Erfahren Sie in diesem Beitrag alles zu der hochrelevanten Entscheidung des OLG-Köln zum KI-Training mit Nutzerdaten.
Am 23. Mai 2025 hat das Oberlandesgericht (OLG) Köln (Az. 15 UKl 2/25) im Eilverfahren eine medienwirksame Entscheidung zum Thema Künstliche Intelligenz (KI) getroffen: Es wies den Antrag der Verbraucherzentrale NRW zurück, der Meta die Nutzung öffentlich geteilter Nutzerdaten von Facebook und Instagram zum Training eines KI-Large-Language-Modells (LLM) untersagen sollte. Konkret ging es um die auf ihren sozialen Netzwerken öffentlich eingestellten Daten volljähriger Nutzer*, wie z.B. Kommentare, Fotos oder Videos (sog. First Party Data). Ein entsprechendes Vorhaben hatte Meta am 14. April 2025 angekündigt.
Die Verbraucherzentrale NRW sah hierin unter anderem Verstöße gegen die Datenschutz-Grundverordnung (DSGVO)sowie gegen das Verbot der Datenzusammenführung nach Art. 5 Abs. 2 lit. b) Digital Markets Act (DMA). Sie beantragte im Wege des einstweiligen Rechtsschutzes, die Nutzung zu untersagen. Im Ergebnis wies das OLG Köln den Antrag zurück.
Keine „Zusammenführung“ im Sinne des DMA
Das OLG Köln sah keinen Verstoß gegen das Verbot der Zusammenführung personenbezogener Daten aus verschiedenen Plattformdiensten im Sinne des DMA. Der DMA verbietet es u.a. Torwächtern, personenbezogene Daten aus verschiedenen zentralen Plattformdiensten zusammenzuführen, sofern keine Einwilligung der Nutzer vorliegt. Das Gericht stellte jedoch klar: Die von Meta geplante Einbringung öffentlich zugänglicher Inhalte aus Facebook und Instagram in ein unstrukturiertes Trainingsdatenset stelle keine „Zusammenführung“ im Sinne von Art. 5 Abs. 2 lit. b) DMA dar, da keine gezielte personenbezogene Verknüpfung derselben Nutzer erfolgt. Vielmehr handele es sich um eine nicht-personalisierte Datenverwendung ohne Nutzerprofilbildung.
Zulässigkeit nach Art. 6 Abs. 1 S. 1 lit. f DSGVO
Das OLG Köln hielt die Datenverarbeitung durch Meta im Rahmen des KI-Trainings für zulässig – und stützte sich dabei auf das berechtigte Interesse nach Art. 6 Abs. 1 Satz 1 lit. f DSGVO. Nach Ansicht des Gerichts verfolgt Meta mit dem Aufbau eines regional angepassten KI-Modells ein legitimes wirtschaftliches Ziel.
Ist die Datenverarbeitung erforderlich?
Die Frage der Erforderlichkeit bejahte das Gericht ebenfalls. Die Verarbeitung sei geeignet, den verfolgten Zweck zu erreichen – und es gebe kein milderes, die Privatsphäre weniger beeinträchtigendes Mittel. Gerade bei der Frage der Erforderlichkeit wird der Charakter eines Eilverfahrens deutlich: Zwar befasste sich das Gericht mit alternativen Mitteln, wie den Einsatz anonymisierter oder synthetischer Daten. Allerdings wird im Eilverfahren lediglich eine summarische Prüfung durch das Gericht vorgenommen, sodass nach Aktenlage entschieden wird und die Glaubhaftmachung der Beklagten an Bedeutung gewinnt. Nach Auffassung des Gerichts hatte Meta dabei glaubhaft gemacht, dass es „keine andere sinnvolle Alternative“ gebe, um ihre Interessen ebenso wirksam zu erreichen. Nach summarischer Prüfung erschien dies dem Senat als überwiegend wahrscheinlich. Gleichwohl wurde auf die „Diskrepanz zwischen dem Datenhunger des KI-Trainings und dem Grundsatz der Datenminimierung“ hingewiesen, die jedoch aufgrund der summarischen Prüfung nicht weiter aufgefächert wurde.
Abwägung der Interessen: Öffentliche Inhalte und Nutzererwartungen im Fokus
Besonderes Gewicht legte das Gericht auf die Interessenabwägung. Zwei Faktoren standen im Mittelpunkt: Zum einen die berechtigten Erwartungen der Betroffenen, zum anderen die möglichen Auswirkungen der Verarbeitung auf sie.
