Kontrolleur und Betreiber gemäß LGPD: Verantwortlichkeiten verstehen

Der Markt für künstliche Intelligenz und Cloud Computing wächst rasant. Fast wöchentlich erscheinen innerhalb weniger Stunden neue Tools, neue Modelle und innovative Produkte. Doch hinter dieser technischen Agilität verbirgt sich ein ebenso komplexer Rechtsrahmen, der in der Praxis darüber entscheidet, ob ein Unternehmen einen Sicherheitsvorfall übersteht oder als nächstes von der Nationalen Datenschutzbehörde (ANPD) sanktioniert wird.

Genau darum ging es im zentralen Gespräch des Builderszwischen Dr. Renata Barros, Leiterin der Rechtsabteilung für Compliance und Governance bei Skyone, und Henrique Fabretti, Partner der Anwaltskanzlei Opice Blum Advogados. Ausgangspunkt der Diskussion war ein kürzlich veröffentlichter Leitfaden der CNIL (der französischen Datenschutzbehörde) zur Rollenverteilung bei der Verwaltung von Cloud-Diensten. Anschließend erkundete das Gespräch ein Gebiet, das jedes Unternehmen, das mit personenbezogenen Daten, KI oder Cloud Computing arbeitet, beherrschen muss: Wer ist wofür verantwortlich und warum?

Ausgangspunkt: Controller und Operator sind nicht dasselbe

Sowohl das brasilianische Datenschutzgesetz (LGPD) als auch die europäische Datenschutz-Grundverordnung (DSGVO), die als Vorbild für das brasilianische Gesetz diente, teilen die Verantwortlichkeiten für die Verarbeitung personenbezogener Daten auf zwei zentrale Akteure auf. Wie Henrique Fabretti erklärte, ist diese Aufteilung nicht bürokratisch, sondern eine Frage der regulatorischen Fairness:

Der Gesetzgeber beschloss eine Aufteilung der Rollen, da es Parteien mit mehr Einfluss und Entscheidungsmacht in Bezug auf die Daten und Parteien mit weniger Macht gibt, und es wäre nicht fair, für beide den gleichen Maßstab anzuwenden.

Der Verantwortliche trifft die relevanten Entscheidungen: Er legt den Zweck der Verarbeitung fest, entscheidet über die Verwendung der Daten, deren Speicherdauer und den Zeitpunkt ihrer Löschung. Der Auftragsverarbeiter ( im Sinne der DSGVO) führt lediglich Anweisungen aus. Er verarbeitet Daten im Auftrag eines Dritten, ohne über den Zweck dieser Verarbeitung selbst entscheiden zu können.

Die Falle, so Fabretti, besteht darin, dass diese Unterscheidung „auf den ersten Blick einfach erscheint“, aber selten eindeutig ist. Er führt Skyones eigenes Beispiel an: „Oft, in den allermeisten Fällen, ist ein Unternehmen nicht nur Betreiber oder nur Verantwortlicher in ein und demselben Verhältnis.“ Ein Unternehmen kann innerhalb desselben Vertrags für dasselbe Produkt in einem Teil des Vorgangs Verantwortlicher und in einem anderen Teil Betreiber sein. Daher ist die erste Aufgabe für jedes Unternehmen, das personenbezogene Daten verarbeitet, darin, den Vorgang Schritt für Schritt zu analysieren und die eigene Rolle darin zu ermitteln.

Sie könnten auch interessiert sein an: Nutzt generative KI Unternehmensdaten? Risiken, LGPD (brasilianisches Datenschutzgesetz) und wie man Unternehmensinformationen schützt.

Der häufigste Fehler: die Person, die die Daten besitzt, mit der Person zu verwechseln, die die Daten kontrolliert

Einer der aufschlussreichsten Momente des Gesprächs war, als die Referenten ein praktisches Beispiel vorstellten: Ein Entwickler erstellt ein CRM-System mithilfe von KI – dem sogenannten „Vibe Coding“ – und dieses CRM speichert eine Kundendatenbank. Wer hat in dieser Beziehung die Kontrolle: der Entwickler des CRM-Systems oder der Nutzer?

Dr. Renatas Antwort räumt mit einem weit verbreiteten Missverständnis auf dem Technologiemarkt auf:

Anders ausgedrückt: Die größte regulatorische Last liegt bei denjenigen, die das Tool nutzen und über den Zweck der Daten entscheiden, nicht bei denjenigen, die die technologische Infrastruktur geschaffen haben. Wie André Senna in der Sendung anmerkte, ist dies kontraintuitiv: „Auf den ersten Blick könnte man das Gegenteil vermuten.“ Man neigt dazu anzunehmen, dass derjenige, der die technische Komplexität besitzt (der Cloud-Anbieter, der Plattformentwickler), automatisch verantwortlich ist. Das ist aber nicht der Fall. Laut Renata definiert der Anbieter zwar das technische „Wie“; er gibt die Richtung vor, auf der der Betrieb abläuft. Doch wer das Geschäft definiert, ist der Verantwortliche, und damit verbunden ist die größte Verantwortung.

