KI-Tools müssen mit Informationen befüllt und trainiert werden, die aus im Internet gesammelten Rohdaten bestehen und für die jeweilige KI aufbereitet wurden.
Dieses Sammeln von Texten, Bildern, Tabellen, Musiksequenzen und Videos wird als Scraping oder Crawling bezeichnet.
Eine Differenzierung zwischen Daten mit und solchen ohne Personenbezug ist technisch bedingt nahezu ausgeschlossen. Die betroffenen Personen erhalten bei dieser Art der Datensammlung hiervon auch keine Kenntnis und ein Einwilligungsmechanismus scheidet von vorneherein aus.
Herausforderungen und rechtliche Rahmenbedingungen bei der Datensammlung für KI
Durch das umfassende und nur allenfalls grob filterbare Sammeln von Daten werden idR auch Datensätze mit Personenbezug eingesammelt. Dieser Vorgang stellt ein automatisiertes Datenverarbeitungsverfahren dar.
Daraus folgt, dass der für die Sammlung Verantwortliche auch im Sinne der DSGVO Verantwortlicher ist. Auch greift das allgemeine „Verarbeitungsverbot mit Erlaubnisvorbehalt“ der DSGVO.
Die Einwilligung als Erlaubnistatbestand entfällt, da die Betroffenen ihre Einwilligungen systembedingt schon deswegen nicht abgeben können, weil sie nicht wissen, auf welche Daten sich jeweils welche der generell vorstellbaren Verarbeitungsformen beziehen.
Entsprechende Datenschutzhinweise können vom verantwortlichen Verarbeiter schon mangels Kenntnis der konkreten eingesammelten Inhalte nicht erteilt werden.
Berechtigtes Interesse und Einschränkungen der Datenverarbeitung nach DSGVO
Erstverarbeitung und Weiterverarbeitung erfolgen daher ohne Einwilligung – sie wäre für KI-Trainer und KI-Anbieter auch nutzlos, da durch die jederzeitige Widerruflichkeit die weitere Folge der Pflicht zur vollständigen (logischen und physikalischen) Löschung eintreten würde.
Demnach können KI-Verarbeitungen ihre Legitimation nur aus einem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) beziehen.
Dem ideellen Entwicklungs- und Erkenntnisinteresse an KI-Modellen sowie wirtschaftlichen Interesse an deren Anwendung und Auswertung ist das Betroffeneninteresse an Privatheit, Transparenz, (kontextgetreue) Datenrichtigkeit und Hoheit über die Verarbeitungsvorgänge des Betroffenen gegenüberzustellen. Letzteres tritt bei freiwillig frei zugänglich veröffentlichten Daten im Internet idR zurück.
Insofern ist eine Datensammlung zur Erstellung von Trainingsdatensätzen auf der Grundlage eines berechtigten Interesses grundsätzlich möglich.
Keine Rechtfertigung besteht insoweit jedoch für die Einsammlung von Daten von besonderer Sensibilität (Art. 9 DSGVO). Hier sind technische und organisatorische Maßnahmen zu treffen, um Rechtsverstößen, bspw. durch Veröffentlichung gegen den Willen der betroffenen Personen, vorzubeugen mittels bspw. Filtersoftware.
Eine Informationspflicht aufgrund der Erhebung solcher Daten bei Dritten entfällt, da sie einen unverhältnismäßigen, wenn nicht unmöglichen Aufwand bedeuten würde. Sie wird ersetzt durch allgemein gehaltene Datenschutzhinweise über mögliche Datenkategorien, typisierte Verarbeitungsabläufe und zugehörige Zwecke.
Ungeachtet dessen besteht das Auskunfts- und Kopierecht des Art. 15 DSGVO fort. Es bedarf insoweit der Entwicklung spezieller Tools, um zu überprüfen, ob die angefragten personenbezogenen Informationen Teil der Trainings- bzw. Nutzungsdatensätzen von KI-Generatoren sind.
Über den Autor:
Dr. Jens Bücking ist Rechtsanwalt und Fachanwalt für IT-Recht. Er ist Mitbegründer und Senior Partner der internationalen Kanzlei e|s|b, Lehrbeauftragter, VOI Certified Expert „Risk Management and Compliance“ und Datenschutzbeauftragter und renommierter Autor diverser Fachpublikationen zum IT- und IP-Recht.
Herr Dr. Bücking fungiert zudem als Geschäftsführer der e|s|b data gmbh. Die e|s|b data gmbh bietet eine umfassende Beratung und Unterstützung bei der Umsetzung der Datenschutzgrundverordnung (DSGVO) sowie anderer Datenschutzbestimmungen.
![](https://www.mammut-aktenvernichtung.de/bl/wp-content/uploads/2024/03/dr-jens-buecking-1.jpg)
Kontakt: info@esb-data.de
Web: https://esb-data.de/