressaten des Inhalts auswählen. Caching- und Hosting-Dienste treffen darüber hinaus bestimmte Sperr- bzw. Entfernungspflichten. Hosting-Anbieter:innen haften etwa nur dann nicht, wenn sie keine tatsächliche Kenntnis von den rechtswidrigen Inhalten haben und diese nach Kenntniserlangung zügig sperren oder entfernen. Insgesamt trifft die Dienste jedoch keine Überwachungspflicht. Neu eingeführt wurde dagegen die sogenannte „Gute-Samariter-Klausel“. Sollten Anbieter:innen freiwillige Nachforschungen anstellen, können sie sich trotzdem auf die genannten Haftungserleichterungen berufen.

Neue Sorgfaltspflichten für Hosting-Anbieter:innen

Um eine reibungslose digitale Kommunikation zu gewährleisten, müssen Vermittlungsdienste künftig zentrale elektronische Kontaktstellen für Behörden und Nutzer:innen bereitstellen. Daneben gelten neue Transparenzbestimmungen für die Ausgestaltung Allgemeiner Geschäftsbedingungen (AGB). Dienste müssen beispielsweise Nutzungsbeschränkungen und Angaben zu den Leitlinien ihrer Moderationsentscheidungen offenlegen. Über durchgeführte inhaltliche Moderationen muss ein jährlicher Transparenzbericht veröffentlicht werden.

Weitere Pflichten nach Art und Größe des Dienstes

Abhängig von Art und Größe des Dienstes legt der DSA zudem gestufte Sorgfaltspflichten für Hosting-Dienste, Online-Plattformen, Online-Handelsplattformen und Gatekeeper fest. Für die genannten Dienste gelten künftig umfassende Vorschriften zum Umgang mit illegalen Inhalten. Um rechtswidrige Einzelinformationen wirksam zu bekämpfen, muss ein Notice-and-take-down-Mechanismus zur Verfügung stehen, über Nutzer:innen niedrigschwellig eine Meldung abgeben zu können. Da Anbieter:innen mit der Beanstandung ausdrücklich Kenntnis über den rechtswidrigen Inhalt erlangt, sind Meldungen auch für haftungsrechtliche Fragen relevant. Darüber hinaus verpflichtet der DSA den jeweiligen Dienst, die betroffenen Nutzer:innen über seine Moderationsentscheidungen zu informieren. Erlangt der/die Anbieter:in Informationen, die den Verdacht der Begehung von Straftaten gegen Personen naheliegen, muss dies den zuständigen Strafverfolgungsbehörden gemeldet werden.

Online-Plattformen, Online-Handelsplattformen und Gatekeeper sind darüber hinaus verpflichtet, ein internes Beschwerdemanagement, sowie eine außgerichtliche Streitbeilegungsstelle einzurichten. Bei der Ausgestaltung ihrer Meldemechanismen müssen sie Meldungen von behördlich benannten „trusted-flaggers“ bevorzugt behandeln und Nutzer bei missbräuchlicher Verwendung vom Gebrauch des Meldesystems ausschließen. Mit dem Verbot von „dark patterns“ soll eine täuschungs- und manipulationsfreie Gestaltung des Dienstes gewährleistet werden. Über geschaltete Werbung und Funktionsweise der verwendeten Empfehlungssysteme (Algorithmen) müssen die Nutzer künftig engmaschig informiert werden. Auch für den Schutz Minderjähriger gelten spezifische Vorschriften – etwa Einschränkungen in der Online-Werbung. Mit verschiedenen Berichtspflichten – beispielsweise zur Nutzer:innenzahl – soll ein Mindestmaß an Transparenz seitens der Dienste sichergestellt werden.

Damit Verbraucher:innen ihre Rechte durchsetzen können, müssen Online-Handelsplattformen künftig die Nachverfolgbarkeit der nutzenden Unternehmer:innen sicherstellen. Zugleich soll diesen ihre Pflichterfüllung durch entsprechende Technikgestaltung ermöglicht werden. Durch Stichprobenkontrollen sollen rechtswidrige Produkte und Dienstleistungen bekämpft und die Verbraucher:innen diesbezüglich informiert werden.

Aufgrund ihrer Größe und Reichweite geht von Gatekeepern ein besonderes Gefahrenpotenzial für Individuen und die Gesellschaft aus. Durch den DSA sollen diese systemischen Risiken begrenzt werden. Plattformen und Suchmaschinen, die unter den Begriff des Gatekeepers fallen, müssen künftig etwa ihr spezifisches Risiko bewerten und wirksame Minderungsvorkehrungen treffen. Auch für Transparenz in der Online-Werbung und bezüglich der Auswahl von Empfehlungssystemen gelten für sie strengere Vorschriften.

Wer setzt den Digital Services Act durch?

Die Durchsetzung der Anforderungen aus dem DSA liegt überwiegend in der Verantwortung der Mitgliedstaaten. Einzig die Überwachung und Durchsetzung des DSA gegenüber sehr großen Online-Plattformen und -Suchmaschinen erfolgt durch die EU-Kommission. Die Beaufsichtigung der übrigen Vermittlungsdienste erfolgt durch eine oder mehrere mitgliedstaatlich benannte Behörden. Für welche konkrete behördliche Ausgestaltung sich der deutsche Gesetzgeber hierbei entscheiden wird, ist im Moment noch unklar. Für die Wahrnehmung der zentralen Aufsichtsbefugnisse muss jedenfalls eine Behörde zum Koordinator für digitale Dienste ernannt werden. Bezüglich der Aufsichtsregeln liegt dem DSA dabei ein zweigliedriges System zugrunde. Durch umfassende Untersuchungsbefugnisse, wie etwa Auskunfts- und Nachprüfungsrechte, kann der Koordinator die Einhaltung der Bestimmungen überprüft werden. Bei Verstößen oder fehlender Kooperation kann der/die Koordinator:in zudem auf eine Reihe von Durchsetzungsbefugnissen zurückgreifen. So ermöglicht der DSA – ähnlich der DSGVO – die Verhängung sehr hoher Bußgelder (bis zu 6 % des Jahresumsatzes). Daneben können sich Nutzer:innen im Falle mutmaßlicher DSA-Verstöße bei dem/der Koordinator:in beschweren und unter Umständen Schadensersatz verlangen.

Was ändert sich durch den Digital Services Act?

Einige Elemente des DSA sind dem deutschen Recht nicht gänzlich neu. Die Haftungsprivilegierungen für Vermittlungsdienste und somit zumindest die mittelbare Pflicht zur Entfernung illegaler Inhalte sind bereits aus der eCommerce-Richtlinie aus dem Jahre 2000 bekannt. Auch für die Meldung strafbarer Inhalte bestand mit dem Netzwerkdurchsetzungsgesetz bereits eine rudimentäre rechtliche Handhabe. Durch den DSA werden diese Pflichten jedoch präzisiert, erweitert und mit einem scharfen Schwert versehen. Bereits bestehende Prozesse diesbezüglich sollten deshalb nicht ungeprüft weitergeführt werden, sondern auf ihre Vereinbarkeit mit den neuen Vorschriften des DAS hin untersucht werden. Die meisten Regelungen des DSA bedeuten grundlegende Neuerungen und geben den betroffenen Unternehmen einigen Handlungsbedarf auf. So müssen sich künftig alle Hosting-Dienste mit den neuen Anforderungen an Kontaktstellen, AGB-Gestaltung und Transparenzberichtspflichten auseinandersetzen. Für Online-Plattformen und Online-Handelsplattformen gelten die ergänzenden Vorschriften. Um die Einhaltung dieser Vorgaben zu gewährleisten, wird in den meisten Fällen die Implementierung vollständig neuer Prozesse notwendig sein.

Ausblick und Fazit

Der DSA nimmt vor allem Hosting-Anbieter:innen, mittlere bis große Online-Plattformen und Online-Handelsplätze, sowie Gatekeeper in den Blick. Für die Umsetzung der Anforderung haben die betroffenen Unternehmen bis zum Ablauf der vorgesehenen Übergangsfrist bis zum 17.02.2024 Zeit. Gatekeeper müssen die Anforderungen unter Umständen jedoch schon vor dem Ablauf dieser Übergangsfrist umsetzen (vgl. Art. 92 DAS). In Deutschland steht aktuell die Umsetzung des DSA, insbesondere die Auswahl des Koordinators für digitale Dienste, im Fokus. Die mitgliedstaatliche Ausgestaltung soll im Laufe des Jahres durch ein Bundesgesetz erfolgen. Die wesentlichen Anforderungen an Unternehmen stehen jedoch jetzt schon fest. Vor dem Hintergrund möglicher Sanktionen sollten sich Unternehmen bereits jetzt damit beschäftigen, welche Regeln des DAS für sie Anwendung finden. Bestehende Prozesse sollten geprüft und angepasst werden. Besonderer Beratungsbedarf besteht insofern vor allem bei der Umsetzung der neu eingeführten Sorgfaltspflichten.

E-Mail Marketing und rechtliche Herausforderungen

E-Mail-Marketing ohne Einwilligung – was ist erlaubt?

Es ist leicht passiert: Mal eben im Online-Shop ein hübsches Paar Kinderschuhe entdeckt, in den Warenkorb gelegt und nach ein paar Angaben von Anschrift bis E-Mail-Adresse ist die Bestellung abgeschickt. Doch nach ein, zwei Tagen sind nicht nur die Kinderschuhe angekommen, sondern einige Werbe-E-Mails für passende Einlegesohlen, Kinderjacken und Erwachsenenschuhe gleich mit. Ist die Zusendung dieser E-Mails erlaubt?

Dass die werbliche Kund:innenansprache per E-Mail auf Grundlage einer zuvor eingeholten ausdrücklichen Einwilligung möglich ist, ist mittlerweile weithin bekannt. Und doch wissen viele Unternehmen und Verbraucher:innen nicht genau, was in diesem Bereich erlaubt und was unzulässig ist. Den Rechtsrahmen bilden hier vor allem das Gesetz gegen den unlauteren Wettbewerb (UWG), das sich hauptsächlich auf die werblichen Aspekte bezieht, und die Datenschutz-Grundverordnung (DSGVO), welche das Datenschutzrecht im Blick hat.

Grundsatz: Keine Werbung ohne ausdrückliche Einwilligung

Nach § 7 Abs. 2 Nr. 2 UWG stellt E-Mail-Werbung ohne vorherige ausdrückliche Einwilligung grundsätzlich eine unzumutbare Belästigung der Empfänger:innen dar. Dies gilt unabhängig davon, ob es sich dabei um eine Privatperson oder ein Unternehmen handelt.

Grundsätzlich gilt daher: Keine Werbung ohne ausdrückliche Einwilligung. Da der/die Werbende die Beweislast für die erfolgte Einwilligung trägt, reicht die bloße Eintragung der E-Mail-Adresse auf der Homepage des Versenders/der Versenderin („Single-Opt-In“) nach Auffassung des Bundesgerichtshofes (BGH) jedoch nicht aus (BGH, Urt. vom 10. 2. 2011 – I ZR 164/09). Denn hierdurch kann Missbrauch durch Unbefugte nicht ausgeschlossen werden. In der Praxis hat sich deswegen die Bestätigung durch die/den Einwilligende/n im Wege des sogenannten Double-Opt-In-Verfahrens etabliert. Dabei wird dem Einwilligenden nach Übermittlung eine E-Mail zugeschickt, in der die Einwilligung durch das Anklicken eines Links bestätigt wird.

Achtung: Auch Kundenzufriedenheitsbefragungen oder in der Signaturzeile der E-Mail enthaltene Produktempfehlungen stellen Werbung dar. Das gilt nach Ansicht des BGH auch dann, wenn die Feedbackanfrage oder Produktempfehlung im Zusammenhang mit erforderlicher Kundenkommunikation erfolgt, wie beispielsweise dem Rechnungsversand oder einer Bestätigungsmail (BGH, Urt. v. 10.7.2018 – VI ZR 225/17).

Das Einwilligungserfordernis gilt übrigens auch, wenn in der Inbox eines E-Mail-Postfachs Werbeanzeigen eingeblendet werden, die der Form einer tatsächlichen E-Mail ähnlich sind. Nachdem der BGH ihm diese Frage zur Entscheidung vorlegte, entschied der Europäische Gerichtshof (EuGH), dass es sich auch hierbei um elektronische Post – so der entsprechende Rechtsbegriff in § 7 Abs. 2 Nr. 2 UWG – handelt (EuGH, Urt. v. 25.11.2021 C-102/20).

Ausnahme: Bestandskundenwerbung per E-Mail

Allerdings sieht das Gesetz auch eine Ausnahme von diesem Grundsatz vor. § 7 Abs. 3 UWG erlaubt Unternehmer:innen, unter bestimmten Voraussetzungen E-Mail-Werbung ohne ausdrückliche Einwilligung zu versenden, wenn es sich bei den Empfänger:innen der E-Mail um Bestandskund:innen handelt. Grundgedanke ist der, dass jemand, mit dem eine Geschäftsbeziehung besteht, mutmaßlich Interesse an weiteren ähnlichen Produkten und Dienstleistungen hat und auch darüber informiert werden möchte.

Dafür müssen folgende Voraussetzungen nebeneinander vorliegen:

(1) Der Unternehmer/die Unternehmerin muss die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten haben,
(2) der Unternehmer/die Unternehmerin verwendet die E-Mail-Adresse ausschließlich zur Werbung für eigene ähnliche Waren oder Dienstleistungen,
(3) der Kunde/die Kundin darf der Verwendung vorab nicht widersprochen haben und
(4) der Kunde/die Kundin muss bei Erhebung der E-Mail-Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen werden, dass er der Verwendung jederzeit kostenlos widersprechen kann.

Im Einzelnen:

(1) Im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung

Auch wenn dies aus dem Wortlaut der Vorschrift nicht ausdrücklich hervorgeht, knüpft das Gesetz daran an, dass zwischen dem Unternehmer/der Unternehmerin und dem Empfänger/der Empfängerin der E-Mail bereits eine vertragliche Beziehung bestehen muss. Eine nur vorvertragliche Geschäftsbeziehung, insbesondere die bloße Vertragsanbahnung, reicht nicht aus. Wenn eine Person also lediglich um Zusendung von Produktinformationen gebeten oder die Ware lediglich in den Warenkorb gelegt hat, ohne die Bestellung abzuschließen, liegt noch keine bestehende Geschäftsbeziehung vor. Auch die bloße Anlage eines Kund:innenkontos ist für § 7 Abs. 3 Nr. 3 UWG nicht ausreichend.

Der Unternehmer/die Unternehmerin muss die Adresse des Kunden/der Kundin direkt von ihm bzw. ihr selbst erlangt haben. Es reicht nicht aus, wenn der Unternehmer/die Unternehmerin sich die Adresse aus anderen Quellen beschafft oder diese von Dritten erhalten hat.

(2) Werbung nur für eigene ähnliche Waren oder Dienstleistungen

Die größte Herausforderung für Unternehmen stellt in der Regel die zweite Voraussetzung des § 7 Abs. 3 UWG dar. Es dürfen nur eigene Waren und Dienstleistungen beworben werden, die dem bereits erworbenen Produkt ähnlich sind. Die Rechtsprechung ist bei der Beurteilung, was als ähnliches Produkt anzusehen ist, sehr streng. Zum Teil wird eine „Austauschbarkeit“ der Produkte gefordert oder dass die Produkte dem „gleichen oder zumindest einem ähnlichen Bedarf oder Verwendungszweck“ dienen. Zulässig wäre danach etwa, einem Kunden/einer Kundin, der/die französischen Rotwein bestellt hat, künftig auch Werbung für Rotwein aus Neuseeland per E-Mail zu übersenden. Wer einen Hotelaufenthalt im Spreewald per E-Mail gebucht hat, dem dürfte auch eine Werbung für einen solchen in der Pfalz geschickt werden.

Achtung: Werbung für das gesamte Sortiment ist dagegen von § 7 Abs 3 Nr. 2 UWG nicht umfasst. Ferner ist von dieser Norm auch nicht die Versendung eines in dem Onlineshop des Absenders einlösbaren Gutscheins für das gesamte breite Warensortiment gedeckt.

Und wie verhält es sich bei Zubehör- und Ergänzungsangeboten?

Grundsätzlich erscheint es vertretbar, unter der Ausnahme für Bestandskund:innen auch Werbung für funktionell zusammengehörige Waren wie Zubehör- und Ergänzungswaren zuzulassen. Wer beispielsweise einen Drucker gekauft hat, wird in der Regel auch am Erwerb von Toner oder Tinte interessiert sein. Nach den von der Rechtsprechung entwickelten Kriterien „Austauschbarkeit der Produkte“ oder „Dienen der Produkte zum gleichen oder zumindest ähnlichen Bedarf oder Verwendungszweck“ dürfte in diesem Fall unproblematisch von einer Ähnlichkeit der Produkte auszugehen sein. Nicht mehr zulässig sein dürfte hingegen die Werbung für andere Elektronikartikel wie etwa Handys.

Das könnte Sie auch interessieren:

(3) Kein Widerspruch des Kunden

Der Kunde/die Kundin darf der Verwendung seiner E-Mail-Adresse zum Empfang von Werbung nicht widersprochen haben. Dieser Widerspruch kann über alle Kommunikationsmittel oder sogar mündlich erfolgen. Daher kann nach derzeitiger Rechtsprechung auch nicht von Kund:innen verlangt werden, dass sie neben einem Widerspruch in Textform auch Einstellungen in einem Kund:innenverwaltungssystem ändert (AG München, Urt. v. 05.08.2022 – 142 C 1633/22). Widersprüche sind zu protokollieren und bei zukünftigen Werbe-E-Mails zu berücksichtigen.

(4) Klarer und deutlicher Hinweis auf das Widerspruchsrecht

Besonders wichtig ist die vierte Voraussetzung. Das werbende Unternehmen muss den Kund:innen sowohl bei der Erhebung als auch bei jeder Verwendung der E-Mail-Adresse klar und deutlich darauf hinweisen, dass er der Verwendung jederzeit kostenlos widersprechen kann. Jedenfalls dürfen die Kosten für die Übermittlung des Widerspruchs die des Basistarifs nicht übersteigen. Zu diesem Zweck müssen Unternehmen den Kund:innen jeweils eine entsprechende Kontaktadresse benennen. Der Widerruf selbst sollte dabei direkt aus der E-Mail heraus möglich sein. Dies lässt sich am einfachsten über einen Abmeldelink umsetzen, der ohne weitere Zwischenschritte ein Blacklisting der betreffenden E-Mail-Adresse bewirkt.

Achtung: Zu beachten ist, dass Bestandskund:innennwerbung genauso wie sonstige werbliche E-Mails auch inhaltlich rechtskonform ausgestaltet sein muss. Insbesondere muss die Identität des Absenders/der Absenderin auf Anhieb klar erkennbar sein (vgl. § 7 Abs. 2 Nr. 4 UWG). Außerdem muss der Betreff der E-Mail den Inhalt der Nachricht richtig wiedergeben und erkennen lassen, dass es sich um eine werbliche E-Mail handelt. Schließlich gilt auch hier die Impressumspflicht.

Was gilt es in Sachen DSGVO zu beachten?

Die DSGVO enthält zwar keine Regelung, die explizit auf das wettbewerbsrechtliche Bestandskund:innenprivileg Bezug nimmt, jedoch kommen hier die berechtigten Interessen des werbenden Unternehmens gemäß Art. 6 Abs. 1 Satz 1 lit. f DSGVO als rechtfertigende Grundlage in Betracht. Nach Art. 6 Abs. 1 Satz 1 lit. f DSGVO muss die Verarbeitung zur Wahrung der berechtigten Interessen des werbenden Unternehmens erforderlich sein und die Interessen der betroffenen Personen dürfen nicht überwiegen.