Genau diese Grauzone will die CNIL mit ihren Leitlinien beseitigen: Die Tatsache, dass ein Anbieter über eine ausgefeiltere technologische Infrastruktur verfügt, macht ihn nicht automatisch zum Verantwortlichen oder zum „Eigentümer der Daten“.

Wenn Theorie zur Realität wird: der Fall der App "vibe codado"

Die Diskussion verlor ihren abstrakten Charakter, als Fabretti einen konkreten und aktuellen Fall ansprach: ein Sanktionsverfahren der ANPD (Nationale Datenschutzbehörde), das in der Woche vor der Aufzeichnung öffentlich gemacht worden war. Es betraf eine Dating-Plattform für die LGBTQ+-Community, die mittels Vibe Coding entwickelt worden war. Die Plattform erlebte ein explosionsartiges Wachstum mit über 30.000 Nutzern innerhalb kürzester Zeit und legte aufgrund einer Sicherheitslücke die Daten aller neu hinzugekommenen Nutzer offen.

Fabrettis Einwand bezüglich der Schwere des Falles geht weit über die Höhe der Geldstrafe hinaus:

Dieses Beispiel verdeutlicht einen zentralen Grundsatz des brasilianischen Datenschutzgesetzes (LGPD), den Dr. Renata in der gesamten Folge immer wieder betonte: Es handelt sich um eine risikobasierte Gesetzgebung, nicht um eine binäre, regelbasierte. Es gibt keine einfache Ja/Nein-Antwort; vielmehr existiert ein Spektrum an Risiken, und der erforderliche Sorgfaltsaufwand ist proportional zur Schwere des potenziellen Schadens. Gesundheitsdaten, sexuelle Orientierung oder andere sensible Informationen erfordern eine deutlich höhere Sorgfaltspflicht als beispielsweise eine Datenbank mit Namen und der brasilianischen Steueridentifikationsnummer (CPF).

Lesen Sie auch: Vibe Coding: KI, Produktivität und die Rolle des Menschen im Unternehmen

Cloud-Sicherheit vs. Sicherheit in der Cloud: Die Unterscheidung, die Vorfälle verhindert (oder verursacht)

Eines der wichtigsten operativen Konzepte, die in der Folge besprochen werden, ist der Unterschied zwischen Cloud-Sicherheit (Verantwortung des Anbieters: physische Infrastruktur, Betriebssystem-Patches, physische Zugangskontrolle zum Rechenzentrum) und Sicherheit in der Cloud (Verantwortung des Benutzers: Zugriffsverwaltung, korrekte Konfiguration der Tools, Widerruf von Anmeldeinformationen).

Laut Fabretti, der direkt im Bereich der Vorfallsreaktion im Büro von Opice Blum arbeitet, beruhen die meisten Probleme nicht auf Versäumnissen der Leistungserbringer:

Dr. Renata fasste diesen Unterschied mit einer einprägsamen Analogie zusammen:

Diese Metapher veranschaulicht direkt, warum viele Unternehmen ihr Ziel verfehlen, indem sie massiv in Infrastruktur investieren, ohne gleichermaßen in Zugriffsverwaltung, Rotation der Zugangsdaten und Teamschulungen zu investieren.

Wie beurteilt die ANPD (brasilianische nationale Datenschutzbehörde) die Haftung in Fällen schwieriger Kausalität?

Einer der aufschlussreichsten Abschnitte der Folge beleuchtete ein bewusst extremes Szenario: einen Angriff über ein physisches Peripheriegerät (eine kompromittierte Tastatur, die beim Anschließen Schadsoftware installiert), der praktisch nicht nachvollziehbar ist. Wer ist dafür verantwortlich?

Fabrettis Antwort führte zu einem wichtigen Perspektivenwechsel hinsichtlich der Art und Weise, wie die brasilianische Regulierungsbehörde diese Fälle tatsächlich analysiert:

In der Praxis bedeutet dies, dass das Auftreten eines Vorfalls an sich kein Beweis für Fahrlässigkeit ist. Die Behörde bewertet den Unterschied zwischen zwei möglichen Szenarien: einem Unternehmen, das Mitarbeiter geschult, das Netzwerk überwacht, Protokolle geführt und nach dem Vorfall forensische Analysen durchgeführt hat; und einem Unternehmen, das über keinerlei dieser Sicherheitsvorkehrungen verfügte und das Problem erst durch einen Dritten entdeckte. Im Fall der Vibe Codado-App war die Position der ANPD laut Fabretti eindeutig: „Sie haben keine der erforderlichen Sicherheitsmaßnahmen, deshalb ist es zu dem Vorfall gekommen, und deshalb werden sie sanktioniert.“

