Datenschutz­woche

BayLDA: Schwerpunkt 2027 sind KI-Agenten

Ein Schwerpunkt des Bayerischen Landesamts für Datenschutzaufsicht wird im Jahr 2027 der Einsatz sogenannter KI-Agenten sein. Anders als klassische KI-Anwendungen können solche Systeme zunehmend eigenständig Informationen verarbeiten, verschiedene Datenquellen zusammenführen und Handlungen ausführen. Daraus ergeben sich aus Sicht des BayLDA zahlreiche datenschutzrechtliche Fragen etwa zur Zweckbindung, zur Transparenz, zu Zugriffsberechtigungen und zur wirksamen menschlichen Kontrolle. Ziel ist es hierbei, neue Risiken frühzeitig sichtbar zu machen und Verantwortlichen Orientierung zu geben.

Nach Ansicht des BayLDA hat gerade in Phasen, in denen sich neue technologische Entwicklungen in der betrieblichen Praxis etablieren, präventiver Datenschutz einen besonderen Stellenwert und ermöglicht sowohl Effektivität als auch Rechtssicherheit. Das BayLDA beabsichtigt, diese Entwicklungen rund um KI-Agenten verstärkt aufzugreifen und praxisorientierte Informationen für Unternehmen und Datenschutzbeauftragte auf seiner Internetseite bereitzustellen. Darüber hinaus sollen KI-Agenten auch Gegenstand einer thematischen Prüfreihe für das Jahr 2027 werden.

Einen ersten Überblick gibt das BayLDA bereits in seiner thematischen KI-Übersichtsseite. Unter dem Abschnitt „Einzelfragen zu KI-Agenten“ beantwortet das BayLDA zahlreiche Fragen zum Einsatz von KI-Agenten, etwa zur Verantwortlichkeit, zu Art. 22 DSGVO oder zu spezifischen Datenschutzrisiken.

Fallstudie des HmbBfDI zu einem Chatbot

In der Verwaltung der Freien und Hansestadt Hamburg wird seit Dezember 2024 der KI-Chatbot LLMoin eingesetzt. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hatte seit Anfang 2023 dessen Entwicklung den Roll-out begleitet. Eine wesentliche Fragestellung war, ob Large Language Models (LLM) mit Daten aus dem frei verfügbaren Internet trainiert werden dürfen und falls nein, wie ein so entstandenes LLM dennoch rechtmäßig eingesetzt werden kann. Die hieraus entstandene Debatte mündete schlussendlich in der EDSA-Stellungnahme 28/2024 vom 18.12.2024 zu Datenschutzaspekten der Verarbeitung personenbezogener Daten im Zusammenhang mit KI-Modellen.

In der Anfang November veröffentlichten zehnseitigen Fallstudie zu LLMoin wird durch den HmbBfDI ein Weg zum Umgang mit der EDSA-Stellungnahme skizziert und sodann anhand des Falls LLMoin dargestellt, wie dessen Anforderungen – auch durch Verantwortliche im nicht-öffentlichen Bereich – umgesetzt werden können. In der Fallstudie wird beschrieben, welche Schutzmaßnahmen bei LLMoin implementiert wurden. Dazu zählen technische Ein- und Ausgabefilter, Content-Filter, Vorgaben im Systemprompt, nutzungsleitende Funktionen, verbindliche Nutzungsregeln und gezielte Schulungen.Zudem wird erläutert, wie die Verknüpfung mit externen Wissensdatenbanken und die Anbindung der KI-Antworten an überprüfbare Quellen dazu beitragen können, Antworten auf bereitgestellte, nachvollziehbare Informationen zu stützen.

Nachdem der HmbBfDI unter Beachtung der EDSA-Auffassung die aufsichtsrechtliche Prüfung von LLMoin mit einem positiven Ergebnis abgeschlossen hatte, führte er das KI-System in seiner eigenen Behörde selbst ein und nutzt es seitdem als Assistenztool für die Aufgabe der Beschwerdebearbeitung.

