Sensible
Daten im
KI-Chatbot.
Sensible
Daten im
KI-Chatbot.
von
Müssen Unternehmen damit rechnen, dass Nutzer ihrem KI-Chatbot Gesundheitsprobleme, Glaubensfragen oder Liebeskummer anvertrauen? Und dürfen sie diese Eingaben anschließend für Werbung auswerten? Das Landgericht Köln hat am Beispiel von Snapchat entschieden, dass sensible Daten im KI-Chatbot kein bloßes Nebenprodukt sind.
Ein Chatbot in der Messenger-App
Snapchat ist in erster Linie eine Kamera- und Messaging-App. Nutzer tauschen darüber Bilder, kurze Videos und Textnachrichten aus. Der Dienst richtet sich an Nutzer ab 13 Jahren. Vertragspartnerin der Nutzer in Deutschland ist die Snap Group Limited mit Sitz in London, eine hundertprozentige Tochter der US-amerikanischen Snap Inc. In die App ist der Chatbot „My AI“ eingebaut, der nach den Feststellungen des Gerichts auf ChatGPT basiert.
Vor der ersten Nutzung zeigt die App einmalig einen Hinweis an, den Nutzer mit „Okay“ bestätigen müssen. Darin heißt es unter anderem, My AI könne die Angaben der Nutzer verwenden, um die Produkte von Snap Inc. zu verbessern und das Nutzererlebnis zu personalisieren, „unter anderem Anzeigen“. Der Verbraucherzentrale Bundesverband hielt das für unzulässig. Nach einer Abmahnung vom 24.10.2023 erhob er Klage auf Unterlassung. Daneben griff er voreingestellte Häkchen in den Werbeeinstellungen und vorausgewählte Werbethemen in Konten Minderjähriger an.
Was Snap dem entgegenhielt
Snap verteidigte sich auf mehreren Ebenen. Die Snap Group Limited erhebe selbst keine Daten, das tue allein die Muttergesellschaft. Verarbeitet würden nur nicht sensible Daten. Die Werbung in My AI sei nicht personalisiert, sondern lediglich kontextbezogen. Wer dem Chatbot gegen den Rat des Unternehmens dennoch sensible Informationen mitteile, dränge diese Daten auf. Eine solche „aufgedrängte Erhebung“ falle nicht unter das besondere Verbot für sensible Daten. Im Übrigen sei die Verarbeitung durch berechtigte Interessen gedeckt.
LG Köln untersagt die Werbenutzung der Chat-Eingaben
Das Landgericht Köln hat der Klage vollständig stattgegeben (Urteil vom 17.09.2026 – Az. 33 O 120/24). Snap darf personenbezogene Daten, die über My AI erhoben werden, nicht ohne Rechtsgrundlage zu Werbezwecken verarbeiten, wenn dies so geschieht wie im Hinweis vor der ersten Nutzung beschrieben.
Ebenso untersagte das Gericht vorangekreuzte Kästchen in den Anzeigenpräferenzen. In Konten Minderjähriger darf Snap zudem „Alkohol“ und „Glücksspiel“ nicht mehr als Werbethemen vorauswählen. Das Gericht stützt sich mehrfach auf Stellungnahmen der Bundesbeauftragten und der nordrhein-westfälischen Landesbeauftragten für den Datenschutz. Ob die Ansprüche zusätzlich aus dem Wettbewerbsrecht folgen, ließ es offen.
Wer haftet, wenn der Konzern die Daten verarbeitet?
Nach Auffassung des Gerichts sei die Snap Group Limited jedenfalls gemeinsam mit der Muttergesellschaft für die Datenverarbeitung verantwortlich. Das ergebe sich aus ihren eigenen Servicebestimmungen. Darin lasse sie sich umfangreiche Rechte an den Inhalten der Nutzer einräumen und behalte sich personalisierte Werbung vor. Auf ihrer Website bezeichne sie sich zudem selbst als Diensteanbieter. Daran müsse sie sich festhalten lassen. Sind mehrere gemeinsam verantwortlich, können Betroffene ihre Rechte gegenüber jedem von ihnen geltend machen.
Für Unternehmensgruppen ist das eine wichtige Botschaft. Wer in seinen Nutzungsbedingungen weitreichende Rechte für sich beansprucht, kann die Verantwortung im Datenschutzrecht später nicht einfach auf die Konzernmutter verlagern.
Warum lassen sich sensible Daten im KI-Chatbot nicht ausblenden?
Die DSGVO verbietet grundsätzlich die Verarbeitung besonders geschützter Daten. Dazu gehören etwa Angaben zur Gesundheit, zu religiösen Überzeugungen, politischen Meinungen oder zur sexuellen Orientierung. Erlaubt ist sie nur in eng umgrenzten Ausnahmefällen, in der Praxis meist mit ausdrücklicher Einwilligung. Nach Auffassung des Gerichts verdrängt dieses besondere Verbot die allgemeinen Erlaubnisgründe für personenbezogene Daten. Auf ein berechtigtes Interesse könne sich ein Anbieter dann nicht mehr stützen.
