Das Landgericht Köln hat mit Urteil vom 17. September 2026 eine für Betreiber von KI-Chatbots und digitalen Plattformen wichtige Entscheidung getroffen. Im Mittelpunkt steht der in Snapchat integrierte generative KI-Chatbot „My AI“. Nach Auffassung des Gerichts darf Snap personenbezogene Daten aus den Unterhaltungen mit dem Chatbot nicht ohne ausreichende Rechtsgrundlage für Werbezwecke verarbeiten. Besonders relevant sind die Ausführungen des Gerichts zu sensiblen personenbezogenen Daten nach Art. 9 DSGVO. Daneben befasst sich die Entscheidung mit voreingestellten Werbe-Checkboxen und dem Schutz Minderjähriger vor Werbung für Alkohol und Glücksspiel.
Worum ging es?
Snapchat stellt seinen Nutzern den generativen KI-Chatbot „My AI“ zur Verfügung. Der Chatbot basiert auf generativer künstlicher Intelligenz und ermöglicht es Nutzern, in freier Form Fragen zu stellen und sich mit dem System zu unterhalten.
Vor der ersten Nutzung erhielten die Nutzer einen Hinweis. Darin wurde unter anderem erklärt, dass „My AI“ vom Nutzer angegebene Informationen verwenden könne, um Produkte von Snap zu verbessern und das Nutzererlebnis zu personalisieren, einschließlich der angezeigten Werbung. Um den Chatbot nutzen zu können, musste dieser Hinweis mit „Okay“ bestätigt werden.
Der Verbraucherzentrale Bundesverband hielt diese Gestaltung für unzulässig und verklagte die Snap Group Limited, die Snapchat für Nutzer in Deutschland anbietet.
Beanstandet wurden im Wesentlichen drei Punkte:
Zum einen ging es um die Verarbeitung von Daten, die Nutzer dem KI-Chatbot mitteilen, zu Werbezwecken. Zum anderen waren in den Snapchat-Einstellungen verschiedene Optionen zur werblichen Nutzung personenbezogener Daten bereits vorausgewählt. Schließlich waren auch bei minderjährigen Nutzern die Themen „Alkohol“ und „Glücksspiel“ als Themen für Anzeigen voreingestellt.
Das Landgericht Köln gab der Klage in allen drei Punkten statt.
KI-Chatbots können besonders sensible personenbezogene Daten verarbeiten
Der wichtigste Teil der Entscheidung betrifft Art. 9 DSGVO.
Diese Vorschrift erfasst besonders sensible personenbezogene Daten. Dazu gehören beispielsweise Informationen über die Gesundheit, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, das Sexualleben oder die sexuelle Orientierung einer Person.
Die Verarbeitung solcher Daten ist grundsätzlich untersagt und nur unter den besonderen Voraussetzungen des Art. 9 Abs. 2 DSGVO zulässig.
Das Landgericht Köln geht davon aus, dass Art. 9 DSGVO bei der Nutzung von „My AI“ einschlägig ist. Bei einem offen gestalteten KI-Chat könne ein Nutzer ohne Weiteres Informationen mitteilen, die zu diesen besonders geschützten Datenkategorien gehören.
Dabei stellte das Gericht insbesondere darauf ab, dass Nutzer dazu ermuntert wurden, dem Chatbot alle möglichen Fragen zu stellen und persönliche Informationen mitzuteilen.
Dass an anderer Stelle empfohlen wurde, keine vertraulichen oder sensiblen Informationen einzugeben, genügte dem Gericht nicht. Ein solcher Hinweis sei lediglich ein unverbindlicher Ratschlag und verhindere die Eingabe und Verarbeitung sensibler Daten tatsächlich nicht.
Besondere Bedeutung bei minderjährigen Nutzern
Eine zusätzliche Rolle spielte, dass Snapchat bereits von Nutzern ab 13 Jahren verwendet werden kann.
