Besonders relevant ist das bei einer Zweckänderung: Daten, die ursprünglich für eine gewöhnliche Dienstleistung – etwa Bankgeschäfte, Versicherungen, Einkäufe oder soziale Netzwerke – erhoben wurden, sollen anschließend für einen neuen Zweck der KI-Entwicklung genutzt werden. Unternehmen dürfen nicht automatisch davon ausgehen, dass eine frühere, weit gefasste Information auch eine Verwendung abdeckt, mit der Verbraucher vernünftigerweise nicht rechnen mussten.

Bei der Regelung handelt es sich um eine Auslegungshilfe der Aufsicht und nicht um ein neues eigenständiges Gesetz. Die Leitlinien beschreiben, wie die PDPC die bestehenden Pflichten aus dem PDPA versteht.

Vier typische Fälle im Überblick

Banken: Finanz- und Kundendienstdaten für KI-Assistenten

Nutzt eine Bank Kundendaten, um einen KI-Assistenten zu entwickeln oder zu verbessern, muss sie einen KI-spezifischen Hinweis geben, wenn sie sich dabei auf eine Einwilligung stützt. Der Hinweis sollte die Modellentwicklung klar von der normalen Erbringung von Bank- oder Kundendienstleistungen unterscheiden.

Möglicherweise kann sich die Bank auf eine Ausnahme von der Einwilligungspflicht nach dem PDPA berufen, etwa auf die Ausnahme zur Geschäftsverbesserung. Das ist jedoch nur möglich, wenn die gesetzlichen Voraussetzungen erfüllt sind und die Nutzung innerhalb des vorgesehenen Umfangs bleibt. Greift eine solche Ausnahme wirksam, sind weder eine Einwilligung noch ein darauf beruhendes Widerspruchsrecht zwingend erforderlich.

Versicherer: Medizinische Daten und Schadensinformationen

Für Versicherer gilt dieselbe Grundfrage: Wenn für die Nutzung medizinischer Daten oder Schadensinformationen zur Entwicklung eines generativen KI-Modells eine Einwilligung erforderlich ist, muss der Hinweis diese KI-Nutzung ausdrücklich beschreiben. Eine frühere allgemeine Aussage zur Verbesserung von Dienstleistungen reicht dafür nicht automatisch aus.

Der Versicherer müsste daher entweder eine einschlägige Ausnahme nach dem PDPA nachweisen oder eine gültige Einwilligung über einen KI-spezifischen Hinweis einholen. Die verfügbaren Quellen begründen keine pauschale Ausnahme für sämtliche medizinischen Daten oder Schadensdaten.

Onlinehandel: Kauf- und Surfverhalten für kommerzielle KI-Produkte

Wenn eine E-Commerce-Plattform Kaufhistorien oder Browsing-Daten nutzt, um ein eigenständiges kommerzielles generatives KI-Produkt zu entwickeln, liegt eine besonders deutliche Zweckänderung vor. Soweit eine Einwilligung notwendig ist, sollte die Plattform den KI-Zweck direkt erklären und sich nicht auf eine allgemeine Klausel zur Produktentwicklung verlassen.

Die Ausnahme zur Geschäftsverbesserung kann je nach Umständen relevant sein. Sie ist jedoch keine pauschale Erlaubnis für jede neue kommerzielle Nutzung. Das Unternehmen muss weiterhin die rechtlichen Voraussetzungen erfüllen und innerhalb des zulässigen Anwendungsbereichs bleiben.

Soziale Netzwerke: Profile, Fotos, Videos und Beiträge für Kreativtools

Verwendet ein soziales Netzwerk Profile, Fotos, Videos, Beiträge oder Interaktionen, um generative KI-Tools zur Erstellung von Inhalten zu verbessern, ist bei einer Einwilligung als Rechtsgrundlage ein KI-spezifischer Hinweis erforderlich.

Öffentlich zugängliche persönliche Daten können unter die Ausnahme für öffentlich verfügbare Daten fallen. Dann ist möglicherweise keine Einwilligung nötig. Entscheidend ist aber, ob die Inhalte tatsächlich öffentlich zugänglich sind: Ein Beitrag, den nur ausgewählte Nutzer sehen können oder der durch Zugriffsbeschränkungen geschützt ist, ist nicht dasselbe wie öffentlich verfügbares Material.

