Transparenz- und Anonymisierungsmängel bei KI-gestütztem Inkasso

Im Jahresbericht 2025 schildert die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) die Ergebnisse einer Vor-Ort-Prüfung bei einem Inkassounternehmen, das Schuldnerdaten mittels KI und Verhaltensforschung analysiert, um Ansprachekanal, Tonalität und Kontaktzeitpunkt zu optimieren. Über die reine Forderungseinziehung hinaus wurden die Daten zudem zum Training und zur Optimierung der eingesetzten KI-Modelle verwendet. Hierbei stellte die Behörde mehrere DS-GVO-Verstöße fest, die exemplarisch für Risiken beim Einsatz von KI in datenintensiven Geschäftsprozessen stehen.

Transparenzdefizit bei Zweckänderung

Da die Schuldnerdaten nicht bei den Betroffenen selbst erhoben wurden, richtete sich die Informationspflicht nach Art. 14 DS-GVO. Der mit der ersten Zahlungsaufforderung versandte Datenschutzhinweis enthielt jedoch keinen Hinweis auf die zweckändernde Weiterverarbeitung zu KI-Trainingszwecken; dieser fand sich erst in der verlinkten Website-Datenschutzerklärung. Nach Auffassung der BlnBDI genügt dies nicht den Anforderungen an Mehrebenen-Datenschutzhinweise: Wesentliche, für Betroffene nicht ohne Weiteres erwartbare Verarbeitungszwecke müssen bereits auf der ersten Informationsebene, hier: im ursprünglichen Schreiben, benannt werden, insbesondere da keine Kundenbeziehung zum Unternehmen bestand.

Vermeintliche Anonymisierung als Scheinlösung

Besondere praktische Relevanz hat der technische Befund der Prüfung: Das Unternehmen hatte in der Analyseumgebung direkte Identifikatoren wie Namen, Adressen, Aktenzeichen und IBAN gelöscht und die Daten als anonym eingestuft. Die technische Prüfung der BlnBDI ergab jedoch, dass eine Re-Identifizierung eines Großteils der Betroffenen weiterhin möglich war – über gespeicherte Hash-Werte von Namen, Adressen und Geburtsdaten sowie über Informationen aus aufbewahrungspflichtigen Geschäftsbriefen. Der Fall verdeutlicht, dass das Entfernen offensichtlicher Identifikatoren allein keine wirksame Anonymisierung im Sinne der DS-GVO begründet, solange eine Re-Identifizierung mit vertretbarem Aufwand möglich bleibt.

Auswirkungen auf die Interessenabwägung

Die BlnBDI stellte zudem klar, dass ein bestehendes Transparenzdefizit auch die Berufung auf ein überwiegendes berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DS-GVO gefährden kann: Fehlen wesentliche Informationen bereits auf erster Ebene, können Betroffene ihr Widerspruchsrecht faktisch nicht ausüben. Dies ist im Rahmen der Interessenabwägung zu berücksichtigen. Die Behörde gibt an, die festgestellten Verstöße aufgrund der hohen Zahl betroffener Personen zur Prüfung eines Bußgeldverfahrens an ihre Sanktionsstelle abzugeben.

(Foto: magele – stock.adobe.com)