Erläuterung
Die Speicherbegrenzung ist einer der Grundsätze des Datenschutzes nach der britischen Datenschutz-Grundverordnung. Das bedeutet, dass personenbezogene Daten nicht länger in einer Form aufbewahrt werden sollten, die eine Identifizierung der betroffenen Personen ermöglicht, als es für die Zwecke, für die die Daten verarbeitet werden, erforderlich ist. Die britische Datenschutz-Grundverordnung legt keine festen Fristen für verschiedene Arten von Daten fest, sondern verlangt von den für die Verarbeitung Verantwortlichen, dass sie die angemessenen Aufbewahrungsfristen für ihre Verarbeitungstätigkeiten festlegen und begründen, wobei sie Faktoren wie Art, Umfang, Kontext und Zwecke der Verarbeitung, die Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die rechtlichen Verpflichtungen und Erwartungen des für die Verarbeitung Verantwortlichen berücksichtigen. Die für die Verarbeitung Verantwortlichen sollten auch über eine Strategie verfügen, die nach Möglichkeit Standardaufbewahrungsfristen festlegt, und die von ihnen gespeicherten Daten regelmäßig überprüfen, um sicherzustellen, dass sie gelöscht oder anonymisiert werden, wenn sie nicht mehr benötigt werden. Betroffene Personen haben das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn der für die Verarbeitung Verantwortliche keine rechtmäßige Grundlage oder kein berechtigtes Interesse mehr für die Aufbewahrung der Daten hat. Die britische Datenschutz-Grundverordnung lässt einige Ausnahmen vom Grundsatz der Speicherbegrenzung zu, z. B. wenn die personenbezogenen Daten ausschließlich zu Archivierungszwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken verarbeitet werden, sofern angemessene Garantien für die Rechte und Freiheiten der betroffenen Personen gegeben sind. Referenzen:
* UK GDPR, Artikel 5 (1) (e) und (2)4
* UK GDPR, Artikel 175
* UK GDPR, Artikel 896
* ICO-Leitfaden zum Datenschutz, Speicherbegrenzung7

Erläuterung
Dienste der Informationsgesellschaft (ISS) werden in Artikel 4 Absatz 25 der britischen Datenschutz-Grundverordnung definiert als "jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung". Dies bedeutet, dass es sich bei ISS um Online-Dienste handelt, die entweder vom Nutzer oder durch eine andere Einnahmequelle wie Werbung oder Sponsoring bezahlt werden und die ohne physische Anwesenheit der Parteien unter Verwendung elektronischer Geräte für die Übertragung und den Empfang von Daten und auf Anfrage des Nutzers erbracht werden.
Beispiele für ISS sind Apps, Programme, Websites, Suchmaschinen, Social-Media-Plattformen, Online-Marktplätze, Content-Streaming-Dienste, Online-Spiele und alle anderen Online-Dienste, die den Nutzern über das Internet Waren oder Dienstleistungen anbieten. Daher sind die Optionen A, B und C korrekte Beispiele für ISS, da sie die Kriterien der Definition erfüllen. Option D ist jedoch kein korrektes Beispiel für ISS, da sie keine Vergütung für den Diensteanbieter beinhaltet. Informationsdienste, die von gemeinnützigen oder staatlichen Organisationen unentgeltlich erbracht werden, gelten nach der britischen Datenschutz-Grundverordnung nicht als ISS, es sei denn, sie stehen im Wettbewerb mit anderen ISS auf dem Markt. Referenzen:
* UK GDPR, Artikel 4(25)4
* Dienstleistungen, die unter diesen Code fallen5

Erläuterung
Die britische Datenschutz-Grundverordnung und das Datenschutzgesetz 2018 sehen für Verstöße gegen die Datenschutzgrundsätze, die Rechte betroffener Personen oder die Vorschriften über die Übermittlung personenbezogener Daten an Drittländer eine Höchststrafe von 17,5 Mio. GBP oder 4% des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Dies ist die höhere Höchststrafe, die für die schwerwiegendsten Verstöße gegen die britische Datenschutz-Grundverordnung gilt. Eine Sicherheitsverletzung, bei der die Daten von Hunderttausenden von Bürgern offengelegt werden, würde wahrscheinlich in diese Kategorie fallen, da sie die Vertraulichkeit und Integrität personenbezogener Daten gefährdet und den betroffenen Personen möglicherweise erheblichen Schaden zufügt und sie in Not bringt. Die Höchststrafe, die eine öffentliche Einrichtung im Vereinigten Königreich für diesen Verstoß erhalten könnte, beträgt daher 17,5 Millionen Pfund oder 4% des Bruttojahresumsatzes, je nachdem, welcher Betrag höher ist. Referenzen:
* Sanktionen3
* GDPR-Sanktionen und Geldstrafen4
* Drei Jahre Datenschutz-Grundverordnung: die bisher höchsten Geldbußen5

