Wenn KI und Extremhitze die Rechenzentren in die Zange nehmen

Wachsende Wärmelasten durch Hochleistungschips und steigende Außentemperaturen bringen die digitale Infrastruktur zunehmend in Bedrängnis.

Rekordtemperaturen setzen die digitale Infrastruktur verstärkt unter Druck. Rechenzentren bilden das Rückgrat moderner Cloud-Dienste, des weltweiten Zahlungsverkehrs sowie der gesamten digitalen Kommunikation. Bei großer Hitze benötigen diese Anlagen aber eine deutlich höhere Kühlleistung. Über lange Zeit galt das Thema Hitze in der Branche als Randerscheinung. Mittlerweile gerieten indes zahlreiche Betreiber in eine gefährliche Hitzefalle, legt das Beratungsunternehmen Drees & Sommer dar. Während von außen immer höhere Außentemperaturen auf die Gebäude einwirkten, steige im Inneren die Wärmelast durch intensiv genutzte KI-Anwendungen und stetig leistungsstärkere Chips. Würden die Kühlkapazitäten nicht rechtzeitig an diese geänderten Bedingungen angepasst, drohten spürbare Störungen bis hin zu extrem kostspieligen Totalausfällen.

Die Herausforderung wächst dabei parallel zum massiven Boom der gesamten Branche. Seit dem Jahr 2010 hat sich die installierte Rechenzentrumskapazität in Deutschland mehr als verdoppelt und erreichte im Jahr 2024 einen Wert von über 2730 Megawatt. Das Bundeswirtschaftsministerium erwartet bis zum Jahr 2030 einen weiteren Anstieg auf mehr als 4800 Megawatt. Das entspricht einem Plus von rund 75 Prozent innerhalb von nur sechs Jahren. Mit der im März 2026 verabschiedeten nationalen Rechenzentrumsstrategie strebt die Bundesregierung sogar eine Verdopplung der Kapazitäten bis 2030 an.

Getrieben wird diese enorme Expansion vor allem durch den anhaltenden Siegeszug von Cloud- und KI-Anwendungen. Mit dieser Entwicklung wächst allerdings auch die Verwundbarkeit der kritischen Infrastruktur gegenüber Extremwetterereignissen. Eine im Juni 2026 veröffentlichte Analyse des auf physische Klimarisiken spezialisierten Unternehmens First Street verdeutlicht das Ausmaß: Rund 54 Prozent der weltweiten Rechenzentrumskapazität befinden sich in Märkten, die schon heute unter chronischem Hitze- oder Dürrestress leiden.

Künstliche Intelligenz verändert die grundlegenden Anforderungen an moderne Data Center massiv. Die Serverinfrastruktur verbraucht nicht nur weitaus mehr Energie, sondern gibt folglich auch erheblich mehr Wärme an die direkte Umgebung ab. Diese physikalische Auswirkung müssen Betreiber bei der zukünftigen Standortplanung und im täglichen Betrieb viel stetiger berücksichtigen. Eine im März 2026 veröffentlichte Studie unter Beteiligung der University of Cambridge beziffert diesen lokalen Wärmeinsel-Effekt von KI-Rechenzentren im Durchschnitt auf rund zwei Grad Celsius. In Extremfällen wurden sogar lokale Temperaturanstiege von bis zu 9,1 Grad Celsius gemessen. Weltweit könnten schätzungsweise mehr als 340 Millionen Menschen von diesem sogenannten Data Heat Island Effect direkt betroffen sein.

Dennoch sind hitzebedingte Ausfälle kein unvermeidbares Schicksal. Betreiber, die Kühlsysteme, Notstromversorgung und Betriebsabläufe frühzeitig auf Extremwetter ausrichten, können die betrieblichen Risiken maßgeblich senken. Dazu gehört neben einer vorausschauenden Standort- und Technikplanung auch das Festlegen von klaren Notfallmaßnahmen für anhaltende Hitzewellen.

Bestehende Kühlsysteme stoßen bei Extremhitze deutlich schneller an ihre Grenzen als lange Zeit angenommen. Forschende von Google und der University of Pennsylvania zeigen in ihrer Studie Prometheus, dass Rechenzentren ihre Kühlkapazität bis zum Jahr 2044 im Durchschnitt um elf Prozent erhöhen müssen, um das heutige Sicherheits- und Ausfallniveau aufrechtzuerhalten. An besonders gefährdeten Standorten kann dieser zusätzliche Kühlbedarf sogar bis zu 48 Prozent betragen. Das Forschungsteam verknüpfte dafür historische Daten mit detaillierten Klimasimulationen. Für Betreiber ist es deshalb unerlässlich, genau zu prüfen, welche Außentemperaturen die verbauten Kühlanlagen verkraften und wie sich mehrtägige Hitzeperioden auf vorhandene Reserven auswirken.

