Wichtige Entwicklungen. Einfach erklärt.

Datenschutzhinweis der niedersächsischen Aufsicht – keine neue gesetzliche Regelung

Datenschutzaufsicht warnt vor Werbeprofilen aus KI-Chats

Der Landesbeauftragte für den Datenschutz Niedersachsen hat am 1. Oktober 2026 auf Risiken personalisierter Werbung in ChatGPT hingewiesen. Nach Angaben der Behörde ist die Einführung in Europa für die kostenlose Variante und ChatGPT Go geplant.

Die Aufsicht sieht besondere Risiken, wenn aktuelle und frühere Chatinhalte für Werbeprofile ausgewertet werden. Gespräche mit einem KI-Chatbot können sehr persönliche Angaben enthalten. Solche Profile könnten deshalb erheblich mehr über eine Person aussagen als allgemeine Suchanfragen oder besuchte Webseiten.

Die Meldung beschreibt eine geplante Entwicklung und Hinweise zum Selbstdatenschutz. Sie bedeutet nicht, dass sämtliche ChatGPT-Konten Werbung enthalten oder jede Nutzung gleich bewertet werden kann.

Neu gemeldete italienische Aufsichtsentscheidung vom 6. August 2026

Auskunftsanträge erkennen – auch ohne das Wort „DSGVO“

Die italienische Datenschutzaufsicht Garante berichtete am 30. September 2026 über eine Entscheidung zum Beschäftigtendatenschutz. Ein ehemaliger Beschäftigter hatte Unterlagen einschließlich GPS-Daten seines Firmenwagens angefordert, um sich gegen Disziplinarmaßnahmen zu verteidigen. Das Unternehmen hatte seine Anfragen nicht ausreichend beantwortet.

Nach der Aufsicht muss eine betroffene Person die DSGVO nicht ausdrücklich nennen, damit ihr Anliegen als Ausübung des Auskunftsrechts zu verstehen ist. Wird eine Anfrage abgelehnt, müssen die Gründe sowie die Möglichkeiten einer Beschwerde und gerichtlichen Überprüfung mitgeteilt werden.

Die Entscheidung stammt vom 6. August 2026. Eine amtliche Zusammenfassung der italienischen Aufsicht wurde am 9. Oktober auf der Website des Europäischen Datenschutzausschusses veröffentlicht. Die Geldbuße von insgesamt 39.000 Euro betrifft neben dem Auskunftsrecht auch fehlende beziehungsweise unzutreffende Datenschutzinformationen für Beschäftigte, unter anderem zur GPS-Ortung.

Einordnung der Datenschutzkonferenz zu bestehenden DSGVO-Pflichten

Smart Glasses im Betrieb: Eine Aufnahme-LED ersetzt keine Datenschutzinformation

Die Datenschutzkonferenz (DSK) hat am 24. September 2026 auf Datenschutzrisiken bei Smart Glasses hingewiesen. Solche Brillen können Personen filmen oder fotografieren, ohne dass die Betroffenen dies zuverlässig erkennen. Eine leuchtende Aufnahme-LED ersetzt nicht die erforderlichen Informationen über Verantwortliche und Verarbeitungszwecke.

Für Personenaufnahmen außerhalb ausschließlich persönlicher oder familiärer Tätigkeiten gelten die Pflichten der DSGVO. Dazu gehören insbesondere eine tragfähige Rechtsgrundlage und die Information der Betroffenen. Nicht alles, was technisch möglich ist, ist deshalb auch zulässig.

Die DSK beriet das Thema auf ihrer Sitzung am 23. September. Ihre Mitteilung schafft kein neues Gesetz und kein generelles Brillenverbot. Sie appelliert an die Inhaber des Hausrechts, sich mit den Einsatzmöglichkeiten auseinanderzusetzen und erforderlichenfalls Grenzen zu ziehen.

