Meta‑KI‑Training mit Nutzerdaten: Warum die Interessenabwägung als Rechtsgrundlage nicht ausreicht

Das OLG Köln erlaubte Metas KI‑Training mit öffentlichen Nutzerdaten – doch die rechtliche Analyse zeigt: Nur eine Einwilligung ist zulässig

Der US‑Konzern Meta kündigte an, ab dem 27.5.2025 sämtliche öffentliche Daten seiner Dienste Facebook und Instagram für das Training von KI zu verwenden – umfasst sind Namen, Profilbilder und sämtliche Aktivitäten in öffentlichen Gruppen oder auf öffentlichen Seiten wie Beiträge, Likes und Kommentare. Nicht umfasst sind Daten, bei denen der Nutzer die öffentliche Sichtbarkeit eingeschränkt hat, etwa auf seine direkten Kontakte, und Meta kündigte zudem an, keine Daten von Konten zu verarbeiten, deren Inhaber unter 18 Jahre sind. Das Unternehmen beruft sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) als Rechtsgrundlage für die Datenverarbeitung. Ursprünglich hatte Meta dieses Vorgehen bereits im Juni 2024 angekündigt, gab jedoch aufgrund von zahlreichem Widerstand bekannt, die Datenverarbeitung in der EU vorerst nicht durchzuführen.

Die erneute Ankündigung 2025 führte dazu, dass die Verbraucherzentrale NRW beim OLG Köln einen Eilantrag auf Unterlassung gegen Meta einreichte – dieser Antrag wurde jedoch abgewiesen. Die irische Datenschutzbehörde (DPC) veröffentlichte am 21.5.2025 eine Pressemitteilung, in der sie das geplante KI‑Training mit Nutzerdaten durch Meta als rechtmäßig bewertete und hervorhob, dass Meta zahlreiche Maßnahmen zur Risikoreduzierung für Betroffene ergriffen habe. Das OLG Köln entschied am 23.5.2025 im Eilverfahren, dass das von Meta geplante KI‑Training rechtmäßig sei und sich auf Art. 6 Abs. 1 lit. f DSGVO stützen könne, selbst wenn es Daten von Dritten verarbeite, die keine Nutzer von Facebook und Instagram sind.

Rechtliche Einordnung

Im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO wird ermittelt, ob Meta ein berechtigtes Ziel verfolgt, die Datenverarbeitung erforderlich ist und die Interessen der Betroffenen nicht überwiegen. Des Weiteren wird in Bezug auf besonders sensible Daten untersucht, ob die von Meta angekündigte Datenverarbeitung auch eine rechtliche Grundlage in Art. 9 DSGVO findet.

Der Begriff des berechtigten Interesses ist in der DSGVO nicht legal definiert und kann daher ein breites Spektrum an Interessen umfassen – hierunter können auch wirtschaftliche Interessen des Verantwortlichen fallen.

Insoweit kann dem OLG Köln beigepflichtet werden, dass das KI‑Training einen legitimen Zweck darstellt. Der Verantwortliche hat darzulegen, dass das berechtigte Interesse an der Datenverarbeitung nicht in zumutbarer Weise ebenso wirksam mit milderen Mitteln erreicht werden kann – mildere Mittel sind hier solche, die weniger intensiv in die Grundrechte und Grundfreiheiten des Betroffenen eingreifen.

Der EuGH hält fest, dass stets der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO zu beachten ist, sodass die Daten auf das notwendige Maß beschränkt sind.

Das OLG Köln bejaht die Erforderlichkeit der Datenverarbeitung, weil eine Verarbeitung von ausschließlich sog. Flywheel‑Daten (Daten von Nutzern, die aktiv eingewilligt haben) zu einem „minderwertigen Produkt“ führen würde – die deutlich geringere Menge an Daten sei nicht geeignet, um vergleichbare Ergebnisse beim KI‑Training zu erzielen, was auch für eine Beschränkung auf anonymisierte oder synthetische Daten gelte.

Den Ausführungen des Gerichts ist hier nicht zuzustimmen.

Das OLG Köln verkennt diesen Aspekt und sieht die Datenverarbeitung schon deshalb als erforderlich an, weil große Datenmengen für das KI‑Training benötigt würden – nur weil das Training eines KI‑Modells durch mehr Daten effizienter gestaltet werden kann, macht dies die Datenverarbeitung jedoch nicht erforderlich.

Aufgrund der enormen Nutzerzahl (laut der Verbraucherzentrale NRW allein in Deutschland 40 Mio. Nutzer auf Facebook und 31 Mio. Nutzer auf Instagram) würden auch mit Einwilligung große Mengen an Daten zur Verfügung stehen.

