Das 21. OSE Symposium am 30.1.2026 in München fand unter dem Titel „Data Dynamics – Use Cases zwischen Regulatorik und Wertschöpfung“ statt und brachte Experten aus Technik, Wissenschaft, Wirtschaft und Recht zusammen. Nach einführenden Grußworten von Stephan Peters (OSE; Deposix Software Escrow GmbH, München) und RAin Dr. Christiane Bierekoven (davit, Berlin, Dr. Ganteführer, Marquardt & Partner mbB, Düsseldorf) folgte eine Vielzahl an Fachvorträgen, die das Spannungsfeld aus unterschiedlichen Blickwinkeln beleuchteten. Abgeschlossen wurde die Veranstaltung mit einem Panel und einer Diskussion, in der RA Dr. Thomas Thalhofer (Noerr PartG mbB, München) Fragen an die Referenten richtete, um die Vortragsthemen zu vertiefen.
1. Rechtsprechungsupdate
Tagungsleiterin RAin Isabell Conrad (OSE; CSW Rechtsanwälte Partnerschaft mbB, München) eröffnete das Symposium mit einem Überblick über die Rechtsprechung des vergangenen Jahres. Ihr Vortrag, gestützt auf ein nahezu hundertseitiges Skript, zeigte anhand einer Vielzahl an Beispielen, wie die Rechtsprechung das Zusammenspiel von Regulatorik und (digitaler) Wertschöpfung prägt.
Im AGB Recht reichten die besprochenen Themen von der Haftung für In App Käufe Minderjähriger (BGH, Urt. v. 24.09.2025 – Az. 2 O 64/23) über die Wirksamkeit von Online AGB bei „analogen“ Vertragsschlüssen (BGH, Urt. v. 10.07.2025 – Az. III ZR 59/24) bis hin zur Stärkung von Kündigungsrechten bei Online Partnervermittlungen (BGH, Urt. v. 17.07.2025 – Az. III ZR 388/23). Besonders praxisrelevant waren die Entscheidungen zu einseitigen Leistungsänderungen und Preiserhöhungen bei Amazon Diensten (LG München I, Urt. v. 16.12.2025 – Az. 33 O 3266/24; OLG Düsseldorf, Urt. v. 30.10.2025 – Az. I 20 U 19/25) sowie Authentifizierungsverfahren bei SIM Karten Sperren (BGH, Urt. v. 23.10.2025 – Az. III ZR 147/24).
Besonders betonte sie die Vielzahl an Entscheidungen zum FernUSG, das im KI-Zeitalter in den Fokus gerückt sei. Die Rechtsprechung betraf etwa die Anwendbarkeit des FernUSG bei Online-Coaching. Diese hat der BGH in zwei Fällen bejaht und damit auch das Erfordernis einer behördlichen Zulassung (BGH, Urt. v. 12.06.2025 – Az. III ZR 109/24; (BGH, Urt. v. 02.10.2025 – Az. III ZR 173/24). Hingegen wurde die Anwendbarkeit in einem Fall des OLG Hamm (Beschl. v. 15.10.2025 – Az. 12 U 63/25) wegen einer fehlenden Lernkontrolle verneint.
Im digitalen Handel waren Themen die Abgrenzung von „Click & Collect“- und „Click & Reserve“-Angeboten (OLG Stuttgart, Urt. v. 25.11.2025 – Az. 6 Ukl 1/25) sowie die Einstufung von Amazon Store (EuG, Urt. v. 19.11.2025 – Rs. T 367/23) und Zalando (EuG, Urt. v. 03.09.2025 – Rs. T 348/23) als Very Large Online Platforms (VLOP) nach dem Digital Services Act (DSA). EuGH und BGH beschäftigten sich mit dem Angebot „Buy now pay later“ eines Online-Händlers (EuGH, Urt. v. 15.05.2025 – Rs. C 100/24; BGH, Urt. v. 11.09.2025 – Az. I ZR 14/23). Die Plattformhaftung wurde durch die EuGH Entscheidung Russmedia weiter geschärft (EuGH, Urt. v. 02.12.2025 – Rs. C 492/23).
