Europas Dritter Weg: Die EU-Architektur für eine sichere und faire Digitalisierung

Der Regulierungsrahmen der EU zur Digitalisierungsstrategie

Einleitung

Das Internet, einst als grenzenloser Raum der Freiheit und der unbegrenzten Möglichkeiten gefeiert, hat in den letzten zwei Jahrzehnten sein Gesicht gewandelt. Aus der Utopie einer uneingeschränkt globalen Vernetzung ist eine Arena harter geopolitischer Interessen, ökonomischer Monopole und neuer Sicherheitsrisiken geworden. Die Zeit des digitalen “Laissez-faire“, in der sich Technologie schneller entwickelte als die Demokratie reagieren konnte, neigt sich dem Ende zu. Nirgendwo auf der Welt wird dieser Paradigmenwechsel so konsequent vollzogen wie in der Europäischen Union.

Was Kritiker oft als bürokratische „Regulierungswut“ oder ökonomischer “Bremsklotz” bezeichnen, ist bei genauer Betrachtung der historisch notwendige Versuch, die staatliche und bürgerliche Souveränität im digitalen Raum zurückzugewinnen. Die EU hat erkannt, dass Daten ein fruchtbarer Nährboden sind, auf dem gesellschaftlicher Einfluss, wirtschaftliche Dominanz und nationale Sicherheit gedeihen. Daher schafft Brüssel einen Referenzstandard aus Verordnungen und Richtlinien, der von der Datenschutz-Grundverordnung (DSGVO) bis zur KI-Verordnung (AI Act) reicht, um im globalen Wettbewerb mit den USA und China seine Ziele zu erreichen.

 

Der Dritte Weg: Digitaler Humanismus zwischen Silicon Valley und Staatskapitalismus

Um die aktuelle Flut an Rechtsakten zu verstehen, muss man den Blick auf die globalen Pole richten. Auf der einen Seite steht das US-amerikanische Modell, geprägt vom „Silicon Valley“-Ethos: Maximale Freiheit für Märkte, „Move fast and break things“ und eine Dominanz privater Plattformen, die faktisch die Regeln der öffentlichen Kommunikation diktieren. Auf der anderen Seite steht das Modell des digitalen “Staatskapitalismus” der Kommunistischen Partei Chinas, in dem Technologie primär der sozialen Kontrolle und staatlichen Sicherheitsinteressen dient.

Europa hat sich entschieden, keinem dieser Modelle zu folgen. Die Strategie der EU-Kommission zielt auf einen „Dritten Weg“, den des Digitalen Humanismus, ab. Die Grundthese lautet, dass Technologie dem Menschen dienen muss und nicht umgekehrt. In ihrer Agenda für ein Europa, das fit für das digitale Zeitalter ist, definiert die Kommission Regulierungen nicht als Innovationsbremse, sondern als vertrauensbildende Maßnahme. Nur wenn Bürger und Unternehmen darauf vertrauen können, dass ihre Daten sicher sind, Algorithmen nicht diskriminieren und Infrastrukturen nicht ausfallen, werden sie diese Technologien auch verinnerlichen.¹

 

Von der Abwehr zur Gestaltung: Der Wandel der Rechtsarchitektur

Lange Zeit galt die Datenschutz-Grundverordnung (DSGVO) als der einsame Leuchtturm der EU-Digitalpolitik. Sie war ein Schutzschild, konzipiert, um die Privatsphäre des Einzelnen gegen den Datenhunger der Marketingabteilungen und der Werbeindustrie zu verteidigen. Doch die Realität der 2020er Jahre erforderte ein Umdenken. Ein Schutzschild allein reicht nicht, wenn die Infrastruktur selbst angegriffen wird oder wenn wenige Gatekeeper den Marktzugang kontrollieren. Daher hat die EU ihre Strategie erweitert. Es geht nicht mehr nur um Schutz (Protection), sondern um Ordnung (Governance) und Resilienz (Security). Man kann die neuen Gesetze als Bausteine einer einzigen großen Architektur betrachten, die drei fundamentale Defizite des digitalen Marktes korrigieren soll.

