T2-C20-01 tactics 17 Min Lesezeit

DSGVO und KI im Detail — Art. 22, Auftragsverarbeitung, Transkription, Stimmen und EDPB 28/2024

Automatisierte Entscheidungen und Profiling nach Art. 22, KI-Auftragsverarbeitung nach Art. 28, Whisper-Transkription von Plenarreden, Datenschutz bei KI-Stimmen, die EDPB-Opinion 28/2024, die Betroffenenrechte-Routine sowie TDDDG und Cookie-Banner.

Der Datenschutz trifft eine KI-Pipeline an jeder Stufe, und die maßgebliche Auslegung steht in einer Stellungnahme des EDPB. Dieser Artikel führt acht Detailfragen zusammen. Hinweis: die beiden Abschnitte zu Art. 22 stammen aus zwei getrennt verfassten Quellartikeln und überschneiden sich inhaltlich.

DSGVO Art. 22 — automatisierte Entscheidungen und Profiling in der Mandatsträger-Pipeline

Art. 22 DSGVO gibt jeder natürlichen Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder ähnlich erheblich beeinträchtigt.^[1] Beispiele für solche Wirkungen sind nach EDPB-Leitfaden u.a. die Beeinträchtigung der Vereinigungsfreiheit, des Wahl-Verhaltens oder vertraglicher Rechte.^[2] Für Mandatsträger-Pipelines mit KI-Komponenten ist Art. 22 eine kritische Schicht — insbesondere bei Wahlkreis-Targeting, Bürger-Anfragen-Bearbeitung und Sentiment-Analyse.

Was hier untersucht wird

Dieser Tiefe-2-Artikel zerlegt Art. 22 DSGVO im Kontext der Mandatsträger-Pipeline-Praxis 2026. Die Tiefe-1-Architektur in DSGVO und KI hat die generelle Verordnungs-Lage beschrieben. Hier wird die konkrete Frage zu automatisierten Entscheidungen detailliert.

Wann Art. 22 greift

Drei Voraussetzungen müssen kumulativ erfüllt sein:^[2]

— Voraussetzung eins: ausschließlich automatisierte Verarbeitung. Wenn ein Mensch substantiell in die Entscheidung eingebunden ist (mehr als rubber-stamping), greift Art. 22 typisch nicht.

— Voraussetzung zwei: rechtliche oder ähnlich erhebliche Wirkung. Eine Marketing-Empfehlung erfüllt das nicht; eine Kredit-Ablehnung schon. Politisch: Wahl-Beeinflussung wird vom EDPB-Leitfaden explizit als “ähnlich erhebliche Wirkung” eingestuft.

— Voraussetzung drei: kein gesetzlicher oder vertraglicher Ausnahme-Tatbestand. Art. 22 hat Ausnahmen, aber nicht für politische Kommunikation.

Anwendungs-Felder in der Mandatsträger-Pipeline 2026

Drei Kategorien.

Kategorie eins: typisch nicht Art.-22-relevant. Die meisten Pipeline-Komponenten erfüllen die “ausschließlich automatisiert”-Voraussetzung nicht. Beispiele:

— Whisper-Transkription mit menschlicher Korrektur (siehe Pipeline-Stufe 4 — Caption-Generierung mit GPT/Claude). — LLM-Scoring mit Editor-Review (siehe Pipeline-Stufe 5 — Human-Review-Workflow). — Plenarrede-Cuts mit menschlicher Schnitt-Entscheidung.

In diesen Fällen ist die menschliche Beteiligung substantiell — Art. 22 greift nicht.

Kategorie zwei: potenziell Art.-22-relevant. Wenn die Pipeline KI-Komponenten enthält, die ohne menschliche Beteiligung Entscheidungen über Personen treffen, mit rechtlicher oder erheblicher Wirkung. Beispiele:

— Automatisiertes Wahlkreis-Targeting auf individuelle Wähler (siehe Wahlkreis-Targeting innerhalb der DSGVO). — Automatisierte Bürger-Anfragen-Klassifikation mit automatisierter Antwort-Weiterleitung. — Automatisierte Sentiment-Analyse von Wähler-Audience mit personalisierter Kommunikations-Ableitung.

In diesen Fällen ist Art.-22-Prüfung erforderlich.

Kategorie drei: klar Art.-22-relevant. Automatisierte Kampagnen-Tools, die ohne menschliche Beteiligung Wahl-Beeinflussungs-Entscheidungen pro Person treffen. Diese Tools sind 2026 in deutschen Mandatsträger-Pipelines typisch nicht im Einsatz — sie kollidieren auch mit TTPA-Verordnung 2024/900 und ggf. EU-AI-Act-Hochrisiko-Klassifikation.

