Die DSGVO gilt in \u00d6sterreich unmittelbar. Die Datenschutzbeh\u00f6rde (DSB) hat best\u00e4tigt, dass f\u00fcr sensible Daten in KI-Systemen zus\u00e4tzlich Art. 9 Abs. 2 DSGVO erf\u00fcllt sein muss.<\/li>\n<\/ul>\nWas sind sensible Daten nach Art. 9 DSGVO?<\/h2>\n
Art. 9 Abs. 1 DSGVO erfasst acht abschlie\u00dfend aufgez\u00e4hlte Kategorien: Daten \u00fcber die rassische und ethnische Herkunft, politische Meinungen, religi\u00f6se oder weltanschauliche \u00dcberzeugungen, Gewerkschaftszugeh\u00f6rigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Die Norm konkretisiert ein informationelles Diskriminierungsverbot und steht in engem Bezug zu Art. 21 GRCh (Charta der Grundrechte der Europ\u00e4ischen Union)<\/em>.<\/p>\nDer EuGH legt den Begriff weit aus. Entscheidend ist nicht, ob eine Information eine sensible Eigenschaft ausdr\u00fccklich benennt, sondern ob sich diese Eigenschaft daraus ableiten l\u00e4sst. Mit Urteil vom 01.08.2022 (C-184\/20) hat der EuGH entschieden, dass auch Daten, aus denen mittels \u201egedanklicher Kombination oder Ableitung\u201c auf die sexuelle Orientierung geschlossen werden kann, unter Art. 9 DSGVO fallen. Im Ausgangsfall ging es um die namentliche Nennung des Lebensgef\u00e4hrten in einer \u00f6ffentlichen Erkl\u00e4rung. Der Name ist an sich kein sensibles Datum, l\u00e4sst aber R\u00fcckschl\u00fcsse auf das Geschlecht des Partners und damit auf die sexuelle Orientierung zu.<\/p>\n
Diese Linie hat der EuGH mit Urteil vom 04.10.2024 (C-21\/23, Lindenapotheke) fortgef\u00fchrt. Personenangaben bei Onlinebestellungen apothekenpflichtiger Arzneimittel gelten als Gesundheitsdaten, wenn daraus R\u00fcckschl\u00fcsse auf den Gesundheitszustand m\u00f6glich sind. Diese Einstufung gilt unabh\u00e4ngig davon, ob die Bestellung f\u00fcr den Nutzer selbst oder f\u00fcr eine dritte Person erfolgt. Es gen\u00fcgt, dass aus Name, Lieferadresse und bestelltem Produkt durch gedankliche Kombination auf die Gesundheit geschlossen werden kann.<\/p>\n
F\u00fcr KI-Systeme ist diese Rechtsprechung zentral. Aus Texteingaben, Bildern, Standortdaten oder Nutzungsverhalten lassen sich sensible Merkmale mit hoher Wahrscheinlichkeit ableiten. Der EDSA h\u00e4lt in seiner Stellungnahme 28\/2024 fest, dass die F\u00e4higkeit zum Ableiten von Schlussfolgerungen ein wesentliches Merkmal von KI-Systemen ist. Was der EuGH als \u201egedankliche Kombination\u201c beschreibt, ist bei KI die Kernfunktion.<\/p>\n
Die Sperrwirkung: Warum Art. 6 DSGVO nicht hilft<\/h2>\n
Der wichtigste Mechanismus f\u00fcr die Praxis ist die Sperrwirkung des Art. 9 DSGVO. Art. 9 entfaltet als lex specialis Sperrwirkung gegen\u00fcber Art. 6 Abs. 1 DSGVO. Ein R\u00fcckgriff auf die allgemeinen Rechtm\u00e4\u00dfigkeitstatbest\u00e4nde ist ausgeschlossen, wenn die Ausnahmeregelungen in Art. 9 Abs. 2 und 3 DSGVO nicht einschl\u00e4gig sind. Das gilt auch, wenn sensible und nicht sensible Daten gemeinsam erfasst werden. Der EuGH hat in der Rechtssache C-252\/21 (Meta Platforms\/Bundeskartellamt, Urteil vom 04.07.2023) best\u00e4tigt, dass ein Datensatz insgesamt an Art. 9 DSGVO zu messen ist, sobald er auch nur eine sensible Information enth\u00e4lt.<\/p>\n
F\u00fcr KI-Anbieter bedeutet das: Wer sich auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO st\u00fctzt, muss zuvor sicherstellen, dass keine sensiblen Daten verarbeitet werden. Gelingt das nicht, bleibt in den meisten F\u00e4llen nur die ausdr\u00fcckliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO oder eine technische L\u00f6sung, die den Personenbezug beseitigt.<\/p>\n
Die Entscheidung des LG K\u00f6ln (33 O 120\/24): Snapchat \u201eMy AI\u201c<\/h2>\n
Das Landgericht K\u00f6ln hat diese Grunds\u00e4tze mit Urteil vom 17.09.2026 auf einen KI-Chatbot angewendet. Der Bundesverband der Verbraucherzentralen (vzbv) nahm die Snap Group Limited, eine Tochtergesellschaft der US-amerikanischen Snap Inc. und Vertragspartnerin der deutschen Snapchat-Nutzer, auf Unterlassung in Anspruch. Im Mittelpunkt stand der KI-Chatbot \u201eMy AI\u201c, \u00fcber den Nutzer mit einer k\u00fcnstlichen Intelligenz kommunizieren k\u00f6nnen. Snapchat wies die Nutzer vor der ersten Verwendung darauf hin, dass die im Chat eingegebenen Informationen unter anderem zur Personalisierung von Werbung verwendet werden k\u00f6nnen. Dieser Hinweis musste lediglich mit \u201eok\u201c best\u00e4tigt werden.<\/p>\n
Daneben beanstandete der vzbv die voreingestellten H\u00e4kchen bei den Anzeigenpr\u00e4ferenzen sowie die Vorauswahl der Themen \u201eAlkohol\u201c und \u201eGl\u00fccksspiel\u201c im Nutzerkonto Minderj\u00e4hriger.<\/p>\n
Das Ergebnis<\/h3>\n