 

Das Sicherheitsdefizit und Schutz der Grundrechte

Die DSGVO bildete das historische Fundament dieser Architektur, indem sie den Schutz der Privatsphäre und die Hoheit über personenbezogene Daten als unumstößliches Grundrecht verankerte. Doch dieses Recht auf informationelle Selbstbestimmung bleibt theoretisch, wenn die IT-Infrastrukturen angreifbar sind. Mit der zunehmenden Vernetzung schutzbedürftiger Infrastrukturen, wie etwa Gesundheitseinrichtungen, Energienetzen und Finanzsystemen, ist Cybersicherheit zu einer Frage der nationalen Sicherheit geworden. Als Reaktion auf bestehende Bedrohungen setzt die EU auf ein Trio konsequenter rechtlicher Sicherheitsmaßnahmen. Die NIS-2-Richtlinie zwingt Betreiber kritischer Infrastrukturen zu professionellem Risikomanagement. Der Cyber Resilience Act (CRA) dreht die Logik um und nimmt erstmals die Hersteller von Hard- und Software in die Pflicht, Sicherheit schon im Design zu verankern. Ergänzt wird dies durch den Digital Operational Resilience Act (DORA), der speziell den Finanzsektor gegen digitale Störfaktoren abhärtet.²

 

Das Wettbewerbsdefizit

Da die digitale Ökonomie zur Bildung von Monopolen tendiert, haben Netzwerkeffekte dazu geführt, dass wenige US-Konzerne de facto als Gatekeeper fungieren. Wer nicht im App-Store gelistet ist oder im Suchranking auftaucht, existiert ökonomisch nicht. Hier greifen der Digital Markets Act (DMA) und der Digital Services Act (DSA) ein. Während der DMA den Wettbewerb durch das Aufbrechen von Monopolstrukturen wiederbeleben soll, verpflichtet der DSA die Plattformen zur Übernahme gesellschaftlicher Verantwortung, wie etwa im Kampf gegen Desinformation und Hassrede.³ Es ist der Versuch, das Grundgesetz auch im digitalen Raum durchzusetzen: „Denn was offline illegal ist, muss auch online illegal sein”.⁴

 

Das Innovationsdefizit

Europa hat den ersten Lauf der Digitalisierung (Consumer Internet, Social Media) weitgehend an die USA verloren. Im zweiten Lauf, dem industriellen Internet der Dinge (IoT) und der Künstlichen Intelligenz, will Europa die Führung übernehmen. Daher sollen der Data Act und der Data Governance Act (DGA) die Silos aufbrechen, in denen Maschinendaten heute oft gefangen sind, um einen fairen europäischen Binnenmarkt für Daten zu schaffen. Gleichzeitig setzt der AI Act weltweit den ersten rechtlichen Rahmen für Künstliche Intelligenz, um Innovation zu ermöglichen, ohne aber ethische Grundsätze zu opfern.⁵

 

Das „Fundament“ der europäischen Digitalregulierung

Die fortschreitende Digitalisierung erfordert eine verlässliche und robuste rechtliche Basis, auf der Unternehmen ihre innovativen Geschäftsmodelle und Datennutzungskonzepte sicher aufbauen können. Dieses „Fundament“ des europäischen Compliance-Architektur besteht aus vier zentralen rechtlichen Regelwerken (DSGVO, NIS-2, CRA und DORA), die gemeinsam den essentiellen Basisschutz für Daten, IT-Infrastrukturen und digitale Produkte gewährleisten. Nur wenn der Schutz der individuellen Privatsphäre, die organisatorische Abwehrbereitschaft gegen Cyberbedrohungen und die technische Sicherheit der eingesetzten Hard- und Software lückenlos ineinandergreifen, entsteht eine widerstandsfähige und tragfähige Grundlage, um die darauf aufbauenden, komplexeren Regulierungen der europäischen Digitalstrategie erfolgreich zu meistern.⁶

 

Die DSGVO als Grundstein des Datenschutzes

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) bildet das rechtliche Fundament für den Schutz personenbezogener Daten innerhalb der Europäischen Union. Ihr Hauptziel ist die Wahrung der Grundrechte und der Privatsphäre natürlicher Personen bei der Datenverarbeitung. Zentrale Prinzipien wie Datenminimierung, Zweckbindung und Transparenz sind in Artikel 5 verankert. Zudem verpflichtet Artikel 32 alle verarbeitenden Unternehmen dazu, durch angemessene technische und organisatorische Maßnahmen ein hohes Sicherheitsniveau bei der Verarbeitung dieser Daten zu gewährleisten. Die Datenschutz-Grundverordnung trat formell bereits am 24. Mai 2016 in Kraft. Um den Unternehmen, Behörden und Organisationen ausreichend Zeit für die teilweise massiven rechtlichen und technischen Umstellungen zu geben, wurde eine zweijährige Übergangsphase gewährt. Seit dem Stichtag am 25. Mai 2018 ist das Gesetz in der gesamten Europäischen Union unmittelbar, vollumfänglich und rechtlich bindend anwendbar.⁷

 

