Verwendung personenbezogener Daten zum KI-Training verstößt laut OLG Köln nicht gegen DMA

Autoren dieses Beitrages: Malgorzata Wojtas und Heiner Mecklenburg

Das Oberlandesgericht (OLG) Köln hat am 23. Mai 2025 ein viel beachtetes Urteil zur Zulässigkeit der Verwendung personenbezogener Daten im Training von Künstlicher Intelligenz (KI) durch Meta gefällt (Az. 15 UKl 2/25). Im Mittelpunkt standen neben den datenschutzrechtlichen Bedenken der Praktiken von Meta insbesondere die Frage, ob die geplante Nutzung öffentlich zugänglicher Daten von europäischen Nutzer:innen auf Facebook und Instagram für KI-Trainingszwecke gegen Art. 5 Abs. 2 lit. b des Digital Markets Act (DMA) verstößt.

Hintergrund der Entscheidung

Seit dem 27. Mai 2025 nutzt Meta öffentlich gepostete Inhalte von erwachsenen Nutzer:innen aus Europa auf Facebook und Instagram zur Schulung eigener KI-Modelle. Die Daten sollen für das Sprachmodell „LLaMA“ und das Chatbot-Tool „Meta AI“, ähnlich wie ChatGPT, eingesetzt werden. Nutzer:innen wurden entweder durch In-App-Benachrichtigung oder per E-Mail informiert und hatten die Möglichkeit, der Nutzung zu widersprechen. Eine ausdrückliche Zustimmung gemäß DSGVO wurde nicht eingeholt.

Die Verbraucherzentrale NRW wertete dies als Verstoß gegen Bestimmungen der DSGVO sowie Art 5 Abs. 2 lit. b DMA und stellte am 12. Mai 2025 einen Antrag auf Erlass einer einstweiligen Verfügung, um die Verwendung der Daten zu unterbinden. Gemäß Art 5 Abs. 2 lit. b DMA dürfen sogenannte Gatekeeper („Torwächter“) personenbezogene Daten aus einem zentralen Plattformdienst nicht mit Daten aus anderen Diensten kombinieren, sofern nicht eine spezifische Einwilligung der Endnutzer:innen vorliegt.

Rechtsgrundlage des Antrags der Verbraucherzentrale NRW war § 2 Abs. 1 Satz 1 des Unterlassungsklagengesetzes (UKlaG). Danach kann jeder, der auf andere Weise als durch die Verwendung oder Empfehlung von Allgemeinen Geschäftsbedingungen gegen Verbraucherschutzvorschriften verstößt, im Interesse des Verbraucherschutzes auf Unterlassung und Beseitigung verklagt werden. Das DMA ist gemäß § 2 Abs. 2 Nr. 56 UKlaG ein Verbraucherschutzgesetz im Sinne des UKlaG.

Einordnung

Das OLG Köln hat den Antrag der Verbraucherzentrale NRW zurückgewiesen und nach summarischer Prüfung festgestellt, dass die geplante Nutzung der Daten durch Meta keinen Verstoß gegen Art. 5 Abs. 2 lit. b DMA darstellt. Nachfolgend drei Aspekte zur Einordnung der Entscheidung:

• Keine Zusammenführung von Daten im Sinne des DMA: Nach Auffassung des Gerichts ist die Datenverwertung zum Zwecke des KI-Trainings keine Zusammenführung personenbezogener Daten aus verschiedenen Diensten im Sinne des DMA. Eine nutzerbezogene Zusammenführung der verwendeten Daten finde nicht statt, da eine gezielte Verknüpfung der Daten desselben Nutzers nicht gegeben sei.
• Fehlende einschlägige Rechtsprechung: Das OLG Köln weist gleichzeitig darauf hin, dass es an einschlägiger höchstrichterlicher Rechtsprechung zur Anwendung von Art. 5 Abs. 2 lit. b DMA fehle. Die Entscheidung ist daher als richtungsweisend, aber nicht abschließend zu beurteilen.
• Aktueller Stand des Nichteinhaltungsverfahrens gegen Meta: Die Ausführungen der Europäischen Kommission in ihrer Bußgeldentscheidung gegen Meta vom 23. April 2025 wegen Verstoßes gegen Art. 5 Abs. 2 DMA (siehe Blogbeitrag vom 20. Mai 2025) konnte das OLG Köln bei seiner Entscheidung nicht berücksichtigen. Der Kommissionsbeschluss wurde bisher nicht veröffentlicht. Aufgrund der Eilbedürftigkeit war es dem Senat weder möglich, eine Stellungnahme der Kommission einzuholen, noch eine Vorlage an den Europäischen Gerichtshof zu machen.

