GRC PERSPEKTIVE: DATENSCHUTZ- & COMPLIANCE-NEWSLETTER – APRIL 2026
WAS PASSIERT IN DER TÜRKEI?
Urteil des Verfassungsgerichts: Regelung zu Bekanntmachungen von Namensänderungen für nichtig erklärt
Mit dem am 1. April 2026 veröffentlichten Urteil des Verfassungsgerichts („AYM“) hat das AYM die in Artikel 27 des türkischen Zivilgesetzbuchs Nr. 4721 enthaltene Regelung, wonach gerichtliche Entscheidungen über Namensänderungen auf dem Internetportal der Presseanzeigenbehörde veröffentlicht werden müssen, für unvereinbar mit dem Recht auf Schutz personenbezogener Daten befunden und aufgehoben. Gemäß der aufgehobenen Regelung wurden bei der Veröffentlichung von Gerichtsentscheidungen über Namensänderungen personenbezogene Daten wie der Wohnort der Person, das Geburtsdatum, die Namen der Eltern sowie der alte und neue Vor- und Nachname öffentlich zugänglich gemacht.
Das Gericht hat eindeutig festgestellt, dass die betreffende Praxis einen Eingriff in das Recht auf den Schutz personenbezogener Daten darstellt. In diesem Zusammenhang wurde festgestellt, dass die Veröffentlichung personenbezogener Daten, die dadurch für jedermann zugänglich werden, in direktem Zusammenhang mit dem Recht der betroffenen Personen auf Achtung ihres Privatlebens steht. In der Entscheidung des Verfassungsgerichts wurde zwar anerkannt, dass der Zweck der Regelung darin bestand, Dritte zu informieren, die von der Namensänderung betroffen sein könnten; es wurde jedoch betont, dass die zur Erreichung dieses Zwecks gewählte Methode nicht dem Grundsatz der Verhältnismäßigkeit entsprach. Tatsächlich stellte das Gericht fest, dass die Namensänderung bereits mit ihrer Eintragung in das Melderegister rechtliche Wirkungen entfaltet und es möglich ist, Dritte auf andere Weise über diese Änderung zu informieren.
Darüber hinaus wurde festgestellt, dass das Fehlen einer gesetzlichen Begrenzung der Dauer der Veröffentlichung der Bekanntmachungen dazu führen könnte, dass personenbezogene Daten auf unbestimmte Zeit zugänglich bleiben. Das Gericht kam zu der Einschätzung, dass diese Situation schwerwiegende Folgen für die Interessen der betroffenen Personen haben könne und nicht mit den Grundsätzen der Datenminimierung und der zeitlich begrenzten Verarbeitung vereinbar sei.
Im Ergebnis kam das Verfassungsgericht zu der Auffassung, dass der Eingriff in das Recht auf Schutz personenbezogener Daten nicht den Erfordernissen einer demokratischen Gesellschaft entspricht und nicht verhältnismäßig ist, und hob die betreffende Regelung auf.
Diese Entscheidung des Verfassungsgerichts macht deutlich, dass das Recht auf Schutz personenbezogener Daten nicht nur auf Datenverarbeitungsprozesse beschränkt ist, sondern auch in Bezug auf öffentlich zugängliche Informationsmechanismen wie Bekanntmachungen und Ankündigungen unmittelbar anzuwenden ist.
Das Urteil betont insbesondere, dass es nicht ausreicht, wenn Anwendungen, die auf der öffentlichen Weitergabe personenbezogener Daten an breite Kreise beruhen, lediglich eine rechtliche Grundlage haben; sie müssen auch im Hinblick auf die Grundsätze der Notwendigkeit und Verhältnismäßigkeit gesondert geprüft werden.
Gleichzeitig wird auf das Risiko hingewiesen, dass in digitalen Umgebungen veröffentlichte Daten auf unbestimmte Zeit zugänglich bleiben, wodurch die Bedeutung der Grundsätze der Datenminimierung und der zeitlich begrenzten Verarbeitung erneut unterstrichen wird. In diesem Zusammenhang wird die Auffassung vertreten, dass die für die Datenverarbeitung Verantwortlichen anstelle von öffentlich zugänglichen Bekanntmachungsmethoden Informationsmethoden mit eingeschränktem Zugang und zweckgebundenem Charakter bevorzugen sollten.
