Die schwedische Datenschutzbehörde, die Integritetsskyddsmyndigheten (IMY), hat am 10. Juni 2026 einen Bericht dazu veröffentlicht, welche Rolle nach der DSGVO ein Anbieter einnimmt, der KI-Anwendungen bereitstellt, anpasst oder weiterentwickelt. Der Bericht geht auf eine dreimonatige “Express-Sandbox” für Datenschutz mit dem Anbieter Eggsplain zurück. IMY hat drei Phasen des Leistungszyklus’ untersucht, Installation der Hardware, Bereitstellung und Finetuning von KI-Anwendungen sowie laufende Dienste, auf Basis der Guidelines 07/2020 des EDSA (on the concepts of controller and processor in the GDPR). Für Modelle, die mit Personendaten trainiert wurden, verweist IMY zusätzlich auf die Opinion 28/2024 des EDSA (on certain data protection aspects related to the processing of personal data in the context of AI models).
Überraschendes enthält der Bericht nicht. Die datenschutzrechtliche Rolle richtet sich jeweils danach, wie der Anbieter Personendaten bearbeitet, nicht nach der Natur seiner Leistung. Zu den Rechtsgrundlagen und den Betroffenenrechten sagt der Bericht allerdings nichts.
Beim Finetuning unterscheidet die IMY vier Konstellationen, wobei offen bleibt, ob eine so trennscharfe Unterscheidung praktisch überhaupt in Frage kommt:
- Bereitstellung ohne Finetuning: Soweit ein Anbieter nur eine Drittanwendung vermittelt, ohne selbst auf Personendaten zuzugreifen und ohne Zweck oder wesentliche Mittel zu bestimmen, trifft ihn keine Rolle.
- Finetuning auf eigene Initiative: Beim Finetuning für einen breiteren Kundenkreis ist der Anbieter ein Verantwortlicher.
- Finetuning im Auftrag: Beim Finetuning nach Weisung und für die Zwecke eines bestimmten Kunden ist der Anbieter ein Auftragsbearbeiter, der Kunde ein Verantwortlicher. Das trifft auch zu, wenn der Anbieter bei praktischen oder technischen Fragen einen gewissen Spielraum geniesst.
- Gemeinsame Weiterentwicklung: Bestimmen Anbieter und Kunde zusammen über Zweck und die wesentlichen Mittel, liegt eine gemeinsame Verantwortlichkeit vor. Dafür genügt die blosse Zusammenarbeit oder ein gemeinsames kommerzielles Interesse allerdings nicht.
Für die übrigen Phasen:
- Verkauf, Vermietung oder Installation von Hardware: keine Rolle
- Migration von Datenbanken, Benutzerkonten oder Logs: Auftragsbearbeitung
- Verwendung der Anwendung: gesondert zu beurteilen, verantwortlich ist grundsätzlich der Kunde, der Anbieter ist Auftragsbearbeiter, soweit er die technische Umgebung bereitstellt.
- Support und Beratung: je nach konkreter Tätigkeit. Bei einer Auswertung von Supportfällen für die eigene Servicequalität ist der Anbieter ein Verantwortlicher, bei der Bearbeitung nur im Kundenauftrag ein Auftragsbearbeiter.
- Body Lease: Stellt der Anbieter eine Fachkraft, die unter Leitung und Kontrolle des Kunden in dessen System arbeitet, hat der Anbieter keine Rolle.