Nach Auffassung des Landgerichts ist bei Minderjährigen besonders zu berücksichtigen, dass diese die Gefahren einer Weitergabe sensibler persönlicher Informationen möglicherweise weniger gut einschätzen können als Erwachsene.
Gerade bei einem Chatbot, der den Eindruck einer persönlichen Unterhaltung vermittelt, liegt es nahe, dass Nutzer auch sehr persönliche Informationen preisgeben. Dies kann etwa gesundheitliche Probleme, religiöse Überzeugungen, politische Ansichten oder Fragen zur sexuellen Orientierung betreffen.
Damit berührt das Urteil eine zentrale datenschutzrechtliche Frage generativer KI: Je offener ein Chatbot ausgestaltet ist, desto weniger kann der Betreiber zuverlässig vorhersehen, welche Arten personenbezogener Daten die Nutzer in ihre Eingaben aufnehmen.
„Aufgedrängte“ sensible Daten bleiben sensible Daten
Besonders interessant ist die Argumentation von Snap, besondere Kategorien personenbezogener Daten würden nicht gezielt erhoben. Wenn Nutzer derartige Informationen dennoch in den Chat eingeben, würden dem Betreiber diese Daten gewissermaßen „aufgedrängt“.
Dieser Argumentation ist das Landgericht Köln nicht gefolgt.
Für die Anwendung des Art. 9 DSGVO komme es nicht entscheidend darauf an, ob der Verantwortliche gerade die Absicht hatte, sensible Daten zu erhalten. Entscheidend sei, dass solche Daten tatsächlich verarbeitet werden.
Das ist für Anbieter generativer KI von erheblicher praktischer Bedeutung. Ein Betreiber kann das Problem sensibler personenbezogener Daten nicht allein dadurch lösen, dass er erklärt, diese Informationen gar nicht erhalten zu wollen.
Ermöglicht das System freie Texteingaben und werden die eingegebenen Informationen anschließend verarbeitet, muss bei der datenschutzrechtlichen Gestaltung berücksichtigt werden, dass darunter auch Daten im Sinne des Art. 9 DSGVO sein können.
Berechtigtes Interesse reicht bei Art. 9 DSGVO nicht aus
Von besonderer Bedeutung ist außerdem das Verhältnis zwischen Art. 9 und Art. 6 DSGVO.
Art. 6 DSGVO enthält die allgemeinen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Dazu gehört beispielsweise das berechtigte Interesse eines Unternehmens.
Sind jedoch besondere Kategorien personenbezogener Daten betroffen, reicht eine allgemeine Rechtfertigung nach Art. 6 DSGVO nicht aus. Das Landgericht Köln stellt klar, dass Art. 9 DSGVO insoweit die speziellere Regelung ist.
Liegt keine Ausnahme nach Art. 9 Abs. 2 DSGVO vor, kann die Verarbeitung deshalb nicht dadurch gerechtfertigt werden, dass sich das Unternehmen auf ein berechtigtes Interesse beruft.
Im konkreten Fall hatte Snap insbesondere keine ausdrückliche Einwilligung zur Verarbeitung besonderer Kategorien personenbezogener Daten eingeholt. Auch eine andere Ausnahme des Art. 9 Abs. 2 DSGVO war nach Auffassung des Gerichts nicht gegeben.
Die Verarbeitung war deshalb rechtswidrig.
Ein Klick auf „Okay“ ist nicht automatisch eine datenschutzrechtliche Einwilligung
Auch der bei der erstmaligen Nutzung von „My AI“ eingeblendete Hinweis genügte nach Auffassung des Landgerichts nicht.
Der Nutzer wurde zwar darüber informiert, dass die von ihm angegebenen Informationen unter anderem zur Personalisierung von Anzeigen verwendet werden konnten. Anschließend musste er den Hinweis mit „Okay“ bestätigen.
Darin sah das Gericht jedoch keine wirksame datenschutzrechtliche Einwilligung.
Die bloße Bestätigung, einen Hinweis zur Kenntnis genommen zu haben, ist nicht dasselbe wie die ausdrückliche Einwilligung in eine bestimmte Datenverarbeitung.
