EDSA fordert Prüfung des EU-U.S. DPF- DS News KW 32-2026

Transkript zur Folge:

Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosense.
Mein Name ist Laura Droschinski.
Und ich bin Julia Kriwert.
Hallo, liebe Julia.
Hallo, liebe Laura.
Heute ist Freitag, der 7. August 2026. Redaktionsschluss war um 9.30 Uhr.
Und wir schauen heute gemeinsam mit euch auf die wichtigsten Datenschutzthemen der Woche.
Und ich sage mal so, Julia, wir hatten so unsere Mühe, oder?
Oh ja.
Ja, es war nicht viel los, aber ich finde, wir haben die besten vier Themen für euch dabei.
Ja, und wir haben was Feines für euch zusammengestellt. Ich habe dabei heute
ein Update zum EU-US-Data-Privacy-Framework und die Entwicklung eines Deepfake-Warnsystems.
Was hast du dabei, Laura?
Ich habe zwei Themen mitgebracht, die beide den Schwerpunkt KI haben,
Künstliche Intelligenz, und zwar einmal ein neues KI-Videoüberwachungspilotprojekt
aus Berlin und auch noch eine ganz interessante Betrachtung nochmal der Meta-Smart-Glasses.
Magst du starten?
Ja, sehr gerne. Beim EU-US Data Privacy Framework gibt es ein Update zu der
Entwicklung, über die wir bereits in KW 27 berichtet hatten.
Damals ging es um die Entscheidung des US Supreme Court in der Rechtssache Trump vs. Slaughter.
Der Supreme Court hatte dabei die Stellung unabhängiger US-Behörden gegenüber
dem Präsidenten deutlich geschwächt.
Besonders relevant für den Datenschutz ist die Federal Trade Commission,
die auch beim EU-US Data Privacy Framework eine wichtige Rolle spielt.
Schon damals stellte sich deshalb die Frage, ob die Entscheidung die Grundlage
des europäischen Angemessenheitsbeschlusses für die USA ins Wanken bringen könnte.
Denn die EU-Kommission hatte bei ihrer Bewertung unter anderem darauf abgestellt,
dass in den USA wirksame und unabhängige Kontrollmechanismen bestehen.
Der Europäische Datenschutzausschuss, kurz ETSA, hat sich nun mit einem Brief
an die Europäische Kommission gewandt.
Er erwartet von der EU-Kommission, die Entwicklung in den USA und ihre möglichen
Auswirkungen auf das Data-Privacy-Framework zu bewerten.
Für Unternehmen ist also wichtig, die Rechtsunsicherheit, die wir bereits in
KW 27 angesprochen hatten, bleibt bestehen und wird nun auch auf europäischer
Ebene genauer untersucht.
Aktuell besteht allerdings weiterhin kein Anlass, bestehende Transfers kursfristig umzustellen.
Unternehmen sollten allerdings natürlich die weitere Entwicklung und insbesondere
die Bewertung der europäischen Datenschutzinstitutionen aufmerksam verfolgen,
oder uns auch gerne aufmerksam in den nächsten Wochen zuhören.
Wir berichten natürlich, wenn wir Neues wissen.
Genau, so ist es. Also ich glaube, ein bisschen wird es jetzt wahrscheinlich
spannend, wenn die EU-Kommission direkt selber aktiv wird. Aber ja, es bleibt abzuwarten.
Ganz genau, wir sind gespannt.
Ja, Berlin testet KI-Videoüberwachung im öffentlichen Raum.
Und ja, Berlin hat jetzt eben ein neues Pilotprojekt gestartet mit KI-gestützter Videoüberwachung.
Los geht es am Cottbusser Tor. Später soll auch die Warschauer Straße folgen.
Beide Orte gelten als Kriminalitätsschwerpunkte in Berlin.
Wichtig dabei, es geht laut Innenverwaltung nicht um Gesichtserkennung.
Die KI soll vielmehr Bewegungsabläufe und Situationen erkennen,
die ungewöhnlich wirken.
Also wenn das System zum Beispiel eine mögliche Gewaltsituation erkennt,
gibt es einen Hinweis an die Einsatzkräfte.
Die entscheiden dann selbst, ob sie eingreifen.
