Maximale Dreistigkeit und kein Ende

Die DSGVO und der Meta Konzern - keine Liebesgeschichte

Grundsätzlich gilt die DSGVO für alle Marktteilnehmer innerhalb der EU. Doch wieder einmal zeigt Meta, wie konsequent der Konzern geltendes EU-Datenschutzrecht ignoriert, wenn es den eigenen Interessen im Weg steht. Aber: hübsch der Reihe nach – es sind gleich mehrere Punkte, die besonders kritisch sind. Aber bevor ich in die datenschutzrechtliche Einschätzung gehe, noch mal eine kurze Feststellung:

Auf Plattformen wie Facebook, Instagram und WhatsApp hält sich der überwiegende Teil der Nutzer-/innen eher privat auf. Man daddelt ein bisschen zum Zeitvertreib, schaut sich lustige Videos an, um den Kopf frei zu kriegen oder scrollt einfach nur mal so die eigene Timeline mit, um zu checken ob bei Freunden und Bekannten etwas Neues passiert ist. Oder man stimmt sich in WhatsApp Gruppen mit Freunden oder Oma und Opa über die nächste Geburtstagsfeier ab.

Kritikpunkt 1: Meta stützt die Nutzung der User-Inhalte auf "berechtigtes Interesse" (Art. 6 Abs. 1 lit. f DSGVO)

Ja, ich finde auch, dass das eine schöne Idee ist. Aber hat den Herren von Meta schon mal jemand verraten, dass an die Interessensabwägung von Art. 6 Abs. 1 lit f) hohe Anforderungen zu stellen sind? Es geht hier um private Inhalte. Häufig posten Nutzer im Vertrauen auf den geschützten Raum auch geschützte Informationen. "3 Tage krankgeschrieben - bin besoffen vom Fahrrad gefallen"... oder so was - da will man nicht wirklich, dass der Chef sowas liest.

Bislang konnten User in den Privatsphäre-Einstellungen auf ihrer Facebook-Seite immerhin einstellen, wer die geposteten Inhalte sehen darf. Diese Einstellungen gibt es nur, weil Datenschutzbehörden jahrelang massiven Druck gemacht haben – freiwillig eingeführt hat Meta das nicht.

Jetzt aber sollen genau solche Inhalte – trotz Schutzbereich – zur KI-Trainingsdatenbank gehören? Da liegt der Datenschutzverstoß doch wirklich für jeden ersichtlich auf der Hand! Die Weitergabe dieser Inhalte an KI-Systeme ignoriert die Rechte der Nutzer eklatant. Es fehlt an einer informierten Einwilligung, einer echten Zweckbindung, und an jeder Form der Verhältnismäßigkeit.

Kritikpunkt 2: Meta macht sein "berechtigtes Interesse" (Art. 6 Abs. 1 lit. f DSGVO) nicht transparent

Meta legt keine transparente Abwägung offen, warum das wirtschaftliches Interesse des Konzerns schwerer wiegt als die Grundrechte der Nutzer. Im Endergebnis dürfte bei einer serösen Interessensabwägung herauskommen, dass die Risiken für Betroffene hoch und nicht angemessen beherrscht sind. Besonders problematisch: Nutzer haben ihre Inhalte ursprünglich nicht zu diesem Zweck bereitgestellt. Hätten die Nutzer gewußt, dass jedes Posting, jeder Kommentar letztlich doch öffentlich ist, wären sicher viele Inhalte gar nicht erst entstanden.

Kritikpunkt 3: Widerspruch ist keine Einwilligung

Was bedeutet das? Meta arbeitet im vorliegenden Fall mit einer Widerspruchslösung. Dieses Instrument kennt die DSGVO jedoch gar nicht. Somit erfolgt die Verarbeitung rechtgrundlos. Ende der Geschichte. Jedem anderen Verantwortlichen würde so eine Verarbeitung untersagt.

Aber bleiben wir noch mal beim Thema Einwilligung. Alle anderen Verantwortlichen benötigt für geplante Verarbeitungen eine Rechtsgrundlage – also ein Gesetz, in dem steht: "jupp – alles klar, so darfst du die Daten verarbeiten."