Vom türkischen Parlament verabschiedeter Gesetzentwurf: Neue Verpflichtungen für soziale Medien, Identitätsprüfung und Datenverarbeitungsprozesse
Der vom türkischen Parlament verabschiedete Gesetzentwurf, der Änderungen am Sozialdienstgesetz und einigen anderen Gesetzen vorsieht, enthält wichtige Regelungen zu Datenverarbeitungsprozessen für Social-Media-Plattformen und digitale Dienstleister.
Im Rahmen des Entwurfs wird den Anbietern sozialer Netzwerke die Verpflichtung auferlegt, Nutzern unter 15 Jahren den Zugang zu den Plattformen zu verwehren; zur Erfüllung dieser Verpflichtung ist die Einrichtung von Altersüberprüfungsmechanismen vorgesehen. Es wird erwogen, dass dieser Überprüfungsprozess über ein System erfolgt, das auf der e-Government-Infrastruktur basiert, und dass die Identitätsdaten der Nutzer mit ihren Social-Media-Konten verknüpft werden.
Darüber hinaus wird für Plattformen, deren tägliche Nutzerzahlen ein bestimmtes Niveau überschreiten, die Verpflichtung zur proaktiven Inhaltsüberwachung mittels künstlicher Intelligenz und automatisierter Systeme eingeführt, um das erneute Hochladen von Inhalten zu verhindern, für die zuvor eine Entscheidung zur Entfernung oder Sperrung ergangen ist.
Der Vorschlag sieht zudem für ausländische Spieleanbieter Verpflichtungen wie die Unterbringung eines Vertreters in der Türkei, Altersbeschränkungen und die Einrichtung von Mechanismen zur elterlichen Kontrolle vor; in diesem Zusammenhang wird der Behörde für Informationstechnologien und Kommunikation die Möglichkeit eingeräumt, Informationen über Datenverarbeitungsprozesse und Algorithmen anzufordern. Bei Nichteinhaltung der durch die Regelung eingeführten Verpflichtungen können gegen die Plattformen Verwaltungsstrafen, Beschränkungen der Werbeeinnahmen und Sanktionen wie Bandbreitenreduzierung verhängt werden.
Gemäß der in das Kinderschutzgesetz aufgenommenen Bestimmung ist es Personen, die wegen bestimmter schwerer Straftaten rechtskräftig verurteilt wurden, untersagt, Arbeitsstätten zu betreiben, an solchen Orten zu arbeiten oder in irgendeiner Funktion tätig zu sein, an denen sich viele Kinder aufhalten, um den Schutz von Kindern zu stärken. Darüber hinaus sind im Einklang mit den auf der Grundlage von Strafregister- und Archivauszügen eingeführten Beschränkungen folgende Verpflichtungen vorgesehen: den betreffenden Personen dürfen keine Lizenzen erteilt werden, bei bestehenden Betrieben ist eine Übertragung vorgeschrieben, und in diesem Zusammenhang müssen die dort beschäftigten Personen dem Arbeitgeber alle sechs Monate eine auf der Grundlage ihrer Strafregister- und Archivauszüge ausgestellte „Arbeitsfähigkeitsbescheinigung“ vorlegen.
GRC-RECHTLICHE PERSPEKTIVE
Die vorliegende Regelung ist geeignet, den Umfang der Datenverarbeitungsaktivitäten in sozialen Medien und auf digitalen Plattformen zu erweitern. Der über E-Government vorgesehene Identitätsprüfungsmechanismus führt zu einer direkten Verknüpfung zwischen der Nutzeridentität und digitalen Aktivitäten und erfordert daher eine sorgfältige Bewertung im Hinblick auf die Grundsätze der Datenminimierung und der Verhältnismäßigkeit.
Andererseits könnte die Verpflichtung zur automatischen Inhaltsfilterung eine ständige Überwachung von Nutzerinhalten mit sich bringen und im Hinblick auf Transparenz und rechtliche Grenzen neue Verpflichtungen nach sich ziehen. Darüber hinaus wird durch die Regelung im Kinderschutzgesetz die Verarbeitung von Strafregisterdaten auf eine gesetzliche Grundlage gestellt und den Arbeitgebern eine Verpflichtung zur regelmäßigen Datenerhebung und -kontrolle auferlegt.
Justizministerium, Justizstatistik 2025: Anstieg bei Straftaten im Zusammenhang mit personenbezogenen Daten verzeichnet!