Dass solche Daten bei My AI anfallen, hielt das Gericht für naheliegend.
Die Übermittlung von sensiblen Daten an den Chatbot der Beklagten ist nicht nur faktisch möglich, sondern der Nutzer wird bei der ersten Nutzung durch den Hinweis „Du kannst mir alle möglichen Fragen stellen…“ sogar dazu ermuntert, den Chatbot mit persönlichen Informationen zu füttern.
Einen Warnhinweis auf einer Unterseite der Datenschutzinformationen ließ das Gericht nicht genügen. Er sei nur ein unverbindlicher Ratschlag, den ein Großteil der Nutzer nicht zur Kenntnis nehmen werde. Hinzu komme, dass sich die App auch an Jugendliche richte. Diese seien für die Risiken weniger sensibilisiert als Erwachsene. Dass die Eingaben für Werbung verarbeitet werden, entnahm das Gericht auch Snaps eigenem Vortrag. Danach würden die Textanfragen an My AI herangezogen, um zu entscheiden, ob und welche Werbung angezeigt wird.
Das Argument der aufgedrängten Daten wies das Gericht zurück. Es berief sich auf den Europäischen Gerichtshof, der bereits entschieden hat, dass das Verbot unabhängig davon gilt, ob der Verantwortliche gezielt sensible Informationen erlangen will (Urteil vom 04.07.2023 – Az. C-252/21). Nach demselben Urteil fällt ein Datenbestand insgesamt unter das Verbot, wenn sensible und andere Daten gemeinsam erhoben werden, sich nicht trennen lassen und mindestens eine sensible Angabe enthalten ist.
Reicht ein Hinweis mit Okay-Button?
Eine ausdrückliche Einwilligung für sensible Daten hatte Snap nach den Feststellungen des Gerichts weder eingeholt noch behauptet. Der Hinweis vor der ersten Nutzung sei auch keine wirksame Einwilligung. Das Gericht prüfte zusätzlich, ob die Verarbeitung ohne das besondere Verbot zulässig wäre, und verneinte auch das.
Ein berechtigtes Interesse scheitere schon daran, dass Snap dieses Interesse den Nutzern nicht bei der Erhebung der Daten mitgeteilt habe. Ebenso fehle eine Information über die Rechtsgrundlage. Das Gericht stützte sich dabei auf eine weitere Entscheidung des Europäischen Gerichtshofs (Urteil vom 09.01.2025 – Az. C-394/23). Ob eine Interessenabwägung zugunsten von Snap ausfallen würde, ließ es offen. Es äußerte daran aber Zweifel, weil sich der Dienst gerade auch an Minderjährige richte.
Was bedeutet das für Unternehmen mit eigenem Chatbot?
Das Urteil betrifft ein soziales Netzwerk. Die Begründung lässt sich aus unserer Sicht aber auf viele andere Einsatzfelder von künstlicher Intelligenz übertragen, etwa auf Kundenservice-Bots, Beratungsassistenten in Onlineshops oder Terminassistenten. Wer Nutzer frei schreiben lässt, muss nach dieser Entscheidung damit rechnen, dass auch Gesundheitsangaben oder andere sensible Informationen eingegeben werden. Ein Hinweis, solche Angaben zu unterlassen, ändert daran nach Auffassung des Gerichts nichts.
Zu beachten ist die Reichweite des Urteils. Untersagt ist die Nutzung der Chat-Eingaben zu Werbezwecken. Ob dieselben Maßstäbe auch für die bloße Beantwortung von Anfragen, für Produktverbesserung oder für das Training von KI-Modellen gelten, hatte das Gericht nicht zu entscheiden. Zudem handelt es sich um die Entscheidung eines einzelnen Landgerichts und nicht um gefestigte Rechtsprechung. Über die Haftung für einen eigenen KI-Chatbot haben wir bereits berichtet.
Fazit
Das Ergebnis war nach der Rechtsprechung des Europäischen Gerichtshofs zu sensiblen Daten erwartbar. Neu ist die konsequente Anwendung auf einen KI-Chatbot. Für werbefinanzierte Chat-Angebote ist das ungünstig, denn die Auswertung von Gesprächsinhalten für Anzeigen setzt danach regelmäßig eine ausdrückliche Einwilligung voraus.
Kritisch ist, dass die Begründung weiter reicht als der Urteilsausspruch. Wenn ungefragte sensible Eingaben den gesamten Chatverlauf unter das besondere Verbot stellen, fragt sich, auf welcher Grundlage ein offener Chatbot Eingaben überhaupt verarbeiten darf. Das betrifft auch die bloße Beantwortung. Das Gericht musste diese Frage nicht entscheiden. Offen bleibt auch, ob technische Filter, die sensible Inhalte vor jeder weiteren Nutzung aussortieren, an der Bewertung etwas ändern würden.
Wir beraten
Sie gerne zum
Datenschutz!
