GRC PERSPEKTIVE: DATENSCHUTZ- & COMPLIANCE-NEWSLETTER – JUNI 2026
WAS PASSIERT IN DER TÜRKEI?
Öffentliche Bekanntmachung zum Einsatz von Videoüberwachungssystemen am Arbeitsplatz veröffentlicht
In der Bekanntmachung wird betont, dass die mittels Überwachungskameras am Arbeitsplatz durchgeführten Bildaufzeichnungen eine Verarbeitung personenbezogener Daten darstellen und dass diese Tätigkeiten in diesem Zusammenhang in Übereinstimmung mit dem Gesetz Nr. 6698 zum Schutz personenbezogener Daten („KVKK“ oder „Gesetz“) durchgeführt werden müssen.
Die Behörde weist insbesondere darauf hin, dass der Verwendungszweck von Videoüberwachungssystemen im Voraus festgelegt werden muss, dass die Verarbeitung auf bestimmte, eindeutige und rechtmäßige Zwecke ausgerichtet sein muss, dass die verarbeiteten Daten dem Zweck angemessen, beschränkt und verhältnismäßig sein müssen und dass der Grundsatz der Datenminimierung zu beachten ist. In diesem Zusammenhang wurde festgestellt, dass der Einsatz von Kameras zwar für Zwecke wie die Gewährleistung der Sicherheit am Arbeitsplatz, die Überwachung von Arbeitsschutzmaßnahmen oder die Verhinderung von Straftaten zulässig ist, die Nutzung von Kamerasystemen zur Überwachung der Leistung der Beschäftigten, zur Messung ihrer Produktivität oder zur allgemeinen Überwachung jedoch nicht als rechtmäßiger Zweck angesehen werden kann.
In der Bekanntmachung wurde ferner darauf hingewiesen, dass die Positionierung der Kameras und die Blickwinkel im Rahmen des Grundsatzes der Verhältnismäßigkeit festgelegt werden müssen, dass die berechtigten Erwartungen der Beschäftigten an ihre Privatsphäre zu berücksichtigen sind und dass in Bereichen mit besonderem Charakter, wie Toiletten, Umkleideräumen, Gebetsräumen und Pausenräumen, keine Kamerasysteme eingesetzt werden dürfen. Es wurde betont, dass Systeme mit Tonaufzeichnungsfunktion aufgrund des stärkeren Eingriffs in die Privatsphäre nur in Fällen eingesetzt werden dürfen, in denen dies notwendig und rechtlich begründbar ist.
Darüber hinaus wurde daran erinnert, dass die Mitarbeiter angemessen darüber aufgeklärt werden müssen, dass sie per Kamera aufgezeichnet werden, dass die erforderlichen technischen und administrativen Maßnahmen zur Gewährleistung der Sicherheit der Aufzeichnungen getroffen werden müssen, dass der Zugriff auf die Aufzeichnungen auf befugte Personen beschränkt sein muss und dass die Aufzeichnungen nur so lange aufbewahrt werden dürfen, wie es für den Verarbeitungszweck erforderlich ist, und anschließend gelöscht, vernichtet oder anonymisiert werden müssen. Die Behörde hat ferner darauf hingewiesen, dass bei Feststellung von Verstößen gegen die genannten Verpflichtungen im Rahmen des Datenschutzgesetzes (KVKK) Verwaltungssanktionen gegen die betreffenden Verantwortlichen verhängt werden können.
Öffentliche Bekanntmachung zum Einsatz von Videoüberwachungssystemen in Wohnanlagen veröffentlicht
In der Bekanntmachung wurde betont, dass der Einsatz von Kameras zu Sicherheitszwecken zulässig ist, diese Aktivitäten jedoch im Einklang mit dem Gesetz durchgeführt werden müssen. Die Behörde wies darauf hin, dass die Aufzeichnung von Personenbildern mittels Kamerasystemen eine Verarbeitung personenbezogener Daten darstellt und dass die Verwaltungen von Wohnanlagen/Wohnkomplexen in ihrer Eigenschaft als Verantwortliche den Verpflichtungen im Rahmen des Datenschutzgesetzes (KVKK) unterliegen.