Das LG K\u00f6ln gab der Klage in vollem Umfang statt und verurteilte die Beklagte zur Unterlassung sowie zur Zahlung der Abmahnkosten. Der Chatbot verarbeite personenbezogene, teils sensible Daten ohne die nach Art. 9 Abs. 2 DSGVO erforderliche ausdr\u00fcckliche Einwilligung. Die voreingestellten Checkboxen bei den Anzeigenpr\u00e4ferenzen stellten keine wirksame Einwilligung dar. Die Vorauswahl der Werbethemen \u201eAlkohol\u201c und \u201eGl\u00fccksspiel\u201c bei Minderj\u00e4hrigen versto\u00dfe zudem gegen Jugendmedienschutz- und Gl\u00fccksspielrecht.<\/p>\n
Die tragenden Argumente<\/h3>\n
Das Gericht sah den Anwendungsbereich des Art. 9 DSGVO er\u00f6ffnet, weil der Chatbot Nutzer geradezu ermuntere, pers\u00f6nliche \u2013 auch sensible \u2013 Informationen preiszugeben. Zwar werde auf einer Unterseite des \u201ePrivacy and Safety Hub\u201c davon abgeraten, vertrauliche oder sensible Informationen weiterzugeben. Das sei jedoch nur ein unverbindlicher Ratschlag und kein Verbot, den zudem ein Gro\u00dfteil der Nutzer nicht zur Kenntnis nehmen werde. Besonders ins Gewicht fiel, dass sich der Dienst auch an Minderj\u00e4hrige ab 13 Jahren richtet.<\/p>\n
Snap argumentierte, sensible Daten w\u00fcrden nicht absichtlich erhoben, sondern seien \u201eaufgedr\u00e4ngt\u201c. Das Gericht folgte dem nicht. Das Verbot des Art. 9 Abs. 1 DSGVO gilt nach der Rechtsprechung des EuGH unabh\u00e4ngig davon, ob der Verantwortliche gezielt sensible Informationen gewinnen will. Dass Snap die Daten nach eigenem Vortrag nur f\u00fcr \u201ekontextbezogene\u201c statt personalisierte Werbung nutze, \u00fcberzeugte die Kammer nicht. Snap lie\u00df sich in den Servicebestimmungen ausdr\u00fccklich das Recht zur Nutzung f\u00fcr personalisierte Werbung einr\u00e4umen und stellte dies auch in der Datenschutzerkl\u00e4rung so dar.<\/p>\n
Hilfsweise pr\u00fcfte das Gericht Art. 6 DSGVO. Weder liege eine Einwilligung vor noch ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, da Snap den Nutzern die erforderlichen Informationen nicht zum Zeitpunkt der Datenerhebung mitteile. Das Gericht st\u00fctzte sich auf EuGH C-394\/23 (Urteil vom 09.01.2025), wonach die berechtigten Interessen bereits bei der Erhebung mitzuteilen sind.<\/p>\n
Einordnung<\/h3>\n
Das Urteil ist die erste ver\u00f6ffentlichte Entscheidung, die die Sperrwirkung des Art. 9 DSGVO konsequent auf die Nutzung von KI-Chatbots anwendet. Neu ist der Gedanke, dass ein Chatbot, der zur Preisgabe pers\u00f6nlicher Informationen einl\u00e4dt, damit selbst den Anwendungsbereich des Art. 9 DSGVO er\u00f6ffnet. F\u00fcr Anbieter folgt daraus: Entweder sie holen eine ausdr\u00fcckliche Einwilligung ein, oder sie verhindern technisch, dass sensible Eingaben gespeichert und ausgewertet werden.<\/p>\n
Eine andere Konstellation betraf das OLG K\u00f6ln im Verfahren 15 UKl 2\/25 (Urteil vom 23.05.2025). Meta wollte \u00f6ffentliche Beitr\u00e4ge erwachsener Facebook- und Instagram-Nutzer f\u00fcr das Training seiner Sprachmodelle nutzen. Das OLG K\u00f6ln erkannte an, dass der Trainingsdatensatz auch personenbezogene Daten Dritter und sensible Daten nach Art. 9 DSGVO umfasst. Als Rechtfertigungstatbestand zog das Gericht Art. 9 Abs. 2 lit. e DSGVO heran: Sensible Daten d\u00fcrfen verarbeitet werden, wenn die betroffene Person sie \u201eoffensichtlich \u00f6ffentlich gemacht\u201c hat. Das greife aber nur f\u00fcr Daten, die der betroffene Nutzer selbst \u00f6ffentlich eingestellt hat.<\/p>\n
Der Eilantrag der Verbraucherzentrale NRW blieb ohne Erfolg. Die Entscheidung zeigt aber die Grenzen: Die Ausnahme des Art. 9 Abs. 2 lit. e DSGVO gilt nur f\u00fcr Daten, die die betroffene Person selbst bewusst ver\u00f6ffentlicht hat. Der EuGH verlangt daf\u00fcr, dass die betroffene Person die Daten ausdr\u00fccklich und durch eine eindeutige best\u00e4tigende Handlung der Allgemeinheit zug\u00e4nglich machen wollte. F\u00fcr sensible Daten Dritter, f\u00fcr private Chats und f\u00fcr Eingaben in Chatbots tr\u00e4gt diese Ausnahme nicht.<\/p>\n
Was sagen die Aufsichtsbeh\u00f6rden?<\/h2>\nEDSA-Stellungnahme 28\/2024<\/h3>\n
Der Europ\u00e4ische Datenschutzausschuss hat am 17.12.2024 seine Stellungnahme 28\/2024 zu KI-Modellen ver\u00f6ffentlicht. Sie klammert die Verarbeitung besonderer Kategorien personenbezogener Daten ausdr\u00fccklich aus, hebt sie aber als Schl\u00fcsselbereich hervor, den Entwickler und Betreiber ber\u00fccksichtigen m\u00fcssen. Der EDSA weist zudem darauf hin, dass mit personenbezogenen Daten trainierte KI-Modelle nicht ohne Weiteres als anonym gelten k\u00f6nnen. Auch nach Abschluss des Trainings kann ein Modell also sensible Daten enthalten und wiedergeben.<\/p>\n
Deutsche Datenschutzkonferenz und LfDI Baden-W\u00fcrttemberg<\/h3>\n