Der vom Justizministerium veröffentlichte Bericht „Justizstatistik 2025“ zeigt einen auffälligen Anstieg bei Straftaten im Zusammenhang mit dem Schutz personenbezogener Daten und der Privatsphäre.
Dem Bericht zufolge wurden bei den Generalstaatsanwaltschaften insgesamt 120.433 neue Verfahren im Rahmen von „Straftaten gegen das Privatleben und die Privatsphäre“ eingeleitet. Den größten Anteil daran hatte dabei die Straftat der rechtswidrigen Aneignung von Daten, gefolgt von Straftaten im Zusammenhang mit der Verletzung der Privatsphäre und der Speicherung personenbezogener Daten. Die betreffenden Daten zeigen, dass Verstöße gegen den Datenschutz nicht nur auf administrative Sanktionen oder regulatorische Verfahren beschränkt bleiben, sondern auch im strafrechtlichen Bereich eine erhebliche Bedeutung erlangen.
In dieser Hinsicht verdeutlicht der Bericht, dass mit der zunehmenden Digitalisierung die Vielfalt der auf personenbezogenen Daten basierenden Straftaten zunimmt und diese bei den Justizbehörden an Sichtbarkeit gewinnen.
Razzia gegen Netzwerk, das sich unrechtmäßig Zugang zu personenbezogenen Daten verschafft: Datenhandel im Wert von 177 Millionen TL aufgedeckt!
Im Rahmen einer unter der Koordination des Nationalen Geheimdienstes durchgeführten Cyber-Operation wurde ein umfassender Einsatz gegen ein Netzwerk durchgeführt, bei dem festgestellt wurde, dass es sich unrechtmäßig Zugang zu den IT-Systemen öffentlicher Einrichtungen und zu personenbezogenen Daten von Bürgern verschafft hatte. Im Zuge der Operation wurden 11 Personen festgenommen, und es wurde aufgedeckt, dass das Netzwerk über eine groß angelegte digitale Infrastruktur operierte.
Technische Untersuchungen ergaben, dass von dem betreffenden Netzwerk zahlreiche Panels und Systeme eingerichtet worden waren, über die personenbezogene Daten abgefragt werden konnten; in diesem Zusammenhang wurden etwa 40 verschiedene Systeme gesperrt und eine erhebliche Menge an digitalem Beweismaterial sichergestellt.
Darüber hinaus wurde im Rahmen der Ermittlungen festgestellt, dass über zahlreiche Abfragepanels, die verschiedenen Nutzern zugänglich waren, systematisch auf personenbezogene Daten zugegriffen wurde.
Den gewonnenen Erkenntnissen zufolge wurde festgestellt, dass das Netzwerk seinen Dienst zur Abfrage personenbezogener Daten über ein „Franchise-System“ an Dritte vermittelte und über diese Struktur ein breites Nutzernetzwerk aufbaute. Bei den finanziellen Untersuchungen wurde hingegen festgestellt, dass im Rahmen der genannten Aktivitäten Einnahmen in Höhe von etwa 177 Millionen TL erzielt wurden und Transaktionen über Kryptowährungen durchgeführt wurden, um die Spuren der Erträge aus Straftaten zu verwischen.
Im Rahmen der Ermittlungen wird berichtet, dass gegen die Verdächtigen „rechtswidrige Erlangung und Verbreitung personenbezogener Daten“, „Eingriff in ein Informationssystem“ sowie verschiedene Anklagen im Zusammenhang mit entsprechenden Cyberkriminalitätsdelikten erhoben wurden; die Analyse der gewonnenen Daten werde fortgesetzt, und es könnten weitere Operationen anstehen.
GRC LEGAL PERSPEKTIVE
Diese Operation zeigt, dass personenbezogene Daten nicht nur im Rahmen individueller Rechte von Bedeutung sind, sondern auch zu einem Vermögenswert von hohem wirtschaftlichem Wert geworden sind, der von organisierten kriminellen Strukturen ins Visier genommen wird. Insbesondere die über ein „Franchise-System“ aufgebaute Struktur verdeutlicht, dass der Datenzugriff in einen skalierbaren Dienst umgewandelt werden kann und dass dies die Risiken für die Datensicherheit systematisiert.