NIS-2 und die Resilienz von Organisationen

Mit der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) weitet die EU den Fokus auf die allgemeine Netz- und Informationssicherheit von kritischen und wichtigen Einrichtungen aus. Die Regelung verpflichtet Organisationen in Artikel 21 zu einem professionellen und umfassenden Risikomanagement im Bereich der Cybersicherheit, wofür die Geschäftsleitung nach Artikel 20 explizit die Verantwortung trägt. Flankiert werden diese Präventivmaßnahmen durch strenge Meldepflichten gemäß Artikel 23, die vorschreiben, dass erhebliche Sicherheitsvorfälle innerhalb sehr enger Fristen an die zuständigen nationalen Behörden gemeldet werden müssen. Da es sich bei NIS-2 um eine EU-Richtlinie handelt, wirkt sie nicht direkt, sondern muss in nationale Gesetze gegossen werden. Sie trat auf EU-Ebene am 16. Januar 2023 in Kraft. Die nationalen Gesetzgeber der Mitgliedstaaten hatten anschließend, gemäß Artikel 41, eine verbindliche Umsetzungsfrist bis zum 17. Oktober 2024, um die Vorgaben in lokales Recht zu überführen. Ab diesem Datum müssen betroffene Unternehmen die neuen Cybersicherheits- und Meldepflichten in der Praxis erfüllen.⁸

 

Der Cyber Resilience Act (CRA) für sichere Produkte

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) nimmt erstmals gezielt die Hersteller von Produkten mit digitalen Elementen, also Hard- und Software, in die Pflicht. Der Fokus liegt hierbei auf dem Prinzip der eingebauten Sicherheit („Security by Design“), wodurch wesentliche Sicherheitsanforderungen bereits bei der Entwicklung und Produktion eingehalten werden müssen, was im Anhang I der Verordnung detailliert definiert ist. Zusätzlich verlangt die Verordnung in Artikel 10 und 13, dass Hersteller über den gesamten Lebenszyklus des Produkts, beziehungsweise für einen definierten Zeitraum, Schwachstellen beheben und entsprechende Sicherheitsupdates bereitstellen. Der Cyber Resilience Act wurde Ende 2024 final im EU-Amtsblatt veröffentlicht und trat am 10. Dezember 2024 offiziell in Kraft. Da die Verordnung tiefgreifende Änderungen für die Entwicklung und weltweite Produktion von Hardware und Software erfordert, gewährt der Gesetzgeber eine großzügige Anpassungsphase von 36 Monaten. Die Anforderungen an sichere Produkte müssen demnach erst ab dem 11. Dezember 2027 zwingend erfüllt werden, wobei bestimmte Meldepflichten für Hersteller bezüglich Schwachstellen und Vorfällen bereits vorgezogen werden und ab dem 11. September 2026 (Artikel 71) greifen.⁹

 

DORA als Spezialgesetz für den Finanzsektor

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) ist als strenges Spezialgesetz konzipiert, das ausschließlich die digitale betriebliche Resilienz im europäischen Finanzsektor absichert. Die Verordnung etabliert in den Artikeln 5 bis 16 einen sehr spezifischen und engmaschigen Rahmen für das IKT-Risikomanagement, dem Banken, Versicherungen und andere Finanzdienstleister zwingend folgen müssen. Darüber hinaus regelt DORA in den Artikeln 28 bis 44 detailliert den Umgang mit IKT-Drittparteienrisiken und schreibt in den Artikeln 24 bis 27 regelmäßige, tiefgreifende Tests der operationalen Resilienz, wie beispielsweise szenariobasierte Tests, Kompatibilitätstests, Leistungstests, End-to-End-Tests und bedrohungsgeleitete Penetrationstests, vor. Der Digital Operational Resilience Act trat parallel zur NIS-2-Richtlinie am 16. Januar 2023 in Kraft. Im Gegensatz zu NIS-2 ist DORA jedoch eine Verordnung und gilt somit unmittelbar in allen Mitgliedstaaten, ohne dass es nationale Umsetzungsgesetze braucht. Den Finanzmarktakteuren und ihren IKT-Dienstleistern wurde eine Vorbereitungszeit von genau 24 Monaten eingeräumt. Seit dem 17. Januar 2025 (Artikel 64) sind die strengen regulatorischen Vorgaben für die Branche verbindlich anzuwenden.¹⁰

 

