Das Oberlandesgericht Köln hat in einem Eilverfahren mit Urteil vom 23.05.2025 (Az.: 15 UKl 2/25) über die Nutzung von Nutzerdaten durch Meta für das KI-Training entschieden. Ein Verbraucherschutzverein hatte die Untersagung der geplanten Datenverarbeitung begehrt, scheiterte jedoch vor Gericht. Die Entscheidung beschäftigt sich mit wesentliche Fragen zur datenschutzrechtlichen Zulässigkeit von KI-Trainings mit personenbezogenen Daten aus sozialen Netzwerken.
Sachverhalt: Meta plant KI-Training mit öffentlichen Nutzerdaten
Meta Platforms, eine Tochtergesellschaft der US-amerikanischen Meta Platforms Inc., betreibt die sozialen Netzwerke Facebook und Instagram. Im April 2025 kündigte das Unternehmen an, ab dem 27. Mai 2025 öffentlich zugängliche Daten volljähriger Nutzer für das Training seiner KI-Modelle zu nutzen. Betroffen sind insbesondere öffentlich eingestellte Profilinformationen, Aktivitäten in öffentlichen Gruppen, Kommentare, Bewertungen sowie auf öffentlichen Instagram-Konten hochgeladene Fotos, Videos und Audios.
Bereits im Juni 2024 hatte Meta ähnliche Pläne angekündigt, diese jedoch nach Bedenken der irischen Datenschutzbehörde (DPC) vorerst verschoben. Die DPC ersuchte daraufhin den Europäischen Datenschutzausschuss um eine Stellungnahme, die im Dezember 2024 angenommen wurde. Meta reagierte auf die Bedenken mit Maßnahmen zur Abschwächung des Eingriffs in die Datenschutzrechte, insbesondere einem Widerspruchsrecht für Nutzer und Deidentifizierungsmaßnahmen. Die DPC verbot die Datenverarbeitung nicht, sondern forderte Berichte über die Wirksamkeit der Maßnahmen.
Ein in Nordrhein-Westfalen eingetragener Verbraucherschutzverein, der in die Liste qualifizierter Einrichtungen nach § 4 UKlaG aufgenommen ist, klagte gegen die geplante Datenverarbeitung. Nach erfolgloser Abmahnung beantragte der Verein im Mai 2025 den Erlass einer einstweiligen Verfügung, die Meta untersagen sollte, öffentliche Nutzerdaten von Facebook und Instagram auf Basis berechtigter Interessen zur KI-Entwicklung zu verarbeiten.
Rechtliche Bewertung: Kein Verstoß gegen Datenschutz- und Wettbewerbsrecht
Das OLG Köln wies den Antrag auf Erlass einer einstweiligen Verfügung zurück. Die Kammer kam zu dem Ergebnis, dass die von Meta beabsichtigte Datenverarbeitung weder gegen den Digital Markets Act (DMA) noch gegen die Datenschutz-Grundverordnung (DSGVO) verstößt.
Kein Verstoß gegen das Datenzusammenführungsverbot des DMA
Ein wesentlicher Streitpunkt betraf Art. 5 Abs. 2 lit. b) DMA, die sogenannte „Gatekeeper“-Verordnung. Diese Vorschrift verbietet es „Torwächtern“ wie Meta, personenbezogene Daten aus einem zentralen Plattformdienst mit Daten aus weiteren Plattformdiensten oder Diensten Dritter zusammenzuführen. Der Kläger argumentierte, die Einbringung von Daten aus Facebook und Instagram in einen gemeinsamen Trainingsdatensatz stelle eine solche unzulässige Zusammenführung dar.