Von Bedeutung war zunächst, dass es sich um Inhalte handelt, die Nutzer bewusst öffentlich in ihren Profilen bei Facebook oder Instagram eingestellt haben und damit für jedermann zugänglich und über Suchmaschinen auffindbar sind. Diese freiwillige öffentliche Verfügbarkeit senkt aus Sicht des Gerichts das Schutzniveau im Vergleich zu nicht-öffentlichen Inhalten deutlich.
Zudem berücksichtigte das Gericht die von Meta implementierten Schutzmechanismen. Auf Grundlage der Empfehlungen der zuständige irische Datenschutzbehörde (DPC) und der Stellungnahme des Europäischen Datenschutzausschusses (EDSA) zum Training von KI-Modellen mittels personenbezogener Daten, hatte Meta eine Reihe technischer Maßnahmen zur De-Identifizierung ergriffen, um die Auswirkungen der Datenverarbeitung abzumildern. Dazu zählen unter anderem die Möglichkeit, den Sichtbarkeitsstatus des Kontos auf „privat“ zu ändern, sowie ein einfach auszuübendes Widerspruchsrecht gegen die Verwendung der Daten für das KI-Training.
In Bezug auf die berechtigten Erwartungen der Nutzer stellte das OLG Köln fest, dass aufgrund der öffentlichen Mitteilung von Meta vom 10. Juni 2024, in der die Nutzung öffentlich eingestellter Daten zum Zwecke des KI-Trainings angekündigt wurde, die Nutzer vernünftigerweise mit einer Nutzung ihrer Daten rechnen mussten. Nach dem Gericht gelte dies zumindest für alle Inhalte, die der Nutzer ab dem 26. Juni 2024 selbst öffentlich eingestellt habe. Für ältere Inhalte, die vor dieser Ankündigung veröffentlicht wurden, sowie für Daten von Dritten sei eine solche Erwartung hingegen nicht gegeben.
Trotz dieser Unterschiede kam das OLG Köln zu dem einheitlichen Ergebnis, dass auch bei älteren Inhalten sowie bei Daten Dritter, die Interessen von Meta überwiegen. Zur Begründung verwies das Gericht auf die Zielsetzung der neuen KI-Verordnung (KI-VO). Diese betont in ihren Erwägungsgründen die führende Rolle, die Europa bei der Entwicklung einer sicheren, vertrauenswürdigen und ethisch verantwortbaren KI einnehmen will. Eine pauschale Untersagung der Nutzung öffentlich geteilter Inhalte würde dieses Ziel konterkarieren.
Verarbeitung von Daten Dritter
Problematisch bleibt aus Sicht des Gerichts der Umgang mit Daten Dritter – etwa dann, wenn Nutzer Inhalte veröffentlichen, die auch andere Personen betreffen. Diese betroffenen Personen haben häufig keine direkte Möglichkeit, der Datenverarbeitung zu widersprechen, vor allem dann nicht, wenn sie selbst kein Konto auf der entsprechenden Plattform besitzen. Besonders sensibel wird diese Situation, wenn es sich bei den betroffenen Personen um Minderjährige handelt. Trotzdem bewertete das Gericht die Gesamtintensität des Eingriffs in die Rechte der Betroffenen als eher gering.
Zur Begründung führt das Gericht an, dass ein konkreter hinausgehender Nachteil für die betroffenen Personen durch die Datenverarbeitung eher unwahrscheinlich sei. Anders als etwa beim Profiling gemäß Art. 4 Nr. 4 DSGVO stehe beim Training von KI-Modellen nicht die gezielte Verarbeitung personenbezogener Daten einzelner Personen im Vordergrund. Stattdessen würden große Datenmengen verarbeitet, ohne dass dabei die Identität der Betroffenen eine zentrale Rolle spiele. In diesem Zusammenhang hebt das Gericht hervor, dass die Wahrscheinlichkeit, eine einzelne Person identifizieren zu können, gering sei. Einzelne Informationen gehen in der großen Datenmasse typischerweise unter, es sei denn, sie würden mehrfach im Training verwendet.
Wahrung aller Betroffenenrechte?
Das OLG Köln setzte sich auch mit den Rechten der betroffenen Personen auseinander. Hervorzuheben war dabei die Frage, wie das Recht auf Löschung nach Art. 17 DSGVO im Zusammenhang mit dem Training von KI-Modellen künftig gewahrt werden kann. Diesbezüglich hat Meta glaubhaft gemacht, solche Daten bei künftigen Trainingsvorgängen nicht mehr zu nutzen.
