Künstliche Intelligenz, personenbezogene Daten und datenschutzrechtliche Verarbeitungsgrundlagen

Die Datenverarbeitung zählt zu den zentralen Funktionen der KI. Sind Daten personenbezogen, so müssen sich ihre Sammlung und Verarbeitung auf eine geeignete datenschutzrechtliche Grundlage stützen. Erfolgt die Datenverarbeitung innerhalb von einer vertraglichen Beziehung, so kann etwa Art. 6 Abs. 1 Buchst. b DSGVO die einschlägige Rechtsgrundlage darstellen. Die Geeignetheit der Verarbeitungsgrundlage der Notwendigkeit für die Vertragsdurchführung steht jedoch in Frage, wenn Daten einer der besonderen Kategorien gem. Art. 9 DSGVO angehören oder wenn sie auch für Zwecke verwendet werden, die für die Erfüllung des abgeschlossenen Vertrages nicht erforderlich sind. Werden Daten etwa mit dem Ziel der Verbesserung und Weiterentwicklung eines KI-Systems verarbeitet, so scheint auch in diesem Fall Art. 6 Abs. 1 Buchst. b DSGVO keine geeignete Verarbeitungsgrundlage darzustellen. Ist der Erlaubnistatbestand im Art. 6 Abs. 1 Buchst. b DSGVO nicht einschlägig, so dürfte die Einwilligung des Betroffenen notwendig sein. Die Datenverarbeitung auf Basis einer Einwilligung verlangt jedoch, dass bestimmte Wirksamkeitsvoraussetzungen erfüllt sind. Ob diese bei Verarbeitung der Daten in KI-Kontexten eingehalten sind, bleibt jedoch aufgrund der Merkmale der KI-Anwendungen fraglich. Durch sog. privacy by design, Datenanonymisierung und Einsatz der KI zu (Daten)Schutzzwecken lassen sich die bestehenden Probleme teilweise überwinden. Um die Schwierigkeiten, die mit der Einholung einer wirksamen Einwilligung verbunden sind, zu vermeiden, beruft man sich zudem in der Praxis zunehmend auf weitere Erlaubnistatbestände, etwa auf denjenigen des berechtigten Interesses. Die vorgeschlagene KI-VO erweitert die Möglichkeit der Nutzung personenbezogener (sogar sensibler) Daten mit dem Ziel, hochwertige Datensätze zu gewährleisten. Dabei müssen auf jeden Fall geeignete Maßnahmen vorgenommen werden, um die Interessen des Betroffenen nicht zu beeinträchtigen. Die Datenschutzkonformität der Verarbeitung ist u.a. durch ständige menschliche Aufsicht und Eingriffsmöglichkeit zu gewährleisten.