Auch wenn die DSGVO hierzu keine Detailregelungen trifft, stellt Erwägungsgrund 47 der DSGVO jedenfalls klar, dass die Datenverarbeitung zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann. Auf Seiten der Interessen der betroffenen Personen ist u.a. entscheidend, was diese im Einzelfall subjektiv erwarten, aber auch, was objektiv vernünftigerweise erwartet werden kann und darf. Unternehmen sollten ihre Kund:innen über Bestandskund:innenwerbung daher frühzeitig und transparent im Rahmen der Datenschutzhinweise informieren. Die Datenschutzbehörden berücksichtigen im Rahmen der Interessenabwägung zudem die Wertungen des UWG. Überwiegende schutzwürdige Interessen der Empfänger:innen sind demnach in der Regel nicht gegeben, wenn das werbende Unternehmen auch die in § 7 Abs. 3 UWG enthaltenen Vorgaben für E-Mail-Werbung einhält. Andererseits dürften schutzwürdige Interessen der Empfänger regelmäßig überwiegen, wenn die in § 7 Abs. 3 UWG genannten Voraussetzungen nicht vorliegen.

Mit welchen Konsequenzen müssen Unternehmen bei Verstößen rechnen?

Handelt es sich bei dem Empfänger/der Empfängerin der unverlangt zugesandten werblichen E-Mail um einen Verbraucher/einer Verbraucherin, kann dieser/diese sich grundsätzlich auf einen Eingriff in sein/ihr allgemeines Persönlichkeitsrecht berufen. Ist Empfänger/die Empfängerin der E-Mail ein Unternehmen, kann ein Eingriff in den eingerichteten und ausgeübten Gewerbebetrieb vorliegen. Das werbende Unternehmen muss daher mit der Geltendmachung von zivilrechtlichen Unterlassungs- und Schadensersatzansprüchen durch betroffene Empfänger:innen rechnen (§§ 823 Abs. 1, 1004 Abs. 1 Satz 2 BGB analog). Verstöße gegen wettbewerbsrechtliche Vorschriften wie § 7 UWG können zudem von Konkurrent:innen sowie Wirtschafts- und Verbraucherverbänden abgemahnt werden. Läuft eine berechtigte Abmahnung über einen Rechtsanwalt/eine Rechtsanwältin, so ist das werbende Unternehmen zur Erstattung der notwendigen Rechtsanwaltskosten verpflichtet. Außerdem drohen wegen einer rechtswidrigen Datenverarbeitung Maßnahmen der Aufsichtsbehörden, wie die Verhängung von Bußgeldern. Zudem können Datenschutzverstöße immaterielle Schadensersatzansprüche der betroffenen Personen auslösen.

Empfehlungen für die Praxis

Um Schäden abzuwenden, sollten Unternehmen Ihre Prozesse sorgfältig und im Einklang mit den genannten Voraussetzungen ausgestalten und regelmäßig überprüfen. Möchte sich ein Unternehmen auf die Ausnahmeregelung des § 7 Abs. 3 UWG berufen, ist darauf zu achten, dass die betreffenden Kund:innen bereits bei Erhebung ihrer E-Mail-Adresse auf die Direktwerbung sowie die Widerspruchsmöglichkeit hingewiesen werden. Dazu bietet sich ein sichtbarer Hinweis direkt unter dem Feld zur Angabe der E-Mail-Adresse an. Bevor den Kund:innen Produktempfehlungen per E-Mail übermittelt werden, muss jeweils geprüft werden, ob kein Widerspruch eingelegt worden ist. Erhöhte Vorsicht ist hinsichtlich der Auswahl der beworbenen Produkte geboten. Es muss sichergestellt werden, dass ausschließlich für ähnliche Produkte und Dienstleistungen des Versendenden geworben wird. Schlussendlich ist jeweils ein leicht erkennbarer Hinweis auf das jederzeit bestehende Widerrufsrecht in die E-Mails aufzunehmen. Achtung: Erfahrungsgemäß scheitert die Zulässigkeit der Bestandskundenwerbung am häufigsten wegen dem fehlenden Hinweis bei der Datenerhebung.

Und wie verhält es sich nun mit den Umfragen und sonstigen Werbemails für die Einlegesohlen, Kinderjacken und Erwachsenenschuhe?

Sofern der Kunde/die Kundin sowohl bei der Erhebung seiner/ihrer E-Mail-Adresse als auch in jeder der Werbemails auf das Widerspruchsrecht hingewiesen wurde, ist die Werbung für ähnliche und passende Produkte wie die Einlegesohlen zulässig. Zweifelhaft ist dies bereits bei den Kinderjacken. Die Werbung für Erwachsenenkleidung ist in jedem Fall unzulässig. Unternehmen, die auf Nummer sicher gehen wollen, sollten sich daher auf eindeutig ähnliche Produkte beschränken, um erfolgreich Bestandskund:innenwerbung zu betreiben.

Zusatz: Feedbackanfragen als zulässige Bestandskund:innenwerbung?

Da Kund:innenzufriedenheitsbefragungen nach Ansicht des BGH generell als Werbung zu werten sind, stellt sich zwangsläufig die Frage, ob solche Anfragen auf Grundlage des § 7 Abs. 3 UWG versendet werden dürfen. Regelmäßig dürfte es sich bei Feedbackanfragen um allgemeine Image-Werbung für ein Unternehmen und nicht um Direktwerbung für eigene ähnliche Waren oder Dienstleistung handeln. Eine andere Beurteilung kann sich jedoch dann ergeben, wenn eine Bewertungsanfrage unmittelbar im Zusammenhang mit einem zuvor gekauften Produkt übersendet und die Bewertung für eben dieses Produkt angefragt wird, um zukünftige Geschäftsabschlüsse für ähnliche Produkte zu fördern. Nach den von der Rechtsprechung entwickelten Kriterien „Austauschbarkeit der Produkte“ oder „Dienen der Produkte zum gleichen oder zumindest ähnlichen Bedarf oder Verwendungszweck“ dürfte auch in diesem Fall von einer Ähnlichkeit der Produkte auszugehen sein. Auch der BGH hat sich in einem jüngeren Urteil (BGH, Urteil vom 10.07.2018 – VI ZR 225/17) zumindest offen für eine solche Auslegung gezeigt, auch wenn er die Frage in dem der Entscheidung zugrunde liegenden Fall nicht abschließend beantworten musste. Unternehmen, die jedes Risiko vermeiden möchten, sollten für Kund:innenzufriedenheitsbefragungen generell die Einwilligung der Kundschaft einholen.

Aktuelles zur KI-VO: Logbuch zur geplanten Verordnung

Für die hinreichende Vorbereitung auf die kommende KI-VO empfiehlt es sich, aktuelles rund um die Verordnung im Blick zu behalten. Dafür werden an dieser Stelle stets die wichtigsten Entwicklungen im Gesetzgebungsprozess dargestellt. Der jeweils neueste Beitrag ist dabei an oberster Stelle zu finden.

Die Arbeiten an der kommenden KI-Verordnung (KI-VO) der EU sind in vollem Gange. Nach seinem In-Kraft-Treten wird das Gesetz die Entwicklung und Verwendung von KI in der gesamten EU regeln. Da es sich um eine Verordnung handelt, werden die Regelungen unmittelbar in den Mitgliedsstaaten wirksam sein. Eines Umsetzungsaktes in nationales Recht bedarf es nicht. Der Entwurf zur Verordnung war im April 2021 von der EU-Kommission vorgelegt worden. Vorrangig geht es darum, einen europäischen Rechtsrahmen für KI zu schaffen. Darüber hinaus soll jedoch ein weltweiter Standard für den ethischen Einsatz und die Entwicklung der Technologie entstehen.

Viele der künftigen Vorgaben werden sich voraussichtlich nicht mehr erheblich ändern. Das grundlegende Regelungsgerüst ist daher schon jetzt abzusehen und Unternehmen können sich darauf vorbereiten. Als Leitfaden kann dafür unser Whitepaper zur kommenden Verordnung genutzt werden.

EU-Ministerrat und EU-Parlament diskutieren ihre Positionen zu einzelnen Regelungspunkten. Der EU- Ministerrat hat bereits mehrere Änderungsvorschläge vorgelegt. Das EU-Parlament wird über seinen Vorschlag voraussichtlich im November 2022 abstimmen. Im Anschluss wird der offizielle Trilog zwischen den EU-Gesetzgebungsorganen stattfinden. Wann das Gesetz in Kraft treten wird, lässt sich noch nicht mit Sicherheit sagen. Es ist zwar denkbar, dass dieses schon 2023 geschehen wird, wahrscheinlicher erscheint jedoch ein Inkrafttreten ab 2024. Im Anschluss wird es für Unternehmen eine Umsetzungsfrist geben.

Informieren Sie sich hier für alle News und Updates rund um die geplante KI-Verordnung.

Die zuständigen Berichterstatter im EU-Parlament haben einen neuen Kompromissvorschlag zur geplanten KI-VO vorgelegt. Dieser liegt dem Mediennetzwerk Euractiv vor. Der Vorschlag befasst sich mit neuen verbotenen KI-Praktiken und Kategorien für Hochrisiko-KI.

Bezüglich der bereits im Entwurf enthaltenen Verbote schlagen die Berichterstatter eine Ausweitung der verbotenen Social-Scoring-Systeme vor. Danach soll sich das Verbot nicht mehr nur auf Einzelpersonen, sondern auf ganze Gruppen erstrecken, wenn es durch das Social-Scoring zu Rückschlüssen auf persönliche Merkmale und zu Benachteiligungen kommt. Neu auf die Verbotsliste sollen solche KI gesetzt werden, die unterschwellig Techniken jenseits der Wahrnehmungsfähigkeit einer Person benutzen, es sei denn, dies geschehe zu therapeutischen Zwecken oder mit ausdrücklicher Einwilligung. Zudem soll KI verboten werden, die absichtlich manipulativ ist oder die Vulnerabilität einer Person ausnutzt, das Verhalten der Person dadurch beeinflussen und so zu erheblichem physischen oder psychischem Schaden führt.

Der Umfang der Systeme, die als hochrisikoreich klassifiziert werden soll, wird von dem Vorschlag deutlich ausgedehnt. Von den vorgeschlagenen Ausweitungen ist unter anderem der Bereich der biometrischen Identifizierung betroffen. Biometrische Live-Identifizierung in öffentlichen Räumen soll danach gänzlich verboten werden, sodass sich die Risikogruppe in diesen Bereichen nur noch auf Systeme zur nachträglichen Identifizierung beziehen soll. Von den Anwendungsfällen sollen jedoch nun auch Systeme zur Erkennung von Emotionen umfasst sein. Darüber hinaus wird vorgeschlagen für privat zugängliche Räume sowohl die Live- als auch die Ex-post-Identifizierung in die Liste aufgenommen.
Ebenfalls soll der Bereich der kritischen Infrastruktur erweitert werden. Dieser soll nach dem Vorschlag jegliche Sicherheitskomponenten für den Straßen-, Schienen- und Straßenverkehr einschließen.
Auch für die Hochrisikokategorie der Beschäftigung sieht der Vorschlag eine Ausweitung vor. So sollen solche Systeme umfasst sein, die Entscheidungen im Zusammenhang mit der Anbahnung, Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses treffen oder unterstützen, insbesondere bei der Zuweisung personalisierter Aufgaben oder der Überwachung der Einhaltung von Vorschriften am Arbeitsplatz.
Weitere Bereiche, für die Ausweitungen vorgesehen sind, sind die Bildung und der Zugang zu öffentlichen Leistungen.
Wie schon in der Ministerratsversion ist auch im Parlamentsvorschlag die Hochrisikokategorie der KI-Systeme in der Versicherungsbranche enthalten. Von dem ursprünglichen Kommissionsentwurf waren diese noch nicht umfasst.

Zudem wurden gänzliche neue Hochrisiko-Bereiche vorgeschlagen. So sollen nun Systeme umfasst sein, die von vulnerablen Gruppen genutzt werden, insbesondere solche, die die Entwicklung von Minderjährigen beeinflussen könnten. Es ist gut denkbar, dass darunter Empfehlungsalgorithmen in sozialen Netzwerken fallen würden.
Darüber hinaus sollen solche Systeme umfasst sein, die das Wahlverhalten von Personen beeinflussen könnten oder in demokratische Prozesse wie die Stimmenzählung eingebunden sind.
Schließlich sollen generative KI-Systeme in die Kategorie der Hochrisiko-KI aufgenommen werden, die etwa Texte erzeugen, die fälschlicherweise für menschengemacht gehalten werden könnten oder audiovisuelle Ergebnisse hervorbringen, die etwas aussagen, das nie stattgefunden hat. Für Texte soll dies nicht gelten, wenn sie von einem Menschen überprüft wurden oder eine Person dafür rechtlich verantwortlich ist; insofern weist der Vorschlag Ähnlichkeiten zur Regelung des Art. 22 DSGVO auf. Audiovisuelle Inhalte sollen dann ausgenommen sein, wenn es sich offensichtlich um ein Kunstwerk handelt. In die Hochrisikokategorie würden populäre Tools wie ChatGPT oder Dall-E fallen. Nach den bisherigen Entwürfen wären Chat-Bots wie ChatGPT dem Bereich der KI mit geringem Risiko zuzuordnen und unterlägen damit nur Transparenzverpflichtungen.

Laut Euractiv sind die beiden verantwortlichen Berichterstatter bestrebt, die Verhandlungen über den Parlamentsvorschlag zur KI-VO innerhalb der nächsten Tage abzuschließen.

Auf der Tagung des EU-Ministerrats in der für Verkehr, Telekommunikation und Energie zuständigen Formation, wurde der finale Kompromissvorschlag des Rats verabschiedet. Dem Co-Gesetzgeber gelang damit ein erster Schritt hin zum In-Kraft-Treten der KI-VO. Nun steht nur noch der Verordnungsvorschlag des EU-Parlaments aus. Anschließend können Kommission, Rat und Parlament den offiziellen Gesetzgebungs-Trilog aufnehmen. Laut dem europäischen Mediennetzwerk Euractiv wird die Version des Parlaments für März 2023 erwartet.

Der heute abgesegnete Ratsvorschlag enthält inhaltlich keine Änderungen mehr, sondern ist das Ergebnis der vorangegangenen Kompromissvorschläge des Ministerrats. Im Vergleich zum ursprünglichen Vorschlag der Kommission hat der Ministerrat einige maßgebliche Anpassungen vorgenommen. So wurden unter anderem die Definition des KI-Begriffes enger gefasst, der Vorschlag enthält Regelungen für sogenannte Allzweck-KI (General Purpose AI) und die Voraussetzungen und Verpflichtungen für Hochrisiko-KI wurden modifiziert. Welche Änderungen final in dem Verordnungstext enthalten sein werden, wird sich erst in den offiziellen Gesetzgebungsverhandlungen herausstellen. Viele der Vorschläge sind sinnvoll und es ist zu erwarten, dass sie so, oder so ähnlich, zu Gesetzeswortlaut werden.

Unter tschechischer Präsidentschaft hat der EU-Ministerrat seinen finalen Kompromissvorschlag vorgestellt. Dieser wurde am 18. November vom Ausschuss der Ständigen Vertreter der Mitgliedstaaten (COREPER) bestätigt und soll am 6. Dezember auf der Telekommunikations-Tagung der EU-Minister endgültig verabschiedet werden. Sobald dann der Vorschlag des EU-Parlaments vorliegt, können die formellen Trilogverhandlungen aufgenommen werden.

Die Änderungen, die dabei gegenüber früheren Vorschlägen vorgenommen wurden, sind nur sehr geringfügig. Es wurde bestätigt, dass „General Purpose AI“ unter das Regime der KI-VO fallen soll und dass die konkreten Anforderungen an diese KI-Systeme durch einen separaten Implementierungsakt von der EU-Kommission festgelegt werden. Ferner wurden die Ausnahmeregelungen für Strafverfolgungsbehörden in Details angepasst. Diese dürfen unter bestimmten Voraussetzungen Hochrisiko-KI-Systeme in Betrieb nehmen, die das vorgesehene Konformitätsbewertungsverfahren nicht bestanden haben. Verweigert die zuständige Marktaufsichtsbehörde aber im Nachhinein die Ausnahmegenehmigung dafür, müssen nach dem neuen Änderungsvorschlag alle aus dem System stammenden Ergebnisse und Ausgaben gelöscht werden.

Darüber hinaus stellt Erwägungsgrund 37 nun ausdrücklich klar, dass KI-Systeme, die Ansprüche auf öffentliche Unterstützungs- und Dienstleistungen prüfen, als Hochrisiko-KI-System einzustufen sind. Diese Änderung ist lediglich deklarativer Natur, da dieses bereits in Anhang III zur Verordnung geregelt ist. Zudem wurde der Text des Erwägungsgrundes dahingehend angepasst, dass er die vorangegangene Aufnahme bestimmter Versicherungsdienstleistungen in den Anhang III widerspiegelt.
Hinsichtlich der Transparenzverpflichtungen aus dem Verordnungsentwurf bestimmt der jüngste Vorschlag in Erwägungsgrund 70, dass solche Gruppen besonders berücksichtigt werden sollen, die aufgrund ihres Alters oder wegen Behinderung schutzbedürftig sind. Wie genau dieses aussehen soll, spezifiziert der Vorschlag jedoch nicht.

Der EU-Ministerrat hat einen neuen Kompromissvorschlag zur geplanten KI-VO vorgelegt. Nachdem die Mitgliedsstaaten nun noch einmal die Möglichkeit haben, zu dem Entwurf Stellung zu beziehen, strebt die tschechische Ratspräsidentschaft eine generelle Einigung für die nächste Tagung der Minister am 6. Dezember 2022 an. Der Ministerrat ist mit seinen Verhandlungen damit fast am Ende. Sobald vom Ministerrat ein finaler Änderungsvorschlag für die KI-VO ausgearbeitet wurde, hängt der Beginn des formellen Trilogs nur noch vom EU-Parlament ab.

Eine kleine, aber sinnvolle Änderung erfuhr die Definition des KI-Begriffes in der aktuellen Ministerratsfassung. In dem Entwurf der Kommission sollten bisher KI-Systeme umfasst sein, die „mit einem gewissen Grad an Autonomie arbeiten“. Die Passage wurde in dem aktuellen Kompromissvorschlag modifiziert, sodass die Definition nunmehr solche KI-Systeme einschließt, die „mit autonomen Elementen arbeiten“. Diese Änderung ist zu begrüßen, da zuvor nicht ersichtlich war, welche Anforderungen an einen „gewissen Grad“ zu stellen sein sollten.

Weitere wichtige Änderungen betreffen unter anderem die verbotenen KI-Systeme. So sind nun wieder nur biometrische Identifizierungssysteme umfasst, die aus der Ferne verwendet werden. In einem vorherigen Kompromissvorschlag war der Begriff „Fern-“ gestrichen worden, wodurch das Verbot erheblich ausgeweitet wurde.

Einige Neuerungen wurden zudem im Bereich der Hochrisiko-KI vorgenommen. Unter anderem wurde für Anbieter derartiger KI-Systeme die Transparenzverpflichtung hinzugefügt, die erwarteten Ergebnisse für den Einsatz der KI in die KI-Gebrauchsanweisung aufzunehmen. Ferner wurde der Anhang III der KI-VO angepasst, in dem KI-Systeme aufgeführt sind, die als Hochrisiko-KI gelten sollen. So wurden beispielsweise KI-Systeme wieder aufgenommen, die für die Risikobewertung und Preisgestaltung für Versicherungsprodukte, einschließlich Lebens- und Krankenversicherung, eingesetzt werden sollen.

