Schritt 1: Klären Sie Ihre Berechtigung
Beginnen Sie mit dem Eigentum. Unterlagen, die Ihr Unternehmen im Rahmen seiner eigenen Arbeit erstellt hat, sind in der Regel lizenzierbar. Unterlagen, die Sie für Mandanten verwahren, Lieferantenzeichnungen unter NDA und von Dritten lizenzierte Inhalte sind es ohne Zustimmung meist nicht. Prüfen Sie Kundenverträge, NDAs, Arbeitsverträge und Softwarelizenzen auf Klauseln zur Datennutzung.
Schritt 2: Umgang mit personenbezogenen Daten
| Rechtsraum | Kernpunkt | Quelle |
|---|---|---|
| EU / UK (DSGVO) | Pseudonymisierte Daten bleiben personenbezogen; echt anonyme Daten fallen nicht unter die DSGVO. Die Aufsichtsbehörden legen für Anonymität in KI-Modellen eine hohe Messlatte an. | Erwägungsgrund 26; EDSA-Stellungnahme 28/2024 |
| Japan (APPI, Datenschutzgesetz) | Pseudonym verarbeitete Informationen dürfen grundsätzlich nicht an Dritte gehen; anonym verarbeitete Informationen schon, bei öffentlicher Bekanntgabe von Kategorien und Methode. | DLA Piper |
| Hongkong (PDPO, Datenschutzverordnung) | Die Nutzung personenbezogener Daten für einen neuen Zweck erfordert eine ausdrückliche Einwilligung; die Behörde wertet den Verkauf von Daten als neuen Zweck. | PCPD, DPP3 |
| Taiwan (PDPA, Datenschutzgesetz) | Eine Nutzung über den ursprünglichen Zweck hinaus erfordert eine Rechtsgrundlage oder Einwilligung; die Standards für De-Identifizierung sind weniger präzise. | Kommentar |
| Festlandchina (PIPL, Datenschutzgesetz) | Anonymisierte Informationen gelten nicht als personenbezogen; grenzüberschreitende Übermittlungen lösen Einwilligungs- und Prüfpflichten aus. | Jones Day |
| Singapur (PDPA, Datenschutzgesetz) | Die Leitlinien der PDPC von 2024 behandeln Einwilligung, Ausnahmen und Anonymisierung in KI-Systemen. | PDPC |
Dies sind allgemeine Informationen, keine Rechtsberatung. Lassen Sie sich vor der Unterzeichnung von einem Anwalt in Ihrem Rechtsraum beraten.
Schritt 3: De-Identifizierung planen
Legen Sie fest, wer personenbezogene Daten entfernt, wann und nach welchem Standard. Die Praxis ist unterschiedlich: Google verlangte, dass die Unterlagen von Spirit Airlines von personenbezogenen Daten bereinigt werden; andere Käufer geben an, sie nach der Übermittlung selbst zu entfernen oder umzuwandeln. Ist es nach Ihrem Recht problematisch, wenn personenbezogene Rohdaten Ihr Unternehmen verlassen, verlangen Sie eine De-Identifizierung, bevor irgendetwas geliefert wird.
Schritt 4: Den Umfang schriftlich festhalten
- Einbezogene Systeme, Teams und Zeiträume.
- Ausgeschlossene Kunden, Projekte, Personen oder Unterlagenarten.
- Format und Umfang der Kopie.
- Wer sie extrahiert und wo sie verarbeitet wird.
Schritt 5: Interne Freigabe einholen
Klären Sie, wer eine Lizenz genehmigen darf: Inhaber, Geschäftsführung und manchmal eine Muttergesellschaft oder ein Kreditgeber. Informieren Sie die IT und die Verantwortlichen für Kundenverträge. Im Check von Calto Data fragen wir, ob Ihr Unternehmen die Nutzung seiner Unterlagen genehmigen kann, damit wir Berechtigungsfragen früh erkennen.
Häufig gestellte Fragen
Müssen wir Daten vor der Lizenzierung anonymisieren?
Gesetzlich nicht immer, aber es ist der sicherste Weg. Bleiben personenbezogene Daten enthalten, brauchen Sie je nach Rechtsraum eine Rechtsgrundlage und oft eine Einwilligung.
Reichen pseudonymisierte Daten nach der DSGVO aus?
Nein. Pseudonymisierte Daten sind nach der DSGVO weiterhin personenbezogen. Nur Daten, die keine Person mehr identifizieren können, fallen nicht darunter.
Kann ein japanisches Unternehmen Daten an ein US-KI-Unternehmen lizenzieren?
Ja, personenbezogene Daten müssen jedoch nach dem APPI behandelt werden, einschließlich seiner Regeln zur Weitergabe an Dritte und ins Ausland. Für anonym verarbeitete Informationen gelten weniger strenge Regeln.
Brauchen wir die Zustimmung unserer Kunden?
Wenn die Unterlagen personenbezogene oder vertrauliche Informationen von Kunden enthalten, in der Regel ja – es sei denn, diese werden entfernt oder Ihre Verträge erlauben die Nutzung bereits.