GRC PERSPEKTİF: DATENSCHUTZ- & COMPLIANCE-NEWSLETTER – FEBRUAR 2026
WAS PASSIERT IN DER TÜRKEI?
Ex officio-Prüfung der Behörde zu digitalen Plattformen und KI-Systemen
Die Datenschutzbehörde („Behörde“) hat im Februar in drei separaten öffentlichen Bekanntmachungen angekündigt, dass sie eine Ex-officio-Prüfung zu KI-Systemen, Sprachassistenz-Apps und Social-Media-Plattformen eingeleitet hat.
Ex officio-Untersuchung zum KI-Assistenten GROK
Aufgrund von Vorwürfen, dass die von der X.AI Corporation entwickelte KI-Plattform namens Grok ohne die Zustimmung der betroffenen Personen, darunter auch Kinder, zur Erstellung von Bildern und Videos mit sexuellem Inhalt genutzt und diese Inhalte in Umlauf gebracht wurden, hat die Europäische Kommission eine Untersuchung eingeleitet.
Vor dem Hintergrund dieser Entwicklungen hat die Kommission beschlossen, von Amts wegen eine Untersuchung gegen die X Internet Unlimited Company und die X.AI Corporation einzuleiten, da der Verdacht besteht, dass bei der Entwicklung und Umsetzung der betreffenden Plattform die im Rahmen des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten („KVKK“ oder „Gesetz“) erforderlichen technischen und administrativen Maßnahmen nicht getroffen wurden und personenbezogene Daten rechtswidrig verarbeitet wurden.
Von Amts wegen eingeleitete Untersuchung zu Google Assistant
Aufgrund von Berichten, wonach Googles Sprachassistenzdienst Google Assistant, der eigentlich nur durch bestimmte Auslösephrasen („Hey Google/Ok Google“) aktiviert werden sollte, durch falsche Auslösungen dazu führte, dass private Gespräche von Nutzern ohne deren Zustimmung aufgezeichnet und diese Daten für verschiedene Zwecke verwendet wurden, wurde bekannt gegeben, dass auch gegen Google LLC eine Untersuchung von Amts wegen eingeleitet wurde. Der Ausschuss wird in diesem Zusammenhang prüfen, ob die technischen und administrativen Maßnahmen im Rahmen des Datenschutzgesetzes (KVKK) erfüllt wurden.
Nutzung sozialer Medien durch Kinder und Untersuchung der Plattformen
Der Ausschuss hat zudem von Amts wegen eine Untersuchung zu TikTok, Instagram, Facebook, YouTube, X und Discord eingeleitet, die sich auf den Schutz personenbezogener Daten bei der Nutzung sozialer Medien durch Kinder bezieht, insbesondere im Hinblick auf die Risiken, denen Kinder im digitalen Umfeld ausgesetzt sein können, sowie auf die Datenverarbeitungspraktiken der Plattformen. Es wurde angegeben, dass die Untersuchung unter Berücksichtigung des Wohls der Kinder im Rahmen der Datenverarbeitungsprozesse und der getroffenen technischen und administrativen Maßnahmen durchgeführt wird.
GRC LEGAL PERSPEKTIVE
Der Schutz der personenbezogenen Daten von Kindern ist nicht nur ein zentrales Thema des Datenschutzrechts, sondern steht auch im Mittelpunkt des Kinderrechts und der öffentlichen Politik. In einer Zeit, in der digitale Plattformen von Kindern intensiv genutzt werden, müssen Themen wie der Schutz der Privatsphäre, die Gültigkeit von Einwilligungsmechanismen, Profiling-Aktivitäten und Verhaltenssteuerung im Rahmen des Grundsatzes des Kindeswohls gesondert bewertet werden. In diesem Zusammenhang zeigen die im Februar veröffentlichten öffentlichen Erklärungen, dass die von Amts wegen eingeleiteten Untersuchungen zu Social-Media-Plattformen und KI-Systemen Ausdruck eines zunehmenden Regulierungsreflexes zum Schutz von Kindern im digitalen Umfeld sind.
Tatsächlich lässt sich feststellen, dass dieser Ansatz Parallelen zum Ziel „Entwicklung von Schutz- und Präventionsmechanismen“ aufweist, das im Aktionsplan zur Stärkung von Kindern in der digitalen Welt 2026–2030 vorgesehen ist.
