Gewinne:
- Die Gemeinsamkeiten und Unterschiede zwischen DSGVO und KVKK erkennen
- Schutz vor automatisierten Entscheidungen und Durchsetzung des Rechts auf menschliches Eingreifen (Artikel 22 DSGVO)
- Im Wissen, dass die grenzüberschreitende Datenübertragung angemessene Sicherungs- und Auswahlmechanismen erfordert
Warum muss ein türkisches Unternehmen auch das europäische Datenschutzrecht (DSGVO) kennen? Denn die DSGVO bindet nicht nur Unternehmen mit Sitz in der EU, sondern jedes Unternehmen, das Waren/Dienstleistungen für Menschen in der EU bereitstellt oder deren Verhalten überwacht. Darüber hinaus werden in der DSGVO zwei Kernthemen des KI-Einsatzes klar zum Ausdruck gebracht: automatisierte Entscheidungen und grenzüberschreitende Datenübertragung. In dieser Einheit vergleichen wir DSGVO und KVKK, erfahren, was DSGVO Artikel 22 für KI bedeutet und welche Regeln für den Betrieb von Daten auf einem KI-Server im Ausland gelten.
DSGVO und KVKK: Geschwister, aber nicht dasselbe
Die DSGVO (Datenschutz-Grundverordnung) ist die Datenschutzverordnung der EU, die 2018 in Kraft trat. KVKK orientiert sich weitgehend an der DSGVO; Daher sind die meisten Konzepte üblich. Es gibt aber auch Unterschiede.
Betreff
KVKK
DSGVO
Quelle
Gesetz Nr. 6698 (Türkiye)
EU-Verordnung
geografischen Geltungsbereich
Verarbeitung in der Türkei
Service/Tracking für Personen in der EU
Recht auf automatische Entscheidung
Widerspruchsrecht im Gesetz 11
Ausdrücklicher Schutz in Artikel 22
Verwaltungsstrafe
Im Gesetz festgelegte Beträge
Bis zu 4 % des weltweiten Jahresumsatzes
Datenschutzbeauftragter (DSB)
begrenzte Verpflichtung
In bestimmten Fällen obligatorisch
Grenzüberschreitende Überweisung
Angemessene Zusicherung/ausdrückliche Einwilligung
Angemessenheitsbeschluss/geeignete Schutzmaßnahmen
Tipp: Wenn Sie eine Verarbeitung durchführen, die sowohl der KVKK als auch der DSGVO unterliegt, sind Sie mit der Einhaltung der strengeren Regel in der Regel in beiden Fällen auf der sicheren Seite. Anstatt die beiden Texte getrennt zu verwalten, ist ein „höchster Maßstab“-Ansatz praktisch und vertretbar.
Artikel 22: Schutz vor Entscheidungen, die ausschließlich von der Maschine getroffen werden
Die kritischste Bestimmung der DSGVO in Bezug auf KI ist Artikel 22. Ihr Kern lautet: Eine Person hat das Recht, nicht einer Entscheidung unterworfen zu werden, die sie rechtlich oder in ähnlicher Weise erheblich beeinträchtigt und die ausschließlich auf automatisierter Verarbeitung (d. h. vollständig auf KI, ohne menschliches Eingreifen) beruht. Beispiele: Ein Kreditantrag wird vom Algorithmus vollständig abgelehnt, ein Kandidat wird völlig automatisch ausgeschlossen.
Es gibt Ausnahmen von diesem Recht (falls für einen Vertrag erforderlich, bei Vorliegen einer ausdrücklichen Einwilligung usw.), aber auch im Ausnahmefall sollten der Person mindestens die folgenden Garantien gegeben werden:
- Das Recht, menschliches Eingreifen zu verlangen (die Entscheidung von einem Menschen überprüfen zu lassen).
- Das Recht, Ihre Meinung zu äußern.
- Das Recht, gegen die Entscheidung Berufung einzulegen.
- Aussagekräftige Informationen über die Begründung der Entscheidung (Transparenz).
In der Praxis bedeutet das: KI zum alleinigen Entscheidungsträger für Entscheidungen zu machen, die die Person erheblich betreffen; Bauen Sie immer einen echten menschlichen Genehmigungs-/Überprüfungsschritt ein.
drei Mini-Koffer
Fall 1 – Vollständig automatische Ablehnung. Ein Fintech-Unternehmen lehnt Kreditanträge mit einem KI-Score gänzlich ab; Die Leute schauen nie hin. Ein Bewerber fragt nach dem Grund für die Ablehnung und bittet um eine menschliche Überprüfung. Gemäß Artikel 22 muss das Unternehmen dieser Aufforderung nachkommen, die Entscheidung von einem Menschen überprüfen lassen und die Logik sinnvoll erläutern. Das richtige Design: KI zu einem „Entscheidungsempfehlungsgeber“ machen und für negative Entscheidungen die Zustimmung des Menschen einfordern.
