Der Mutterkonzern von WhatsApp, Instagram und Facebook, die Meta Platforms Ireland Limited (Meta), unternimmt einen erneuten Anlauf, öffentlich zugängliche Inhalte europäischer Nutzer für das Training eigener generativer KI-Modelle, wie des großen Sprachmodells LLaMA (Meta KI), zu verwenden.
Dahinter steht, dass ausschlaggebend für den Erfolg eines KI-Modells insbesondere der Umfang, die Qualität und der Zugang zu Trainingsdaten sind. Im Folgenden soll erörtert werden, ob dieses Vorhaben mit den aufsichtsbehördlichen Anforderungen an Entwicklung, Training und Nutzung von KI-Modellen vereinbar ist.
Datenschutzrechtliche Rechtsgrundlage für das KI-Training
Aus datenschutzrechtlicher Sicht stellt die Nutzung einiger dieser Daten zum Zwecke des KI-Trainings eine Verarbeitung von personenbezogenen Daten dar, für die es seitens Meta einer Rechtsgrundlage im Sinne der Art. 6 Abs. 1 S. 1 DSGVO bedarf. Meta beruft sich hierbei auf die Rechtsgrundlage des Art. 6 Abs. 1 lit. f DSGVO, das sog. berechtigte Interesse, um die Verarbeitung von personenbezogenen Daten ohne explizite Einwilligung der Nutzer zu legitimieren. Laut Meta sei das Training „in der Branche üblich und entscheidend dafür, dass unsere modernen KI-Produkte und -Modelle die deutsche Kultur, Sprache und Geschichte zunehmend besser verstehen und wiedergeben“ können. Die Nutzer, die nicht möchten, dass ihre Daten zu Trainingszwecken genutzt werden, hatten bis zum 27. Mai 2025 die Möglichkeit, der Nutzung zu widersprechen (sog. Opt-out).
Betroffene Daten
Betroffen von der Verarbeitung sind alle öffentlich zugänglichen Nutzerdaten von volljährigen europäischen Nutzern, wie der Name, Benutzername, Profilbild, Aktivitäten in öffentlichen Gruppen und Kanälen, Kommentare, Bewertungen und Rezensionen, Avatare, Beiträge, Fotos und deren Bildunterschriften sowie Videos. Ausgenommen sind die Daten Minderjähriger und persönliche Chats in dem Messengerdienst WhatsApp. Bei Letzterem findet jedoch wiederum eine Nutzung der in den Chatbot „Meta AI“ eingegebenen Kommunikation statt. Im Geltungsbereich der DSGVO nutzen Facebook monatlich 260,7 Millionen EU-Bürger und Instagram 264,3 Millionen, davon greifen 44 Millionen Nutzer aus Deutschland auf den Dienst zu (vgl. Transparenzbericht zum DSA, Stand April 2024).
Stellungnahme des Europäischen Datenschutzausschusses
Nach der ersten Ankündigung Metas im April 2024, die Nutzerdaten als Trainingsdaten verwenden zu wollen, hat die irische Aufsichtsbehörde (IDPC) den Europäischen Datenschutzausschuss (EDSA), der die Zusammenarbeit der nationalen Datenschutzbehörden fördern und eine einheitliche Anwendung der DSGVO in allen EU-Mitgliedstaaten gewähren soll, um eine Stellungnahme zu KI-Modellen und der Verarbeitung personenbezogener Daten ersucht (Art. 64 Abs. 2 DSGVO). Hierdurch wurde der erste Anlauf der Einführung der Meta-KI in Europa gestoppt. Am 18. Dezember 2024 hat der EDSA die Stellungnahme 28/2024 für die Entwicklung und Einführung von KI-Modellen veröffentlicht.
Der EDSA führt darin aus, dass eine Verwendung öffentlicher Nutzerdaten zu Trainingszwecken von KI-Modellen, die sich auf das berechtigte Interesse des Verarbeiters stützt, dem Grunde nach rechtmäßig sein kann. Die nationalen Aufsichtsbehörden sollen bei ihrer Untersuchung, ob und wie ein berechtigtes Interesse als geeignete Rechtsgrundlage für die Entwicklung oder Nutzung von KI-Modellen verwendet werden kann, insbesondere den sog. 3-Stufen-Test berücksichtigen:
Ermittlung berechtigter Interessen des Verantwortlichen: Zunächst ist das berechtigte Interesse des Verantwortlichen zu ermitteln. Das berechtigte Interesse des Verantwortlichen an der Datenverarbeitung kann neben einem rechtlichen Interesse auch ein wirtschaftliches oder ideelles Interesse sein. Berechtigt ist es, wenn es rechtmäßig, klar und präzise formuliert, tatsächlich und gegenwärtig (also nicht spekulativ) ist.
Erforderlichkeitsprüfung: Sodann ist zu ermitteln, ob die Datenverarbeitung für den Zweck des berechtigten Interesses erforderlich ist. Das ist der Fall, wenn die Verarbeitungstätigkeit die Verfolgung des berechtigten Interesses ermöglicht und es keine weniger eingreifende, aber gleich effektive Möglichkeit gibt, das Interesse zu verfolgen.