Zusammenspiel, Konflikte und Vorrangregeln

Diese vier Gesetzgebungswerke greifen ineinander, um ein ganzheitliches europäisches Schutzniveau zu schaffen. Während der CRA die zugekaufte Technologie an sich sichert, stärkt NIS-2 die Prozesse in der anwendenden Organisation, schützt die DSGVO die in den Systemen verarbeiteten Daten und überwacht DORA den besonders kritischen Finanzmarkt. Bei juristischen Überschneidungen und vorhandenen Mehrfachregulierungen, etwa wenn ein schwerer Cyberangriff auf eine Bank gleichzeitig Meldepflichten für Datenschutz, Systemausfall und IT-Sicherheit auslöst, gilt grundsätzlich das rechtliche Prinzip der Lex specialis (siehe Infobox). Dies bedeutet konkret, dass die sehr spezifischen Anforderungen der DORA-Verordnung für den Finanzsektor den allgemeineren Resilienzvorgaben der NIS-2-Richtlinie gesetzlich vorgehen (siehe Art. 1 Abs. 2 NIS-2).^{8, 10}

 

„Lex specialis derogat legi generali“

Der Grundsatz lex specialis derogat legi generali (lateinisch für „das speziellere Gesetz verdrängt das allgemeinere Gesetz“) ist eine fundamentale juristische Kollisionsregel, die in fast allen modernen Rechtsordnungen zur Lösung von Normenkonflikten angewendet wird. Diese methodische Regel greift immer dann, wenn zwei verschiedene Rechtsvorschriften denselben Sachverhalt regeln, sich in ihren Anforderungen oder Rechtsfolgen jedoch überschneiden oder widersprechen. In einer solchen Situation ordnet der Grundsatz an, dass die speziellere Norm – also jene, die den Sachverhalt detaillierter, enger oder für einen besonderen Adressatenkreis regelt – der allgemeiner gefassten Norm zwingend vorgeht.¹¹

 

Europäische Datenökonomie

Auf dem soliden Fundament aus Cybersicherheit und Datenschutz, das IT-Systeme stabilisiert und persönliche Rechte schützt, hat die europäische Gesetzgebung zwei tragende Säulen in ihrer Compliance-Architektur errichtet. Während das Fundament primär einen abwehrenden und sichernden Charakter aufweist, steht bei der ersten Säule, bestehend aus dem Data Governance Act und dem Data Act, die aktive, wertschöpfende und faire Nutzung von Informationen im Vordergrund. Diese Bestimmungen betreffen die europäische Datenökonomie, da sie die rechtlichen Spielregeln dafür definieren, wie Daten aus vernetzten Geräten wirtschaftlich genutzt, über vertrauenswürdige Vermittler freiwillig geteilt und fair zwischen Unternehmen sowie Verbrauchern verteilt werden können, ohne dabei die im Fundament verankerten Sicherheits- und Datenschutzvorgaben zu gefährden.¹²

 

Der Data Governance Act (DGA) als Vertrauensanker

Der Data Governance Act (Verordnung (EU) 2022/868) schafft den rechtlichen und strukturellen Rahmen zur Förderung des Datenaustauschs und zur Stärkung des Vertrauens in die gemeinsame Datennutzung innerhalb der EU. Der Fokus liegt hierbei nicht auf der Schaffung neuer, zwingender Zugangsrechte, sondern auf der Etablierung sicherer Infrastrukturen für den freiwilligen Datenaustausch. Dies geschieht insbesondere durch die strenge Regulierung neutraler Datenvermittlungsdienste (Data Intermediary) in Artikel 10, die als vertrauenswürdige Mittler zwischen Dateninhabern und Datennutzern agieren sollen, sowie durch die Förderung des sogenannten “Datenaltruismus” für das Gemeinwohl, der in Artikel 16 geregelt ist. Ziel ist es, einen sicheren europäischen Binnenmarkt zu etablieren, in dem öffentliche und private Daten geschützt, aber dennoch innovationsfördernd geteilt werden können.¹³

 

Der Data Act (DA) zur wirtschaftlichen Datennutzung

Der Data Act (Verordnung (EU) 2023/2854) regelt präzise, wer unter welchen Bedingungen auf generierte Daten zugreifen und diese wirtschaftlich nutzen darf, wobei der Schwerpunkt auf Daten aus vernetzten Geräten (Internet of Things, IoT) liegt. Die Verordnung gewährt Nutzern in den Artikeln 3 und 4 das weitreichende Recht, auf die von ihren Geräten erzeugten Daten zuzugreifen und diese bei Bedarf an Drittanbieter weiterzugeben. Zudem werden in den Artikeln 8 und 9 faire, angemessene und diskriminierungsfreie (FRAND - „Fair, Reasonable, and Non-Discriminatory“) Bedingungen für den Datenaustausch zwischen Unternehmen (B2B) festgelegt und in den Artikeln 23 bis 31 strikte Vorgaben gemacht, um den Wechsel zwischen Cloud-Anbietern zu erleichtern und wirtschaftliche Lock-in-Effekte zu verhindern.¹⁴

