Beschluss
der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes
und der Länder vom 3. Mai 2024

Nationale Zuständigkeiten für die Verordnung
zur Künstlichen Intelligenz (KI‐VO)
Positionspapier der Konferenz der unabhängigen
Datenschutzaufsichtsbehörden des Bundes und der Länder vom 3. Mai 2024

Die KI‐VO sieht bereits in einigen Fällen die sektorspezifische Zuständigkeit derDatenschutzbehörden als Marktüberwachungsbehörden vor. Aufgrund ihrer
bestehenden Zuständigkeiten nach der DSGVO, ihrer langjährigen Expertise imdigitalen Grundrechtsschutz und etablierten, kooperativen Aufsichts‐ sowie
Abstimmungsmechanismen sollte diese Kompetenz ausgeweitet werden. Die
Datenschutzaufsichtsbehörden sind bereit, die Aufgabe der nationalen Markt‐überwachung für KI‐Systeme zu übernehmen.
Im März 2024 hat das Europäische Parlament die Verordnung zur Festlegung
harmonisierter Vorschriften für künstliche Intelligenz angenommen. Nach Inkraft‐treten der KI‐VO muss in Deutschland innerhalb von 12 Monaten eine behördliche
Aufsichtsstruktur eingerichtet werden. Damit besteht Handlungsbedarf für die Gesetz‐
geber in Bund und Ländern.
Aufgrund der bereits jetzt durch die DSGVO begründeten Aufgaben und Befugnisse derDatenschutzaufsichtsbehörden sowie der langjährigen Erfahrung im Bereich derBeratung, Beschwerdebearbeitung und Kooperation auf nationaler wie europäischerEbene sollten in Deutschland grundsätzlich die nationalen Datenschutzaufsichts‐
behörden als Marktüberwachungsbehörden benannt werden. Das Ziel einer einheit‐
lichen Anwendung der KI‐VO wäre mit der Einrichtung weiterer Marktüberwachungs‐
behörden kaum zu erreichen. Sowohl im Bereich der KI‐ als auch der Datenschutz‐
aufsicht hätten Unternehmen, Behörden und Bürger:innen es bei einer Bündelung derZuständigkeiten im Regelfall nur mit einer Aufsichtsbehörde zu tun. Zudem verfügen1die Datenschutzaufsichtsbehörden nicht nur über einschlägige Fachkunde und die vonder KI‐VO geforderte Unabhängigkeit, sondern auch über funktionierende Koopera‐
tions‐ und Kohärenzmechanismen.
Ohnehin bleibt die Datenschutzaufsicht – jedenfalls bei KI‐Systemen, die personen‐bezogene Daten verarbeiten, wie dies in der Praxis regelmäßig auftreten wird –vollständig bestehen, da die KI‐VO die DSGVO in ihrem Anwendungsbereich nichtersetzt. Auch die KI‐VO erkennt die Expertise der Datenschutzbehörden an: FürKernelemente der demokratischen Ordnung sind sie bereits zuständige Markt‐überwachungsbehörden (Strafverfolgung, Wahlen, Grenzkontrolle und Justiz‐verwaltung, Art. 74 Abs. 8 i. V. m. Anhang III Nr. 1, 6, 7, 8 KI‐VO). Als für den
Grundrechtsschutz zuständige Behörde erhält die Datenschutzaufsicht im Rahmen
ihrer bestehenden Zuständigkeiten zudem zusätzliche Befugnisse für KI‐Systeme, diepersonenbezogene Daten verarbeiten (Art. 77, EG 157 KI‐VO). Daher liegt es nahe, den
Datenschutzaufsichtsbehörden auch darüber hinaus nach innerstaatlichem Recht
Zuständigkeiten zur Durchsetzung der KI‐VO zuzuweisen.
Strukturell handelt es sich bei der KI‐VO im Wesentlichen um ein Regelwerk der
Produktregulierung im Ordnungsrahmen des „New Legislative Frameworks“. Künst‐liche Intelligenz kann dabei nur auf Basis digitaler Rechte und namentlich eines hohen
Datenschutzniveaus prosperieren. Als Produktregulierungsverordnung wird die Zu‐
ständigkeit für die Marktüberwachung nach der KI‐VO Bund und Ländern zugewiesen
werden müssen: Während Landesbehörden im Grundsatz die Aufsicht führen, wirdeine Bundesbehörde für die einheitliche Regelung gesamtstaatlicher Sachverhalte
zuständig sein (Art. 83, 72 Abs. 2 GG). Dies entspricht auch der Struktur der Behörden
im Produktsicherheitsrecht, welche die Marktüberwachungs‐Verordnung umsetzen(§ 4 MÜG, § 25 ProdSG).
Nationale Regelung der Zuständigkeiten für die KI‐VO
Die Benennung der jeweiligen allgemeinen Marktüberwachungsbehörden in den
Mitgliedstaaten ist in der KI‐VO nicht dediziert geregelt. Es finden sich nur vereinzelt
Vorgaben, die bei der nationalen Bestimmung zu berücksichtigen sind. Für Deutschlandmuss – wie in anderen Mitgliedstaaten auch – in einem nationalen Umsetzungsgesetz
festgelegt werden, welcher oder welchen unabhängigen nationalen Behörden diejeweiligen Zuständigkeiten zugewiesen werden (Art. 70 Abs. 1 KI‐VO). Dabei muss
gleichzeitig auch eine hinreichende Bereitstellung aufgabengerechter zusätzlicher
Ressourcen mitgedacht werden.

2

Die DSK empfiehlt, die allgemeinen Marktüberwachungsbehörden für die Zwecke
der KI‐VO in Deutschland wie folgt zu benennen:
 Marktüberwachungsbehörden: BfDI und Landesdatenschutzbehörden
Hinweis: Wird ein KI‐System bundesweit als Produkt angeboten oder aus dem
internen Gebrauch heraus zum externen Vertrieb auf den Markt gebracht, liegt
die Zuständigkeit hierfür beim Bund. Insbesondere die Nutzung oder die
Entwicklung von KI‐Systemen für den internen Gebrauch durch Unternehmen
und Behörden wird von den Landesdatenschutzbehörden bzw. der Bundes‐
datenschutzbehörde in ihrer jeweiligen Zuständigkeit überwacht.
 Europäischer Ausschuss für KI: BfDI
Hinweis: Der Vertreter der Mitgliedstaaten im europäischen Ausschuss für KI
wird automatisch der zentrale Ansprechpartner gegenüber dem Ausschuss, derÖffentlichkeit und den anderen Akteuren der KI‐VO auf nationaler undeuropäischer Ebene.
 Unberührt bleiben sektorale Zuständigkeiten (z. B. Kraftfahrzeuge, Finanz‐sektor, KRITIS), soweit sie bereits in dem Verordnungstext vorgesehen sind odervom Bundesgesetzgeber aufgrund der Sachnähe aufgegriffen werden.

3