LG Köln: KI-Chatbots dürfen sensible Daten nur mit Einwilligung verarbeiten

Der Einsatz generativer KI-Systeme wirft zunehmend datenschutzrechtliche Fragen auf. Das LG Köln (Urt. v. 17.9.2026 – 33 O 120/24) entschied nun, dass eine Verarbeitung sensibler Daten beim Einsatz eines KI-Chatbots ohne ausdrückliche Einwilligung unzulässig sei, auch wenn diese Daten dem Verantwortlichen vom Nutzer selbst und ohne gezielte Nachfrage mitgeteilt werden. Zudem stellte das Gericht noch einmal klar, dass voreingestellte Checkboxen keine datenschutzrechtliche Einwilligung darstellen.

Der Bundesverband der Verbraucherzentralen (vzbv) nahm die Snap Group Limited, eine Tochtergesellschaft der US-amerikanischen Snap Inc. und Vertragspartnerin der deutschen Snapchat-Nutzer, auf Unterlassung in Anspruch. Im Mittelpunkt des Verfahrens stand der KI-Chatbot „My AI“, über den Nutzer mit einer künstlichen Intelligenz kommunizieren können. Snapchat wies die Nutzer vor der ersten Verwendung darauf hin, dass die im Chat eingegebenen Informationen unter anderem zur Personalisierung von Werbung verwendet werden können.

Daneben beanstandete der Kläger die voreingestellten Häkchen bei den Anzeigenpräferenzen sowie die Vorauswahl der Themen „Alkohol" und „Glücksspiel" im Nutzerkonto Minderjähriger.

Das LG Köln gab der Klage in vollem Umfang statt und verurteilte die Beklagte zur Unterlassung sowie zur Zahlung der Abmahnkosten. Der beanstandete Chatbot verarbeite personenbezogene, teils sensible Daten ohne die nach Art. 9 Abs. 2 DSGVO erforderliche ausdrückliche Einwilligung. Daneben stellten die voreingestellten Checkboxen bei den Anzeigenpräferenzen keine wirksame datenschutzrechtliche Einwilligung dar. Die Vorauswahl der Themen „Alkohol" und „Glücksspiel" im Nutzerkonto Minderjähriger verstoße zudem gegen Jugendmedienschutz- und Glücksspielrecht. Der vzbv hat die Entscheidung veröffentlicht.

Sensible Daten nach Art. 9 DSGVO

Das LG Köln entschied, dass der Einsatz des Chatbots gegen Art. 5 Abs. 1 lit. a DSGVO verstoße. Danach müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

Bevor das Gericht auf den konkreten Chatbot einging, stellte es die maßgeblichen Grundsätze zu Art. 9 DSGVO voran. Danach ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung genetischer Daten, biometrischer Daten zur eindeutigen Identifizierung, von Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung grundsätzlich untersagt und nur ausnahmsweise zulässig, wenn einer der in Art. 9 Abs. 2 lit. a–j DSGVO genannten Erlaubnistatbestände erfüllt ist.

Zudem entfalte Art. 9 DSGVO gegenüber Art. 6 DSGVO Sperrwirkung. Sobald Daten einer sensiblen Kategorie zuzuordnen sind, muss die gesamte Verarbeitung an Art. 9 DSGVO gemessen werden und ein Ausweichen auf Art. 6 DSGVO scheidet aus. 

Es liegt ein Verstoß gegen Art. 5 Abs. 1 lit. a) DSGVO vor. Nach dieser Norm müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

Gemäß Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung („Sensible Daten“) einer natürlichen Person untersagt.

Die Erfassung dieser Daten ist nur ausnahmsweise zulässig, wenn eine der in Art. 9 Abs. 2 lit. a) bis j) genannten Bedingungen erfüllt ist. Art. 9 entfaltet als lex specialis Sperrwirkung gegenüber Art. 6 Abs. 1 dergestalt, dass sich ein Rückgriff auf die allgemeinen Rechtmäßigkeitstatbestände verbietet, wenn die Ausnahmeregelungen in Art. 9 Abs. 2 und 3 nicht einschlägig sind (BeckOK DatenschutzR/Albers/Veit, 56. Ed. 1.2.2026, DS-GVO Art. 9 Rn. 11, beck-online). Dies gilt auch, wenn sowohl sensible als auch nicht sensible Daten erfasst werden (EuGH GRUR 2023, 1131 Rn. 89).

KI-Chatbot eröffnet die Verarbeitung sensibler Daten

Auf dieser Grundlage sah das Gericht den Anwendungsbereich des Art. 9 DSGVO eröffnet, weil der Chatbot Nutzer geradezu ermuntere, persönliche – auch sensible – Informationen preiszugeben. Zwar werde auf einer Unterseite des „Privacy and Safety Hub" davon abgeraten, vertrauliche oder sensible Informationen weiterzugeben – dies sei jedoch nur ein unverbindlicher Ratschlag und kein Verbot, den zudem ein Großteil der Nutzer nicht zur Kenntnis nehmen werde. Besonders ins Gewicht fiel zudem, dass sich der Dienst auch an Minderjährige ab 13 Jahren richtet.

