Donnerstag, 10. Juli 2025
Beim GPAI Code of Practice handelt es sich um ein freiwilliges Instrument, das von unabhängigen Experten in einem Multi-Stakeholder-Prozess erarbeitet und am 10. Juli 2025 veröffentlicht wurde. Sein Hauptzweck ist es, die Branche dabei zu unterstützen, die Vorgaben des KI-Gesetzes bezüglich Sicherheit, Transparenz und Urheberrecht von Allzweck-KI-Modellen zu erfüllen.
In den folgenden Wochen werden die Mitgliedstaaten und die Europäische Kommission seine Angemessenheit bewerten. Ergänzt wird er durch Leitlinien der Kommission zu Schlüsselkonzepten im Zusammenhang mit Allzweck-KI-Modellen, die ebenfalls noch im Juli veröffentlicht werden sollen.
Der Verhaltenskodex gliedert sich in drei separate Kapitel:
1. Transparenz: Dieses Kapitel bietet ein nutzerfreundliches Modelldokumentationsformular. Anbieter können damit die notwendigen Informationen leicht dokumentieren, um ihrer Verpflichtung zur Gewährleistung ausreichender Transparenz gemäß Artikel 53 des KI-Gesetzes nachzukommen.
2. Urheberrecht: Hier finden Anbieter praktische Lösungen, um die Verpflichtung des KI-Gesetzes zur Einführung einer Richtlinie zur Einhaltung des EU-Urheberrechts zu erfüllen. Dieses Kapitel ist, wie das Transparenzkapitel, für alle Anbieter von Allzweck-KI-Modellen relevant, um ihre Verpflichtungen gemäß Artikel 53 des KI-Gesetzes zu demonstrieren.
3. Safety and Security: Dieses Kapitel skizziert konkrete, dem Stand der Technik entsprechende Praktiken für das Management systemischer Risiken, d.h. Risiken, die von den fortschrittlichsten Modellen ausgehen. Es ist nur für die wenigen Anbieter der fortschrittlichsten Modelle relevant, die den Verpflichtungen des KI-Gesetzes für Anbieter von Allzweck-KI-Modellen mit systemischem Risiko gemäß Artikel 55 des KI-Gesetzes unterliegen.
Sonntag, 27. April 2025
The Expert Group on B2B data sharing and cloud computing contracts recently published (nomen est omen) its “Final Report of the Expert Group on B2B data sharing and cloudcomputing contracts” (pdf).
According to Article 41 of the Data Act the Commission should recommend non-binding model contractual terms on data access and use (‘MCTs’) and standard contractual clauses for cloud computing contracts (‘SCCs’) - that’s what this report is about, apparently without an express recommendation by the Commission.
The experts of the Expert group analysed chapters II-IV of the Data Act and drafted the following MCTs to help implement these provisions:
• Data Holder to User
• User to Data Recipient
• Data Holder to Data Recipient
• Data Sharer to Data Recipient
Additionally, the report contains non-binding standard contractual clauses for cloud computing contracts to assist parties in drafting such agreements.
Der Europäische Datenschutzausschuss (EDSA) hat im März seine jährliche Maßnahme im Rahmen des Coordinated Enforcement Framework (CEF) für das Jahr 2025 eingeleitet. Nach dem Schwerpunkt auf dem Recht auf Auskunft im Jahr 2024 rückt in diesem Jahr die Umsetzung des Rechts auf Löschung (Recht auf Vergessenwerden) gemäß Artikel 17 DSGVO in den Fokus – nicht zuletzt, da das Recht auf Löschung zu den am häufigsten ausgeübten Betroffenenrechte zählt und Gegenstand von Beschwerden durch Betroffene ist.
32 Datenschutzbehörden in ganz Europa, darunter auch die österreichische Datenschutzbehörde (DSB), beteiligen sich an dieser Initiative im Jahr 2025. Die teilnehmenden Behörden werden Verantwortliche aus verschiedenen Sektoren kontaktieren und entweder Untersuchungen einleiten oder bestehende Ermittlungen weiterführen. Die DSB hat unter Hinweis auf den CEF-Schwerpunkt Ende März 2025 bekannt gegeben, dass sie amtswegige Prüfverfahren gegen Landespolizeidirektionen eingeleitet hat, wobei ein besonderer Fokus auf der Umsetzung des Rechts auf Löschung (sowie den Modalitäten zur Ausübung von Betroffenenrechten) liegt.
Im Rahmen der koordinierten Aktion werden die Datenschutzbehörden prüfen, wie die für die Verarbeitung Verantwortlichen mit eingegangenen Löschungsanträgen umgehen und darauf reagieren. Kerninstrument der gemeinsamen Initiative ist ein europaweit abgestimmter Fragebogen zur Umsetzung des Rechts auf Löschung durch Verantwortliche. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat hier die wesentlichen Inhalte des Fragebogens zur Mittel zur Selbstkontrolle zur Implementierung des Art 17 DSGVO veröffentlicht.
Die Ergebnisse dieser Initiative sollen im Rahmen des EDSA analysiert und in einem Bericht publiziert werden.
Alle im Bereich des Datenschutzrechts tätige Personen sollten die Entwicklungen im Rahmen des CEF 2025 aufmerksam verfolgen, da die Ergebnisse wichtige Erkenntnisse und möglicherweise Anpassungen für die Prozesse von Verantwortlichen mit sich bringen können. Zudem ist zu empfehlen, auf Basis des veröffentlichten Fragebogens bereits jetzt eine „Selbstevaluierung“ vorzunehmen.
