Viele Unternehmer:innen nutzen KI täglich im Marketing – und schieben die DSGVO-Frage auf morgen. Verständlich, denn das Thema wirkt sperrig. Man sollte dennoch wissen, worauf es ankommt.
Elisa Drescher weiß das als externe Datenschutzbeauftragte von Unternehmen ganz genau. Deshalb habe ich mir ihr neues Buch zu Gemüte geführt. Ihr Buch ist ein guter Praxisratgeber, der die Rechtsfragen so erklärt, dass sie im Alltag gut anwendbar sind.
"Echt oder KI? Deepfakes im Marketing"
Elisa setzt sich in ihrem Buch im Detail mit Deepfakes auseinander. Ein Begriff der bei mir - wie vielen anderen - negativ konnotiert ist und häufig in Zusammenhang mit Betrug und Skandalen vorkommt. Doch auch ich habe schon Deepfakes erstellt. Sprich: KI-generierte und KI-manipulierte Bild-, Audio- und Videoinhalte erstellt, die durchaus als „echt“ wahrgenommen werden können.
Ich habe damit in erster Linie experimentiert und mir angesehen, wie mit AI Tools Werbevideos erstellt werden können. Fakt ist, AI generierte Bild-, Audio- und Videoinhalte sind in vielen Marketingabteilungen im Businessalltag eingezogen. Damit muss man sich auch ansehen, welche gesetzlichen Regelungen hier relevant sein können - um nicht eines Tages vor böse Überraschungen gestellt zu werden. Datenschutz, Persönlichkeitsrechte, Urheberrechte, Wettbewerbsrecht und der EU AI Act - das sind alles Regelungen, die hier spruchreif werden können (vgl. Drescher, S. 6)
Was wird wo geregelt?
Die DSGVO ist die Grundlage für alles, was mit personenbezogenen Daten zu tun hat – Namen, E-Mail-Adressen, Fotos, Verhaltensdaten. Sie regelt, wie Daten erhoben, gespeichert und verarbeitet werden dürfen. Wer mit KI-Tools personenbezogene Daten weiter verarbeitet, braucht dafür eine Rechtsgrundlage – und einen Auftragsdatenverarbeitungsvertrag (AVV) mit dem jeweiligen Anbieter.
Der EU AI Act ergänzt das um KI-spezifische Anforderungen. Für den Marketingalltag besonders relevant: die Transparenzpflichten nach Art. 50 – also die Kennzeichnung von KI-generierten oder KI-manipulierten Bild-, Video- und Audioinhalten die täuschend echt aussehen (Deepfakes). Die Kennzeichnungspflicht greift ab 02. August 2026, Verstöße können teuer werden.
Ein häufiges Missverständnis dazu: „Der AI Act verbietet Deepfakes nicht. Er verpflichtet dazu, sie als solche offenzulegen.“ (Elisa Drescher, „Echt oder KI? Deepfakes im Marketing“; S. 16)
Das Urheberrecht regelt, wem kreative Werke gehören – und wer sie nutzen darf. Rein KI-generierte Inhalte sind in der EU grundsätzlich nicht urheberrechtlich geschützt. Das klingt praktisch, hat aber eine Kehrseite: Wenn ein KI-Output einem bestehenden geschützten Werk erkennbar ähnelt, haftest du als Endnutzer:in – nicht der Anbieter.
KI-generierte Inhalte im Marketing: vier Anwendungsfälle
KI-generierte Bilder im Business
Speziell für den Bereich Bilder – von KI-generierten Produktfotos bis zum bearbeiteten Profilfoto – habe ich für Miriam Mehlman's Blog einen eigenen Artikel verfasst. Er beleuchtet Urheberrecht, Persönlichkeitsrechte und Kennzeichnungspflicht konkret an vier Praxisszenarien.
→ Zum Artikel: KI-generierte Bilder: Was du wissen musst, bevor du auf „Veröffentlichen" klickst
Voice Cloning
Mit Tools wie ElevenLabs ist es heute in wenigen Minuten möglich eine Stimme zu klonen, sie in anderen Sprachen klingen zu lassen, um zum Beispiel mehrsprachige Werbespots günstiger produzieren zu können, Podcast-Intros ohne zusätzliche Moderation zu erzeugen oder sie in Werbevideos als Voiceover einzusetzen.