Folgen

Meta ist vorerst berechtigt, die personenbezogenen Daten der (nicht widersprechenden) Nutzer:innen von Facebook und Instagram für KI-Trainingszwecke zu verwenden. Die Entscheidung des OLG Köln basiert auf einer summarischen Beurteilung der Sach- und Rechtslage. Die rechtliche Bewertung in einem etwaigen Hauptsacheverfahren könnte anders ausfallen. Die Entscheidung über den Antrag auf Erlass einer einstweiligen Verfügung ist jedoch rechtskräftig. Im Verfahren nach dem UKlaG ist in erster Instanz das Oberlandesgericht zuständig, ein Berufungsverfahren ist damit nicht vorgesehen (§ 6 Abs. 1 UKlaG). Eine Revision zum Bundesgerichtshof gegen Entscheidungen eines Oberlandesgerichts im einstweiligen Rechtsschutz ist ausgeschlossen (§ 542 Abs. 2 Satz 1 ZPO). Die weiterreichende Klärung der Auslegung von Art. 5 Abs. 2 DMA bleibt dem Hauptsacheverfahren vorbehalten. Ob ein solches Verfahren eingeleitet wird, liegt im Ermessen der Verbraucherzentrale NRW.

Fazit und Ausblick

Die Entscheidung des OLG Köln markiert für Plattformbetreiber und Gatekeeper eine erste wichtige Orientierung im Umgang mit personenbezogenen Daten zu KI-Trainingszwecken. Sofern keine Zusammenführung von Daten aus verschiedenen Diensten erfolgt und die Nutzer:innen transparent informiert werden sowie der Nutzung ihrer personenbezogenen Daten widersprechen können, verstößt das KI-Training mit öffentlichen Nutzerdaten nach derzeitiger summarischer Rechtsprüfung nicht gegen Art. 5 Abs. 2 lit. b DMA.

Die rechtliche Prüfung in einem etwaigen Hauptsacheverfahren darf mit Spannung erwartet werden. Beispielsweise untersagt Art. 5 Abs. 2 lit. c DMA auch die Weiterverwendung personenbezogener Daten eines zentralen Plattformdienstes in anderen vom Gatekeeper angebotenen Diensten. Ein möglicher Streitpunkt könnte daher sein, ob die Verwendung der personenbezogenen Daten aus Facebook und Instagram zum Zwecke des KI-Trainings eine solche Weiterverwendung darstellt. Ebenso bleibt abzuwarten, ob die Europäische Kommission Untersuchungen gegen Meta einleiten wird. KI-Dienste fallen als solche nicht unter die Liste zentraler Plattformdienste gemäß Art. 2 Abs. 2 DMA. Umso größere Aufmerksamkeit der Kommission dürften Fallkonstellation wie die vorliegende erregen, in denen die Daten zentraler Plattformdienste für die Entwicklung von KI-Systemen „geleveraged“ werden.

Angesichts der, wie vom OLG Köln betont, vorläufigen Natur der rechtlichen Bewertung sollten Unternehmen ihre Datenverarbeitungsprozesse in jedem Einzelfall genauestens auf die Einhaltung mit den Anforderungen des DMA und der DSGVO überprüfen.