Follow the Rechtsstaat Folge 113

Im neuen Podcast sprechen Stefan Brink und Niko Härting zunächst (ab Minute 01:01) in Querbeet über die chinesische KI DeepSeek, welche in der Kritik steht: Die Verarbeitung von Nutzerdaten (Eingabe von Prompts/Nutzungsdaten/Profile) widerspreche dem EU-Datenschutz, Zugriff auf diese Nutzerdaten hätten auch staatliche Stellen in China. Zudem ließe sich die App für kriminelle Zwecke nutzen. Die italienische Aufsichtsbehörde hat die App bereits verboten. Sodann geht es (ab Minute 09:51) um einen befürchteten „bürokratischen Staatsstreich“ in den USA, das „Department of Government Efficiency“ der Trump-Administration richtet unter Elon Musk (Tesla/X/SpaceX) bereits massiven Schaden an. Mit der Begründung, gegen Verschwendung, Korruption und „Bürokratie“ vorgehen zu wollen, sichert sich Musk den Zugriff auf sensible Personaldaten. US-AID, die Behörde für internationale Entwicklungshilfe, wird de facto aufgelöst, von 10.000 Mitarbeitenden sollen noch 300 bleiben. Erste Gerichte greifen ein und versuchen, eine Aushöhlung des Rechtsstaats zu verhindern. Auch kurz angesprochen (ab Minute 15:30) wird eine Vorlageentscheidung des BGH an den EuGH vor: Zu klären ist der Umfang der Geschäftsführerhaftung für Kartellbußgelder – hier am Beispiel von Kartellabsprachen in der Stahlindustrie, gegen die das Bundeskartellamt Bußgelder in Höhe von 4,1 Millionen Euro gegen die GmbH und in Höhe von 126.000 Euro gegen den Geschäftsführer persönlich verhängte. Schließlich (ab Minute 19:26) stehen Grundfragen des Datenschutzes vor dem Europäischen Gerichtshofs zur Debatte (Rechtssache C-413/23): Der Generalanwalt legte am 6.2.2025 seinen Schlussantrag vor, verhandelt wird über das Urteil des EuG 1. Instanz vom 26.4.2023. In der Sache wirft der Europäische Datenschutzbeauftragte EDSB dem SRB (Single Resolution Board, einheitlicher Abwicklungsausschuss), der als Bankenaufsicht bei der Abwicklung von Kreditinstituten tätig wird, die Verletzung datenschutzrechtlicher Informationspflichten vor (vgl. Art. 13 DS-GVO, hier jedoch: Verordnung 2018/1725 zur Datenverarbeitung durch EU-Organe). In einem denkbar einfach gelagerten Fall – ein Dienstleister erhält pseudonymisierte Daten – entwickelt das EuG die Theorie, dass der Personenbezug nicht absolut, sondern je nach Empfänger der Daten relativ festzustellen sei – und beruft sich dabei auf den EuGH (Breyer-Entscheidung vom 19.10.2016 zum Personenbezug von IP-Adressen). In seinem Schlussantrag geht der GA ebenfalls davon aus, dass pseudonyme Daten für den Datenverarbeiter anonym sein können – was wohl mit dem Wortlaut von ErwGr 26 DS-GVO kollidiert. Zur Krönung dieser Verwirrung geht der GA auch noch davon aus, dass Informationspflichten des Verantwortlichen nicht deswegen entfallen, weil die Daten für den Empfänger anonym sind (anders als Art. 4 Nr. 9 DS-GVO). Handlungen des Verantwortlichen, die keine Beeinträchtigung des Betroffenen auslösen können, sollen also keinen Einfluss auf seine Pflichten haben? Na prima … Grundfragen des Datenschutzes sind offensichtlich unklar und ungeklärt – man möchte mit Dante angesichts dieses Blicks in den Höllenschlund ausrufen: „Lasciate ogni speranza“ – Lasst alle Hoffnung fahren …