noyb wirft Outlier die Überwachung von KI-Trainingskräften vor

Die Datenschutzorganisation noyb hat gemeinsam mit Partnern fünf Beschwerden gegen die KI-Trainingsplattform Outlier eingereicht: zwei in Österreich, je eine in Frankreich, Italien und den Niederlanden. Betreiberin ist das US-Unternehmen Scale AI. Nach Darstellung von noyb senden Tracker von TikTok, LinkedIn und Facebook auf der Plattform alle paar Sekunden Daten, für das Tracking fehle eine Rechtsgrundlage, und die Identitätsprüfung über Persona verlange Gesichtsvideo und Ausweisdokument. Es handelt sich um Vorwürfe, nicht um eine Entscheidung einer Behörde; Scale AI weist sie laut The Register als unbegründet zurück. Für Menschen, die dort arbeiten, ändert sich vorerst nichts an ihren Rechten; ihr Auskunftsanspruch nach der DSGVO besteht unabhängig vom Ausgang der Verfahren.

Was noyb beanstandet

noyb hat die Beschwerden nach eigenen Angaben gemeinsam mit den Organisationen Intérêt à Agir, DiPLab und Reversing.Works erarbeitet. Zwei davon liegen in Österreich, die übrigen in Frankreich, Italien und den Niederlanden. Outlier beschäftigt nach noyb-Angaben über 900.000 „Freelancer“; die Anführungszeichen setzt noyb selbst.

Der erste Vorwurf betrifft Tracking. Auf der Plattform sollen Tracker von TikTok, LinkedIn und Facebook eingebunden sein, die alle paar Sekunden Daten an die jeweiligen Anbieter übertragen. Die Digitalisierungsplanung nennt bis zu 19 Tracker. Als Tracker gelten kleine Code-Bausteine, die Nutzungsverhalten erfassen und an Dritte melden. Bei einer Arbeitsplattform, die Menschen stundenlang am Bildschirm hält, ergibt eine Übertragung im Sekundentakt ein sehr dichtes Bild von Arbeitszeiten und Verhalten.

Der zweite Vorwurf gilt der biometrischen Verifizierung. Wer für Outlier arbeiten will, muss sich über den Dienstleister Persona per Gesichtsvideo und Ausweisdokument identifizieren. Biometrische Daten sind Merkmale, mit denen sich eine Person eindeutig wiedererkennen lässt, etwa das Gesicht. noyb hält diese Verarbeitung für unzulässig.

Rechtlich bündelt noyb die Kritik in drei Punkten. Erstens fehle eine Rechtsgrundlage für die Datenverarbeitung. Zweitens verstoße Outlier gegen den Grundsatz der Datenminimierung, wonach nur Daten erhoben werden dürfen, die für den Zweck erforderlich sind. Drittens seien Auskunftsersuchen ignoriert worden. Die Digitalisierungsplanung beziffert das auf vier Anfragen zwischen Dezember 2025 und Mai 2026, die unbeantwortet geblieben seien.

dm-Einordnung: Eine Rechtsgrundlage nach Art. 6 DSGVO ist die rechtliche Erlaubnis, die jede Verarbeitung personenbezogener Daten benötigt. Die Verordnung kennt sechs mögliche Grundlagen: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, Schutz lebenswichtiger Interessen, Wahrnehmung einer Aufgabe im öffentlichen Interesse sowie berechtigtes Interesse des Verantwortlichen oder eines Dritten. Fehlt eine solche Grundlage für einen bestimmten Verarbeitungsvorgang, ist dieser unzulässig. Der Verantwortliche muss die gewählte Grundlage benennen und nachweisen können, dass deren Voraussetzungen erfüllt sind.

Datenminimierung nach Art. 5 Abs. 1 Buchst. c bedeutet, dass personenbezogene Daten dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein müssen. Eine Beschwerde nach Art. 77 DSGVO gibt betroffenen Personen oder vertretenden Organisationen die Möglichkeit, eine Aufsichtsbehörde anzurufen. Die Behörde prüft den Sachverhalt, kann Stellungnahmen anfordern und Maßnahmen ergreifen. Die Einreichung stellt jedoch keinen Verstoß fest. Ob die Vorwürfe zutreffen, ergibt sich erst aus dem Ergebnis des Verfahrens.

noyb schlägt den Aufsichtsbehörden außerdem ein Bußgeld vor. Eine Höhe nennt die Organisation nicht, und bislang liegt keine Entscheidung einer Behörde vor. Die Beschwerden eröffnen Verfahren, deren Dauer und Ausgang offen sind.

Datenflüsse an Werbe- und Plattformanbieter ohne wirksame Einwilligung beschäftigen die Aufsicht nicht zum ersten Mal, wie das Bußgeld gegen Xandr in Norwegen zeigt. noyb hat die Vorwürfe gegen Outlier in einer Mitteilung vom 27. Oktober 2026 veröffentlicht.

Die Antwort von Scale AI

Scale AI hat sich gegenüber The Register geäußert. Das Unternehmen bezeichnet die Vorwürfe als unbegründet. Die Digitalisierungsplanung gibt diese Stellungnahme in ihrer Zusammenfassung der Beschwerden unter Berufung auf The Register wieder.

