24. Februar 2022

IRIS-Tagungsband: Recht DIGITAL / Data Governance, Privacy und Datenschutz

Sehr geehrte Leserinnen und Leser

Vom 23. bis 26. Februar 2022 findet das 25. Internationale Rechtsinformatik Symposion (IRIS) unter dem Motto «Recht DIGITAL – 25 Jahre IRIS» statt. Die Bandbreite der Jubiläums-Tagung ist sehr gross, mit Beiträgen zu so gut wie allen Themengebieten der Rechtsinformatik.

Traditionell produziert Weblaw den gedruckten Tagungsband, der dieses Jahr gut 50 Beiträge umfasst. Ein Teil der Beiträge – nämlich jene zu den Bereichen «Recht DIGITAL» sowie «Data Governance, Privacy und Datenschutz» – werden in der heutigen Ausgabe von Jusletter IT digital veröffentlicht. Die restlichen Beiträge folgen in den nächsten Ausgaben.

Ich wünsche Ihnen eine spannende Lektüre!

Philip Hanke
Verlagsleiter

Vorwort

Vorwort / Preface

Erich Schweighofer

Franz Kummer

Ahti Saarenpää

Stefan Eder

Jakob Zanol

Felix Schmautzer

Philip Hanke

Grußbotschaft

Ahti Saarenpää

Recht DIGITAL – 25 Jahre IRIS

Recht Digital: Kreis oder Pfeil?

Rolf H. Weber

Der interdisziplinäre Ansatz der Rechtsinformatik ist 50 Jahre alt. Mit Verästelungen in das Informationsrecht hat die Digitalisierung die normative Ordnung zwischenzeitlich durchdrungen. Regeln sind z.T. auch als technischer Code, der bestimmte Vorgänge automatisch ablaufen lässt, vorhanden. Parallel dazu nimmt die Künstliche Intelligenz ursprüngliche Konzepte der Rechtsinformatik auf, mit dem Ziel, ein konfliktfrei funktionierendes automatisiertes Regelungssystem zu verwirklichen. Diese Entwicklungen zwingen das Recht dazu, die gesellschaftliche Steuerungsaufgabe neu zu überdenken.

What is “AI”?

Jakob Zanol

Alexander Buchelt

Simon Tjoa

Peter Kieseberg

Artificial intelligence has become an integral part of our everyday life and is seen as a key technology for solving the major societal challenges (e.g.: Sustainable Development Goals) in the future. The accumulation of incidents (e.g.: profiling, machine learning bias, ...) and problems to understand complex artificial intelligences led the EU Commission to develop a proposal for the regulation of AI and high-risk AI. In this paper, we aim to highlight the technical challenges related to the proposed text regarding the definition of AI.

New Normative Standards in the Digital Context

Vytautas Čyras

Friedrich Lachmayer

In the movement of law from textual media to digital media, the importance of text-driven law is changing. A new morality is emerging. It brings an opportunity for moral norms to influence the law. The structure of the state will also change, as algorithm-controlled government differs from the previous personally-designed state powers. The law is affected: first, as to its interpretation, which results in legal acts being influenced by non-legal standards, and, second, as the new norms take effect. The new standards affect electronic virtuality, from which the law has previously kept away.

Digitale Identität im Zahlungsverkehr

Helgo Eberwein

Lejla Tuholjakovic

Die EU-Kommission hat im Juni 2021 einen Rahmen für eine europäische digitale Identität (EUid) vorgeschlagen. Damit soll EU-Bürgern sowie Unternehmen ein Identitätsnachweis, die elektronische Dokumenten-Weitergabe mittels EUid-Brieftasche sowie die Nutzung europaweiter Online-Dienste ermöglicht werden. Die Autoren untersuchen die Entwicklung der Legitimationsprüfung und die Unterschiede zwischen derzeitiger und zukünftiger Rechtslage. Berücksichtigt werden die Einflüsse der Legitimationsprüfung auf die geldwäscherelevanten Transaktionen, die Rechtslage in den USA, Risken und Missbrauchsfälle.