Im Urheberrecht verzichtete sie auf die Besprechung der allseits bekannten Entscheidung des LG München I in Sachen GEMA/OpenAI (Urt. v. 11.11.2025 – Az. 42 O 14139/24), wies stattdessen aber auf die weniger bekannte Entscheidung im Verfahren Getty Images gegen Stability AI im Zusammenhang mit KI-generierten Bilder hin (High Court of Justice London, Urt. v. 04.11.2025 – Az. [2025] EWHC 2863 (Ch)). Im Kartellrecht verdeutlichen divergierende Entscheidungen die Rechtsunsicherheit beim KI Training mit Social Media Daten (OLG Köln, Urt. v. 23.05.2025 – Az. 15 Ukl 2/25; Bezirksgericht Amsterdam v. 19.05.2025 – Az. 10795074 Cv FORM 23 14577). Die Einstufung von Apple als Unternehmen mit überragender marktübergreifender Bedeutung (BGH, Beschl. v. 18.03.2025 – Az. KVB 61/23) bestätigte den Trend zu strengerer Plattformaufsicht. Abgerundet wurde der Überblick durch eine datenschutzrechtliche Entscheidung zu (fehlenden) Gastzugängen auf Marktplätzen (OLG Hamburg, Urt. v. 27.02.2025 – Az. 5 U 30/24). Insgesamt zeigte sich ein Jahr, in dem die Rechtsprechung die Leitplanken für digitale Geschäftsmodelle enger und zugleich klarer gezogen hat.
2. Keynote: Quantentechnologien und Quantum Act – Regulation oder Regulierung?
Die Keynote von Prof. Dr. Tommaso Calarco (Institute for Quantum Control, Forschungszentrum Jülich) widmete sich der Frage, wie Quantentechnologien künftig politisch und regulatorisch begleitet werden können. Ausgangspunkt war der Gedanke, dass wir in das Jahrzehnt der quantentechnologischen Anwendung eintreten und das Feld der bloßen Forschung verlassen. Im späteren Panel wurde etwa als Anwendungsfeld Kryptografie genannt. Mit heutiger Technik ist es nur eine Frage der Rechenleistung und Zeit, bis verschlüsselte Daten entschlüsselt werden können. Mit Quantentechnologie sei dies hingegeben vollkommen unmöglich, auch wenn dies noch etwa 15 – 20 Jahre dauert, sollte es kommen.
Weltweit skalieren Regierungen ihre Investitionen, und auch der private Sektor beschleunigt seine Aktivitäten deutlich. Europa muss tätig werden. Als politischer Rahmen wurde die „European Declaration on Quantum Technologies“ gezeigt, die von allen 27 EU Mitgliedstaaten unterzeichnet wurde. Sie verfolgt das Ziel, Europa zum „Quantum Continent“ zu machen.
Die europäische „Quantum Vision“ besteht darin Europa zu einem globalen Zentrum der Quantentechnologie zu machen, das technologische Souveränität sicherstellt, wissenschaftliche Leistung mit industrieller Stärke vereint und Forschung in Anwendung und Markteinfluss wandelt.
Vor diesem Hintergrund wurde die Idee einer Regulierung per „Quantum Act“ skizziert. Insgesamt wurde deutlich, dass Regulierung hier nicht als Hemmnis verstanden werden soll, sondern als Instrument, um Forschung, Innovation, Entwicklung und industrielle Umsetzung zu gewährleisten.
3. Themenblock 1: Daten, Deals, Durchstarten: Cloud Switching und Kartellrecht
a) Daten über Daten – und ihr kartellrechtlicher Preis
Der erste Themenblock unter der Moderation von RAin Dr. Michaela Westrup (Reed Smith LLP, München) wurde von Prof. Dr. Peter Georg Picht (Universität Zürich) eröffnet und befasste sich mit der kartellrechtlichen Relevanz des Informationsaustausches im Wettbewerb. Zu Beginn wurden die grundlegenden Strukturen des EU Kartellrechts zum Informationsaustausch dargestellt, insbesondere die Einordnung unter Art. 101 AEUV (Vereinbarungen bzw. abgestimmte Verhaltensweisen). Hervorgehoben wurde, dass die Durchsetzungsintensität im Bereich des Informationsaustauschs spürbar zunimmt. Es wurden Kriterien vorgestellt, mit denen die Sensibilität ausgetauschter Informationen bewertet werden kann. Dazu zählen etwa die Art der Information (z. B. Preise oder Konditionen haben einen hohen Sensibilitätsgrad) und das Alter der Information (aktuelle Daten sind besonders kritisch). Anhand verschiedener Fallbeispiele wurde deutlich, dass algorithmische Systeme neue Herausforderungen schaffen. Aus den USA wurden die Verfahren United States et al. v. RealPage Inc. (1:24 cv 00710, M.D.N.C.) und Gibson v. Cendyn Grp., LLC (93 F.4th 1125) angesprochen, in denen algorithmische Preis- bzw. Konditionenempfehlungen streitgegenständlich waren. Auf europäischer Ebene wurden zahlreiche weitere Verfahren z. B. vor dem EuGH (Urt. v. 21.1.2016 – C 74/14 – Eturas) oder der EU-Kommission (Delivery Hero/Globo, siehe https://ec.europa.eu/commission/presscorner/detail/de/ip_25_1356) gezeigt. Abschließend wurde ein „Selbsttest“ vorgestellt, der ua die strategische Qualität eines Informationsaustauschs in den Blick nimmt – insbesondere vor dem Hintergrund, dass im Kartellrecht stets das Eigenständigkeitspotenzial unternehmerischer Entscheidungen gewahrt bleiben muss. Abschließend wurde ein Blick auf den Informationsaustausch aus der Perspektive des DMA und Data Acts geworfen.
