Ein Chatbot erhebt sensible Daten, auch wenn niemand danach fragt. Jetzt steht das in einem Urteil.
Das Landgericht Köln hat Snap untersagt, Eingaben in den Chatbot My AI für Werbung zu nutzen: Wer Menschen frei schreiben lässt, verarbeitet Gesundheits- und Religionsdaten, ob er will oder nicht. Was die Begründung für jedes Chatfenster auf einer Firmenwebsite bedeutet und welche Fragen Sie jetzt klären sollten.
Für Geschäftsführung und KI-Verantwortliche · Veröffentlicht: 22. Oktober 2026 um 14:21
Druckansicht öffnen (PDF)Hinweis zur KI-NutzungDieser Deep Dive wurde mit KI-Unterstützung recherchiert und verfasst. Jede Kernaussage ist an einer selbst abgerufenen Quelle geprüft, und am Ende steht, was nicht belegt werden konnte. Er ist eine Einordnung und keine Rechtsberatung. Redaktionell verantwortlich: Ingo Günther, KI Academy Leipzig.
Was passiert ist. Am 17. September 2026 hat die 33. Zivilkammer des Landgerichts Köln (Aktenzeichen 33 O 120/24) einer Klage des Verbraucherzentrale Bundesverbands gegen die Snap Group Limited in vollem Umfang stattgegeben. Snap darf Eingaben in den Chatbot My AI nicht mehr ohne Rechtsgrundlage für Werbung verarbeiten, keine Einwilligung über vorangekreuzte Kästchen einholen und bei Minderjährigen die Werbethemen Alkohol und Glücksspiel nicht vorauswählen. Bei Verstößen droht ein Ordnungsgeld bis 250.000 Euro je Fall. Das Urteil ist nicht rechtskräftig, aber vorläufig vollstreckbar; der Verband hat den Volltext am 15. Oktober 2026 veröffentlicht.
Warum das für Sie zählt. Der Urteilsspruch trifft nur Snap. Die Begründung trifft jedes Eingabefeld, in das Menschen frei schreiben können. Das Gericht sagt: Ob ein Anbieter sensible Daten erheben will, ist unerheblich. Entscheidend ist, dass sie ankommen und verarbeitet werden. Ein Hinweis beim ersten Start ist keine Einwilligung, ein Rat, nichts Vertrauliches einzugeben, ist kein Verbot, und ein vorangekreuztes Kästchen ist gar nichts. Wer einen Chatbot auf der Website, im Kundenportal oder im Messenger betreibt und die Eingaben für mehr als die Antwort verwendet, braucht ab heute eine Antwort auf zwei Fragen: Wofür genau, und worauf gestützt.
Was das Gericht entschieden hat
| Streitpunkt | Was Snap vortrug | Was das Gericht sagt | Grundlage |
|---|---|---|---|
| Chateingaben für Werbung Der Hinweis vor der ersten Nutzung sagt, Angaben könnten das Erlebnis „personalisieren, unter anderem Anzeigen“ | Sensible Daten würden nicht absichtlich erhoben, sondern seien „aufgedrängt“. Die Werbung sei nur kontextbezogen. | Art. 9 DSGVO gilt unabhängig von der Absicht des Anbieters, so schon der Europäische Gerichtshof. Der Hinweis, man könne dem Bot „alle möglichen Fragen stellen“, ermuntert sogar zur Eingabe. Snap räumt selbst ein, dass die Texteingabe mitentscheidet, welche Werbung erscheint. Eine ausdrückliche Einwilligung fehlt. | Art. 5 Abs. 1 a, Art. 9 Abs. 1 und Abs. 2 a DSGVO |
| Hinweis mit „Okay“-Knopf | Es gehe um berechtigte Interessen, nicht um Einwilligung. | Der bestätigte Hinweis ist keine Einwilligung. Berechtigte Interessen tragen nur, wenn sie bei der Erhebung mitgeteilt werden. Das fehlt. | Art. 6 Abs. 1 a und f DSGVO, EuGH C-394/23 |
