Datenschutz­woche

Italienische Datenschutzaufsichtsbehörde schränkt Zugang zu DeepSeek ein

DeepSeek ist der neue Big Player auf dem KI-Markt. Am 27. Januar sorgte die Präsentation des DeepSeek R1 Modells für historische Kursverluste der amerikanischen Tech-Giganten auf den Aktienmärkten. Medien weltweit sprachen bereits nach wenigen Stunden vom „Sputnik-Moment“ der KI.

Nun hat die italienische Datenschutzbehörde den Zugang zu dieser KI-Anwendung für italienische Nutzerinnen und Nutzer mit sofortiger Wirkung eingeschränkt, weil die Datenschutzmaßnahmen des chinesischen Unternehmens als „völlig unzureichend“ eingestuft worden waren. DeepSeek entgegnete, dass es nicht in Italien tätig sei und die Datenschutzgrundverordnung daher nicht zu beachten habe.

Auch die irische Datenschutzaufsichtsbehörde nimmt den neuen KI-Chatbot unter die Lupe. Die Data Protection Commission teilte den Irish Legal News mit, dass sie DeepSeek angeschrieben und um Informationen über die Verarbeitung von Daten betroffener Personen in Irland gebeten habe. Ebenso wollen deutsche Datenschutzbehörden Medienberichten zufolge DeepSeek prüfen. "Bei DeepSeek scheint datenschutzrechtlich so ziemlich alles zu fehlen", sagte der rheinland-pfälzische Datenschutzbeauftragte Dieter Kugelmann dem Fachdienst "Tagesspiegel Background" (€). Auch Kirsten Bock von der Stiftung Datenschutz sieht DeepSeek kritisch.

Datenschutzkonferenz plant Hilfestellungen für Anonymisierung und Pseudonymisierung

Der Europäische Datenschutzausschuss (EDSA) plant, noch in diesem Jahr Leitlinien zur Anonymisierung zu veröffentlichen. Die Leitlinien zur Pseudonymisierung liegen bereits vor (DatenschutzWoche 167).

Die DSK will auf diesen EDSA-Leitlinien aufbauen und anhand konkreter Beispiele aus der medizinischen Forschung, der KI-Entwicklung oder der Statistik zeigen, welche Anforderungen und Verfahren für Pseudonymisierung und Anonymisierung wichtig sind.

einer Kundschaft. Vorausgegangen war eine Beschwerde der österreichischen NGO noyb.

Internationale Nachrichten

• Finnland: Die finnische Datenschutzaufsichtsbehörde untersucht eine Datenschutzverletzung bei Valio. Angreifer sollen beim IT-Dienstleister des führenden finnischen Molkereiunternehmens nach einem Sicherheitsvorfall Daten von mehr als 70.000 Personen, darunter aktuelle und ehemalige Mitarbeiter, erbeutet haben.
• Frankreich: Die französische Datenschutzaufsichtsbehörde veröffentlicht die finale Version ihres Leitfadens zum Transfer Impact Assessment (TIA). Dieser soll sowohl bei der Vorbereitung als auch bei der Durchführung einer TIA helfen und orientiert sich an den Empfehlungen der EDSA.
• Frankreich: Die französische Datenschutzaufsichtsbehörde veröffentlicht ihren Datenschutzbericht 2024. Demnach wurden im vergangenen Jahr 5629 Datenschutzverletzungen gemeldet. Dies entspricht einem Anstieg von über 20 % gegenüber 2023.
• Italien: Die italienische Datenschutzaufsichtsbehörde verhängt eine Geldstrafe in Höhe von 890.000 € gegen den Strom- und Gasversorger E.ON Energia SpA wegen unzulässiger Verarbeitung personenbezogener Daten zu Telemarketingzwecken.
• Niederlande: Die niederländische Datenschutzaufsichtsbehörde verhängt eine Geldstrafe gegen Netflix in Höhe von 4.750.000 € wegen unzureichender Information seiner Kundschaft. Vorausgegangen war eine Beschwerde der österreichischen NGO noyb.

Aktuelle Gerichtsentscheidungen:

• OVG Greifswald, Beschluss vom 15.01.2025, Az. 1 R 461/24 OVG (BeckRS 2025, 584): Recht auf Beschwerde – Die garantierte Kostenfreiheit des Beschwerdeverfahrens (Art. 57 Abs. 3 DSGVO) gilt nach den Grundsätzen der DSGVO nicht für das Gerichtsverfahren.
• VG Düsseldorf, Urteil vom 16.01.2025, Az. 29 K 3891/23 (juris): Anwendungsbereich der DSGVO – Die Ausschlussklausel des Art. 2 Abs. 2 Buchst. d DSGVO bezieht sich nicht auf der allgemeinen Gefahrenabwehr dienendes, präventives Handeln der Ordnungsbehörden. Für die Abgrenzung der Anwendungsbereiche der DSGVO und der JI-Richtlinie ist der Schwerpunkt der Tätigkeiten entscheidend, denen die Datenverarbeitung dient.
• LG Lübeck, Urteil vom 23.01.2025, Az. 15 O 262/23 (juris): Immaterieller Schadenersatz – Es kann dahinstehen, ob die Einmeldung von Positivdaten durch Telekommunikationsunternehmen an die SCHUFA zur Verwirklichung berechtigter Interessen erforderlich ist. Die Kammer schätzt den Schaden ähnlich ein, wie der EuG bei der rechtswidrigen Übermittlung einer IP-Adresse an Dritte. Unter den Umständen hält die Kammer eine Entschädigung in Höhe von 400 EUR für angemessen.
• LG Nürnberg-Fürth, Beschluss vom 27.01.2025, Az. 12 Qs 60/24 (juris): Ermittlungsverfahren – In einem Ermittlungsverfahren wegen Abrechnungsbetrugs kann die vollständige Spiegelung der Patientendaten einer Arztpraxis im Wege einer virtuellen Maschine zur Durchführung der Durchsicht verhältnismäßig sein, wenn die Praxis-EDV einen nach allgemeinen Parametern definierten partiellen Datenexport in angemessener Zeit nicht zulässt.
• EuG, Urteil vom 29.01.2025, Rs. T‑70/23, T‑84/23 und T‑111/23 (Volltext): Europäischer Datenschutzausschuss – Der Europäische Datenschutzausschuss ist befugt, einer federführenden Datenschutzbehörde, hier der irischen Data Protection Commission, aufzugeben, eine Untersuchung auszuweiten und einen ergänzenden Beschlussentwurf zu erstellen.

Neuigkeiten aus den Aufsichtsbehörden

• Datenschutzaufsicht Hamburg: „Fotografie in der Kindertagesstätte“– Pressemitteilung vom 28.01.2025
• Datenschutzaufsicht Hessen: „Rückblick: Vorträge und Diskussionen zum Europäischen Datenschutztag“ – Pressemitteilung vom 29.01.2025
• Datenschutzaufsicht Mecklenburg-Vorpommern:  „Schule fertig. Und dann?“ – Pressemitteilung vom 29.01.2025
• Datenschutzaufsicht Sachsen-Anhalt:  „Datenschutz schafft Vertrauen in die Digitalisierung“ – Pressemitteilung vom 29.01.2025
• Datenschutzkonferenz (DSK): „Datenschutzkonferenz plant Hilfestellungen für die effektive Anonymisierung von personenbezogenen Daten“ – Pressemitteilung vom 30.01.2025
• Datenschutzaufsicht BayLDA: „Sicher wie in einer Ritterburg – BayLDA berät zu „Datensicherheit durch Datenschutz beim Cybersecurity Day 2025“ – Pressemitteilung vom 31.01.2025