Anweseinheitsnotiz: Podcamp NRW 2025 & Steady Growth Day in Düsseldorf

Metas KI-Datenstrategie: Eine Analyse der Kontroverse, Nutzerauswirkungen und Branchenlandschaft

I. Executive Summary

Die derzeit intensive Medienberichterstattung über Metas Frist zur Ablehnung der KI-Datennutzung am 26. Mai markiert einen entscheidenden Punkt im Bereich des digitalen Datenschutzes. Metas Plan, seine generativen KI-Modelle (Meta AI) mithilfe öffentlicher Nutzerinhalte von Facebook und Instagram zu trainieren, hat, insbesondere in Europa, wo strenge Datenschutzgesetze wie die DSGVO gelten, erhebliche Kontroversen ausgelöst. Diese weitreichende „Berichterstattung“, wie in der Nutzeranfrage erwähnt, wird durch eine Kombination aus Metas historischem Ruf als „Datenkrake“, echten Bedenken hinsichtlich des Umfangs und der Irreversibilität des KI-Datentrainings sowie der wahrgenommenen Unzulänglichkeit des Widerspruchsmechanismus angetrieben.

Während Meta ein „berechtigtes Interesse“ an der Nutzung dieser Daten für die KI-Entwicklung geltend macht, argumentieren Datenschutzorganisationen wie NOYB vehement, dass dieser Ansatz gegen zentrale DSGVO-Prinzipien verstößt und eine explizite „Opt-in“-Zustimmung erfordert. Die Rechtslage bleibt umstritten: Einige Gerichte bestätigen Metas „berechtigtes Interesse“, während Datenschutzbehörden widersprüchliche Ansichten äußern und eine fortgesetzte Überwachung fordern. Im Vergleich zu anderen KI-Anbietern sticht Metas Verlass auf ein Opt-out-Modell für einen so riesigen und sensiblen Datensatz hervor, was Fragen zur Nutzerautonomie und zur Zukunft der Datenverwaltung im Zeitalter der KI aufwirft. Das Potenzial für eine irreversible Datenintegration in KI-Modelle, gepaart mit einem komplizierten Opt-out-Verfahren, birgt spürbare Nachteile für die Nutzer.

II. Der aktuelle Medienrummel: Warum die beispiellose Aufmerksamkeit?

A. Die Frist vom 26. Mai und die Kampagne zur öffentlichen Sensibilisierung

Meta kündigte im April 2025 an, öffentliche Beiträge und Kommentare von Nutzern über 18 Jahren im EU/EWR für das Training seiner KI-Modelle zu verwenden, wobei die Richtlinie am 27. Mai 2025 in Kraft treten soll.¹ Nutzern wurde bis zum 26. Mai 2025 Zeit gegeben, dieser Nutzung zu widersprechen.³ Die Medien haben diese bevorstehende Frist aktiv und intensiv in Erinnerung gerufen, darunter prominente deutsche Nachrichtenmedien wie ZDF und Tagesschau.⁶ Es ist bemerkenswert, dass Metas KI-Trainingsbemühungen in Europa bereits im Juni 2024 aufgrund von Bedenken der irischen Datenschutzbehörden pausiert worden waren, was auf eine Geschichte der regulatorischen Prüfung hindeutet.²

Die intensive Medienaufmerksamkeit auf die Frist vom 26. Mai ist eine direkte und unmittelbare Reaktion auf Metas erneuten Versuch, seine KI-Trainingsrichtlinie in der EU umzusetzen. Dies geschieht nach einer erheblichen Pause, die selbst durch regulatorische Bedenken ausgelöst wurde. Die weit verbreitete Berichterstattung erfüllt eine wichtige öffentliche Dienstfunktion, indem sie die Nutzer über eine zeitkritische Entscheidung bezüglich ihrer persönlichen Daten informieren soll. Die Dringlichkeit wird durch den „Opt-out“-Charakter von Metas Richtlinie noch verstärkt, die ein aktives Eingreifen der Nutzer zum Schutz der Privatsphäre erfordert, anstatt des datenschutzfreundlicheren „Opt-in“-Ansatzes.

Die hervorgehobene „beispiellose“ Medienberichterstattung lässt sich auf eine verstärkte öffentliche Kontrolle zurückführen, die durch das „Opt-out“-Modell und die vorherige regulatorische Pause ausgelöst wurde. Die Tatsache, dass die irischen Datenschutzbehörden bereits im Juni 2024 Bedenken geäußert hatten, zeigt, dass Metas Pläne schon vor der aktuellen Ankündigung umstritten waren.² Metas Entscheidung, die Richtlinie mit einem Opt-out-Modell wieder einzuführen, obwohl starke Forderungen nach einer Opt-in-Zustimmung laut wurden ⁹, führt naturgemäß zu einer erhöhten Medienaufmerksamkeit. Medien sehen sich in der Verantwortung, ihr Publikum über eine bevorstehende Frist für eine potenziell irreversible Datenentscheidung zu informieren, insbesondere angesichts des „versteckten“ Charakters des Opt-out-Formulars.¹ Diese Kombination aus einem umstrittenen Zustimmungsmodell, einer Geschichte regulatorischer Rückschläge und einer knappen Frist schafft die perfekte Grundlage für intensive Medienprüfung und eine öffentliche Sensibilisierungskampagne. Diese Medienintensität ist ein Zeichen für einen breiteren Trend: ein wachsendes öffentliches und regulatorisches Bewusstsein für die enormen Datenanforderungen von KI und die wahrgenommene Unzulänglichkeit traditioneller, weniger strenger Datenschutzrahmen (wie Opt-out für die breite Datenverarbeitung) angesichts schnell fortschreitender technologischer Fähigkeiten. Sie unterstreicht auch die entscheidende Rolle der Medien als Verbraucherschutzanwalt, insbesondere wenn die regulatorische Klarheit umstritten oder nur langsam zu erreichen ist.

B. Nutzererfahrung mit dem Opt-out-Mechanismus

Der Opt-out-Mechanismus wird durchweg als „eher kompliziert“ und „im Labyrinth der Datenschutzeinstellungen versteckt“ für EU-Bürger beschrieben.¹ Nutzer müssen ein „umfangreiches Formular“ ausfüllen.¹ Zahlreiche Nutzer haben erhebliche Schwierigkeiten gemeldet, darunter den Nichterhalt von Verifizierungscodes per E-Mail, das Auftreten von fehlerhaften Links oder die Aufforderung zur Anmeldung, obwohl sie bereits authentifiziert waren.⁴ Während es einigen Nutzern gelang, sich erfolgreich abzumelden, stießen viele andere auf anhaltende technische Hürden.¹² Das Opt-out-Formular verlangt oft eine „detaillierte Begründung“ für den Widerspruch, eine Anforderung, die einige Nutzer als belastend empfanden oder einfach umgingen, indem sie ihr Grundrecht auf Widerspruch geltend machten.¹² Einige griffen sogar auf KI-Chatbots wie ChatGPT zurück, um ihre Begründungen zu formulieren.¹² Meta gibt offiziell an, „alle Widerspruchsformulare zu respektieren“ ², fügt aber auch einen merkwürdigen Hinweis hinzu: „Wir erfüllen Anfragen, die über dieses Formular gesendet werden, nicht automatisch. Wir prüfen sie im Einklang mit Ihren lokalen Gesetzen“.¹ Kritiker argumentieren, dass die Auferlegung eines aktiven Schritts an die Nutzer zum Schutz ihrer Inhalte eine „unverhältnismäßige Belastung“ darstellt und vom Prinzip des „Datenschutzes durch Voreinstellung“ abweicht.⁴ Diese Designentscheidung wird von Datenschützern explizit als „Dark Pattern“ bezeichnet.¹⁴

Die praktische Wirksamkeit eines Opt-out-Systems hängt grundlegend von seiner Zugänglichkeit und Benutzerfreundlichkeit ab. Wenn der Prozess absichtlich oder unbeabsichtigt komplex ist, kann dies die Fähigkeit des Nutzers, sein Widerspruchsrecht auszuüben, untergraben und eine theoretische Wahl effektiv in eine De-facto-Standardeinstellung verwandeln.

