Snapchat-Urteil: Was Händler beim Einsatz von KI-Chatbots beachten sollten

Das LG Köln untersagt Snapchat die rechtswidrige Werbenutzung von sensiblen KI-Chatdaten. Auch für Händler, die Chatbots nur zur Kundenbetreuung einsetzen, wirft das Urteil Fragen auf. Welche Datenschutzpflichten gelten?

Immer mehr Onlinehändler nutzen KI-Chatbots zur Kundenbetreuung. Dabei können Nutzer auch sensible Informationen preisgeben, etwa zu gesundheitlichen Beschwerden, religiösen Überzeugungen oder politischen Meinungen. Solche Angaben unterliegen dem besonderen Schutz des Art. 9 DSGVO.

Ein Urteil des LG Köln vom 17.09.2026 (Az. 33 O 120/24) zeigt, welche rechtlichen Probleme daraus entstehen können. Das Gericht untersagte Snapchat, Daten aus Gesprächen mit dem Snapchat-Chatbot „My AI“ ohne ausdrückliche informierte Nutzereinwilligung für Werbezwecke zu verarbeiten. Die Begründung könnte auch für Chatbots relevant sein, die ausschließlich Kundenanfragen bearbeiten.

Was sind sensible Daten?

Sensible Daten sind eine spezielle Kategorie personenbezogener Informationen, der die DSGVO in Art. 9 aufgrund des engen Zusammenhangs mit dem persönlichkeitsrechtlichen Kernbereich einen besonders starken Schutz zuspricht.

Dazu zählen Informationen über

• die rassische und ethnische Herkunft
• politische Meinungen
• religiöse oder weltanschauliche Überzeugungen
• die Gewerkschaftszugehörigkeit
• das Sexualleben oder die sexuelle Orientierung

sowie

• genetischen Daten
• biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person und
• Gesundheitsdaten

Warum das LG Köln die Werbenutzung von Chatdaten untersagte

Snapchat bietet mit „My AI“ einen KI-Chatbot an, der auch Jugendlichen ab 13 Jahren zur Verfügung steht. Vor der ersten Nutzung erhielten die Nutzer einen Hinweis, wonach ihre Eingaben unter anderem zur Personalisierung von Werbung verwendet werden konnten. Um den Chat zu starten, mussten sie diesen Hinweis mit „ok“ bestätigen.

Der Verbraucherzentrale Bundesverband (vzbv) hielt diese Praxis für rechtswidrig und erhob Klage. Er beanstandete insbesondere, dass auf diese Weise auch besonders geschützte personenbezogene Daten für Werbezwecke verarbeitet werden konnten, ohne dass hierfür eine entsprechende Rechtsgrundlage bestand.

Snapchat wandte dagegen ein, solche Informationen nicht gezielt zu erheben. Zudem werde innerhalb des Chatbots lediglich kontextbezogene Werbung angezeigt.

Das LG Köln folgte dieser Argumentation nicht. Snapchat hatte sich in seinen Servicebestimmungen weitreichende Möglichkeiten zur Nutzung der Gesprächsinhalte vorbehalten und selbst eingeräumt, dass Chateingaben verwendet werden, um zu entscheiden, ob und welche Werbung einem Nutzer angezeigt wird.

Das Urteil ist noch nicht rechtskräftig.

Wann Chatdaten unter den besonderen Schutz des Art. 9 DSGVO fallen

1. Unerheblichkeit der Betreiberabsicht

Nach den Feststellungen des LG Köln kommt es auf die besondere Absicht, gerade auch sensible personenbezogene Daten erheben und weiterverarbeiten zu wollen, gerade nicht an (s. auch EUGH, Urteil vom 04.07.2023, C-252/21, Rn. 69).

Für die Anwendung der besonderen Verarbeitungsvoraussetzungen des Art. 9 DSGVO genügt bereits, dass Nutzer der Anbieter durch die konkrete Ausgestaltung der Funktionalitäten die Möglichkeit erhält, sensible personenbezogene Daten zu empfangen.

Dafür reicht wiederum, dass es Nutzern im Rahmen der bestimmungsgemäßen Nutzung der Chat-Funktion offen steht, auch sensible personenbezogene Informationen zu teilen.