On the Preconditions of Rationality

Hanna Maria Kreuzbauer

In the field of legal argumentation theory, rational justification is probably the most important part, and yet it is not fully understood by scholars even today. In several publication the author has presented already presented her theory on this, but has not discussed all the preconditions. In the present contribution this will be handed in – at least in a short version. Thus, aspects of epistemology and linguistic theory are discussed, as well as what the author calls the ‘LBA theorem’ (from ‘The Least Bad Alternative’), which relies on the law of noncontradiction and describes a criterion for when exactly an assertion is rationally justified.

Web Accessibility and what Law Should Look Like in Open Data Stores

Ahti Saarenpää

Auf unserem Weg zur Digital Network Society haben wir erlebt, wie sich der Fokus der Gesetzgebung einige Male verschoben hat. Als Gesellschaft mussten wir unsere Position klären zu verschiedenen Zugangsberechtigungen, zur Verarbeitung von persönlichen Daten und zu intellektuellen Eigentumsrechten. Allerdings bedeutet das auch, dass wir jetzt schon einige Zeit aus dem Auge verloren haben, wie mit digitaler Information in ihrem eher technischen Kontext umzugehen ist. Eine Lösung für die hiermit aufgeworfenen Fragen war die Richtlinie über den barrierefreien Zugang zu den Websites und mobilen Anwendungen öffentlicher Stellen von 2016. In meinem Beitrag will ich kurz darauf eingehen, wie offizielle rechtliche Quellen in Datenbanken aussehen sollten, wenn sie den vom Rechtsstaat geforderten Standard der Zugänglichkeit erfüllen wollen. „Legal literacy“ ist eine viel zu bedeutende Aufgabe, als dass man ihr Schicksal beliebigen nationalen und internationalen Bemühungen überlassen könnte. Allzu oft haben Programmdesigner die wichtige Rolle offizieller rechtlicher Texte nicht im Blick.

Making sense of Trifles: Data Narratives and Cumulative Data Disclosure

Leif Azzopardi

Callum Nash

Dan Carey

Emma Nicol

Amal Htait

Burkhard Schafer

Jo Briggs

Wendy Moncur

The law does not concern itself with trifles. If a risk is deemed minimal, or an infraction negligible, invoking the authority of the law often seems unnecessary. However, there are increasingly fields of human activity where this principle leads to gaps in the protection necessary for a flourishing society. This paper reports findings and ideas from a research project in cumulative data disclosure, where an aggregation of in themselves harmless data points can expose the users of social media to significant personal risk.

Artificial Intelligence and Design: The Case of “Request to Intervene” in “Industry 4.0”

Federico Costantini

Lorenzo Genna

Giuseppe Parisi

In the past 25 years, legal thought has considerably evolved. Traditional narratives have been supplemented by other visions, which are driven by technological innovation. In those latter perspectives, social regulation is the result of a complex process in which information technology embodies a crucial factor, as well as does legislation. In this contribution we address, according to such a perspective, the problem of the “request to intervene” in the so-called “Industry 4.0”. Firstly, we provide a theoretical model, centred on the concept of technological design, overarching the current relationship between law and technology, individual and society, moral values, and quality standards. Secondly, we examine how design, according to such a model, can shape the interaction between humans and machines, bringing new means of social control, especially in critical conditions. Furthermore, we discuss the problems emerging in industrial production, where most of the current “disruptive technologies” are deployed.

Automation Bias & the Proposal of the EU-Regulation on AI

Jonas Pfister

In 2021 the European Commission proposed the world’s first legal framework for Artificial Intelligence. The proposal follows a risk-based approach to AI-regulation, meaning that artificial intelligence systems will have to adhere to different requirements proportional to the risk they pose. Insofar as a system will be considered “high-risk”, the artificial intelligence will have to be compliant with the requirements on human oversight set out in Article 14 of the regulation. According to article 14 par. 4 lit (b) these requirements include the obligation to be aware of a so-called “automation bias”, which will be the focal point of the following analysis. The paper aims to give a short overview over relevant parts of the new proposal, clarify what constitutes an “automation bias”, highlight the difficult compliance with this seemingly small requirement and propose possible solutions.

