108. Datenschutzkonferenz: Beschlüsse zu KI, BKA-Gesetz und Onlinezugangsgesetz

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat auf ihrer 108. Konferenz am 14. und 15. November 2024 in Wiesbaden eine Vielzahl unterschiedlicher Themengebiete behandelt. Die Ergebnisse der zweitägigen Konferenz fasst der DSK-Vorsitzende, der Hessische Beauftragte für Datenschutz und Informationsfreiheit Prof. Dr. Alexander Roßnagel, wie folgt zusammen:

„Entsprechend ihrem Selbstverständnis haben die Datenschutzaufsichtsbehörden ihre Zusammenarbeit koordiniert und in wichtigen praktischen Fragen des Datenschutzes Beschlüsse gefasst, um ihre Rechtsauffassungen abzustimmen und ihre Aufsichtspraxis zu harmonisieren. Neben den Datenschutzanforderungen an die Herstellung und Anwendung von Systemen Künstlicher Intelligenz ging es um die Bewertung polizeilicher Überwachungsmaßnahmen, die Fortentwicklung der elektronischen Verwaltung und das Angebot von digitalen Diensten im Internet. Mit ihren einstimmigen Beschlüssen trägt die DSK zu mehr Rechtssicherheit im Datenschutzrecht bei. Im Rahmen der Erörterung der aktuellen bundespolitischen Entwicklung wurde außerdem die besondere Bedeutung der Verabschiedung der Novelle des Bundesdatenschutzgesetzes noch in dieser Wahlperiode betont .“

Künstliche Intelligenz konstruktiv begleiten

Ein Schwerpunkt der Konferenz betraf die Entwicklung und den Einsatz von Modellen und Systemen Künstlicher Intelligenz (KI). Diese will die DSK zielführend und konstruktiv begleiten. Zentrales Ziel soll dabei sein, Anforderungen und Handlungsempfehlungen zu entwickeln, um KI datenschutzkonform zu realisieren und einzusetzen. Um ihre bisherige Arbeit in diesem Bereich zu verstetigen, hat die DSK einen Arbeitskreis Künstliche Intelligenz gebildet. Dieser vereinigt technische und rechtliche Expertise aller in der DSK verbundenen Aufsichtsbehörden. Er soll die Entwicklungen und Wirkungen sowohl der KI-Technologien als auch der KI-Regulierung beobachten, konstruktiv-kritische Beiträge zu aktuellen Diskussionen um KI leisten und dazu beitragen, dass sich die Aufsichtstätigkeit innovationsfreundlich 2 und risikospezifisch fortentwickeln kann. Den Vorsitz übernehmen der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz Prof. Dr. Dieter Kugelmann sowie der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden Württemberg Prof. Dr. Tobias Keber. Für die nächste Zeit hat die DSK dem Arbeitskreis aufgegeben, sich mit der Erhebung und Vorbereitung von Trainingsdaten, dem Training mit personenbezogenen Daten, den Auswirkungen eines rechtswidrigen Trainings auf die Rechtmäßigkeit des Einsatzes eines KI-Modells sowie mit der Umsetzung von Betroffenenrechten zu befassen.

BVG-Urteil zum Bundeskriminalamtsgesetz

Für die Praxis des Datenschutzes sind vor allem drei weitere Ergebnisse der Tagung von besonderer Bedeutung: Das Bundesverfassungsgericht hat mit Urteil vom 1. Oktober 2024 – 1 BvR 1160/19 – Regelungen des Bundeskriminalamtsgesetz (BKAG) für verfassungswidrig erklärt. Dies betrifft zum einen die vorsorgende Speicherung von zuvor erhobenen Grunddaten eines Beschuldigten im polizeilichen Informationsverbund, ohne dass mit hinreichender Wahrscheinlichkeit festgestellt wurde, dass dies zur Verhütung einer künftigen Straftat erforderlich ist. Zum anderen ist die Überwachung von Kontaktpersonen mit besonderen Mitteln verfassungswidrig, wenn diese Kontaktpersonen selbst keine konkretisierte Gefahr verursachen. Das Urteil erfordert eine Änderung des BKAG und von Gesetzesvorhaben auf Länderebene und der Überwachungspraxis der Polizei. Die DSK erörterte, welche Änderungen dieses Urteil für die Kontrollpraxis der Datenschutzaufsichtsbehörden erfordert und wie gemeinsame oder abgestimmte Kontrollen durchgeführt werden können.

Datenschutzfragen zum Onlinezugangsgesetz

Mit ihrer Anwendungshilfe zum neuen Onlinezugangsgesetz (OZG) greift die DSK wichtige Datenschutzfragen der elektronischen Verwaltung auf. Sie erläutert die mit dem OZG-Änderungsgesetz eingefügten Neuregelungen in Bezug auf ihre praktischen Auswirkungen für die Rechtsanwendenden. Behandelt werden unter anderem das Prinzip „Einer-für-alle“ (EfA), die gesetzliche Zuweisung der datenschutzrechtlichen Verantwortlichkeit für die Anbieter von Zugangsdiensten und die Betreiber verwaltungsrechtlicher Fachverfahren sowie die in § 5 E-Government-Gesetz enthaltene Generalklausel für das „Once-Only-Prinzip“.

Orientierungshilfe für Anbieter digitaler Dienste

Ein weiterer wichtiger Beschluss der DSK betrifft die Neufassung der Orientierungshilfe für Anbieter von digitalen Diensten vom 1. Dezember 2021. Die Orientierungshilfe befasst sich insbesondere mit digitalen Diensten, wie Webseiten und Apps, die personenbezogene Daten von Nutzenden verarbeiten und zu Profilen zusammenführen, um das individuelle Verhalten der Nutzenden nachzuverfolgen und die Daten für vielfältige Zwecke, meist Werbezwecke, zu verwenden. Die 3 Überarbeitung berücksichtigt vor allem zwei wichtige Rechtsentwicklungen der letzten Jahre: Der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework hat die Grundlage für Datentransfers in die USA grundlegend verändert. Das Digitale Dienste Gesetz (DDG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) haben die deutschen Regelungen an die jüngsten europäischen Rechtsänderungen angepasst. Die Hinweise der Orientierungshilfe für Anbieter von digitalen Diensten sind damit auf dem neuesten Stand.