Die DSK betont in ihrer Orientierungshilfe vom 06.05.2024, dass sowohl bei der Eingabe als auch bei der Verarbeitung und der Ausgabe besonders gesch\u00fctzter Daten zu pr\u00fcfen ist, ob eine Ausnahme des Art. 9 Abs. 2 DSGVO erf\u00fcllt ist. F\u00fcr den medizinischen Bereich h\u00e4lt die DSK fest, dass eine informierte ausdr\u00fcckliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Betracht kommt, der Informationen \u00fcber die spezifische Funktionsweise der KI-Anwendung vorausgehen m\u00fcssen. Der LfDI Baden-W\u00fcrttemberg sieht die Rechtsgrundlage der lebenswichtigen Interessen nur f\u00fcr den Einsatz von KI in Notsituationen f\u00fcr kurzfristige Ma\u00dfnahmen zum Schutz lebenswichtiger Interessen der betroffenen Person als anwendbar.<\/p>\n
Die \u00f6sterreichische Datenschutzbeh\u00f6rde<\/h3>\n
Die DSB hat in ihrem Informationspapier zum Verh\u00e4ltnis zwischen DSGVO und KI-VO festgehalten: Soweit personenbezogene Daten bei der (Weiter-)Entwicklung und dem Einsatz von KI-Systemen verarbeitet werden, muss zumindest ein Rechtfertigungstatbestand des Art. 6 Abs. 1 DSGVO vorliegen. Soweit besondere Kategorien personenbezogener Daten verarbeitet werden, m\u00fcssen zus\u00e4tzlich die Voraussetzungen des Art. 9 Abs. 2 DSGVO eingehalten werden. Zugleich stellt die DSB klar, dass die DSGVO der Entwicklung neuer Technologien nicht entgegensteht, da Art. 5 und Art. 6 Abs. 1 DSGVO ausreichend M\u00f6glichkeiten bieten, neue Technologien in \u00dcbereinstimmung mit der DSGVO zu entwickeln und zu betreiben.<\/p>\n
Die KI-Verordnung: Verbote und eine neue Erlaubnis<\/h2>\n
Die KI-Verordnung (VO (EU) 2024\/1689) ersetzt die DSGVO nicht. Gem\u00e4\u00df Art. 2 Abs. 7 KI-VO bleibt die DSGVO uneingeschr\u00e4nkt anwendbar. Sie erg\u00e4nzt den Schutz sensibler Daten aber in zwei Richtungen.<\/p>\n
Verbotene Praktiken (Art. 5 KI-VO)<\/h3>\n
Seit 02.02.2025 sind die absoluten Verbote des Art. 5 KI-VO anwendbar, die Bu\u00dfgeldregeln seit 02.08.2025. Zwei dieser Verbote betreffen unmittelbar sensible Daten:<\/p>\n
\n- Emotionserkennung (Art. 5 Abs. 1 lit. f KI-VO):<\/strong> Verboten ist die Verwendung von KI-Systemen zur Ableitung von Emotionen einer nat\u00fcrlichen Person am Arbeitsplatz und in Bildungseinrichtungen, es sei denn, das System wird aus medizinischen Gr\u00fcnden oder Sicherheitsgr\u00fcnden eingesetzt. Der Grund liegt im besonderen Machtungleichgewicht in diesen Kontexten. Au\u00dferhalb von Arbeitsplatz und Bildung ist Emotionserkennung nicht verboten, gilt aber als Hochrisiko-KI. Die Feststellung physischer Zust\u00e4nde wie M\u00fcdigkeit z\u00e4hlt nach den Kommissionsleitlinien nicht zur Emotionserkennung.<\/li>\n
- Biometrische Kategorisierung (Art. 5 Abs. 1 lit. g KI-VO):<\/strong> Verboten sind Systeme, die nat\u00fcrliche Personen auf Grundlage ihrer biometrischen Daten kategorisieren, um ihre Rasse, politischen Einstellungen, Gewerkschaftszugeh\u00f6rigkeit, religi\u00f6sen oder weltanschaulichen \u00dcberzeugungen, ihr Sexualleben oder ihre sexuelle Ausrichtung zu erschlie\u00dfen. Das Verbot gilt nicht f\u00fcr die Kennzeichnung oder Filterung rechtm\u00e4\u00dfig erworbener biometrischer Datens\u00e4tze.<\/li>\n<\/ul>\n
Bei diesen Verboten hilft auch eine Einwilligung nicht. Sie gelten f\u00fcr Anbieter und Betreiber gleicherma\u00dfen. Verst\u00f6\u00dfe kosten bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag h\u00f6her ist. Die Europ\u00e4ische Kommission hat im Februar 2025 Leitlinien zu den verbotenen Praktiken ver\u00f6ffentlicht.<\/p>\n
Bias-Erkennung (Art. 4a KI-VO)<\/h3>\n
Die Digital-Omnibus-Verordnung zur KI (VO (EU) 2026\/1744) wurde am 24.07.2026 im Amtsblatt der EU verk\u00fcndet und trat am 27.07.2026 in Kraft. Der bisherige Art. 10 Abs. 5 KI-VO wurde gestrichen und durch einen eigenst\u00e4ndigen Art. 4a ersetzt. Neu ist vor allem die Erweiterung des Anwenderkreises: Die Rechtsgrundlage steht nicht nur Anbietern von Hochrisiko-KI zu, sondern nach Art. 4a Abs. 2 auch Betreibern von Hochrisiko-KI-Systemen sowie Anbietern und Betreibern sonstiger KI-Systeme und -Modelle, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist.<\/p>\n
Die Erlaubnis ist an strenge Bedingungen gekn\u00fcpft. Sie setzt voraus, dass die Erkennung und Korrektur von Verzerrungen durch die Verarbeitung anderer Daten, einschlie\u00dflich synthetischer oder anonymisierter Daten, nicht effektiv durchgef\u00fchrt werden kann. Erforderlich sind ferner Pseudonymisierung, strenge Zugriffskontrollen, ein \u00dcbermittlungsverbot an Dritte, eine L\u00f6schpflicht nach Korrektur der Verzerrung und eine dokumentierte Begr\u00fcndung im Verarbeitungsverzeichnis. Art. 4a KI-VO ist damit ein eng begrenztes Instrument f\u00fcr konkrete und dokumentierte Bias-Pr\u00fcfungen. Eine pauschale Erlaubnis zur vorsorglichen Sammlung sensibler Daten l\u00e4sst sich daraus nicht ableiten.<\/p>\n
Ausblick: Der DSGVO-Omnibus<\/h2>\n