Darüber hinaus wurde erklärt, dass zwar im Rahmen des Gesetzes Nr. 634 über das Wohnungseigentum Kameras zu Sicherheitszwecken in Gemeinschaftsbereichen installiert werden dürfen, diese Befugnis jedoch nicht unabhängig von den Bestimmungen des KVKK bewertet werden kann. In der Bekanntmachung wurde darauf hingewiesen, dass die Anordnung der Kameras dem Grundsatz der Verhältnismäßigkeit entsprechen muss; private Bereiche (z. B. der Bereich vor der Wohnungstür, von dem aus das Innere der Wohnung einsehbar ist) dürfen nicht überwacht werden, zusätzliche Technologien wie Gesichtserkennung oder Tonaufzeichnung dürfen nicht eingesetzt werden und es dürfen keine unnötig weitreichenden Aufzeichnungen erfolgen.
Zudem wurde betont, dass die Aufzeichnungen nur so lange wie nötig aufbewahrt, vor unbefugtem Zugriff geschützt und die betroffenen Personen gemäß Artikel 10 des KVKK aufgeklärt werden müssen. Die Behörde hat daran erinnert, dass die für die Datenverarbeitung Verantwortlichen gemäß Artikel 12 des KVKK verpflichtet sind, die erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen; andernfalls könnten gemäß Artikel 18 administrative Sanktionen verhängt werden.
GRC-RECHTLICHE PERSPEKTIVE
Betrachtet man beide öffentlichen Bekanntmachungen gemeinsam, so wird deutlich, dass die Behörde erneut an die seit Langem geltenden Grundsätze des KVKK in Bezug auf den Einsatz von Überwachungskameras erinnert und insbesondere auf Verstöße in der Praxis hinweist. Diese Punkte bringen keine neuen Verpflichtungen mit sich, sondern stellen vielmehr eine Mahnung dar, die darauf abzielt, dass die für die Datenverarbeitung Verantwortlichen ihre bestehenden Verpflichtungen angesichts der zunehmenden Beschwerden und des Kontrollbedarfs tatsächlich umsetzen. In diesem Zusammenhang behält die wirksame Umsetzung grundlegender Prinzipien wie Datenminimierung, Verhältnismäßigkeit, Zweckbindung, Aufbewahrungsfrist und Informationspflicht in der Praxis ihre Bedeutung.
Veröffentlichung eines Urteils des Verfassungsgerichts zur Bewertung öffentlich zugänglicher personenbezogener Daten und des Grundsatzes der Gesetzmäßigkeit in Straf- und Strafverfahren
Mit der Entscheidung des Verfassungsgerichts, die im Amtsblatt Nr. 33282 vom 6.06.2026 veröffentlicht wurde, wurde einstimmig festgestellt, dass im Zusammenhang mit einer im Rahmen des Datenschutzgesetzes (KVKK) verhängten Verwaltungsstrafe der Grundsatz der Gesetzmäßigkeit in Strafsachen verletzt wurde.
Im vorliegenden Fall hatte die Datenschutzbehörde eine Verwaltungsstrafe verhängt, weil eine Versicherungsgesellschaft die betroffene Person ohne deren ausdrückliche Einwilligung zu Marketingzwecken telefonisch kontaktiert hatte. Das klagende Unternehmen machte geltend, dass der Vor- und Nachname sowie die Telefonnummer der betroffenen Person auf einer öffentlich zugänglichen Website veröffentlicht waren und die betreffenden Daten daher als öffentlich zugängliche personenbezogene Daten im Sinne von Artikel 5 Absatz 2 Buchstabe d des Gesetzes zu betrachten seien.
Demgegenüber hat die Datenschutzbehörde festgestellt, dass die bloße Zugänglichkeit personenbezogener Daten im Internet nicht allein als Veröffentlichung gewertet werden könne; sie hat die Verwaltungsstrafe verhängt und dabei darauf hingewiesen, dass die Daten nur in Übereinstimmung mit dem Willen und dem Zweck der betroffenen Person zur Veröffentlichung verarbeitet werden dürften.
Das Verfassungsgericht hat hingegen festgestellt, dass das Gesetz zwar regelt, dass öffentlich zugängliche personenbezogene Daten unter bestimmten Voraussetzungen ohne ausdrückliche Einwilligung verarbeitet werden dürfen, dass jedoch keine klaren und vorhersehbaren Regelungen hinsichtlich des Umfangs der Veröffentlichung, der Feststellung des Veröffentlichungswillens und der rechtlichen Folgen einer Nutzung außerhalb des Veröffentlichungszwecks enthalten sind. Das Gericht hat betont, dass der Versuch, diese Punkte lediglich anhand des nicht bindenden Leitfadens der Datenschutzbehörde zu erläutern, keine ausreichende Rechtsgrundlage für die Verhängung einer Verwaltungsstrafe darstelle.
