LG Köln zu Snapchat „My AI“: KI-Chatbot-Daten nicht ohne Einwilligung für Werbung

KI-Chatbots sind inzwischen fester Bestandteil vieler Apps, Websites und Kundenportale. Nutzer stellen ihnen Fragen, die sie so niemandem sonst stellen würden: zu ihrer Gesundheit, zu Beziehungen, zu Sorgen und Problemen. Für Anbieter, die solche Eingaben auch für Werbung oder Produktverbesserung nutzen wollen, wird das zur datenschutzrechtlichen Kernfrage. Das Landgericht Köln hat dazu im Verfahren gegen Snapchat eine deutliche Position bezogen. Die Entscheidung betrifft ein großes soziales Netzwerk, ihre Begründung lässt sich aber auf viele andere Chatbot-Anwendungen übertragen.

Der Fall: „My AI“, Anzeigenpräferenzen und Jugendschutz

Snapchat ist eine Kamera- und Messaging-App, die sich nach den Feststellungen des Gerichts an Nutzer ab 13 Jahren richtet. In der App steht der Chatbot „My AI“ zur Verfügung, der auf generativer KI basiert. Vor der ersten Nutzung erscheint einmalig ein Hinweis, den Nutzer bestätigen müssen. Darin heißt es unter anderem, My AI könne angegebene Informationen verwenden, um die Produkte von Snap zu verbessern und das Nutzererlebnis zu personalisieren, „unter anderem Anzeigen“.

Der Verbraucherzentrale Bundesverband (vzbv) beanstandete drei Punkte:

• Chatbot-Daten für Werbung: die Verarbeitung der Eingaben in My AI zu Werbezwecken ohne Rechtsgrundlage,
• Vorangekreuzte Anzeigenpräferenzen: In den Einstellungen waren die Optionen „Zielgruppenspezifisch“, „Auf der Grundlage anderer Aktivitäten“ und „Drittanbieter-Werbenetzwerke“ bereits aktiviert,
• Alkohol und Glücksspiel: Unter „Interessen und Lifestyle“ waren die Anzeigenthemen „Alkohol“ und „Glücksspiel“ auch in Konten Minderjähriger voreingestellt, verbunden mit dem Hinweis, man könne die Einstellungen deaktivieren, um weniger Anzeigen zu diesen Themen zu sehen.

Snap verteidigte sich unter anderem damit, nicht selbst Verantwortliche zu sein, keine sensiblen Daten gezielt zu erheben, nur kontextbezogene Werbung auszuspielen und Minderjährigen nach internen Richtlinien ohnehin keine Alkohol- oder Glücksspielwerbung zu zeigen. Die Kammer gab der Klage in vollem Umfang statt.

Die Entscheidung im Einzelnen

1. Die europäische Tochter ist (mit-)verantwortlich

Die beklagte Snap Group Limited mit Sitz in London trug vor, allein die US-Muttergesellschaft verarbeite die Daten. Das Gericht sah das anders. Nach ihren eigenen Servicebestimmungen ist die Beklagte Vertragspartnerin der Nutzer in Deutschland und lässt sich weitreichende Rechte an den Inhalten einräumen, einschließlich der Nutzung für personalisierte Werbung. Daran müsse sie sich festhalten lassen. Sie sei jedenfalls gemeinsam mit der Muttergesellschaft Verantwortliche im Sinne von Art. 4 Nr. 7 und Art. 26 DSGVO. Nach Art. 26 Abs. 3 DSGVO können Rechte gegenüber jedem gemeinsam Verantwortlichen geltend gemacht werden.

2. Art. 9 DSGVO gilt auch für „aufgedrängte“ sensible Daten

Der Kern der Entscheidung betrifft die besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, Angaben zum Sexualleben oder zu religiösen Überzeugungen. Ihre Verarbeitung ist nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt und nur ausnahmsweise nach Art. 9 Abs. 2 DSGVO zulässig, etwa mit ausdrücklicher Einwilligung.

Snap argumentierte, sensible Daten würden nicht absichtlich erhoben. Wenn Nutzer sie entgegen dem Rat des Unternehmens dennoch eingäben, handele es sich um eine „aufgedrängte“ Erhebung. Das Landgericht folgte dem nicht und stützte sich auf die Rechtsprechung des Gerichtshofs der Europäischen Union, wonach das Verbot des Art. 9 Abs. 1 DSGVO unabhängig davon gilt, ob der Verantwortliche gerade sensible Informationen erlangen will (EuGH GRUR 2023, 1131 Rn. 69). Tragend waren für die Kammer mehrere Umstände:

• Der Chatbot ermuntere mit der Aufforderung, ihm „alle möglichen Fragen“ zu stellen, gerade zur Preisgabe persönlicher Informationen.
• Der Rat, keine sensiblen Informationen zu teilen, finde sich nur auf einer Unterseite, die viele Nutzer nicht zur Kenntnis nähmen, und sei ein unverbindlicher Hinweis, kein Verbot.
• Das Angebot richte sich auch an Jugendliche ab 13 Jahren, die für die Risiken weniger sensibilisiert seien.
• Snap habe selbst eingeräumt, dass die Texteingaben in My AI herangezogen werden, um zu entscheiden, ob und welche Werbung angezeigt wird. Ob man das „personalisiert“ oder „kontextbezogen“ nenne, ändere an der Verarbeitung nichts.

Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO hatte Snap nicht eingeholt. Weil Art. 9 DSGVO als Spezialregelung einen Rückgriff auf die allgemeinen Erlaubnistatbestände des Art. 6 DSGVO sperrt, war die Verarbeitung damit rechtswidrig. Dass neben sensiblen auch nicht sensible Daten verarbeitet werden, ändert daran nach Auffassung der Kammer nichts (unter Verweis auf EuGH GRUR 2023, 1131 Rn. 89).

3. Der Hinweis vor der ersten Nutzung ist keine Einwilligung

Hilfsweise prüfte die Kammer Art. 6 DSGVO und verneinte auch hier eine Rechtsgrundlage. Der Hinweis, den Nutzer vor der ersten Nutzung mit „OK“ bestätigen, sei keine wirksame Einwilligung. Auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO könne sich Snap ebenfalls nicht stützen, weil die Nutzer nicht zum Zeitpunkt der Erhebung über diese Interessen und die Rechtsgrundlage informiert worden seien (unter Verweis auf EuGH, Urteil vom 9. Januar 2025 – C-394/23, Rn. 52). Ob eine Interessenabwägung ohnehin zulasten von Snap ausgegangen wäre, ließ die Kammer offen, äußerte aber mit Blick auf die junge Zielgruppe deutliche Zweifel.

4. Vorangekreuzte Kästchen sind keine Einwilligung und kein Widerspruch

Bei den Anzeigenpräferenzen wiederholt das Gericht einen Grundsatz, der seit der Entscheidung des Bundesgerichtshofs zur Cookie-Einwilligung (BGH NJW 2020, 2540 – Cookie-Einwilligung II) feststeht: Eine Einwilligung erfordert eine aktive Handlung. Ein bereits gesetztes Häkchen genügt nicht.

Interessant ist die Antwort auf den Einwand von Snap, die Häkchen dienten gar nicht der Einwilligung, sondern ermöglichten den Widerspruch nach Art. 21 DSGVO. Die Kammer hielt das mit der Bundesbeauftragten für den Datenschutz für systematisch verfehlt. Der Widerspruch sei ein nachträgliches Recht gegen eine bereits auf berechtigte Interessen gestützte Verarbeitung. Voreingestellte Kästchen kehrten diese Logik um und suggerierten eine vorherige Zustimmung. Zudem fehle auch hier die erforderliche Information über die berechtigten Interessen.

5. Alkohol- und Glücksspielwerbung: Schon die Voreinstellung ist zu viel

Nach § 6 Abs. 5 JMStV darf sich Werbung für alkoholische Getränke nicht an Kinder oder Jugendliche richten. Für Glücksspielwerbung ergibt sich ein entsprechendes Verbot aus § 6 Abs. 3 JMStV in Verbindung mit § 5 Abs. 2 Satz 4 und 5 GlüStV 2021. Snap trug vor, Minderjährigen werde nach den Werberichtlinien des Konzerns gar keine solche Werbung angezeigt. Darauf kam es nach Auffassung der Kammer nicht an. Mit der Voreinstellung in den Konten Minderjähriger „berühme“ sich Snap des Rechts, ihnen solche Werbung zu zeigen. Das begründe jedenfalls eine Erstbegehungsgefahr, und zwar unabhängig davon, ob tatsächlich entsprechende Anzeigen ausgespielt wurden.

6. Ergebnis

Die Kammer stützte alle drei Unterlassungsansprüche auf das Unterlassungsklagengesetz (§ 2 Abs. 2 Nr. 13 UKlaG für die DSGVO, § 2 Abs. 2 Nr. 3 UKlaG für den Jugendmedienschutz). Ob daneben auch Ansprüche aus dem UWG bestehen, ließ sie offen. Snap wurde zudem zur Erstattung der Abmahnkosten verurteilt. Der Streitwert wurde auf 22.500 € festgesetzt.

Einordnung: Was bedeutet das Urteil für Unternehmen mit KI-Chatbots?

Das Urteil ist eine erstinstanzliche Entscheidung und nicht rechtskräftig. Es betrifft eine App mit jugendlicher Zielgruppe und einen Anbieter, der Chat-Eingaben ausdrücklich für Werbung nutzt. Wie weit die Grundsätze auf andere Gestaltungen übertragbar sind, hängt vom Einzelfall ab. Einige Punkte verdienen dennoch die Aufmerksamkeit aller, die Chatbots anbieten oder in ihre Produkte einbinden.

