Die Datenschutzstelle (DSS) publiziert regelmässig kurze Hinweise und Informationen aus ihrer Praxis im Rahmen des Newsletters. Dabei handelt es sich jeweils um drei Themen, welche mehrfach in der DSS aufkamen bzw. von ihr in Verfahren gerügt wurden.
- Hinweise zur Betreffzeile von E-Mails
Regelmässig gelangt die Frage an die DSS, ob es datenschutzkonform sei, wenn in der Betreffzeile von E-Mails personenbezogene Daten wie ein Name, eine Kunden-Nummer, eine Fall-Nummer oder ähnliches enthalten sind.
Die kurze Antwort lautet: nein, allerhöchstens nicht-sensible pseudonyme Daten. Die Betreffzeile von E-Mails wird nämlich auch bei der Nutzung von Verschlüsselungstechniken nicht verschlüsselt. Das heisst, sie ist immer offen einsehbar für jeden, der das E-Mail während des Versands «abfängt» und liest. Aus diesem Grund sollte in einer Betreffzeile niemals ein personenbezogenes Identifikationsmerkmal wie ein Name etc. stehen. Auch eine sensible Identifikationsnummer wie eine PEID-Nummer sollte dort nie enthalten sein. Allenfalls kann eine pseudonyme Fall-Nummer oder Kunden-Nummer verwendet werden, wenn sie eindeutig kein sensibles personenbezogenes Datum darstellt, das zum Beispiel für einen Identitätsdiebstahl oder einen Betrug missbraucht werden kann. Es sollten aber auch solche Angaben wenn immer möglich aus oben genannten Gründen vermieden werden. Am sichersten ist es, wenn in der Betreffzeile gar keine personenbezogenen Daten enthalten sind, auch keine pseudonymen.
Diese Regel gilt auch, wenn man ein E-Mail mit einer personenbezogenen Betreffzeile «nur» beantwortet. Auch dann ist die Zeile anzupassen, denn man ist in diesem Moment für den Schutz der Daten selbst verantwortlich.
- Hinweise zu Kindern als datenschutzrechtlich Verantwortlichen
Kann ein Kind selbst «Verantwortlicher» im Sinne der DSGVO sein? Diese Frage ist keineswegs nur theoretischer Natur, wie das folgende Beispiel zeigt: Eine Schulklasse betreut einen eigenen Social-Media-Account im Rahmen eines schulischen Projekts. Die SchülerInnen erstellen Beiträge, indem sie andere Personen fotografieren oder filmen und die entstandenen Inhalte anschliessend veröffentlichen. Dabei können personenbezogene Daten von MitschülerInnen, Lehrpersonen oder anderen Personen verarbeitet werden. Die Verarbeitung beginnt dabei nicht erst mit der Veröffentlichung. Bereits das Erheben, Erfassen, Speichern oder sonstige Verwenden personenbezogener Daten – im vorliegenden Fall also etwa das Fotografieren oder Filmen und Bearbeiten der Aufnahmen – stellt eine Verarbeitung im Sinne des Art. 4 Ziff. 2 DSGVO dar. Doch wer ist für diese Verarbeitung verantwortlich? Die Schule oder die SchülerInnen?
Zur Beantwortung dieser Frage muss auf die Definition in Art. 4 Ziff. 7 DSGVO zurückgegriffen werden. Verantwortlicher ist danach, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der Verantwortlichkeitsbegriff ist damit funktional ausgestaltet und richtet sich nicht schlicht nach organisatorischen oder unternehmerischen Strukturen, sondern nach der tatsächlichen Tätigkeit. Entscheidend ist also, wer über das «Warum» und das «Wie» der Datenverarbeitung bestimmt.
Gibt die Schule beispielsweise den genauen Zweck und den wesentlichen Rahmen bzw. auch die zu verwendenden Mittel und Kanäle des Social-Media-Projekts vor, spricht dies grundsätzlich dafür, dass die Schule die Verantwortliche für die Datenverarbeitung im Rahmen des Projekts ist. Daran ändert sich nicht bereits deshalb etwas, weil SchülerInnen einzelne Beiträge erstellen und auf «Posten» klicken. Die blosse Durchführung einzelner Verarbeitungshandlungen ist von der Entscheidung über Zwecke und Mittel der Verarbeitung zu unterscheiden. Solange die SchülerInnen dabei innerhalb der Vorgaben der Schule handeln, sind sie der Schule als Verantwortlicher Stelle zuzurechnen und nicht selbst verantwortlich für die Datenverarbeitung.
Anders kann die Beurteilung ausfallen, wenn ein Kind die massgeblichen Entscheidungen über die Zwecke und zu verwendenden Mittel der Datenverarbeitung in einem Projekt (ausserhalb des familiären Kontexts, also z.B. in der Schule) trifft. Betreibt ein Schüler beispielsweise eigenständig einen öffentlichen Social-Media-Account und entscheidet selbst, dass und zu welchem Zweck er diesen für sein Projekt, einschliesslich der Verarbeitung bzw. Veröffentlichung personenbezogener Daten anderer Personen, nutzt, wird er hinsichtlich dieser konkreten Datenverarbeitungen selbst Verantwortlicher nach Art. 4 Ziff. 7 DSGVO.
