Der Datenschutz im Kontext von Künstlicher Intelligenz (KI) ist ein komplexes und dynamisches Thema, das Unternehmen vor vielfältige Herausforderungen stellt.
Die Entwicklung und der Einsatz von KI-Technologien erfordern nicht nur technische Innovationen, sondern auch die Einhaltung strenger rechtlicher Rahmenbedingungen, insbesondere in der EU und Deutschland. In diesem Blog-Beitrag werden die wichtigsten rechtlichen Probleme und Anforderungen des Datenschutzes bei der Entwicklung und dem Einsatz von KI in Unternehmen erläutert.
Was braucht man für eine „Checkliste Chatbot“: In der heutigen digitalen Welt haben Chatbots eine immer größere Bedeutung erlangt. Sie sind in der Lage, Kundenanfragen rund um die Uhr zu beantworten und Prozesse zu automatisieren, was sowohl Unternehmen als auch Kunden viele Vorteile bringt.
Allerdings bringt der Einsatz von Chatbots, insbesondere solchen, die auf großen Sprachmodellen (LLMs) wie ChatGPT basieren, erhebliche datenschutzrechtliche Herausforderungen mit sich. Datenschutz ist in diesem Kontext besonders wichtig, weil Chatbots oft mit personenbezogenen Daten interagieren und diese verarbeiten. Die Einhaltung der Datenschutz-Grundverordnung (DSGVO) ist daher unerlässlich, um rechtliche Konsequenzen zu vermeiden und das Vertrauen der Nutzer zu sichern.
Die Integration von Künstlicher Intelligenz (KI) in zahlreiche Lebensbereiche bringt immense Vorteile mit sich, stellt aber auch erhebliche Herausforderungen im Bereich des Datenschutzrechts dar. Insbesondere die Datenschutz-Grundverordnung (DSGVO) spielt eine entscheidende Rolle bei der rechtlichen Regulierung von KI-Anwendungen.
Am 3. Mai 2024 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder einen beachtlichen Beschluss zur Regelung der nationalen Zuständigkeiten im Rahmen der Künstlichen Intelligenz-Verordnung (KI-VO) gefasst. Dieser Beschluss verdeutlicht die entscheidende Rolle, die Datenschutzbehörden in der Überwachung von KI-Systemen einnehmen werden, eine Entwicklung, die weitreichende Implikationen für Entwickler, Unternehmen und Nutzer von KI-Technologien in Deutschland hat.
In mehreren Entscheidungen zur Information über Ersatzteile und Reparatur von Personenkraftwagen konnte sich der EuGH zu relevanten Fragen äußern. Dabei spielt die Verordnung (EU) 2018/858 über die Genehmigung und Marktüberwachung von Kraftfahrzeugen und Kraftfahrzeuganhängern sowie von Systemen, Bauteilen und selbstständigen technischen Einheiten für diese Fahrzeuge eine erhebliche Rolle.
Der EuGH (C-319/22) konnte nun klarstellen, dass die hier in Art. 61 Abs. 1 Satz 2 vorgesehene Verpflichtung, die dort genannten Informationen in leicht zugänglicher Form in maschinenlesbarer und elektronisch verarbeitbarer Form zur Verfügung zu stellen, für alle „Reparatur- und Wartungsinformationen“ im Sinne des Art. 3 Nr. 48 der Verordnung gilt und nicht nur für Ersatzteilinformationen nach Anhang X Nr. 6.1 der Verordnung!
Der EuGH hob hervor, dass Fahrzeughersteller nicht verpflichtet sind, Fahrzeugreparatur- und -wartungsinformationen über eine Datenbankschnittstelle zugänglich zu machen, die eine maschinengesteuerte Abfrage und das Herunterladen der Ergebnisse ermöglicht. Sie sind jedoch verpflichtet, diese Informationen unabhängigen Marktteilnehmern in Dateien zur Verfügung zu stellen, deren Format eine unmittelbare elektronische Weiterverarbeitung der in diesen Dateien enthaltenen Datensätze ermöglicht. Darüber hinaus sind die Fahrzeughersteller verpflichtet, eine Datenbank einzurichten, die es ermöglicht, nicht nur anhand der Fahrzeug-Identifizierungsnummer (FIN), sondern auch anhand der in der letztgenannten Bestimmung vorgesehenen zusätzlichen Merkmale nach allen Teilen zu suchen, mit denen das Fahrzeug vom Hersteller ausgestattet ist.