Die EDPB-Opinion 28/2024

Das European Data Protection Board hat im Dezember 2024 Opinion 28/2024 zu KI-Modellen und Personen-Daten publiziert.^[3] Kernpunkte:

— Anwendbarkeit der DSGVO auf KI-Modelle auch im Trainings-Stadium. — Lawful-Basis-Anforderungen für Personen-Daten in KI-Trainings-Daten. — Anonymisierungs-Standards für KI-Outputs.

Für Mandatsträger-Pipelines hat die Opinion indirekte Bedeutung — sie prägt die Provider-Pflichten von OpenAI, Anthropic, Google und damit die Tool-Verfügbarkeit.

Die operativen Pflichten für Mandatsträger-Pipelines

Drei Pflichten als Mindest-Compliance.

Pflicht eins: Human-in-the-Loop. KI-Komponenten werden so designt, dass eine substantielle menschliche Beteiligung in der Pipeline-Stufe vorhanden ist. Das vermeidet “ausschließlich automatisiert”-Klassifikation.

Pflicht zwei: keine personalisierten Wahl-Beeinflussungs-Tools. Wenn die Pipeline KI nutzt: nicht für individuelle Wähler-Verhaltens-Beeinflussung. Sondern für Pipeline-Effizienz (Transkription, Schnitt-Vorschläge, Caption-Bearbeitung).

Pflicht drei: Auskunfts-Recht respektieren. Bürger haben nach Art. 15 DSGVO das Recht zu erfahren, ob ihre Daten in einer automatisierten Entscheidung verarbeitet wurden. Die Pipeline-Dokumentation muss diese Auskunft ermöglichen.

Operative Konsequenzen

Drei priorisierte Empfehlungen.

— Priorität A: Human-in-the-Loop-Audit der Pipeline. Pro Stufe prüfen: ist eine substantielle menschliche Beteiligung vorhanden? Aufwand: vier Stunden.

— Priorität B: Wahl-Beeinflussungs-Tool-Vermeidung. Keine KI-Tools mit personalisiertem Wahl-Targeting in der Pipeline. Vor Tool-Einführung: §22-Prüfung.

— Priorität C: Pipeline-Dokumentation für Auskunfts-Anfragen. Wenn die Pipeline Personen-Daten verarbeitet: Dokumentation, die eine Art.-15-Auskunft ermöglicht.

Empfehlungen mit Priorität

— Priorität A: Human-in-the-Loop-Audit. — Priorität B: Wahl-Beeinflussungs-Tool-Vermeidung. — Priorität C: Pipeline-Dokumentation für Art.-15-Auskunft.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen. Die DSGVO-KI-Schnittstelle ist 2026 in der Rechtsprechung in Entwicklung. Vor operativen KI-Entscheidungen ist Datenschutz-Beauftragter-Konsultation empfohlen.

KI-Auftragsverarbeitung — DSGVO Art. 28 in der Mandatsträger-Pipeline 2026

Wenn eine Mandatsträger-Pipeline externe KI-Tools nutzt — OpenAI für Whisper-Transkription oder GPT-4-Caption, Anthropic für Claude-LLM-Scoring, Google für Gemini, ElevenLabs für Voice-Cloning — wird der jeweilige Provider zum Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Ein Auftragsverarbeitungs-Vertrag (AVV) ist Pflicht.^[5] Stand 2026 ist diese Schicht compliance-zentral, insbesondere bei US-Providern und Datenfluss in Drittländer.

Was hier untersucht wird

Dieser Tiefe-2-Artikel zerlegt die Auftragsverarbeitungs-Frage für KI-Tools in Mandatsträger-Pipelines. Die Art.-22-Vor-Vertiefung in DSGVO Art. 22 — automatisierte Entscheidungen und Profiling in der Mandatsträger-Pipeline hat die automatisierten Entscheidungen behandelt. Hier wird die strukturell andere Auftragsverarbeitungs-Schicht erläutert.

Wann Art. 28 greift

Art. 28 DSGVO greift, wenn:^[5]

— Mandatsträger (oder Mitarbeiter, Fraktion) ist Verantwortlicher. — Externer Provider verarbeitet personenbezogene Daten im Auftrag. — Im Rahmen einer Dienst-Erbringung.

Diese drei Voraussetzungen erfüllen praktisch alle externen KI-Tools, sobald die Pipeline personenbezogene Daten dort verarbeiten lässt — und Plenarrede-Transkripte enthalten oft personenbezogene Aussagen über Dritte.