Wann kein Hinweis oder kein Opt-out erforderlich sein kann

Die Daten wurden tatsächlich anonymisiert

Sind Daten so anonymisiert, dass sie keine persönlichen Daten mehr darstellen, greifen die Benachrichtigungs- und Einwilligungspflichten des PDPA nicht. Pseudonymisierte oder lediglich maskierte Daten sind allerdings nicht automatisch anonym. Maßgeblich ist, ob einzelne Personen weiterhin identifiziert werden können.

Eine gültige Ausnahme vom Einwilligungserfordernis greift

Unternehmen benötigen möglicherweise keine Einwilligung, wenn sie sich ordnungsgemäß auf eine gesetzliche Ausnahme berufen können – etwa für öffentlich verfügbare Daten oder, unter den jeweiligen Voraussetzungen, für Geschäftsverbesserungen. Da die Pflicht zum KI-spezifischen Hinweis an Situationen geknüpft ist, in denen eine Einwilligung erforderlich ist, entsteht dadurch kein allgemeines Recht, jeder rechtmäßigen Nutzung von Daten für KI-Training zu widersprechen.

Der gewählte Einwilligungsweg sieht kein Opt-out vor

Die allgemeine PDPC-Leitlinie beschreibt einen Opt-out-Ansatz als Kombination aus Information, einer angemessenen Frist und einer angemessenen Möglichkeit, die Nutzung abzulehnen, sofern dieser Ansatz gewählt wird. Daraus folgt nicht, dass jede Verarbeitung im Zusammenhang mit KI ein Opt-out anbieten muss – insbesondere dann nicht, wenn das Unternehmen eine Einwilligungsausnahme und nicht die Einwilligung selbst als Grundlage nutzt.

Wer bereits eingewilligt hat oder dessen Einwilligung nach dem PDPA als erteilt gilt, kann die Einwilligung grundsätzlich weiterhin widerrufen. Dabei gelten die jeweils einschlägigen Regeln für die konkrete Verarbeitung.

Darf die Einwilligung zur Voraussetzung für eine Dienstleistung werden?

Grundsätzlich sollte ein Unternehmen ein Produkt oder eine Dienstleistung nicht allein deshalb verweigern, weil ein Verbraucher die Nutzung seiner Daten für KI-Training ablehnt, wenn dieses Training für die angeforderte Leistung nicht vernünftigerweise erforderlich ist. Die Einwilligung zur Entwicklung eines allgemeinen KI-Assistenten oder eines unabhängigen kommerziellen Modells sollte daher normalerweise nicht mit dem Zugang zu einem gewöhnlichen Bankkonto, Einkaufsdienst oder sozialen Netzwerk verknüpft werden.

Die entscheidende Einschränkung lautet Erforderlichkeit. Eine Einwilligung darf als Voraussetzung verlangt werden, wenn die Erhebung, Nutzung oder Weitergabe der Daten für die vom Verbraucher angeforderte Dienstleistung oder Transaktion vernünftigerweise notwendig ist. Ob diese Schwelle erreicht ist, hängt vom konkreten Angebot, der Datenverwendung und den Umständen ab. Die Leitlinien liefern keine pauschale Antwort für jedes Unternehmen und jedes KI-System.

Worauf Verbraucher achten sollten

Ein KI-Hinweis sollte mindestens vier Fragen beantworten:

• Werden persönliche Daten zur Entwicklung, zum Training oder zur Verbesserung eines generativen KI-Modells verwendet?
• Welche Kategorien von Daten sind betroffen?
• Zu welchem Zweck und auf welche Weise werden sie genutzt?
• Kann die Einwilligung abgelehnt oder widerrufen werden – und wie funktioniert das konkret?

Unternehmen sollten umgekehrt zunächst klären, ob die Informationen noch als persönliche Daten gelten, ob eine gesetzliche Ausnahme greift und ob die geplante KI-Nutzung für die angeforderte Dienstleistung vernünftigerweise erforderlich ist. Erst danach lässt sich beurteilen, ob ein KI-spezifischer Einwilligungshinweis und ein Opt-out-Verfahren notwendig sind.

Genau darin liegt die Grenze der seit Juli 2026 geltenden Orientierung Singapurs: Sie verlangt mehr Transparenz beim einwilligungsbasierten KI-Training, schafft aber kein automatisches Widerspruchsrecht gegen jede rechtmäßige Nutzung persönlicher Daten.

