Art. 9 DSGVO und KI-Chatbots: Warum das LG Köln Unternehmen nervös machen könnte

Geschrieben von: Sebastian Laoutoumai

KI-Chatbots übernehmen im Kundenservice, Vertrieb und im Rahmen interner Prozesse. Gleichzeitig stellt sich für viele Unternehmen die Frage, wie mit personenbezogenen Daten umzugehen ist, die Nutzer ungefragt in Chatfenster eingeben. Das jüngst ergangene Urteil des LG Köln (Urt. v. 17.9.2026 - 33 O 120/24) zu „My AI“ von Snapchat könnte diese Diskussion deutlich verschärfen. Nicht unbedingt wegen seines Ergebnisses, wohl aber wegen seiner Begründung.

Die eigentliche Brisanz des Urteils

Dass ein KI-Chatbot besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeiten kann, überrascht wenig. Nutzer teilen Chatbots regelmäßig Informationen über Krankheiten, religiöse Überzeugungen, politische Ansichten oder andere sensible Lebensbereiche mit. Im Fall von Snapchat war dies sogar besonders naheliegend. Der Chatbot war darauf ausgelegt, persönliche Gespräche zu führen und Nutzereingaben umfassend zu verarbeiten. Dass hier datenschutzrechtliche Risiken bestehen, liegt auf der Hand. Da Snapchat zudem besonders unter Jugendlichen beliebt ist, war es ebenso naheliegend, dass sich der VZBV die Funktionen von My AI einmal näher ansieht. Über diesen konkreten Fall hinaus ist aber die Frage von hoher praktischer Bedeutung, ob ein Unternehmen bereits deshalb sensible Daten im Rechtssinne erhebt, weil Nutzer sie ungefragt in einen Chatbot eingeben. Diese Frage betrifft jedes Unternehmen, das einen Chatbot bspw. im Kundenservice einsetzt. Genau hier könnte das Urteil weitreichende Auswirkungen entfalten, insbesondere, wenn man – wie offenbar die Kammer in Köln – von der Sensibilität der Daten auf eine Erhebung dergleichen schließt.

Hat das LG Köln den EuGH zu weit verstanden?

Zur Begründung verweist das LG Köln auf das Urteil des EuGH vom 4. Juli 2023 in der Rechtssache Meta Platforms u.a./Bundeskartellamt (C‑252/21). Dort hat der Gerichtshof klargestellt, dass die Anwendbarkeit von Art. 9 DSGVO nicht davon abhängt, ob ein Verantwortlicher gezielt Informationen über Gesundheitszustand, Religion oder andere sensible Merkmale erhalten möchte. Entscheidend ist vielmehr, ob die verarbeiteten Daten solche Informationen objektiv offenbaren können. Mit dieser Feststellung des EuGH kam es für das LG Köln nicht darauf an, ob der Nutzer dem Betreiber des Chatbots die Daten aufgedrängt hatte. Das ist allerdings der Knackpunkt der Entscheidung, denn reicht bereits aus, dass Nutzer ungefragt Daten aufdrängen, aktiviert das sämtliche Pflichten eines Verantwortlichen. Vor diesem Hintergrund hatte die Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Saarland in einem älteren Tätigkeitsbericht noch festgestellt, dass bei ungewollt aufgedrängten Daten eine Erhebung der selben nicht vorliegt. Verlangt wurde vielmehr ein subjektives Element der Verarbeitungsabsicht:

Ist dies nicht der Fall, d. h. besteht bei dem Verantwortlichen keine Verarbeitungsabsicht hinsichtlich der in seine Verfü gungsmacht gelangten Daten, kann nicht von einer Datenerhe bung gesprochen werden. Gelangen die Daten unverlangt bzw. nicht aufgrund einer gesetzlichen Übermittlungsanordnung in die Verfügungsmacht des Verantwortlichen oder werden sie ihm gar „aufgedrängt“, so wird man eine die Informationspflich ten nach Art. 13 und 14 DSGVO auslösende Datenerhebung letztlich verneinen müssen.