 

Zusammenspiel, Konflikte und Vorrangregeln

In der juristischen und technischen Praxis greifen diese beiden Verordnungen komplementär ineinander. Während der Data Governance Act die vertrauenswürdige Infrastruktur und die Spielregeln für Vermittler bereitstellt (das „Wie“ des Datenaustauschs), definiert der Data Act die konkreten wirtschaftlichen Zugangs- und Nutzungsrechte an den Daten selbst (das „Was“ und „Wer“). Ein inhaltlicher Konflikt zwischen den beiden Regelwerken besteht kaum, da sie sich in ihrem Anwendungsbereich bewusst ergänzen. Überschneidungen und potenzielle Konflikte gibt es jedoch mit der DSGVO. Hier ordnen sowohl der Data Act als auch der Data Governance Act explizit an, dass beim Fließen von personenbezogenen Daten die DSGVO als absolute Lex specialis Vorrang hat. Der Data Act berechtigt beispielsweise nicht zur Verarbeitung personenbezogener Daten ohne eine Rechtsgrundlage nach Art. 6 DSGVO, wodurch der Datenschutz unangetastet bleibt. Der Vorrang der DSGVO wird auch explizit im DGA im Erwägungsgrund 4 und im DA in Artikel 3 Absatz 5 hervorgehoben.^{13, 14}

 

Sicherer und fairer digitaler Raum

Während die Datenstrategie der EU den sicheren Austausch von Informationen fördert, zielt die zweite große Säule der europäischen Digitalregulierung auf die Infrastruktur des Internets und somit auf die Online-Plattformen selbst ab. Mit dem Gesetz über digitale Dienste (Digital Services Act, DSA) und dem Gesetz über digitale Märkte (Digital Markets Act, DMA) hat die Europäische Union ein umfassendes Regelwerk geschaffen, um das Internet sicherer, transparenter und wettbewerbsfähiger zu machen. Beide Gesetze bilden gewissermaßen das neue digitale Grundgesetz der EU und wirken zusammen als vertrauenswürdiges Bezugselement, die sich aber unterschiedlichen Problemstellungen der Plattformökonomie widmen.

 

Der Digital Services Act (DSA): Sicherheit und Grundrechte im Netz

Der DSA (Verordnung (EU) 2022/2065) legt den Fokus auf gesellschaftliche Verantwortung und den Schutz der Nutzer. Sein zentraler Leitgedanke lautet: “Was offline illegal ist, muss auch online illegal sein.” Er zwingt digitale Dienste, mehr Verantwortung für die Inhalte zu übernehmen, die sie verbreiten. Plattformen müssen ihre Empfehlungsalgorithmen transparent machen (Art. 27) und Nutzern die Möglichkeit geben, diese anzupassen oder abzulehnen. Zudem verbietet der DSA manipulative Designs (Art. 25), sogenannte „Dark Patterns“, und zielgerichtete Werbung, die auf sensiblen Daten oder auf Minderjährige abzielt (Art 26 und 28). Hinzu kommen klare und schnelle Meldeverfahren (Notice-and-Action in Art. 16), über die Nutzer illegale Inhalte oder Hassrede melden können. Die Meldungen der Nutzer umgehend zu reagieren. Besondere Pflichten gelten für sehr große Online-Plattformen (VLOPs) und Suchmaschinen, die systemische Risiken proaktiv minimieren müssen (Art. 33 bis Art 43).¹⁵

 

Der Digital Markets Act (DMA): Fair Play im digitalen Wettbewerb

Während der DSA den Fokus auf Inhalte legt, hat der DMA (Verordnung (EU) 2022/1925) die Marktmacht der Tech-Giganten im Visier. Er richtet sich ausschließlich an sogenannte Gatekeeper, das sind die wenigen riesigen Digitalkonzerne, die eine unumgängliche Schnittstelle zwischen Unternehmen und Verbrauchern bilden. Der DMA soll verhindern, dass diese Konzerne ihre Marktmacht missbrauchen, um den Wettbewerb zu verhindern. Gatekeeper dürfen ihre eigenen Dienste auf ihren Plattformen nicht mehr bevorzugt behandeln (Verbot des Self-Preferencing in Art 6 Abs 5). Ein Suchmaschinenbetreiber darf also beispielsweise den eigenen Preisvergleichsdienst nicht künstlich auf Platz 1 der Suchergebnisse heben. Außerdem bekommen Nutzer mehr Freiheiten. Sie müssen vorinstallierte Apps löschen können (Art 6 Abs 3) und dürfen nicht gezwungen werden, die Bezahlsysteme der Gatekeeper zu nutzen. Zudem schreibt der DMA vor, dass grundlegende Funktionen von Messenger-Diensten, wie z.B. WhatsApp, interoperabel werden müssen, sodass perspektivisch auch Nachrichten über Anbietergrenzen hinweg verschickt werden können (Art 7).¹⁶

