KI und Datenschutz: Was passiert mit deinem hochgeladenen Foto?

Kurze Antwort: Ein Foto, das du in ein KI-Tool hochlädst, wird in der Regel an ein entferntes System gesendet, dort von einem Modell verarbeitet, und das Ergebnis kommt zu dir zurück. Ob das Foto danach gespeichert wird, wie lange, ob es zur Verbesserung von Modellen genutzt wird und mit wem es geteilt wird, hängt von der Datenschutzerklärung des Tools ab. Dieser Artikel ist markenunabhängig und beschreibt kein bestimmtes Tool. Wir erklären, was du lesen solltest, und die Grundlagen der Rechte, die dir die DSGVO (GDPR) und das türkische Datenschutzgesetz KVKK geben. Er ist keine Rechtsberatung.

Was passiert in der Regel mit einem hochgeladenen Foto?

In den meisten KI-Tools läuft der Ablauf so ab (die eigene Richtlinie des Tools kann ihn verändern):

1. Hochladen: Das Foto wird über eine Verbindung an das System des Tools oder an einen Modellanbieter geschickt, den das Tool nutzt.
2. Verarbeitung: Ein Modell liest das Foto und nimmt die gewünschte Änderung vor.
3. Ergebnis: Die Ausgabe wird dir angezeigt und bleibt oft in deinem Verlauf gespeichert.
4. Protokollierung und Prüfung: Das System kann Anfragen protokollieren; Protokolle können zur Missbrauchskontrolle geprüft werden.
5. Spätere Nutzung: Je nach Richtlinie können das Foto oder die Ergebnisse zur Verbesserung des Dienstes genutzt oder nach einiger Zeit gelöscht werden.

Deshalb ist wichtig, ob das Tool ein einzelnes Unternehmen ist oder Fotos an Modellanbieter von Drittanbietern weitergibt. In Richtlinien heißen diese Anbieter „Unterauftragsverarbeiter“ oder „Dienstleister“.

Ist ein Foto ein personenbezogenes Datum?

Ein erkennbares Foto einer Person ist in der Regel ein personenbezogenes Datum. Die DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein Foto trägt auch weitere Informationen: Mit dem Handy aufgenommene Bilder enthalten meist eingebettete Angaben (EXIF) wie Aufnahmezeit, Gerätemodell und manchmal den Standort. Schilder im Hintergrund, der Blick in eine Wohnung oder die Gesichter anderer Menschen verraten ebenfalls etwas.

Worauf solltest du in der Datenschutzerklärung achten?

Frage	Wo in der Erklärung?	Gutes Zeichen
Wer verarbeitet mein Foto?	Abschnitt Verantwortlicher und Unterauftragsverarbeiter	Identität und Kontakt des Unternehmens sind klar, Anbieter sind aufgeführt
Wofür wird es verwendet?	Verarbeitungszwecke	Der Zweck ist klar; „Dienst bereitstellen“ und „verbessern“ sind getrennt genannt
Wird es für das Modelltraining genutzt?	Formulierungen wie „Dienst verbessern“ oder „Training“	Ausdrücklich genannt und mit einer Option zum Abschalten
Wie lange wird es gespeichert?	Abschnitt zur Speicherdauer	Eine Dauer oder das Kriterium dafür ist angegeben
An wen wird es weitergegeben?	Empfänger und Übermittlungen	Empfängerkategorien und Übermittlungen ins Ausland sind genannt
Wie lösche ich es?	Rechte und Kontoeinstellungen	Schritte zum Löschen von Konto und Verlauf sind vorhanden
Kinder?	Altersgrenze	Altersgrenze und Angaben zu Eltern sind vorhanden

Ist davon nichts klar oder findest du keine Richtlinie, lade mit diesem Tool keine sensiblen Fotos hoch.

Welche Rechte hast du nach der DSGVO?

