Wer einen KI-Chatbot betreibt, muss damit rechnen, dass Nutzerinnen und Nutzer dem System auch besonders geschützte Informationen anvertrauen. Die Verarbeitung dieser Eingaben richtet sich dann nach Art. 9 der Datenschutz-Grundverordnung (DSGVO) und setzt regelmäßig eine ausdrückliche Einwilligung voraus. Das geht aus einem Urteil des Landgerichts Köln hervor (Az.: 33 O 120/24 vom 17.09.2026).

In dem vorliegenden Fall hatte der Verbraucherzentrale Bundesverband (vzbv) die Snap Group Limited, die in Deutschland die App „Snapchat“ anbietet, auf Unterlassung verklagt. Die App enthält seit Mitte des Jahres 2023 einen kostenlosen KI-Chatbot „My AI“, der auf einer angepassten Version von ChatGPT basiert. Vor der ersten Nutzung des Chatbots erschien ein Hinweis, den die Nutzerinnen und Nutzer mit „Okay“ bestätigen mussten. Damit erteilten sie ihre Einwilligung, dass ihre Informationen unter anderem zur Personalisierung von Anzeigen verwendet werden könnten.

Das Landgericht untersagte nun die Verarbeitung der Chatbot-Eingaben zu Werbezwecken. Der Chatbot ermuntere die Nutzer ausdrücklich, ihm alle möglichen Fragen zu stellen. Damit würden absehbar auch sensible Daten preisgegeben, zumal sich die App auch an Minderjährige richte, die für diese Risiken weniger sensibilisiert seien. Nach Art. 9 DSGVO gelten aber für besondere personenbezogene Daten bestimmte Anforderungen der Datenverarbeitung. Ob der Betreiber es dabei auf sensible Informationen anlege, spiele ebenfalls keine Rolle. Der bloße Rat, keine vertraulichen Daten einzugeben, sei eine unverbindliche Empfehlung und kein Verbot. Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO habe die Beklagte nicht eingeholt. Auch als Einwilligung genüge der mit „Okay“ bestätigte Hinweis nicht. Außerdem dürfe das Unternehmen in seiner App keine vorangekreuzten Kästchen für Werbeeinwilligungen und die Vorauswahl der Anzeigenthemen „Alkohol“ und „Glücksspiel“ in Konten Minderjähriger aufführen, entschied das Gericht.

Für Kommunen und andere öffentliche Einrichtungen sind dabei weniger die Werbefragen als vielmehr die Ausführungen des Landgerichts zur Verarbeitung von besonderen personenbezogenen Daten von Bedeutung: „Wer als Verwaltung einen KI-Chatbot im Bürgerservice oder für allgemeine Anfragen einsetzt, muss damit rechnen, dass dort auch Angaben zu Gesundheit, Religion oder ähnlich sensiblen Themen im Sinne von Art. 9 DSGVO landen“, erklärt Rechtsanwalt Michael Jessen-Lieberum. „Ein allgemeiner Hinweis, den man wegklickt, reicht dann regelmäßig nicht: Soll die Verarbeitung der Eingaben auf eine Einwilligung gestützt werden, muss sie ausdrücklich erteilt werden und dabei erkennbar auch die sensiblen Daten erfassen.“

Das Urteil ist noch nicht rechtskräftig.