Mit der Russmedia-Entscheidung beendet die Große Kammer eine seit Inkrafttreten der DSGVO offene Grundfrage: Der Betreiber eines Online-Marktplatzes ist hinsichtlich der über ihn verbreiteten personenbezogenen Daten gemeinsam Verantwortlicher i.S.v. Art. 26 DSGVO und kann sich nicht auf das Hosting-Privileg berufen. Der Gerichtshof entwickelt ein detailliertes präventives Pflichtenprogramm – Vorab-Identifikation potentiell sensibler Daten, Identitätsverifikation des Inserierenden, technische Maßnahmen gegen unbefugtes Kopieren – und löst das Verhältnis zwischen DSGVO und Vermittlerprivileg in sieben Randnummern kategorisch zugunsten der DSGVO auf. Die Anmerkung ordnet die Linie dogmatisch ein, bewertet die strukturelle Verschiebung in Richtung präventiver Filterpflichten und beleuchtet die Konsequenzen für das beim BGH ausgesetzte Verfahren Künast/Meta.
Künstliche Intelligenz dient Vorständen zusehends bei der Vorbereitung von Leitungs- und Geschäftsführungsentscheidungen. Damit stellt sich eine wesentliche Frage zu den vorstandsrechtlichen Sorgfaltspflichten sowie zur Vorstandshaftung: Genügt ein generelles Verständnis der Funktionsweise von KI oder muss der Vorstand die konkrete Handlungsempfehlung der KI nachvollziehen können? Ausgehend von den gesellschaftsrechtlichen Grundlagen (Organhaftung, Business Judgment Rule, ISION-Grundsätze) entwickelt der Beitrag eine Antwort auf diese Frage und zeigt hierbei die Bedeutung erklärbarer KI (XAI) auf.
Der zunehmende Einsatz von Künstlicher Intelligenz (KI) im Rahmen der Digitalisierung ist evident. Aufgrund der stetigen Durchdringung unserer Gesellschaft mit moderner Technologie steht die Frage im Raum, was ist von größter Relevanz, wenn es um den Einsatz von KI geht. Die Antwort lautet: Eine vertrauensvolle Kooperation. Warum diese auf Werten basieren muss, wird im Artikel dargelegt.
Die Diskussion über menschliche Werte gehört zu den ältesten Themen der Philosophie. Gleichzeitig gewinnt sie in der Gegenwart eine neue Dringlichkeit. Digitale Systeme, Künstliche Intelligenz (KI) und autonome Maschinen greifen zunehmend in Lebensbereiche ein, die bisher ausschließlich dem Menschen vorbehalten waren. Dadurch stellt sich die Frage neu, welche Maßstäbe menschliches Handeln bestimmen und welche Ziele technischen Systemen überhaupt vorgegeben werden sollten.
Der Cyber Resilience Act verpflichtet verschiedene Akteure und Institutionen bei verschiedenen Szenarien zu Mitteilungen und Meldungen, die von Verwaltungsangelegenheiten hin zu Sicherheitsvorfällen und Schwachstellen reichen. Die Abgrenzung der einzelnen Meldeszenarien, Fristen und Adressaten fasst dieser Beitrag mit dem Fokus auf Sicherheitsmeldungen zusammen.
Der vorliegende Beitrag untersucht datenschutzrechtliche Rechtsgrundlagen anhand dreier typischer Szenarien der Cybersicherheitsforschung und analysiert, unter welchen Voraussetzungen sie einschlägig sind.