Dies gilt erst recht bei besonderen Kategorien personenbezogener Daten. Art. 9 Abs. 2 DSGVO verlangt für die dort vorgesehene Einwilligung ausdrücklich eine qualifizierte, ausdrückliche Einwilligung.
Für Unternehmen bedeutet dies: Informationshinweis und Einwilligung müssen rechtlich und gestalterisch sauber voneinander getrennt werden. Wer sich auf eine Einwilligung als Rechtsgrundlage berufen möchte, muss eindeutig erkennbar machen, welcher konkreten Verarbeitung der Nutzer zustimmt.
Auch nach Art. 6 DSGVO sah das Gericht keine ausreichende Rechtsgrundlage
Das Landgericht prüfte ergänzend, ob die Verarbeitung jedenfalls nach den allgemeinen Vorschriften des Art. 6 DSGVO zulässig gewesen wäre.
Auch dies verneinte die Kammer.
Eine wirksame Einwilligung lag nach Auffassung des Gerichts nicht vor. Auch ein berechtigtes Interesse konnte die Verarbeitung nicht rechtfertigen.
Das Gericht beanstandete insbesondere, dass die berechtigten Interessen, auf die sich der Anbieter berufen wollte, dem Nutzer bei Erhebung der Daten nicht unmittelbar mitgeteilt wurden.
Damit zeigt die Entscheidung zugleich, dass die Rechtsgrundlage einer Datenverarbeitung nicht erst nachträglich aus umfangreichen Datenschutzerklärungen zusammengesucht werden darf. Die datenschutzrechtliche Gestaltung muss für den Nutzer hinreichend transparent sein.
Voreingestellte Checkboxen sind keine wirksame Einwilligung
Der zweite Schwerpunkt der Entscheidung betrifft die Anzeigenpräferenzen von Snapchat.
Dort waren verschiedene Optionen zur Verwendung personenbezogener Daten für Werbezwecke bereits aktiviert. Der Nutzer konnte die gesetzten Häkchen entfernen, wenn er die entsprechende Nutzung nicht wollte.
Das genügt für eine Einwilligung nicht.
Eine datenschutzrechtliche Einwilligung verlangt eine aktive Handlung des Nutzers. Ein bereits voreingestelltes Ankreuzkästchen kehrt dieses Prinzip um: Der Nutzer muss tätig werden, wenn er der Verarbeitung gerade nicht zustimmen möchte.
Ein solches Opt-out kann eine erforderliche Einwilligung nicht ersetzen.
Diese Aussage ist zwar nicht neu, zeigt aber, dass die bekannten Anforderungen an Cookie-Banner und Online-Werbung gleichermaßen für die Einstellungen sozialer Netzwerke und KI-gestützter Dienste gelten.
Aus einer Einwilligung kann nicht einfach ein Widerspruch gemacht werden
Snap argumentierte, bei den voreingestellten Häkchen gehe es überhaupt nicht um die Einholung einer Einwilligung. Die Einstellungen ermöglichten den Nutzern vielmehr, ihr Widerspruchsrecht nach Art. 21 DSGVO auszuüben.
Auch dieser Argumentation folgte das Gericht nicht.
Ein Widerspruch setzt zunächst eine rechtmäßige Datenverarbeitung voraus, die beispielsweise auf ein berechtigtes Interesse gestützt wird. Gegen eine solche Verarbeitung kann der Betroffene anschließend Widerspruch erheben.
Voreingestellte Checkboxen können diese Systematik nicht umkehren.
Der Betreiber kann daher eine Gestaltung, die für den Nutzer wie eine voreingestellte Zustimmung zur Datenverarbeitung aussieht, nicht ohne Weiteres dadurch rechtfertigen, dass er sie nachträglich als Möglichkeit zur Ausübung eines Widerspruchsrechts bezeichnet.