Bei der technischen Auslegung der Kühlung zählt vor allem der Blick in die Zukunft. Betreiber sollten deshalb auf moderne Prognosesimulationen wie die Extreme Annual Design Conditions von ASHRAE Meteo setzen. Basierend auf den Daten aus dem Jahr 2025 empfiehlt es sich, die erwarteten Extremtemperaturen der kommenden 20 Jahre einzuplanen und zusätzlich einen Sicherheitspuffer von vier Kelvin hinzuzurechnen. Da Hitzewellen künftig intensiver ausfallen, länger andauern und häufiger auftreten, werden kommende Prognosen vermutlich noch höhere Werte ansetzen müssen.

Neben den reinen IT-Systemen müssen auch die Notstromanlagen auf künftige Hitzeextreme vorbereitet werden. Fällt die Kühlung der Notstrom aggregate aus, können diese das Rechenzentrum bei Netzstörungen nicht mehr zuverlässig mit Energie versorgen, womit der gesamte Standort gefährdet ist.

Auch organisatorisch lässt sich der Hitzeentwicklung entgegenwirken. Nicht jede rechenintensive Aufgabe muss zwingend bei nachmittäglichen Höchsttemperaturen verarbeitet werden. Routineprozesse wie Backups, umfangreiche Datenanalysen oder große Datenmigrationen lassen sich problemlos in die kühleren Nachtstunden verschieben. Das entlastet die Kühlung in Momenten, in denen die Reserven knapp sind. Fällt ein Kühlsystem aus, muss zudem ein Redundanzsystem ohne Zeitverlust übernehmen. Die Notstromversorgung muss dabei immer auch die Kühlung absichern, da sie den Ausfall andernfalls nur um wenige Minuten verzögert. Bei Störungen im öffentlichen Stromnetz bieten lokale Microgrids mit eigenen Energiequellen und Speichern eine Möglichkeit, kritische Anlagen unterbrechungsfrei weiterzubetreiben.

Erreichen einzelne Serverschränke Leistungsdichten von 50 Kilowatt und mehr, stößt die klassische Luftkühlung an ihre physikalischen Grenzen. Viele ältere Rechenzentren wurden ursprünglich für deutlich geringere Werte von fünf bis zehn Kilowatt pro Rack konzipiert. KI-Anwendungen treiben diese Anforderungen nun drastisch nach oben. Da Wasser wesentlich mehr Wärme aufnehmen und transportieren kann als Luft, setzen Betreiber bei hohen Leistungsdichten vermehrt auf wasserbasierte Systeme. Bei moderaten Lasten bleibt die Luftkühlung zwar die wirtschaftlichere Option, hybride Systeme ermöglichen jedoch die schrittweise Umstellung besonders fordernder Serverbereiche auf Flüssigkeitskühlung.

Zusätzlicher Druck entsteht durch den Gesetzgeber. Für Rechenzentren, die seit Juli 2026 neu in Betrieb gehen, verschärft das Energieeffizienzgesetz die Vorgaben deutlich. Als zentraler Maßstab dient die Power Usage Effectiveness (PUE), die den Gesamtenergieverbrauch ins Verhältnis zum reinen Strombedarf der IT-Hardware setzt. Ein PUE-Wert von 1,2 bedeutet, dass auf 100 Kilowattstunden IT-Strom maximal 20 Kilowattstunden für Kühlung und Infrastruktur entfallen dürfen. Neue Anlagen dürfen diesen Wert von 1,2 nicht mehr überschreiten. Bestehende Rechenzentren müssen bis Juli 2030 einen PUE-Wert von maximal 1,3 erreichen. Effiziente Kühlkonzepte sind damit längst eine gesetzliche Pflicht. Zugleich wird derzeit intensiv über eine Novellierung des Energieeffizienzgesetzes diskutiert, die in den kommenden Monaten zu einer weiteren Verschiebung von Grenzwerten führen könnte.

Bei der Wahl von wasserbasierten Kühlsystemen muss allerdings auch die regionale Wasserverfügbarkeit berücksichtigt werden. In Gebieten mit schwindenden Wasserressourcen kann der Wasserverbrauch der Kühlung selbst zum Betriebsrisiko werden. Geschlossene Kühlkreisläufe schaffen hier Abhilfe, da das Kühlmittel dauerhaft zirkuliert und nach der Erstbefüllung im laufenden Betrieb kaum Frischwasser benötigt. Besonders gefährdet bei extremer Hitze sind im Übrigen selten die großen, hochprofessionellen Data Center, sondern vielmehr dezentrale Serverräume in Unternehmen, die häufig ohne ausreichend dimensionierte Klimatechnik in ehemaligen Keller- oder Technikräumen betrieben werden.

Dass Hitzewellen schon heute zu realen Ausfällen führen, bewies der Sommer 2022 in Großbritannien. Als die Temperaturen in London erstmals die Marke von 40 Grad Celsius überschritten, fielen in einem Google-Cloud-Rechenzentrum mehrere Kühlsysteme gleichzeitig aus, woraufhin Server zum Schutz vor Schäden heruntergefahren werden mussten. Auch ein Oracle-Rechenzentrum im Süden Londons war betroffen und verzeichnete nach dem Ausfall der überlasteten Kühlaggregate einen rund 19-stündigen Ausfall, der weltweite Cloud-Dienste beeinträchtigte.