Insgesamt muss das Kriterium der Erforderlichkeit deshalb hier verneint werden.

Interessenabwägung

Zuletzt dürfen die Interessen oder Grundrechte und Grundfreiheiten der Betroffenen gegenüber dem berechtigten Interesse des Verantwortlichen nicht überwiegen – hierbei muss stets eine Abwägung im Einzelfall vorgenommen werden.

Die Interessen der Betroffenen können gem. Erwägungsgrund 47 DSGVO insbesondere dann überwiegen, wenn diese vernünftigerweise nicht mit der Datenverarbeitung rechnen müssen – entscheidend ist dabei der Zeitpunkt der Erhebung der Daten.

Gegen ein Überwiegen der Interessen der Betroffenen spricht zunächst, dass es sich bei den verarbeiteten Daten meisten um solche handelt, die diese selbst öffentlich gemacht haben – dies spricht dafür, dass die Betroffenen den Daten eine geringe Schutzwürdigkeit zusprechen.

Gegen ein Überwiegen der Interessen der Betroffenen spricht auch, dass Meta Widersprüche nach Art. 21 DSGVO ohne Nennung von Gründen akzeptiert.

Für ein Überwiegen der Interessen der Betroffenen könnte jedoch die Vorhersehbarkeit der Datenverarbeitung sprechen – Meta nutzt sämtliche öffentliche Daten von volljährigen Nutzern auf Facebook und Instagram für das KI‑Training.

Das OLG Köln lehnt eine Vorhersehbarkeit der Datenverarbeitung für solche Daten ab – das KI‑Training gehe weit über die allgemein anzunehmende Erwartung der Betroffenen, ihre Daten könnten zur Produktverbesserung genutzt werden, hinaus.

Das Recht auf Berichtigung ist fundamental – nicht ohne Grund heißt es in Art. 8 Abs. 2 GRCh: Jede Person hat das Recht, Auskunft über sie betreffende erhobene Daten zu erhalten und die Berichtigung der Daten zu erwirken.

Hinzu kommt, dass Meta auf Fotos die Gesichter von Personen nicht unkenntlich macht – es besteht für die Betroffenen damit ein wenn auch geringes Risiko, dass durch die Ausgabedaten der KI Rückschlüsse auf ihre Person zu ziehen sind.

Im Ergebnis ist festzuhalten, dass die Interessen der Betroffenen die Interessen von Meta überwiegen und die Datenverarbeitung damit nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann – dies gilt für sämtliche Daten und damit auch solche, die nach dem 26.6.2024 auf den Diensten eingestellt wurden.

Sensible Daten (Art. 9 DSGVO)

Umfasst die Datenverarbeitung auch sensible personenbezogene Daten, so ist neben einer Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO zusätzlich eine aus Art. 9 Abs. 2 DSGVO erforderlich.

Aus der Rechtsprechung des EuGH ergibt sich, dass die Kategorien der sensiblen Daten i.S.v. Art. 9 Abs. 1 DSGVO weit und die Rechtsgrundlagen nach Art. 9 Abs. 2 DSGVO eng auszulegen sind.

Nach der Rechtsprechung des EuGH ist entscheidend, ob der Betroffene die Absicht hatte, die personenbezogenen Daten ausdrücklich und durch eine eindeutige bestätigende Handlung der breiten Öffentlichkeit zugänglich zu machen.

Sowohl auf Facebook als auch auf Instagram ist es Betroffenen möglich, selbst zu entscheiden, ob sich ihre Beiträge an die Öffentlichkeit oder nur an eine begrenzte Anzahl an Kontakten richtet – es ist demnach von einem bewussten Öffentlichmachen auszugehen, was ebenso gilt, wenn Interaktionen mit öffentlichen Beiträgen vorgenommen werden.

Fraglich ist jedoch, ob dies auch gleichermaßen für Daten Dritter gilt – das Gericht hält zunächst fest, dass die Ausnahmeregel des Art. 9 Abs. 2 lit. e DSGVO auf Daten Dritter nicht anwendbar sei.

Nichtsdestotrotz entscheidet das Gericht im Folgenden, dass eine Verarbeitung von sensiblen personenbezogenen Daten Dritter nicht dem Verarbeitungsverbot nach Art. 9 Abs. 1 DSGVO unterliege – das Verbot komme nur dann zum Tragen, wenn der Betroffene es im konkreten Falle durch „Aktivierung“ geltend mache.

Der vom Gericht vorgenommene Vergleich zur Rechtsprechung des EuGH in Bezug auf Suchmaschinen überzeugt nicht.