Renata fasst die praktische Schlussfolgerung wie folgt zusammen: Regierungsführung ist keine Bürokratie, sondern das Rohmaterial für die zukünftige Rechtsverteidigung: „Manchmal ist die Rechtsabteilung etwas lästig und will, dass man dies und jenes dokumentiert. Aber um die Geschichte später erzählen zu können, muss sie überzeugend sein. Es reicht nicht, sie nur zu erzählen; man muss sie beweisen.“

Datenschutz durch Technikgestaltung und die neue Grenze: Compliance durch Technikgestaltung

Ein zentrales Konzept der Diskussion ist „Datenschutz durch Technikgestaltung“. Die Idee dahinter ist, dass technologische Lösungen von vornherein so konzipiert werden sollten, dass sie Datenschutzvorkehrungen integrieren, anstatt diese erst nachträglich hinzuzufügen. Laut Dr. Renata:

In der Folge thematisierten die Moderatoren auch ein realistisches Szenario: Was passiert, wenn der Entwickler die Best Practices von Privacy by Design und Security by Design strikt befolgt und es dennoch zu einem Vorfall kommt? Fabrettis Antwort vereint juristische Korrektheit mit Pragmatismus:

Neben dem Risiko spielt noch ein zweites Element eine Rolle: Treu und Glauben. Fabretti betont, dass der Nachweis von Treu und Glauben nicht nur ein Grundsatz des brasilianischen Datenschutzgesetzes (LGPD) ist, sondern auch ein konkreter Faktor bei der Berechnung von Bußgeldern durch die brasilianische Datenschutzbehörde (ANPD) darstellt und die Strafe reduzieren kann. Dokumentation und Beweise sind daher nicht nur ein Verteidigungsmittel, sondern wirken auch strafmildernd.

Lernen Sie die besten Methoden für eine sichere Softwareentwicklung für Ihr Unternehmen kennen

Die goldene Regel: „Wenn es nicht getan, gesagt oder bewiesen werden kann, dann tu es nicht.“

Am Ende der Folge fasste Dr. Renata ihre Empfehlungen für Einzelpersonen und Unternehmen in einem Satz zusammen, der die gesamte im Programm besprochene Risikomanagementphilosophie auf den Punkt bringt:

Henrique Fabretti fügte eine Empfehlung für einen Stresstest hinzu, die für jedes digitale Produkt gilt, das personenbezogene Daten verarbeitet:

Eine Botschaft an alle, die heute mit KI entwickeln

Das Gespräch bietet einen klaren Fahrplan für jeden Gründer, Entwickler oder jedes Unternehmen, das ein neues KI- oder Cloud-Produkt „ vibe-codiert “:

1. Ermitteln Sie Ihre Rollen – Kontrolleur oder Bediener – in jeder Datenverarbeitungsbeziehung, bevor ein Vorfall diese Analyse unter Druck setzt.
2. Dokumentieren Sie die Aufteilung der Verantwortlichkeiten im Vertragund unterscheiden Sie klar zwischen Cloud-Sicherheit und Sicherheit in der Cloud.
3. Setzen Sie die Zugriffsverwaltung mit der gleichen Sorgfalt um, die Sie in die Infrastruktur investieren – Token, Anmeldeinformationen und Berechtigungen von Drittanbietern sind die häufigste Fehlerquelle.
4. Datenschutz und Compliance sollten von Anfang an, also bereits bei der Produktentwicklung, berücksichtigt werden, nicht erst im Nachhinein.
5. Dokumentieren und belegen Sie alles. Im Umgang mit einer Aufsichtsbehörde sind Treu und Glauben sowie nachgewiesene Sorgfalt entscheidend für die Feststellung der Haftung.

Wie Robson Del Fiol im Rahmen der Sendung zusammenfasste, beginnt die Gefährdung durch diese Art von Risiko nicht erst mit der Produkteinführung, sondern bereits in der Ideenfindungsphase. Und genau das ist der blinde Fleck vieler digitaler Unternehmen heutzutage: Die Technologie entwickelt sich rasant, doch die rechtlichen Konsequenzen einer schlecht durchdachten Entscheidung können das Unternehmen jahrelang verfolgen.

Möchten Sie das vollständige Gespräch mit allen Beispielen, Analogien und Produktivitätstipps der Gäste hören? Hören Sie sich die komplette Folge des Buildersmit Dr. Renata (Skyone) und Henrique Fabretti (Opice Blum Advogados) an, die jetzt auf Spotify.

Verfasst von Skyone