Weitere Aspekte des Änderungsvorschlags betreffen etwa die Transparenzverpflichtungen für KI-Systeme mit geringem Risiko oder die Sanktionen bei Verstößen gegen die Verordnung.

Am 28.09.2022 legte die EU-Kommission zwei Vorschläge für Richtlinien vor, mit der die Haftungsregeln für KI reformiert werden sollen. Zum einen wird beabsichtigt, die europäische Produkthaftungsrichtlinie, die schon 1985 in Kraft trat, zu reformieren. Die Richtlinie regelt die verschuldensunabhängige Haftung von Herstellern, sofern deren Produkte etwa Personen- oder Sachschäden verursachen. Durch die nun vorgeschlagene Modernisierung soll die Richtlinie derart angepasst werden, dass sie Schadensersatzansprüche für solche Schäden enthält, die entstehen, wenn eine KI Bestandteil eines Produktes ist und dieses durch die KI-Anwendung unsicher gemacht wird. Wenn Verbraucher aufgrund eines solchen Produktes zu Schaden kommen und das Produkt von einem Hersteller außerhalb der EU stammt, sollen sie den Importeur oder den EU-Vertreter des Herstellers auf Schadensersatz in Anspruch nehmen können.

Darüber hinaus soll eine Richtlinie über KI-Haftung eingeführt werden. Diese soll erstmals spezifische Vorschriften für Schäden enthalten, die von KI verursacht werden. Der Vorschlag enthält vor allem zwei wesentliche Punkte. Zum einen wird eine Kausalitätsvermutung formuliert: Wenn ein Geschädigter nachweisen kann, dass eine Verpflichtung nicht eingehalten wurde, die für den Schaden relevant ist und dass ein ursächlicher Zusammenhang mit der Leistung der KI nach vernünftigem Ermessen wahrscheinlich ist, dann soll davon auszugehen sein, dass die Nichteinhaltung der Pflicht den Schaden verursacht hat. Die haftbare Person kann diese Vermutung jedoch widerlegen, indem sie nachweist, dass der Schaden eine andere Ursache hatte.

Zum anderen soll Geschädigten der Zugang zu Beweismitteln erleichtert werden. So sollen sie bei einem Schaden, der durch Hochrisiko-KI verursacht wurde, bei Gericht die Anordnung der Offenlegung von Informationen über das KI-System beantragen können. Die Geschädigten sollen so die Personen identifizieren, die haftbar gemacht werden könnten und herausfinden, was konkret zu dem eingetretenen Schaden geführt hat. Insgesamt soll die Richtlinie für alle Schäden gelten, die durch KI verursacht werden, unabhängig davon, ob es sich dabei um Hochrisiko-KI handelt oder um KI-Systeme ohne ein hohes Risiko.

Laut der EU-Kommission soll das Paket zur KI-Haftung die geplante KI-VO flankieren, indem es einen neuen Standard für Vertrauen und Wiedergutmachung rund um KI einführt. Damit soll Rechtssicherheit geschaffen werden, die Unternehmen dazu ermutigt, in künstliche Intelligenz zu investieren.

Die tschechische Ratspräsidentschaft hat den nunmehr dritten vollständigen Kompromissvorschlag zur KI-VO vonseiten des EU-Ministerrats vorgestellt. In diesem wurden Vorschläge und Kommentare der Mitgliedsstaaten umgesetzt. Dabei wurden im Vergleich zum ursprünglichen Entwurf der Kommission einige wichtige Passagen geändert. Die wohl wichtigste Änderung ist die der Definition von KI-Systemen. Die Definition war schon in einem früheren Ratsvorschlag angepasst worden und ist wesentlich enger als die ursprüngliche Definition der EU-Kommission. So entspricht die Definition des Rates mehr dem klassischen Verständnis von KI. Im Gegensatz dazu würde die Kommissionsdefinition sogar einfache rechengestüzte Anwendungen wie Taschenrechner umfassen. Der Ministerrat reagierte damit auf Kritik von vielen Seiten, die die ursprüngliche Definition als zu weit und konturlos ansah. Im nun vorliegenden dritten Kompromissvorschlag wurde die Voraussetzung gestrichen, dass die Arbeitsziele von KI „menschlich definiert“ sein sollen. Laut Ministerrat sei der Verweis für die Zwecke der Definition nicht wesentlich gewesen.

Ein weiterer wichtiger Aspekt des Ratsvorschlages ist die Regulierung von sog. „General Purpose AI“. Diese Klassifizierung für KI-Systeme ist im Entwurf der Kommission nicht vorgesehen. Erstmals war sie in dem Kompromissvorschlag enthalten, den der Ministerrat im November 2021 unter slowenischer Präsidentschaft vorgelegt hat. Es handelt sich dabei um KI-Systeme, die nicht für einzelne spezifische Anwendungsfelder entwickelt werden, sondern ein breites Spektrum an Nutzungsmöglichkeiten bieten. Dadurch können sie für eine Vielzahl von Aufgaben in unterschiedlichen Bereichen eingesetzt werden. Insbesondere können derartige allgemeine Algorithmen als Grundlage für spezialisierte KI-Systeme dienen. Beispielsweise kann eine einzige „General Purpose AI“ zur allgemeinen Sprachverarbeitung für eine Fülle von speziellen Anwendungen, wie etwa Chatbots, Systeme zur Generierung von Werbeanzeigen oder für Entscheidungsprozesse genutzt werden. In vielen Fällen wissen die Entwickler der allgemeinen KI selbst noch gar nicht, wofür diese später einmal eingesetzt werden wird. Sollen derartige Algorithmen als Hochrisiko-KI oder als Bestandteil einer solchen genutzt werden, sind nach dem nun vorliegenden Ratsvorschlag auch die meisten der entsprechenden Verpflichtungen an „Anbieter“ von KI-Systemen damit verbunden. Davon ausgenommen sein sollen jedoch kleine und mittlere Unternehmen, sofern diese nicht Partner von größeren Unternehmen sind oder mit solchen verbunden sind. Welche spezifischen Anforderungen an die General-Purpose-KI-Systeme selbst gestellt werden sollen, soll nach dem Ratsvorschlag durch einen separaten Implementierungsakt durch die Kommission innerhalb von eineinhalb Jahren nach In-Kraft-Treten der KI-VO festgelegt werden.

Weitere Bereiche, in denen der Ministerrat, teilweise eher marginale, Änderungen vorgeschlagen hat, sind die Transparenzverpflichtungen, innovationsfördernde Maßnahmen, Aufsicht und Sanktionen bei Verstößen.

Hamburgisches Krebsregister: Praxisrelevante Entscheidung zu Anonymisierung und Pseudonymisierung

Auch nach einer mehrstufigen Pseudonymisierung und Löschung der korrespondierenden Klardaten kann es sich weiter um personenbezogene Daten handeln, die nach Art. 15 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) zu beauskunften sind. So entschied das Verwaltungsgericht (VG) Hamburg mit Urteil vom 28.07.2022 (Az. 21 K 1802/21). Die Entscheidung ist von hoher Praxisrelevanz. Sie betrifft vor allem Forschungseinrichtungen und Unternehmen, die Gesundheitsdaten verarbeiten, sich aber darauf verlassen, dass ein Personenbezug nur unter unverhältnismäßigem Aufwand herzustellen sei. Besonders lesenswert sind die Ausführungen des VG zur Abgrenzung von Anonymisierung und Pseudonymisierung im Gesundheitsbereich und zur Reichweite der Betroffenenrechte.

Worüber hat das Gericht entschieden?

Die nachmalige Klägerin war im Jahr 2019 an Brustkrebs erkrankt und hatte sich in medizinische Behandlung begeben. Im Rahmen dieser Behandlung wurden diverse Daten der Klägerin verarbeitet, die zum Teil Personenbezug aufwiesen: der Name und die Anschrift der Klägerin, die vergebenen Diagnosen oder die durchgeführten Operationen zum Beispiel. Diese Daten wurden von den behandelnden Ärzt:innen an das Hamburgische Krebsregister (HKR) übermittelt. In diesem epidemiologischen und klinischen Register werden Krebserkrankungen und die damit verbundenen Daten erfasst, um die Prävention und die onkologische Versorgung zu verbessern. Die Übermittlung dieser Daten ist an sich nichts Ungewöhnliches. Gemäß § 2 Abs. 1 des Hamburgischen Krebsregistergesetzes (HmbKrebsRG) sind Ärzt:innen sogar dazu verpflichtet, das Entstehen, das Auftreten, die Behandlung und den Verlauf bösartiger Neubildungen einschließlich ihrer Frühstadien sowie von gutartigen Tumoren an das HKR zu übermitteln.

Für die Verarbeitung personenbezogener Gesundheitsdaten hat das HKR bestimmte technische und organisatorische Sicherheitsvorkehrungen getroffen. Daten, die einen unmittelbaren Rückschluss auf die erkrankte Person erlauben (personenidentifizierende Klartextdaten) und die als Gesundheitsdaten im Sinne von Art. 9 Abs. 2 DSGVO besonders schützenswert sind, erhalten zunächst einen pseudonymen Kontrollnummernsatz und werden dann noch einmal verschlüsselt. So können neue Daten mit schon vorhandenen abgeglichen und dem bisherigen Kontrollnummernsatz hinzugefügt werden, ohne auf Klartextdaten zurückzugreifen – ausreichend ist der Abgleich mit den verschlüsselten Kontrollnummern. Um den Zugriff auf Klartextdaten weiter zu beschränken, ist das HKR außerdem in einen Registerbereich und einen Vertrauensbereich unterteilt. Nur die Mitarbeitenden des Vertrauensbereichs haben Zugriff auf die personenidentifizierbaren Klartextdaten. Mitarbeitende im Registerbereich können dagegen nur den verschlüsselten Kontrollnummernsatz einsehen.

Anfang 2020 wurde die Klägerin von der Universität zu Lübeck angeschrieben und gefragt, ob sie bereit sei, an einer Studie zur Versorgung von Krebspatienten teilzunehmen. Daher wollte sie wissen, welche personenbezogenen Daten das HKR von ihr verarbeitet und an die Universität zu Lübeck weitergegeben hatte. Sie machte zunächst außergerichtlich einen Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO geltend. Außerdem widersprach sie der Weiterverarbeitung und Weitergabe ihrer Daten nach § 12 Abs. 3 S. 1 HmbKrebsRG. Daraufhin beauskunftete das HKR die personenbezogenen Klartextdaten der Klägerin und löschte sie anschließend aus dem Vertrauensbereich. Die Klägerin war damit allerdings nicht zufrieden. Sie begehrte weiterhin Auskunft über die nun allein vorliegenden Kontrollnummernsätze und ihre Löschung aus dem Registerbereich. Das HKR verweigerte Auskunft und Löschung mit dem Argument, dass eine Zuordnung dieser Kontrollnummernsätze zur Klägerin nach Löschung der Klartextdaten nicht mehr möglich sei. Eine Entschlüsselung sei technisch unmöglich, eine Reidentifizierung durch § 12 Abs. 2 S. 3 HmbKrebsRG gesetzlich verboten. Daher handele es sich nunmehr um anonymisierte Daten, auf deren Verarbeitung die DSGVO überhaupt keine Anwendung mehr fände.

Wogegen richtete sich die Klage?

Die Klage der Betroffenen richtete sich vor allem gegen die verweigerte Auskunft und die unterbliebene Löschung ihrer personenbezogenen Daten aus dem HKR. Die betroffene Klägerin sah in der Weigerung nicht nur einen Verstoß gegen zahlreiche datenschutzrechtliche Vorschriften, sondern auch einen Eingriff in ihr Allgemeines Persönlichkeitsrecht aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 Grundgesetz (GG). Vor allem aber machte sie geltend, dass es sich bei den Kontrollnummernsätzen nicht um anonymisierte, sondern lediglich um pseudonymisierte Daten handele, weil es dem HKR jederzeit möglich sei, die betroffene Person auch ohne die gelöschten Klartextdaten zu identifizieren.

Wie hat das Gericht entschieden?

Das VG Hamburg gab der Klägerin weitgehend Recht. Es sah in den vermeintlich anonymisierten ebenfalls pseudonymisierte Daten. Denn das gesetzliche Verbot in § 12 Abs. 3 S. 3 HmbKrebsRG, pseudonymisierte Daten nach einem Widerspruch der betroffenen Person zu reidentifizieren, könne nur bedeuten, dass dies auch nach Löschung der Klartextdaten rechtlich und tatsächlich möglich sei. Eine Reidentifizierung sei rechtlich möglich, weil § 12 Abs. 3 S. 3 HmbKrebsRG kein objektives Verbot, sondern ein disponibles Recht enthalte. Die tatsächliche Möglichkeit der Reidentifizierung ergebe sich daraus, dass sich der Personenbezog der Kontrollnummernsätze ohne größeren Aufwand wieder herstellen lasse: über die Such- und Filterfunktion in der vom Register verwendeten Software und Heranziehung bestimmter Verknüpfungsmerkmale wie der Krebsentität, dem Geburtsdatum, dem Geschlecht oder der Postleitzahl; aber auch durch eine Kooperation mit der Betroffenen, die ihre Kontrollnummer dem Datenbankadministrator zur Verfügung stelle. Allerdings gab die Kammer der Klage auch nicht vollumfänglich statt. Sie wies die geltend gemachten Ansprüche der Klägerin teilweise zurück. Insbesondere sei der Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO nicht in die Vergangenheit gerichtet, sondern erstrecke sich allein auf die derzeit im HKR verarbeiteten Daten. Dies folge aus dem klaren Wortlaut („verarbeitet werden“) und dem Telos der Norm. Sinn und Zweck des Art. 15 Abs. 1 DSGVO sei es nämlich gerade, eine Informationsgrundlage für einen etwaigen Löschungsanspruch zu schaffen. Die Klägerin könne daher keine Auskunft über diejenigen Daten verlangen, die zum Zeitpunkt ihres ersten Auskunftsersuchens durch die Beklagte verarbeitet worden seien.

Welche Folgen hat die Entscheidung für die Praxis?

Die Entscheidung dürfte Folgen sowohl für betroffene Personen haben, die einen Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO geltend machen wollen, als auch für Verantwortliche, die einem solchen Anspruch möglicherweise entsprechen müssen: einerseits können sich Verantwortliche nur unter sehr engen Voraussetzungen darauf zurückziehen, dass sie pseudonymisierte Datensätze nur mit unverhältnismäßigem Aufwand wieder identifizieren können. Andererseits müssen sie nunmehr nur diejenigen Verarbeitungstätigkeiten beauskunften, die zum betreffenden Zeitpunkt auch tatsächlich stattfinden. Besonders relevant ist die Entscheidung für Stellen, die Gesundheitsdaten verarbeiten und sich darauf verlassen, dass ein Personenbezug nur unter unverhältnismäßigem Aufwand herzustellen sei. Handelt es sich beispielsweise um eine seltene Erkrankung und liegen außerdem demographische Angaben oder Verknüpfungsmerkmale wie die Postleitzahl vor, kann es sich nach dem VG Hamburg bereits um ein pseudonymes Datum handeln, dass entsprechend zu beauskunften und gegebenenfalls zu löschen ist.

ChatGPT und seine Regulierung nach der KI-VO

Ende November 2022 hat das kalifornische Unternehmen OpenAI ChatGPT an die Öffentlichkeit gebracht. Dieser KI-basierte Chatbot besteht aus einem Large Language Model und kann unterschiedliche sprachbasierte Aufgaben lösen. Das Akronym „GPT“ ist dabei die Abkürzung für „Generative Pretrained Transformer“ und bezieht sich auf ein Sprachmodell, das auf einem mittels Deep Learning trainierten neuronalen Netz basiert. Das Unternehmen OpenAI wurde erst 2015 gegründet und hat 2019 von Microsoft ein Investment von einer Milliarde US-Dollar erhalten. Nun soll ChatGPT in Microsofts Suchmaschine Bing eingebaut werden und mit Google konkurrieren. Diese Entwicklung wird dazu führen, dass die Nutzer von Suchmaschinen anstatt einer langen Liste von Ergebnissen mit potentiell hilfreichen Links zukünftig flüssige und passgenaue Antworten erwarten können. Damit hat ChatGPT das Potential, das Internet und viele verschiedene Lebensbereiche zu disruptieren.

In rechtlicher Hinsicht stellt sich insbesondere die Frage, wie Chatbots dieser Art zukünftig nach der bevorstehenden KI-Verordnung reguliert werden. Ziel des Entwurfs der Europäischen Kommission zur Regulierung von künstlicher Intelligenz (KI-VO-E) ist es, die mit KI-Systemen einhergehenden Risiken regulatorisch einzugrenzen. Wenn ChatGPT in der Lage ist, selbstständig Programme zu schreiben, kann es dies auch für Hacker, Erpresser und staatliche Angreifer tun. In den Händen „falscher“ Akteure hat die Software daher ein erhebliches Bedrohungspotential. Dem soll auch durch die KI-Verordnung entgegengewirkt werden.

Was ChatGPT bereits heute kann – und was noch nicht

Es ist lange her, dass sich die Netzszene derart intensiv für eine neue Technologie begeistert hat. Fünf Tage nach dem Launch hatte ChatGPT bereits eine Million Nutzer. Dies ist im Vergleich zu anderen Tech-Hypes der Vergangenheit eine beachtliche Zahl. Die Software ist derzeit (noch) für jeden unentgeltlich im Internet verfügbar und das Ergebnis lässt staunen: ChatGPT kann wesentlich mehr als nur einfache Sachfragen beantworten. Der Chatbot kann Gedichte schreiben, Argumente abwägen, Programmiercodes erstellen, Fehler darin korrigieren und vieles mehr. Es gibt somit zahlreiche Aufgaben, für die ein Mensch viele Stunden braucht, ChatGPT dagegen nur wenige Sekunden. Die neue Technologie könnte daher viele Berufe disruptieren. Der akademische Lehrbetrieb befürchtet bereits, keine Hausaufgaben mehr bewerten zu können, da sich oft nicht mehr genau nachvollziehen lässt, ob die Studierenden diese selbst verfasst haben oder ChatGPT.

Zwar beeindrucken die Fähigkeiten von ChatGPT. Von einer „starken KI“, welche annähernd die gleichen intellektuellen Fähigkeiten wie ein Mensch besitzt, also eigenständig, flexibel und vorausschauend handelt, ist ChatGPT jedoch noch weit entfernt. Der Chatbot klingt einerseits besonders authentisch, weil er mit voller Überzeugung Informationen ausgibt, selbst wenn diese ungesichert sind. Das klingt dann so glaubwürdig, dass es viele Nutzer leicht beirren kann. Andererseits scheitert ChatGPT zuweilen schon an einfachen Rechenaufgaben. Das hängt damit zusammen, dass die KI nicht auf richtige oder falsche Antworten zurückgreifen kann, sondern immer nur aus einem riesigen Informationspool zu berechnen versucht, welche Antwort wahrscheinlich die beste ist. ChatGPT greift also nicht auf Wissen zurück, sondern reproduziert Muster, die es in den Texten erkennt, mit denen es gefüttert wurde. Deshalb produziert die KI häufig unzutreffende Fakten: So war sich ChatGPT beispielsweise sehr sicher, dass der Elefant das Säugetier sei, das die größten Eier legt, obwohl dies offensichtlich nicht der Fall ist. Das Unternehmen OpenAI erklärt selbst, das System von ChatGPT sei noch in einem Forschungsstadium und nicht ausgereift. Konfrontiert man die KI mit einer Falschaussage, ist sie hin und wieder imstande, ihre Meinung zu ändern. Gelegentlich beharrt sie aber auch auf ihrer Einschätzung. Dies mutet dann doch sehr menschlich an.