Inhaltlich führt Scale AI mehrere Argumente an. Die Datenverarbeitung sei offengelegt, ihre Praktiken also in den Informationen für Nutzende beschrieben. Zudem sei eine Einwilligung erforderlich, was bedeutet, dass Beteiligte der Verarbeitung zustimmen müssen, bevor sie starten. Die erhobenen Daten würden für vier Zwecke genutzt: die Identitätsprüfung, die Betrugsprävention, den Schutz der Projekte und die Bezahlung der Beteiligten.

dm-Einordnung: Diese Zwecke sind aus Sicht eines Plattformbetreibers nachvollziehbar. Wer Aufgaben für KI-Entwickler abwickelt, muss verhindern, dass sich eine Person mehrfach oder unter falscher Identität registriert, und Zahlungen müssen der richtigen Person zugeordnet werden. Projektinhalte vertraulicher Auftraggeber zu schützen, ist ein legitimes Interesse.

Die Beschwerden greifen allerdings an einer anderen Stelle an. Ob ein Zweck legitim ist, entscheidet noch nicht darüber, ob die gewählten Mittel rechtmäßig und verhältnismäßig sind. Der Streit dreht sich damit um zwei Fragen: ob eine Einwilligung unter den Bedingungen einer Arbeitsplattform freiwillig und informiert erteilt wird, und ob Tracker von Werbeplattformen sowie ein Gesichtsvideo für die genannten Zwecke erforderlich sind. Zu beiden Fragen liegt bislang keine behördliche Bewertung vor.

dm-Einordnung: Nach Art. 7 Abs. 4 DSGVO ist bei der Beurteilung der Freiwilligkeit besonders zu berücksichtigen, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die für die Erfüllung nicht erforderlich ist. Erwägungsgrund 43 nennt zudem ein klares Ungleichgewicht zwischen betroffener Person und Verantwortlichem als Hinweis, dass Freiwilligkeit fehlen kann. Ein solches Gefälle kommt in Betracht, wenn der Zugang zu bezahlter Arbeit an die Zustimmung zu bestimmten Datenverarbeitungen gekoppelt ist. Wie Aufsichtsbehörden den Fall Outlier bewerten, bleibt offen. Es hängt von den Umständen im Einzelfall ab, etwa von der konkreten Ausgestaltung der Abfragen und davon, ob Alternativen bestehen.

dm-Einordnung: Die Aussage „offengelegt“ und die Aussage „rechtmäßig“ sind verschiedene Dinge. Eine Datenschutzerklärung kann eine Verarbeitung transparent machen, ersetzt aber nicht die Rechtsgrundlage. Ebenso wenig ersetzt ein Häkchen automatisch eine freiwillige Einwilligung, wenn der Zugang zur Arbeit davon abhängt. Eine Erwiderung von Scale AI speziell zu den unbeantworteten Auskunftsersuchen ist nicht bekannt.

Biometrie und der Persona-Vorfall

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptClose-up of a laptop with a small webcam and an abstract tracking overlay of dots and lines on the screen, hands on keyboard, moody light. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Der heikelste Teil der Beschwerden betrifft die Identitätsprüfung. Outlier lässt die Verifizierung vom Dienstleister Persona durchführen. Die Beteiligten liefern dafür ein Video ihres Gesichts und laden ein Ausweisdokument hoch, laut noyb wiederholt. dm-Einordnung: Ein Passwort lässt sich zurücksetzen, ein Gesicht nicht.

noyb verweist zusätzlich auf einen Vorfall bei Persona im Oktober 2025. Nach Angaben von noyb waren dabei rund 70.000 Ausweisfotos betroffen. Wie viele Outlier-Beteiligte darunter waren, nennt noyb nicht. dm-Einordnung: Ausweisbilder, die bei einem Dienstleister liegen, bleiben ein Risiko, solange sie gespeichert sind.

dm-Einordnung: Nach Art. 9 DSGVO gelten biometrische Daten, die zur eindeutigen Identifizierung einer Person verarbeitet werden, als besondere Kategorie personenbezogener Daten, deren Verarbeitung grundsätzlich untersagt ist und nur unter engen Ausnahmen, etwa bei ausdrücklicher Einwilligung, zulässig sein kann. In seiner Mitteilung stützt noyb die Kritik an der Biometrie auf die Datenminimierung. Die Einordnung erklärt, warum ein Gesichtsvideo strenger zu behandeln ist als eine E-Mail-Adresse und warum die Frage der Freiwilligkeit hier besonderes Gewicht hat.