Bei der Funktionsweise des KI-Chatbots der Beklagten ist Art. 9 DSGVO einschlägig.

Die Übermittlung von sensiblen Daten an den Chatbot der Beklagten ist nicht nur faktisch möglich, sondern der Nutzer wird bei der ersten Nutzung durch den Hinweis „Du kannst mir alle möglichen Fragen stellen…“ sogar dazu ermuntert, den Chatbot mit persönlichen Informationen zu füttern.

Zwar mag der Nutzer auf der Seite „Produktbezogener Datenschutz“ darauf hingewiesen werden, keine vertraulichen oder sensiblen Informationen weiterzugeben, wie die Beklagte vortragen lässt. Es handelt sich dabei indes nur um einen unverbindlichen Ratschlag und nicht um ein Verbot. Überdies ist davon auszugehen, dass ein Großteil der Nutzer die entsprechende Unterseite in dem „Privacy and Safety Hub“ nicht zur Kenntnis nehmen wird.

Darüber hinaus ist zu berücksichtigen, dass sich der Dienst der Beklagten auch an minderjährige Nutzer (ab 13 Jahren) richtet. Diese Nutzer sind bekanntermaßen für die Gefahren der Weitergabe von sensiblen Daten noch nicht in gleichem Maße sensibilisiert wie Erwachsene, so dass es bei dieser Personengruppe umso näher liegt, dass diese (auch) sensible Daten mit dem KI-Chatbot teilen.

Eingegebene Daten werden auch tatsächlich verarbeitet

Nicht nur die Erhebung, sondern auch die anschließende Verarbeitung der über den Chatbot preisgegebenen Daten bejahte das Gericht. Dass die Beklagte die erhobenen Daten nach eigenem Vortrag nur zu „kontextbezogener" statt personalisierter Werbung nutze, überzeugte die Kammer nicht, da sich die Beklagte in ihren Servicebestimmungen ausdrücklich das Recht zur Nutzung für personalisierte Werbung einräumen lasse und dies auch in der Datenschutzerklärung so dargestellt werde.

Entsprechende sensible Daten, die von den Nutzer mit dem KI-Chatbot geteilt werden, werden seitens der Beklagten (und seitens Snap Inc.) auch verarbeitet. Soweit die Beklagte meint, sie nutze die erhobenen Daten nicht für personenbezogene, sondern nur für kontextbezogene Werbung, so verfängt dies nicht. Denn jedenfalls lässt die Beklagte sich in ihren Servicebestimmungen das Recht einräumen, die gesammelten Informationen für Zwecke personalisierter Werbung zu nutzen (Anlage K18, Seite 4). Zudem wird in der Datenschutzerklärung der Beklagten bzw. der Snap Inc. erläutert, dass die erhobenen Daten u.a. für die Personalisierung von Werbung genutzt werden (können). Hinzu kommt, dass die Beklagte bei der Darstellung des Ablaufs einer Nutzeranfrage selbst einräumt (S. 28 der Klageerwiderung, Bl. 216), dass u.a. „die in die Chatoberfläche mit My AI eingegebene Textanfrage eines Nutzers, jedoch unter Ausschluss aller Bilder“ als Daten verwendet werden, um zu entscheiden, ob und welche Werbung einem Nutzer in My AI angezeigt wird. Folglich werden die Informationen, die der Nutzer eingibt, durch sie verarbeitet. Darunter können – wie oben dargestellt - ohne weiteres auch personenbezogene Daten sein und selbstredend auch sensible personenbezogene Daten.

Auch den Versuch der Beklagten, die Datenerhebung als bloß „aufgedrängt" und damit nicht zurechenbar darzustellen, wertete das Gericht als – ungewolltes – Eingeständnis der Verarbeitung sensibler Daten:

Die Beklagte räumt die Verarbeitung sensibler personenbezogener Daten weiterhin auch dadurch indirekt selbst ein, indem sie vortragen lässt, derartige Daten würden „nicht absichtlich“ erhoben, sondern seien „aufgedrängt“: Soweit die Beklagte hierzu die Ansicht vertritt, eine Erhebung und Verarbeitung besonderer Kategorien personenbezogener Daten liege nicht vor, wenn der Verantwortliche nicht die Absicht habe, aus den Daten speziell sensible Informationen abzuleiten, so findet dies weder eine Stütze im Wortlaut von Art. 9 DSGVO noch in der Rechtsprechung des EuGH. Vielmehr geht letzterer davon aus, dass das Verbot gemäß Art. 9 Abs. 1 DSGVO unabhängig davon gilt, ob der Verantwortliche mit dem Ziel handelt, Informationen zu erhalten, die unter eine der in dieser Bestimmung genannten besonderen Kategorien fallen (EuGH GRUR 2023, 1131 Rn. 69, beck-online).

