DSGVO: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 5 DSGVO formuliert sieben Grundprinzipien: Rechtmäßigkeit/Verarbeitung nach Treu und Glauben/Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität/Vertraulichkeit, Rechenschaftspflicht. Rechtsgrundlagen nach Art. 6: (a) Einwilligung, (b) Vertragserfüllung, (c) gesetzliche Pflicht, (d) lebenswichtige Interessen, (e) öffentliche Aufgabe, (f) berechtigte Interessen. Für besondere Datenkategorien (Art. 9) brauchen Sie zusätzlich eine Ausnahme (z. B. ausdrückliche Einwilligung, erhebliches öffentliches Interesse, medizinische Zwecke). Die Wahl der Rechtsgrundlage ist eine der wichtigsten datenschutzrechtlichen Entscheidungen — bei KI greifen oft Vertrag, berechtigtes Interesse oder Einwilligung; für sensible Daten nur die engen Art. 9-Ausnahmen.

Betroffenenrechte (Art. 12–22): Transparenz- und Informationspflicht, Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), automatisierte Entscheidungen (Art. 22). Für KI besonders wichtig: Art. 22 — Recht, nicht ausschließlich automatisierten Entscheidungen mit rechtlicher/ähnlich weitreichender Wirkung unterworfen zu werden, mit Ausnahmen (Vertrag, Gesetz, Einwilligung) und Pflicht zu angemessenen Schutzmaßnahmen (menschliche Stellungnahme, Widerspruchsmöglichkeit). Ergänzt durch Art. 86 AI Act (Erklärungsrecht hochrisiko-Entscheidungen). Beschäftigtendatenschutz: Art. 88 (member-state-Ausgestaltung). Kinder: Art. 8 (Einwilligung ab 16, member-state-Absenkung).

Aufsichtlich wirken die nationalen Datenschutzbehörden (in DE: BfDI und Landesdatenschutzbeauftragte, koordiniert durch die DSK; in AT: Datenschutzbehörde; in CH: EDÖB/FDPIC — Nicht-EU). Der Europäische Datenschutzausschuss (EDSA) harmonisiert EU-weit. Bußgelder: bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (der höhere Betrag), gestaffelt nach Schwere. Datenschutz-Folgenabschätzung (DSFA, Art. 35) bei hohem Risiko — bei hochrisiko-KI mit besonderen Daten verlangt Art. 10 Abs. 5 AI Act ausdrücklich eine DSFA. Datenschutzbeauftragter (Art. 37) bei umfangreicher Verarbeitung. Meldepflicht von Datenschutzverletzungen (Art. 33, 72 Stunden). Die DSGVO bleibt die datenschutzrechtliche Grundschicht jeder personenbezogenen KI-Verarbeitung.