DSGVO & IT-Recht

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO) ist seit Mai 2018 anwendbar. Seitdem hat sie sich von einem Implementierungsprojekt zu einem dauerhaften Betriebserfordernis entwickelt. Aufsichtsbehörden verhangen Bußgeldrekordsummen, der CJEU präzisiert Normen durch Vorabentscheidungen, und neue Technologien werfen immer neue Datenschutzfragen auf. Für Tech-Unternehmen bedeutet das: DSGVO-Compliance ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess.

Ich berate Unternehmen bei der rechtssicheren Gestaltung von Produkten, Prozessen und Vertragsstrukturen. Mit Kenntnissen der deutschen, englischen (UK GDPR) und griechischen Datenschutzregime sowie des EU-Rahmens begleite ich auch komplexe Mehrjurisdiktions-Mandate.

Rechtsgrundlagen für die Datenverarbeitung

Jede Verarbeitungstätigkeit bedarf einer Rechtsgrundlage nach Art. 6 DSGVO. Für Tech-Unternehmen sind insbesondere drei Grundlagen relevant: Art. 6 Abs. 1 lit. a (Einwilligung), Art. 6 Abs. 1 lit. b (Vertragserfüllung) und Art. 6 Abs. 1 lit. f (berechtigte Interessen). Die Wahl der Rechtsgrundlage ist keine Formsache: Sie bestimmt, welche Rechte Betroffene geltend machen können und welche Anforderungen an Transparenz und Dokumentation gelten.

Besonders kritisch: Die Verwendung von Einwilligung als Rechtsgrundlage für Tracking, Profiling oder Werbung ist nach der ePrivacy-Rechtsprechung und den EDSA-Leitlinien 05/2020 zu Einwilligung erheblich eingeschränkt. Ich prüfe Ihre Verarbeitungsverzeichnisse und identifiziere Schwachstellen in der Rechtsgrundlagenarchitektur.

Auftragsverarbeitung: Art. 28 DSGVO in der Praxis

Wer personenbezogene Daten im Auftrag eines anderen verarbeitet, ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. Das Verhältnis muss durch einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 Abs. 3 DSGVO geregelt sein. Die Anforderungen an den AVV sind präzise: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen sind festzuhalten.

In der Praxis sind AVVs häufig unvollständig oder entsprechen nicht dem aktuellen Stand. Besonderer Prüfbedarf besteht bei: Subauftragsverarbeitern (Art. 28 Abs. 2, 4 DSGVO), Weisungsrechten, Losch- und Rückgabepflichten bei Vertragsende, und der Dokumentation technisch-organisatorischer Maßnahmen als Anlage. Ich erstelle und prüfe AVVs und identifiziere Lücken in bestehenden Strukturen.

Internationale Datentransfers nach Kapitel V DSGVO

Die Übermittlung personenbezogener Daten in Drittländer außerhalb des EWR ist nur zulässig, wenn eine der in Art. 44 ff. DSGVO geregelten Garantien vorliegt. Adäquanzbeschluße existieren derzeit unter anderem für das UK (Beschluss vom 28. Juni 2021, prüfungspflichtig), die Schweiz, Japan und die USA (EU-US Data Privacy Framework, Beschluss vom 10. Juli 2023).

Wo kein Adäquanzbeschluß besteht, sind Standardvertragsklauseln (SCCs, Durchführungsbeschluss (EU) 2021/914) das meistgenutzte Instrument. Seit Schrems II (CJEU, C-311/18) ist zusätzlich ein Transfer Impact Assessment (TIA) erforderlich, dass die Rechtslage im Empfängerland und die tatsachliche Zugriffsmöglichkeit durch Behörden bewertet. Ich entwickle TIA-Methodiken und prüfe bestehende Transfermechanismen auf ihre Rechtskonformität.

KI und Datenschutz: Spannungsfelder

Der Einsatz von KI-Systemen wirft spezifische DSGVO-Fragen auf. Vier Bereiche sind besonders relevant:

Profiling und automatisierte Entscheidung (Art. 22 DSGVO): Vollautomatisierte Entscheidungen mit rechtlicher oder erheblich beeinträchtigender Wirkung sind grundsätzlich untersagt, es sei denn, sie stützen sich auf eine der Ausnahmen nach Art. 22 Abs. 2. Das Recht auf menschliche Überprüfung ist nicht abdingbar.

Trainingsdaten: Die Verwendung personenbezogener Daten zum Training von KI-Modellen bedarf einer Rechtsgrundlage. Art. 6 Abs. 1 lit. f kann grundsätzlich herangezogen werden, erfordert aber eine sorgfältige Interesseabwägung. Web Scraping als Methode zur Datenbeschaffung für das Training ist zunehmend Gegenstand behördlicher Untersuchungen.

Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Daten, die für einen bestimmten Zweck erhoben wurden, dürfen nicht ohne weiteres für das Training eines KI-Modells verwendet werden. Die Vereinbarkeit mit dem ursprünglichen Zweck muss im Einzelfall bewertet werden.

Datenschutz durch Technikgestaltung (Art. 25 DSGVO): KI-Systeme müssen so konzipiert sein, dass datenschutzfreundliche Voreinstellungen sichergestellt sind. Das betrifft Datensparsamkeit, Anonymisierung wo möglich und Zugriffskontrollen.

Datenschutz-Folgenabschatzung (Art. 35 DSGVO)

Die DSFA ist verpflichtend bei Verarbeitungen, die "voraussichtlich ein hohes Risiko" für die Rechte und Freiheiten natürlicher Personen mit sich bringen. Die nationalen Aufsichtsbehörden veröffentlichen Positiv- und Negativlisten (vgl. BfDI). Typische Hochrisikoszenarien für Tech-Unternehmen: systematisches und umfangreiches Profiling, Verarbeitung biometrischer Daten, Überwachung öffentlich zugänglicher Bereiche, Verarbeitung von Gesundheitsdaten.

Die DSFA ist mehr als ein Formular: Sie ist ein strukturiertes Risikoanalyse-Instrument, das Maßnahmen zur Risikomitigation identifizieren und dokumentieren soll. Eine unzureichende DSFA kann selbst zu einem Bußgeldfaktor werden. Ich erstelle DSFA-Dokumentationen und prüfe bestehende Folgenabschatzungen auf ihren aktuellen Stand.