In diesem Zusammenhang kam das Verfassungsgericht zu dem Schluss, dass die Verwaltungsstrafe auf einer unvorhersehbaren Auslegung der gesetzlichen Bestimmung beruhe, und entschied, dass der in Artikel 38 der Verfassung garantierte Grundsatz der Gesetzmäßigkeit von Straftaten und Strafen verletzt worden sei; es ordnete an, die Akte zur erneuten Verhandlung an das 5. Strafgericht für Bagatellsachen in Istanbul-Anadolu zu überweisen.
GRC LEGAL PERSPEKTIVE
Die betreffende Entscheidung des Verfassungsgerichts schafft Klarheit in einer wichtigen Frage, die bei der Anwendung des Datenschutzgesetzes (KVKK) seit langem diskutiert wird. Mit dieser Entscheidung wurde eindeutig festgestellt, dass die vom Ausschuss veröffentlichten Leitfäden und Dokumente zu bewährten Praktiken zwar als Orientierungshilfe für die für die Datenverarbeitung Verantwortlichen dienen, eine Verpflichtung, die nicht ausdrücklich im Gesetz geregelt ist, jedoch nicht allein auf der Grundlage dieser Leitfäden Gegenstand einer Verwaltungssanktion sein kann. Dieser Ansatz bestätigt, dass die Grundsätze der Gesetzmäßigkeit von Straftaten und Strafen sowie der Rechtssicherheit auch im Hinblick auf Verwaltungssanktionen im Rahmen des KVKK maßgeblich sind.
In der Entscheidung wurde insbesondere betont, dass die in Artikel 5 des Gesetzes enthaltene Voraussetzung der Verarbeitung „öffentlich zugänglicher personenbezogener Daten“ – insbesondere die im Gesetz nicht geregelten Kriterien des „Willens zur Veröffentlichung“ oder der „zweckkonformen Nutzung“ – nicht allein durch Leitfäden als Sanktionsgrund herangezogen werden können. In dieser Hinsicht kann das Urteil dazu beitragen, einen besser vorhersehbaren Rahmen für die Verarbeitung öffentlich zugänglicher personenbezogener Daten in der Praxis zu schaffen.
Das Urteil sollte jedoch nicht so ausgelegt werden, dass öffentlich zugängliche personenbezogene Daten in jedem Fall frei verarbeitet werden dürfen oder dass die Leitfäden des Ausschusses an Bedeutung verloren hätten. Die Leitfäden behalten für die für die Datenverarbeitung Verantwortlichen weiterhin ihren wegweisenden Charakter bei der Einhaltung der Vorschriften.
Der wichtigste Grundsatz, den die Entscheidung aufzeigt, ist jedoch, dass die Rechtsgrundlage für Verwaltungssanktionen direkt in den Bestimmungen des Gesetzes klar und vorhersehbar verankert sein muss. In diesem Zusammenhang wird davon ausgegangen, dass die Entscheidung insbesondere in Gerichtsverfahren gegen Verwaltungsgeldstrafen als wichtige Rechtsprechung auf der Grundlage des Grundsatzes der Rechtmäßigkeit berücksichtigt werden wird.
Das Partnerschaftsabkommen zur digitalen Wirtschaft der Organisation der Turkstaaten ist in Kraft getreten
Das Partnerschaftsabkommen zur digitalen Wirtschaft zwischen den Regierungen der Mitgliedstaaten der Organisation der Turkstaaten (OTS), das im Rahmen der OTS zur Förderung des digitalen Handels und zur Schaffung eines gemeinsamen Rahmens für die Datensicherheit ausgearbeitet wurde, ist mit der Veröffentlichung des Gesetzes zur Ratifizierung des Partnerschaftsabkommens zur digitalen Wirtschaft im Amtsblatt vom 20. Juni 2026 das Gesetz zur Ratifizierung des Partnerschaftsabkommens zur digitalen Wirtschaft veröffentlicht wurde und damit in Kraft getreten ist. Das betreffende Abkommen wurde am 6. November 2024 in Bischkek unterzeichnet.
