Kein DSGVO-Verstoß auf Facebook und Instagram: Meta darf Nut­zer­daten für das KI-Trai­ning ver­wenden

Meta darf die personenbezogenen Daten der Nutzer ihrer Plattformdienste Facebook und Instagram vorerst für das Training ihres KI-Modells nutzen. Das Oberlandesgericht (OLG) Köln lehnte am Freitag im Eilverfahren einen Antrag der Verbraucherzentrale NRW auf Erlass einer einstweiligen Unterlassungsverfügung gegen das Unternehmen ab (Besch. v. 23.05.2025, Az. 15 UKl. 2/25). Mit diesem hatten die Verbraucherschützer versucht, die ab Dienstag geplante Datenverwendung zu stoppen. Doch das OLG Köln hielt Metas Praxis für datenschutzrechtlich zulässig. KI-Modelle mit Nutzerdaten trainieren zu lassen, sei von einem berechtigten Interesse getragen. Das OLG Köln ist in diesem Verfahren die erste und letzte Instanz, aufgrund einer Spezialzuständigkeit in § 6 Unterlassungsklagengesetz (UKlaG). 

Im April hatte Meta angekündigt, ab dem 27. Mai 2025 die Daten ihrer Nutzer für das Training ihres großen Sprachmodells "LLaMA" zu verwenden. Dies dient auch dem Tool "Meta AI", das bei WhatsApp in der rechten unteren Ecke des Bildschirms zu finden ist. Meta AI kann – genau wie ChatGPT – als Chatbot genutzt werden. Für das KI-Training sollen lediglich die öffentlichen Daten von erwachsenen Personen verwendet werden. Darunter fallen etwa Name und Nutzername, aber auch Accountinformationen, (Profil-)Bilder, Kommentare, Bewertungen usw. Also alle öffentlich einsehbaren Daten – allerdings nicht private Chats. Wer davon nicht umfasst sein möchte, kann noch bis zum 26. Mai 2025 widersprechen.

Die Verbraucherzentrale NRW mahnte Meta daraufhin erfolglos ab und beantragte am 12. Mai beim OLG Köln die einstweilige Verfügung. Das blieb im Eilverfahren ohne Erfolg. Obwohl am Donnerstag über Stunden und mit mehreren Unterbrechungen mündlich verhandelt wurde, fand keine umfassende Beweisaufnahme statt und es konnten keine Vorlagefragen an den EuGH gestellt werden. Der Beschluss erging auf Grundlage einer summarischen Prüfung und wirkt deshalb nur vorläufig. Endgültiges soll erst in einer möglichen Hauptsache entschieden werden. In Anbetracht der (möglichen) weitreichenden Konsequenzen war das eine echte Herkulesaufgabe.

OLG: KI-Training ist legitimer Zweck

Der Hauptantrag der Verbraucherzentrale stützt sich auf einen Verstoß gegen die Datenschutz-Grundverordnung (DSGVO). Unstreitig zwischen den Parteien des Verfahrens war, dass die beabsichtigten Daten trotz Deidentifizierungsmaßnahmen, wie etwa der Entfernung des Nutzernamens von einem geschriebenen Kommentar, weiterhin personenbezogen sind. 

Das Gericht hält die Datenverarbeitung für gerechtfertigt nach Art. 6 Abs. 1 Unterabsatz 1 Buchst. f DSGVO. Demnach ist die Verarbeitung rechtmäßig, wenn sie "zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich" ist. Dies gilt aber nur, "sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen". Die Rechtsprechung leitet daraus ein dreischrittiges Prüfprogramm ab: legitimer Zweck, Erforderlichkeit und Interessenabwägung. Diese Prüfung gehe hier zugunsten von Meta AI aus.

Das Gericht erkannte es angesichts der derzeitigen Entwicklungen und den mit großen KI-Modellen einhergehenden wirtschaftlichen Möglichkeiten als legitimen Zweck an, dass Unternehmen Daten für KI-Trainingszwecke nutzen. Dieser Zweck wird auch in Erwägungsgrund 8 der Verordnung über Künstliche Intelligenz (AI Act) anerkannt. 

Die Datenverarbeitung hielt das Gericht auch für erforderlich. Ein gleich geeignetes, milderes Mittel, wie eine zuverlässige Anonymisierung der großen Datenbestände, gebe es nicht. 

Meta hält EDSA-Vorgaben ein

Die schließlich vorzunehmende Interessenabwägung gehe zugunsten von Meta aus. Das Gericht verwies insofern darauf, sich an die Stellungnahme des Europäischen Datenschutzausschusses (EDSA) aus dem Dezember 2024 halten zu wollen. Der EDSA zeigt dort verschiedene Maßnahmen auf, wie die Verarbeitung von KI-Trainingsdaten datenschutzkonform gelingen kann. Diese Anforderungen halte Meta ein, so das Gericht.

