Dabei scheint sich die Entscheidung insbesondere darauf zu stützen, dass die Betreibenden von ChatGPT (OpenAI) ihren Informationspflichten nicht hinreichend nachgekommen sind, dass keine Rechtsgrundlage für die massive Erhebung und Verarbeitung personenbezogener Daten für das KI-Training ersichtlich ist, und dass am 20. März 2023 eine Datenpanne passierte, von der Nutzer*innen-Konversationen mit ChatGPT und Zahlungsinformationen von Abonnementen betroffen waren. Kritisiert wird zudem, dass scheinbar unrichtige personenbezogene Daten verarbeitet werden und Vorgaben zum Jugendschutz nicht eingehalten werden.

In Deutschland obliegt es den Landesdatenschutzaufsichtsbehörden, sich mit den datenschutzrechtlichen Fragestellungen der Verarbeitung von personenbezogenen Daten durch ChatGPT und ähnlichen KI-Anwendungen zu befassen.

Angesichts der großen Bedeutung solcher Anwendungen stimmt sich die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz/DSK) in diesen Fragen ab. Die Anwendung ChatGPT ist Gegenstand einer in der DSK koordinierten datenschutzrechtlichen Prüfung.

Um eine eigene datenschutzrechtliche Beurteilung vornehmen zu können, sind weitergehende Informationen – beispielsweise zu den Datenquellen oder zu den Algorithmen hinter der automatisierten Datenverarbeitung und zur Weitergabe an Dritte mit kommerziellen Interessen – erforderlich und dementsprechend bei OpenAI einzuholen. Ein solches Vorgehen ist ein Gebot der Rechtsstaatlichkeit, voreilige Einschätzungen würden der Bedeutung der Fragestellungen nicht ausreichend Rechnung tragen.

In der koordinierten Prüfung werden im ersten Schritt die nötigen Informationen eingeholt und gemeinsam ausgewertet. Zu laufenden Verfahren kann die Landesbeauftragte für Datenschutz und Informationsfreiheit aktuell noch keine datenschutzrechtliche Bewertung vornehmen.