Personenbezogene Daten in lizenzierten Trainingskorpora

Ein Archiv, mit dem ein Unternehmen wirklich gearbeitet hat, enthält Menschen: Namen in Signaturen, Adressen in Rechnungen, einen Sachbearbeiter in einer Aktennotiz. Ob das Korpus, das ein Käufer erhält, noch unter die DSGVO fällt, entscheidet sich vor der Lieferung, nicht danach.

Die maßgebliche Regel: Erwägungsgrund 26: für anonyme Daten gilt die DSGVO nicht
Die Schwelle: Herausgreifen, Verknüpfen und Rückschließen müssen alle scheitern
Bei The General Data Company: Tore für jede Charge, ein Bericht zu jeder Lieferung

Welches Recht einen Datenverkauf erfasst

Vier Rechtsakte betreffen denselben Vorgang, und sie stellen verschiedene Fragen.

DSGVO (Verordnung (EU) 2016/679) gilt für alles, was personenbezogen bleibt. Sie verlangt eine Rechtsgrundlage, einen Zweck und den Nachweis für beides.
KI-Verordnung (Verordnung (EU) 2024/1689) verlangt vom Käufer, zu dokumentieren, womit das Modell trainiert wurde. Die Pflichten für Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025, samt veröffentlichter Vorlage für die Zusammenfassung der Trainingsinhalte; die Daten-Governance-Pflichten für Hochrisikosysteme folgen am 2. August 2026.
Datenverordnung (Verordnung (EU) 2023/2854), anwendbar seit dem 12. September 2025, regelt, wer Daten aus vernetzten Produkten und Diensten nutzen darf. Daran entscheidet sich, ob ein Anbieter überhaupt verkaufen kann.
Daten-Governance-Rechtsakt (Verordnung (EU) 2022/868), anwendbar seit dem 24. September 2023, setzt den Rahmen für Vermittler zwischen Dateninhabern und Datennutzern.

Daneben steht das Urheberrecht: Artikel 4 der DSM-Richtlinie erlaubt Text und Data Mining, solange der Rechteinhaber sich das Recht nicht vorbehalten hat, und das Datenbankherstellerrecht schützt wesentliche Entnahmen weiterhin. Dieser Teil der Frage steht unter Herkunftsnachweis nach der KI-Verordnung.

Wann ein Korpus aufhört, personenbezogen zu sein

Erwägungsgrund 26 der DSGVO stellt anonyme Daten vollständig außerhalb der Verordnung. Die Schwelle ist kein Schwärzungslauf. Die europäische Auslegung fragt, ob eine Person in den Daten noch herausgegriffen werden kann, ob sich Einträge über dieselbe Person über den Bestand hinweg verknüpfen lassen und ob sich ein Merkmal über sie erschließen lässt. Anonym ist ein Korpus, wenn alle drei scheitern, und zwar gemessen an den Mitteln, die nach allgemeinem Ermessen von irgendjemandem eingesetzt werden können, nicht nur vom Käufer.

Pseudonymisierte Daten erreichen diese Schwelle nicht. Ein Name, der durch ein Kürzel ersetzt wird, bleibt personenbezogen, weil das Kürzel weiterhin auf genau eine Person zeigt und das Muster ringsum sie oft identifiziert. Pseudonymisierung für Anonymisierung zu halten ist der häufigste Weg, auf dem ein Datenverkauf zu einer Verarbeitung wird, die niemand dokumentiert hat.

Was eine Lieferung mitbringt

Die Befugnis der Quelle, schriftlich, vom Mandat oder der Einwilligung, die das Material aus seinem Ursprung gelöst hat, bis zur Lizenz, die der Käufer unterschreibt.
Tore vor der Auslieferung, die jede Charge durchläuft statt einer Stichprobe je Zulieferer, und die sperren statt zu warnen.
Einen Bericht je Charge, der nennt, was gefunden und was entfernt wurde, in Zahlen, die sich an den gelieferten Dateien nachprüfen lassen.

Die Tore sind über ihre Wirkung dokumentiert, nicht über ihren Aufbau. Ein Käufer erhält die Zahlen, die Kategorien und den Rest, und genau danach fragt eine Prüfung. Die Erkennung dahinter ist unsere eigene Arbeit und bleibt es; eine Beschreibung davon würde ohnehin nichts darüber sagen, ob eine bestimmte Lieferung sauber ist.

Wo wir stehen

The General Data Company arbeitet DSGVO-konform. Wir verarbeiten jedes Korpus nach europäischem Datenschutzrecht, von der dokumentierten Rechtsgrundlage an der Quelle bis zur Anonymisierung, die vor jeder Auslieferung geprüft wird, und wir halten die Nachweise dafür je Charge statt je Zusage. Für unseren eigenen Betrieb gilt dasselbe: Die Daten der Menschen, mit denen wir arbeiten, behandeln wir nach der Verordnung, und Anfragen danach beantworten wir.

Eine Linie gehört klar gezogen, und sie schützt Sie, nicht uns. Ein Lieferant kann Ihre Pflichten nicht tragen. Sie trainieren das Modell, also bleiben die Pflichten des Trainings bei Ihnen, und kein Lizenztext verschiebt sie. Unser Teil ist, sie beantwortbar zu machen: Die Rechtsquelle ist benannt, die Entfernungen sind belegt, und beides kommt in einer Form, die eine Prüfung übersteht.

Vier Fragen vor dem Kauf eines Korpus

Was hat es erlaubt, dass dieses Material das Unternehmen verlässt, in dem es entstanden ist?
Wurde die Anonymisierung je Charge geprüft, und bekommen Sie die Zahlen zu sehen?
Wäre das Ergebnis auch für jemanden anonym, der einen weiteren Datenbestand über dieselben Menschen hält?
Wenn in einem Jahr eine Aufsichtsbehörde schreibt: Welches Dokument schicken Sie?

Kann ein Korpus diese Fragen nicht beantworten, schließt sich die Lücke durch das Training nicht. Stellen Sie uns dieselben Fragen: hello@thegeneraldata.com.