KI-Verordnung: Hamburger Datenschutzbeauftragter wird Marktüberwachungsbehörde

Ab dem 1. Januar 2027 beaufsichtigt der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) auch den Einsatz von KI in Hamburger Behörden. Die Hamburgische Bürgerschaft hat am 14. Oktober 2026 eine Änderung des Hamburgischen Datenschutzgesetzes beschlossen. Damit wird der HmbBfDI Marktüberwachungsbehörde nach der europäischen KI-Verordnung (KI-VO).

Zuständigkeit für öffentliche Stellen des Landes

Die KI-VO verpflichtet die Mitgliedstaaten in Art. 70, unabhängige und fachkundige Marktüberwachungsbehörden zu benennen. Für besonders grundrechtssensible Bereiche sieht Art. 74 Abs. 8 KI-VO vor, die Datenschutzaufsichtsbehörden mit dieser Aufgabe zu betrauen. Nach § 2 Abs. 6 KI-MIG bestimmen die Länder, wer für KI-Systeme zuständig ist, die öffentliche Stellen der Länder einsetzen. Hamburg hat diese Zuständigkeit nun in § 19 Abs. 8 HmbDSG dem HmbBfDI übertragen.

Der HmbBfDI beaufsichtigt künftig KI-Systeme, die Hamburger öffentliche Stellen in Verkehr bringen, in Betrieb nehmen oder nutzen. Besonders im Blick stehen Strafverfolgung und biometrische Identifizierung, für die die KI-VO enge Grenzen setzt, etwa das grundsätzliche Verbot biometrischer Echtzeit-Fernidentifizierung durch KI-Kameras. Erfasst sind aber auch Bürgerservice und Bildung. So dürfen KI-Systeme in Schulen keine diskriminierenden Bewertungen erzeugen, die zu schlechteren Noten oder zum Ausschluss von Prüfungen führen. Außerdem kann der HmbBfDI KI-Reallabore einrichten, in denen Behörden neue Systeme unter Aufsicht erproben.

„Die Benennung schafft Rechtsklarheit in Hamburg und sorgt für eine digital kompetente Aufsicht aus einer Hand“, sagt der Hamburgische Datenschutzbeauftragte Thomas Fuchs. Er will eng mit der Bundesnetzagentur zusammenarbeiten, die für die Privatwirtschaft und die Bundesbehörden zuständig ist, sowie mit der EU-Kommission und dem KI-Büro.

Uneinheitliche Aufsicht in Deutschland

Die Aufsicht über KI in Deutschland ist damit auf mehrere Behörden verteilt. Für Unternehmen und den Bund ist grundsätzlich die Bundesnetzagentur zuständig. Für bestimmte Bereiche gibt es eigene Behörden, etwa die BaFin im Finanzsektor. Für die Landesverwaltungen entscheidet jedes Land selbst. Hamburg setzt dabei auf seine Datenschutzaufsicht. Wie die übrigen Länder die Zuständigkeit regeln, bleibt abzuwarten.

Für öffentliche Stellen in Hamburg heißt das: Wer KI einsetzt oder plant, sollte die Systeme jetzt erfassen und nach den Risikoklassen der KI-VO einordnen. Für Hochrisiko-Anwendungen sind Dokumentation, menschliche Aufsicht und, wo vorgeschrieben, eine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO vorzubereiten. Weil künftig dieselbe Behörde den Datenschutz und die KI-VO prüft, liegt es nahe, Datenschutz-Folgenabschätzung und KI-Prüfung gemeinsam anzugehen. Auch Datenschutzbeauftragte in anderen Ländern sollten verfolgen, wie ihr Land die Zuständigkeit regelt.

(Foto: Btc – stock.adobe.com)