GRC-PERSPEKTIVE: DATENSCHUTZ- & COMPLIANCE-NEWSLETTER – MAI 2026
WAS PASSIERT IN DER TÜRKEI?
Der Tätigkeitsbericht 2025 der KVKK wurde veröffentlicht: Auffälliger Anstieg bei Beschwerden, Datenschutzverletzungen und Bußgeldern
Der von der Datenschutzbehörde („Behörde“) veröffentlichte Tätigkeitsbericht für das Jahr 2025 gibt einen Überblick über die Aktivitäten der Behörde im Jahr 2025 in Bezug auf Untersuchungen, Meldungen von Datenschutzverletzungen, Verwaltungsstrafen, VERBİS und Datenübermittlungen ins Ausland.
Dem Bericht zufolge gingen im Zeitraum vom 01.01.2025 bis zum 31.12.2025 insgesamt 12.512 Meldungen und Beschwerden bei der Behörde ein. Davon erfolgten 9.315 über CİMER, 2.058 über das E-Beschwerde-Modul und 1.139 auf dem Postweg; somit wurden 75 % der Anträge über CİMER, 16 % über das E-Beschwerde-Modul und 9 % auf dem Postweg an die Behörde übermittelt.
Bei der sektoralen Verteilung der Meldungen und Beschwerden ist festzustellen, dass die höchste Anzahl an Anträgen mit 1.691 Anträgen im Dienstleistungssektor verzeichnet wurde. Bei der thematischen Verteilung der Anträge stand die rechtswidrige Verarbeitung personenbezogener Daten an erster Stelle. Demnach betrafen 52 % der Anträge die rechtswidrige Verarbeitung personenbezogener Daten, 22 % auf die rechtswidrige Weitergabe personenbezogener Daten an Dritte, 11 % auf unerwünschte SMS/Anrufe, 6 % auf die Nichtbefolgung von Anträgen betroffener Personen und 4 % auf Vorwürfe wegen Verstößen gegen die Verpflichtung zur Löschung, Vernichtung und Anonymisierung.
Was die Meldungen von Datenschutzverletzungen betrifft, so gingen im Jahr 2025 insgesamt 328 Meldungen bei der Behörde ein. Davon stammten 296 aus dem Inland und 32 aus dem Ausland; im gleichen Zeitraum wurden 51 Datenschutzverletzungen von der Behörde veröffentlicht.
Was die Verwaltungssanktionen betrifft, so wurden im Jahr 2025 gegen insgesamt 876 für die Datenverarbeitung Verantwortliche Verwaltungsstrafen verhängt, davon 140 aufgrund von Anzeigen und Beschwerden, 142 aufgrund von Meldungen über Datenschutzverletzungen und 594 im Rahmen der Registrierungspflicht im Register der für die Datenverarbeitung Verantwortlichen sowie der Meldepflicht. Der Gesamtbetrag der verhängten Bußgelder belief sich auf 352.510.494 TL; davon entfielen 45.291.994 TL auf Meldungen und Beschwerden, 90.358.500 TL auf Meldungen von Datenschutzverletzungen und 216.860.000 TL auf Verstöße gegen die Registrierungspflicht und die Meldepflicht im Register der für die Datenverarbeitung Verantwortlichen.
Der Bericht enthält auch Daten zu den Prozessen der Datenübermittlung ins Ausland; es wird angegeben, dass im Jahr 2025 gemäß Artikel 9/4-c des Gesetzes zum Schutz personenbezogener Daten („Gesetz“) 2.497 Standardverträge bei der Behörde eingereicht wurden.
GRC-RECHTLICHE PERSPEKTIVE
Der KVKK-Tätigkeitsbericht 2025 zeigt, dass sich die Compliance-Verpflichtungen im Bereich des Datenschutzes nicht nur auf die Ausarbeitung von Richtlinien und Texten beschränken, sondern dass auch die Antragsbearbeitung, die Datensicherheit, die Aktualität der VERBİS-Einträge, die Datenübermittlung ins Ausland sowie die Verfahren zur Reaktion auf Datenschutzverletzungen ganzheitlich berücksichtigt werden müssen.