Das Abkommen zielt darauf ab, die Zusammenarbeit im Bereich der digitalen Wirtschaft zu stärken, und widmet dem Schutz personenbezogener Daten einen besonderen Regelungsbereich. In diesem Zusammenhang ist gemäß Artikel 19 des Abkommens vorgesehen, dass die Vertragsstaaten einen nationalen Rechtsrahmen für den Schutz personenbezogener Daten schaffen oder bestehende Regelungen beibehalten. Zu den grundlegenden Verpflichtungen gehören zudem die Festlegung klarer Regeln für den grenzüberschreitenden Datentransfer sowie die Erhöhung der Transparenz hinsichtlich der Datenschutzpraktiken.
Darüber hinaus wird von den Vertragsstaaten erwartet, dass sie ihre Datenschutzgesetze und -praktiken öffentlich und zugänglich veröffentlichen, über die Rechtsbehelfe für Einzelpersonen sowie über die Pflichten der für die Datenverarbeitung Verantwortlichen informieren und Unternehmen dazu anregen, ihre Datenschutzrichtlinien und -verfahren transparent offenzulegen.
Das Abkommen akzeptiert zwar die unterschiedlichen rechtlichen Ansätze der Vertragsstaaten, sieht jedoch auch einen verstärkten Austausch von Wissen und Erfahrungen in diesem Bereich vor. Die vorliegende Regelung stellt einen wichtigen Schritt dar, um zwischen den Mitgliedsländern der Organisation der Turkstaaten gemeinsame Standards im Bereich der digitalen Wirtschaft und des Schutzes personenbezogener Daten zu entwickeln und die rechtliche Vorhersehbarkeit beim grenzüberschreitenden Datenverkehr zu erhöhen.
Öffentliche Bekanntmachung zur Verarbeitung personenbezogener Daten bei Live-Übertragungen von Kommunen veröffentlicht
Die Behörde hat festgestellt, dass die Darstellung von Gesichtern natürlicher Personen und von Kfz-Kennzeichen im Rahmen dieser Übertragungen – selbst wenn keine Aufzeichnung erfolgt – eine Verarbeitung personenbezogener Daten im Sinne des Gesetzes darstellt, da diese Informationen über das Internet zugänglich gemacht werden. In diesem Zusammenhang wurde festgestellt, dass die im Gemeindegesetz Nr. 5393 enthaltene Befugnis im Bereich Tourismus und Werbung für die genannte Datenverarbeitung allein keine ausreichende und eindeutige Rechtsgrundlage darstellt; außerdem seien die in Artikel 5 des Gesetzes festgelegten Bedingungen für die Datenverarbeitung nicht erfüllt.
Die Behörde hat ferner festgestellt, dass solche Praktiken einen Eingriff in das Recht auf Privatsphäre darstellen; dass sie das Risiko des Missbrauchs erhöhen, da die Aufnahmen im Internet einer unbegrenzten Anzahl von Personen zugänglich sind; und dass dasselbe Werbeziel auch mit alternativen Methoden erreicht werden kann, die keine personenbezogenen Daten enthalten.
In diesem Zusammenhang hat die Behörde darauf hingewiesen, dass die Kommunen ihre bestehenden Live-Übertragungsanwendungen, die eine Identitätsfeststellung ermöglichen, unverzüglich einstellen, auf alternative Methoden ohne personenbezogene Daten zurückgreifen und gemäß Artikel 12 des Gesetzes die erforderlichen technischen und administrativen Maßnahmen ergreifen müssen. Andernfalls wurde der Öffentlichkeit mitgeteilt, dass im Rahmen von Artikel 18 des Gesetzes administrative Sanktionen verhängt werden können.
GRC-RECHTLICHE PERSPEKTIVE
Die betreffende Bekanntmachung stellt weniger einen neuen rechtlichen Ansatz im Hinblick auf das Datenschutzgesetz dar, als vielmehr zeigt sie, dass die seit langem geltenden Grundsätze der Datenverarbeitung auch im Zusammenhang mit den von den Kommunen durchgeführten Live-Übertragungen kompromisslos angewendet werden. Angesichts der in letzter Zeit zunehmenden Beschwerden in diesem Bereich wird davon ausgegangen, dass die Behörde ihre Kontroll- und Sensibilisierungsmaßnahmen zur Umsetzung der bestehenden Verpflichtungen verstärkt hat.
