Im April kündigte Meta an, ab dem 27. Mai 2025 die Daten europäischer Facebook- und Instagram-Nutzer für das Training seiner KI „Meta AI“ zu verwenden.
Dies war eigentlich schon für 2024 geplant. Der hinter Facebook und Instagram stehende Konzern erfuhr damals für seine Pläne viel Gegenwind aus der Öffentlichkeit. Daraufhin verschob Meta seine Pläne (wir berichteten). Nur einer der vielen Kritikpunkte war, dass die Pläne „still und heimlich“ über eine Änderung der Nutzungsbedingungen umgesetzt werden sollten. Meta wollte keine Einwilligung der Nutzer einholen, obwohl nahezu alle Daten eines Nutzers für das KI-Training verwendet werden sollen. Stattdessen geht das Unternehmen davon aus, dass das Training auf Grundlage von berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO durchgeführt werden kann.
Nur einen Tag nach Bekanntgabe des „Revivals“ durch Meta riet die Hamburger Aufsichtsbehörde (HmbBfDI) Nutzern so schnell wie möglich Widerspruch einzulegen, wenn sie vermeiden möchten, dass ihre Daten für das Training verwendet werden. Denn es ist Eile geboten: Ein Widerspruch gegen die Datenverarbeitung muss vor dem 27. Mai 2025 erklärt werden. Denn einmal in ein KI-Modell hineingelangte Daten zu löschen ist quasi unmöglich.
Für den Widerruf stellt Meta eigene Widerspruchsformulare zur Verfügung (für Facebook und für Instagram). Vor dem Ausfüllen des Formulars muss man sich bei seinem Benutzerkonto anmelden. Hierzu findet sich auf der Seite des HmbBfDI ein ausführliches FAQ.
Ist dieses Mal die Umsetzung durch Meta rechtskonform?
Die Verbraucherschutzzentrale Nordrhein-Westfalen (NRW) geht davon aus, dass dies nicht der Fall ist. Ende April mahnte sie Meta Platforms Ireland Limited ab und forderte, die Pläne für Instagram und Facebook zu stoppen. Die Verbraucherzentrale NRW kritisiert, dass Meta pauschal auf ein berechtigtes Interesse zur Verwendung der Daten verweist. Dies sei aufgrund der umfangreichen Datenverarbeitungen besonders problematisch. Denn auch Beiträge und Fotos, die Nutzer vor Jahren veröffentlichten, sollen für das KI-Training einbezogen werden. Zudem bestünde weiterhin keine Schutzvorrichtung, um zu vermeiden, dass besonders sensible Informationen, die nach Art. 9 DSGVO besonders geschützt sind, verwendet werden. Art. 9 DSGVO räumt keine Möglichkeit ein, die Daten auf Grundlage eines berechtigten Interesses des Verantwortlichen zu verarbeiten. Diese sensiblen Daten werden üblicherweise auf Grundlage einer Einwilligung verarbeitet (Art. 9 Abs. 2 lit. a DSGVO). Die Kritikpunkte an den Plänen von Meta aus dem letzten Jahr bleiben damit weiterhin bestehen.
Eine Stellungnahme der für Meta Platforms Ireland zuständigen irische Aufsichtsbehörde (DPC) gibt es noch nicht. Die maltesische Aufsichtsbehörde (IDPC) verweist mehrfach in ihrer Pressemitteilung darauf, dass auch bei der Umsetzung in 2025 „große datenschutzrechtliche Bedenken“ bestehen. Der LfD Niedersachsen bezieht bereits konkreter Stellung und ist der Überzeugung, dass die Pläne von Meta einer Einwilligung der Nutzer bedürfen. Er ruft die Nutzer ebenfalls zu einem Widerruf auf. Auch der LDI NRW warnt Verbraucher in einer Stellungnahme.
Meta vertritt dagegen die Position, dass seine Rechtsauffassung durch die vom Europäischen Datenschutzausschuss (EDSA) im Dezember veröffentlichte „Stellungnahme zur Verwendung personenbezogener Daten für die Entwicklung und Einführung von KI-Modellen“ bestätigt wurde. In der Stellungnahme führte der EDSA unter anderem aus, wann ein berechtigtes Interesse als Rechtsgrundlage für das Sammeln und Verwenden von nicht anonymisierten Daten für das Training von KI-Modellen herangezogen werden kann.
Jedoch änderte der Konzern, wie die Nutzer über die neue Funktion informiert werden. Statt nur die Nutzungsbedingungen zu ändern, werden Nutzer seit April über das KI-Training per E-Mail oder Push-Benachrichtigungen in den Facebook- und Instagram-Apps informiert. In diesen Mitteilungen soll direkt ein Link auf die oben genannten Widerrufsformulare enthalten sein.
Unverändert geblieben ist, dass nur öffentliche Nutzerdaten verwendet werden sollen. Private Nachrichten und Daten von minderjährigen Nutzern werden von dem KI-Training ausgenommen.
Wie könnte es weiter gehen?
Die Verbraucherzentrale NRW kündigte an, weitere rechtliche Schritte zu prüfen, falls Meta ihrer Aufforderung nicht nachkommen sollte. In Betracht kommen dabei unter anderem eine Unterlassungsklage oder eine Sammelklage, wenn die Daten zum Training verwendet wurden und Nutzer Schadenersatz geltend machen möchten. Die deutschen Verbraucherzentralen reichten bereits eine Sammelklage gegen Meta wegen eines Datenlecks bei Facebook ein.
Es ist möglich, dass erneut viele Beschwerden von Betroffenen bei der DPC gegen die Verwendung ihrer Daten eingehen könnten. Leitet die DPC ein Bußgeldverfahren ein, könnte bei der Höhe des Bußgeldes stark ins Gewicht fallen, dass die Daten voraussichtlich nicht mehr aus der Meta AI entfernt werden können. In dem Fall wäre der höhere Bußgeldrahmen von bis zu 4 Prozent des weltweit erzielten Jahresumsatzes anzuwenden, da die Rechte der Betroffenen auf Löschung (Art. 17 DSGVO) eingeschränkt werden (Art. 83 Abs. 5 lit. b DSGVO).
Aktualisierung am 14.05.2025:
Die Verbraucherzentrale NRW gab am 13.05.2025 bekannt, dass sie gegen Meta eine einstweilige Verfügung vor dem OLG Köln beantragt hat (Pressemitteilung). Ziel ist, zu verhindern, dass die Nutzerdaten ab dem 27.05.2025 ohne Einwilligung der Nutzer für das Training von MetaAI verwendet werden „und Meta Fakten schafft, bevor die Rechtslage geklärt ist“, so die Pressemitteilung.
Am 14.05.2025 gab noyb bekannt, Meta ebenfalls abgemahnt zu haben. Noyb kündigte an, weitere rechtliche Schritte gegen Meta zu prüfen. Noyb kann unter der EU-Verbandsklage-Richtlinie auf Unterlassung und Schadenersatz für die Betroffenen klagen.