Was im AVV stehen muss

Pflicht-Inhalte eines AVV nach Art. 28 Abs. 3:^[5]

— Gegenstand und Dauer der Verarbeitung. — Art und Zweck der Verarbeitung. — Art der personenbezogenen Daten. — Kategorien betroffener Personen. — Pflichten und Rechte des Verantwortlichen.

Plus weitere acht spezifische Pflicht-Klauseln (Vertraulichkeit, Sicherheit, Weiter-Verarbeiter-Zustimmung, Unterstützung bei Datenpannen, Lösch-Pflicht am Vertrags-Ende etc.).

Die Provider-AVV-Lage 2026

Vier wichtigste KI-Tool-Provider und ihre AVV-Lage 2026.

— OpenAI: AVV-Standard-Vertrag verfügbar, basiert auf Standard Contractual Clauses (SCC) für USA-Datenfluss plus Microsoft Azure als EU-Region-Option. Compliance-Pfad ist 2026 etabliert, aber laufende juristische Debatte zur DPF-Wirksamkeit.^[6]

— Anthropic: AVV via Standard-Subscription. AWS-basierte Hosting-Lösung mit EU-Region-Option (Frankfurt) verfügbar. Compliance-Pfad ist 2026 etabliert.

— Google (Vertex AI, Gemini): AVV via Google-Cloud-Standard-Verträge. EU-Region-Hosting verfügbar.

— ElevenLabs: AVV-Verfügbarkeit 2026 differenzierter; Enterprise-Tier hat AVV, Standard-Tier hat eingeschränkte AVV-Konformität.

Der Datentransfer-Aspekt

Ein zusätzliches Compliance-Feld: Datenfluss in Drittländer (USA, ggf. andere). Stand 2026:

— EU-US-Data Privacy Framework (DPF) ist seit 2023 aktiv. US-Provider können DPF-zertifiziert sein, was den Datenfluss in die USA juristisch legitimiert. — DPF-Wirksamkeit ist juristisch beobachtet. Aktive Klagen vor dem EuGH (Schrems-III-Generation) könnten DPF kippen.

Empfehlung 2026: EU-Region-Hosting bevorzugen, wo verfügbar. DPF als Fallback bei US-only-Providern, mit Erwartung, dass DPF kurzfristig instabil werden könnte.

Operative Pflichten für Mandatsträger-Pipelines

Drei Pflichten als Mindest-Compliance.

Pflicht eins: AVV pro Provider. Vor Tool-Einsatz: AVV abschließen. Bei Enterprise-Tier typisch automatisch verfügbar; bei Personal/Pro-Tier teils nur eingeschränkt.

Pflicht zwei: EU-Region-Bevorzugung. Wenn der Provider EU-Region-Hosting anbietet (OpenAI mit Microsoft Azure EU-West, Anthropic mit AWS Frankfurt, Google mit Vertex EU): wählen.

Pflicht drei: Datenfluss-Dokumentation. Pro Tool dokumentieren: welche Daten gehen wohin, in welche Region? Diese Dokumentation ist DSGVO-Art.-30-Pflicht (Verzeichnis von Verarbeitungstätigkeiten).

Operative Konsequenzen

Drei priorisierte Empfehlungen.

— Priorität A: AVV-Audit aller KI-Tools. Pro Tool prüfen: AVV vorhanden, EU-Region möglich. Aufwand: vier Stunden.

— Priorität B: Verzeichnis-Datenflüsse pflegen. Art.-30-DSGVO-Verzeichnis um KI-Tool-Datenflüsse erweitern.

— Priorität C: DPF-Status-Tracking. Quartalsweise Sichtung der DPF-Rechtsprechungs-Entwicklung.

Empfehlungen mit Priorität

— Priorität A: AVV-Audit aller KI-Tools. — Priorität B: Datenfluss-Verzeichnis. — Priorität C: DPF-Status-Tracking.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen.

Whisper-Transkription unter DSGVO — Plenarrede-Pipeline und Personen-Daten Dritter

Whisper-Transkription ist 2026 das Kern-Tool der Plenarrede-Pipeline. Ein Plenarrede-Audio von 30 Sekunden enthält typisch Sprache des Mandatsträgers, oft Zwischenrufe anderer Abgeordneter, gelegentlich benannte Bürger oder Dritte aus Reden. Das Transkript ist damit eine Sammlung personenbezogener Aussagen — und unterliegt der DSGVO. Welche Provider-Wahl, welcher Datenfluss, welcher Lawful-Basis-Pfad sind 2026 DSGVO-konform?

