Wo kann ich mich über KI-Datenschutzverstösse beschweren?

Das Problem

Sie vermuten, dass eine Firma Ihre Daten mit KI auf eine Art verwendet, die nicht in Ordnung ist: Ihr Foto taucht in einem KI-Dienst auf, Ihre Kundendaten wurden an ein Programm übermittelt, oder eine Entscheidung über Sie wurde offenbar von einem System getroffen, das Sie nie erklärt bekamen. Sie wissen nicht, an wen Sie sich wenden können.

Viele Menschen scheuen den Weg zu Behörden, weil er kompliziert wirkt. Dabei gibt es klare Anlaufstellen. Meist beginnt man mit einem Schreiben an die Firma, und oft löst sich die Sache dort.

Dieser Beitrag zeigt die Reihenfolge und die Stellen in der Schweiz, in Deutschland und Österreich. Er ersetzt keine Rechtsberatung. Bei Schäden oder Streit holen Sie fachliche Hilfe, zum Beispiel bei einer Rechtsauskunftsstelle.

So lösen Sie es mit KI – Schritt für Schritt

1. Sachverhalt festhalten: Notieren Sie, was passiert ist, wann Sie es bemerkt haben und wer beteiligt ist. Sichern Sie Belege wie Screenshots, Mails und Bestätigungen.
2. Ziel klären: Wollen Sie Auskunft, Berichtigung, Löschung, die Beendigung einer Nutzung oder eine Prüfung durch die Behörde?
3. Firma schriftlich kontaktieren: Wenden Sie sich an die in der Datenschutzerklärung genannte Stelle. Vorlagen bieten Auskunft anfordern und Löschungsantrag. Setzen Sie eine angemessene Frist.
4. Antwort prüfen: Ist sie vollständig und nachvollziehbar? Notieren Sie Datum und Inhalt.
5. Zuständige Stelle wählen: Nutzen Sie die Übersicht unten. Entscheidend ist, wo die verantwortliche Firma sitzt und wo Sie wohnen.
6. Eingabe vorbereiten: Schildern Sie kurz und sachlich, was geschehen ist, und fügen Sie Belege bei. Nennen Sie Ihr Anliegen.
7. Nachverfolgen: Notieren Sie das Datum der Eingabe und bewahren Sie alle Antworten auf. Bei grösseren Schäden holen Sie rechtlichen Rat ein.

Die Kontaktdaten finden Sie auf den Websites des EDÖB, der österreichischen Datenschutzbehörde und der Bundesbeauftragten in Deutschland.

Vorlage zum Kopieren

Eine KI kann Ihnen helfen, ein sachliches Schreiben zu strukturieren. Geben Sie keine Namen, Adressen oder Kontonummern ein.

Ich möchte mich über einen möglichen Datenschutzverstoss im Zusammenhang mit KI beschweren. Ich wohne in [Land].
Sachverhalt (ohne Namen und persönliche Daten): [kurze Beschreibung]
Bereits unternommene Schritte: [z. B. Schreiben an die Firma am Datum, keine Antwort]
Mein Ziel: [z. B. Auskunft, Löschung, Überprüfung durch Behörde]
Erstelle:
1. Eine sachliche Gliederung für ein Schreiben (Sachverhalt, Anliegen, Belege, Frist).
2. Eine Checkliste der Belege, die ich beilegen sollte.
3. Fragen, die ich einer Beratungsstelle stellen kann.
Gib keine rechtliche Beurteilung ab, nenne keine Gesetzesstellen als sicher und weise auf offene Punkte hin.

Setzen Sie die Angaben ein und ergänzen Sie Namen und Adressen erst im Schreiben selbst. Lesen Sie den Entwurf kritisch und halten Sie ihn sachlich.

Was in einer Eingabe stehen sollte

Eine gute Eingabe ist kurz und sachlich. Sie nennt, wer die verantwortliche Stelle ist, was passiert ist, seit wann und welche Daten betroffen sind. Dazu kommen Ihr Anliegen und die Belege, etwa Screenshots, Mails oder Antworten der Firma. Wenn Sie schon eine Frist gesetzt haben, erwähnen Sie das.

Verzichten Sie auf Spekulationen und Wertungen. Schreiben Sie, was Sie wissen, und was Sie vermuten, getrennt voneinander. Das erleichtert der Behörde die Prüfung und erhöht die Chance, dass Ihr Anliegen ernst genommen wird.

Worauf Sie achten müssen

• Zuständigkeit: Welche Behörde zuständig ist, hängt vom Sitz der Firma und weiteren Umständen ab. Fragen Sie bei Unsicherheit bei einer Beratungsstelle nach.
• Fristen: Für Ansprüche können Fristen gelten. Warten Sie nicht zu lange.
• Beweise: Sichern Sie Belege früh, denn Inhalte im Netz können verschwinden.
• Sachlichkeit: Vermeiden Sie Vorwürfe ohne Beleg. Sachlich vorgebrachte Eingaben werden eher bearbeitet.
• Erwartungen: Aufsichtsbehörden haben beschränkte Mittel und müssen nicht jeden Einzelfall verfolgen. Das Verfahren kann dauern.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Frau aus St. Gallen stellt fest, dass ein Online-Anbieter ein von ihr hochgeladenes Foto für ein KI-Produkt weiterverwendet, obwohl sie dem nicht zugestimmt hat.

Vorher weiss sie nicht, an wen sie sich wenden soll. Nachher sichert sie die Belege, bittet den Anbieter schriftlich um Auskunft und Löschung und setzt eine Frist. Als er nicht reagiert, meldet sie dem EDÖB den möglichen Verstoss und lässt sich von einer Rechtsauskunftsstelle beraten, ob zusätzlich ein zivilrechtliches Vorgehen gegen die Verwendung ihres Fotos möglich ist.

So hilft Ihnen Alpasana

Wenn Sie lernen möchten, mit KI-Programmen sicher umzugehen und Datenschutzfragen im Berufsalltag zu erkennen, bietet absofort Kurse zu konkreten Arbeitsaufgaben: KI und IT für konkrete Arbeitsaufgaben. Dazu gehören Phishing, Deepfakes und betriebliche KI-Richtlinien sowie Bürokommunikation mit KI.

Sie üben an Praxisaufgaben mit KI-Lerncoach und erhalten einen verifizierbaren Abschluss. Eine Rechtsberatung ist darin nicht enthalten.

Häufige Fragen

Kostet eine Eingabe bei der Datenschutzbehörde etwas?

In der Regel nicht. Prüfen Sie die Angaben der jeweiligen Behörde auf deren Website, denn Verfahren und Gebühren können sich unterscheiden.

Kann ich anonym eine Meldung machen?

Das hängt von der Behörde ab. Eine nachvollziehbare Eingabe mit Kontaktangaben wird meist eher bearbeitet. Fragen Sie bei der Stelle nach.

Was ist mit dem EU AI Act?

Der AI Act sieht ebenfalls ein Beschwerderecht bei Marktüberwachungsbehörden vor, wenn Sie Verstösse gegen die Verordnung vermuten. Die Zuständigkeiten werden in den EU-Mitgliedstaaten festgelegt. Lesen Sie dazu Wer ist beim EU AI Act in Deutschland und Österreich zuständig?.

Muss ich zuerst die Firma anschreiben?

Es ist empfehlenswert und oft zielführender. Zwingend ist es nicht in allen Fällen. Lassen Sie sich bei Unsicherheit beraten.