Leitlinienentwurf des EDSA zur öffentlichen Konsultation

EDSA legt Entwurf zur Verhängung von Datenschutzbußgeldern vor

Der Europäische Datenschutzausschuss (EDSA) hat am 21. September neue Leitlinien zur Entscheidung über Datenschutzbußgelder vorgestellt. Der am 17. September angenommene Entwurf steht bis zum 13. November 2026 zur öffentlichen Konsultation. Er ändert die Datenschutz-Grundverordnung nicht.

Die Aufsichtsbehörden sollen in fünf Schritten prüfen, ob eine Geldbuße angemessen ist. Dabei geht es unter anderem um die rechtliche Grundlage, die Verantwortlichkeit, vorsätzliches oder fahrlässiges Handeln sowie erschwerende und mildernde Umstände. Die Maßnahme muss im konkreten Fall wirksam, verhältnismäßig und abschreckend sein. Der Entwurf erläutert auch das Verhältnis zu anderen Maßnahmen, etwa Verwarnungen und Anordnungen.

Schlussanträge des Generalanwalts am EuGH – noch kein Urteil

Werbeeinwilligung: Generalanwalt fordert erkennbare Werbepartner

Reicht eine Einwilligung in elektronische Werbung durch nicht näher bezeichnete „Partner“? In der Rechtssache C-317/25 zur Canal+-Gruppe verneint Generalanwalt Dean Spielmann dies: Betroffene müssten erkennen können, welches Unternehmen ihre Daten für Direktwerbung verwenden will.

Eine allgemeine Partnerklausel erlaubt nach seiner Auffassung nicht ohne Weiteres Werbung durch jedes beliebige Unternehmen dieser Kategorie. Auch die Möglichkeit, sich bei der ersten Kontaktaufnahme abzumelden, kann eine fehlende vorherige Einwilligung nicht ersetzen.

Die Schlussanträge vom 17. September 2026 sind ein Entscheidungsvorschlag. Ein Urteil liegt noch nicht vor; der Europäische Gerichtshof ist an die Auffassung des Generalanwalts nicht gebunden.

Offizielle Entscheidung einer europäischen Datenschutzaufsicht

Papierakten: Aufsicht verhängt 645.000 Euro Bußgeld

Die irische Datenschutzbehörde hat eine Geldbuße von insgesamt 645.000 Euro gegen die öffentliche Gesundheitseinrichtung HSE verhängt. Ausgangspunkt waren zwei Datenschutzverletzungen, bei denen Unbefugte Zugang zu Papierakten in externen Lagerstätten erhalten hatten.

Beanstandet wurden unter anderem unzureichende Sicherheits- und Kontrollmaßnahmen, die zu lange Aufbewahrung personenbezogener Daten sowie verspätete Meldungen an die Aufsichtsbehörde und Informationen an betroffene Personen. Die Behörde ordnete außerdem Verbesserungen bei Aufbewahrung, Löschung, Bestandskontrolle und Überprüfung der Lagerorte an.

Es handelt sich um eine Entscheidung der irischen Aufsichtsbehörde und nicht um ein deutsches Urteil. Die zugrunde liegenden Anforderungen aus der Datenschutz-Grundverordnung gelten jedoch unionsweit. Der Fall zeigt, dass Datenschutz und Datensicherheit nicht nur digitale Systeme, sondern ebenso Papierarchive und ausgelagerte Lagerstätten betreffen.

Offizielle deutsche Aufsichtsbehörde

Datenschutzaufsicht warnt vor Angriffen auf ungepatchte Websites

Die sächsische Datenschutzaufsicht verzeichnete im Juli und August vermehrt Meldungen über gehackte Webhosting-Systeme. Betroffen waren unter anderem Websites mit WordPress und Joomla. Kritische Sicherheitslücken wurden nach ihrem Bekanntwerden zeitnah auch durch automatisierte Angriffe ausgenutzt.