b) Vertragsgestaltung für Cloud Switching – Blaupausen für die Praxis
Der Beitrag von Prof. Dr. Boris P. Paal (TU München) widmete sich den Vorgaben des Data Act zum Cloud Switching und damit einem der praxisrelevantesten Teile des neuen Rechtsrahmens. Im Mittelpunkt stand somit Kapitel VI (Art. 23–31), das den Wechsel zwischen Datenverarbeitungsdiensten regelt und – trotz vergleichsweiser geringer Normzahl – einen erheblichen Eingriff in bestehende Vertragsstrukturen bedeute. Der erleichterte Cloud-Wechsel soll die Portabilität und Interoperabilität von Daten und Diensten stärken und Lock-in-Effekte verhindern.
Nachdem Grundlagen zum DA dargestellt wurden, widmete sich der Vortrag dem Pflichtenkatalog beim Cloud Switching, der sich auf die Bereiche Vertragsgestaltung, Informationspflichten, kommerzielle Vorgaben, technische Pflichten und Verhaltenspflichten bezieht. Insoweit erfolgte ein Hinweis auf Empfehlungen der EU-Kommission zu unverbindlichen Standardvertragsklauseln für Cloud-Computing-Verträge (https://digital-strategy.ec.europa.eu/de/library/draft-recommendation-non-binding-model-contractual-terms-data-access-and-use-and-non-binding). Zudem wurde der Digital Omnibus des EU-Gesetzgebers angesprochen, der Änderungen des Data Acts beabsichtigt, u. a. Ausnahmen von bestimmten Regelungen zum Cloud Switching, etwa für kundenspezifisch angepasste Datenverarbeitungsdienste und KMU bei einem Vertragsschluss vor dem 12.09.2025.
c) Einfach umziehen: Technologien und Architektur-Pattern für den Cloudwechsel
Eckhard Eilers (Woodmark Consulting GmbH, München) beleuchtete das Thema Cloud Switching aus technischer Sicht. Er zeigte, dass die regulatorischen Vorgaben des Data Act allein nicht garantieren, dass ein Wechsel in der Praxis reibungslos gelingt. Eilers stellte zunächst die wichtigsten Treiber für Cloud Migrationen und Cloud Exits dar, etwa enttäuschte Erwartungen an Einsparpotenziale und die Reduzierung der Abhängigkeiten von US Diensten.
Im Anschluss wurden mögliche Zielumgebungen für einen Wechsel skizziert. Neben Hyperscalern wie AWS, Microsoft Azure oder Google Cloud wurden europäische Anbieter wie OVHcloud, Open Telekom Cloud, IONOS oder Exoscale gegenübergestellt. Dabei wurde deutlich, dass der europäische Markt zwar Alternativen bietet, diese aber oft nicht das technische Niveau der Hyperscaler erreichen.
Zentral war der Hinweis, dass Portabilität bereits bei der Planung einer Cloud Lösung berücksichtigt werden muss. Eilers zeigte verschiedene Abstraktionsansätze, welche die spätere Portabilität erleichtern. Zum einen beleuchtete er die Abstraktion bei IaC (Infrastructure as Code) und beim Cloud-Management wie z. B. die Benutzung cloudagnostischer IaC-Codes (z. B. Terraform oder OpenTofu), die Nutzung von multi-cloud-management-plattformen (HPE morpheus, Rancher etc.). Zum anderen zeigte er Abstraktionsansätze in der Anwendung, wie die Integration einer Adapterschicht, um verschiedene Anbieter ankoppeln zu können. Schließlich wies er darauf hin, dass bereits die Datenmenge (z. B. 3 Terrabyte an Dokumenten) ein Problem sein kann, dass man im Hinterkopf behalten sollte.