Generative KI-Systeme, insbesondere Large Language Models (LLMs), werden zunehmend in Lern- und Informationsprozessen eingesetzt. Gleichzeitig verändert ihr Einsatz grundlegende Bedingungen digitaler Wissensproduktion. Anders als klassische Informationsquellen erzeugen solche Systeme Antworten probabilistisch und kontextabhängig. Die resultierenden Inhalte können plausibel erscheinen, obwohl ihre faktische Grundlage unsicher ist. Daraus ergeben sich neue Herausforderungen für die digitale Selbstbestimmung, da Nutzerinnen und Nutzer nicht nur Daten preisgeben, sondern auch mit algorithmisch erzeugten Informationen umgehen müssen, deren Entstehung häufig intransparent bleibt. Der Beitrag argumentiert, dass Artificial Intelligence Literacy eine zentrale Voraussetzung für einen selbstbestimmten und reflektierten Umgang mit generativer KI darstellt. Am Beispiel adversarialer Prompt-Variationen wird ein didaktischer Ansatz vorgestellt, der es ermöglicht, die Funktionsweise generativer KI-Systeme sichtbar zu machen und kritisch zu untersuchen.
Der Beitrag entwickelt ein theoretisch und methodisch fundiertes Rahmenwerk zur individuell angepassten Integration von Ethik-Maßnahmen in KI-Systemen auf der Grundlage der ALTAI Liste. Im Mittelpunkt stehen die prozessorientierte Inkorporation normativer ethischer Prinzipien sowie deren kontextsensitive Operationalisierung entlang des KI-Lebenszyklus.
“Consent or pay”-, “Pur Abo”- oder “Pay or okay”-Modell – hierbei handelt sich um drei verschiedene Bezeichnungen für ein und dasselbe Phänomen: Einwilligungsbanner auf Online-Diensten, die den Nutzer vor die Wahl zwischen zwei Optionen stellen. Option 1: Er erklärt sich einverstanden, dass seine Daten zu Werbezwecken verarbeitet und entsprechende Analyse- und Werbe-Cookies gesetzt werden (“consent”), um “kostenfreien” Zugang zu dem gewünschten Dienst zu erhalten. Option 2: Er schließt ein kostenpflichtiges Abonnement ab (“pay”), um den Dienst werbefrei zu nutzen. Der folgende Beitrag liefert einen Überblick über zwei datenschutzrechtliche Kernprobleme von “Consent or pay”-Modellen: Die Angemessenheit des Entgelts in der Bezahloption und die Granularität der Einwilligung in der Einwilligungsoption. Darüber hinaus wird ein Ausblick auf aktuelle Entwicklungen im Hinblick auf solche Modelle gegeben.
Zum Zweck der Verhinderung und Bekämpfung von Geldwäsche überwachen Kreditinstitute gesetzlich verpflichtend täglich Millionen von Finanztransaktionen. Regulatorisches Ziel ist die Aufdeckung geldwäscherechtlich relevanter verdächtiger Transaktionen. Dieser Beitrag diskutiert am Beispiel der Transaktionsüberwachung, dass bei auf Mustererkennung angelegten, verdachtsunabhängigen Informationseingriffen schon aufgrund der strukturellen Anforderungen an die Datenverarbeitung der Grundsatz der Datenminimierung den Umfang der Datenverarbeitung nicht sinnvoll begrenzen kann.
Der Einsatz von Künstlicher Intelligenz im Unternehmen wirft zahlreiche datenschutzrechtliche Fragen auf. Neben den Anforderungen der KI-Verordnung gilt es die Vorgaben der Datenschutz-Grundverordnung (DSGVO) konsequent umzusetzen. Der folgende Praxisbeitrag beleuchtet typische Stolpersteine anhand von zwei praktischen Anwendungsszenarien: KI-Chatbots im Arbeitsalltag sowie die automatische Transkription von Gesprächen.
Der vorliegende Aufsatz analysiert die Einwilligung als Rechtfertigung zur Verarbeitung personenbezogener Daten und deren strukturelle Übersteuerung im Kontext ubiquitärer Digitalisierung. Vor dem Hintergrund historischer Entwicklungen wird gezeigt, welchen praktischen Unzulänglichkeiten die Willensbekundung per se ausgesetzt ist und wie im standardisierten Massengeschäft bisher damit umgegangen wurde. Dabei erweist sich die Rechtsfigur als dogmatische Fiktion, die über hermeneutische Auslegungsstrategien und Kontrollnormen gestützt werden muss, um funktionsfähig zu bleiben. Die darin ersichtliche Entfremdung wirft schließlich grundlegende Fragen zur Zukunft informationeller Selbstbestimmung im digitalen Massengeschäft auf.
