Zu der Frage, ob Meta ohne Einwilligung der User Nutzerdaten auf Facebook und Instagram für das Training ihrer KI-Modelle verwenden darf, gab es in der letzten Woche viele neue Entwicklungen. Über den bisherigen Verlauf haben wir in diesem Blogbeitrag berichtet.

Irische Aufsichtsbehörde

Am 21.05.2025 veröffentlichte die für Meta in der EU federführend zuständige irische Aufsichtsbehörde (DPC) ihre erste öffentliche Stellungnahme seitdem Meta ankündigte, am 27.05.2025 mit der Verwendung der Nutzerdaten zu beginnen. Aus der Stellungnahme wird ersichtlich, dass die DPC keine eigenen Eilverfahren oder -maßnahmen gegen Meta ergreifen wird.

Die DPC vermeidet jedoch klar Stellung zu beziehen, ob die von Meta am 27.05. begonnene Verwendung der Daten nach den Änderungen von Meta seit der öffentlichen Kritik im letzten Jahr nun mit der DSGVO im Einklang steht (wir berichteten). Vielmehr verweist die DPC erstaunlich oft darauf, den Prozess kontinuierlich beobachten und den Meta aufgegebenen Bericht zur Effektivität und Angemessenheit der seit letztem Jahr ergriffenen Maßnahmen abwarten zu wollen. Diesen Bericht muss Meta der DPC jedoch erst im Oktober 2025 vorlegen. Nutzt Meta die Daten bis dahin, kann dies kaum mehr rückgängig gemacht werden, sollte sich das Vorgehen als unzulässig erweisen: Einmal für das Training einer KI verwendete Daten lassen sich aus dieser nur schwer wieder entfernen bzw. erfordert dies ein „Retraining“ der KI mit anderen Datenbeständen.

Daneben schilderte die DPC im Detail die von Meta seit der Kritik der DPC im Sommer 2024 ergriffenen Maßnahmen. Neben der Anpassung der Datenschutzhinweise und Verbesserung des Widerrufsformulars bezieht sich dies insbesondere auf Maßnahmen zur Verhinderung der Reidentifizierung von Personen sowie In- und Output-Filter. Mit letzteren Maßnahmen soll voraussichtlich verhindert bzw. eingeschränkt werden, dass sensible Daten, insbesondere Art. 9 DSGVO-Daten verwendet werden und dass die KI-Modelle in ihren späteren Antworten aus Versehen Klardaten von Nutzern angeben.

Gerichtliches Eilverfahren gegen Meta

Auf die Einschätzung der DPC berief sich auch das Oberlandesgericht Köln (OLG) in seiner Entscheidung im Eilverfahren gegen Meta. Das Verfahren hatte die Verbraucherzentrale NRW Mitte Mai auf Erlass einer Unterlassungsverfügung gegen die Verwendung der Nutzerdaten durch Meta angestrebt. Das Gericht entschied am 23.05.2025 zugunsten von Meta (Urteil vom 23.05.2025 – 15 UKl 2/25). Das Urteil ist bereits rechtskräftig, da in Eilverfahren keine Revision gegen Entscheidungen der Oberlandesgerichte zum BGH zugelassen sind.

Das Gericht kam in seiner sogenannten „summarischen Prüfung“ zu dem Ergebnis, dass nach vorläufiger Einschätzung Meta weder gegen die DSGVO noch gegen Art. 5 Abs. 2 des Gesetzes über Digitale Märkte (auch: DMA) verstößt. Bei einer summarischen Prüfung findet keine vollständige Beweisaufnahme statt (oft schon allein aus Zeitgründen), sondern das Gericht prüft nur anhand der vorliegenden Tatsachen. Anhand derer muss es feststellen, ob voraussichtlich die Ansprüche bestehen oder Rechte verletzt werden. Daher kann bei genauerer Betrachtung und Prüfung im folgenden Hauptsacheverfahren das Ergebnis anders ausfallen.