Die Europ\u00e4ische Kommission hat am 19.11.2025 auch \u00c4nderungen der DSGVO vorgeschlagen. Die Verarbeitung personenbezogener Daten f\u00fcr die Entwicklung und den Betrieb von KI-Systemen soll nach dem Entwurf als berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO gelten k\u00f6nnen. Eine neue Ausnahme in Art. 9 Abs. 2 lit. k DSGVO-E soll die \u201eresiduale\u201c Verarbeitung sensibler Daten bei Entwicklung und Betrieb eines KI-Systems erlauben. Zudem sollen die besonderen Kategorien des Art. 9 DSGVO enger definiert werden: Gesch\u00fctzt w\u00e4ren nur Daten, die sensible Informationen direkt offenbaren.<\/p>\n
Diese Vorschl\u00e4ge sind umstritten. Sie stehen im Widerspruch zur Rechtsprechung des EuGH, der eine weite Definition sensibler Daten best\u00e4tigt und ausdr\u00fccklich festgehalten hat, dass auch abgeleitete Informationen unter Art. 9 DSGVO fallen. Bis zu einer Verabschiedung gilt die DSGVO in ihrer aktuellen Fassung. Unternehmen sollten ihre Compliance nicht auf eine m\u00f6gliche k\u00fcnftige Lockerung st\u00fctzen.<\/p>\n
Was Unternehmen in \u00d6sterreich jetzt pr\u00fcfen m\u00fcssen<\/h2>\n
Die Rechtslage l\u00e4sst sich auf drei Ebenen zusammenfassen: Eingabe, Verarbeitung und Ausgabe.<\/p>\n
Bei der Eingabe:<\/strong> Wo Nutzer Freitext eingeben k\u00f6nnen, ist mit sensiblen Daten zu rechnen. Wer sie nicht verarbeiten will, muss das technisch sicherstellen, etwa durch Filter, die sensible Inhalte erkennen und nicht speichern. Ein Hinweis in den Nutzungsbedingungen gen\u00fcgt nicht.<\/p>\nBei der Verarbeitung:<\/strong> Werden Chatverl\u00e4ufe gespeichert, an Modellanbieter \u00fcbermittelt, f\u00fcr Training oder Werbung ausgewertet, ist f\u00fcr sensible Daten eine ausdr\u00fcckliche Einwilligung erforderlich. Diese muss aktiv erteilt werden. Voreingestellte Checkboxen und Best\u00e4tigungsklicks auf Hinweistexte reichen nicht.<\/p>\nBei der Ausgabe:<\/strong> Auch das Ableiten oder Erzeugen sensibler Aussagen durch das KI-System ist eine Verarbeitung. Wer aus Kundendaten Gesundheitsrisiken oder politische Neigungen prognostiziert, verarbeitet sensible Daten, selbst wenn die Eingabedaten unverf\u00e4nglich waren.<\/p>\nDar\u00fcber hinaus gilt:<\/p>\n
\n- F\u00fcr KI-Anwendungen mit sensiblen Daten ist regelm\u00e4\u00dfig eine Datenschutz-Folgenabsch\u00e4tzung nach Art. 35 DSGVO erforderlich.<\/li>\n
- Bei Daten\u00fcbermittlungen an Anbieter au\u00dferhalb der EU sind die Vorgaben der Art. 44 ff. DSGVO einzuhalten.<\/li>\n
- Die Verwendung vorhandener Bestandsdaten f\u00fcr neue KI-Zwecke ist eine Zweck\u00e4nderung, die gesondert zu pr\u00fcfen ist.<\/li>\n
- Verst\u00f6\u00dfe gegen Art. 9 DSGVO k\u00f6nnen mit Geldbu\u00dfen von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden.<\/li>\n<\/ul>\n
Rechtsschutz f\u00fcr Betroffene<\/h2>\n
Betroffene, deren sensible Daten von einem KI-System ohne Rechtsgrundlage verarbeitet wurden, k\u00f6nnen Auskunft nach Art. 15 DSGVO verlangen, L\u00f6schung nach Art. 17 DSGVO fordern, Beschwerde bei der Datenschutzbeh\u00f6rde erheben und Schadenersatz nach Art. 82 DSGVO geltend machen.<\/p>\n
Daneben er\u00f6ffnet die EuGH-Rechtsprechung einen weiteren Weg: In der Rechtssache Lindenapotheke hat der EuGH best\u00e4tigt, dass Mitgliedstaaten wettbewerbsrechtlich begr\u00fcndete Konkurrentenklagen wegen DSGVO-Verst\u00f6\u00dfen zulassen k\u00f6nnen. Mitbewerber k\u00f6nnen einen Versto\u00df gegen Datenschutzvorschriften als unlautere Gesch\u00e4ftspraxis gerichtlich beanstanden. F\u00fcr \u00d6sterreich bedeutet das: Wer KI-Systeme unter Versto\u00df gegen Art. 9 DSGVO betreibt, riskiert nicht nur Verfahren vor der DSB, sondern auch Unterlassungsklagen von Konkurrenten nach dem UWG sowie Verbandsklagen qualifizierter Einrichtungen.<\/p>\n
Ihr n\u00e4chster Schritt<\/h2>\n
Ob ein KI-System sensible Daten verarbeitet, entscheidet \u00fcber Rechtsgrundlage, Dokumentationsaufwand und Haftungsrisiko. Die auf IT-Recht und Datenschutz spezialisierten Rechtsanw\u00e4lt:innen von ATB.LAW pr\u00fcfen Ihre KI-Anwendung auf DSGVO- und KI-VO-Konformit\u00e4t, gestalten Einwilligungen und Datenschutz-Folgenabsch\u00e4tzungen und vertreten Betroffene bei Auskunfts-, L\u00f6schungs- und Schadenersatzanspr\u00fcchen.<\/p>\n
Schreiben Sie uns an: Dr. Stefan Knotzer LL.M. (knotzer@atb.law<\/a>) \/ Mag. Roman Taudes, LL.M. (taudes@atb.law<\/a>)<\/p>\n <\/p>\n
\nFAQ:<\/h2>\n\n\n
Fallen unbeabsichtigt erhaltene sensible Daten unter Art. 9 DSGVO?<\/strong> Ja. Das Verbot des Art. 9 Abs. 1 DSGVO gilt nach der Rechtsprechung des EuGH unabh\u00e4ngig davon, ob der Verantwortliche gezielt sensible Informationen gewinnen will. Das LG K\u00f6ln hat dies f\u00fcr KI-Chatbots best\u00e4tigt.<\/p> <\/div>