Erläuterung
Eine Datenschutz-Folgenabschätzung ist nicht erforderlich, um die Anforderung zu erfüllen, dass alle Datenschutz-Folgenabschätzungen dem ICO vorgelegt werden müssen, da dies in der Datenschutz-Grundverordnung nicht vorgeschrieben ist. Die Datenschutz-Grundverordnung verlangt nur, dass der für die Verarbeitung Verantwortliche das ICO konsultiert, bevor er eine Verarbeitung vornimmt, die wahrscheinlich ein hohes Risiko für Personen mit sich bringt, wenn er dieses Risiko nicht mindern kann. Das bedeutet, dass nicht alle Datenschutzfolgenabschätzungen dem ICO vorgelegt werden müssen, sondern nur diejenigen, die ein hohes Restrisiko aufzeigen, das nicht verringert werden kann. Die anderen Optionen sind zulässige Zwecke für die Durchführung einer Datenschutzfolgenabschätzung, da sie dem für die Verarbeitung Verantwortlichen helfen, die DSGVO einzuhalten, den Datenschutz durch Design und Voreinstellungen zu gewährleisten und die Hauptrisiken für die Rechte und Freiheiten natürlicher Personen zu ermitteln und zu mindern. Referenzen:
* Artikel 35 und 36 der Datenschutz-Grundverordnung3
* ICO-Leitfaden zu DPIAs5

Erläuterung
Nach der Datenschutz-Grundverordnung liegt eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation vor, wenn die personenbezogenen Daten einer Person außerhalb der EU und des EWR zur Verfügung gestellt werden, unabhängig davon, ob die Daten physisch übermittelt werden oder nicht. Daher stellt die Tatsache, dass das chinesische Unternehmen auf die Plattform und die Datenbanken zugreift, die personenbezogene Daten der Kunden des französischen Unternehmens enthalten, eine Übermittlung personenbezogener Daten nach China dar, das ein Drittland im Sinne der Datenschutz-Grundverordnung ist. Das französische Unternehmen muss als für die Verarbeitung der personenbezogenen Daten Verantwortlicher sicherstellen, dass die Übermittlung den Anforderungen der Datenschutz-Grundverordnung entspricht und dass das Schutzniveau der personenbezogenen Daten nicht untergraben wird. Dies bedeutet, dass das französische Unternehmen einen geeigneten Übermittlungsmechanismus ermitteln und anwenden muss, wie z. B. einen Angemessenheitsbeschluss, geeignete Garantien oder Ausnahmen für bestimmte Situationen, wie in Kapitel V der DSGVO dargelegt. Eine Datenverarbeitungsvereinbarung ist zwar notwendig, um die Aufgaben und Zuständigkeiten des für die Verarbeitung Verantwortlichen und des Auftragsverarbeiters festzulegen, reicht aber nicht aus, um die Rechtmäßigkeit der Übermittlung zu gewährleisten, da sie nicht die gleichen Garantien bietet wie die DSGVO. China ist kein Land, das von der Europäischen Kommission als Land mit einem angemessenen Schutzniveau für personenbezogene Daten anerkannt wurde, so dass sich das französische Unternehmen auch nicht auf einen Angemessenheitsbeschluss berufen kann. Referenzen:
* Artikel 44 der Datenschutz-Grundverordnung1
* ICO-Leitfaden für internationale Überweisungen2