In Deutschland kam es während der Rekordhitze im Juni 2026 nach Angaben der German Datacenter Association zwar noch nicht zu flächendeckenden Ausfällen. Der Branchenverband schließt gezielte Abschaltungen als letztes Mittel bei zusammentreffenden technischen Störungen und Energieengpässen jedoch nicht mehr aus.

Stefan Krempl

AI Act: Neue KI-Transparenzregeln starten unter Personalsorgen der Aufsicht

Ab dem heutigen Sonntag gelten in der EU strikte Transparenz- und Kontrollpflichten für Künstliche Intelligenz. Die Wirtschaft warnt vor ungeklärten Standardfragen, die EU-Kommission rüstet personell nach.

Mit dem heutigen 2. August greift die nächste Stufe der KI-Verordnung der EU. Die Transparenzvorgaben aus Artikel 50 des AI Act treten in Kraft und nehmen Unternehmen sämtlicher Branchen in die Pflicht. Nutzer müssen ab sofort eindeutig informiert werden, wenn sie mit einem Chatbot oder einem KI-gestützten Sprachassistenten interagieren. Ebenso gelten strenge Ausweis- und Kennzeichnungspflichten für Inhalte, die durch Künstliche Intelligenz erzeugt oder nachträglich generiert wurden. Befürworter sehen in den Regeln einen Meilenstein für das Nutzervertrauen. Die Digitalwirtschaft kritisiert dagegen vor allem die hektische Vorbereitung durch die europäischen Institutionen.

Der eco-Verband der Internetwirtschaft bezeichnet die Veröffentlichung der finalen Leitlinien durch die EU-Kommission lediglich 13 Tage vor dem Stichtag als Fehlstart mit Ansage. Trotz der kurzfristig vorgelegten Orientierungshilfen bleiben nach Auffassung des Verbandes wesentliche Fragen offen. Es fehle weiterhin an robusten, einheitlichen und interoperablen technischen Standards, wie die Kennzeichnung im Detail umgesetzt werden soll. Besondere Unsicherheiten bestünden in Graubereichen wie bei Medieninhalten, die nur teilweise mit KI-Werkzeugen überarbeitet wurden, sowie bei der visuellen Gestaltung von Hinweisen in Benutzeroberflächen.

eco-Geschäftsführer Alexander Rabe mahnt ein verhältnismäßiges Vorgehen der Aufsichtsbehörden an. Unternehmen dürften nicht an technischen Maßstäben gemessen werden, die politisch noch gar nicht klar definiert seien. In der Startphase müssten rechtliche Beratung und eine europaweit abgestimmte Auslegung Vorrang vor harten Sanktionen haben, damit insbesondere kleine Betriebe und Startups nicht die Zeche für Verzögerungen im Gesetzgebungsprozess zahlten. Für den Vollzug in Deutschland begrüßt der Verband zwar die zentrale Koordinationsrolle der Bundesnetzagentur, warnt aber vor einem Bürokratie- und Behördenpuzzle. Rabe gibt ferner zu bedenken, dass reine Kennzeichnungspflichten nicht das Ausbilden echter KI-Kompetenz in der Bevölkerung ersetzen könnten.

Parallel zum Start der Transparenzregeln wächst der Druck auf die Brüsseler Verwaltung selbst. Das europäische KI-Amt (AI Office), das in der Generaldirektion Kommunikationsnetze, Inhalte und Technologien der EU-Kommission angesiedelt ist, übernimmt ab Sonntag weitreichende Aufsichts- und Eingriffsrechte gegenüber den Anbietern besonders leistungsfähiger KI-Modelle. Die Regulierer können künftig risikoreiche Modelle einschränken, deren Rückruf anordnen oder empfindliche Strafen verhängen. Bei Verstößen gegen Auskunftspflichten oder Auflagen drohen Geldbußen von bis zu 15 Millionen Euro beziehungsweise drei Prozent des weltweiten Jahresumsatzes eines Anbieters.

Um diesen Kontrollaufgaben nachzukommen, sucht die Kommission laut Politico händeringend neues Personal. Derzeit beschäftigen die zwei zuständigen Referate für KI-Regulierung und systemische Risiken zusammen 71 Mitarbeiter. Allein die für Extremrisiken wie Cyberattacken, Missbrauch bei biologischen Waffen oder den Kontrollverlust über Modelle zuständige Einheit umfasst aktuell 37 Personen. Über den Verlauf des Jahres 2027 plant die Kommission, die Aufstellung in beiden Einheiten um rund 40 Stellen aufzustocken.

Fachleute und Branchenbeobachter stellen infrage, ob die Behörde im weltweiten Tauziehen um hochqualifizierte KI-Forscher gegen die extrem hohen Gehälter der Privatwirtschaft bestehen kann. Neben einer adäquaten Budgetierung fordern Experten daher flexiblere Verwaltungsstrukturen und wettbewerbsfähige Rahmenbedingungen, um Top-Talente an Brüssel zu binden. Das Führungspersonal der Aufsicht setzt sich derweil aus behördlicher Erfahrung und Brancheninsidern zusammen. Die Risikoeinheit wird seit Jahresbeginn von dem Neurowissenschaftler und langjährigen EU-Beamten Matthieu Delescluse geleitet, unterstützt von Fachleuten mit Vorerfahrung bei führenden Tech-Konzernen wie Google.