Die Gestaltung des Opt-out-Verfahrens als „Dark Pattern“ stellt eine strategische Barriere für die Nutzerautonomie dar. Die in der Nutzeranfrage aufgeworfene Frage, ob Metas Pläne „tatsächlich nachteilig“ sind, wird direkt durch die gemeldeten Schwierigkeiten beim Opt-out beantwortet.¹ Die explizite Verwendung des Begriffs „Dark Pattern“ ¹⁴ durch Datenschützer ist hier entscheidend, da sie impliziert, dass die Komplexität kein Versehen, sondern eine bewusste Designstrategie ist, um die Opt-out-Raten zu minimieren. Wenn Nutzer davon abgehalten oder technisch daran gehindert werden, ihr Widerspruchsrecht einfach auszuüben, erhält Meta standardmäßig Zugang zu einem größeren Datenpool, auch wenn der Nutzer theoretisch das Recht hat, dies abzulehnen. Dies untergräbt direkt die Nutzerautonomie und die Kontrolle über ihre persönlichen Daten. Ein komplexes und belastendes Opt-out-Verfahren führt zu niedrigeren Opt-out-Raten der Nutzer, was wiederum zu mehr Daten für das Meta AI-Training führt und somit einen größeren kommerziellen Vorteil für Meta auf Kosten der individuellen Nutzerprivatsphäre bedeutet.

Darüber hinaus entsteht eine Illusion von Kontrolle im Gegensatz zur tatsächlichen Datenverwaltung in der Praxis. Metas Aussage, dass es „alle Widerspruchsformulare berücksichtigen wird“ ², wirkt auf den ersten Blick beruhigend, doch der Vorbehalt, dass Anfragen „im Einklang mit den lokalen Gesetzen geprüft“ und „nicht automatisch erfüllt“ werden ¹, führt zu erheblicher Unklarheit. Dies impliziert die Möglichkeit einer Ablehnung, Verzögerung oder zusätzlicher Hürden, was die tatsächliche Kontrolle des Nutzers weiter untergräbt. Die Anforderung, „korrekt zu begründen“, warum man sich abmelden möchte ¹, und die anekdotischen Beweise, dass Nutzer KI zur Formulierung ihrer Begründungen heranziehen ¹², zeigen eine hohe und potenziell unfaire Hürde für die Handlungsfähigkeit des Nutzers. Dies schafft eine Illusion von Kontrolle, ohne die praktischen Mittel für deren effektive Ausübung bereitzustellen. Diese Spannung zwischen den erklärten gesetzlichen Rechten (dem Widerspruchsrecht) und der praktischen Durchsetzbarkeit dieser Rechte ist ein wiederkehrendes Thema im digitalen Datenschutz. Es deutet darauf hin, dass selbst mit robusten Vorschriften wie der DSGVO mächtige Unternehmen prozedurale Komplexität und mehrdeutige Sprache zu ihrem Vorteil nutzen können, wodurch es für Einzelpersonen schwierig wird, eine echte Kontrolle über ihre Daten zu erlangen.

Tabelle 1: Nutzerberichtete Opt-Out-Schwierigkeiten (Meta AI)

Diese Tabelle liefert konkrete, anekdotische Beweise direkt von Nutzern bezüglich der praktischen Herausforderungen, denen sie gegenüberstehen. Sie verlagert die Diskussion von abstrakten rechtlichen Argumenten auf reale Reibungspunkte, was entscheidend ist, um die Behauptung zu untermauern, dass Metas Pläne „tatsächlich nachteilig für die Nutzer“ sind. Durch die systematische Darstellung dieser Schwierigkeiten verstärkt die Tabelle das Argument, dass der Opt-out-Mechanismus nicht so unkompliziert ist, wie er erscheinen mag, und beantwortet somit direkt einen Kernaspekt der Nutzeranfrage.

III. Metas „Datenkrake“-Ruf: Eine historische Perspektive

A. Eine bewegte Datenschutzgeschichte

Meta Platforms Inc. (ehemals Facebook) hat eine lange und gut dokumentierte Geschichte von Datenschutzbedenken, die grundlegend mit seinem Geschäftsmodell der Sammlung und Monetarisierung riesiger Mengen von Nutzerinformationen für gezielte Werbung verbunden ist.¹⁵ Diese Geschichte umfasst mehrere bedeutende und aufsehenerregende Kontroversen:

• Cambridge Analytica Skandal (2018): Dieses Ereignis enthüllte, dass persönliche Daten von bis zu 87 Millionen Facebook-Profilen ohne ausdrückliche Zustimmung der Nutzer gesammelt und anschließend für politische Anzeigenkampagnen bei wichtigen Wahlen verwendet wurden.¹⁵ Der Skandal führte zu einem „beispiellosen öffentlichen Bewusstsein für einen lange schwelenden Trend – die ungeprüfte Datensammlung und -nutzung“ ¹⁷ und „erschütterte die Welt“, was zu einem grundlegenden Umdenken in der Ethik des Datenschutzes führte.¹⁷
• Frühe Data-Mining-Praktiken: Bereits 2005 demonstrierten MIT-Studenten die Leichtigkeit des Data Mining, indem sie öffentliche Informationen von 70.000 Profilen herunterluden.¹⁵ Ursprüngliche Facebook-Bedingungen erlaubten den Verkauf von Nutzerdaten an private Unternehmen.¹⁵ Die Plattform wurde kritisiert, weil sie Identitätsdiebstahl durch einfache Sammlung persönlicher Informationen ermöglichte und Suchmaschinen erlaubte, Profilseiten zu indexieren.¹⁵
• Unverschlüsselte Passwörter (2019): Meta gab zu, „Hunderte Millionen“ von Facebook- und Instagram-Nutzerpasswörtern fälschlicherweise im Klartext auf internen Systemen gespeichert zu haben, die für Ingenieure zugänglich waren.¹⁵
• Weitere bemerkenswerte Vorfälle: Das umstrittene Beacon-Programm (2007), das anfängliche Fehlen eines Mechanismus zur dauerhaften Kontolöschung (vor 2010), verschiedene Datenschutzverletzungen bei Anwendungen, die weit verbreitete Sammlung von Kontaktinformationen, Vorwürfe des Abhörens und Bedenken hinsichtlich der Datenerfassung über Oculus und aufkommende Metaverse-Plattformen.¹⁵

Als Reaktion auf diese Kontroversen und eine wegweisende Geldstrafe der FTC in Höhe von 5 Milliarden US-Dollar im Jahr 2019 gibt Meta an, über 8 Milliarden US-Dollar in den Wiederaufbau seines Datenschutzprogramms, die Stärkung von Richtlinien und die Entwicklung neuer Nutzerkontrollen investiert zu haben.¹⁹

Metas umfassende Geschichte datenbezogener Kontroversen hat die öffentliche Wahrnehmung tiefgreifend geprägt und ein tief sitzendes Misstrauen hinsichtlich seiner Datenverarbeitungspraktiken etabliert. Der Begriff „Datenkrake“ ist nicht nur eine Bezeichnung, sondern ein direktes Spiegelbild dieses historischen Kontextes, das allgegenwärtige, invasive und oft undurchsichtige Datensammlung symbolisiert.

Der Begriff „Datenkrake“ ist zu einer tief verwurzelten öffentlichen Wahrnehmung geworden und wirkt wie eine sich selbst erfüllende Prophezeiung für die Prüfung. Die direkte Bezugnahme der Nutzeranfrage auf die „Datenkrake“ ist hier entscheidend. Dieser Begriff ist keine beiläufige Beschreibung; er fasst Jahre öffentlicher Besorgnis und Medienberichterstattung zusammen. Die detaillierte Geschichte von Datenschutzverletzungen und aggressiven Datenpraktiken ¹⁵, insbesondere der Cambridge Analytica-Skandal, der „die Welt erschütterte“ und ein „beispielloses öffentliches Bewusstsein“ schuf ¹⁷, hat diese Wahrnehmung fest verankert. Dieses historische Gepäck bedeutet, dass jede neue Datenrichtlinie von Meta, insbesondere eine, die ein Opt-out für KI-Training beinhaltet, automatisch mit äußerstem Misstrauen betrachtet und einer intensiven Prüfung unterzogen wird. Metas erhebliche Investitionen in den Datenschutz ¹⁹ sind ein Versuch, dies zu mildern, aber das öffentliche Gedächtnis an vergangene Vergehen ist lang und wirkungsvoll. Der Ruf als „Datenkrake“ wird somit zu einer sich selbst erfüllenden Prophezeiung, die sicherstellt, dass jede neue Dateninitiative von Meta einer unverhältnismäßig höheren öffentlichen und medialen Skepsis ausgesetzt sein wird als bei anderen Unternehmen. Eine lange Geschichte von Datenschutzverletzungen und aggressiven Datenpraktiken führt zu tiefem öffentlichem Misstrauen und dem Ruf als „Datenkrake“, was wiederum eine erhöhte Medienprüfung und Nutzerskepsis für neue Datenrichtlinien, insbesondere im Zusammenhang mit KI, auslöst.