Der Anstieg der Anzahl von Meldungen und Beschwerden deutet darauf hin, dass das Bewusstsein der betroffenen Personen hinsichtlich ihrer Rechte an ihren personenbezogenen Daten zugenommen hat. Demgegenüber zeigt die Tatsache, dass ein erheblicher Teil der Anträge aufgrund von Verfahrensmängeln oder weil sie nicht in den Anwendungsbereich fallen, ohne Prüfung der Sache abgeschlossen wurde, dass weiterhin Aufklärungsbedarf hinsichtlich der Antrags- und Beschwerdemechanismen besteht.
Die thematische Verteilung der Anträge zeigt, dass die Bewertung der Rechtmäßigkeit und Zweckbindung durch die für die Datenverarbeitung Verantwortlichen, die Weitergabe von Daten an Dritte, Prozesse im Zusammenhang mit kommerziellen elektronischen Nachrichten, die Beantwortung von Anträgen betroffener Personen sowie die Löschpflichten die Hauptrisikobereiche darstellen. Daher ist es wichtig, dass die für die Datenverarbeitung Verantwortlichen nicht nur die Informationserklärungen, sondern auch die tatsächlichen Datenverarbeitungsprozesse und die Mechanismen zur Beantwortung von Anträgen regelmäßig überprüfen.
Die Tatsache, dass die VERBİS-Registrierungs- und Meldepflicht den höchsten Anteil an den Bußgeldern ausmacht, zeigt, dass die Registrierungspflicht nicht als einmaliger Vorgang betrachtet werden darf. Ebenso zeigen die Daten zu Meldungen von Datenschutzverletzungen, dass technische und administrative Maßnahmen, Notfallpläne und Verfahren zur Meldung von Datenschutzverletzungen regelmäßig getestet werden müssen.
Die Zahl der Meldungen zu Standardvertragsklauseln zeigt, dass die neue Regelung für Datenübermittlungen ins Ausland in der Praxis langsam Fuß fasst. Allerdings darf die Meldung von Standardvertragsklauseln nicht nur als formale Meldepflicht betrachtet werden, sondern muss als umfassender Risikoanalyseprozess hinsichtlich der Übertragungsparteien, Datenkategorien, Übertragungszwecke, Sicherheitsmaßnahmen und Weiterübermittlungen betrachtet werden.
15-Jahre-Regelung für soziale Medien gesetzlich verankert: Altersüberprüfung, kindgerechte Dienste und elterliche Kontrollpflichten
Das Gesetz Nr. 7578 zur Änderung des Sozialdienstleistungsgesetzes und bestimmter anderer Gesetze wurde am 30.04.2026 im Amtsblatt veröffentlicht. Mit diesem Gesetz wurden wesentliche Änderungen am Gesetz Nr. 5651 in Bezug auf Anbieter sozialer Netzwerke und Spieleplattformen vorgenommen.
Im Rahmen dieser Regelung wurden den Anbietern sozialer Netzwerke die Verpflichtung auferlegt, keine Dienste für Kinder unter fünfzehn Jahren anzubieten und in diesem Zusammenhang die erforderlichen Maßnahmen, einschließlich einer Altersüberprüfung, zu ergreifen. Darüber hinaus ist vorgesehen, dass Anbieter sozialer Netzwerke gesonderte Dienste für Kinder ab fünfzehn Jahren anbieten und die in diesem Zusammenhang getroffenen Maßnahmen auf ihrer eigenen Website veröffentlichen.
Das Gesetz verpflichtet die Anbieter sozialer Netzwerke zudem dazu, klare, verständliche und benutzerfreundliche Tools zur elterlichen Kontrolle bereitzustellen. Diese Tools müssen Mechanismen wie die Überprüfung der Kontoeinstellungen, die Unterwerfung kostenpflichtiger Transaktionen unter die elterliche Zustimmung oder Genehmigung sowie die Überwachung und Begrenzung der Nutzungsdauer umfassen. Darüber hinaus ist geregelt, dass Anbieter sozialer Netzwerke Maßnahmen zur Unterbindung irreführender Werbung ergreifen müssen.