Vorwürfe des unbefugten Zugriffs auf öffentliche Systeme rücken zudem die Bedeutung von Cybersicherheitsmaßnahmen erneut in den Fokus. In diesem Zusammenhang ist es erforderlich, nicht nur gegen externe Bedrohungen, sondern auch in Bezug auf Zugriffsmanagement, Protokollierung und interne Kontrollmechanismen einen mehrschichtigen Sicherheitsansatz zu verfolgen. Darüber hinaus verstärkt die Verschiebung von Erträgen aus Straftaten über Krypto-Vermögenswerte die Verbindung zwischen Datenverletzungen und dem Finanzsystem und erschwert die Rückverfolgbarkeit. Dies zeigt, dass die Bereiche Datenschutz, Cybersicherheit und Finanzregulierung zunehmend miteinander verflochten sind.
In diesem Zusammenhang ist es von entscheidender Bedeutung, dass die für die Datenverarbeitung Verantwortlichen über die Einhaltung der Datenschutzbestimmungen hinausgehen, proaktive Cybersicherheitsstrategien entwickeln und ihre Datenverarbeitungsprozesse regelmäßig überprüfen.
Im Rahmen der Ermittlungen wurde zudem festgestellt, dass über zahlreiche Abfragepanels, die verschiedenen Nutzern zugänglich waren, systematisch auf personenbezogene Daten zugegriffen wurde.
Den gewonnenen Erkenntnissen zufolge wurde festgestellt, dass das Netzwerk seinen Dienst zur Abfrage personenbezogener Daten über ein „Franchise-System“ an Dritte angeboten und über diese Struktur ein breites Nutzernetzwerk aufgebaut hat. Bei den finanziellen Untersuchungen wurde festgestellt, dass im Rahmen dieser Aktivitäten Einnahmen in Höhe von etwa 177 Millionen TL erzielt wurden und Transaktionen über Kryptowährungen durchgeführt wurden, um die Herkunft der Erlöse aus Straftaten zu verschleiern.
Im Rahmen der Ermittlungen wird berichtet, dass gegen die Verdächtigen „rechtswidrige Erlangung und Verbreitung personenbezogener Daten“, „Eingriff in ein Informationssystem“ sowie verschiedene Anklagen im Zusammenhang mit entsprechenden Cyberkriminalitätsdelikten erhoben wurden; die Analyse der gewonnenen Daten werde fortgesetzt, und es könnten weitere Operationen anstehen.
MASAK-Tätigkeitsbericht 2025: Anstieg bei Verdachtsmeldungen und Kontrollmaßnahmen verzeichnet!
Der vom Ausschuss zur Untersuchung von Finanzdelikten („MASAK“) veröffentlichte Tätigkeitsbericht für das Jahr 2025 zeigt, dass der Umfang der Datenerhebung, Analyse und Kontrollmaßnahmen im Rahmen der Bekämpfung der Geldwäsche und der Terrorismusfinanzierung erweitert wurde.
Dem Bericht zufolge gingen im Jahr 2025 insgesamt 464.010 Meldungen verdächtiger Transaktionen ein, wobei im Rahmen dieser Meldungen Daten zu etwa 1 Million Personen verarbeitet wurden. Die Analysequote der Meldungen lag bei 71 %, und als Ergebnis der Analyseprozesse wurden 4.813 Berichte an die zuständigen Behörden übermittelt sowie gegen 422 Personen Strafanzeige erstattet. Es zeigt sich, dass die überwiegende Mehrheit der Meldungen über verdächtige Transaktionen auf elektronischem Wege übermittelt wurde und die Gruppe der Meldepflichtigen mit den meisten Meldungen die Banken waren; auf die Banken folgten in dieser Reihenfolge Zahlungs- und E-Geld-Institute sowie Anbieter von Krypto-Vermögensdienstleistungen. Was die Deliktkategorien betrifft, so fallen insbesondere Betrug, Computerkriminalität, die Nichtangabe von Transaktionen im Namen Dritter sowie illegale Wett- und Glücksspielaktivitäten ins Auge.
Zudem wird im Bericht darauf hingewiesen, dass im Rahmen der im Rahmen der Verpflichtungsprüfungen durchgeführten Maßnahmen Verwaltungsstrafen in Höhe von über 3,6 Milliarden TL verhängt wurden, was die gesteigerte Wirksamkeit der Kontrollmechanismen verdeutlicht.
GRC-RECHTLICHE PERSPEKTIVE
Die Daten der MASAK zeigen, dass das Volumen und die Vielfalt der im Finanzsystem verarbeiteten personenbezogenen Daten rapide zunehmen; diese Daten werden nicht nur zu kommerziellen Zwecken, sondern auch intensiv zur Verhinderung und Aufdeckung von Straftaten verarbeitet.