Dass der Ausschuss insbesondere die meistbesuchten Social-Media-Plattformen und KI-Anwendungen in den Fokus seiner Untersuchungen rückt, deutet auf einen proaktiveren Aufsichtsansatz hinsichtlich der Risiken, denen Kinder durch Inhalte ausgesetzt sein könnten, sowie der Datenverarbeitungspraktiken und der Angemessenheit technischer und administrativer Maßnahmen hin.
Andererseits können Deepfake-Inhalte, die mit der Entwicklung von KI-Technologien einhergehen, sowie die unerlaubte Erstellung von Bildern und manipulative digitale Inhalte für Kinder weitaus schwerwiegendere Folgen haben. Solche Risiken müssen nicht nur im Hinblick auf die rechtswidrige Verarbeitung personenbezogener Daten, sondern auch im Hinblick auf die Würde, Sicherheit und psychische Unversehrtheit des Kindes bewertet werden. Daher sind der Schutz der Privatsphäre und die Gewährleistung der Datensicherheit zu einem der grundlegenden Elemente für den Schutz der Präsenz von Kindern in der digitalen Welt geworden.
Unserer Ansicht nach zeigt der aktive und thematische Untersuchungsansatz der Behörde in der letzten Zeit, dass das Datenschutzregime in der Türkei insbesondere im Hinblick auf Kinderdaten und KI-Anwendungen in eine Phase strengerer Aufsicht eingetreten ist. In diesem Zusammenhang gewinnt die Überprüfung von Mechanismen zur kindgerechten Gestaltung, Datenminimierung, Altersüberprüfung und Inhaltskontrolle durch Anbieter digitaler Plattformen und Entwickler künstlicher Intelligenz nicht nur im Hinblick auf die Einhaltung gesetzlicher Vorschriften, sondern auch im Hinblick auf die unternehmerische Verantwortung zunehmend an Bedeutung.
Neues Dokument der Behörde: Risiken durch QR-Codes – Quishing
Die Behörde hat ein Informationsdokument mit dem Titel „Risiken durch QR-Codes: Quishing“ veröffentlicht. In dem Dokument wird Quishing, eine Phishing-Methode, die über QR-Codes durchgeführt wird, ausführlich behandelt.
QR-Codes werden in vielen Bereichen des täglichen Lebens weit verbreitet eingesetzt, vom Zugriff auf Speisekarten über Zahlungsvorgänge und Weiterleitungen zu Websites bis hin zu Werbe- und Informationsinhalten. Diese Verbreitung und die Möglichkeit, sie schnell über mobile Geräte zu scannen, schaffen auch für böswillige Akteure eine neue Angriffsfläche.
„Quishing“ bezeichnet die Weiterleitung von Nutzern auf schädliche Websites mittels gefälschter oder nachträglich veränderter QR-Codes. Mit dieser Methode können Personen auf gefälschte Anmeldeseiten umgeleitet, zur Preisgabe ihrer Identitäts- und Zahlungsdaten überredet oder dazu verleitet werden, Schadsoftware auf ihre Geräte herunterzuladen.
In dem Dokument wird insbesondere auf die Risiken dynamischer QR-Codes hingewiesen. Bei diesen Codes kann die Weiterleitungsadresse aktualisiert werden, ohne dass sich die visuelle Struktur ändert. Dies ermöglicht es, dass ein zunächst vertrauenswürdig erscheinender QR-Code später auf böswillige Inhalte weiterleitet. Es wird betont, dass Quishing-Angriffe sowohl in physischen Umgebungen (Plakate, Broschüren, öffentliche Bereiche) als auch über digitale Kommunikationskanäle (E-Mail, SMS, soziale Medien) durchgeführt werden können und insbesondere durch Nachrichten unterstützt werden, die ein Gefühl von Dringlichkeit, Panik oder Neugier wecken.
Der Ausschuss weist darauf hin, dass die nach dem Scannen eines QR-Codes angezeigte Internetadresse sorgfältig geprüft, der Domainname verifiziert und bei Seiten, die persönliche Daten abfragen, Vorsicht walten gelassen werden sollte. Zudem wird auf die Bedeutung grundlegender Sicherheitsmaßnahmen hingewiesen, wie die Vorsicht vor unerwarteten Dateidownloads, die Verwendung sicherer Passwörter und, wenn möglich, die Zwei-Faktor-Authentifizierung. Das Dokument zeigt auf, dass QR-Codes zwar ein praktisches Hilfsmittel sind, bei unbedachter Nutzung jedoch ernsthafte Risiken für die Sicherheit personenbezogener Daten mit sich bringen können.
