Beim europäischen Datenschutz bewegt sich gerade an mehreren Stellen etwas gleichzeitig. Ein Bußgeld gegen einen KI-Chatbot-Anbieter, ein US-Urteil mit Folgen für den transatlantischen Datenverkehr, zwei Klarstellungen des Europäischen Gerichtshofs und ein Reformpaket aus Brüssel. Wenn du personenbezogene Daten verarbeitest oder hostest, lohnt sich der Überblick.
Bußgeld für Character.AI
Die italienische Datenschutzbehörde Garante hat die US-Firma Character Technologies zur Kasse gebeten. Deren Plattform Character.AI lässt Nutzer mit virtuellen Figuren chatten, von Mafia-Bossen bis zu simulierten Psychotherapeuten. Beanstandet wurden intransparente Datenschutzhinweise, fehlende italienische Übersetzungen, unklare Rechtsgrundlagen und mangelhafter Jugendschutz.
158.000 Euro fallen dabei eher milde aus. Vor allem, wenn man sich vor Augen führt, dass in den USA Fälle bekannt wurden, in denen Jugendliche nach Chatbot-Interaktionen Suizid begingen.
Wackelt der US-Datentransfer?
Der US Supreme Court hat entschieden, dass der Präsident Mitglieder der Federal Trade Commission auch ohne schwerwiegende Verfehlungen entlassen darf. Die FTC gilt damit nicht mehr als unabhängige Behörde. Weil sie im Data Privacy Framework eine Rolle spielt, war die Aufregung entsprechend groß.
Der Rechtswissenschaftler Alexander Golland, der an der Hochschule Osnabrück zum Recht der Informationsgesellschaft lehrt, dämpft die Erwartungen an ein schnelles Beben. Als der EuGH das Vorgängerabkommen Privacy Shield kippte, störte ihn weniger die FTC als der fehlende Rechtsschutz gegen US-Geheimdienste. Deutlich kritischer wäre es, würde auch das Privacy and Civil Liberties Oversight Board als abhängig eingestuft.
Trotzdem rät er Unternehmen, Standarddatenschutzklauseln als Fallback in der Schublade zu haben. Am besten mit aufschiebender Bedingung, damit bestehende Haftungsregelungen nicht ungewollt ausgehebelt werden.
Zwei Klarstellungen aus Luxemburg
Der EuGH hat gleich zweimal nachgeschärft, wie die DSGVO auszulegen ist. Im ersten Fall ging es um einen niedersächsischen Haustechnikbetrieb und Daten aus einem privaten eBay-Konto, die möglicherweise auf unzulässigem Weg beschafft worden waren. Der Gerichtshof schließt ihre Verwendung als Beweismittel nicht grundsätzlich aus. Gerichte müssen aber selbst prüfen, ob sie die Daten verwenden dürfen und ob die Rechte der betroffenen Person dadurch zu stark beschnitten werden.
Der zweite Fall betraf eine öffentlich zugängliche Liste der österreichischen Anti-Doping-Agentur mit Namen, Sportarten, Verstößen und Sperrzeiten. Die bloße Information, dass jemand gedopt hat, gilt laut Urteil nicht automatisch als Gesundheitsdatum. Das kann anders aussehen, wenn die konkrete Substanz Rückschlüsse auf eine Erkrankung zulässt. Eine Veröffentlichung darf dem Schutz des fairen Sports dienen, muss aber verhältnismäßig bleiben und den Einzelfall berücksichtigen.
Der Digital-Omnibus und die alten Streitpunkte
Mit dem geplanten Digital-Omnibus will die EU ihre Datenschutz- und Digitalregeln vereinfachen. Manches daran ist offensichtlich sinnvoll, etwa eine gemeinsame Meldestelle für Datenschutz- und IT-Sicherheitsvorfälle. Daneben stehen aber die immergleichen Konflikte um Cookies, personalisierte Werbung und Browser-Signale gegen Tracking. Parlament und Mitgliedstaaten liegen bei zentralen Punkten auseinander.
Gollands Prognose fällt nüchtern aus: Er rechnet höchstens mit einem Reförmchen, und selbst das nur, wenn Rat, Parlament und Kommission die besonders umstrittenen Cookie-Regeln außen vor lassen.
Was das praktisch heißt
Kurzfristig ändert sich für dich wenig. Das Data Privacy Framework steht, und ein sofortiger Wegfall ist nicht in Sicht. Wer Auftragsverarbeiter in den USA nutzt, sollte die Standarddatenschutzklauseln trotzdem vorbereitet haben statt sie erst im Ernstfall zu suchen. Und wer die Wahl hat, wo Daten liegen, macht sich das Leben mit einem Rechenzentrum in der EU schlicht einfacher.