Bis ChatGPT zum verlässlichen Assistenten wird, muss die KI indes noch weiter reifen. Gleichwohl ist das Fundament bereits gelegt. Im Februar dieses Jahres soll dann der Nachfolger GPT-4 kommen. Er soll mit 100 Billionen Parametern arbeiten, 500-mal so vielen wie sein Vorgänger ChatGPT.

Wie sind Chatbots konzipiert?

Um Chatbots im Allgemeinen und ChatGPT im Besonderen rechtlich präzise einzuordnen, ist es erforderlich, die zugrundeliegende Technologie grundrissartig zu erfassen. Die Art der Technologie bestimmt, ob sie unter ein Regulierungsregime fällt und wie streng sie reguliert wird.

Moderne Chatbots basieren auf maschinellem Lernen (ML). Dort geht es darum, Wissen automatisch und meist in Bezug auf ein spezielles Problem aus Daten zu erlernen und dieses durch ein geeignetes Modell zu erfassen. Das Wissen soll dabei nach Beendigung der Lernphase durch Anwendung auf neue Daten verallgemeinert werden. Um diese Transferleistung bieten zu können, ist es wichtig, dass das Lernverfahren Muster, Beziehungen und Gesetzmäßigkeiten in den Daten erkennt.

Chatbots, die auf ML-Algorithmen beruhen, lassen sich einteilen in Information-Retrieval-Modelle und Generative Modelle. Erstere vergleichen ähnlich wie eine Websuche die Anfrage des Nutzers mit einem Index an Antworten, um sodann die am besten passende Antwort zu geben. Letztere erstellen mithilfe des Algorithmus die Antworten Wort für Wort. Bei Generative Modellen extrahiert der Algorithmus also keinen Pool an Antworten, sondern lediglich Vokabular, Syntax und derlei mehr. Chatbots der neuesten Generation bauen zudem auf dem Transformer-Modell auf. Auch hier nimmt der Algorithmus eine Gewichtung des Inputs nach Relevanz vor, um so zu treffenderen Ergebnissen zu gelangen. ChatGPT ist ein solcher Generativer Transformer.

Um dem Modell den Bias auszutreiben und zu verhindern, dass das Programm Hassbotschaften verbreitet, haben die Entwickler von OpenAI ChatGPT zudem einer menschlichen Revision unterzogen – „Reinforcement Learning from Human Feedback“ (kurz: RLHF, zu deutsch: bestärkendes Lernen mit Rückmeldung von Menschen) nennt sich das Verfahren. Für sein RLHF verwendete OpenAI seinen Vorgänger InstructGPT, ein Sprachmodell, das bereits vortrainiert wurde. Daher rührt der Begriff „Pretrained“ (vortrainiert). Auf dieser Grundlage hat ChatGPT dann selbst Eingaben beantwortet und mehrere Ausgaben erstellt. Diese Ausgaben wurden wiederum von Menschen bewertet, welche eine Rangfolge von der besten bis zur schlechtesten Ausgabe erstellt haben. ChatGPT hat dann dieses Feedback berücksichtigt und versucht die Ausgabe zu optimieren.

ChatGPT und die geplante KI-VO

Nahezu zeitgleich mit der aktuellen technologischen Entwicklung um ChatGPT ist auf der europäischen Ebene Schwung in die rechtliche Bewertung von KI-Systemen gekommen. Der Europäische Rat hat am 25. November 2022 seinen finalen Standpunkt zur geplanten KI-VO vorgelegt. Nun gehen die Beratungen im Europäischen Parlament weiter. Die Verordnung soll gewährleisten, dass KI-Systeme, die auf dem EU-Markt in den Verkehr gebracht und in der EU verwendet werden, sicher sind und die Grundrechte und Werte der EU wahren. Dabei verfolgt der KI-VO-E einen horizontalen Ansatz: Das Gesetz will branchenübergreifend das Inverkehrbringen, die Inbetriebnahme und die Nutzung von KI-Systemen regulieren. Wenn der Europäische Rat und das Europäische Parlament intern zu einer Übereinstimmung gelangt sind, fangen die Trilog-Verhandlungen an, bei denen sich Kommission, Parlament und Rat abschließend einigen müssen, voraussichtlich Mitte 2023.

Chatbots wie ChatGPT, die auf ML beruhen, würden grundsätzlich sowohl nach der alten, kommissionsseitig entwickelten als auch nach der neuen, enger gefassten Definition des Rates als KI-System i.S.d. KI-VO-E klassifiziert werden. Der Rat definiert ein KI-System als ein solches, welches so konzipiert ist, dass es mit autonomen Elementen arbeitet, und das auf der Grundlage von maschinellen oder von Menschen bereitgestellten Daten und Eingaben mithilfe von maschinellem Lernen und/oder logik- und wissensbasierten Ansätzen ableitet, wie eine bestimmte Reihe von definierten Zielen erreicht werden kann, und das systemgenerierte Ergebnisse wie Inhalte (generative KI-Systeme), Vorhersagen, Empfehlungen oder Entscheidungen erzeugt, die die Umgebung beeinflussen, mit der das KI-System interagiert. In nuce muss es sich damit um ein autonomes und adaptives System handeln. Es sind durchaus strikt regelbasierte Chatbots denkbar, die frei von ML lediglich eine dialogisch aufgebaute Benutzeroberfläche mit einer Stichwortsuche darstellen. Solche Chatbots würden von vornherein nicht unter die Definition und damit auch nicht unter das Regulierungsregime der KI-VO fallen.

Der KI-VO-E klassifiziert KI-Systeme weiter nach einem risikobasierten Ansatz in Kategorien mit abgestuften Anforderungen. Es wird dabei zwischen vier Risikoklassen differenziert: „verbotene KI-Praktiken“, „Hochrisiko-KI-Systeme“ und andere KI-Systeme mit einem „geringen“ oder „minimalem Risiko“.

Zunächst ist zu konstatieren, dass der Einsatz von ChatGPT je nach beabsichtigtem Zweck grundsätzlich unter alle der vier Risikoklassen fallen kann.

Verbotene KI-Systeme werden für die wenigsten Unternehmen eine praktische Bedeutung entfalten. Sie enthalten besonders kritische Systeme, die nicht hinnehmbare Risiken für die Grundrechte und Werte der Union darstellen. Hierrunter würde ChatGPT etwa fallen, wenn es durch gezielte Kommunikation versuchen würde, Menschen in den Suizid zu treiben.

Hochrisiko-KI-Systeme umfassen solche Systeme, von denen eine besonders hohe Gefahr für die Gesundheit und Sicherheit oder die Grundrechte von EU-Bürgern befürchtet wird. Die Einstufung in den Hochrisikobereich beschränkt sich u. a. auf die in Anhang III KI-VO-E gelisteten Systeme. Mensch-Maschine-Interaktionen (z. B. Cobots, algorithmisches Management usw.) werden nicht per se umfasst. Findet ChatGPT zukünftig etwa Eingang in ein Online-Bewerbungsverfahren, sodass es mit potenziellen Bewerbern kommuniziert und damit auch interagiert, so würde der Bot jedoch als Hochrisiko-KI-System einer strengen Regulierung unterliegen, weil Anhang III Nr. 4 a) KI-VO-E dies explizit regelt. Zusätzlich müsste ChatGPT aber auch den Transparenzanforderungen des Art. 52 KI-VO-E genügen müssen. Das hieße, dass der Bot eine Hochrisiko-KI-Konformitätsbewertung nach Art. 43 ff. KI-VO-E durchlaufen, aber auch den Bewerbern gegenüber der Transparenzpflicht nach Art. 52 Abs. 1 KI-VO-E genügen müsste. Dieses Beispiel zeigt deutlich, dass die Regulierung von Chatbots nach dem KI-VO-E changiert. Je nach Konzeption und beabsichtigtem Einsatzzweck eines Chatbots sind damit unterschiedliche Regulierungsanforderungen zu beachten.

Für KI-Systeme mit einem lediglich geringen Risiko gelten nach Art. 52 KI-VO-E grundsätzlich besondere Transparenzpflichten. KI-Systeme mit einem minimalen Risiko unterfallen nicht Art. 52 KI-VO-E. Für diese Systeme empfiehlt der KI-VO-E in seinem Art. 69 lediglich die Implementierung fakultativer Verhaltenskodizes.

Art. 52 KI-VO-E regelt Transparenzpflichten, da die dort genannten KI-Systeme ein „besonderes Risiko in Bezug auf Identitätsbetrug oder Täuschung [in sich] bergen“ (ErwG 70 KI-VO-E). Diese besondere Manipulationsgefahr macht die Kommission bei drei Gruppen aus: KI-Systeme zur Interaktion mit natürlichen Personen (Art. 52 Abs. 1 KI-VO-E), KI-Systeme zur Emotionserkennung oder zur biometrischen Kategorisierung (Art. 52 Abs. 2 KI-VO-E) und KI-Systeme, die Bild-, Ton- oder Videoinhalte erzeugen, die echten Personen oder Gegenständen entsprechen, sog. Deepfakes (Art. 52 Abs. 3 KI-VO-E). In diesen drei Fällen muss jeweils kenntlich gemacht werden, dass Inhalte mittels KI erzeugt worden sind.

ChatGPT ist fluid und vielseitig einsetzbar. Damit einher geht ein hohes Missbrauchspotential, welches der KI-VO-E zu kanalisieren sucht. ChatGPT lässt sich augenscheinlich unter alle drei Risiko-Kategorien subsumieren. Würde ChatGPT etwa zukünftig in anderen Programmen integriert werden, sodass die KI in Interaktion mit natürlichen Personen tritt, so muss das KI-System so konzipiert sein, dass den natürlichen Personen mitgeteilt wird, dass sie es mit einem KI-System zu tun haben. Auch wenn ChatGPT zur Emotionserkennung in anderen Programmen integriert wird oder für Deepfakes eingesetzt wird, müssen die Verwender bzw. Nutzer besondere Transparenzpflichten erfüllen.

ChatGPT als General Purpose AI?

Der finale Ratsentwurf vom 25. November 2022 sieht einen besonderen Abschnitt für sog. General Purpose AIs (GPAI) vor, welcher in der ursprünglichen Kommissionsfassung fehlte. Die Vorschriften zur GPAI sind dabei auch für ChatGPT von Relevanz.

Nach Art. 3 (1b) des finalen Ratsentwurf versteht man unter General Purpose AIs (GPAI) solche KI-Systeme, die unabhängig von der Art und Weise, in der sie in Verkehr gebracht oder in Betrieb genommen wurden, Funktionen wie Bild- und Spracherkennung, Audio- und Videogenerierung, Mustererkennung, Beantwortung von Fragen sowie Übersetzungsfunktionen aufweisen und in anderen KI-Systemen integriert werden können.

GPAI-Systeme sind also vielseitig einsetzbar und zeichnen sich durch die Anwendung von Transferwissen aus. ChatGPT, Dall-E und alle ähnlichen KI-Systeme dürften als GPAIs i.S.d. Definition zu klassifizieren sein. ChatGPT ist genuin ein Chatbot, der aber durch seine Programmierung auch in der Lage ist, Programmiercode zu lösen und den man über APIs in andere KI-Systeme integrieren kann.

Hintergrund der angedachten GPAI-Regulierung, die erstmals unter Slowenischer Ratspräsidentschaft Eingang in den Verordnungstext gefunden hat und unter Tschechischem Ratspräsidentschaft ausgearbeitet und verfeinert wurde, war unter anderem das spezifische Instrumentalisierungspotential, welches von GPAIs ausgeht, einzudämmen. Man denke etwa an den Deep-Learning-Text-zu-Bild-Generator „Stable Diffusion“, der bereits für die Erstellung von Kinderpornos missbraucht wurde. Zudem war den am Gesetzgebungsprozess Beteiligten aufgefallen, dass GPAIs im Wesentlichen nur von Tech-Giganten bzw. von Firmen, die von diesen Giganten protegiert werden, entwickelt werden können. Hier sah man das Risiko, dass diese Unternehmen bei einer nicht expliziten Regulierung Schlupflöcher in dem kommissionsseitigen Entwurfstext finden könnten, um von der Regulierung ausgeschlossen zu sein. So ist es theoretisch möglich, den Hochrisikobereich zu umgehen, wenn man als Anbieter nicht mehr unter die von Art. 6 KI-VO-E zitierten Anhänge II und III fällt. Nicht zuletzt haben verschiedene Studien und Lobbygruppen das Thema immer heikler erscheinen lassen und forciert: Tech monitor prognostiziert etwa eine Verdoppelung des Marktvolumens bis 2025 von GPAI-Anwendungen (insbesondere in Amerika und China). Auch deshalb haben Tendenzen in die Verhandlungen des finalen KI-VO-E Einzug gehalten, die EU stärker vor solchen rasanten Entwicklungen zu schützen.

Ferner wurde bereits darauf hingewiesen, dass ChatGPT bisweilen aufgrund der Programmierung des Algorithmus ungeprüfte Informationen verbreitet. Damit ließe sich das Programm gezielt als Vehikel einsetzen, um postfaktische Informationen, Hetze und Propaganda zu streuen. Es lässt sich also sagen, dass GPAIs ein inhärent höheres Risiko für die Verbraucher darstellen als „Narrow AIs“, die zu spezifischen Zwecken programmiert wird.

Der Titel IA des finalen Ratsentwurfs widmet sich eigens den GPAIs. Nach Art. 4 b werden GPAIs, die als Hochrisiko-KI-Systeme genutzt werden, auch den strengen Anforderungen der Hochrisikoregulierung unterfallen. Art. 4 c macht hiervon eine Ausnahme, sofern der Anbieter alle Hochrisiko-Implikationen seiner GPAI ausgeschlossen hat. Auf der Risikoskala der KI-VO ließen sich die GPAIs damit als Subkategorie der Hochrisiko-KI-Systeme verorten. Statt einer direkten Anwendung der GPAI-Regeln, soll die EU-Kommission mit einem Durchführungsakt beauftragt werden, in dem die Verpflichtungen für General-Purpose-KI angepasst werden können.

Zusammenfassung und Fazit

ChatGPT wird das Such- und Wissensmanagement revolutionieren und große Bereiche der Wissensarbeit automatisieren. Der rasante technische Fortschritt, der zu deutlich verbesserten Prozessoren und immensen Datenmengen geführt hat, ermöglicht nun die Konstruktion solch riesiger Sprach-Modelle. Dies ist ein gutes Timing für eine europäische KI-VO, die solchen Technologien klare Grenzen bei der Anwendung setzt. Es bleibt abzuwarten, ob in der endgültigen Fassung der KI-VO ChatGPT als GPAIs reguliert werden. Jedenfalls zeigt sich, dass auch nach bisheriger kommissionsseitiger Fassung ChatBots wie ChatGPT abhängig von ihrem intendiertem Anwendungszweck unterschiedlich von dem KI-VO-E reguliert werden und von besonderen Transparenzpflichten flankiert werden müssen.

DSGVO-Verwarnung durch die Datenschutzbehörde – Was ist zu tun?

Im Zusammenhang mit Datenschutzverstößen ist vor allem das Bußgeldverfahren in aller Munde. Bei Geldbußen handelt es sich jedoch um die höchste Eskalationsstufe im datenschutzrechtlichen Sanktionsregime. Wesentlich häufiger – aber dafür meist unter dem Radar – sprechen die Aufsichtsbehörden DSGVO-Verwarnungen aus. Mit der Verwarnung wird ein aus Sicht der Behörde vorliegender Datenschutzverstoß festgestellt. Dieser auf den ersten Blick harmlose Feststellungscharakter der Sanktionsmaßnahme sollte jedoch nicht als behördliches Entwarnungssignal missinterpretiert werden. Vielmehr kann sie den Auftakt zu langwierigen behördlichen Verfahren bedeuten und entscheidenden Einfluss auf die Entscheidung der Behörde ausüben, ob und in welcher Höhe ein Bußgeld erlassen wird. Wann mit einer DSGVO-Verwarnung zu rechnen ist, wie gegen sie vorgegangen werden kann und warum ihr Erlass nicht auf die leichte Schulter genommen werden sollte, erklären wir im nachfolgenden Artikel.

Was ist eine DSGVO-Verwarnung?

Bei der Verwarnung handelt es sich um eines der in Art. 58 II DSGVO genannten Abhilfebefugnisse der Datenschutzbehörden. Im Umgang mit Datenschutzverstößen stellen diese Befugnisse das aufsichtsrechtliche Sanktionsinstrumentarium dar. Zwischen den einzelnen Maßnahmen bestehen wesentliche Unterschiede im Hinblick auf ihre Wirkung und Eingriffsintensität. Neben der Warnung und der Verwarnung kann die Behörde beispielsweise auch Verarbeitungen untersagen oder Bußgelder verhängen. Im Umgang mit bereits eingetretenen Datenschutzverstößen stellt die Verwarnung das mildeste Mittel dar. Während eine Warnung rein präventiv auf die Vermeidung eines zu erwartenden Verstoßes gerichtet ist, hat die Verwarnung dessen Feststellung gerichtet auf die Vergangenheit zum Gegenstand. Im Gegensatz zu weiterreichenden Befugnissen wird durch eine Verwarnung selbst keine Verhaltenspflicht auferlegt. Bei ihrer rechtlichen Natur handelt es sich deshalb um einen feststellenden Verwaltungsakt – ohne vollziehbaren Inhalt. Als Adressaten einer Verwarnung kommen sowohl Verantwortliche als auch Auftragsverarbeiter in Betracht.

Wie kann es zu einer DSGVO-Verwarnung kommen?

Tatbestandlich setzt Art. 58 II lit. b DSGVO ausschließlich den Verstoß eines Verarbeitungsvorgangs gegen die DSGVO voraus. Die Art des Verstoßes, seine Intensität gegenüber dem Betroffenen oder subjektive Merkmale des Adressaten werden damit ausdrücklich offengelassen. DSGVO-Verstöße können neben ungerechtfertigter Datenverarbeitung beispielsweise auch die Verletzung von Betroffenenrechten oder Informationspflichten sein.

Ob im Falle einer Datenschutzverletzung eine Verwarnung oder ein schärferes Schwert wie etwa der Erlass eines Bußgelds folgt, ist deshalb ausschließlich eine Frage der pflichtgemäßen Ermessensausübung durch die Datenschutzaufsicht. Auch wenn sich aufgrund des stufenförmigen Aufbaus anderes vermuten lässt, ist die Behörde in ihrem Vorgehen nicht an eine bestimmte Sanktionsreihenfolge gebunden. Ausschlaggebend ist, welche Maßnahme die größtmögliche Effektivität im Hinblick auf die Beseitigung des Datenschutzverstoßes verspricht. Ein Anspruch auf „Herabstufung“ einer schwerwiegenderen Maßnahme auf eine Verwarnung besteht deshalb grundsätzlich nicht.

Die Aufsichtsbehörde kann ihre Entscheidung dennoch nicht nach Belieben fällen, sondern ist an die Einhaltung bestimmter Ermessensregeln gebunden. Die wichtigste Rolle spielt dabei häufig der Grundsatz der Verhältnismäßigkeit. Da die Verwarnung im Falle einer rechtswidrigen Verarbeitung jedoch bereits das mildeste Mittel ist, dürfte ihr Erlass – jedenfalls bei nicht vollständig bagatellhaften Datenschutzverstößen – regelmäßig angemessen sein.