• Mit sensiblen Eingaben ist zu rechnen. Die Argumentation des Gerichts zu Art. 9 DSGVO knüpft an das Nutzerverhalten an, nicht an die Absicht des Anbieters. Je offener ein Chatbot zur Kommunikation einlädt, desto näher liegt es, dass Nutzer Gesundheits- oder andere sensible Informationen eingeben. Die Frage, ob schon die Möglichkeit solcher Eingaben Art. 9 DSGVO auslöst, wird in der Fachdiskussion allerdings unterschiedlich beurteilt. Eine obergerichtliche Klärung steht aus.
• Der Verwendungszweck ist entscheidend. Problematisch war im Fall Snapchat vor allem die Nutzung der Eingaben für Werbung. Wer Chat-Inhalte nur zur Beantwortung der Anfrage verarbeitet, befindet sich in einer anderen Ausgangslage als ein Anbieter, der sie zusätzlich für Werbung, Profilbildung oder das Training von Modellen nutzt. Jeder Zweck braucht eine eigene, tragfähige Rechtsgrundlage.
• Ein Hinweis ist keine Einwilligung. Ein Pop-up, das Nutzer mit „OK“ wegklicken, informiert, ersetzt aber keine ausdrückliche Einwilligung. Wer sich auf berechtigte Interessen stützen will, muss diese zum Zeitpunkt der Erhebung konkret benennen.
• Voreinstellungen sind ein Dauerrisiko. Vorangekreuzte Kästchen für Werbung, Tracking oder Datenweitergabe sind seit Jahren angreifbar. Daran ändert auch die Bezeichnung als „Präferenz“ oder „Widerspruchsmöglichkeit“ nichts.
• Interne Richtlinien schützen nicht vor Unterlassungsansprüchen. Wenn die Oberfläche etwas anderes anzeigt als die interne Praxis, kann schon die Oberfläche eine Erstbegehungsgefahr begründen. Einstellungen und Texte sollten deshalb mit der tatsächlichen Verarbeitung übereinstimmen.
• Verbände können klagen. Datenschutzverstöße gegenüber Verbrauchern können von qualifizierten Einrichtungen wie dem vzbv nach dem UKlaG verfolgt werden. Unter bestimmten Voraussetzungen kommen auch wettbewerbsrechtliche Ansprüche von Mitbewerbern in Betracht, wie der Bundesgerichtshof bereits entschieden hat.

Neben der DSGVO sind beim Einsatz von Chatbots weitere Regelwerke zu beachten, etwa die Transparenzpflichten nach Art. 50 der KI-Verordnung, die Kennzeichnung der Interaktion mit einem KI-System, und die Haftung für fehlerhafte Aussagen des Chatbots gegenüber Kunden.

Fazit

Das Landgericht Köln zieht für KI-Chatbots eine klare Linie: Wer Chat-Eingaben über die Beantwortung der Anfrage hinaus verwerten will, muss damit rechnen, dass darunter auch sensible Daten sind, und braucht dafür eine ausdrückliche Einwilligung. Ein Hinweis-Pop-up genügt dafür nicht, vorangekreuzte Kästchen ohnehin nicht. Ob das Oberlandesgericht die weite Auslegung von Art. 9 DSGVO bestätigt, bleibt abzuwarten. Unternehmen, die Chatbots einsetzen oder planen, sollten Zwecke, Rechtsgrundlagen und Oberfläche ihres Angebots aber schon jetzt prüfen. Wie in jedem Datenschutzfall kommt es dabei auf die konkrete Gestaltung an.

Rechtliche Begleitung beim Einsatz von KI-Chatbots

Wir beraten Unternehmen beim datenschutzkonformen Einsatz von KI-Anwendungen, bei Einwilligungs- und Informationstexten, Nutzungsbedingungen und der Abwehr von Abmahnungen und Unterlassungsklagen. Mehr dazu auf den Seiten Datenschutzrecht und Fachanwalt für IT-Recht. Lesen Sie auch unsere Beiträge zur Haftung für KI-Chatbots, zur DSGVO-Abmahnung durch Wettbewerber und unseren Überblick zum Recht der künstlichen Intelligenz.

Wenn Sie Ihren Chatbot oder Ihre Einwilligungsgestaltung prüfen lassen möchten, nehmen Sie Kontakt mit uns auf.

Quellen: LG Köln, Urteil vom 17.09.2026 – 33 O 120/24 (nicht rechtskräftig); EuGH GRUR 2023, 1131; EuGH, Urteil vom 09.01.2025 – C-394/23; BGH NJW 2020, 2540 – Cookie-Einwilligung II; Mitteilung des vzbv. Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Prüfung im Einzelfall.