DSGVO und KI-Verordnung: Was beim Digitalisieren von Familienbriefen gilt

Ein Karton, dreißig Briefe, und eine Frage, die juristisch wird

Zwanzig Jahre stand der Karton im Keller der Tante. Dreißig Briefe, 1958 bis 1971, in der Handschrift der Großmutter an ihre Schwester. Beim Digitalisieren liest man von einer Fehlgeburt. Von einer Nachbarin, die dem Pfarrer zu nahe stand. Von einem Onkel, der 1961 aus der Kirche austrat, weil er in der Partei Karriere machen wollte. Nichts davon ist die eigene Geschichte. Es ist die Geschichte anderer Menschen, in fremder Handschrift, mit Namen, Adressen, Krankheiten, Überzeugungen.

Wer solche Briefe in ein digitales Archiv lädt, verarbeitet personenbezogene Daten. Nicht nur die eigenen. An diesem Punkt denken viele Familienforscher und auch manche Institutionen zu kurz. Sie gehen davon aus, die DSGVO betreffe vor allem das eigene Nutzerkonto, den eigenen Namen, die eigene E-Mail-Adresse. Die eigentliche Frage beginnt aber erst beim Inhalt der Dokumente.

Wessen Daten sind das eigentlich?

Bei den meisten digitalen Diensten ist die Sache einfach: Der Nutzer gibt eigene Daten ein, der Anbieter verarbeitet sie im Auftrag. Beim Digitalisieren von Familienbriefen kippt dieses Modell. Der Nutzer lädt Dokumente hoch, deren Inhalt sich auf Dritte bezieht: den Verfasser, den Empfänger, jede im Text erwähnte Person. Diese Personen haben der Verarbeitung nie zugestimmt und wissen in aller Regel nichts davon, dass ihr Brief heute in einer Datenbank liegt und von einer KI gelesen wird.

Rechtlich heißt das: Wer ein Archiv anlegt und Dokumente mit Personenbezug hochlädt, wird für die Daten Dritter selbst zum datenschutzrechtlich Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO. Der Dienstleister, der die Transkription übernimmt, handelt dabei nur als Auftragsverarbeiter, weisungsgebunden und ohne eigenen Entscheidungsspielraum über Zweck und Mittel der Verarbeitung. Diese Verantwortung lässt sich nicht outsourcen, indem man sie schlicht ignoriert. Der Text der Verordnung selbst ist an dieser Stelle deutlicher, als viele Nutzer vermuten.

Tote Menschen und die DSGVO

Gilt das auch für längst Verstorbene? Ein Blick in Erwägungsgrund 27 der Verordnung hilft, und der ist unmissverständlich. Die DSGVO gilt nicht für Verstorbene. Die Mitgliedstaaten dürfen eigene Regelungen für den Umgang mit deren Daten schaffen, Deutschland hat von dieser Öffnungsklausel bislang keinen Gebrauch gemacht. Wer einen Brief der 1962 verstorbenen Urgroßmutter digitalisiert, bewegt sich damit außerhalb des unmittelbaren DSGVO-Anwendungsbereichs, jedenfalls was diese Person betrifft.

Vollständig aus dem Schneider ist man damit trotzdem nicht. Das allgemeine Persönlichkeitsrecht aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 Grundgesetz wirkt über den Tod hinaus, wenn auch mit abnehmender Kraft. Die Rechtsprechung erkennt hier eine Schutzdauer an, die sich, soweit die Urteilslage das erkennen lässt, graduell über zehn bis dreißig Jahre abschwächt. Wie genau diese Abschwächung im Einzelfall verläuft, lässt sich nicht abschließend klären. Enthält der Nachlass Fotografien der verstorbenen Person, kommt zusätzlich § 22 Kunsturhebergesetz ins Spiel: Bildnisse dürfen innerhalb von zehn Jahren nach dem Tod nur mit Zustimmung der Angehörigen veröffentlicht werden, im Einzelnen des überlebenden Ehegatten oder Lebenspartners gemeinsam mit den Kindern, hilfsweise der Eltern; mehr dazu im Ratgeber Familienarchiv und Datenschutz. Und wer beruflich anvertraute Geheimnisse eines Verstorbenen kennt, etwa aus einem Arztbrief im Nachlass, ist unter Umständen an § 203 Abs. 4 Nr. 3 Strafgesetzbuch gebunden.

