Berechtigtes Interesse als Rechtsgrundlage für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Entwicklung und Implementierung von AI-Modellen

Auch wenn es uns vielleicht nicht bewusst ist, besteht das Funktionsprinzip der AI-Technologie in der Verarbeitung großer Datenmengen. Ein großer Teil dieser verarbeiteten Daten besteht aus personenbezogenen Daten der Nutzer. Der Umgang mit personenbezogenen Daten bei der Entwicklung von AI-Modellen unterliegt den im Rahmen der nationalen Regelungen der einzelnen Länder festgelegten Regeln für die Verarbeitung personenbezogener Daten sowie allen auf der EU-Ebene verankerten Verpflichtungen.

Die Verarbeitung personenbezogener Daten unterliegt relativ strengen gesetzlichen Anforderungen, deren allgemeinen Rahmen die Verordnung des Europäischen Parlaments und des Rates (EU) 2016/679 vom 27. April 2016, über Schutz natürlicher Personen bei Verarbeitung personenbezogener Daten und über freien Datenverkehr, und zur Aufhebung der Richtlinie 95/46/ES („GDPR“), bildet. Die wichtigsten Grundsätze, auf denen der Schutz personenbezogener Daten beruht, sind Rechtmäßigkeit, Transparenz, Zweckbindung und Datenminimierung.

Im Lichte dieser Grundsätze dürfen personenbezogene Daten nur auf Grundlage eines der sechs in der GDPR- Richtlinie definierten Rechtsgrundlagen verarbeitet werden. Diese Gründe sind:

• Einwilligung der betroffenen Person,
• Erforderlichkeit der Verarbeitung zur Erfüllung eines Vertrags,
• Erfüllung rechtlicher Verpflichtungen,
• Schutz lebenswichtiger Interessen,
• Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt,
  oder in Ausübung öffentlicher Gewalt erfolgt, und
• berechtigtes Interesse.

Beim Training von AI-Modellen muss daher sichergestellt werden, dass die Verarbeitung personenbezogener Daten auf Grundlage eines rechtlichen Grundes erfolgt. In den meisten Fällen handelt es sich dabei um ein berechtigtes Interesse der zuständigen Verantwortlichen oder eines Dritten. Ein berechtigtes Interesse kann jedoch nur dann als Grundlage für die Verarbeitung herangezogen werden, wenn weitere Voraussetzungen vorliegen.

Stellungnahme von EDPB-Ausschuss

Mit der Frage des Datenschutzes bei der Verarbeitung personenbezogener Daten innerhalb von AI-Modellen befasste sich kürzlich auf Initiative der irischen Aufsichtsbehörde der Europäische Datenschutzausschuss („EDPB“).  In seiner Stellungnahme beantwortete der EDPB-Ausschuss unter anderem die Frage „Wie können Verantwortliche die Angemessenheit eines berechtigten Interesses als Rechtsgrundlage in der Entwicklungs- und der Einsatzphase von AI nachweisen?“

Der EDPB-Ausschuss hat daran erinnert, dass zwischen Rechtsgrundlagen für die Verarbeitung keine Hierarchie besteht, d. h. kein Grund ist wichtiger oder stärker als ein anderer. Es obliegt daher dem Verantwortlichen, für die konkrete Situation die geeignete Rechtsgrundlage für die Verarbeitung auszuwählen. Wenn der Grund für die Verarbeitung ein berechtigtes Interesse ist, muss gemäß der GDPR der sog. dreistufige Test durchgeführt werden, bei dem folgende Tatsachen bewertet werden: (i) das Vorliegen eines berechtigten Interesses des Verantwortlichen, (ii) die Notwendigkeit der Verarbeitung zwecks Erreichung des verfolgten Interesses und (iii) das Fehlen vorrangiger Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen gegenüber den Interessen des Verantwortlichen.