Nicht zuletzt aufgrund der drohenden Sanktionen geben sich die führenden US-Entwickler kooperationsbereit. Vertreter von Unternehmen wie OpenAI schlossen sich den Dialogangeboten der Kommission an und betonten, man habe intensiv an der Ausgestaltung der Regeln mitgewirkt. Ziel sei es weiterhin, eine verantwortungsvolle Entwicklung Künstlicher Intelligenz mit der wirtschaftlichen Wettbewerbsfähigkeit Europas in Einklang zu bringen.

Stefan Krempl

Bundesregierung: Der große KI-Stillstand bei der Rüstungskontrolle

Die Bundeswehr will bei Waffensystemen verstärkt auf KI setzen, doch die Rüstungskontrolle hinkt hinterher. Die Bundesregierung verweist auf Forschungslücken und Risiken.

Künstliche Intelligenz verändert weltweite Sicherheitsarchitekturen grundlegend. Dennoch setzt die Bundesregierung in der staatlichen Rüstungs- und Exportkontrolle bislang keinerlei KI-Systeme oder Verfahren des maschinellen Lernens ein. Weder direkt noch indirekt kommen entsprechende Algorithmen bei der Überwachung internationaler Abrüstungsverträge oder Ausfuhrgenehmigungen zur Anwendung. Das geht aus einer jetzt veröffentlichten Antwort der Bundesregierung auf eine parlamentarische Anfrage hervor.

Als wesentlichen Grund für die Zurückhaltung führt das federführende Auswärtige Amt an, dass bestehende völkerrechtliche Rüstungskontrollverträge den Einsatz KI-gestützter Verfahren nicht vorsähen. Ferner seien Potenziale und Grenzen der Technologie in diesem sensiblen Metier noch nicht ausreichend erforscht. Gerade im Kontext bi- und multilateraler Abkommen stellten die Verlässlichkeit, die gegenseitige Akzeptanz und das internationale Vertrauen in KI-generierte Prüfergebnisse eine erhebliche Hürde dar. Der Einsatz von Künstlicher Intelligenz im militärischen Sektor bleibe daher eine der zentralen Herausforderungen der Rüstungs- und Exportkontrolle, die zwar große Chancen eröffne, aber ebenso vielschichtige Risiken berge.

Ganz ungenutzt bleibt das digitale Potenzial hinter den Kulissen allerdings nicht. Mögliche Einsatzszenarien für die automatisierte Verifikation würden derzeit vom Zentrum für Verifikationsaufgaben der Bundeswehr in einer geschlossenen Testumgebung erprobt, heißt es. Gleichzeitig prüfe das Bundesamt für Wirtschaft und Ausfuhrkontrolle, ob und wie KI-Komponenten im Rahmen einer Neuauflage des digitalen Antrags- und Bearbeitungsportals integriert werden könnten. Parallel fließen Bundesmittel in wissenschaftliche Forschungsprojekte, um die Entwicklung verlässlicher Verifikationstechnologien voranzutreiben.

Einer wirksamen externen Kontrolle militärischer KI-Entwicklungen anderer Staaten sind laut der Exekutive enge Grenzen gesetzt. Wegen des ausgeprägten Dual-Use-Charakters moderner Software, der auch noch mit militärischer Geheimhaltung und Transparenzmangel verknüpft sei, lasse sich derzeit nicht abschließend verifizieren, ob und in welchem Umfang ausländische Akteure KI-Modelle für militärische Zwecke trainierten. Vor diesem Hintergrund plädiert die Regierung für eine verantwortungsvolle militärische Nutzung im Rahmen der bestehenden völkerrechtlichen Bestimmungen.

Während die Kontrolle stagniert, macht die Bundeswehr bei der eigenen technologischen Aufrüstung Tempo. Künftig wollen die Streitkräfte bei allen Systembeschaffungen konsequent auf offene Software-Architekturen setzen, um Waffensysteme flexibel und schnell mit KI-Fähigkeiten nachzurüsten. Die militärische Führung strebt an, Leistungssteigerungen von Waffen im Wesentlichen über zeitnahe Software-Updates auf die Plattformen zu bringen – ähnlich wie bei App-Updates auf Smartphones.

Damit will sich die Streitkräftebasis von starren, proprietären Silos einzelner Rüstungshersteller lösen und die Systeme so weit öffnen, dass auch innovative Startups neue Funktionen einspielen können. Technologisches Ziel ist ein Dreiklang aus Informations-, Führungs- und Wirkungsüberlegenheit, bei dem KI aus riesigen Datenmengen relevante Lagebilder filtert und die Kette von der Zielaufklärung bis zum Waffeneinsatz drastisch beschleunigt, wie etwa beim Projekt Uranos KI an der NATO-Ostflanke.

Stefan Krempl

Datenschutz-Beschwerde gegen dict.cc: Über 170 Stunden Lesezeit für ein Cookie-Banner

Einwilligungen im Netz sind oft eine Illusion: dict.cc verlangt die Zustimmung für 1741 Partner. Noyb hat Beschwerde bei der Datenschutzbehörde eingelegt.

