MÄRKTE & MANAGEMENT chemiereport.at AustrianLifeSciences 2025.5 27 der Monetarisierung. Es sinkt der Anreiz, hochwertige Inhalte zu produzieren, was dem Internet insgesamt scha- den dürfte. Datenschutz und KI Der größte Bremser für die KI-Entwicklung in Europa ist angeblich das Datenschutz- recht. Beim Training und beim Nutzen von KI ist die Verarbei- tung von personenbezogenen Daten nahezu immanent. Sol- che Daten sind nämlich nach der Datenschutz-Grundver- ordnung (DSGVO) alle Infor- mationen, die sich auf identi- fizierte oder identifizierbare natürliche Personen bezie- hen. Werden personenbezo- gene Daten verarbeitet, sind die DSGVO und das österrei- chische Datenschutzgesetz (DSG) anwendbar. Der AI-Act normiert in diesem Zusam- menhang, dass bei der Ver- arbeitung personenbezogener Daten das Datenschutzrecht unberührt und damit (parallel) anwendbar bleibt. Im AI-Act wird an mehreren Stellen auf die DSGVO verwie- sen, etwa für einige Definitionen. Zudem werden einige datenschutzrechtliche Ver- pflichtungen abgeändert bzw. erweitert. So sieht der AI-Act die Möglichkeit vor, dass „sensible“ Daten unter gewissen Umstän- den verarbeitet werden dürfen, um soge- nannte „Biases“, also Verfälschungen bzw. Verzerrungen, in einem KI-System zu entde- cken. Jene Daten, die dafür unbedingt erfor- derlich sind, und die Begründung, warum dieses Ziel nicht durch die Verarbeitung anderer Daten erreicht werden kann, sind im Verzeichnis für Verarbeitungstätigkeiten nach der DSGVO aufzunehmen. Auch muss die EU-Konformitätserklärung für Hochri- siko-KI-Systeme für den Fall der Verarbei- tung personenbezogener Daten eine Erklä- rung enthalten, dass das KI-System (bzw. die Datenverarbeitung im Rahmen des KI- Systems) den Vorgaben der DSGVO oder der Richtlinie für Polizei und Justiz entspricht. Grundsätzlich verfolgt die DSGVO einen technologieneutralen Ansatz und unter- scheidet daher nicht zwischen KI-Systemen und anderer Verarbeitung personenbezo- gener Daten. Aufgrund der Beschaffenheit vieler KI-Systeme spielt die Verarbeitung von personenbezogenen Daten aber eine wesentliche Rolle. So werden bei KI-Sys- temen, insbesondere bei solchen, die auf maschinellem Lernen basieren, sowohl in der Lernphase als auch in der Betriebs- phase vielfach personenbezogene Daten verarbeitet. Dabei müssen die „daten- schutzrechtlichen zehn Gebote“ nachweis- lich eingehalten werden, nämlich Recht- mäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicher- begrenzung, Integrität, Vertraulichkeit und Rechenschaft bzw. Dokumentation. Ins- besondere muss für die Rechtmäßigkeit jeder Verarbeitung personenbezogener Daten zumindest einer der sechs Erlaub- nistatbestände der DSGVO vorliegen: Ein- willigung, Erfüllung eines Vertrags oder einer rechtlichen Verpflichtung, Wahrung lebenswichtiger Interessen, Erfüllung eines Auftrags im öffentlichen Interesse oder Verfolgung eines berechtigten Interesses. Ob eine KI-Utopie oder eine KI-Dystopie entsteht, entscheidet sich jetzt! Sollten sogenannte „sensible Daten“ verar- beitet werden, so muss zusätzlich eine der Ausnahmen des DSGVO-Verbots vorliegen, die etwas enger gefasst sind als die allge- meinen Erlaubnistatbestände. Die Rechte der betroffenen Person sind grundsätzlich – wie bei jeder anderen Verarbeitung per- sonenbezogener Daten – zu gewährleisten. Automatisierte Entscheidungen Eine datenschutzrechtsrelevante Di - men sion ist KI-Systemen nahezu imma- nent: das Treffen von „automatisierten Entscheidungen“ durch solche Systeme. Soweit es dabei zur Verarbeitung personen- Zu den Autoren MMag. Juliane Messner +43 1 585 03 03-20 juliane.messner@geistwert.at Dr. Max W. Mosing, LL.M., LL.M. +43 1 585 03 03-30 max.mosing@geistwert.at sind Partner der auf IP, IT und Life Science spezialisierten GEISTWERT Rechtsanwälte Lawyers Avvocati. bezogener Daten kommt, sind die stren- gen Vorgaben der DSGVO dazu einzuhal- ten. Personen haben hiernach das Recht, gerade nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließ- lich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihnen gegen- über rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträch- tigt. Davon erfasst sind daher nicht sämt- liche automatisierte Entscheidungen, son- dern nur solche, die sich besonders auf die Rechtsposition von betroffenen Personen auswirken. Das dann anwendbare Verbot gilt nur in drei Fällen nicht: (i) Die Entschei- dung ist für den Abschluss oder die Erfül- lung eines Vertrags zwischen der Person und dem datenschutzrechtlich Verantwort- lichen unbedingt erforderlich; (ii) es gibt eine gesetzliche Grundlage und diese ent- hält angemessene Maßnahmen zur Wah- rung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person oder (iii) die Person hat ihre aus- drückliche Einwilligung erteilt. Auch in diesen Fällen muss die betroffene Person über den entsprechenden KI-Einsatz infor- miert werden, insbesondere darüber, dass eine automatisierte Entscheidung über sie getroffen wird, inklusive der zugrunde lie- genden Logik und der angestrebten Auswir- kungen der Entscheidung. Die betroffene Person hat – außer es liegt eine gesetzliche Grundlage vor – zudem das Recht, die Ent- scheidung anzufechten und ihren Stand- punkt darzulegen sowie eine menschliche Intervention zur Überprüfung der Entschei- dung zu verlangen. Soweit automatisierte Entscheidungen auf „sensiblen Daten“ beruhen, sind darüber hinaus besondere Vorgaben zu beachten. Ein Verstoß dage- gen kann dazu führen, dass das KI-System, welches für die jeweiligen automatisierten Entscheidungen eingesetzt wurde, in dieser Form nicht weiterverwendet werden darf. Das war schon Gegenstand von einigen Erkenntnissen zum Arbeitsmarktchancen- Assistenzsystem („AMS-Algorithmus“). In der Regel ist die natürliche oder juris- tische Person, die ein KI-System einsetzt, auch datenschutzrechtlicher Verantwort- licher, sodass obige Fragestellungen alle Nutzer betreffen: Bei der Verwendung „fremder“ Systeme ist insbesondere da rauf zu achten, ob die Verwendung eines sol- chen Systems dazu führt, dass personen- bezogene Daten auch an den Hersteller des Systems (oder andere Dritte) übermittelt werden. Dies könnte zu unrechtmäßigen Datenoffenlegungen oder unrechtmäßigem internationalen Datentransfer oder auch zur Preisgabe von Geschäftsgeheimnissen führen. Es empfiehlt sich daher, diesen Umstand besonders zu prüfen und interne Regeln aufzustellen, welche Daten mit dem System verarbeitet werden dürfen. i k n n a h o J o t a M / t r e w t s e G i : r e d l i B