1. Kennzeichnung als KI
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50 der EU-KI-Verordnung. Für KI-Avatare sind zwei Punkte wichtig.
Wer mit einem KI-System spricht oder schreibt, muss das erkennen können, sofern es nicht ohnehin offensichtlich ist. Ein Live-Klon sollte sich deshalb zu Beginn als KI vorstellen, und neben dem Avatar gehört ein kurzer Hinweis.
KI-erzeugte oder veränderte Bilder, Videos und Stimmen, die echten Personen ähneln und echt wirken können, müssen als künstlich erzeugt offengelegt werden. Das betrifft auch Erklärvideos und Reels mit deinem Avatar. Ein Hinweis wie „mit KI-Avatar erstellt“ im Video oder in der Beschreibung erfüllt das in der Praxis.
2. Einwilligung für Gesicht und Stimme
Gesicht und Stimme sind durch das Recht am eigenen Bild und das allgemeine Persönlichkeitsrecht geschützt, zusätzlich sind sie personenbezogene Daten. Ein Klon darf deshalb nur mit ausdrücklicher Einwilligung der Person entstehen.
Bist du selbst das Vorbild, ist das einfach. Soll ein Mitarbeiter geklont werden, braucht es eine schriftliche Vereinbarung. Weil im Arbeitsverhältnis ein Abhängigkeitsverhältnis besteht, muss die Einwilligung wirklich freiwillig sein, und eine Ablehnung darf keine Nachteile haben.
- Wofür der Klon eingesetzt wird und wo er zu sehen ist
- Wie lange er genutzt wird
- Was passiert, wenn die Person das Unternehmen verlässt oder die Einwilligung widerruft, etwa Abschalten und Löschen innerhalb einer festen Frist
- Ob eine Vergütung vereinbart ist
3. DSGVO bei Gesprächen mit Kunden
- Datenschutzerklärung ergänzen: welche Daten der Avatar verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange.
- Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit dem Dienstleister und eine Liste der beteiligten Unterauftragnehmer.
- Datenübermittlung in Länder außerhalb der EU nur mit den Garantien aus Art. 44 ff. DSGVO, zum Beispiel einem Angemessenheitsbeschluss oder Standardvertragsklauseln.
- Nur so viele Daten abfragen wie nötig. Für eine Terminbuchung reichen Name, Kontakt und Anliegen.
- Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO nur mit passender Rechtsgrundlage, in der Regel einer ausdrücklichen Einwilligung. Oft ist es besser, der Avatar nimmt nur den Terminwunsch auf.
Besonderheiten für Praxen, Kanzleien und Steuerbüros
Berufsgeheimnisträger unterliegen der Schweigepflicht nach § 203 StGB. Externe Dienstleister dürfen nur eingebunden werden, soweit es für ihre Tätigkeit erforderlich ist, und müssen zur Verschwiegenheit verpflichtet werden. Wir unterschreiben dafür eine Verschwiegenheitsverpflichtung zusätzlich zum Vertrag zur Auftragsverarbeitung.
Für Unternehmen in der Schweiz
In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (DSG). Die Grundsätze ähneln der DSGVO: Transparenz, Zweckbindung, Datensparsamkeit und Informationspflichten. Wer auch Kunden in der EU anspricht, muss zusätzlich die DSGVO und die EU-KI-Verordnung beachten.
Checkliste vor dem Start
- Der Avatar stellt sich als KI vor, ein Hinweis steht daneben.
- Videos mit Avatar sind als KI-erstellt gekennzeichnet.
- Die Einwilligung der geklonten Person liegt schriftlich vor.
- Die Datenschutzerklärung ist ergänzt.
- Der Vertrag zur Auftragsverarbeitung ist unterschrieben.
- Es ist festgelegt, welche Daten der Avatar abfragt und wie lange sie gespeichert werden.
Diese Hinweise dienen der Orientierung und ersetzen keine Rechtsberatung. Für deinen Einzelfall sprich mit deinem Datenschutzbeauftragten, deiner Kammer oder einer Rechtsanwältin.
Amandeep Thind ist Gründer von Sigence in Singen am Bodensee und baut KI-Systeme für Unternehmen, darunter Klariu für das Handwerk. Mehr über uns