Wenn Regeln im Betrieb ankommen

Die französische Datenschutzbehörde CNIL hat gegen das Hôpital Privé de la Loire 500.000 Euro Bußgeld verhängt: Bei einem Angriff gab es Zugriff auf Daten von 524.867 Patienten und 202.246 Vertrauenspersonen. Der Fall führt direkt zu einer Frage, die auch hinter den neuen Meldewegen und EU-Vorgaben steht: Wer bekommt Zugang zu welchen Informationen, und wie wird das im Betrieb kontrolliert?

Die CNIL beanstandete beim Krankenhaus unter anderem die Authentifizierung und die Steuerung von Zugriffsrechten. Es geht also nicht nur um den Angriff selbst, sondern um die Schranken, auf die ein Angreifer trifft, wenn er sich im System bewegt. Gerade bei Patientenübersichten macht die Rechtevergabe einen Unterschied: Dort liegen Daten vieler Menschen dicht beieinander. Das Bußgeld zeigt, wie konkret die Aufsicht solche technischen Entscheidungen bewertet.

Beim Umgang mit Betroffenenrechten lag das Problem an einer anderen Stelle derselben Kette: Menschen kamen nicht verlässlich an die Informationen oder Entscheidungen, die ihnen zustehen. Bei EXTIA blieben mehr als drei Viertel von 265 Löschanfragen aus dem Jahr 2024 unbeantwortet oder wurden nur unzureichend bearbeitet; dafür verhängte die CNIL 300.000 Euro Bußgeld. In Spanien belegte die AEPD Securitas Direct mit 100.000 Euro, weil Hinweise zu Auskunfts- und Widerspruchsrechten auf eine kostenpflichtige Telefonnummer verwiesen. Dass es auf der Website auch kostenlose Wege gab, änderte daran nichts. Ein vorhandener Prozess genügte hier nicht, wenn der ausgewiesene Weg Menschen in die falsche Richtung schickte.

Während diese Fälle zeigen, was bei Zugängen und Abläufen schiefgehen kann, hat das BSI einen neuen Zugang für die Sicherheitsaufsicht geöffnet. Nach der Anmeldung über Mein Unternehmenskonto ist jetzt der zweite verpflichtende Schritt der NIS-2-Registrierung im BSI-Portal möglich; betroffen sind rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung. Registrierte Organisationen können dort Sicherheitsvorfälle und Schwachstellen melden sowie Lageberichte und Sicherheitsmitteilungen abrufen. Das Portal bietet außerdem Hilfen zur Risikoanalyse. Aus der Registrierung wird damit ein Kanal, über den Informationen auch nach dem ersten Eintrag weiterfließen.

Dieselbe Frage nach sichtbaren Informationen stellt sich bei KI-Inhalten, nur liegt der Zugang hier beim Publikum. Die EU-Kommission27 setzt seit dem 2. August Transparenzpflichten für interaktive KI-Systeme sowie für KI-generierte oder veränderte Inhalte durch. Sie hat dafür Kennzeichnungssymbole und FAQs veröffentlicht; die Symbole sind optional, und ihr Einsatz allein belegt noch keine Rechtskonformität. Für Anbieter von Chatbots und entsprechenden Inhalten ist die Kennzeichnung also keine bloße Ankündigung mehr. Gleichzeitig verschieben endgültige EU-Regeländerungen Pflichten für Hochrisiko-KI auf Dezember 2027 oder August 2028.

Bei allgemeinen KI-Modellen ist die Aufsicht ebenfalls angelaufen, aber sie arbeitet anders als eine Kennzeichnung auf dem Bildschirm. Das AI Office kann von Anbietern Informationen anfordern und soll darüber die Regeln für solche Modelle durchsetzen. Forschende fordern zugleich mehr Ressourcen, um systemische Risiken extern prüfen zu können. Und während die Kommission ein internationales Gremium für KI-Sicherheit unterstützt, gibt es aus den USA Widerstand gegen diesen Plan. Der internationale Anspruch wächst damit gerade in einer Phase, in der die praktische Prüfung noch um Ressourcen ringt.