Nach Angaben der Behörde waren auch Schulen, Vereine sowie kleine und mittlere Unternehmen betroffen. Bei einem unbefugten Zugriff auf personenbezogene Daten können abhängig vom Risiko Melde- und Benachrichtigungspflichten nach Artikel 33 und 34 DSGVO entstehen. Für die genannten Schwachstellen standen bereits Sicherheitsupdates zur Verfügung.

Anwendbares europäisches Recht

Transparenzpflichten der KI-Verordnung gelten jetzt

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der europäischen KI-Verordnung. Damit sind die zuvor veröffentlichten Leitlinien nicht mehr nur Vorbereitung auf einen künftigen Stichtag. Anbieter und Betreiber betroffener KI-Systeme müssen die für ihre jeweilige Rolle geltenden Vorgaben nun umsetzen.

Menschen müssen in den vorgesehenen Fällen erkennen können, wenn sie unmittelbar mit einem KI-System interagieren. Weitere Pflichten können die maschinenlesbare Markierung KI-erzeugter oder KI-veränderter Inhalte, Hinweise bei Emotionserkennung oder biometrischer Kategorisierung sowie die Offenlegung von Deepfakes betreffen. Auch bestimmte KI-generierte Texte zu Themen von öffentlichem Interesse müssen gekennzeichnet werden, wenn keine menschliche Prüfung oder redaktionelle Verantwortung besteht.

Nicht jede Nutzung von KI führt damit automatisch zu einer sichtbaren Kennzeichnungspflicht. Entscheidend sind insbesondere die Rolle der Organisation, die Funktion des Systems, die Art des Inhalts und die konkrete Veröffentlichung. Für die technische Markierung durch Anbieter bestimmter bereits vor dem Stichtag bereitgestellter generativer KI-Systeme gilt eine begrenzte Übergangsfrist bis zum 2. Dezember 2026. Bereits zuvor veröffentlichte Inhalte müssen nicht rückwirkend gekennzeichnet werden.

Die Europäische Kommission stellt inzwischen außerdem einen allgemeinen Beschwerdekanal für mutmaßliche Verstöße im Zuständigkeitsbereich des KI-Amts, ein geschütztes Hinweisgeberportal sowie einen besonderen Beschwerdeweg für nachgelagerte Anbieter bereit. Welcher Weg zuständig ist, hängt von der Rolle der meldenden Person und dem betroffenen KI-System oder KI-Modell ab.

Amtliche europäische Rechtsentwicklung

AI Omnibus tritt in Kraft und ändert Fristen der KI-Verordnung

Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744, der sogenannte „AI Omnibus“, in Kraft getreten. Damit ist aus der zuvor erzielten politischen Einigung verbindliches Recht geworden. Die Verordnung ändert einzelne Vorgaben und Anwendungszeitpunkte des EU AI Act, ohne dessen grundlegenden risikobasierten Ansatz aufzugeben.

Die Anforderungen für Hochrisiko-KI-Systeme nach Anhang III gelten nun grundsätzlich ab dem 2. Dezember 2027. Für Hochrisiko-KI, die als Sicherheitskomponente bestimmter Produkte nach Anhang I eingesetzt wird, gilt grundsätzlich der 2. August 2028. Daneben werden einzelne Erleichterungen auf kleine Unternehmen mit mittlerer Kapitalisierung ausgeweitet, Reallabore gestärkt und bestimmte Verwaltungs- und Registrierungspflichten vereinfacht.

Die Verschiebungen betreffen nicht sämtliche Anforderungen der KI-Verordnung. Insbesondere die Transparenzpflichten für bestimmte KI-Systeme und KI-generierte Inhalte gelten weiterhin ab dem 2. August 2026. Welche Frist und welche Pflicht einschlägig ist, hängt deshalb von der konkreten Funktion, Risikoklasse und Rolle der jeweiligen Organisation ab.

Offizielle europäische Quelle

EU-Kommission konkretisiert Transparenzpflichten für KI-Systeme

Die Europäische Kommission hat Leitlinien zu den Transparenzpflichten aus Artikel 50 der KI-Verordnung veröffentlicht. Sie erläutern, wann Anbieter und Betreiber von KI-Systemen Menschen über den Einsatz von KI informieren müssen und welche KI-erzeugten oder KI-veränderten Inhalte technisch erkennbar oder sichtbar zu kennzeichnen sind. Die betreffenden Pflichten gelten ab dem 2. August 2026.