Erläuterung
Das Recht auf ein Privatleben ist ein grundlegendes Menschenrecht, das im Vereinigten Königreich gesetzlich geschützt ist. Artikel 8 der Europäischen Menschenrechtskonvention (EMRK), der durch den Human Rights Act in das britische Recht übernommen wurde
1998, heißt es: "Jede Person hat das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Korrespondenz". Dieses Recht gilt für alle Personen, unabhängig von ihrem Status, ihrem Beruf oder ihrem öffentlichen Auftreten.
Das Recht auf ein Privatleben umfasst Aspekte wie die persönliche Identität, persönliche Beziehungen, körperliches und geistiges Wohlbefinden, persönliche Daten und Korrespondenz. Dieses Recht ist jedoch nicht absolut und kann vom Staat oder anderen Parteien unter bestimmten Umständen eingeschränkt oder beeinträchtigt werden, beispielsweise zum Schutz der nationalen und öffentlichen Sicherheit, der Gesundheit, der Moral oder der Rechte und Freiheiten anderer. Referenzen:
* Artikel 8 der EMRK1
* Menschenrechtsgesetz 19982
* ICO-Leitfaden zum Datenschutz3

Erläuterung
Nach Artikel 57 Absatz 1 Buchstabe f der Datenschutz-Grundverordnung des Vereinigten Königreichs ist die Aufsichtsbehörde (im Vereinigten Königreich die ICO) verpflichtet, die von einer betroffenen Person eingereichten Beschwerden zu bearbeiten, den Gegenstand der Beschwerde zu untersuchen und den Beschwerdeführer über den Verlauf und das Ergebnis der Untersuchung zu informieren. Sie verpflichtet die Aufsichtsbehörde auch zur Zusammenarbeit mit anderen Aufsichtsbehörden, wenn die Beschwerde eine grenzüberschreitende Verarbeitung betrifft. Die Aufsichtsbehörde ist jedoch nicht verpflichtet, zwischen dem Beschwerdeführer und dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter, gegen den die Beschwerde eingereicht wurde, zu vermitteln, um die Beschwerde beizulegen. Dies gehört nicht zu den Aufgaben der Aufsichtsbehörde nach der britischen Datenschutz-Grundverordnung, obwohl es in einigen Fällen möglich sein kann, eine gütliche Lösung zu finden. Referenzen
:
* Artikel 57 Absatz 1 Buchstabe f der britischen Datenschutz-Grundverordnung1
* ICO und Beschwerden2

Erläuterung
Gemäß Artikel 37 der Datenschutz-Grundverordnung des Vereinigten Königreichs muss eine Behörde oder eine öffentliche Einrichtung einen behördlichen Datenschutzbeauftragten (DSB) bestellen, sofern es sich nicht um ein Gericht handelt, das in seiner gerichtlichen Eigenschaft handelt. Dies ist die einzige Ausnahme für Behörden oder öffentliche Einrichtungen von der Verpflichtung zur Bestellung eines DSB. Die anderen in der Frage aufgeführten Umstände, wie die Verarbeitung einer großen Menge personenbezogener Daten, die Verarbeitung von Daten einer besonderen Kategorie oder die Definition als öffentliche Einrichtung im Datenschutzgesetz 2018, befreien eine Behörde oder eine öffentliche Einrichtung nicht von der Bestellung eines DSB.
Referenzen:
* Artikel 37 der britischen Datenschutz-Grundverordnung2
* Datenschutzbeauftragte | ICO2

Erläuterung
Datenschutzrechte wurden erstmals mit dem Data Protection Act 1984 in das britische Recht eingeführt, der zur Umsetzung des Übereinkommens des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten von 1981 erlassen worden war. Das Datenschutzgesetz von 1984 legte eine Reihe von Grundsätzen für die Verarbeitung personenbezogener Daten durch Datennutzer fest, wie z. B. die Einholung der Zustimmung, die Gewährleistung der Richtigkeit und die Begrenzung der Aufbewahrung.
Außerdem wurden ein Registrierungssystem für Datennutzer und ein Data Protection Registrar (später umbenannt in Information Commissioner) zur Überwachung und Durchsetzung des Gesetzes eingeführt. Das Datenschutzgesetz von 1984 wurde durch das Datenschutzgesetz von 1998 ersetzt, das die EU-Datenschutzrichtlinie von 1995 in britisches Recht umsetzte und den Anwendungsbereich des Datenschutzes auf die manuelle und automatisierte Verarbeitung personenbezogener Daten ausdehnte. Der Data Protection Act 1998 wurde durch den Data Protection Act 2018 weiter geändert, der die Allgemeine Datenschutzverordnung der EU (GDPR) und die Strafverfolgungsrichtlinie in britisches Recht umsetzte und Bestimmungen für bestimmte Verarbeitungssituationen, wie nationale Sicherheit, Einwanderung und Journalismus, enthielt.
Referenzen:
* Datenschutzgesetz 19844
* Übereinkommen des Europarates 1085
* Datenschutzgesetz 19986
* Datenschutzgesetz 20187