B. Das Wiedererwachen der Datenbedenken

Der jüngste Start von Metas personalisierter KI-Chat-App wird explizit als „Wiedererwachen von Bedenken“ hinsichtlich einer aufdringlichen Datenverfolgung beschrieben, die die Grenzen des Datenschutzes „viel weiter als Rivalen wie ChatGPT von OpenAI oder Gemini von Google“ verschiebt.¹⁶ Meta AI nutzt die etablierte Historie eines Nutzers aus seinen Facebook- und Instagram-Profilen, um Chat-Erlebnisse anzupassen, und verfolgt jede Interaktion mit dem Bot kontinuierlich, um seine Antworten weiter zu verfeinern und zu verbessern.¹⁶ Diese neue KI-Funktionalität schafft einen „neuen Strom der Verbindung in unsere Gedanken“, der Meta neue Einblicke in die persönlichen Vorlieben und Neigungen der Nutzer liefert, die dann für Werbezwecke genutzt werden.¹⁶ Zusätzliche Bedenken wurden hinsichtlich Metas Entwicklung von „KI-Personas“ geäußert, die am öffentlichen Dialog teilnehmen, potenziell die öffentliche Meinung prägen und die Grenzen zwischen menschlichen und KI-Interaktionen verwischen können.²⁰

Die Entwicklung von passiver Datenerfassung für gezielte Werbung hin zu aktiver, interaktiver KI-Engagement mit Nutzerdaten führt zu einer neuen und intimeren Dimension des Datenschutzrisikos. Dies lässt die „Datenkrake“ unmittelbarer, allgegenwärtiger und fähiger zu tieferen Einblicken in einzelne Nutzer erscheinen.

Der Übergang von passivem Datenprofiling zu aktivem konversationellem Data Mining stellt einen qualitativen Sprung in der Aufdringlichkeit dar. Die Nutzeranfrage fragt, ob Metas aktuelle Pläne „tatsächlich nachteilig“ sind. Während sich frühere Bedenken oft auf Metas passives Data Mining für Werbezwecke konzentrierten ¹⁵, stellt der neue Meta AI-Chatbot eine signifikante qualitative Verschiebung hin zu einer aktiven und interaktiven Form der Datenerfassung dar.¹⁶ Wenn Nutzer an „zunehmend persönlichen Chats“ ¹⁶ mit Meta AI teilnehmen, füttern sie die KI direkt und explizit mit intimen Details, Gedanken und Anfragen. Diese direkten Eingaben werden dann verwendet, um das Verständnis der KI für ihre „Gedanken“, „Vorlieben“ und „Neigungen“ ¹⁶ weiter zu verfeinern. Dies ist eine weitaus ausgefeiltere und potenziell invasivere Form der Datenerfassung als die bloße Analyse von Beiträgen oder Likes. Die zusätzliche Besorgnis über KI-Personas, die die öffentliche Meinung beeinflussen ²⁰, führt eine neue Ebene gesellschaftlicher und demokratischer Risiken ein und verwandelt die „Datenkrake“ von einem passiven Beobachter in einen aktiven Gesprächspartner und Manipulator. Diese Entwicklung der Datenerfassung von passiver Beobachtung zu aktiver konversationeller Interaktion stellt eine neue und herausfordernde Grenze im digitalen Datenschutz dar. Sie zeigt, dass die „Datenkrake“ nicht nur mehr Daten sammelt, sondern reichere, intimere und kontextsensitivere Daten durch direkte, scheinbar harmlose Interaktionen, wodurch die Grenzen zwischen echtem Nutzerengagement und kontinuierlicher Datenerfassung verschwimmen.

IV. Nachteilig für Nutzer? Ein tiefer Einblick in Metas KI-Pläne

A. Metas Datenerfassungsbereich und Rechtsgrundlage

Meta AI beabsichtigt, „öffentlich verfügbare Daten aus dem Internet, lizenzierte Informationen und von Nutzern innerhalb von Meta-Produkten und -Diensten geteilte Informationen“ zu verwenden.¹ Dies umfasst insbesondere „öffentliche Nutzerfotos, die auf Facebook und Instagram gepostet wurden“, sowie „öffentliche Beiträge und Kommentare, die von Erwachsenen geteilt wurden“.¹ Meta gibt explizit an, dass es „den Inhalt Ihrer privaten Nachrichten mit Freunden und Familie nicht zum Training unserer KIs verwendet“.¹ Interaktionen, die Nutzer direkt mit Meta AI haben (z.B. Fragen, Anfragen), werden jedoch zum Training und zur Verbesserung der Modelle verwendet.² Daten von Minderjährigen unter 18 Jahren in der EU sind ausdrücklich von den Trainingsdaten ausgenommen.³ Metas erklärte Rechtsgrundlage für diese Datenverarbeitung ist das „berechtigte Interesse“ gemäß Artikel 6 Absatz 1 Buchstabe f der DSGVO.³ Meta behauptet, diese Datennutzung sei notwendig, um seine KI-Modelle zu entwickeln und zu verbessern, insbesondere um vielfältige europäische Kulturen, Sprachen und Geschichte besser zu verstehen und widerzuspiegeln.⁹

Die Rechtsgrundlage des „berechtigten Interesses“ ist eine zentrale Bestimmung der DSGVO, die die Datenverarbeitung ohne ausdrückliche Zustimmung erlaubt, wenn das berechtigte Interesse eines Unternehmens (z.B. Geschäftsentwicklung, Sicherheit) die Rechte und Freiheiten des Einzelnen überwiegt. Ihre Anwendung auf groß angelegtes, breites KI-Training, das riesige persönliche Datensätze umfasst, ist jedoch höchst umstritten und unterliegt unterschiedlichen Interpretationen.

Die Anwendung des „berechtigten Interesses“ stellt eine umstrittene Auslegung der DSGVO für die KI-Entwicklung dar. Metas Verlass auf das „berechtigte Interesse“ ³ ist das zentrale rechtliche Schlachtfeld. Datenschutzorganisationen wie NOYB argumentieren, dass diese Rechtsgrundlage „weder rechtlich noch notwendig“ ist ⁹ und dass Meta stattdessen eine „Opt-in“-Zustimmung einholen sollte.⁹ Das frühere Urteil des Europäischen Gerichtshofs, dass Meta kein berechtigtes Interesse an gezielter Werbung geltend machen kann ⁹, schafft einen starken Präzedenzfall, der darauf hindeutet, dass ein ähnliches Argument für die Datennutzung zum KI-Training gelten sollte. Die Tatsache, dass die irische DPC Meta grünes Licht gab ⁹, während die Hamburger DPC weiterhin kritisch ist ²⁴, unterstreicht eine signifikante und problematische rechtliche Divergenz innerhalb der EU selbst, die zu erheblicher regulatorischer Unsicherheit führt. Dies ist nicht nur ein technischer Unterschied, sondern eine grundlegende philosophische Debatte über den Standardzustand des Datenschutzes im digitalen Zeitalter. Das Ergebnis dieses spezifischen Rechtsstreits über die Auslegung des „berechtigten Interesses“ wird einen entscheidenden Präzedenzfall dafür schaffen, wie die KI-Entwicklung unter der DSGVO reguliert wird. Sollte Metas Auslegung sich durchsetzen, könnte dies das „Opt-in“-Prinzip für die Datenverarbeitung erheblich schwächen und potenziell anderen großen Technologieunternehmen erlauben, ähnliche „Opt-out“-Modelle für umfangreiches KI-Training zu übernehmen, wodurch die Last des Datenschutzes fast vollständig auf die einzelnen Nutzer verlagert würde.