Reicht ein berechtigtes Interesse f\u00fcr die Verarbeitung sensibler Daten durch KI?<\/strong> Nein. Art. 9 DSGVO sperrt den R\u00fcckgriff auf Art. 6 DSGVO. Bei sensiblen Daten muss ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO vorliegen, in der Praxis meist die ausdr\u00fcckliche Einwilligung.<\/p> <\/div>
Was hat das LG K\u00f6ln zu Snapchat \u201eMy AI“ entschieden?<\/strong> Das LG K\u00f6ln (Urteil vom 17.09.2026, 33 O 120\/24) hat Snap untersagt, \u00fcber den Chatbot sensible Daten ohne ausdr\u00fcckliche Einwilligung zu verarbeiten. Ein Warnhinweis auf einer Unterseite und ein per \u201eok“ zu best\u00e4tigender Hinweistext gen\u00fcgten nicht. Das Urteil ist nicht rechtskr\u00e4ftig.<\/p> <\/div>
D\u00fcrfen sensible Daten f\u00fcr die Bias-Korrektur von KI-Systemen verwendet werden?<\/strong> Ja, aber nur unter den engen Voraussetzungen des Art. 4a KI-VO: Die Korrektur darf nicht mit synthetischen oder anonymisierten Daten m\u00f6glich sein, die Daten m\u00fcssen pseudonymisiert, gesichert und nach Abschluss gel\u00f6scht werden, und die Notwendigkeit ist zu dokumentieren.<\/p> <\/div>
Gilt die deutsche Rechtsprechung auch in \u00d6sterreich?<\/strong> Deutsche Urteile binden \u00f6sterreichische Gerichte nicht. Die Argumentation beruht aber auf der DSGVO und der EuGH-Rechtsprechung, die in \u00d6sterreich unmittelbar gelten. Die \u00f6sterreichische Datenschutzbeh\u00f6rde vertritt dieselbe Linie.<\/p> <\/div>
\u00c4ndert der Digital Omnibus die Regeln f\u00fcr sensible Daten?<\/strong> Die KI-VO wurde bereits ge\u00e4ndert (Art. 4a KI-VO). Die vorgeschlagenen \u00c4nderungen der DSGVO, darunter eine engere Definition sensibler Daten und eine neue KI-Ausnahme in Art. 9 Abs. 2, sind noch nicht in Kraft.<\/p> <\/div> <\/div>\n\n\n\n
<\/p>\n","protected":false},"template":"","categories":[29],"class_list":["post-9341","blog-post","type-blog-post","status-publish","has-post-thumbnail","hentry","category-datenschutz-und-ki"],"acf":[],"post-kategorie":"29","_post-kategorie":"field_66d947537140a","post-kurzbeschreibung":"Was Art. 9 DSGVO f\u00fcr Chatbots, KI-Training und Unternehmen bedeutet","_post-kurzbeschreibung":"field_66d949fe1efe2","post-beitragsbild":"9342","_post-beitragsbild":"field_66d94a4a1efe3","post-author_post-author-name":"Roman Taudes","_post-author_post-author-name":"field_66d94a801efe5","post-author_post-author-foto":"5985","_post-author_post-author-foto":"field_66d94aa11efe6","post-author":"","_post-author":"field_66d94ee2827ca","yoast_head":"\n
KI und sensible Daten: Was Art. 9 DSGVO f\u00fcr Chatbots, Training und Unternehmen bedeutet<\/title>\n<meta name=\"description\" content=\"KI-Systeme verarbeiten oft Gesundheitsdaten, politische Meinungen oder sexuelle Orientierung \u2013 auch unbeabsichtigt. Was Art. 9 DSGVO verlangt, was das LG K\u00f6ln (33 O 120\/24) entschieden hat und was Unternehmen in \u00d6sterreich jetzt pr\u00fcfen m\u00fcssen.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/atb.law\/en\/blog-post\/gdpr-article-9-special-categories-of-personal-data\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"KI und sensible Daten: Was Art. 9 DSGVO f\u00fcr Chatbots, Training und Unternehmen bedeutet\" \/>\n<meta property=\"og:description\" content=\"KI-Systeme verarbeiten oft Gesundheitsdaten, politische Meinungen oder sexuelle Orientierung \u2013 auch unbeabsichtigt. Was Art. 9 DSGVO verlangt, was das LG K\u00f6ln (33 O 120\/24) entschieden hat und was Unternehmen in \u00d6sterreich jetzt pr\u00fcfen m\u00fcssen.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/atb.law\/en\/blog-post\/gdpr-article-9-special-categories-of-personal-data\/\" \/>\n<meta property=\"og:site_name\" content=\"ATB.LAW\" \/>\n<meta property=\"article:modified_time\" content=\"2026-09-25T06:19:05+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/atb.law\/wp-content\/uploads\/2026\/09\/ChatGPT-Image-25.-Sept.-2026-08_15_34.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1672\" \/>\n\t<meta property=\"og:image:height\" content=\"941\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data1\" content=\"15 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":[\"WebPage\",\"FAQPage\"],\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/\",\"url\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/\",\"name\":\"KI und sensible Daten: Was Art. 9 DSGVO f\u00fcr Chatbots, Training und Unternehmen bedeutet\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/atb.law\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/atb.law\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/ChatGPT-Image-25.-Sept.-2026-08_15_34.png\",\"datePublished\":\"2026-09-25T06:19:02+00:00\",\"dateModified\":\"2026-09-25T06:19:05+00:00\",\"description\":\"KI-Systeme verarbeiten oft Gesundheitsdaten, politische Meinungen oder sexuelle Orientierung \u2013 auch unbeabsichtigt. Was Art. 9 DSGVO verlangt, was das LG K\u00f6ln (33 O 120\\\/24) entschieden hat und was Unternehmen in \u00d6sterreich jetzt pr\u00fcfen m\u00fcssen.