Im Rahmen der Verarbeitung personenbezogener Daten zum Zwecke der Entwicklung von AI-Modellen könnte ein dreistufiger Test beispielsweise wie folgt aussehen:

1. Vorliegen eines berechtigten Interesses an der Verarbeitung, das von dem Verantwortlichen oder einem Dritten verfolgt wird

Ein berechtigtes Interesse liegt beispielsweise bei der Entwicklung von Sprachmodellen oder Algorithmen zur Datenanalyse vor, die dazu beitragen, den Kundenunterstützung/support zu verbessern oder Prozesse zu automatisieren. Es kann auch den Einsatz künstlicher Intelligenz zur Erkennung von Cyberbedrohungen, zur Personalisierung von Inhalten oder zur Automatisierung von Entscheidungsprozessen beinhalten.

2. Notwendigkeit der Verarbeitung zur Überwachung des berechtigten Interesses (sog. Notwendigkeitstest)

Bei AI-Modellen wird es insbesondere zu prüfen, ob für den jeweiligen Zweck nicht alternativ auch die Verwendung anonymisierter oder synthetischer Daten möglich ist. Allerdings können diese Alternativen die Notwendigkeit der Verarbeitung personenbezogener Daten nicht in allen Fällen vollständig ersetzen (z. B. in Personalisierungsmodellen). Wenn eine vollständige Anonymisierung nicht erreicht werden kann, können mildernde Maßnahmen ergriffen werden, die die Möglichkeit einer Identifizierung der betroffenen Person zumindest verringern – beispielsweise Pseudonymisierung, Datenminimierung oder Datenaggregation.

3. Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen, die das berechtigte Interesse überwiegen (sog. Abwägungsprüfung)

Im Zusammenhang mit der Erhebung und Verarbeitung von Daten durch künstliche Intelligenz stehen insbesondere die Rechte der betroffenen Personen auf Privatsphäre und Schutz personenbezogener Daten und die berechtigten Interessen des Verantwortlichen, Dienste zu optimieren und den Zweck zu erreichen, für den das AI-Modell erstellt wurde, im gegenseitigen Konflikt. Im Rahmen der Abwägungsprüfung ist zu prüfen, ob die Interessen und Rechte der betroffenen Personen die Interessen des Verantwortlichen oder eines Dritten überwiegen. Ist dies der Fall, kann das berechtigte Interesse nicht als Rechtsgrundlage für die Verarbeitung personenbezogener Daten herangezogen werden.

Die Stellungnahme des EDPB-Ausschusses betont, dass in diesem Teil des dreistufigen Tests auch berücksichtigt werden muss, ob die berechtigten Erwartungen der betroffenen Personen erfüllt werden, d.h. ob die betroffenen Personen berechtigterweise davon ausgehen können, dass ihre personenbezogenen Daten verarbeitet werden. Zu diesem Zweck ist es angebracht zu berücksichtigen, ob die verarbeiteten Daten öffentlich waren, welche Art von Dienst genutzt wurde und in welchem ​​Kontext die Datenerhebung stattfand. Es ist zu erwarten, dass Aufsichtsbehörden beispielsweise prüfen werden, ob Verantwortliche ein aus einem öffentlichen Register verfügbares Dokument oder einen Link zu einem öffentlichen Profil in sozialen Netzwerken in die Datenbank des AI-Modells hochlädt oder ob es sich um nicht-öffentliche personenbezogene Daten handelt, etwa aus einem persönlichen Dokument.

Abschluss

Aus den Schlussfolgerungen des EDPB-Ausschusses geht hervor, dass die Rechtsgrundlage für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Entwicklung und Implementierung von AI-Modellen ein berechtigtes Interesse sein kann, sofern alle Bedingungen für dessen Nutzung erfüllt sind. Der Verantwortliche muss stets nachweisen können, dass er das berechtigte Interesse und die Notwendigkeit der Verarbeitung im Rahmen des dreistufigen Tests ordnungsgemäß bewertet hat und dass die Interessen der betroffenen Personen weder seine Interessen noch die Interessen Dritter überwiegen.