Jusletter IT

Datenschutzerklärungen sind im Alltag allgegenwärtig. Sie begegnen Betroffenen häufig auf Websites und sollen über die Verarbeitung von personenbezogenen Daten informieren. Dennoch belegen Umfragen unter Verbrauchern, dass die vorhandenen Datenschutzerklärungen zu lang und für viele unverständlich sind.¹ Verschiedene Studien im englischen Sprachraum, die sowohl vor² als auch nach dem Inkrafttreten der DSGVO durchgeführt wurden, zeigen durchgehend eine hohe Komplexität der Texte.³ Auch im deutschsprachigen Raum konnten diese Ergebnisse bestätigt werden.⁴ Dieses Ergebnis wirft Zweifel auf, ob diese Praxis im Einklang mit der DSGVO steht – insbesondere, wenn sich die Datenschutzerklärungen beispielsweise an Kinder richten, die lange komplexe Texte nur schwer verstehen können. Bei Erwachsenen könnte dies ebenfalls problematisch sein: Obwohl mehr als 50% aller Deutschen im Alter von 25 bis 64 Jahren einen Abschluss der Sekundarstufe II oder höher aufweisen⁵, liegt die Lesekompetenz der Deutschen laut der PIAAC-Studie bei Stufe II von V⁶, was ein Leseverständnis im unteren Mittelfeld der Skala darstellt. Dies wirft die Frage auf, ob Sprachmodelle eine einfache Lösung darstellen können, um Datenschutzerklärungen verständlicher zu formulieren.

Um festzustellen, ob Sprachmodelle Datenschutzerklärungen auch tatsächlich verständlicher oder lesbarer formulieren können, muss die Lesbarkeit eines Textes zunächst messbar gemacht werden. Zur Bestimmung der Lesbarkeit wurden im Verlauf der Zeit verschiedene Lesbarkeitsindizes erarbeitet. Während die meisten dieser Masse in der englischen Sprache entwickelt wurden (beispielsweise SMOG⁷), gibt es auch eine Reihe an Lesbarkeitsindizes für die deutsche Sprache. Tabelle 1 gibt eine Übersicht über die im folgenden betrachteten Masse und ihre Auswertung.

Tabelle 1: Lesbarkeitsindices für die deutsche Sprache und ihre Auswertung.

LIX ist ein Lesbarkeitsmass, welches ursprünglich für die schwedische Sprache entwickelt wurde und auch auf die deutsche Sprache angewandt werden kann.⁸ Es berechnet sich aus der durchschnittlichen Satzlänge und dem Prozentsatz der langen Wörter (mehr als sechs Buchstaben) eines Textes und liefert Werte im Bereich von 15 bis 80, wobei höhere Werte eine schlechtere Lesbarkeit darstellen. Texte mit einem Wert unter 40 werden als leicht, Texte mit einem Wert von 40 bis 50 als mittel, und Texte mit einem darüber liegenden Wert als schwer eingestuft.

Der auf der englischen Sprache erstellte Lesbarkeitsindex SMOG kann durch spezifische Änderungen auf die deutsche Sprache zugeschnitten werden⁹ (auch G-SMOG genannt). Er betrachtet die Anzahl der mehrsilbigen Wörter (drei oder mehr Silben) im Verhältnis zur Anzahl der Sätze und liefert einen Wert, der in etwa den Schuljahren entspricht, die Leser für das Verständnis des Textes benötigen.¹⁰ Ist etwa das Ziel, dass 15-Jährige einen Text verstehen können, so ist ein SMOG-Index von 8 oder geringer erstrebenswert.

Die (vierte) Wiener Sachtextformel¹¹ (WSF) ist dagegen ein Mass, welches konkret für die deutsche Sprache konzipiert wurde. Es basiert auf dem Verhältnis der Anzahl der Wörter zur Anzahl der Sätze im Text sowie auf dem prozentualen Anteil der Wörter, die mehr als drei Silben aufweisen. Ähnlich wie G-SMOG errechnet es einen Wert, der in etwa die absolvierten Schuljahre¹² abbildet, welche Leser für das Verständnis benötigen.