Fall 2 – Auslandstransferrisiko. Ein Istanbuler Unternehmen fasst EU-Kundensupportanfragen mit einem KI-Tool im Ausland zusammen. Dies ist sowohl im Sinne der DSGVO als auch der KVKK eine grenzüberschreitende Übertragung. Das Unternehmen ist sich bewusst, dass es über keinen geeigneten Übertragungsmechanismus verfügt (siehe unten) und fügt der Datenverarbeitungsvereinbarung Standardvertragsklauseln hinzu und aktualisiert die Offenlegung gegenüber Kunden.
Fall 3 – Einhaltung des Vollbalkens. Ein türkisches Softwareunternehmen, das seine Kunden in Deutschland bedient, unterliegt sowohl der KVKK als auch der DSGVO. Anstatt die beiden Texte separat zu verwalten, baut das Team auf den strengeren Anforderungen der DSGVO auf: führt Datenschutz-Folgenabschätzung durch, sorgt für klare Beleuchtung, gewährleistet menschliche Aufsicht. Somit ist es in beiden Gerichtsbarkeiten mit einem einzigen Compliance-Framework sicher.
Grenzüberschreitender Datentransfer
Bei der grenzüberschreitenden Übermittlung handelt es sich um die Übermittlung personenbezogener Daten in ein anderes Land (z. B. an den ausländischen Server des KI-Anbieters). Daten können nicht willkürlich übertragen werden; Ein geeigneter Mechanismus ist erforderlich:
Mechanismus
kurz
Qualifikationsentscheidung
Offizielle Anerkennung, dass das Zielland angemessenen Schutz bietet
Angemessene Schutzmaßnahmen
Standardvertragsklauseln, verbindliche Unternehmensregeln, Verpflichtungserklärung
Ausdrückliche Zustimmung/Ausnahme
In bestimmten Fällen erfolgt die ausdrückliche Einwilligung der Person nach Aufklärung
Der in der Praxis am häufigsten eingesetzte Einsatz von KI besteht darin, Standardvertragsklauseln in den mit dem Anbieter abgeschlossenen Datenverarbeitungsvertrag aufzunehmen und transparent zu dokumentieren, wo Daten verarbeitet werden.
Achtung: Mit der Aussage „Ich habe die Daten verschlüsselt, sie sind jetzt sicher“ entfällt die Übertragungspflicht nicht. Verschlüsselung ist eine gute Sicherheitsmaßnahme, aber nicht der einzige legale Übertragungsmechanismus. Die Weitergabe bedarf zudem einer entsprechenden vertraglichen/rechtlichen Grundlage.
Kopierbare Vorlagen
VORLAGE 1 – Artikel-22-Prüfung: „Bewerten Sie den folgenden KI-gestützten Entscheidungsprozess: [Beschreiben Sie den Prozess]. Hat diese Entscheidung „erhebliche“ Auswirkungen auf die Person und wird sie „nur automatisch“ getroffen? Fällt sie in den Anwendungsbereich von Artikel 22 DSGVO? Wenn ja, welche Schutzmaßnahmen (menschliches Eingreifen, Einspruch, Erklärung) sollte ich einbeziehen, schreiben Sie Klausel für Klausel auf.“
VORLAGE 2 – Wahl des Übertragungsmechanismus: „Ich werde personenbezogene Daten auf dem ausländischen Server des folgenden KI-Tools verarbeiten: [Tool und Daten beschreiben]. Handelt es sich um eine grenzüberschreitende Übertragung? Bewerten Sie geeignete Übertragungsmechanismen (Angemessenheitsentscheidung, Standardvertragsklauseln, ausdrückliche Zustimmung) entsprechend meiner Situation. Wenden Sie sich für die endgültige Entscheidung an das Gesetz; vergleichen Sie einfach die Optionen.“
VORLAGE 3 – Design des menschlichen Überprüfungsschritts: „Entwerfen Sie einen ‚menschlichen Überprüfungsschritt‘ für den folgenden automatisierten Entscheidungsprozess: [Beschreiben Sie den Prozess]. Welche Entscheidungen sollten an den Menschen gerichtet werden (z. B. negative Ergebnisse), was sollte der Mensch überprüfen, wie sollte der Einwand aufgezeichnet werden? Schreiben Sie den Ablauf Schritt für Schritt auf.“
VORLAGE 4 – KVKK/DSGVO-Lückenanalyse: „Vergleichen Sie die KVKK- und DSGVO-Verpflichtungen für die folgende Verarbeitung nebeneinander: [Beschreiben Sie die Verarbeitung]. Zeigen Sie in jeder Zeile „Was sagt KVKK / was sagt DSGVO / was ist strenger“ an und fügen Sie einen Vorschlag hinzu: „Was sollte ich tun, um die strengste Norm einzuhalten?“
Schwache Eingabeaufforderung / Starke Eingabeaufforderung
SCHWACH: „Ist dieses KI-Kreditsystem legal?“ -> Das Modell gibt eine vage, allgemeine „Es kommt darauf an“-Antwort; Artikel 22 und Übertragungsdimensionen werden nicht bewertet. GÜÇLÜ: „Für EU-Kunden etablieren wir ein System, das Kreditanträge mit einem KI-Score bewertet; die Daten werden im Ausland verarbeitet. (1) Welche Garantien sollten wir im Sinne von Artikel 22 DSGVO hinzufügen, (2) Welcher Mechanismus ist für die grenzüberschreitende Übertragung erforderlich? Markieren Sie, wo Sie sich nicht sicher sind.“ -> Das Modell befasst sich auf anwendbare Weise getrennt mit zwei kritischen Dimensionen.