Verarbeitung von sensiblen Daten im Lichte der KI-VO
Besondere Kategorien personenbezogener Daten – etwa zu Gesundheit, Religion oder ethnischer Herkunft – unterliegen gemäß Art. 9 Abs. 1 DSGVO grundsätzlich einem Verarbeitungsverbot. Dennoch hielt das OLG Köln die Nutzung solcher sensiblen Daten im Rahmen des KI-Trainings unter bestimmten Voraussetzungen für zulässig. Personenbezogene Daten, die Nutzer selbst veröffentlicht hätten, fielen unter den Ausnahmefall des Art. 9 Abs. 2 lit. e) DSGVO, da davon auszugehen sei, dass die Nutzer die Inhalte in Kenntnis ihrer Sichtbarkeit online gestellt hätten. Dieser Ausnahmetatbestand greife jedoch ausschließlich für eigene Daten und nicht für Inhalte über Dritte, die ohne deren Zutun veröffentlicht wurden.
Gerade bei solchen Drittdaten verfolgte das Gericht einen pragmatischen Ansatz: In umfangreichen Datensätzen, wie sie für das Training großer Sprachmodelle verwendet werden, lassen sich sensible Inhalte nicht vollständig ausschließen. Da es im konkreten Fall nicht um eine gezielte Verarbeitung sensibler Daten ging, hielt der Senat eine sogenannte teleologische Reduktion, d.h. eine am Zweck orientierte Auslegung, des Verarbeitungsverbots für gerechtfertigt.
Zur Begründung verwies das OLG Köln auf das Ziel der europäischen KI-VO, wonach die Europäische Union eine führende Rolle in der KI-Entwicklung übernehmen soll. Ein strikt verstandenes Verbot der Verarbeitung sensibler Daten würde diesem Ziel entgegenstehen. Zudem schaffe die KI-VO in Art. 10 Abs. 5 eine eigene Rechtsgrundlage für die gezielte Verarbeitung sensibler Daten im Rahmen des KI-Trainings – eine entsprechende Regelung für nicht zielgerichtete Datenverarbeitung fehle jedoch.
Das Gericht verwies zudem auf die doppelte Schutzfunktion der DSGVO. Sie dient gemäß Art. 1 Abs. 1 DSGVO nicht nur dem Schutz personenbezogener Daten, sondern auch dem freien Datenverkehr innerhalb der EU und darf laut Art. 1 Abs. 3 DSGVO nicht ohne Weiteres eingeschränkt oder verhindert werden. Angesichts der Tatsache, dass KI-Modelle auf große, teils unstrukturierte Datenmengen angewiesen sind, gewinne dieser Aspekt nach Auffassung des Gerichts zunehmend an Gewicht.
Bedeutung der Entscheidung
Die Entscheidung des OLG Köln zählt zu den ersten gerichtlichen Entscheidungen zur datenschutzrechtlichen Zulässigkeit von KI-Training und könnte Signalwirkung entfalten. Besonders interessant ist die sich abzeichnende Verschränkung verschiedener europäischer Rechtsakte, etwa der DSGVO, der KI-VO und des DMA. Wie diese Regelwerke künftig zusammenspielen, bleibt mit Spannung zu beobachten.
Ob der Europäische Gerichtshof die Auffassung des OLG Köln teilt, lässt sich im Eilverfahren nicht klären – eine Vorlage ist nur im Hauptsacheverfahren möglich. Das OLG Schleswig hat in einem Parallelverfahren mit Urteil vom 12.08.2025 ebenfalls eine einstweilige Verfügung gegen Meta abgelehnt und dabei auf das Urteil des OLG Köln verwiesen. Entscheidungsgrund war jedoch ausschließlich die Unzulässigkeit der Klage. Es bleibt also abzuwarten, ob sich die Argumentation des OLG Köln auch in der weiteren Rechtsprechung durchsetzen wird.
In unserem CMS-Blog halten wir Sie mit unserer Blog-Serie „Künstliche Intelligenz“ zu diesem Thema auf dem Laufenden. Sie können diese Blog-Serie über den RSS-Feed abonnieren und werden von uns über neue Beiträge benachrichtigt. Bereits online sind u.a. Beiträge zu diesen Themen: Cybersicherheit von Hochrisiko-KI und der Cyber Resilience Act; „KI-Systeme“ i.S.d. KI-VO: Begriff und Definition; Erstes Urteil Deutschlands zur urheberrechtlichen Zulässigkeit des KI-Trainings ergangen; Die KI-Pläne der EU-Kommission. Sehen Sie zudem gern: Eigene KI-Sprachmodelle von Unternehmen (cms.law).
Haben Sie Anregungen zu weiteren Themen rund um KI, die in unserer Blog-Serie „Künstliche Intelligenz“ nicht fehlen sollten? Schreiben Sie uns gerne über blog@cms-hs.com.
* Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.