 

Zusammenspiel, Konflikte und Vorrangregeln

In der Praxis stehen DSA und DMA keineswegs isoliert nebeneinander, sondern greifen oft ineinander, was zu juristischen Reibungspunkten führt. Für die großen Tech-Konzerne, die unter dem DMA als Gatekeeper und unter dem DSA zeitgleich als sehr große Online-Plattformen eingestuft werden, gilt das Prinzip der kumulativen Anwendung, d.h. sie müssen die Pflichten beider Regelwerke parallel erfüllen. Konfliktpotenzial entsteht vor allem dort, wo beide Gesetze denselben Sachverhalt aus unterschiedlichen Blickwinkeln regulieren, wie etwa bei der nutzerbasierten Werbung. Während der DMA die Zusammenführung von Daten aus verschiedenen Plattformdiensten an eine ausdrückliche Nutzereinwilligung knüpft (Art 5), zieht der DSA harte rote Linien, indem personalisierte Werbung auf Basis sensibler Daten (Art 26) oder Werbung an Minderjährige (Art 28) generell verboten sind. Ein „Ja“ des Nutzers zu einer Werbemaßnahme nach dem DMA ist noch lange nicht legal gemäß DSA.

Hinsichtlich der Vorrangregeln gilt, dass sich DSA und DMA weder gegenseitig aufheben noch behindern, da sie im Grunde unterschiedliche Schutzziele verfolgen (Nutzersicherheit versus fairer Wettbewerb). Im Vergleich zu anderen Rechtsnormen gibt es jedoch klare Hierarchien. Auch hier bildet die DSGVO die absolute rote Linie, da ihre Regelungen unberührt bleiben und bei der Verarbeitung personenbezogener Daten stets Vorrang haben (siehe Art 2 DMA und Art 1 DMA). Zudem ersetzt der DMA nicht das klassische EU-Kartellrecht (Art 101 und 102 AEUV), sondern ergänzt es präventiv (ex-ante), wie in Art 1 DMA ausdrücklich klargestellt wird.^{15, 16, 17}

 

Das Dach des Compliance-Hauses: Der AI Act

Den Abschluss und das Dach der europäischen Digitalregulierung bildet der AI Act (Details zum AI Act siehe Ausgabe 2 der Quality News des Jahres 2024). Während die bisherigen Gesetzestexte den Zugang zu Daten, deren Verarbeitung sowie die Macht von Plattformen regeln, adressiert der AI Act die darauf aufbauenden intelligenten und automatisierten Entscheidungssysteme. Sein zentraler Vertrauensanker ist ein strikt risikobasierter Ansatz. Die gesetzlichen Anforderungen an ein KI-System steigen proportional zu den potenziellen Gefahren, die es für die Grundrechte, die Gesundheit und die Sicherheit der Bürger birgt. Das Gesetz teilt KI-Systeme im Wesentlichen in verschiedene Risikokategorien ein, an die konkrete Compliance-Pflichten geknüpft sind.

Um fundamentale europäische Werte zu schützen, zieht das Gesetz absolute rote Linien (Unannehmbares Risiko – Verbotene Praktiken (Art. 5). KI-Systeme, die eine unannehmbare Bedrohung darstellen, sind schlichtweg verboten. Dazu gehören beispielsweise „Social Scoring“, die unterschwellige kognitive Manipulation von Personen sowie die massenhafte ungerichtete Auslesung von Gesichtsaufnahmen aus dem Internet zum Aufbau von Datenbanken. Den Kern der Compliance (Art 6 und Art 8-22) bilden Systeme mit hohem Risiko, die in sensiblen Bereichen eingesetzt werden, wie etwa in der kritischen Infrastruktur, im Personalwesen, in der Strafverfolgung oder bei der Bonitätsprüfung. Hier greifen die strengsten Compliance-Pflichten vor der Markteinführung. Anbieter müssen ein lückenloses Risikomanagementsystem etablieren (Art. 9), hohe Anforderungen an die Trainingsdaten erfüllen (Art. 10) und eine wirksame menschliche Aufsicht („Human-in-the-loop“) garantieren (Art. 14). Bei Systemen mit begrenztem Risiko (Art 50) steht die Transparenz im Vordergrund. Nutzer müssen wissen, dass sie mit einer Maschine interagieren. So gilt etwa für Chatbots, deep fakes oder KI-generierte Texte und Bilder eine klare Kennzeichnungspflicht. Besondere Regeln gelten für KI-Modelle mit allgemeinem Verwendungszweck (Art. 51 ff.). Mit dem rasanten Aufstieg generativer KI wurde das Gesetz um Regeln für sogenannte General-Purpose AI (GPAI) erweitert. Anbieter dieser Basismodelle müssen umfassende technische Dokumentationen erstellen, das Urheberrecht beim Training der Modelle respektieren und bei Modellen mit systemischem Risiko zusätzliche Evaluierungen durchführen.¹⁸

