DSGVO & KI-Avatare.

Stimme und Gesicht sind biometrische Daten

Die DSGVO behandelt biometrische Daten, die der eindeutigen Identifizierung dienen, als besondere Kategorie (Art. 9 DSGVO) – mit erhöhten Anforderungen [1]. Der Europäische Datenschutzausschuss (EDPB) hält in seinen Leitlinien zu virtuellen Sprachassistenten ausdrücklich fest, dass Sprachdaten ihrem Wesen nach biometrische personenbezogene Daten sind [2]. Sobald Stimme oder Gesicht zur Identifikation genutzt werden, braucht es in der Regel eine ausdrückliche Einwilligung – freiwillig, spezifisch, informiert.

Schweiz: das revDSG

Das revidierte Schweizer Datenschutzgesetz (revDSG, in Kraft seit September 2023) verfolgt eine ähnliche Logik: Biometrische Daten zur eindeutigen Identifikation gelten als besonders schützenswerte Personendaten und erfordern eine erhöhte Sorgfalt sowie häufig eine Einwilligung [3]. Wer in der DACH-Region einsetzt, sollte beide Regime mitdenken.

Wie sich ein Avatar datenschutzkonform betreiben lässt

• Keine Identifikation per Default: Der Avatar führt ein Gespräch – er muss niemanden biometrisch erkennen. Ohne Identifikationszweck wird die Schwelle des Art. 9 oft gar nicht erst überschritten.
• Hosting nach Wahl: EU-/CH-Hosting, on-prem oder lokal – sensible Daten bleiben in Ihrer Infrastruktur.
• Datenminimierung & Anonymisierung: Nur verarbeiten, was nötig ist; Analytics anonymisiert, auf Wunsch komplett deaktivierbar.
• Transparenz & Einwilligung: Klare Hinweise vor Ort, ausdrückliche Zustimmung, wo erforderlich.
• DSFA: Bei systematischer biometrischer Verarbeitung ist eine Datenschutz-Folgenabschätzung durchzuführen.
• Audit-Logs: Gespräche protokolliert und anonymisiert – für Compliance und Optimierung.