| Drei vorangekreuzte Häkchen in den Anzeigenpräferenzen: Zielgruppen, Aktivitäten außerhalb der App, Drittanbieter-Netzwerke | Die Häkchen seien keine Einwilligung, sondern eine Möglichkeit, das Widerspruchsrecht auszuüben. | Vorangekreuzt ist keine Einwilligung (Bundesgerichtshof 2020). Ein Widerspruch setzt eine vorher rechtmäßige Verarbeitung voraus; voreingestellte Kästchen kehren das um. | Art. 6 Abs. 1 a, Art. 21 DSGVO, BGH I ZR 7/16 |
| Alkohol und Glücksspiel bei Minderjährigen vorausgewählt mit dem Hinweis, nach dem Abwählen gebe es „weniger“ solcher Anzeigen | Interne Werberichtlinien schlössen solche Werbung für unter 18-Jährige aus. | Unerheblich. Durch die Gestaltung beansprucht Snap das Recht, diese Werbung zu zeigen. Das reicht für ein Verbot. | § 6 Abs. 5 und Abs. 3 JMStV, § 5 Abs. 2 Satz 4 und 5 GlüStV 2021 |
| Wer haftet | Nur die US-Muttergesellschaft verarbeite Daten, die Londoner Tochter sei die falsche Beklagte. | Die Tochter lässt sich in ihren eigenen Servicebestimmungen das Recht auf personalisierte Werbung einräumen. Sie ist mindestens Mitverantwortliche. | Art. 4 Nr. 7, Art. 26 DSGVO |
Die Vorgeschichte ist lang: Abmahnung im Oktober 2023, Klage im März 2024, mündliche Verhandlung im Juli 2026. Snap kann Berufung zum Oberlandesgericht Köln einlegen.
Welche Fragen stellt das Gericht an ein Chatfenster?
Die Begründung lässt sich als Prüfkette lesen, die für jeden Chatbot funktioniert, nicht nur für Snapchat. Die Beispiele sind unsere, nicht die des Gerichts.
Bei freiem Text: alles. Gesundheit, Religion, Gewerkschaft, sexuelle Orientierung. Ein Rat, nichts Vertrauliches einzugeben, ist nach dem Urteil ein unverbindlicher Hinweis, kein Verbot, und ändert nichts daran, dass die Daten ankommen.
Beispiel: Eine Kundin fragt den Service-Bot nach einer schnelleren Lieferung, „weil ich nächste Woche zur Chemo muss“.
Nur die Antwort erzeugen? Oder auch speichern, auswerten, Werbung oder Inhalte personalisieren, dem Modellanbieter zum Training überlassen, an Dritte weitergeben? Jeder dieser Zwecke ist ein eigener Verarbeitungsschritt.
Bei Snap entschied die Texteingabe mit darüber, welche Werbung im Chat erschien. Das war der Punkt, an dem es rechtswidrig wurde.
Für sensible Daten zählen nur die Ausnahmen des Art. 9 Abs. 2 DSGVO, im Betrieb praktisch nur die ausdrückliche Einwilligung. Vertrag und berechtigtes Interesse sind dann gesperrt. Und selbst ein berechtigtes Interesse trägt nur, wenn es am Ort der Erhebung benannt wird.
Ein „Okay“ unter einem Hinweistext ist keine Einwilligung. Ein vorangekreuztes Kästchen auch nicht.
Alles, was über die Antwort hinausgeht, steht standardmäßig aus. Wer einen Schalter vorausgewählt anbietet, holt keine Einwilligung ein, sondern beansprucht ein Recht, das er nicht hat.
Der Satz „Deaktivieren, um weniger Anzeigen zu sehen“ verrät, dass die Verarbeitung schon lief, bevor jemand gefragt wurde.
Lesart: von oben nach unten. Wer bei Frage 2 ehrlich „nur die Antwort“ sagen kann, hat bei Frage 3 die leichteste Aufgabe. Jeder zusätzliche Zweck in Frage 2 braucht eine eigene Antwort in Frage 3 und einen eigenen, ausgeschalteten Schalter in Frage 4.
Nicht was Sie abfragen, entscheidet über Art. 9 DSGVO, sondern was bei Ihnen ankommt.