Das Gericht folgte dieser Argumentation nicht. Nach Ansicht des Senats fehlt es an der für eine „Zusammenführung“ erforderlichen gezielten Verknüpfung von Daten derselben Person aus verschiedenen Plattformen. Die bloße Einbringung teilweise deidentifizierter und zerlegter Daten in einen unstrukturierten Trainingsdatensatz stelle kein Zusammenführen im Rechtssinne dar. Das Gericht verwies darauf, dass der Gesetzgeber mit Art. 5 DMA eine erschöpfende Enumeration von Tatbeständen schaffen wollte, um die Rechtssicherheit zu erhöhen. Die Vorschrift zielt auf die Verhinderung von Verbundvorteilen durch plattformübergreifende Personalisierung mittels Datenzusammenführung ab, nicht auf die Nutzung von Daten für das Training von KI-Systemen.
Rechtfertigung durch berechtigtes Interesse nach Art. 6 Abs. 1 lit. f) DSGVO
Für die datenschutzrechtliche Beurteilung war entscheidend, ob die Datenverarbeitung durch eine Rechtsgrundlage der DSGVO gedeckt ist. Das Gericht prüfte insbesondere Art. 6 Abs. 1 lit. f) DSGVO, der die Verarbeitung personenbezogener Daten zur Wahrung berechtigter Interessen des Verantwortlichen erlaubt, sofern nicht die Interessen oder Grundrechte der betroffenen Personen überwiegen.
Das Gericht bejahte alle drei Voraussetzungen dieser Norm:
1. Vorliegen eines berechtigten Interesses: Meta verfolgt wirtschaftliche Interessen durch die Entwicklung generativer KI-Systeme, die als Gesprächsassistenten dienen und an regionale Gepflogenheiten angepasst werden sollen. Solche wirtschaftlichen Interessen werden vom Europäischen Gerichtshof als berechtigt anerkannt. Auch der Europäische Datenschutzausschuss und der Hamburgische Beauftragte für Datenschutz stufen dieses Interesse als berechtigt ein.
2. Erforderlichkeit der Verarbeitung: Eine Datenverarbeitung ist erforderlich, wenn sie zur Erreichung des Zwecks geeignet ist und keine weniger eingreifende, gleich geeignete Alternative besteht. Das Gericht stellte fest, dass das Training mit Nutzerdaten geeignet ist, die von Meta verfolgten Zwecke zu erreichen. Hinsichtlich alternativer Methoden wie dem Training mit anonymisierten oder synthetischen Daten führte das Gericht aus, dass solche Alternativen nach dem aktuellen Stand der Technik als unpraktikabel gelten. Meta hat glaubhaft gemacht, dass keine andere sinnvolle Alternative bestehe, um die Interessen ebenso wirksam mit milderen Mitteln zu verfolgen. Die Notwendigkeit des Trainings großer KI-Modelle mit riesigen Datenmengen wird ausdrücklich im Erwägungsgrund 105 der KI-Verordnung anerkannt.
3. Interessenabwägung: Die Interessenabwägung fiel zugunsten von Meta aus. Entscheidend war für das Gericht, dass die betroffenen Daten bereits zuvor öffentlich für jedermann einsehbar und über Suchmaschinen auffindbar waren. Der Eingriff beschränkt sich auf eine zusätzliche Art der Datenverarbeitung, über deren Folgen für die Betroffenen hinausgehende neue Nachteile regelmäßig nicht zu befürchten sind. Zudem hatte Meta zahlreiche Maßnahmen zur Abschwächung des Eingriffs implementiert, darunter Deidentifizierungsmaßnahmen, technische Sicherheitsvorkehrungen und ein Widerspruchsrecht für Nutzer. Nach summarischer Prüfung überwiegen die Interessen Metas an der Datenverarbeitung die Interessen der Betroffenen am Schutz ihrer Daten nicht.
Kein Verstoß gegen das Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten
Ein weiterer Streitpunkt betraf Art. 9 Abs. 1 DSGVO, der die Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) grundsätzlich verbietet. Das Gericht stellte fest, dass der Trainingsdatensatz solche Daten enthalten wird. Nach der Rechtsprechung des Europäischen Gerichtshofs sind Daten bereits dann als Gesundheitsdaten einzustufen, wenn aus ihnen mittels gedanklicher Kombination auf den Gesundheitszustand geschlossen werden kann. Enthält ein Datensatz mindestens ein sensibles Datum, ist die Verarbeitung des gesamten Datensatzes als verboten anzusehen.
