Metas Umgang mit der Einwilligung der Nutzer
Für das Training von KI-Modellen werden umfangreiche Datenmengen benötigt. Viele Anbieter suchen nach geeigneten Quellen. Im Fall von Meta entschied sich das Unternehmen, öffentlich zugängliche Daten volljähriger Nutzer von Facebook und Instagram für das Training seiner KI-Modelle zu verwenden. Diese Maßnahme wurde den Nutzern vor der Umsetzung angekündigt. Anstelle einer ausdrücklichen Einwilligung setzte Meta jedoch auf ein Opt-out-Modell.
Dieses Vorgehen rief rechtliche Bedenken hervor und führte zu einem Antrag auf Erlass einer einstweiligen Verfügung durch den Verein zur Wahrnehmung kollektiver Verbraucherinteressen in Nordrhein-Westfalen. Das Oberlandesgericht Köln entschied am 23. Mai 2025 (Az. 15 UKl 2/25) über den Fall. Nachfolgend die wichtigsten Erkenntnisse zur Verarbeitung personenbezogener Daten im Rahmen des KI-Trainings von diesem Fall.
Dürfen personenbezogene Daten für das KI-Training verwendet werden?
Grundsätzlich ist die Verarbeitung personenbezogener Daten zum Zweck des Trainings von KI zulässig, sofern sie mit der Datenschutz-Grundverordnung (DSGVO) vereinbar ist. Während die EU-Verordnung über Künstliche Intelligenz (KI-VO) die Anforderungen an KI-Systeme regelt, bleibt jede Verarbeitung personenbezogener Daten dem Datenschutzrecht, insbesondere der DSGVO, unterworfen.
Im vorliegenden Fall wurde versucht, Meta die Verwendung öffentlich zugänglicher Nutzerdaten für das KI-Training zu untersagen. Das Gericht wies den Antrag auf Erlass einer einstweiligen Verfügung zurück, was darauf schließen lässt, dass personenbezogene Daten unter bestimmten Voraussetzungen für das Training von KI-Systemen verarbeitet werden dürfen, auch wenn der ursprüngliche Zweck ihrer Erhebung nicht das KI-Training war.
Das Urteil stellt jedoch keine generelle Freigabe dar. Unternehmen müssen bei der Nutzung von Kundendaten für KI-Entwicklung mit besonderer Sorgfalt vorgehen.
Ist das KI-Training ein „berechtigtes Interesse“?
Gemäß Art. 5 Abs. 1 Buchst. b DSGVO dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Nach der Erhebung dürfen sie nicht für andere, nicht vorher festgelegte Zwecke verwendet werden.
Zwar kann eine Einwilligung eine Rechtsgrundlage für die Verarbeitung darstellen, sie muss jedoch:
- für einen oder mehrere bestimmte Zwecke gegeben;
- durch eine eindeutige bestätigende Handlung erteilt werden.
Im Fall Meta wurde keine ausdrückliche Einwilligung eingeholt. Stattdessen berief sich das Unternehmen auf das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO. Das Gericht akzeptierte, dass die Entwicklung von KI-Systemen unter bestimmten Umständen ein berechtigtes Interesse darstellen könne, sofern die Nutzer informiert werden und die Möglichkeit haben, Widerspruch einzulegen.
Zentrale Empfehlungen für Unternehmen
- Transparenz ist unerlässlich
Nutzer müssen klar und proaktiv darüber informiert werden, wie ihre Daten verwendet werden. Das Gericht akzeptierte Metas Opt-out-Modell, da die Nutzer informiert wurden und widersprechen konnten. - Informierung vor Datenerhebung
Nur Daten, die nach erfolgter Information und gewährtem Widerspruchsrecht erhoben wurden, dürfen für das KI-Training verwendet werden. Eine nachträgliche Zweckänderung ohne Offenlegung ist unzulässig. - Berechtigtes Interesse konkret darlegen
Die Verarbeitung muss einem konkreten, nachvollziehbaren Unternehmenszweck dienen. Allgemeine oder spekulative Interessen genügen nicht.
