LG Köln, Urteil v. 17.09.2026 – 33 O 120/24
Kurzzusammenfassung
Das LG Köln hat sich mit der datenschutzrechtlichen Zulässigkeit der Nutzung von Daten aus dem generativen KI-Chatbot „My AI“ innerhalb von Snapchat zu Werbezwecken befasst. Das Gericht hält die angegriffene Verarbeitung für rechtswidrig. Besonders relevant ist dabei, dass Nutzer in einem Chat mit einer KI ohne Weiteres auch besonders sensible Informationen im Sinne von Art. 9 DSGVO offenbaren können. Dass der Betreiber die Erhebung solcher Daten nicht beabsichtigt, hilft ihm nach Auffassung des Gerichts nicht weiter.
Daneben beanstandet das LG Köln voreingestellte Checkboxen für die Verarbeitung personenbezogener Daten zu Werbezwecken. Eine datenschutzrechtliche Einwilligung setzt eine aktive Handlung des Nutzers voraus. Das Gericht folgt damit der bereits bekannten Rechtsprechung zu vorangekreuzten Auswahlfeldern.
Schließlich erklärte das LG Köln auch voreingestellte Werbeinteressen für „Alkohol“ und „Glücksspiel“ bei minderjährigen Nutzern für unzulässig. Die interne Behauptung des Plattformbetreibers, Minderjährigen tatsächlich keine entsprechende Werbung auszuspielen, genügte dem Gericht nicht.
Worum ging es?
Der Verbraucherzentrale Bundesverband ging gegen die Snap Group Limited vor, die gegenüber deutschen Nutzern Vertragspartnerin für die Bereitstellung von Snapchat ist. In Snapchat steht Nutzern der generative KI-Chatbot „My AI“ zur Verfügung. Vor dessen erstmaliger Nutzung erschien ein Hinweis, wonach von Nutzern angegebene Informationen unter anderem dazu verwendet werden können, das Nutzererlebnis einschließlich der Anzeigen zu personalisieren. Der Nutzer musste diesen Hinweis mit „OK“ bestätigen. Außerdem waren in den Einstellungen von Snapchat verschiedene Anzeigenpräferenzen bereits mit einem Haken versehen. Auch bei minderjährigen Nutzern waren unter „Interessen und Lifestyle“ die Kategorien „Alkohol“ und „Glücksspiel“ vorausgewählt. Der Hinweis in der App erklärte, die Einstellungen könnten deaktiviert werden, um weniger Anzeigen zu diesen Themen zu sehen. Der Verbraucherzentrale Bundesverband hielt sowohl die Verarbeitung der über „My AI“ gewonnenen personenbezogenen Daten zu Werbezwecken als auch die voreingestellten Anzeigenpräferenzen und die Einstellungen für minderjährige Nutzer für rechtswidrig. Das LG Köln gab der Klage statt und untersagte die beanstandeten Praktiken.
Entscheidungsgründe
Zunächst stellte das LG Köln klar, dass die Snap Group Limited selbst als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO angesehen werden kann. Dass nach dem Vortrag der Beklagten die eigentliche technische Datenverarbeitung durch die Muttergesellschaft Snap Inc. erfolge, genügte dem Gericht nicht. Maßgeblich waren insbesondere die gegenüber deutschen Nutzern geltenden Vertrags- und Servicebestimmungen, aus denen sich eine eigene Beteiligung der Beklagten an der Verarbeitung ergab.
Besondere Bedeutung hat die Entscheidung für den Umgang mit personenbezogenen Daten, die Nutzer in generative KI-Systeme eingeben. Das LG Köln geht davon aus, dass über „My AI“ auch besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO verarbeitet werden. Nutzer können im Dialog mit einem Chatbot beispielsweise Angaben machen, aus denen Gesundheitsinformationen, politische Überzeugungen, religiöse Anschauungen oder andere besonders geschützte Informationen hervorgehen. Der Einwand, solche Informationen würden dem Anbieter gleichsam „aufgedrängt“ und ihre Erhebung sei nicht beabsichtigt, überzeugte das Gericht nicht. Unter Hinweis auf die Rechtsprechung des EuGH stellt das LG Köln darauf ab, dass Art. 9 Abs. 1 DSGVO unabhängig davon eingreift, ob der Verantwortliche gezielt die Absicht verfolgt, Informationen aus einer besonderen Datenkategorie zu erhalten.