Art. 61 Abs. 1 i.V.m. Art. 61 Abs. 4 und Anhang X Nr. 6.1 begründet für die Fahrzeughersteller zudem eine „rechtliche Verpflichtung“ i.S.d. Art. 6 Abs. 1 Buchst. c der Verordnung, die FIN der von ihnen hergestellten Fahrzeuge unabhängigen Wirtschaftsbeteiligten als „Verantwortlichen“ im Sinne von Art. 4 Nr. 7 der Verordnung zur Verfügung zu stellen.
Der EuGH (C-296/22) hat zudem klargestellt, dass Art. 61 Abs. 1 und 4 in Verbindung mit Anhang X der Verordnung (EU) 2018/858 über die Genehmigung und Marktüberwachung von Kraftfahrzeugen und Kraftfahrzeuganhängern sowie von Systemen, Bauteilen und selbstständigen technischen Einheiten für diese Fahrzeuge dahin auszulegen ist, dass sie dem entgegensteht, dass ein Fahrzeughersteller den Zugang unabhängiger Marktteilnehmer zu Fahrzeugreparatur- und -wartungsinformationen sowie zu Informationen des On-Board-Diagnosesystems, einschließlich des Rechts auf Zugang zu diesen Informationen in schriftlicher Form, von anderen als den in dieser Verordnung vorgesehenen Bedingungen abhängig macht:
Zunächst ist darauf hinzuweisen, dass bei der Auslegung einer Vorschrift des Unionsrechts nicht nur ihr Wortlaut, sondern auch ihr Kontext und die Ziele zu berücksichtigen sind, die mit der Regelung, zu der sie gehört, verfolgt werden (Urteil vom 9. Juni 2022, IMPERIAL TOBACCO BULGARIA, C‑55/21, EU:C:2022:459, Rn. 44 und die dort angeführte Rechtsprechung). Auch die Entstehungsgeschichte einer solchen Vorschrift kann relevante Anhaltspunkte für deren Auslegung liefern (vgl. in diesem Sinne Urteil vom 10. Dezember 2018, Wightman u. a., C‑621/18, EU:C:2018:999, Rn. 47 und die dort angeführte Rechtsprechung).
Was die wörtliche Auslegung der fraglichen Bestimmungen angeht, so sind gemäß Art. 61 Abs. 1 der Verordnung 2018/858 die Fahrzeughersteller verpflichtet, unabhängigen Wirtschaftsakteuren uneingeschränkten, standardisierten und diskriminierungsfreien Zugang zu OBD‑Informationen im Sinne von Art. 3 Nr. 49 der Verordnung, Diagnose- und anderen Geräten und Instrumenten sowie zu Fahrzeugreparatur- und ‑wartungsinformationen im Sinne von Art. 3 Nr. 48 der Verordnung zu gewähren. Die Angaben sind leicht zugänglich in Form von maschinenlesbaren und elektronisch verarbeitbaren Datensätzen darzubieten.
Nach Art. 61 Abs. 4 der Verordnung sind „[d]ie Einzelheiten der technischen Anforderungen an den Zugang zu den Fahrzeug-OBD‑Informationen und Fahrzeugreparatur- und ‑wartungsinformationen, insbesondere technische Angaben über die Art und Weise der Bereitstellung von Fahrzeug-OBD‑Informationen und Fahrzeugreparatur- und ‑wartungsinformationen, … in Anhang X im Einzelnen festgelegt“. Nr. 2.9 dieses Anhangs schreibt vor, dass „[f]ür die Zwecke der Fahrzeug-OBD sowie der Fahrzeugdiagnose, ‑reparatur und ‑wartung … der direkte Fahrzeugdatenstrom über einen seriellen genormten Datenübertragungsanschluss … bereitzustellen“ ist. Abs. 2 dieser Bestimmung stellt außerdem klar, dass dann, wenn sich das Fahrzeug in Bewegung befindet, auf die Daten nur im Lesemodus zugegriffen werden darf.
