Recht kompakt | Usbekistan | Datenschutz und KI
Usbekistan: Datenschutz und KI
Usbekistan treibt die Digitalisierung voran – und stellt sich zugleich den rechtlichen Herausforderungen von Datenschutz und Künstlicher Intelligenz (KI). (Stand: 10.10.2025)
Von Yevgeniya Rozhyna | Bonn
Datenschutzrechtliche Grundlagen
Das usbekische Datenschutzrecht aus 2019 basiert auf dem Gesetz über personenbezogene Daten. Es regelt die Erhebung, Verarbeitung und Speicherung personenbezogener Daten und orientiert sich in Teilen an internationalen Standards, insbesondere an der EU-Datenschutz-Grundverordnung (DSGVO).
Zuständig für die Kontrolle ist das Ministerkabinett der Republik Usbekistan sowie das Staatliche Personalisierungszentrum. Letzteres führt ein zentrales Datenbankregister, stellt Zertifikate aus und überwachst die Einhaltung der gesetzlichen Vorgaben.
Datenverarbeitung
Das Gesetz erfasst sämtliche Formen der Datenverarbeitung, einschließlich der automatisierter Verarbeitung. Als personenbezogene Daten gelten alle Informationen, die eine Identifizierung einer natürlichen Person ermöglichen.
Die Verarbeitung erfolgt auf Grundlage folgender Prinzipien:
Gesetzmäßigkeit;
Zweckmäßigkeit;
Authentizität;
Vertraulichkeit;
Gleichbehandlung der Parteien;
Schutz von Individuum, der Gesellschaft und des Staates.
Zulässig ist die Datenverarbeitung bei Einwilligung oder berechtigten Interesse etwa der Vertragserfüllung.
Unternehmen müssen Datenbanken mit personenbezogenen Daten bei dem Staatlichen Personalisierungszentrum registriert werden.
Zudem sind die Datenverarbeiter verpflichtet technische und organisatorische Maßnahmen zum Schutz der Daten zu ergreifen.
Die Verordnung Nr. 570 vom 5. Oktober 2022 zur Bestimmung des Schutzniveaus personenbezogener Daten definiert vier Schutzstufen für Datenbanken (erste bis vierte Kategorie) und unterscheidet folgende Datenarten:
Besondere Daten – Informationen über Rasse, Glauben, Gesundheit, Vorstrafen usw.;
Biometrische Daten – anatomische und physiologische Merkmale der Person;
Genetische Daten sind Informationen, die aus biologischen Proben gewonnen werden;
Öffentlich zugängliche Daten sind Daten, die mit Zustimmung der betroffenen Person verbreitet werden.
Besonders ist hervorzuheben, dass personenbezogene Daten von usbekischen Staatsangehörigen grundsätzlich auf Servern innerhalb des Landes zu speichern sind.
Zudem unterliegen Unternehmen erweiterten Dokumentationspflichten. Sie müssen detailliert nachweisen, wie sie personenbezogene Daten verarbeiten und sichern. Die Behörden kontrollieren regelmäßig die Einhaltung dieser Vorschrift, insbesondere im Hinblick auf die Nutzung ausländischer Datenbanken.
Datenübertragung ins Ausland
Eine grenzüberschreitende Datenübermittlung ist nur in Länder mit einem Angemessenheitsbeschluss oder einem anderen internationalen Übereinkommen möglich. Zusätzlich können Daten in folgenden Fällen übertragen werden:
Zustimmung der betroffenen Person;
Es besteht die Notwendigkeit der Datenübermittlung im Hinblick auf den Schutz der Verfassungsordnung der Republik Usbekistan, der öffentlichen Ordnung, der Rechte und Freiheiten der Bürger, der Gesundheit und der Moral der Bevölkerung.
Sanktionen bei Datenschutzverstößen
Verstöße gegen Datenschutzbestimmungen können empfindliche Sanktionen nach sich ziehen:
Der Verlust von personenbezogenen Daten kann zu Geldbußen und Verwaltungssanktionen bis hin zum Lizenzentzug führen. Dabei hängt die Härte der Sanktion von der Art des Datenschutzverstoßes ab.
Zu beachten ist, dass Arbeitgeber unmittelbar für den Schutz der personenbezogenen Daten von Beschäftigten und Kunden verantwortlich sind.
Bei einem festgestellten Datenverlust durch eine Datenpanne oder einen Hackerangriff oder durch Fehler von Beschäftigten sind folgende Schritte erforderlich:
- Unverzügliche Benachrichtigung aller betroffenen Parteien und Personen: Beschäftigte, Kunden sowie die staatliche Inspektion für die Kontrolle im Bereich der Information und Telekommunikation "O'zkomnazorat". In der Meldung sollte die Art des Datenlecks, mögliche Risken und zu ergreifende Maßnahmen angegeben werden;
- Einschränkung der Datenwiedergabe: Sperren des Datenlecks im Systems und beheben der Schwachstellen;
- Durchführung einer internen Untersuchung und Stärkung der internen Schutzmaßnahmen.
Alle Streitigkeiten werden nach dem nationalen Verfahrensrecht vor usbekischen Gerichten ausgetragen.
KI-Regulierung: Erste gesetzgeberische Schritte
Im November 2024 veröffentlichte Usbekistan die Nationale Strategie zur Entwicklung von Künstlicher Intelligenz (KI) bis 2030. Sie definiert neben dem zeitlichen Rahmen auch den Investitionsrahmen sowie die Kernbegriffe und die ethische Leitlinien der KI-Nutzung. Für die Umsetzung ist das Ministerium für technologische Entwicklung zuständig.
Im April 2025 wurde ein Gesetzesentwurf zur Regelung von KI-bezogenen Rechtsverhältnissen verabschiedet und liegt seit dem zu Diskussion vor. Es verankert die das Konzept der "künstlichen Intelligenz". Darüber hinaus ist die Einrichtung einer zuständigen Behörde vorgesehen. Ferner enthält es:
- allgemeine Regeln für den Einsatz von KI bei der Erstellung und Nutzung von Inhalten;
- Es legt auch das Verfahren für die Kennzeichnung von KI-generierten Informationsressourcen;
- Verbot der rechtswidrigen Verarbeitung und Verbreitung personenbezogener Daten durch KI
Zudem sollen im usbekischen Verwaltungskodex Sanktionen für KI-bezogene Datenschutzverstöße verankert werden.
Einen vertiefenden Überblick zu den rechtlichen Entwicklungen zum Thema KI bietet die GTAI-Publikation Rechtsatlas KI:
Dieser Inhalt gehört zu
- Usbekistan
- Rechtsthemen
- Telekommunikations- und Medienrecht
- Datenschutz
- Recht
