Das OLG Köln hat einen Antrag der Verbraucherzentrale NRW auf Erlass einer einstweiligen Unterlassungsverfügung im Eilverfahren abgelehnt (Urteil vom 23.05.2025 Az. 15 UKL. 2/25:rechtskräftig). Der Antrag zielte darauf ab, Meta daran zu hindern, Nutzerdaten zum KI-Training zu verwenden.

Nach Ansicht des OLG Kölns ist diese Praxis datenschutzrechtlich zulässig. Die Nutzung sei unbedenklich, da sie zur Wahrnehmung berechtigter Interessen erforderlich sei.

Hintergrund ist, dass Meta die Nutzer seiner Dienste im April darüber informierte, dass ab dem 27. Mai 2025 alle öffentlichen Nutzerdaten zum Training des hauseigenen Large Language Model (LLM) „LLaMA“ verwendet werden.

Unter „öffentlichen Daten“ versteht Meta alle Daten, die auf den Plattformen für andere Nutzer frei zugänglich sind. Dazu zählen alle von Nutzern geteilte Inhalte (Bilder, Texte) sowie öffentlich einsehbare Nutzeraktivitäten wie Bewertungen. Eine Ausnahme bilden private Chats.

Bis zum 26.05.2025 konnten die Nutzer der Nutzung ihrer Daten widersprechen (Opt-Out-Lösung).

Im Folgenden wird die Entscheidung des Gerichts kurz erläutert.

Kein Verstoß gegen die DSGVO

Das Gericht folgt methodisch den Vorgaben der EDSA (Dez 2024) bezüglich des Nachweises des berechtigten Interesses – Art. 6 Abs. 1 lit. f DSG VO- durch den Verantwortlichen. Danach darf die Verarbeitung von Nutzerdaten zum Zwecke des KI-Trainings dem Grunde nach auf eine Interessenabwägung gestützt werden.

Die Interessenabwägung ist in einem Drei-Stufen-Test vorzunehmen. Auf der ersten Stufe muss ein berechtigtes Interesse vorliegen. Auf der zweiten Stufe muss die Nutzung zur Wahrnehmung dieses Interesses erforderlich sein. Auf der dritten Stufe darf das berechtigte Interesse des Verantwortlichen seinerseits nicht durch die Interessen, Grundrechte oder Grundfreiheiten der Betroffenen überlagert werden.

Nach Ansicht des Gerichts liegt bei der Verwendung von Nutzerdaten zu Trainingszwecken ein berechtigtes Interesse vor. Das Gericht begründet dies mit dem erheblichen wirtschaftlichen Potenzial, das sich nach dem heutigen Stand der Technik aus der Nutzung solcher LLM ergebe.

Die Datennutzung sei auch erforderlich, weil eine zuverlässige Anonymisierung aufgrund der Größe der Datenbestände nicht möglich sei.

Bei der nachfolgenden Interessenabwägung berücksichtigt das Gericht auf Seiten der Betroffenen, dass der Datensatz auch sensible Daten nach § 9 DSGVO und personenbezogene Daten Dritter enthält. Auf Seiten des Verantwortlichen berücksichtigt das Gericht, dass nur Daten von Erwachsenen genutzt werden, die von den Nutzern freiwillig veröffentlicht wurden und über Suchmaschinen auffindbar sind. Darüber hinaus sieht Meta nach eigenen Angaben zufolge (eidesstattlich versichert) weitere Maßnahmen zur Anonymisierung vor. Demnach seien Daten wie Kontodaten, Kfz-Kennzeichen oder Postanschriften nicht vom Datensatz erfasst. Im Ergebnis überwiegen die Interessen des Unternehmens.

Nach Ansicht der Verbraucherzentrale fehlt es bereits an der Erforderlichkeit. Darüber hinaus sei zweifelhaft, ob Daten, die erst nach einem Login vollständig einsehbar sind, als „öffentlich“ gelten.

Kein Verstoß gegen den Digital Markets Act

Das Gericht führt weiter aus, dass kein Verstoß gegen den DMA vorliegt, da es an einem Zusammenführen der Daten fehle. Allerdings fehle es in diesem Bereich an gefestigter Rechtsprechung. Bezüglich des „Consent-or-Pay“-Modells hat die Europäische Kommission in einer Pressemitteilung vom 23.04.2025 einen Verstoß Metas gegen den DMA festgestellt.

Konsequenzen

Bis zur rechtskräftigen Entscheidung im Hauptsacheverfahren bleibt Meta die Nutzung der betroffenen Nutzerdaten vorläufig gestattet. Im Falle einer Niederlage im Hauptsacheverfahren könnte sich das Unternehmen jedoch schadensersatzpflichtig machen.

Nach Einschätzung unseres Hauses ist die vorläufige Entscheidung ein starkes Signal für die Wettbewerbsfähigkeit des Wirtschaftsstandorts Deutschland. Sollte Meta im Hauptsacheverfahren unterliegen, hätte das erhebliche Folgen für die Innovationskraft im KI-Sektor. Kläger könnten sich in anderen Verfahren auf die Entscheidung des OLG Köln stützen. Die erhöhten rechtlichen und wirtschaftlichen Risiken müssten dann eingepreist werden.

Die Entscheidung ist aus wirtschaftlicher Perspektive ein Schritt in die richtige Richtung, allerdings wird sie von Verbraucherschützern stark kritisiert. Positiv ist zu bewerten, dass die zuständige irische Aufsichtsbehörde (DPC) die Ansicht des Gerichts teilt. Außerdem sieht der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit in Absprache mit den anderen deutschen Datenschutzaufsichtsbehörden von der Einleitung eines Dringlichkeitsverfahrens nach Art. 66 DSGVO ab. Er begründet dies mit der Notwendigkeit, ein einheitliches Vorgehen der europäischen Datenschutzbehörden zu gewährleisten. Ein deutscher Alleingang sei kein gangbarer Weg (veröffentlicht am 27.05.2025).