Gleichzeitig ist festzustellen, dass die Praxis in einigen Kommunen derzeit fortgesetzt wird, was nach Einschätzung der Behörde das Risiko administrativer Sanktionen mit sich bringen könnte. Im Rahmen des Ansatzes der Behörde ist es wichtig, in Fällen, in denen dasselbe Werbeziel mit alternativen Methoden ohne personenbezogene Daten erreicht werden kann, diesen Methoden den Vorzug zu geben.
Grundsatzbeschluss Nr. 2026/921 des Datenschutzausschusses veröffentlicht
Der im Amtsblatt Nr. 33268 vom 02.06.2026 veröffentlichte Grundsatzbeschluss Nr. 2026/921 des Datenschutzausschusses regelt die Grundsätze für die Verarbeitung biometrischer Daten (Fingerabdrücke, Gesichtserkennung, Iris- und Netzhautscans usw.) durch Arbeitgeber zum Zweck der Arbeitszeiterfassung.
Die Behörde hat betont, dass biometrische Daten zu den besonders schützenswerten personenbezogenen Daten gehören und einem hohen Schutzstandard unterliegen. In der Entscheidung wird festgestellt, dass die Verarbeitung biometrischer Daten zum Zweck der Arbeitszeiterfassung selbst bei Vorliegen einer ausdrücklichen Einwilligung aufgrund des Machtungleichgewichts im Arbeitnehmer-Arbeitgeber-Verhältnis allein möglicherweise nicht ausreichend sein kann. Darüber hinaus hat die Kommission erklärt, dass eine solche Datenverarbeitung im Hinblick auf die Grundsätze der Verhältnismäßigkeit, der Notwendigkeit und der Datenminimierung zu bewerten sei; in Fällen, in denen weniger eingreifende alternative Methoden wie Karten, PINs, RFID/NFC oder Unterschriften zur Arbeitszeiterfassung zur Verfügung stehen, könnten biometrische Methoden nicht als zwingend erforderlich angesehen werden.
Zusammenfassend wurde mit der Grundsatzentscheidung klargestellt, dass Arbeitgeber ihre auf biometrischen Daten basierenden Arbeitszeiterfassungssysteme im Hinblick auf die Konformität mit dem Datenschutzgesetz (KVKK) erneut überprüfen müssen; andernfalls könnten im Rahmen des Gesetzes administrative Sanktionen verhängt werden.
Der türkische Aktionsplan für künstliche Intelligenz wurde vorgestellt
Der von Präsident Recep Tayyip Erdoğan auf dem türkischen Gipfel für künstliche Intelligenz vorgestellte türkische Aktionsplan für künstliche Intelligenz 2026–2030 enthält umfassende Ziele zur Stärkung der nationalen Kapazitäten im Bereich der künstlichen Intelligenz.
Der Plan basiert auf vier Grundpfeilern – „erkennen, nutzen, entwickeln und steuern“ – und in diesem Rahmen gehören die Förderung der KI-Kompetenz sowie die Entwicklung von Humanressourcen zu den vorrangigen Bereichen. In diesem Zusammenhang wird die Einführung des Nationalen Programms zur KI-Kompetenz angestrebt, wobei durch Workshops, die in allen 81 Provinzen eingerichtet werden sollen, innerhalb von zwei Jahren 5 Millionen Bürger geschult und 10.000 hochqualifizierte KI-Experten sowie 100.000 Anwendungsfachleute ausgebildet werden sollen.
Der Plan enthält zudem wichtige Maßnahmen zur Stärkung der Dateninfrastruktur. Es ist vorgesehen, mindestens 2.000 öffentliche Datensätze – vor allem aus den Bereichen Gesundheit, Landwirtschaft, Verteidigung und E-Commerce – über die Nationale Datenbibliothek zugänglich zu machen. Darüber hinaus ist vorgesehen, mindestens 2 % der öffentlichen Investitionen für KI-Projekte bereitzustellen, die Kapazität der Rechenzentren bis zum Jahr 2030 auf 1 Gigawatt (GW) zu erhöhen und Investitionen in Höhe von mindestens 10 Milliarden US-Dollar in KI-Infrastrukturen zu mobilisieren, wobei der Schwerpunkt auf dem privaten Sektor liegt.
Der vorliegende Aktionsplan stellt einen strategischen Fahrplan für die Entwicklung des KI-Ökosystems in der Türkei, die Beschleunigung der datengestützten Transformation und die Steigerung der Wettbewerbsfähigkeit in der digitalen Wirtschaft dar.