Menschen sollen insbesondere erkennen können, wenn sie unmittelbar mit einem KI-System kommunizieren. Informationspflichten können außerdem bei Deepfakes, Emotionserkennung, biometrischer Kategorisierung und bestimmten KI-generierten Inhalten zu Themen von öffentlichem Interesse bestehen. Welche Vorgabe gilt, hängt von der Funktion des Systems, der Rolle der Organisation und der konkreten Verwendung ab.

Amtliche europäische Rechtsprechung

EuGH begrenzt die journalistische Ausnahme bei Online-Datenbanken

Der Europäische Gerichtshof hat über eine kostenpflichtige Internetdatenbank entschieden, in der nach Personen gesucht und strafrechtliche Verurteilungen abgerufen werden konnten. Die bloße entgeltliche Veröffentlichung solcher Entscheidungen stellt nach dem Urteil grundsätzlich noch keine Verarbeitung zu journalistischen Zwecken dar. Die datenschutzrechtlichen Schutzregeln und Rechtsbehelfe können deshalb weiterhin anwendbar sein.

Das Urteil ist kein allgemeines Verbot, Gerichtsentscheidungen online bereitzustellen. Entscheidend bleiben Zweck, redaktionelle Bearbeitung, Ausgestaltung des Angebots und die Abwägung mit der Meinungs- und Informationsfreiheit. Der konkrete Ausgangsfall muss nun anhand dieser Vorgaben weiter beurteilt werden.

Offizielle europäische Quelle

EU bestätigt Praxiskodex zur Kennzeichnung von KI-Inhalten

Die Europäische Kommission und der europäische KI-Ausschuss haben den freiwilligen Praxiskodex zur Kennzeichnung von KI-Inhalten als geeignet bewertet. Er soll Anbietern und Betreibern generativer KI helfen, die Transparenzpflichten aus Artikel 50 der KI-Verordnung umzusetzen. Dabei geht es insbesondere um maschinenlesbare Markierungen sowie um sichtbare Hinweise bei Deepfakes und bestimmten KI-erzeugten oder KI-veränderten Texten zu Themen von öffentlichem Interesse.

Die betreffenden Transparenzpflichten gelten ab dem 2. August 2026. Eine Teilnahme am Kodex ist freiwillig und erleichtert die Orientierung. Sie beweist aber nicht automatisch, dass jede einzelne Nutzung der KI rechtskonform ist. Entscheidend bleiben der konkrete Inhalt, die Rolle der Organisation und die Art der Veröffentlichung.

Offizielle europäische Quelle

EDSA veröffentlicht Leitlinien zu Anonymisierung und Web-Scraping für generative KI

Der Europäische Datenschutzausschuss (EDSA) hat neue Leitlinien zur Anonymisierung und zum automatisierten Sammeln von Internetdaten für generative KI beschlossen. Für anonyme Daten nennt der EDSA drei zentrale Prüfungen: Einzelne Personen dürfen nicht herausgegriffen, verschiedene Datensätze nicht miteinander verbunden und persönliche Informationen nicht wieder abgeleitet werden können. Sind diese Bedingungen nicht erfüllt, kann weiterhin die DSGVO gelten.

Beim sogenannten Web-Scraping dürfen öffentlich auffindbare Daten nicht einfach als frei verwendbar behandelt werden. Sobald personenbezogene Daten gesammelt, gespeichert oder für ein KI-Modell genutzt werden, müssen unter anderem Rechtsgrundlage, Zweck, Transparenz, Datenminimierung und Richtigkeit geprüft werden. Für besonders sensible Daten gelten zusätzliche Hürden. Die beiden Leitlinien befinden sich bis zum 30. Oktober 2026 in der öffentlichen Konsultation und sind deshalb noch nicht endgültig.

