Trump gegen Slaughter: Das Ende transatlantischer Datenströme ?

Am 30. Juni schickte die NGO Noyb, ein Dorn im Auge der Digitalgiganten und Regulierungsbehörden, einen Brief an die Europäische Kommission mit der Aufforderung, den Austritt aus dem transatlantischen Datenschutzrahmen (dem Data Privacy Framework oder DPF) zu planen.

Laut der Nichtregierungsorganisation garantieren die Vereinigten Staaten keine unabhängige Aufsicht mehr in Bezug auf den Datenschutz.

Während Präsident Trump bereits 2 der 3 Mitglieder des “Privacy and Civil Liberties Oversight Board”, eines vom Kongress im Jahr 2004 geschaffenen unabhängigen Aufsichtsgremiums, entlassen hatte, hat der Oberste Gerichtshof der Vereinigten Staaten dem amerikanischen unabhängigen Aufsichtssystem zweifellos gerade den Todesstoß versetzt.

In einer 180°-Wende seiner bisherigen Rechtsprechung entschied der Gerichtshof am 29. Juni, dass die Unabhängigkeit der Federal Trade Commission (FTC) verfassungswidrig sei.

Das Urteil im Fall «Trump gegen Slaughter» fällt in den Rahmen einer «einheitlichen» Theorie, nach der der Präsident die Macht über alle amerikanischen Exekutivorgane ausüben muss.

Nach dieser Doktrin sind amerikanische Gesetze, die verschiedenen Behörden Unabhängigkeit gewähren, daher verfassungswidrig.

“Da sich die Europäische Union stark auf die ’Unabhängigkeit« der FTC als ihrer Datenschutzbehörde verlassen hat, ist die gesamte Struktur des EU-US-Datenschutzrahmens zusammengebrochen.»

Noyb-Präsident Max Schrems fügt hinzu, dass seine NGO angesichts des weiterhin erheblichen Drucks der Vereinigten Staaten auf die EU, den Fluss personenbezogener Daten aufrechtzuerhalten, in den kommenden Wochen auch rechtliche Schritte einleiten wird, mit dem Ziel, den Gerichtshof der Europäischen Union (EuGH) in die Lage zu versetzen, das aktuelle Abkommen für ungültig zu erklären.

Ein Urteil im Sinne des «Schrems III»-Prinzips könnte somit die Liste der Errungenschaften des Aktivisten vervollständigen.

Der Abgeordnete und CNIL-Mitglied Philippe Latombe sandte ebenfalls einen Brief an die Europäische Kommission, in dem er die Aufhebung des transatlantischen Vertrags forderte und französische Unternehmen aufforderte, souveräne Datenmanagementlösungen einzuführen.

Es sei daran erinnert, dass der Beschluss der Europäischen Kommission, mit dem die Angemessenheit des von den Vereinigten Staaten geschaffenen Schutzrahmens anerkannt wird, so lange in Kraft bleibt, bis die Kommission oder der EuGH ihn für ungültig erklärt.

Ein Verfahren vor dem Gericht dauert in der Regel zwei bis drei Jahre, bis eine endgültige Entscheidung getroffen wird.

Die Kommission kann jedoch nicht auf das Ergebnis eines solchen Verfahrens warten: Sie hat bereits auf Nachfrage der Medien angekündigt, dass sie angesichts der mangelnden Unabhängigkeit der FTC die Gültigkeit ihrer Angemessenheitsentscheidung überprüfen will.

Die dänische Datenschutzbehörde wies in einer Erklärung vom 1. Juli ferner darauf hin, dass die Entscheidung des Obersten Gerichtshofs der Vereinigten Staaten besonders weitreichende Auswirkungen haben könnte, die sich nicht nur auf Übermittlungen auf Grundlage des DPF, sondern auch auf Übermittlungen auf anderen Rechtsgrundlagen, beispielsweise auf Grundlage von Standardverträgen, auswirken würden.

Die Behörde ermutigt die Verantwortlichen für die Datenverarbeitung, ihre Einschätzung des vom Empfängerland garantierten Schutzniveaus im Rahmen ihrer Folgenabschätzung für den Datentransfer zu überprüfen.

Es ist besonders wichtig zu überprüfen, ob die Voraussetzungen für eine unabhängige Kontrolle durch die Behörden noch erfüllt sind.

