Ein neuer Markt ist entstanden: Tausende Menschen weltweit verkaufen ihre Gesichtszüge, Stimmen und Bewegungsprofile an KI-Unternehmen – gegen Vergütung, aber oft ohne vollständiges Wissen darüber, was sie damit wirklich aufgeben.
Identität als Datensatz: Tausende Menschen verkaufen biometrische Daten an KI-Unternehmen
Ein wachsender Markt für persönliche Identitätsdaten verändert das Verhältnis zwischen Einzelpersonen und KI-Entwicklern grundlegend. Gegen Vergütung stellen tausende Menschen weltweit ihre biometrischen Daten, Stimmprofile und persönlichen Informationen für das Training von KI-Systemen zur Verfügung – mit unklaren langfristigen Konsequenzen.
Persönliche Daten als Einkommensquelle
Plattformen, die als Vermittler zwischen KI-Entwicklern und datenwilligen Nutzern fungieren, verzeichnen starkes Wachstum. Die Angebote reichen von der Aufzeichnung von Sprachproben über das Fotografieren des eigenen Gesichts aus verschiedenen Winkeln bis hin zur Weitergabe von Schriftproben und Verhaltensmustern.
Die Vergütungen variieren stark – von wenigen Euro für einfache Aufgaben bis zu dreistelligen Beträgen für umfangreichere Datenpakete, etwa vollständige biometrische Profile. Besonders gefragt sind diverse Datensätze: Unternehmen suchen gezielt nach Personen mit spezifischen Akzenten, Altersgruppen oder körperlichen Merkmalen.
Was für die Teilnehmer wie ein unkompliziertes Nebengeschäft wirkt, ist für die KI-Industrie kritische Infrastruktur.
Was Teilnehmer abtreten – und was sie nicht wissen
Das zentrale Problem liegt im Informationsgefälle zwischen Datenlieferanten und Käufern. Viele Teilnehmer verstehen nicht vollständig, wie ihre Daten verwendet werden, wie lange sie gespeichert bleiben oder an wen sie weitergegeben werden dürfen. Die Nutzungsbedingungen solcher Plattformen räumen den Unternehmen in der Regel weitreichende Rechte ein – darunter:
- Lizenzierung der Daten an Dritte
- Einspeisung in Modelle mit zum Zeitpunkt der Einwilligung nicht absehbaren Anwendungsfällen
- Langfristige Speicherung ohne klare Löschfristen
Biometrische Daten sind dabei besonders sensibel:
Gesichtsmerkmale, Stimmprofile oder Gangart lassen sich im Gegensatz zu einem Passwort nicht zurücksetzen. Wer diese Daten einmal abgibt, verliert dauerhaft die Kontrolle – unabhängig von späteren Widerrufswünschen.
Regulatorische Grauzone trotz DSGVO
In der Europäischen Union gelten biometrische Daten nach Artikel 9 der Datenschutz-Grundverordnung (DSGVO) als besondere Kategorie personenbezogener Daten, deren Verarbeitung grundsätzlich verboten ist – außer bei ausdrücklicher Einwilligung. Genau auf dieser Einwilligung basiert das gesamte Geschäftsmodell solcher Plattformen.
Ob diese Einwilligungen den strengen DSGVO-Anforderungen an Informiertheit und Freiwilligkeit tatsächlich standhalten, ist juristisch umstritten. Der EU AI Act, der ab 2026 schrittweise wirksam wird, adressiert zwar den Einsatz biometrischer Systeme, schließt aber nicht alle Lücken im Bereich der Trainingsdaten. Datenschutzbehörden in mehreren EU-Ländern haben entsprechende Geschäftsmodelle bereits unter Beobachtung gestellt, ohne bislang flächendeckend einzugreifen.
Strukturelles Ungleichgewicht im Datenmarkt
Kritiker weisen auf ein grundlegendes Machtgefälle hin:
Wer seine Identitätsdaten verkauft, erhält eine einmalige Vergütung – während die daraus entstehenden Modelle über Jahre hinweg kommerziell genutzt werden.
Der Wert der Daten wächst mit der Qualität der Modelle; an diesem Wertzuwachs sind die ursprünglichen Datenlieferanten nicht beteiligt. Einige Forscher plädieren daher für neue rechtliche Konzepte wie Datendividenden oder kollektive Verhandlungsrechte für Datenanbieter.
Relevanz für deutsche Unternehmen
Für deutsche Unternehmen ergibt sich aus dieser Entwicklung eine doppelte Relevanz:
- Als Käufer von Trainingsdaten: Künftig dürften strengere Nachweispflichten über Herkunft und Rechtmäßigkeit der Daten gelten – der EU AI Act macht Compliance in diesem Bereich zur Pflicht.
- Als Arbeitgeber: Mitarbeiter könnten eigenständig Daten an externe Plattformen verkaufen. Klare interne Richtlinien zum Umgang mit personenbezogenen und unternehmensbezogenen Daten im KI-Kontext sind damit keine Kür mehr, sondern Teil eines soliden Datenschutzmanagements.
