Einhaltung der Grundsätze der Verarbeitung personen­be­zogener​ Daten bei KI

Die Grundsätze der Verarbeitung personenbezogener Daten gemäß Artikel 5 DS-GVO (Grundsätze) haben zentrale Bedeutung im Datenschutzrecht. Die Sanktionsvorschriften der DS-GVO sehen für Verstöße gegen die Grundsätze Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Vorjahresumsatzes vor. Auch in den zentralen Vorschriften des Bundesdatenschutzgesetzes (BDSG) zum Beschäftigtendatenschutz finden die Grundsätze Erwähnung.  

​

Zu einem großen Teil folgen die Grundsätze aus europäischen Grund- und Menschenrechten sowie den gemein​-&​shy;samen Verfassungstraditionen der Mitgliedsstaaten. Letzteres gilt aus deutscher Perspektive vor allem für das Grundrecht auf informationelle Selbstbestimmung. Daher kann der Unionsgesetzgeber die Grundsätze nicht einfach aufgeben, wenn er eine neue Technologie bzw. deren Anwendung regulieren will – etwa mit der Verordnung über künstliche Intelligenz (KI-VO).

Entsprechend stellt die KI-VO ausdrücklich klar, dass die Bestimmungen der DS-GVO unberührt bleiben. Dies schließt die Grundsätze ein. Einzig Artikel 10 Absatz 5 und Artikel 59 KI-VO genießen dabei eine Sonderstel​­​lung, Artikel 2 Absatz 7 Satz 2 Halbsatz 2 KI-VO. Soweit die juristische Theorie.

Praktisch stellt die Gewährleistung der Grundsätze bei der Anwendung von KI die Verantwortlichen vor große Herausforderungen. Beispielhaft zeigen lässt sich dies für die Anforderungen an die Transparenz bei der Verarbeitung personenbezogener Daten und dem Grundsatz zur Datenminimierung. Denn beides ist schon bei Verarbeitungstätigkeiten gänzlich ohne KI für Unternehmen schwierig umsetzen.

Transparenz bedeutet, dass die Verarbeitung personenbezogener Daten in einer für die betroffene Person nachvollziehbaren Art und Weise erfolgt. Was darunter zu verstehen ist, erläutern die Erwägungsgründe 39, 58 und 78 DS-GVO näher. Bspw. müssen Informationen dazu in klarer und einfacher Sprache abgefasst sein. Ganz ohne KI scheitern an dieser Anforderung bereits viele Verantwortliche. Die Verarbeitung durch KI so darzu​­​-stellen, dass sie für die betroffene Person nicht als „Blackbox“ erscheint, ist umso herausfordernder. Zudem setzt eine vollständige Information zunächst voraus, dass Unternehmen die mit der KI zusammen­​hängenden Verarbeitungen personenbezogener Daten selbst vollständig überblicken. Beim Einsatz umfangreicher oder sich dynamisch fortentwickelnder KI-Systeme fehlt es in der Praxis oft bereits an dieser Voraussetzung. 

Datenminimierung meint, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen. Damit verweist die Datenmini­​mie­rung indirekt auf den Grundsatz der Zweckbindung. An die Datenminimierung lässt sich bspw. für die jüngst entschiedene Frage anknüpfen, ob ein Eisenbahnunternehmen beim Ticketkauf das Geschlecht des Kunden erheben darf (vgl. Europäischer Gerichtshof, Urteil vom 9.1.2025, Rs. C-394/23, ECLI:EU:C:2025:2). Die Verarbeitung durch KI stützt sich häufig auf große Datenmengen. Folgen Verantwortliche dem Grundsatz der Datenminimierung, dürften gewisse Datenmengen gar nicht erst entstehen. Dies hat wiederum Auswirkungen auf das Training von KI, da es hier oft gerade auf möglichst große Datenmengen ankommt. 

Nicht unerwähnt bleiben soll, dass die Grundsätze an anderer Stelle der DS-GVO vertieft und näher ausgeformt werden. Für das Transparenzgebot ist etwa an Artikel 12 bis 15 sowie 22 DS-GVO zu denken. Der Grundsatz der Datenminimierung scheint an vielen Stellen mit dem Wort „erforderlich“ auf und kann so über die Anwend­​-barkeit einer Rechtsgrundlage für die Verarbeitung personenbezogener Daten entscheiden. 

Die Literatur sieht stellenweise die Grundsätze für die Herausforderungen der Zukunft nur unzureichend gerüstet. Dem wollen wir uns so nicht anschließen. Die Grundsätze lassen Raum für aufsichtsbehördliche und richterliche Rechtsfortbildung, wenn der Unionsgesetzgeber die Grundsätze im Lichte neuer Technologien nicht neu justieren will oder kann. Für Unternehmen können die Grundsätze als kritischer Maßstab dienen, in welchem daten​schutzrechtlichen Licht eine in Aussicht genommene KI-Anwendung erscheint. Orientiert an den Beispielen Transparenz („Je klarer, desto besser“) und Datenminimierung („Weniger ist mehr“) folgt daraus eine klare Richtschnur für den Zweifelsfall.