Dazu kommt das Prinzip der Datenminimierung. noyb sieht diesen Grundsatz laut Mitteilung unter anderem bei der Verarbeitung biometrischer Daten verletzt. Ob mildere Verfahren für die Identitätsprüfung ausgereicht hätten, müssten die Aufsichtsbehörden klären.

dm-Einordnung: Setzt ein Unternehmen für die Identitätsprüfung einen externen Dienstleister wie Persona ein, kommt je nach Ausgestaltung eine Auftragsverarbeitung nach Art. 28 DSGVO in Betracht. Ob dies bei Persona tatsächlich der Fall ist, lässt sich ohne Kenntnis der vertraglichen und tatsächlichen Verhältnisse nicht sagen. Läge eine Auftragsverarbeitung vor, verarbeitet der Dienstleister die Daten weisungsgebunden und auf Grundlage eines Vertrags, der Gegenstand, Dauer, Art der Daten und Pflichten regelt. Die Verantwortung gegenüber den betroffenen Personen bleibt dabei beim Verantwortlichen, der den Dienstleister sorgfältig auswählen und kontrollieren muss.

Für die Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e gilt, dass Daten nur so lange in identifizierbarer Form gespeichert werden dürfen, wie es der Zweck erfordert. Bei einer Identitätsprüfung spricht dies für kurze, dokumentierte Löschfristen nach erfolgreichem Abschluss, sofern keine gesetzliche Aufbewahrungspflicht besteht. Aus Sicht der Verteidigung sind weitere Schutzmaßnahmen sinnvoll: Zugriffe auf wenige Berechtigte beschränken, Daten bei Übertragung und Speicherung verschlüsseln, Löschungen automatisiert ausführen und protokollieren sowie Weitergaben an Dritte vertraglich eng begrenzen. Auch die Frage, ob nach der Prüfung nur das Ergebnis statt der Rohdaten behalten wird, gehört zur Datenminimierung.

dm-Einordnung: Betroffene sollten wissen, ob und wie lange Video und Ausweisbild gespeichert werden, wer sie erhält und ob sie gelöscht werden können. Genau dafür gibt es das Auskunftsrecht.

Was Betroffene tun können

Wer für Outlier oder eine vergleichbare Plattform arbeitet, kann ein Auskunftsersuchen stellen. Das ist ein formloses Schreiben an den Verantwortlichen, mit dem man erfährt, welche personenbezogenen Daten gespeichert sind, zu welchem Zweck, an wen sie weitergegeben wurden und wie lange sie bleiben. dm-Einordnung: Die Antwortfrist beträgt nach Art. 12 Abs. 3 DSGVO grundsätzlich einen Monat und ist in komplexen Fällen verlängerbar.

dm-Einordnung: Das Auskunftsrecht nach Art. 15 DSGVO geht über die Kopie der Daten hinaus. Mitzuteilen sind auch die Herkunft der Daten, sofern sie nicht bei der betroffenen Person erhoben wurden, und das Bestehen automatisierter Entscheidungsfindung einschließlich Profiling samt aussagekräftigen Informationen zur Logik. Die Auskunft weist zudem auf die Rechte auf Berichtigung, auf Löschung nach Art. 17 und auf Widerspruch nach Art. 21 hin. Genannt wird auch das Recht, nach Art. 77 Beschwerde bei einer Aufsichtsbehörde einzulegen.

Das Auskunftsrecht über Trainingsdaten betrifft Inhalte, mit denen eine KI lernt. Für Beschäftigte von Trainingsplattformen zählen die Daten, die die Plattform über sie selbst führt.

Laut Digitalisierungsplanung blieben vier Auskunftsersuchen zwischen Dezember 2025 und Mai 2026 unbeantwortet. Die Nichtbeantwortung ist einer der drei Vorwürfe der Beschwerden.

dm-Rechnung: Die letzte der vier Anfragen ging laut Digitalisierungsplanung spätestens im Mai 2026 ein. Bis zur Einreichung der Beschwerden am 27. Oktober 2026 vergingen damit knapp fünf Monate (Ende Mai bis 27. Oktober). Die Monatsfrist aus Art. 12 Abs. 3 DSGVO lässt sich um höchstens zwei Monate auf drei Monate verlängern. Knapp fünf Monate minus drei Monate ergibt auch für die späteste Anfrage eine Überschreitung von knapp zwei Monaten, für frühere Anfragen entsprechend mehr. Die genauen Anfragedaten sind nicht veröffentlicht, die Rechnung ist ein Mindestwert unter der Annahme, dass bis zur Beschwerde keine Antwort kam.

Praktisch lässt sich ein Ersuchen in wenigen Schritten vorbereiten. Diese Hinweise sind dm-Einordnung und keine Rechtsberatung:

• Das Schreiben per E-Mail an die in der Datenschutzerklärung genannte Stelle senden und Datum sowie Versandnachweis aufbewahren.
• Ausdrücklich nach Trackern und Empfängern, nach den bei der Verifizierung gespeicherten Daten und nach der Speicherdauer fragen.
• Bei ausbleibender Antwort nach Ablauf der Monatsfrist erinnern und anschließend die zuständige Aufsichtsbehörde einschalten.

Unabhängig davon können Betroffene prüfen, welche Cookie- und Tracking-Einstellungen die Plattform anbietet, und Einwilligungen widerrufen. dm-Einordnung: Ein Widerruf wirkt für die Zukunft; ob er die Arbeit auf der Plattform praktisch einschränkt, hängt von der Ausgestaltung ab, die von außen nicht erkennbar ist.