DeepSeek und die DSGVO So geht DeepSeek mit unseren Daten um

Anbieter zum Thema

WBS.LEGAL

Maisch.law

netfiles GmbH

Insider Research

Hyland Software Germany GmbH

DeepSeek ist leistungsstark, kostenlos und sehr beliebt. Doch ist DeepSeek mit der DSGVO vereinbar? Gerade Unternehmen, die auf hohe Datensicherheit angewiesen sind, blicken gespannt auf das laufende Prüfverfahren. Datenschutzexperten geben erste Einschätzungen.

Das KI-Modell DeepSeek wird wegen seiner Leistungsfähigkeit gehypt. Doch wie immer hat die Medaille zwei Seiten. Denn Kritiker sehen in DeepSeek sowohl ein Sicherheitsrisiko wie auch ein Datenschutzrisiko. Denn oftmals wissen Nutzer der chinesischen App nicht, was DeepSeek mit ihren Daten macht. Auch der Schutz der Daten ist nicht garantiert. Warum das so ist, erläutern Rechtsanwalt Prof. Christian Solmecke und Dr. Marc Maisch, Fachanwalt für IT-Recht.

Deepseek, Stargate und der EU AI Act

KI außer Kontrolle? – Regulierung, Macht und die Grenzen des EU AI Act

Welche Daten sammelt DeepSeek?

DeepSeek ordnet die Daten, die es von seinen Nutzern sammelt, eigenen Angaben zufolge in drei Kategorien ein:

• vom Nutzer bereitgestellte Informationen,

• automatisch gesammelte Informationen,

• Informationen aus anderen Quellen.

Zu den vom Nutzer bereitgestellten Daten gehörten alle Inhalte, die man eingibt, wenn man sich ein DeepSeek-Konto erstellt, das Unternehmen direkt kontaktiert oder seine Dienste anderweitig nutzt. Dazu gehören das Geburtsdatum, Benutzername, E-Mail-Adresse und/oder Telefonnummer sowie das vergebene Passwort. Auch alle Eingaben, die Nutzer tätigen, werden gespeichert. Dies sind Texteingaben, Eingabeaufforderungen, hochgeladenen Dateien, Feedback, Chatverläufe oder andere Inhalte, die in das Modell und seine Dienste eingespeist werden.

Automatisch erfasste Informationen sind Informationen zu Internet- oder anderen Netzwerkaktivitäten wie die IP-Adresse, eindeutige Gerätekennungen und Cookies, aber auch Standortinformationen. Informationen aus anderen Quellen können Anmeldeinformationen eines Drittanbieterdienstes wie Apple oder Google sein, über die man sich bei DeepSeek einloggen kann, Sicherheitsinformationen von Partnern des Start-ups sowie öffentliche Informationen. Als solche versteht DeepSeek öffentlich verfügbare Informationen, die über Internetquellen erhältlich sind, die für das Training der KI-Modelle genutzt werden. Dies bedeutet, dass auch Informationen über Personen, die DeepSeek nicht aktiv nutzen, gesammelt werden können, sofern solche im Internet öffentlich einsehbar sind.

Die Art der Daten, die DeepSeek sammelt, ist nicht ungewöhnlich für ein Large Language Model (LLM). Auch andere Anbieter wie OpenAI, Google oder Meta sammeln ähnliche Daten. „Öffentlich verfügbar“ lässt auf eine breite Palette von Quellen für die Datensammlung rückschließen. Auch anderen Anbieter formulieren diesen Punkt in ihren Datenschutzrichtlinien eher schwammig. In einigen Fällen schließen Anbieter gezielt Partnerschaften mit Datenanbietern, um spezialisierte oder urheberrechtlich geschützte Inhalte für das Training ihrer Modelle zu erhalten. So haben OpenAI und Reddit im Mai 2024 eine Kooperation angekündigt.

Angeblich günstigere künstliche Intelligenz

DeepSeek-Schock aus China: Zeichen für KI-Zeitenwende?

Wo und wie speichert DeepSeek Daten?