B. Risiken und ethische Bedenken für Nutzer

• Kontrollverlust: Öffentliche Inhalte von Nutzern, einschließlich historischer Beiträge, werden ohne deren ausdrückliche Zustimmung Teil der KI-Trainingsdaten.¹⁴ Viele Nutzer wissen möglicherweise nicht, dass ihre Daten auf diese Weise verwendet werden.¹⁴
• Verarbeitung sensibler Daten: Beiträge, die „sehr persönliche Themen“ (z.B. Gesundheitszustand, politische Meinungen, religiöse Überzeugungen) behandeln, könnten von der KI ohne ausdrückliche Zustimmung verarbeitet werden, selbst wenn der Nutzer nie beabsichtigt hat, dass solche sensiblen Informationen für KI-Zwecke verwendet werden.¹⁴ NOYB hebt insbesondere die Verarbeitung „besonderer Kategorien personenbezogener Daten“ (z.B. religiöse Überzeugungen, sexuelle Orientierung) hervor, für die Artikel 9 der DSGVO typischerweise eine ausdrückliche Zustimmung erfordert.³⁰
• Der „Beifang-Effekt“: Selbst wenn ein einzelner Nutzer die Datennutzung erfolgreich ablehnt, können seine Daten (z.B. Gesicht, Name, Kontext) unbeabsichtigt in den Trainingsdatensatz aufgenommen werden, wenn andere Nutzer öffentlich über ihn posten.³ Dies bedeutet, dass die Identität einer Person durch die öffentlichen Handlungen anderer „indirekt miterfasst“ werden kann.³
• Irreversibilität/Unwiederbringlichkeit: Ein kritischer und höchst problematischer Aspekt ist, dass Daten, sobald sie zum Training eines KI-Modells verwendet wurden, „technisch nicht mehr aus dem Modell zurückholbar“ sind.³ KI-Modelle können „gelernte Muster nicht einfach selektiv ‚vergessen‘“.¹⁴ Dies impliziert, dass Metas Versprechen, Daten nach einem Opt-out nicht für zukünftiges Training zu verwenden ¹, nicht die Entfernung bereits aufgenommener und verarbeiteter Daten aus der KI garantiert. Dies schafft ein Problem des „digitalen Für-immer“.³¹
• Intransparenz: Nutzern fehlt ein klares Verständnis darüber, wie genau ihre Daten verwendet werden, wie lange sie gespeichert werden oder welche spezifischen KI-Modelle sie beeinflussen werden.¹⁴ Die zugrunde liegenden Algorithmen und ihre Entscheidungsprozesse bleiben undurchsichtig.¹²
• Potenzial für unbeabsichtigte Ausgaben/Missbrauch: Es besteht das Risiko, dass öffentliche Inhalte von der KI auf unerwartete Weise „neu zusammengesetzt oder verfremdet“ wiedergegeben werden könnten, ohne dass der Nutzer dies erkennt oder verhindern kann.¹⁴ Es besteht auch eine theoretische Möglichkeit, dass sensible oder persönliche Informationen unbeabsichtigt in KI-generierte Inhalte einfließen könnten.¹⁴
• Voreingenommenheit und ethische Fragen: KI-Modelle spiegeln naturgemäß die Voreingenommenheiten wider, die in ihren Trainingsdatensätzen vorhanden sind. Wenn diese Datensätze bestimmte soziale Identitäten, Gemeinschaften oder Praktiken falsch darstellen, unterrepräsentieren oder marginalisieren, werden die KI-Modelle diese Voreingenommenheiten widerspiegeln und oft verstärken, was zu unfairen oder diskriminierenden Ergebnissen in realen Anwendungen führt.³¹
• Verstärkung von Fehlinformationen: Generative KI-Tools können verwendet werden, um stark manipulierte oder vollständig gefälschte Texte, Videos, Bilder und Audios zu erstellen, was es „schlechten Akteuren“ erheblich erleichtert, überzeugende Desinformationen in großem Maßstab zu generieren und zu verbreiten.³¹ Metas eigene Geschichte von „Fehlverhalten“ (z.B. Cambridge Analytica) wirft ernsthafte Zweifel an seinen Zusicherungen hinsichtlich der konsistenten Kennzeichnung von KI-generierten Inhalten auf.²⁰
• Kommerzielles Interesse über Datenschutz: Kritiker argumentieren explizit, dass Metas Hauptmotivation darin besteht, „seine eigenen KI-Produkte im Wettbewerbskampf aufzurüsten“ ¹⁴, was impliziert, dass der Schutz der Nutzerprivatsphäre nicht immer oberste Priorität hat. Max Schrems von NOYB stellt unverblümt fest: „Meta sagt einfach, dass sein Interesse am Geldverdienen wichtiger ist als die Rechte seiner Nutzer“.²⁵

Die ethischen Implikationen von KI sind tiefgreifend, insbesondere wenn die Technologie riesige Mengen persönlicher Daten verarbeitet. Die „Blackbox“-Natur vieler fortschrittlicher KI-Modelle verschärft Bedenken hinsichtlich Rechenschaftspflicht, Kontrolle und dem Potenzial für unvorhergesehene negative Folgen.

Die Irreversibilität des KI-Trainings stellt ein Problem des „digitalen Für-immer“ dar, das das Recht auf Löschung untergräbt. Der nachteiligste Aspekt für Nutzer ist die nahezu irreversible Natur von Daten, sobald sie in KI-Modelle integriert wurden.³ Dies ist eine grundlegende technische Eigenschaft, die KI-Training von traditioneller Datenverarbeitung unterscheidet. Wenn Daten nicht aus einem trainierten Modell entfernt werden können, gilt ein Opt-out nur für die zukünftige Datenerfassung, nicht für bereits verarbeitete Daten. Dies schafft ein „digitales Für-immer“-Problem ³¹, bei dem persönliche Informationen, sobald sie Teil der gelernten Muster eines KI-Modells sind, dauerhaft eingebettet sind und potenziell auf unvorhersehbare oder unbeabsichtigte Weise wieder auftauchen können. Dies untergräbt direkt ein Kernprinzip der DSGVO, das „Recht auf Vergessenwerden“ ²⁵, und macht es in diesem Kontext praktisch undurchsetzbar. Diese technische Einschränkung von KI-Modellen (die Unfähigkeit, bestimmte Datenpunkte oder Muster selektiv zu „vergessen“ oder „abzulernen“ ohne umfangreiches erneutes Training) stellt eine große, systemische Herausforderung für bestehende Datenschutzparadigmen dar. Sie erfordert eine grundlegende Neubewertung der Zustimmungsmodelle für das KI-Training und plädiert nachdrücklich für einen „Opt-in“-Ansatz als einzig wirklich schützende Maßnahme für die Nutzerautonomie und das Recht auf Löschung.

Der „Beifang-Effekt“ führt zu einer Erosion der indirekten Privatsphäre und zeigt die Grenzen der individuellen Kontrolle auf. Der „Beifang-Effekt“ ³ stellt einen subtilen, aber signifikanten Nachteil dar, der über die direkten Handlungen einer Person hinausgeht. Selbst wenn ein Nutzer gewissenhaft widerspricht, kann seine Privatsphäre immer noch durch öffentliche Beiträge anderer kompromittiert werden, die ihn einschließen (z.B. in Fotos, Kommentaren, Erwähnungen). Dies bedeutet, dass die Datenschutzentscheidungen einer Person durch das kollektive Verhalten ihres sozialen Netzwerks effektiv untergraben werden. Es erweitert den Umfang der „öffentlichen Daten“ weit über das hinaus, was ein einzelner Nutzer direkt teilen möchte, und macht es für jeden praktisch unmöglich, seine digitale Präsenz im Zeitalter des allgegenwärtigen KI-Scrapings vollständig zu kontrollieren. Öffentliche Beiträge anderer Nutzer in Kombination mit Metas umfassendem KI-Scraping öffentlicher Inhalte führen zur unbeabsichtigten Aufnahme von Daten der widersprechenden Nutzer (Beifang-Effekt), was zu einer erheblichen Erosion der individuellen Datenschutzkontrolle und Autonomie führt.