Insbesondere die Tatsache, dass neben Banken auch Zahlungs- und E-Geld-Institute sowie Anbieter von Krypto-Vermögensdienstleistungen bei der Meldung verdächtiger Transaktionen eine herausragende Rolle spielen, zeigt, dass diese Sektoren unter hohem Datenverarbeitungsrisiko und einer hohen Regulierungsdichte operieren.
Gleichzeitig weist die Einbeziehung von Daten von Millionen von Personen in Analyseprozesse darauf hin, dass die Grundsätze der Datenminimierung, der Zweckbindung und der Datensicherheit sowie Cybersicherheitsmaßnahmen von entscheidender Bedeutung geworden sind. Tatsächlich können in Strukturen, die Daten in diesem Umfang verarbeiten, Risiken wie unbefugter Zugriff, Datenlecks und interne Bedrohungen direkt zu schwerwiegenden Sanktionen sowohl im Rahmen des KVKK als auch der branchenspezifischen Vorschriften führen.
Andererseits zeigen die verhängten hohen Geldbußen, dass die Einhaltung der Verpflichtungen nicht nur eine regulatorische Anforderung ist, sondern auch zu einem grundlegenden Bestandteil des finanziellen, operativen und Cybersicherheits-Risikomanagements geworden ist.
In diesem Zusammenhang ist es insbesondere für Finanzinstitute und Fintech-Unternehmen von Bedeutung, ihre Meldeverfahren für verdächtige Transaktionen, ihre Datensicherheitsmaßnahmen, ihre Cybersicherheitsinfrastrukturen und ihre internen Kontrollmechanismen unter Berücksichtigung sowohl der KVKK- als auch der MASAK-Verpflichtungen zu strukturieren.
WAS PASSIERT WELTWEIT?
Gemeinsame Vorlage für Datenschutz-Folgenabschätzungen („DPIA“) veröffentlicht!
Um die Einhaltung der Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“) der Europäischen Union zu erleichtern und eine einheitliche Anwendung in ganz Europa zu gewährleisten, wurde eine gemeinsame Vorlage für DPIA-Prozesse verabschiedet.
Diese Vorlage zielt darauf ab, die DPIA-Prozesse, die in Fällen durchgeführt werden müssen, in denen die Verarbeitung personenbezogener Daten ein hohes Risiko birgt, systematischer, konsistenter und dokumentierbarer durchzuführen. In diesem Zusammenhang bietet die Vorlage einen strukturierten Rahmen, der grundlegende Elemente wie die Beschreibung der Art der Datenverarbeitungsvorgänge, die Notwendigkeits- und Verhältnismäßigkeitsprüfung sowie die Ermittlung und Minderung von Risiken für die Rechte und Freiheiten betroffener Personen umfasst.
Obwohl die Vorlage keine verbindliche Verwendung vorschreibt, wird darauf hingewiesen, dass sie den für die Datenverarbeitung Verantwortlichen die Möglichkeit bietet, anhand vordefinierter Felder eine umfassende und lückenlose Bewertung vorzunehmen; in dieser Hinsicht trägt sie durch die Verringerung des Fehlerrisikos zu einer effektiveren Durchführung der Prozesse bei.
Die Vorlage wird zudem durch ein erläuterndes Dokument ergänzt, das darauf abzielt, die grundlegenden Konzepte der DPIA-Prozesse in einfacher Sprache zu erklären und mögliche Fragen in der Praxis zu klären. Es wird darauf hingewiesen, dass der Entwurf zur öffentlichen Konsultation freigegeben wurde und nach Abschluss des Konsultationsprozesses von den europäischen Datenschutzbehörden als gemeinsamer Standard oder als mit nationalen Vorlagen kompatible „Übervorlage“ übernommen werden soll.
Neue Leitlinien und Zertifizierungsschritte des EDPB zu wissenschaftlicher Forschung und Datenverarbeitungsprozessen
Der Europäische Datenschutzausschuss (European Data Protection Board, „EDPB“) hat auf seiner letzten Plenarsitzung die Leitlinien zur Verarbeitung personenbezogener Daten für wissenschaftliche Forschungszwecke angenommen und zur öffentlichen Konsultation freigegeben.
