§ 2 § 2Datenverarbeitung zur Entwicklung von KI-Systemen — Oö. ITEG

(1) Zum Zweck der Förderung der digitalen Transformation, insbesondere zur Steigerung der Effizienz der Verwaltung bei der Vorbereitung und Durchführung ihrer Aufgaben sind die in § 1 genannten Einrichtungen ermächtigt, sich an KI-Reallaboren gemäß Art. 57 VO (EU) 2024/1689 zu beteiligen. Die Verarbeitung der personenbezogenen Daten erfolgt nach Art. 59 VO (EU) 2024/1689. Die Landesregierung kann durch Verordnung nähere Vorschriften über das Entwicklungsvorhaben, die verarbeiteten Daten und das vor dem und für den Einsatz derartiger Systeme oder Komponenten einzuhaltende Verfahren erlassen.

(2) Die in § 1 genannten Einrichtungen sind weiters ermächtigt, personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten im Sinn des Art. 9 VO (EU) 2016/679 und personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten im Sinn des Art. 10 VO (EU) 2016/679 zu verarbeiten. Dies ist nur zum Zweck der Entwicklung sowie für das dafür erforderliche Einüben (Trainieren), die erforderliche Überprüfung der Eignung der Methode für einen bestimmten Zweck (Validieren) und das Testen von KI-Systemen sowie deren weiteren Betrieb zulässig,

1. für die die VO (EU) 2024/1689 nach Art. 2 nicht gilt oder

2. die keine verbotenen Praktiken nach Art. 5 VO (EU) 2024/1689 anwenden und die nicht als Hochrisiko-KI-Systeme im Sinn von Art. 6 VO (EU) 2024/1689 einzustufen sind.

(3) Eine Verarbeitung nach Abs. 2 ist nur dann und insoweit zulässig, als dies zur Zweckerreichung erforderlich ist und gleichwertige Ergebnisse nicht ohne unverhältnismäßig hohen Aufwand auf andere Weise mit anonymisierten, anderweitig zusammengefügten (synthetischen) oder sonstigen nicht personenbezogenen Daten wirksam erzielt werden können.

(4) Für die in Abs. 2 genannten Zwecke, die keine personenbezogenen Ergebnisse zum Ziel haben, darf der Verantwortliche alle personenbezogenen Daten verarbeiten, die

1. er für andere Zwecke zulässigerweise ermittelt hat,

2. für ihn pseudonymisierte personenbezogene Daten sind und der Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann oder

3. über Register von Verantwortlichen des öffentlichen Bereichs zulässiger Weise zugänglich sind.

(5) Bei der Auswahl der Daten ist darauf zu achten, dass diese hinreichend notwendig (relevant), repräsentativ, nicht-diskriminierend und so weit wie möglich fehlerfrei und im Hinblick auf den verfolgten Zweck vollständig sind. Die Verarbeitung personenbezogener Daten nach dieser Bestimmung darf zu keinen Maßnahmen oder Entscheidungen führen, die Auswirkungen auf die betroffenen Personen haben.

(6) Die Erfüllung von datenschutzrechtlichen Informations , Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten obliegt bei gemeinsamen Verantwortlichen nach Art. 26 VO (EU) 2016/679 jenem Verantwortlichen, der als Anlaufstelle genannt ist.