Aktuelle Gerichtsentscheidungen

• EuGH, Urteil vom 05.11.2026, Az. C-205/25 (Volltext): Zur Fragestellung, ob Datenschutzaufsichtsbehörden bei der Bearbeitung von Beschwerden nach Art. 77 DSGVO auch Verantwortliche nach Art. 4 Nr. 7 DSGVO sind sowie zur Vereinbarkeit von Art. 20 Abs. 2 BayDSG mit Art. 23 DSGVO.
• EuGH, Urteil vom 05.11.2026, Az. C-468/24 (Volltext): Unionsrechtliche Verpflichtungen zum Einbau intelligenter Stromzähler und Anforderungen an Datenschutz sowie Datensicherheit.
• EuGH, Schlussanträge des Generalanwalts Maciej Szpunar vom 05.11.2026, Az. C-654/25 (Volltext): Zur Frage eines möglichen immateriellen Schadenersatzes aus Art. 82 DSGVO bei Massenabmahnungen wegen der dynamischen Einbindung von Google Fonts.

Neues aus Bund und Ländern

• Bund: Vorlage des Ergebnisberichts der KI-Taskforce „Deutschland als KI-Nation 2030“ durch die Bundesregierung.
• Bund: Das Bundesamt für Sicherheit in der Informationstechnik hat Bundestagsabgeordnete und Regierungsmitglieder davor gewarnt, dass ihre Diensttelefone möglicherweise mit sogenannter Mercenary-Spyware kompromittiert sind.
• Bund: Positionspapier SN 73/26 des Deutschen Anwaltvereins zu dem Entwurf für die Leitlinien 02/2026 des EDSA zur Anonymisierung personenbezogener Daten.
• Berlin: Die Berliner Datenschutzbeauftragte hat Verwarnungen gegen CDU, SPD, Bündnis 90/Die Grünen und Die Linke ausgesprochen. Die Parteien sollen im Bundestagswahlkampf 2021 politisches Microtargeting eingesetzt und damit gegen Datenschutzrecht verstoßen haben. Das Verfahren gegen die AfD ist noch nicht abgeschlossen. Anlass der Verfahren war eine Beschwerde der europäischen Datenschutzorganisation Noyb. Die Bescheide sind noch nicht rechtskräftig.
• Bayern: IT-Sicherheitsvorfall an der Technischen Universität München. Unbekannte konnten Zugang zu dem zentralen Campus-Management-System der TUM erlangen und hatten dadurch Zugriffsmöglichkeiten u. a. auf Passwörter und personenbezogene Daten der Studierenden.

Internationale Nachrichten

• Europa: Die abgestimmte Position des Rats der Europäischen Union zum Digital Omnibus beinhaltet u.a. die Position, dass das Training von KI-Modellen grundsätzlich über berechtigte Interessen (Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO) möglich sein soll.
• Europa: Übersichtsartikel von heise.de zu den zahlreichen Cyberangriffen auf Kühlsysteme von Lebensmittelhändlern und Supermarktketten in Europa.
• Norwegen: Die norwegische Regierung will an ausgewählten Standorten ein vorübergehendes Verbot von KI-Brillen einführen. Gleichzeitig wird eine Expertengruppe eingerichtet, die bei der dauerhaften nationalen Regulierung beraten soll.

Neues aus den Aufsichtsbehörden

• Der Hamburgische Beauftragte für den Datenschutz und Informationsfreiheit: Fallstudie des HmbBfDI zum KI-Chatbot „LLMoin“, welcher in der Verwaltung der Freien Hansestadt Hamburg zum Einsatz kommt.
• Bayerisches Landesamt für Datenschutzaufsicht: Pressemitteilung des BayLDA zum Schwerpunktthema 2027 zu KI-Agenten sowie FAQ-Liste mit Einzelfragen zum Einsatz von KI-Agenten.
• Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit: Pressemitteilung zu 35 Jahre Thüringer Datenschutzgesetz.
• Sächsische Datenschutz- und Transparenzbeauftragte: Pressemitteilung zu Höchststand bei gemeldeten Datenschutzverletzungen und Beschwerden.