Die Anforderungen an eine solche Einwilligung wurden in der Vergangenheit von der Rechtsprechung sehr hoch gesetzt. Dazu lohnt sich ein Blick in die Erwägungsgründe des Art. 7 DSGVO. Dort finden wir folgende, schwerwiegende Formulierung: „Die Einwilligung muss durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.“ Aha – konkreter Fall also. Das bedeutet im Klartext: Jeder Verantwortliche muss vor der Verarbeitung mitteilen, was er ganz genau mit den Daten machen möchte. Kann er das nicht, ist die Einwilligung nichtig (also ungültig).

Nur mal angenommen, Meta würde den Prozess so ändern, dass eine Einwilligung der Nutzer vor der Verarbeitung eingeholt würde. Nehmen wir weiterhin an, dass in der Einwilligung genau definiert wäre, für welchen Verarbeitungszweck Fotos, Posts, Likes und Beiträge gebraucht würden. Dann könnte vielleicht eine wirksame Einwilligung zustande kommen, wenn der Nutzer in dem Einwilligungsformular informiert und bewusst das Häkchen setzt.

Aber halt stopp! Wir reden hier von generativer KI. Alles, was in die KI verfüttert wird, bekommt man nie wieder raus.

Nun hat so eine Einwilligung allerdings immer eine Eigenschaft, die für Betroffene gut ist, die jedoch für Verantwortliche (hier: Meta) extrem hinderlich ist: Eine einmal erteilte Einwilligung kann jederzeit vom Nutzer widerrufen werden.

• Was also, wenn man nicht mehr möchte, dass der eigene Content zu Metas Gewinnmaximierung beiträgt?
• Oder wenn man nun doch ein mulmiges Gefühl aufgrund dieser 24/7 Dauerüberwachung bekommt?

In der Praxis wird diese Diskrepanz so gelöst, dass der Verantworliche zusagt, zukünftige Inhalte nicht mehr an die KI weiterzugeben. Es mag einmal dahin gestellt bleiben, inwieweit man dem Meta-Konzern hier vertrauen kann, dass nach einem Widerspruch wirklich Schluss ist. Dennoch muss man sich wirklich darüber im Klaren sein, dass alle Inhalte ab dem Zeitpunkt der Einwilligung bis zum Widerruf für immer in der Meta-KI stecken.

DSGVO-Verstoß durch KI-Training?

An anderer Stelle kennen die Aufsichtsbehörden kein Pardon für Datenverarbeitungen, die eher im privaten Kontext stattfinden. Ich spreche hier von der Videoüberwachung. Will ein Verantwortlicher seine Räumlichkeiten mit Kameras ausrüsten, gelten hohe Anforderungen. In Pausenräumen, Umkleiden oder Sporthallen ist eine dauerhafte Videoüberwachung in aller Regel unzulässig – mit der Begründung, dass sich Menschen dort eher im privaten Kontext bewegen, entspannen oder Freizeitaktivitäten nachgehen. Der Gesetzgeber schützt diese Zonen bewusst, weil die Persönlichkeitsrechte hier besonders sensibel sind.

Ich bin nicht weltfremd - mir ist auch klar, dass eine Videoüberwachung keine KI ist. Doch auch Facebook und Instagram sind Orte privater Kommunikation (darüber hinaus ist eine Verarbeitung durch KI m.E. viel weitgehender als die demgegenüber fast harmlos anmutende Videoüberwachung.)
Nutzer teilen dort persönliche Erlebnisse, Meinungen und Bilder aus ihrem Alltag – nicht selten in einem naiv-vertraulichen Ton, der eher dem Austausch mit Bekannten ähnelt als der Veröffentlichung im rechtsverbindlichen Sinne. Meta will nun genau diese Inhalte in kommerzielle KI-Systeme einfließen lassen – ein Vorgehen, das dem "geschützten" Charakter dieser Plattformen diametral widerspricht. (Geschützt war dieser Raum noch nie, jedoch sorgt der Facebook ganz bewusst dafür, dass dieser Umstand die Wahrnehmung der Nutzer unterläuft.)