Wer im Internet nach einer Übersetzung sucht, erwartet ein schnelles Ergebnis und keine juristische Mammutaufgabe. Beim Aufrufen des populären Online-Wörterbuchs dict.cc werden Nutzer aber vor eine Entscheidung gestellt, die in der Praxis kaum realistisch zu bewältigen ist. Über ein Pop-up-Banner verlangt die Betreiberin die Zustimmung zur Speicherung und Verarbeitung personenbezogener Daten für Online-Werbung. Das Besondere daran ist der Umfang: Insgesamt 1741 Werbepartner und Dienstleister sollen Zugriff auf das Endgerät sowie die Surfaktivitäten der Betroffenen erhalten.

Die Wiener Datenschutzorganisation Noyb bewertet diese Praxis als klaren Verstoß gegen die Datenschutz-Grundverordnung (DSGVO). Nach Ansicht der Juristen ist eine wirksame und informierte Einwilligung unter diesen Bedingungen schlicht unmöglich. Selbst bei einer extrem optimistischen Kalkulation von lediglich sechs Minuten Lese- und Verstehenszeit pro Datenschutzerklärung summiert sich der Aufwand für ein einziges Cookie-Banner auf über 172 Stunden.

Um die Konsequenzen eines einzigen Klicks auf „Alle akzeptieren“ vollständig zu durchdringen, müssten Verbraucher so mehr als eine ganze Woche ununterbrochen juristische Fachtexte studieren. In der Realität dauern manche Erklärungen einzelner Partner bereits für sich genommen mehr als eine halbe Stunde. Dazu kommt, dass viele dieser Drittanbieter die Daten wiederum an eigene Netzwerke weiterreichen, womit die Kette der Datenempfänger rasch in die Hunderte von Tausenden geht.

Nach der DSGVO ist das Tracking von Nutzerprofilen und Surfverhalten ohne eine freiwillige, spezifische, unmissverständliche und eben informierte Einwilligung grundsätzlich verboten. Wenn Informationen intransparent aufbereitet sind oder der Umfang den Rahmen des Verstandes sprengt, verkommt die Kontrolle über die eigenen Daten zur reinen Illusion. Noyb-Jurist Felix Mikolasch betont, wie abwegig die bisherige Praxis ist: Es sei lächerlich anzunehmen, dass jemand auf dieser Grundlage eine informierte Entscheidung treffen könnte.

In der eingereichten Beschwerde fordert Noyb die österreichische Datenschutzbehörde auf, der unrechtmäßigen Datenverarbeitung ein Ende zu setzen. Das Online-Wörterbuch soll angewiesen werden, die betroffenen Daten unverzüglich zu löschen und sämtliche Empfänger darüber zu informieren. Ferner regt die Organisation das Verhängen einer wirksamen Geldbuße an, um eine abschreckende Wirkung für die gesamte Branche zu erzielen. Über den konkreten Fall hinaus könnte die Aufsichtsbehörde wegen der grundsätzlichen Bedeutung auch ein umfassenderes Verbot aussprechen oder die Angelegenheit zur Stellungnahme an den Europäischen Datenschutzausschuss (EDSA) weiterleiten.

dict.cc steht mit dieser Vorgehensweise keineswegs allein da. Invasive Tracking-Mechanismen und undurchsichtige Banner-Systeme gehören auf zahlreichen namhaften Informations- und Medienportalen zum Alltag. Die erhobenen Verhaltens- und Standortdaten dienen nicht nur der Personalisierung von Werbeanzeigen, sondern gelangen häufig über Datenbroker an Dritte oder sogar an staatliche Überwachungsbehörden.

Stefan Krempl

Digital-Omnibus: Wie das EU-Parlament beim Datenschutz nachbessern will

Mit dem Digital-Omnibus will die EU-Kommission das EU-Digitalrecht vereinfachen. Zwei Ausschüsse des EU-Parlaments wehren sich gegen die Beschneidung von Bürgerrechten.

Das europäische Datenschutzrecht steht vor einer größeren Reform. Mit dem sogenannten Digital-Omnibus beabsichtigt die EU-Kommission, das Regelungsgeflecht aus DSGVO, Data Act, E-Privacy-Richtlinie und weiteren Digitalgesetzen zu entwirren, bürokratische Hürden abzubauen und Rechtsunsicherheiten für Unternehmen zu beseitigen. Was als technisches Entlastungspaket gedacht war, hat sich im EU-Parlament zu einem Schauplatz netzpolitischer Debatten entwickelt. Im Zentrum der Auseinandersetzung steht die Frage, wie sich administrative Erleichterungen realisieren lassen, ohne das europäische Datenschutzniveau auszuhöhlen. Die vorliegenden Entwürfe und Änderungsanträge aus den federführenden Parlamentsausschüssen spiegeln das Ringen um eine praxistaugliche Balance zwischen digitaler Innovationsfähigkeit und dem Schutz von Grundrechten wider.