Für diese Verarbeitung fehlte nach Ansicht des Gerichts ein Rechtfertigungstatbestand nach Art. 9 Abs. 2 DSGVO. Insbesondere lag keine ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO vor. Das LG Köln behandelt Art. 9 DSGVO insoweit als speziellere Regelung gegenüber Art. 6 DSGVO. Aber auch unabhängig davon sah das Gericht keine ausreichende Rechtsgrundlage nach Art. 6 DSGVO. Die Bestätigung des bei der ersten Nutzung eingeblendeten Hinweises durch „OK“ wertete das Gericht nicht als wirksame Einwilligung. Auch Art. 6 Abs. 1 Buchst. f DSGVO half der Beklagten nicht. Das Gericht verweist darauf, dass dem Nutzer die verfolgten berechtigten Interessen bereits bei Erhebung der Daten konkret mitgeteilt werden müssen. Daran fehlte es ebenso wie an einer Information über die Rechtsgrundlage der Verarbeitung. Auch die voreingestellten Anzeigenpräferenzen hielt das LG Köln für unzulässig. Eine Einwilligung setzt eine aktive Handlung voraus. Bereits gesetzte Häkchen genügen hierfür nicht. Das Gericht knüpft ausdrücklich an die Rechtsprechung des BGH in „Cookie-Einwilligung II“ an. Der BGH hatte bereits entschieden, dass ein voreingestelltes Ankreuzkästchen keine wirksame Einwilligung darstellt.
Interessant ist außerdem die Auseinandersetzung mit dem Argument, bei den Checkboxen handele es sich nicht um Einwilligungen, sondern lediglich um eine technische Möglichkeit zur Ausübung des Widerspruchsrechts nach Art. 21 DSGVO. Dies weist das LG Köln zurück. Das Widerspruchsrecht ist ein reaktives Recht: Zunächst muss eine rechtmäßige Verarbeitung insbesondere auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO bestehen. Erst gegen diese kann anschließend Widerspruch eingelegt werden. Voreingestellte Checkboxen können diese Systematik nicht umkehren.
Bei minderjährigen Nutzern verstießen die Voreinstellungen zu „Alkohol“ und „Glücksspiel“ nach Auffassung des Gerichts gegen die jugendschutzrechtlichen Werbevorschriften des JMStV beziehungsweise des Glücksspielstaatsvertrags. Dass nach den internen Werberichtlinien tatsächlich keine entsprechende Werbung an Minderjährige ausgespielt werden solle, ließ das LG Köln nicht ausreichen. Durch die Gestaltung der Einstellungen nehme die Beklagte gegenüber ihren minderjährigen Nutzern jedenfalls für sich in Anspruch, solche Werbung anzeigen zu dürfen. Dies begründe zumindest eine Erstbegehungsgefahr.
Anmerkungen zum Urteil
Die Entscheidung ist vor allem wegen ihrer Übertragbarkeit auf andere KI-Anwendungen interessant. Wer einen generativen Chatbot anbietet, muss damit rechnen, dass Nutzer im Dialog Informationen offenbaren, die unter Art. 9 DSGVO fallen. Die datenschutzrechtliche Bewertung kann deshalb nicht darauf beschränkt werden, welche Daten der Anbieter eigentlich erheben möchte. Entscheidend ist vielmehr, welche Daten im konkreten System tatsächlich verarbeitet werden können und verarbeitet werden. Für Unternehmen ist das eine wichtige Botschaft. Ein allgemeiner Hinweis, Nutzer sollten keine sensiblen Informationen eingeben, beseitigt das Problem nicht automatisch. Werden solche Informationen technisch entgegengenommen, gespeichert oder für weitere Zwecke ausgewertet, muss auch diese Verarbeitung datenschutzrechtlich abgebildet werden.
Neu ist dagegen nicht die Aussage zu voreingestellten Checkboxen. Hier bewegt sich das LG Köln auf der Linie der höchstrichterlichen Rechtsprechung. Der BGH hat in „Cookie-Einwilligung II“ bereits klargestellt, dass eine Einwilligung eine aktive Entscheidung des Nutzers erfordert und voreingestellte Ankreuzkästchen dafür nicht genügen.