Das kommerzielle Gebot treibt Metas aggressive Haltung an und steht im Konflikt mit den Nutzerrechten. Während Meta seinen Vorstoß zum KI-Training als „berechtigtes Interesse“ darstellt, das auf die „Entwicklung und Verbesserung“ seiner KI abzielt ⁶, betonen Kritiker durchweg, dass dies in erster Linie durch Metas intensive „kommerzielle Interessen“ und die strategische Notwendigkeit angetrieben wird, „seine eigenen KI-Produkte im Wettbewerb aufzurüsten“.¹⁴ Die explizite Aussage von Max Schrems, dass Meta das „Geldverdienen“ über die Nutzerrechte stellt ²⁵, unterstreicht diese zugrunde liegende Motivation. Diese Perspektive legt nahe, dass der „Nachteil“ für Nutzer kein zufälliges Nebenprodukt, sondern eine direkte Folge von Metas aggressiver Geschäftsstrategie ist, um einen Wettbewerbsvorteil auf dem sich schnell entwickelnden und hochprofitablen KI-Markt zu erzielen. Dies verdeutlicht den inhärenten und oft unüberbrückbaren Konflikt zwischen den Gewinnmotiven und dem Wettbewerbsdruck großer Technologieunternehmen und den Grundrechten und Freiheiten der betroffenen Personen. In aufstrebenden Technologiefeldern wie der KI, wo riesige Datenmengen die primäre Ressource sind, wird diese Spannung besonders akut und erfordert eine robuste regulatorische Intervention zum Schutz der individuellen Rechte.

V. Vergleichende Analyse: Meta vs. andere KI-Anbieter

A. Datennutzungsrichtlinien der Hauptkonkurrenten

Die KI-Branche ist durch schnelle Innovationen gekennzeichnet, und Datennutzungsrichtlinien sind ein entscheidender Bereich der Differenzierung zwischen Anbietern. Diese Richtlinien werden oft durch eine Kombination aus Geschäftsmodellen (z.B. verbraucherorientierte vs. Unternehmenslösungen), regulatorischen Umgebungen und der historischen Haltung eines Unternehmens zum Datenschutz geprägt.

• Google (Gemini): Google speichert Prompts, Kontextinformationen und KI-generierte Ausgaben für einen Zeitraum von 55 Tagen, explizit zu Zwecken der „Missbrauchsüberwachung“.³³ Entscheidend ist, dass protokollierte Daten zur Missbrauchsüberwachung „ausschließlich zum Zweck der Richtliniendurchsetzung verwendet und nicht zum Training oder zur Feinabstimmung von KI/ML-Modellen verwendet werden“.³³ Dies ist ein wesentliches Unterscheidungsmerkmal. Google bietet ein „Inline Preference Voting“-System an, bei dem Nutzer Feedback geben können, indem sie bevorzugte KI-Antworten auswählen, und dieses Feedback hilft, „Google-Produkte und -Dienste sowie maschinelle Lerntechnologien bereitzustellen, zu verbessern und zu entwickeln“.³³ Diese Feedback-Daten werden vor der menschlichen Überprüfung vom Google-Konto, dem API-Schlüssel und dem Cloud-Projekt des Nutzers getrennt.³³ Nutzer müssen mindestens 18 Jahre alt sein, um die Google-APIs zu nutzen, und Anwendungen, die mit diesen APIs erstellt werden, dürfen nicht auf Personen unter 18 Jahren abzielen.³⁴
• OpenAI (ChatGPT, DALL-E, Azure OpenAI):
  • Verbraucherdienste (ChatGPT, DALL-E): OpenAI kann Inhalte, die an diese Dienste übermittelt werden (Prompts, Antworten, Bilder, Dateien), zur „Verbesserung der Modellleistung“ verwenden, wobei die genaue Nutzung von den spezifischen Einstellungen des Nutzers abhängt.³⁵ Nutzer werden darüber informiert, dass sie diesbezüglich Auswahlmöglichkeiten haben.³⁵
  • Geschäftsangebote (API, ChatGPT Team, Enterprise): Standardmäßig werden Inhalte, die von Kunden an diese Geschäftsangebote übermittelt werden, nicht zur Verbesserung der Modellleistung verwendet, „es sei denn, Sie haben sich ausdrücklich dafür entschieden, Ihre Daten zu diesem Zweck mit uns zu teilen“.³⁵ Dies stellt ein klares „Opt-in“-Modell für Unternehmensdaten dar.
  • Azure OpenAI Service (von Microsoft gehostetes OpenAI): Dieser Dienst speichert Prompts und generierte Inhalte bis zu 30 Tage lang speziell zur Erkennung und Minderung von Missbrauch.³⁶ Diese Daten werden sicher innerhalb der Microsoft Azure-Umgebung gespeichert, sind „für andere Kunden oder OpenAI nicht zugänglich“ und sowohl während der Übertragung als auch im Ruhezustand verschlüsselt.³⁶ Für Anwendungen, die für eine „modifizierte Missbrauchsüberwachung“ genehmigt wurden, speichert Azure OpenAI keine Prompts oder Vervollständigungen.³⁶ Daten, die zur menschlichen Überprüfung markiert wurden, sind „logisch nach Kundenressourcen getrennt“.³⁶
  • Nutzer können bestimmte Chat-Konversationen oder ihre gesamte Chat-Historie löschen, die in der Regel innerhalb von 30 Tagen aus den Systemen von OpenAI gelöscht wird, es sei denn, sie wurden zuvor anonymisiert oder aus Sicherheits-/Rechtsgründen aufbewahrt.³⁵
  • OpenAI erklärt ausdrücklich, dass es keine Nutzerdaten verkauft oder Inhalte zu Marketing- oder Werbezwecken an Dritte weitergibt.³⁵
  • Ein kürzlich ergangener richterlicher Beschluss in New York verlangte von OpenAI, „alle ChatGPT-Ausgabe-Logdaten“ unabhängig von den Datenschutzeinstellungen zu „speichern“, aufgrund laufender Urheberrechtsverletzungsklagen.³⁰
• Microsoft AI:
  • Microsoft betont „verantwortungsvolle KI-Anforderungen“ für Anwendungen, die mit seinen KI-Diensten erstellt werden. Dazu gehören die Implementierung technischer und operativer Maßnahmen zur Erkennung betrügerischen Nutzerverhaltens bei der Kontoerstellung und -nutzung, starke Kontrollen bei Eingaben und Ausgaben, eine klare Offenlegung, wenn Inhalte KI-generiert sind, kontinuierliche Tests und robuste Feedback-Kanäle zur Meldung von Missbrauch.³⁷
  • Eine wichtige Richtlinie ist die Anforderung an Kunden, „alle notwendigen Hinweise zu geben und alle notwendigen Zustimmungen einzuholen, wie es das geltende Recht für den Kunden und Microsoft zur Verarbeitung von Daten, einschließlich Daten Dritter, im Rahmen der Nutzung des Microsoft AI-Dienstes vorschreibt“.³⁷ Dies impliziert stark eine Betonung der Einholung expliziter Zustimmung.
  • Microsoft setzt fortschrittliches Data Security Posture Management (DSPM) für KI, SharePoint-Freigabekontrollen und Vertraulichkeitskennzeichnungen/DLP-Richtlinien ein, um KI-Anwendungen und Daten in seiner Umgebung zu schützen.³⁸

Die divergierenden Ansätze zur Zustimmung – Opt-in versus Opt-out – stellen eine grundlegende philosophische Trennlinie in der Datenverwaltung von KI dar. Der Vergleich der Praktiken verschiedener KI-Anbieter zeigt eine entscheidende philosophische und praktische Divergenz in den Zustimmungsmodellen. Die Geschäftsangebote von OpenAI beispielsweise basieren auf einem expliziten Opt-in-Modell für das Datentraining ³⁵, und die Richtlinien von Microsoft betonen durchweg die Einholung „aller notwendigen Zustimmungen“.³⁷ Googles Gemini gibt explizit an, dass Daten, die zur Missbrauchsüberwachung gespeichert werden, nicht für das Training verwendet werden.³³ Im krassen Gegensatz dazu verwendet Meta ein Opt-out-Modell für die Nutzung eines riesigen Pools öffentlicher Inhalte für sein Kern-KI-Modelltraining.¹ Dies ist mehr als ein technischer Unterschied; es spiegelt eine grundlegende philosophische Haltung zum Standarddatenschutz wider. Meta legt die Last des Datenschutzes direkt auf den Nutzer, während andere große Akteure, zumindest in bestimmten Kontexten oder für bestimmte Datentypen, eine datenschutzfreundlichere Standardeinstellung übernehmen, die eine aktive Nutzereinwilligung erfordert. Diese signifikante Divergenz verdeutlicht das Fehlen eines allgemein akzeptierten Industriestandards für die KI-Datentrainingszustimmung. Metas Wahl eines Opt-out-Modells, insbesondere für einen so breiten und sensiblen Datensatz wie öffentliche soziale Medieninhalte, ist aus Datenschutzsicht nachweislich aggressiver als einige seiner direkten Konkurrenten. Dieser Ansatz deutet wahrscheinlich auf eine strategische Entscheidung hin, die Datenerfassung im hart umkämpften und datenhungrigen KI-Entwicklungslandschaft zu maximieren, potenziell auf Kosten der Nutzerautonomie und des Vertrauens.