Auf dem Bildschirm sollen dabei keine erkennbaren Gesichter zu sehen sein,
sondern nur abstrahierte Bewegungen. Vereinfacht gesagt sind das Strichmännchen.
Ganz neu ist aber, dass Berlin die Technik nicht nur an Kriminalitätsschwerpunkten testen will.
Demnächst soll die KI auch beim Objektschutz eingesetzt werden.
Zunächst am Roten Rathaus und am Dienstsitz der Innenverwaltung.
Die Testläufe sollen dabei im Dezember starten und etwa wohl ein Jahr dauern.
Rechtliche Grundlage für den Einsatz
ist das Ende 2025 geänderte Berliner Sicherheits- und Ordnungsgesetz.
Und ja, aus Datenschutzsicht ist das Ganze auch ohne Gesichtserkennung durchaus
relevant, Denn entscheidend ist ja nicht nur, ob eine Person identifiziert werden
kann. Entscheidend ist auch, dass ihr Verhalten automatisiert analysiert wird.
Und genau da wird es spannend, denn was ist eigentlich ein auffälliger Bewegungsablauf?
Also so Fragen stellen sich, wann stuft die KI ein Verhalten als ungewöhnlich ein?
Und wie oft liegt sie vielleicht auch damit falsch? Denn ungewöhnlich bedeutet
nicht immer automatisch gefährlich. Jemand kann sich ja auch beispielsweise
verlaufen, sich hektisch bewegen, eine Tasche weitergeben oder einfach anders
verhalten als der Durchschnitt, ohne dass dahinter eine Straftat steckt.
Ein weiterer Punkt hier bei dieser Überwachung ist die Rolle des Menschen,
denn formal bleibt die Entscheidung wohl bei den Einsatzkräften.
Das ist ganz besonders wichtig, aber natürlich auch da, wie bei anderen Themen
auch, wenn wir KI zum Einsatz nehmen, ist es ja auch, inwieweit sich die Menschen
dann auch auf KI-Hinweise verlassen.
Wie problematisch ein zu großes Vertrauen in KI-Ergebnisse sein kann,
zeigt ja aktuell auch ein Verfahren in Athen.
Dort stützt sich ja eine Mordanklage derzeit maßgeblich auf ein KI-generierter
Erkenntnisse, obwohl eben ein Beschuldigter zur Tatzeit nachweislich in Haft gewesen sein soll.
Und klar ist das jetzt mit Berlin nicht eins zu eins vergleichbar,
aber es zeigt sehr deutlich, welche Risiken entstehen, wenn aus einer automatisierten
Analyse faktisch eine Voreinscheidung wird.
Also wir schauen mal weiter, wie dieser Berliner Pilotversuch denn weiterläuft.
Also wahrscheinlich ist es ja auch wirklich mehr als ein technischer Test,
sondern natürlich auch ein erster Testlauf, wie denn automatisierte Verhaltensanalysen
im öffentlichen Raum funktionieren und was es für Folgen haben wird. Das bleibt spannend.
Ja, auf jeden Fall super interessant. Ich finde auch, wie du schon gesagt hast,
die Frage, was KI dann als auffälliges Verhalten definiert, super interessant,
wie das festgelegt und auch vielleicht getestet wird.
Richtig.
Das wird man gerne eigentlich mal so im Hintergrund beobachten.
Ja, aber so wie ich es richtig in Erinnerung habe, ist ja genau dieses,
was im Hintergrund passiert, was man gerne mal wissen würde,
ja besonders wichtig auch in anderen Themen, wo KI zum Einsatz kommt.
Und ich glaube, da baut er jetzt deine nächste Nachricht drauf auf, richtig?
Ganz genau. Dann kommen wir nämlich zu den Deepfakes, denn diese werden zunehmend
auch für Betrugsversuche in Videokonferenzen zum Problem.
Das Fraunhofer-Institut arbeitet deshalb an einem Verfahren,
dass manipulierte Video- und Audiosignale möglichst in Echtzeit erkennen und
die Teilnehmer einer Videokonferenz entsprechend warnen soll.
Der Hintergrund ist, dass mit generativer KI Gesichter und Stimmen sich mittlerweile
so nachbilden lassen, dass sich Angreifer in einem Videoanruf als eine andere
Person ausgeben können.