Da Meta die Daten zur Verbesserung seiner eigenen Produkte verarbeitet, die auch wiederum nur den Nutzern zur Verfügung stehen und keinen zu Suchmaschinen vergleichbare Wichtigkeit für die Allgemeinheit bieten, kann ein „Opt‑out“ bzw. Widerspruch hier nicht genügen.

Bei einer historischen Auslegung von Art. 9 Abs. 2 lit. e DSGVO lässt sich allerdings erkennen, dass das Training von KI‑Modellen im Verhandlungsprozess der DSGVO in den Jahren 2012 bis 2016 keine Rolle spielte – der Gesetzgeber konnte die rasante Entwicklung von KI zu diesem Zeitpunkt noch nicht absehen, dies gilt insbesondere für das kommerzielle Training von KI‑Modellen mit enormen Mengen an öffentlichen Daten.

Es ist deshalb festzuhalten, dass auch die Verarbeitung sensibler personenbezogener Daten gem. Art. 9 Abs. 2 lit. e DSGVO unzulässig ist, die der Betroffene selbst über sich öffentlich gemacht hat.

Auswirkungen für die Praxis

Unternehmen, die ähnlich wie Meta KI‑Modelle mit Nutzerdaten trainieren wollen, sollten ihre Rechtsgrundlage überdenken. Die Einwilligung ist die einzig zulässige Rechtsgrundlage für das KI‑Training – das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO scheidet aus, da es bereits am Kriterium der Erforderlichkeit mangelt und zudem die Interessen der Betroffenen überwiegen. Die Produktentwicklung muss so gestaltet werden, dass Einwilligungen eingeholt, dokumentiert und Widerrufe technisch umgesetzt werden können. Besonders problematisch ist, dass auch wenn die Ursprungsdaten in den Diensten entfernt werden, sie in dem KI‑Modell enthalten bleiben – hierdurch wird die Ausübung von Betroffenenrechten unmöglich gemacht und das Recht auf Löschung oder Berichtigung kann durch Meta nicht mehr garantiert werden.

Meta hat aktualisierte Transparenzhinweise für Nutzer bereitgestellt, ein aktualisiertes und einfacher zu verwendendes Widerspruchsformular geschaffen und eine längere Frist bei der Benachrichtigung von Nutzern über das KI‑Training eingeräumt, mit dem Hinweis, dass öffentliche Beiträge auf privat gestellt werden können, um sie vom KI‑Training auszuschließen. Unternehmen sollten transparent kommunizieren, welche Daten zu welchem Zweck verarbeitet werden.

Für Nutzer von Facebook und Instagram ist es auch nach Ablauf der Frist vom 26.5.2025 weiterhin möglich, der Datenverarbeitung durch Meta zu widersprechen – diese gilt dann allerdings nur noch für zukünftig verarbeitete Daten, da bereits in das KI‑Modell geflossene Daten sich hieraus nicht mehr zuverlässig extrahieren lassen.

➜ Zur To-Do-Liste (priorisiert)​​​​

Risiken & Fallstricke (typische Fehler)

Fehler 1: Berechtigtes Interesse überschätzen

Viele Unternehmen sehen die Datenverarbeitung schon deshalb als erforderlich an, weil große Datenmengen für das KI‑Training benötigt würden – nur weil das Training eines KI‑Modells durch mehr Daten effizienter gestaltet werden kann, macht dies die Datenverarbeitung jedoch nicht erforderlich.

Wie vermeiden: Prüfen Sie, ob mildere Mittel (z.B. Einwilligung) das gleiche Ziel erreichen können.

Fehler 2: Vorhersehbarkeit ignorieren

Vor dem 26.6.2024 wird der durchschnittliche Nutzer beim Posten von Beiträgen auf den Plattformen nicht erwartet haben, dass seine Daten für KI‑Training verwendet werden – naheliegender ist es, dass Betroffene ihre Daten bloß zur Interaktion mit der Öffentlichkeit auf dem jeweiligen Dienst von Meta offenlegen wollten.

Wie vermeiden: Nutzen Sie nur Daten, bei denen die Betroffenen zum Zeitpunkt der Erhebung mit der Verwendung für KI‑Training rechnen konnten.

Fehler 3: Betroffenenrechte nicht gewährleisten

Auch wenn die Ursprungsdaten in den Diensten entfernt werden, bleiben sie in dem KI‑Modell enthalten – dies ist besonders problematisch, da hierdurch die Ausübung von Betroffenenrechten unmöglich gemacht wird und das Recht auf Löschung oder Berichtigung durch Meta nicht mehr garantiert werden kann.