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#breadcrumb\"},\"mainEntity\":[{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784671896470\"},{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784671994377\"},{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784672026833\"},{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1786891091014\"},{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1786891113107\"},{\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1787051113761\"}],\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#primaryimage\",\"url\":\"https:\\\/\\\/atb.law\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/ChatGPT-Image-25.-Sept.-2026-08_15_34.png\",\"contentUrl\":\"https:\\\/\\\/atb.law\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/ChatGPT-Image-25.-Sept.-2026-08_15_34.png\",\"width\":1672,\"height\":941},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/atb.law\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"K\u00fcnstliche Intelligenz (KI) und sensible Daten\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/atb.law\\\/#website\",\"url\":\"https:\\\/\\\/atb.law\\\/\",\"name\":\"atb Rechtsanw\u00e4lte\",\"description\":\"Rechtsanwaltskanzlei in Wien\",\"publisher\":{\"@id\":\"https:\\\/\\\/atb.law\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/atb.law\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/atb.law\\\/#organization\",\"name\":\"atb Rechtsanw\u00e4lte\",\"url\":\"https:\\\/\\\/atb.law\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/atb.law\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/atb.law\\\/wp-content\\\/uploads\\\/2024\\\/05\\\/ATB_Rechtsanwaelte_site-logo-beige.png\",\"contentUrl\":\"https:\\\/\\\/atb.law\\\/wp-content\\\/uploads\\\/2024\\\/05\\\/ATB_Rechtsanwaelte_site-logo-beige.png\",\"width\":1572,\"height\":1110,\"caption\":\"atb Rechtsanw\u00e4lte\"},\"image\":{\"@id\":\"https:\\\/\\\/atb.law\\\/#\\\/schema\\\/logo\\\/image\\\/\"}},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784671896470\",\"position\":1,\"url\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784671896470\",\"name\":\"Fallen unbeabsichtigt erhaltene sensible Daten unter Art. 9 DSGVO?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Ja. Das Verbot des Art. 9 Abs. 1 DSGVO gilt nach der Rechtsprechung des EuGH unabh\u00e4ngig davon, ob der Verantwortliche gezielt sensible Informationen gewinnen will. Das LG K\u00f6ln hat dies f\u00fcr KI-Chatbots best\u00e4tigt.\",\"inLanguage\":\"en-US\"},\"inLanguage\":\"en-US\"},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784671994377\",\"position\":2,\"url\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784671994377\",\"name\":\"Reicht ein berechtigtes Interesse f\u00fcr die Verarbeitung sensibler Daten durch KI?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Nein. Art. 9 DSGVO sperrt den R\u00fcckgriff auf Art. 6 DSGVO. Bei sensiblen Daten muss ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO vorliegen, in der Praxis meist die ausdr\u00fcckliche Einwilligung.\",\"inLanguage\":\"en-US\"},\"inLanguage\":\"en-US\"},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784672026833\",\"position\":3,\"url\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1784672026833\",\"name\":\"Was hat das LG K\u00f6ln zu Snapchat \u201eMy AI\\\" entschieden?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Das LG K\u00f6ln (Urteil vom 17.09.2026, 33 O 120\\\/24) hat Snap untersagt, \u00fcber den Chatbot sensible Daten ohne ausdr\u00fcckliche Einwilligung zu verarbeiten. Ein Warnhinweis auf einer Unterseite und ein per \u201eok\\\" zu best\u00e4tigender Hinweistext gen\u00fcgten nicht. Das Urteil ist nicht rechtskr\u00e4ftig.\",\"inLanguage\":\"en-US\"},\"inLanguage\":\"en-US\"},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1786891091014\",\"position\":4,\"url\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1786891091014\",\"name\":\"D\u00fcrfen sensible Daten f\u00fcr die Bias-Korrektur von KI-Systemen verwendet werden?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Ja, aber nur unter den engen Voraussetzungen des Art. 4a KI-VO: Die Korrektur darf nicht mit synthetischen oder anonymisierten Daten m\u00f6glich sein, die Daten m\u00fcssen pseudonymisiert, gesichert und nach Abschluss gel\u00f6scht werden, und die Notwendigkeit ist zu dokumentieren.\",\"inLanguage\":\"en-US\"},\"inLanguage\":\"en-US\"},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1786891113107\",\"position\":5,\"url\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1786891113107\",\"name\":\"Gilt die deutsche Rechtsprechung auch in \u00d6sterreich?