Kinderdaten können in Metas KI-Training einfließen

Wenn volljährige Nutzer öffentliche Beiträge mit personenbezogenen Daten von Kindern teilen, können diese Daten ungefragt in die Trainingsdaten für Metas künstliche Intelligenz einfließen. Das Schleswig-Holsteinische Oberlandesgericht hält in seinem Urteil vom 12.08.2025 fest, dass Betroffene ohne eigenen Account von einer solchen Nutzung im Zweifel nichts wissen und ihre Daten weder im Trainingsdatensatz noch innerhalb der Daten des KI-Modells selbst identifizieren können, um eine unzulässige Verarbeitung zu beanstanden. Nach eigener Aussage schloss Meta laut dem Gericht nicht aus, dass besonders geschützte personenbezogene Daten wie Angaben zu ethnischer Herkunft oder sexueller Orientierung auch ohne Einverständnis der Betroffenen verarbeitet und von den KI-Modellen ausgegeben werden könnten.

Die Ankündigung vom 14. April 2025

Meta kündigte in einer Mitteilung vom 14. April 2025 an, künftig öffentliche Inhalte wie Beiträge und Kommentare erwachsener Nutzer in der EU für das Training seiner KI-Modelle zu verwenden, ebenso Interaktionen mit Meta AI. Nach eigenen Worten hatte der Konzern das Training seiner großen Sprachmodelle mit öffentlichen Inhalten im Vorjahr verzögert, während Aufsichtsbehörden rechtliche Anforderungen klärten. Er sah sich durch eine Stellungnahme des Europäischen Datenschutzausschusses vom Dezember bestätigt. Die irische Datenschutzkommission (DPC) hatte diese Stellungnahme laut eigener Erklärung bereits im September 2024 beim Ausschuss beantragt, um europaweite regulatorische Harmonisierung und Klarheit zu wesentlichen Fragen des KI-Trainings und -Einsatzes zu erreichen. Nach Angaben der Behörde hatte Meta sein Vorhaben schon im März 2024 angemeldet und war nach ihren Bedenken im Juni 2024 zu einer Pause bereit.

Zwei Eilverfahren, zwei Niederlagen für Verbraucherschützer

Die Verbraucherzentrale Nordrhein-Westfalen sah in der Ankündigung Metas einen unzulässigen Eingriff: Das Unternehmen habe Erforderlichkeit und Angemessenheit des Trainings nicht nachgewiesen und verstoße zudem gegen das Verarbeitungsverbot für besondere Datenkategorien. Das Oberlandesgericht Köln wies den Antrag auf eine einstweilige Verfügung am 23.05.2025 zurück und sah bei summarischer, also vorläufiger Prüfung keinen Unterlassungsanspruch. Der Senat hielt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO für die entscheidende Rechtsgrundlage, weil andere Rechtsgrundlagen nicht ersichtlich seien. Die Einbringung von Facebook- und Instagramdaten in einen gemeinsamen Trainingsdatensatz wertete er nicht als verbotene Zusammenführung im Sinne des Digital Markets Act. Dabei konnte der Senat im Eilverfahren weder eine Stellungnahme der EU-Kommission einholen noch den Europäischen Gerichtshof anrufen.

Die zweite Klage scheiterte an einer anderen Hürde: SOMI reichte ihren Eilantrag erst am 27.06.2025 ein, einen Monat nach dem von Meta angekündigten Trainingsbeginn am 27. Mai 2025. Der Senat des Schleswig-Holsteinischen Oberlandesgerichts verwies darauf, dass Meta sein Vorhaben bereits 2024 öffentlich und im April 2025 per E-Mail konkret angekündigt hatte, SOMI die Möglichkeit einer unzulässigen Nutzung also spätestens seit einer E-Mail vom 19.04.2025 kannte. Wegen des langen Abwartens sei die Sache nicht eilbedürftig, SOMI müsse etwaige Ansprüche in einer Hauptsacheklage verfolgen.

Wie Meta die Nutzung begrenzt und wo Kritiker Lücken sehen

¶ Meta kündigte am 14. April 2025 an, über ein Widerspruchsformular zu informieren, das sowohl bereits eingegangene als auch neu eingereichte Widersprüche berücksichtigt. Öffentliche Daten aus Konten von unter 18-Jährigen in der EU seien ausgeschlossen, private Nachrichten blieben unberührt, es sei denn, jemand teile sie aktiv mit der KI.