Das Gericht gelangte jedoch zu dem Ergebnis, dass das Verbot im vorliegenden Fall nicht greift. Die Vorschrift sei im Falle nicht zielgerichteter Verarbeitungen einer tätigkeitsbezogenen Reduktion zugänglich, die eine Konkretisierung durch einen Antrag des Betroffenen auf Herausnahme seiner Daten erfordere. Da das KI-Training nicht zielgerichtet auf die Erhebung sensibler Informationen gerichtet ist und allgemeine Muster für Wahrscheinlichkeitsberechnungen schaffen soll, fehlt es an der für eine „Aktivierung“ des Verbots erforderlichen Zielrichtung. Das Gericht verwies darauf, dass eine wörtliche Anwendung des Art. 9 DSGVO das Training generativer KI mit Massendaten im Geltungsbereich der DSGVO unmöglich machen würde, was im Widerspruch zur Zielsetzung der KI-Verordnung stünde, eine Führungsrolle Europas bei der Entwicklung vertrauenswürdiger KI zu erreichen.
Konsequenzen für die Praxis: KI-Training mit Nutzerdaten unter bestimmten Voraussetzungen zulässig
Die Entscheidung des OLG Köln hat weitreichende Konsequenzen für die Praxis des KI-Trainings mit personenbezogenen Daten. Sie verdeutlicht, dass unter bestimmten Voraussetzungen die Nutzung öffentlicher Nutzerdaten für KI-Trainings datenschutzrechtlich zulässig sein kann.
Für Unternehmen und Plattformbetreiber
Unternehmen, die KI-Systeme mit Nutzerdaten trainieren möchten, können sich auf die Entscheidung stützen, sofern sie vergleichbare Voraussetzungen erfüllen. Entscheidend ist, dass:
- Die Daten bereits öffentlich zugänglich waren
- Ein berechtigtes Interesse an der Datenverarbeitung besteht
- Die Verarbeitung erforderlich ist und keine gleich wirksamen milderen Mittel zur Verfügung stehen
- Die Interessenabwägung zugunsten des Unternehmens ausfällt
- Geeignete Maßnahmen zur Abschwächung des Eingriffs implementiert werden
- Das Gericht betonte die Bedeutung von Deidentifizierungsmaßnahmen, technischen Sicherheitsvorkehrungen und insbesondere eines wirksamen Widerspruchsrechts für betroffene Nutzer.
- Unternehmen sollten entsprechende Maßnahmen ergreifen und transparent über die Datenverarbeitung informieren.
Für Nutzer und Betroffene
Nutzer von Facebook und Instagram haben die Möglichkeit, der Aufnahme ihrer Daten in den Trainingsdatensatz zu widersprechen. Alternativ können sie den öffentlichen Status ihrer Beiträge oder ihres Kontos entziehen. Das Gericht stellte fest, dass diese Möglichkeiten für den durchschnittlichen Nutzer unkompliziert auszuüben sind und eine praktische Wirksamkeit entfalten. Nutzer sollten sich über ihre Widerspruchsrechte informieren und diese nutzen, wenn sie nicht möchten, dass ihre öffentlich zugänglichen Daten für KI-Trainings verwendet werden.
Gerichtliche Entscheidungen geben eine Orientierung, ersetzen aber keine Prüfung des konkreten Einzelfalls. Weitere Informationen zur individuellen rechtlichen Unterstützung finden Sie hier:
Leistungen und FAQ im KI-Recht➔
Alle weiteren relevanten Entscheidungen deutscher Gerichte zum Thema Künstliche Intelligenz sind hier chronologisch aufgelistet:
Übersicht zur KI-Rechtsprechung➔