Grundsatzbeschluss zur Nutzung von Telefonnummern auf Kundenkarten durch Dritte
Mit dem „Grundsatzbeschluss Nr. 2026/266“ der Datenschutzbehörde, der am 28. Februar 2026 im Amtsblatt veröffentlicht wurde, wurde die Nutzung der Mobiltelefonnummer oder der Kundenkartennummer von Personen mit einer Kundenkartenmitgliedschaft durch Dritte während des Einkaufs behandelt.
Der Beschluss bezieht sich auf Praktiken, bei denen, obwohl die betroffene Person beim Einkauf nicht an der Kasse anwesend ist, durch die Angabe ihrer Mobiltelefonnummer oder ihrer Kundenkartennummer durch Dritte Transaktionen durchgeführt, Punkte gesammelt oder ein Einkaufsbeleg im Namen der betroffenen Person erstellt werden. In diesem Zusammenhang wurde darauf hingewiesen, dass die Ausstellung von Rechnungen, die Erstellung von Transaktionsaufzeichnungen oder die Nutzung des Mitgliedskontos im Namen der betroffenen Person ohne deren Wissen und Einwilligung zu Verletzungen des Datenschutzes führen können.
Der Ausschuss kam zu dem Schluss, dass solche Datenverarbeitungsaktivitäten nicht auf eine der in Artikel 5 des KVKK genannten Voraussetzungen für die Datenverarbeitung gestützt werden können. Es wurde festgestellt, dass die Durchführung von Transaktionen durch Dritte unter Verwendung einer Telefonnummer oder einer Kundenkartennummer ohne die ausdrückliche Einwilligung der betroffenen Person und ohne Rückgriff auf eine rechtliche Verarbeitungsgrundlage im Sinne des Gesetzes nicht als rechtmäßige Datenverarbeitungsaktivität angesehen werden kann.
In diesem Zusammenhang hat der Ausschuss betont, dass Verifizierungsmechanismen geschaffen werden müssen, die Transaktionen bei der Nutzung von Kundenkarten ohne Wissen und gegen den Willen der betroffenen Person verhindern; er hat darauf hingewiesen, dass technische und administrative Maßnahmen wie SMS-Verifizierung, Bestätigung über eine mobile App oder ähnliche sichere Methoden umgesetzt werden müssen. Gemäß der Grundsatzentscheidung wurde den für die Datenverarbeitung Verantwortlichen eine Frist von sechs Monaten eingeräumt, um die erforderlichen Anpassungsmaßnahmen in diesem Sinne abzuschließen.
GRC-RECHTLICHE PERSPEKTIVE
Das veröffentlichte Dokument zu QR-Codes zeigt, dass der Ausschuss nicht nur auf Maßnahmen nach einem Verstoß setzt, sondern auch Wert auf präventive Sensibilisierung und die Förderung einer Kultur der Cyberhygiene legt. Da sich QR-Codes an der Schnittstelle zwischen physischer und digitaler Umgebung befinden, bergen sie Risiken, die sich von klassischen Phishing-Methoden unterscheiden und weniger offensichtlich sind. Daher sollten für Unternehmen nicht nur technische Sicherheitsmaßnahmen, sondern auch die Sensibilisierung von Mitarbeitern und Kunden, Verifizierungsgewohnheiten und Leitfäden zur sicheren Nutzung Teil der Datensicherheitsstrategie werden.
Die Grundsatzentscheidung zu Kundenkarten behandelt das Thema hingegen direkt im Rahmen der rechtlichen Grundlage der Datenverarbeitung und der Datensicherheit. Der Ansatz des Ausschusses betrachtet die Durchführung von Transaktionen durch Dritte unter Verwendung einer Telefonnummer oder einer Kundenkartennummer nicht nur als Sicherheitslücke, sondern direkt im Hinblick auf die Voraussetzungen für eine rechtmäßige Datenverarbeitung. Die Erstellung von Transaktionsaufzeichnungen oder die Ausstellung von Rechnungen im Namen der betroffenen Person ohne deren Wissen und Einwilligung führt dazu, dass die Datenverarbeitungsaktivität auf keine der in Artikel 5 des KVKK genannten Voraussetzungen gestützt werden kann.