In den Leitlinien werden die Kriterien detailliert dargelegt, die berücksichtigt werden müssen, damit eine Datenverarbeitungsaktivität als „wissenschaftliche Forschung“ eingestuft werden kann; in diesem Zusammenhang wird darauf hingewiesen, dass die Systematik und Methodik der Aktivitäten sowie die Einhaltung ethischer Standards, Transparenz und Überprüfbarkeit ausschlaggebend sind.
Der EDPB hat zudem darauf hingewiesen, dass Datenverarbeitungsaktivitäten zu wissenschaftlichen Forschungszwecken unter bestimmten Voraussetzungen als mit dem ursprünglichen Verarbeitungszweck vereinbar angesehen werden können; in diesem Zusammenhang hat er darauf hingewiesen, dass für die für die Datenverarbeitung Verantwortlichen möglicherweise keine Verpflichtung besteht, eine zusätzliche Prüfung der Zweckvereinbarkeit durchzuführen. Es wurde jedoch betont, dass die Rechtsgrundlage der ursprünglichen Datenverarbeitung auch für nachfolgende Verarbeitungsvorgänge gelten muss.
In den Leitlinien werden in Bezug auf die ausdrückliche Einwilligung die Modelle „erweiterte Einwilligung (broad consent)“ und „dynamische Einwilligung (dynamic consent)“ behandelt; es wird darauf hingewiesen, dass diese Ansätze je nach Art der Forschungsprozesse gemeinsam genutzt werden können. Darüber hinaus hat der EDPB bekannt gegeben, dass eine spezielle Arbeitsgruppe eingerichtet wurde, um die Fertigstellung des Leitfadens zur Anonymisierung zu beschleunigen; er hat auf die Bedeutung technischer und organisatorischer Maßnahmen wie Anonymisierung und Pseudonymisierung in Datenverarbeitungsprozessen hingewiesen.
Der Ausschuss hat zudem seine Stellungnahme zu den Europrivacy-Zertifizierungskriterien angenommen und darauf hingewiesen, dass diese Zertifizierung im Rahmen des Europäischen Datenschutzsiegels als Sicherheitsinstrument bei Datenübertragungsprozessen genutzt werden kann.
Der „berechtigtes Interesse“-Ansatz in Bezug auf Trainingsdaten für künstliche Intelligenz im EU-Digital-Omnibus-Verfahren wurde zurückgezogen!
Im endgültigen Kompromisstext zum Digital-Omnibus-Regelungsprozess der Europäischen Union ist zu erkennen, dass der frühere Regelungsvorschlag, der die ausdrückliche Anerkennung der Rechtsgrundlage des „berechtigten Interesses“ bei der Verarbeitung personenbezogener Daten im Rahmen des Trainings von KI-Systemen vorsah, aus dem Text gestrichen wurde.
Es wird darauf hingewiesen, dass diese Änderung aufgrund der Kritik des Europäischen Datenschutzausschusses und des Europäischen Datenschutzbeauftragten vorgenommen wurde; insbesondere sollen die Bedenken, dass die Einstufung weitreichender Datenverarbeitungsaktivitäten im Rahmen von KI-Trainingsprozessen als „berechtigtes Interesse“ Risiken für die Datenschutzgrundsätze birgt, ausschlaggebend gewesen sein.
Diese Entwicklung deutet darauf hin, dass die rechtlichen Grundlagen für die Verarbeitung personenbezogener Daten bei der Entwicklung und dem Training von KI-Systemen enger ausgelegt werden könnten; sie wirft die Frage auf, ob die für die Datenverarbeitung Verantwortlichen die Notwendigkeit, sich bei solchen Aktivitäten auf die ausdrückliche Einwilligung, einen Vertrag oder andere Rechtsgrundlagen zu stützen, neu bewerten müssen. Andererseits zeigt dieser Ansatz, dass das Gleichgewicht zwischen KI-Entwicklungsprozessen und dem Datenschutzrecht in einem strengeren Rahmen behandelt wird und insbesondere groß angelegte Datenverarbeitungsaktivitäten genauer überwacht werden.
