Artikel 59 — Verarbeitung personenbezogener Daten in Regulierungssandboxen (EU-KI-Gesetz)

Artikel 59 der Verordnung (EU) 2024/1689 — Verarbeitung personenbezogener Daten in Regulierungssandboxen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 59 der Verordnung (EU) 2024/1689 legt die Bedingungen fest, unter denen rechtmäßig für andere Zwecke erhobene personenbezogene Daten in KI-Regulierungssandboxen verarbeitet werden dürfen. Er adressiert eine fundamentale Spannung, die Innovationsumgebungen innewohnt: Die reale KI-Entwicklung erfordert häufig Zugang zu repräsentativen personenbezogenen Daten, während das allgemeine Datenschutzrecht die Wiederverwendung von Daten über den ursprünglichen Erhebungszweck hinaus einschränkt.

Um dies zu lösen, führt Artikel 59 eine gezielte Abweichung vom Grundsatz der Zweckbindung in Artikel 5 Absatz 1 Buchstabe b DSGVO ein, die ausschließlich innerhalb der kontrollierten Umgebung einer gemäß Artikel 57 der Verordnung eingerichteten Regulierungssandbox gilt. Die Ausnahmeregelung ist an Bedingungen geknüpft: Die Verarbeitung muss für die Entwicklung, das Training und die Erprobung des betreffenden KI-Systems unbedingt erforderlich sein; die personenbezogenen Daten müssen ursprünglich rechtmäßig erhoben worden sein; der Zugang muss auf autorisierte Sandbox-Teilnehmer und Mitarbeiter der zuständigen Behörde beschränkt sein; und während der gesamten Verarbeitung im Sandbox-Betrieb müssen geeignete technische und organisatorische Schutzmaßnahmen vorhanden sein.

Der Artikel schreibt ferner vor, dass personenbezogene Daten, die unter dieser Ausnahmeregelung verarbeitet werden, nach Abschluss der Sandbox-Aktivität gelöscht oder anonymisiert werden müssen. Er legt eine Pflicht zur engen Koordinierung zwischen der nach dem KI-Gesetz zuständigen Behörde und der zuständigen nationalen Datenschutzaufsichtsbehörde fest, um sicherzustellen, dass keines der beiden Rahmenwerke isoliert angewendet wird. Den Mitgliedstaaten ist es gestattet, zusätzliche Schutzmaßnahmen vorzusehen. Erwägungsgrund 90 der Verordnung stellt diese Bestimmung als eine verhältnismäßige Maßnahme dar, die eine vertrauenswürdige KI-Entwicklung ermöglichen soll, ohne eine allgemeine Ausnahme vom Datenschutzrecht zu schaffen.

Was dies in der Praxis bedeutet

Artikel 59 ist am wichtigsten für Organisationen, die KI-Systeme entwickeln oder testen, die Datensätze mit personenbezogenen Daten erfordern — zum Beispiel Gesundheits-KI, die mit Patientenakten trainiert wird, Betrugserkennungsmodelle, die auf Finanztranskaktionshistorien zurückgreifen, oder Systeme für die öffentliche Sicherheit, die historische Vorfallsdaten verwenden.

Ohne Artikel 59 würde die Zweckänderung solcher Daten für die KI-Entwicklung die Identifizierung einer neuen Rechtsgrundlage oder die Einholung neuer Einwilligungen erfordern, was im großen Maßstab oft nicht praktikabel ist. Die Sandbox-Ausnahmeregelung erlaubt einem in eine nationale KI-Sandbox aufgenommenen Anbieter, bestehende personenbezogene Datensammlungen unter definierten Bedingungen zu nutzen, ohne für den neuen Verarbeitungszweck eine neue Rechtsgrundlage nach Artikel 6 DSGVO begründen zu müssen.

In der Praxis bedeutet dies, dass Sandbox-Antragsteller die Datennutzung ausdrücklich in ihrem bei der zuständigen Behörde eingereichten Sandbox-Plan ansprechen müssen. Der Plan sollte die Datensätze, die Kategorien der betroffenen personenbezogenen Daten, die Notwendigkeit der Verwendung echter personenbezogener Daten anstelle synthetischer Alternativen sowie die Schutzmaßnahmen — einschließlich Pseudonymisierung, Zugriffskontrollen, Auditprotokollierung und Datenspeicherplänen — identifizieren, die angewendet werden.

Organisationen sollten außerdem damit rechnen, dass ihre nationale Datenschutzbehörde frühzeitig einbezogen wird. Da Artikel 59 eine behördenübergreifende Koordinierung vorschreibt, können Datenschutzbehörden Leitlinien herausgeben, Überprüfungen durchführen oder Informationen über die Sandbox-Verarbeitung anfordern. Datenschutz als nachrangige Angelegenheit zu behandeln, ist ein Compliance-Risiko: Eine Sandbox-Genehmigung schützt Teilnehmer nicht vor DSGVO-Durchsetzungsmaßnahmen.

Schließlich müssen Sandbox-Teilnehmer Löschungs- oder Anonymisierungs-Workflows aufbauen, bevor das Programm endet. Verantwortliche, die personenbezogene Daten über den Sandbox-Zeitraum hinaus ohne eine unabhängige Rechtsgrundlage aufbewahren, verstoßen sowohl gegen Artikel 59 als auch gegen Artikel 5 Absatz 1 Buchstabe e DSGVO.

