Fünf Datenschutzbeschwerden gegen Scale AI

Am 27. Oktober 2026 wurden fünf Datenschutzbeschwerden gegen das US-amerikanische Unternehmen Scale AI bekannt. Die europäische Datenschutzorganisation noyb reichte sie gemeinsam mit Partnerorganisationen in vier europäischen Ländern ein. Zwei Beschwerden wurden in Österreich eingebracht, jeweils eine weitere in Frankreich, Italien und den Niederlanden.

Im Mittelpunkt steht die KI-Trainingsplattform Outlier, über die freiberufliche Arbeitskräfte an der Entwicklung und Verbesserung künstlicher Intelligenz mitwirken.

Die Beschwerdeführer werfen dem Unternehmen vor, personenbezogene Daten der Plattformnutzer in einem Umfang zu erfassen und zu verarbeiten, der mit europäischen Datenschutzvorschriften nicht vereinbar sei.

Konkret geht es um den Einsatz digitaler Tracking-Technologien, biometrische Identitätsprüfungen und den Umgang mit Auskunftsanfragen betroffener Personen.

Die beteiligten Organisationen fordern die zuständigen Datenschutzbehörden auf, die beanstandeten Verfahren zu untersuchen und gegebenenfalls Maßnahmen zu ergreifen.

Die Einreichung einer Beschwerde bedeutet allerdings nicht, dass ein Rechtsverstoß bereits festgestellt wurde. Ob die Datenverarbeitung tatsächlich gegen die Datenschutz-Grundverordnung (DSGVO) verstößt, müssen die zuständigen Behörden prüfen.

Die menschliche Arbeit hinter künstlicher Intelligenz

Künstliche Intelligenz wird häufig mit automatisierten Systemen verbunden, die Texte erstellen, Bilder analysieren oder komplexe Aufgaben bearbeiten können.

Auch bei der Entwicklung zunehmend leistungsfähiger KI-Systeme bleibt menschliche Arbeit jedoch entscheidend. Arbeitskräfte bewerten generierte Antworten, erkennen Fehler und vergleichen Ergebnisse, um die Qualität der Modelle zu verbessern.

Ein Teil dieser Tätigkeiten wird über spezialisierte digitale Plattformen organisiert, auf denen Menschen als externe Auftragnehmer oder freiberufliche Arbeitskräfte tätig sind.

Auf Outlier können die Aufgaben beispielsweise darin bestehen, Fragen für KI-Systeme zu formulieren, generierte Antworten miteinander zu vergleichen oder deren Qualität anhand vorgegebener Kriterien zu beurteilen.

Je nach Aufgabenbereich werden unterschiedliche Kenntnisse benötigt. Neben allgemeinen Bewertungsaufgaben können auch Fachkenntnisse aus Mathematik, Programmierung, Wissenschaft oder anderen Disziplinen gefragt sein.

Nach Angaben von noyb sind mehr als 900.000 freiberufliche Arbeitskräfte auf der Plattform tätig beziehungsweise registriert. Die genaue Zahl der aktuell aktiven Personen lässt sich daraus nicht ableiten.

Diese Form der Datenarbeit ist ein wichtiger Bestandteil der heutigen KI-Wertschöpfungskette. Während die fertigen Anwendungen für Nutzer sichtbar sind, bleiben die Menschen, die an ihrer Verbesserung mitwirken, häufig im Hintergrund.

Die Beschwerden gegen Scale AI lenken deshalb auch die Aufmerksamkeit auf die Bedingungen, unter denen menschliche Datenarbeit für die KI-Entwicklung organisiert wird.

Digitale Überwachung während der Arbeit

Ein wesentlicher Teil der Beschwerden betrifft die technische Erfassung von Aktivitäten auf der Plattform Outlier.

Nach Angaben von noyb und einer Untersuchung des Forschungsprojekts DiPLab werden auf der Plattform verschiedene Tracking-Technologien eingesetzt.

In der Berichterstattung über die Beschwerden ist von bis zu 19 identifizierten Tracking-Mechanismen die Rede. Diese können unterschiedlichen Zwecken dienen, etwa der technischen Analyse oder der Erfassung des Nutzungsverhaltens.

Davon zu unterscheiden sind die ebenfalls erhobenen Vorwürfe zur Aufzeichnung konkreter Arbeitsaktivitäten.

Nach Darstellung der Beschwerdeführer sollen unter anderem Tastatur- und Mausbewegungen erfasst werden. Die Untersuchung von DiPLab thematisiert in diesem Zusammenhang auch die Möglichkeit, Arbeitsabläufe anhand gesammelter Informationen nachzuvollziehen.

Darüber hinaus sollen bei der Nutzung der Plattform bestimmte Daten an externe Dienstleister übertragen werden.

Noyb nennt unter anderem IP-Adressen, Kontaktinformationen, eindeutige Kennungen und Angaben über aufgerufene Seiten.

Je nach Art der Daten und ihrer Verknüpfung können solche Informationen Rückschlüsse auf einzelne Personen und deren Aktivitäten ermöglichen.