Welche Konsequenzen hat eine DSGVO-Verwarnung durch die Datenschutzbehörde?

Wie bereits angesprochen hat eine Verwarnung die Feststellung der Rechtswidrigkeit eines Verarbeitungsvorgangs zum Gegenstand. Die Verwarnung sieht somit selbst keine umsetzbaren Maßnahmen vor, sondern zielt auf die verbindliche rechtliche Bewertung einer bestimmten Sachlage. Sofern sie nicht angefochten wird, erlangt die Verwarnung binnen eines Monats ab Bekanntgabe – unabhängig von ihrer Rechtmäßigkeit (!) – Bestandskraft. Die Rechtswidrigkeit der gerügten Verarbeitung gilt damit – ob zutreffend oder nicht – als festgestellt. Der Umgang mit einer Verwarnung hat deshalb entscheidenden Einfluss auf die Verhängung weiterer Sanktionen.

Besondere Bedeutung entfaltet sie insofern im Rahmen eines Bußgeldverfahrens. Mit der Verwarnung wird ihr Adressat auf sein – aus Sicht der Behörde – rechtswidriges Handeln hingewiesen. Setzt er seine Verarbeitung dennoch fort, kann die Verwarnung nach Art. 83 Abs. 2 lit. e) DSGVO im Bußgeldverfahren Berücksichtigung finden. Danach wirken sich früher ergangene Verwarnungen bei der behördlichen Entscheidung hinsichtlich des Ob und Wie eines Bußgeldes zulasten des Adressaten aus.

Wie kann gegen eine DSGVO-Verwarnung vorgegangen werden?

Gegen eine Verwarnung kann der Adressat binnen eines Monats ab Bekanntgabe verwaltungsrechtliche Schritte ergreifen. Ob ein behördliches Vorverfahren stattfindet, d.h. ob zunächst Widerspruch gegen die Verwarnung eingelegt werden muss, richtet sich nach dem auf die zuständige Aufsichtsbehörde anwendbaren Recht. Das BDSG, sowie die meisten Landesgesetze, schließen ein Vorverfahren im Falle einer Verwarnung allerdings aus. Im Regelfall muss die Verwarnung deshalb mit einer Anfechtungsklage vor dem zuständigen Verwaltungsgericht angegriffen werden. Dabei ist vor allem die zeitliche Komponente der Klageerhebung entscheidend. Eine umfassende Klagebegründung kann nach fristgerechter Klageerhebung auch im Laufe des Verfahrens nachgereicht werden.

Die Klageerhebung bewirkt, dass die verbindliche Feststellung des Datenschutzverstoßes bis zum Ende des Klageverfahrens aufgeschoben ist. Dies kann sich mittelbar auch auf die Verhängung weiterer Maßnahmen auswirken. Die Behörde ist für deren Erlass zwar nicht an eine zuvor festgestellte Rechtswidrigkeit gebunden, jedoch kann es im Sinne der Prozessökonomie und Verhältnismäßigkeit geboten sein, die ausstehende Klärung der Rechtsfrage abzuwarten.

Im anschließenden Gerichtsverfahren steht schließlich die Frage nach der Rechtmäßigkeit der erlassenen Verwarnung im Vordergrund. Das Gericht prüft deshalb, ob der gerügte Verarbeitungsvorgang tatsächlich gegen die DSGVO verstoßen hat. Da in manchen Fällen Rechtsmittel gegen die Gerichtsentscheidung eingelegt werden, kann sich ein solches Verfahren praktisch über Jahre hinweg ziehen.

Wird bei DSGVO-Verwarnungen der Datenschutzbehörden rechtliche Unterstützung benötigt?

Datenschutzrechtliche Sachverhalte sind in der Regel sehr komplex und bergen neben finanziellen Aspekten auch die Gefahr eines Reputationsverlustes.

Der erste Schritt im Umgang mit einer behördlichen Maßnahme sollte deshalb ausnahmslos immer die unverzügliche Einholung rechtlichen Beistands sein. Mit dessen Hilfe müssen anschließend alle rechtserheblichen Tatsachen ermittelt und der Sachverhalt intern aufgeklärt werden. Im Rahmen der rechtlichen Bewertung können so auch die Erfolgsaussichten einer Klage umfänglich abgewogen werden. Bei unrechtmäßig ergangenen Verwarnungen sollte – gerade aufgrund der Auswirkungen in einem potenziellen Bußgeldverfahren – im Regelfall eine Klage erwogen werden.

Sollte im Rahmen rechtlicher Voreinschätzung von einer Klage abgeraten werden, besteht dennoch sofortiger Handlungsbedarf. Da andernfalls schärfere Maßnahmen drohen, müssen die beanstandeten Prozesse in enger Zusammenarbeit mit einem Experten datenschutzkonform ausgestaltet werden.

In jedem Fall sollte in der Kommunikation mit den Behörden auf einen kooperativen Umgang geachtet werden. Nach Art. 83 II lit. f DSGVO kann sich der Umfang der Zusammenarbeit bei der Abhilfe des Verstoßes positiv in der Bewertung des Bußgeldverfahrens niederschlagen.Haben Sie Rückfragen zum Umgang mit datenschutzrechtlichen Verwarnungen oder sind Sie selbst Adressat einer behördlichen Maßnahme? Wir nehmen uns Zeit für Ihr Anliegen und entwickeln gemeinsam eine Strategie für das weitere Vorgehen. Als Experten im Datenschutzrecht sind wir bereits erfolgreich gegen Verwarnungen vorgegangen und haben jahrelange Erfahrung in der erfolgreichen Kommunikation mit den Datenschutzaufsichtsbehörden.

Abmahnfähigkeit von DSGVO-Verstößen

Dürfen nur die Aufsichtsbehörden Datenschutzverstöße sanktionieren oder stehen auch Wettbewerbern Ansprüche gegen datenschutzwidrig handelnde Unternehmen zu? Schon seit Jahren schwelt der Konflikt um die wettbewerbsrechtliche Abmahnfähigkeit von Verstößen gegen die Datenschutz-Grundverordnung (DSGVO). Auch der zuständige Senat des BGH stand zuletzt der unklaren Rechtslage ratlos gegenüber. Im Rahmen eines Vorabentscheidungsverfahrens hatte sich im April 2022 der EuGH zu der Frage geäußert, ob DSGVO-Verstöße Gegenstand einer wettbewerbsrechtlichen Abmahnung sein können. Mit dieser Entscheidung des EUGH wurden jedoch nicht alle Zweifel in Bezug auf die Abmahnfähigkeit von Datenschutzverstößen ausgeräumt – offen gelassen hatte der EuGH insbesondere, ob auch Wettbewerber abmahnberechtigt sind. Mit Beschluss vom 12. Januar 2023 (Az. I ZR 222/19 und I ZR 223/19) wird nun auch diese Fragestellung dem EuGH vorgelegt. Mit umso größerer Spannung wird nun das Ergebnis des neuesten Vorabentscheidungsverfahrens erwartet.

Hintergrund

Im Ausgangsverfahren vor dem LG Dessau-Roßlau (Urteil vom 27. März 2018 – Az. 3 O 29/17) strebte ein Apotheker eine wettbewerbsrechtliche Abmahnung an. Ein konkurrierender Apotheker hatte über die Plattform Amazon Marketplace Arzneimittel vertrieben und dabei, so der Kläger, gegen datenschutzrechtliche Vorschriften verstoßen. Ein Hauptargument war, beim Kauf von Arzneimitteln würden Daten, die Aufschluss über den Gesundheitszustand des Käufers geben können, verarbeitet und damit besonders sensible Daten nach Art. 9 DSGVO. Dafür müsse eine Einwilligung abgefragt werden. Das Einholen einer Einwilligung habe der Apotheker im konkreten Fall versäumt.

Das LG Dessau-Roßlau sah in der ersten Instanz sowohl Verstöße gegen wettbewerbsrechtliche (u.A. die Apothekenbetriebsordnung) als auch gegen Vorschriften der DSGVO als gegeben und bejahte einen Wettbewerbsverstoß gem. §§ 3, 7 UWG. So weit, so konsequent – denn das LG stufte Datenschutzrecht als Marktverhaltensregelung im Sinne des § 3a UWG ein.

Anders das LG Magdeburg, das dem Kläger in einem vergleichbaren Fall die Klagebefugnis absprach (Urteil vom 18. Januar 2019 – Az. 36 O 48/18). Das LG Magdeburg bestätigte allein einen Verstoß gegen Datenschutzrecht. Das Datenschutzrecht aber enthalte ein abschließendes Sanktionssystem, das einer Abmahnung durch Wettbewerber keinen Raum mehr lasse. Diese Bewertung wurde in zweiter Instanz jedoch vom OLG Naumburg (Urteil vom 7. November 2019 – Az. 9 U 6/19) verworfen, welches sich der Einordnung des Datenschutzrechts als Marktverhaltensregelung anschloss (s.o.).

Mit der Revision in beiden Verfahren befasste sich anschließend der BGH. Der zuständige Senat entschied, die Verfahren auszusetzen, bis das Vorabentscheidungsverfahren vor dem EuGH in einem weiteren Verfahren abgeschlossen war. Von der ausstehenden Entscheidung des EuGH in dem Verfahren gegen Facebook im Fall „App-Zentrum“ (Beschluss vom 28. Mai 2020 – Az. I ZR 186/17) erhoffte man sich Rechtsklarheit, denn auch hier hatte sich der Gerichtshof mit der Frage zu befassen, ob ein Verband von Verbraucherschützern aufgrund eines Datenschutzverstoßes die Befugnis zu einer wettbewerbsrechtlichen Abmahnung gem. § 3 UWG besaß.

Ergebnis des ersten Vorabentscheidungsersuchens

Konkret hatte der BGH dem EuGH die Frage vorgelegt, ob die Vorgaben in Art. 80 Abs. 1, 2 sowie Art. 84 DSGVO es zulassen, dass Verbände und Wettbewerber durch nationales Recht zur Abmahnung aufgrund von Datenschutzverstößen berechtigt werden, auch wenn keine konkrete Rechtsverletzung oder eine Beauftragung durch betroffene Personen vorliegt. Der EuGH beantwortete die Vorlagefrage in der Rechtssache „Meta Platforms Ireland Limited“ nur teilweise (EuGH, Urteil 8. April 2022 (C-319/20). Art. 80 Abs. 1 DSGVO sei „… dahingehend auszulegen, dass sie (die Vorschrift) einer nationalen Regelung, nach der ein Verband […] gegen den mutmaßlichen Verletzer des Schutzes personenbezogener Daten […] Klage erheben kann, nicht entgegensteht, sofern die betreffende Datenverarbeitung die Rechte identifizierter oder identifizierbarer natürlicher Personen aus dieser Verordnung beeinträchtigen kann.“ Das bedeutet, Verbände sind durchaus berechtigt, Datenschutzverstöße abzumahnen.

Das schließt allerdings nur die Verbände mit ein, die, wie in Art. 80 Abs. 1 DSGVO vorgegeben, ohne Gewinnerzielungsabsicht agieren, satzungsmäßig Ziele im öffentlichen Interesse verfolgen und im Bereich des Schutzes der Rechte und Freiheiten betroffener Personen in Bezug auf ihre Daten tätig sind.

Das könnte Sie auch interessieren:

Zur Abmahnung durch Wettbewerber:innen äußerte sich der EuGH nicht; diese Frage sei im Ausgangsverfahren nicht aufgeworfen worden. Verbleibende Unklarheiten wird der BGH nun aber offensichtlich endgültig ausräumen. Erneut will er dem EuGH die Frage nach der wettbewerbsrechtlichen Abmahnfähigkeit von DSGVO-Verstößen vorzulegen, diesmal gezielt im Hinblick darauf, ob zur Abmahnung Mitbewerber berechtigt sind. Für eine wettbewerbsrechtliche Abmahnung auch von Datenschutzverstößen spricht der Grundsatz der effektiven Rechtsdurchsetzung des EU-Rechts (effet utile) und die Tatsache, dass Unternehmen Daten zumindest auch immer aus wettbewerbsrechtlichen Interessen verarbeiten. Dagegen spricht, dass die DSGVO als abgeschlossenes Regelungswerk betrachtet werden kann und keine Abmahnungen durch Wettbewerber vorsieht.

Entscheiden soll der EuGH außerdem, ob es sich bei den Kundendaten, die beim Kauf apothekenpflichtiger Arzneimittel über Amazon verarbeitet werden, um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO handelt.

Fazit

Bereits der Ausgang des ersten Vorabentscheidungsverfahrens vor dem EuGH war vielversprechend; im Grundsatz wurde die Klagebefugnis von Verbänden bejaht. Das könnte zumindest Verbraucherschützer:innen anregen, in der Abmahnpraxis zugunsten von Verbraucherrechten etwas mutiger voranzuschreiten. Schon hier gibt es aber immer noch Unklarheiten, denn nach der wortgenauen Auslegung des BGH müssen sich auch Verbände weiterhin fragen, ob eine unzureichende Information über die Datenverarbeitung für eine Abmahnung ausreicht.

Ein Durchbruch wäre es, würde der EuGH nun auch eine finale Einschätzung zur Abmahnung von Datenschutzverstößen durch Wettbewerber:innen abgeben. Nicht nur wäre die Entscheidung wegweisend für das Ausgangsverfahren um den Arzneimittelvertrieb über Amazon. Auch würde damit ein lang andauernder Konflikt beigelegt, der Akteur:innen des Wirtschaftslebens unmittelbar betrifft.

Stellungnahme der DSK: Ist Microsoft 365 noch datenschutzkonform umsetzbar?

Die politisierte Auseinandersetzung zwischen Microsoft und der Datenschutzkonferenz (DSK) um die Datenschutzkonformität des Officepakets Microsoft 365 ist in die nächste Runde gegangen. Bereits im Jahr 2020 hatte eine knappe Mehrheit der Datenschutzbehörden die aus ihrer Sicht intransparenten und teilweise rechtswidrigen Verarbeitungspraktiken gerügt. Microsoft hatte im Nachgang Besserung gelobt und zuletzt am 15.09.2022 die als „Datenschutznachtrag“ bezeichnete aktuelle Version seines Auftragsverarbeitungsvertrags (AVV) vorgelegt. Nach eigenen Angaben des Unternehmens habe man während der Überprüfung eng mit der DSK zusammengearbeitet und sei den vorgebrachten Bedenken mit weitreichenden Änderungen begegnet. Doch anstelle eines Fleißbienchens erfolgte seitens der DSK eine erneute Schelte. In ihrer am 24.11.2022 veröffentlichten Stellungnahme erklärten sie den Einsatz von Microsoft 365 durch öffentliche Stellen und Privatunternehmen für weiterhin unvereinbar mit dem geltenden Datenschutzrecht. Das Unternehmen reagierte prompt und zeigte sich in seiner Einlassung vom 25.11.2022 enttäuscht. Aus Sicht Microsofts habe man sein Bestes getan, um den strengen Anforderungen der DSK umfassend und sachgerecht nachkommen zu können. Der Streit ist angesichts seiner Detailtiefe mittlerweile in einigen Aspekten unübersichtlich geraten. Die Auffassungen der „Kontrahenten“ scheinen in den meisten Punkten fundamental auseinanderzudriften – und dementsprechend unversöhnlich. Mit unserem Beitrag wollen wir die Kernproblematik dreier besonders häufig diskutierter Streitpunkte aufzeigen und einen Blick auf die praktische Tragweite des DSK-Papiers wagen.

Welche Punkte werden durch die DSK gerügt?

Die DSK adressiert in ihrem Beschluss eine Vielzahl möglicher Schwachstellen in der datenschutzrechtlichen Vertragsgestaltung durch Microsoft, möchte jedoch ausdrücklich keine umfassende datenschutzrechtliche Bewertung abgeben. Insbesondere hat die DSK keine Prüfung der tatsächlichen Datenverarbeitung oder der möglichen Konfigurationen vorgenommen. Neben Löschpflichten und unzureichender Weisungsbindung ist etwa auch die Informationsgestaltung über Unterauftragnehmer als problematisch bewertet worden. Im Folgenden konzentrieren wir uns auf die Rüge der Verarbeitung zu eigenen Zwecken, den Vorwurf unzureichender Konkretisierung von Verarbeitungstätigkeiten und den umstrittenen Drittstaatentransfer.

Eigene Verantwortlichkeit seitens Microsofts?

Die DSK kritisiert, dass bestimmte Verarbeitungstätigkeiten seitens Microsofts zu eigenen Zwecken erfolgten und diesbezüglich eine eigene datenschutzrechtliche Verantwortlichkeit begründet sei. Im Hinblick auf die „Verarbeitung zu veranlassten Geschäftstätigkeiten“ agiere das Unternehmen als Verantwortlicher und mache dies nicht hinreichend transparent. Bei den genannten Verarbeitungen handelt es sich um die Erstellung aggregierter, statistischer Daten und die datenbasierte Berechnung von Statistiken. Aus Sicht Microsofts trifft der „Vorwurf“ der eigens gesetzten Zwecke nicht zu. Die genannten Tätigkeiten seien für die Dienstleistungserbringung zwingend notwendig und erfolgten deshalb auch im Interesse des Kunden.

Man kann die Äußerung Microsofts durchaus kritisch sehen, ein immerhin geteiltes Interesse an der Verarbeitung schließt die Verantwortlichkeit des Unternehmens schließlich nicht aus. Die Beurteilung der Rollenverteilung hängt jedoch auch maßgeblich vom Bedeutungsgrad der jeweiligen Verarbeitungstätigkeit für die Leistungserbringung ab. Der Scheideweg zur eigenen Verantwortlichkeit wäre jedenfalls dann erreicht, wenn ein offensichtlicher Missbrauch der Kundendaten vorläge. Was die DSK insofern nur unzureichend zu berücksichtigen scheint, ist die Notwendigkeit der statistischen Datenverwertung für die Bereitstellung des Cloud-Diensts. Eine Argumentation in diese Richtung findet seitens der Datenschützer nicht statt.

Erster Aspekt des Interessenkonflikts ist die Art der Informationsbereitstellung. Microsoft verweist seinerseits auf umfassende Dokumentationen zu den Verarbeitungstätigkeiten, die Nutzungsbedingungen für einzelne Produkte und die – einzelfallabhängige – Einbeziehung von Verarbeitungsverzeichnissen der Kunden. Das Unternehmen bietet mit seinem übersichtlichen DPA, den vertraglich vereinbarten Nutzungsbedingungen und den nach Bedarf hinzuziehbaren Dokumentationen einen durchaus praktikablen und effizienten Ansatz. Da die jeweils betreffende Dokumentation nicht unmittelbarer Bestandteil der vertraglichen Regelung wird, genügen die Regelungen den juristischen Kriterien eines AVV in dieser Hinsicht möglicherweise nicht. Inwiefern eine Einbeziehung im Sinne verständlicher und klarer Kommunikation überhaupt umsetzbar wäre, findet seitens der DSK keine Berücksichtigung.

Unzureichende Konkretisierungen in den Auftragsverarbeitungsverträgen (AVV)

Weiterhin bemängelt die DSK die nach ihrer Auffassung nicht ausreichend detaillierte Festlegung von Art und Zwecken der Verarbeitung, sowie der Art der verarbeiteten Daten. Unter anderem könne dadurch der Verantwortliche der ihn treffenden Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nicht nachkommen.