Daraus ergibt sich zum einen, dass die Verpflichtung der Fahrzeughersteller aus Art. 61 Abs. 1 der Verordnung 2018/858, einen uneingeschränkten, standardisierten und diskriminierungsfreien Zugang zu OBD‑Informationen sowie zu Fahrzeugreparatur- und ‑wartungsinformationen bereitzustellen, die Verpflichtung einschließt, unabhängigen Wirtschaftsakteuren zu erlauben, diese Informationen zu verarbeiten und zu verwerten, ohne dass für sie andere als die in der Verordnung bestimmten Bedingungen gelten (vgl. in diesem Sinne Urteil vom 27. Oktober 2022, ADPA und Gesamtverband Autoteile-Handel, C‑390/21, EU:C:2022:837, Rn. 29). Zum anderen ergibt sich aus Anhang X Nr. 2.9 Abs. 2 der Verordnung, dass diese Wirtschaftsakteure, wenn sich das Fahrzeug nicht in Bewegung befindet, einen weiter gehenden Zugang haben müssen als den in dieser Bestimmung genannten Lesemodus.
Was die systematische Auslegung der fraglichen Bestimmungen betrifft, so werden in Anhang X Nrn. 6.2 und 6.4 der Verordnung 2018/858 zum einen die Vorgaben für den Zugang zu Sicherheitsmerkmalen des Fahrzeugs und zum anderen die Anforderungen an die Reprogrammierung der Steuerungsgeräte festgelegt. Wie die Europäische Kommission in ihren schriftlichen Erklärungen ausgeführt hat, sind in diesen Nummern die Fälle bestimmt, in denen der Zugang zu OBD‑Informationen sowie zu Fahrzeugreparatur- und ‑wartungsinformationen aufgrund ihrer Bedeutung für die Sicherheit an bestimmte Bedingungen geknüpft werden kann. Liegt keiner dieser Fälle vor, müssen unabhängige Wirtschaftsakteure daher ein Recht auf Zugang zu diesen Informationen haben, ohne dass für sie andere als die in der Verordnung vorgesehenen Bedingungen gelten (vgl. in diesem Sinne Urteil vom 27. Oktober 2022, ADPA und Gesamtverband Autoteile-Handel, C‑390/21, EU:C:2022:837, Rn. 32).
Die Auslegung in Rn. 29 des vorliegenden Urteils wird durch das in den Erwägungsgründen 50 und 52 der Verordnung 2018/858 genannte Ziel bestätigt, einen wirksamen Wettbewerb auf dem Markt für Fahrzeugreparatur- und Fahrzeugwartungsinformationsdienste zu ermöglichen, damit die unabhängigen Wirtschaftsakteure auf dem Markt der Fahrzeugreparatur und ‑wartung mit Vertragshändlern konkurrieren können (vgl. in diesem Sinne Urteil vom 27. Oktober 2022, ADPA und Gesamtverband Autoteile-Handel, C‑390/21, EU:C:2022:837, Rn. 30).
Die unabhängigen Wirtschaftsakteure müssen somit uneingeschränkten Zugang zu den Informationen erhalten, die für die Erfüllung ihrer Aufgaben in der Lieferkette auf dem Markt der Fahrzeugreparatur und ‑wartung erforderlich sind. Würde der Zugang zu den in Art. 61 Abs. 1 der Verordnung 2018/858 genannten Informationen an Bedingungen geknüpft, die in der Verordnung nicht vorgesehen sind, bestünde die Gefahr, dass sich die Anzahl der unabhängigen Werkstätten, die Zugang zu diesen Informationen haben, verringert, was möglicherweise zu einem Rückgang des Wettbewerbs auf dem Markt für Fahrzeugreparatur- und Fahrzeugwartungsinformationsdienste und damit zu einem verringerten Angebot für Verbraucher führt. Könnten die Hersteller den Zugang zum direkten Fahrzeugdatenstrom im Sinne von Nr. 2.9 des Anhangs X der Verordnung nach Belieben beschränken, stünde es ihnen zudem frei, den Zugang zu diesem Datenstrom von Bedingungen abhängig zu machen, die ihn praktisch vereiteln könnten.
