Personenbezogene Daten sind nach Artikel 3 Nummer 50 der KI-Verordnung personenbezogene Daten im Sinne von Artikel 4 Nummer 1 der Datenschutz-Grundverordnung (DSGVO).
Die KI-Verordnung definiert den Begriff nicht selbst, sondern verweist wortgleich auf ein Recht, das seit 2018 gilt. Das ist das deutlichste Beispiel dafür, dass nicht jeder Begriff der Verordnung ein KI-spezifisches Konzept ist.
Zusammenfassung
Nach der DSGVO sind personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen” – etwa über einen Namen, eine Kennnummer, Standortdaten oder besondere Merkmale physischer, physiologischer, genetischer, psychischer, wirtschaftlicher, kultureller oder sozialer Art. Die KI-Verordnung übernimmt diese Definition per Rechtsverweis, ohne sie zu wiederholen oder zu verändern.
Wo der Begriff in der KI-Verordnung wirkt
An mehreren Stellen spielt der Begriff eine konkrete Rolle, nicht nur als allgemeine Randbedingung. Biometrische Daten (Nummer 34) sind ein rechtlicher Unterfall – personenbezogene Daten, die aus einer spezifischen technischen Verarbeitung physischer, physiologischer oder verhaltensbezogener Merkmale entstehen, etwa Gesichtsbilder oder Fingerabdrücke. Artikel 10 verlangt für Trainings-, Validierungs- und Testdatensätze von Hochrisiko-Systemen Repräsentativität und Datenqualität, was bei personenbezogenen Daten unmittelbar Datenschutzfragen berührt. Eine Ausnahme in Artikel 10 Absatz 5 erlaubt ausnahmsweise die Verarbeitung besonderer Kategorien personenbezogener Daten, um Verzerrungen in einem System zu erkennen und zu korrigieren – unter engen Voraussetzungen wie Pseudonymisierung und strengem Zugriffsschutz.
Institutionell zeigt sich die Verzahnung an Artikel 74 Absatz 8: Für bestimmte Hochrisiko-Bereiche – Strafverfolgung, Grenzschutz, Justiz, biometrische Kategorisierung, Emotionserkennung, Social Scoring – benennen die Mitgliedstaaten die jeweiligen Datenschutzaufsichtsbehörden selbst als Marktüberwachungsbehörden. Das ist keine bloße Zusammenarbeit, sondern eine direkte institutionelle Verzahnung von Datenschutz- und KI-Aufsicht in diesen sensiblen Bereichen.
Verhältnis zur DSGVO: kumulativ, nicht verdrängend
Erwägungsgrund 9 der Verordnung stellt klar, dass die harmonisierten Vorschriften „das geltende Unionsrecht unberührt lassen, insbesondere in den Bereichen Datenschutz, Verbraucherschutz, Grundrechte, Beschäftigung und Arbeitnehmerschutz sowie Produktsicherheit” – die KI-Verordnung versteht sich als Ergänzung. Erwägungsgrund 10 präzisiert, dass die bestehende Anwendung des Datenschutzrechts – DSGVO, die Richtlinie 2016/680, die Verordnung 2018/1725 und die ePrivacy-Richtlinie – durch die KI-Verordnung nicht beeinträchtigt werden soll. Betroffene behalten alle ihre Rechte, einschließlich des Schutzes vor automatisierter Einzelentscheidung und Profiling nach Artikel 22 DSGVO.
Beide Rechtsakte gelten damit kumulativ: Ein KI-System, das personenbezogene Daten verarbeitet, muss sowohl die KI-Verordnung als auch die DSGVO erfüllen – die eine ersetzt die andere nicht.
Kontroversen und offene Fragen
Wie reibungslos dieses Nebeneinander in der Praxis funktioniert, ist in der Fachliteratur nicht abschließend geklärt. Naheliegende Spannungsfelder sind das Verhältnis der KI-VO-Transparenzpflichten zum Auskunfts- und Widerspruchsrecht bei automatisierten Entscheidungen nach Artikel 22 DSGVO, sowie die Frage, unter welchen Voraussetzungen Trainingsdaten mit personenbezogenen Anteilen überhaupt DSGVO-konform verarbeitet werden dürfen. Eine belastbare, im Detail ausgearbeitete Analyse dieser Überschneidungen war zum Redaktionsschluss nicht auffindbar – das bleibt ein Feld, auf dem sich Aufsichtspraxis und Rechtsprechung erst noch entwickeln müssen.
Verwandte Begriffe
- Trainingsdaten – wo personenbezogene Daten die Datenqualitätspflichten berühren
- EU AI Act – die Verordnung, deren Artikel 3 diesen Begriff per Verweis festlegt
- Begriffsbestimmungen der KI-Verordnung – alle 68 Legaldefinitionen im Überblick
Quellenangaben
- Europäisches Parlament und Rat, 2016. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 4 Nummer 14, Artikel 9 Absatz 1. Amtsblatt der Europäischen Union, 4. Mai 2016.
- Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 3 Nummer 52, Artikel 5 Absatz 1 Buchstabe d, Artikel 6 Absatz 3, Artikel 26 Absatz 11, Anhang III, Erwägungsgrund 26. Amtsblatt der Europäischen Union, 12. Juli 2024.