Was hier untersucht wird

Dieser Tiefe-2-Artikel zerlegt die DSGVO-Frage für Whisper-Transkription in der Plenarrede-Pipeline. Die Vor-Vertiefungen DSGVO Art. 22 — automatisierte Entscheidungen und Profiling in der Mandatsträger-Pipeline und KI-Auftragsverarbeitung — DSGVO Art. 28 in der Mandatsträger-Pipeline 2026 haben die generelle DSGVO-KI-Lage beschrieben. Hier wird die spezifische Whisper-Anwendung detailliert.

Die Whisper-Tool-Optionen 2026

Drei Optionen.

Option eins: OpenAI Whisper API (cloud-basiert). Datenfluss in OpenAI-Cloud, typisch USA-Hosting. DPF-konform bei OpenAI-Standard-Account.^[9] Vorteil: höchste Transkriptions-Qualität, einfache Integration. Nachteil: Daten verlassen die EU; AVV-Pflicht; bei sensiblen Plenarrede-Themen problematisch.

Option zwei: Selbst-gehostetes Whisper (z.B. faster-whisper auf eigenem Server). Datenfluss bleibt auf eigenem Server. Vorteil: volle Datenhoheit, kein Drittland-Transfer, keine AVV-Frage. Nachteil: Infrastruktur-Aufwand, etwas geringere Transkriptions-Qualität als OpenAI-API.

Option drei: EU-Region-Hosting (Microsoft Azure OpenAI Service in EU-West-Region). Whisper läuft auf Azure-Infrastruktur in der EU. Vorteil: keine Drittland-Transfer-Frage, AVV via Azure-Standard-Vertrag. Nachteil: höhere Kosten als Direct-API; mehr Setup-Aufwand.

Die Lawful-Basis-Frage

Für die Whisper-Transkription von Plenarrede-Material braucht es eine DSGVO-Lawful-Basis (Art. 6 DSGVO). Drei mögliche Basen.

Basis eins: berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Politische Berichterstattung über parlamentarische Tätigkeit ist ein anerkanntes berechtigtes Interesse. Die Verarbeitung der Plenar-Daten ist erforderlich; der Mandatsträger-Interesse überwiegt typisch die Betroffenen-Interesse-Schutz. Diese Basis ist 2026 die Praxis-Standard-Antwort.

Basis zwei: Wahrnehmung einer öffentlichen Aufgabe (Art. 6 Abs. 1 lit. e). Mandatsträger könnte sich auf die parlamentarische Funktion als öffentliche Aufgabe berufen. Juristisch nicht restlos geklärt für Sekundär-Verbreitung von Plenar-Material.

Basis drei: Einwilligung (Art. 6 Abs. 1 lit. a). In der Praxis nicht anwendbar — die Personen, deren Aussagen transkribiert werden (Zwischenrufer etc.), können nicht praktikabel einwilligen.

In der Praxis 2026 läuft die Lawful-Basis-Argumentation typisch über Basis eins (berechtigtes Interesse).

Art. 9 DSGVO und besondere Kategorien

Eine zusätzliche Schicht: wenn Plenarreden Inhalte über besondere Kategorien personenbezogener Daten enthalten (Gesundheit, politische Meinungen Dritter, religiöse Überzeugung, sexuelle Orientierung, etc.), greift Art. 9 DSGVO. Die Verarbeitung ist dann strenger reglementiert.

Bei Mandatsträger-Plenarrede-Pipelines: solche Inhalte kommen vor (z.B. bei Debatten zu Schwangerschaftsabbruch, LGBTIQ-Rechten, Religions-Politik). In diesen Fällen sollte Justiziar-Konsultation erfolgen.

Operative Empfehlungen 2026

Drei priorisierte Empfehlungen.

— Priorität A: Provider-Wahl bewusst. Für Standard-Plenarrede-Transkription: Microsoft Azure OpenAI Service in EU-West-Region. Für sensitivere Inhalte: selbst-gehostetes Whisper.

— Priorität B: Lawful-Basis-Dokumentation. Pro Pipeline-Stufe wird die Lawful-Basis schriftlich fixiert. Aufwand: zwei Stunden mit Datenschutz-Beauftragten.

— Priorität C: Art.-9-Eskalations-Routine. Bei Plenarreden zu Art.-9-Themen: zusätzliche Justiziar-Prüfung vor Pipeline-Verarbeitung.

