DSGVO und KI-Verordnung in Luxemburg: Pflichten im Überblick

Ihr Fondsadministrator scort eingehende KYC-Dossiers automatisch vor, Ihre Personalabteilung nutzt ein Tool zur Vorauswahl von Bewerbungen, Ihre Compliance-Abteilung setzt ein Modell zur AML-Mustererkennung ein. Drei Situationen, ein gemeinsames Problem: Sobald ein solches System personenbezogene Daten verarbeitet und zugleich als KI-System im Sinne der KI-Verordnung einzuordnen ist, greifen zwei getrennte EU-Regelwerke gleichzeitig – nicht nacheinander, nicht alternativ, sondern parallel. Für Unternehmen mit Sitz oder Aktivität in Luxemburg, gerade im dichten Fonds-, Banken- und Private-Banking-Ökosystem des Landes, ist das keine theoretische Frage, sondern Alltag.

Warum in Luxemburg beide Regelwerke unmittelbar gelten

Luxemburg ist EU-Mitgliedstaat. Das unterscheidet die Lage grundlegend von Nicht-EU-Ländern: Es gibt kein eigenständiges nationales Datenschutzgesetz, das parallel zur DSGVO ein eigenes materielles Regime aufbaut. Die DSGVO gilt als EU-Verordnung unmittelbar (Art. 3 Abs. 2 DSGVO regelt zusätzlich den territorialen Anwendungsbereich für Fälle mit Drittstaatsbezug). Ergänzend existiert das luxemburgische Gesetz vom 1. August 2018 zur Organisation der Commission nationale pour la protection des données (CNPD) – dieses Gesetz richtet im Kern die Aufsichtsbehörde ein und regelt Verfahrensfragen, es schafft aber kein paralleles materielles Datenschutzrecht neben der DSGVO. Wo genau die Details dieses Gesetzes im Einzelfall greifen, sollten Sie im Zweifel mit der CNPD-Website oder rechtlichem Rat abklären – wir wollen hier keine Präzision behaupten, die wir nicht belegen können.

Die KI-Verordnung (Verordnung (EU) 2024/1689) funktioniert nach demselben Muster: als EU-Verordnung unmittelbar anwendbar, ohne nationales Umsetzungsgesetz, mit eigenem territorialem Anwendungsbereich in Art. 2 KI-VO. Beide Regelwerke laufen also nebeneinander als unmittelbar geltendes EU-Recht – keines ersetzt das andere.

Zwei unterschiedliche Schutzgüter, ein gemeinsames System

Der wichtigste Denkfehler ist, DSGVO und KI-Verordnung als zwei Varianten desselben Themas zu behandeln. Das sind sie nicht. Die DSGVO regelt die Verarbeitung personenbezogener Daten – unabhängig davon, ob dafür ein KI-System, eine Excel-Tabelle oder ein Papierordner verwendet wird. Die KI-Verordnung regelt KI-Systeme als solche – Risikoeinstufung, technische Dokumentation, menschliche Aufsicht – unabhängig davon, ob überhaupt personenbezogene Daten im Spiel sind. Ein KI-System zur Vorhersage von Maschinenausfällen in einer Produktionsanlage kann vollständig ohne Personenbezug laufen und dennoch der KI-Verordnung unterliegen.

In der Praxis überschneiden sich beide Regime aber häufig genau dort, wo es für luxemburgische Unternehmen relevant wird: ein KI-gestütztes Kredit-Scoring verarbeitet personenbezogene Daten von Antragstellern und ist zugleich als Hochrisiko-KI-System nach Anhang III der KI-Verordnung einzustufen. In diesem Fall bestehen zwei separate, additive Pflichtenkataloge – der eine löst den anderen nicht ab. Sie brauchen eine Rechtsgrundlage und eine Datenschutz-Folgenabschätzung nach DSGVO und zugleich ein Risikomanagementsystem, technische Dokumentation und menschliche Aufsicht nach KI-Verordnung. Wo genau die Grenzen zwischen Hochrisiko-Einstufung und den übrigen Risikokategorien der KI-Verordnung liegen, behandeln wir hier bewusst nicht im Detail – das ist Thema unseres begleitenden Beitrags zur KI-Verordnung für KMU in Luxemburg.