Mit den Fortschritten im Bereich des maschinellen Lernens in den letzten Jahren sind auch neue Methoden zur Bestimmung der Lesbarkeit in diesem Bereich erforscht worden. Im deutschsprachigen Raum steckt diese Forschung jedoch noch in den Kinderschuhen.¹³

Werden die zuvor beschriebenen Masse auf deutschsprachige Datenschutzerklärungen angewandt,¹⁴ so zeigt sich, dass die Texte weit von einer guten Lesbarkeit entfernt sind: Im Durchschnitt liegt der LIX-Index etwa bei 56 und sowohl G-SMOG (12) als auch die Wiener Sachtextformel (12) weisen auf ein hohes benötigtes Bildungsniveau hin. Die Tatsache, dass eine kindgerechte Umsetzung juristischer Informationen möglich ist, zeigt jedoch etwa die Konvention über die Rechte des Kindes der UN: Während der Originaltext¹⁵ eine hohe Komplexität aufweist (LIX: 83, G-SMOG: 19, WSF: 19¹⁶) erreicht eine speziell für Kinder erstellte Version¹⁷ eine passende Lesbarkeit (LIX: 37, G-SMOG: 7, WSF: 7).¹⁸ Die kindgerechte Version vereinfacht dabei zwar den Sachverhalt des Aussagekerns, die Information darüber, welche Rechte das Kind im Einzelnen hat, bleibt jedoch erhalten. Derartige Umsetzungen sind jedoch nicht die Regel. Die meisten juristischen Informationen sind, wie eingangs beschrieben, schlecht lesbar und benötigen ein hohes Bildungsniveau für das Verständnis.

Diese schlechte Lesbarkeit wirft die Frage auf, ob derartige Datenschutzerklärungen noch den rechtlichen Anforderungen entsprechen. Wie schon beim TMG¹⁹ dienen Datenschutzerklärungen zur Erfüllung der gesetzlichen Informationspflichten der DSGVO. Erhebt der Verantwortliche beispielsweise personenbezogene Daten bei dem Betroffenen, muss er diesem gemäss Art. 13 DSGVO bestimmte Informationen zum Zeitpunkt der Erhebung zur Verfügung stellen.²⁰ Dazu gehören nach Art. 13 Abs. 1 DSGVO unter anderem Namen und Kontaktdaten des Verantwortlichen, der Zweck der Verarbeitung, die Rechtsgrundlage, die berechtigten Interessen und gegebenenfalls die Empfänger der Daten.²¹ Zusätzlich zu diesen Informationen muss der Verantwortliche in der Regel auch die Informationen des Art. 13 Abs. 2 DSGVO, wie beispielsweise Informationen über Speicherdauer und Betroffenenrechte, zur Verfügung stellen.²²

Art. 13 DSGVO regelt allerdings nicht, welche Anforderungen die bereitgestellten Informationen erfüllen müssen. Dies regelt Art. 12 DSGVO. Gemäss Art. 12 Abs. 1 DSGVO müssen die Informationen “in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache [übermittelt werden]; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten.”. Diese Anforderungen gelten nicht nur für Art. 13 DSGVO, sondern “grundsätzlich für alle in Art. 13 bis 22 sowie in Art. 34 enthaltenen Informationspflichten.”²³ Art. 12 Abs. 1 DSGVO stellt sowohl formelle als auch inhaltliche Anforderungen an bereitzustellende Informationen.²⁴