Einordnung: Was über Snapchat hinaus trägt
1. Gilt das für den Chatbot auf unserer Website?
Rechtlich bindet das Urteil nur Snap und nur für die drei angegriffenen Gestaltungen. Die Begründung stützt sich aber nicht auf Besonderheiten von Snapchat, sondern auf zwei Entscheidungen des Europäischen Gerichtshofs und eine des Bundesgerichtshofs: Das Verbot des Art. 9 gilt unabhängig von der Absicht des Verantwortlichen (Rechtssache C-252/21, Meta gegen Bundeskartellamt, 2023), ein berechtigtes Interesse muss bei der Erhebung mitgeteilt werden (Rechtssache C-394/23, Mousse, 2025), vorangekreuzte Kästchen sind keine Einwilligung (BGH, Cookie-Einwilligung II, 2020). Zwei Kanzleien halten die Begründung deshalb für übertragbar auf Kundenservice-, Beratungs- und Terminassistenten. Folge für Sie: Die Prüfung lohnt für jeden Bot, dessen Eingaben über die Antwort hinaus verwendet werden.
2. Wir schalten keine Werbung. Betrifft uns das trotzdem?
Der Urteilsspruch betrifft nur die Werbenutzung. Ob dasselbe für Produktverbesserung, Training des Modells oder die Weitergabe an den Modellanbieter gilt, hat kein Gericht entschieden; eine der Kanzleien nennt das ausdrücklich als offene Frage. Die Prüfkette gilt aber unabhängig vom Zweck. Die Datenschutzkonferenz, der Zusammenschluss der deutschen Aufsichtsbehörden, sagt in ihrer Orientierungshilfe zu KI und Datenschutz vom Mai 2024: Jeder Verarbeitungsschritt braucht eine Rechtsgrundlage; bei besonderen Kategorien sind Eingabe, Verarbeitung und Ausgabe getrennt zu prüfen; Konten sind so voreinzustellen, dass Eingaben nicht zum Training verwendet und nicht über die Sitzung hinaus gespeichert werden. Folge für Sie: Wer die Eingaben nur zur Antwort nutzt und danach löscht, hat die einfachste Position. Jeder weitere Zweck will begründet sein.
Die Stolperfallen
Die dritte Falle ist die teuerste, weil sie so bequem ist: ein Schalter, der schon an ist.
Was das für Ihren Betrieb heißt
- Alle Chatfenster auflisten und je Fenster zwei Fragen beantwortenDiese Woche
Zuständig: wer den Bot beauftragt hat, zusammen mit der oder dem Datenschutzbeauftragten. Gemeint sind Website-Bot, Kundenportal, Messenger-Bot und interne Assistenten. Je Fenster: Was geschieht mit den Eingaben außer der Antwort (Speichern, Auswerten, Training beim Anbieter, Weitergabe)? Worauf stützt sich jeder Zweck? Erledigt, wenn eine Tabelle mit Zweck und Rechtsgrundlage je Fenster vorliegt.
- Zwecke streichen, die Sie nicht brauchen
Die einfachste rechtssichere Position: Eingaben dienen nur der Antwort, werden nach der Sitzung gelöscht, und das Training beim Anbieter ist abgeschaltet. Erkennungsmerkmal: Der Auftragsverarbeitungsvertrag mit dem Anbieter nennt den Trainingsausschluss und eine Löschfrist, und die Einstellung im Konto stimmt damit überein.
- Für jeden verbleibenden Zweck eine echte Einwilligung bauen
Aktiv, Kästchen leer, vor der ersten Eingabe, getrennt vom Nutzungshinweis, mit benanntem Zweck. Wo sensible Angaben wahrscheinlich sind, ausdrücklich. Erkennungsmerkmal: Der Bot lässt sich nutzen, ohne dass jemand einwilligt; wer nicht einwilligt, bekommt trotzdem eine Antwort.
- Den Datenschutzhinweis an das Chatfenster holen
Rechtsgrundlage und, falls genutzt, das berechtigte Interesse gehören an den Ort der Erhebung, nicht nur in die allgemeine Datenschutzerklärung. Erkennungsmerkmal: Eine Person, die den Bot zum ersten Mal öffnet, sieht vor der ersten Eingabe, wofür ihre Eingabe verwendet wird.
- Voreinstellungen und Minderjährige prüfen
Jeder Schalter für Personalisierung, Werbung oder Weitergabe steht standardmäßig aus. Richtet sich ein Angebot auch an unter 18-Jährige, etwa Azubi-Bewerbung, Verein oder Nachhilfe, gilt zusätzlich: keine Vorauswahl von Werbethemen und keine Werbung für Alkohol oder Glücksspiel, auch nicht „weniger“. Erkennungsmerkmal: Ein neues Konto zeigt in allen Einstellungen leere Kästchen.