Darüber hinaus konkretisiert die Entscheidung die Verpflichtung des für die Datenverarbeitung Verantwortlichen, gemäß Artikel 12 des Gesetzes die unrechtmäßige Verarbeitung und den Zugriff auf personenbezogene Daten zu verhindern. Ein Systemaufbau, der es Dritten ermöglicht, Transaktionen leicht durchzuführen, wird im Hinblick auf die Angemessenheit der technischen und administrativen Maßnahmen bewertet. In diesem Zusammenhang kann das Fehlen von Verifizierungsmechanismen dazu führen, dass die Verpflichtung zur Datensicherheit nicht ordnungsgemäß erfüllt wird.
Zusammenfassend stellt die Grundsatzentscheidung fest, dass nicht die Treueprogramme an sich, sondern die im Rahmen dieser Programme durchgeführten Datenverarbeitungsprozesse im Rahmen der Datensicherheitsverpflichtung gemäß Artikel 12 des KVKK gestaltet werden müssen. Die vom Ausschuss den für die Datenverarbeitung Verantwortlichen eingeräumte sechsmonatige Frist zur Anpassung stellt insbesondere für Kettenunternehmen mit einem breiten Kundennetzwerk eine kritische Übergangsphase hinsichtlich der technischen Umstellung und der Prozessüberarbeitung dar. Nach Ablauf dieser Frist ist bei Systemen, für die kein Verifizierungsmechanismus eingerichtet wurde, mit einem erhöhten Risiko von Kontrollen und Sanktionen zu rechnen.
Wichtige Entscheidung des Verfassungsgerichts zu personenbezogenen Daten und Pressefreiheit
Das Verfassungsgericht hat in seiner Entscheidung vom 16.09.2025 (Einzelbeschwerde Nr. 2022/58084) die Beschwerde gegen eine von der Behörde im Rahmen des KVKK gegen eine Internet-Nachrichtenseite verhängte Geldbuße geprüft. Das Gericht entschied, dass im konkreten Fall keine Verletzung der Meinungs- und Pressefreiheit vorlag.
Hintergrund des Vorfalls: In einem auf einer Internet-Nachrichtenseite veröffentlichten Artikel über die Ergebnisse der Hochschulzulassungsverfahren wurde das Prüfungsergebnisdokument eines Studenten abgedruckt; in diesem Dokument wurden der Vor- und Nachname des Studenten, sein Foto, die Universität und der Studiengang, an denen er zugelassen wurde, sowie seine Zulassungspunktzahl offen dargelegt. Aufgrund der Beschwerde der betroffenen Person verhängte die Datenschutzbehörde (KVKK) eine Geldbuße in Höhe von 30.000 TL; die eingelegten Einsprüche wurden von den Strafgerichten der ersten Instanz zurückgewiesen, und die Angelegenheit wurde im Wege einer Einzelbeschwerde vor das Verfassungsgericht gebracht.
Der Beschwerdeführer machte geltend, dass die Veröffentlichung im Rahmen der Presse- und Meinungsfreiheit zu bewerten sei, dass bestimmte Bereiche des Dokuments unkenntlich gemacht worden seien und dass der Inhalt bereits auf einer anderen Website veröffentlicht worden sei. Demgegenüber wies die Behörde darauf hin, dass die Daten der betroffenen Person nicht von ihr selbst veröffentlicht worden seien; dass die personenbezogenen Daten rechtswidrig erlangt und veröffentlicht worden seien und dass die Nachricht trotz des Antrags der betroffenen Person nicht unverzüglich entfernt worden sei.
Das Verfassungsgericht hat im konkreten Fall festgestellt, dass die Nachricht zwar den Erfolg eines Studenten zum Thema habe, jedoch keinen sinnvollen Beitrag zur öffentlichen Debatte leiste. Zudem wurde festgestellt, dass die offene Veröffentlichung des Vor- und Nachnamens, des Fotos, der Universität und der Punktzahl der betroffenen Person nicht zwingend erforderlich sei und dass keine ausreichende Begründung für die Weitergabe dieser Daten vorliege.
Das Gericht räumte zwar einen Eingriff in die Meinungsfreiheit ein, kam jedoch zu dem Schluss, dass die verhängte Geldbuße auf einem legitimen Zweck beruhte, notwendig und verhältnismäßig war, und entschied, dass die Meinungs- und Pressefreiheit nicht verletzt worden sei. Es wird davon ausgegangen, dass die Entscheidung hinsichtlich des erforderlichen Gleichgewichts zwischen dem Recht auf den Schutz personenbezogener Daten und der Pressefreiheit einen wichtigen Präzedenzfall darstellt.
Die dem Urteil zugrunde liegende Entscheidung der Datenschutzbehörde finden Sie hier.