Empfehlungen mit Priorität

— Priorität A: EU-Region-Hosting oder selbst-gehostetes Whisper. — Priorität B: Lawful-Basis-Dokumentation. — Priorität C: Art.-9-Eskalations-Routine.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen. DSGVO-Konformität bei KI-Tool-Nutzung ist 2026 in laufender Entwicklung. Datenschutz-Beauftragter-Konsultation empfohlen.

Voice-Cloning und Datenschutz — DSGVO-Lage bei KI-Stimmen 2026

Voice-Cloning-Tools wie ElevenLabs ermöglichen 2026 hochwertige synthetische Reproduktion einer menschlichen Stimme. Für Mandatsträger-Pipelines stellen sich mehrere Datenschutz-Fragen. Erstens: die menschliche Stimme ist nach EDPB-Auslegung typisch ein biometrisches Datum im Sinne von Art. 9 DSGVO.^[13] Zweitens: für synthetische Reproduktion einer fremden Stimme ist regelmäßig Einwilligung erforderlich. Drittens: Provider-Wahl und Datenfluss sind compliance-zentral.

Was hier untersucht wird

Dieser Tiefe-2-Artikel zerlegt die DSGVO-Frage für Voice-Cloning in Mandatsträger-Pipelines. Die Tiefe-1-Architektur in Voice-Cloning hat die technische Ebene beschrieben. Hier wird die Datenschutz-Schicht detailliert.

Stimme als biometrisches Datum

Die menschliche Stimme erfüllt typisch die DSGVO-Definition biometrischer Daten — eindeutig identifizierende körperliche oder verhaltensbezogene Merkmale (Art. 4 Nr. 14 DSGVO).

Wenn die Stimme zur Identifikation einer Person genutzt wird (z.B. Sprach-Erkennungs-Systeme), greift Art. 9 DSGVO direkt. Für Voice-Cloning ist die Anwendung von Art. 9 in der Rechtsprechung 2026 nicht restlos geklärt, aber die EDPB-Tendenz neigt zur Art.-9-Anwendung auf biometrische Stimm-Klone.^[13]

Die drei Anwendungs-Szenarien

Szenario eins: Mandatsträger klont eigene Stimme. Eigene biometrische Daten, Einwilligung implizit. Compliance-Hürde am niedrigsten. Anwendung: Voice-Über für Cuts, Podcast-Erweiterungen, mehrsprachige Versionen.

Szenario zwei: Mandatsträger klont Mitarbeiter-Stimme. Personalpauschale-Mitarbeiter mit Einwilligung. AVV mit Provider plus dokumentierte Einwilligung des Mitarbeiters. Compliance-Pfad möglich, aber arbeitsvertragliche Klärung erforderlich.

Szenario drei: Mandatsträger klont fremde Stimme (politischer Gegner, Persönlichkeit des öffentlichen Lebens). DSGVO-rechtlich grundsätzlich verboten ohne Einwilligung. Plus: §22 KUG (Recht am eigenen Bild — auch Stimme analog), Persönlichkeitsrechts-Verletzung, EU-AI-Act Art. 50 Disclosure-Pflicht. Strafrechtliche Relevanz möglich (§§185, 187, 188 StGB bei verleumderischer Verwendung).

Szenario drei ist 2026 für deutsche Mandatsträger-Pipelines ein No-Go. Auch satirische Verwendung ist heikel.

Provider-Wahl 2026

— ElevenLabs: marktführend, mit Enterprise-AVV verfügbar. EU-Hosting-Option in 2026 verfügbar, aber noch nicht Standard. AVV erforderlich für jeglichen kommerziellen Einsatz.

— OpenAI Voice: technisch verfügbar, Compliance-Pfad weniger etabliert als ElevenLabs. AVV via OpenAI-DPA.

— Self-Hosted Open-Source Modelle (Coqui, MaryTTS, Mozilla TTS-Nachfolger): Datenhoheit vollständig. Geringere Qualität als ElevenLabs Enterprise.

Compliance-Pflichten 2026

Drei Pflichten als Mindest-Compliance.

Pflicht eins: AVV bei externem Provider. Wie bei jeder KI-Tool-Nutzung (siehe KI-Auftragsverarbeitung — DSGVO Art. 28 in der Mandatsträger-Pipeline 2026).

Pflicht zwei: Einwilligung bei jedem Stimm-Subjekt. Bei eigener Stimme: implizit. Bei Mitarbeiter-Stimme: schriftliche Einwilligung. Bei fremder Stimme: gar nicht.

Pflicht drei: EU-AI-Act-Disclosure ab 2.8.2026. Voice-Cloning-Outputs sind KI-Inhalte im Sinne Art. 50 EU AI Act. Disclosure-Pflicht: sichtbare Kennzeichnung im Cut.