Für Spieleplattformen sind Altersfreigaben, Kindersicherungsfunktionen sowie die Verpflichtung zur Benennung eines Vertreters in der Türkei für ausländische Spieleplattformen vorgesehen, die täglich von mehr als 100.000 Nutzern aus der Türkei aufgerufen werden. Die Behörde für Informationstechnologien und Kommunikation (BTK) kann von den Spieleplattformen Erläuterungen anfordern, die in direktem Zusammenhang mit der Anwendung des Gesetzes stehen, einschließlich der Unternehmensstruktur, der IT-Systeme und der Datenverarbeitungsmechanismen.
Bei Verstößen gegen die genannten Verpflichtungen können für Anbieter sozialer Netzwerke und Spieleplattformen Sanktionen wie Verwaltungsstrafen, Werbeverbote und die Drosselung der Internetbandbreite verhängt werden. Die Regelungen treten sechs Monate nach Veröffentlichung des Gesetzes in Kraft.
GRC-RECHTLICHE PERSPEKTIVE
Die Regelung zeigt, dass die Verpflichtungen zum Schutz von Kindern in digitalen Umgebungen unter den Gesichtspunkten Altersüberprüfung, kindgerechte Gestaltung von Diensten, elterliche Kontrolle, Werbekontrolle und Plattformverantwortung erweitert wurden.
Insbesondere die Mechanismen zur Altersüberprüfung und elterlichen Kontrolle sind zwar für den Schutz von Kindern wichtig, werfen jedoch auch Fragen zur Verarbeitung personenbezogener Daten auf. Daher ist es wichtig, dass Anbieter sozialer Netzwerke und Spieleplattformen die betreffenden Prozesse im Rahmen der Grundsätze der Datenminimierung, Verhältnismäßigkeit, Zweckbindung und Aufbewahrungsfrist gestalten.
Der Rat für Cybersicherheit hielt seine erste Sitzung ab: Kritische Infrastruktursektoren wurden festgelegt
Der Cybersicherheitsrat hat am 5. Mai 2026 unter dem Vorsitz von Präsident Recep Tayyip Erdoğan seine erste Sitzung abgehalten. Bei der Sitzung wurde betont, dass Cybersicherheit ein untrennbarer Bestandteil der nationalen Sicherheit ist; es wurde erklärt, dass die Präsidentschaft für Cybersicherheit ihre Aktivitäten fortsetzen wird, um die digitalen Vermögenswerte unseres Landes zu schützen, eine proaktive Struktur gegen Bedrohungen aufzubauen und auf nationaler Ebene eine starke Cybersicherheitsarchitektur zu schaffen.
In diesem Zusammenhang wurden die grundlegenden Elemente des nationalen Cybersicherheitsansatzes überprüft; insbesondere der Schutz kritischer Infrastrukturen, die Sicherheit digitaler Systeme sowie der Ausbau der Kapazitäten im Bereich einheimischer und nationaler Technologien wurden als vorrangige Bereiche eingestuft. Darüber hinaus wurde bei der Sitzung das Thema Datenhoheit unter einem eigenen Punkt behandelt; dabei wurde betont, dass Daten über ihren rein technischen Charakter hinaus einen strategischen Wert besitzen.
Als Ergebnis der Sitzung wurde beschlossen, die interinstitutionelle Koordination zu stärken, die einheimischen und nachhaltigen Kapazitäten in kritischen Bereichen auszubauen sowie die Vorsorge gegen Cyberrisiken und die Fähigkeit zur schnellen Anpassung zu verbessern. Darüber hinaus wurden die Bereiche Digitale Infrastrukturen, Digitale Dienste, Elektronische Kommunikation, Energie, Finanzen, Ernährung und Landwirtschaft, Verarbeitendes Gewerbe, Öffentliche Dienste, Medien und Krisenkommunikation, Post und Kurierdienste, Gesundheitswesen, Verteidigungsindustrie, Wasserwirtschaft, Verkehr und Raumfahrt als kritische Infrastruktursektoren festgelegt.