WAS PASSIERT IN DER WELT?
Warnung der italienischen Datenschutzbehörde an Arbeitgeber: Telematiksysteme – Fahrzeugüberwachung für rechtswidrig befunden!
Die italienische Datenschutzbehörde hat die Überwachung des Fahrverhaltens von Mitarbeitern durch ein satellitengestütztes Telematiksystem, das in Firmenfahrzeugen installiert wurde, als rechtswidrig eingestuft und die Löschung der gesammelten Daten sowie eine Verwaltungsstrafe in Höhe von 120.000 € angeordnet.
Im konkreten Fall wurde festgestellt, dass das Unternehmen Pioneer Hi-Bred Italia die Fahrdaten seiner Mitarbeiter mittels in den Firmenfahrzeugen installierter Telematikgeräte überwachte; in der den Mitarbeitern vorgelegten Datenschutzerklärung wurden jedoch der für die Datenverarbeitung Verantwortliche, die Empfänger der Daten, die Verarbeitungszwecke und die Rechtsgrundlage nicht klar angegeben, sodass keine transparente und vollständige Aufklärung erfolgte. Bei der auf die Beschwerde eines Mitarbeiters hin eingeleiteten Untersuchung wurde festgestellt, dass das Unternehmen seine Datenverarbeitungsaktivitäten auf das Rechtsgrundlage des berechtigten Interesses stützte; jedoch hatte es weder die erforderliche Abwägung zwischen den Grundrechten und Grundfreiheiten der Mitarbeiter und den Unternehmensinteressen vorgenommen noch eine ausreichende Datenschutz-Folgenabschätzung (DPIA) durchgeführt.
Zudem wurde festgestellt, dass Mitarbeiterdaten ohne einen Datenverarbeitungsvertrag oder schriftliche Anweisungen an Führungskräfte und Verwaltungsmitarbeiter in den Konzernunternehmen weitergegeben wurden; dies wurde als Verstoß gegen die Artikel 6 und 28 der Datenschutz-Grundverordnung („General Data Protection Regulation“, „DSGVO“) bewertet. Zudem wurde festgestellt, dass die Speicherung von Fahrdaten über einen Zeitraum von 13 Monaten nicht mit den Grundsätzen der Zweckbindung und der Datenminimierung vereinbar ist.
Aus diesen Gründen entschied die Behörde, dass die Datenverarbeitung rechtswidrig sei, und ordnete die Löschung aller über Telematiksysteme erhobenen Daten sowie die Verhängung einer Geldbuße in Höhe von 120.000 € gegen das Unternehmen an.
Weitergabe einer Kündigungsnachricht in einer WhatsApp-Gruppe: Verwarnung der Datenschutzbehörde an den Arbeitgeber
Die belgische Datenschutzbehörde leitete eine Untersuchung gegen den Arbeitgeber ein, nachdem ein Vorgesetzter die Kündigungsnachricht eines Mitarbeiters in einer WhatsApp-Gruppe des Unternehmens geteilt hatte, und erließ eine Verwarnung an den für die Datenverarbeitung Verantwortlichen.
Im konkreten Fall hatte ein Mitarbeiter (Student) seinem Vorgesetzten über WhatsApp seine Kündigung mitgeteilt; der Vorgesetzte teilte jedoch Screenshots dieser Korrespondenz in einer WhatsApp-Gruppe mit Bezug zum Arbeitsplatz. Auf den Screenshots waren der Name des Mitarbeiters und der Inhalt der Korrespondenz deutlich zu erkennen. Die betroffene Person reichte bei der Behörde Beschwerde ein und erklärte, dass sie für diese Weitergabe keine Einwilligung erteilt habe.
Die Behörde stellte fest, dass die Person, die den Screenshot geteilt hatte, ein Mitarbeiter des für die Datenverarbeitung Verantwortlichen war und dass gemäß Art. 29 DSGVO Datenverarbeitungsvorgänge, die von Mitarbeitern durchgeführt werden, grundsätzlich als unter der Aufsicht und Kontrolle des für die Datenverarbeitung Verantwortlichen erfolgt gelten. Daher wurde festgestellt, dass die Handlung des betreffenden Vorgesetzten nicht unabhängig vom für die Datenverarbeitung Verantwortlichen bewertet werden könne.