Verstorbene fallen aus der DSGVO heraus, aber nicht aus jedem Schutz. Der Nachlass ist juristisch leerer, als viele annehmen, aber nicht leer.

Wenn im Brief Krankheit, Kirche oder Partei stehen

Der Karton aus dem Keller enthält selten neutrale Fakten. Familienkorrespondenz aus dem 20. Jahrhundert berichtet mit hoher Wahrscheinlichkeit von Krankheiten, von Kirchenaustritten oder -eintritten, von politischer Zugehörigkeit, gerade wenn Briefe aus der NS-Zeit oder der unmittelbaren Nachkriegszeit stammen. Genau das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO: Gesundheitsdaten, religiöse Überzeugung, politische Meinung. Für sie gilt ein deutlich strengerer Maßstab als für gewöhnliche Personendaten, und die üblichen Rechtsgrundlagen tragen hier oft nicht.

Eine mögliche Grundlage ist das Forschungsprivileg nach § 27 Bundesdatenschutzgesetz, das die Verarbeitung besonderer Kategorien zu wissenschaftlichen oder historischen Forschungszwecken erleichtert. Ob privates Familienarchivieren darunterfällt, ist keine triviale Frage. Es spricht einiges dafür, dass die Antwort vom konkreten Zweck der Sammlung abhängt und sich nicht pauschal geben lässt. Wer ein Archiv nicht nur für sich selbst führt, sondern etwa mit wissenschaftlichem Anspruch für eine Institution oder Publikation aufbaut, sollte diesen Punkt vor größeren Digitalisierungsprojekten konkret klären lassen.

Warum der Anbieter nicht der Buhmann ist

Wer ein Tool zur KI-gestützten Transkription nutzt, schiebt die Verantwortung an den Anbieter ab? Das Gegenteil trifft zu. Der Anbieter verarbeitet die Bilddaten und Textabschnitte ausschließlich zur Erzeugung der angeforderten Ausgabe, meist über einen KI-Dienst als Unterauftragsverarbeiter. Die Entscheidung, welches Dokument mit welchem Personenbezug überhaupt hochgeladen wird, trifft aber der Nutzer selbst. Seriöse Anbieter lassen sich das inzwischen ausdrücklich zusichern, bevor ein Archiv angelegt wird, und bieten Geschäftskunden auf Anfrage einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO an. Kein bürokratischer Selbstzweck, sondern die saubere Aufteilung von Verantwortung zwischen Verantwortlichem und Auftragsverarbeiter, wie die Verordnung sie vorsieht.

Die Ausnahme, die die meisten übersehen

Ein Denkfehler zieht sich durch viele Familienarchive: die Annahme, historisch bedeute automatisch unproblematisch. Für Briefe aus dem Kaiserreich stimmt das meistens, weil die genannten Personen längst verstorben sind. Für Korrespondenz der letzten fünfzig bis siebzig Jahre stimmt es nicht mehr zuverlässig. Ein Brief von 1968 kann Kinder erwähnen, die heute selbst über achtzig sind und quicklebendig. Ein Tagebuch aus den späten Achtzigern kann Nachbarschaftskonflikte, Krankheiten oder Beziehungen von Menschen dokumentieren, die noch mitten im Leben stehen und von der Digitalisierung nichts ahnen. Das Alter des Papiers sagt nichts über den Rechtsstatus der darin genannten Menschen. Entscheidend ist das Sterbedatum der jeweiligen Person, nicht das Datum des Briefs. Zu Fragen der Familienforschung in der NS-Zeit verschärft sich das noch, weil hier politische und religiöse Angaben besonders dicht auftreten.

Alt ist nicht gleich erledigt. Ein vergilbtes Blatt Papier kann eine noch lebende Person betreffen, ein druckfrisches Dokument eine längst verstorbene.

Die neue Pflicht: sagen, dass eine KI mitliest

Seit dem 2. August 2026 gelten die Transparenzpflichten der EU-KI-Verordnung nach Art. 50. Wer mit einem KI-System interagiert, etwa in einem Chat, der Fragen an ein digitalisiertes Archiv beantwortet, muss darüber informiert werden, dass er es mit einer KI zu tun hat. Wer KI-generierte Texte veröffentlicht, also Chronik-Artikel, Zusammenfassungen, Interpretationen, muss diese als KI-generiert kennzeichnen. Das ist keine Formalie, die man in einer Datenschutzerklärung versteckt und damit erledigt hat. Die Kennzeichnung muss dort sichtbar sein, wo die Interaktion tatsächlich stattfindet, direkt im Chat-Fenster, direkt über dem generierten Artikel.

