Das Urteil betrifft jedes Unternehmen, das einen Chatbot in App, Onlineshop oder Kundenservice einsetzt und die Chats für Personalisierung oder Werbung auswerten möchte.
Wer mit einem KI-Chatbot schreibt, erzählt oft mehr als in einem Suchfeld: von Sorgen, Krankheiten, Glaubensfragen oder Beziehungen. Genau diese Offenheit wollte Snapchat auch für Anzeigen nutzen. Vor der ersten Nutzung von „My AI“ erschien ein Hinweis, der Chatbot könne die angegebenen Informationen verwenden, um „dein Nutzererlebnis zu personalisieren, unter anderem Anzeigen“. Bestätigt wurde mit „OK“. Snapchat richtet sich an Nutzer ab 13 Jahren.
Der Verbraucherzentrale Bundesverband (vzbv) hat dagegen geklagt und vor dem Landgericht Köln in vollem Umfang gewonnen (LG Köln, Urteil vom 17. September 2026, Az. 33 O 120/24). Der vzbv hat das Urteil am 15. Oktober 2026 veröffentlicht. Es ist nicht rechtskräftig.
Die Kernpunkte der Entscheidung:
- Sensible Daten: Art. 9 DSGVO greift, sobald sensible Daten tatsächlich in den Chat gelangen und verarbeitet werden. Auf die Absicht des Anbieters kommt es nicht an.
- Ein „OK“ ist keine Einwilligung: Der Hinweis vor der ersten Nutzung ersetzt keine Rechtsgrundlage, auch ein berechtigtes Interesse scheidet aus.
- Keine vorangekreuzten Kästchen: Voreingestellte Häkchen in den Anzeigenpräferenzen sind weder eine Einwilligung noch ein „Widerspruchsrecht“.
- Jugendschutz: Alkohol und Glücksspiel dürfen in Konten Minderjähriger nicht als Anzeigenthemen vorausgewählt sein.
- Die Tochtergesellschaft haftet: Die in London ansässige Snap Group Limited ist zumindest gemeinsam Verantwortliche, auch wenn sie die Datenverarbeitung ihrer US-Muttergesellschaft zuschreibt.
Worum ging es im Verfahren gegen Snapchat?
Um drei Gestaltungen in der Snapchat-App. Der vzbv hatte die Snap Group Limited, die Snapchat in Deutschland anbietet und Vertragspartnerin der deutschen Nutzer ist, am 24. Oktober 2023 abgemahnt und anschließend auf Unterlassung verklagt.
Der erste Punkt betraf den Hinweis vor der ersten Nutzung von „My AI“, einem auf ChatGPT basierenden Chatbot. Dort hieß es unter anderem, „My AI“ könne von Nutzern angegebene Informationen verwenden, um die Produkte von Snap Inc. zu verbessern und das Nutzererlebnis zu personalisieren, „unter anderem Anzeigen“. Der zweite Punkt betraf die Anzeigenpräferenzen: Die Optionen „Zielgruppenspezifisch“, „Auf der Grundlage anderer Aktivitäten“ und „Drittanbieter-Werbenetzwerke“ waren bereits angekreuzt. Der dritte Punkt betraf die Rubrik „Interessen und Lifestyle“. Dort waren die Anzeigenthemen „Politik“, „Alkohol“ und „Glücksspiel“ vorausgewählt, auch in Konten minderjähriger Nutzer. Darüber stand: „Du kannst diese Einstellungen deaktivieren, um weniger Anzeigen zu diesen Themen zu sehen.“
Snap hielt dagegen: Verantwortlich sei allein die US-Muttergesellschaft. Sensible Daten würden nicht verarbeitet, die Werbung sei nur kontextbezogen, und wer dem Chatbot gegen den Rat des Anbieters sensible Daten anvertraue, betreibe eine „aufgedrängte Erhebung“. Die vorangekreuzten Kästchen dienten der Ausübung des Widerspruchsrechts, und Minderjährigen werde nach internen Richtlinien keine Alkohol- oder Glücksspielwerbung angezeigt. Die Bundesbeauftragte für den Datenschutz (BfDI) und die Landesbeauftragte für Datenschutz NRW haben in dem Verfahren Stellungnahmen abgegeben. Das Gericht ist ihnen weitgehend gefolgt.
Warum gilt für Chat-Eingaben das strenge Regime des Art. 9 DSGVO?