Auch innerhalb der EU klaffen Regelwerk und Aufsichtskapazität auseinander. Die Kommission hält an der Durchsetzung des AI Act fest, während Abgeordnete und Analysten auf verzögerte Regeln, wenig Personal im AI Office und Lücken bei Tests vor der Veröffentlichung verweisen. Das ist ein anderer Engpass als bei den bereits geltenden Transparenzpflichten: Dort ist die Vorgabe da, bei der Prüfung großer Modelle fehlen nach dieser Kritik noch Kapazitäten. Das Parlament hat unterdessen dem Digital Omnibus und einem Verbot von Nudifier-Apps endgültig zugestimmt. Neue Beschlüsse und langsame Durchsetzung laufen nebeneinander.

Bei Plattformen trifft diese KI-Debatte auf eine schon länger bekannte Grenze zwischen Regelwerken: Dienste können zugleich dem DSA und der DSGVO unterliegen. Der Europäische Datenschutzausschuss, kurz EDPB, hat endgültige Leitlinien für Fälle verabschiedet, in denen DSA-Regeln die Verarbeitung personenbezogener Daten berühren. Daneben hat er eine fünfstufige Methodik für DSGVO-Bußgelder mit 14 praktischen Beispielen vorgelegt. Die eine Arbeit klärt also, wie Pflichten zusammenwirken; die andere, wie Behörden Verstöße bemessen. Für Vermittlungsdienste mit personenbezogenen Daten sind das zwei Seiten derselben Aufsicht.

Wenn Unternehmen Informationen offenlegen müssen, stellt sich anschließend die Gegenfrage: Wie viele Daten dürfen sie dafür bei anderen einsammeln? Bei den vereinfachten europäischen Nachhaltigkeitsstandards hat die Kommission mehr als 60 Prozent der verpflichtenden Datenpunkte gestrichen. Die delegierten Rechtsakte zu diesen ESRS und zu einem freiwilligen Standard für kleinere Unternehmen stehen inzwischen im EU-Amtsblatt. Das DRSC3 weist allerdings darauf hin, dass für die deutschen Fassungen im Oktober oder November noch ein Corrigendum geplant ist. Der veröffentlichte Rahmen steht damit fest, während am deutschen Wortlaut noch gearbeitet werden soll.

Besonders greifbar wird die Begrenzung in der Lieferkette. CSRD-pflichtige Unternehmen dürfen von Lieferanten mit höchstens 1.000 Beschäftigten nur die als notwendig markierten Nachhaltigkeitsangaben verlangen; bei Betrieben mit höchstens zehn Beschäftigten liegt die Grenze noch niedriger. Zusätzliche Angaben dürfen größere Unternehmen zwar anfragen, müssen aber auf die Möglichkeit zur Ablehnung hinweisen. Eine Anfrage und eine verpflichtende Auskunft sind damit gerade nicht dasselbe. Für kleinere Zulieferer ist diese Unterscheidung relevant, weil ihre Daten oft in die Berichte größerer Kunden einfließen sollen.

Bei Rechenzentren dreht sich die Debatte dagegen darum, welche Betriebsdaten künftig gemessen und veröffentlicht werden müssen. AlgorithmWatch26 warnt bei der geplanten Novelle des Energieeffizienzgesetzes davor, PUE-Grenzwerte sowie Mess- und Veröffentlichungspflichten abzuschwächen; die Organisation fordert außerdem Vorgaben zu erneuerbarem Strom, Abwärmenutzung und Kundeninformationen. Parallel baut Novele ein Angebot für Energiesteuerung und dezentrale Speicher in Gewerbegebäuden aus, das auch Rechenzentren einschließt. Dafür hat das Unternehmen 17 Millionen Dollar aufgenommen. Während über gesetzliche Effizienzvorgaben gestritten wird, entstehen also bereits Angebote, die den Stromverbrauch flexibler steuern sollen.

Am 2. November endet die Anmeldung zur digitalen BaFin18-Geldwäschetagung am 10. Dezember. Am 13. November endet die öffentliche Konsultation zur Bußgeldmethodik des EDPB. Und am 8. Dezember behandelt eine weitere BaFin19-Veranstaltung unter anderem DORA-Umsetzung, IKT-Vorfälle, leistungsstarke KI-Modelle und Quantum Computing – wieder mit der Frage, wie Regeln und Risiken im laufenden Betrieb zusammenkommen.