Webdaten für das Training von generativer KI erheben kann eine Reihe von Informationspflichten, die sich aufgrund der Art. 14 DSGVO kaum individuell erfüllen lassen.
Rechtsgrundlagen und Anforderungen
Die Verarbeitung von Webdaten ist in der Regel berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO, das jedoch eine dreistufige Prüfung erfordert:
- Einen konkreten und legitimen Interessendie Verarbeitung muss hierfür erforderlich sein und keine datensparsameren Methoden ersetzen können.
- Die Interessen des Betroffenen müssen abgewogen werden, insbesondere ob die betroffene Person mit der Verarbeitung rechnen kann und wie stark ihre Rechte eingeschränkt werden.
Informationspflichten nach Art. 14 DSGVO
Die Pflichtkataloge nach Art. 14 Abs. 1 und 2 DSGVO sind umfangreicher als bei direkter Erhebung:
- Identität und Kontaktdaten des Verantwortlichen sowie des Datenschutzbeauftragten
- Verarbeitungszwecke und Rechtsgrundlage
- Kategorien der verarbeiteten personenbezogenen Daten
- Empfänger oder Kategorien von Empfängern, einschließlich geplanter Drittlandübermittlungen
- Speicherdauer oder Kriterien für ihre Festlegung
- Betroffenenrechte, Widerspruchsrecht und Beschwerderecht
- Quelle der Daten
Diese Informationen müssen innerhalb eines Monats nach Erlangung der Daten oder zum Zeitpunkt der Offenlegung an Dritte erfolgen.
Kriterien für die Ausnahme in Art. 14 Abs. 5 lit. b DSGVO
Die Informationspflichten entfallen, wenn die Information unmöglich oder einen unverhältnismäßigen Aufwand erfordert. Die Leitlinien 03/2026 des EDSA deuten an, dass eine individuelle Information oft schwierig ist, insbesondere bei großen Datenmengen.
Obwohl die Ausnahme in Art. 14 Abs. 5 lit. b DSGVO theoretisch anwendbar sein kann, sollte sie nicht routinemäßig von Verantwortlichen angewendet werden, die nicht für archivierende Zwecke oder wissenschaftliche, historische und statistische Zwecke Daten verarbeiten.
Die genauen Vorgaben bleiben jedoch unklar, was eine präzise Implementierung der Pflichten bei Web Scraping für KI erfordert. Fachleute weisen darauf hin, dass die Informationspflichten bei großem Datenvolumen oft unwirtschaftlich sind und es daher wichtig ist, den individuellen Fall zu berücksichtigen.
Quelle: www.dr-datenschutz.de