 

Zusammenspiel und Vorrangregeln des AI Acts

Der AI Act fügt sich als Dach nahtlos in die europäische Digitalstrategie ein. Der AI Act schafft keine neue Rechtsgrundlage für die Verarbeitung personenbezogener Daten. In Art. 2 Abs. 7 stellt der AI Act explizit klar, dass die Vorgaben der DSGVO unangetastet bleiben und Vorrang haben. Wenn eine Hochrisiko-KI personenbezogene Daten verarbeitet, muss sie also beiden Regelwerken genügen. Ein praktischer Konflikt bzw. Widerspruch besteht beim „Recht auf Vergessenwerden“ (= Löschung nach DSGVO) versus dem Bedarf der AI an stabilen, repräsentativen Trainingsdaten. Der AI Act fordert von Hochrisiko-KI ein hohes Maß an Robustheit und Cybersicherheit. Um jedoch bürokratische Doppelprüfungen zu vermeiden, sieht das Gesetz vor, dass Konformitätsbewertungen nach Möglichkeit in bestehende Prüfverfahren der Cybersicherheitsgesetze, wie dem CRA, NIS-2 oder DORA integriert werden sollen.

Eine starke wirtschaftliche Symbiose herrscht auch zwischen dem AI Act und der europäischen Datenstrategie. Während der DGA und der Data Act rechtssicher dafür sorgen, dass Datensilos aufgebrochen und Industriedaten verfügbar gemacht werden, fungiert der AI Act als Qualitätsfilter. Artikel 10 des AI Acts („Daten und Daten-Governance“) definiert extrem strenge Anforderungen an die Trainingsdaten von Hochrisiko-KI, um systematischen Bias und Diskriminierung zu verhindern.

Auch beim Thema der Plattformregulierung (DSA/DMA) gibt es wichtige Schnittmengen. Zwingt der DSA große Plattformen, die gesellschaftlichen Auswirkungen der Algorithmen zu überwachen, reguliert der AI Act parallel die technische Beschaffenheit und Zuverlässigkeit der zugrunde liegenden KI-Modelle. Der DMA verbietet Gatekeepern, unlauter Daten ihrer gewerblichen Nutzer abzugreifen, um damit eigene, konkurrierende Dienste zu füttern. Parallel dazu zwingt der AI Act genau diese mächtigen Akteure bei der Entwicklung von Basismodellen (GPAI) zu strengen Dokumentations- und Urheberrechtspflichten (Art. 51 ff.).¹⁸

 

Fazit

Mit der schrittweisen Einführung und Verzahnung der ambitionierten Verordnungen und Richtlinien hat die Europäische Union einen historischen Prozess eingeleitet. Ein isolierter Schutzschild wie die DSGVO reicht in der heutigen Ära der vernetzten Infrastrukturen und Plattform-Monopole nicht mehr aus. Stattdessen steht nun eine robuste, in sich geschlossene Compliance-Architektur.

Auf einem stabilen Fundament aus Datenschutz und Cybersicherheit (DSGVO, NIS-2, CRA, DORA) erheben sich die Säulen einer fairen und wertschöpfenden Datenökonomie (DGA, Data Act) sowie einer verantwortungsvollen Plattformökonomie (DSA, DMA). Abgeschlossen wird dieses Konstrukt durch den AI Act, der als Dach die rasanten Entwicklungen der Künstlichen Intelligenz nach strengen, risikobasierten Prinzipien regelt.

Dieser europäische „Dritte Weg“ des “digitalen Humanismus” verdeutlicht, dass Regulierung und Innovation keine Gegensätze sein müssen. Vielmehr ist Vertrauen in sichere Daten, unparteiische Algorithmen und faire Märkte die Grundvoraussetzung dafür, dass Gesellschaft und Wirtschaft neue Technologien überhaupt adaptieren. Was Kritiker oft vorschnell als bürokratischen Bremsklotz abtun, ist in Wahrheit der notwendige Versuch, staatliche und bürgerliche Souveränität im digitalen Raum zurückzugewinnen.