Gerade im Unternehmensumfeld kann das kritisch werden, etwa wenn sich jemand
als Führungskraft oder Kollege ausgibt und versucht, an vertrauliche Informationen
zu gelangen oder bestimmte Handlungen auszulösen.
Für die Erkennung sollen Audio- und Videodaten während der Kommunikation auf
Auffälligkeiten untersucht werden, die auf künstlich erzeugte oder manipulierte Inhalte hindeuten.
Eine Videokonferenz sollte bei sensiblen Vorgängen also nicht automatisch als
sicherer Identitätsnachweis verstanden werden.
Technische Deepfake-Erkennung kann künftig eine zusätzliche Sicherheitsebene
schaffen, sie ersetzt aber nicht die etablierten organisatorischen Kontrollmechanismen.
Aus Datenschutzsicht entsteht dabei allerdings auch eine interessante zweite
Ebene, denn noch ist nicht abschließend geklärt, wie ein solches Echtzeitwarnsystem
datenschutzrechtlich korrekt umgesetzt werden kann.
Denn wenn Bild- und Audiodaten einer laufenden Videokonferenz automatisiert
analysiert werden, stellt sich unter anderem die Frage, auf welcher Rechtsgrundlage
diese Verarbeitung erfolgen kann und wie die datenschutzrechtlichen Anforderungen
technisch umgesetzt werden.
Damit verfolgt die Technik zwar ein klares Sicherheitsziel, nämlich den Schutz
vor Identitätstäuschung und Deepfake-Angriffen, gleichzeitig muss aber auch
die Analyse der Teilnehmer selbst datenschutzkonform ausgestaltet werden.
Das Fraunhofer-Projekt sei damit sehr anschaulich ein Problem,
das Unternehmen aktuell und künftig auch noch häufiger beschäftigen dürfte.
Und zwar, dass KI dabei helfen kann, neue Formen digitaler Täuschung zu erkennen.
Wie solche Schutzmechanismen rechtlich sauber aber in bestehende Kommunikationssysteme
integriert werden können, muss aber dabei natürlich ebenfalls mitgedacht werden.
Ja, auch das ist ein super spannendes
Thema. Schreit ja absolut nach einer Interessenabwägung aus meiner Sicht.
Ja, also vielleicht da auch ein Aufruf an die Zuhörenden. Wer sich damit vielleicht
schon mal befasst hat, genau mit solchen Techniken, mag sich doch mal melden.
Vielleicht kann man da auch mal eine ganz schöne Themenfolge zu machen zu dem
Thema, weil das ist ja doch sehr weitreichend.
Ja, würden wir uns sehr freuen.
Ja, was auch durchaus sehr weitreichend werden kann, ist vielleicht zukünftig
der Einsatz von Meta Smart Glasses. Und diese sind jetzt unter Beobachtung.
Die Tagesschau berichtet aktuell über deutliche Kritik des Hamburger Datenschutzbeauftragten
Thomas Fuchs an den Smart Glasses von Meta.
Das Problem dabei, die Brillen sehen inzwischen fast aus wie ganz normale Alltagsbrillen.
Gleichzeitig können sie Fotos und Videos aufnehmen und erkennbar ist das für
andere Personen nur an einem ganz kleinen Lichtsignal am Brillenrand.
Und genau das ist aus Datenschutzsicht der heikel. Nach Einschätzung des Hamburger
Datenschutzbeauftragten ist das heimliche und unbemerkte Film von Personen in
der Öffentlichkeit unzulässig. Und das...
Teilen wir auch, oder? Ja, absolut.
Da gehen wir mit.
Seine Behörde hat die Meta-Brillen ausführlich getestet und geht nach eigenen
Angaben bereits gegen entsprechende Verstöße vor.
Auch Bußgelder seien möglich. Also obacht all den technikaffinen Menschen,
die das vielleicht schon benutzen.
Besonders interessant ist aber auch ein weiterer zweiter Punkt.
Es steht sogar ein vollständiges Verbot der Brillen in Deutschland im Raum.
Hintergrund ist, dass Aufnahmegeräte, die als normale Alltagsgegenstände getan
sind, in Deutschland grundsätzlich problematisch sein können.
Fuchs bewertet die MetaSmart Glasses offenbar genau in diese Richtung.
Also als eine Kamera, die äußerlich kaum als solcher kennbar ist.