Mithin gilt: ist der Chatbot darauf ausgelegt, beliebige, thematisch gerade nicht eingegrenzte Nutzeranfragen zu erfassen und zu verarbeiten, ist auch die Verarbeitung besonders sensibler Daten i.S.d. Art. 9 DSGVO nicht unwahrscheinlich und muss deren besondere rechtliche Verarbeitungsvoraussetzungen einhalten.

Daraus folgt im Umkehrschluss aber auch, dass nicht jeder Chatbot compliance-rechtlich zwangsweise auch auf die Verarbeitung von sensiblen Daten ausgerichtet sein muss.

Chatbots, die überhaupt nur thematisch begrenzte Eingaben oder Dialoge zulassen und so die Übermittlung von sensiblen Fremdinformationen originär technisch unterbinden, müssen sich ebenso wenig an den Verarbeitungsvoraussetzungen des Art. 9 Abs. 2 DSGVO messen lassen wie Chatsoftware mit Freitextoption, deren Module über eingebundene Bibliotheken aber überhaupt nur auf Anfragen zu spezifischen, nicht datensensiblen Themen reagieren können.

2. Abfärbung auf gesamte Chatverläufe

In einem Chat können besonders geschützte personenbezogene Daten mit gewöhnlichen Informationen vermischt sein. Erwähnt ein Kunde beispielsweise im Verlauf einer Produktberatung eine Erkrankung, stellt sich deshalb die Frage, welche Auswirkungen dies auf die Verarbeitung des gesamten Gesprächs hat.

Nach der Rechtsprechung des EuGH kann das Verarbeitungsverbot des Art. 9 DSGVO den gesamten Datensatz erfassen, wenn besonders geschützte Angaben bereits bei ihrer Erhebung untrennbar mit anderen personenbezogenen Daten verbunden sind (Urteil vom 04.07.2023, C-252/21, Rn. 89).

Eine technische Filterung kann das Risiko bei der weiteren Nutzung solcher Gesprächsdaten verringern. Werden besonders geschützte Angaben zuverlässig entfernt, bevor Chatverläufe gespeichert, ausgewertet oder zum Training eines KI-Modells verwendet werden, kann die anschließende Verarbeitung der bereinigten Daten außerhalb des Art. 9 DSGVO liegen. Voraussetzung ist, dass sich auch aus den verbleibenden Informationen keine besonders geschützten Daten mehr ableiten lassen.

Die ursprüngliche Verarbeitung wird dadurch allerdings nicht nachträglich rechtmäßig. Bereits die Entgegennahme einer Nachricht ist eine Verarbeitung personenbezogener Daten. Auch das Erkennen und Herausfiltern besonders geschützter Angaben kann daher den Anforderungen des Art. 9 DSGVO unterliegen.

Welche Rechtsgrundlagen kommen für Chat-Verarbeitungen infrage?

1. Sensible Daten

Sofern ein Chatbot darauf ausgelegt ist, auch die Mitteilung besonders sensibler Informationen i.S.d. Art 9 DSGVO zu verarbeiten, wenn also

• aufgrund der Funktionalitäten die Eingabe, Auswertung und Beantwortung von Anfragen mit sensiblen Informationen möglich ist und
• nach den Zweckbestimmungen und dem thematischen Konzept des Chatbots die Übermittlung sensibler Informationen nicht ausscheidet,

ist alleinig hinreichende Rechtsgrundlage grundsätzlich die vorherige ausdrückliche Nutzereinwilligung gemäß Art. 6 Abs. 1 lit. a i.V.m. Art. 9 Abs. 2 lit. a DSGVO.

Die Einwilligung muss vor der Chat-Nutzung ausdrücklich erteilt werden und jederzeit widerrufbar sein.

Um wirksam zu sein, muss Sie ferner ausdrücklich benennen, welche Kategorien sensibler Daten erfasst werden, an wen sie übermittelt und durch wen sie verarbeitet werden, und für welche Zwecke dies erfolgt.

