Daten-Omnibus: Rat kurz vor Einigung zu KI-Pauschalerlaubnis
Brüssel. Die Frequenz ist heiß. Heute ist Mittwoch — der Tag, an dem die 27 Botschafterinnen und Botschafter der EU-Mitgliedstaaten über das Vorhaben beraten, mit dem unter anderem die Datenschutz-Grundverordnung (DSGVO) und die ePrivacy-Verordnung geändert werden sollen. Dies geht aus der Tagesordnung des Treffens hervor. Die irische Ratspräsidentschaft, die einen Entwurf vom 2. Oktober vorgelegt hat, will in dieser Phase eine Einigung erzielen, um in den Trilog mit Kommission und Parlament einzusteigen — die Verhandlungsphase, in der die drei EU-Institutionen einen Kompromiss aushandeln.
Der Daten-Omnibus war im November des vergangenen Jahres von der EU-Kommission vorgestellt worden. Seither sind die Vorschläge stark debattiert worden. Eine Änderung der Definition personenbezogener Daten, die ursprünglich im Entwurf stand, ist im Rat inzwischen vom Tisch. Sie hätte dazu führen können, dass pseudonymisierte Daten unter bestimmten Umständen nicht mehr unter die DSGVO fielen — pseudonymisiert heißt: Der Name wird durch ein technisches Kennzeichen ersetzt, ein Rückschluss auf die Person bleibt aber grundsätzlich möglich. Laut dem aktuellen Entwurf können pseudonymisierte Daten für bestimmte Empfänger weiterhin als nicht personenbezogen gelten. Dafür wurden zusätzliche Sicherheitsmaßnahmen für die Pseudonymisierung in den Text aufgenommen.
Im Zentrum der Kritik steht eine andere Klarstellung: die Rechtsgrundlage für das Training Künstlicher Intelligenz mit personenbezogenen Daten. Bisher brauchten die Unternehmen eine ausdrückliche Einwilligung der Nutzerinnen und Nutzer. Der Entwurf sieht vor, dass sie stattdessen ihr „berechtigtes Interesse" anführen können, sofern sie gewisse Standards einhalten. Was „berechtigtes Interesse" ist, definiert die DSGVO nicht abschließend — die Schwelle ist eine politische Festlegung, die im Streitfall vor Gericht geklärt werden müsste.
Diese Lösung, von Datenschutzorganisationen als „Pauschalerlaubnis" bezeichnet, ist der Hauptgegenstand der laufenden Verhandlungen. Die Organisation noyb und der europäische Dachverband European Digital Rights (EDRi) haben sich öffentlich dagegen ausgesprochen. Auch im Rat selbst gibt es Widerstand. Spanien fordert, dass Unternehmen weiterhin rechtfertigen müssen, wenn sie reale Daten verwenden — diese Daten müssten dann anonymisiert werden, also so verändert, dass sie keiner Person mehr zugeordnet werden können. Bulgarien, Lettland und Estland sehen in der geplanten Erlaubnis einen Bruch des technologieneutralen Prinzips der DSGVO. Das Prinzip besagt: Die DSGVO reguliert keine einzelnen Technologien, weil sie sonst bei jeder neuen Technik — KI, Quantencomputing, was auch immer kommt — angepasst werden müsste. noyb teilt diese Einschätzung ausdrücklich.
Während die Mitgliedstaaten sich offenbar annähern, klafft im Europäischen Parlament eine Lücke. Die Fraktionen liegen nach übereinstimmenden Berichten aus den Verhandlungen weit auseinander. Wie der Trilog ausgehen wird, ist derzeit offen.
Fest steht: Wenn der Daten-Omnibus in dieser Form verabschiedet wird, verschiebt sich eine zentrale Beweislast. Nicht mehr die Nutzerinnen und Nutzer müssen belegen, dass eine Einwilligung vorliegt — die Unternehmen müssten lediglich darlegen, dass ihr Interesse „berechtigt" ist. Die Schwelle dafür, was als berechtigt durchgeht, ist eine Verhandlungsfrage. Sie wird im Europäischen Parlament entschieden.
Die Verschiebung ist technisch formuliert. Die Wirkung ist politisch. Wer künftig über die Daten der Menschen in Europa verfügen darf, ist keine technische Frage, sondern eine — und sie wird gerade abgestimmt.
❖ Ende des Artikels ❖