In der EU müssen Organisationen, die Daten verarbeiten, dich informieren: über Identität, Zwecke, Empfänger, Speicherdauer und darüber, welche Rechte du hast (Artikel 13 DSGVO). Die Leitseite des EDPB listet diese Rechte der Einzelnen auf:

• Auskunft: erfahren, ob Daten verarbeitet werden, und eine Kopie kostenlos erhalten.
• Berichtigung: Korrektur unrichtiger Daten und Vervollständigung unvollständiger Daten.
• Löschung: in bestimmten Fällen, etwa wenn die Daten für den Zweck, für den sie erhoben wurden, nicht mehr nötig sind, Löschung verlangen.
• Einschränkung der Verarbeitung: Die Organisation darf die Daten behalten, muss aber andere Verarbeitungen unterlassen.
• Datenübertragbarkeit: deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten; nur unter bestimmten Bedingungen.
• Widerspruch: aus Gründen deiner besonderen Situation gegen eine Verarbeitung auf Grundlage berechtigter Interessen oder im öffentlichen Interesse Widerspruch einlegen; ein Widerspruch gegen Werbung muss die Verarbeitung ohne Begründung beenden.

Die Organisation muss auf deinen Antrag innerhalb eines Monats antworten; bei komplexen Anfragen kann die Frist um zwei weitere Monate verlängert werden, du musst aber innerhalb des ersten Monats informiert werden. Lehnt sie ab, muss sie die Gründe nennen und dich darauf hinweisen, dass du bei der Datenschutzbehörde Beschwerde einlegen kannst.

Welche Rechte hast du nach dem KVKK?

Nach dem türkischen Datenschutzgesetz KVKK (Nr. 6698) muss der Verantwortliche bei der Erhebung deiner Daten dich über seine Identität, den Zweck der Verarbeitung, an wen und zu welchem Zweck Daten übermittelt werden können, die Erhebungsmethode und die Rechtsgrundlage sowie über deine Rechte nach Artikel 11 informieren (Artikel 10). Mit einem Antrag beim Verantwortlichen nach Artikel 11 kannst du Folgendes tun:

• Erfahren, ob personenbezogene Daten verarbeitet werden, und Informationen anfordern.
• Den Zweck der Verarbeitung erfahren und ob die Daten diesem Zweck entsprechend genutzt werden.
• Die Dritten kennen, an die Daten im Inland oder im Ausland übermittelt werden.
• Berichtigung verlangen, wenn Daten unvollständig oder unrichtig verarbeitet wurden.
• Unter den gesetzlichen Voraussetzungen Löschung oder Vernichtung verlangen und verlangen, dass dies den Dritten mitgeteilt wird, an die die Daten übermittelt wurden.
• Gegen ein Ergebnis Widerspruch einlegen, das ausschließlich durch automatisierte Systeme analysiert wurde und dich benachteiligt.
• Schadensersatz verlangen, wenn dir durch eine rechtswidrige Verarbeitung ein Schaden entsteht.

Nach Artikel 13 schließt der Verantwortliche den Antrag je nach Art der Anfrage kostenlos und so schnell wie möglich ab, spätestens aber innerhalb von dreißig Tagen; er nimmt ihn an oder lehnt ihn unter Angabe von Gründen ab. Wird dein Antrag abgelehnt, die Antwort als unzureichend befunden oder nicht fristgerecht beantwortet, kannst du bei der türkischen Datenschutzbehörde Kişisel Verileri Koruma Kurulu Beschwerde einlegen (Artikel 14).

KI-Modelle und die Debatte um personenbezogene Daten

Ob personenbezogene Daten nach dem Training im Modell verbleiben, ist ein Thema, mit dem sich Aufsichtsbehörden befassen. Der EDPB hat am 18. Dezember 2024 die Stellungnahme 28/2024 zu bestimmten Datenschutzaspekten im Zusammenhang mit KI-Modellen angenommen; sie wurde auf Ersuchen der irischen Aufsichtsbehörde erstellt und behandelt Themen wie Rechtsgrundlage und Anonymisierung. Die britische ICO widmet in ihrem Leitfaden zu KI und Datenschutz ebenfalls eigene Kapitel der Rechtmäßigkeit und Transparenz. Die praktische Folge: Nutzt ein Unternehmen dein Foto für das Training, ist zu erwarten, dass es das deutlich sagt. Tut es das nicht, scheu dich nicht zu fragen.

