Die Datenschutzkommission (DPC) gab heute bekannt, dass sie eine grenzüberschreitende[1] gesetzliche Untersuchung gegen Google Ireland Limited (Google) gemäß Abschnitt 110 des Datenschutzgesetzes 2018 eingeleitet hat. Die gesetzliche Untersuchung betrifft die Frage, ob Google seinen möglicherweise bestehenden Verpflichtungen nachgekommen ist, eine Bewertung gemäß Artikel 35[2] der Datenschutz-Grundverordnung (Datenschutz-Folgenabschätzung) vorzunehmen, bevor es mit der Verarbeitung der personenbezogenen Daten von EU-/EWR-Datensubjekten im Zusammenhang mit der Entwicklung seines grundlegenden KI-Modells, Pathways Language Model 2 (PaLM 2), begonnen hat.
Eine Datenschutz-Folgenabschätzung (DPIA)[3] ist, sofern erforderlich, von entscheidender Bedeutung, um sicherzustellen, dass die Grundrechte und -freiheiten des Einzelnen angemessen berücksichtigt und geschützt werden, wenn die Verarbeitung personenbezogener Daten wahrscheinlich ein hohes Risiko mit sich bringt.
Diese gesetzliche Untersuchung ist Teil der umfassenderen Bemühungen des DPC, in Zusammenarbeit mit seinen EU/EWR-Partnerregulierungsbehörden die Verarbeitung personenbezogener Daten von betroffenen Personen aus der EU/dem EWR bei der Entwicklung von KI-Modellen und -Systemen zu regulieren.
[1] Grenzüberschreitende Verarbeitung bedeutet entweder:
Verarbeitung personenbezogener Daten, die im Rahmen der Aktivitäten von Niederlassungen eines Verantwortlichen oder Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat stattfindet, wenn der Verantwortliche oder Auftragsverarbeiter in mehr als einem Mitgliedstaat ansässig ist; oder
Verarbeitung personenbezogener Daten, die im Rahmen der Aktivitäten einer einzigen Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der Union stattfindet, die jedoch erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann.
[2] Artikel 35 der Datenschutz-Grundverordnung (DSGVO) sieht vor, dass eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist, wenn eine Art der Verarbeitung, insbesondere unter Verwendung neuer Technologien, und unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Eine DPIA-Bewertung ist ein wichtiger Prozess zum Aufbau und Nachweis der Compliance, der sicherstellt, dass die für die Datenverarbeitung Verantwortlichen alle Datenschutzrisiken erkennen und mindern, die sich aus einer Art der Verarbeitung ergeben, die ein hohes Risiko birgt. Sie soll unter anderem sicherstellen, dass die Verarbeitung notwendig und verhältnismäßig ist und dass angesichts der Risiken angemessene Sicherheitsvorkehrungen getroffen wurden.
[3] Weitere Informationen zu den DPIA-Anforderungen finden Sie auf unserer Anleitungsseite: Kennen Sie Ihre Verpflichtungen – Datenschutz-Folgenabschätzungen.