GRC-RECHTLICHE PERSPEKTIVE
Die erste Sitzung des Cybersicherheitsrats zeigt einmal mehr, dass Cybersicherheit nicht nur ein technisches Thema ist, sondern als strategischer Bereich im Hinblick auf nationale Sicherheit, Datenhoheit, wirtschaftliche Kontinuität und institutionelle Widerstandsfähigkeit betrachtet wird.
Für Institutionen und Organisationen, die in kritischen Infrastruktursektoren tätig sind, wird es zunehmend an Bedeutung gewinnen, ihre Prozesse in den Bereichen Cybersicherheit, Datensicherheit, Vorfallreaktion, Geschäftskontinuität und Lieferantenrisikomanagement ganzheitlicher zu gestalten.
In Zusammenarbeit mit der KVKK und der RTÜK wurde ein Leitfaden zur Verarbeitung personenbezogener Daten in Reality-Show-Sendungen veröffentlicht
Die Behörde hat in Abstimmung mit der Obersten Radio- und Fernsehbehörde („RTÜK“) sowie auf der Grundlage von Stellungnahmen von Rundfunk- und Produktionsunternehmen sowie Wissenschaftlern einen Leitfaden zur Verarbeitung personenbezogener Daten in live ausgestrahlten Reality-Show-Programmen („Leitfaden“) veröffentlicht.
Der Leitfaden schafft Klarheit über die Praktiken bei der Verarbeitung personenbezogener Daten, insbesondere in Sendungen, die tagsüber live ausgestrahlt werden und sich mit Ereignissen aus dem realen Leben befassen. In diesem Zusammenhang werden die Vorbereitungsphase der Sendungen, der Live-Übertragungsprozess, die Nachbearbeitung sowie die Wiederveröffentlichung auf Internetplattformen im Rahmen des Leitfadens behandelt.
In dem Leitfaden wird darauf hingewiesen, dass in Reality-Show-ähnlichen Sendungen neben personenbezogenen Daten wie Identitätsdaten, Kontaktdaten, Bild- und Tonaufzeichnungen, Familienstand, finanzielle Situation und Angaben zur Bildung auch besonders schützenswerte personenbezogene Daten wie Gesundheitsdaten, Daten zum Sexualleben, Vorstrafen und Sicherheitsmaßnahmen verarbeitet werden können. Daher wird betont, dass Rundfunk- und Produktionsunternehmen ihre Tätigkeiten zur Verarbeitung personenbezogener Daten in Übereinstimmung mit den allgemeinen Grundsätzen und den Verarbeitungsvoraussetzungen des Gesetzes Nr. 6698 durchführen müssen.
In dem Leitfaden wird außerdem darauf hingewiesen, dass Rundfunk- und Produktionsunternehmen je nach den Merkmalen des konkreten Falls als Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher eingestuft werden können. In diesem Zusammenhang enthält der Leitfaden Empfehlungen zur Einhaltung der Vorschriften in Bezug auf Themen wie die Informationspflicht, die ausdrückliche Einwilligung, die Datensicherheit, die Bedingungen für die Übermittlung ins In- und Ausland, Löschungsanträge, die VERBİS-Pflicht, die Meldung von Datenschutzverletzungen und die Beantwortung von Anfragen betroffener Personen.
GRC-RECHTLICHE PERSPEKTIVE
Der Leitfaden macht deutlich, dass das Format der Live-Übertragung keinen Raum für die uneingeschränkte Verarbeitung personenbezogener Daten schafft. Insbesondere die Weitergabe von Informationen Dritter während der Übertragung, die Offenlegung besonders schützenswerter personenbezogener Daten oder Äußerungen, die Persönlichkeitsrechte verletzen könnten, können im Hinblick auf das Datenschutzgesetz (KVKK) erhebliche Risiken mit sich bringen.