Insgesamt wurde deutlich, dass Cloud Switching gerade auch eine architektonische und strategische Aufgabe ist und ohne entsprechende Vorbereitung selbst durch den Data Act nicht ohne Weiteres gelingt.
4. Themenblock 2: Escrow als Schlüssel für Daten- und Regulierungsanforderungen
a) Von Quellcode-Sicherung zu Datenmanagement: Escrow neu gedacht
Den 2. Themenblocks unter der Moderation von RAin Elke Bischof (MAYBURG Rechtsanwaltsgesellschaft mbH, München) eröffnete mit einem Beitrag zur Weiterentwicklung des Escrow Gedankens Leon Hauzer (OSE; Escrow Alliance BV, Haarlem). Er zeigte, dass klassische Escrow Modelle – historisch auf Quellcode Hinterlegung und Insolvenzfälle ausgerichtet – für moderne digitale Dienste nicht mehr ausreichen. Da heutige Anwendungen auf Cloud Infrastrukturen, umfangreichen Datenbeständen und Continuous Deployments beruhen, sei Quellcode zwar rechtlich verfügbar, faktisch aber oft nicht nutzbar. Die zentrale Frage laute daher: „Können wir einen kritischen Dienst fortführen, wenn der Dienstleister ausfällt?“.
Hauzer stellte ein erweitertes Escrow Verständnis vor, das auf Kontinuität abzielt und Daten, Software wie auch Infrastruktur in den Blick nimmt. Nur so könne das „Produkt“ bzw. die „Dienstleistung“ gegen Verlust durch Escrow geschützt werden. Es sei zudem ein Wandel von „Deposit“ zu „Recoverability“ notwendig. Hierfür wurde das Maturity Model vorgestellt, mit dem verschiedene Reifegrade der Hinterlegung gemessen werden, von (nur) der Erfassung von Daten in einem Depot (R0 – klassisches Depot) bis hin zur nachgewiesen Wiederherstellbarkeit (R4 – Verifizierung). Nach seiner Einschätzung meinen zwar viele Unternehmen gut aufgestellt zu sein, befänden sich aber oft auf niedriger Stufe.
Weitere wichtige Informationen gab es zum Datenmanagement im Escrow Kontext, das nicht als operativer IT Betrieb, sondern als rechtliches Steuerungsinstrument verstanden werden müsse. Im „Trigger Event“ – etwa bei Insolvenz eines Anbieters – müssen Integrität, Vollständigkeit und Nutzbarkeit der Daten rechtlich gewährleistet sein.
Eine Änderung bei Escrow-Vereinbarungen sieht er darin, dass moderne Escrow-Vereinbarungen die nachweisbare Wiederhellbarkeit in den Mittelpunkt stellen müssen.
b) Jenseits der ausgetretenen Trampelpfade: Praktische Anwendungsbereiche von Escrow
Im Anschluss bot Stephan Peters einen historischen und zugleich praxisnahen Blick auf die Entwicklung des Escrow seit den frühen 1980er Jahren. Die Darstellung machte deutlich, dass Escrow sich kontinuierlich an technologische und rechtliche Veränderungen angepasst hat, nämlich vom klassischen Software Escrow über Daten und Cloud Escrow bis hin zu modernen Formen wie SaaS (continuity) und AI Escrow. Das Grundprinzip – die Lösung eines Interessenskonflikts zwischen mehreren Parteien – bliebe dabei unverändert, die Anwendungsfelder jedoch hätten sich erheblich erweitert.
Anhand zahlreicher Praxisbeispiele zeigte Peters, wie vielfältig Escrow heute eingesetzt wird, von der Hinterlegung von Synchronfassungen für Hollywood Produktionen über Daten Escrow im Gesundheitswesen bis hin zu Sicherungsmodellen für langlaufende Infrastrukturprojekte, z. B. der Sicherstellung der Wartbarkeit von Windkraftanlagen.