An dieser Weichenstellung steht die Entscheidung des LG Köln. Es fragt sich dabei, ob der EuGH die Frage nach einer Verarbeitungsabsicht beantwortet hat oder lediglich darüber entschieden hat, wann Art. 9-Daten vorliegen. Es lässt sich jedenfalls gut begründen, dass der EuGH nicht zwangsläufig über den Begriff der Erhebung sensibler Daten zu entscheiden hatte. Gegenstand der Entscheidung war vielmehr die Frage, wann Daten überhaupt als besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO anzusehen sind. Der EuGH beantwortet die Frage, wann ein sensibles Datum vorliegt. Er beantwortet nicht zwingend die separat zu beantwortende Frage, wann ein Verantwortlicher ein solches Datum erhebt. Diese Unterscheidung mag auf den ersten Blick technisch wirken. Für Unternehmen ist sie jedoch von zentraler Bedeutung. Kommt es für die Frage, ob Art. 9-Daten vorliegen rein auf objektive Kriterien an, sind bei der Frage nach einem Erheben auch subjektive Elemente des Verantwortlichen zu berücksichtigen bzw. kommt es auch auf eine aktive dem Verantwortlichen zurechenbare Handlung an (str.). Erst wenn der Empfänger die so aufgedrängten Daten willentlich weiterverarbeitet, schwingt er sich zum Verantwortliche auch über diese Daten auf.

Warum Unternehmen genau hinschauen sollten

Würde man die Argumentation des LG Köln verallgemeinern, könnte sie weit über KI-Chatbots hinausreichen. Nutzer teilen sensible Informationen nicht nur Chatbots mit. Gleiches gilt für:

  • Kontaktformulare,
  • Support-Chats,
  • Ticketsysteme,
  • Kundenportale,
  • Service-E-Mails.

Praktisch jedes Unternehmen kennt Fälle, in denen Kunden ungefragt Gesundheitsdaten oder andere sensible Informationen übermitteln. Die Konsequenz einer sehr weiten Auslegung wäre erheblich. Bereits die bloße Möglichkeit solcher Eingaben könnte dazu führen, dass Unternehmen sich mit den strengen Anforderungen des Art. 9 DSGVO auseinandersetzen müssen. Zu Recht weist Carlo Piltz in seiner Besprechung auf die praktikablere Empfehlung des BayLfD hin. Dort heißt es auf Seite 78 (Rn. 256):

„Wird ein KI-System zur Verarbeitung besonderer Datenkategorien eingesetzt oder zielt es auf deren Gewinnung, gilt Art. 9 DSGVO mit dessen zusätzlichen Anforderungen an die Rechtmäßigkeit der Daten verarbeitung (neben solchen aus Art. 6 DSGVO). Anders ist der Fall zu bewerten, in dem be sonders sensible Daten – trotz aller Vorkehrungen des Verantwortlichen – „zufällig“ in die zu verarbeitenden Datenmengen gelangen, die Verarbeitung vom Verantwortlichen aber nicht intendiert ist.“

Zwar unterscheidet auch das BayLfD nicht ausdrücklich zwischen dem „Erheben“ von Daten und der Klassifizierung der Daten unter Art. 9 DSGVO. Aus dem Zusammenhang lässt sich aber schließen, dass hier bereits eine Erhebung zu verneinen ist, wenn die Intention zur Verarbeitung fehlt. Gleichwohl lässt der BayLfD nicht ausreichen, dass man lediglich die fehlende Intention behauptet. Vielmehr müssen geeignete technische und organisatorische Maßnahmen erreichtet werden, die weitgehend verhindern, dass einem sensible Daten aufgedrängt werden. Folgende Maßnahmen könnten das sein:

Deutliche Hinweise vor Beginn des Chats

„Bitte geben Sie keine Gesundheitsdaten oder sonstigen sensiblen personenbezogenen Daten ein.“ oder besser "Die Eingabe von Gesundheitsdaten ist untersagt"

Keine Aufforderung zu persönlichen oder sensiblen Informationen

Prompts und Fragen sollten auf die Bearbeitung des konkreten Anliegens beschränkt bleiben.

Automatische Erkennung sensibler Inhalte

Technische Filter können typische Art.-9-Inhalte identifizieren.

Maskierung oder Löschung erkannter Angaben

Sensible Informationen sollten möglichst weder gespeichert noch weiterverarbeitet werden.

Keine Nutzung für Werbung, Profilbildung oder KI-Training

Je geringer die Weiterverarbeitung, desto schwerer lässt sich von einer gewollten Datenerhebung sprechen.