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Deutsche Urteile binden \u00f6sterreichische Gerichte nicht. Die Argumentation beruht aber auf der DSGVO und der EuGH-Rechtsprechung, die in \u00d6sterreich unmittelbar gelten. Die \u00f6sterreichische Datenschutzbeh\u00f6rde vertritt dieselbe Linie.\",\"inLanguage\":\"en-US\"},\"inLanguage\":\"en-US\"},{\"@type\":\"Question\",\"@id\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1787051113761\",\"position\":6,\"url\":\"https:\\\/\\\/atb.law\\\/blog-post\\\/ki-sensible-daten-art-9-dsgvo\\\/#faq-question-1787051113761\",\"name\":\"\u00c4ndert der Digital Omnibus die Regeln f\u00fcr sensible Daten?\",\"answerCount\":1,\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Die KI-VO wurde bereits ge\u00e4ndert (Art. 4a KI-VO). Die vorgeschlagenen \u00c4nderungen der DSGVO, darunter eine engere Definition sensibler Daten und eine neue KI-Ausnahme in Art. 9 Abs. 2, sind noch nicht in Kraft.\",\"inLanguage\":\"en-US\"},\"inLanguage\":\"en-US\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"AI and Sensitive Data: What Article 9 GDPR Means for Chatbots, Training, and Businesses","description":"AI systems often process health data, political opinions, or sexual orientation\u2014even unintentionally. What Art. 9 GDPR requires, what the Cologne Regional Court (33 O 120\/24) decided, and what companies in Austria must now examine.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/atb.law\/en\/blog-post\/gdpr-article-9-special-categories-of-personal-data\/","og_locale":"en_US","og_type":"article","og_title":"KI und sensible Daten: Was Art. 9 DSGVO f\u00fcr Chatbots, Training und Unternehmen bedeutet","og_description":"KI-Systeme verarbeiten oft Gesundheitsdaten, politische Meinungen oder sexuelle Orientierung \u2013 auch unbeabsichtigt. Was Art. 9 DSGVO verlangt, was das LG K\u00f6ln (33 O 120\/24) entschieden hat und was Unternehmen in \u00d6sterreich jetzt pr\u00fcfen m\u00fcssen.","og_url":"https:\/\/atb.law\/en\/blog-post\/gdpr-article-9-special-categories-of-personal-data\/","og_site_name":"ATB.LAW","article_modified_time":"2026-09-25T06:19:05+00:00","og_image":[{"width":1672,"height":941,"url":"https:\/\/atb.law\/wp-content\/uploads\/2026\/09\/ChatGPT-Image-25.-Sept.-2026-08_15_34.png","type":"image\/png"}],"twitter_card":"summary_large_image","twitter_misc":{"Est. reading time":"15 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":["WebPage","FAQPage"],"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/","url":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/","name":"AI and Sensitive Data: What Article 9 GDPR Means for Chatbots, Training, and Businesses","isPartOf":{"@id":"https:\/\/atb.law\/#website"},"primaryImageOfPage":{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#primaryimage"},"image":{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#primaryimage"},"thumbnailUrl":"https:\/\/atb.law\/wp-content\/uploads\/2026\/09\/ChatGPT-Image-25.-Sept.-2026-08_15_34.png","datePublished":"2026-09-25T06:19:02+00:00","dateModified":"2026-09-25T06:19:05+00:00","description":"AI systems often process health data, political opinions, or sexual orientation\u2014even unintentionally. What Art. 9 GDPR requires, what the Cologne Regional Court (33 O 120\/24) decided, and what companies in Austria must now examine.","breadcrumb":{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#breadcrumb"},"mainEntity":[{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784671896470"},{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784671994377"},{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784672026833"},{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1786891091014"},{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1786891113107"},{"@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1787051113761"}],"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/"]}]},{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#primaryimage","url":"https:\/\/atb.law\/wp-content\/uploads\/2026\/09\/ChatGPT-Image-25.-Sept.-2026-08_15_34.png","contentUrl":"https:\/\/atb.law\/wp-content\/uploads\/2026\/09\/ChatGPT-Image-25.-Sept.