Erläuterung
Der Data Protection Act 2018 (DPA 2018) macht es zu einer Straftat, wenn eine Person von einer anderen Person verlangt, einen Antrag auf Zugang zu Informationen über ihre Gesundheit, Verurteilungen oder Verwarnungen oder verbrauchte Verurteilungen zu stellen und diese Informationen der ersten Person oder einer dritten Person als Bedingung für die Bereitstellung oder das Angebot der Bereitstellung von Waren, Einrichtungen oder Dienstleistungen oder als Bedingung für den Abschluss oder die Fortsetzung eines Vertrags zur Verfügung zu stellen. Dies wird als erzwungener Antrag auf Zugang zu personenbezogenen Daten bezeichnet. In diesem Szenario begeht der Arbeitgeber eine Straftat, wenn er der Person die Stelle unter der Bedingung anbietet, dass sie eine Kopie ihrer Krankenakte anfordert und diese dem Arbeitgeber zur Verfügung stellt. Der Arbeitgeber verstößt auch gegen die Datenschutzgrundsätze der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben, der Transparenz, der Zweckbindung, der Datenminimierung und der Speicherbegrenzung, da er Gesundheitsdaten, die eine besondere Kategorie personenbezogener Daten darstellen, ohne gültige Rechtsgrundlage verarbeitet, ohne die Person über den Zweck und die Rechtsgrundlage der Verarbeitung zu informieren und ohne die Verarbeitung auf das zu beschränken, was für das Beschäftigungsverhältnis notwendig und relevant ist. Der Arbeitgeber sollte stattdessen die ausdrückliche Zustimmung der Person einholen, um die Gesundheitsdaten direkt von dem betreffenden Angehörigen der Gesundheitsberufe anzufordern, und nur die Informationen anfordern, die für die spezifische Rolle eines Wachmanns erforderlich und verhältnismäßig sind. Referenzen
:
* Abschnitt 184 des DSG 20183
* ICO-Leitfaden zur Durchsetzung von Anträgen auf Zugang zu personenbezogenen Daten4
* ICO-Leitfaden zu besonderen Datenkategorien5

Erläuterung
Die Datenschutzbestimmungen für elektronische Kommunikation (Privacy and Electronic Communications Regulations, PECR) sind eine Reihe von Vorschriften, die die Nutzung elektronischer Kommunikationsmittel für Marketingzwecke, wie Telefonanrufe, SMS, E-Mails und Faxe, regeln. Eine dieser Regeln besagt, dass Unternehmen keine unaufgeforderten Werbeanrufe an Personen tätigen dürfen, die ihre Telefonnummern beim Telefonpräferenzdienst (TPS) registriert haben, es sei denn, sie haben zuvor ihre Zustimmung gegeben, solche Anrufe von diesem Unternehmen zu erhalten. Der TPS ist ein kostenloser Dienst, der es Einzelpersonen ermöglicht, sich gegen den Erhalt von Werbeanrufen zu entscheiden. Es ist gesetzlich vorgeschrieben, dass Unternehmen den TPS überprüfen müssen, bevor sie Marketinganrufe tätigen, und dass sie die Präferenzen der dort registrierten Personen respektieren müssen. Wenn eine Organisation diese Vorschrift nicht einhält, kann sie mit Durchsetzungsmaßnahmen des Information Commissioner's Office (ICO) rechnen, der britischen Datenschutzbehörde, die für die Einhaltung des PECR zuständig ist. Referenzen:
* Telefonpräferenzdienst
* Marketing-Anrufe
* Vollstreckungsmaßnahmen

