Dürfen Modehändler Kundendaten nach der DSGVO für das KI-Training nutzen?
Personalisierung, Empfehlungen und Chatbots laufen mit Kundendaten. Wie Rechtsgrundlage, Transparenz, Profiling-Regeln und Betroffenenrechte greifen, wenn der Mode-E-Commerce diese Daten für KI nutzt.
DAS WICHTIGSTE Zusammenfassung der Redaktion
- Modehändler dürfen Kundendaten nach der DSGVO für KI nutzen, wenn sie eine gültige Rechtsgrundlage haben, die Kundschaft informieren, die Daten minimieren und deren Rechte wahren; das berechtigte Interesse ist eine gängige Grundlage für die KI-Entwicklung.
- Die französische CNIL nennt drei Bedingungen, um sich bei der KI-Entwicklung auf das berechtigte Interesse zu stützen: ein rechtmässiges und klar definiertes Interesse, Erforderlichkeit und keine unverhältnismässigen Auswirkungen auf die Betroffenen.
- Nach Artikel 21 DSGVO können Kundinnen und Kunden der Verarbeitung für Direktwerbung, einschliesslich des damit verbundenen Profilings, jederzeit widersprechen; danach dürfen die Daten nicht mehr für diesen Zweck verwendet werden.
- Artikel 22 DSGVO gibt Personen das Recht, keiner ausschliesslich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden, vorbehaltlich Ausnahmen und Schutzmassnahmen.
- Laut CNIL gelten die Betroffenenrechte für Trainingsdatensätze und, wenn ein Modell nicht anonym ist, auch für das Modell selbst, was ein erneutes Training oder Ausgabefilter erfordern kann.
Ja, aber nicht beliebig. Ein Modehändler darf Kaufhistorien, Surfverhalten oder Servicegespräche nur dann zum Trainieren und Betreiben von KI nutzen, wenn er für genau diesen Zweck eine gültige Rechtsgrundlage hat, die Kundschaft klar informiert, die Daten auf das Notwendige beschränkt und ihre Rechte wahren kann, einschliesslich des Widerspruchs gegen Marketing-Profiling. Das berechtigte Interesse ist eine gängige Grundlage für die KI-Entwicklung, erfordert aber eine dokumentierte Interessenabwägung, und für manche Anwendungen, etwa ausschliesslich automatisierte Entscheidungen mit erheblicher Wirkung, gelten strengere Regeln.
Welche KI-Anwendungen im Mode-E-Commerce betreffen Personendaten?
Die meisten kundennahen KI-Anwendungen in der Mode verarbeiten irgendwann Personendaten. Typische Fälle sind Produktempfehlungen auf Basis von Surf- und Kaufhistorie, personalisierte E-Mails und Angebote, Grössen- und Passformempfehlungen anhand von Körpermassen oder Retourenhistorie, Chatbots für Bestellungen und Reklamationen, Scoring für Betrug und Retourenmissbrauch sowie Kundensegmentierung für die Planung. Jede Anwendung hat zwei Phasen mit eigenen Fragen: das Training oder Feintuning eines Modells und seinen Betrieb bei einzelnen Kundinnen und Kunden.
| Anwendungsfall | Personendaten | Zentraler DSGVO-Punkt |
|---|---|---|
| Produktempfehlungen | Surfverhalten, Käufe, Wunschliste | Berechtigtes Interesse oder Einwilligung je nach Tracking; Widerspruchsrecht bei Marketing |
| Personalisiertes Marketing | Profil, E-Mail-Interaktion | Widerspruch nach Artikel 21 gegen Direktwerbung einschliesslich Profiling |
| Grössen- und Passformberatung | Körpermasse, Retourenhistorie | Datenminimierung; Körpermasse können aus Kundensicht sensibel sein |
| Kundenservice-Chatbot | Bestelldaten, Freitext | Transparenz; Freitext kann unerwartet sensible Daten enthalten |
| Scoring für Retourenmissbrauch oder Betrug | Bestell- und Retourenmuster | Artikel 22, wenn das Sperren von Kunden ausschliesslich automatisiert erfolgt |
| Training eines Modells mit historischen Kundendaten | Grosse Datensätze | Zweckvereinbarkeit, Information, Rechte an Trainingsdaten |
Auf welche Rechtsgrundlage kann sich ein Händler stützen?