Data Governance – Privacy – Datenschutz

Datenschutzrechtliche Herausforderungen beim Einsatz von Trainingsdaten für KI-Systeme

Lena Leffer

Maximilian Leicht

Der Beitrag setzt sich mit den datenschutzrechtlichen Problemstellungen beim Einsatz von Trainingsdaten für KI-Systeme auseinander – insbesondere mit den Anforderungen an eine Anonymisierung der Trainingsdaten und der Erforderlichkeit einer Rechtsgrundlage für eine solche Anonymisierung. Besondere datenschutzrechtliche Herausforderungen ergeben sich zudem bei der Verwendung von Bestandsdaten, die im Rahmen einer Zweckänderung verwendet werden sollen. Schließlich wird diskutiert, inwieweit die Anforderungen an die Anonymisierung dynamisch sind, das heißt die Änderung des Stands der Technik eine Anpassung der Anonymisierung erforderlich macht.

Einwilligung oder Anonymisierung? Rechtliche Implikationen der Datenverarbeitung im Beschäftigungskontext

Bianca Steffes

Christian K. Bosse

Aljoscha Dietrich

Hartmut Schmitt

Datenverarbeitungen im Beschäftigungsverhältnis unterliegen dem Schutz der DSGVO und des BDSG. Durch diese Normen werden verschiedene Wege für eine rechtskonforme Datennutzung ermöglicht, die wir mit ihren Anwendungsmöglichkeiten und Einschränkungen erläutern. Neben möglichen Rechtsgrundlagen wie der Einwilligung thematisieren wir die Anonymisierung von Daten, mit der die Anwendbarkeit des Datenschutzrechts vermieden werden kann. Abschließend geben wir eine Entscheidungshilfe zur Anwendung der Vorgehensweisen im Beschäftigungsverhältnis.

Ein Staatsgrundnetz 2.0 – Resilienz durch „Amtshilfe“?

Hermann Bühler

Martin Latzenhofer

Philipp Poindl

Jakob Zanol

Im Zeitalter der Digitalisierung sind auch staatliche Einrichtungen auf hochverfügbare Netzwerkinfrastrukturen der Informations- und Kommunikationstechnologien (IKT) angewiesen. Um staatliche Aufgaben auch bei Netzausfällen zu ermöglichen, wird derzeit geforscht, inwieweit sich die bestehende Netzinfrastruktur innerhalb eines Overlay-Netzes in einer Weise „vermaschen“ lässt. Neben der Darstellung des konzipierten SGN 2.0 soll auch die spannende Rechtsfrage nachgegangen, ob und inwieweit man die Umsetzung dieses Netzwerks auf eine bereits sehr alte Rechtsinstitution stützen könnte – nämlich jenes der Amtshilfe nach Art. 22 B-VG.

Ein Staatsgrundnetz 2.0 – wettbewerbs- und vergaberechtliche Umsetzung

Ralf Blaha

Jonas Pfister

Jakob Zanol

Ein Staatsgrundnetzes (SGN 2.0) soll gemäß seiner Konzeption i.S. eines Overlay-Netzes Schutz vor Netzausfällen bieten und die Erfüllung staatlicher Aufgaben ermöglichen. Ein resilientes SGN 2.0 hat aber keinesfalls bloß eine staatsrechtliche Dimension, sondern erfordert auch die Einbeziehung privatrechtlich organisierter Akteure (etwa im Rahmen einer Public-Private-Partnership). Hierzu ergeben sich jedoch wettbewerbs- und vergaberechtliche Fragen, die über die Konzeption eines SGN hinausgehen und allgemein den Schutz kritischer Infrastruktur durch kooperative Maßnahmen betreffen.

Informationsaustausch der Steuerbehörden betreffend Kryptoassets

Jan Hospes

Walter Hötzendorfer

Christof Tschohl

Die EU-Kommission ist bestrebt, Kryptoassets Regelwerken zum Austausch von Informationen in Steuersachen zu unterwerfen. Ziel dieses Beitrags ist es, diese Bestrebungen in Kontext zu setzen. Zunächst wird die Ausgestaltung der Anwendungsbereiche diskutiert, wobei insbesondere auf mögliche Definitionen eingegangen wird. Folgend werden besonders eingriffsintensive Varianten einer Regulierung aufgezeigt und Rahmenbedingungen für Datenflüsse diskutiert, um insbesondere die Grundsätze der Verhältnismäßigkeit, Datensparsamkeit und Datensicherheit zu wahren.