Werbung für Alkohol und Glücksspiel bei Minderjährigen
Der dritte Teil des Urteils betrifft den Jugendschutz.
In den Einstellungen unter „Interessen und Lifestyle“ waren bei Snapchat die Themen „Politik“, „Alkohol“ und „Glücksspiel“ vorausgewählt. Diese Einstellung bestand auch bei minderjährigen Nutzern.
Besonders problematisch war die Erläuterung, der Nutzer könne die entsprechenden Einstellungen deaktivieren, um „weniger Anzeigen“ zu diesen Themen zu sehen.
Das Landgericht Köln beanstandete die Vorauswahl der Kategorien „Alkohol“ und „Glücksspiel“ bei minderjährigen Nutzern wegen der besonderen jugendschutzrechtlichen Werbebeschränkungen.
Interne technische Sperren beseitigen eine unzulässige Außendarstellung nicht
Snap wandte ein, Minderjährigen würden tatsächlich keine Anzeigen für Alkohol oder Glücksspiel ausgespielt. Dies werde durch interne technische Regeln beziehungsweise Werberichtlinien verhindert.
Auch damit konnte das Unternehmen die Klage nicht abwehren.
Nach Auffassung des Gerichts vermittelte bereits die Gestaltung der Nutzereinstellungen den Eindruck, Snap nehme für sich das Recht in Anspruch, minderjährigen Nutzern Werbung zu Alkohol und Glücksspiel anzuzeigen.
Damit bestand jedenfalls eine sogenannte Erstbegehungsgefahr.
Dieser Teil der Entscheidung ist auch außerhalb des konkreten Falls von Bedeutung: Unternehmen können sich nicht ohne Weiteres darauf verlassen, dass interne technische Beschränkungen eine nach außen rechtswidrig gestaltete Benutzeroberfläche korrigieren.
Entscheidend ist auch, welches Recht sich der Anbieter gegenüber dem Nutzer durch seine tatsächliche Gestaltung des Dienstes vorbehält.
Auch die für Deutschland zuständige Snap-Gesellschaft ist verantwortlich
Snap hatte außerdem eingewandt, die Daten würden nicht von der beklagten Snap Group Limited selbst, sondern von der US-amerikanischen Muttergesellschaft Snap Inc. verarbeitet.
Das Landgericht ließ auch diesen Einwand nicht gelten.
Die beklagte Gesellschaft stellt deutschen Nutzern den Snapchat-Dienst zur Verfügung und ist deren Vertragspartner. Zudem ergaben sich aus den Servicebedingungen umfangreiche Befugnisse zur Speicherung, Verwendung, Analyse und sonstigen Verarbeitung der von Nutzern zur Verfügung gestellten Informationen.
Das Gericht ging deshalb davon aus, dass die Snap Group Limited jedenfalls Mitverantwortliche im datenschutzrechtlichen Sinne ist.
Dass daneben auch eine andere Konzerngesellschaft an der Verarbeitung beteiligt ist, beseitigt die eigene Verantwortlichkeit nicht.
Gerade für international strukturierte Plattformen ist dieser Teil der Entscheidung relevant. Die datenschutzrechtliche Verantwortung lässt sich nicht allein dadurch auf eine andere Konzerngesellschaft verlagern, dass diese technisch an der Verarbeitung beteiligt ist.
Was bedeutet das Urteil für Anbieter von KI-Chatbots?
Die Entscheidung betrifft unmittelbar Snapchat. Die Argumentation des Landgerichts lässt sich jedoch auf zahlreiche andere Einsatzmöglichkeiten generativer KI übertragen.
Besondere Vorsicht ist erforderlich, wenn ein Unternehmen einen offenen KI-Chatbot anbietet, Nutzer dort frei formulierte persönliche Informationen eingeben können und diese Eingaben gespeichert, analysiert oder für weitere Zwecke verwendet werden.
Besonders kritisch wird es, wenn Chat-Inhalte anschließend für Werbung, Profilbildung, Produktempfehlungen oder sonstige Formen der Personalisierung eingesetzt werden.
