Künstliche Intelligenz trifft Datenschutz: OLG Köln ebnet Weg für KI-Training mit öffentlichen Nutzerdaten

Das Oberlandesgericht (OLG) Köln hat in einem mit Spannung erwarteten Urteil bestätigt, dass das berechtigte Interesse eine tragfähige Rechtsgrundlage für eine Datenverarbeitung im Rahmen von KI Training sein kann. Im Eilverfahren hat das Gericht am 23. Mai 2025 Metas geplante Nutzung von personenbezogenen Daten für KI-Trainingszwecke für datenschutzkonform erklärt – ohne Einwilligung, aber mit Opt-Out-Möglichkeit.

Die Debatte um die Entscheidung ist hochpolitisch: Auf der einen Seite stehen diejenigen, die KI Entwicklung und Nutzung aus wirtschaftlicher Sicht für absolut notwendig halten und die strenge EU Regulierung – insbesondere die DSGVO – hier als Innovationshemmnis sehen. Auf der anderen Seite stehen die „Big Tech“ Gegner, die die Fahne für den Grundrechtsschutz und das Recht auf informationelle Selbstbestimmung des Einzelnen hochhalten und eine restriktive Auslegung der DSGVO fordern. Wir bewerten die Entscheidung aus rechtlicher Sicht für Sie.

Was ist passiert?

• Meta hat bereits im März 2024 die irische Datenschutzbehörde informiert, öffentlich zugängliche Inhalte aus Facebook und Instagram Nutzerprofilen zum KI Training verwenden zu wollen.
• Nach intensivem Austausch mit der Behörde verkündete Meta im Juni 2024, die geplante Datenverarbeitung zunächst zu stoppen und sich mit den Aufsichtsbehörden enger abzustimmen.
• Die irische Behörde erbat beim Europäischen Datenschutzausschuss (EDSA) eine Stellungnahme zu dem Thema, u.a zu der Frage, ob das berechtigte Interesse eine tragfähige Rechtsgrundlage für eine Datenverarbeitung im Rahmen von KI Training sein kann.
• In seiner im Dezember 2024 veröffentlichten Stellungnahme hat der EDSA dies bejaht, sofern der Verantwortliche bestimmte Kriterien und insbesondere risikominimierende Maßnahmen erfüllt.
• Im April 2025 gab Meta bekannt, das KI Training mit Nutzerdaten ab 27. Mai 2025 durchzuführen. Ausgenommen seien aber Daten von Nutzern, die der Verarbeitung bis dahin widersprechen.
• Die Verbraucherzentrale NRW wollte dies im Wege einer Verbandsklage untersagen lassen.
• In dem nun entschiedenen Eilverfahren bestätigte das OLG Köln die Rechtmäßigkeit des Vorgehens. Das Urteil (AZ 15 UKl 2/25) ist noch nicht veröffentlicht, aber rechtskräftig. Den Parteien steht es offen, ihre Rechte in einem gesonderten Hauptsacheverfahren wahrzunehmen.

Welche Rechtsfragen standen in Raum?

Im Mittelpunkt des Rechtsstreits stand die Frage, ob Meta seine KI mit personenbezogene Daten aus öffentlichen Nutzerprofilen trainieren darf, ohne dafür vorab eine Einwilligung einzuholen. Als Rechtsgrundlage führte Meta berechtigte Interessen gemäß Art. 6 Abs 1 (f) DSGVO an.

Das OLG Köln folgte der Linie des EDSA nun und befand:

• Meta befolge mit der Datenverwendung zum KI Training einen legitimen (wirtschaftlichen) Zweck;
• die geplante Datenverarbeitung sei erforderlich: der verfolgte Zweck könne nicht durch gleich wirksame, weniger einschneidende andere Mittel erreicht werden; und
• im Rahmen der notwendigen Abwägung der Rechte von Nutzern und Meta als Betreiberin überwögen die Interessen an der Datenverarbeitung.

Dabei würdigte das Gericht, dass Meta sich eng an den Vorgaben des EDSA orientiere und auf Transparenz setze: eine groß angelegte Informationskampagne, klare Opt-Out Möglichkeiten und eine angemessene Vorlaufzeit hätten Nutzern die Möglichkeit gegeben, der Verarbeitung ihrer Daten zu widersprechen und so deren Verwendung im KI Training zu unterbinden. Außerdem stelle Meta sicher, dass die verwendeten Daten keine eindeutigen Identifikatoren wie Name, E-Mail-Adresse oder Postanschrift einzelner Nutzer enthielten und dass ausschließlich öffentlich gestellte Daten verarbeitet werden, die ohnehin von Suchmaschinen gefunden würden.

Die Rechtsgrundlage der berechtigten Interessen gibt diesen Auslegungsspielraum durchaus her, sofern keine sensiblen Daten betroffen sind. Die Verarbeitung sensibler Daten kann aber nicht auf Basis berechtigter Interessen gerechtfertigt werden, sondern nur im Rahmen der engen Vorgaben des Art. 9 DSGVO. Vor diesem Hintergrund verwundert folgende Aussage des OLG: „Der Umstand, dass große Mengen von Daten, auch von Dritten einschließlich Minderjährigen und auch sensible Daten im Sinne des Art. 9 DSGVO, betroffen sind, überwiegt bei der Abwägung nicht. Meta hat insoweit wirkungsvolle Maßnahmen ergriffen, welche den Eingriff wesentlich abmildern.“ Wir vermuten, das OLG stellt für die Verarbeitung sensibler Daten auf Art. 9 Abs. 2 (e) DSGVO ab, der die Verarbeitung sensibler Daten erlaubt, „die die betroffene Person offensichtlich öffentlich gemacht hat“.

Praktische Bedeutung für Unternehmen

Die Meinungen zu dem Urteil gehen weit auseinander, auch unter den Datenschutzbehörden:

• Die Bundesdatenschutzbeauftragte hat sich bereits öffentlich geäußert, dass sie die Entscheidung für falsch halte.
• Die irische Datenschutzbehörde steht wohl auf Seiten des OLG Köln.
• Der Hamburgische Datenschutzbeauftragte, der im April auch vor der geplanten Datenverarbeitung gewarnt hatte und im Eilverfahren gehört wurde, hält diese nun für DSGVO konform, sofern Daten von Nutzern betroffen seien, die nach Mitte 2024 veröffentlicht worden sind. Das geht zwar aus der Pressmittelung nicht hervor, aber wir gehen davon aus, dass der Hamburgische Datenschutzbeauftragte argumentiert, dass Nutzer seit dem Zeitpunkt die vernünftige Erwartung haben mussten, dass mit ihren Profildaten KI trainiert würde.

Dies ist das erste Urteil in Europa, das die EDSA Stellungnahme mit Leben füllt. Das letzte Wort ist hier sicher noch nicht gesprochen. Aber in Kombination mit der EDSA Stellungnahme ist die Entscheidung des OLG Köln ein wichtiges Signal für Unternehmen, dass Datenschutz und KI auch in Deutschland (und Europa) durchaus unter einen Hut zu bringen sind. Allerdings sind Unternehmen hier gut beraten, sich eng an den bisher definierten rechtlichen Leitplanken zu orientieren.

Sprechen Sie uns gern an, wenn Sie eine rechtskonforme KI-Strategie entwickeln oder Fragen zu dem Urteil haben.