Bei der durchgeführten Prüfung wurde festgestellt, dass die betreffende Weitergabe nicht auf einer gültigen Rechtsgrundlage im Sinne von Art. 6 Abs. 1 DSGVO beruhte, obwohl der für die Datenverarbeitung Verantwortliche erklärt hatte, die erforderlichen technischen und organisatorischen Maßnahmen getroffen zu haben. Darüber hinaus hat die Behörde festgestellt, dass der für die Datenverarbeitung Verantwortliche hinsichtlich seiner Rechenschaftspflicht (Art. 5 Abs. 2) und seiner Verpflichtung zur Ergreifung geeigneter technischer und organisatorischer Maßnahmen (Art. 24 Abs. 1) einem Risiko ausgesetzt ist.
Aus diesen Gründen wurde gegen den für die Datenverarbeitung Verantwortlichen eine förmliche Mahnung erlassen, wonach er künftig die Einhaltung der Artikel 5 Absatz 2 und 24 Absatz 1 der DSGVO sicherstellen muss.
GRC-RECHTLICHE PERSPEKTIVE
Betrachtet man beide Entscheidungen gemeinsam, so zeigt sich, dass die Grenzen des „unternehmerischen Kontrollbereichs“ bei der Datenverarbeitung in Bezug auf Mitarbeiter recht weit ausgelegt werden. Sowohl bei telematischen Fahrzeugortungssystemen als auch bei der Weitergabe von Informationen über WhatsApp wurden die Handlungen der Mitarbeiter nicht unabhängig vom Datenverantwortlichen bewertet, sondern direkt im Rahmen der Verantwortung der Unternehmensorganisation behandelt.
Insbesondere in Fällen, in denen sich die Verarbeitung auf ein berechtigtes Interesse stützt, stellt die fehlende konkrete und dokumentierbare Durchführung der Abwägungsprüfung ein erhebliches Compliance-Risiko dar. Darüber hinaus wird deutlich, dass „aus Gewohnheit praktizierte Vorgehensweisen“ in Bereichen wie Datenaufbewahrungsfristen, Übermittlungen zwischen Konzernunternehmen und der Kontrolle interner Kommunikationskanäle im Hinblick auf die Datenschutzvorschriften nicht vertretbar sind.
Unserer Ansicht nach zeigen diese Entscheidungen, dass sich Arbeitgeber nicht damit begnügen dürfen, lediglich Richtlinien zu veröffentlichen, sondern dass sie ein aktives Daten-Governance- und Kontrollsystem einrichten müssen, das auch alltägliche operative Praktiken wie interne Kommunikationsmittel, Standortbestimmungssysteme und Messaging-Gruppen umfasst. Der Grundsatz der Rechenschaftspflicht ist kein abstraktes Prinzip mehr, sondern hat sich zu einer konkreten Erwartung an organisatorische Kontrollen gewandelt.
In diesem Zusammenhang darf nicht vergessen werden, dass die Entscheidungen der Datenschutzbehörden der Europäischen Union, auch wenn sie nicht unmittelbar bindend sind, hinsichtlich der Anwendungspraxis und der Auslegungsmethode eine wichtige Referenz für das türkische Datenschutzsystem darstellen. Insbesondere wird davon ausgegangen, dass der dargelegte Ansatz in Bezug auf Rechenschaftspflicht, die Grenzen des berechtigten Interesses und die Angemessenheit technischer und administrativer Maßnahmen auch für die Praxis der Datenschutzbehörde einen wegweisenden Rahmen bietet.
„Omnibus“-Debatte in der EU: Gemeinsame Stellungnahme von EDPB und EDPS
Der von der Europäischen Kommission ausgearbeitete Entwurf der AI Digital Omnibus Regulation (2025/0359/EU) („Entwurf“) ist ein Änderungspaket, das darauf abzielt, bestimmte Verpflichtungen, die im Rahmen wichtiger Rechtsvorschriften der Europäischen Union wie der DSGVO und NIS2 eingeführt wurden, zu vereinfachen und den in der Praxis entstehenden Verwaltungsaufwand zu verringern.
Der als „Omnibus“ bezeichnete Entwurf sieht gleichzeitige Änderungen an verschiedenen Bestimmungen des AI Act vor und zielt insbesondere darauf ab, Regelungen in Bereichen wie risikoreiche Systeme, Aufzeichnungspflichten, Kontrollbefugnisse, KI-Kompetenz und Zeitplan für die Umsetzung einzuführen.
Die vom Europäischen Datenschutzausschuss („EDPB“) und dem Europäischen Datenschutzbeauftragten („EDPS“) verabschiedete Gemeinsame Stellungnahme 1/2026, die sich auf diesen Entwurf bezieht, zeigt die kritischsten Risikobereiche aus datenschutzrechtlicher Sicht auf.