Operative Konsequenzen

Drei priorisierte Empfehlungen.

— Priorität A: Voice-Cloning-Strategie schriftlich fixieren. Welche Stimmen werden geklont? Welche Provider? Welche Use-Cases? Aufwand: zwei Stunden Konzept plus Datenschutz-Beauftragten-Konsultation.

— Priorität B: Einwilligungs-Routine etablieren. Pro geklonte Stimme: schriftliche Dokumentation der Einwilligung.

— Priorität C: Disclosure-Workflow für Voice-Cloning-Outputs. Cut-Kennzeichnung bei KI-Voice-Komponenten.

Empfehlungen mit Priorität

— Priorität A: Voice-Cloning-Strategie schriftlich. — Priorität B: Einwilligungs-Dokumentation. — Priorität C: Disclosure-Workflow.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen. Die DSGVO-Auslegung zu Voice-Cloning ist 2026 in der Entwicklung. EDPB-Opinions und nationale DPA-Stellungnahmen sollten quartalsweise nachverfolgt werden.

EDPB Opinion 28/2024 — die zentrale KI-Datenschutz-Auslegung für 2026

Im Dezember 2024 hat das European Data Protection Board die Opinion 28/2024 zu KI-Modellen und personenbezogenen Daten verabschiedet.^[17] Diese Opinion ist 2026 das wichtigste EDPB-Dokument zur DSGVO-KI-Schnittstelle. Sie betrifft Trainings-Daten-Verarbeitung, Lawful-Basis-Anforderungen, Anonymisierungs-Standards für KI-Outputs. Für Mandatsträger-Pipelines hat Opinion 28/2024 indirekte aber wichtige Bedeutung — sie prägt die Provider-Pflichten und damit die Tool-Verfügbarkeit.

Was hier untersucht wird

Dieser Tiefe-2-Artikel schließt den T2-C20-Cluster mit der EDPB-Opinion-Analyse. Die Vor-Vertiefungen DSGVO Art. 22 — automatisierte Entscheidungen und Profiling in der Mandatsträger-Pipeline bis Voice-Cloning und Datenschutz — DSGVO-Lage bei KI-Stimmen 2026 haben einzelne DSGVO-KI-Felder behandelt. Hier wird das übergreifende EDPB-Auslegungs-Dokument erläutert.

Die zentralen Aussagen der Opinion 28/2024

Drei Kernpunkte.^[17]

Kernpunkt eins: KI-Modelle sind nicht per se “anonym”. Auch wenn ein KI-Modell aus Trainings-Daten lernt, ohne diese direkt zu speichern, kann das Modell selbst personenbezogene Daten enthalten — wenn Re-Identifikation möglich ist. Die Standard-Annahme “trainierte KI-Modelle sind anonym” ist nach Opinion 28/2024 nicht haltbar.

Kernpunkt zwei: Lawful-Basis ist während des gesamten KI-Lifecycle erforderlich. Trainings-Phase, Deployment-Phase, Output-Phase — alle drei brauchen DSGVO-konforme Rechtsgrundlage. Provider tragen Verantwortung für die Trainings-Phase; Deployer für die Deployment- und Output-Phase.

Kernpunkt drei: berechtigtes Interesse als Lawful-Basis ist möglich, aber mit strenger Abwägung. Insbesondere für Web-Scraping als Trainings-Daten-Quelle: nicht pauschal zulässig, sondern fallbezogene Abwägung erforderlich.

Was das für KI-Tool-Provider bedeutet

Drei Konsequenzen für Provider 2026.

— Trainings-Daten-Dokumentation. Provider müssen 2026 zunehmend dokumentieren, welche Trainings-Daten genutzt wurden, mit welcher Lawful-Basis.

— Anonymisierungs-Standards. Output-Anonymisierung muss aktiv geprüft werden — nicht angenommen.

— DSGVO-Konforme Modell-Updates. Bei Updates eines Modells: erneute DSGVO-Konformitäts-Prüfung.

Was das für Mandatsträger-Pipelines bedeutet

Drei Konsequenzen für Deployer-Pipelines 2026.

Konsequenz eins: KI-Output kann personenbezogene Daten enthalten — auch unerwartet. Wenn ein LLM-Output einen Namen oder identifizierende Merkmale produziert, der nicht im Prompt stand: kann das ein “Memorization-Effect” aus dem Trainings-Daten-Stadium sein. Pipeline-Output sollte auf solche unerwarteten Personen-Daten geprüft werden.