Dank des ökonomischen Gewichts des EU-Binnenmarktes entfaltet diese Architektur zudem eine globale Strahlkraft. Ein oft übersehener Aspekt dieser Regelungsdichte ist ihre außenpolitische Wirkung. Die Rechtswissenschaftlerin Anu Bradford prägte dafür den Begriff des „Brussels Effect“.¹⁹ Er beschreibt das Phänomen, dass multinationale Konzerne europäische Standards oft weltweit übernehmen, weil es ökonomisch ineffizient wäre, verschiedene technische Standards für verschiedene Märkte zu unterhalten. Die EU versucht damit nicht nur ihren eigenen Binnenmarkt zu regulieren, sondern möchte ihre demokratischen Werte durch Marktmechanismen in den Rest der Welt exportieren. Wenn die Vorgaben der Compliance-Architektur zum internationalen Goldstandard werden, hat die EU nicht nur sich selbst geschützt, sondern die Spielregeln der globalen Digitalisierung aktiv und nachhaltig geprägt.

 

Verordnung (VO)/ Richtlinie (RL)	Zentrale Artikel	Kernthema/ Zielsetzung	Inkrafttreten/ Geltungsbeginn
DSGVO VO (EU) 2016/679	Art. 5 (Grundsätze)   Art. 6 (Rechtmäßigkeit)   Art. 17 (Recht auf Löschung)	Schutz personenbezogener Daten und informationelle Selbstbestimmung	Inkrafttreten: 24.05.2016   Geltungsbeginn: 25.05.2018
NIS-2 RL (EU) 2022/2555	Art. 21 (Risikomanagement)   Art. 23 (Meldepflichten)	Hohes Cybersicherheitsniveau für kritische Infrastrukturen und Lieferketten	Inkrafttreten: 16.01.2023   Umsetzung bis: 17.10.2024
CRA (Cyber Resilience Act) VO (EU) 2024/2847	Art. 13/14 (Schwachstellen- & Vorfallsmeldung)   Anhang I (Security by Design)	Horizontale Cybersicherheitsanforderungen für Hardware/Software mit digitalen Elementen	Inkrafttreten: 10.12.2024   Geltungsbeginn: 11.12.2027 (Meldepflichten ab 09/2026)
DORA VO (EU) 2022/2554	Art. 5-16 (IKT-Risikomanagement)   Art. 17-23 (Vorfallsmeldung)	Digitale operationale Widerstandsfähigkeit im Finanzsektor und bei IKT-Dienstleistern	Inkrafttreten: 16.01.2023   Geltungsbeginn: 17.01.2025
DGA (Data Governance Act) VO (EU) 2022/868	Art. 12 (Datenvermittlung)   Art. 18 (Datenaltruismus)	Vertrauenswürdige Strukturen und sichere Vermittler für das Datenteilen in Europa	Inkrafttreten: 23.06.2022   Geltungsbeginn: 24.09.2023
Data Act (Datenverordnung) VO (EU) 2023/2854	Art. 10 (Streitbeilegung)   Art. 13 (Missbräuchliche Verträge)	Rechte zum Datenzugang (z. B. IoT) und Schutz vor wirtschaftlicher Übervorteilung im B2B	Inkrafttreten: 11.01.2024   Geltungsbeginn: 12.09.2025
DSA (Digital Services Act) VO (EU) 2022/2065	Art. 16 (Notice & Action)   Art. 25 (Dark Patterns)   Art. 26/28 (Werbeverbote)	Verantwortung für Inhalte, Bekämpfung illegaler Inhalte und Schutz der Grundrechte online	Inkrafttreten: 16.11.2022   Geltungsbeginn: 17.02.2024
DMA (Digital Markets Act) VO (EU) 2022/1925	Art. 3 (Gatekeeper-Status)   Art. 5-7 (Verhaltenspflichten & Interoperabilität)	Faires Wettbewerbsumfeld, Brechen der Marktmacht der riesigen „Gatekeeper“-Konzerne	Inkrafttreten: 01.11.2022   Geltungsbeginn: 02.05.2023
AI Act (KI-Verordnung) VO (EU) 2024/1689	Art. 5 (Verbotene KI) Art. 6/10/15 (Hochrisiko-KI) Art. 50/51 (Transparenz/GPAI)	Produktsicherheit für KI-Systeme auf Basis eines strikt risikobasierten Ansatzes	Inkrafttreten: 01.08.2024   Geltungsbeginn: 02.08.2026 (stufenweise Vorab-Fristen ab Frühjahr 2025)