Erläuterung
Bei den in einem Supermarkt aufgezeichneten Bildern der Videoüberwachung handelt es sich um personenbezogene Daten, da sie dazu verwendet werden können, lebende Menschen entweder direkt oder indirekt anhand ihres Aussehens, ihrer Kleidung, ihrer Accessoires oder anderer Merkmale zu identifizieren.
Personenbezogene Daten werden in Artikel 4(1) der DSGVO definiert als "alle Informationen über eine bestimmte oder bestimmbare natürliche Person". Die DSGVO gilt für die Verarbeitung personenbezogener Daten durch automatisierte Mittel, wie z. B. Überwachungskameras, oder durch nicht automatisierte Mittel, die Teil eines Ablagesystems sind, wie z. B. Papieraufzeichnungen. Die anderen Optionen sind falsch, weil:
* Bilder von Videoüberwachungsanlagen sind keine besonderen Datenkategorien, da sie keine der in Artikel 9 Absatz 1 der Datenschutz-Grundverordnung aufgeführten sensiblen Informationen enthalten, wie z. B. rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben oder sexuelle Ausrichtung oder biometrische oder genetische Daten.
Daten der besonderen Kategorie unterliegen nach der DSGVO strengeren Bedingungen und Garantien, da sie ein höheres Risiko für die Rechte und Freiheiten von Personen darstellen.
* Videoüberwachungsbilder sind keine biometrischen Daten im Sinne der Definition in der DSGVO. Biometrische Daten werden in Artikel 4 Absatz 14 der DSGVO definiert als "personenbezogene Daten, die sich aus einer spezifischen technischen Verarbeitung ergeben und die sich auf die physischen, physiologischen oder verhaltensbezogenen Merkmale einer natürlichen Person beziehen und die eine eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie beispielsweise Gesichtsbilder oder daktyloskopische Daten". Überwachungsbilder sind weder das Ergebnis einer spezifischen technischen Verarbeitung noch ermöglichen oder bestätigen sie die eindeutige Identifizierung einer natürlichen Person, es sei denn, sie werden mit anderen Daten oder Identifikatoren kombiniert.
* Die Datenschutz-Grundverordnung ist nicht nur dann anwendbar, wenn Videoüberwachungsbilder mit Text oder einer anderen Kennung versehen sind. Die Datenschutz-Grundverordnung gilt für alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, unabhängig davon, ob sie mit Text oder einer anderen Kennung versehen sind. Überwachungsbilder können sich auf eine identifizierbare natürliche Person beziehen, auch wenn sie keinen Text oder eine andere Kennung enthalten, solange die Möglichkeit besteht, die Person zu identifizieren oder mit anderen Daten oder Faktoren zu verknüpfen. Referenzen:
* Datenschutzgrundverordnung, Artikel 4(1)1
* GDPR, Artikel 2(1)2
* Datenschutzgrundverordnung, Artikel 9(1)3
* Datenschutzgrundverordnung, Artikel 4(14)4

Erläuterung
Wenn ein Beschwerdeführer mit der Entscheidung der britischen Aufsichtsbehörde, dem Information Commissioner's Office (ICO), nicht einverstanden ist, kann er beim First Tier Tribunal (Information Rights) Beschwerde einlegen.
Das Gericht ist ein unabhängiges Gremium, das die Entscheidung des ICO überprüfen und sie entweder bestätigen, ändern oder aufheben kann. Das Gericht kann die ICO auch anweisen, bestimmte Maßnahmen zu ergreifen, wie z. B. die Ausstellung eines Bescheids oder einer Vollstreckungsmitteilung. Die Beschwerde muss innerhalb von 28 Tagen nach Erhalt der Entscheidung des ICO unter Verwendung des Beschwerdeformulars und unter Beifügung der entsprechenden Unterlagen und Beschwerdegründe eingelegt werden. Das Gericht unterrichtet dann die ICO und den Beschwerdeführer über die Beschwerde und das Verfahren zur Behandlung der Beschwerde. Das Gericht kann eine Anhörung abhalten, um die Beweise und Argumente beider Parteien zu prüfen, oder den Fall ausschließlich auf der Grundlage schriftlicher Eingaben entscheiden. Das Gericht erlässt eine schriftliche Entscheidung, die beiden Parteien zugestellt und auf der Website des Gerichts veröffentlicht wird. Gegen die Entscheidung des Gerichts kann mit Genehmigung des First Tier Tribunal oder des Upper Tribunal ein Rechtsmittel beim Upper Tribunal eingelegt werden. Referenzen:
* Informationsrechte und Datenschutz: Beschwerde gegen den Informationsbeauftragten1
* Formular für die Beschwerdeschrift2
* Website des First Tier Tribunal (Informationsrechte)3