Den Ausgangspunkt bildet der gemeinsame Berichtsentwurf des Ausschusses für Industrie, Forschung und Energie (ITRE) unter Führung von Aura Salla (EPP) sowie des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres (LIBE) unter der Federführung der Sozialdemokratin Marina Kaljurand. Dieser konsolidierte Entwurf deckt ein breites Spektrum ab – von Vereinfachungen bei Datenpannenmeldungen bis zum Schutz vor automatisierter Entscheidungsfindung. Während der Kommissionsentwurf an einigen Stellen Einschränkungen von Betroffenenrechten vorsah, setzen die Berichterstatterinnen Gegenakzente. Insbesondere beim Auskunftsrecht nach Artikel 15 DSGVO wehrt sich das Parlament gegen Versuche, diese Norm unter pauschalen Missbrauchsverdacht zu stellen.

Die Kommission wollte Anträge als exzessiv einstufen, wenn damit andere Ziele als der reine Datenschutz verfolgt werden. Die Berichterstatterinnen stellen klar, dass die Wahrnehmung von Bürgerrechten als Mittel zur Durchsetzung sonstiger rechtlicher Belange keineswegs missbräuchlich ist. Bei tatsächlich unbegründeten oder exzessiven Anträgen soll Betroffenen künftig das Wahlrecht eingeräumt werden, eine Gebühr zu zahlen oder auf die Ausführung zu verzichten.

Ein weiterer Schwerpunkt liegt auf der Verarbeitung biometrischer Daten zur Identitätsprüfung. Der Entwurf erlaubt Ausnahmen vom strikten Verarbeitungsverbot, sofern die Verifizierung für berechtigte Zwecke erforderlich ist und die Daten unter der alleinigen Kontrolle der betroffenen Person verbleiben. Die Parlamentsausschüsse betonen, diese Kontrolle bedeute, dass Nutzer effektiv selbst entscheiden könnten, wann und wie ihre biometrischen Daten verwendet werden. Unternehmen dürften technisch nicht in der Lage sein, im Klartext auf die Daten zuzugreifen oder sie außerhalb des strikten Abgleichs zu verarbeiten. Sichere Speicherorte auf dem Endgerät oder verschlüsselte Verfahren stehen im Mittelpunkt der Präzisierungen.

Auch bei der automatisierten Entscheidungsfindung nach Artikel 22 DSGVO dringt das Parlament auf Nachbesserungen. Zwar soll der Einsatz automatisierter Verfahren bei Verträgen erleichtert werden. Doch fordern die Abgeordneten ein echtes Recht auf menschliches Eingreifen. Eine bloß symbolische Durchsicht durch Mitarbeiter ohne reale Möglichkeit, ein Systemergebnis abzuändern, soll nicht ausreichen. Der menschliche Prüfer muss über die nötige Autonomie und Fachkompetenz verfügen, um Entscheidungen wirksam zu korrigieren.

Beim Bürokratieabbau rund um Datenpannen und Datenschutz-Folgenabschätzungen strebt die Kommission eine Vereinfachung an. Meldungen an Aufsichtsbehörden sollen künftig erst ab einer höheren Risikoschwelle verpflichtend sein. Um Firmen Orientierung zu bieten, soll der Europäische Datenschutzausschuss (EDSA) laut den Abgeordneten aber einheitliche Vorlagen und Kriterienlisten ausarbeiten. Sie weisen dem EDSA dabei die federführende Rolle zu und schützen dessen fachliche Unabhängigkeit gegenüber Versuchen der Kommission, die Hoheit über diese Dokumente per Durchführungsakt zu übernehmen.

Parallel zur parlamentarischen Debatte gewinnen die Verhandlungen im EU-Rat unter irischer Präsidentschaft an Dynamik. Nachdem ein Kompromissentwurf Zyperns am Widerstand mehrerer Mitgliedstaaten – darunter Deutschland, Dänemark, Italien, Polen und Schweden – gescheitert war, hat Irland die Beratungen über Cookie-Einwilligungen, Pseudonymisierung und KI-Datenverarbeitung neu aufgerollt. Auch der EDSA hat sich mit Leitlinien zur Anonymisierung zu Wort gemeldet und anerkannt, dass die Anonymität von Daten aus der Perspektive des jeweiligen Datenverarbeiters zu beurteilen ist. Wirtschaftsnahe US-Denkfabriken wie das International Center for Law & Economics (ICLE) begrüßen diesen Ansatz zwar prinzipiell. Sie drängen aber auf noch weitgehendere, rechtssichere Ausnahmen für KI-Training und Cookie-Banner. Die Abgeordneten stehen nun vor intensiven Beratungen über mehr als tausend Änderungsanträge, um die Verhandlungsposition des Parlaments für den Trilog zu schmieden.

Stefan Krempl

Neue Chart-Regeln: Wann KI-Musik in den offiziellen Hitparaden landen darf

Der Bundesverband Musikindustrie regelt den Einsatz generativer KI in den Charts. Menschliche Schöpfung bleibt Pflicht, illegitime Trainingsdaten führen zum Ausschluss.

