Wann die DSGVO gilt
Die DSGVO gilt, wenn Trainingsdaten personenbezogene Daten enthalten, also Informationen über eine identifizierte oder identifizierbare Person. Dazu gehören Namen und Kontaktdaten, aber auch Gesichter auf Fotos, Stimmen, Kennzeichen und Kombinationen von Angaben, die auf eine Person hinweisen.
Rechtsgrundlage und Zweck
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage, und für einen Zweck erhobene Daten dürfen nicht beliebig für einen anderen genutzt werden. Prüfen Sie, warum die Daten ursprünglich erhoben wurden und ob KI-Training mit diesem Zweck vereinbar ist. Die Entscheidung liegt bei Ihnen als Verantwortlichem; beziehen Sie Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung ein.
Minimieren
Behalten Sie nur die personenbezogenen Daten, die das Modell wirklich braucht. Oft lassen sich Namen, Kontaktdaten und Ausweisnummern entfernen oder maskieren, ohne die Aufgabe zu verschlechtern. Um zu minimieren, müssen Sie sie zuerst finden. Personenbezogene Daten in Textdatensätzen.
Anonymisiert ist nicht pseudonymisiert
Anonyme Daten, bei denen niemand mit vernünftigerweise einsetzbaren Mitteln identifiziert werden kann, fallen nicht unter die DSGVO. Pseudonymisierte Daten, bei denen Kennungen ersetzt sind, die Person aber mit zusätzlichen Informationen identifiziert werden kann, bleiben personenbezogene Daten (Erwägungsgrund 26 DSGVO). Namen durch Codes zu ersetzen ist Pseudonymisierung, keine Anonymisierung.
Besondere Kategorien
Gesundheitsdaten, biometrische Daten zur Identifizierung von Personen und andere besondere Kategorien unterliegen strengeren Regeln. Fotos von Gesichtern sind personenbezogene Daten, wenn eine Person identifizierbar ist. Biometrische Daten werden sie erst durch eine spezielle technische Verarbeitung, die eine eindeutige Identifizierung ermöglicht (Art. 4 Nr. 14, Erwägungsgrund 51), und eine besondere Kategorie, wenn sie zu diesem Zweck verarbeitet werden (Art. 9). Gesichter zu zählen, ohne jemanden zu identifizieren, ist eine andere Nutzung, aber die Fotos bleiben personenbezogene Daten.
Dokumentieren
Halten Sie Quellen, Zwecke, Rechtsgrundlage, gefundene personenbezogene Daten und deren Behandlung fest. Dieser Leitfaden dient der allgemeinen Information und ist keine Rechtsberatung.