Damit zeigt sich: Auch Kinder können grundsätzlich Verantwortliche im Sinne der DSGVO sein. Art. 4 Ziff. 7 DSGVO erfasst ausdrücklich auch natürliche Personen und macht die Verantwortlichkeit nicht vom Alter abhängig. Entscheidend ist vielmehr, wer bei einer konkreten Verarbeitung personenbezogener Daten über deren Zwecke und Mittel entscheidet.
Weitere Erläuterungen zu Kindern als Verantwortlichen und zur datenschutzrechtlichen Verantwortlichkeit im Allgemeinen finden Sie hier auf unserer Internetseite.
- Hinweise zur personalisierten Werbefunktion bei ChatGPT*
OpenAI plant, künftig auch in Europa sowohl in der kostenlosen Version von ChatGPT als auch im kostenpflichtigen ChatGPT-Go-Abonnement personalisierte Werbung anzubieten. Dies soll jedoch nur nach Erteilung einer entsprechenden Einwilligung (Opt-in) durch die Nutzenden erfolgen. Zur Personalisierung sollen nach Angaben von OpenAI unter anderem vergangene und aktuelle Chats, Nutzungsdaten und Geräteinformationen herangezogen werden.
Wer nicht einwilligt, erhält weiterhin «generische» Anzeigen. Diese können sich jedoch ebenfalls unter anderem am aktuellen Chat-Inhalt sowie an einem begrenzten Kontext, etwa dem Standort und der Tageszeit, orientieren. Es soll dafür jedoch offenbar kein bestehendes Nutzerprofil verwendet oder ein neues zu diesem Zweck erstellt werden. OpenAI stützt diese eingeschränktere Verarbeitung personenbezogener Daten für herkömmliche, im Vergleich zur neuen Form etwas weniger-personalisierte, Werbezwecke auf ein überwiegendes berechtigtes Interesse gemäss Art. 6 Abs. 1 Bst. f DSGVO.
Neu an der geplanten personalisierten Werbefunktion ist der mögliche Informationsgehalt der Daten, auf denen diese Personalisierung beruht. So kann ein Gespräch (Chat) mit einem KI-System etwa umfangreiche Hinweise darüber liefern, welche Absichten hinter einer Anfrage stehen und in welcher persönlichen Situation sich eine Person befindet. Bei der Planung einer Reise können beispielsweise das Reiseziel, das verfügbare Budget, die familiäre Situation, gesundheitliche Bedürfnisse und persönliche Vorlieben innerhalb eines einzigen Dialogs genannt werden. Im Vergleich zu einzelnen, häufig kontextärmeren Informationen, etwa Auswertungen aus dem Surf- oder Suchverhalten, welche für herkömmliche personalisierte Werbung auf Websites oder in Suchmaschinen herangezogen werden, können solche Gesprächsinhalte ein wesentlich umfassenderes Bild einer Person ermöglichen und unter Umständen Rückschlüsse bis in die Intimsphäre oder auf die aktuelle Stimmung einer Person zulassen.
Wer ChatGPT für persönliche oder sensible Themen nutzt, sollte deshalb berücksichtigen, dass die Auswertung von Chat-Verläufen für personalisierte Werbung tief in die eigene Privatsphäre eingreifen kann. Datenschutz beginnt dabei nicht erst mit der Wahl der Einstellungen zur personalisierten Werbung, sondern bereits mit der Entscheidung darüber, welche persönlichen Informationen man grundsätzlich bereit ist, einem KI-System anzuvertrauen.
Um ChatGPT weiterhin datensparsam nutzen und die Personalisierung zu Werbezwecken aus den eigenen Chats weitestmöglich beschränken zu können, empfiehlt sich daher:
- keine Einwilligung in personalisierte Werbung zu erteilen;
- zu prüfen, ob die Werbepersonalisierung in den Datenschutzeinstellungen aktiviert ist, und sie gegebenenfalls zu deaktivieren;
- die Funktion „Erinnerungen“ zu deaktivieren und vorhandene Erinnerungen zu löschen;
- die Verwendung der Chats zur Modellverbesserung zu deaktivieren;
- für sensible Themen die Funktion „Temporärer Chat“ zu verwenden;
- keine vertraulichen oder geheimhaltungsbedürftigen Informationen in ChatGPT einzugeben;
- den Chatverlauf regelmässig zu löschen;
- ChatGPT in einer werbefreien Variante zu nutzen.
*Die Ausführungen zum Thema stützen sich auf Informationen von OpenAI (EU-Datenschutzrichtlinie, FAQ) sowie auf Einschätzungen und Empfehlungen der Datenschutz-Aufsichtsbehörden aus Berlin, Niedersachsen und Hamburg.