Ergänzend verwies das Gericht auf vom Kläger dokumentierte Musteranfragen (vermeintlich) minderjähriger Nutzer, die belegten, dass tatsächlich auch sensible personenbezogene Daten verarbeitet würden.

Datenerhebung war nicht gerechtfertigt

Da die Beklagte nicht vorgetragen habe, eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO eingeholt zu haben, und auch die übrigen Ausnahmetatbestände nicht einschlägig seien, sei die Datenerhebung rechtswidrig. Dem Einwand der Beklagten, eine Erhebung sensibler Daten liege nicht vor, wenn keine Absicht bestehe, gerade solche Informationen abzuleiten, folgte das Gericht nicht.

Die Erhebung dieser Daten erfolgt nicht rechtmäßig. Denn ein Rechtfertigungstatbestand nach Art. 9 Abs. 2 DSGVO ist nicht gegeben.

Die Beklagte trägt schon nicht vor, eine ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 a) eingeholt zu haben. Eine derartige Einwilligung ist auch sonst nicht ersichtlich. Auch die weiteren in Art. 9 Abs. 2 genannten Gründe sind nicht einschlägig.

Da Art. 9 als lex specialis Sperrwirkung gegenüber Art. 6 Abs. 1 entfaltet (s.o.) erübrigt sich eine Prüfung der Voraussetzungen des Art. 6 DSGVO. Die Datenerhebung bzw. -verarbeitung ist damit rechtswidrig.

Rechtfertigung nach Art. 6 DSGVO scheidet aus

In Anwendung der Sperrwirkung von Art. 9 DSGVO gegenüber Art. 6 Abs. 1 DSGVO erübrige sich damit grundsätzlich eine Prüfung des Art. 6 DSGVO. Hilfsweise prüfte das Gericht diesen dennoch. Es liege weder eine Einwilligung noch ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO vor, da die Beklagte den Nutzern die hierfür erforderlichen Informationen nicht zum Zeitpunkt der Datenerhebung mitteile.

Selbst wenn - entgegen der obigen Ausführungen - die Datenerhebung nicht nach Art. 9 DSGVO unzulässig wäre, so würde die Datenerhebung gleichwohl rechtswidrig bleiben. Denn auch eine rechtmäßige Verarbeitung nach Art. 6 DSGVO liegt nicht vor.

Auf eine Einwilligung beruft die Beklagte sich schon nicht. Im Übrigen stellt auch der Hinweistext bei der Erstnutzung des KI-Chatbots (JIT-Hinweis), der seitens der Nutzer mit „ok“ bestätigt werden muss, keine wirksame Einwilligung dar, wobei auf die Ausführungen der LDI NRW in ihrer Stellungnahme vom 14.01.2026 verwiesen werden kann (dort S. 2.).

Auch auf ein berechtigtes Interesse (Art. 6 Abs. 1 f) DSGVO) kann die Beklagte sich nicht berufen. Wie der Kläger zutreffend ausführt, ist Voraussetzung für das Greifen der Norm, dass die berechtigten Interessen dem Nutzer zum Zeitpunkt der Erhebung der Daten unmittelbar mitzuteilen sind (EuGH Urt. v. 9.1.2025 – C-394/23, GRUR-RS 2025, 29 Rn. 52, beck-online). Daran fehlt es hier ebenso wie an einer Information über die Rechtsgrundlage der Verarbeitung.

Angesichts dieser Tatsachen kann dahin stehen, ob eine Interessenabwägung zugunsten der Beklagten ausfallen würde. Rein vorsorglich sei mitgeteilt, dass die Kammer dies aus den in der Stellungnahme der LDI NRW genannten Gründen bezweifelt, insbesondere da sich das Angebot der Beklagten auch und vor allem an Kinder und Minderjährige richtet.

Voreingestellte Werbeeinwilligungen ebenfalls unzulässig

Daneben bestätigte das Gericht zwei weitere Verstöße. Die bereits angehakten Checkboxen bei den Anzeigenpräferenzen stellten – in Fortführung der „Cookie-Einwilligung II"-Rechtsprechung des BGH – keine wirksame Einwilligung dar; der Einwand, sie dienten der Ausübung des Widerspruchsrechts nach Art. 21 DSGVO, überzeuge nicht, da dieses Recht als reaktives Recht eine bereits laufende, auf berechtigte Interessen gestützte Verarbeitung voraussetze.