Alle Informationen sollen gemäss Art. 12 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form übermittelt werden. Das Merkmal der präzisen Form bedeutet, dass eine Information hinreichend genau und von anderen Informationen abgegrenzt ist.²⁵ Die Informationen sind “auf einfache Formel gebracht und griffig” darzustellen.²⁶ Sie dürfen kein Ausmass annehmen, das den Betroffenen überfordert.²⁷ Das Merkmal der Transparenz bedeutet, dass der Betroffene derart informiert werden soll, dass er den Umfang und die Folgen der Verarbeitung einschätzen kann und über die konkreten Risiken der Verarbeitung aufgeklärt ist.²⁸ Verständlichkeit setzt voraus, dass der Betroffene den Inhalt erfassen und die Informationen über die Verarbeitung seiner personenbezogenen Daten in seine Entscheidungen einbeziehen kann.²⁹ Das Kriterium der leichten Zugänglichkeit bedeutet, dass der Betroffene die Informationen “mit den [ihm] zur Verfügung stehenden (technischen) Mitteln (...) erreichen kann.”³⁰

Die Informationen sollen in einer einfachen und klaren Sprache übermittelt werden. Einfache und klare Sprache bedeutet, dass Fachbegriffe möglichst vermieden beziehungsweise verständlich erklärt werden.³¹ Komplexe, lange Sätze mit mehreren Kommata und vielen Wörtern sind möglichst zu vermeiden.³² Insbesondere muss der Betroffene erfahren, “ob eine Datenverarbeitung stattfindet oder nicht.”³³

Art. 12 Abs. 1 HS. 2 DSGVO stellt klar, dass diese aufgeführten Anforderungen insbesondere dann gelten, wenn sich die Informationen speziell an Kinder richten. Kinder im Sinne der DSGVO sind alle Personen, die das 18. Lebensalter noch nicht vollendet haben.³⁴ Anhand der Art und Gestaltung eines Angebots lässt sich erkennen, ob es sich an Kinder richtet.³⁵ Indizien sind insbesondere die Art der Sprache und die Bilder, die das Angebot enthält.³⁶ Bei Verarbeitung von personenbezogenen Daten von Kindern, denen die “betreffenden Risiken, Folgen und Garantien und ihre Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind”, bedarf es eines besonderen Schutzes.³⁷ Für die Informationspflichten bedeutet dies, dass die genannten Informationen in einer für Kinder verständlichen Sprache vorliegen müssen.³⁸ Ein gutes Beispiel für die Übersetzung von juristischen Texten in kindgerechte Sprache bildet die in Abschnitt 2 angesprochene Konvention über die Rechte des Kindes der UN.³⁹

Genaue gestalterische Vorgaben, wie die eben beschriebenen Anforderungen umzusetzen sind, enthält Art. 12 Abs. 1 DSGVO nicht. Dies stellt an die Umsetzung besondere Herausforderungen. So können umfangreiche Erklärungen den Betroffenen schon aus Zeitgründen leicht überfordern.⁴⁰ Der Verantwortliche muss genaue und vollständige Informationen “mit einer anschaulichen, unkomplizierten und nachvollziehbaren Darstellung in Einklang bringen, (...)”.⁴¹ Art. 12 Abs. 1 DSGVO lässt dem Verantwortlichen einen Gestaltungsspielraum, wie er die eben beschriebenen Anforderungen konkret erfüllt.⁴² Demnach lässt sich eine Verletzung von Art. 12 Abs. 1 DSGVO nur feststellen, wenn die Informationen grob ungenau oder unverständlich sind.⁴³

Um eine Verletzung der Vorschrift festzustellen, muss zuerst der Massstab festgelegt werden, mit dem die Verständlichkeit zu messen ist. Aus der Vorschrift selbst wird jedoch nicht deutlich, wie verständlich die Anforderungen sein müssen und wie viele Informationen den Betroffenen überfordern.