Offizielle europäische Quelle

EU legt Aktionsplan für Cybersicherheit bei fortgeschrittener KI vor

Die Europäische Kommission will die sichere Nutzung fortgeschrittener KI-Modelle stärker mit der europäischen Cybersicherheitsstrategie verbinden. Geplant sind unter anderem zusätzliche Möglichkeiten zur Bewertung von KI-Modellen, ein Konzept für den sicheren Zugang zu leistungsfähiger KI und eine Testumgebung für besonders wichtige Bereiche wie Energie, Verkehr, Gesundheit, Finanzwesen und öffentliche Verwaltung.

Der Aktionsplan ergänzt bestehende Regelwerke wie die KI-Verordnung, NIS2 und den Cyber Resilience Act. Er führt für einzelne Organisationen nicht unmittelbar neue Pflichten ein. Er zeigt jedoch, dass Sicherheit, Resilienz und kontrollierte Tests bei der Einführung von KI weiter an Bedeutung gewinnen.

Offizielle europäische Quelle

EDSA zeigt häufige Fehler bei Löschung und Widerspruch

Der Europäische Datenschutzausschuss hat seine europaweite Fallauswertung zu Löschungs- und Widerspruchsrechten aktualisiert. Sie fasst wichtige Entscheidungen der Aufsichtsbehörden zusammen und zeigt, wie interne Abläufe zur Bearbeitung dieser Rechte bewertet werden. Behandelt werden beispielsweise Widersprüche gegen Direktwerbung und die Löschung von Konten oder Onlineprofilen.

Die Auswertung beschreibt wiederkehrende Verstöße und die von Behörden angeordneten Maßnahmen. Sie ist keine neue Rechtsvorschrift, bietet aber eine praktische Orientierung dafür, welche organisatorischen Schwächen bei der Bearbeitung von Betroffenenrechten besonders häufig auffallen.

Offizielle deutsche Quelle

Datenschutzkonferenz legt „Stuttgarter Impulse“ zur Modernisierung des Datenschutzes vor

Die Datenschutzaufsichtsbehörden der Länder formulieren zehn Vorschläge zur Modernisierung der Aufsicht und fünf Kernthesen zum materiellen Datenschutzrecht. Vorgeschlagen werden unter anderem eine gesetzliche Verankerung der Datenschutzkonferenz, verbindlichere Abstimmungen, ein zentrales digitales Zugangsportal und gebündelte Spezialkompetenzen. Ziel sind mehr Orientierung, einheitlichere Verfahren und weniger Doppelarbeit.

Außerdem sprechen sich die Behörden für verständlichere Regeln, mehr Rechtssicherheit und eine stärkere Verantwortung der Hersteller digitaler Produkte aus. Die „Stuttgarter Impulse“ sind politische Vorschläge der Aufsichtsbehörden. Sie ändern die DSGVO oder das deutsche Datenschutzrecht nicht unmittelbar. Sie zeigen aber, in welche Richtung sich Aufsicht und Gesetzgebung aus Sicht der deutschen Behörden entwickeln sollten.

Offizielle europäische Quelle

Einheitliche EU-Vorlage für die Meldung von Datenschutzverletzungen

Der EDSA hat eine gemeinsame Vorlage für Meldungen nach Artikel 33 DSGVO veröffentlicht. Sie soll Organisationen helfen, Datenpannen strukturiert und vollständig an die zuständige Datenschutzaufsichtsbehörde zu melden. Die Vorlage enthält vorgegebene Auswahlmöglichkeiten und Erläuterungen zu den benötigten Angaben. Dadurch sollen Meldungen in Europa verständlicher und einheitlicher werden.

Die öffentliche Konsultation zur Vorlage endete am 5. August 2026. Der EDSA wird die eingegangenen Rückmeldungen auswerten und anschließend über den Zeitplan der praktischen Einführung durch die Datenschutzaufsichtsbehörden entscheiden. Ein verbindlicher Einführungstermin wurde bislang nicht veröffentlicht. Die bereits geltenden Regeln ändern sich dadurch nicht: Eine meldepflichtige Datenschutzverletzung muss grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden gemeldet werden.