Unternehmen sollten sich dabei nicht darauf verlassen, dass Nutzer keine sensiblen Daten eingeben werden. Bei einem offenen Dialogsystem muss vielmehr von Anfang an berücksichtigt werden, dass Nutzer auch Gesundheitsinformationen, religiöse oder politische Überzeugungen oder Angaben zu ihrem Sexualleben mitteilen können.
Ein allgemeiner Hinweis, solche Informationen besser nicht einzugeben, löst dieses Problem nach der Entscheidung des Landgerichts Köln jedenfalls nicht.
Datenschutz muss bereits bei der technischen Gestaltung berücksichtigt werden
Das Urteil zeigt darüber hinaus, wie eng technische Produktgestaltung und Datenschutzrecht bei KI-Anwendungen miteinander verbunden sind.
Entscheidend ist nicht nur, was in der Datenschutzerklärung steht. Relevant ist auch, wie der Chatbot den Nutzer anspricht, welche Eingaben er ermöglicht, welche Daten tatsächlich verarbeitet werden, wie lange diese gespeichert bleiben und für welche weiteren Zwecke sie eingesetzt werden.
Gerade bei der Kombination von generativer KI mit personalisierter Werbung muss deshalb bereits vor Einführung des Systems geklärt werden, welche Daten verarbeitet werden können und auf welcher Rechtsgrundlage die jeweilige Verarbeitung erfolgt.
Dies gilt besonders für Dienste, die auch von Kindern und Jugendlichen genutzt werden können.
Das Urteil betrifft die DSGVO – nicht den AI Act
Das Landgericht Köln hat nicht über einen Verstoß gegen den europäischen AI Act entschieden.
Die Entscheidung beruht im Kern auf der DSGVO sowie hinsichtlich der Werbung gegenüber Minderjährigen zusätzlich auf jugendschutz- und glücksspielrechtlichen Vorschriften.
Dies ist für die Praxis wichtig: Der AI Act ersetzt die bereits bestehenden rechtlichen Anforderungen an KI-Anwendungen nicht. Unternehmen, die generative KI einsetzen, müssen daneben weiterhin insbesondere Datenschutzrecht, Verbraucherrecht, Wettbewerbsrecht und gegebenenfalls Jugendschutzrecht beachten.
Fazit
Das Urteil des Landgerichts Köln ist insbesondere wegen seiner Aussagen zu Art. 9 DSGVO bemerkenswert.
Wer einen offenen KI-Chatbot anbietet, muss damit rechnen, dass Nutzer dem System auch besonders sensible persönliche Informationen mitteilen. Der Betreiber kann sich dann nicht ohne Weiteres darauf zurückziehen, diese Daten seien ihm ungefragt „aufgedrängt“ worden.
Werden solche Daten verarbeitet, müssen die besonderen Anforderungen des Art. 9 DSGVO beachtet werden. Ein berechtigtes Interesse nach Art. 6 DSGVO kann eine fehlende Ausnahme nach Art. 9 DSGVO nicht ersetzen.
Noch problematischer ist es, Daten aus KI-Chats anschließend für Werbung oder Profilbildung zu nutzen. Unternehmen müssen hierfür die Rechtsgrundlage der Verarbeitung genau prüfen und erforderliche Einwilligungen rechtssicher ausgestalten.
Das Urteil bestätigt außerdem die bekannten Grundsätze für Online-Einwilligungen: Voreingestellte Checkboxen genügen nicht. Der Nutzer muss selbst aktiv zustimmen.
Bei Diensten für Minderjährige treten zusätzliche Anforderungen hinzu. Werbeeinstellungen für Alkohol oder Glücksspiel dürfen nicht so ausgestaltet sein, dass gegenüber minderjährigen Nutzern der Eindruck entsteht, entsprechende Werbung könne zulässigerweise ausgespielt werden.
Gericht: Landgericht Köln
Datum: 17.09.2026
Aktenzeichen: 33 O 120/24