Bilder von Personen in KI hochladen

Sehr geehrter Fragesteller,

Ihre Anfrage möchte ich Ihnen auf Grundlage der angegebenen Informationen verbindlich wie folgt beantworten:


Fotos, auf denen Ihr Kunde erkennbar ist, sind personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Die Verarbeitung dieser Daten unterliegt den Vorgaben der DSGVO.
Sie sind als Dienstleister für Ihren Kunden in der Regel Auftragsverarbeiter, wenn Sie in dessen Auftrag personenbezogene Daten verarbeiten.
Higgsfield AI ist aus Ihrer Sicht ein (weiterer) Auftragsverarbeiter/Subunternehmer.

Nach Art. 28 DSGVO ist der Verantwortliche verpflichtet, mit jedem Auftragsverarbeiter einen AVV abzuschließen. Gleiches gilt für die Weitergabe an Subunternehmer. Ohne AVV ist die Nutzung eines Dienstleisters zur Verarbeitung personenbezogener Daten grundsätzlich unzulässig.

Eine Einwilligung des Betroffenen (hier: Ihres Kunden) kann in bestimmten Fällen eine Rechtsgrundlage für die Verarbeitung bieten (Art. 6 Abs. 1 lit. a DSGVO). Allerdings ersetzt eine Einwilligung nicht die Pflicht zum Abschluss eines AVV, wenn Sie als Verantwortlicher oder Auftragsverarbeiter tätig werden und einen externen Dienstleister einsetzen.
Die Datenschutzkonferenz (DSK) und die Aufsichtsbehörden vertreten hierzu eine klare Linie:

„Die Einwilligung des Betroffenen kann die Anforderungen an einen Auftragsverarbeitungsvertrag nicht ersetzen."
(Vgl. DSK, Kurzpapier Nr. 13, Auftragsverarbeitung nach Art. 28 DSGVO, Stand: 24.03.2022)

Ohne AVV mit Higgsfield AI verstoßen Sie gegen Art. 28 DSGVO. Dies kann zu Bußgeldern und Schadensersatzansprüchen führen, selbst wenn Ihr Kunde ausdrücklich einwilligt.

Fazit

Das Hochladen von Fotos Ihres Kunden zu Higgsfield AI ohne AVV ist datenschutzrechtlich unzulässig.
Eine Einwilligung Ihres Kunden ersetzt den fehlenden AVV nicht.
Sie setzen sich einem erheblichen Haftungsrisiko aus.

Empfehlung

Verlangen Sie von Higgsfield AI einen AVV.
Falls dies nicht möglich ist, nutzen Sie den Dienst nicht für personenbezogene Daten.
Alternativ: Weisen Sie Ihren Kunden auf die Problematik hin und lassen Sie ihn ggf. selbst die Daten hochladen und das Video generieren.

Wenn Sie es selbst hochladen, sollten Sie sich unbedingt eine schriftliche Einverständniserklärung geben lassen, in der der Kunde ausdrücklich bestätigt, dass er die Risiken kennt, die Plattform selbst keine AVV anbietet und Sie auf seinen Wunsch tätig werden. Juristisch ist das aber eine Grauzone, weil die DSGVO für eine Verarbeitung durch Dritte eigentlich zwingend die AVV-Regelung vorsieht.


Mit freundlichen Grüßen