Ein möglicher Massstab ist die Fähigkeit und das Verständnis eines durchschnittlichen Adressaten.⁴⁴ Dieser wird anhand des “typischen Angehörigen des Zielpublikums” ermittelt.⁴⁵ Gibt es unterschiedliche Adressatenkreise, hat der Verantwortliche für jeden Adressatenkreis unterschiedliche Darstellungen bereitzustellen.⁴⁶ Dieser adressatenorientierte Massstab stützt sich auf den Wortlaut des Art. 12 Abs. 1 DSGVO, der sich durch das “insbesondere” nicht nur auf Kinder bezieht, sondern auch darüber hinaus reicht.⁴⁷ Durch dieses “insbesondere” im Wortlaut wird allerdings auch deutlich, dass die “Regelungen der einfachen Sprache nicht pauschal für alle Empfänger angewendet werden müssen.”⁴⁸ Vielmehr ist, um eine “intendierte Stärkung der Autonomie des Betroffenen und seiner datenschutzrechtlichen Betroffenenrechte effektiv” zu gewährleisten, auf den “durchschnittlich verständigen Betroffenen” abzustellen.⁴⁹ Für die gängigen Datenschutzerklärungen, die ein hohes Bildungsniveau erfordern, bedeutet das Folgendes: Ist der durchschnittliche Adressat eine Person mit mittlerem oder hohem Bildungsniveau, sind die Anforderung des Art. 12 DSGVO noch erfüllt. Handelt es sich bei dem Zielpublikum um Menschen, die ein niedriges oder ein sich noch entwickelndes Leseverständnis aufweisen, erfüllen die gängigen Datenschutzerklärungen nicht die Anforderungen des Art. 12 DSGVO.

Eine andere Auslegung geht von einem “weit unterdurchschnittliche[n] Maßstab” aus.⁵⁰ Demnach bestimmt sich der Adressat ebenfalls aus der “Benutzergruppe”.⁵¹ Es dürfe aber nicht an den durchschnittlichen Adressaten angeknüpft werden, sondern es muss ein “weit unterdurchschnittlicher Maßstab” angesetzt werden.⁵² Diese Auslegung stützt sich insoweit auf primärrechtliche Vorschriften. So gilt Art. 8 GRCh für “jede Person” und ein “weit unterdurchschnittlicher Maßstab” würde “insoweit allen Menschen gerecht werden”.⁵³ Die Folge dieses Massstabs wäre, dass Datenschutzerklärungen, die ein hohes Leseverständnis erfordern, grob unverständlich sind und damit gegen Art. 12 Abs. 1 DSGVO verstossen.

Im Ergebnis ist grundsätzlich der Massstab eines durchschnittlichen Adressaten vorzuziehen. Dies liegt zum einen daran, dass dieser Massstab zuverlässiger erfüllt werden kann: Wird die Datenschutzerklärung so gestaltet, dass sie von einem typischen Angehörigen des Zielpublikums verstanden werden kann, ist es möglich, dies anhand der Zielgruppe auch zu testen. Zum anderen würde ein unterdurchschnittlicher Massstab zu erheblichen Unsicherheiten führen, weil der Verantwortliche nicht wissen kann, wann dieser “weit unterdurchschnittliche Maßstab” genau erfüllt ist. Das Abweichen von der bisherigen Zielgruppe würde auch den Erfüllungsaufwand erhöhen, weil zur Feststellung nicht nur der durchschnittliche Adressat ermittelt werden müsste, sondern auch der “weit unterdurchschnittliche”. Dies würde zu einem gesteigerten Erfüllungsaufwand führen, der einer effizienten datenschutzrechtlichen Gestaltung entgegensteht.

Wird dieser Massstab nun auf die gängigen Datenschutzerklärungen angewendet, die den durchschnittlichen Deutschen als Durchschnittsadressaten voraussetzen, ergibt sich Folgendes: Der durchschnittliche Betroffene in Deutschland hat, wie die oben erläuterten Ergebnisse der PIAAC-Studie zeigen, ein niedriges bis mittleres Leseverständnis. Die gängigen Datenschutzerklärungen, die ein hohes Leseverständnis erfordern, sind daher bereits für den durchschnittlichen Deutschen unverständlich bis grob unverständlich. Im Einzelfall dürften Datenschutzerklärungen, die ein hohes Leseverständnis erfordern, daher nicht mehr den Anforderungen der DSGVO entsprechen. Dem Verantwortlichen ist folglich nahezulegen, seine Datenschutzerklärungen verständlicher zu gestalten. Grosse Sprachmodelle könnten den Verantwortlichen dabei unterstützen.