Weil sensible Daten im Chat tatsächlich anfallen und verarbeitet werden. Art. 9 Abs. 1 DSGVO verbietet grundsätzlich die Verarbeitung von Daten über Gesundheit, Religion, politische Meinungen, sexuelle Orientierung und weitere besondere Kategorien. Erlaubt ist sie nur ausnahmsweise, praktisch meist nur mit ausdrücklicher Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Das Gericht hält es für naheliegend, dass Nutzer einem Chatbot solche Daten anvertrauen. Der Chatbot ermuntere mit dem Satz „Du kannst mir alle möglichen Fragen stellen…“ sogar dazu, ihn „mit persönlichen Informationen zu füttern“. Der Rat auf einer Unterseite zum Datenschutz, keine sensiblen Informationen preiszugeben, half Snap nicht: „Es handelt sich dabei indes nur um einen unverbindlichen Ratschlag und nicht um ein Verbot.“ Die meisten Nutzer würden diese Seite ohnehin nicht zur Kenntnis nehmen. Bei Minderjährigen, die für die Risiken weniger sensibilisiert sind, liege die Preisgabe sensibler Daten umso näher.
Den Einwand, Snap wolle gar keine sensiblen Daten gewinnen, verwirft die Kammer mit dem Gerichtshof der Europäischen Union. Das Verbot des Art. 9 Abs. 1 DSGVO gilt unabhängig davon, ob der Verantwortliche gezielt sensible Informationen erlangen will (EuGH, Urteil vom 4. Juli 2023, C-252/21). Entscheidend war ein Eingeständnis aus der Klageerwiderung: Die in den Chat eingegebene Textanfrage wird danach verwendet, um zu entscheiden, ob und welche Werbung dem Nutzer in „My AI“ angezeigt wird. Eine ausdrückliche Einwilligung holte Snap nicht ein. Weil Art. 9 DSGVO als Spezialregel den Rückgriff auf die allgemeinen Erlaubnistatbestände sperrt, war die Verarbeitung schon deshalb rechtswidrig.
Reicht ein Hinweis mit „OK“-Button oder ein berechtigtes Interesse?
Nein. Das Gericht prüft hilfsweise auch Art. 6 DSGVO und kommt zum selben Ergebnis. Auf eine Einwilligung berief sich Snap selbst nicht. Der Hinweis vor der ersten Nutzung, den Nutzer mit „OK“ bestätigen müssen, wäre auch keine wirksame Einwilligung.
Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO scheitert schon an der Information. Der Verantwortliche muss die konkreten berechtigten Interessen den Betroffenen bereits bei der Erhebung der Daten mitteilen (EuGH, Urteil vom 9. Januar 2025, C-394/23). Daran fehlte es ebenso wie an einem Hinweis auf die Rechtsgrundlage. Ob eine Interessenabwägung zugunsten von Snap ausgegangen wäre, ließ die Kammer offen. Sie deutet aber deutliche Zweifel an, weil sich das Angebot gerade auch an Kinder und Jugendliche richtet.
Sind vorangekreuzte Kästchen ein „Widerspruch“ nach Art. 21 DSGVO?
Nein. Dass vorangekreuzte Kästchen keine wirksame Einwilligung sind, hat der Bundesgerichtshof bereits 2020 entschieden (BGH, Urteil vom 28. Mai 2020, I ZR 7/16 – Cookie-Einwilligung II). Eine Einwilligung setzt eine aktive Handlung voraus.
Snap versuchte deshalb, die Häkchen umzudeuten: Sie sollten keine Einwilligung einholen, sondern den Nutzern die Ausübung ihres Widerspruchsrechts nach Art. 21 DSGVO ermöglichen. Das Gericht folgt dem nicht und übernimmt die Argumentation der BfDI. Das Widerspruchsrecht ist ein reaktives Recht. Es setzt eine zunächst rechtmäßige Verarbeitung auf Grundlage berechtigter Interessen voraus, gegen die sich der Betroffene später wendet. Voreingestellte Checkboxen „kehren diese Logik um und suggerieren eine präventive Zustimmung vor Beginn der Datenverarbeitung“. Ohne Information über die Rechtsgrundlage und die konkreten Interessen könnten Nutzer über einen Widerspruch ohnehin nicht sinnvoll entscheiden.
Viele Apps und Shops arbeiten mit Werbeoptionen, die standardmäßig aktiviert sind und sich nur abwählen lassen. Diese Gestaltung ist nach dem Urteil angreifbar.
Warum reichen interne Werberichtlinien beim Jugendschutz nicht aus?