Seine Entscheidung im Eilverfahren stützte das OLG Köln, neben der Stellungnahme der DPC, darauf, dass Meta den Vorgaben des EDSA aus Dezember 2024 zur Verwendung von Daten zum Training von KI-Modellen Rechnung getragen habe und die Eingriffe in die Rechte der Nutzer wesentlich abgemildert habe.  In der Pressemitteilung irritiert etwas der Hinweis, dass die Verwendung von Daten gem. Art. 9 DSGVO nicht dazu führt, dass die Interessen der Betroffenen bei der Abwägung nach Art. 6 Abs. 1 lit. f DSGVO überwiegen. Denn besonders geschützte Daten gem. Art. 9 DSGVO, wie Informationen zur religiösen Überzeugung oder Gesundheitsdaten können nicht auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden. Die hierfür möglichen Rechtsgrundlagen nach Art. 9 Abs. 2 DGVO sehen keine vergleichbare Interessenabwägung vor, sondern sind wesentlich enger gefasst. In der hiesigen Konstellation kommt insbesondere die Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) oder die Tatsache, dass die Betroffenen die Daten selbst offensichtlich öffentlich gemacht haben (Art. 9 Abs. 2 lit. e DSGVO) in Betracht. Zu der zweiten Frage äußerte sich der EuGH bereits in einem anderen Verfahren gegen Meta und bestimmte, dass zu prüfen sei, ob Nutzer die Daten der breiten Öffentlichkeit oder vielmehr einem mehr oder weniger begrenzten Kreis ausgewählter Personen zugänglich machen wollten (EuGH C-252/21-Meta Platforms Inc. u.a./Bundeskartellamt). Hintergrund ist dabei insbesondere, dass auf Facebook verschiedenste Einstellungen zur Sichtbarkeit und Reichweite der Posts vorgenommen werden können. Die Veröffentlichung des Urteilstextes des OLG Köln steht noch aus. Aus dem Volltext wird sich der Kontext der Aussage sicherlich besser einordnen lassen.

Daneben hatten laut dem OLG Köln die Nutzer auch seit 2024 die Möglichkeit, ihre öffentlichen Posts auf privat zu stellen und Widerspruch einzulegen. Gerade die Frage der ausreichenden transparenten Information gem. Art. 13 DSGVO war einer der frühestens Kritikpunkte an den Plänen. Nach eigenen Angaben von Meta wurden erst ab Mitte April 2025 die verbesserten Widerspruchsformulare mit einer aktiven Benachrichtigung der Nutzer schrittweise ausgerollt. Die Widerspruchfrist kann daher als auch wesentlich kürzer angesehen werden. Es waren insbesondere die Presse, noyb und Aufsichtsbehörden, die das Vorgehen von Meta im letzten Jahr der breiteren Öffentlichkeit bekannt machten.

Dringlichkeitsverfahren gem. Art. 66 DSGVO?

In den nach Berichten von LTO langwierigen mündlichen Verhandlung vor dem OLG Köln wurde der auch der für Meta Deutschland zuständige Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) angehört. Dabei soll er vor dem OLG Köln angekündigt haben, bereits entsprechende Schritte für ein Dringlichkeitsverfahren gegen Meta gem. Art. 66 DSGVO eingeleitet zu haben. Am 27.05.2025 gab der HmbBfDI bekannt, dass er die Pläne fallen gelassen hat.

Gemäß Art. 66 DSGVO kann eine Aufsichtsbehörde bei außergewöhnlichen Umständen einstweilige Maßnahmen gegen einen Verantwortlichen ergreifen. In solch einem Fall muss die Aufsichtsbehörde nicht das sogenannte Kohärenzverfahren durchführen, in dem eine Rücksprache mit anderen europäischen Aufsichtsbehörden, insbesondere der hier federführenden DPC und der EU-Kommission zur rechtlichen Einschätzung, erfolgt. Das Kohärenzverfahren soll eine einheitliche Anwendung der DSGVO in der EU sicherstellen.

Der HmbBfDI begründet seine Entscheidung gegen die Einleitung eines Dringlichkeitsverfahrens mit dem zu Gunsten von Meta ergangenen Beschlusses des OLG Köln und damit, dass die EU-Kommission bereits eine Evaluierung des Vorgehens von Meta anstrebe. Die Entscheidung erfolgte um ein unterschiedliches Vorgehen auf Grund unterschiedlicher Rechtsauffassungen in der EU zu vermeiden.

Der HmbBfDI hat bereits Erfahrung mit Dringlichkeitsverfahren: 2021 untersagte er Facebook Ireland (der Vorgängerin von Meta) die Verarbeitung von personenbezogenen Daten von WhatsApp-Nutzerdaten zu eigenen Zwecken. Das Verfahren scheiterte in der zweiten Verfahrensstufe, da der EDSA keine entsprechende Dringlichkeit sah.

Fazit

Auch jetzt können Nutzer noch gegen die Verwendung ihrer Daten Widerspruch einlegen. Vielleicht haben Sie Glück und Meta hat die Daten noch nicht für das KI-Training verwendet. Anderenfalls wirkt der Widerspruch immerhin für neue Inhalte, die nach dem Widerspruch auf Facebook und Instagram eingestellt werden.

Daneben stellt Facebook ein Formular bereit, mit dem alle, unabhängig davon, ob Sie einen Account bei Facebook oder Instagram haben, Auskunft verlangen können, welche personenbezogenen Daten von sonstigen Drittanbietern Meta für das Training seiner KI verwendet. Denn natürlich hat Meta seine KI schon vorher mit personenbezogenen Daten trainiert – und möchte jetzt noch mehr Daten.

| | | , , , , , , , , , , , , , , , | 2 Kommentare