Erläuterung
Nach Artikel 30 der britischen Datenschutz-Grundverordnung3 müssen sowohl die für die Verarbeitung Verantwortlichen als auch die Auftragsverarbeiter Aufzeichnungen über ihre Verarbeitungstätigkeiten führen, sofern sie nicht unter bestimmten Bedingungen davon befreit sind. Die Aufzeichnungen müssen unter anderem die folgenden Informationen enthalten:
* Name und Kontaktdaten des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters sowie eines etwaigen gemeinsamen für die Verarbeitung Verantwortlichen, Vertreters oder Datenschutzbeauftragten;
* die Zwecke der Verarbeitung;
* die Kategorien der betroffenen Personen und der personenbezogenen Daten;
* die Kategorien von Empfängern, an die die personenbezogenen Daten weitergegeben wurden oder werden, einschließlich Empfängern in Drittländern oder internationalen Organisationen;
* gegebenenfalls die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlandes oder der internationalen Organisation und der Dokumentation geeigneter Garantien;
* soweit möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien;
* wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen.
Die Aufzeichnungen müssen schriftlich, auch in elektronischer Form, erfolgen und der ICO auf Anfrage zur Verfügung gestellt werden. Die Aufzeichnungen müssen keine Kontaktangaben der Aufsichtsbehörde enthalten, da dies in Artikel 30 nicht vorgeschrieben ist. Sie müssen auch nicht nach jeder Datenschutz-Folgenabschätzung der Aufsichtsbehörde vorgelegt werden, da dies nicht in Artikel 35 vorgeschrieben ist, der den für die Verarbeitung Verantwortlichen nur dann verpflichtet, die Aufsichtsbehörde vor der Verarbeitung zu konsultieren, wenn aus der Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung zu einem hohen Risiko führen würde, wenn der für die Verarbeitung Verantwortliche keine Maßnahmen zur Minderung des Risikos ergreift. Referenzen:
* Artikel 30 der britischen Datenschutz-Grundverordnung3
* Artikel 35 der britischen Datenschutz-Grundverordnung4

Erläuterung
Der Grundsatz der Transparenz verlangt, dass jede Verarbeitung personenbezogener Daten nach Treu und Glauben und auf rechtmäßige Weise erfolgt und für die betroffenen Personen transparent ist. Dies bedeutet, dass die betroffenen Personen über Existenz, Art, Zweck und Folgen der Verarbeitung sowie über ihre Rechte und Wahlmöglichkeiten in Bezug auf ihre Daten informiert werden sollten. Transparenz ist unerlässlich, um Rechenschaftspflicht, Vertrauen und Compliance bei der Datenverarbeitung zu gewährleisten. Der Einsatz von KI kann jedoch eine Herausforderung für den Grundsatz der Transparenz darstellen, da KI zu einer unsichtbaren Verarbeitung führen kann, deren Vorhandensein den betroffenen Personen nicht bewusst ist, ebenso wenig wie die Logik, die Bedeutung und die Auswirkungen der Verarbeitung. So kann KI beispielsweise eingesetzt werden, um Profile zu erstellen, Rückschlüsse zu ziehen, Vorhersagen zu treffen oder das Verhalten, die Vorlieben, Interessen, Emotionen oder die Persönlichkeit der betroffenen Personen zu beeinflussen, ohne dass diese davon wissen oder zustimmen. KI kann auch eingesetzt werden, um automatisierte Entscheidungen zu treffen, die sich auf die betroffenen Personen auswirken, z. B. bei der Kreditwürdigkeitsprüfung, der Einstellung, der Gesundheitsdiagnose oder bei Sozialleistungen, ohne dass sinnvolle Erklärungen gegeben werden oder der Mensch die Möglichkeit hat, einzugreifen. Daher muss sichergestellt werden, dass die betroffenen Personen informiert und in die Lage versetzt werden, wenn KI bei der Verarbeitung ihrer Daten zum Einsatz kommt, und dass sie ihre Rechte wahrnehmen können, z. B. das Recht auf Auskunft, Berichtigung, Widerspruch, Einschränkung, Löschung oder Übertragung ihrer Daten oder das Recht, automatisierte Entscheidungen anzufechten oder zu widersprechen56. Referenzen:
* Leitlinien zu KI und Datenschutz5
* Erläuterung der mit AI6 getroffenen Entscheidungen