Amtliches EU-Recht

Neue EU-Antikorruptionsrichtlinie stärkt den Bezug zum Hinweisgeberschutz

Die neue EU-Richtlinie zur Korruptionsbekämpfung ist am 31. Mai 2026 in Kraft getreten. Sie schafft gemeinsame Mindestregeln für Korruptionsdelikte in öffentlichen und privaten Bereichen. Erfasst werden unter anderem Bestechung, Veruntreuung, unerlaubte Einflussnahme, Behinderung der Justiz und bestimmte Formen der Verschleierung oder Bereicherung aus Korruption.

Die Richtlinie stellt außerdem klar, dass Meldungen über solche Delikte und der Schutz der meldenden Personen mit dem europäischen Hinweisgeberschutz zusammengedacht werden müssen. Als EU-Richtlinie muss sie zunächst in nationales Recht umgesetzt werden. Allein durch ihr Inkrafttreten ändern sich die Abläufe einer deutschen internen Meldestelle daher nicht sofort.

Offizielle europäische Quelle · politische Einigung

EU einigt sich auf geänderten Zeitplan für Hochrisiko-KI

Das Europäische Parlament und der Rat haben eine politische Einigung über Vereinfachungen der KI-Regeln und einen angepassten Zeitplan erzielt. Danach sollen Vorschriften für bestimmte Hochrisikobereiche – darunter Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Migration – ab dem 2. Dezember 2027 gelten. Für Hochrisiko-KI in bestimmten Produkten ist der 2. August 2028 vorgesehen.

Eine politische Einigung war zu diesem Zeitpunkt noch nicht dasselbe wie eine endgültig verkündete Gesetzesfassung. Das Gesetzgebungsverfahren ist inzwischen abgeschlossen: Seit dem 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft. Die verbindliche Rechtslage und ihre praktische Bedeutung erläutert der aktualisierte Beitrag vom 27. Juli 2026.

Offizielle europäische Quelle

EDSA veröffentlicht einheitliche Vorlage für Datenschutz-Folgenabschätzungen

Der EDSA hat erstmals eine europaweit einheitlich gedachte Vorlage für Datenschutz-Folgenabschätzungen veröffentlicht. Eine solche Prüfung ist erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für Menschen verursacht. Die Vorlage führt schrittweise durch die Beschreibung der Verarbeitung, die Prüfung der Notwendigkeit und die Bewertung möglicher Folgen für die Rechte und Freiheiten betroffener Personen.

Ergänzt wird die Vorlage durch ein Erklärdokument in möglichst einfacher Sprache. Ihre Nutzung ist derzeit nicht verpflichtend. Nach Abschluss der Konsultation sollen die europäischen Aufsichtsbehörden die Vorlage als gemeinsamen Standard oder als Grundlage für nationale Vorlagen verwenden.

Offizielle deutsche Aufsichtsbehörde

Neue Orientierungshilfe für KI-Projekte in der öffentlichen Verwaltung

Der Bayerische Landesbeauftragte für den Datenschutz hat eine umfangreiche Orientierungshilfe für KI-Projekte in öffentlichen Stellen veröffentlicht. Sie verbindet Anforderungen der europäischen KI-Verordnung mit dem bereits geltenden Datenschutzrecht. Im Mittelpunkt stehen nachvollziehbare Entscheidungen, ein klarer Zweck, eine tragfähige Rechtsgrundlage und ein Schutzkonzept für personenbezogene Daten.

Die Veröffentlichung richtet sich unmittelbar an bayerische öffentliche Stellen. Viele Arbeitsschritte lassen sich aber auch auf andere Verwaltungen übertragen. Die Behörde kündigt außerdem kurze Ergänzungen zu konkreten KI-Einsatzfällen an. Die Orientierungshilfe ist keine Genehmigung für ein bestimmtes System; jedes Vorhaben muss weiterhin einzeln bewertet werden.

