Wenn KI-Tools eingegebene Kundendaten zum Training eigener Modelle verwenden, überschreiten sie laut Datenschutzexperten den ursprünglichen Erhebungszweck. Das OLG Köln bestätigte zwar, dass KI-Training mit öffentlichen Daten zulässig sein kann. Voraussetzung ist jedoch eine dreistufige DSGVO-Prüfung mit vollständiger Mittelständische E-Commerce-Unternehmen, die KI-Agenturen mit der Verarbeitung von Markendaten beauftragen, tragen als Verantwortliche im Sinne der DSGVO das rechtliche Risiko selbst. Fehlt eine geeignete Rechtsgrundlage nach Art. 6 DSGVO, drohen Datenschutzverstöße mit erheblichen Bußgeldern. Unternehmen sollten daher vertraglich sicherstellen, dass Anbieter Eingabedaten nicht für das Modelltraining nutzen, und entsprechende Nachweise einfordern.

KI-Training auf Kundenmarken: Was Datenschutz, Eigentumsrechte und Verträge jetzt bedeuten

Das Oberlandesgericht Köln hat entschieden, dass Meta öffentliche Social-Media-Daten für das KI-Training verwenden darf. Dieses Urteil markiert einen Wendepunkt: Auch mittelständische E-Commerce-Unternehmen müssen prüfen, welche ihrer Markendaten KI-Anbieter zu Trainingszwecken einsetzen dürfen und unter welchen Bedingungen das rechtlich zulässig ist.

Das Grundproblem: Zweckbindung und berechtigtes Interesse

Wenn Unternehmen KI-Tools für Produkttexte, Kategorisierung oder Kundenkommunikation einsetzen, geben sie dabei häufig Daten weiter, die über den ursprünglichen Verarbeitungszweck hinaus genutzt werden könnten. Anbieter, die eingegebene Daten auch für das Weitertraining ihrer Modelle verwenden, müssen laut dr-datenschutz.de nachweisen, dass diese Nutzung vom ursprünglichen Erhebungszweck gedeckt ist oder auf einer eigenen Rechtsgrundlage beruht.

Das Training mit personenbezogenen Daten ist gemäß Art. 6 DSGVO nur zulässig, wenn eine geeignete Rechtsgrundlage vorliegt. Enthält ein Trainingsdatensatz personenbezogene Informationen, etwa Kundennamen, Bestelldaten oder auch nur IP-Adressen, greifen die DSGVO-Anforderungen uneingeschränkt. Ein Datenschutzverstoß kann bei KI-Trainingsdaten erhebliche Konsequenzen haben, weil fehlerhaft verarbeitete Daten strukturell ins Modell eingearbeitet werden.

Vier praktische Implikationen für Entscheider

1. Berechtigtes Interesse erfordert eine dreistufige Prüfung

Das KI-Training mit personenbezogenen Daten kann ohne Einwilligung zulässig sein, wenn ein berechtigtes Interesse vorliegt und dieses einer dreistufigen Prüfung standhält, so KPMG. Diese Prüfung umfasst die Feststellung des Interesses, eine Notwendigkeitsprüfung und eine Abwägung mit den Rechten der Betroffenen. Unternehmen, die eigene KI-Modelle trainieren oder Dienstleistern Zugang zu Kundendaten gewähren, müssen diese Prüfung dokumentieren. Eine fehlende Dokumentation ist dabei selbst ein Verstoß.

Wer bereits KI-gestützte Produktbeschreibungen oder semantische Shopsuche im Einsatz hat, sollte prüfen, ob der jeweilige Anbieter Eingabedaten für eigene Trainingszwecke verwendet.

2. Vertragliche Klarheit über Datennutzung ist Pflicht

Viele SaaS-Verträge erlauben die Nutzung eingegebener Daten zur Modellverbesserung im Kleingedruckten. Für Unternehmen mit proprietären Katalogdaten, Vertragspreisen oder Kundensegmentierungsdaten ist das ein reales Risiko. Wettbewerbsrelevante Markendaten können so mittelbar in allgemeine Modelle einfließen, ohne dass der Anbieter dagegen gesichert ist.

Vor dem Einsatz von KI-Tools im B2B-Kundenportal oder bei der automatisierten Kundenkommunikation sollten Verträge explizit regeln, ob und für welche Zwecke Eingabedaten gespeichert und genutzt werden dürfen.

3. Technische Schutzmaßnahmen sind kein optionaler Zusatz

Laut KPMG müssen Unternehmen neben der rechtlichen Prüfung auch technische Schutzmaßnahmen nachweisen können. Dazu zählen Anonymisierung und Pseudonymisierung vor dem Training, Zugriffsbeschränkungen sowie Maßnahmen zur Datensparsamkeit. Diese Maßnahmen sind nicht nur eine datenschutzrechtliche Anforderung, sondern auch ein Schutz vor dem ungewollten Abfluss von Markenwissen.