Erläuterung
Nach Artikel 33 der britischen Datenschutz-Grundverordnung müssen die für die Verarbeitung Verantwortlichen die Aufsichtsbehörde unverzüglich und nach Möglichkeit spätestens 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten benachrichtigen, es sei denn, es ist unwahrscheinlich, dass die Verletzung des Schutzes personenbezogener Daten zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Dies bedeutet, dass nicht alle Verletzungen des Schutzes personenbezogener Daten der Aufsichtsbehörde gemeldet werden müssen, sondern nur diejenigen, die ein Risiko für natürliche Personen darstellen. Das Risiko sollte anhand der möglichen negativen Folgen für den Einzelnen bewertet werden, wie Diskriminierung, Identitätsdiebstahl, Betrug, finanzieller Verlust, Rufschädigung, Verlust der Vertraulichkeit oder andere erhebliche wirtschaftliche oder soziale Nachteile. Die britische Datenschutz-Grundverordnung verpflichtet die für die Verarbeitung Verantwortlichen außerdem, die betroffenen Personen unverzüglich über die Verletzung des Schutzes personenbezogener Daten zu informieren, wenn die Verletzung wahrscheinlich ein hohes Risiko für ihre Rechte und Freiheiten darstellt. Die anderen Optionen sind falsch, weil:
* Die britische Datenschutz-Grundverordnung schreibt nicht vor, dass alle Verstöße gegen personenbezogene Daten der Aufsichtsbehörde gemeldet werden müssen, sondern nur diejenigen, die ein Risiko für den Einzelnen darstellen. Die für die Verarbeitung Verantwortlichen müssen jedoch im Rahmen ihrer Rechenschaftspflicht alle Verletzungen des Schutzes personenbezogener Daten dokumentieren, unabhängig davon, ob sie gemeldet wurden oder nicht.
* Die britische Datenschutz-Grundverordnung unterscheidet nicht zwischen personenbezogenen Daten und besonderen Datenkategorien, wenn es um die Meldung von Verstößen gegen personenbezogene Daten geht. Besondere Datenkategorien sind personenbezogene Daten, die Aufschluss über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Mitgliedschaft in einer Gewerkschaft geben, oder die sich auf die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung beziehen, oder biometrische oder genetische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person. Die Verarbeitung von Daten besonderer Kategorien unterliegt nach der britischen Datenschutz-Grundverordnung strengeren Bedingungen und Sicherheitsvorkehrungen, aber die Meldung von Verletzungen des Schutzes personenbezogener Daten im Zusammenhang mit solchen Daten unterliegt denselben Kriterien wie jede andere Verletzung des Schutzes personenbezogener Daten, nämlich dem Risiko für den Einzelnen.
* Die britische Datenschutz-Grundverordnung sieht keine Ausnahme von der Meldung von Verstößen gegen personenbezogene Daten vor, die auf dem Recht des für die Verarbeitung Verantwortlichen auf freie Meinungsäußerung beruht. Das Recht auf freie Meinungsäußerung ist ein Grundrecht, das durch die britische Datenschutz-Grundverordnung anerkannt und geschützt wird, aber es ist kein absolutes Recht, das die Rechte und Freiheiten der betroffenen Personen außer Kraft setzt. Die Datenschutz-Grundverordnung des Vereinigten Königreichs erlaubt es den Mitgliedstaaten, Ausnahmen oder Abweichungen von bestimmten Bestimmungen der Datenschutz-Grundverordnung des Vereinigten Königreichs für die Verarbeitung personenbezogener Daten zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken vorzusehen, wenn solche Ausnahmen oder Abweichungen erforderlich sind, um das Recht auf den Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit in Einklang zu bringen. Diese Ausnahmen oder Abweichungen gelten jedoch nicht für die Verpflichtung, der Aufsichtsbehörde Verstöße gegen den Schutz personenbezogener Daten zu melden, es sei denn, das Recht des Mitgliedstaats sieht etwas anderes vor. Referenzen:
* UK GDPR, Artikel 334
* UK GDPR, Artikel 34
* UK GDPR, Artikel 9
* UK GDPR, Artikel 85