Darüber hinaus gibt es eine Nuance zwischen „Daten für das Training“ und „Daten für die Missbrauchsüberwachung/Verbesserung“, die sich auf das Nutzervertrauen auswirkt. Eine tiefere Analyse offenbart einen kritischen Unterschied in der Art und Weise, wie verschiedene Anbieter gesammelte Daten kategorisieren und nutzen. Google (Gemini) gibt klar an, dass Daten, die zur Missbrauchsüberwachung gespeichert werden, nicht zum Training seiner Kern-KI-Modelle verwendet werden.³³ OpenAI unterscheidet zwischen seinen Verbraucherdiensten (wo Daten standardmäßig zur allgemeinen Modellverbesserung verwendet werden können) und seinen Geschäftsdiensten (wo explizites Opt-in für das Training erforderlich ist).³⁵ Meta hingegen gibt explizit seine Absicht an, öffentliche Nutzerinhalte direkt zum Training seiner generativen KI-Modelle zu verwenden.¹ Diese Unterscheidung ist entscheidend, um die unterschiedlichen Datenschutzrisiken zu verstehen. Während alle Unternehmen Daten für verschiedene legitime Zwecke sammeln (z.B. Sicherheit, Serviceverbesserung, Fehlerbehebung), ist Metas direkte und umfassende Nutzung öffentlicher Nutzerinhalte für das Kern-KI-Modelltraining unter einem Opt-out-Mechanismus das, was es grundlegend unterscheidet und die größten Datenschutzbedenken hervorruft. Diese direkte Nutzung nutzergenerierter Inhalte für das grundlegende Modelltraining, anstatt nur für Serviceverbesserungen oder Missbrauchserkennung, wird als tiefgreifendere Verletzung der Privatsphäre wahrgenommen. Unterschiedliche Datenhandhabungsphilosophien und explizite Kategorisierungen der Datennutzung führen zu unterschiedlichen Zustimmungsmechanismen und Transparenzgraden, was wiederum zu unterschiedlichen Graden der Nutzerkontrolle und des wahrgenommenen Datenschutzrisikos führt.

Tabelle 2: Vergleichende Übersicht der Datennutzungsrichtlinien großer KI-Anbieter

Diese Tabelle beantwortet direkt die Nutzeranfrage nach einem Vergleich von Metas Praktiken mit denen anderer KI-Anbieter. Sie bietet einen klaren, strukturierten und leicht verständlichen Überblick über die unterschiedlichen Ansätze der wichtigsten Akteure im KI-Bereich. Durch die systematische Hervorhebung wichtiger Unterschiede bei den verwendeten Datentypen, Rechtsgrundlagen, Zustimmungsmodellen und Datenaufbewahrungsrichtlinien ermöglicht die Tabelle eine schnelle und fundierte Bewertung, wie Metas Ansatz heraussticht. Sie verstärkt visuell das Argument, dass Metas Verlass auf „berechtigtes Interesse“ und ein Opt-out-Modell für das breite öffentliche Datentraining aus Datenschutzsicht aggressiver ist als die nuancierteren oder expliziten Opt-in-Ansätze einiger seiner Konkurrenten. Diese vergleichende Analyse ist für eine umfassende Beantwortung der Nutzeranfrage unerlässlich.

VI. Die rechtliche und regulatorische Landschaft

A. Das Schlachtfeld der DSGVO

Die Datenschutz-Grundverordnung (DSGVO) schreibt vor, dass jede Verarbeitung personenbezogener Daten eine gültige Rechtsgrundlage haben muss, wie in Artikel 6 Absatz 1 dargelegt. Meta beruft sich ausdrücklich auf das „berechtigte Interesse“ (Artikel 6 Absatz 1 Buchstabe f) für seine KI-Trainingsaktivitäten.³ Datenschutzorganisationen, allen voran NOYB (None Of Your Business), argumentieren vehement, dass das „berechtigte Interesse“ eine unzureichende Rechtsgrundlage für eine so umfangreiche Datenverarbeitung für das KI-Training ist. Sie behaupten, dass eine ausdrückliche „Opt-in“-Zustimmung erforderlich ist, insbesondere angesichts der potenziellen Einbeziehung „besonderer Kategorien personenbezogener Daten“ (z.B. Gesundheitsinformationen, religiöse Überzeugungen, sexuelle Orientierung), die in öffentlichen Beiträgen enthalten oder daraus abgeleitet werden könnten.⁹ NOYB verweist auf ein früheres Urteil des Europäischen Gerichtshofs, das feststellte, dass Meta kein „berechtigtes Interesse“ an gezielter Werbung geltend machen konnte, und argumentiert, dass dieser Präzedenzfall logischerweise auf die Datennutzung für das KI-Training ausgedehnt werden sollte.⁹ Als Reaktion auf Metas Pläne hat NOYB ein Unterlassungsschreiben an Metas irische Zentrale geschickt und mit einer Sammelklage gedroht, falls das Unternehmen ohne ausdrückliche Opt-in-Zustimmung fortfährt.⁹ Über die Zustimmung hinaus behauptet NOYB auch, dass Metas KI-Datentrainingsplan gegen andere grundlegende DSGVO-Prinzipien verstößt, einschließlich Fairness, Zweckbindung und Datenminimierung. Darüber hinaus deutet NOYB an, dass dies einen Verstoß gegen Metas Verpflichtungen als „Gatekeeper“ gemäß dem Digital Markets Act (DMA) darstellen könnte.³⁰

Die DSGVO gilt weithin als eine der strengsten Datenschutzvorschriften der Welt, die darauf abzielt, Einzelpersonen erhebliche Kontrolle über ihre persönlichen Daten zu geben. Die Auslegung und Anwendung ihrer verschiedenen Rechtsgrundlagen, insbesondere des „berechtigten Interesses“ im Kontext aufkommender Technologien wie KI, sind zentrale Punkte in laufenden rechtlichen und ethischen Debatten.

Es besteht ein grundlegender Konflikt zwischen Unternehmensinnovation und Wettbewerbsvorteil einerseits und individuellen Grundrechten unter der DSGVO andererseits. Metas Begründung für die Nutzung des „berechtigten Interesses“ ³ wird explizit um die Notwendigkeit der KI-Entwicklung und -Verbesserung ⁶ und die Aufrechterhaltung eines Wettbewerbsvorteils herum formuliert. Datenschutzgruppen wie NOYB und andere Verbraucherorganisationen ⁹ bestreiten jedoch vehement, dass dieses Unternehmensinteresse die Grundrechte der betroffenen Personen, insbesondere ihr Recht auf Zustimmung und Kontrolle über potenziell sensible personenbezogene Daten ¹⁴, überwiegt und überwiegen sollte. Dies stellt eine klassische rechtliche und ethische Spannung dar: der Drang nach technologischem Fortschritt und wirtschaftlicher Wettbewerbsfähigkeit versus der Schutz der individuellen Privatsphäre und Autonomie. Der Hauptzweck der DSGVO besteht darin, ein Gleichgewicht zwischen diesen konkurrierenden Interessen herzustellen, und Datenschützer sind fest davon überzeugt, dass Metas derzeitiger Ansatz seine eigenen kommerziellen Interessen unverhältnismäßig begünstigt. Die Lösung dieses bedeutenden Rechtsstreits wird weitreichende Auswirkungen auf die Zukunft der KI-Entwicklung und der Datenverwaltung innerhalb der EU haben. Sie könnte einen entscheidenden Präzedenzfall dafür schaffen, ob große Technologieunternehmen große Mengen öffentlicher Daten für das KI-Training unter einem weniger strengen Opt-out-Modell verwenden dürfen oder ob die strengere „Opt-in“-Zustimmung zum obligatorischen Standard für eine solche Datenverarbeitung wird.