Wer in den offiziellen deutschen Charts platziert werden will, muss auch im Zeitalter generativer künstlicher Intelligenz vor allem eines sein: Ein menschlicher Schöpfer. Der Bundesverband Musikindustrie (BVMI) hat gemeinsam mit dem Ermittler GfK Entertainment ein überarbeitetes Regelwerk vorgelegt, das klare Grenzen für den Einsatz von KI in der Musikproduktion zieht. Mit der aktualisierten Systembeschreibung Version 6.2 definiert die Branche erstmals präzise Rahmenbedingungen dafür, unter welchen Voraussetzungen KI-unterstützte Werke für die Hitparade zugelassen werden – und wo der Spaß aufhört.

Im Zentrum der neuen Vorgaben steht das Primat des menschlichen Schöpfungsfunkens. Zwar verschließt sich die Musikbranche nicht dem technischen Wandel und erkennt generative KI als Werkzeug an. Die kreative Hauptverantwortung muss jedoch eindeutig bei menschlichen Urhebern und Interpreten liegen. Wird KI lediglich unterstützend eingesetzt – etwa beim Sounddesign, bei Routinetätigkeiten im Produktionsprozess oder als Hilfsmittel beim Erstellen von Kompositionen –, bleibt ein Song voll chartfähig. Ganz oder im Wesentlichen synthetisch erzeugte Aufnahmen, denen der entscheidende menschliche Kreativbeitrag fehlt, sind von der Wertung in den TOP 100 dagegen ausgeschlossen.

Um diese Grenze durchzusetzen, setzt die Branche auf eine strenge Offenlegungspflicht. Künstler, Labels und Vertriebspartner sind verpflichtet, transparent zu dokumentieren, in welcher Form KI-Werkzeuge bei Komposition, Produktion, Gesang oder Sounddesign mitgewirkt haben. Wer versucht, den Einsatz generativer Systeme zu verschleiern, oder falsche Angaben macht, riskiert die sofortige Disqualifikation.

Ein Aspekt ist das Fundament der eingesetzten Modelle: die Trainingsdaten. Die Richtlinien schreiben vor, dass nur solche KI-Dienste genutzt werden dürfen, die ordnungsgemäß autorisiert und rechtmäßig sind. Das bedeutet, dass die verwendeten KI-Modelle ausschließlich mit Inhalten trainiert worden sein dürfen, für die wirksame Lizenzen, gesetzliche Schrankenregeln oder die ausdrückliche Einwilligung der Rechteinhaber vorliegen. Werden Modelle verwendet, deren Training gegen wirksame Nutzungsvorbehalte – wie den gegen Text und Data Mining nach Paragraf 44b des Urheberrechtsgesetzes – verstoßen hat, verliert die betreffende Tonaufnahme jegliche Zulassung für die Charts. Im Streitfall liegt die Nachweispflicht bei den Anmeldern.

Zur Überprüfung der menschlichen Urheberschaft greift der Chartermittler auf spezialisierte Software zurück. Schlagen mindestens zwei voneinander unabhängige Erkennungstools an und bestätigen nach dem Stand der Technik, dass eine Aufnahme nicht im Wesentlichen menschlich geschaffen wurde, greift eine widerlegbare Vermutung gegen die Chartfähigkeit. Anmelder können diese entkräften, indem sie detaillierte Belege über den Entstehungsprozess vorlegen – etwa durch Session-Dateien, Einzelspuren, Entwürfe sowie Erklärungen der Beteiligten.

Neben urheberrechtlichen Fragen adressieren die Grundsätze auch den Schutz der künstlerischen Identität und die Abwehr von Marktmanipulationen. KI-generierte Stimsimitationen, Stilkopien oder die Nachbildung realer Personas ohne ausdrückliche Einwilligung der Betroffenen sind verboten. Ebenso wird technischem Missbrauch ein Riegel vorgeschoben: Massenhaft generierte Varianten eines Titels, serielle Uploads abgewandelter KI-Tracks oder automatisierte Abruf-Skalierungen führen zum sofortigen Ausschluss. Bei Verstößen drohen Disqualifikationen, Platzierungskorrekturen und Sperren für künftige Anmeldungen.

Mit dem Schritt vollzieht Deutschland internationale Entwicklungen nach. Parallel zur Veröffentlichung des BVMI kommunizierte der Weltverband IFPI entsprechende Leitlinien. Die Regeln knüpfen an eine Brancheninitiative an, die eine verbraucherfreundliche Kennzeichnung bei Streaming-Diensten etablieren will, um klar zwischen „KI-generiert“ und „KI-unterstützt“ zu unterscheiden. BVMI-Vorstandschef Florian Drücke unterstreicht, dass menschliche Kreativität im Fokus bleibe, verantwortungsvolle Innovation aber gefördert werde. Die neuen Vorgaben schüfen verlässliche Spielregeln für eine Musiklandschaft im Wandel.

Stefan Krempl

Baden-Württemberg: Grüne Basis verweigert Palantir Gefolgschaft

Eine Urabstimmung der Grünen bringt 92 Prozent Gegenwind für die Polizeisoftware von Palantir, doch die Regierung hält daran fest. Deutsche Firmen bieten Alternativen.

