KI-Chatbots: Art. 9 DS-GVO gilt auch für ungefragt eingegebene sensible Daten

Das LG Köln hat mit Urteil vom 17.09.2026 (Az. 33 O 120/24) einer Unterlassungsklage des Verbraucherzentrale Bundesverbands (vzbv) gegen die Snap Group Limited in vollem Umfang stattgegeben. Im Mittelpunkt steht der in Snapchat integrierte KI-Chatbot „My AI“, der bereits Nutzenden ab 13 Jahren offensteht.

Chat-Eingaben als Grundlage für Werbung

Vor der ersten Nutzung wies Snap darauf hin, dass Eingaben unter anderem zur Personalisierung von Anzeigen verwendet werden können. Die Nutzenden bestätigten dies mit „Okay“. Tatsächlich zog Snap die Textanfragen heran, um über die im Chat ausgespielte Werbung zu entscheiden. Das Gericht sah darin eine Verarbeitung besonderer Kategorien personenbezogener Daten. Der Chatbot ermuntere ausdrücklich zu persönlichen Fragen, sodass die Eingabe sensibler Informationen naheliegt. Das gelte gerade bei Minderjährigen, die die Risiken einer solchen Offenlegung weniger gut einschätzen.

Den Einwand, solche Angaben würden dem Anbieter „aufgedrängt“, ließ die Kammer nicht gelten. Für Art. 9 DS-GVO komme es nicht darauf an, ob der Anbieter sensible Daten gezielt erheben will. Weder ein versteckter Hinweis, keine sensiblen Informationen einzugeben, noch der Verweis auf lediglich kontextbezogene Werbung änderten daran etwas. Das bloße Bestätigen eines Hinweises ist keine ausdrückliche Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DS-GVO.

Voreinstellungen unwirksam

Beanstandet wurden zudem drei bereits angehakte Werbeoptionen. Eine Einwilligung setzt nach ständiger Rechtsprechung ein aktives Handeln voraus. Snap wollte die Voreinstellung als Widerspruchsmöglichkeit nach Art. 21 DS-GVO verstanden wissen. Das überzeugte das Gericht nicht, weil ein Widerspruchsrecht eine zunächst rechtmäßige Verarbeitung voraussetzt.

Ferner untersagte die Kammer, in Konten Minderjähriger die Anzeigenthemen „Alkohol“ und „Glücksspiel“ voreinzustellen. Bereits diese Gestaltung erwecke den Eindruck, entsprechende Werbung sei zulässig. Das begründe eine Erstbegehungsgefahr nach Jugendmedienschutz- und Glücksspielrecht, unabhängig davon, ob solche Anzeigen technisch ausgespielt werden. Für jeden Verstoß droht ein Ordnungsgeld von bis zu 250.000 Euro. Ob das Urteil rechtskräftig ist, ist bislang nicht bekannt.

Konsequenzen für die Praxis

Die Entscheidung betrifft alle Verantwortlichen, die Freitexteingaben in KI-Anwendungen weiterverarbeiten. Zu prüfen ist insbesondere:

• ob Eingaben über die Beantwortung hinaus genutzt werden, etwa für Werbung oder Profilbildung, und ob dafür eine tragfähige Rechtsgrundlage besteht,
• ob sensible Inhalte erkannt und von einer Weiterverwendung ausgeschlossen werden,
• ob Einwilligungen aktiv, ausdrücklich und ohne Voreinstellungen eingeholt werden.

Maßgeblich ist nicht, welche Daten abgefragt werden, sondern welche Eingaben realistischerweise zu erwarten sind.

Quelle: LG Köln, Urteil vom 17.09.2026 – 33 O 120/24 (Verfahrensseite des vzbv)

(Foto: khunkornStudio – stock.adobe.com)