Das Urteil zeigt wieder, dass die Gestaltung der Benutzeroberfläche selbst rechtliche Risiken erzeugen kann. Unternehmen können sich nicht ohne Weiteres darauf zurückziehen, dass bestimmte technisch mögliche oder in der Oberfläche angekündigte Verarbeitungen aufgrund interner Richtlinien tatsächlich nicht vorgenommen würden. Gerade bei besonders geschützten Nutzergruppen wie Minderjährigen müssen technische Umsetzung, Nutzerführung und rechtliche Vorgaben zusammenpassen.
Gibt es hier Handlungsbedarf?
Für Unternehmen, die KI-Chatbots oder vergleichbare dialogbasierte KI-Systeme einsetzen und dabei personenbezogene Daten verarbeiten, ergeben sich aus dem Urteil einige konkrete Prüfpunkte:
- Datenflüsse des KI-Systems erfassen: Dokumentieren Sie, welche Nutzereingaben gespeichert, ausgewertet oder an weitere Systeme übermittelt werden.
- Werbliche Sekundärnutzung gesondert prüfen: Werden Chat-Inhalte für Personalisierung, Profilbildung oder Werbung verwendet, sollte für diese Verarbeitung eine eigenständige Rechtsgrundlagenprüfung erfolgen.
- Art.-9-Daten einkalkulieren: Bei frei formulierten Texteingaben muss damit gerechnet werden, dass Nutzer Gesundheitsdaten, politische oder religiöse Überzeugungen oder andere besondere Kategorien personenbezogener Daten eingeben.
- Einwilligungsmechanismen überprüfen: Ein „OK“ unter einem allgemeinen Informationshinweis ist nicht automatisch eine datenschutzrechtliche Einwilligung. Zweck, Datenkategorien und Verarbeitung müssen klar voneinander abgegrenzt werden.
- Keine vorangekreuzten Einwilligungen: Soweit eine Verarbeitung auf Einwilligung gestützt wird, muss die Entscheidung durch eine aktive Handlung des Nutzers erfolgen.
- Berechtigte Interessen konkret benennen: Soll Art. 6 Abs. 1 Buchst. f DSGVO herangezogen werden, müssen das konkrete berechtigte Interesse, die Erforderlichkeit und die Interessenabwägung geprüft und die erforderlichen Informationen transparent bereitgestellt werden.
- Frontend und tatsächliche Verarbeitung abstimmen: Benutzeroberflächen dürfen keine Verarbeitungsmöglichkeiten suggerieren, die rechtlich unzulässig sind – auch dann nicht, wenn interne technische Regeln deren tatsächliche Nutzung verhindern sollen.
- Minderjährige gesondert berücksichtigen: Richtet sich ein Dienst auch an Minderjährige, sind Datenschutz, Werberecht und Jugendmedienschutz gemeinsam zu prüfen.
- KI-Datenschutz-Folgenabschätzung prüfen: Gerade bei umfangreicher Auswertung von Chat-Inhalten, Profilbildung oder der möglichen Verarbeitung besonderer Kategorien personenbezogener Daten sollte geprüft werden, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.
Unsere Kanzlei steht Unternehmen gerne bei Fragen zum datenschutzkonformen Einsatz generativer KI, zur Verwendung von KI-Chatdaten sowie zur Gestaltung von Einwilligungs- und Werbeprozessen zur Verfügung.
Ebenfalls für diese Fragen könnte interessant sein:
FAQ-Dokument zur Künstlichen Intelligenz aus Niedersachsen – Der Beitrag behandelt die datenschutzrechtlichen Anforderungen beim betrieblichen Einsatz von KI und insbesondere die weiterhin erforderliche Prüfung nach DSGVO und BDSG.
Cookies: Hinweise zu Anforderungen an Consent-Layer – Relevant insbesondere zu den Anforderungen an wirksame Einwilligungen, zur Gestaltung von Auswahlmöglichkeiten und zu voreingestellten bzw. manipulativen Benutzeroberflächen.
Meta Business Tools: Kein DSGVO-Schadensersatz ohne konkreten Nachweis der eigenen Betroffenheit – Der Beitrag behandelt ebenfalls die datenschutzrechtliche Verantwortlichkeit für Werbe- und Trackingdaten sowie die Frage, wann und auf welcher Rechtsgrundlage Daten für Werbezwecke verarbeitet werden.