Das zweite Knackpunkt im Zusammenhang mit der Konkretisierung von Verarbeitungstätigkeiten und Arten personenbezogener Daten, ist die Detailtiefe der Informationsbereitstellung. In Anhang B des AVV bietet Microsoft eine Aufzählung aller potenziell betroffenen Daten. „Potenzielle Betroffenheit“ ist insofern Stichwort des Problems. Als Cloud-Dienstleister ist Microsoft praktisch in jede Verarbeitungstätigkeit des Kunden mit eingebunden. Diese absehen zu können, ist auch theoretisch ein Ding der Unmöglichkeit.

Man muss Microsoft an dieser Stelle zugutehalten, dass sie – wenn auch formal nicht ganz korrekt –im Rahmen ihrer Möglichkeiten den Versuch unternommen haben, Transparenz zu schaffen. Eine konstruktive Bewertung der Problematik seitens der DSK ist nicht erfolgt.

Datenübermittlung in Drittstaaten

Die kritische Bewertung des Drittstaatentransfers ist im Grunde kein hauseigenes Problem Microsofts. Der seitens der DSK vertretene „Null-Risiko-Ansatz“ betrifft auch andere Unternehmen mit Datenflüssen in die USA. Konkret beanstanden die Datenschutzbehörden insbesondere, dass eine ihrer Ansicht nötige Verschlüsselung der „data-in-use“ technisch nicht umsetzbar ist und dadurch ein Restrisiko für den Zugriff durch US-Behörden verbleibe. Die Argumentation der DSK verweist hierzu auf die Beispiele des Europäischen Datenschutzausschusses (EDSA) aus seinen Empfehlungen 01/2020. Unberücksichtigt bleibt die konkrete vertragliche Ausgestaltung der Drittlandübermittlung, bei der Microsoft Ireland Operations Limited und Microsoft Corporations die entsprechenden Standardvertragsklauseln abschließen, nicht hingegen der Kunde.

In der Praxis hat sich dagegen vor allem ein risikobasierter Ansatz zur Beurteilung der Rechtmäßigkeit von Datenexporten durchgesetzt. Unter Berücksichtigung von betrieblichen und wirtschaftlichen Aspekten bei der Einbindung bestimmter drittstaatenbezogener Dienste, wird eine Bewertung im Einzelfall vorgenommen, die sich an der konkreten Datenverarbeitung orientiert. Dabei werden die ergriffenen Maßnahmen zu Risikominimierung und Entschädigung gegenüber dem tatsächlich bestehenden Gefahrenpotenzial abgewogen. Diese Auffassung wird auch von Microsoft vertreten. Das Unternehmen sieht dahingehend sehr umfassende Schutzmaßnahmen vor und sagt vertraglich Entschädigungsleistungen im Falle einer Datenschutzverletzung zu.

Der Streit um die dogmatisch korrekte Bewertung der Rechtmäßigkeit von Datenexporten kann an dieser Stelle nicht aufgelöst werden. Lässt man eine Beurteilung nach dem risikobasierten Ansatz jedoch grundsätzlich genügen, kann seitens Microsofts durchaus mit der Umsetzung umfassender Schutzmaßnahmen argumentiert werden.

Welche Auswirkungen sind infolge der DSK-Erklärung zu erwarten?

Die gute Nachricht zuerst: die Stellungnahme der DSK entfaltet keine unmittelbare Bindungswirkung für öffentliche oder private Nutzer:innen. Dennoch ist Vorsicht geboten. Mit der Erklärung geben die deutschen Datenschutzbehörden ihre – einhellige – Rechtsauffassung bekannt und sind in ihrem Verwaltungshandeln daran gebunden. Da die Einbindung von Microsoft 365 nach ihrer Ansicht im Regelfall nicht datenschutzkonform umsetzbar ist, kann die zuständige Behörde die ihr zustehenden Abhilfebefugnisse ausschöpfen oder – im schlimmsten Fall – ein Bußgeld verhängen. Leider lässt die DSK selbst keinen Ansatz erkennen, welches Handeln aus ihrer Sicht geboten scheint oder zu welchem Vorgehen sie den Nutzer:innen rät. Die Datenschutzbehörden vermeiden es außerdem, allzu konkret im Hinblick auf ihre eigenen Schwerpunktsetzungen und Vorgehensweisen zu werden. So teilte etwa der baden-württembergische Datenschutzbeauftragte jüngst in einem Interview mit, zunächst im öffentlichen Sektor seines Bundeslandes für Rechtsklarheit sorgen zu wollen. Gleichzeitig betonte er, sich im Nachgang den Unternehmen widmen zu wollen. Was darunter zu verstehen ist, hat er nicht verraten. Für Unternehmen hält er insofern noch den Tipp bereit, sich frühzeitig mit dem DSK-Beschluss auseinanderzusetzen und sich über die eigene Verantwortlichkeit Klarheit zu verschaffen.

Fazit

Ob eine datenschutzkonforme Umsetzung im Einzelfall möglich ist, bleibt weiterhin eine Frage der genauen Modalitäten. Eine sachgerechte Beurteilung ist nur in Kenntnis aller Eventualitäten und mit Blick auf aktuelle Entwicklungen möglich. Bei Zweifeln oder Problemen sollte lieber frühzeitige Beratung eingeholt werden. Daneben gilt es, mögliche Beschwerdeverfahren im Blick zu behalten. Auch in der Kommunikation mit Aufsichtsbehörden können erfahrene Berater:innen konstruktive Lösungsansätze erzielen. Gerne stehen wir Ihnen bei Fragen rund um die aktuelle Situation mit Rat und Tat zur Seite.

Cloud-Service-Modelle und ihre vertragliche Einordnung

Microsoft 365, GoogleDrive, iCloud – in der Welt des Cloud-Computing genießen vor allem die Produkte der Anwendungsebene große Bekanntheit. Die Möglichkeiten bedarfsgerechter Ressourcenbereitstellung via Cloud gehen jedoch weit über die Nutzung virtueller Arbeits- und Speicherplätze hinaus. Um den virtuellen Betrieb der umsatzstarken Applikationen zu ermöglichen, muss zunächst ihr technischer Unterbau „in die Wolke“ gehoben werden. Diese virtuellen Infrastrukturressourcen und Plattformen stellen ihrerseits einsatzfähige und leistungsstarke Cloud-Dienste dar. Am Markt haben sich im Besonderen die Modelle „Infrastructure-as-a-Service“ (IaaS), „Platform-as-a-Service” (PaaS) und “Software-as-a-Service” (SaaS) durchgesetzt. Der folgende Beitrag zielt auf die Unterschiede zwischen den Lösungen und möchte diese grob im vertraglichen Spektrum verorten.

Wie unterscheiden sich die Cloud-Service-Modelle?

Die Verschiedenheit der Modelle lässt sich am besten anhand des strukturellen Aufbaus eines Cloud-Dienstes veranschaulichen. Bildlich kann man sich diesen als Stapel verschiedener Funktionsebenen vorstellen. Die jeweils untere Ebene stellt mit ihrer Schichtung eine eigenständige Cloud-Lösung dar und bildet dadurch das notwendige Fundament der darauffolgenden Schicht. Die oberste Ebene gibt den Funktionstypus der Cloud vor und bestimmt dadurch das Cloud-Service-Modell.

Das Fundament der Cloud-Services – und somit deren Grundmodell – stellt die virtuelle IT-Infrastruktur dar. Dabei handelt es sich in erster Linie um die Bereitstellung virtueller Hardwareressourcen – etwa eines virtuellen Servers. Bei der Inanspruchnahme dieses Modells – etwa zur temporären Performancesteigerung – handelt es sich um die oben angesprochene IaaS. Die nächstmögliche Stufe im Bauplan der Cloud-Services stellt die PaaS dar. Auf der virtuellen Rechnerkapazität baut hierbei ein virtuelles Betriebssystem auf und die Nutzer können zudem auf eine virtuelle Entwicklungsumgebung zugreifen. Von Interesse ist dies beispielsweise für Unternehmen, die eigene cloudbasierte Apps entwerfen und umsetzen wollen. Die letzte und oberste Cloud-Schicht beinhaltet die virtuelle Zurverfügungstellung von Anwendungssoftware. Im Rahmen der SaaS-Modelle sind die Möglichkeiten des Users im Wesentlichen auf die reine Nutzung der bereitgestellten Applikation beschränkt.

Welcher Vertragstyp bei welchem Modell?

Eine pauschale Beschreibung oder exakte Abgrenzung der Leistungspflichten im Cloud-Computing kann nicht gegeben werden. Der Grund dafür ist, dass es sich bei Cloud-Service-Verträgen zumeist ein höchst individuelles Paket mit exakt beschriebenem Leistungsinhalt handelt. Welche Qualität die Leistung haben und in welchem Umfang sie vorliegen soll, wird heute von den meisten Vertragsparteien in einem sogenannten Service-Level-Agreement (SLA) festgehalten.

Bei Cloud-Computing-Verträgen handelt es sich darüber hinaus um typengemischte Verträge.

Charakteristischerweise sind dabei die einzelnen vertraglichen Leistungspflichten je unterschiedlichen gesetzlichen Vertragsgattungen zuzuordnen. Gleichzeitig sind diese derart eng miteinander verschmolzen, dass eine sachgerechte Auftrennung nicht möglich ist. Um einen typengemischten Vertrag im Vertragstypensystem des BGB einordnen zu können, muss deshalb der parteilich gewollte Schwerpunkt bestimmt werden.

So beliebt Cloud-Computing-Modelle in der Praxis sind – Urteile zu ihrem Vertragstypus gibt es nicht. Für eine grobe Zuordnung bietet allerdings die BGH-Rechtsprechung zur Software-Überlassung bei „Application-Service-Providing“ (ASP)- Verträgen einen guten Referenzrahmen.

Bereits in den frühen 2000er-Jahren gab mit ASP die Möglichkeit, Anwendungssoftware über den Server des jeweiligen Providers abzurufen. Gegenüber dem bis dato üblichen Softwarekauf wurde damit erstmalig ein Modell zur temporären Anwendungsnutzung entwickelt. Ihren Verwendern bieten ASP-Modelle außerdem den Vorteil, die Verantwortung für die Aufrechterhaltung der Rechnerkapazitäten und Programmpflege auf den Provider auszulagern. Der Zugriff auf die Anwendungssoftware des Providers setzt bei ASP allerdings die Einrichtung einer individuellen Kommunikationsmöglichkeit zwischen dem anbietenden Server und dem anwendenden PC voraus. Dafür muss auf dem Rechner eines jeden Verwenders ein Client installiert – gewartet und gepflegt – werden.

Demgegenüber bedarf es bei Cloud-Service-Modellen keiner individuellen Backend-Installation. Die Schlüsseltechnologie stellt der Einsatz sogenannter Virtualisierungssoftware dar. Diese ermöglicht es die IT-Ressourcen des Providers – also beispielsweise die Hardware oder Anwendungssoftware – virtuell nachzubauen. Dadurch kann eine virtuelle Umgebung geschaffen werden, die zwar für ihren Betrieb auf die zugrundeliegenden Ressourcen angewiesen ist, auf die der Verwender selbst aber über (fast) jede Hardware zugreifen kann. Mittels Logins über den Webbrowser wird dem User die gewünschte Ressource virtuell zugewiesen. Der entscheidende Vorteil des Cloud-Computing gegenüber ASP-Modellen ist dementsprechend seine Massentauglichkeit.

Zentraler Vertragszweck beim ASP ist im Regelfall die Softwareüberlassung für den Zeitraum der Vertragslaufzeit. Die Kernleistung besteht somit darin, dem User den Zugriff auf die gewünschte IT-Ressource und ihre Nutzung – in dem vertraglich vereinbarten Umfang – zu gewähren. Als vertraglichen Schwerpunkt hat der BGH deshalb eine zeitlich begrenzte Gebrauchsgewährung erkannt – was inhaltlich einem Mietvertrag nach § 535 BGB entspricht.

Auch bei Cloud-Service-Modellen stellt die zeitlich begrenzte Nutzung einer bestimmen IT-Ressource den Dreh- und Angelpunkt des Parteiwillens dar.

Den Provider trifft grundsätzlich die Pflicht zur Aufrechterhaltung der virtuellen Infrastruktur durch Betrieb der notwendigen Hardware und Virtualisierungssoftware. IaaS-Verträge beinhalten im Regelfall die Einräumung einer Nutzungsmöglichkeit dieser Infrastruktur – und regeln damit deren Miete. Lediglich in Einzelfällen – etwa bei der Ausführung bestimmter Rechenleistungen – kann auch ein Dienstvertrag in Betracht kommen. Im Rahmen von PaaS- und SaaS-Verträgen stellt die Nutzung der virtuellen Plattform bzw. Anwendungsmöglichkeit den zentralen Vertragszweck dar. Der Provider muss die jeweilige Ebene derart bereitstellen, dass der User im vertraglich vereinbarten Umfang darauf zugreifen kann. Von den Fällen „unentgeltlicher“ Nutzungsmöglichkeit – der Leihe – abgesehen, handelt es sich bei ihnen deshalb ebenfalls um Mietverträge.

Fazit

Cloud-Computing-Verträge sind so vielfältig und verschieden, wie das Angebot an Cloud-Diensten selbst. Im Grundsatz handelt es sich dabei jedoch meist um Mietverträge, die eine detailliert beschriebene Nutzungsmöglichkeit der gewünschten IT-Ressource vorsehen.

Bei Verbraucherverträgen muss insofern außerdem das – schon nicht mehr ganz – neue Gewährleistungsrecht für digitale Produkte beachtet werden. Seit Anfang 2022 stellt dieses den zentralen Rahmen für Mängelrechte bei der Bereitstellung digitaler Produkte im B2C-Bereich dar.

Potenziale nutzen: Künstliche Intelligenz und Datenschutz-Folgenabschätzung

Als selbstlernendes System, das eigenständig Entscheidungen treffen und intelligentes Verhalten imitieren kann, bringt Künstliche Intelligenz (KI) (auch „AI“, von „Artificial Intelligence“) viele Innovationen in unseren Alltag. Bekannte Beispiele sind KI-gesteuerte Sprachassistenten wie Alexa oder Siri. Auch bei der Auswahl, welcher Film oder welche Serie uns auf einer Streaming-Plattform gefallen könnte, ist uns KI behilflich. Sogar erste Zulassungen für autonomes Fahren auf öffentlichen Straßen wurden bereits erteilt. KI-basierte Anwendungen sind vielfältig und scheinen in Anbetracht der KI-nutzenden Technologien grenzenlos. Vor allem auch im unternehmerischen Kontext macht sich KI schon heute bewährt. So können KI-Systeme etwa bei der Auswahl von Bewerber:innen unterstützen. In der Kund:innen-Betreuung übernehmen sie die automatisierte Erkennung und Erstbearbeitung von Kund:innen-E-Mails.

KI muss aber zunächst angelernt werden und das funktioniert in der Regel nur, wenn ihr ausreichende Mengen an Daten zugeführt werden. Weisen diese Daten einen Personenbezug auf, gilt es, die KI mit der Datenschutz-Grundverordnung (DSGVO) in Einklang zu bringen. Nutzen Unternehmen KI, müssen sie dafür sorgen, dass die personenbezogenen Daten, die innerhalb der KI verarbeitet werden, ausreichend geschützt werden. Besteht nach Art, Umfang, Umständen oder Zweck der Datenverarbeitung ein besonders hohes Risiko für die Rechte und Freiheiten von Personen, so muss gem. Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) vorgenommen werden. Die Durchführung einer solchen dient der Identifizierung von Risiken bei riskanten Verarbeitungsvorgängen. Mittels einer DSFA können Unternehmen den gesamten Entwicklungsprozess einer KI-Anwendung datenschutzkonform und sicher gestalten und begleiten. Wie eine DSFA bei KI-Systemen effizient durchgeführt werden kann, erläutern wir Ihnen im Folgenden.

Die DSFA als Risikoanalyse

Neben den vielen positiven Aspekten, ergeben sich auch Risiken, die aus dem Einsatz von KI-Systemen resultieren können. Zum Beispiel können einzelne Entscheidungsprozesse einer KI aufgrund ihrer Komplexität undurchsichtig werden (sog. „Blackbox“). Was innerhalb der Blackbox mit den Daten geschieht, ist oft unklar und nimmt somit auch jegliche Möglichkeit bei Bedarf einzuschreiten. Außerdem können der KI zugrundeliegende Daten unvollständig, fehlerhaft, manipuliert oder mit menschlichen Vorurteilen (sog. „Bias“) belastet sein, mit der Konsequenz diskriminierender Entscheidungen. Die Risiken sind noch weitaus vielfältiger. Eine DSFA hilft, diese zu analysieren und durch entsprechende Maßnahmen zu entschärfen.

Die DSFA ist in Art. 35 DSGVO geregelt. Das datenverarbeitende Unternehmen hat unter gewissen Voraussetzungen als Verantwortlicher vorab eine Abschätzung der Risiken und Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchzuführen. Verantwortlicher ist gem. Art. 4 Nr. 7 DSGVO jede Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten zumindest mitentscheidet – also in der Regel das KI-einsetzende Unternehmen. Die DSFA ist darauf gerichtet, ob im Rahmen einer Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Insbesondere wenn die Verarbeitung unter Verwendung neuer Technologien erfolgt, kann ein voraussichtlich hohes Risiko vorliegen. Ziel der DSFA ist es, dass sich der Verantwortliche in besonders sensiblen Bereichen durch ein strukturiertes Verfahren über die möglichen Risiken und Folgen der Datenverarbeitungsvorgänge bewusst wird und besonders riskante Verarbeitungen unterlässt bzw. der Datenschutzaufsichtsbehörde vorlegt. Unternehmen können mit der DSFA also prüfen, ob bzw. inwiefern eine KI-Anwendung als datenschutzkonform eingesetzt werden kann.

Vorabprüfung einer DSFA

Zunächst muss überprüft werden, ob eine DSFA überhaupt durchgeführt werden muss. In Art. 35 Abs. 3 DSGVO finden sich einige Regelbeispiele, wonach eine DSFA immer notwendig ist. Beim Profiling (vgl. Art. 4 Nr. 4 DSGVO), das häufig mit KI-basierten Tools ausgeführt wird, ist nach Art. 35 Abs. 3 lit. a DSGVO eine DSFA notwendig. Für den Fall, dass eine KI-basierte Anwendung nicht unter eines der Regelbeispiele fällt, bleibt die von der Datenschutzkonferenz (gemeinsames Gremium der deutschen Datenschutzaufsichtsbehörden) gem. Art. 35 Abs. 4 Satz 1 DSGVO veröffentlichte Positivliste zu berücksichtigen. Darin sind Verarbeitungstätigkeiten aufgeführt, für die eine DSFA immer durchzuführen sind. In Nummer 11 heißt es, dass eine DSFA dann vorzunehmen ist, wenn KI eingesetzt wird, um personenbezogene Daten zu verarbeiten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte von ihnen zu bewerten, beispielsweise also, wenn ein Unternehmen KI einsetzt, um mit Kund:innen zu interagieren. In Nummer 13 ist vorgegeben, dass eine DSFA dann erforderlich ist, wenn eine automatisierte Auswertung von Video- oder Audio-Aufnahmen zur Bewertung der Persönlichkeit von Betroffenen erfolgt, etwa die automatisierte Auswertung von Callcenter-Telefonaten.

Es kann also festgehalten werden, dass beim Einsatz von KI in vielen Fällen eine DSFA durchgeführt werden muss.

Die Durchführung einer DSFA

Die eigentliche DSFA ist in Art. 35 Abs. 7 DSGVO normiert.