Technisch muss, um die Widerrufsmöglichkeit zu berücksichtigen, ein Löschkonzept eingerichtet werden, das es auf einen Nutzerwiderruf hin ermöglicht, gespeicherte Datenbestände mit sensiblen Informationen vollständig zu bereinigen und ggf. eingesetzte Unterempfänger über diese Bereinigung zur Vornahme eigener Löschungen in Kenntnis zu setzen (Art. 19 DSGVO).

2. Sonstige Daten

Jenseits von sensiblen Informationen sind die rechtlichen Anforderungen für Dateneingaben in Chatbots deutlich weniger restriktiv.

Die KI-Verarbeitung von Kundensupportanfragen und allgemeine Anfragen zu Funktionalitäten der Website oder zum Umfang des Angebots können - unter weiteren organisatorischen Voraussetzungen, s.u. - grundsätzlich über berechtigte Interessen an der effektiven und zufriedenstellenden Beantwortung von Anliegen gemäß Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt werden.

Compliance-Pflichten für sensible Daten in Händler-Chatbots?

Die besonderen Verarbeitungsvoraussetzungen für sensible Daten (Einwilligungspflicht, besonderes Löschkonzept nach Einwilligungs-Widerruf) sind in Chatbots zu beachten, wenn durch entsprechende Eingabemöglichkeiten und thematische Offenheit die Eingabe, Übermittlung und Auswertung sensibler Informationen möglich ist.

Den besonderen Anforderungen unterliegen damit primär Chatbots, die auf Websites aus dem Gesundheitsbereich operieren und dort für den Produkt- oder Kundensupport eingesetzt werden. Dort ist mir der Preisgabe sensibler Informationen in Form von Gesundheitsdaten naturgemäß zu rechnen.

Chatbots, die von Händlern oder Unternehmen aus anderen Branchen betrieben werden, unterfallen den strengen Voraussetzungen für sensible Daten nicht per se.

Um aber sicher auszuschließen, dass eine Verarbeitung von sensiblen Daten über den Chatbot überhaupt möglich wird, sollten Händler

• durch entsprechende Ausgestaltung der Software verhindern, dass sensiblen Informationen eingegeben oder ausgewertet bzw. beantwortet werden können (entfernen von Freitexteingaben, thematische Beschränkungen des Chatmoduls und der Antwortgenerierung)
• den Zweck des Chatbots zu Beginn des Chats oder über einen generellen Hinweis eindeutig bestimmen und eindeutig klarstellen, dass er zur Verarbeitung sensibler Informationen i.S.d. Art. 9 DSGVO nicht geeignet ist.

Weitere Pflichten beim Einsatz von KI-Chatbots

Jenseits der speziellen Anforderungen an die Verarbeitung sensibler Daten treffen Händler beim Einsatz von KI-Chatbots weitere Compliance-Pflichten.

Nur deren vollständige Einhaltung gewährleistet, dass die Verarbeitung personenbezogener, nichtsensibler Daten über berechtigte Interessen des Händlers gemäß Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt werden kann.

1. Anbieterstandort

Wird KI zur Bearbeitung von Chatanfragen eingesetzt, ist von Seiten des Händlers sicherzustellen, dass die erhobenen Daten nur in solchen Ländern verarbeitet werden, die ein angemessenes Datenschutzniveau gewährleisten.

Unproblematisch sind KI-Anbieter mit Sitz in der EU und in solchen Ländern, für die ein Angemessenheitsbeschluss der EU-Kommission erlassen wurde.

Datenverarbeitungen in den USA sind nur datenschutzkonform, wenn der Anbieter sich für das EU-US-Data-Privacy-Framework zertifiziert hat.

Datenverarbeitungen in sonstigen Drittländern sind zu vermeiden. Möglich ist zwar eine datenschutzrechtliche Absicherung über die Vereinbarung von "Standardvertragsklauseln" der EU-Kommission ("SCCs"). Voraussetzung für deren Wirksamkeit ist aber, dass diese Klauseln aufgrund nationaler Gesetze im Sitzland des Anbieters überhaupt eingehalten und nicht durch nationale (sicherheits-)rechtliche Befugnisse von Behörden unterlaufen werden können. Händler, die Datenübermittlungen an Drittländer auf Standardvertragsklauseln stützen, müssen daher zusätzlich ein sog. "Transfer Impact Assessment" (TIA), also eine dokumentierte Risikobewertung über die Datensicherheit im Drittland, vornehmen und Datentransfers im Zweifel dadurch rechtfertigen können.