Implikationen bezüglich der österreichischen Umsetzung von Artikel 17 der DSM-RL

Stephan Mandl

Štefan Ziman

Jan Hospes

Der österreichische Ministerialentwurf betreffend die Umsetzung der RL 2019/790 (DSM-RL), bringt neue Facetten in die Diskussion um das Thema „Upload-Filter“, weshalb eine Analyse des Entwurfs geboten ist. Augenmerk ist hierbei auf die Umsetzung von Artikel 17 RL 2019/790 zu legen. Dabei sollen zuerst ausgewählte Passagen des Ministerialentwurfs auf ihre Richtlinienkonformität überprüft werden. Folgend sollen mögliche datenschutzrechtliche Implikationen aufgezeigt werden, wobei insbesondere auf Personenbezug und Art. 22 DSGVO eingegangen wird.

Bürgerfreundliche Überwachung mit einer blinden Blockchain-Durchlaufstelle zur Vorratsdatenspeicherung mittels Quick Freeze

Karl Pinter

Dominik Schmelz

Markus Gruber

Thomas Grechenig

Die Richtlinie 2006/24/EG regelte den Eingriff in die Telekommunikation aller Bürgerinnen und Bürgern innerhalb der EU. In diesem Zusammenhang sollten Metadaten anlasslos und flächendeckend gespeichert werden. Neben rechtlichen Bedenken schaffte dies auch ein Missbrauchspotenzial und Unbehagen. Die Autoren schlagen daher eine Lösung vor, die einerseits die Speicherung der geforderten Metadaten ermöglicht, andererseits aber auch ein gewisses Maß an Datenschutz gewährleistet. Es wird ein Prototyp vorgestellt, der mit Hilfe der Blockchain-Technologie das Missbrauchspotenzial reduziert und so zu einer rechtssicheren Überwachung im positiven Sinne beitragen könnte.

Datenschutz beim hochautomatisierten Fahren der Zukunft

Yvonne Prieur

Andreas Sesing-Wagenpfeil

Christian Müller

Hochautomatisierte Fahrzeuge sind ohne die Verarbeitung von großen Datenmengen undenkbar. Dies beruht einerseits darauf, dass entsprechende Systeme auf Verfahren Künstlicher Intelligenz (KI) fußen und daher bereits die Entwicklung nicht ohne umfassende Trainingsdatensätze auskommen. Andererseits kann die Fahraufgabe nur dann hochautomatisiert bewältigt werden, wenn das Fahrzeug seine Umwelt möglichst detailgetreu wahrnimmt. Der Beitrag skizziert die technischen Rahmenbedingungen des hochautomatisierten Fahrens und beleuchtet aus europäischer, deutscher und schweizerischer Perspektive die datenschutzrechtliche Fragestellung des hochautomatisierten Fahrens unter Einbeziehung der aktuellen Gesetzgebung sowie laufenden Gesetzesrevisionen.

Big Data Analytics und Artikel 11 DSGVO

Jakob Zanol

Felix Schmautzer

Trotz der steigenden Bedeutung personenbezogener Daten in einer datengetriebenen Wirtschaft gibt es auch zahlreiche Bestrebungen, deren Verarbeitung datenschutzfreundlich und datenminimierend zu gestalten – nicht zuletzt, um den Anforderungen der DSGVO nachzukommen. Dennoch führt die weite Auslegung des „Personenbezuges“ i.S.d. Art. 4 Z. 1 DSGVO dazu, dass viele der gesetzten Maßnahmen (z.B. k-anonymity) nicht immer „echte“ Anonymisierung von Daten (Beseitigung des Personenbezuges) erreichen. Dieser Aufsatz zeigt auf, warum diese Maßnahmen dennoch (mit Blick auf Art. 11 DSGVO) wesentliche Erleichterungen für Verantwortliche im Bereich Big-Data-Analytics bringen können.