Daher ist es wichtig, dass Sende- und Produktionsunternehmen in allen Prozessen – von der Vorbereitung der Sendung bis zu deren Ende – die Aspekte der Aufklärung, der ausdrücklichen Einwilligung, der Datenminimierung, der Datensicherheit und der Datenlöschung gemeinsam bewerten; außerdem müssen sie im Vorfeld technische und administrative Maßnahmen zur Verhinderung einer rechtswidrigen Weitergabe von Daten bei Live-Übertragungen konzipieren.
Bekanntmachung zur VERBİS-Registrierungspflicht: Schwellenwert für die Bilanzsumme 2025 und Frist
Die Behörde hat eine öffentliche Bekanntmachung bezüglich juristischer Personen veröffentlicht, die als Datenverantwortliche der Körperschaftsteuer unterliegen und aufgrund der Bilanzsumme für das Jahr 2025 der Registrierungspflicht bei VERBİS unterliegen.
In der Bekanntmachung wird darauf hingewiesen, dass Datenverantwortliche, deren Haupttätigkeit nicht in der Verarbeitung besonders schützenswerter personenbezogener Daten besteht und deren Bilanzsumme 100 Millionen TL oder mehr beträgt, sowie Datenverantwortliche, deren Haupttätigkeit in der Verarbeitung besonders schützenswerter personenbezogener Daten besteht und deren Bilanzsumme 10 Millionen TL oder mehr beträgt, ihre VERBİS-Registrierungspflicht prüfen müssen.
In diesem Zusammenhang wurde die Registrierungs- und Meldefrist, die unter normalen Umständen am 01.06.2026 enden sollte, durch den Beschluss Nr. 2026/1026 des Ausschusses vom 13.05.2026 bis zum 05.06.2026 verlängert.
Erster Antrag auf verbindliche Unternehmensregeln gemäß KVKK genehmigt
Die Behörde hat bekannt gegeben, dass der erste Antrag auf verbindliche Unternehmensregeln („BŞK“) im Rahmen der Übermittlung personenbezogener Daten ins Ausland genehmigt wurde.
Der Bekanntmachung zufolge wurde der von der Sosyo-Plus Bilgi Bilişim Teknolojileri Danışmanlık Hizmetleri A.Ş. bei der Behörde eingereichte Antrag auf BŞK gemäß Artikel 9 Absatz 4 Buchstabe b des Gesetzes geprüft und am 20.05.2026 vom Ausschuss genehmigt.
GRC-RECHTLICHE PERSPEKTIVE
Diese Entscheidung ist eine wichtige Entwicklung, da sie zeigt, dass der BŞK-Mechanismus im Rahmen der neuen Regelung für Datenübermittlungen ins Ausland, die 2024 in Kraft getreten ist, nun in der Türkei zur Anwendung kommt.
Insbesondere für multinationale Unternehmensgruppen, Technologieunternehmen und Strukturen mit intensivem konzerninternem Datentransfer kann der BŞK-Mechanismus als langfristiges und unternehmensweites Instrument zur Einhaltung der Vorschriften bei der Datenübermittlung ins Ausland angesehen werden.
WAS PASSIERT WELTWEIT?
Die irische Datenschutzbehörde hat wegen Datenübermittlungen nach China eine Untersuchung gegen SHEIN eingeleitet
Die irische Datenschutzbehörde („DPC“) hat eine offizielle Untersuchung gegen Infinite Styles Services Co. Ltd., die unter dem Namen SHEIN Ireland tätig ist, wegen der Übermittlung personenbezogener Daten von betroffenen Personen aus der EU/dem EWR nach China eingeleitet.
Im Rahmen der Untersuchung wird die DPC prüfen, ob SHEIN Ireland hinsichtlich der betreffenden Datenübermittlungen seinen Verpflichtungen gemäß der DSGVO nachkommt. Bei der Prüfung werden insbesondere die in Artikel 5 der DSGVO festgelegten Grundsätze für die Verarbeitung personenbezogener Daten, die Transparenzpflichten gemäß Artikel 13 der DSGVO sowie die Bestimmungen in Abschnitt V der DSGVO zur Datenübermittlung in Drittländer bewertet.