Die Organisation noyb hält diese Zusagen für unzureichend: Ein Opt-out erfasse Personen ohne eigenen Meta-Account praktisch nicht, etwa wenn mehrere Menschen auf einem Bild im Konto einer anderen Person zu sehen seien. Noyb bezweifelt zudem, dass Meta zwischen Nutzern mit und ohne Widerspruch technisch saubere Grenzen ziehen kann. Die Organisation verweist darauf, dass sich die Verarbeitung besonderer Datenkategorien wie religiöser Überzeugungen oder sexueller Orientierung nicht auf berechtigtes Interesse stützen lasse. Im Mai 2025 warf die Organisation Meta zudem vor, Nutzer müssten trotz eines bereits 2024 akzeptierten Widerspruchs gegen KI-Training erneut widersprechen. Noyb bezeichnet seine rechtliche Analyse selbst als vorläufig und auf die von Meta bereitgestellten, begrenzten Informationen gestützt.

Die Datenschutzaufsicht Niedersachsens weist zudem darauf hin, dass Dritte ohne eigenen Account ihr Recht auf Löschung zwar grundsätzlich geltend machen können, dafür aber wissen müssten, dass jemand ihre Daten öffentlich gepostet hat, was in der Praxis häufig nicht der Fall sei. Einmal trainierte Daten ließen sich laut der Behörde nach dem damaligen Stand der Technik zudem nicht mehr aus dem KI-Modell entfernen, ein Widerspruch wirke sich daher vor allem auf die künftige Nutzung aus.

Die irische DPC, die als federführende Behörde für viele in Irland niedergelassene Technologieunternehmen zuständig ist, beschreibt ihre eigene Rolle in einem Bericht vom 9. September 2026 selbst als begrenzt: Ihre Supervisionsfunktion führe keine vollständigen Konformitätsprüfungen durch, sondern konzentriere sich auf rote Linien, hohe Risiken und wahrscheinliche Schäden, getrennt von der Bearbeitung von Beschwerden. Der Bericht bezieht sich nach Angaben der DPC auf ihre Aufsicht über KI-Produkte und -Dienste zwischen 2021 und 2025. Der Europäische Datenschutzausschuss verlangt in seiner Stellungnahme für die Berufung auf berechtigtes Interesse dagegen eine dreistufige Prüfung aus Interesse, Erforderlichkeit und einer Abwägung, die auch die vernünftigen Erwartungen der Betroffenen berücksichtigt.

Die brasilianische Datenschutzbehörde ANPD hatte das Training im Juli 2024 wegen drohender schwerer Schäden zunächst vorbeugend untersagt und die Aussetzung erst im August 2024 unter Auflagen und laufender Überwachung aufgehoben. Der Hamburgische Beauftragte für Datenschutz verzichtete dagegen bewusst auf ein eigenes nationales Eilverfahren, um ein europaweit einheitliches Vorgehen der Aufsichtsbehörden nicht zu gefährden.

Unabhängig von den gescheiterten Eilanträgen hat das Bundesamt für Justiz im Juni 2026 eine Verbandsklage der SOMI gegen Meta öffentlich bekannt gemacht, mit der Verbraucher und kleine Unternehmen Schadensersatz für die Verarbeitung ihrer Daten zu KI-Trainingszwecken anmelden können. Wissenschaftler zeigten in einer Studie zur Extraktion von Trainingsdaten, dass sich aus Sprachmodellen wie Pythia, LLaMA oder ChatGPT mit gezielten Abfragen Gigabytes an Trainingsdaten extrahieren lassen. Eine Extraktion der hier behandelten Facebook- oder Instagram-Daten wird im Abstract der Studie nicht genannt. Die Studienautoren weisen jedoch darauf hin, dass ihre Schätzmethode bei zu wenigen Daten die tatsächliche Zahl unterschiedlicher extrahierbarer memorierter Beispiele systematisch unterschätzt.

Der Berichtsauftrag und die Verbandsklage

Die DPC hatte Meta aufgetragen, im Oktober 2025 über Wirksamkeit und Angemessenheit seiner Maßnahmen zu berichten, ohne die Verarbeitung zu verbieten. Ansprüche zur Verbandsklage können bis drei Wochen nach dem Schluss der mündlichen Verhandlung beim Bundesamt für Justiz angemeldet werden.