Rechtlich relevant: ist es die Stimme einer echten Person, muss diese dem natürlich zustimmen. Auch die Kennzeichnungspflicht gemäß dem EU-Act wird hier schlagend.
Avatare
Auch Avatare lassen sich auf vielfältige Art und Weise im Marketingbereich einsetzen. Auf Instagram gibt es beispielsweise die virtuelle Influencerin @fit_aitana - ein ausschließlich KI-generierter Avatar. Im Fashion-Bereich setzen sich KI-Models immer mehr durch. Von so manchen Sales-Abteilungen werden personalisierte Video-Clips zur Erstkontaktaufnahme verschickt. Im Bereich der Unternehmenskommunikation können Avatare von existierenden Mitarbeiter:innen beispielsweise zu Onboarding-, Schulungszwecken oder auch als Videobotschaft der Geschäftsführung verwendet werden.
Hier gilt ebenso: werden reale Personen virtuell kopiert, machen die Persönlichkeitsrechte eine Zustimmung unabdingbar. Darüber hinaus herrscht Kennzeichnungspflicht. Und bei der CEO-Videobotschaft würde ich mir sowieso die Frage stellen, ob die Mitarbeiter die Botschaft des Avatars genauso schätzen wie die der realen Person.
Die Verwendung von KI-Tools aus DSGVO Perspektive - was bedeutet das für uns?
Einwilligung erforderlich
„Immer dann, wenn für einen Deepfake das Gesicht, die Stimme oder andere körperliche Merkmale einer realen Person verwendet werden, kommen die Anforderungen der DSGVO ins Spiel. Denn Gesicht und Stimme sind biometrische Daten im Sinne von Artikel 4 Nummer 14 DSGVO.“ (Drescher, S. 55)
Etwas salopp formuliert bedeutet das: die Verarbeitung solcher biometrischer Daten, die zu den besonders sensiblen Datenkategorien der DSGVO-Verordnung gehören, ist grundsätzlich verboten - außer es wird ausdrücklich von der betreffenden Person erlaubt. Diese Einwilligung muss freiwillig, spezifisch, informiert und unzweideutig sein. Das heißt, es muss im Vorfeld genau klar sein wofür die Daten verwendet werden, für welche Inhalte, wo diese publiziert werden (Kanäle) und über welchen Zeitraum. (Vgl. Drescher S. 56)
Der Auftragsdatenverarbeitungsvertrag
Werden in KI-Tools Bilder, Video- oder Audioaufnahmen von realen Personen hochgeladen, handelt es sich in der Regel um eine Auftragsdatenverarbeitung, was lt. DSGVO einen entsprechenden Vertrag nach sich ziehen muss. Der Vertrag regelt welche Daten, für welche Zwecke verarbeitet werden dürfen, welche Sicherheitsmaßnahmen getroffen werden, ob und welche Subunternehmer eingesetzt werden dürfen und was nach Vertragsende damit passiert. (Vgl. Drescher S. 56) Grundsätzlich ist das häufig ein Standardformular, das unterzeichnet werden muss. Leider nicht immer für alle. Etliche US-Unternehmen bieten das erst ab einer Team- oder Enterprise-Lizenz an.
Datentransfer in ein Drittland
Die Big Players, die im Marketingbereich eingesetzt werden, kommen häufig aus den USA oder anderen Ländern der EU. Laut DSGVO Verordnung werden an diese Drittländer besondere Anforderungen gestellt. „Für die USA gibt es das EU-US Data Privacy Framework, das eine Übermittlung an zertifizierte US-Unternehmen erleichtert. Ob ein konkreter KI-Anbieter unter dieses Framework fällt, muss jedoch im Einzelfall geprüft werden.“ (Drescher, S. 57)
Weder OpenAI (ChatGPT) noch Anthropic (Claude) sind aktuell unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Das schafft Rechtsunsicherheit für EU→USA-Datenübermittlungen mit KI-Tools. Weiters ist zu beachten, dass es einen Vertrag zur Auftragsverarbeitung bei OpenAI und Anthropic nur für Team/Enterprise Accounts gibt und für API-Nutzung. (Quelle)
Auch heikel: viele KI-Tools haben in ihren Nutzungsbedingungen enthalten, dass eingegebene Daten zu Trainingszwecken verwendet werden dürfen. Auch aus diesem Grund müssen Unternehmen Enterprise-Lizenzen abschließen. Eine Kontrolle der Daten im Nachhinein ist meistens nicht wirklich möglich.