• Verarbeitet das System personenbezogene Daten (Namen, Kundennummern, Bewerberdaten, biometrische Merkmale)? Dann prüft die DSGVO mit.
• Trifft oder unterstützt das System automatisiert Entscheidungen über Personen (Kredit, Einstellung, Vertragskonditionen)? Dann kommt Art. 22 DSGVO ins Spiel – und meist auch Anhang III der KI-Verordnung.
• Ist das System ein 'KI-System' im Sinne der KI-Verordnung (lernende oder regelbasierte Systeme mit Ausgaben wie Vorhersagen, Empfehlungen, Entscheidungen)? Dann prüft die KI-Verordnung unabhängig vom Personenbezug mit.
• Wird das System von einem Drittanbieter eingekauft oder selbst entwickelt? Das ändert, wer als Anbieter und wer als Betreiber im Sinne der KI-Verordnung gilt – beide Rollen haben unterschiedliche Pflichten.
• Läuft das System in einem CSSF-regulierten Kontext (Fondsverwaltung, Bankgeschäft)? Dann können zusätzliche aufsichtsrechtliche Erwartungen hinzukommen, unabhängig von DSGVO und KI-Verordnung.

Die CNPD als praktischer Ausgangspunkt

Für die DSGVO-Seite ist die CNPD (Commission nationale pour la protection des données) die zuständige Aufsichtsbehörde in Luxemburg, seit 2018 aktiv in Leitlinien und Durchsetzung. Angesichts der Wirtschaftsstruktur des Landes betreffen viele ihrer bekannten Fälle und Stellungnahmen den Finanzsektor: KYC-Prozesse, AML-Screening, Kredit-Scoring, Mitarbeiterüberwachung. Wenn Sie in diesem Umfeld tätig sind, ist die CNPD-Praxis zu genau diesen Themen der realistischste Maßstab dafür, welche Fragen eine Aufsichtsbehörde Ihnen stellen würde – wahrscheinlicher als ein abstraktes Lehrbuchbeispiel. Wer für KI-Systeme als solche zuständig ist – ob CSSF für CSSF-beaufsichtigte Akteure oder eine andere Behörde nach Art. 70 KI-VO – ist in Luxemburg unseres Wissens noch nicht offiziell und veröffentlicht festgelegt; das behandeln wir ausführlich in unserem Beitrag zur Frage, wer die KI-Verordnung in Luxemburg überwacht.

Zwei getrennte Bußgeldsysteme – nicht austauschbar

Ein Punkt, der in der Praxis oft unterschätzt wird: Die Bußgeldrahmen von DSGVO und KI-Verordnung sind eigenständig und addieren sich im Ernstfall, statt sich zu ersetzen. Wer beide Regelwerke gleichzeitig verletzt – etwa durch ein Hochrisiko-KI-System mit unzureichender Rechtsgrundlage für die verarbeiteten Personendaten und fehlender technischer Dokumentation – riskiert theoretisch beide Sanktionsmechanismen parallel, jeweils nach eigenen Maßstäben bemessen.

Was Sie konkret prüfen sollten

Bevor Sie sich in Details der Risikoeinstufung nach der KI-Verordnung vertiefen, lohnt sich ein pragmatischer erster Schritt: eine Bestandsaufnahme, welche Systeme in Ihrem Unternehmen überhaupt beide Kriterien gleichzeitig erfüllen – Personenbezug und KI-System-Charakter. Für jedes dieser Systeme brauchen Sie danach zwei getrennte, aber koordinierte Nachweise: einen DSGVO-Nachweis (Rechtsgrundlage, ggf. Folgenabschätzung, Betroffenenrechte) und einen KI-Verordnung-Nachweis (Risikoeinstufung, Dokumentation, Aufsichtsmechanismen, sofern einschlägig). Diese Nachweise überschneiden sich in der Dokumentationspraxis oft, sind aber rechtlich zwei getrennte Dossiers.

Dieser Beitrag bietet allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall. Komplya unterscheidet in seinen Inhalten grundsätzlich zwischen rechtlich geprüftem Material und Entwurfsmaterial, das als solches gekennzeichnet ist – bei einer konkreten Entscheidung zu einem bestimmten System sollten Sie sich nicht allein auf einen Blogbeitrag stützen.

Nächster Schritt

Wenn Sie noch keinen vollständigen Überblick haben, welche Ihrer Systeme unter DSGVO, welche unter die KI-Verordnung und welche unter beide Regelwerke fallen, ist das der sinnvollste Ausgangspunkt – nicht die Detailprüfung einzelner Artikel. Unser kurzer Fragebogen hilft Ihnen, genau diese Zuordnung für Ihre konkreten Systeme in wenigen Minuten zu klären, ohne dass Sie sich vorab durch beide Regelwerke arbeiten müssen.