Datenmissbrauch durch KI: Wie Ihre Informationen unbemerkt gestohlen werden!

Künstliche Intelligenz verändert die Art und Weise, wie Unternehmen, Behörden und Privatpersonen mit Daten arbeiten. Gleichzeitig wächst die Sorge vieler Betroffener, dass persönliche Informationen ohne ihr Wissen gesammelt, ausgewertet oder für das Training von KI-Systemen verwendet werden. Häufig bleibt unbemerkt, welche Daten verarbeitet werden, wer Zugriff darauf hat und welche rechtlichen Möglichkeiten bestehen.

Der Begriff „Datenmissbrauch durch KI“ umfasst unterschiedliche Fallkonstellationen. Nicht jede Datenverarbeitung ist rechtswidrig. Umgekehrt können bereits scheinbar harmlose Datensammlungen erhebliche rechtliche Folgen haben, wenn personenbezogene Informationen ohne ausreichende Rechtsgrundlage genutzt oder weitergegeben werden.

Dieser Beitrag erläutert, welche rechtlichen Risiken bestehen, welche Ansprüche Betroffene unter Umständen geltend machen können und wann eine anwaltliche Prüfung sinnvoll sein kann.

Was bedeutet Datenmissbrauch durch KI?

Von Datenmissbrauch durch KI spricht man, wenn personenbezogene oder vertrauliche Informationen unter Einsatz künstlicher Intelligenz rechtswidrig erhoben, verarbeitet, analysiert oder weiterverwendet werden.

Dabei kommen unterschiedliche Konstellationen in Betracht:

• Verwendung personenbezogener Daten zum Training von KI-Systemen
• automatisierte Erstellung von Persönlichkeits- oder Risikoprofilen
• unerlaubte Zusammenführung verschiedener Datenquellen
• Auslesen öffentlich verfügbarer Inhalte („Web Scraping“)
• Verarbeitung sensibler Unternehmensdaten durch externe KI-Dienste
• Identitätsmissbrauch durch KI-generierte Inhalte
• Erstellung täuschend echter Deepfakes

Nicht jede Nutzung von KI führt automatisch zu einem Datenschutzverstoß. Entscheidend ist vielmehr, ob die Datenverarbeitung auf einer zulässigen Rechtsgrundlage erfolgt und die gesetzlichen Anforderungen eingehalten werden.

Welche Daten sind besonders betroffen?

KI-Systeme können eine Vielzahl unterschiedlicher Informationen verarbeiten.

Dazu gehören insbesondere:

• Name und Kontaktdaten
• Fotos und Videos
• Sprachaufnahmen
• E-Mail-Inhalte
• Standortdaten
• Gesundheitsdaten
• Finanzinformationen
• Social-Media-Beiträge
• Bewerbungsunterlagen
• berufliche Profile
• biometrische Daten

Besonders sensibel sind personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO), insbesondere Gesundheitsdaten, biometrische Daten oder Informationen über politische oder religiöse Überzeugungen. Für deren Verarbeitung gelten erhöhte rechtliche Anforderungen.

Wie gelangen KI-Systeme an personenbezogene Informationen?

Öffentlich zugängliche Daten

Viele KI-Anwendungen greifen auf Informationen zurück, die frei im Internet verfügbar sind.

Hierzu zählen beispielsweise:

• Webseiten
• Blogs
• Presseartikel
• Foren
• Social-Media-Profile
• öffentliche Register

Auch öffentlich zugängliche Daten unterliegen jedoch nicht automatisch einer uneingeschränkten Nutzung. Die Zulässigkeit hängt vom jeweiligen Verarbeitungszweck sowie den datenschutzrechtlichen Vorgaben ab.

Hochgeladene Inhalte

Viele Nutzer laden Dokumente, Verträge oder E-Mails in KI-Anwendungen hoch, ohne sich bewusst zu sein, welche Nutzungsbedingungen gelten.

Je nach Anbieter können diese Informationen:

• gespeichert,
• analysiert,
• für Qualitätsverbesserungen verwendet oder
• unter bestimmten Voraussetzungen zum Training von KI-Modellen herangezogen werden.

Gerade Unternehmen sollten deshalb sorgfältig prüfen, welche vertraulichen Informationen in externe KI-Dienste eingegeben werden.

Daten aus Sicherheitsvorfällen

Nicht selten gelangen personenbezogene Informationen infolge von Hackerangriffen oder Datenlecks in Umlauf. Solche Datensätze können anschließend für KI-gestützte Analysen oder Identitätsdiebstahl missbraucht werden.

Welche rechtlichen Risiken bestehen?

Verstöße gegen die DSGVO

Die Datenschutz-Grundverordnung bildet in Deutschland und der Europäischen Union den zentralen Rechtsrahmen für die Verarbeitung personenbezogener Daten.

Je nach Einzelfall können insbesondere folgende Vorschriften betroffen sein:

• fehlende Rechtsgrundlage für die Verarbeitung
• unzureichende Transparenz
• Verletzung der Informationspflichten
• unzulässige Weitergabe personenbezogener Daten
• fehlende technische und organisatorische Schutzmaßnahmen

Unternehmen müssen nachweisen können, dass die Verarbeitung rechtmäßig erfolgt.

