Die Online-Schutzrechte beschränken sich nicht mehr nur auf die Wahl eines guten Passworts. Die DSGVO regelt die Erhebung und Verarbeitung personenbezogener Daten, aber die Konfliktzonen nehmen mit Künstlicher Intelligenz, Altersverifikation und Datenübertragungen an Drittanbieter zu. Das Messen der Lücke zwischen den theoretischen Rechten der Nutzer und deren tatsächlicher Anwendung ermöglicht es, die Punkte zu erkennen, an denen der Schutz fragil bleibt.
DSGVO-Rechte und KI-Systeme: Eine Übersicht über die neuen Risiken
Die im Februar 2025 von der CNIL veröffentlichten Empfehlungen zur KI und DSGVO identifizieren drei Ebenen, auf denen personenbezogene Daten exponiert sein können. Der Vergleich dieser Ebenen hilft zu verstehen, wo das Risiko für Einzelpersonen am schwierigsten zu kontrollieren ist.
| Expositionsniveau | Art des Risikos | Kontrolle durch den Nutzer |
|---|---|---|
| Trainingsdatensätze | Daten, die bei der Erstellung des Modells ohne ausdrückliche Zustimmung integriert wurden | Nahezu null: Der Nutzer weiß oft nicht, dass seine Daten im Korpus enthalten sind |
| Speicherung durch das Modell | Das Modell kann Fragmente von erlernten personenbezogenen Daten wiedergeben | Gering: Hängt von der Politik des KI-Anbieters ab |
| Prompts und eingereichte Dokumente | Die eingegebenen Informationen können zur Schulung des Modells wiederverwendet werden | Hoch, wenn der Nutzer seine Eingaben pseudonymisiert und die Nutzungsbedingungen überprüft |
Die dritte Ebene ist die einzige, auf der eine Einzelperson einen direkten Hebel hat. Die Begrenzung persönlicher Informationen in Anfragen, die Pseudonymisierung von Anhängen und die Überprüfung, ob der Anbieter die Eingaben zur Schulung seiner Modelle wiederverwendet, sind die am leichtesten zugänglichen Schutzmaßnahmen.
Um die anwendbaren Abwehrmechanismen zu vertiefen, bieten die umfassenden Leitfäden von Mindtrap detaillierte Informationen zu den konkreten Schritten, die im Falle einer Verletzung der digitalen Rechte zu unternehmen sind.
Zustimmung und Datenverarbeitung: Die Diskrepanzen zwischen Text und Praxis
Die DSGVO verlangt, dass die Zustimmung frei, informiert, spezifisch und eindeutig ist. In der Praxis basieren die meisten Erfassungsoberflächen auf Dark Patterns, die die Wahl in Richtung Zustimmung lenken. Der Button “Alles akzeptieren” ist auf den meisten Seiten sichtbarer als die Einstellungsoption.
Was das Zugriffsrecht tatsächlich erlaubt
Jede betroffene Person kann von einem Unternehmen die vollständige Kopie der sie betreffenden Daten anfordern. Das Unternehmen hat einen Monat Zeit, um zu antworten. Das Ausüben dieses Rechts stößt jedoch oft auf unvollständige Antworten oder absichtlich komplexe Formulare.
Das Widerspruchsrecht gegen die Verarbeitung bleibt das am wenigsten genutzte Instrument für Einzelpersonen. Es ermöglicht, eine Verarbeitung abzulehnen, die auf dem berechtigten Interesse des Unternehmens basiert, was einen erheblichen Teil der Marketingpraktiken abdeckt. Nur wenige Nutzer wissen, dass sie es in diesem Kontext ohne besondere Begründung anrufen können.
Unternehmenskonformität: Eine Herausforderung technischer Maßnahmen
Die DSGVO-Konformität beschränkt sich nicht auf die Anzeige einer Datenschutzerklärung. Sie erfordert dokumentierte technische und organisatorische Maßnahmen:
- Die Verschlüsselung personenbezogener Daten im Ruhezustand und während der Übertragung, einschließlich in Backups und Testumgebungen
- Die Führung eines aktuellen Verzeichnisses der Verarbeitungstätigkeiten, das die Rechtsgrundlage, die Aufbewahrungsdauer und die Empfänger für jede Datenkategorie angibt
- Die Durchführung von Datenschutz-Folgenabschätzungen (DSFA) vor jeder Verarbeitung, die ein hohes Risiko für die Rechte der betroffenen Personen mit sich bringen könnte
Unternehmen, die sich mit einer dokumentarischen Konformität begnügen, ohne diese technischen Maßnahmen umzusetzen, setzen sich Sanktionen aus. Der effektive Schutz beruht auf der Architektur der Systeme, nicht auf den Erklärungen.