Zum Abhaken
- Liste aller Chatfenster mit Zweck und Rechtsgrundlage je Fenster liegt vor
- Eingaben werden nur zur Antwort genutzt oder jeder weitere Zweck ist begründet
- Trainingsausschluss und Löschfrist stehen im Vertrag mit dem Anbieter und in den Kontoeinstellungen
- Einwilligungen sind aktiv, leer voreingestellt und vom Nutzungshinweis getrennt
- Rechtsgrundlage und berechtigtes Interesse stehen direkt am Chatfenster
- Alle Schalter für Personalisierung, Werbung und Weitergabe sind standardmäßig aus
- Angebote für Minderjährige: keine vorausgewählten Werbethemen, keine Alkohol- oder Glücksspielwerbung
Erst festlegen, was mit einer Eingabe geschieht, dann das Chatfenster öffnen. Was Sie nicht brauchen, verarbeiten Sie nicht.
Quellen
- Landgericht Köln: Urteil vom 17.09.2026, Az. 33 O 120/24, veröffentlicht vom vzbv am 15.10.2026; vzbv-Mitteilung; Eintrag im Verbandsklageregister der VerbraucherzentralePrimärquelle. Volltext mit Tenor, Tatbestand, Entscheidungsgründen und drei Anlagen. Belegt, was das Gericht entschieden und wie es begründet hat, nicht, ob das in der Berufung hält. Die Mitteilung des klagenden Verbands ist Partei und trägt dessen Forderungen, nicht die Rechtslage.Urteil (PDF) · vzbv · Verbandsklageregister
- Gerichtshof der Europäischen Union: Pressemitteilung 113/23 zu C-252/21 (Meta Platforms, 04.07.2023) und Pressemitteilung 2/25 zu C-394/23 (Mousse, 09.01.2025)Höchstrichterliche Rechtsprechung, auf die sich das Landgericht stützt: Verbot sensibler Daten unabhängig von der Absicht; berechtigtes Interesse nur, wenn es bei der Erhebung mitgeteilt wird. Pressemitteilungen, die Randnummern stehen nur im Volltext.C-252/21 · C-394/23
- Bundesgerichtshof: Pressemitteilung 067/2020 zum Urteil I ZR 7/16 „Cookie-Einwilligung II“, 28.05.2020Höchstrichterliche Entscheidung: Ein voreingestelltes, vom Nutzer abzuwählendes Ankreuzkästchen ist keine wirksame Einwilligung. Gefestigt, seit sechs Jahren bekannt, vom Landgericht übernommen.bundesgerichtshof.de
- Gesetzestexte: Art. 9 DSGVO (besondere Kategorien personenbezogener Daten); § 6 JMStV (Jugendschutz in der Werbung), Fassung ab 01.12.2025Die Rechtslage im Wortlaut. Belegt das Verbot und seine Ausnahmen, nicht die Anwendung im Einzelfall.Art. 9 DSGVO · § 6 JMStV
- Datenschutzkonferenz: Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, Version 1.0, 06.05.2024Praxispapier der deutschen Aufsichtsbehörden, Randnummern 9, 43 und 62. Begründete Verwaltungsauffassung zu Rechtsgrundlage je Verarbeitungsschritt, Voreinstellungen und sensiblen Daten. Kein verbindliches Recht, aber der Maßstab, den eine Aufsicht anlegen wird.datenschutzkonferenz-online.de
- beck-aktuell, 15.10.2026; KPW Rechtsanwälte (Clemens Pfitzer), 08.10.2026; Datenschutzticker (Kinast), 14.10.2026Fachpresse und zwei Kanzleikommentare. Geben die Begründung übereinstimmend wieder und halten sie für übertragbar auf Firmen-Chatbots; KPW benennt die offenen Fragen. Begründete Einschätzung, kein Recht.beck-aktuell · KPW · Datenschutzticker
- Snap: Hilfeseite „Staying Safe with My AI“, abgerufen 16.10.2026Anbieterangabe. Belegt, dass Snap die Nutzung der Eingaben zur Personalisierung „einschließlich Werbung“ weiterhin so beschreibt und dass My AI auf GPT-Modellen von OpenAI und Gemini-Modellen von Google aufsetzt. Belegt nicht, was Snap seit dem Urteil geändert hat.help.snapchat.com