Threads in der Türkei wieder verfügbar
In der Erklärung der Wettbewerbsbehörde wurde darauf hingewiesen, dass der Antrag auf die erneute Bereitstellung der Threads-App in der Türkei mit den vom Wettbewerbsrat genehmigten Verpflichtungszusagen im Einklang steht. In diesem Zusammenhang wurde erklärt, dass Nutzer Threads entweder über ihr Instagram-Konto oder allein unter Verwendung ihrer Handynummer nutzen können, indem sie ein von Instagram unabhängiges Konto erstellen. Zudem wurde festgelegt, dass bei Wahl eines von Instagram unabhängigen Kontos die über Threads erhobenen Daten nicht mit Instagram-Daten zusammengeführt werden.
Im Rahmen der von der Wettbewerbsbehörde durchgeführten Untersuchung zu diesem Vorgang wurden wettbewerbsrechtliche Bedenken hinsichtlich der Datenzusammenführung durch Meta geprüft. In diesem Zusammenhang wurde im Rahmen der 2023 eingeleiteten Untersuchung festgestellt, dass Meta dank seiner breiten Nutzerbasis und seines umfangreichen Datenbestands eine starke Marktposition einnimmt, was die Meta-Dienste für Werbekunden attraktiv macht und durch die Erschwerung des Zugangs zu Werbeeinnahmen für Wettbewerber eine Markteintrittsbarriere darstellen könnte.
Aufgrund dieser Einschätzungen wurde eine einstweilige Verfügung zur Einschränkung der Datenbündelungspraktiken erlassen und festgelegt, dass bei Nichteinhaltung der betreffenden Auflagen tägliche Bußgelder verhängt werden.
Im weiteren Verlauf wurden die von Meta vorgelegten Lösungsvorschläge von der Wettbewerbsbehörde geprüft, jedoch als unzureichend zur Beseitigung der wettbewerbsrechtlichen Bedenken hinsichtlich der Datenbündelung erachtet und daher nicht akzeptiert. Da die in der einstweiligen Verfügung festgelegten Auflagen schließlich gegenstandslos wurden, wurde die Verhängung der täglichen Bußgelder eingestellt. Diese Entwicklung zeigt, dass plattformübergreifende Datenbündelungspraktiken aus wettbewerbsrechtlicher Sicht genau beobachtet werden und sich der regulatorische Ansatz hinsichtlich der Datennutzung in digitalen Ökosystemen in einem zunehmend strengeren Rahmen formiert.
WAS PASSIERT WELTWEIT?
Gleichzeitige einstweilige Verfügungen aus der Türkei und der EU im Rahmen der Meta/WhatsApp-Meta-AI-Untersuchung
Nachdem die türkische Wettbewerbsbehörde im Fall Meta/WhatsApp-Meta AI eine einstweilige Verfügung erlassen hatte, folgte eine ähnliche Einschätzung auch seitens der Europäischen Kommission. Beide Behörden sind der Auffassung, dass hinsichtlich des Zugangs zu Vertriebskanälen für allgemeine KI-Dienste und der Auswirkungen dieses Zugangs auf den Wettbewerb erhebliche wettbewerbsrechtliche Bedenken bestehen.
In der Türkei hat die Wettbewerbsbehörde die Vorwürfe geprüft, wonach im Zuge der Integration von Meta AI in WhatsApp durch Meta der Zugang konkurrierender KI-Anbieter zur Plattform erschwert worden sei; sie kam zu dem Schluss, dass diese Praktiken schwerwiegende Verstöße im Sinne von Artikel 6 des Gesetzes Nr. 4054 darstellen, und ordnete bis zur endgültigen Entscheidung die Anordnung vorläufiger Maßnahmen an. In diesem Zusammenhang wurde Meta verpflichtet, die Voraussetzungen zu schaffen, damit generische, produktive KI-Chatbots von Drittanbietern ihre Dienste über WhatsApp anbieten können, und Maßnahmen zu unterlassen, die diese Dienste behindern könnten; die Umsetzung dieser Auflagen ist innerhalb eines Monats nach Zustellung der begründeten Entscheidung vorgesehen.