Wer KI in der Produktdatenvalidierung oder im Kampagnen-Asset-Workflow nutzt, sollte gemeinsam mit dem Datenschutzbeauftragten ein technisches Schutzkonzept definieren.

4. Transparenzpflichten gegenüber Betroffenen gelten auch im B2B-Kontext

Auch wenn Trainingsdaten aus dem B2B-Bereich stammen, können natürliche Personen betroffen sein, etwa Einkäufer oder Ansprechpartner. Unternehmen müssen laut KPMG Transparenz gegenüber diesen Betroffenen sicherstellen und in ihrer Dokumentation belegen, wie diese Anforderung erfüllt wird. Das gilt auch dann, wenn die Daten ursprünglich für einen anderen Zweck erhoben wurden.

Bestehende Datenschutzhinweise, etwa in der Datenschutzerklärung oder den AGB, sollten auf den KI-Trainingseinsatz hin geprüft und bei Bedarf ergänzt werden.

Fazit

Die Rechtslage ist komplex, aber handhabbar. Das OLG-Köln-Urteil zeigt, dass KI-Training mit externen Daten unter Bedingungen zulässig sein kann. Für Unternehmen bedeutet das: Wer KI-Tools einsetzt, muss die vertragliche Datenkontrolle, die DSGVO-Rechtsgrundlagen und technische Schutzmaßnahmen aktiv steuern, nicht delegieren. Gerade im E-Commerce, wo Produktdaten, Preislogiken und Kundensegmente echten Wettbewerbswert haben, ist das keine rein juristische Frage.

Quellen

• KI-Training und Datenschutz: Darauf kommt es an (KPMG)
• Training von KI-Systemen: Chancen und rechtliche Grenzen (dr-datenschutz.de)
• KI-Training und DSGVO: So vermeiden Unternehmen Datenschutzverstöße (btl-recht.de)

Häufige Fragen

Darf ein KI-Anbieter die Eingaben meiner Kunden für das Training seiner Modelle nutzen?

Nur unter strengen Voraussetzungen. Nutzt ein Anbieter eingegebene Daten zur Weiterentwicklung seiner KI, geht das in der Regel über den ursprünglichen Erhebungszweck hinaus. Eine Rechtsgrundlage nach Art. 6 DSGVO ist zwingend erforderlich. Fehlt diese, ist die Verarbeitung rechtswidrig. Prüfen Sie die AGB und Auftragsverarbeitungsverträge Ihres KI-Anbieters gezielt auf entsprechende Klauseln.

Kann unser Unternehmen KI-Modelle mit Kundendaten trainieren, ohne eine Einwilligung einzuholen?

Ja, unter bestimmten Bedingungen. Das Training ist ohne Einwilligung zulässig, wenn ein gut begründetes berechtigtes Interesse vorliegt und eine dreistufige Interessenabwägung positiv ausfällt. Zusätzlich sind eine Risikobewertung, technische Schutzmaßnahmen und Transparenz gegenüber den betroffenen Personen erforderlich. Eine sorgfältige Dokumentation ist dabei keine Kür, sondern Pflicht.

Welche Datenschutzrisiken entstehen speziell beim KI-Training im E-Commerce?

E-Commerce-Daten enthalten häufig direkte und indirekte personenbezogene Informationen, etwa Kaufhistorien, IP-Adressen oder Verhaltensmuster. Die DSGVO gilt für all diese Daten uneingeschränkt. Werden sie ohne hinreichende Rechtsgrundlage für das KI-Training genutzt, drohen empfindliche Bußgelder. Besonders riskant ist der Einsatz externer KI-Tools, deren Trainingspraktiken vertraglich nicht eindeutig geregelt sind.

Was hat das Urteil des OLG Köln zu Meta für mittelständische E-Commerce-Unternehmen zu bedeuten?

Das Oberlandesgericht Köln hat entschieden, dass Meta öffentliche Social-Media-Daten für das KI-Training nutzen darf. Das Urteil zeigt, dass eine Nutzung öffentlich zugänglicher Daten grundsätzlich möglich ist. Für Unternehmen bedeutet das: Auch eigene öffentliche Markendaten könnten von Dritten für KI-Training herangezogen werden. Eine vertragliche Absicherung und klare Nutzungsrechte bleiben dennoch unerlässlich.

Wie dokumentieren wir den datenschutzkonformen Einsatz von KI-Training gegenüber Aufsichtsbehörden?

Unternehmen müssen nachweisen können, dass alle datenschutzrechtlichen Anforderungen erfüllt sind. Dazu gehören eine vollständige Risikobewertung, der Einsatz technischer Schutzmaßnahmen sowie Transparenz gegenüber betroffenen Personen. Ohne ausführliche Dokumentation ist eine Verteidigung gegenüber Aufsichtsbehörden kaum möglich. Empfehlenswert ist ein internes KI-Datenschutzkonzept, das laufend aktualisiert wird.

---

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.