Praktische Schritte zum Schutz deines Fotos

1. Lade nichts hoch, was nicht nötig ist: verzichte auf sensible Fotos wie Ausweise, Dokumente, Kinderfotos und private Fotos anderer.
2. Standortdaten entfernen: Dein Handy hat eine Option, den Standort beim Teilen auszuschalten.
3. Zuschneiden: Entferne Schilder und Dokumente im Hintergrund aus dem Bildausschnitt.
4. Erlaubnis anderer: Ist eine andere Person auf dem Foto, frag zuerst.
5. Einstellungen prüfen: Suche nach Optionen, die die Nutzung für das Training abschalten, und nach Möglichkeiten, den Verlauf zu löschen.
6. Verlauf leeren: Lösche Ergebnisse und Uploads, wenn du fertig bist.
7. Deine Rechte nutzen: Schick einen Auskunfts- und Löschantrag und verfolge die Antwortfrist.

Beispielantrag: „Guten Tag, ich möchte wissen, ob mit meinem Konto verbundene personenbezogene Daten verarbeitet werden. Bitte teilen Sie mir die Verarbeitungszwecke und die Empfänger mit, an die die Daten übermittelt werden, und löschen Sie die von mir hochgeladenen Fotos.“

Übermittlung ins Ausland und Unterauftragsverarbeiter

Viele KI-Tools können ein Foto an Systeme in verschiedenen Ländern oder an Modellanbieter schicken. Das KVKK hat einen eigenen Artikel (Artikel 9) zur Übermittlung personenbezogener Daten ins Ausland und legt die Pflichten dem Verantwortlichen auf; außerdem gibt dir Artikel 11 das Recht zu erfahren, an welche Dritten im Inland oder im Ausland Daten übermittelt werden. In der EU gelten für Übermittlungen ebenfalls gesonderte Regeln der DSGVO. Suche deshalb in der Richtlinie nach den Abschnitten „Empfänger“, „Übermittlungen“ und „Unterauftragsverarbeiter“.

Sind diese Abschnitte unklar, ist die Frage einfach: An welche Unternehmen geht mein Foto, und zu welchem Zweck? Gibt ein Tool darauf keine klare Antwort, überlege zweimal, bevor du sensible Fotos hochlädst. Die Antwort kann auch in einer kurzen E-Mail kommen; bewahre die schriftliche Antwort auf.

Häufige Fehler

• Ohne Lesen der Richtlinie hochladen: Speicherung und Trainingsnutzung stehen dort.
• Annehmen, ein „kostenloses“ Tool sei umsonst: Daten können für manche Dienste eine Einnahmequelle sein; lies die Richtlinie.
• Das Foto einer anderen Person ohne Erlaubnis hochladen: Das wirft sowohl Einwilligungs- als auch Datenschutzprobleme auf.
• Standortdaten vergessen: Eingebettete Angaben können in einer geteilten Datei bleiben.
• Annehmen, dass Löschen überall alles entfernt: Prüfe in der Richtlinie die Fristen für Backups und Anbieterprotokolle.

Welche Fotos solltest du niemals hochladen?

Manche Fotos sind zu sensibel, um einen Fehler zu riskieren: Dokumente wie Ausweise und Führerscheine, Bankkarten, Bilder mit Adresse oder Kennzeichen, Kinderfotos, Bilder mit Gesundheitsinformationen und private Erinnerungen anderer. Musst du ein solches Bild verarbeiten, decke die sensiblen Teile vorher ab oder schneide sie weg. Statt dein persönlichstes Foto in einem Tool hochzuladen, das du nur zum Spaß ausprobierst, beginne mit einem gewöhnlichen Testfoto und sieh, wie sich das Tool verhält.

Zusammenfassung

• Ein Foto wird in der Regel auf einem entfernten System verarbeitet; Speicherung, Trainingsnutzung und Weitergabe richten sich nach der Richtlinie.
• Ein erkennbares Foto kann ein personenbezogenes Datum sein; es trägt auch Angaben wie eingebettete Standortdaten.
• Achte in der Richtlinie auf Verantwortlichen, Zweck, Training, Speicherdauer, Weitergabe und Löschschritte.
• DSGVO und KVKK geben dir Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch; die Antwortfrist beträgt nach der DSGVO einen Monat, nach dem KVKK höchstens dreißig Tage.
• Lade keine sensiblen Fotos hoch, entferne Standortdaten und hol dir die Erlaubnis anderer.