Wesentliche Pflichten

• Rechtmäßigkeit der ursprünglichen Erhebung: Personenbezogene Daten, die in der Sandbox verarbeitet werden, müssen ursprünglich rechtmäßig gemäß der DSGVO erhoben worden sein. Artikel 59 legitimiert nicht die Verarbeitung unrechtmäßig erlangter Daten.
• Erforderlichkeitsprüfung: Die Teilnehmer müssen nachweisen, dass die Verarbeitung personenbezogener Daten für die KI-Entwicklungs- oder Erprobungsaktivität unbedingt erforderlich ist; die Verwendung synthetischer, anonymisierter oder aggregierter Daten muss in Betracht gezogen und dort, wo dies praktikabel ist, abgelehnt werden.
• Eingeschränkter Zugang: Der Zugang zu personenbezogenen Daten innerhalb der Sandbox muss auf autorisiertes Personal der teilnehmenden Organisation und gegebenenfalls Mitarbeiter der für die Aufsicht zuständigen Behörde beschränkt sein. Ein allgemeiner organisatorischer Zugang ist nicht gestattet.
• Technische und organisatorische Schutzmaßnahmen: Geeignete Maßnahmen — einschließlich Pseudonymisierung, Verschlüsselung, Zugriffskontrollen und Auditpfade — müssen während der gesamten Dauer der Sandbox-Verarbeitung implementiert und dokumentiert werden.
• Behördenübergreifende Zusammenarbeit: Die nach dem KI-Gesetz zuständige Behörde und die nationale Datenschutzaufsichtsbehörde müssen ihre Aufsicht über Sandbox-Aktivitäten koordinieren. Teilnehmer sollten darauf vorbereitet sein, mit beiden Stellen zusammenzuarbeiten.
• Datenlöschung oder Anonymisierung beim Austritt: Nach Abschluss der Sandbox-Aktivitäten müssen personenbezogene Daten, die unter der Ausnahmeregelung nach Artikel 59 verarbeitet wurden, gelöscht oder unwiderruflich anonymisiert werden, sofern Unions- oder nationales Recht keine weitere Aufbewahrung vorschreibt oder gestattet.

Verhältnis zu anderen Artikeln

Artikel 59 kann nicht isoliert gelesen werden. Er hängt unmittelbar von Artikel 57 ab, der die Verpflichtung der Mitgliedstaaten zur Einrichtung von mindestens einer nationalen KI-Regulierungssandbox begründet, und von Artikel 58, der den allgemeinen Betrieb dieser Sandboxen regelt, einschließlich der Teilnehmerauswahl, der Dauer und der Aufsichtsvereinbarungen.

Die Ausnahmeregelung für personenbezogene Daten in Artikel 59 steht als lex specialis-Bestimmung in Wechselwirkung mit dem DSGVO-Rahmen: Sie modifiziert die Zweckbindung nach Artikel 5 Absatz 1 Buchstabe b DSGVO, lässt aber alle anderen Pflichten unberührt, einschließlich der Anforderungen an die Rechtsgrundlage nach Artikel 6 DSGVO, der Rechte betroffener Personen nach Kapitel III DSGVO und der Rechenschaftspflichten nach Artikel 5 Absatz 2 DSGVO. Organisationen sollten auch Artikel 10 des EU-KI-Gesetzes konsultieren, der spezifische Anforderungen an die Daten-Governance und Trainingsdatensätze für Hochrisiko-KI-Systeme stellt — viele der dort formulierten Datenqualitätsgrundsätze informieren darüber, was im Sandbox-Kontext als angemessene Schutzmaßnahmen gilt. Erwägungsgrund 90 liefert wichtigen Auslegungskontext zur legislativen Absicht hinter der Ausnahmeregelung.

Compliance-Zeitplan

Artikel 59 wurde Teil des Unionsrechts, als das EU-KI-Gesetz am 1. August 2024 in Kraft trat, zwanzig Tage nach der Veröffentlichung im Amtsblatt. Die Bestimmungen von Titel VI — einschließlich Artikel 59 — gelten jedoch ab 2. August 2025, dem Datum, bis zu dem die Mitgliedstaaten ihre zuständigen Behörden benennen mussten und bis zu dem der allgemeine Governance-Rahmen, einschließlich der Sandbox-Pflichten, operativ wurde.

Dies bedeutet, dass nationale Regulierungssandboxen ab August 2025 eingerichtet gewesen sein und Teilnehmer aufgenommen haben sollten. Organisationen, die die Ausnahmeregelung nach Artikel 59 in Anspruch nehmen möchten, müssen zunächst Zugang zu einer anerkannten Sandbox nach Artikel 57 erlangen; es gibt kein eigenständiges Recht, die Ausnahmeregelung für die Verarbeitung personenbezogener Daten außerhalb dieses Rahmens geltend zu machen.

Zur Orientierung sei die umfassendere Stufenregelung des KI-Gesetzes dargestellt: Verbote von KI-Praktiken mit unannehmbarem Risiko galten ab 2. Februar 2025; Pflichten für GPAI-Modelle ab 2. August 2025; Pflichten für Hochrisiko-KI-Systeme, die in Annex III aufgeführt sind, gelten ab 2. August 2026 (mit einer Übergangszeit bis 2. August 2027 für bestimmte bereits auf dem Markt befindliche Systeme). Artikel 59 ist daher bereits in Kraft und unmittelbar relevant für jede Organisation, die derzeit an einer nationalen KI-Regulierungssandbox teilnimmt oder eine Teilnahme plant.