Fazit: Vorsicht ist geboten
Auch wenn das Gericht den Antrag gegen Meta abgewiesen hat, bedeutet dies nicht, dass personenbezogene Daten uneingeschränkt für KI-Training verwendet werden dürfen. Jede Verarbeitung muss einzelfallbezogen geprüft werden unter Berücksichtigung von:
- Art und Umfang der angebotenen Dienste,
- Art von personenbezogenen Daten,
- Rechtsgrundlage der Verarbeitung.
Da sich das regulatorische Umfeld – insbesondere im Bereich der KI-Regulierung – fortlaufend weiterentwickelt, sind Unternehmen gehalten, sich kontinuierlich über neue Entwicklungen zu informieren und die geltenden Vorschriften einzuhalten. Wer beabsichtigt, personenbezogene Kundendaten für das Training von KI-Systemen zu nutzen, muss die damit verbundenen rechtlichen Risiken sorgfältig prüfen und für Transparenz sowie rechtskonforme Verarbeitung sorgen.
Gerne unterstützen wir Sie dabei, diese komplexen Anforderungen zu erfüllen und Ihre Compliance-Maßnahmen effektiv umzusetzen. Sprechen Sie uns an, wir beraten Sie zu DSGVO-Compliance und IT-Recht.
Häufig gestellte Fragen zu KI-Training und personenbezogene Daten
Meta verwendete öffentlich zugängliche Daten volljähriger Nutzer von Facebook und Instagram für das Training seiner KI-Modelle. Anstelle einer ausdrücklichen Einwilligung setzte das Unternehmen auf ein reines Opt-out-Modell. Die Nutzer wurden rechtzeitig vor der Umsetzung über die Maßnahme informiert und erhielten die Möglichkeit, der Nutzung zu widersprechen.
Die Verbraucherzentrale NRW e.V. reichte einen Antrag auf Erlass einer einstweiligen Verfügung gegen Metas Vorgehen ein. Das Oberlandesgericht Köln wies diesen Antrag jedoch in seinem Urteil vom 23. Mai 2025 ab. Diese Entscheidung zeigt, dass ein solches Opt-out-Verfahren unter bestimmten Voraussetzungen rechtlich Bestand haben kann.
Ja, die Verarbeitung ist grundsätzlich zulässig, sofern sie strikt mit der Datenschutz-Grundverordnung (DSGVO) vereinbar ist. Das OLG Köln bestätigte, dass Daten unter Umständen verarbeitet werden dürfen, auch wenn das KI-Training nicht der ursprüngliche Erhebungszweck war. Das Urteil stellt jedoch keine generelle Freigabe dar, weshalb bei der Nutzung von Kundendaten weiterhin besondere Sorgfalt geboten ist.
Die Entwicklung von KI-Systemen kann unter bestimmten Umständen ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO darstellen. Dafür muss die Verarbeitung einem konkreten, nachvollziehbaren Unternehmenszweck dienen und darf nicht auf allgemeinen Spekulationen beruhen. Zudem ist zwingend erforderlich, dass die Nutzer transparent informiert werden und ein Widerspruchsrecht erhalten.
Nutzer müssen klar und proaktiv informiert werden, noch bevor ihre Daten für das KI-Training erhoben oder genutzt werden. Es dürfen ausschließlich Daten verwendet werden, bei denen vorab transparent informiert und ein Widerspruchsrecht gewährt wurde. Eine nachträgliche Änderung des Verarbeitungszwecks ohne eine solche Offenlegung ist rechtlich unzulässig.
Unternehmen müssen bei jeder Datenverarbeitung zwingend die Art und den Umfang der angebotenen Dienste sowie die Art der personenbezogenen Daten berücksichtigen. Darüber hinaus muss die spezifische Rechtsgrundlage für jeden Einzelfall genau bewertet werden. Da sich das regulatorische Umfeld fortlaufend ändert, ist eine kontinuierliche Prüfung der Compliance-Maßnahmen unerlässlich.
