Künstliche Intelligenz, Big Data und Blockchain

Das DSG ist technologieneutral: Als Bearbeiten gilt jeder Umgang mit Personendaten, «unabhängig von den angewandten Mitteln und Verfahren» (Art. 5 Bst. d). Neue Technologien brauchen daher kein eigenes Datenschutzgesetz – die bestehenden Regeln gelten auch für sie.

Künstliche Intelligenz

Der EDÖB hat festgehalten, dass das DSG direkt auf KI-gestützte Datenbearbeitungen anwendbar ist. Daraus folgt unter anderem:

Transparenz: Anbieter müssen offenlegen, zu welchem Zweck sie Ihre Daten bearbeiten (Art. 19) – auch, ob Ihre Eingaben zum Training verwendet werden.
Automatisierte Entscheidungen: Entscheidet eine KI allein über Sie, haben Sie die Rechte nach Art. 21 (Information, Stellungnahme, Überprüfung durch einen Menschen).
Folgenabschätzung: Gerade beim Einsatz neuer Technologien kann ein hohes Risiko bestehen, das eine Datenschutz-Folgenabschätzung erfordert (Art. 22 Abs. 2).
Richtigkeit: Auch Angaben, die eine KI über Sie erzeugt, müssen richtig sein; Sie können die Berichtigung verlangen (Art. 6 Abs. 5, Art. 32).

Tipp: Geben Sie keine Gesundheitsdaten, Passwörter oder vertraulichen Dokumente in Chatbots ein und prüfen Sie in den Einstellungen, ob Ihre Eingaben für das Training genutzt werden dürfen.

Big Data

Bei grossen Datenanalysen werden oft Profile erstellt, um Verhalten oder Vorlieben vorherzusagen (Profiling, Art. 5 Bst. f). Wichtig sind hier:

Zweckbindung: Daten dürfen nicht beliebig für neue, nicht erkennbare Zwecke weiterverwendet werden (Art. 6 Abs. 3).
Anonymisierung: Wirklich anonyme Daten fallen nicht unter das DSG. Lässt sich eine Person durch Verknüpfung wieder bestimmen, handelt es sich aber weiterhin um Personendaten.
Forschung und Statistik: Für nicht personenbezogene Zwecke gelten Erleichterungen, sofern die Daten anonymisiert und die Ergebnisse ohne Personenbezug veröffentlicht werden (Art. 31 Abs. 2 Bst. e).

Blockchain

Auch pseudonyme Wallet-Adressen können Personendaten sein, wenn sie sich einer Person zuordnen lassen. Weil Einträge in einer Blockchain kaum geändert oder gelöscht werden können, entsteht ein Spannungsfeld zu den Pflichten, unrichtige oder nicht mehr benötigte Daten zu berichtigen oder zu löschen. Datenschutzgerechte Anwendungen speichern deshalb möglichst keine Personendaten direkt auf der Blockchain. In dezentralen Netzwerken kann zudem schwierig zu bestimmen sein, wer Verantwortlicher ist.

Zum Gesetzestext: Art. 21 DSG – automatisierte Einzelentscheidungen.