Regelung in Japan, die Flexibilität bei der Nutzung personenbezogener Daten für KI-Entwicklungsprozesse einführt
Die japanische Regierung hat einen Gesetzentwurf verabschiedet, der Änderungen an den Rechtsvorschriften zum Schutz personenbezogener Daten vorsieht, um die Entwicklung von KI-Technologien zu beschleunigen. Mit dieser Regelung wird vorgesehen, dass bei Datenverarbeitungsaktivitäten, die keine direkte Identifizierung von Personen ermöglichen, für die Nutzung personenbezogener Daten in KI-Entwicklungsprozessen keine ausdrückliche Einwilligung erforderlich sein kann. In diesem Zusammenhang wird insbesondere ein flexiblerer Ansatz bei der Modelltrainierung und der Erstellung von Datensätzen verfolgt.
Während die geltenden Vorschriften strenge Einwilligungsvoraussetzungen für die Weitergabe sensibler personenbezogener Daten an Dritte vorsehen, wird mit der neuen Regelung die Aufhebung dieser Verpflichtung für Datenverarbeitungsvorgänge ins Auge gefasst, die den Rechten und Interessen von Personen keinen offensichtlichen Schaden zufügen. Allerdings beschränkt sich die Regelung nicht nur darauf, die Datennutzung zu erleichtern; sie verschärft auch die Sanktionen, die bei der rechtswidrigen Erhebung oder Nutzung personenbezogener Daten verhängt werden. In diesem Zusammenhang wird der Weg dafür geebnet, dass gegen Personen oder Organisationen, die personenbezogene Daten in einem bestimmten Umfang verarbeiten, Verwaltungsstrafen verhängt werden können, die im Verhältnis zum erzielten Gewinn stehen.
Es wird davon ausgegangen, dass die Regelung im Einklang mit Japans Ziel steht, seine globale Wettbewerbsfähigkeit im Bereich der künstlichen Intelligenz zu stärken; gleichzeitig könnte sie jedoch zu einer erneuten Debatte über das Gleichgewicht zwischen Datenschutzgrundsätzen und Innovation führen.
Der Ansatz des „berechtigten Interesses“ in Bezug auf Trainingsdaten für künstliche Intelligenz im Rahmen des EU-Digital-Omnibus-Verfahrens wurde zurückgezogen!
Im jüngsten Kompromisstext zum Digital-Omnibus-Regulierungsprozess der Europäischen Union ist festzustellen, dass der frühere Regelungsvorschlag, der eine ausdrückliche Anerkennung der Rechtsgrundlage des „berechtigten Interesses“ bei der Verarbeitung personenbezogener Daten im Rahmen des Trainings von KI-Systemen vorsah, aus dem Text gestrichen wurde.
Es wird darauf hingewiesen, dass diese Änderung aufgrund der Kritik des Europäischen Datenschutzausschusses und des Europäischen Datenschutzbeauftragten vorgenommen wurde; insbesondere sollen die Bedenken, dass die Einstufung weitreichender Datenverarbeitungsaktivitäten im Rahmen von KI-Trainingsprozessen als „berechtigtes Interesse“ Risiken für die Datenschutzgrundsätze birgt, ausschlaggebend gewesen sein.
Diese Entwicklung deutet darauf hin, dass die rechtlichen Grundlagen für die Verarbeitung personenbezogener Daten bei der Entwicklung und dem Training von KI-Systemen enger ausgelegt werden könnten; sie wirft die Frage auf, ob die für die Datenverarbeitung Verantwortlichen die Notwendigkeit, sich bei solchen Aktivitäten auf die ausdrückliche Einwilligung, einen Vertrag oder andere Rechtsgrundlagen zu stützen, neu bewerten müssen. Andererseits zeigt dieser Ansatz, dass das Gleichgewicht zwischen KI-Entwicklungsprozessen und dem Datenschutzrecht in einem strengeren Rahmen behandelt wird und insbesondere groß angelegte Datenverarbeitungsaktivitäten genauer überwacht werden.
Wichtige Entscheidung zur Ausübung des Auskunftsrechts in Finnland
Die finnische Datenschutzbehörde hat nach einer Untersuchung der Art und Weise, wie eine Kreditauskunftei die Auskunftsersuchen von Datensubjekten bearbeitet hat, entschieden, dass das betreffende Unternehmen gegen seine Verpflichtungen im Rahmen der DSGVO verstoßen hat. Im vorliegenden Fall wurde festgestellt, dass die per E-Mail übermittelten Auskunftsersuchen der betroffenen Personen nicht direkt beantwortet wurden, sondern die Antragsteller stattdessen auf die eigene Datenzugangsplattform des Unternehmens verwiesen wurden. Die Behörde bewertete diese Vorgehensweise als unvereinbar mit der Verpflichtung, den betroffenen Personen die Ausübung ihrer Rechte zu erleichtern.