-2026-08_15_34.png","width":1672,"height":941},{"@type":"BreadcrumbList","@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/atb.law\/"},{"@type":"ListItem","position":2,"name":"K\u00fcnstliche Intelligenz (KI) und sensible Daten"}]},{"@type":"WebSite","@id":"https:\/\/atb.law\/#website","url":"https:\/\/atb.law\/","name":"atb Attorneys at Law","description":"Law firm in Vienna","publisher":{"@id":"https:\/\/atb.law\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/atb.law\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/atb.law\/#organization","name":"atb Attorneys at Law","url":"https:\/\/atb.law\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/atb.law\/#\/schema\/logo\/image\/","url":"https:\/\/atb.law\/wp-content\/uploads\/2024\/05\/ATB_Rechtsanwaelte_site-logo-beige.png","contentUrl":"https:\/\/atb.law\/wp-content\/uploads\/2024\/05\/ATB_Rechtsanwaelte_site-logo-beige.png","width":1572,"height":1110,"caption":"atb Rechtsanw\u00e4lte"},"image":{"@id":"https:\/\/atb.law\/#\/schema\/logo\/image\/"}},{"@type":"Question","@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784671896470","position":1,"url":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784671896470","name":"Do unintentionally received sensitive data fall under Article 9 GDPR?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"Ja. Das Verbot des Art. 9 Abs. 1 DSGVO gilt nach der Rechtsprechung des EuGH unabh\u00e4ngig davon, ob der Verantwortliche gezielt sensible Informationen gewinnen will. Das LG K\u00f6ln hat dies f\u00fcr KI-Chatbots best\u00e4tigt.","inLanguage":"en-US"},"inLanguage":"en-US"},{"@type":"Question","@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784671994377","position":2,"url":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784671994377","name":"Is a legitimate interest sufficient for the processing of sensitive data by AI?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"Nein. Art. 9 DSGVO sperrt den R\u00fcckgriff auf Art. 6 DSGVO. Bei sensiblen Daten muss ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO vorliegen, in der Praxis meist die ausdr\u00fcckliche Einwilligung.","inLanguage":"en-US"},"inLanguage":"en-US"},{"@type":"Question","@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784672026833","position":3,"url":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1784672026833","name":"What did the Cologne Regional Court decide regarding Snapchat \u201eMy AI\"?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"Das LG K\u00f6ln (Urteil vom 17.09.2026, 33 O 120\/24) hat Snap untersagt, \u00fcber den Chatbot sensible Daten ohne ausdr\u00fcckliche Einwilligung zu verarbeiten. Ein Warnhinweis auf einer Unterseite und ein per \u201eok\" zu best\u00e4tigender Hinweistext gen\u00fcgten nicht. Das Urteil ist nicht rechtskr\u00e4ftig.","inLanguage":"en-US"},"inLanguage":"en-US"},{"@type":"Question","@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1786891091014","position":4,"url":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1786891091014","name":"May sensitive data be used for bias correction of AI systems?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"Ja, aber nur unter den engen Voraussetzungen des Art. 4a KI-VO: Die Korrektur darf nicht mit synthetischen oder anonymisierten Daten m\u00f6glich sein, die Daten m\u00fcssen pseudonymisiert, gesichert und nach Abschluss gel\u00f6scht werden, und die Notwendigkeit ist zu dokumentieren.","inLanguage":"en-US"},"inLanguage":"en-US"},{"@type":"Question","@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1786891113107","position":5,"url":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1786891113107","name":"Does German case law also apply in Austria?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"Deutsche Urteile binden \u00f6sterreichische Gerichte nicht. Die Argumentation beruht aber auf der DSGVO und der EuGH-Rechtsprechung, die in \u00d6sterreich unmittelbar gelten. Die \u00f6sterreichische Datenschutzbeh\u00f6rde vertritt dieselbe Linie.","inLanguage":"en-US"},"inLanguage":"en-US"},{"@type":"Question","@id":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1787051113761","position":6,"url":"https:\/\/atb.law\/blog-post\/ki-sensible-daten-art-9-dsgvo\/#faq-question-1787051113761","name":"Does the Digital Omnibus change the rules for sensitive data?","answerCount":1,"acceptedAnswer":{"@type":"Answer","text":"Die KI-VO wurde bereits ge\u00e4ndert (Art. 4a KI-VO). Die vorgeschlagenen \u00c4nderungen der DSGVO, darunter eine engere Definition sensibler Daten und eine neue KI-Ausnahme in Art. 9 Abs. 2, sind noch nicht in Kraft.","inLanguage":"en-US"},"inLanguage":"en-US"}]}},"_links":{"self":[{"href":"https:\/\/atb.law\/en\/wp-json\/wp\/v2\/blog-post\/9341","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atb.law\/en\/wp-json\/wp\/v2\/blog-post"}],"about":[{"href":"https:\/\/atb.law\/en\/wp-json\/wp\/v2\/types\/blog-post"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atb.law\/en\/wp-json\/wp\/v2\/media\/9342"}],"wp:attachment":[{"href":"https:\/\/atb.law\/en\/wp-json\/wp\/v2\/media?parent=9341"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atb.law\/en\/wp-json\/wp\/v2\/categories?post=9341"}],"curies":[{"name":"Well played","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}