Dem Kläger steht gegen die Beklagte ferner ein Unterlassungsanspruch im Umfang des Tenors gemäß Ziff. 1 b) gemäß § 2 Abs. 1, Abs. 2 Nr. 13 UKlaG i. V. m. Art. 5 Abs. 1 lit. a) DSGVO, Art. 6 Abs. 1 Satz 1 lit. a) DSGVO zu. […]

Gemäß Art. 5 Abs. 1 lit. a) DSGVO müssen personenbezogene Daten auf rechtmäßige Weise verarbeitet werden. Art. 6 Abs. 1 Satz 1 lit. a) DSGVO sieht eine Einwilligung als mögliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten an. Eine wirksame Einwilligung nach den Grundsätzen der DSGVO liegt indes bei der von der Beklagten gewählten Gestaltung in den Anzeigenpräferenzen nicht vor, weil die entsprechenden Haken bereits gesetzt bzw. vorangekreuzt sind. Dies hat der BGH ausdrücklich klargestellt (BGH NJW 2020, 2540 - Cookie-Einwilligung II). Grund hierfür ist, dass die DSGVO davon ausgeht, dass die Einwilligung stets durch eine aktive Handlung oder Erklärung erteilt werden muss.

Folglich ist die von der Beklagten gewählte Praxis unzulässig.

Soweit die Beklagte einwendet, die Haken dienten gar nicht der Einholung einer Einwilligung, sondern zur Ausübung des Widerspruchsrechts nach Art. 21 DSGVO, so überzeugt dies aus systematischen Gründen nicht. Wie die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit in ihrer Stellungnahme vom 08.09.2025 zu Recht ausführt, ist das Widerspruchsrecht nach Art. 21 DSGVO ein reaktives Recht: Es setzt voraus, dass zunächst eine rechtmäßige Datenverarbeitung auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) stattfindet, gegen die der Betroffene nachträglich Widerspruch einlegen kann. Voreingestellte Checkboxen kehren diese Logik um und suggerieren eine präventive Zustimmung vor Beginn der Datenverarbeitung. Dies widerspricht der systematischen Stellung des Widerspruchsrechts in der DSGVO.

Im Übrigen wäre Voraussetzung dafür, dass die Nutzer über einen Widerspruch rechtswirksam entscheiden könnten, eine vorherige Information über die Rechtsgrundlage der Datenerhebung und die Nennung der konkreten berechtigten Interessen, und zwar unmittelbar zum Zeitpunkt der Datenerhebung (EuGH C-394/23, Rn. 52). Diese Information wird indes seitens der Beklagten nicht gegeben, weshalb sich die Beklagte nicht mit Erfolg auf Art. 6 Abs. 1 lit. f DSGVO berufen kann. Folglich kann es sich bei den vorangekreuzten Checkboxen auch nicht um die Einräumung einer Widerspruchsmöglichkeit nach Art. 21 DSGVO handeln.

Zudem verstoße die Vorauswahl der Themen „Alkohol" und „Glücksspiel" im Nutzerkonto Minderjähriger gegen § 6 Abs. 5 JMStV bzw. § 6 Abs. 3 JMStV i.V.m. § 5 Abs. 2 Satz 4 und 5 GlüStV 2021. Unabhängig davon, ob tatsächlich entsprechende Werbung ausgespielt werde, begründe schon das Berühmen einer entsprechenden Befugnis eine Erstbegehungsgefahr.

Fazit

Das Urteil des LG Köln macht deutlich, dass Anbieter KI-gestützter Chat-Funktionen nicht davon ausgehen können, mit einem einmaligen Hinweis-Popup die datenschutzrechtlichen Anforderungen an die Verarbeitung sensibler personenbezogener Daten zu erfüllen. Wo Nutzer erkennbar zur Preisgabe persönlicher Informationen ermuntert werden und Nutzereingaben nachweislich zur Steuerung von Werbung ausgewertet werden, bedarf die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 2 DSGVO einer ausdrücklichen Einwilligung; ein bloßer, unverbindlicher Warnhinweis genügt nicht, und die fehlende Absicht, gerade sensible Daten zu erheben, entlastet den Verantwortlichen nicht. Da Art. 9 DSGVO als lex specialis Sperrwirkung gegenüber Art. 6 DSGVO entfaltet, hilft Verantwortlichen auch der Rückzug auf ein berechtigtes Interesse nicht weiter, sensible Daten betroffen sind. Zugleich bestätigt die Entscheidung die gefestigte Linie, dass voreingestellte Checkboxen keine wirksame Einwilligung begründen können.

Für unsere Kunden

Als Kunde unserer Legal Produkte finden Sie in Ihrem Legal Account umfangreiche Whitepaper und Musterbeispiele, selbstverständlich auch zum Einsatz von KI und KI-Chatbots und zur datenschutzkonformen Gestaltung von Einwilligungen.