DeepSeek speichert die gesammelten Daten. Dies ist nach Datenschutz-Grundverordnung (DSGVO) zulässig, aber nur solange die Speicherung dieser Daten für die Zwecke, für die sie erhoben wurden, notwendig ist. Das chinesische Unternehmen schreibt, dass es Daten so lange aufbewahrt, wie es für die Bereitstellung der Dienste erforderlich ist. Aber auch, wenn DeepSeek ein berechtigtes Geschäftsinteresse an der Datenspeicherung hat, zum Beispiel für die Verbesserung und Entwicklung der eigenen Dienste. Grundsätzlich erlaubt die DSGVO die Verarbeitung von Daten zur Wahrung von berechtigtem Interesse. Hierbei muss jedoch abgewogen werden, ob die Interessen oder Grundrechte zum Schutz von personenbezogenen Daten der betroffenen Personen überwiegen. DeepSeek nennt in der Datenschutzerklärung allerdings keine Möglichkeit für Betroffene der Verarbeitung ihrer Daten zu widersprechen. „Zudem fehlt ein EU-Vertreter, was ebenfalls einen Verstoß gegen die DSGVO darstellt“, bestätigt Prof. Solmecke.

DeepSeek macht klar, dass die erfassten Daten auch auf Servern gespeichert werden können, die außerhalb des Landes liegen, in dem ein Nutzer lebt. Grundsätzlich würden die Daten auf „sicheren“ Servern in der Volksrepublik China gespeichert. Genauere Angaben folgen nicht. Grundsätzlich schreiben die Artikel 44 bis 49 der DSGVO vor, dass Unternehmen preisgeben müssen, wo ihre Server stehen, wenn sie personenbezogene Daten von EU-Bürgern verarbeiten. Außerdem müssen sie angeben, auf welcher Rechtsgrundlage die Übertragung erfolgt, zum Beispiel den EU-Standardvertragsklauseln (SCCs) oder einem Angemessenheitsbeschluss der EU. Ergänzt wird dies durch Artikel 13 der DSGVO, der die Transparenzpflicht vorgibt. Dr. Maisch kommentiert: „Das Problem bei DeepSeek ist, dass personenbezogene Daten ohne Vereinbarung von Standardvertragsklauseln verarbeitet werden und die Nutzung zumindest der Online-Version durch EU-ansässige Unternehmen damit rechtswidrig wäre.“

Prof. Solmecke ergänzt: „Besonders kritisch ist die Speicherung der Nutzerdaten auf Servern in China, da zwischen der EU und China kein Abkommen über ein angemessenes Datenschutzniveau existiert. Hinzu kommt, dass für die Übermittlung personenbezogener Daten Standardvertragsklauseln erforderlich wären, die meiner Kenntnis nach nicht existieren.“

Droht ein DeepSeek-Verbot?

Mittlerweile haben sieben deutsche Landesdatenschutzbehörden ein Prüfverfahren gegen DeepSeek auf den Weg gebracht. In Italien ist DeepSeek bereits verboten. Und dies den Experten zufolge scheinbar zurecht: „Die Nutzung von DeepSeek wirft erhebliche rechtliche Bedenken auf, sowohl im Hinblick auf die Verarbeitung von personenbezogenen Daten als auch auf Daten, die durch Berufs- und Geschäftsgeheimnisse einem besonderen Vertraulichkeitsschutz unterliegen“, fasst Prof. Solmecke zusammen. „Ein zentrales Problem ist, dass die durch Nutzer eingegeben Prompts uneingeschränkt aufgezeichnet, übertragen, gespeichert oder analysiert werden. Völlig unklar bleibt, wie DeepSeek die erhobenen Daten verarbeitet und zu welchen Zwecken sie genutzt werden. Zudem können der chinesische Geheimdienst sowie Sicherheitsbehörden nach chinesischem Recht die Datenherausgabe verlangen, was die Gefahr staatlicher Zugriffe ohne Wissen der Nutzer massiv erhöht.“

Somit sei DeepSeek ein Risiko für die Privatsphäre, da für Nutzer keine Kontrolle mehr über die Daten bestehe. „Ihnen fehlen unter anderem effektive Mittel zur Durchsetzung ihrer Rechte auf Auskunft, Berichtigung oder Löschung. Zusätzlich gab es Berichte über Sicherheitslücken, die sensible Daten öffentlich zugänglich machten“, sagt Solmecke. „Auch die völlig intransparenten Nutzungsbedingungen erschweren es den Nutzern, die Konsequenzen ihrer Zustimmung zu überblicken. Diese massiven datenschutzrechtlichen Defizite machen eine DeepSeek-Nutzung in Deutschland, insbesondere für Unternehmen oder Organisationen, die auf DSGVO-Konformität angewiesen sind, nahezu unmöglich.“

Datenschutz als Mehrwert für KI

Warum der Datenschutz der künstlichen Intelligenz doppelt hilft

(ID:50433818)