Leitfäden
DSGVO und KI-Trainingsdaten: was Unternehmen vor einer Lizenzierung wissen müssen
Von Peter Meier und Francesco Wiedemann · · 4 Min. Lesezeit
Kurz gesagt
- Personenbezogene Daten in Unternehmensunterlagen dürfen nur für KI-Training genutzt werden, wenn es eine Rechtsgrundlage für den neuen Zweck gibt; auch die Anonymisierung ist selbst ein Verarbeitungsschritt, der eine braucht.
- Pseudonymisierte Daten, bei denen Namen ersetzt sind, Personen mit Zusatzwissen aber wieder erkennbar wären, bleiben personenbezogen. Nur anonymisierte Daten fallen nicht mehr unter die DSGVO.
- Das Ersetzen von Namen allein macht Daten selten anonym; auch Rollen, Orte und seltene Ereignisse müssen verallgemeinert oder entfernt und das Ergebnis geprüft werden.
- Daten, die Sie im Auftrag von Kunden verarbeiten, dürfen nicht für eigene Zwecke genutzt werden, und Beschäftigtendaten können die Mitbestimmung des Betriebsrats auslösen.
Wann die DSGVO für KI-Trainingsdaten gilt
Die DSGVO gilt, sobald sich Daten auf eine identifizierte oder identifizierbare Person beziehen. Unternehmensunterlagen sind voll davon: Namen in E-Mails, Verfasser von Tickets, Personen, die in Chat-Verläufen erwähnt werden. Die Frage ist daher selten, ob die DSGVO gilt, sondern wie die Daten rechtmäßig so aufbereitet werden, dass am Ende keine personenbezogenen Daten lizenziert werden.
Rechtsgrundlage: Daten für einen neuen Zweck nutzen
Ihre Unterlagen sind für den Geschäftsbetrieb entstanden, nicht für KI-Training. Für den neuen Zweck braucht es entweder eine Vereinbarkeitsprüfung (Art. 6 Abs. 4 DSGVO) oder eine eigene Rechtsgrundlage, in der Regel das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) mit dokumentierter Interessenabwägung. Weil auch die Anonymisierung selbst eine Verarbeitung personenbezogener Daten ist, braucht auch sie diese Grundlage.
In der Interessenabwägung steht das Interesse des Unternehmens an der Lizenzierung den Interessen der betroffenen Personen gegenüber. Eine starke Anonymisierung, die Verarbeitung ausschließlich in der EU, der Ausschluss sensibler Quellen und die Information der Mitarbeitenden fallen dabei ins Gewicht.
Anonymisierung oder Pseudonymisierung
| Pseudonymisierte Daten | Anonymisierte Daten | |
|---|---|---|
| Was passiert | Direkte Kennungen wie Namen werden ersetzt | Personen sind für niemanden mehr vernünftigerweise identifizierbar |
| Re-Identifizierung | Mit Zusatzwissen möglich | Vernünftigerweise nicht möglich |
| DSGVO | Gilt weiter (Art. 4 Nr. 5) | Gilt nicht mehr (Erwägungsgrund 26) |
| Beispiel | Aus „Anna Huber“ wird überall „Person A“ | Name ersetzt, Rolle und Ort verallgemeinert, seltene Details entfernt, Ergebnis geprüft |
Die einheitliche Ersetzung, bei der dieselbe Person immer zu „Person A“ wird, ist sinnvoll, weil Zusammenhänge in den Daten erhalten bleiben. Für sich genommen ist sie aber Pseudonymisierung. Für eine Anonymisierung müssen zusätzlich Details verallgemeinert werden, über die sich jemand herausgreifen ließe (Jobtitel, Orte, Datumsangaben, seltene Ereignisse), direkte Kontaktdaten entfernt und das Ergebnis auf Re-Identifizierungsrisiken geprüft werden. Die europäischen Datenschutzbehörden beschreiben diese Techniken in ihren Leitlinien zu Anonymisierung und Pseudonymisierung.