Für Datenverantwortliche und Datenschutzbeauftragte bietet diese Nachricht die Möglichkeit, ihre Übersicht über transatlantische Datentransfers, einschließlich SaaS-, Cloud- oder KI-Tools, zu aktualisieren, ihre Rechtsgrundlage neu zu bewerten und gegebenenfalls mögliche Alternativen zu ermitteln.

In Frankreich

Nach einer öffentlichen Konsultation veröffentlichte die CNIL am 30. Juni ihre Empfehlungen zur Nutzung von Standortdaten vernetzter Fahrzeuge (Autos, Fahrräder, Roller usw.) durch Fachleute.

Ziel ist es, die Rechtssicherheit zu stärken und den Nutzern mehr Transparenz zu bieten.

In einem am 19. Juni aktualisierten Informationsblatt bekräftigt die CNIL ihre wesentlichen Empfehlungen zum Einsatz digitaler Technologien in der Wirtschaft.

Darin werden 12 Empfehlungen aufgeführt und Datenverantwortliche werden dazu angehalten, eine Diagnose über die Website der Regierung durchzuführen.

In einer Veröffentlichung vom 10. Juni werden außerdem die Regeln für die elektronische Kommunikation mit Interessenten und Kunden festgelegt.

Am 3. Juli veröffentlichte die CNIL die Ergebnisse ihrer Umfrage, die darauf abzielte, die Entwicklung der Rolle von Datenschutzbeauftragten angesichts der Entwicklung künstlicher Intelligenz (KI) zu analysieren.

Sie interessiert sich für die Governance von KI in Organisationen, für neue regulatorische Herausforderungen im Zusammenhang mit der Verknüpfung von DSGVO und europäischer KI-Verordnung sowie für den Bedarf von Datenschutzbeauftragten an Fähigkeiten, Schulungen und Tools.

Der Datenschutzbeauftragte spielt zwar weiterhin eine Schlüsselrolle bei der Gewährleistung des Schutzes personenbezogener Daten in KI-Projekten, ist aber nicht allein für die Einhaltung dieser Vorschriften zuständig und verfügt noch nicht über ein umfassendes Verständnis der entsprechenden Bestimmungen.

Die CNIL beabsichtigt, ihre Empfehlungen und Unterstützungsangebote für Fachleute an diese neuen Herausforderungen anzupassen und verweist auf die bereits auf ihrer Website verfügbaren Instrumente.

Am Dienstag, dem 16. Juni, kündigte der Premierminister in einem in den sozialen Medien veröffentlichten Video zusätzliche öffentliche Investitionen in Höhe von 655 Millionen Euro im Rahmen des Programms Frankreich 2030 an, um die Entwicklung von KI in Frankreich zu beschleunigen.

«Eine der symbolträchtigsten Ankündigungen betrifft die Generaldirektion für Innere Sicherheit (DGSI), die ihre Partnerschaft mit dem amerikanischen Datenanalysegiganten Palantir beendet.“.

Um diese ausländische Technologie zu ersetzen, wählte die DGSI das französische Unternehmen ChapsVision.

Diese Besorgnis wurde jüngst durch die Entscheidung der US-Regierung verstärkt, im Namen der nationalen Sicherheit den Zugang ausländischer Staatsangehöriger zu bestimmten fortschrittlichen Modellen künstlicher Intelligenz einzuschränken.

Die Regierung möchte außerdem die Einführung von KI in der Verwaltung beschleunigen.

Ein souveräner Konversationsassistent wird schrittweise für rund eine Million Staatsbedienstete eingeführt.»

Zum selben Thema wurde die Erprobung eines chinesischen Sprachmodells in der Generaldirektion des Finanzministeriums am 23. Juni wegen «suggestierender» oder «voreingenommener» Antworten unterbrochen.

Der Chatbot sollte hochrangige Beamte bei ihren täglichen Aufgaben unterstützen, insbesondere bei der Verarbeitung vertraulicher oder sensibler Daten.

Am Mittwoch wurde ein neues Modell des französischen Start-ups Mistral AI installiert.

Ab 2027 wird die französische nationale Agentur für Cybersicherheit (ANSSI) keine Sicherheitsprodukte mehr zertifizieren, die keine gegen Quantencomputer resistenten Verschlüsselungsmechanismen besitzen.