Die Beschwerdeführer bezweifeln, dass sämtliche beanstandeten Verarbeitungsvorgänge auf einer ausreichenden Rechtsgrundlage beruhen.

Nicht jede Form der Aktivitätserfassung ist grundsätzlich unzulässig. Digitale Arbeitsplattformen können beispielsweise bestimmte Informationen benötigen, um Aufgaben zuzuordnen, technische Probleme zu erkennen oder eingereichte Ergebnisse zu überprüfen.

Entscheidend ist jedoch, welche Daten tatsächlich erhoben werden, welchen Zwecken sie dienen, wie lange sie gespeichert bleiben und auf welcher rechtlichen Grundlage ihre Verarbeitung erfolgt.

Besondere Fragen entstehen, wenn Informationen über die unmittelbare Bearbeitung einer Aufgabe hinausgehen oder an weitere Unternehmen übermittelt werden.

Biometrische Identitätsprüfungen in der Kritik

Ein weiterer Streitpunkt betrifft die Identitätskontrollen auf Outlier.

Nach den veröffentlichten Beschwerden müssen Arbeitskräfte im Rahmen der Verifizierung unter anderem Ausweisdokumente und Aufnahmen ihres Gesichts bereitstellen.

Die technische Überprüfung erfolgt über den Identitätsdienstleister Persona.

Als Gründe für solche Kontrollen werden unter anderem die Verhinderung von Identitätsbetrug und die Überprüfung von Qualifikationen angeführt.

Identitätsprüfungen können für digitale Arbeitsplattformen grundsätzlich nachvollziehbare Funktionen erfüllen. Sie können beispielsweise dazu beitragen, Mehrfachkonten zu erkennen oder sicherzustellen, dass registrierte Personen tatsächlich die vorgesehenen Aufgaben übernehmen.

Die Beschwerdeführer stellen jedoch infrage, ob Umfang und Häufigkeit der eingesetzten Verfahren erforderlich und verhältnismäßig sind.

Besondere datenschutzrechtliche Anforderungen können entstehen, wenn Gesichtsbilder technisch verarbeitet werden, um eine Person anhand biometrischer Merkmale eindeutig zu identifizieren.

Biometrische Daten, die zu diesem Zweck verarbeitet werden, unterliegen nach der DSGVO einem besonders strengen Schutz.

Für die rechtliche Bewertung ist deshalb unter anderem entscheidend, welche Daten verarbeitet werden, ob eine biometrische Identifizierung stattfindet und welche Rechtsgrundlage dafür besteht.

Auch die Frage, ob weniger eingriffsintensive Verfahren denselben Zweck erfüllen könnten, kann bei der Beurteilung der Verhältnismäßigkeit eine Rolle spielen.

Auskunftsrechte und Transparenz

Neben Tracking-Technologien und Identitätskontrollen betreffen die Beschwerden auch den Zugang zu personenbezogenen Daten.

Nach der Reuters-Berichterstattung hatten vier Arbeitskräfte zwischen Dezember 2025 und Mai 2026 Auskunft über die zu ihrer Person gespeicherten Informationen verlangt.

Den Beschwerden zufolge erhielten sie darauf keine Antwort.

Die europäische Datenschutz-Grundverordnung räumt betroffenen Personen grundsätzlich das Recht ein, Auskunft darüber zu verlangen, ob und wie ihre personenbezogenen Daten verarbeitet werden.

Dazu gehören beispielsweise Informationen über die Verarbeitungszwecke, bestimmte Kategorien personenbezogener Daten und mögliche Empfänger.

Verantwortliche müssen solche Anfragen grundsätzlich innerhalb eines Monats beantworten. Unter bestimmten Voraussetzungen kann diese Frist verlängert werden.

Das Auskunftsrecht soll Menschen ermöglichen, die Verarbeitung ihrer Daten nachzuvollziehen und gegebenenfalls weitere Rechte geltend zu machen.

Gerade auf digitalen Arbeitsplattformen kann diese Transparenz wichtig sein.

Werden Informationen über Arbeitsabläufe, Bewertungen oder Nutzungsverhalten gespeichert, können betroffene Personen ein berechtigtes Interesse daran haben, zu erfahren, welche Daten vorliegen und wofür sie verwendet werden.

Die Beschwerdeführer verlangen deshalb auch eine Untersuchung des Umgangs mit den eingereichten Auskunftsanfragen.

Qualitätssicherung und die Grenzen digitaler Kontrolle

Die Auseinandersetzung um Outlier verdeutlicht ein grundlegendes Spannungsfeld digital organisierter Arbeit.

Unternehmen, die KI-Trainingsdaten bereitstellen, müssen sicherstellen, dass eingereichte Ergebnisse bestimmte Qualitätsanforderungen erfüllen.

Dafür können Prüfverfahren notwendig sein. Beispielsweise kann kontrolliert werden, ob Aufgaben vollständig bearbeitet wurden, ob Ergebnisse plausibel sind oder ob Hinweise auf automatisierten Missbrauch bestehen.

Digitale Arbeitsplattformen ermöglichen allerdings auch eine detaillierte Erfassung von Aktivitäten.

