8 Jahre DSGVO: Datenschutz im Spannungsfeld von KI und digitaler Regulierung. Ein Gespräch mit Natalie Ségur-Cabanac

Business Circle: Sehr geehrte Frau Dr. Ségur-Cabanac, in unserem letzten Gespräch haben Sie Europa als verlässlichen Partner für vertrauenswürdige KI vorgestellt und betont, dass gerade in sensiblen Bereichen klare Regeln Vertrauen schaffen. Mittlerweile sind AI Act, Data Act, NIS2, Data Governance Act und zahlreiche weitere Vorgaben hinzugekommen. Hält Europa noch das richtige Gleichgewicht oder droht dieses in Richtung Überregulierung zu kippen?

Natalie Ségur-Cabanac: Ja, das stimmt: Die Menge an Regulierungsakten ist enorm – inzwischen könnte man dafür fast einen eigenen Aktenordner reservieren. Für Unternehmen wird es immer schwieriger, alle Vorgaben im Blick zu behalten. Gleichzeitig sehen wir täglich, wie wichtig Maßnahmen im Bereich der Cybersicherheit sind, um Geschäftsmodelle und Grundrechte in Europa abzusichern. Als Anwältin sehe ich diese Herausforderung pragmatisch: Auf Unternehmensseite braucht es zunehmend spezialisierte Expert:innen, die die Regelungen verstehen, ihr Zusammenspiel erkennen und eine optimale Umsetzung im Unternehmen sicherstellen. Viel Regulierung ist anstrengend, aber angesichts der Risiken notwendig.

BC: Telekommunikationsunternehmen zählen zur kritischen Infrastruktur und verarbeiten enorme Mengen sensibler Daten. Wo verläuft insbesondere in Zeiten wachsender Terrorgefahr die Grenze zwischen berechtigten Sicherheitsinteressen des Staates und dem Datenschutz der Bürgerinnen und Bürger? Haben Sie den Eindruck, das sich das gerade verschiebt?

Ségur-Cabanac: Telekommunikationsunternehmen nehmen ihre Verantwortung als kritische Infrastruktur wahr und erfüllen die notwendigen Voraussetzungen, um dieser Aufgabe gerecht zu werden. Mit dem österreichischen NIS-Gesetz wird die NIS-2-Regulierung demnächst in Kraft treten und die bisherigen Sonderregelungen im TK-Bereich ablösen. Damit entsteht ein einheitlicher Standard für Netzwerk- und Informationssicherheitsmaßnahmen in allen betroffenen Branchen und Unternehmen in Österreich und Europa. Für Unternehmen bringt das zugleich konkrete Umsetzungsaufgaben: Sie müssen Governance-Strukturen aufbauen oder anpassen, Verantwortlichkeiten auf Geschäftsführungsebene klar festlegen, bei Sicherheitsvorfällen enge Meldefristen – etwa eine Erstmeldung innerhalb von 24 Stunden – einhalten und ein systematisches Lieferketten-Risikomanagement etablieren. Gleichzeitig muss auch der Staat in die Sicherheit seiner Systeme investieren und die Verwaltung cybersicher machen. Bürger:innen müssen darauf vertrauen können, dass die Verwaltung sicher ist.

BC: Unternehmen müssen sich heute nicht nur mit Datenschutzbehörden auseinandersetzen, sondern auch mit KI-Aufsicht, Cybersicherheitsbehörden, Telekom-Regulatoren und sektorspezifischen Aufsichten. Was sind hier die besten Vorgehensweisen?

Ségur-Cabanac: Die Vielfalt an Regulierungen bringt eine Vielfalt an zuständigen Behörden mit sich – das ist für Unternehmen eine große Herausforderung. Ein Cybersicherheitsvorfall kann je nach Sachverhalt parallel nach NIS2, DSGVO und sektorspezifischer Regulierung zu melden sein – jeweils mit unterschiedlichen Fristen und Adressaten. Das bindet in der akuten Krise gerade die Mitarbeitenden und Fachleute, die den Vorfall eigentlich bewältigen sollten. Auch doppelte oder mehrfache Strafdrohungen für denselben Vorfall, die sich aus verschiedenen Gesetzen ergeben, sind problematisch. Positiv ist daher, dass das österreichische NIS-Gesetz ausdrücklich vorsieht, dass eine Doppelbestrafung nach NIS und DSGVO nicht möglich ist. Das ist ein wichtiger Schritt, um unnötige Mehrfachbelastungen zu vermeiden.

Datenaustausch über die EU hinaus ist schwierig aber machbar.