Die CNIL, die französische Datenschutzbehörde, hat Empfehlungen zu KI-Entwicklung und DSGVO veröffentlicht und hält darin fest, dass die Vorstellung, die DSGVO verhindere KI-Innovation in Europa, falsch ist. Sie bezeichnet das berechtigte Interesse als eine der gängigsten Rechtsgrundlagen für die Entwicklung von KI, besonders für private Akteure, unter drei Bedingungen:
- Ein berechtigtes Interesse: rechtmässig, klar definiert und mit den Tätigkeiten der Organisation verknüpft; auch ein kommerzielles Interesse kann genügen.
- Erforderlichkeit: Das Interesse lässt sich nicht mit weniger eingreifenden Mitteln erreichen, und der Grundsatz der Datenminimierung gilt.
- Keine unverhältnismässigen Auswirkungen: Der Nutzen muss gegen die Auswirkungen auf die Rechte der Betroffenen abgewogen werden, mit Schutzmassnahmen zur Risikominderung.
Die Verarbeitung muss zudem den vernünftigen Erwartungen der Kundschaft entsprechen. Eine Käuferin erwartet womöglich, dass ihre Kaufhistorie die Empfehlungen auf derselben Website beeinflusst; sie erwartet aber kaum, dass ihre Service-Chats ein Modell trainieren, das mit Dritten geteilt wird. Wo Tracking-Technologien wie Cookies Surfdaten erfassen, gelten zusätzlich zur DSGVO die Einwilligungsregeln der ePrivacy-Vorschriften.
Wie wirken sich Profiling und automatisierte Entscheidungen auf KI in der Mode aus?
Für Personalisierung und Scoring sind zwei DSGVO-Artikel besonders wichtig. Nach Artikel 21 können Kundinnen und Kunden der Verarbeitung für Direktwerbung, einschliesslich des damit verbundenen Profilings, jederzeit widersprechen; nach einem Widerspruch dürfen die Daten nicht mehr für diesen Zweck verwendet werden. Personalisierungssysteme müssen widersprechende Kundinnen und Kunden daher aus Marketingmodellen und deren Ergebnissen ausschliessen können.
Artikel 22 gibt Personen das Recht, keiner ausschliesslich auf automatisierter Verarbeitung, einschliesslich Profiling, beruhenden Entscheidung unterworfen zu werden, die rechtliche oder ähnlich erhebliche Wirkung entfaltet. Ausnahmen gibt es für die Erforderlichkeit zur Vertragserfüllung, eine gesetzliche Ermächtigung und die ausdrückliche Einwilligung, jeweils mit Schutzmassnahmen wie dem Recht auf menschliches Eingreifen. Ein Empfehlungskarussell erreicht diese Schwelle selten. Das automatische Sperren eines Kunden für Retouren oder den Kauf auf Rechnung könnte es jedoch, weshalb solche Systeme eine menschliche Überprüfung oder eine sorgfältige Prüfung der Ausnahmen brauchen.
Wie sollten Kundinnen und Kunden informiert werden?
Die CNIL betrachtet die individuelle Information als Regelfall, etwa über Formulare, Nachrichten oder Datenschutzerklärungen, idealerweise mit einer angemessenen Frist zwischen Information und Modelltraining. Allgemeine Hinweise sind zulässig, wenn eine individuelle Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordern würde. Die Information sollte klar sein; die CNIL regt an, mit Grafiken den Unterschied zwischen Trainingsdaten, Modell und Ergebnissen zu erklären. Für Händler heisst das konkret: ein Abschnitt in der Datenschutzerklärung, der KI-Anwendungen ausdrücklich benennt, statt sie hinter allgemeinen Formulierungen zur Datenanalyse zu verstecken.
Was passiert, wenn eine Kundin oder ein Kunde Rechte geltend macht?