2. AV-Vertrag

Mit dem KI-Anbieter ist zwingend ein rechtskonformer Auftragsverarbeitungsvertrag (AV-Vertrag) zu schließen, da die KI auf Weisung des Chatbetreibers Informationen von Kunden verarbeitet.

Dieser Vertrag muss neben den Datensicherheits- und Vertraulichkeitsverpflichtungen Regelungen zur Zulässigkeit des Einsatzes von Unterauftragsverarbeitern treffen und alle eingerichteten technischen und organisatorischen Maßnahmen benennen.

3. Kein KI-Training

KI-Lösungen dürfen Chateingaben von Nutzern nicht zu eigenen Trainingszwecken weiterverarbeiten können.

Nur dann ist die hinreichende Integrität der über den Chat verarbeiteten Informationen gesichert.

Eine KI-Nutzung der Informationen zu Trainingszwecken würde eine vorherige ausdrückliche Einwilligung des Chatnutzers voraussetzen, die, um wirksam zu sein, detailliert aufführen müsste, wie, für was und wie lange die KI die Informationen selbst nutzen kann. Eine solche Information ist dem Chatbetreiber aber mangels Einsicht in die internen Prozesse des KI-Anbieters grundsätzlich nicht möglich.

4. Information in der Datenschutzerklärung

Schließlich ist über den Einsatz eines KI-Chatbots in der Datenschutzerklärung der Website zu informieren, auf welcher das KI-Modell zum Einsatz gelangt.

Belehrt werden muss nicht nur über den Datenempfänger, sondern auch um Zwecke, Umfang, Rechtsgrundlage und Dauer der Verarbeitung.

Fazit

Das Urteil des LG Köln zeigt, dass es bei KI-Chatbots nicht darauf ankommt, ob der Betreiber sensible Daten gezielt erheben will. Entscheidend ist allein, ob der Chatbot nach seiner technischen Ausgestaltung und thematischen Ausrichtung die Eingabe solcher Daten zulässt. Ist das der Fall, gelten die strengen Anforderungen des Art. 9 DSGVO.

Dann ist grundsätzlich eine vorherige, ausdrückliche und widerrufbare Einwilligung erforderlich, und es muss ein Löschkonzept bestehen.

Für Online-Unternehmer bedeutet das Urteil jedoch keine generelle Einwilligungspflicht für jeden Support-Chatbot.

Händler außerhalb des Gesundheitsbereichs können die besonderen Anforderungen vermeiden, wenn sie zwei Dinge tun. Erstens sollten sie den Chatbot technisch und thematisch so begrenzen, dass sensible Angaben weder eingegeben noch ausgewertet werden können. Zweitens sollten sie den Zweck des Chatbots von vornherein klar bestimmen und deutlich darauf hinweisen, dass er nicht für sensible Informationen gedacht ist.

Bei Anbietern aus dem Gesundheitsbereich ist dagegen regelmäßig damit zu rechnen, dass Nutzer Gesundheitsdaten preisgeben. Sie müssen die Voraussetzungen des Art. 9 DSGVO daher stets erfüllen.

Auch ohne sensible Daten ist der Einsatz eines KI-Chatbots nur dann über berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO zu rechtfertigen, wenn die übrigen Compliance-Pflichten vollständig eingehalten werden:

• Die Daten werden nur in sicheren Drittländern verarbeitet, also in der EU, in Ländern mit Angemessenheitsbeschluss oder bei US-Anbietern mit Zertifizierung nach dem Data Privacy Framework.
• Mit dem KI-Anbieter besteht ein rechtskonformer Auftragsverarbeitungsvertrag.
• Der Anbieter darf die Chateingaben nicht für eigene Trainingszwecke nutzen.
• Die Datenschutzerklärung informiert transparent über den Chatbot.