Dazu zählt u.a., dass nur öffentliche Daten von erwachsenen Personen verwendet werden, die auch über Suchmaschinen auffindbar seien. So haben die Nutzer selbstständig ihre Daten (wie Bilder, Kommentare etc.) dort veröffentlicht. Zudem ergreife Meta Maßnahmen, die die Eingriffsintensität verringen, wie Deidentifizierungsmaßnahmen. Dabei sollen – von Meta eidesstaatlich versichert – insbesondere sensible Daten, wie Kontodaten, Postanschriften und Fahrzeugkennzeichen, nicht Teil des Trainingdatensatzes sein. Das OLG Köln erkannte an, dass auch personenbezogene Daten Dritter und sensible Daten (Art. 9 DSGVO) von dem KI-Trainingsdatensatz umfasst sind. In einer Gesamtabwägung würden diese Interessen allerdings nicht überwiegen. Fraglich bleibt, wie sensible Daten über eine Interessenabwägung zu rechtfertigen sind.

Hinzu tritt, dass die zuständige irische Datenschutzbehörde (DPC), die für Meta in Europa die zuständige Aufsichtsbehörde ist, am Abend des 21. Mai – also einen Tag vor der mündlichen Verhandlung – ein Statement veröffentlichte. In diesem zeigte sie auf, dass Meta der DPC gegenüber versichert habe, Maßnahmen etabliert zu haben, die die Eingriffsintensität der Daten für das KI-Training senken. So soll ein Bericht von Meta erst im Oktober gegenüber der DPC erfolgen. Das OLG Köln möchte somit der Einschätzung der DPC – vorerst keine Maßnahmen zu treffen – folgen.

Das Gericht folgte damit nicht der Ansicht des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit, Thomas Fuchs. Der war in der mündlichen Verhandlung am Donnerstag angehört worden. Fuchs hatte sich dafür ausgesprochen, die (historischen) Daten, die bis Mitte des Jahres 2024 angefallen sind, als nicht rechtmäßige Verarbeitung zu betrachten. In diesem Rahmen wurde zudem bekannt, dass Fuchs einstweilige Maßnahmen in einem Dringlichkeitsverfahren nach Art. 66 DSGVO gegen Meta eingeleitet hat. Danach könnte der Datenschutzbeauftragte Meta dazu bewegen, das Training der KI nicht aufzunehmen. Dieses Verfahren könnte dazu führen, dass Meta – trotz der heutigen Entscheidung des OLG Köln – nicht mit dem KI-Training beginnen darf.

User können noch bis Montag widersprechen

Die Verbraucherzentrale NRW stützte ihren Unterlassungsantrag hilfsweise auf einen Verstoß gegen den Digital Markets Act (DMA). Der DMA soll als kartellrechtliches Instrument faire Märkte in digitalen Sektoren gewährleisten. Umfasst sind sog. Gatekeeper. Diese zeichnet aus, dass sie einen zentralen Plattformdienst bereitstellen (dazu zählen Facebook und Instagram) und einen Jahresumsatz von mindestens 7,5 Mrd. EUR in jeden der vergangenen drei Geschäftsjahre erzielt haben oder der Marktwert mindestens 75 Mrd. EUR betrug. Gleiches gilt auch, wenn sich mindestens 45 Millionen aktive monatliche Endnutzer und mindestens 10.000 gewerbliche Nutzer im vergangenen Geschäftsjahr auf der Plattform aufhielten. Art. 5 Abs. 2 Unterabsatz 1 Buchst. b) DMA stellt klar, dass die Zusammenführung von personenbezogenen Daten eines Plattformdienstes grundsätzlich nicht mit personenbezogenen Daten aus weiteren zentralen Plattformdiensten oder Diensten des Gatekeepers (Meta) möglich ist. 

Das OLG ist jedoch der Ansicht, dass ein "Zusammenführen" von personenbezogenen Daten nicht vorliegt. Es fehle an einem gezielten Verknüpfen von Daten desselben Nutzers. Zu dieser Norm gebe es aber noch keine Rechtsprechung, was dem Gericht die Entscheidungsfindung nach eigenen Aussage erschwerte. Problematisch war in diesem Zusammenhang, dass die Europäische Kommission mit Meldung vom 23. April 2025 einen Verstoß Metas gegen den DMA festgestellt hat und ein nationales Gericht nicht im Widerspruch zu Beschlüssen der EU-Kommission entscheiden darf. Der etwa 80-seitige Kommissionsbeschluss ist allerdings nicht öffentlich und lag auch dem OLG nicht in Gänze vor. Eine Stellungnahme der Kommission hierzu einzuholen, war dem Senat aufgrund der Eilbedürftigkeit ebenso wenig möglich wie eine Vorlage an den EuGH. Das dürfte in einem etwaigen Hauptsacheverfahren nachgeholt werden.

Damit darf Meta vorerst die Daten der Facebook- und Instagram-User für das KI-Training nutzen. Nutzern bleibt allerdings die Option, bis zum Montag den Widerspruch zu erklären oder ihr Profil auf nicht-öffentlich zu stellen. Ein späterer Widerspruch – also nach der Inbetriebnahme von Meta AI – ist zwar ebenfalls möglich. Aber: "Alle Daten, die einmal in die KI eingeflossen sind, können nur schwer wieder zurückgeholt werden", warnte Christine Steffen, Datenschutzexpertin der Verbraucherzentrale in der Verhandlung am Donnerstag.

David Wasilewski, LL.B., ist wissenschaftliche Hilfskraft an der Kölner Forschungsstelle für Medienrecht.