Um das Potential von Sprachmodellen für die Vereinfachung von vorhandenen Datenschutzerklärungen zu untersuchen, müssen die von Sprachmodellen erzeugten Texte analysiert werden. Die zu vereinfachenden Inhalte sollen dabei in einfacher Sprache möglichst ohne komplizierte Sätze und Fachwörter formuliert werden. Dies deckt sich auch mit den in Abschnitt 2 eingeführten Lesbarkeitsindizes. Der Inhalt der Informationspflicht darf jedoch nicht verloren gehen. Im Folgenden soll nun untersucht werden, ob Kinder die erzeugten Datenschutzerklärungen verstehen können. Dies basiert darauf, dass die DSGVO diesen speziellen Massstab in Art. 12 DSGVO hervorhebt und bereits auf Erkenntnisse der Forschung über das Leseverständnis von Kindern zurückgegriffen werden kann. Vorliegend wird sich auf Kinder im Alter zwischen 13 und 16 Jahren konzentriert.⁵⁴ Für die Untersuchung werden daher im Folgenden zwei Beispieldatensätze zuerst auf ihre Lesbarkeit untersucht und im Anschluss daran mit Hilfe zweier Sprachmodelle vereinfacht. Für die Analyse der Lesbarkeit wurden jeweils die Überschriften entfernt, da diese oftmals keine vollständigen Sätze ergeben.

Datensatz A: Datenschutzerklärungen bekannter Websites

Im ersten Datensatz wurden die Datenschutzerklärungen der 20 meistbesuchten Websites in Deutschland⁵⁵ betrachtet. Sie umfassen auch für Kinder und Jugendliche besonders relevante Websites wie etwa Seiten von Google, Amazon, Spotify oder auch Valve (Steam). Daher sollten diese Datenschutzerklärungen eine adäquate Lesbarkeit für Kinder und Jugendliche aufweisen. Die verschiedenen eingangs beschriebenen Lesbarkeitsmasse bestätigen dies jedoch nicht: im Durchschnitt werden die Datenschutzerklärungen als äusserst komplizierte Texte bewertet, die eine langjährige Schulbildung bis zum Ende der Oberstufe voraussetzen (LIX: 59, G-SMOG: 12, WSF: 13). Auch die (entsprechend der Masse) am besten lesbare Datenschutzerklärung weist noch keine kinderfreundlichen Texte auf (LIX: 51, G-SMOG: 9, WSF: 11).

Datensatz B: Muster für Datenschutzerklärungen

Der zweite Datensatz umfasst fünf Muster, die Unternehmen zur Erstellung ihrer Datenschutzerklärungen nutzen können. Diese Muster sind über eine weit verbreitete juristische Datenbank erreichbar. Dadurch besteht die Möglichkeit, dass sie oft als Vorlage genutzt werden, weil Verantwortliche davon ausgehen, dass die Muster den Anforderungen des Datenschutzrechts gerecht werden. Betrachtet wurden hier Muster für Websites,⁵⁶ mobile Apps,⁵⁷ Videoüberwachung⁵⁸ und eine Social-Media-Präsenz.⁵⁹ Wird die Lesbarkeit der Texte⁶⁰ analysiert, so ergeben sich tatsächlich bessere Werte als im Datensatz A. Die Verbesserungen können bspw. darauf zurückgeführt werden, dass die Texte insgesamt kompakter sind und kürzere Sätze enthalten. Doch auch in diesem Datensatz kann noch nicht von einer guten Lesbarkeit die Rede sein (LIX: 51, G-SMOG: 10, WSF: 11).