Für ein mögliches Verkaufsverbot wäre allerdings nicht die Datenschutzaufsicht
zuständig, sondern die Bundesnetzagentur.
Nach Angaben der Tagesschau prüft sie derzeit das weitere Vorgehen und sollte
es tatsächlich zu einem Verbot kommen, dürften die Meta die Brillen in Deutschland nicht mehr verkaufen.
Wie bereits gesagt, ist aus Datenschutzsicht vor allem die fehlende Wahrnehmbarkeit
der Aufnahmen kritisch.
Wer gefilmt will, sollte grundsätzlich erkennen können, dass eine Aufnahme stattfindet.
Bei klassischen Kameras ist das meist offensichtlich, bei Smart Glasses eben
verschwimmt diese Grenze.
Und genau das schafft ein neues Problem, das halt, wie man wieder sieht,
wie du das ja gerade auch hattest, Julia, dass eben technische Innovation und
Datenschutz schnell aufeinanderprallen können.
Also man kann sich grundsätzlich überhaupt nicht mehr sicher sein,
was wird aufgenommen und was nicht.
Und jetzt kommt ja auch von uns der Unternehmenskontext nochmal ins Spiel und
der ist ja auch näher, als man denkt. Denn dieselbe Frage stellt sich ja eben
auch längst bei anderen vernetzten Alltagsgeräten. Nehmen wir beispielsweise
die Smart Speaker im Homeoffice.
Also wenn dort vertrauliche Videokonferenzen, Kundengespräche oder interne Abstimmungen
stattfinden, steht ja möglicherweise ein sprachgesteuertes Gerät mit aktiviertem Mikrofon im Raum.
Auch wenn solche Geräte nicht permanent aktiv aufzeichnen müssen,
entstehen aus Unternehmenssicht natürlich Fragen zur Vertraulichkeit,
zur technischen Ausgestaltung und dazu, welche Daten möglicherweise an externe
Anbieter übertragen werden.
Bei besonders sensiblen Gesprächen kann deshalb schon eben die bloße Anwesenheit
solcher Geräte zum Risiko werden.
Und da wieder die Brücke zu den Smartglasses im beruflichen Umfeld.
Betritt jemand eben ein Büro, eine Produktionsstätte oder ein Kundengespräch,
kann für andere kaum erkennbar sein, ob eine Aufnahme stattfindet.
Also gleich Tipp von unserer Seite nochmal, als Unternehmen natürlich sich grundsätzlich
mit diesem Thema zu beschäftigen, also wie mit smarten Aufnahmen und Assistenzgeräten,
in den unternehmensrelevanten Bereichen umgegangen wird.
Ja, wir haben dafür ja auch gute Regeln bei der MikroSens eingeführt für unsere
Mitarbeitenden, aber ich glaube, das können wir auch allen ans Herz legen, oder?
Auf jeden Fall.
Dann sind wir schon am Ende angekommen und eigentlich wollte ich sagen,
ihr habt gar keine Hausaufgaben für dieses Wochenende, weil wir keine Veröffentlichung
und Veranstaltung haben.
Aber im letzten Moment ist mir doch was eingefallen, denn ich glaube,
aufmerksame Hörerinnen und Hörer, unsere Podcasts haben es schon mitbekommen,
wir haben diese Woche eine neue Themenfolge veröffentlicht.
Und zwar geht diese über das Thema Binding Corporate Rules.
Diese sind verständlich erklärt und bei uns zu Gast war Dr. Jörg Friedrichs
von der Telekom und erklärt, wann eben BCRs für internationale Konzerne sinnvoll sind.
Und das möchten wir euch natürlich auch ganz nah ans Herz legen.
Hast du schon reingehört?
Noch nicht.
Noch nicht, aber holst du hoffentlich schnell nach.
Ist auch meine Hausaufgabe fürs Wochenende.
Hausaufgabe fürs Wochenende, genau. Richtig. Dann haben wir euch ja Gott sei
Dank doch mit etwas versorgt.
Vielen Dank für euer Ohr auch in dieser Woche. Liebe Julia, vielen Dank auch dir.
Vielen Dank ebenfalls.
Ich freue mich auf die nächste Woche und sage bis dahin. Tschüss.
Bis dahin. Schönes Wochenende.