Diese Anforderung betrifft insbesondere Produkte, die für sensible Sektoren wie Verteidigung, Rüstung und öffentliche Verwaltung bestimmt sind.

Unternehmen haben bis 2030 Zeit, ausschließlich sogenannte «quantensichere» Lösungen zu erwerben.

Die Beschleunigung des Übergangs zur Post-Quanten-Kryptographie stand auch im Mittelpunkt der Arbeit der G7-Untergruppe für Cybersicherheit, die Anfang Juni unter französischer Präsidentschaft zusammentrat.

Die Datenschutzbehörden der G7-Staaten trafen sich am 25. und 26. Juni auf Einladung der CNIL im Rahmen der französischen G7-Präsidentschaft ebenfalls in Paris.

Sie verabschiedeten eine Erklärung zu datenschutzkonformen Altersverifizierungsmechanismen sowie ein Dokument zur Entwicklung vernetzter Geräte, die die Privatsphäre von Minderjährigen respektieren.

In Europa

Europäische Institutionen und Gremien

Am 29. Juni erteilte der Rat der EU seine endgültige Zustimmung zur Vereinfachung und Straffung der KI-Regeln gemäß der Omnibusverordnung.

Die Anwendung der Regelungen für Hochrisikosysteme wird für eigenständige Hochrisiko-KI-Systeme auf den 2. Dezember 2027 und für in Produkte integrierte Hochrisiko-KI-Systeme auf den 2. August 2028 verschoben.

Der Text fügt der KI-Regulierung eine Bestimmung hinzu, die KI-Praktiken im Zusammenhang mit der Erzeugung nicht einvernehmlicher sexueller und intimer Inhalte oder Kinderpornografie verbietet.

Künstliche Intelligenzsysteme, die Bilder von nackten realen Personen erzeugen oder Kleidung von bestehenden Fotos entfernen, um intime Körperteile zu enthüllen, werden ab Dezember 2026 ebenfalls verboten sein.

Die neue Verordnung verschiebt die Frist für die Einrichtung von regulatorischen «Sandboxes» für KI durch die zuständigen Behörden auf nationaler Ebene auf den 2. August 2027 und verkürzt die den Anbietern eingeräumte Frist zur Umsetzung von Transparenzlösungen für künstlich erzeugte Inhalte von 6 auf 3 Monate; die neue Frist ist der 2. Dezember 2026.

Laut einem Dokument, das Politico vorliegt, versucht die Präsidentin des Europäischen Parlaments, Roberta Metsola, ein umstrittenes Gesetz zur Filterung von Online-Kinderpornografie (CSAM) zu verabschieden, ein Gesetz, das im vergangenen März von ihrer eigenen Versammlung in der Plenarsitzung abgelehnt wurde.

Der Präsident bat die im Rat versammelten Mitgliedstaaten, einen Entwurf zu billigen, der es Technologieplattformen ermöglichen würde, ihre Dienste freiwillig auf kinderpornografische Inhalte zu überprüfen. Dieses Thema ist Gegenstand heftiger Kontroversen: Die Polizei und einige Kinderrechtsaktivisten sowie mehrere europäische Kommissare argumentieren, dass das Fehlen einer entsprechenden Gesetzgebung es Tätern und Pädophilen ermöglicht, im Internet ungestraft zu agieren.

Datenschützer und Sicherheitsexperten hingegen befürchten, dass diese Vorschläge zu einer inakzeptablen Massenüberwachung und zum Ende der Verschlüsselung führen könnten.

Am 18. Juni 2026 stellte der EuGH in seinem Urteil C-484/24 – NTH Haustechnik klar, dass unrechtmäßig erlangte personenbezogene Daten nicht automatisch von Gerichtsverfahren ausgeschlossen werden sollten.

Die Gerichte dürfen sie nutzen, wenn dies für die Erfüllung ihrer Aufgaben unbedingt erforderlich und verhältnismäßig ist, wobei die Grundsätze der DSGVO, insbesondere die Datenminimierung, zu beachten sind.

Diese Möglichkeit macht die ursprüngliche Erhebung der Informationen jedoch nicht rechtmäßig und befreit den Urheber nicht von möglichen Verstößen gegen Datenschutzbestimmungen.