Verletzung des allgemeinen Persönlichkeitsrechts

Werden persönliche Informationen ohne Erlaubnis verwendet oder falsche Inhalte über eine Person verbreitet, kann neben datenschutzrechtlichen Ansprüchen auch das allgemeine Persönlichkeitsrecht betroffen sein.

Dies kann beispielsweise bei KI-generierten Bildern, Sprachimitationen oder manipulierten Videos relevant werden.

Urheber- und Geschäftsgeheimnisschutz

Auch Unternehmen sind betroffen.

Wer interne Dokumente, Quellcodes oder vertrauliche Informationen in externe KI-Systeme eingibt, riskiert unter Umständen:

• Verletzungen von Geheimhaltungspflichten
• Verstöße gegen das Geschäftsgeheimnisgesetz
• urheberrechtliche Konflikte
• vertragliche Haftungsrisiken

Typische Fallgruppen aus der Praxis

Persönliche Fotos werden für KI-Modelle verwendet

Betroffene stellen fest, dass Bilder aus sozialen Netzwerken oder Webseiten in Datensammlungen für KI-Training auftauchen.

Ob dies zulässig ist, hängt von verschiedenen rechtlichen Faktoren ab, unter anderem von der Herkunft der Daten, den Nutzungsbedingungen sowie den datenschutzrechtlichen Voraussetzungen.

Vertrauliche Unternehmensdaten werden in KI-Systeme eingegeben

Mitarbeitende nutzen KI-Anwendungen zur Arbeitserleichterung und laden Verträge, Kundendaten oder interne Dokumente hoch.

Hier können datenschutzrechtliche, arbeitsrechtliche und vertragliche Risiken entstehen.

KI erstellt falsche Informationen über Personen

Automatisierte Systeme können fehlerhafte Profile oder unzutreffende Aussagen erzeugen. Dies kann den Ruf einer Person oder eines Unternehmens erheblich beeinträchtigen.

Je nach Einzelfall kommen Ansprüche auf Berichtigung, Löschung oder Unterlassung in Betracht.

Welche Rechte haben Betroffene?

Je nach Sachverhalt können verschiedene datenschutzrechtliche Ansprüche bestehen.

Dazu gehören insbesondere:

• Auskunft über gespeicherte Daten
• Berichtigung unrichtiger Informationen
• Löschung personenbezogener Daten
• Einschränkung der Verarbeitung
• Widerspruch gegen bestimmte Datenverarbeitungen
• Datenübertragbarkeit

Unter bestimmten Voraussetzungen kann außerdem ein Anspruch auf Schadensersatz nach Art. 82 DSGVO bestehen. Ob immaterielle Schäden – etwa aufgrund eines Kontrollverlusts über personenbezogene Daten – ersatzfähig sind, hängt von den konkreten Umständen des Einzelfalls und der aktuellen Rechtsprechung ab.

Was sollten Betroffene bei einem Verdacht auf Datenmissbrauch tun?

Wer vermutet, dass personenbezogene Daten unzulässig durch KI verarbeitet wurden, sollte möglichst früh Beweise sichern.

Sinnvoll können insbesondere sein:

• Screenshots
• gespeicherte Webseiten
• E-Mails
• Vertragsunterlagen
• Datenschutzinformationen
• Protokolle über den zeitlichen Ablauf

Anschließend sollte geprüft werden,

• welche Daten betroffen sind,
• wer Verantwortlicher der Verarbeitung ist,
• auf welcher Rechtsgrundlage die Daten verarbeitet wurden und
• welche Ansprüche bestehen könnten.

Je früher der Sachverhalt dokumentiert wird, desto einfacher lässt sich später nachvollziehen, welche Verarbeitung tatsächlich stattgefunden hat.

Welche Fristen spielen eine Rolle?

Datenschutzrechtliche Ansprüche können unterschiedlichen Fristen unterliegen.

Zu beachten sind insbesondere:

Verjährung

Schadensersatzansprüche unterliegen regelmäßig den allgemeinen zivilrechtlichen Verjährungsvorschriften. Welche Frist im Einzelfall gilt und wann sie beginnt, hängt von den jeweiligen Umständen ab.

Datenschutzaufsicht

Betroffene können sich außerdem an die zuständige Datenschutzaufsichtsbehörde wenden. Eine gesetzliche Beschwerdefrist besteht hierfür grundsätzlich nicht. Gleichwohl empfiehlt sich ein zeitnahes Vorgehen, solange Sachverhalt und Beweismittel noch gut dokumentiert werden können.

Welche Beweisprobleme treten häufig auf?

Gerade bei KI-Anwendungen ist oft schwer nachvollziehbar,

• welche Daten tatsächlich verarbeitet wurden,
• wann die Verarbeitung erfolgt ist,
• welche Algorithmen eingesetzt wurden,
• ob Daten an Dritte weitergegeben wurden und
• ob automatisierte Entscheidungen getroffen wurden.