1. Systematische Beschreibung der geplanten Verarbeitungsvorgänge

Sie beginnt mit einer systematischen Beschreibung aller Verarbeitungsvorgänge. Hier sollten Art, Umfang, Umstände und vor allem Zwecke der Verarbeitung erfasst werden. Gegebenenfalls können auch die vom Verantwortlichen verfolgten berechtigten Interessen berücksichtigt werden. Unter anderem sollten auch die unterschiedlichen Kategorien an Personen und an Daten, die betroffen sind, systematisch beschrieben werden. Kategorien von Personen können z.B. Beschäftigte oder Kundinnen und Kunden sein. Datenkategorien sind etwa Gesundheits-, Meta- oder Anmeldedaten. Vor dem Hintergrund der o.g. Blackbox-Problematik ist es nicht immer einfach, genaue Beschreibungen der Verarbeitungsvorgänge beim Einsatz einer KI abzugeben. Jedoch genügt es, wenn die geplanten Verarbeitungsvorgänge beschrieben werden.

2. Beurteilung aus rechtlicher Perspektive

Im Anschluss müssen die Verarbeitungsvorgänge aus rechtlicher Perspektive beurteilt werden. Dabei geht es um die Rechtsgrundlagen sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck (vgl. Art. 35 Abs. 7 lit. b DSGVO). In diesem Rahmen muss auch die Vereinbarkeit mit dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO geklärt werden. Demnach muss die Verwendung personenbezogener Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Da KI aufgrund von riesigen Datenmengen-Analysen („Big Data“) funktioniert, ist der Datenminimierungsgrundsatz häufig schwierig einzuhalten. Im Einzelnen ist oft nicht klar, welche Daten nun tatsächlich Gegenstand der Analyse waren und welche anderen Daten für die Entwicklung der KI nicht erheblich gewesen wären. Werden also Daten von einer KI verarbeitet, die für ihre Entwicklung nicht notwendig waren, wären diese Daten eigentlich nicht dem Zweck angemessen und nicht auf das notwendige Maß beschränkt. Diesem Konflikt können Unternehmen entgehen, wenn sie vorab Daten bereits anonymisieren, pseudonymisieren oder entsprechende Löschkonzepte vorsehen. Andernfalls bietet es sich an, zunächst mit einer kleinen Menge an Trainingsdaten zu beginnen und die Menge dann – falls der Trainingserfolg nicht eintritt – sukzessive zu erhöhen.

3. Die Bewertung der Risiken

Hauptbestandteil der DSFA ist dann die eigentliche Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen (vgl. Art. 35 Abs. 7 lit. c DSGVO). Dies meint die konkrete Risikoanalyse und setzt sich aus Risikobewertung anhand Eintrittswahrscheinlichkeit und Schwere, der Risikobehandlung und der Ermittlung des Restrisikos zusammen. In diesem Zusammenhang hat sich als Methode unter anderem das Standard-Datenschutzmodell (SDM) der Datenschutzkonferenz etabliert, mit dem die relevanten Datenschutzvorgaben der DSGVO in entsprechende technische und organisatorische Maßnahmen übersetzt werden können. Anhand von Gewährleistungszielen des Datenschutzrechts und der Informationssicherheit sollen die Risiken erfasst und beschrieben werden. Zu ihnen zählen unter anderem die Integrität, Vertraulichkeit und Transparenz der Daten. Dabei ist immer wieder die Blackbox-Problematik relevant. Oftmals scheint auch die nachvollziehbare Darstellung über Art, Zweck und Ausmaß der Datenverarbeitung im Rahmen der Transparenz kaum machbar. In diesem Zusammenhang ist es für Unternehmen eine große Herausforderung, die komplexen Analysevorgänge verständlich abzubilden. Darüber hinaus erschwert die Autonomie einer KI das Erreichen der Gewährleistungsziele, da bestimmte Zwecke und das Ausmaß der Datenverarbeitung nicht vom Verantwortlichen, sondern möglicherweise von der KI selbst bestimmt werden. Auch der Verlust von Daten innerhalb der KI scheint möglich, wenn sie gewisse Schlüsse aus Datensätzen zieht, sich auf dieser Grundlage fortbildet, aber nicht alle Daten vollumfänglich dafür nutzt. Ein äußerst alarmierendes Risiko ist die Diskriminierung durch eine KI. Werden fehlerhafte oder von bias-geprägte Daten zum Training einer KI verwendet, können diskriminierende Entscheidungsprozesse folgen.

Sind die Risiken bestimmt, muss daraufhin eine spezifische Bewertung der Eintrittswahrscheinlichkeit eines Schadens und einer Schadenshöhe erfolgen. Anhand dieser Ergebnisse sind dann die passenden Abhilfemaßnahmen zu bestimmen.

4. Geplante Abhilfemaßnahmen

Schließlich müssen die zur Bewältigung der Risiken vorgesehenen Abhilfemaßnahmen dargelegt werden. Dies soll auch Garantien, Sicherheitsvorkehrungen und Verfahren umfassen, durch die der Schutz personenbezogener Daten sichergestellt wird. In Betracht kommt dabei zunächst die Anonymisierung oder Pseudonymisierung der Trainingsdaten einer KI. Auch die Transport- und Inhaltsverschlüsselung oder umfassende Zugriffs- und Berechtigungskonzepte sind geeignet. KI-Entscheidungen sollten immer kontrollierbar bleiben, sodass es denkbar wäre eine Kontroll-KI zu implementieren. Ein menschlicher Kontrolleur könnte diese Funktion ebenfalls übernehmen. Zusätzlich ist auch die Dokumentation aller Vorgänge sinnvoll. Diese kann dem Verlust von Daten entgegenwirken und dient darüber hinaus der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO. Für die Identifizierung und Beurteilung von Risiken haben sich ebenfalls sog. Threat Modeling Workshops im Kontext von Technologien wie KI bewährt. Dabei werden alle Beteiligten über den gesamten Entwicklungsprozess einer Anwendung dahingehend geschult, Risiken zu erkennen und direkt zu entschärfen. Schließlich, nach der Umsetzung der Abhilfemaßnahmen, folgt eine Risikobewertung des verbleibenden Restrisikos.

Auswirkungen des Entwurfes der KI-Verordnung auf die DSFA

Auch die Europäische Union hat erkannt, dass KI viel Potenzial hat, welches unbedingt rechtssicher ausgeschöpft werden sollte. In einem Vorschlag für eine KI-Verordnung versucht die Kommission, KI als Innovation zu fördern und für den Schutz und das Vertrauen der Bevölkerung zu regulieren. Der Entwurf zielt nicht auf die Regulierung der KI als solche ab, sondern auf den möglichen Einsatz von KI-Systemen. Dabei geht es nicht um die konkrete Funktionsweise der KI und der ihr zugrundeliegenden Technologie, sondern um deren Anwendungsbereiche. Insbesondere Anbieter und Nutzer von KI-Systemen sollten sich mit den Regelungen und Pflichten aus der Verordnung auseinandersetzen. Beispielsweise greift die Verordnung verbotene Praktiken im Bereich der Künstlichen Intelligenz auf, was sehr an die Modellierung der Risiken innerhalb der DSFA anlehnt. Zu den Regelungen für Hochrisiko-KI-Systemen finden sich unter anderem Anforderungen, die diese Systeme erfüllen müssen. Dabei decken sich einige Vorgaben des Entwurfes mit den bei einer DSFA anzustellenden Gedanken, wie etwa die Verwendung diskriminierungsfreier Trainingsdatensätze oder die Resilienz und Robustheit der Systeme, was an das SDM erinnert. Darüber hinaus wird in Art. 9 des Verordnungsentwurfes die Pflicht zur Einrichtung eines Risikomanagementsystems vorgeschrieben, was innerhalb einer DSFA zum Beispiel als Abhilfemaßnahme bereits jetzt schon berücksichtigt werden kann. Die oben erwähnte Abhilfemaßnahme, einen menschlichen Kontrolleur für die Verarbeitungstätigkeiten der KI einzusetzen, schreibt der Entwurf der KI-Verordnung für den Einsatz von Hochrisiko-KI-Systemen in Art. 14 Abs. 1 KI-VO-E sogar vor. Der Entwurf gibt Unternehmen leitende Grundideen mit, die diese bei der Durchführung einer DSFA bereits jetzt mitberücksichtigen können.

Weitere Ausführungen zum Anwendungsbereich und den Pflichten des Entwurfes der KI-Verordnung finden Sie hier auf unserem Blog.

Mit der Anwendbarkeit der KI-Verordnung ist jedoch in Anbetracht der langen Umsetzungsfrist von 36 Monaten nach Inkrafttreten gem. Art. 85 Abs. 2 der Verordnung wohl kaum vor 2026 zu rechnen. Aktuell arbeiten EU-Parlament und Ministerrat ihre Kompromissvorschläge zum Verordnungsentwurf der EU-Kommission aus. Voraussichtlich Anfang 2023 werden sie dann die offiziellen Trilogverhandlungen aufnehmen.

Fazit

Künstliche Intelligenz bringt neben vielen Errungenschaften auch einige Herausforderungen mit sich. Mit einer DSFA können KI-Anwendungen dennoch über ihren gesamten Entwicklungsprozess hinweg datenschutzkonform ausgestaltet werden. Unternehmen sollten sich daher von einer umfassenden Prüfung nicht abschrecken lassen, sondern sie als Chance sehen, neue innovative Technologien zu nutzen und sich damit Wettbewerbsvorteile zu verschaffen.

Gerne sind wir Ihr Ansprechpartner für alle Fragen rund um den Datenschutz – auch wenn es um die rechtssichere Generierung oder Implementierung einer KI in Ihrem Unternehmen geht. Gemeinsam entwickeln wir mit Ihnen gerne eine zielorientierte Strategie für Ihr Unternehmen!

Datenschutzrechtliche Herausforderungen für Unternehmen im Metaverse

KI im Gesundheitswesen: mit Datenschutz zum Ziel?

Im Rahmen der Digitalisierung hat die Gesundheitsbranche auch die Vorteile von Künstlicher Intelligenz (KI) bereits für sich erkannt – und zwar zu Recht! KI kann unterstützend bei Forschung, Diagnostik und Therapie eingesetzt werden, den Klinikalltag erleichtern und auch die Krankenversicherungen bieten bereits ihren Mitgliedern KI-gesteuerte (digitale) Services über Apps an. KI-basierte Medizinprodukte erobern inzwischen sogar das Metaverse, ein Raum, in dem die digitale mit der realen Welt verschmilzt. Das Metaverse zeichnet sich durch Technologien der erweiterten Realität aus. Patienten wird mittels VR- und AR-Headsets global Zugang zu medizinischen Dienstleistungen in der Medical Extended Reality (MXR) verschafft. Hierdurch sollen u.a. therapeutische und medizinische Lösungen für die Patienten individueller gestaltet werden. Bereits diese wenigen Beispiele verdeutlichen plastisch, dass sich KI als Basistechnologie durchsetzen und die Medizin revolutionieren wird.

Gleichwohl fremdeln viele Führungskräfte, auch im Gesundheitsbereich, mit KI. Dies mag auf die große Komplexität des Themas zurückzuführen sein. Der nachfolgende Beitrag gibt eine Übersicht über die aktuellen und zukünftig relevant werdenden rechtlichen Herausforderungen für KI im Gesundheitsbereich. Hierdurch sollen die rechtliche Komplexität reduziert und Berührungsängste mit KI genommen werden.

Sowohl bei der Entwicklung als auch beim Einsatz von KI sind potentiell große Mengen an personenbezogenen Daten erforderlich, deren Verarbeitung sich nach der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) richtet. Die Umsetzung dieser gesetzlichen Regularien wird bei der Anwendung künstlicher Intelligenz im Gesundheitsbereich dadurch erschwert, dass an automatisierte Datenverarbeitungen von Gesundheitsdaten zudem erhöhte Anforderungen gestellt werden. Daher gilt es hier besondere Lösungen für besondere Herausforderungen zu finden – was auch gelingt!

Der Anwendungsbereich von KI im Gesundheitswesen

Der Anwendungsbereich von KI im Gesundheitswesen lässt sich kurz zusammenfassen: überall! Natürlich ist es ethisch fragwürdig, den Menschen in komplexen Entscheidungen, die das körperliche und seelische Wohlbefinden betreffen, außen vorzulassen, damit stattdessen Algorithmen die Arbeit komplett übernehmen. Aber diese Sichtweise auf KI entspricht auch nicht der Realität! KI wird hauptsächlich nur unterstützend z.B. in Form von Assistenzsystemen eingesetzt. Die Letztentscheidungen über medizinische Fragen können immer noch Menschen (wie z.B. Ärzt:innen) treffen.

So ist es z.B. möglich, dank Deep Learning der Ärztin oder dem Arzt bei der Analyse von Röntgenbildern zu helfen. Auch der Tumorforschung kann KI bereits heute zum Fortschritt verhelfen, indem neuronale Netze komplexe Tumorstrukturen erkennen. Algorithmen können anhand von Auffälligkeiten und Mustern in der Aussprache eines Menschen Anzeichen von Depressionen erkennen oder anhand der Tonaufnahmen von Hustengeräuschen unterschiedliche Lungenkrankheiten differenzieren. Seit geraumer Zeit helfen Operationsroboter, mit automatisierten Kamera- und Messinstrumenten die Präzision und Sicherheit der Bewegungen eines Operateurs zu verbessern. Derartige Systeme ermöglichen auch neue telemedizinische Prozesse, bei denen behandelnde Personen und Patient sich nicht mehr physisch an einem Ort befinden müssen.

Neben ethischen Gesichtspunkten stehen auch oft die hohen finanziellen Investitionen im Raum, die Krankenhausleitungen davon abhalten, in neue Techniken zu investieren. Allerdings zeigt eine neue Studie, dass durch KI Kosten eingespart werden können. So können beispielsweise in dem für das Gesundheitswesen teuren Bereich der Brustkrebsvorsorge Diagnosen durch KI schneller getroffen werden als bisher, was zu einer enormen Kostenersparnis führt. Dieses Beispiel lässt sich auch auf andere kostspielige Bereiche übertragen.

KI kann nicht nur bei der Behandlung und Diagnose helfen. Die Mitarbeiter:innen von Krankenhäusern leiden heutzutage vor allem unter einem immer höheren Verwaltungsaufwand, der ihnen wertvolle Arbeitszeit für die Patient:innenversorgung wegnimmt. Routineabläufe können an KI-gesteuerte Software abgegeben werden. Hier können Programme helfen, die Arbeitspläne erstellen oder andere organisatorische Aufgaben erfüllen. Ebenso können Krankenakten digital angelegt und von einer Software auf Hinweise untersucht werden, welche auf Erkrankungen hinweist. Sprachassistenzsoftware in Krankenzimmern kann Patient:innen im Krankenhausalltag helfen. So lassen sich z.B. die Rollläden herunterfahren. Dadurch wird dem Pflegepersonal Arbeit abgenommen.

Die Kernfrage: Die Vereinbarkeit von KI und Datenschutz im Gesundheitswesen

Wie bereits ausgeführt, ist KI nur mithilfe von Big Data möglich – und darunter fallen auch personenbezogene Daten. Auf Basis der gesetzlichen Regularien, zu denen nicht nur die DSGVO und das BDSG, sondern auch die Landesdatenschutzgesetze, Landeskrankenhausgesetze, Sozialgesetzbücher und das Gendiagnostikgesetz fallen können, ergeben sich die nachfolgenden Lösungsansätze, die aufzeigen, wie Datenschutz im Gesundheitswesen und KI in Einklang gebracht werden können.

Insbesondere schreibt die DSGVO vor, dass technische und organisatorische Maßnahmen (TOM) ergriffen werden müssen, um die datenschutzrechtlichen Vorgaben umzusetzen und Datensicherheit zu gewährleisten. Ihre Rechtsberater:innen können mit Ihnen diese Maßnahmen entwickeln und sie in eine geeignete innovations- und KI-freundliche Datenstrategie einbinden, die die folgenden Kernpunkte umfassen wird.

Künstliche Intelligenz und Gesundheitsdaten: die passende Rechtsgrundlage finden!

DSGVO und BDSG regeln die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten. Der Begriff des „Verarbeitens“ ist sehr weit. Darunter fallen u.a. das Erheben, Erfassen, Ordnen und Speichern von personenbezogenen Daten. Die Verarbeitung personenbezogener Daten ist dann erlaubt, wenn es auf Basis einer Rechtsgrundlage geschieht. Dies ist z.B. der Fall, wenn eine Einwilligung zur Verarbeitung personenbezogener Daten eingeholt wurde oder wenn ein anderes Gesetz es erlaubt.

Besondere Vorschriften für das Gesundheitswesen sind jedoch auch in der DSGVO selbst geregelt. Wird im Gesundheitsbereich KI angewandt, werden in vielen Fällen personenbezogene Gesundheitsdaten benötigt. Insbesondere bei der Entwicklung von KI muss letztere mit großen Datenmengen im Rahmen des Deep Learnings trainiert werden.

Gesundheitsdaten sind als personenbezogene Daten zu verstehen, die sich – ggf. auch nur mittelbar – auf die körperliche oder geistige Gesundheit einer Person (einer Person in Behandlung) beziehen, einschließlich der Erbringung von Gesundheitsdienstleistungen, und aus denen Informationen über deren Gesundheitszustand hervorgehen. Als sog. besondere Kategorien personenbezogener Daten gelten für Gesundheitsdaten besonders strenge datenschutzrechtliche Vorgaben.

Wesentlich ist, dass im Rahmen von KI teilweise automatisierte Entscheidungsfindungen zur Anwendung kommen, d.h. eine Person wird einer Entscheidung unterworfen, die ausschließlich auf einer automatisierten Datenverarbeitung beruht. Dies könnte z.B. bei einer App der Fall sein, die den Gesundheitszustand misst und sich bei Erreichen von bestimmten Werten automatisch dem jeweiligen Versicherungstarif anpasst. Entscheidungen mit derartigen, u.U. nachteiligen Auswirkungen werden in Art. 22 DSGVO noch gesonderten Anforderungen unterworfen. In Kombination mit den ohnehin schon als besonders schützenswert angesehenen Gesundheitsdaten ergibt sich bei KI im Gesundheitswesen dadurch eine sensible Kombination. Bei der Verarbeitung von Gesundheitsdaten im Rahmen automatisierter Entscheidungen ist daher vorgeschrieben, dass beide Aspekte nur auf Grundlage einer ausdrücklichen Einwilligung oder aufgrund einer Rechtsvorschrift aus Gründen eines erheblichen öffentlichen Interesses zulässig umgesetzt werden können. In der Praxis wird jedoch nur die Einwilligung relevant sein.

Hinsichtlich Einwilligungen bereitet beim Einsatz von KI-Systemen im Gesundheitswesen insbesondere das Merkmal der „Informiertheit der Einwilligung“ Schwierigkeiten. Mit dem Einsatz von KI-Systemen geht immer auch ein gewisses Maß an Unvorhersehbarkeit, zumindest aber an (technischer) Komplexität einher, was die Erklärbarkeit der Vorgänge und eingesetzten Logik erschwert. Eine allgemeinverständliche, leichte Vermittlung an betroffene Personen – die ggf. unter dem unmittelbaren Eindruck einer Diagnose oder Krankheitssymptomen stehen und eine Einwilligung abgeben – entpuppt sich daher als besondere Herausforderung. Diese Problematik wird regelmäßig unter dem Stichwort „Blackbox“ konnotiert und erschwert neben der Erfüllung der gesetzlichen Pflichtinformationen über Art, Zweck und Ausmaß der Datenverarbeitung u.a. auch die allgemeine Einhaltung des Transparenzgrundsatzes aus der DSGVO. Mögliche Lösungsansätze finden sich z.B. in sog. Blackbox-Tests, bei denen mittels synthetisch erzeugter Testdaten statistische Aussagen über den Einfluss bestimmter Eingabemerkmale gewonnen werden können. Auch die sog. „Counterfactual Explanation“ kann hier weiterhelfen: Der Ansatz versucht die maßgeblichen entscheidungsbegründenden Kriterien für einen Output der KI zu identifizieren und so aufzuzeigen, welche Aspekte aus der Sphäre der betroffenen Person bei geringfügigen Änderungen wahrscheinlich zu einem anderen Ergebnis geführt hätten.