In der Erklärung der DPC wurde betont, dass bei der Übermittlung personenbezogener Daten in ein Land außerhalb der EU ein Schutzniveau gewährleistet sein muss, das dem Schutzniveau innerhalb der EU im Wesentlichen gleichwertig ist. Zudem wurde darauf hingewiesen, dass Datenübermittlungen nach China in letzter Zeit bei den europäischen Datenschutzbehörden zunehmend in den Fokus gerückt sind und die Untersuchung für die DPC strategische Priorität hat.
GRC-RECHTLICHE PERSPEKTIVE
Die gegen SHEIN eingeleitete Untersuchung zeigt, dass die Prozesse der Datenübermittlung in Drittländer im Bereich des E-Commerce und der digitalen Plattformen in Europa zunehmend streng geprüft werden.
Insbesondere bei Übermittlungen in Länder, für die keine Angemessenheitsentscheidung vorliegt, wird die bloße Unterzeichnung von Standardvertragsklauseln nicht als ausreichend angesehen; es wird erwartet, dass auch geprüft wird, ob die Rechtsvorschriften und Praktiken des Ziellandes im Wesentlichen ein gleichwertiges Schutzniveau für personenbezogene Daten gewährleisten. Daher ist es wichtig, dass Unternehmen ihre grenzüberschreitenden Datenübertragungsprozesse im Rahmen der Grundsätze der Transparenz, der Rechtsgrundlage für die Übermittlung, zusätzlicher Sicherheitsmaßnahmen und der Rechenschaftspflicht gestalten.
Die gegen Uber verhängte Geldbuße in Höhe von 10 Millionen Euro wegen der Erschwerung der Ausübung der Datenzugriffsrechte durch Fahrer wurde bestätigt
Die niederländische Datenschutzbehörde hat den Einspruch gegen die Verwaltungsstrafe in Höhe von 10 Millionen Euro, die gegen Uber wegen Verstößen gegen die DSGVO verhängt wurde, zurückgewiesen.
Im Rahmen des Verfahrens wurde festgestellt, dass Uber die Ausübung des Rechts auf Zugang zu personenbezogenen Daten durch seine Fahrer unnötig erschwert hat.
Zwar gebe es in der App ein digitales Formular zur Ausübung des Auskunftsrechts, doch wurde festgestellt, dass dieses Formular unter verschiedenen Menüpunkten so platziert sei, dass es schwer zu finden sei.
Die Behörde stellte außerdem fest, dass einige der von Uber den Fahrern zur Verfügung gestellten Dokumente in einer schwer verständlichen Sprache verfasst seien; in der Datenschutzerklärung fehlten zudem ausreichende Informationen über die Aufbewahrungsfristen der Fahrerdaten und die Länder, in die die Daten übermittelt würden.
Uber machte im Einspruchsverfahren geltend, dass die Datenschutzerklärung mit der DSGVO konform sei und man nachträglich Verbesserungen vorgenommen habe; die Behörde entschied jedoch, dass diese Verbesserungen die früheren Verstöße nicht beseitigten, und bestätigte die Höhe der Geldbuße sowie die festgestellten Verstöße.
New Mexico fordert in einem Verfahren zur Kindersicherheit gegen Meta eine Strafe in Höhe von 3,7 Milliarden Dollar
Der US-Bundesstaat New Mexico hat im laufenden Verfahren zur Kindersicherheit gegen Meta Platforms das Gericht aufgefordert, festzustellen, dass das Unternehmen die öffentliche Gesundheit und Sicherheit beeinträchtigt und Unruhe verursacht habe.
Im Rahmen des Verfahrens macht die Generalstaatsanwaltschaft von New Mexico geltend, dass Meta seine Plattformen Facebook, Instagram und WhatsApp so gestaltet habe, dass sie bei jungen Nutzern Suchtverhalten hervorrufen, und dass das Unternehmen Kinder nicht ausreichend vor den Risiken des Online-Missbrauchs schütze.