Konsequenz zwei: Provider-Verlässlichkeit prüfen. Provider, die ihre Opinion-28/2024-Compliance nicht dokumentieren können, sind 2026 Risiko-Kandidaten. EU-Datenschutz-Aufsichten können in Zukunft KI-Tools mit unklarer Compliance verbieten.

Konsequenz drei: dokumentierte Lawful-Basis pro Pipeline-Stufe. Wie in Whisper-Transkription unter DSGVO — Plenarrede-Pipeline und Personen-Daten Dritter beschrieben: pro KI-berührende Stufe wird die Lawful-Basis schriftlich fixiert.

Die EDPB-Position zu Web-Scraping (besonderes Kapitel)

Opinion 28/2024 widmet ein Kapitel dem Web-Scraping als Trainings-Daten-Quelle.^[17]

— Web-Scraping ist nicht per se verboten, aber die Abwägung “berechtigtes Interesse vs. Betroffenen-Rechte” muss aktiv durchgeführt werden.

— Erkennbare Personen-Daten (z.B. von Social-Media-Profilen) genießen besonderen Schutz.

— Wegfall-Mechanismen (Opt-Out für Trainings-Daten-Inklusion) sind 2026 wichtige Compliance-Komponenten.

Für Mandatsträger-Pipelines: wenn die eigene Pipeline Web-Scraping nutzt (z.B. für Konkurrenz-Tracking via Brandwatch-ähnliche Tools), die Provider-Compliance prüfen.

Operative Konsequenzen

Drei priorisierte Empfehlungen 2026.

— Priorität A: KI-Output-Audit-Routine. Pro Cut wird der KI-Output stichproben-geprüft auf unerwartete personenbezogene Daten (Namen, Identifikatoren).

— Priorität B: Provider-Compliance-Dokumentation einfordern. Bei jedem KI-Tool: Anfrage an Provider, wie die Opinion-28/2024-Konformität dokumentiert ist.

— Priorität C: Quartalsweise EDPB-Update-Sichtung. Neue EDPB-Opinions und nationale DPA-Stellungnahmen werden quartalsweise gesichtet.

Empfehlungen mit Priorität

— Priorität A: KI-Output-Audit-Routine. — Priorität B: Provider-Compliance-Dokumentation. — Priorität C: Quartalsweise EDPB-Update-Sichtung.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen. EDPB-Opinion 28/2024 ist die wichtigste KI-DSGVO-Auslegung 2026, aber weitere EDPB-Stellungnahmen sind erwartet. Vor operativen Entscheidungen ist Datenschutz-Beauftragter-Konsultation empfohlen.

DSGVO-Betroffenenrechte in der Mandatsträger-Pipeline — Anfragen-Routine

Bürger haben nach DSGVO Art. 15-22 Rechte auf Auskunft, Berichtigung, Löschung, Daten-Übertragbarkeit, Widerspruch.^[20] Mandatsträger-Pipelines erhalten 2026 zunehmend solche Anfragen — typisch zu Bürger-Anfragen-Bearbeitung, Stories-Datenverarbeitung, Sentiment-Tool-Inklusion. Eine strukturierte Anfragen-Routine ist Pflicht.

Die zentralen Betroffenenrechte

— Art. 15: Auskunft. Welche Daten werden verarbeitet? — Art. 16: Berichtigung. — Art. 17: Löschung (“Recht auf Vergessen-werden”). — Art. 20: Datenübertragbarkeit. — Art. 21: Widerspruch.

Anfragen-Bearbeitungs-Routine

— Eingang-Dokumentation. Anfrage wird sofort dokumentiert. — Identitäts-Verifikation. Anfragender ist wirklich betroffene Person. — Beantwortung innerhalb 30 Tagen (DSGVO-Frist). — Datenschutz-Beauftragter-Konsultation bei komplexen Fällen.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen.

Das TDDDG (Gesetz ueber den Datenschutz und den Schutz der Privatsphaere in der Telekommunikation und bei digitalen Diensten) verlangt fuer Cookies und aehnliche Technologien aktive Einwilligung.^[21] Mandatstraeger-Webseiten 2026 muessen die Banner-Pflicht erfuellen — die operative Implementierung.

§25 TDDDG — die Kernregel

§25 Abs. 1 TDDDG: Speicherung von Informationen auf dem Endgeraet oder Zugriff auf bereits gespeicherte Informationen sind nur zulaessig, wenn der Nutzer eingewilligt hat. Ausnahme nach §25 Abs. 2 TDDDG: technisch notwendige Cookies (z.B. Login-Session, Warenkorb).