Auch der Widerruf einer Einwilligung zur Verarbeitung der personenbezogenen Gesundheitsdaten kann problematisch sein, da eine gewisse Fortwirkung des Gehaltes der Daten in einer sich stets weiterentwickelnden KI nie völlig ausgeschlossen werden kann. Die KI als selbstlernendes System funktioniert gerade infolge verschiedener Rückschlüsse auf bereits Gelerntes, welches jedoch durch den Widerruf unzulässig werden würde.

Es empfiehlt sich daher aufgrund der Kombination aus KI und Gesundheitsdatenverarbeitung immer möglichst Anonymisierungskonzepte zu implementieren. Darin wird festgelegt, ob und welche Daten ggf. nur anonym erhoben und verwendet werden. Auf anonyme Daten finden DSGVO und BDSG keine Anwendung, mit der Folge, dass die Daten ohne Einschränkung der soeben genannten Voraussetzungen verarbeitet werden können, was eine erhebliche Erleichterung insbesondere bei der Generierung der KI darstellt, wenn anonyme Trainingsdaten benutzt werden. Anonyme Daten liegen vor, wenn die Informationen die Identifizierung einer Person für jeden unmöglich machen. Die Verwendung anonymer Daten kann im Gesundheitsbereich oft schwierig sein, insbesondere in Anbetracht der Verwendung von Daten aus der Krankenhistorie, da sie sehr individuell sind. In anderen Bereichen ist die Verwendung anonymer Daten jedoch denkbar. Alternativ können auch geeignete synthetische Daten einen Ausweg aus den Datenschutz-Herausforderungen bei der KI-Entwicklung bieten.

Die Datenschutz-Compliance wird zukünftig durch den sog. Europäischen Raum für Gesundheitsdaten (European Health Data Space – EHDS) erleichtert. Am 3.5.2022 wurde der finale Entwurf für den Verordnungsvorschlag der Europäischen Kommission zum Gesundheitsdatenraum veröffentlicht (EHDS-VO-E). Durch den EHDS sollen medizinische Innovation gefördert und der Umgang mit und die Verarbeitung von personenbezogenen Gesundheitsdaten vereinfacht werden. Er soll insbesondere die Möglichkeit bieten, anonymisierte Daten aus dem EHDS herunterzuladen werden, um damit KI-Anwendungen im Gesundheitswesen zu trainieren.

KI und der Umgang mit Betroffenenrechten

In einer innovations- und KI-freundlichen Datenstrategie können des Weiteren Lösungswege und Anleitungen für den Umgang mit den Betroffenenrechten aus DSGVO und BDSG entwickelt werden. Diese können KI-Anwender:innen, wenn sie personenbezogene Daten bzw. Gesundheitsdaten verwenden, vor einen erheblichen Arbeitsaufwand stellen, wenn sie sachgerechtes Konzept entwickelt haben. Die Pseudonymisierung von Daten als technische Maßnahme sollte hier unbedingt in Betracht gezogen werden.

Werden Daten nur pseudonymisiert gespeichert, reduziert dies zunächst in erheblichem Maße den potenziellen Schadenseinschlag, der sich aus einer ungewollten Offenlegung oder einem DataLeak dieser Daten ergeben könnte: Ohne den Zuordnungsschlüssel wäre es einem Angreifer nicht möglich, die hinter den Pseudonymen stehenden Personen zu identifizieren.

In bestimmten Konstellationen kann der Einsatz von Pseudonymisierung der Daten zudem den Umgang mit Betroffenenanfragen vereinfachen: Grundsätzlich wären Daten auf Anfrage zu beauskunften oder ggf. auch zu löschen. Werden Daten jedoch pseudonymisiert zum Training verwendet und wird bei der Pseudonymisierung die Identifikation einer einzelnen Person derart verhindert, dass der Verantwortliche im Fall einer Anfrage die pseudonymisierten Datensätze im Trainingsdatenset nicht mehr auffinden kann, kann gem. Art. 11 Abs. 2 DSGVO eine Einschränkung der Betroffenenrechte in Betracht kommen. Erst wenn die betroffene Person selbst weitere Informationen zur Identifikation nennen kann, wären die Betroffenenrechte umzusetzen.

Auftragsverarbeitung und KI-Systeme

Soweit kein eigenes KI-System zum Einsatz kommen soll, kann es sachgerecht sein, ein System eines externen Dienstleisters zu verwenden. Die Wahl des passenden Dienstleisters sollte aufgrund verschiedener Aspekte getroffen werden. Insbesondere sollte Wert daraufgelegt werden, ob er geeignete technische und organisatorische Maßnahmen (TOM) gewährleisten kann. Er sollte daher unter anderem ein Datenschutzkonzept aufweisen, das entsprechende TOM zur Sicherheit der Datenverarbeitung einschließt. Sodann muss ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden, wofür die DSGVO einen Mindestkatalog an Verpflichtungen normiert, die vertraglich geregelt sein müssen. Im Gesundheitswesen treten häufig Regelungen im Hinblick auf die Wahrung des Berufsgeheimnisses und der ärztlichen Schweigepflicht hinzu. Zwar gibt es für das Gesundheitswesen darüber hinaus eine Reihe von Übermittlungsbefugnissen, die in § 197a Abs. 3b SGB V niedergelegt sind. Jedoch sind diese im Rahmen einer Auftragsverarbeitung nicht maßgeblich, weil es sich nicht um eine Übermittlung in diesem Sinne handelt. Die KI-einsetzende Stelle bleibt weiterhin Verantwortlicher nach der DSGVO. Beim Einsatz eines externen Dienstleisters im Rahmen der Entwicklung von KI-Systemen sollte immer darauf geachtet werden, ob der Dienstleister sich eigene Nutzungsrechte an Output oder Erkenntnissen sicher möchte.

Die KI-VO

Die EU-Kommission hat am 21. April 2021 einen Vorschlag für eine Verordnung zur Festlegung harmonisierter Vorschriften für KI vorgelegt (KI-VO-E). Dieser verfolgt einen horizontalen Ansatz: Die Verordnung soll damit produktartübergreifend für alle Produkte, die unter den Begriff des KI-Systems fallen, Platz greifen. Damit wird die KI-VO auch auf KI-basierte Medizin-Software-Systeme Anwendung finden.

Die EU-Gesetzgebungsorgane bereiten derzeit den Trilog für die KI-VO vor. Mit einem Inkrafttreten ist nicht vor dem Jahr 2024 zu rechnen, mit der Anwendbarkeit nicht vor 2026. Neben der Schaffung eines die Werte der EU wahrenden, harmonisierten Rechtsrahmens sollen Entwicklung und Nutzung von KI und das Vertrauen in KI-basierte Systeme gefördert werden. Dadurch soll Europa als globales Zentrum für Exzellenz in der KI gestärkt werden, um nicht (noch mehr) gegenüber China und den USA ins Hintertreffen zu geraten.

Die KI-VO wird das Inverkehrbringen, die Inbetriebnahme und die Nutzung von KI-Systemen regeln. Die Regulierung tritt neben die DSGVO und die Medical Device Regulation (MDR) und wird zudem um einen AI Liability Act (KI-Haftungsrichtlinie) ergänzt werden, für den ebenfalls ein erster Entwurf vorliegt (COM(2022) 496 final).

Der AI Liability Act soll die Lücke des fehlenden Individualschutzes der KI-VO füllen und Personen, die nachteilig von einer KI betroffen werden, ein haftungsrechtliches Instrument an die Hand geben. Dabei stipuliert das neue Haftungsregime eine Kausalitätsvermutung zugunsten der Betroffenen. Wird etwa der von einer KI-Bewerbersoftware abgelehnte Bewerber aufgrund eines diskriminierenden Patterns abgelehnt, so wird der Geschädigte davon befreit, den Ursachenzusammenhang zwischen Schaden und Einsatz bzw. Output der KI darlegen zu müssen – der Anbieter muss folglich den Entlastungsbeweis erbringen, dass die KI compliance-adäquat konzipiert wurde. Dies wird nur anhand lückenloser Dokumentation möglich sein.

Es stellt sich für Unternehmen der Gesundheitsbranche, die entweder selbst Entwicklungen im KI-Bereich durchführen oder konzipieren, die Frage, wie die vielen Verordnungen miteinander verknüpft sind, sich bedingen und ergänzen – und wie sie in der Compliance sachgerecht umgesetzt werden können.

Die KI-VO verfolgt – ähnlich wie schon die DSGVO und die MDR – einen risikobasierten Ansatz. Das heißt, dass je nach Gefährdungspotenzial des KI-Systems entsprechende Anforderungen an Nutzung und Entwicklung der Systeme gestellt werden. Dabei wird zwischen vier unterschiedlichen Risikogruppen unterschieden. In KI mit:

inakzeptablem Risiko,
hohem Risiko,
geringem Risiko und
minimalem Risiko.

KI-Systeme mit einem unannehmbaren Risiko betreffen KI-Anwendungen, die eine klare Bedrohung der Grundrechte darstellen. Diese sind deshalb in Gänze verboten. In der Unternehmenspraxis spielen sie derzeit keine oder eine nur stark untergeordnete Rolle.

Was ein KI-System als Hochrisiko-KI-System qualifiziert, regelt Art. 6 KI-VO: Ein Hochrisiko-KI-System liegt vor, wenn das KI-System als Sicherheitskomponente eines Produktes nach Anhang II KI-VO anzusehen ist (Art. 6 Abs. 1 lit. a KI-VO) oder es handelt sich um eine KI-Anwendung, welche in einem der in Anhang III zur KI-VO genannten Sektorbeispiele zuzuordnen ist (Artikel 6 Abs. 2 KI-VO). Dazu gehören bspw. KI-Systeme, die der biometrischen Identifizierung und Kategorisierung natürlicher Personen dienen, beispielsweise Systeme, die Gesichter erkennen und Personen zuordnen sollen (Anhang III Nr. 1 KI-VO), die über den Zugang zu Leistungen entscheiden (denkbar sind bspw. KI-Systeme, die Empfehlungen über bestimmte Vorsorgemaßnahmen im Gesundheitsbereich ausgeben) oder KI-Anwendungen die Auswahlentscheidungen im Rahmen von Bewerbungsprozessen automatisiert unterstützen oder über Beförderungen (mit-)entscheiden sollen (Anhang III Nr. 4 KI-VO).

KI-Anwendungen im Gesundheitsbereich sind in der KI-VO jedoch derzeit noch nicht generell als KI-Systeme mit inakzeptablem Risiko oder als Hochrisiko-KI-System eingestuft. In der gegenwärtigen Diskussion über die Kompromissvorschläge zur KI-VO zwischen den Gesetzgebungsorganen wird aber überlegt KI-Systeme aus dem medizinischen Bereich als Hochrisikosysteme in die Liste der Sektorenbeispiele aufzunehmen, da ihr Einsatz potentiell mit Gesundheitsrisiken einhergehen könnte. Zu beachten ist ferner, dass die Liste von Hochrisiko-KI-Systemen nicht abschließend ist. So können nach Art. 7 KI-VO weitere Anwendungsfälle in den Anhang III zur KI-VO aufgenommen und damit als Hochrisiko-KI-System klassifiziert werden.

Fallen KI-Systeme aus dem Health-Bereich in die Hochrisiko-Kategorie, so müssen Anbieter und Hersteller umfassende Pflichten beachten. Diese reichen von der Implementierung eines Qualitäts- und Risikomanagementsystems, einer effizienten Data Governance, der Erstellung einer minutiösen technischen Dokumentation bis hin zur Durchführung einer Konformitätsbewertung bzw. der Sicherstellung und Überwachung der Erfüllung dieser Pflichten.

Zur dritten Risiko-Kategorie, der „KI mit geringem Risiko“, gehören solche Systeme, die mit Menschen interagieren, so etwa Chatbots. Hier schreibt die KI-VO vor allem Transparenzverpflichtungen vor.

KI mit minimalem Risiko wird von dem Verordnungsentwurf nicht erfasst. Ihre Verwendung und Entwicklung wird durch die KI-VO daher nicht eingeschränkt werden.

KI-basierte Produkte, die den Begriff des „Medizinproduktes“ i.S.d. Art. 2 Nr. 1 MDR erfüllen, müssen sich in der EU aktuell vor allem an der MDR messen lassen. In diese Produktkategorie fallen beispielsweise regelmäßig Software als Diagnose-Entscheidungshilfe für ärztliches Personal, Gesundheits-Apps, etwa für die Überwachung bestimmter Vitalfunktionen und weitere Software-Systeme im medizinischen Bereich. KI-basierte Medizinprodukte müssen also die Anforderungen der MDR erfüllen. Da zukünftig beide Verordnungen parallel nebeneinanderstehen und unabhängig voneinander Geltung beanspruchen werden, ist es bereits jetzt essenziell, zwischen Medizinprodukt und Nicht-Medizinprodukt möglichst zu Beginn der Entwicklung zu differenzieren, um im späteren Verlauf keine folgenschweren Überraschungen im Hinblick auf den anwendbaren Rechtsrahmen zu erleben. Fehler können zu erheblichen Bußgeldern führen. Werden Pflichten und Vorgaben der KI-VO nicht erfüllt, drohen Sanktionen i.H.v. bis zu EUR 30 Mio. oder 6 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem welcher Betrag höher ist. Die Höhe der angedrohten Sanktionen geht somit über die in der DSGVO vorgesehenen Bußgelder hinaus.

Fazit: KI im Gesundheitswesen – Compliance-Systeme frühzeitig smart erweitern!

KI-Anwendungen haben im Gesundheitsbereich eine große Bedeutung erlangt, die zukünftig stark wachsen wird. Die Verarbeitung sensibler Gesundheitsdaten mit KI-Systemen birgt gleichwohl große Risiken für die Rechte der von der Verarbeitung betroffenen Personen. Deshalb sind die datenschutzrechtlichen Anforderungen für den Einsatz solcher KI-Anwendungen besonders hoch, sodass dieser in der Praxis zumeist nur auf Grundlage einer entsprechenden Einwilligung der betroffenen Personen erfolgen kann. Wenn personenbezogene Daten verarbeitet werden sollen, ist es alternativlos, mit datenschutzrechtlicher Expertise die gesamte KI-Lösung strategisch durchzuplanen.

Die KI-VO hält für den Einsatz und die Entwicklung von KI-Systemen in der Gesundheitsbranche weitere Compliance-Pflichten bereit. Eine zusätzliche Komplexität ergibt sich, sobald die von der Medizinbranche eingesetzten KI-Systeme gleichzeitig als Medizinprodukte klassifiziert werden. Der europäische Gesetzgeber sollte den Wechselwirkungen der unterschiedlichen Regulierungen noch mehr Beachtung schenken.

Obwohl sich die KI-VO noch in der Entwurfsphase befindet, lohnt sich bereits jetzt eine sorgfältige Anpassung der internen Compliance-Strukturen. So kann verhindert werden, dass für gegenwärtig schon in der Entwicklung befindliche KI-Anwendungen zum späteren Zeitpunkt aufwendige Nach-Dokumentationen erfolgen müssen. Dadurch wird auch das Risiko hoher Bußgelder gesenkt.

Die Umsetzung der KI-VO erfordert ein interdisziplinäres Team. Juristische Fachexpertise im Bereich des Technologierechts ist unentbehrlich.

Rechtliche Rahmenbedingungen

Angemessenheitsbeschluss

Newsletter

Standardvertragsklauseln und Verbindliche Interne Datenschutzvorschriften

Das könnte Sie auch interessieren:

Ausnahmen

Die ärztliche Schweigepflicht – eine zusätzliche Hürde

Fazit

Für wen gilt der Digital Services Act?

Haftung für illegale Inhalte

Newsletter

Neue Sorgfaltspflichten für Hosting-Anbieter:innen

Weitere Pflichten nach Art und Größe des Dienstes

Das könnte Sie auch interessieren:

Wer setzt den Digital Services Act durch?

Was ändert sich durch den Digital Services Act?

Ausblick und Fazit

Grundsatz: Keine Werbung ohne ausdrückliche Einwilligung

Ausnahme: Bestandskundenwerbung per E-Mail

Dafür müssen folgende Voraussetzungen nebeneinander vorliegen:

Newsletter

Im Einzelnen:

Das könnte Sie auch interessieren:

Was gilt es in Sachen DSGVO zu beachten?

Mit welchen Konsequenzen müssen Unternehmen bei Verstößen rechnen?

Empfehlungen für die Praxis

Zusatz: Feedbackanfragen als zulässige Bestandskund:innenwerbung?

Informieren Sie sich hier für alle News und Updates rund um die geplante KI-Verordnung.

Newsletter

Worüber hat das Gericht entschieden?

Newsletter

Wogegen richtete sich die Klage?

Das könnte Sie auch interessieren:

Wie hat das Gericht entschieden?

Welche Folgen hat die Entscheidung für die Praxis?

Was ChatGPT bereits heute kann – und was noch nicht

Newsletter

Wie sind Chatbots konzipiert?

Das könnte Sie auch interessieren:

ChatGPT und die geplante KI-VO

ChatGPT als General Purpose AI?

Zusammenfassung und Fazit

Was ist eine DSGVO-Verwarnung?

Mehr zum Thema:

Wie kann es zu einer DSGVO-Verwarnung kommen?

Welche Konsequenzen hat eine DSGVO-Verwarnung durch die Datenschutzbehörde?

Newsletter

Wie kann gegen eine DSGVO-Verwarnung vorgegangen werden?

Wird bei DSGVO-Verwarnungen der Datenschutzbehörden rechtliche Unterstützung benötigt?

Hintergrund

Newsletter

Ergebnis des ersten Vorabentscheidungsersuchens

Das könnte Sie auch interessieren:

Fazit

Welche Punkte werden durch die DSK gerügt?

Eigene Verantwortlichkeit seitens Microsofts?

Newsletter

Unzureichende Konkretisierungen in den Auftragsverarbeitungsverträgen (AVV)

Datenübermittlung in Drittstaaten

Mehr zum Thema:

Welche Auswirkungen sind infolge der DSK-Erklärung zu erwarten?

Fazit

Wie unterscheiden sich die Cloud-Service-Modelle?

Das könnte Sie auch interessieren:

Welcher Vertragstyp bei welchem Modell?

Newsletter

Fazit

Die DSFA als Risikoanalyse

Vorabprüfung einer DSFA

Das könnte Sie auch interessieren:

Die Durchführung einer DSFA

Newsletter

Auswirkungen des Entwurfes der KI-Verordnung auf die DSFA

Fazit

Der Anwendungsbereich von KI im Gesundheitswesen

Newsletter

Die Kernfrage: Die Vereinbarkeit von KI und Datenschutz im Gesundheitswesen

Künstliche Intelligenz und Gesundheitsdaten: die passende Rechtsgrundlage finden!

KI und der Umgang mit Betroffenenrechten

Auftragsverarbeitung und KI-Systeme