Zudem wurde festgestellt, dass das Unternehmen von Personen, die innerhalb von 12 Monaten mehr als einen Auskunftsantrag stellten, automatisch Gebühren verlangte. Die Behörde betonte, dass diese Praxis rechtswidrig sei; damit Verantwortliche Gebühren für Auskunftsanträge erheben können, müsse jeder Antrag gesondert geprüft und nachgewiesen werden, dass der Antrag offensichtlich unbegründet oder übertrieben ist. In der Entscheidung wurde festgestellt, dass die kostenlose Gewährung des Auskunftsrechts grundsätzlich gilt und dass Praktiken, die die Ausübung dieses Rechts erschweren könnten, einen Verstoß gegen die Datenschutzvorschriften darstellen.
GRC LEGAL PERSPEKTIVE
Diese Entscheidung macht deutlich, dass das Auskunftsrecht der betroffenen Personen nicht nur ein theoretisches Recht ist, sondern eine aktive Verpflichtung, die von den für die Datenverarbeitung Verantwortlichen tatsächlich erleichtert werden muss. Die Weiterleitung von Anträgen an eine bestimmte Plattform oder die faktische Unwirksamkeit alternativer Kanäle können als Praktiken gewertet werden, die die Ausübung des Rechts indirekt erschweren.
Andererseits wird betont, dass die Erhebung von Gebühren für Auskunftsersuchen Ausnahmecharakter hat und im konkreten Fall bei „offensichtlich unbegründeten“ oder „übermäßigen“ Anfragen in Betracht kommen kann. In diesem Zusammenhang wird eindeutig festgestellt, dass automatisierte und pauschale Gebührenregelungen nicht mit den Datenschutzvorschriften vereinbar sind. Im Einklang mit dieser Entscheidung ist es von entscheidender Bedeutung, dass die für die Datenverarbeitung Verantwortlichen die Anträge betroffener Personen über mehrere Kanäle verwalten, die Antragsverfahren vereinfachen und insbesondere Praktiken vermeiden, die die Ausübung des Auskunftsrechts erschweren könnten.
GRC-BEGRIFF DES MONATS
Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, „DPIA“)
Die DPIA ist ein systematischer Bewertungsprozess, der durchgeführt wird, um in Fällen, in denen die Verarbeitung personenbezogener Daten voraussichtlich erhebliche Auswirkungen auf die Rechte und Freiheiten der betroffenen Personen hat, diese Risiken im Voraus zu ermitteln und die erforderlichen Maßnahmen festzulegen.
Im Rahmen dieses Prozesses werden der Umfang, der Zweck, die verwendeten Methoden und die möglichen Auswirkungen der Datenverarbeitung auf die betroffenen Personen gemeinsam betrachtet; es werden geeignete technische und administrative Maßnahmen zur Minderung der potenziellen Risiken festgelegt. In dieser Hinsicht ist die DPIA ein ganzheitliches Risikomanagementinstrument, das nicht nur die rechtliche Grundlage der Datenverarbeitung, sondern auch deren Notwendigkeit und Verhältnismäßigkeit bewertet.
Insbesondere in Bereichen wie künstliche Intelligenz, Big-Data-Analytik, Profiling und biometrische Datenverarbeitung, in denen sich der Umfang und die Auswirkungen von Datenverarbeitungsvorgängen erweitert haben, ist die effektive Durchführung von DPIA-Prozessen von entscheidender Bedeutung. Solche Aktivitäten können neben Datensicherheitsrisiken auch weiterreichende Auswirkungen wie Diskriminierung, mangelnde Transparenz und Kontrollverlust für den Einzelnen nach sich ziehen.
In dieser Hinsicht ist die DPIA ein konkreter Ausdruck des Ansatzes „Datenschutz durch Technikgestaltung“ und stellt sicher, dass die für die Datenverarbeitung Verantwortlichen die Risiken vor der Durchführung der Datenverarbeitungsaktivitäten vorhersehen und proaktive Maßnahmen gegen diese Risiken entwickeln. Wir sind der Ansicht, dass die von den europäischen Datenschutzbehörden entwickelten gemeinsamen DPIA-Vorlagen dazu beitragen, diesen Prozess systematischer, konsistenter und besser überprüfbar zu gestalten.