(Von mir verfasster Blogbeitrag, zuerst erschienen bei https://researchinstitute.at/cef-2025-koordinierte-durchsetzung-des-rechts-auf-loeschung-gestartet/)
Dienstag, 26. November 2024
Die deutsche Datenschutzkonferenz hat vor kurzem die aktualisierte “Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste)” in der Version 1.2 veröffentlicht.
Grundsätzlich ist gemäß § 25 Abs. 1 Satz 1 TDDDG die Speicherung von Informationen in der Endeinrichtung von Nutzenden oder der Zugriff auf solche Informationen, die bereits in der Endeinrichtung gespeichert sind, nur mit Einwilligung der Endnutzer:innen zulässig (siehe in Österreich § 165 Abs 3 TKG 2021 und diese FAQ der österreichischen Datenschutzbehörde). Die OH enthält u.a. Ausführungen zur Anforderungen an die Einwilligung vor dem Setzen von Cookies und eine Abgrenzung der Anwendungsbereiche des TDDDG [Anm: entsprechend den Vorgaben der ePrivacyRL) und der DSGVO. Die Orientierungshilfe ergänzt laut DSK die im Oktober 2024 in finaler Fassung veröffentlichten EDSA Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive.
Montag, 11. November 2024
Die Datenschutzbehörde stellt hier ihre (nicht rechtskräftige) Entscheidung zum Ersuchen um Einwilligung (Cookie-Banner) auf der Website www.orf.at zur Verfügung (eine weitere veröffentlichte Version des Bescheids ist übrigens hier zu finden).
Im Kern ging es vor allem um die Frage, ob auf der ersten Ebene des Cookie-Banners auch eine Schaltfläche zum Ablehnen von “technisch nicht notwendigen” Cookies (bzw anders formuliert: dem Akzeptieren von “nur notwendigen Cookies”) vorhanden sein muss und wie deren grafische Ausgestaltung auszusehen hat:
[…] 2) Der Beschwerdegegnerin wird amtswegig aufgetragen, innerhalb einer Frist von sechs Wochen
a) Das Ersuchen um Einwilligung (den Cookie Banner, siehe Sachverhaltsfeststellung C.6.) auf der Website www.orf.at derart abzuändern, dass beim Besuch der Website eine gültige
Einwilligung eingeholt wird. Hierfür hat die Beschwerdegegnerin den Cookie Banner jedenfalls derart abzuändern, dass der betroffenen Person auf der ersten Ebene des Cookie Banners eine
gleichwertige Wahlmöglichkeit zwischen „Alle Cookies akzeptieren“ und „Nur notwendige Cookies“ geboten wird. Dabei ist sicherzustellen, dass beide Auswahlmöglichkeiten hinsichtlich
visueller Gestaltung, einschließlich Farbe, Größe, Kontrast, Platzierung und Hervorhebung, gleichwertig gestaltet sind. Es ist unzulässig, eine der Auswahlmöglichkeiten durch ein
übermäßig auffälliges Design, wie eine bevorzugte Farbgebung, eine größere Schriftgröße oder eine prominentere Platzierung, in den Vordergrund zu stellen.
b) Die Website www.orf.at derart abzuändern, dass beim Besuch dieser Website vor Abgabe einer Einwilligung die folgenden Cookies nicht gesetzt werden:
i) ioam2018 (siehe Sachverhaltsfeststellung C.7.);
ii) i00 (siehe Sachverhaltsfeststellung C.7.);
iii) UserID1 (siehe Sachverhaltsfeststellung C.7.);
iv) autouserid2 (siehe Sachverhaltsfeststellung C.7.). […]
Freitag, 8. November 2024
Laut Website der österreichischen Datenschutzbehörde wurde am 6. November 2024 die „Erklärung über ein Netzwerk Digitalisierung“ unterzeichnet. Das Netzwerk Digitalisierung dient dem regelmäßigen Informations- und Erfahrungsaustausch zwischen diesen Behörden. Ziel ist es, im Rahmen der jeweiligen Zuständigkeiten eng zusammenzuarbeiten, um ein gemeinsames Verständnis zu den relevanten Fragestellungen der Digitalisierung zu ermöglichen und somit unterschiedliche Entscheidungen und Ansätze weitgehend zu vermeiden..
Weitere Mitglieder des Netzwerks sind folgende unabhängige Behörden:
- Bundeswettbewerbsbehörde
- E-Control
- Finanzmarktaufsicht
- Kommunikationsbehörde Austria
- Rundfunk- und Telekom Regulierungs GmbH (RTR), Fachbereich Telekommunikation und Post
- Schienen Control
- Telekom-Control-Kommission
Mittwoch, 6. November 2024
The Guide to the Case-Law of the of the European Court of Human Rights on Data Protection is a good starting point to get a quick overview - it has been updated (August 2024) and is available here. Case-Law Guides provide an overview of Convention case-law on a particular Article or a Transversal Theme, for all available guides click here.
Donnerstag, 10. Oktober 2024
On 9 October 2024, the European Commission has issued its Report on the first periodic review of the functioning of the adequacy decision on the EU-US Data Privacy Framework. In its press release, the EC writes that “[b]ased on the information gathered during the review, the Commission concludes that the US authorities have put in place all the constitutive elements of the framework. [...]”. According the EC, the review is based on a review meeting, an input from a wide range of actors including civil society organisations, trade associations, EU data protection authorities, US authorities involved in implementing the framework, as well as feedback from the general public via the ‘Have your Say' portal (some quite interesting feedback not fully in appraisal of the decision can be found there).