Weil es auf die Gestaltung ankommt, die der Nutzer sieht. Nach § 6 Abs. 5 des Jugendmedienschutz-Staatsvertrags (JMStV) darf sich Werbung für alkoholische Getränke weder an Kinder oder Jugendliche richten noch sie besonders ansprechen. Für Glücksspielwerbung folgt ein entsprechendes Verbot aus § 6 Abs. 3 JMStV in Verbindung mit § 5 Abs. 2 Satz 4 und 5 des Glücksspielstaatsvertrags 2021.
Snap hatte vorgetragen, Minderjährigen nach den Werberichtlinien der Snap Inc. keine Werbung für altersbeschränkte Produkte anzuzeigen. Das Gericht ließ offen, ob das zutrifft. Durch die vorausgewählten Themen „Alkohol“ und „Glücksspiel“ in Konten Minderjähriger berühme sich Snap gegenüber seinen Nutzern des Rechts, ihnen Werbung zu diesen Themen zu zeigen. Damit bestehe jedenfalls eine Erstbegehungsgefahr. Selbst das Abwählen hätte nach dem Hinweistext nur zu „weniger“ Anzeigen geführt, nicht zu keinen.
Wer haftet, wenn die Konzernmutter die Daten verarbeitet?
Auch die Gesellschaft, die den Dienst in Deutschland anbietet. Snap Group Limited hatte argumentiert, sie selbst erhebe keine Daten, das tue nur die Muttergesellschaft Snap Inc. in den USA. So stand es auch in der Datenschutzerklärung.
Das Gericht sah das anders. Nach den eigenen Servicebestimmungen lässt sich die Snap Group Limited eine weltweite Lizenz zum Hosten, Speichern, Analysieren und Verbreiten aller Inhalte einräumen und die Bedingungen sehen personalisierte Werbung auf Grundlage der Nutzerdaten vor. Sie bezeichnet sich als Diensteanbieterin im Sinne des Digitale-Dienste-Gesetzes. Daran muss sie sich festhalten lassen. Sie ist damit zumindest gemeinsam Verantwortliche nach Art. 4 Nr. 7 DSGVO, und Betroffene können ihre Rechte nach Art. 26 Abs. 3 DSGVO gegenüber jedem Verantwortlichen geltend machen.
Für die Zuständigkeit genügte es dem Landgericht, dass die App überall in Deutschland und damit auch in Köln genutzt werden kann (§ 32 ZPO). Weil das Vereinigte Königreich nicht mehr Mitglied der EU ist, galt diese Vorschrift auch für die internationale Zuständigkeit. Die Datenschutzgrundverordnung ist nach § 2 Abs. 2 Nr. 13 UKlaG ein Verbraucherschutzgesetz, sodass qualifizierte Verbände Verstöße unmittelbar einklagen können. Ob die Ansprüche zusätzlich auf das UWG gestützt werden konnten, ließ die Kammer offen.
Das betrifft nicht nur Snap. Viele Anbieter aus den USA, Großbritannien oder Asien bedienen den deutschen Markt über eine europäische Gesellschaft und verorten die Datenverarbeitung bei der Konzernmutter. Das Urteil zeigt: Wer gegenüber den Nutzern als Vertragspartner und Rechteinhaber auftritt, kann sich vor Gericht nicht als bloßer Empfänger der Daten darstellen.
Was bedeutet das Urteil für Unternehmen mit KI-Chatbots?
Das Urteil betrifft eine große Plattform, die Maßstäbe gelten aber für jeden Chatbot, dessen Eingaben über die bloße Beantwortung hinaus genutzt werden. Unternehmen sollten jetzt prüfen:
- Zwecke trennen: Chat-Eingaben zur Beantwortung der Anfrage zu verarbeiten, ist etwas anderes, als sie für Werbung, Profilbildung oder Produktempfehlungen auszuwerten. Für den zweiten Zweck braucht es eine eigene Rechtsgrundlage, bei sensiblen Daten eine ausdrückliche Einwilligung.
- Freitext ist ein Risiko: Ein offenes Eingabefeld bringt fast zwangsläufig Gesundheits-, Religions- oder Beziehungsdaten mit sich. Ein Hinweis „Bitte keine sensiblen Daten eingeben“ ändert daran nach dem Urteil nichts.
- Kein „OK“-Banner als Rechtsgrundlage: Ein Hinweis, den Nutzer wegklicken müssen, um den Chatbot zu nutzen, ist keine Einwilligung.
- Informieren, wo die Daten anfallen: Rechtsgrundlage und konkrete berechtigte Interessen gehören an den Chatbot selbst, nicht nur in eine lange Datenschutzerklärung.
