Warum Art. 6 DSGVO auch beim KI-Training gilt
Wer ein KI-Modell mit Daten trainiert, die sich auf identifizierte oder identifizierbare Personen beziehen, verarbeitet personenbezogene Daten im Sinne der DSGVO – unabhängig davon, ob das Training für ein internes Analysetool, einen Chatbot oder ein Empfehlungssystem erfolgt. Art. 6 Abs. 1 DSGVO verlangt für jede Verarbeitung mindestens eine der dort genannten Rechtsgrundlagen. Ohne eine solche Grundlage ist das Training rechtswidrig – auch wenn das trainierte Modell selbst später keine personenbezogenen Daten mehr ausgibt. Die EU-KI-Verordnung ändert daran nichts: Ihre Fristen (etwa die Transparenzpflichten aus Art. 50 ab dem 02.08.2026) regeln andere Aspekte des KI-Einsatzes und ersetzen nicht die datenschutzrechtliche Prüfung nach Art. 6 DSGVO.
Welche Rechtsgrundlagen in der Praxis tragfähig sind
Art. 6 Abs. 1 DSGVO nennt sechs mögliche Grundlagen. Für KI-Training relevant sind in der Praxis vor allem:
- Einwilligung (lit. a): Erfordert eine Einwilligung „für einen oder mehrere bestimmte Zwecke“. Pauschale Klauseln, die „jede zukünftige Nutzung zu KI-Zwecken“ abdecken sollen, erfüllen dieses Bestimmtheitsgebot regelmäßig nicht.
- Vertragserfüllung (lit. b): Trägt nur, wenn das Training tatsächlich zur Erfüllung des mit der betroffenen Person geschlossenen Vertrags erforderlich ist – nicht, wenn Trainingsdaten lediglich als Nebeneffekt eines Vertragsverhältnisses anfallen.
- Berechtigtes Interesse (lit. f): Die in der Praxis am häufigsten herangezogene Grundlage für Training mit Bestands- oder Nutzungsdaten. Sie setzt eine Interessenabwägung voraus: Das Interesse des Verantwortlichen (oder eines Dritten) muss gegenüber den Interessen oder Grundrechten der betroffenen Person nicht überwiegen – ausdrücklich strenger, wenn Kinder betroffen sind.
Eine rechtliche Verpflichtung (lit. c) oder eine Aufgabe im öffentlichen Interesse (lit. e) kommt nur in Betracht, wenn eine entsprechende Rechtsgrundlage nach Unionsrecht oder mitgliedstaatlichem Recht existiert, die Zweck, Datenarten und Speicherdauer hinreichend konkret regelt (Art. 6 Abs. 3 DSGVO).
Die typische Lücke: Zweckänderung bei Bestandsdaten
Der häufigste Fehler in der Praxis liegt nicht in der fehlenden Rechtsgrundlage für die Erhebung, sondern in der Weiterverarbeitung: Daten wurden ursprünglich für einen anderen Zweck erhoben – etwa zur Vertragsabwicklung oder für den Kundensupport – und werden später zum Training eines KI-Modells genutzt. Art. 6 Abs. 4 DSGVO verlangt für diesen Fall eine Vereinbarkeitsprüfung, sofern weder eine neue Einwilligung noch eine gesetzliche Grundlage vorliegt. Zu prüfen sind unter anderem:
- die Verbindung zwischen ursprünglichem Erhebungszweck und dem Trainingszweck,
- der Kontext der Erhebung, insbesondere das Verhältnis zwischen betroffener Person und Verantwortlichem,
- die Art der Daten (etwa besondere Kategorien nach Art. 9 DSGVO),
- die möglichen Folgen der Weiterverarbeitung für die betroffenen Personen,
- vorhandene Garantien wie Pseudonymisierung oder Verschlüsselung.
Wird diese Prüfung nicht dokumentiert, fehlt im Ernstfall der Nachweis, dass die Weiterverarbeitung zulässig war – unabhängig davon, wie sorgfältig das Modell technisch trainiert wurde.
Web-Scraping und Drittdaten: besonders fehleranfällig
Beim Training mit extern beschafften oder gescrapten Datensätzen fehlt häufig jede belastbare Rechtsgrundlage: Die betroffenen Personen haben nicht eingewilligt, es besteht kein Vertragsverhältnis, und eine Interessenabwägung nach lit. f wurde nie durchgeführt oder nicht dokumentiert. Gerade bei großflächigem Scraping aus öffentlich zugänglichen Quellen wird oft übersehen, dass „öffentlich zugänglich“ nicht gleichbedeutend mit „rechtmäßig weiterverarbeitbar“ ist. Für jede Datenquelle, die in ein Trainingsset einfließt, braucht es eine eigenständige Prüfung nach Art. 6 DSGVO – pauschale Annahmen zur Rechtmäßigkeit tragen im Streitfall nicht.
Was das für Ihre Organisation bedeutet
Wer KI-Modelle mit personenbezogenen Daten trainiert, sollte für jede Datenquelle und jeden Trainingslauf dokumentieren, welche Rechtsgrundlage nach Art. 6 DSGVO greift und – im Fall einer Zweckänderung – warum die Weiterverarbeitung nach Art. 6 Abs. 4 DSGVO vereinbar ist. Diese Dokumentation ist kein Selbstzweck, sondern die Grundlage, um im Zweifel gegenüber Aufsichtsbehörden oder betroffenen Personen Rechenschaft ablegen zu können.
Wenn Sie unsicher sind, wie Ihr Unternehmen in Bezug auf KI-Training und Datenschutz aktuell aufgestellt ist: Mit dem kostenlosen Risiko-Check unter /einstufung erhalten Sie eine erste Einordnung Ihrer Pflichten.