Kundendaten und Auftragsverarbeitung
Verarbeiten Sie Daten im Auftrag von Kunden, etwa als Softwareanbieter oder Dienstleister, sind Sie Auftragsverarbeiter im Rahmen eines AVV. Diese Daten dürfen Sie nur für die Zwecke Ihrer Kunden nutzen; ohne deren Zustimmung lassen sie sich nicht für KI-Training lizenzieren. Ihre eigenen Betriebsdaten, für die Sie Verantwortlicher sind, stehen auf einem anderen Blatt.
Beschäftigtendaten und Betriebsrat
Chat-Verläufe, E-Mails und Tickets sagen oft etwas darüber aus, wie einzelne Mitarbeitende arbeiten. Bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können, hat der Betriebsrat ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Werden solche Daten genutzt, kann eine Betriebsvereinbarung nötig sein. Wer den Betriebsrat früh einbindet und sensible Quellen ausschließt, kommt schneller und sicherer ans Ziel.
Verarbeitung in der EU und Labore außerhalb der EU
Viele Käufer sitzen außerhalb der EU. Rohdaten mit Personenbezug sollten deshalb ausschließlich in der EU verarbeitet werden. Europa verlassen sollte nur der anonymisierte Datensatz, der keine personenbezogenen Daten mehr enthält und damit nicht den Übermittlungsregeln der DSGVO unterliegt.
EU AI Act: Herkunftsnachweise für Käufer
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen eine hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen (Art. 53 Abs. 1 lit. d AI Act). Käufer wollen daher Datensätze mit dokumentierter Herkunft und geklärten Rechten. Eine saubere Dokumentation macht europäische Daten attraktiver, nicht unattraktiver.
Checkliste vor der Lizenzierung
- Datenquellen auflisten und eigene Daten von Daten trennen, die Sie für Kunden verarbeiten.
- Rechtsgrundlage und Interessenabwägung für den neuen Zweck dokumentieren.
- Den Betriebsrat einbinden, wenn Beschäftigtendaten betroffen sind.
- Festlegen, was ausgeschlossen ist: Quellen, Zeiträume, sensible Inhalte.
- In der EU anonymisieren: ersetzen, verallgemeinern, entfernen, Ergebnis prüfen.
- Vor jeder Lieferung eine Stichprobe prüfen.
- Zulässige Nutzungen und Herkunftsdokumentation in der Lizenz festhalten.
Dieser Leitfaden gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Ob eine konkrete Datenquelle lizenziert werden kann, wird im Einzelfall geprüft. Ein erster Schritt ist der Eignungs-Check.
Häufige Fragen
Reicht es, Namen zu ersetzen, damit Daten anonym sind?
Selten. Das Ersetzen von Namen ist Pseudonymisierung. Rollen, Orte, Datumsangaben und seltene Details können Personen weiterhin erkennbar machen, deshalb müssen auch sie verallgemeinert oder entfernt und das Ergebnis geprüft werden.
Brauchen wir die Einwilligung der Mitarbeitenden?
Meist nicht als Hauptgrundlage, weil Einwilligungen im Arbeitsverhältnis oft nicht als freiwillig gelten. Üblicher ist das berechtigte Interesse mit dokumentierter Interessenabwägung, verbunden mit der Information der Mitarbeitenden und gegebenenfalls einer Betriebsvereinbarung.
Gilt die DSGVO für den Datensatz, den das KI-Labor erhält?
Nicht, wenn der Datensatz anonymisiert ist, denn anonymisierte Daten sind keine personenbezogenen Daten mehr. Deshalb muss die Anonymisierung vor der Lieferung erfolgen, in der EU.
Quellen
Sind die Daten Ihres Unternehmens lizenzierbar?
Drei Fragen, etwa eine Minute, kein Daten-Upload.
Jetzt Eignung prüfen →