Kurze Speicher- und Löschfristen

Eine möglichst unmittelbare Löschung senkt das Risiko einer rechtlichen Einordnung als gezielte Datensammlung.

Alternative Kommunikationswege

Für Anliegen, die typischerweise sensible Daten betreffen, können gesonderte Prozesse mit passender datenschutzrechtlicher Grundlage bereitgestellt werden.

Je konsequenter solche Maßnahmen umgesetzt werden, desto überzeugender lässt sich argumentieren, dass das Unternehmen keine sensiblen Daten erheben will, sondern lediglich unvermeidbare Nutzereingaben technisch entgegennimmt. Mit der Entscheidung des LG Köln besteht gleichwohl das Risiko, dass auch diese Maßnahmen nicht ausreichen, insbesondere, weil Gerichte nicht an Empfehlungen der Datenschutzaufsichtsbehörden gebunden sind. Das hätte zur (un-)praktischen Folge, dass beim Betrieb eines Chatbots in der Regel eine Einwilligung einzuholen wäre, auch wenn die Verarbeitung sensibler Daten gar nicht intendiert ist.

Fazit

Die Gestaltung bei My AI von Snapchat durften Nutzer als Einladung verstehen, auch sensible Daten einzugeben. Auch dürfte Snapchat die dann eingegebenen Daten für weitere Zwecke weiterverarbeitet haben und nicht unmittelbar nach Beantwortung einer konkreten Frage gelöscht haben. Die Entscheidung des LG Köln ist in Bezug auf Snapchat somit nicht zu kritisieren, denn sie wäre gleichlautend ergangen, würde man bei aufgedrängten Daten bereits ein Erheben dergleichen verneinen. Im Fall von My AI dürften Snapchat die Daten aber gerade nicht aufgedrängt worden sein, denn Snapchat hat mehr oder weniger um die Eingabe dieser Daten gebeten, dies jedenfalls bewusst in Kauf genommen. Dass die Entscheidung im Ergebnis zu Recht ergangen sein dürfte, führt nicht dazu, dass die Entscheidung in ihrer konkreten Begründung Bestand haben oder bestätigt werden sollte. Vielmehr ist zu wünschen, dass differenziert wird, zwischen einer bewussten Erhebung von Daten, aufgedrängten Daten und der bewussten Weiterverarbeitung aufgedrängter Daten. Nur so lassen sich für Unternehmen praktische Handlungen ableiten. Die Entscheidung des LG Köln zwingt Unternehmen hingegen dazu, per default Einwilligungen vor der Nutzung eines Chatbots einzuholen.

FAQ

Was sind Art.-9-Daten?

Dazu zählen insbesondere Gesundheitsdaten, religiöse oder weltanschauliche Überzeugungen, politische Meinungen sowie Angaben zum Sexualleben oder zur sexuellen Orientierung.

Was hat der EuGH in C‑252/21 entschieden?

Der EuGH hat entschieden, dass Daten auch dann unter Art. 9 DSGVO fallen können, wenn der Verantwortliche keine gezielte Absicht hatte, sensible Informationen zu erlangen. Maßgeblich ist, ob die Daten objektiv solche Informationen offenbaren können.

Bedeutet das Urteil des LG Köln das Ende offener Chatbots?

Nein. Es erhöht aber die Bedeutung einer datenschutzfreundlichen Systemgestaltung und klarer Prozesse für den Umgang mit sensiblen Nutzereingaben.

Wie können Unternehmen das Risiko reduzieren?

Durch Warnhinweise, Inhaltsfilter, automatische Löschmechanismen, kurze Speicherfristen und den Verzicht auf eine Weiterverarbeitung sensibler Inhalte zu Werbe-, Profilbildungs- oder Trainingszwecken.

Mehr zu unseren Leistungen im IT- und Datenschutzrecht finden Sie hier:

Gerne bringen wir Ihnen im Rahmen eines unverbindlichen Erstgesprächs die Rechtslage näher und unterstützen Sie dabei, Rechtsklarheit zu gewinnen. Kontaktieren Sie uns jederzeit für ein Kennenlerngespräch. 

Einen Überblick Rund um das Thema KI und Recht im Unternehmen finden Sie in unserem gleichnamigen Fokusthema-Beitrag: KI und Recht im Unternehmen

Weitere Blogbeiträge