Technologie-, KI- und Datenschutzrecht

Die Angelegenheiten, die wir im Rahmen des türkischen Datenschutzgesetzes Nr. 6698 (KVKK), des Gesetzes Nr. 5651 über die Regelung von Veröffentlichungen im Internet und der Bestimmungen des Türkischen Strafgesetzbuchs Nr. 5237 (TCK) zur Cyberkriminalität bearbeiten:

• Compliance-Arbeiten nach dem türkischen Datenschutzrecht und der DSGVO, Datenverzeichnisse und Erstellung von Richtlinien
• Datenschutzhinweise, Verfahren zur ausdrücklichen Einwilligung und Cookie-Richtlinien
• Vereinbarungen zwischen Verantwortlichen und Auftragsverarbeitern sowie Pflichten zur Eintragung in das Register der Verantwortlichen
• Übermittlung personenbezogener Daten ins Ausland und die hierfür verfügbaren rechtlichen Mechanismen
• Beschäftigtendaten, Personalakten und Kameraaufzeichnungen am Arbeitsplatz
• Gesundheitsdaten, biometrische Daten und besondere Kategorien personenbezogener Daten
• Meldung von Datenschutzverletzungen, Management von Datenpannen und Klagen auf Aufhebung von Beschlüssen der Datenschutzbehörde
• Schadensersatzansprüche aus der rechtswidrigen Verarbeitung personenbezogener Daten
• Unbefugter Zugriff auf Informationssysteme, rechtswidrige Erlangung von Daten und Straftaten im Zusammenhang mit Bankkarten
• Über das Internet begangene Beleidigung, Bedrohung und Erpressung
• Anträge auf Inhaltsentfernung, Zugangssperrung und Durchsetzung des Rechts auf Vergessenwerden
• Kompromittierte Social-Media-Konten und Verfahren zur Sicherung digitaler Beweise
• Softwareentwicklungs-, Wartungs-, Cloud-Computing- und Service-Level-Vereinbarungen
• Haftung, Datennutzung und Transparenzpflichten bei Anwendungen künstlicher Intelligenz
• Streitigkeiten im elektronischen Geschäftsverkehr sowie zu elektronischen Signaturen und elektronischen Verträgen
• Cybersicherheitspflichten und Vorfallmanagement nach einem Cyberangriff
• Haftung digitaler Plattformen und Beziehungen zwischen Plattformen und Nutzern
• Gaming- und E-Sport-Recht; Streitigkeiten über digitale Inhalte und virtuelle Gegenstände
• Direktmarketing, kommerzielle elektronische Nachrichten und damit verbundene Pflichten
• Haftung bei algorithmischer Entscheidungsfindung und ausschließlich automatisierter Verarbeitung
• Rechtliche Bewertung von Kryptowerten und blockchainbasierten Anwendungen

In unserer Tätigkeit auf diesem Gebiet wird vor allem das Gesetz Nr. 6698 über den Schutz personenbezogener Daten berücksichtigt, zusammen mit den Vorschriften über Veröffentlichungen im Internet, den elektronischen Geschäftsverkehr, elektronische Signaturen, Cyberkriminalität, Cybersicherheit, das Verbraucherrecht und das geistige Eigentum. Das rechtliche Risiko entsteht in diesem Bereich häufig aus der Lücke zwischen schriftlichen Richtlinien und der tatsächlichen Praxis; aus diesem Grund werden die Prozesse nicht nur anhand von Verträgen und Richtlinientexten, sondern auch anhand des Geschäftsmodells, der technischen Infrastruktur, der Nutzerabläufe und der tatsächlichen Datenflüsse bewertet.

Im Rahmen der Datenschutz-Compliance werden die Prozesse in den Bereichen Personalwesen, Vertrieb, Marketing, Buchhaltung, Callcenter, Kameraüberwachung, mobile Anwendungen, Website, Lieferantenmanagement und IT gesondert untersucht. Die verarbeiteten personenbezogenen Daten, die Rechtsgrundlage der Verarbeitung, die Aufbewahrungsfristen, die Zugriffsberechtigungen, die Empfängergruppen und die Übermittlungskanäle ins Ausland werden ermittelt; bei registrierungspflichtigen Verantwortlichen wird zudem die Übereinstimmung zwischen der Meldung an das türkische Register der Verantwortlichen (VERBİS) und den tatsächlichen Verarbeitungstätigkeiten überprüft.

Datenschutzhinweise und Verfahren zur ausdrücklichen Einwilligung werden gezielt für Beschäftigte, Bewerber, Kunden, Besucher, Kamerasysteme, Cookies, mobile Anwendungen, Kampagnen und Lieferanten erstellt. Die Informationspflicht und die ausdrückliche Einwilligung sind nicht derselbe Vorgang; die ausdrückliche Einwilligung kommt nur dann in Betracht, wenn keine andere gesetzlich vorgesehene Verarbeitungsbedingung vorliegt. Anträge betroffener Personen auf Auskunft, Berichtigung oder Löschung werden im Einzelfall geprüft, damit sie fristgerecht und nachweisbar beantwortet werden können.