- Voreinstellungen prüfen: Werbeoptionen dürfen nicht vorangekreuzt sein. Das folgt auch aus dem Grundsatz datenschutzfreundlicher Voreinstellungen in Art. 25 Abs. 2 DSGVO.
- Minderjährige mitdenken: Wer Jugendliche anspricht, darf keine altersbeschränkten Werbethemen vorauswählen. Online-Plattformen dürfen Minderjährigen nach Art. 28 Abs. 2 DSA keine profilbasierte Werbung anzeigen, wenn sie mit hinreichender Gewissheit wissen, dass der Nutzer minderjährig ist, und unter 16 Jahren ist für eine Einwilligung grundsätzlich die Zustimmung der Eltern erforderlich (Art. 8 DSGVO).
- Konzernverträge an die Wirklichkeit anpassen: Datenschutzerklärung, Nutzungsbedingungen und Verträge zwischen Mutter- und Tochtergesellschaft sollten widerspruchsfrei beschreiben, wer welche Daten zu welchen Zwecken verarbeitet.
- KI-Verordnung und DSGVO getrennt prüfen: Die Transparenzpflichten für Chatbots nach Art. 50 KI-VO verlangen unter anderem den Hinweis, dass Nutzer mit einer KI interagieren. Eine Rechtsgrundlage für die Datenverarbeitung schaffen sie nicht.
Die Klagebefugnis der Verbraucherverbände macht solche Fehler teuer. Das Landgericht hat Ordnungsgeld bis zu 250.000 € für jeden Fall der Zuwiderhandlung angedroht. Wer eine Abmahnung erhält, sollte die Unterlassungserklärung nicht ungeprüft unterschreiben, sondern zuerst klären, welche Datenflüsse tatsächlich betroffen sind und welche Gestaltung sich rechtssicher umstellen lässt.
Für Nutzer ist das Urteil vor allem ein Signal. Es spricht keinen Schadensersatz zu, denn der vzbv hat nur Unterlassung verlangt. Wer wissen möchte, welche Chat-Inhalte gespeichert und für Werbung genutzt wurden, kann Auskunft nach Art. 15 DSGVO verlangen. Ob im Einzelfall ein Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO besteht, hängt davon ab, ob ein konkreter Schaden, etwa ein Kontrollverlust über die eigenen Daten, dargelegt werden kann.
Aus der LHR-Praxis
Auch außerhalb von Chatbots scheitern Werbeprofile ohne Einwilligung vor dem Landgericht Köln. In einem von LHR geführten Verfahren hat das Gericht einem Onlinehändler untersagt, aus Seitenaufrufen, Warenkörben und geöffneten Newslettern Nutzerprofile zu bilden. Ein Cookie-Banner half dort nicht. Einzelheiten lesen Sie in unserem Beitrag „Tracking ohne Einwilligung – LG Köln verbietet Nutzerprofile aus Website- und E-Mail-Daten“.
Häufige Fragen zu KI-Chatbots, Datenschutz und Werbung
Dürfen Unternehmen Eingaben in einen KI-Chatbot für Werbung nutzen?+
Hilft der Hinweis, keine sensiblen Daten in den Chat einzugeben?+
Sind vorangekreuzte Werbeoptionen in den App-Einstellungen zulässig?+
Haftet die europäische Tochtergesellschaft, wenn die Konzernmutter die Daten verarbeitet?+
Ist das Urteil gegen Snapchat rechtskräftig?+
Setzen Sie einen KI-Chatbot ein oder haben Sie eine Abmahnung wegen Datenschutzverstößen erhalten?
Wir prüfen Datenflüsse, Hinweistexte und Voreinstellungen Ihres Chatbots und verteidigen Sie gegen Abmahnungen von Verbänden und Wettbewerbern. Eine erste Einschätzung erhalten Sie in der Regel binnen 24 Stunden.
Weiterführende Informationen
- LHR-Praxisfall: Tracking ohne Einwilligung – LG Köln verbietet Nutzerprofile aus Website- und E-Mail-Daten
- OLG Köln: Geschäftsführerhaftung bei Datenschutzverstoß – Tracking ist Chefsache, die Einwilligung nicht
- TikTok vor dem BGH: Dürfen Verbraucherverbände DSA-Pflichten einklagen?
- LG Aachen: Google haftet für Falschbehauptungen seiner KI – was Betroffene jetzt tun können
- LHR KI-VO-Check: KI-Inhalt kennzeichnen – ja oder nein?
Ähnliche Artikel