Über die Angelegenheiten minderjähriger Kinder entscheidet bis zur Volljährigkeit grundsätzlich der Inhaber der elterlichen Sorge, in aller Regel also die Eltern. Aber nicht immer, denn auf dem langen Weg zur Volljährigkeit erlangen die heranwachsenden Kinder nach und nach mehr Mit- und sogar Eigenentscheidungsbefugnisse, insbesondere in Bereichen, die ihr Persönlichkeitsrecht berühren. Doch stellen die maßgeblichen Regelungen mal auf das Alter und hier auch keineswegs immer auf das gleiche, mal auf die Einsichtsfähigkeit ab und wenn es ganz schlimm kommt, auch gleich mal auf beides. Nicht nur im Datenschutzrecht wird daher nicht ohne Grund die Frage aufgeworfen, ob es nicht auch einfacher geht.
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen zur Erstellung einer Softwareâ€Stückliste, die – ähnlich einer Zutatenliste für Lebensmittel – offenlegt, aus welchen Softwarebestandteilen ein Produkt besteht. Der vorliegende Beitrag analysiert, welchen Umfang Software-Stücklisten erfordern, um den Anforderungen des CRA gerecht zu werden, und diskutiert eine Ausweitung des risikobasierten Ansatzes.
Ob Sommerfeste, Firmenjubiläen, Konferenzen oder Vorträge – Veranstaltungen werden heute fast selbstverständlich mit Smartphones, Digitalkameras oder auch professionellen Produktionsteams begleitet. Dabei wird häufig intuitiv auf die Einwilligung der abgebildeten Personen als Erlaubnistatbestand zurückgegriffen. Doch nicht immer ist die Einwilligung optimal. Es gibt Alternativen.
Die Mitarbeiter eines datenschutzrechtlich Verantwortlichen sind der Dreh- und Angelpunkt für die praktische Umsetzung der DSGVO. Deren Schulung stellt daher eine zentrale technisch-organisatorische Maßnahme zur Umsetzung der DSGVO dar. Inwieweit KI-Chatbots bei der Umsetzung dieser Maßnahme einen Mehrwert bieten können – oder doch eher ein Risiko darstellen – wurde in einer vergleichenden Untersuchung KI-generierter Datenschutzschulungen von insgesamt neun verschiedenen KI-Chatbots untersucht. Die zentralen Ergebnisse dieser Studie werden im vorliegenden Beitrag vorgestellt.
Die europäischen Daten- und Digitalrechtsakte enthalten eine Vielzahl von Pflichten, die Unternehmen umsetzen müssen, um eine hinreichende Daten- und Cybersicherheit zu gewährleisten sowie Persönlichkeitsrechte betroffener Personen zu schützen. Darunter fallen auch verschiedene Meldepflichten. Sowohl die DSGVO als auch der CRA, DORA und die NIS-2-Richtlinie sehen – allesamt unter unterschiedlichen Voraussetzungen – Meldepflichten vor. Auch die jeweils anwendbaren Fristen, zuständigen Meldestellen und notwendigen Inhalte der Meldungen unterscheiden sich wesentlich. Das führt zu erheblichem Aufwand bei Unternehmen. Der Entwurf des Digitalen Omnibus will sich dieses Problems annehmen und sieht Vereinfachungen für betroffene Unternehmen vor. Dieser Aufsatz gibt einen Überblick über die derzeit bestehenden Meldepflichten, skizziert die sich hieraus ergebenden Probleme und bewertet mögliche künftige Änderungen durch den Digitalen Omnibus.
Immer mehr gemeldete Datenpannen, Beschwerdezahlen gehen durch die Decke, Datenschutz im Schulterschluss mit digitaler Souveränität
Der Digital-Omnibus ist auf der Fahrt durch Europa. An Bord hat er auch Veränderungen für die datenschutzrechtlich Verantwortlichen. Bringen diese Erleichterungen oder mehr Rechtsunsicherheiten?
