Die EU-Mitgliedstaaten haben am Mittwoch eine Änderung der DSGVO verabschiedet, mit der die die Gewinninteressen von OpenAI, Anthropic, Google, Meta und SpaceX über das Grundrecht auf Datenschutz gestellt werden. Laut dem verabschiedeten Text soll die Verarbeitung persönlicher Daten „im Zusammenhang mit KI“ automatisch als rechtmäßig gelten. „Big Tech“-Unternehmen könnten dadurch alle bereits gesammelten persönlichen Daten praktisch uneingeschränkt nutzen, solange dies „im Zusammenhang“ mit KI geschieht. Schrems: „Gemäß dem vereinbarten Text würden die Gewinne von KI-Unternehmen in der Regel Vorrang vor dem Grundrecht auf Datenschutz haben. Das ist nichts anderes als eine digitale Enteignung der Menschen in Europa.“ Das alles passiert, während sogar die Chefs der KI-Konzerne vor ihren eigenen Produkten warnen.
Übertrumpfen die Gewinne von KI-Unternehmen den Datenschutz? Die EU-Kommission wollte im Rahmen der „Digitalen Omnibus“-Gesetzgebung lediglich diverse „Vereinfachungen“ für EU-Unternehmen verabschieden. Offiziell sollte dies unter der Beibehaltung eines „hohen Schutzniveaus" für Europäer:innen geschehen. Deshalb wurde auch ein Schnellverfahren ohne Grundrechtsprüfung und ohne direkte Involvierung der relevanten Fachgruppen genutzt.
Artikel 88c im Vorschlag der Europäischen Kommission (im Dokument des Rates nun Artikel 88bis) zielt darauf ab, die Nutzung persönlicher Daten für KI zu liberalisieren. Der Vorschlag liegt derzeit beim Rat, dessen Vorsitz derzeit Irland innehat. Irland dient zudem als EU-Hauptsitz für die Mehrheit der US-amerikanischen und chinesischen KI-Unternehmen.
Digitale Enteignung: im Rat bestätigt. Mit Unterstützung Deutschlands und anderer EU-Schwergewichte hat der EU-Rat am Mittwoch beschlossen, dass Unternehmen bei der Nutzung persönlicher Daten generell fast alles tun können sollen – so lange es „im Zusammenhang mit KI“ geschieht. Die Interessen der Konzerne sollen also die Grundrechte der Betroffenen übertrumpfen. Das betrifft auch Personen, die nie Kund:innen der KI-Unternehmen waren oder Daten, die vor Jahrzehnten – etwa zum privaten Austausch in Sozialen Netzwerken – eingegeben wurden. Alle persönlichen Daten, an die ein KI-Unternehmen herankommt, würden unter diese Bestimmung fallen. Betroffene müssten dann nicht mehr um ihre Einwilligung gebeten werden. Stattdessen würde automatisch davon ausgegangen, dass Unternehmen ein vorrangiges „berechtigtes Interesse“ haben, wenn sie ein KI-Produkt betreiben oder trainieren.
Der Rat hat einen Verweis auf die bestehenden Rechte und Pflichten gemäß Artikel 21 (das Recht auf Widerspruch in bestimmten Fällen) und Artikel 24 DSGVO (die Notwendigkeit technischer und organisatorischer Maßnahmen zur Erfüllung gesetzlicher Pflichten) hinzugefügt. Diese angeblichen „Schutzmaßnahmen” würden jedoch auch ohne diesen Verweis für jede Verarbeitung gelten. Im Wesentlichen verlangt der neue Artikel 88bis keine wesentlichen Schutzmaßnahmen für KI.
Max Schrems: „Die EU-Mitgliedstaaten haben sich am Mittwoch darauf geeinigt, unsere Daten kostenlos an KI-Unternehmen weiterzugeben. Seit Jahrzehnten wird den Menschen versichert, dass ihre Daten sicher sind und bestenfalls für Werbezwecke genutzt werden. Nun können Google, Meta und Microsoft alle gesammelten Daten nahezu uneingeschränkt und für jedes Projekt nutzen, das eine 'KI'-Komponente beinhaltet. Das ist das größte Geschenk der EU-Mitgliedstaaten an US-amerikanische Big-Tech-Unternehmen jemals.“
Der Verkauf europäischer Daten an die USA und China. Politiker:innen scheinen davon auszugehen, dass die europäische Wirtschaft von der Abschaffung möglichst vieler Gesetze profitieren wird. Es ist jedoch genau das Gegenteil zu erwarten: Die meisten EU-Unternehmen verfügen weder über den Zugang zu denselben Datenmengen noch über das Kapital, um mit US-Konzernen zu konkurrieren. In vielen Fällen könnte dies auch bedeuten, dass die von EU-Unternehmen gesammelten Daten (die auf Plattformen oder Diensten außerhalb der EU verarbeitet werden) an Anbieter in den USA oder China fließen würden.
Max Schrems: „Diese Gesetzesänderung kommt in erster Linie den großen Akteuren zugute, die riesige Mengen europäischer Daten gesammelt haben. Das ist ein regelrechter Ausverkauf europäischer Daten an globale Konzerne. Außerdem würde dadurch eine große Menge an Know-how von EU-Unternehmen in die USA oder nach China abfließen. Aus industriepolitischer Sicht ist ein solcher Ansatz Wahnsinn.“
Ein Freibrief für eine ganze Technologie? Normalerweise erlaubt die DSGVO eine Datenverarbeitung nur für bestimmte Zwecke (z.B. Aufbewahrung für Steuerunterlagen oder Betrugsbekämpfung). Der vereinbarte Artikel 88c (bzw. Artikel 88bis) legitimiert jedoch eine ganze Technologie. Unabhängig vom Verwendungszweck könnte jedes KI-System standardmäßig beliebige persönliche Daten erfassen. So würde der vorgeschlagene Artikel z.B. auch das Training und den Einsatz von KI zur Manipulation, zur Verbreitung von Desinformation, zur Erzeugung von Nacktbildern oder zur Steuerung von Kampfdrohnen sowie für jeden anderen fragwürdigen Zweck zulassen. Viele Verarbeitungsvorgänge, die bisher illegal waren, könnten plötzlich rechtmäßig werden – nur weil sie „im Rahmen“ eines KI-Systems erfolgen. So ist beispielsweise die Datenverarbeitung zu Zwecken der personalisierten Werbung (ohne Einwilligung) in der EU derzeit illegal. Nun könnte Werbung aber plötzlich legal werden, wenn sie mithilfe von KI personalisiert wird.
