Wer einen KI-Chatbot betreibt, muss damit rechnen, dass Nutzer Gesundheitsdaten, religiöse Überzeugungen oder Angaben zu ihrem Sexualleben eingeben. Ein Urteil des Landgerichts Köln vom 17. September 2026 (Az. 33 O 120/24, noch nicht rechtskräftig) im Rechtsstreit gegen Snapchat verdeutlicht die datenschutzrechtlichen Risiken: Der bloße Hinweis, keine sensiblen Daten einzugeben, reicht nicht aus, um eine rechtswidrige Verarbeitung zu verhindern.
Das Problem: Sensible Daten trotz fehlender Absicht
Snapchats KI-Chatbot „My AI“ richtet sich auch an Jugendliche ab 13 Jahren und lädt dazu ein, „alle möglichen Fragen“ zu stellen. Der Verbraucherzentrale Bundesverband ging dagegen vor, weil der Dienst besondere Kategorien personenbezogener Daten verarbeitete, ohne dass eine ausdrückliche Einwilligung nach Art. 9 DSGVO vorlag.
Das LG Köln gab der Klage statt. Nach der gerichtlichen Bewertung ist bei einem Chatbot, der zu freien Eingaben einlädt, damit zu rechnen, dass Nutzer auch sensible Informationen mitteilen. Dass der Anbieter diese Daten nicht gezielt erheben wollte, sondern sie im Rahmen der Nutzung eingegeben werden, entlastet ihn nicht ohne Weiteres.
Rechtliche Einordnung: Art. 9 DSGVO als zentrale Hürde
Art. 9 DSGVO verbietet die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich. Dazu zählen unter anderem Gesundheitsdaten, Angaben zur religiösen oder weltanschaulichen Überzeugung sowie Daten zum Sexualleben und zur sexuellen Orientierung. Die Verarbeitung ist nur zulässig, wenn eine Ausnahme nach Art. 9 Abs. 2 DSGVO greift.
Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO genügt dafür allein nicht. Beide Vorschriften müssen zusammengedacht werden: Neben einer Rechtsgrundlage nach Art. 6 DSGVO ist grundsätzlich auch eine einschlägige Ausnahme vom Verbot des Art. 9 Abs. 1 DSGVO erforderlich. Für viele kommerzielle Chatbot-Anwendungen kommt insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Betracht. Ob sie erforderlich ist oder eine andere Ausnahme greift, hängt jedoch vom konkreten Verarbeitungsvorgang ab.
Hinzu kommt die weite Auslegung des Art. 9 DSGVO durch den EuGH, unter anderem im Verfahren Lindenapotheke. Auch Informationen, aus denen sich sensible Eigenschaften mittelbar ableiten lassen, können in den Anwendungsbereich fallen. Für KI-Anwendungen ist das besonders relevant: Selbst scheinbar harmlose Eingaben können Rückschlüsse auf den Gesundheitszustand, religiöse Überzeugungen oder die sexuelle Orientierung einer Person ermöglichen.
Auch die Gestaltung einer Einwilligung ist entscheidend. Ein bloßer „OK“-Button oder vorangekreuzte Checkboxen belegen für sich genommen keine wirksame ausdrückliche Einwilligung. Diese muss freiwillig, informiert, spezifisch und durch eine eindeutige aktive Handlung erteilt werden.
Was Betreiber von KI-Chatbots beachten sollten
- Freie Eingaben berücksichtigen: Kalkulieren Sie ein, dass Nutzer sensible Informationen auch dann mitteilen, wenn dies nicht ausdrücklich vorgesehen ist.
- Technische Schutzmaßnahmen prüfen: Untersuchen Sie, ob sensible Inhalte bereits bei der Eingabe erkannt, von der weiteren Verarbeitung ausgeschlossen oder nach Möglichkeit datensparsam behandelt werden können.
- Nicht allein auf Warnhinweise setzen: Der Hinweis „Bitte keine sensiblen Daten eingeben“ ersetzt weder eine tragfähige Rechtsgrundlage noch geeignete technische und organisatorische Maßnahmen.
- Rechtsgrundlage und Ausnahme dokumentieren: Prüfen Sie für jeden relevanten Verarbeitungsvorgang, welche Grundlage nach Art. 6 DSGVO und welche Ausnahme nach Art. 9 Abs. 2 DSGVO einschlägig ist.
- Chatverläufe und Datenflüsse kontrollieren: Hinterfragen Sie Speicherdauer, Zugriffsrechte, Übermittlungen an externe Modellanbieter sowie eine mögliche Nutzung für Werbung, Analyse oder Modelltraining.
- Datenschutz-Folgenabschätzung prüfen: Klären Sie, ob eine DSFA nach Art. 35 DSGVO erforderlich ist, insbesondere bei der Verarbeitung von sensiblen Daten.
Fazit
Datenschutzrechtlich kommt es nicht allein darauf an, welche Daten ein Anbieter gezielt erheben möchte, sondern auch darauf, welche Verarbeitung sein Dienst tatsächlich ermöglicht und erwarten lässt. Betreiber von KI-Chatbots sollten deshalb bereits bei der Konzeption der Eingabefunktion, der technischen Verarbeitung und der Speicherung ansetzen.