Interessenabwägung: Im Rahmen der anschließenden Interessenabwägung ist zu prüfen, ob Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person das Interesse des Verantwortlichen überwiegen. Hier können z. B. die Erwartungen der Betroffenen, die Art des Dienstes, der Kontext und die Quelle, aus dem bzw. aus der Daten erhoben wurden, und die mögliche weitere Verwendung des Modells berücksichtigt werden.
Insbesondere wird in der Stellungnahme hervorgehoben, dass das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO zwar eine flexible Rechtsgrundlage darstellt, die für Innovationen im KI-Bereich von Bedeutung sein kann, allerdings auch strenge Anforderungen an die Abwägung zwischen den Interessen des Verantwortlichen und den Rechten und Freiheiten der betroffenen Personen stellt. Der EDSA fordert, dass die Interessenabwägung sorgfältig dokumentiert und die Risiken für die Betroffenen minimiert werden müssen. Ein bloßer Verweis auf das berechtigte Interesse ohne umfassende Maßnahmen zur Risikominderung und ohne transparente Information der Nutzer wird als unzureichend angesehen.
Umsetzung durch Meta und Reaktionen
Meta beruft sich auf sein berechtigtes Interesse an der Verbesserung und Weiterentwicklung seiner KI-Systeme. Die Anforderungen aus der Stellungnahme des EDSA seien erfüllt, insbesondere seien die Nutzer frühzeitig per E-Mail und In-App-Benachrichtigung über die Möglichkeit des Widerspruchs informiert worden. Anders sehen das unterschiedliche Verbraucherschutzorganisationen, wie beispielsweise die Verbraucherzentrale NRW oder die österreichische Organisation NOYB. Kritisiert wird insbesondere, dass die Zweckbindung unklar formuliert sei, die Erforderlichkeit der Nutzung personenbezogener Daten (statt anonymisierter Daten) nicht überzeugend dargelegt sei und dass die Interessenabwägung zugunsten der Nutzer ausfallen müsse, da sie mit einer Nutzung ihrer historischen Daten nicht rechnen müssten. Die Verbraucherzentrale NRW forderte Meta am 30. April 2025 per Abmahnung auf, das Vorhaben ab dem 27. Mai 2025 für die beiden sozialen Netzwerke zu stoppen. Am 12. Mai 2025 beantragte die Verbraucherzentrale eine Unterlassung im einstweiligen Verfügungsverfahren beim Oberlandesgericht (OLG) Köln.
Erste gerichtliche Entscheidung
Am 23. Mai 2025 ist in diesem Verfahren die erste gerichtliche Entscheidung ergangen. Das OLG Köln hat in einem Eilverfahren den Antrag der Verbraucherzentrale NRW gegen Meta zurückgewiesen (Az: 15 UKl 2/25). Das OLG begründet die Entscheidung damit, dass (nach vorläufiger und summarischer Prüfung im Rahmen des einstweiligen Verfügungsverfahrens) in dem Vorhaben kein Verstoß gegen die DSGVO wegen einer unrechtmäßigen Datenverarbeitung sowie gegen den Digital Markets Act wegen einer unzulässigen Zusammenführung von Daten aus Nutzerprofilen unterschiedlicher Dienste zu sehen sei. Das Gericht teilt die Auffassung, dass die Verwendung der Daten für KI-Trainingszwecke auch ohne Einwilligung rechtmäßig sei. Meta verfolge mit der Verwendung zum Training von KI-Systemen einen legitimen Zweck, der nicht durch gleich wirksame andere Mittel, die weniger einschränkend wären, erreicht werden könne.
Im Rahmen der Interessenabwägung überwiegen nach Ansicht des Gerichtes die Interessen an der Datenverarbeitung. Dies stützt das Gericht auf die Ausführungen aus der Stellungnahme des EDSA. Der Umstand, dass große Mengen von Daten, auch von Dritten einschließlich Minderjährigen und auch sensible Daten im Sinne des Art. 9 DSGVO, betroffen sind, überwiege bei der Abwägung nicht. Meta habe insoweit wirkungsvolle Maßnahmen ergriffen, welche den Eingriff wesentlich abmildern. Die geplante Verarbeitung wurde bereits im Jahre 2024 angekündigt. Die Nutzer wurden über die Apps und, soweit möglich, auf anderem Wege informiert. Sie haben die Möglichkeit, die Datenverarbeitung durch Umstellung ihrer Daten auf „nicht öffentlich“ oder durch einen Widerspruch zu verhindern. Die verwendeten Daten enthalten keine eindeutigen Identifikatoren wie Name, E-Mail-Adresse oder Postanschrift einzelner Nutzer. Das Urteil ist rechtskräftig. Die Parteien können ihre Rechte aber noch in einem gesonderten Hauptsacheverfahren wahrnehmen.
Fazit und Ausblick
Die Entscheidung des OLG Köln liefert eine wichtige rechtliche Orientierung für die Nutzung öffentlich zugänglicher Nutzerdaten im KI-Training. Es schafft eine Balance zwischen der Förderung von Innovationen im Bereich der künstlichen Intelligenz und dem Schutz der Rechte der Nutzer. Dennoch zeigen die Reaktionen von Datenschutzorganisationen und Verbraucherzentralen, dass die Debatte um KI und Datenschutz in Europa weiterhin an Schärfe gewinnt – und wohl bald auch mehr Gerichte beschäftigen wird.
(Gastautorin: Alisa Schöneberg, Rechtsanwältin bei Luther Rechtsanwaltsgesellschaft mbH)