EUGH, C-296/22
Hinweis: Dazu siehe auch Ferner in BeckOK-StPO, §2 TTDSG, Rn. 22-26.4 (Stichwort „Car-Forensik“).
Die Zukunft der Kriminalitätsbekämpfung liegt wahrscheinlich in einem Wandel von der reinen Reaktion hin zur Prävention. Technisch möglich wird dieser Wandel durch die Kombination zweier technologischer Entwicklungen: Auf der einen Seite eine eklatante Anhäufung von Daten („Big Data“) und auf der anderen Seite die zunehmende Möglichkeit, durch bestimmte Formen künstlicher Intelligenz diese Daten nicht nur auszuwerten, sondern daraus auch brauchbare statistische Vorhersagen zu gewinnen. Dies ermöglicht zumindest theoretisch die Vorhersage des Auftretens von Straftaten, das sogenannte Predictive Policing.
Das Bundesverfassungsgericht hatte nun erstmals Gelegenheit, sich zu diesem Thema zu äußern. Die Entscheidung dürfte für Jahrzehnte richtungsweisend sein. Sie beginnt wenig überraschend mit der Klarstellung, dass, wenn gespeicherte Datenbestände mittels einer automatisierten Anwendung zur Analyse oder Auswertung von Daten verarbeitet werden, dies einen Eingriff in die informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) all derjenigen darstellt, deren Daten bei diesem Vorgang personenbezogen verwendet werden (1 BvR 1547/19 und 1 BvR 2634/20). Betroffen sind also nicht nur die Personen, die am Ende der Auswertung möglicherweise Gegenstand von (weiteren) Ermittlungsmaßnahmen sind.
Ebenso hat das Bundesverfassungsgericht ausdrücklich klargestellt, dass dann, wenn die entsprechende automatisierte Datenanalyse oder -auswertung einen schwerwiegenden Eingriff in das informationelle Selbstbestimmungsrecht ermöglicht, dieser nur unter den engen Voraussetzungen gerechtfertigt werden kann, wie sie allgemein für eingriffsintensive heimliche Überwachungsmaßnahmen gelten. Das heißt: nur zum Schutz besonders gewichtiger Rechtsgüter, sofern für diese eine zumindest hinreichend konkrete Gefahr besteht.
Auf das Erfordernis einer zumindest hinreichend konkretisierten Gefahr für besonders wichtige Rechtsgüter kann aus verfassungsrechtlicher Sicht nur dann verzichtet werden, wenn die zulässigen Analyse- und Auswertungsmöglichkeiten durch Regelungen insbesondere zur Begrenzung von Art und Umfang der Daten und zur Beschränkung der Datenverarbeitungsmethoden normenklar und hinreichend bestimmt so eng begrenzt werden, dass das Eingriffsgewicht der Maßnahmen erheblich reduziert wird. Dabei hat das BVerfG sogar einen Kriterienkatalog für die jeweilige Abwägung gleich mitgeliefert, der äußerst umfangreich ist, zugleich aber eine formelhafte Betrachtung im Keim unterbindet.
Weiterhin wird eifrig an neuen Gestzen bzw. Reformen gearbeitet, die auch Einfluss auf das IT-Recht und den Alltag vieler Anbieter und Dienstleister haben werden. Aktuell sollte man zwei Vorhaben im Auge haben: Die Überarbeitung des Geldwäschegesetzes sowie die versteckte Aufnahme der Umsetzung der Cookie-Richtlinie.