Besonders relevant ist das bei einer Zweckänderung: Daten, die ursprünglich für eine gewöhnliche Dienstleistung – etwa Bankgeschäfte, Versicherungen, Einkäufe oder soziale Netzwerke – erhoben wurden, sollen anschließend für einen neuen Zweck der KI-Entwicklung genutzt werden. Unternehmen dürfen nicht automatisch davon ausgehen, dass eine frühere, weit gefasste Information auch eine Verwendung abdeckt, mit der Verbraucher vernünftigerweise nicht rechnen mussten.

Bei der Regelung handelt es sich um eine Auslegungshilfe der Aufsicht und nicht um ein neues eigenständiges Gesetz. Die Leitlinien beschreiben, wie die PDPC die bestehenden Pflichten aus dem PDPA versteht.

Vier typische Fälle im Überblick

Banken: Finanz- und Kundendienstdaten für KI-Assistenten

Nutzt eine Bank Kundendaten, um einen KI-Assistenten zu entwickeln oder zu verbessern, muss sie einen KI-spezifischen Hinweis geben, wenn sie sich dabei auf eine Einwilligung stützt. Der Hinweis sollte die Modellentwicklung klar von der normalen Erbringung von Bank- oder Kundendienstleistungen unterscheiden.

Möglicherweise kann sich die Bank auf eine Ausnahme von der Einwilligungspflicht nach dem PDPA berufen, etwa auf die Ausnahme zur Geschäftsverbesserung. Das ist jedoch nur möglich, wenn die gesetzlichen Voraussetzungen erfüllt sind und die Nutzung innerhalb des vorgesehenen Umfangs bleibt. Greift eine solche Ausnahme wirksam, sind weder eine Einwilligung noch ein darauf beruhendes Widerspruchsrecht zwingend erforderlich.

Versicherer: Medizinische Daten und Schadensinformationen

Für Versicherer gilt dieselbe Grundfrage: Wenn für die Nutzung medizinischer Daten oder Schadensinformationen zur Entwicklung eines generativen KI-Modells eine Einwilligung erforderlich ist, muss der Hinweis diese KI-Nutzung ausdrücklich beschreiben. Eine frühere allgemeine Aussage zur Verbesserung von Dienstleistungen reicht dafür nicht automatisch aus.

Der Versicherer müsste daher entweder eine einschlägige Ausnahme nach dem PDPA nachweisen oder eine gültige Einwilligung über einen KI-spezifischen Hinweis einholen. Die verfügbaren Quellen begründen keine pauschale Ausnahme für sämtliche medizinischen Daten oder Schadensdaten.

Onlinehandel: Kauf- und Surfverhalten für kommerzielle KI-Produkte

Wenn eine E-Commerce-Plattform Kaufhistorien oder Browsing-Daten nutzt, um ein eigenständiges kommerzielles generatives KI-Produkt zu entwickeln, liegt eine besonders deutliche Zweckänderung vor. Soweit eine Einwilligung notwendig ist, sollte die Plattform den KI-Zweck direkt erklären und sich nicht auf eine allgemeine Klausel zur Produktentwicklung verlassen.

Die Ausnahme zur Geschäftsverbesserung kann je nach Umständen relevant sein. Sie ist jedoch keine pauschale Erlaubnis für jede neue kommerzielle Nutzung. Das Unternehmen muss weiterhin die rechtlichen Voraussetzungen erfüllen und innerhalb des zulässigen Anwendungsbereichs bleiben.

Soziale Netzwerke: Profile, Fotos, Videos und Beiträge für Kreativtools

Verwendet ein soziales Netzwerk Profile, Fotos, Videos, Beiträge oder Interaktionen, um generative KI-Tools zur Erstellung von Inhalten zu verbessern, ist bei einer Einwilligung als Rechtsgrundlage ein KI-spezifischer Hinweis erforderlich.

Öffentlich zugängliche persönliche Daten können unter die Ausnahme für öffentlich verfügbare Daten fallen. Dann ist möglicherweise keine Einwilligung nötig. Entscheidend ist aber, ob die Inhalte tatsächlich öffentlich zugänglich sind: Ein Beitrag, den nur ausgewählte Nutzer sehen können oder der durch Zugriffsbeschränkungen geschützt ist, ist nicht dasselbe wie öffentlich verfügbares Material.