Interessant ist, wie schnell sich das Umfeld gerade weiterdreht. Die Datenschutzkonferenz hat im Dezember 2025 vorgeschlagen, die Informationspflichten aus Art. 13 und 14 DSGVO ausdrücklich um KI-spezifische Hinweise zu erweitern, weil die bisherige Kategorie „Empfänger" der Komplexität von KI-Verarbeitung nicht gerecht wird. Wer heute schon KI-Dienstleister als eigene, klar benannte Kategorie in seiner Datenschutzerklärung ausweist, statt sie unter „IT-Dienstleister" zu verstecken, ist der absehbaren Rechtsentwicklung möglicherweise einen Schritt voraus. Wie sich die Praxis der Aufsichtsbehörden hier tatsächlich entwickelt, lässt sich derzeit nicht abschließend klären.

Wo die Ampel wirklich auf Rot steht

Die KI-Verordnung verbietet bestimmte Praktiken vollständig, unabhängig von jeder Einwilligung: Social Scoring, biometrische Kategorisierung nach sensiblen Merkmalen, manipulative Beeinflussung, die eine Person erkennbar schädigt. Für ein Archivierungs- und Transkriptionswerkzeug ist das in aller Regel kein Thema, solange es reine Texterschließung bleibt und keine automatisierten Entscheidungen über lebende Personen trifft. Auch die Hochrisiko-Kategorien aus Anhang III, etwa Systeme zur Bewertung von Beschäftigten oder zur Strafverfolgung, greifen bei der Digitalisierung von Familienbriefen nicht. Wichtig ist, diese Einstufung nicht stillschweigend vorauszusetzen, sondern einmal schriftlich zu begründen, warum das eigene System als begrenztes Risiko gilt und nicht als hohes. Orientierung bietet hier die Bundeszentrale für politische Bildung, die die Grundzüge der KI-Verordnung allgemeinverständlich aufbereitet.

Ein Verzeichnis, das kleine Anbieter gern übersehen

Viele Kleinunternehmer und Vereine gehen davon aus, sie seien von der Pflicht befreit, ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO zu führen, weil ihr Betrieb unter zwanzig Beschäftigte hat. Diese Ausnahme gilt aber nicht uneingeschränkt. Sobald regelmäßig besondere Kategorien personenbezogener Daten nach Art. 9 verarbeitet werden, und bei historischer Familienkorrespondenz mit Gesundheits-, Religions- oder politischen Angaben ist das strukturell der Fall, entfällt die Kleinunternehmer-Ausnahme. Ein Verarbeitungsverzeichnis wird dann Pflicht, unabhängig von der Unternehmensgröße.

Die Zwanzig-Mitarbeiter-Grenze ist keine Freikarte. Wo Krankheit, Glaube und Parteibuch im Briefpapier stecken, greift sie schlicht nicht mehr.

Was Sie vor dem nächsten Upload wirklich prüfen sollten

Vor dem nächsten größeren Digitalisierungsprojekt lohnt sich ein kurzer, ehrlicher Check. Wessen Handschrift steht auf dem Dokument, und lebt diese Person noch? Werden im Text Dritte namentlich erwähnt, die heute noch leben könnten? Enthält der Brief Angaben zu Gesundheit, Religion oder politischer Überzeugung, die besonders schutzwürdig sind? Wird das Archiv rein privat geführt oder mit einem darüber hinausgehenden, etwa institutionellen oder wissenschaftlichen Zweck? Wer diese vier Fragen für den eigenen Bestand einmal grundsätzlich beantwortet, muss sie nicht bei jedem einzelnen Brief neu stellen, sondern hat eine verlässliche Grundlage für den gesamten Bestand.

Was bleibt, ist eine schlichtere Frage als all die Paragrafen vermuten lassen. Wem gehören die Zeilen eigentlich, bevor man sie einer Datenbank anvertraut? Wer sich das einmal ehrlich stellt, braucht die juristische Spitzfindigkeit meist gar nicht mehr.