In diesem Zusammenhang wurde von Meta die Zahlung von 3,7 Milliarden Dollar sowie die Umsetzung umfassender Änderungen zum Schutz minderjähriger Nutzer auf den Plattformen gefordert.
Zu den geforderten Maßnahmen gehören: die Stärkung der Mechanismen zur Altersüberprüfung, die Neugestaltung der Algorithmen für minderjährige Nutzer sowie die Einschränkung von Funktionen wie automatische Wiedergabe und endloses Scrollen für Minderjährige.
Meta hat hingegen geltend gemacht, dass auf seinen Plattformen bereits umfassende Maßnahmen zur Kindersicherheit bestünden, und argumentiert, dass die geforderten Maßnahmen einen so weitreichenden regulatorischen Eingriff darstellten, dass sie nicht auf gerichtlichem Wege durchgesetzt werden könnten.
GRC-RECHTLICHE PERSPEKTIVE
Der Rechtsstreit zeigt, dass Social-Media-Plattformen gegenüber minderjährigen Nutzern nicht nur für die Inhaltsmoderation, sondern auch für Produktdesign, algorithmische Steuerung, Altersüberprüfung und suchterzeugende Schnittstellenfunktionen zur Verantwortung gezogen werden können.
Diese Entwicklung verdeutlicht, dass sich die Vorschriften zum Schutz von Kindern in digitalen Umgebungen weltweit zunehmend auf die Gestaltung von Plattformen und die Datenverarbeitungspraktiken konzentrieren. Daher ist es wichtig, dass digitale Plattformen im Hinblick auf minderjährige Nutzer die Aspekte Datenschutz, Sicherheit und Benutzererfahrung gemeinsam bewerten.
Leitfaden aus Italien zu Deepfake-Inhalten
Die italienische Datenschutzbehörde hat eine neue Warnung bezüglich der Erstellung und Verbreitung von Deepfake-Inhalten veröffentlicht, bei denen Bild- oder Tonaufnahmen von realen Personen verwendet werden.
Die Behörde hat darauf hingewiesen, dass KI-basierte Dienste, die Inhalte auf der Grundlage von Bild- oder Tonaufnahmen von Personen erstellen und deren Weitergabe ermöglichen, insbesondere bei einer Nutzung ohne Einwilligung der Betroffenen, die deren Privatsphäre verletzt, ernsthafte Risiken für die Grundrechte und -freiheiten mit sich bringen können. Es wurde betont, dass solche Nutzungen neben einer möglichen strafrechtlichen Haftung auch Sanktionen im Rahmen der europäischen Datenschutzvorschriften nach sich ziehen können.
In der Erklärung wurde zudem daran erinnert, dass bereits zuvor Warnentscheidungen in Bezug auf ähnliche KI-basierte Dienste ergangen sind; die Behörde erklärte, dass zur Verhinderung der raschen Verbreitung schädlicher Inhalte umfassendere Eingriffsbefugnisse erforderlich seien, um den Zugriff auf solche Plattformen von Italien aus zu sperren.
Datenschutzempfehlungen der CNIL zur Nutzung von Smart-Brillen
Die französische Datenschutzbehörde („CNIL“) hat eine Erklärung veröffentlicht, in der sie auf Datenschutzrisiken im Zusammenhang mit der Nutzung von Smart-Brillen hinweist.
Die CNIL wies darauf hin, dass Smart-Brillen, die mit Sensoren wie Mikrofonen und Kameras ausgestattet sind, das Risiko bergen, B Bilder und Töne von Personen in der Umgebung ohne deren Wissen aufzuzeichnenB . Da sich diese Geräte nicht ohne Weiteres von herkömmlichen Brillen unterscheiden lassen, sei es für die Betroffenen schwierig zu erkennen, dass sie aufgezeichnet werden.