Im Folgenden werden zwei verschiedene Sprachmodelle unterschiedlicher Komplexität für die Vereinfachung dieser Datenschutzerklärungen betrachtet. Zum einen wurde dazu GPT-3.5 Turbo (im Folgenden nur GPT) von OpenAI genutzt.⁶¹ Mit mehr als 175 Mrd. Parametern⁶² kann dieses Modell als komplexes Modell angesehen werden. Zum anderen wurde ein LLama-basiertes Modell genutzt, welches für deutsche Texte optimiert wurde⁶³ (aus der “EM German”-Reihe, im Folgenden nur EM). Mit nur sieben Mrd. Parametern kann dieses Modell als vergleichsweise weniger komplex angesehen werden. Während GPT in der Analyse bereits im Zero-Shot-Verfahren⁶⁴ vielversprechende Ergebnisse liefert, generiert das EM-Modell nur in der Few-Shot-Variante annehmbare Ergebnisse.⁶⁵ Die Auswertung sowohl der originalen als auch der generierten Texte mithilfe der Lesbarkeitsmasse ist in Abbildung 1 zu sehen. Beide Modelle wurden mit demselben Prompt instruiert (‘Fasse den folgenden Text für Kinder zusammen. {text}’).

Abbildung 1: Ergebnisse der Lesbarkeitsmasse

Es zeigt sich, dass beide Modelle eine Verbesserung der Lesbarkeit bewirken, wobei das komplexere Modell (GPT) laut den Lesbarkeitsmassen die besseren Ergebnisse liefert. Auf den komplexeren Texten von Datensatz A fällt es beiden Modellen schwerer, vereinfachte Textversionen zu erstellen, als auf den einfacheren Texten von Datensatz B. EM bleibt dabei stets über der Grenze von für Kinder gut lesbaren Texten (gestrichelte Linie in der Abbildung). Das bedeutet, dass sie nicht so gut lesbar sind, wie es für Kinder zu empfehlen ist. Für Datensatz B schaffen es dagegen beide Modelle, Texte im Bereich der guten Lesbarkeit zu generieren, wobei die Texte von EM nahe an der Schwelle zur guten Lesbarkeit liegen.

Werden die generierten Texte stichprobenartig betrachtet, zeigen sich jedoch einige Probleme, die in den folgenden drei Beispielen exemplarisch aufgezeigt werden.

Tabelle 2: Beispiel zur Rechtsgrundlage der Verarbeitung.⁶⁶

Die in Tabelle 2 dargestellten Texte erscheinen zunächst gut verständlich. Näher betrachtet stimmt der Inhalt jedoch nicht mit dem Ursprungstext überein und ist rechtlich fehlerhaft. Insbesondere die inhaltliche Bedeutung der Rechtsnormen, also die Verarbeitung aufgrund der Einwilligung (Art. 6 Abs. 1 Satz 1 lit. a) und “zur Erfüllung eines Vertrages” (Art. 6 Abs. 1 Satz 1 lit. b), wird nur oberflächlich ohne die Kernaussagen bzw. verzerrt wiedergegeben. Zudem ist laut den Lesbarkeitsmassen die Lesbarkeit der generierten Texte in diesem Beispiel ausnahmsweise schlechter als die des Originals, obgleich sie immer noch im Bereich der gut lesbaren Texte liegt.

Tabelle 3: Beispiel zur Dauer der Speicherung.⁶⁷

Die Umformulierungen in Tabelle 3 sind ein positives Beispiel. Der Text der beiden Modelle stimmt inhaltlich weitgehend mit dem Ursprungstext überein. Allerdings ist der zweite Abschnitt im EM-Modell zu stark vereinfacht und die Löschung inhaltlich komplett weggefallen.

Tabelle 4: Beispiel zur Datenübertragbarkeit.⁶⁸

Auch die Ergebnisse in Tabelle 4 sind auf den ersten Blick verständlicher als der Ursprungstext. Insbesondere die Umsetzung des in Art. 20 DSGVO enthaltenen Inhaltes findet jedoch gar nicht, bzw. nur unzureichend statt. Zudem werden hier Nebeninformationen wie die Info, “dass diese Daten nicht einfach an andere weitergegeben werden können” hinzugefügt, die kaum etwas mit dem ursprünglichen Text gemeinsam haben.