Ein Schwerpunkt lag auf der Unterscheidung zwischen Cloud Escrow und SaaS Escrow. Während Cloud Escrow auf eine mittel bis langfristige Rekonstruktion abzielt („Baukasten zur Wiederherstellung“) und typischerweise Quellcode, Container, IaC Elemente und Artefakte umfasst, dient SaaS Escrow der kurzfristigen Ausfallabsicherung („Sofort Ersatz auf Abruf“). Die Unterschiede spiegeln sich in Kosten, RTO/RPO Werten und Testfrequenzen wider: Cloud Escrow Modelle bewegen sich meist im Bereich von 5.000–25.000 € jährlich, SaaS Escrow Lösungen liegen bei 10.000–100.000 € pro Jahr.
c) Escrow unlocked: Wie scheinbar unmögliche Anforderungen aus DORA und NIS2 möglich werden
Der Vortrag von RA Dr. Gregor Schmid (Taylor Wessing PartG mbB, Berlin) bot einen konzentrierten Überblick über die Verordnung (EU) 2022/2554 („DORA“) und zeigte, wie Escrow Modelle zur Umsetzung der dort verankerten Anforderungen beitragen können. DORA schafft erstmals einen einheitlichen EU Rahmen für die digitale operative Resilienz im Finanzsektor.
Im Mittelpunkt stand die Frage, wie Escrow in diesem regulatorischen Umfeld eingesetzt werden kann. Es wurde deutlich, dass Escrow (z. B. Software Escrow, Cloud Escrow oder SaaS Escrow) insbesondere als „Best Practice“, weniger als Pflicht, dort relevant wird, wo DORA etwa Wiederherstellbarkeit, Testbarkeit und Kontrolle über kritische IKT Dienste verlangt. Dies betrifft etwa Quellcodeprüfungen im Rahmen der Resilienz Tests und die Sicherstellung der IKT Geschäftsfortführung nach Art. 11 DORA. Ein praktisches Szenario ist die Insolvenz eines IKT Drittdienstleisters.
Der Vortrag ordnete Escrow zudem in weitere aufsichtsrechtliche Rahmen wie MaRisk und NIS2 ein. In all diesen Regelwerken finden sich ähnliche Anforderungen, wenn auch nicht so ausführlich wie in DORA und damit entsprechende Anwendungsfälle für Escrow.
5. Themenblock 3: KI und Datenschutz – clever gelöst
a) KI-Use Case: Transkription
Den letzten Themenblock, moderiert von RAin Dr. Christiane Bierekoven, eröffnete Carolin Loy (BayLDA) mit einem Überblick über die datenschutzrechtlichen Fragen rund um die Transkription in Videokonferenzen. Überraschend war zunächst, dass unter rund 10.000 Beschwerden im vergangenen Jahr keine einzige dieses Thema betraf – gleichwohl gebe es zahlreiche Beratungsanfragen.
Loy betonte, dass kein Transkriptions Tool per se datenschutzkonform sei; entscheidend seien stets Einsatzszenario und Konfiguration. Bei der Wahl der Rechtsgrundlage kommt eine Einwilligung nur eingeschränkt in Betracht, insbesondere im Beschäftigungskontext. Auch Art. 6 Abs. 1 lit. b DSGVO ist schwierig, da Transkripte für die Vertragsdurchführung meist nicht zwingend erforderlich sind. In der Praxis wird daher häufig auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO abgestellt, wobei sich ein Interesse aus der mit der Transkription verbundenen Effizienzsteigerung, besseren Dokumentation oder Barrierefreiheit ergeben kann. Gleichwohl wurde deutlich, dass die Prüfung sorgfältig vorgenommen werden muss. Hierzu wurde ein mehrstufiger Prüfungsaufbau gezeigt, bestehend aus Schritt 1 (Purpose-Test), Schritt 2 (Necessity Test), Schritt 3 (Balancing Test) und Schritt 4 (Compliance-Test). Im letzten Schritt sind etwa die weiteren datenschutzrechtlichen Pflichten wie Informationspflichten, Auskunftsrechte und Löschung in den Blick zu nehmen. Schließlich wurde in einem strafrechtlichen Exkurs § 201 StGB betrachtet, der bei der Transkription einschlägig sein kann und ebenfalls stets in die Prüfung einzubeziehen ist.
b) Datenschutzkonforme Cloudnutzung in der EU: Microsoft 365 und Copilot
Thomas Zerdick (EDSB, Brüssel) gab einen detaillierten Einblick in das Verfahren des Europäischen Datenschutzbeauftragten (EDSB) gegen die EU Kommission zur Nutzung von Microsoft 365. Die Untersuchung begann im Jahr 2021 und endete im März 2024 mit einem Beschluss, der Verstöße gegen mehrere wichtige Datenschutzvorschriften feststellte. Problematisch waren insbesondere Fragen in den Bereichen Zweckbindung, internationale Transfers und der unbefugten Offenlegung.