BC: Europäische Unternehmen arbeiten täglich mit Partnern in den USA, Asien oder dem Nahen Osten zusammen. Wie realistisch ist es, europäische Datenschutzstandards weltweit anwenden, bzw. durchsetzen zu wollen?

Ségur-Cabanac: Seit Schrems II ist das Bewusstsein bei europäischen Unternehmen deutlich gewachsen: Es ist inzwischen ganz normal, sich mit diesen Themen auseinanderzusetzen und Lösungen zu finden. Der Datenaustausch mit Partnern außerhalb der EU ist weiterhin schwierig, aber der EuGH hat machbare Wege aufgezeigt. Letztlich müssen alle Parteien ihren Verantwortlichkeiten nach der DSGVO nachkommen und das Grundrecht auf Datenschutz der Betroffenen auch in diesen Szenarien schützen. In der Praxis kommt es dennoch vor, dass Verträge nicht zustande kommen, weil Partner kein Verständnis zeigen oder die erforderlichen Lösungen nicht mittragen.

BC: Viele europäische Digitalgesetze verfolgen ähnliche Ziele, verwenden aber unterschiedliche Begriffe, Zuständigkeiten und Meldepflichten. Was müsste getan werden, um dieses Stückwerk besser aufeinander abzustimmen?

Ségur-Cabanac: Bei der Gesetzgebung muss darauf geachtet werden, dass keine doppelten Meldewege vorgeschrieben werden und die Zuständigkeiten miteinander abgestimmt sind bzw. abgestimmt werden können. Bei den Begrifflichkeiten habe ich manchmal den Eindruck, dass die Legist:innen der verschiedenen Rechtsbereiche nicht miteinander reden – oder jedenfalls nicht im selben Termin. Mehr Abstimmung würde hier helfen. Als Beispiel nenne ich den Data Act: Er verwendet Begriffe, bei denen man zunächst an die DSGVO denkt, die dort aber nicht in dieser Form verwendet oder definiert sind. Begriffe wie „Dateninhaber“ oder „Nutzer“ sind nicht deckungsgleich mit den DSGVO-Begriffen „Verantwortlicher“ oder „Betroffener“. Unternehmen müssen dadurch in der Praxis verschiedene Begriffsregime parallel managen und Compliance-Prozesse teilweise doppelt aufsetzen. Das führt zu vermeidbaren Auslegungsfragen und zusätzlichem Abstimmungsaufwand.

BC: Sie engagieren sich auch bei Women in AI Austria. KI benötigt große Datenmengen, Datenschutz fordert Datensparsamkeit. Ist dieser Zielkonflikt technisch lösbar oder müssen wir akzeptieren, dass sich beide Ziele nicht immer vollständig vereinbaren lassen?

Ségur-Cabanac: Ja, bei Women in AI Austria arbeiten wir intensiv daran, das Thema Frauen und KI in allen möglichen Facetten zu beleuchten und in den allgemeinen Diskurs einzubringen. Datenschutz auf der einen und die Datenverarbeitung sowie die Entwicklung von KI-Modellen auf der anderen Seite sind Bereiche, die manchmal nicht ganz vereinbar zu sein scheinen. In der Praxis erlebe ich aber, dass es schon machbar ist. Techniken wie Anonymisierung, synthetische Daten und Privacy by Design helfen, diesen Zielkonflikt praktisch zu lösen und Datenschutz von Anfang an mitzudenken. Die DSGVO gilt natürlich auch für solche Projekte.

BC: Zum Schluss etwas Persönliches: Wir gehen jetzt schon lange ein Stück gemeinsamen Weges. Was motiviert Sie, Ihr Wissen immer wieder weiterzugeben und worauf freuen Sie sich gerade bei der PriSec besonders?

Ségur-Cabanac: Ich selbst bin sehr neugierig und möchte immer dazulernen, mein Wissen vertiefen und meine Fähigkeiten erweitern. Bei Businesscircle finde ich das passende Netzwerk und die richtigen Angebote, um mich fachlich weiterzuentwickeln. Die PriSec ist für mich jedes Jahr ein besonderes Wiedersehen mit der Datenschutz- und Informationssicherheitscommunity. Sie hilft mir, mit vertrauten und neuen Gesichtern in Verbindung zu bleiben und mich über aktuelle Themen auf Augenhöhe auszutauschen – darauf freue ich mich jedes Jahr besonders.

BC: Danke für das tolle Feedback, und für Ihre fundierter Analyse, wie wir in Europa ein digitales Umfeld schaffen, das sicher und vertrauenswürdig ist und zugleich innovationsfähig bleibt.

‍