Der Europäische Datenschutzausschuss (EDPB) hat am 10. Juni ein Modell für die Meldung von Datenschutzverletzungen verabschiedet.

Dieses Modell ist in erster Linie für die Umsetzung durch die APDs mithilfe eines Computerprogramms vorgesehen.

Das Modell wird einer öffentlichen Konsultation unterzogen, wodurch Interessengruppen die Möglichkeit haben, bis zum 5. August ihre Kommentare und Rückmeldungen zum Inhalt mitzuteilen.

Ab dem 3. August wird Google die IP-Adressen von Internetnutzern mit Sitz im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz verwenden, um Werbung zu messen und zu personalisieren.

Während Google diese Daten bereits aus technischen Gründen sammelt, entwickelt sich ihre Verwendung weiter: Die IP-Adresse kann nun auch zur Identifizierung von Geräten für Werbezwecke verwendet werden.

Dieses Verfahren unterliegt der DSGVO und erfordert die Einwilligung der Nutzer, die in die bereits bestehenden Mechanismen zur Verwaltung von Werbepräferenzen und Cookies integriert werden sollte.

Neuigkeiten aus den Mitgliedstaaten der Europäischen Union.

Die belgischen und spanischen Datenschutzbehörden haben am 18. Juni gemeinsam Empfehlungen und Best Practices für den Videospielsektor veröffentlicht.

Diese Zusammenarbeit resultiert aus dem von den Behörden erkannten Bedarf, einen Sektor zu regulieren, der weltweit mehr als 3 Milliarden Nutzer umfasst und aufdringliche Technologien einsetzt.

Das Dokument analysiert die häufigsten Aktivitäten zur Verarbeitung personenbezogener Daten in Videospielen, identifiziert die damit verbundenen Bedrohungen und Risiken und schlägt Empfehlungen und bewährte Verfahren vor.

In Kroatien verhängte die APD eine Geldstrafe gegen ein Immobilienbüro, weil es Kundendaten über den Verarbeitungszweck hinaus aufbewahrte, Kopien von Ausweisdokumenten und Bankkarten ohne Rechtsgrundlage speicherte und seinen Mitarbeitern keine ausreichende Schulung im Umgang mit personenbezogenen Daten bot.

Die spanische Datenschutzbehörde (APD) veröffentlichte am 8. Juni Leitlinien für den Einsatz von Kameras in Pflegeheimen, um Pflege und Datenschutz in Einklang zu bringen.

Außerdem wurde Vodafone España mit einer Geldstrafe von 1.050.000 € belegt, nachdem es einem Dritten gelungen war, die Sicherheitsvorkehrungen zu umgehen, um eine Kundenrechnung mit einer nicht autorisierten E-Mail-Adresse zu erhalten und eine zweite Mobilfunknummer zu erstellen, die betrügerisch auf den Namen des Beschwerdeführers registriert war.

Nach wiederholten Sicherheitsverstößen verhängte die Zentralbank schließlich eine Geldstrafe von 500.000 € gegen die CaixaBank wegen systemischer Mängel im Datenschutz.

Die Behörde forderte die Bank ausdrücklich auf, ihre Fähigkeiten zur Erkennung von Datenschutzverletzungen zu verbessern und ihre Verfahren zur Identifizierung der an einem Vorfall beteiligten Personen und Daten zu stärken.

Die irische Datenschutzbehörde (DPA) hat den Health Service Executive (HSE), den öffentlichen Gesundheitsdienst, mit einer Geldstrafe von 300.000 € belegt, nachdem es 2018 zu einem Ransomware-Cyberangriff gekommen war, bei dem die persönlichen Daten von etwa 84.000 Patienten kompromittiert wurden.

Die Untersuchung kam zu dem Schluss, dass die HSE keine ausreichenden technischen und organisatorischen Sicherheitsmaßnahmen umgesetzt hatte, keine DSGVO-konforme Dokumentation besaß und ihre Subunternehmer nicht ordnungsgemäß überwacht hatte.

Zusätzlich zur Geldstrafe ordnete die DPC an, dass die HSE ihre Datensicherheitsrichtlinien und -verfahren nachhaltig stärken muss.