Wie vermeiden: Entwickeln Sie technische Lösungen, um Betroffenenrechte auch nach dem Training zu gewährleisten, oder setzen Sie auf Einwilligungen mit klarer Information über die Einschränkungen.

Fehler 4: Daten Dritter ohne Rechtsgrundlage verarbeiten

Bei der Verarbeitung Daten Dritter fehlt es bereits an einer tauglichen Rechtsgrundlage aus Art. 9 Abs. 2 DSGVO, sodass eine Verarbeitung unzulässig ist.

Wie vermeiden: Verarbeiten Sie nur Daten von Personen, die selbst Nutzer Ihrer Plattform sind und eingewilligt haben.

Fehler 5: Sensible Daten nicht gesondert behandeln

Auch die Verarbeitung sensibler personenbezogener Daten gem. Art. 9 Abs. 2 lit. e DSGVO ist unzulässig, die der Betroffene selbst über sich öffentlich gemacht hat.

Wie vermeiden: Filtern Sie sensible Daten (z.B. Gesundheitsdaten, politische Meinungen) aus Ihren Trainingsdaten heraus oder holen Sie gesonderte Einwilligungen ein.

​​​​

FAQ

1. Darf ich öffentliche Social‑Media‑Daten für KI‑Training nutzen?
Die Einwilligung ist die einzig zulässige Rechtsgrundlage für das KI‑Training – das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO scheidet aus, da es bereits am Kriterium der Erforderlichkeit mangelt und zudem die Interessen der Betroffenen überwiegen. Nur weil Daten öffentlich sind, heißt das nicht, dass Sie sie ohne Einwilligung für jeden Zweck nutzen dürfen.

2. Was ist mit Daten, die vor der Ankündigung des KI‑Trainings erhoben wurden?
Vor dem 26.6.2024 wird der durchschnittliche Nutzer beim Posten von Beiträgen auf den Plattformen nicht erwartet haben, dass seine Daten für KI‑Training verwendet werden – naheliegender ist es, dass Betroffene ihre Daten bloß zur Interaktion mit der Öffentlichkeit auf dem jeweiligen Dienst von Meta offenlegen wollten. Für diese Daten fehlt es an der Vorhersehbarkeit, sodass die Interessen der Betroffenen überwiegen.

3. Kann ich mich auf die Entscheidung des OLG Köln verlassen?
Es bleibt abzuwarten, ob die Verbraucherzentrale NRW ein Hauptsacheverfahren gegen Meta anstrengt – wünschenswert wäre dies allemal, da dem OLG Köln so die Möglichkeit gegeben wird, den EuGH zur Rechtmäßigkeit der Datenverarbeitung zu befragen, und aufgrund der enormen Menge an Daten und einer Nachahmung durch Wettbewerber wäre eine höchstrichterliche Klärung dieser Frage zu begrüßen. Die Entscheidung ist nur ein Eilverfahren und die rechtliche Analyse kommt zum gegenteiligen Ergebnis.

4. Was passiert, wenn Nutzer widersprechen?
Für Nutzer von Facebook und Instagram ist es auch nach Ablauf der Frist vom 26.5.2025 weiterhin möglich, der Datenverarbeitung durch Meta zu widersprechen – diese gilt dann allerdings nur noch für zukünftig verarbeitete Daten, da bereits in das KI‑Modell geflossene Daten sich hieraus nicht mehr zuverlässig extrahieren lassen. Dies zeigt die Problematik: Betroffenenrechte können nach dem Training nicht mehr gewährleistet werden.

5. Darf ich Daten von Dritten (Nicht‑Nutzern) verarbeiten?
Bei der Verarbeitung Daten Dritter fehlt es bereits an einer tauglichen Rechtsgrundlage aus Art. 9 Abs. 2 DSGVO, sodass eine Verarbeitung unzulässig ist. Wenn Personen nicht selbst Nutzer Ihrer Plattform sind und nicht eingewilligt haben, dürfen Sie ihre Daten nicht verarbeiten.

6. Wie gehe ich mit sensiblen Daten (z.B. Fotos) um?
Meta macht auf Fotos die Gesichter von Personen nicht unkenntlich – es besteht für die Betroffenen damit ein wenn auch geringes Risiko, dass durch die Ausgabedaten der KI Rückschlüsse auf ihre Person zu ziehen sind. Auch die Verarbeitung sensibler personenbezogener Daten gem. Art. 9 Abs. 2 lit. e DSGVO ist unzulässig, die der Betroffene selbst über sich öffentlich gemacht hat. Filtern Sie sensible Daten heraus oder holen Sie gesonderte Einwilligungen ein.