B. Gerichtliche und regulatorische Reaktionen

• Urteil des OLG Köln: Das Oberlandesgericht Köln wies einen Eilantrag von Verbraucherschutzverbänden ab, der darauf abzielte, Meta an der Nutzung von Nutzerdaten für das KI-Training zu hindern.⁶ Das Gericht befand Metas Zweck als „legitim“ und die Datenverarbeitung als „erforderlich“, wobei es feststellte, dass „gleich wirksame, weniger intrusive Mittel“ (wie eine zuverlässige Anonymisierung) nicht verfügbar seien.⁷ Das Gericht kam auch zu dem Schluss, dass Metas berechtigtes Interesse die Interessen oder Grundrechte der betroffenen Personen nicht überwiegt.⁷
• Irische Datenschutzkommission (DPC): Die DPC, die als Metas führende Aufsichtsbehörde in der EU fungiert, gab Meta grünes Licht für die Fortsetzung seiner KI-Trainingspläne ab dem 27. Mai 2025.⁹ Die DPC erklärte, dass Meta auf ihre Anfragen „reagiert“ und „bedeutende Maßnahmen und Verbesserungen“ umgesetzt habe, darunter aktualisierte Transparenzhinweise, ein benutzerfreundlicheres Opt-out-Formular und verbesserte De-Identifizierungsmaßnahmen.⁹ Die DPC hat Meta außerdem aufgefordert, im Oktober 2025 einen Bericht über die Wirksamkeit und Angemessenheit dieser Schutzmaßnahmen vorzulegen.³
• Widersprüchliche Ansichten der Behörden: Trotz der Freigabe durch die DPC und des Urteils des OLG Köln behalten andere europäische Datenschutzbehörden eine kritische Haltung bei. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) beispielsweise leitete ein Eilverfahren gegen Meta ein und beabsichtigt, das KI-Training für deutsche Betroffene für mindestens drei Monate zu untersagen.²⁴ Die maltesische IDPC äußerte ebenfalls „große datenschutzrechtliche Bedenken“ hinsichtlich Metas Pläne.⁴²
• NOYB hat die nationalen Datenschutzbehörden dafür kritisiert, weitgehend zu schweigen oder „an Relevanz zu verlieren“, was darauf hindeutet, dass diese Untätigkeit NGOs dazu zwingt, selbst rechtliche Schritte einzuleiten.⁹

Die fragmentierte regulatorische Reaktion in ganz Europa, gekennzeichnet durch unterschiedliche Interpretationen der DSGVO und variierende Durchsetzungsmaßnahmen nationaler Datenschutzbehörden und Gerichte, schafft ein komplexes und unsicheres rechtliches Umfeld sowohl für Meta als auch für seine Nutzer. Dieser Mangel an einer einheitlichen Haltung erschwert die Einhaltung und den Schutz der Nutzer.

Die regulatorische Fragmentierung birgt das Risiko eines „Wettlaufs nach unten“ in der KI-Datenverwaltung. Die widersprüchlichen Positionen zwischen der irischen DPC (die Meta grünes Licht gab ⁹) und der Hamburger DPC (die eine kritische Haltung beibehält und Verfahren einleitet ²⁴) offenbaren eine signifikante und problematische Fragmentierung bei der Durchsetzung der DSGVO in der gesamten EU. Das Urteil des OLG Köln ⁶ ist eine „Eilentscheidung“ und kein endgültiges, abschließendes Urteil, was Raum für weitere rechtliche Anfechtungen lässt. Diese fragmentierte Landschaft schafft eine Situation, in der Meta potenziell das günstigste regulatorische Umfeld suchen könnte, wodurch die Harmonisierungsabsicht der DSGVO untergraben würde. NOYBs scharfe Kritik, dass Behörden „schweigen“ ⁹ oder „an Relevanz verlieren“ ¹¹, ist eine schwere Anklage des derzeitigen Durchsetzungsrahmens, die auf eine systemische Schwäche hindeutet. Diese regulatorische Fragmentierung könnte zu einem „Wettlauf nach unten“ bei den Datenschutzstandards für KI führen, bei dem Unternehmen sich in Jurisdiktionen mit nachsichtigeren Interpretationen oder weniger rigoroser Durchsetzung orientieren. Dies benachteiligt letztendlich die Nutzer in der gesamten EU, indem es ein ungleiches Spielfeld für Datenschutzrechte schafft. Es unterstreicht die dringende Notwendigkeit einer stärkeren, einheitlicheren und konsequent angewandten Durchsetzung durch den Europäischen Datenschutzausschuss (EDPB), um einen konsistenten Schutz für alle EU-Bürger zu gewährleisten.

C. Umfassendere regulatorische Rahmenbedingungen

• Datenpunkte:
  • Das kürzlich verabschiedete EU-KI-Gesetz, das sich hauptsächlich auf die sichere technische Entwicklung von KI konzentriert, erkennt den legitimen Zweck der Datennutzung für das KI-Training an (Erwägungsgrund 8).⁷
  • Metas Einstufung als „Gatekeeper“ gemäß dem Digital Markets Act (DMA) spielt ebenfalls eine wichtige Rolle in den laufenden Diskussionen über seine Datenpraktiken.²⁴ NOYB deutet ausdrücklich an, dass die Kombination personenbezogener Daten von Facebook und Instagram für diesen neuen KI-Trainingszweck ohne ausdrückliche Zustimmung einen Verstoß gegen Metas Verpflichtungen gemäß dem DMA darstellen könnte.³⁰

Die Europäische Union ist weltweit führend bei der Schaffung umfassender regulatorischer Rahmenbedingungen für digitale Technologien. Das EU-KI-Gesetz zielt darauf ab, einen robusten Rechtsrahmen für KI-Systeme auf der Grundlage von Risiken zu schaffen, während der Digital Markets Act große Online-Plattformen ins Visier nimmt, um fairen Wettbewerb zu gewährleisten und missbräuchliche Praktiken zu verhindern.

Das Zusammenspiel und potenzielle Konflikte zwischen KI-spezifischen und allgemeinen Datenschutzvorschriften sind von großer Bedeutung. Das EU-KI-Gesetz ⁷ erkennt das KI-Training als legitimen Zweck an, was Meta in seinen Argumenten nutzen kann. Dies muss jedoch mit den strengeren Datenschutzanforderungen der DSGVO ³ und den wettbewerbsrechtlichen Regeln des DMA ²⁴ in Einklang gebracht werden. Es besteht ein potenzielles Spannungsfeld zwischen dem Fokus des KI-Gesetzes auf die Förderung von KI-Innovation und technischer Sicherheit und dem grundlegenden Schwerpunkt der DSGVO auf individuellen Datenrechten.²⁶ Die Besorgnis der Nutzeranfrage über „Nachteile“ für Nutzer ist direkt damit verbunden, wie diese unterschiedlichen, aber sich überschneidenden Regulierungsinstrumente interpretiert, angewendet und gemeinsam durchgesetzt werden. Ein Mangel an klarer Hierarchie oder konsistenter Interpretation dieser Gesetze kann zu rechtlicher Unklarheit und anhaltenden Herausforderungen sowohl für Technologieunternehmen als auch für betroffene Personen führen. Dieses komplexe Zusammenspiel deutet auf ein entstehendes und sich entwickelndes regulatorisches Umfeld hin, in dem verschiedene Rechtsinstrumente sich überschneidende oder sogar widersprüchliche Anforderungen haben könnten. Dies kann zu rechtlicher Unsicherheit führen, Schlupflöcher für Unternehmen schaffen und letztendlich einen wirksamen Nutzerschutz behindern. Es verdeutlicht die Herausforderung, kohärente und umfassende Vorschriften für schnell fortschreitende Technologien wie KI zu schaffen, die mehrere Rechtsbereiche betreffen.