Online-Altersverifikation und Datenschutz
Die Altersverifikation verdeutlicht einen direkten Konflikt zwischen zwei Schutz-Zielen. Den Zugang von Minderjährigen zu bestimmten Inhalten zu kontrollieren, erfordert die Erhebung von Identitätsdaten, was ein neues Risiko für die Privatsphäre aller Nutzer schafft.
Die CNIL empfiehlt ein Modell der doppelten Anonymität für die Altersverifikation. Das Prinzip: Der Verifizierungsanbieter weiß nicht, welcher Dienst konsultiert wird, während der Dienst nicht die Identität des Nutzers erhält. Dieser Mechanismus trennt den Verifizierungsvorgang vom Surfverhalten.
Der Europäische Datenschutzausschuss hat im Februar 2025 eine Erklärung zur Altersverifizierung veröffentlicht, die diese Ausrichtung bestätigt. Im Gegensatz dazu schaffen Systeme, die die Verifizierung und Identifizierung bei einem einzigen Akteur zentralisieren, einen einzelnen Ausfallpunkt. Ein Hack dieses Anbieters würde gleichzeitig die Identität der Nutzer und ihren Surfverlauf offenlegen.
Schutz von Minderjährigen und Gestaltung digitaler Plattformen
Das Digital Services Act verlagert die Verantwortung für den Schutz von Minderjährigen auf die Gestaltung der Plattformen selbst. Die Schnittstellenmechanismen werden zu einem Regulierungsobjekt, nicht nur die Inhalte, die sie hosten.
Push-Benachrichtigungen, algorithmische Empfehlungssysteme und variable Belohnungsmechaniken sind direkt betroffen. Ihre Fähigkeit, die Aufmerksamkeit von Minderjährigen über längere Zeiträume zu fesseln, stellt ein Problem der Grundrechte dar, das die einfache elterliche Kontrolle nicht löst.
Dieser designbasierte Ansatz (Privacy by Design) entspricht den Prinzipien der DSGVO, die auf KI-Systeme angewendet werden: Der Schutz personenbezogener Daten muss bereits in der Entwicklungsphase integriert werden, nicht nachträglich in Form von optionalen Einstellungen hinzugefügt werden.
Schutz persönlicher Informationen gegenüber generativen KIs
Die Empfehlungen der CNIL zur KI bieten einen operativen Rahmen für Nutzer, die auf ihre Rechte bedacht sind:
- Nie personenbezogene identifizierende Daten (vollständiger Name, Sozialversicherungsnummer, Adresse) in ein generatives KI-Prompt eingeben
- Alle Dokumente systematisch pseudonymisieren, bevor sie einem KI-Tool übergeben werden, indem Namen, Geburtsdaten und Identifikatoren durch fiktive Werte ersetzt werden
- In den Nutzungsbedingungen überprüfen, ob der Anbieter sich verpflichtet, die Eingaben nicht zur Schulung seiner Modelle wiederzuverwenden
- Sein Zugriffsrecht beim Anbieter ausüben, um die Liste der gespeicherten Daten und deren Aufbewahrungsdauer zu erhalten
Die in einem Prompt eingegebenen Daten stellen eine Verarbeitung im Sinne der DSGVO dar. Der KI-Anbieter agiert je nach Fall als Auftragsverarbeiter oder Verantwortlicher, was Zugriffs-, Berichtigungs- und Löschrechte eröffnet, die denjenigen für jeden anderen digitalen Dienst entsprechen.
Der Schutz der Online-Rechte beruht zunehmend weniger auf individueller Wachsamkeit und immer mehr auf der technischen Architektur der Dienste. Das Modell der doppelten Anonymität für die Altersverifikation und die CNIL-Empfehlungen zur KI zeigen eine Konvergenz: Die solidesten Garantien sind die, die funktionieren, ohne dass der Nutzer bei jeder Interaktion aktiv werden muss.