Die norwegische Datenschutzbehörde (APD) hat gegen Elkjøp eine Verwaltungsstrafe in Höhe von 20 Millionen norwegischen Kronen verhängt, insbesondere wegen fehlender gültiger Einwilligung zur Verarbeitung personenbezogener Daten im Rahmen des Treueprogramms, unzureichender Bewertungen hinsichtlich neuer Verarbeitungszwecke und Nichtbeachtung von Anfragen betroffener Personen innerhalb der in der DSGVO festgelegten Fristen.

International

In Großbritannien wird gegen einen Polizisten aus Derbyshire ermittelt, nachdem ihm vorgeworfen wurde, künstliche Intelligenz eingesetzt zu haben, um in mehreren Gerichtsverfahren Beweise zu fälschen.

Die Behörden prüfen möglicherweise relevante Akten, der betreffende Beamte wurde vom operativen Dienst suspendiert.

Dieser Fall, der einen schwerwiegenden Missbrauch der Justiz darstellen könnte, ereignet sich zu einer Zeit, in der die britischen Polizeikräfte ihren Einsatz von KI verstärken, was die Debatte über die Risiken und die Notwendigkeit einer strengen Regulierung dieser Technologien neu entfacht.

Mehrere Polizeibehörden wurden kürzlich aufgefordert, bestimmte Anwendungen von KI auszusetzen, insbesondere bei der Erstellung von Dokumenten für die Gerichte, da sachliche Fehler aufgetreten waren.

Auch im Vereinigten Königreich sind ab dem 19. Juni Organisationen, die der britischen Datenschutzgesetzgebung unterliegen, verpflichtet, ein Verfahren einzuführen, das es natürlichen Personen ermöglicht, Beschwerden über ihre personenbezogenen Daten einzureichen.

Einzelpersonen müssen ihre Beschwerde zunächst an die betreffende Organisation richten, bevor sie sich an das Büro des Informationsbeauftragten wenden.

In China treten die vorläufigen Maßnahmen zur Verwaltung anthropomorpher interaktiver Dienste auf Basis künstlicher Intelligenz am 15. Juli in Kraft.

Diese Verordnung regelt den schnell wachsenden Sektor der KI-basierten virtuellen Begleiter und emotionalen Unterstützungsroboter.

Die Anbieter dieser Dienste müssen insbesondere die Nutzer klar darüber informieren, dass sie mit einer KI interagieren, Mechanismen zur Verhinderung emotionaler Abhängigkeit einrichten, Situationen von Not oder Risiko erkennen, Minderjährige schützen und deren Zugang zu virtuellen Begleitern einschränken.

Sie müssen außerdem Governance-Anforderungen erfüllen, wie z. B. die Registrierung ihrer Algorithmen, die Durchführung von Sicherheitsbewertungen in bestimmten Fällen und die Umsetzung von Datenschutz- und Risikomanagementmaßnahmen.

Das Iberoamerikanische Netzwerk für Datenschutz (RIPD) hat ein Referenzdokument verabschiedet, das darauf abzielt, die für die Verarbeitung von «Neurodaten» geltenden Schutzmaßnahmen zu stärken. Neurodaten stammen aus Technologien, die in der Lage sind, Gehirnaktivität zu messen oder abzuleiten.

Der Text empfiehlt einen besseren Schutz dieser Daten, mehr Transparenz bei ihrer Verwendung und Verarbeitung sowie Einschränkungen oder sogar Verbote für bestimmte Verwendungen, die als unvereinbar mit den Grundrechten angesehen werden, insbesondere wenn sie darauf abzielen, das Verhalten zu manipulieren oder schutzbedürftige Personen auszubeuten.

Anthropic hat seine beiden leistungsstärksten KI-Modelle außer Betrieb genommen.

Unter Berufung auf Bedenken hinsichtlich der «nationalen Sicherheit» hatte Washington gefordert, dass das auf künstliche Intelligenz spezialisierte amerikanische Start-up-Unternehmen den Zugang zu Claude Fable 5 und Mythos 5 ausschließlich amerikanischen Staatsbürgern zugänglich macht.

Laut Anthropic ist diese Forderung nicht umsetzbar. Am 22. Mai kündigte Anthropic sein Glasswing-Projekt an und erklärte, dass sein KI-Modell für Cybersicherheit, Mythos, mehr als 10.000 Schwachstellen in weit verbreiteter Open-Source-Software und -Projekten identifiziert habe.