DSGVO und KI-Bilder

Rechtsgrundlage, Zweck, Speicherung, Empfänger und Serverstandort müssen getrennt bewertet werden; Betroffene haben unter anderem Auskunfts- und Löschrechte.

Auf einen Blick

Wann ein KI-Bild personenbezogene Daten berührt

Ein Bild ist datenschutzrechtlich nicht erst dann relevant, wenn ein Name danebensteht. Personenbezogene Daten sind Informationen über eine identifizierte oder identifizierbare natürliche Person. Ein Gesicht, Kontextangaben, Konto- oder Gerätedaten können zusammen eine Identifikation ermöglichen.

Synthetische Bilder ohne Bezug zu einer realen Person sind anders zu prüfen als Bilder, die aus einer identifizierbaren Ausgangsperson entstehen oder diese nachbilden.

Biometrische Daten und Artikel 9

Artikel 4 Absatz 14 nennt biometrische Daten, die durch spezielle technische Verfahren aus körperlichen, physiologischen oder verhaltensbezogenen Merkmalen gewonnen werden und eine eindeutige Identifizierung ermöglichen oder bestätigen. Artikel 9 behandelt biometrische Daten zur eindeutigen Identifizierung als besondere Kategorie.

Nicht jedes Bild ist deshalb automatisch eine besondere Kategorie; entscheidend sind Zweck, Technik und die Verwendung zur eindeutigen Identifizierung.

Rechtsgrundlage, Transparenz und Zweck

Artikel 6 verlangt für die Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Bei einer Einwilligung müssen Freiwilligkeit, Informiertheit und Zweckbezug bedacht werden; andere Rechtsgrundlagen haben eigene Voraussetzungen.

Artikel 5 enthält zusätzliche Grundsätze wie Zweckbindung, Datenminimierung und Speicherbegrenzung. Eine Zustimmung für einen engen Anlass ist keine pauschale Erlaubnis für neue Bearbeitungen oder Veröffentlichungen.

Auskunft, Löschung und automatisierte Entscheidungen

Betroffene können nach Artikel 15 Auskunft verlangen. Artikel 17 sieht unter den dort genannten Voraussetzungen ein Recht auf Löschung vor, etwa wenn Daten nicht mehr notwendig sind oder eine Einwilligung widerrufen wird und keine andere Grundlage greift.

Artikel 22 begrenzt bestimmte ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Die Rechte sind nicht schrankenlos; Ausnahmen und Kollisionslagen verlangen eine sorgfältige Prüfung.

Serverstandort und Drittlandtransfer

Der physische oder organisatorische Standort von Servern beantwortet Datenschutzfragen nicht allein, ist aber wichtig für Transparenz und Transfers. Bei Verarbeitung außerhalb des Europäischen Wirtschaftsraums können die Regeln des Kapitels V der DSGVO hinzukommen. Eine Datenschutzerklärung sollte nachvollziehbar erklären, welche Empfänger und Übermittlungen vorgesehen sind.

Für das redaktionelle Angebot gelten die Angaben unter Datenschutz; Anfragen können über DSAR gestellt werden.

Kontext dieser Website

Die Redaktion betreibt keinen Generator, nimmt keine Fotos entgegen und verarbeitet keine Bilddateien für Nutzerinnen und Nutzer. Sie beschreibt Risiken und Prüffragen zu Angeboten Dritter. Die Seite Datenschutz bei bildbasierten Angeboten ordnet typische Prüfbereiche ein, während die Bewertungsmethode die redaktionelle Rolle erklärt.

Sorgfalt bei Anfragen und Nachweisen

Bei Auskunfts- oder Löschanfragen ist zunächst zu klären, wer die Verarbeitung verantwortet und welche Daten tatsächlich vorliegen. Eine redaktionelle Seite kann über einen Anbieter berichten, ohne selbst dessen Bilddateien oder Kontodaten zu besitzen. Anfragen sollten daher an die richtige Stelle gelangen und nur die Daten enthalten, die zur Prüfung nötig sind. Identitätsnachweise dürfen nicht unverhältnismäßig werden.

Auch technische Logs, Sicherheitskopien und gesetzliche Aufbewahrungspflichten können bei der Löschung relevant sein. Die DSGVO verlangt keine pauschale Zusage für jedes Ergebnis, sondern einen transparenten und rechtmäßigen Umgang mit der konkreten Verarbeitung. Bei Zweifeln über Zuständigkeit oder Umfang ist fachkundige Beratung sinnvoll.

Einordnung für die Praxis

Datenschutzrechtliche Einordnung und Bildschutz überschneiden sich, sind aber nicht deckungsgleich. Eine Verarbeitung kann datenschutzrechtlich relevant sein, obwohl zusätzlich Urheberrecht, Persönlichkeitsrecht oder Strafrecht zu prüfen sind. Umgekehrt beantwortet eine datenschutzrechtliche Rechtsgrundlage nicht jede Frage zur Veröffentlichung eines Bildes.

Wer eine konkrete Situation einschätzt, sollte deshalb Herkunft, Identifizierbarkeit, Einwilligung, Zweck, Empfänger und mögliche Weitergaben getrennt erfassen. Nur so bleibt die Bewertung sachlich und vollständig.

Fortlaufende Prüfung

Gute Transparenz beginnt vor der Verarbeitung: Welche Daten werden benötigt, wofür werden sie genutzt, wie lange bleiben sie verfügbar und wer erhält Zugriff? Diese Fragen helfen auch dabei, unnötige Datenerhebung zu vermeiden. Bei Bild-KI kommt hinzu, dass Abbildungen, Metadaten und technische Analyse nicht immer dieselben Risiken schaffen.

Eine verständliche Dokumentation trennt diese Ebenen und ermöglicht Betroffenen, ihre Rechte informiert auszuüben.

Quellen und Aktualität

Für diese Einordnung wurden vorrangig amtliche Gesetzes- und Behördenquellen verwendet. Maßgeblich bleiben stets der aktuelle Wortlaut und die Anwendung im Einzelfall. EUR-Lex: DSGVO · BfDI: DSGVO-Informationen · BDSG im Bundesrecht · Europäischer Datenschutzausschuss · Europäische Kommission: Datenschutz

Weiterführend: Recht am eigenen Bild · Datenschutzinformationen · Grundsätze verantwortlicher KI. Die Redaktion aktualisiert die Übersicht, wenn sich wesentliche Quellen oder Rahmenbedingungen ändern.

Häufige Fragen