Darf KI öffentlich sichtbare Personendaten frei nutzen?

Das Problem

Auf Websites, Social-Media-Profilen und in Handelsregistereinträgen stehen unzählige Angaben zu Personen: Namen, Berufe, Fotos, Beiträge. Ihr Betrieb möchte solche Informationen mit KI auswerten, etwa für die Kundenakquise, eine Marktanalyse oder die Vorbereitung eines Gesprächs. Der Gedanke liegt nahe: «Das ist ja öffentlich.»

Ganz so einfach ist es nicht. Dass jemand etwas veröffentlicht hat, heisst nicht, dass es für jeden Zweck frei verwendbar ist. Wer die Daten massenhaft sammelt, verknüpft und auswertet, schafft oft etwas Neues: ein Profil, das so nicht öffentlich war.

Dieser Beitrag gibt Orientierung für Schweizer Betriebe. Er ersetzt keine Rechtsberatung. Bei geplanten grösseren Auswertungen klären Sie die Rechtslage mit einer Fachperson.

So lösen Sie es mit KI – Schritt für Schritt

1. Zweck festlegen: Was wollen Sie mit den Daten tun und warum? Ein klarer, begrenzter Zweck ist die Grundlage jeder Prüfung.
2. Datenarten bestimmen: Geht es um Namen und Berufe, um Fotos, um Meinungen, um Gesundheit oder politische Haltung? Besonders schützenswerte Daten brauchen strengere Regeln.
3. Herkunft prüfen: Haben die Personen die Daten selbst veröffentlicht, oder stammen sie von Dritten? Gibt es Nutzungsbedingungen der Plattform, die automatisiertes Auslesen verbieten?
4. Widerspruch beachten: Hat die Person die Bearbeitung ausdrücklich untersagt, etwa im Profil oder per Hinweis, ist das zu respektieren.
5. Verhältnismässigkeit abwägen: Brauchen Sie wirklich alle Daten, und müssen sie gespeichert und verknüpft werden? Weniger ist besser.
6. Transparenz und Betroffenenrechte: Überlegen Sie, wie Sie Personen informieren und Anfragen auf Auskunft oder Löschung beantworten.
7. Fachprüfung einholen: Bei Massenauswertungen, Profilbildung oder Auslandsbezug lassen Sie das Vorhaben rechtlich beurteilen.

Was das Schweizer Gesetz sagt

Das revidierte Datenschutzgesetz hält fest, dass in der Regel keine Persönlichkeitsverletzung vorliegt, wenn die betroffene Person ihre Daten allgemein zugänglich gemacht und die Bearbeitung nicht ausdrücklich untersagt hat. Das heisst aber nicht, dass alle Grundsätze entfallen: Zweckbindung, Verhältnismässigkeit, Richtigkeit und Datensicherheit gelten weiter. Mehr zum Gesetz bietet Was bedeutet das revDSG für KI im Schweizer KMU?.

In der EU gilt die DSGVO, die auch öffentlich zugängliche Daten schützt und für ihre Verarbeitung eine Rechtsgrundlage verlangt. Wann sie für Schweizer Firmen relevant wird, erklärt Wann gilt die DSGVO für Schweizer Firmen mit EU-Kunden?.

Vorlage zum Kopieren

Ich bereite die Prüfung vor, ob unser Schweizer KMU öffentlich zugängliche Personendaten mit KI auswerten darf.
Geplanter Zweck: [Beschreibung]
Datenquellen: [z. B. öffentliche Firmenwebsites, berufliche Profile]
Datenarten: [z. B. Name, Funktion, Firma]
Ungefähre Menge: [Zahl]
Erstelle:
1. Eine Liste von Fragen zu Zweck, Verhältnismässigkeit, Plattformregeln, Betroffenenrechten und Speicherdauer.
2. Eine Checkliste mit Risiken.
3. Fragen an eine Fachperson für Datenschutz.
Gib keine rechtliche Beurteilung ab, erfinde keine Gesetzesstellen und weise auf offene Punkte hin.

Ersetzen Sie die Angaben. Die Fragenliste bringen Sie in das Gespräch mit der Fachperson.

Typische Fehlannahmen

Drei Annahmen kommen immer wieder vor und sind so nicht richtig:

• «Wenn es im Internet steht, darf ich es nutzen.» Zweck, Menge und Verknüpfung entscheiden.
• «Ein Hinweis auf die Quelle genügt.» Die Quellenangabe ersetzt nicht die datenschutzrechtliche Prüfung.
• «Die KI sammelt, nicht wir.» Wer ein Programm einsetzt, bleibt für die Bearbeitung verantwortlich.

Wer diese Annahmen hinterfragt, vermeidet die häufigsten Fehler.

Worauf Sie achten müssen

• Plattformregeln: Viele Websites und Netzwerke verbieten automatisches Auslesen in ihren Bedingungen. Das kann vertragliche und andere Folgen haben. Siehe Darf KI Inhalte anderer Websites automatisch auslesen?.
• Veraltete oder falsche Daten: Online-Informationen können falsch oder überholt sein. Prüfen Sie, bevor Sie Entscheide darauf stützen.
• Profilbildung: Aus verstreuten Angaben ein Persönlichkeitsprofil zu machen, ist heikel. Siehe Profiling durch KI.
• Biometrische Daten: Gesichter und Stimmen sind besonders sensibel. Das Sammeln für Erkennungsdatenbanken ist in der EU stark eingeschränkt.
• Datensicherheit: Gesammelte Daten müssen geschützt gespeichert werden.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Weiterbildungsanbieter in Bern möchte mit KI herausfinden, welche Firmen in der Region neue Mitarbeitende suchen, und dafür Stellenanzeigen und Firmenseiten auswerten.

Vorher will er auch Profile einzelner Personalverantwortlicher aus sozialen Netzwerken einlesen. Nachher beschränkt er sich nach einer Rücksprache mit der Datenschutz-Fachperson auf Firmenangaben und öffentliche Kontaktstellen. Persönliche Profile liest er nicht aus, und er speichert nur, was er für die Kontaktaufnahme braucht.

So hilft Ihnen Alpasana

Wenn Ihr Betrieb lernen möchte, welche Daten KI-Programmen anvertraut werden dürfen, bietet absofort die KI-Weiterbildung für Unternehmen an. Sie behandelt Schweizer Praxisbezug und Datenschutz als Lerninhalte, den verantwortungsbewussten Umgang mit Unternehmensdaten und bei EU-Bezug den EU AI Act.

Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit. Das Angebot ist eine Weiterbildung und ersetzt keine Rechtsberatung.

Häufige Fragen

Darf ich ein öffentliches Foto in eine KI hochladen?

Das hängt vom Zweck und von den abgebildeten Personen ab. Persönlichkeitsrechte und Urheberrecht sind zu beachten. Siehe Darf ich Fotos anderer Menschen in eine KI hochladen?.

Gilt das alles auch, wenn die KI im Ausland läuft?

Die Datenschutzregeln knüpfen an die Bearbeitung an, nicht nur an den Standort des Programms. Bei Anbietern im Ausland kommen Fragen zur Datenübermittlung hinzu.

Reicht ein Hinweis «Alle Daten stammen aus öffentlichen Quellen»?

Nein. Er ersetzt weder die Prüfung von Zweck und Verhältnismässigkeit noch die Transparenz gegenüber betroffenen Personen.