Auskunftsansprüche nach der DSGVO können helfen, den Sachverhalt aufzuklären. In komplexen Fällen ist häufig eine technische und rechtliche Gesamtbewertung erforderlich.

Welche Kosten können entstehen?

Die finanziellen Folgen hängen vom jeweiligen Verfahren ab.

Möglich sind unter anderem:

• Anwaltskosten
• Gerichtskosten
• Sachverständigenkosten
• Kosten technischer Gutachten

Ob und in welchem Umfang diese Kosten erstattungsfähig sind, richtet sich nach dem Ausgang des Verfahrens sowie den jeweiligen gesetzlichen Vorschriften.

Häufige Fehler von Betroffenen

In der Praxis treten immer wieder ähnliche Fehler auf.

Dazu gehören insbesondere:

• Verdachtsmomente werden nicht dokumentiert.
• Beweismittel werden gelöscht oder überschrieben.
• Auskunftsansprüche werden nicht genutzt.
• Fristen werden übersehen.
• Vertrauliche Daten werden weiterhin ungeschützt in KI-Systeme eingegeben.
• Es wird vorschnell davon ausgegangen, jede KI-Nutzung sei automatisch rechtswidrig.

Eine sorgfältige rechtliche Einordnung ist regelmäßig sinnvoll, da die Bewertung stark vom konkreten Sachverhalt abhängt.

Wann empfiehlt sich eine anwaltliche Prüfung?

Eine anwaltliche Prüfung kann insbesondere sinnvoll sein, wenn

• sensible personenbezogene Daten betroffen sind,
• erhebliche wirtschaftliche Schäden drohen,
• Identitätsdiebstahl vermutet wird,
• Unternehmen von Datenschutzvorwürfen betroffen sind,
• Auskunfts- oder Löschungsansprüche durchgesetzt werden sollen,
• Schadensersatzansprüche geprüft werden sollen oder
• unklar ist, welche datenschutzrechtlichen Pflichten bestehen.

Gerade bei KI-Anwendungen treffen Datenschutzrecht, IT-Recht, Persönlichkeitsrecht, Vertragsrecht und teilweise Urheberrecht aufeinander. Die rechtliche Bewertung erfordert daher häufig eine Gesamtbetrachtung des Einzelfalls.

Fazit: Datenmissbrauch durch KI rechtlich sorgfältig einordnen

Datenmissbrauch durch KI wirft zahlreiche rechtliche Fragen auf. Nicht jede Verarbeitung personenbezogener Informationen ist unzulässig. Ebenso wenig dürfen Unternehmen oder Plattformbetreiber Daten ohne ausreichende Rechtsgrundlage beliebig für KI-Anwendungen nutzen.

Für Betroffene ist es entscheidend, mögliche Verstöße frühzeitig zu erkennen, Beweise zu sichern und bestehende Rechte sorgfältig prüfen zu lassen. Da sich die Rechtslage im Bereich der künstlichen Intelligenz fortlaufend weiterentwickelt und sowohl die DSGVO als auch der europäische AI Act zu berücksichtigen sein können, kommt der Prüfung des konkreten Einzelfalls besondere Bedeutung zu.

FAQ

Kann KI meine personenbezogenen Daten ohne Zustimmung verwenden?

Nicht zwingend. Eine Einwilligung ist nur eine von mehreren möglichen Rechtsgrundlagen nach der DSGVO. Ob eine Datenverarbeitung zulässig ist, hängt von den gesetzlichen Voraussetzungen und dem konkreten Verwendungszweck ab.

Habe ich ein Recht zu erfahren, welche Daten über mich verarbeitet werden?

Ja. Betroffene können grundsätzlich Auskunft über die Verarbeitung ihrer personenbezogenen Daten verlangen. Der Umfang dieses Anspruchs richtet sich nach den Vorgaben der DSGVO.

Kann ich die Löschung meiner Daten verlangen?

Unter bestimmten Voraussetzungen besteht ein Anspruch auf Löschung personenbezogener Daten. Ob dieser durchsetzbar ist, hängt von den Umständen des Einzelfalls und möglichen gesetzlichen Aufbewahrungspflichten ab.

Kann ich Schadensersatz verlangen, wenn KI meine Daten rechtswidrig verarbeitet?

Ein Schadensersatzanspruch kann insbesondere nach Art. 82 DSGVO in Betracht kommen. Ob die gesetzlichen Voraussetzungen erfüllt sind und welcher Schaden ersetzt werden kann, muss anhand des konkreten Sachverhalts geprüft werden.

Was sollten Unternehmen beim Einsatz von KI beachten?

Unternehmen sollten insbesondere Datenschutz, Informationssicherheit, Vertraulichkeit, interne Richtlinien sowie vertragliche Verpflichtungen berücksichtigen. Vor dem Einsatz neuer KI-Anwendungen empfiehlt sich häufig eine datenschutzrechtliche und organisatorische Prüfung.