In ähnlicher Weise kam auch die Europäische Kommission zu der Einschätzung, dass die von Meta im Rahmen der „WhatsApp Business Solution Terms“ vorgenommenen Änderungen den Zugang konkurrierender, allgemein einsetzbarer KI-Chatbots zur WhatsApp for Business API einschränkten, und erließ eine einstweilige Verfügung. Die Kommission wies darauf hin, dass der Zugang durch die im Oktober 2025 vorgenommenen Änderungen faktisch blockiert wurde und im März kostenpflichtig wurde, dieses Modell für Wettbewerber jedoch wirtschaftlich nicht tragbar sei. In diesem Zusammenhang wurde festgestellt, dass Meta den konkurrierenden KI-Chatbots den Zugang zur WhatsApp Business API wieder gewähren muss, um die vor Oktober 2025 geltenden Bedingungen wiederherzustellen.
In beiden Verfahren liegt bislang noch keine endgültige Feststellung eines Verstoßes vor. Die sowohl in der Türkei als auch in der Europäischen Union erlassenen einstweiligen Verfügungen zeigen jedoch, dass die wettbewerbsrechtlichen Diskussionen über den Zugang zu Vertriebskanälen und die Plattformabhängigkeit bei allgemein nutzbaren KI-Diensten zu einem Bereich geworden sind, der zunehmend aufmerksam verfolgt wird.
Entscheidung der griechischen Datenschutzbehörde zur Weitergabe von Daten ehemaliger Mitarbeiter im Rahmen der DSGVO
In einer Entscheidung der griechischen Datenschutzbehörde wurden gegen das als Verantwortlicher auftretende Unternehmen und einen ehemaligen Manager Verwaltungsstrafen verhängt, da Unternehmens-E-Mails, die personenbezogene Daten eines ausgeschiedenen Mitarbeiters enthielten, ohne Benachrichtigung der betroffenen Person an den ehemaligen Manager weitergegeben worden waren.
In diesem Fall hatte die betroffene Person im Rahmen eines Arbeitsrechtsstreits gemäß Artikel 15 der Datenschutz-Grundverordnung (General Data Protection Regulation, „DSGVO“) vom Unternehmen Zugang zu ihren E-Mails verlangt; das Unternehmen gab jedoch an, dass die Konten gelöscht worden seien und die betreffenden E-Mails nicht mehr in seinen Systemen vorhanden seien. Im Laufe des Gerichtsverfahrens stellte sich hingegen heraus, dass die betreffenden E-Mails aus dem Unternehmensarchiv des ehemaligen Managers beschafft und dem Gericht vorgelegt worden waren.
Die Behörde erkannte an, dass der ehemalige Manager nach seinem Ausscheiden aus dem Unternehmen als Dritter galt und aufgrund der Speicherung und Weitergabe der Daten als unabhängiger Verantwortlicher angesehen werden könne. Zudem wurde festgestellt, dass die E-Mail-Inhalte den Charakter personenbezogener Daten trugen und dass die betroffene Person vor der Übermittlung dieser Daten informiert werden musste.
In diesem Zusammenhang wurde gegen das Unternehmen wegen Verstoßes gegen die Informationspflicht eine Geldbuße in Höhe von 20.000 Euro und gegen den ehemaligen Manager wegen Verstoßes gegen die Pflichten bei der Verarbeitung und Weitergabe personenbezogener Daten eine Geldbuße in Höhe von 2.000 Euro verhängt.
GRC-RECHTLICHE PERSPEKTIVE
Die betreffende Entscheidung zeigt deutlich, dass Unternehmens-E-Mail-Archive insbesondere im Hinblick auf ausgeschiedene Mitarbeiter das Risiko eines „unkontrollierten Datenflusses“ bergen können. Die Verwendung der Daten im Rahmen eines Rechtsverfahrens wird allein nicht als ausreichend angesehen; es wird betont, dass die Informationspflicht insbesondere bei personenbezogenen Daten, die über Dritte erhoben wurden, als separate und eigenständige Verpflichtung fortbesteht.
Bemerkenswert an der Entscheidung ist, dass der ehemalige Geschäftsführer nach seinem Ausscheiden als unabhängiger Verantwortlicher für die Daten angesehen wird und dass das Vorliegen eines berechtigten Interesses die Informationspflicht nicht aufhebt. Dieser Ansatz schwächt die in der Praxis geltende Annahme von Unternehmen, dass „die Verantwortung dort liegt, wo sich die Daten befinden“, und führt zu einer stärker fragmentierten Verantwortungsstruktur im Bereich der Datenverwaltung.
