Die Entscheidung im Überblick

Der Fall ist in zwei Teile zerfallen, und der interessantere ist der, auf den es nicht ankam.

Formell geht es um eine Frist. Die niederländische Stiftung SOMI — als qualifizierte Einrichtung nach § 3 Abs. 1 Nr. 1 UKlaG in das Verzeichnis der Europäischen Kommission eingetragen — wollte Meta im Eilverfahren untersagen lassen, auf Facebook und Instagram veröffentlichte Inhalte auf Grundlage des berechtigten Interesses für die Entwicklung von KI-Technologien zu verarbeiten. Meta hatte das am 14. April 2025 angekündigt und am 27. Mai 2025 begonnen; der Eilantrag ging am 27. Juni 2025 ein. Der Senat sieht darin ein dringlichkeitsschädliches Zuwarten: Wer nach der öffentlichen Ankündigung einer beanstandeten Praktik bis zu deren Beginn wartet, obwohl ein Antrag vorher möglich gewesen wäre, kann sich auf die Eilbedürftigkeit nicht mehr berufen — jedenfalls bei mehr als einem Monat zwischen Ankündigung und Beginn. Dass der Verband erst über eigene Nutzerkonten oder Organmitglieder Kenntnis erlangt, ändert daran nichts; eine förmliche Zustellung ist nicht erforderlich. Und die Unzufriedenheit mit dem Ausgang eines parallelen Verfahrens begründet keine neue Dringlichkeit.

Materiell — und das ist der Teil, der über den Einzelfall hinausweist — prüft der Senat im Rahmen der Dringlichkeit, wie erkennbar der beanstandete Verstoß schon bei der Ankündigung war. Dabei fallen drei Sätze, die für jede Bewertung von KI-Training an Plattformdaten Gewicht haben.

Erstens zur Rechtsgrundlage: Die Verarbeitung sensibler Daten besonderer Kategorien von Personen, die nicht als Nutzer registriert sind und deren Daten ohne ihre Einwilligung von registrierten Nutzern veröffentlicht wurden, ist nach Rn. 52 „grundsätzlich nach Art. 9 Abs. 1 DSGVO untersagt und kann nicht Gegenstand einer Abwägung nach Art. 6 Abs. 1 Satz 1 lit. f) DSGVO sein”. Das berechtigte Interesse trägt bei Art.-9-Daten schlicht nicht — eine Feststellung, die Meta in dieser Klarheit vermeiden wollte.

Zweitens zum Personenbezug im Modell: Meta hatte vorgetragen, die Wahrscheinlichkeit einer Ausgabe personenbezogener Daten sei „äußerst gering”. Der Senat dreht das Argument um. Wenn das Modell solche Daten ausgeben kann, obwohl es programmiertechnisch dazu angehalten ist, es nicht zu tun, dann erscheine es „als gesichert, dass solche Daten im KI-Modell selbst und damit auch im Trainingsdatensatz enthalten sind”. De-Identifizierung und Tokenisierung schließen den Personenbezug nicht zuverlässig aus — sie können bei Umprogrammierung des Ausgabe-Prompts oder bei Auswertung des Lerndatensatzes mit einem KI-Modell „erwartbar durchaus ganz oder teilweise rückgängig gemacht werden”.

Drittens zur Rechtsdurchsetzung: Anders als bei Suchmaschinen ist es Betroffenen nicht möglich herauszufinden, ob ihre Daten oder Abbildungen im Lerndatensatz und damit gegebenenfalls im Modell verwendet werden. Der Senat benennt damit ein strukturelles Problem — wer nicht weiß, ob er betroffen ist, kann seine Rechte nicht ausüben.

Beteiligt war auch die Aufsicht: Der Senat hat den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit nach § 12a UKlaG vor der Entscheidung angehört; dessen Stellungnahme in der mündlichen Verhandlung vom 5. August 2025 stützt die Einschätzung des Gerichts.

Hintergrund und Einordnung

Die Entscheidung ist kein Sachurteil. Sie weist den Eilantrag als unzulässig zurück, und alles zu Art. 9 DSGVO steht im Zusammenhang der Dringlichkeitsprüfung. Für die Praxis heißt das: Meta ist nichts untersagt worden, und die Aussagen binden kein Hauptsacheverfahren. Sie sind trotzdem verwertbar, weil hier erstmals ein deutsches Obergericht ausdrücklich feststellt, dass die von Anbietern vorgetragenen Schutzvorkehrungen den Personenbezug im Trainingsdatensatz nicht beseitigen.

Für die Verbandsklagepraxis ist die Dringlichkeitsregel die eigentliche Neuigkeit — und ein unangenehmer Befund. Große Datenverarbeitungen werden regelmäßig mit mehrwöchigem Vorlauf angekündigt; genau diese Ankündigung setzt nach dieser Entscheidung die Uhr in Gang. Wer die Rechtslage erst prüfen, Gutachten einholen und die Aufsicht befassen will, hat die Frist schon verloren, bevor die Verarbeitung überhaupt beginnt. Verbände müssen also vor dem Start antragen oder ganz auf die Hauptsache setzen.

Für Verantwortliche, die selbst mit Nutzerdaten trainieren wollen, ergibt sich aus Rn. 52 eine konkrete Prüffrage: Nicht „ist unser berechtigtes Interesse überwiegend?”, sondern zuerst „enthält unser Trainingskorpus Daten besonderer Kategorien von Personen, die dem nie zustimmen konnten?”. Bei nutzergenerierten Inhalten aus sozialen Netzwerken ist die Antwort praktisch immer ja — Gesundheitsangaben, politische Meinungen, Religionszugehörigkeit und Sexualleben Dritter stehen in Beiträgen, die andere über sie verfasst haben. Nach der Lesart des Senats ist damit die Abwägung nach Art. 6 Abs. 1 Buchst. f DSGVO für diesen Teil des Korpus gar nicht eröffnet.

Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://www.gesetze-rechtsprechung.sh.juris.de/bssh/document/NJRE001616802