Eine kürzlich Bericht vom Future of Privacy Forum [PDF] legt Empfehlungen zur Bewältigung der Datenschutzrisiken im Zusammenhang mit immersiven Augmented-(AR)- und Virtual-Reality-(VR)-Technologien fest, die zunehmend in Bildung und Ausbildung, Spielen, Multimedia, Navigation und Kommunikation eingesetzt werden.

Da AR- und VR-Anwendungen, die es Benutzern ermöglichen, eine gemeinsame digitale Überlagerung der physischen Welt in Echtzeit zu erkunden, weiter verbreitet und verbessert werden, werden sie wahrscheinlich zu einer „erweiterten Realität“ oder XR zusammenlaufen. Diese Technologien sammeln und verarbeiten große Mengen sensibler personenbezogener Daten, einschließlich biometrischer Daten, eindeutiger Gerätekennungen, Standort und Informationen über Haushalte und Unternehmen. Wie andere aufkommende Technologien wie künstliche Intelligenz und 5G-Kommunikation birgt dies jedoch ein Risiko für die betroffenen Personen, das die weitere Einführung von AR- und VR-Plattformen untergraben könnte, indem deren Nützlichkeit eingeschränkt wird. Ohne diese Daten können XR-Technologien einfach nicht funktionieren.

Das Future of Privacy Forum ist ein Think Tank, der Akademiker, Verbraucherschützer und die Industrie zusammenbringt, um die Herausforderungen der technologischen Innovation zu untersuchen und Datenschutz, ethische Normen und praktikable Geschäftspraktiken zu entwickeln. Der Zweck des Berichts besteht darin, aktuelle und zukünftige Anwendungsfälle für XR-Technologien zu berücksichtigen und Empfehlungen für die Industrie zu geben, diese durch die Verabschiedung von Datenschutzrichtlinien verantwortungsbewusst umzusetzen. Dazu gehört auch die Beratung von politischen Entscheidungsträgern, die sich überlegen müssen, wie ihre datenschutzrechtlichen Verpflichtungen im Hinblick auf die Erhebung personenbezogener Daten durch XR-Technologien umgesetzt werden; zum Beispiel, wie Hardwarehersteller Transparenz bei ihrer Datenerhebung, -nutzung und -freigabe bewahren und wie Entwickler Daten lokal verarbeiten können.

Der Bericht enthält mehrere wichtige Empfehlungen. Erstens sollten politische Entscheidungsträger sorgfältig prüfen, wie bestehende oder geplante Datenschutzgesetze Verbrauchern sinnvolle Rechte und Unternehmen klare Pflichten in Bezug auf XR-Daten einräumen können. Sie schlägt auch vor, dass Hardwarehersteller überlegen sollten, wie die Erfassung, Verwendung und Weitergabe von XR-Daten auf eine Weise durchgeführt werden kann, die für Benutzer, Umstehende und andere Interessengruppen transparent ist.

XR-Entwickler ihrerseits sollten prüfen, inwieweit sensible personenbezogene Daten lokal verarbeitet und auf dem Gerät gespeichert werden können, während gleichzeitig sichergestellt wird, dass sensible personenbezogene Daten bei der Übertragung und im Ruhezustand verschlüsselt werden.

Plattformen und Anbieter von XR-Erlebnissen sollten Regeln für virtuelle Identität und Eigentum implementieren, die Online-Belästigung, digitalen Vandalismus und Betrug mildern, anstatt sie zu erhöhen. Sie müssen auch klare Richtlinien festlegen, die physische Risiken für XR-Benutzer und Zuschauer mindern, und eine breite Palette anpassbarer Avatar-Funktionen bereitstellen, die die breitere Community widerspiegeln und die Repräsentation und Inklusion fördern.

Es liegt auch in ihrer Verantwortung, sich mit der größeren Gemeinschaft von Interessengruppen, einschließlich Branchenexperten, Fürsprechern, politischen Entscheidungsträgern, XR-Benutzern und Nicht-XR-Benutzern, zu beraten und Community-Feedback in Entscheidungen über Software- und Hardwaredesign sowie Datenerfassung, -verwendung und -freigabe zu integrieren.

Forschende, die in diesem Bereich tätig sind, müssen ihrerseits eine informierte Einwilligung einholen, bevor sie mit XR-Technologien forschen, und erwägen, eine Überprüfung durch ein institutionelles oder ethisches Gutachtergremium zu beantragen, wenn die Einwilligung nicht praktikabel ist.

Viele dieser Empfehlungen richten sich an die Industrie und die Überlegungen spiegeln sich am besten in Datenschutzrichtlinien sowie Endbenutzer-Lizenzvereinbarungen (EULAs) wider. Die Schwierigkeit bei dem Versuch, bestehende Richtlinien und Vereinbarungen für diese Branche nachzurüsten, besteht darin, dass sie Gefahr laufen, die Funktionsweise dieser Technologien nicht vollständig zu schätzen. Die bei Software und Websites übliche Methode zum Ankreuzen von Kästchen, um EULAs und Datenschutzrichtlinien zuzustimmen, passt möglicherweise nicht so leicht in XR.

Die umfangreichen personenbezogenen Daten, die von XR-Technologien gesammelt werden, tragen zu besseren immersiven Erfahrungen bei, können aber auch Datenschutzrisiken verschlimmern – die einzigartige Natur dieser Technologien macht es schwierig, Risiken durch die Anwendung bestehender Datenschutzrichtlinien und -praktiken aus anderen digitalen Mediensektoren zu mindern, und erfordert neue innovative Ansätze für Auswahl, Sicherheit und Transparenz. VR-Headsets können beispielsweise große Mengen an persönlichen Daten wie Geschicklichkeit, Bewegungsfreiheit und Reaktionszeiten erfassen und möglicherweise ein Gesundheitsprofil aufbauen – Eye-Tracking-Technologie ist weitaus aufdringlicher als Cookies.

VR-Hersteller müssen sicherstellen, dass die Privatsphäre geschützt und die Daten sicher verarbeitet und gespeichert werden – und das nur mit ausdrücklicher Zustimmung. Wenn die Verarbeitung medizinischer Daten durch ein Gerät die Diagnose oder Behandlung unterstützt, sollten sie auch prüfen, ob eine Zulassung eines Medizinprodukts erforderlich ist und ob die aus der Forschung resultierenden Datenschutzrisiken durch Datenanonymisierung gemindert werden könnten.

Die FPF-Empfehlungen zielen darauf ab, der Industrie und politischen Entscheidungsträgern eine Möglichkeit zu bieten, dies anzugehen, ohne die Vorteile der XR-Technologien zu beeinträchtigen. Der Bericht geht davon aus, dass sich XR-Technologien ständig weiterentwickeln, und versucht, dies anzugehen, indem er sich auf die tatsächlichen Schäden konzentriert, die mit Benutzerdaten verbunden sind.

Das angestrebte Ergebnis ist eindeutig, dass die politischen Entscheidungsträger in einem innovationsfreundlichen regulatorischen Umfeld arbeiten, indem sie bestehende Regeln klären und harmonisieren und branchenübliche Empfehlungen speziell für die XR-Branche einführen. Der beste Weg, dies zu tun, besteht darin, dass sich Industrie und politische Entscheidungsträger hinter Empfehlungen wie denen des FPF stellen und überlegen, wie diese am besten in ihre bestehenden Praktiken umgesetzt werden können.

Rayyan Mughal ist Rechtsanwalt für Handelsvertragsrecht und Partner bei Marken & Schreiber.