Zeitplan für die Umsetzung der EU-Verordnung über künstliche Intelligenz aktualisiert
Der „Digital Omnibus“-Gesetzesentwurf, der wesentliche Änderungen am Zeitplan für die Umsetzung der EU-Verordnung über künstliche Intelligenz enthält, wurde nun auch vom Rat der Europäischen Union gebilligt. Damit sind die zuvor vom Europäischen Parlament angenommenen Änderungen in die letzte Phase vor ihrem Inkrafttreten getreten.
Mit dieser Verordnung werden insbesondere die Anwendungsfristen für bestimmte Verpflichtungen in Bezug auf KI-Systeme mit hohem Risiko verschoben, und zudem werden die Verpflichtungen zur Kennzeichnung von durch KI erzeugten Inhalten an einen Zeitplan gebunden. Darüber hinaus wird ein ausdrückliches Verbot für KI-Systeme eingeführt, die ohne Einwilligung intime oder sexuelle Inhalte erzeugen.
Gemäß dem neuen Zeitplan treten die Transparenz- und Kennzeichnungspflichten für KI-generierte Inhalte am 2. Dezember 2026 in Kraft. Zum gleichen Zeitpunkt wird auch die Nutzung von „Nudifier“-Systemen, die ohne Einwilligung intime Inhalte erzeugen, verboten. Es ist zu erkennen, dass bestimmte Verpflichtungen in Bezug auf KI-Systeme mit hohem Risiko auf den 2. Dezember 2027 bzw. den 2. August 2028 verschoben wurden, während der Prozess bezüglich der regulatorischen Sandbox auf den 2. August 2027 verschoben wurde.
Darüber hinaus gestaltet die Verordnung den Zeitplan für die Einhaltung der Vorschriften in Bezug auf KI-Systeme, die unter die Produktsicherheitsvorschriften fallen, neu; sie enthält zudem strukturelle Änderungen wie die Präzisierung bestimmter technischer Definitionen und die Ausweitung des Umfangs der Erleichterungen für KMU bei der Einhaltung der Vorschriften.
GRC-RECHTLICHE PERSPEKTIVE
Diese Verordnung zeigt, dass bei der Umsetzung des AI Act anstelle eines vollständig verbietenden Ansatzes ein schrittweises Anpassungsmodell verfolgt wird; die Verschiebung eines Teils der Verpflichtungen bedeutet, dass den Branchen insbesondere im Hinblick auf risikoreiche Systeme zusätzliche Vorbereitungszeit eingeräumt wird.
Die Kennzeichnungspflichten und die ausdrücklichen Verbote für KI-Systeme, die ohne Einwilligung Inhalte erzeugen, zeigen, dass die EU den Schwerpunkt auf Transparenz und den Schutz der Grundrechte verstärkt hat, und die Verordnung bietet einen ausgewogenen Ansatz, der darauf abzielt, risikobehaftete Anwendungsbereiche strenger zu kontrollieren, ohne den Innovationsraum vollständig einzuschränken.
GRC-BEGRIFF DES MONATS
Zugang zu KI-Vertriebskanälen (AI Distribution Access)
Der Zugang zu KI-Vertriebskanälen beschreibt, unter welchen Bedingungen KI-Dienste auf Plattformen (z. B. Messaging-Apps, soziale Netzwerke, Betriebssystem-Ökosysteme und API-Infrastrukturen) bereitgestellt werden können, über die sie den Endnutzer erreichen, und welche Akteure diesen Zugang kontrollieren.
Mit der zunehmenden Plattformorientierung der digitalen Wirtschaft haben sich KI-Dienste von reinen technischen Softwareprodukten zu einem Bestandteil des Ökosystems entwickelt, der über große Plattformen vertrieben wird und von deren Zugangsrichtlinien abhängig ist. Diese Situation rückt – wie insbesondere am Beispiel von Meta/WhatsApp zu sehen ist – die Konzepte der „Zugangskontrolle“ und der „Vertriebsmacht“ in den Mittelpunkt des Wettbewerbsrechts.
Dieser Aspekt ist insbesondere insofern von Bedeutung, als es darum geht, ob Plattformen konkurrierenden KI-Diensten API-Zugang gewähren, ob sie diesen Zugang technisch oder wirtschaftlich erschweren und ob sie ihre Vertriebskanäle so gestalten, dass ihre eigenen KI-Lösungen bevorzugt werden. In diesem Zusammenhang werden die Zugangsbedingungen nicht nur als reine Frage der technischen Integration betrachtet, sondern auch als strategischer Faktor, der sich unmittelbar auf den Wettbewerb, die Innovation und die Marktstruktur auswirkt.