Häufige Fehler
- Denken: „Wir sind ein türkisches Unternehmen, die DSGVO geht uns nichts an“; in der Erwägung, dass die Bereitstellung von Dienstleistungen für die Menschen in der EU ausreichend ist.
- Die Entscheidung, die die Person erheblich betrifft, wird vollständig der KI überlassen und erfordert keine menschliche Überprüfung.
- Umgehung der Schutzmaßnahmen gemäß Artikel 22 (menschliches Eingreifen, Einspruch, Offenlegung).
- Der Transfermechanismus (Vertragsbedingungen) ist bei der Verwendung eines KI-Tools im Ausland überhaupt nicht festgelegt.
- Verschlüsselung als legalen Übertragungsmechanismus verwechseln.
- KVKK und DSGVO getrennt verwalten und in Widerspruch geraten; wohingegen der strengste Balkenansatz einfacher ist.
- Die Übertragung und die automatische Entscheidungslogik werden im Klarstellungstext nicht widergespiegelt.
Zusammenfassend
- Die DSGVO verpflichtet auch türkische Unternehmen, die Dienstleistungen für Menschen in der EU erbringen; Es überschneidet sich weitgehend mit KVKK, kann jedoch strenger sein.
- Artikel 22 schützt vor Entscheidungen, die die Person erheblich beeinträchtigen und ausschließlich automatisch getroffen werden; Es bringt das Recht auf menschliches Eingreifen, Einspruch und Erklärung mit sich.
- KI-Entscheidungen, die sich auf eine Person auswirken, sollten immer einen echten menschlichen Überprüfungsschritt haben.
- Bei der Verarbeitung von Daten auf einem ausländischen KI-Server handelt es sich um eine grenzüberschreitende Übertragung; Es bedarf eines geeigneten Mechanismus (meist Standardvertragsklauseln).
- Wenn Sie sowohl durch die KVKK als auch durch die DSGVO abgedeckt sind, ist die Einhaltung der strengsten Norm der praktischste und sicherste Weg.
Anwendungsaufgabe
Wählen Sie eine KI, mit der Ihre Organisation die Daten der EU-Bürger nutzt. Prüfen Sie zunächst, ob diese Nutzung in den Anwendungsbereich von Artikel 22 DSGVO fällt; Wenn ja, setzen Sie die vier hinzuzufügenden Zusicherungen (menschliches Eingreifen, Meinung, Einwand, Erklärung) in konkrete Schritte um. Stellen Sie dann fest, ob es sich bei dieser Nutzung um eine grenzüberschreitende Übertragung handelt, und wählen Sie vor Ort den geeigneten Übertragungsmechanismus aus. Erstellen Sie abschließend eine kurze Tabelle mit Unterschieden, in der die KVKK- und DSGVO-Verpflichtungen für die gleiche Verwendung gegenübergestellt werden, und notieren Sie die drei Schritte, die Sie unternehmen werden, um „die strengsten Maßstäbe einzuhalten“.
Checkliste
- [ ] Ich habe festgestellt, ob die Nutzung in den Geltungsbereich der DSGVO fällt.
- [ ] Ich habe die Artikel-22-Prüfung durchgeführt und die notwendigen Schutzmaßnahmen entworfen.
- [ ] Ich habe Entscheidungen, die die Person betreffen, um einen menschlichen Überprüfungsschritt erweitert.
- [ ] Ich habe festgestellt, ob eine grenzüberschreitende Übertragung vorliegt.
- [ ] Ich habe den geeigneten Übertragungsmechanismus ausgewählt und dokumentiert.
- [ ] Ich habe die KVKK/GDPR-Unterschiedsanalyse durchgeführt und die strengsten Maßstäbe gesetzt.
- [ ] Ich habe die automatische Entscheidung und Übertragung im Beleuchtungstext reflektiert.