Beide Institutionen unterstützen zwar das allgemeine Ziel der Vereinfachung des Entwurfs, haben jedoch wichtige Warnungen ausgesprochen, dass bestimmte Änderungen den Schutz der Grundrechte schwächen und Rechtsunsicherheit schaffen könnten.
1- Verarbeitung sensibler Daten zum Zwecke der Erkennung und Beseitigung von Vorurteilen
Der Entwurf erweitert die Rechtsgrundlage für die Verarbeitung sensibler Daten zum Zwecke der Feststellung und Beseitigung von Diskriminierung. Der EDPB und der EDPS unterstützen diese Erweiterung zwar grundsätzlich, weisen jedoch darauf hin, dass sie auf „strictly necessary“ Fälle beschränkt werden und ein klarerer Rahmen in Bezug auf Artikel 6 und 9 der DSGVO geschaffen werden muss.
2- Registrierungspflicht für Systeme mit hohem Risiko
Es wird vorgeschlagen, die Registrierungspflicht für bestimmte Anbieter in der EU-Datenbank aufzuheben. In der Stellungnahme wird darauf hingewiesen, dass diese Änderung die Rechenschaftspflicht beeinträchtigen und zu einer weitreichenden Auslegung der Ausnahme führen könnte.
3- Ausweitung der für KMU geltenden Sonderregelungen auf mittelständische Unternehmen
Im Entwurf wird vorgeschlagen, bestimmte administrative Erleichterungen, die kleinen und mittleren Unternehmen gewährt werden, auch auf mittelständische (Small-Mid-Cap-)Unternehmen auszudehnen, die den KMU-Status überschreiten. Der EDPB und der EDPS warnen davor, dass die Unternehmensgröße allein nicht proportional zum potenziellen Risiko ist.
4- KI-Regulierungs-Sandboxes auf EU-Ebene
Der Entwurf sieht zusätzlich zu den Sandboxes auf nationaler Ebene einen Mechanismus für KI-Regulierungs-Sandboxes auf EU-Ebene vor. Der EDPB und der EDPS begrüßen diesen Ansatz grundsätzlich, weisen jedoch darauf hin, dass einige strukturelle Lücken geschlossen werden müssen, um Rechtssicherheit zu gewährleisten.
5- Verpflichtung zur KI-Kompetenz
Es wird vorgeschlagen, die Verpflichtung zur KI-Kompetenz für die Mitarbeiter von Anbietern und Betreibern aufzuheben. In der Stellungnahme wird argumentiert, dass diese Verpflichtung beibehalten werden sollte.
6- Zeitplanänderung bei Verpflichtungen für risikoreiche Systeme und Transparenz
Der Entwurf sieht vor, den Zeitpunkt des Inkrafttretens der Verpflichtungen für risikoreiche KI-Systeme um höchstens 16 Monate zu verschieben. EDPB und EDPS erkennen zwar die praktischen Vorbereitungsschwierigkeiten an, warnen jedoch davor, dass diese Verschiebung dazu führen könnte, dass mehr Systeme vom Geltungsbereich des AI Act ausfallen, was das Risiko einer Schwächung des Schutzes der Grundrechte und der Schaffung von Rechtsunsicherheit birgt.
GRC-RECHTLICHE PERSPEKTIVE
Der Entwurf des AI Digital Omnibus stellt ein Vereinfachungspaket dar, das darauf abzielt, die Compliance-Kosten für Unternehmen sowie die administrativen Herausforderungen während der Umsetzung zu verringern. Insbesondere soll die operative Belastung durch die Regulierung gemildert werden, indem Flexibilität in Bereichen wie hochrisikobehaftete Systeme, Registrierungspflichten und der Umsetzungszeitplan gewährt wird.
In der gemeinsamen Stellungnahme wird jedoch besonders auf die möglichen Auswirkungen einer Verringerung der Verpflichtungen auf die Grundrechte hingewiesen. In der Stellungnahme wird zwar anerkannt, dass das Ziel der Vereinfachung legitim ist, jedoch betont, dass die Standards in Bezug auf Rechenschaftspflicht, Rechtssicherheit und Datenschutz nicht geschwächt werden dürfen.