In der Erklärung wurde darauf hingewiesen, dass Smart-Brillen mit Systemen der künstlichen Intelligenz verbunden arbeiten können und in diesem Zusammenhang Funktionen wie die Analyse der Umgebung des Nutzers, die Aufnahme von Bild- oder Tonaufnahmen sowie die Generierung von Echtzeit-Antworten bieten können. Die CNIL hat darauf hingewiesen, dass diese Situation das Risiko einer unsichtbaren und allgegenwärtigen Überwachung im Alltag erhöhen könnte.
In diesem Zusammenhang hat die CNIL den Nutzern von Smart-Brillen folgende Empfehlungen gegeben: Personen in der Umgebung bei der Nutzung des Geräts zu informieren, die Aufzeichnungsfunktionen zu deaktivieren, sobald der Bedarf nicht mehr besteht, die Nutzung in Bereichen zu vermeiden, in denen Personen nicht mit einer Aufzeichnung rechnen, und vor dem Teilen von Bildern oder Videos in sozialen Medien die Einwilligung der betroffenen Personen einzuholen.
GRC-RECHTLICHE PERSPEKTIVE
Die Stellungnahme der CNIL zeigt, dass tragbare Technologien nicht nur für den Nutzer selbst, sondern auch für Dritte in seiner Umgebung erhebliche Datenschutzrisiken mit sich bringen. Das Hauptrisiko bei Smart-Brillen besteht darin, dass die Datenverarbeitung oft nicht sichtbar ist und Personen in der Umgebung nicht bemerken, dass ihre Bilder oder Töne aufgezeichnet werden.
Insbesondere die Verarbeitung von Bild- und Ton-Daten in Verbindung mit Systemen der künstlichen Intelligenz erfordert eine sorgfältigere Bewertung hinsichtlich der Aufklärung, der Einwilligung, der Datenminimierung, der Zweckbindung und der Privatsphäreeerwartung. Die Nutzung dieser Geräte im öffentlichen Raum, am Arbeitsplatz, in Gesundheitseinrichtungen oder im privaten Bereich kann je nach Einzelfall unterschiedliche Risiken für die Privatsphäre mit sich bringen.
Daher ist es bei der Entwicklung und Markteinführung von Smart-Brillen wichtig, nicht nur technische Sicherheitsmaßnahmen zu berücksichtigen, sondern auch auf datenschutzorientiertes Design, voreingestellte Datenschutzeinstellungen, Aufzeichnungsanzeigen, Datenaufbewahrungsfristen und transparente Mechanismen zum Schutz der Rechte Dritter zu achten.
GRC-BEGRIFF DES MONATS
Datensouveränität
Datensouveränität bedeutet, die Kontrolle darüber zu haben, in welchem Land, unter welchem Rechtssystem, von wem und mit welchen Sicherheitsmaßnahmen Daten verarbeitet werden. Mit der zunehmenden Digitalisierung sind Daten nicht mehr nur ein technisches oder kommerzielles Element, sondern zu einem Vermögenswert mit wirtschaftlichem, strategischem und rechtlichem Wert geworden.
Dieses Konzept ist insbesondere im Hinblick auf die Übermittlung personenbezogener Daten ins Ausland, Cloud-Dienste, den konzerninternen Datenaustausch, kritische Infrastrukturen, öffentliche Systeme und Anwendungen der künstlichen Intelligenz von Bedeutung. In welchem Land Daten gespeichert werden, wem sie zugänglich sind und über welche Übertragungsmechanismen sie verarbeitet werden, bildet sowohl im Hinblick auf den Schutz personenbezogener Daten als auch auf das unternehmensinterne Risikomanagement einen grundlegenden Bewertungsbereich.
Der Ansatz der Datenhoheit erfordert, dass Organisationen den Lebenszyklus personenbezogener Daten transparenter, kontrollierbarer und nachvollziehbarer verwalten. In diesem Zusammenhang ist es wichtig, dass die für die Daten Verantwortlichen Datenbestände, Übertragungsprozesse, Lieferantenbeziehungen, Zugriffsberechtigungen, Aufbewahrungsfristen und Sicherheitsmaßnahmen aus einer ganzheitlichen Compliance-Perspektive betrachten.