Max Schrems: „Das ist so, als würde man sagen: Alles ist erlaubt, solange es mit KI geschieht. Was in einer Excel-Tabelle illegal ist, wird legal, wenn es mit einem KI-Agenten durchgeführt wird. Es ist völlig absurd, einer risikoreichen Technologie gegenüber jedem anderen Computersystem eine Vorzugsbehandlung zu gewähren.“
Das 45-jährige Datenschutzversprechen bröckelt. Auf europäischer Ebene gibt es seit 1981 Datenschutzgesetze. Seit Jahrzehnten wird Menschen in Europa versprochen, dass dieser (angeblich) strenge Datenschutz sicherstellt, dass Plattformen wie Twitter/X, Facebook oder Instagram sowie Unternehmen wie Google oder Microsoft zwar riesige Datenmengen sammeln – diese aber „niemals“ für andere Zwecke nutzen würden. Der vorgeschlagene Artikel 88c (nun 88bis) bricht dieses Versprechen: Alle gesammelten Daten stehen plötzlich für jede beliebige Nutzung durch jedes beliebige KI-System zur Verfügung.
Max Schrems: „Seit den 1980er Jahren haben wir den Menschen versprochen, dass große Unternehmen zwar Daten speichern, diese aber nur in begrenztem Umfang nutzen dürfen. Artikel 88bis öffnet jedoch die Schleusen und erlaubt die uneingeschränkte Nutzung aller Daten für KI.“
Weitere massive Einschränkungen bei Schutzmaßnahmen und Rechten. Die Mitgliedstaaten haben außerdem vorgeschlagen, die Definition von „personenbezogenen Daten“ drastisch einzuschränken. Dadurch könnte unklar werden, ob Online-Tracking weiterhin unter die DSGVO fallen wird. Diese Änderung soll mithilfe sogenannter „Pseudonyme“ geschehen, die in der Regel nicht mehr unter die DSGVO fallen sollen. Das Problem ist, dass die meisten IT-Systeme in erster Linie mit Pseudonymen arbeiten (wie Nutzer-IDs, Tracking-IDs, IP-Adressen oder Sozialversicherungsnummern). Die Entscheidung, ob Daten noch als personenbezogen gelten, würde in erster Linie von den Unternehmen getroffen, die dem Gesetz unterliegen. Solche Debatten ziehen sich in der Regel über Jahre und führen zu enormen Verzögerungen und Kosten. Eine „Vereinfachung“ ist das nicht.
Max Schrems: „Diese Änderungen stammen direkt aus dem Handbuch großer Anwaltskanzleien, die Big Tech verteidigen. Wir haben Jahre damit verbracht, vor Gerichten und Behörden für die Zurückweisung dieser Behauptungen zu kämpfen. Jetzt wird der EU-Gesetzgeber ihnen wahrscheinlich noch mehr Nachdruck verleihen und damit das EU-Recht noch komplexer machen.“
Nächster Schauplatz: Europäisches Parlament. Die heutige Einigung ist noch kein Beschluss über das fertige Gesetz. Der Rat muss den endgültigen Text mit dem Europäischen Parlament aushandeln, das noch keinen Standpunkt bezogen hat. Als dritte Institution ist auch die EU-Kommission am sogenannten „Trilog“ beteiligt, der zum fertigen EU-Gesetz führen wird. Die Kommission hat bereits vor einiger Zeit eine Kehrtwende um vollzogen und stellt derzeit die Interessen der Industrielobby eindeutig über die Grundrechte.
Die Position des Europäischen Parlaments ist nach wie vor gemischt. Während sich die meisten Vertreter:innen der Europäischen Volkspartei (EVP) für immer mehr Schlupflöcher in den EU-Digitalgesetzen aussprechen, haben Abgeordnete aus den Mitte-Links-Fraktionen bisher Widerstand geleistet und befürworten die Beibehaltung des Status quo. Zunehmend sprechen sich auch die rechten und rechtsextremen Fraktionen gegen einen Freifahrtschein für Big Tech aus.
Letzte Hoffnung: Der Gerichtshof? Fraglich scheint vor allem, ob ein Gesetz ohne relevante Einschränkungen irgendwie mit EU-Grundrechten vereinbar sein kann. Bisher hat der EuGH bei viel geringeren Eingriffen in diese EU-Grundrechte, wie z.B. bei der Vorratsdatenspeicherung oder der Übermittlung von EU-Daten in die USA, das Gesetz am Ende wieder aufgehoben. Das wird auch beim Digitalen Omnibus immer wahrscheinlicher.
Max Schrems: „Wenn der Gesetzgeber jegliches Augenmaß und jede Orientierung verloren hat, können sich die Betroffenen nur noch an die Gerichte wenden. Jedes extreme Gesetz, bei dem ein hohes Risiko einer Aufhebung besteht, würde gleichzeitig nur noch mehr Rechtsunsicherheit schaffen, anstatt die versprochene Vereinfachung zu bewirken.“