Was das fuer Mandatstraeger-Sites bedeutet

— Analyse-Cookies. Web-Analytics (Matomo, Umami, Google Analytics) sind nur mit Einwilligung zulaessig. — Embedded Media. YouTube-Video-Embeds, Tweet-Embeds — alles cookie-relevant. — Newsletter-Tracker. Open-Tracker und Click-Tracker in Newsletter erfordern Einwilligung.

Anforderungen an die Einwilligung

— Aktiv. Keine vorausgewaehlten Haekchen. — Klar. Verstaendliche Sprache, keine Verklausulierung. — Granular. Pro Kategorie (Notwendig, Statistik, Marketing) separate Auswahl. — Widerrufbar. Jederzeit ueber Site-Funktion.

Operative Implementierung

— CMP-Tool. Consent Management Plattform (Cookiebot, Usercentrics, Klaro, OpenCMP-Loesungen). — Server-side Tracking als Alternative. Wenn moeglich: server-seitige Analytics ohne Cookies. Bei rein-statistischer Auswertung kann Pseudonymisierung ohne Einwilligung in Grenzen zulaessig sein. — Default: keine Cookies. Erst nach aktiver Einwilligung Tracking-Cookies setzen.

Bußgeld-Risiko

Verstoesse gegen das TDDDG koennen mit Bußgeld bis 300.000 EUR geahndet werden.^[22] Aufsichtsbehoerde sind die Landes-Datenschutzbehoerden.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen. Datenschutz-Beauftragten bzw. Fachanwalt fuer IT-/Datenschutzrecht hinzuziehen bei Site-Implementierung.

DSGVO Art. 22 — automatisierte Entscheidungen in Mandatsträger-Pipelines

Art. 22 DSGVO verbietet ausschliesslich automatisierte Entscheidungen, die rechtliche Wirkung entfalten oder erheblich beeintraechtigen — ausser mit Einwilligung oder durch Rechtsvorschrift.^[23] In Mandatstraeger-Pipelines greift Art. 22 bei automatisierten Buerger-Klassifikationen, Sentiment-getriebenen Antwort-Filtern, Predictive-Outreach.

Drei typische Anwendungsfaelle

— Automatisierte Buerger-Klassifikation. Wenn eine Pipeline ein Buergerschreiben automatisch in “wichtig” oder “Standard-Antwort” klassifiziert und der Mandatstraeger das nicht prueft — Art. 22-relevant, wenn die Entscheidung den Buerger erheblich beeintraechtigt (z.B. keine inhaltliche Antwort).

— Sentiment-getriebene Antwort-Filter. Wenn die Pipeline Kommentare automatisch loescht ohne menschliche Pruefung — bei kritischen politischen Aeusserungen Art.-22-/Meinungsfreiheits-Spannung.

— Predictive-Outreach. Wenn die Pipeline entscheidet, wer mit welcher Nachricht angeschrieben wird, basierend auf algorithmischem Profil — bei Targeting nach besonderen Datenkategorien zusätzlich Art.-9-Verstoss.

Was Art. 22 verlangt

— Menschliche Pruefung in der Schleife. Eine automatisierte Vorklassifikation ist okay, wenn ein Mensch die finale Entscheidung trifft.

— Recht auf Stellungnahme. Betroffene koennen Stellung nehmen.

— Recht auf menschliche Pruefung. Betroffene koennen menschliche Pruefung verlangen.

— Transparenz. Mandatstraeger-Webseite muss informieren, ob und welche automatisierten Entscheidungen verwendet werden.

Operative Implementierung

— Pipeline-Audit. Bei jeder Pipeline-Funktion pruefen: trifft sie Entscheidungen, die Betroffene erheblich beeintraechtigen? Wenn ja: menschliche Pruefung einbauen.

— Transparenz-Hinweis. Auf Mandatstraeger-Webseite in Datenschutz-Erklaerung kommunizieren.

— Widerspruchs-Routine. Buerger koennen Widerspruch einlegen — Routine dazu dokumentiert.

Sanktion

DSGVO Art. 83: Bußgeld bis 20 Mio. EUR oder 4% Jahresumsatz.

Status-Hinweis

Stand 19.05.2026: Pre-Launch-Compliance-Review abgeschlossen. Bei konkretem Anwendungs- oder Streitfall ist die Konsultation eines spezialisierten Fachanwalts weiterhin empfohlen. Datenschutz-Beauftragten und Fachanwalt fuer Datenschutzrecht hinzuziehen bei automatisierten Pipeline-Funktionen.