VII. Fazit und Empfehlungen

A. Wichtigste Erkenntnisse

Die intensive und weit verbreitete Medienberichterstattung über Metas Frist zur Ablehnung der KI-Datennutzung ist tatsächlich eine direkte Folge einer tief verwurzelten öffentlichen Skepsis gegenüber Metas historischen Datenpraktiken, die oft durch seinen Ruf als „Datenkrake“ zusammengefasst wird. Diese Skepsis wird durch echte und signifikante Bedenken hinsichtlich der Auswirkungen seiner aktuellen KI-Datenstrategie verstärkt.

Metas KI-Pläne sind für Nutzer aus mehreren kritischen Gründen nachweislich nachteilig: die inhärente Belastung und Komplexität des Opt-out-Modells, die potenzielle Einbeziehung hochsensibler öffentlicher Daten, der unvermeidliche „Beifang-Effekt“, bei dem die Daten einer Person durch die Beiträge anderer erfasst werden können, und, am kritischsten, die nahezu irreversible Natur von Daten, sobald sie in KI-Modelle integriert wurden.

Metas Ansatz unterscheidet sich von einigen großen KI-Anbietern durch seine Abhängigkeit vom „berechtigten Interesse“ als Rechtsgrundlage und einem Opt-out-Modell für das breite öffentliche Datentraining. Im Gegensatz dazu verwenden mehrere Wettbewerber explizitere „Opt-in“-Mechanismen für bestimmte Datentypen oder für ihre geschäftsorientierten KI-Dienste, was eine datenschutzbewusstere Standardeinstellung demonstriert.

Die Rechtslandschaft bleibt umstritten und entbehrt einer einheitlichen Klarheit, gekennzeichnet durch widersprüchliche Interpretationen und unterschiedliche Durchsetzungsmaßnahmen verschiedener europäischer Gerichte und nationaler Datenschutzbehörden. Diese regulatorische Fragmentierung schafft Unsicherheit und Herausforderungen für einen konsistenten Nutzerschutz.

B. Empfehlungen für Nutzer

• Datenschutzeinstellungen aktiv überprüfen und anpassen: Nutzer sollten ihre Datenschutzeinstellungen auf allen Meta-Plattformen (Facebook, Instagram, WhatsApp) regelmäßig überprüfen und anpassen, um zu kontrollieren, wer ihre Inhalte sehen kann und wie sie geteilt werden.¹
• Widerspruchsrechte gewissenhaft ausüben: Wenn Sie verhindern möchten, dass Ihre öffentlichen Daten für das Meta AI-Training verwendet werden, ist es entscheidend, das Widerspruchsformular aktiv vor der angegebenen Frist einzureichen.¹ Seien Sie auf technische Schwierigkeiten oder prozedurale Hürden vorbereitet und bleiben Sie hartnäckig, die während dieses Prozesses auftreten können.¹²
• Öffentliche Beiträge und den „Beifang-Effekt“ beachten: Verstehen Sie, dass alle öffentlich geteilten Inhalte – einschließlich Fotos, Kommentare und Interaktionen – potenziell für das KI-Training verwendet werden können, selbst wenn Sie persönlich widersprechen, aufgrund des „Beifang-Effekts“.³ Erwägen Sie, die Sichtbarkeit vergangener und zukünftiger öffentlicher Beiträge auf ein stärker eingeschränktes Publikum (z.B. „nur Freunde“) zu ändern, um dieses Risiko zu mindern.¹⁰
• Vorsicht bei KI-Interaktionen: Wenn Sie mit Meta AI-Funktionen (z.B. Chatbots in WhatsApp oder Instagram) interagieren, geben Sie keine sensiblen persönlichen oder privaten Informationen ein oder besprechen Sie diese nicht, da diese direkten Interaktionen für das Modelltraining verwendet werden können.¹
• Informiert bleiben und Expertenrat einholen: Bleiben Sie wachsam bezüglich Aktualisierungen der Datenschutzrichtlinien und laufender rechtlicher Entwicklungen im Zusammenhang mit KI und Datennutzung. Zögern Sie nicht, Verbraucherschutzorganisationen oder Rechtsexperten zu konsultieren, wenn Sie erhebliche Bedenken haben oder Unterstützung bei der Ausübung Ihrer Datenrechte benötigen.⁴³

C. Empfehlungen für Regulierungsbehörden und politische Entscheidungsträger

• Harmonisierung der DSGVO-Durchsetzung und -Interpretation: Der Europäische Datenschutzausschuss (EDPB) muss klarere, rechtsverbindliche Leitlinien zur Anwendung des „berechtigten Interesses“ für das KI-Training herausgeben und aktiv einen konsistenten „Opt-in“-Standard in allen EU-Mitgliedstaaten fördern, insbesondere für sensible Daten und das Training grundlegender KI-Modelle.
• Verpflichtung zu benutzerfreundlichen und effektiven Opt-out-Mechanismen: Regulierungsbehörden sollten die Implementierung transparenter, leicht auffindbarer und wirklich zugänglicher Opt-out-Verfahren durchsetzen, die nicht auf „Dark Patterns“ beruhen oder den Nutzern unzumutbare Belastungen auferlegen, wie z.B. die Notwendigkeit umfangreicher Begründungen. Es muss sichergestellt werden, dass Opt-out-Anfragen automatisch und effektiv ohne willkürliche Überprüfungen oder Verzögerungen erfüllt werden.
• Umgang mit Datenirreversibilität in KI-Modellen: Es müssen robuste rechtliche und technische Rahmenbedingungen entwickelt werden, um die beispiellose Herausforderung der Datenunwiederbringlichkeit aus trainierten KI-Modellen direkt anzugehen. Dies kann die Verpflichtung von Unternehmen erfordern, effektive „Unlern“-Mechanismen nachzuweisen oder strengere Zustimmungsanforderungen für Daten aufzuerlegen, die nicht effektiv aus KI-Systemen entfernt werden können.
• Verbesserung der algorithmischen Transparenz: KI-Entwickler müssen zu deutlich mehr Transparenz hinsichtlich der Datennutzung für das Training verpflichtet werden, einschließlich detaillierter Bewertungen des berechtigten Interesses (LIAs) und klarer, verständlicher Erklärungen der algorithmischen Prozesse und ihrer potenziellen Auswirkungen auf Einzelpersonen.
• Stärkung der aktiven Aufsicht und Durchsetzung: Datenschutzbehörden müssen proaktiv die Einhaltung überwachen, regelmäßige und unangekündigte Audits durchführen und erhebliche, abschreckende Strafen für Verstöße verhängen, um sicherzustellen, dass Technologieunternehmen die Nutzerrechte und den Datenschutz wirklich über rein kommerzielle Interessen stellen.

D. Empfehlungen für Technologieunternehmen

Förderung echten Nutzervertrauens durch Transparenz: Es muss eine klare, ehrliche und unmissverständliche Kommunikation über Datenpraktiken und KI-Funktionalitäten erfolgen. Irreführende Sprache, versteckte Klauseln oder übermäßig komplexe Verfahren, die die Nutzerautonomie untergraben und das öffentliche Vertrauen erodieren, sind zu vermeiden.

Datenschutz durch Design und Opt-in-Standardeinstellungen übernehmen: Robuste Datenschutzmaßnahmen müssen von Anfang an in das Kerndesign und die Architektur aller KI-Systeme integriert werden. Die „Opt-in“-Zustimmung sollte als Standard für jedes KI-Training, das personenbezogene Daten umfasst, implementiert werden, insbesondere für sensible Datenkategorien.

Engagement für ethische KI-Prinzipien: Ethische Überlegungen, einschließlich Fairness, Rechenschaftspflicht, Transparenz und menschliche Aufsicht, müssen während des gesamten KI-Entwicklungszyklus, von der Datenerfassung bis zur Modellbereitstellung, priorisiert und verankert werden.

Investition in „Unlern“-Fähigkeiten: Erhebliche Forschungs- und Entwicklungsressourcen müssen für die Erforschung und Implementierung technischer Lösungen zur effektiven Entfernung spezifischer Datenpunkte oder Muster aus trainierten KI-Modellen bereitgestellt werden, um so das Grundrecht auf Löschung zu wahren.