Offizielle europäische Quelle

Datenschutzaufsichten prüfen 2026 Informations- und Transparenzpflichten

25 europäische Datenschutzaufsichtsbehörden beteiligen sich 2026 an einer koordinierten Prüfung der Informationspflichten nach Artikel 12 bis 14 DSGVO. Untersucht wird, ob Verantwortliche verständlich, vollständig und rechtzeitig darüber informieren, wie personenbezogene Daten verarbeitet werden. Je nach Behörde erfolgen Befragungen, Sachverhaltsprüfungen oder Aufsichtsmaßnahmen.

Die europaweiten Ergebnisse sollen später zusammengeführt und ausgewertet werden. Die gesetzlichen Pflichten sind nicht neu. Der gemeinsame Prüfungsschwerpunkt erhöht aber die praktische Bedeutung aktueller und zur tatsächlichen Verarbeitung passender Datenschutzhinweise.

Offizielle europäische Quelle

Europaweite Prüfung zeigt Schwächen bei der Bearbeitung von Löschanträgen

32 europäische Datenschutzaufsichtsbehörden haben untersucht, wie 764 Unternehmen und öffentliche Stellen das Recht auf Löschung umsetzen. Dabei zeigten sich wiederkehrende Probleme: fehlende interne Abläufe, unvollständige Informationen für betroffene Personen und Unsicherheiten bei der Frage, wann Daten tatsächlich gelöscht werden müssen oder weiter gespeichert werden dürfen.

Weitere Schwierigkeiten betrafen Aufbewahrungsfristen, Daten in Sicherungskopien und den Versuch, Daten nur zu anonymisieren, obwohl die Anonymisierung nicht wirksam war. Das Recht auf Löschung gilt nicht ausnahmslos. Wird ein Antrag abgelehnt oder nur teilweise erfüllt, muss die Entscheidung aber nachvollziehbar geprüft, begründet und dokumentiert werden.

Offizielle deutsche Quelle

BfDI startet „ReguLab“ für frühe Datenschutzklärung bei Innovationen

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit startet mit dem „ReguLab“ ein neues Beratungsformat für datenbasierte Innovationen. Ausgewählte reale Anwendungsfälle sollen früh gemeinsam mit der Aufsicht betrachtet werden. Ziel ist, offene Datenschutzfragen nicht erst nach Entwicklung oder Markteinführung zu klären, sondern bereits während der Planung einer technischen Lösung.

Handlungsempfehlungen und datenschutzgerechte Lösungswege aus den Projekten sollen auch öffentlich zugänglich gemacht werden. Das ReguLab ist nicht mit einem KI-Reallabor nach der KI-Verordnung gleichzusetzen und ersetzt weder die eigene Verantwortlichkeit noch eine erforderliche Datenschutzprüfung.

Offizielle europäische Quelle

Datenschutzbehörden ordnen geplante Vereinfachungen der KI-Verordnung ein

EDSA und Europäischer Datenschutzbeauftragter haben gemeinsam zum geplanten „Digital Omnibus on AI“ Stellung genommen. Die EU-Kommission möchte damit einzelne Abläufe der KI-Verordnung vereinfachen. Die Datenschutzbehörden unterstützen weniger Bürokratie und europäische Reallabore, warnen aber davor, Schutzrechte und nachvollziehbare Verantwortlichkeiten abzuschwächen.

Besonders wichtig sind aus ihrer Sicht die Beteiligung der Datenschutzaufsicht, eine enge Begrenzung der Verarbeitung sensibler Daten zur Erkennung von Verzerrungen, die Registrierung möglicherweise hochriskanter Systeme und die Pflicht zur KI-Kompetenz der Beschäftigten. Es handelt sich um eine Stellungnahme zu einem Gesetzgebungsvorschlag – nicht um bereits geltendes neues Recht.