Zerdick zeigte, wie die Kommission im Juli 2025 durch zusätzliche Vertragsbestimmungen mit Microsoft und einer Ergänzung der bestehenden technischen und organisatorischen Maßnahmen der Kommission und Microsoft für die Verarbeitung innerhalb und außerhalb des EWR dennoch Compliance erreichen konnte.
Ein weiterer Schwerpunkt lag auf den neuen Herausforderungen durch Microsoft Copilot. Probleme bestehen dabei im Hinblick auf die Herkunft von Trainingsdaten, personenbezogenen Daten im Prompt/Output und Halluzinationen. Insoweit verwies er auf die EDSB Leitlinien „Generative AI and the EUDPR“ vom Oktober 2025). Diese enthalten praktische Anleitungen für EU-Institutionen zur EUDPR-konformen Nutzung von GenAI, würden aber auch sinngemäß für DSGVO Anwender gelten.
Zum Abschluss formulierte Zerdick konkrete Punkte, die öffentliche Stellen bei der Cloud-Nutzung beachten sollten, wie etwa die Klärung von Verantwortlichkeiten, die Dokumentation von Datenflüssen in Drittländer oder die Prüfung ihrer Microsoft-Verträge im Hinblick darauf, ob ähnliche Bedingungen wie bei der EU-Kommission möglich seien.
c) KI und Datenschutz: So geht‘s richtig
Das Thema wurde zunächst von RA Dr. Robert Selk (SSH Rechtsanwälte PartG mbB Selk, München) aus Anwaltssicht erörtert. Er wies zunächst darauf hin, dass KI und Datenschutz zahlreiche Themenfelder berühren, von personenbezogenen Daten im Prompt oder Output bis hin zu DSFA Pflichten oder Fragen der automatisierten Entscheidungsfindung. Der Vortrag konzentrierte sich auf zwei praxisrelevante Aspekte: (1) Vermeidung von Personenbezug und (2) Rechtsgrundlagen, wenn Personenbezug unvermeidbar ist.
Zunächst wurde die Frage erörtert, ob sich personenbezogene Daten in den trainierten Daten eines LLMs befinden. Selk verwies hierzu auf das Urteil des LG München I vom 11.11.2025 (42 O 14139/24), die eine KI zum Gegenstand hatte, die urheberrechtlich geschützte Liedtexte ausgeben konnte. Das Gericht hielt es für ausgeschlossen, dass es sich dabei um zufällige Neuschöpfungen handele, weshalb eine Urheberrechtsverletzung festgestellt wurde. Dies könne auch für Datenschutz-Themen Relevanz haben, etwa wenn Daten aus dem Training 1:1 im LLM enthalten seien. Insoweit könne bereits jede Nutzung eines LLMs durch einen Nutzer eine datenschutzrechtlich relevante Verarbeitung sein.
Im Weiteren wurde Anonymisierung und Pseudonymisierung als Instrumente zur Vermeidung von Personenbezug diskutiert, wobei bei „echter“ Anonymisierung der Datenschutz-Bezug entfalle. Bei Pseudonymisierung ist dies differenziert zu betrachten und kann im Kontext des EuGH Urt. v. 4.9.2025 (C-431/23P – SRB) etwa KI-Anbietern helfen. Wenn Personenbezug vorliegt, komme für den Nutzer in der Praxis häufig Art. 6 Abs. 1 lit. f DSGVO zum Einsatz. Der Digital Omnibus sieht hierfür Erleichterungen vor, insbesondere durch einen Art. 88c, der die Interessenabwägung speziell für KI Entwicklung und KI Betrieb gesetzlich verankern soll. Selk verwies zudem auf das Diskussionspapier „The Bridge Blueprint“, veröffentlicht vom HmbBfDI unter https://datenschutz-hamburg.de/news/eine-bruecke-zwischen-dsgvo-und-ki-vo-das-diskussionspapier-the-bridge-blueprint. Das Papier vertritt die These, dass die DSGVO für KI Nutzung ausreiche – sofern sie richtig gelesen werde.