Darüber hinaus sind im Rahmen des von der Europäischen Kommission am 20. Januar 2026 vorgestellten Cybersicherheitspakets zahlreiche Änderungen im Zusammenhang mit der NIS2-Richtlinie („Netz- und Informationssicherheit“) und dem Cybersecurity Act vorgesehen. Insbesondere die neuen Regelungen zu kritischer Infrastruktur, Lieferkettensicherheit und Zertifizierungsmechanismen deuten, in Verbindung mit den Omnibus-Entwicklungen, darauf hin, dass die EU bestrebt ist, ihre Architektur für Cyber-Resilienz und Daten-Governance neu zu gestalten.
Auch aus Sicht der Türkei sollten diese Entwicklungen aufmerksam verfolgt werden. Während nach dem Inkrafttreten des Cybersicherheitsgesetzes Nr. 7545 im März 2025 die Fertigstellung der sekundären Rechtsvorschriften innerhalb eines Jahres erwartet wird, zeigen die umfassenden Überarbeitungen der als Vorbild dienenden EU-Vorschriften, dass der regulatorische Rahmen nach wie vor dynamisch und im Wandel begriffen ist.
Eine neue Ära für kritische Infrastrukturen in der Schweiz
Am 18. Februar 2026 gab der Schweizer Bundesrat bekannt, dass er einen neuen Gesetzgebungsprozess zur Verbesserung der Widerstandsfähigkeit und Datensicherheit der kritischen Infrastrukturen des Landes eingeleitet hat .
Mit den geplanten Regelungen sollen:
- verbindliche Standards für die Widerstandsfähigkeit und Zuverlässigkeit für Betreiber kritischer Infrastrukturen eingeführt werden,
- die Pflichten zur Sicherung sicherheitskritischer digitaler Daten, die sich im Besitz der Bundesregierung, der Kantone und der Betreiber kritischer Infrastrukturen befinden, präzisiert werden,
- bestehende sektorale Lücken geschlossen und ein ganzheitlicherer Rahmen für die Cybersicherheit geschaffen werden.
Die Regelung, die grundlegende Sektoren für das Funktionieren der Gesellschaft wie Strom, Gesundheit und Telekommunikation abdeckt, soll bis Ende 2026 in Form von zwei separaten Gesetzesentwürfen ausgearbeitet werden.
GRC-BEGRIFF DES MONATS
Shadow Data
Shadow Data (Schattendaten) bezeichnet alle Arten von Daten, die außerhalb eines zentralen und sicheren Datenmanagement-Rahmens erstellt, gespeichert oder geteilt werden. Im Unternehmenskontext handelt es sich dabei um Datensätze, die nicht im offiziellen Dateninventar, in Registrierungssystemen oder unter der direkten Kontrolle der IT-Abteilung stehen, sondern tatsächlich von Mitarbeitern/Abteilungen oder über Tools von Drittanbietern erzeugt werden und verstreut in verschiedenen Umgebungen vorliegen .
Shadow Data kann entstehen, wenn Mitarbeiter aus Bequemlichkeitsgründen Daten auf persönliche Geräte übertragen, in Cloud-Speichern ohne Sicherheitsmaßnahmen ablegen oder in übersehenen Tabellen einer Datenbank hinterlassen.
- Verarbeitungsaktivitäten, die nicht im Dateninventar erfasst sind (Verlust der Transparenz)
- Dateien, die nicht unter die Aufbewahrungsfristen und Löschkontrollen fallen
- Drittanbieterplattformen, die für unbefugten Zugriff und Cyberangriffe anfällig sind
- Die Unmöglichkeit, im Falle einer Datenverletzung den Umfang und die Auswirkungen schnell zu ermitteln (Verzögerung bei der Reaktion/Kostensteigerung)
Dies ist nicht nur ein Problem der Cybersicherheit, sondern steht auch in direktem Zusammenhang mit der Rechenschaftspflicht und der Verpflichtung zur Ergreifung von Maßnahmen zur Datensicherheit im Rahmen der Datenschutzgesetzgebung.
Aus diesen Gründen ist es für Unternehmen von entscheidender Bedeutung, ihre Datenflüsse nicht nur auf der Ebene von Richtlinien und Verträgen, sondern auch in der praktischen Umsetzung sichtbar zu machen. In diesem Zusammenhang
- gehören die Erstellung und regelmäßige Überprüfung eines aktuellen und dynamischen Dateninventars,
- die regelmäßige Überprüfung von Zugriffsberechtigungen sowie die tatsächliche Umsetzung von Aufbewahrungs- und Vernichtungsprozessen
gehören zu den grundlegenden Maßnahmen zur Minderung des Risikos durch Shadow Data.