Der parteiinterne Konflikt rund um die US-amerikanische Datenanalysesoftware Palantir Gotham in Baden-Württemberg hat eine neue Eskalationsstufe erreicht. Bei einer basisdemokratischen Urabstimmung hat sich die Mitgliedschaft des grünen Landesverbands mit überwältigender Mehrheit gegen den Einsatz der umstrittenen Polizeisoftware ausgesprochen. Von den abgegebenen Stimmen entfielen knapp 92 Prozent auf ein klares Nein zum Softwareprojekt, bei einer für Parteiabstimmungen vergleichsweise hohen Wahlbeteiligung von fast 40 Prozent. Die Initiatoren der Initiative „Stoppt Palantir, sofort!“ sehen darin ein unmissverständliches Signal der Basis für Bürgerrechte, Überwachungsschutz und digitale Souveränität.

Trotz des deutlichen Votums verharrt die grün-schwarze Landesregierung auf ihrem bisherigen Kurs. Ministerpräsident Cem Özdemir (Grüne) betonte umgehend, dass der bestehende Vertrag mit dem US-Hersteller unberührt bleibe. Die Exekutive halte an der Vereinbarung fest, bis eine leistungsfähige und praxistaugliche europäische Alternative einsatzbereit sei. Zwar bleibe es das erklärte Ziel der Landesregierung, sich von Anbietern zu lösen, deren weltanschauliche Grundhaltung man nicht teile. Doch im aktuellen Betrieb sieht die Regierungsspitze vorerst keine Handlungsalternative. Ein parlamentarischer Vorstoß der Opposition im Landtag, die Implementierung kurzfristig zu stoppen, scheiterte ebenfalls im Parlament.

Die Darstellung der Exekutive, es gebe derzeit keine einsatzfähigen europäischen oder deutschen Alternativen, löst in der IT-Branche Stirnrunzeln aus. Mehrere heimische Softwareanbieter verweisen auf eigene, ausgereifte Analyseplattformen, die speziell für Behörden und Sicherheitsorgane entwickelt wurden. So bietet etwa die Firma FSZ aus Metzingen mit ihrer Plattform „Yoonite“ ein bereits einsatzbereites System an. Sie beklagt, dass entsprechende Gesprächsangebote an die Regierungsspitze und das Innenministerium bislang unbeantwortet geblieben seien. Auch das Unternehmen Almato aus Stuttgart mit „Bardioc“ sowie die Firmen nnosystec aus Salem und One Data verweisen darauf, dass ihre Plattformen bei Sicherheitsbehörden bereits erfolgreich genutzt würden und eine datenschutzkonforme Grundlage für komplexe Analysen böten.

Weiteren Zündstoff erhält die Debatte durch den bisherigen zeitlichen und finanziellen Verlauf des Projekts. Als das CDU-geführte Innenministerium im März 2025 den Fünfjahresvertrag abschloss – ohne den grünen Koalitionspartner einzubinden –, wurde die sofortige Einsatzbereitschaft als Hauptargument angeführt. Mehr als ein Jahr später ist die Software im Land indes weiterhin nicht im Regelbetrieb. Ein praktischer Wirkbetrieb wird frühestens für Ende 2026 erwartet. Kritiker verweisen darauf, dass aus der versprochenen Sofortlösung ein langwieriges und kostenintensives Unterfangen geworden sei: Die Einführung schlägt mit rund 4,25 Millionen Euro pro Jahr für Betrieb und Umsetzung zu Buche, ergänzt durch jährlich rund fünf Millionen Euro an Lizenzgebühren bis zum Vertragsende 2030.

Neben den finanziellen Aufwendungen wiegen vor allem datenschutzrechtliche und geopolitische Bedenken schwer. Datenschützer befürchten eine Aushebelung der digitalen Souveränität und warnen vor dem US Cloud Act, der US-Behörden unter Umständen Zugriff auf Daten amerikanischer Unternehmen gewährt – selbst wenn diese auf europäischen Servern gehostet werden. Parallel steht die Unternehmensführung von Palantir um Mitgründer Peter Thiel wegen antidemokratischer Äußerungen in der Kritik.

Dass es alternative Wege gibt, zeigt die Beschaffungspolitik anderer Sicherheitsbehörden: Das Bundesamt für Verfassungsschutz entschied sich kürzlich für die Analyseplattform „ArgonOS“ des französischen Anbieters ChapsVision, deren technische Anbindung bereits weit fortgeschritten ist. Während das Innenministerium in Stuttgart auf unterschiedliche Anforderungsprofile von Polizei und Nachrichtendiensten verweist, drängt die Zeit auf Bundesebene. Im Rahmen des Großprojekts P20 zur Modernisierung der Polizei-IT hat sich das zuständige Bund-Länder-Gremium einstimmig – und damit auch mit Unterstützung Baden-Württembergs – für eine bundesweite Lizenz einer Datenanalyseplattform ab Anfang 2028 ausgesprochen. Angesichts geplanter strenger Vorgaben der Datenschutzkonferenz zur Vermeidung proprietärer Blackbox-Systeme droht dem Ländle im ungünstigsten Fall die Isolierung vom gemeinsamen Datenhaus, sollte es weiterhin auf Palantir setzen.

Stefan Krempl