Nach der Betrachtung einer Reihe weiterer zufälliger Beispiele bleibt festzuhalten, dass beide Modelle die Texte oftmals derart vereinfachen, dass einige Informationen komplett entfernt werden. Vor allem die Rechtsnormen finden selten ihren Weg in die generierten Texte. Naheliegend wäre, dass dies eine Folge des Prompts sein könnte (‘Fasse [...] zusammen’), andere Prompts etwa mit Verben wie ‘erläutere’, ‘erkläre’ oder ‘vereinfache’ lieferten jedoch keine besseren Ergebnisse. Zudem kann es vorkommen, dass kleinere Nebeninformationen hinzugefügt wurden, die nicht im Originaltext stehen. Die beiden Modelle unterscheiden sich darin, dass GPT tendenziell dazu neigt, von den Originaltexten zu abstrahieren. EM dagegen führt eher ein Vereinfachen des gegebenen Textes durch; auch die Normen wurden hier oftmals in den generierten Text übernommen. Hier treten jedoch häufiger gravierende Fehler auf: manchmal haben die generierten Texte keinen Bezug zum Original oder es werden verhältnismässig viele neue Informationen hinzugefügt oder gar eine falsche Information wiedergegeben.

In der kritischen Auseinandersetzung mit den Möglichkeiten von grossen Sprachmodellen für die Erstellung verständlicher Datenschutzerklärungen wurden einerseits die rechtlichen Rahmenbedingungen aufgezeigt und andererseits zwei Sprachmodelle exemplarisch auf die Lösung dieser Aufgabe überprüft. Beide Modelle zeigen jedoch, dass die generierten Texte, auch wenn sie auf den ersten Blick vielversprechend erscheinen, gravierende inhaltliche Schwächen haben. So abstrahieren die Modelle oftmals so stark, dass wichtige Detailinformationen verloren gehen, anstatt simplifizierte Erläuterungen zu geben. Für eine sinnvolle Anwendung von grossen Sprachmodellen zur Erstellung von verständlichen Datenschutzerklärung ist daher zu empfehlen, die generierten Texte stets mit dem Originaltext abzugleichen und zu prüfen, ob die erstellten Texte den gewünschten Ergebnissen entsprechen.

Während diese Studie einen ersten Einblick in die Möglichkeiten von Sprachmodellen in der Erstellung von verständlichen Datenschutzerklärungen gibt, sind noch viele Forschungsfragen offen. Zum einen betrachtet diese Studie nur eine sehr begrenzte Menge an Texten. In zukünftigen Arbeiten könnte daher ein grösserer Textkorpus betrachtet werden. Zudem könnten anstatt der Beispiele aus der Konvention für Kinderrechte massgeschneiderte Beispiele für Datenschutzerklärungen erstellt werden, die den Modellen im Few-Shot-Verfahren helfen können. Auch das Erstellen eines für dieses konkrete Problem spezialisierten Sprachmodells ist denkbar. Ein Aspekt der Verständlichkeit, der in diesem Beitrag nicht betrachtet wurde, ist die visuelle Darstellung der Datenschutzerklärungen. Viele Datenschutzerklärungen enthalten Bilder oder Videos, welche die Inhalte des Textes verständlicher machen sollen.⁶⁹ Ein interessanter Aspekt für zukünftige Arbeiten wäre daher die Erfassung der Verständlichkeit derartiger Darstellung und die Erforschung der Möglichkeiten bildgenerierender Modelle wie etwa Midjourney.⁷⁰

Diese Arbeit ist im Kontext der durch das BMBF geförderten Projekte A-DigiKomp (16SVS8544) und D’accord (16KIS1510) entstanden.