Wann kein Hinweis oder kein Opt-out erforderlich sein kann

Die Daten wurden tatsächlich anonymisiert

Sind Daten so anonymisiert, dass sie keine persönlichen Daten mehr darstellen, greifen die Benachrichtigungs- und Einwilligungspflichten des PDPA nicht. Pseudonymisierte oder lediglich maskierte Daten sind allerdings nicht automatisch anonym. Maßgeblich ist, ob einzelne Personen weiterhin identifiziert werden können.

Eine gültige Ausnahme vom Einwilligungserfordernis greift

Unternehmen benötigen möglicherweise keine Einwilligung, wenn sie sich ordnungsgemäß auf eine gesetzliche Ausnahme berufen können – etwa für öffentlich verfügbare Daten oder, unter den jeweiligen Voraussetzungen, für Geschäftsverbesserungen. Da die Pflicht zum KI-spezifischen Hinweis an Situationen geknüpft ist, in denen eine Einwilligung erforderlich ist, entsteht dadurch kein allgemeines Recht, jeder rechtmäßigen Nutzung von Daten für KI-Training zu widersprechen.

Der gewählte Einwilligungsweg sieht kein Opt-out vor

Die allgemeine PDPC-Leitlinie beschreibt einen Opt-out-Ansatz als Kombination aus Information, einer angemessenen Frist und einer angemessenen Möglichkeit, die Nutzung abzulehnen, sofern dieser Ansatz gewählt wird. Daraus folgt nicht, dass jede Verarbeitung im Zusammenhang mit KI ein Opt-out anbieten muss – insbesondere dann nicht, wenn das Unternehmen eine Einwilligungsausnahme und nicht die Einwilligung selbst als Grundlage nutzt.

Wer bereits eingewilligt hat oder dessen Einwilligung nach dem PDPA als erteilt gilt, kann die Einwilligung grundsätzlich weiterhin widerrufen. Dabei gelten die jeweils einschlägigen Regeln für die konkrete Verarbeitung.

Darf die Einwilligung zur Voraussetzung für eine Dienstleistung werden?

Grundsätzlich sollte ein Unternehmen ein Produkt oder eine Dienstleistung nicht allein deshalb verweigern, weil ein Verbraucher die Nutzung seiner Daten für KI-Training ablehnt, wenn dieses Training für die angeforderte Leistung nicht vernünftigerweise erforderlich ist. Die Einwilligung zur Entwicklung eines allgemeinen KI-Assistenten oder eines unabhängigen kommerziellen Modells sollte daher normalerweise nicht mit dem Zugang zu einem gewöhnlichen Bankkonto, Einkaufsdienst oder sozialen Netzwerk verknüpft werden.

Die entscheidende Einschränkung lautet Erforderlichkeit. Eine Einwilligung darf als Voraussetzung verlangt werden, wenn die Erhebung, Nutzung oder Weitergabe der Daten für die vom Verbraucher angeforderte Dienstleistung oder Transaktion vernünftigerweise notwendig ist. Ob diese Schwelle erreicht ist, hängt vom konkreten Angebot, der Datenverwendung und den Umständen ab. Die Leitlinien liefern keine pauschale Antwort für jedes Unternehmen und jedes KI-System.

Worauf Verbraucher achten sollten

Ein KI-Hinweis sollte mindestens vier Fragen beantworten:

• Werden persönliche Daten zur Entwicklung, zum Training oder zur Verbesserung eines generativen KI-Modells verwendet?
• Welche Kategorien von Daten sind betroffen?
• Zu welchem Zweck und auf welche Weise werden sie genutzt?
• Kann die Einwilligung abgelehnt oder widerrufen werden – und wie funktioniert das konkret?

Unternehmen sollten umgekehrt zunächst klären, ob die Informationen noch als persönliche Daten gelten, ob eine gesetzliche Ausnahme greift und ob die geplante KI-Nutzung für die angeforderte Dienstleistung vernünftigerweise erforderlich ist. Erst danach lässt sich beurteilen, ob ein KI-spezifischer Einwilligungshinweis und ein Opt-out-Verfahren notwendig sind.

Genau darin liegt die Grenze der seit Juli 2026 geltenden Orientierung Singapurs: Sie verlangt mehr Transparenz beim einwilligungsbasierten KI-Training, schafft aber kein automatisches Widerspruchsrecht gegen jede rechtmäßige Nutzung persönlicher Daten.