Technisch lassen sich unter anderem Bearbeitungszeiten, Interaktionen mit einer Benutzeroberfläche oder einzelne Arbeitsschritte dokumentieren.

Aus dieser technischen Möglichkeit ergibt sich jedoch nicht automatisch die rechtliche Berechtigung, sämtliche verfügbaren Informationen zu sammeln.

Die DSGVO verlangt unter anderem, dass personenbezogene Daten für festgelegte und rechtmäßige Zwecke verarbeitet werden und auf das notwendige Maß beschränkt bleiben.

Die Zulässigkeit einer Kontrolle hängt deshalb nicht allein davon ab, ob sie technisch möglich oder für ein Unternehmen wirtschaftlich nützlich ist.

Ebenso wichtig sind die Erforderlichkeit der Verarbeitung, die Rechte der betroffenen Personen und die Transparenz über eingesetzte Verfahren.

Bei freiberuflicher Plattformarbeit kommen weitere Fragen hinzu.

Externe Auftragnehmer organisieren ihre Tätigkeit häufig über digitale Systeme, ohne unmittelbar in die betrieblichen Strukturen des Plattformbetreibers eingebunden zu sein.

Gleichzeitig kann die Plattform erheblichen Einfluss darauf haben, welche Aufgaben verfügbar sind, wie Leistungen bewertet werden und unter welchen Bedingungen eine weitere Zusammenarbeit möglich ist.

Das Forschungsprojekt DiPLab beschäftigt sich in diesem Zusammenhang auch mit der Organisation digitaler Arbeit und leistungsbezogenen Anreizsystemen auf Outlier.

Diese Aspekte sind nicht automatisch mit einem Datenschutzverstoß gleichzusetzen. Sie zeigen jedoch, weshalb die Erfassung von Arbeits- und Leistungsdaten auch im Zusammenhang mit den tatsächlichen Arbeitsbedingungen betrachtet werden sollte.

Verantwortung entlang der KI-Wertschöpfungskette

Die Beschwerden richten sich gegen konkrete Datenverarbeitungsverfahren im Zusammenhang mit Scale AI und seiner Plattform Outlier.

Gleichzeitig verdeutlicht der Fall, wie viele unterschiedliche Akteure an der Entwicklung moderner KI-Systeme beteiligt sein können.

Neben den Unternehmen, die KI-Modelle entwickeln, gehören dazu Anbieter von Trainingsdaten, Betreiber digitaler Arbeitsplattformen, technische Dienstleister und die Menschen, die Daten erstellen oder bewerten.

Bei dieser Zusammenarbeit können personenbezogene Informationen zwischen unterschiedlichen Systemen und Organisationen verarbeitet werden.

Für den Datenschutz ist deshalb entscheidend, welche Unternehmen über die Zwecke und Mittel der Verarbeitung bestimmen und welche lediglich im Auftrag anderer tätig werden.

Aus diesen Rollen ergeben sich unterschiedliche rechtliche Pflichten.

Eine nachvollziehbare Organisation der Datenverarbeitung setzt voraus, dass Verantwortlichkeiten geklärt sind und betroffene Personen erkennen können, wer ihre Daten verarbeitet und an wen sie sich mit Fragen oder Auskunftsanfragen wenden können.

Die Beschwerden gegen Scale AI könnten daher auch für andere Unternehmen von Bedeutung sein, die menschliche Datenarbeit über digitale Plattformen organisieren.

Was jetzt geklärt werden muss

Eine abschließende Entscheidung der zuständigen Datenschutzbehörden zu den am 27. Oktober 2026 bekannt gewordenen Beschwerden liegt nach den bislang vorliegenden Informationen nicht vor.

Zu prüfen ist insbesondere, ob die beanstandeten Tracking-Verfahren auf einer ausreichenden Rechtsgrundlage beruhen und mit den Anforderungen der DSGVO vereinbar sind.

Auch die Zulässigkeit der Identitätsprüfungen sowie der Umgang mit den Auskunftsanfragen stehen zur Diskussion.

Reuters zufolge reagierte Scale AI zunächst nicht auf eine Anfrage zur Stellungnahme. Eine abschließende Stellungnahme des Unternehmens zu den konkreten Beschwerden lag zum Zeitpunkt dieser Berichterstattung daher nicht vor.

Für den weiteren Verlauf wird entscheidend sein, wie die zuständigen Behörden die einzelnen Verarbeitungsvorgänge bewerten und welche Maßnahmen sich gegebenenfalls daraus ergeben.

Die Beschwerden gegen Scale AI zeigen, dass die Entwicklung künstlicher Intelligenz nicht nur Fragen zur Qualität und Leistungsfähigkeit der Modelle aufwirft. Ebenso wichtig ist der Umgang mit den Menschen, die an ihrer Entwicklung beteiligt sind.

Ob die beanstandeten Verfahren auf Outlier mit europäischem Datenschutzrecht vereinbar sind, müssen nun die zuständigen Behörden klären. Ihre Entscheidungen könnten auch für andere Unternehmen relevant werden, die menschliche Datenarbeit über digitale Plattformen organisieren.