Bei der Verarbeitung von Beschäftigtendaten werden dienstliche E-Mails, die Internetnutzung, Standortdaten, Leistungsdaten, Ein- und Ausgangsaufzeichnungen, biometrische Daten und Kameraaufzeichnungen im Hinblick auf Zweck, Erforderlichkeit, Verhältnismäßigkeit und vorherige Information bewertet. Werden Cloud-, CRM-, Personal-, Analyse- oder KI-Dienste genutzt, wird festgestellt, ob personenbezogene Daten ins Ausland übermittelt werden und auf welchen rechtlichen Mechanismus sich die Übermittlung stützt; die Lieferantenverträge werden im Hinblick auf die Meldung von Verletzungen, Unterauftragsverarbeiter, Prüfrechte, Löschung und Haftungsverteilung geprüft.

Verträge über Softwareentwicklung, Lizenzen, SaaS, Wartung, Hosting, APIs und digitale Plattformen, unternehmensinterne Richtlinien zur Nutzung künstlicher Intelligenz, die rechtliche Bewertung von Projekten auf Basis von Kryptowerten und Blockchain, kommerzielle elektronische Nachrichten sowie Angelegenheiten der Inhaltsentfernung, Zugangssperrung, Kontoübernahme und Cyberkriminalität fallen ebenfalls in unser Tätigkeitsfeld.

Zu den in der Praxis am häufigsten anzutreffenden Fällen gehören eine Datenschutz-Compliance, die sich auf einen Datenschutzhinweis auf der Website beschränkt, unnötig eingeholte oder in einem einzigen Zustimmungsfeld gebündelte ausdrückliche Einwilligungen, Cloud-Dienste, die entgegen den Angaben der Unternehmensrichtlinie Daten ins Ausland übermitteln, sowie Kamerasysteme, die aus Sicherheitsgründen installiert, jedoch zur ständigen Überwachung der Beschäftigten genutzt werden.

Datenschutzverletzungen können durch eine an den falschen Empfänger gesendete E-Mail, ein verlorenes Gerät, ein kompromittiertes Nutzerkonto, Ransomware, eine offen im Internet zugängliche Datenbank oder den fortbestehenden Systemzugang eines ehemaligen Mitarbeiters entstehen. Nicht jeder technische Vorfall hat dieselbe rechtliche Folge; ebenso unzutreffend ist es jedoch, ohne Untersuchung davon auszugehen, dass keine Daten abgeflossen sind. Protokolldaten müssen gesichert, die betroffenen Systeme und Datengruppen ermittelt und das Datum, an dem der Vorfall entdeckt wurde, festgehalten werden.

Beim Einsatz künstlicher Intelligenz entbindet der Umstand, dass ein Werkzeug extern beschafft oder über einen öffentlich zugänglichen Dienst betrieben wird, das nutzende Unternehmen nicht von seiner Verantwortung. Systeme, die bei der Personalgewinnung, der Kundenbewertung, in der Werbung, bei der Erstellung von Inhalten oder zur Entscheidungsunterstützung eingesetzt werden, werden gemeinsam unter den Gesichtspunkten personenbezogener Daten, Diskriminierung, Verbraucherrecht, geistiges Eigentum, Geschäftsgeheimnisse und vertragliche Haftung bewertet.

Bleiben in Technologieverträgen Abnahmetests, Service-Level, die Haftung für Ausfälle, Datenverlust, Quellcode, Rechte des geistigen Eigentums und der Datenzugang nach Vertragsbeendigung ungeregelt, kann dies zu erheblichen Streitigkeiten führen. Bei Kontoübernahmen, gefälschten Profilen, unbefugter Bildverwendung, Online-Betrug oder Angelegenheiten des geschäftlichen Ansehens hat die Beweissicherung Vorrang, da Inhalte gelöscht werden können und Plattformaufzeichnungen mit der Zeit schwerer zu erlangen sind.

Das Verfahren beginnt damit, zu verstehen, wie der Vorfall oder das System tatsächlich funktioniert, bevor die Rechtstexte herangezogen werden. Die eingesetzte Software, Datenquellen, Lieferanten, Verträge, Bildschirmfotos, Zugriffsaufzeichnungen, Protokolle, der Schriftverkehr zu Anträgen und die Zeitpunkte der Ereignisse werden gemeinsam geprüft.

Anschließend werden die anwendbaren Rechtsvorschriften, die kritischen Fristen, die verfügbaren Beweismittel und die Verantwortlichkeiten der Beteiligten bestimmt. In Compliance-Projekten wird ein umsetzbarer Maßnahmenplan erstellt, der das Datenverzeichnis, die Datenschutzhinweise, die Aufbewahrungs- und Zugriffsregeln, die Lieferantenverträge und die Übermittlungsmechanismen umfasst, damit die Compliance in der Praxis und nicht nur auf dem Papier umgesetzt wird.

Im Fall einer Datenschutzverletzung oder eines Cybervorfalls wird die Koordination mit dem technischen Team, dem IT-Forensiker, dem Versicherer und der Kommunikationsabteilung hergestellt. Die Beweissicherung, die Vorbereitung der Meldetexte, die Information der betroffenen Personen und die Dokumentation der nach dem Vorfall ergriffenen Abhilfemaßnahmen erfolgen in diesem Rahmen.

In Streitigkeiten werden Verwaltungsanträge, Klagen, Strafanzeigen, Anträge auf Inhaltsentfernung und Zugangssperrung, Mahnschreiben, die Beweissicherung und Schadensersatzansprüche gesondert bewertet, da jeder Rechtsbehelf unterschiedlichen Voraussetzungen unterliegt und einem anderen Zweck dient. Die Mandantschaft wird regelmäßig über die Verfahrensstadien, die möglichen Risiken und die in Betracht kommenden Rechtsbehelfe informiert.