Im Anschluss betrachtete SRA Sebastian Dürdoth (Microsoft Deutschland GmbH, Berlin) das Thema aus Anbietersicht. Eine rechtliche Bewertung könne nur gelingen, wenn die technische Funktionsweise von KI verstanden werde. Es wurde gezeigt, dass KI im Kern ein „Sprachtaschenrechner“ ist, der auf Wahrscheinlichkeiten basiert und kein Gedächtnis im klassischen Sinne hat. Wichtig bei der KI-Nutzung sei die Datenhygiene, um „Oversharing“ zu vermeiden.
Dürdoth stellte eine Reihe von Datenschutz Werkzeugen von Microsoft vor wie Rollen und Rechtekonzepte, Sensitivity Labels, Auto-Labelling oder Purview-DLP-Regeln. Zudem wies er auf vertragliche Zusagen von Microsoft bei der Nutzung des Web Groundings i. R. von Copilot hin.
Abschließend verwies Dürdoth auf Materialien von Microsoft (M365 Toolkit, „Cloud Compendium“, „Build your own DPIA“; https://www.microsoft.com/de-de/mit-sicherheit/datenschutz-ressourcen.), die Verantwortliche bei der datenschutzkonformen Nutzung von M365 und Copilot unterstützen.
6. Neujustierung der KI-Compliance: Konzepte anhand der harmonisierten Normen und Leitlinien der EU-Kommission
Den Abschluss bildete der Vortrag von RAin Dr. Antonia von Appen (Noerr PartG mbB, München), mit dem die praktische Umsetzung der KI Verordnung (KI VO) beleuchtet wurde. Sie zeigte, dass die KI VO bewusst technologieoffen formuliert ist und zahlreiche unbestimmte Rechtsbegriffe enthält – etwa die Pflicht, Hochrisiko KI Systeme so zu konzipieren und zu entwickeln, „dass sie ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit erreichen (…)“ (Art. 15 Abs. 1 KI VO).
Die unbestimmten Rechtsbegriffe sollen den Zielkonflikt aus dem Schutz der Grundrechte, der Technologieneutralität und Förderung der Innovation in Einklang bringen. Hierdurch sind jedoch viele praxisrelevante Fragen ungeklärt. Zur Konkretisierung dienen harmonisierte Normen (Art. 40 KI-VO), Praxisleitfäden und Leitlinien als Softlaw. Es handelt sich gleichwohl grundsätzlich nicht um eine verbindliche Auslegung, da die Exklusivkompetenz beim EuGH liegt. Die (nachgewiesene) Einhaltung harmonisierter Normen führt aber zu einer Konformitätsvermutung mit dem Hochrisiko-KI-Pflichtenkatalog (Art. 40 Abs. 1 KI-VO). In der Praxis gehe umgekehrt die Tendenz der Marktüberwachungsbehörden dahin, die Nichteinhaltung harmonisierter Normen als Indiz für fehlende Konformität zu sehen. Leitlinien seien ein wichtiges Indiz für Konformität und die Einhaltung beim Erlass von Sanktionen zu berücksichtigen. Praxisleitfäden können durch eine Genehmigung (Art. 56 Abs. 6 UA 2 KI-VO) EU-weite Gültigkeit erlangen, wobei die Befolgung bis zur Veröffentlichung harmonisierter Normen als Nachweis der Einhaltung der KI-VO-Pflichten dient. Von Appen wies darauf hin, dass bislang nur ein kleiner Teil der Normen veröffentlicht ist; viele Normen werden erst Anfang 2026 erwartet. Die entsprechenden Regelungen der KI-VO werden aber bereits im August 2026 verbindlich werden. Insoweit haben Unternehmen nach Erlass nur wenige Monate Zeit, um sie umzusetzen – eine der praktischen Herausforderungen.
Für die Compliance in Unternehmen bedeute dies etwa die Notwendigkeit risikobasierter AI-Governance- und -Compliance-Strukturen oder die Einbindung der Standards auf jeder Prozessebene. Damit verbunden sei ein erheblicher Mehraufwand für Compliance-Abteilungen wg. der Komplexität und Anzahl der Softlaw-Komponenten.
Autor: RA Dominik Hartl (OSE; CSW Rechtsanwälte Partnerschaft mbB, München)