Daher bitte immer auch unbedingt die Nutzungsbedingungen der jeweiligen Tools prüfen, bevor man insbesondere personenbezogene Daten hochlädt. Die Maschinen können euch bei der Prüfung helfen. 😉
Und jetzt?
Zurück zur Ausgangsfrage: Muss man sich das alles wirklich antun? Ja – aber es ist weniger schlimm als es klingt. Die meisten Fragen lassen sich mit ein bisschen Vorbereitung klären: AGBs prüfen, AVV abschließen, Kennzeichnung einführen, Einwilligungen einholen, wenn nötig.
Was ich aus Elisas Buch mitgenommen habe: Datenschutz ist kein Feind des Fortschritts. Es ist ein Rahmen, der Vertrauen schafft – bei Kund:innen, Mitarbeiter:innen und Geschäftspartner:innen. Und Vertrauen ist die Grundlage von funktionierenden Business-Beziehungen.
—
Elisa Drescher im Kurz-Interview
Welche KI-Tools nutzt du selbst im Arbeitsalltag?
Vor allem Claude und ChatGPT. Gerade bin ich dabei, viele meiner Prozesse mit Claude zu optimieren, das spart mir im Alltag spürbar Zeit.
Was sollten KMU aus deiner Perspektive anders angehen als große Unternehmen bzw. große Marketingteams?
KMU haben gegenüber großen Unternehmen einen klaren Vorteil: kürzere Entscheidungswege. Den sollten sie nutzen, um KI schneller und gezielter einzuführen und so wettbewerbsfähiger zu werden. Wichtig ist nur, den Datenschutz von Anfang an mitzudenken, dann wird er zum Beschleuniger und nicht zur Bremse.
Gab es etwas, das dich beim Schreiben des Buches persönlich überrascht hat?
Ich habe schon immer gerne geschrieben, aber das erste eigene Buch ist nochmal etwas ganz anderes. Für mich war es eine spannende Kombination aus Kreativität und ein Stück weit Pionierin sein, weil ich ein sehr spezielles Thema aufgegriffen habe, das aktueller kaum sein könnte. Deepfakes können eine echte Bedrohung sein. Ich muss gestehen: Mittlerweile frage ich mich bei fast allem, was ich online sehe, ob es wirklich echt ist.
Wie siehst du den Einsatz von KI in fünf Jahren?
KI wird so selbstverständlich zu unserem Alltag gehören wie heute das Smartphone. Alles wird integrierter und scheinbar schneller. Gleichzeitig steigen die Anforderungen an Datenschutz und IT-Security, und mit der wachsenden Komplexität müssen wir unsere Daten noch proaktiver schützen.
—
Disclaimer: Ich bin Content Marketing Spezialistin und AI-Trainerin - keine Rechtsexpertin. Aber Elisa Drescher ist das. Deshalb: Wer tiefer in KI-Nutzung und Datenschutz einsteigen möchte (und das sei jedem:r empfohlen, der/die diese Tools fürs Business nutzt) dem sei ihr neues Buch zum Weiterlesen ans Herz gelegt:
Buchtipp:
Drescher, Elisa: Echt oder KI? Deepfakes im Marketing: DSGVO, AI Act und wie Sie strategisch und sicher einen Schritt voraus bleiben. Kindle Edition.
Elisa Drescher – auch bekannt als „Frau Datenschutz" – macht als Expertin für DSGVO, AI Act und KI-Regulierung genau das, was die meisten Juristentexte nicht schaffen: komplexe Rechtsfragen so erklären, dass sie im Alltag tatsächlich anwendbar sind. Ihr Buch „Echt oder KI? Deepfakes im Marketing" ist deshalb meine klare Leseempfehlung für alle, die KI-Tools für ihr Business einsetzen.
Weitere Quellen:
https://certainity.com/blog/erlangung-europaeischer-datensouveraenitaet-steht-in-den-sternen/