Laut CNIL gelten Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch für Trainingsdatensätze und, wenn ein Modell nicht anonym ist, auch für das Modell selbst. Die Wahrung der Rechte an einem Modell kann grundsätzlich ein erneutes Training bedeuten, das laut CNIL bis zu drei Monate dauern kann; wo das unverhältnismässig ist, schlägt sie wirksame Filter rund um das Modell vor. Händler sollten ihre Datenpipelines so gestalten, dass das Löschen oder Ausschliessen einer Person auch Trainingsdatensätze und Feature Stores erreicht.
Was sollte ein Mode-E-Commerce-Team jetzt tun?
- KI-Anwendungen mit Kundendaten auflisten, im KI-Inventar und im Verzeichnis der Verarbeitungstätigkeiten.
- Eine Interessenabwägung dokumentieren für jeden Trainingszweck oder eine Einwilligung einholen, wo Tracking oder Erwartungen es verlangen.
- Trainingsdaten minimieren und pseudonymisieren; Felder wie Freitextnotizen weglassen, sofern sie nicht nötig sind.
- Datenschutzerklärungen aktualisieren, damit sie KI-Personalisierung, Chatbots und Modelltraining in verständlicher Sprache beschreiben.
- Widerspruch und Löschung in die Pipelines einbauen, nicht nur ins CRM.
- Anbieterbedingungen prüfen, damit Kundendaten nicht zum Training von Modellen für andere Kunden genutzt werden.
- Eine Datenschutz-Folgenabschätzung durchführen für umfangreiches Profiling oder Scoring, das Kundinnen und Kunden erheblich betreffen könnte.
Die Verantwortung sollte geteilt sein. Das E-Commerce- oder CRM-Team verantwortet in der Regel den Anwendungsfall, die oder der Datenschutzbeauftragte prüft Rechtsgrundlage und Hinweise, und das Data Engineering stellt sicher, dass Widersprüche und Löschungen überall ankommen. Ohne diese Aufteilung werden Anfragen zu Betroffenenrechten oft in der Kundendatenbank umgesetzt, während Kopien in Analyse- und Trainingsumgebungen bestehen bleiben.
Die Grenzen sind real. Umfassende Personalisierung hängt von Daten ab, bei denen die Kundschaft womöglich nicht mit einer Nutzung rechnet, und jedes zusätzliche Feld erhöht das Risiko von Datenpannen und Compliance-Verstössen. Händler, die weniger erheben, mehr erklären und der Kundschaft eine einfache Möglichkeit bieten, die Personalisierung abzuschalten, tragen in der Regel ein geringeres rechtliches Risiko.
Häufige Fragen
Darf ich nach der DSGVO Kundendaten für das Training eines KI-Modells verwenden?
Ja, wenn Sie für diesen Zweck eine gültige Rechtsgrundlage haben, die Kundschaft informieren, die Daten minimieren und deren Rechte wahren können. Die CNIL betrachtet das berechtigte Interesse als gängige Grundlage für die KI-Entwicklung, vorbehaltlich Erforderlichkeit und Interessenabwägung.
Sind personalisierte Produktempfehlungen Profiling im Sinne der DSGVO?
In der Regel ja, da sie persönliche Vorlieben bewerten. Kundinnen und Kunden können nach Artikel 21 dem Profiling für Direktwerbung widersprechen, und Händler müssen die Nutzung ihrer Daten für diesen Zweck dann einstellen.
Wann gilt Artikel 22 DSGVO für KI im E-Commerce?
Wenn eine ausschliesslich auf automatisierter Verarbeitung beruhende Entscheidung rechtliche oder ähnlich erhebliche Wirkung hat, zum Beispiel das automatische Sperren eines Kunden für Retouren oder Zahlungsarten. Ausnahmen erfordern Schutzmassnahmen wie menschliches Eingreifen.
Haben Kundinnen und Kunden das Recht, aus KI-Trainingsdaten entfernt zu werden?
Laut CNIL gelten Betroffenenrechte wie Löschung und Widerspruch für Trainingsdatensätze und, wenn das Modell nicht anonym ist, für das Modell selbst, was ein erneutes Training oder Ausgabefilter erfordern kann.
Eine Ausgabe an jedem Werktag. In fünf Minuten gelesen. Kostenlos für Branchenprofis.
