Die italienische Datenschutzbehörde (Garante) hat eine Sanktion in Höhe von 158.000 Euro gegen das US-Unternehmen Character Technologies Inc. (3. Juli 2026, Nr. 487) verhängt. Der Anbieter des generativen KI-Dienstes Character.AI steht wegen erheblicher Mängel beim Schutz Minderjähriger, intransparenter Informationspolitik und struktureller Defizite in der Kritik.
Grenzüberschreitende Zuständigkeit ohne EU-Niederlassung
Der Fall verdeutlicht die praktische Bedeutung des in der DSGVO verankerten Marktortprinzips. Die italienische Datenschutzbehörde begründete ihre Zuständigkeit gegenüber dem in Kalifornien ansässigen Unternehmen mit Art. 3 Abs. 2 lit. a DSGVO. Danach unterliegt auch ein außerhalb der Europäischen Union ansässiger Anbieter der DSGVO, wenn er betroffenen Personen in der Union Waren oder Dienstleistungen anbietet.
Nach Auffassung der Garante war dieses sogenannte Targeting-Kriterium erfüllt, da Character.AI seinen Dienst unter anderem in italienischer Sprache bereitstellte und sich seine Datenschutzinformationen ausdrücklich an Personen im Europäischen Wirtschaftsraum richteten. Damit war die Verarbeitung personenbezogener Daten italienischer Nutzer vom räumlichen Anwendungsbereich der DSGVO erfasst.
Da Character Technologies über keine Niederlassung in der Europäischen Union verfügte, kam der One-Stop-Shop-Mechanismus nach Art. 56 DSGVO nicht zur Anwendung. Die Garante konnte ihre Aufsichts- und Abhilfebefugnisse daher unmittelbar auf Grundlage von Art. 58 DSGVO ausüben. Der Fall zeigt damit, dass auch Anbieter mit Sitz außerhalb der EU unmittelbar durch nationale Datenschutzbehörden sanktioniert werden können, sofern sie ihre Dienste gezielt auf Nutzer im europäischen Markt ausrichten. Diese Entscheidung verdeutlicht die strikte Anwendung der DSGVO auf KI-Systeme, die sich an Nutzer im europäischen Wirtschaftsraum richten, unabhängig vom Sitz des Anbieters.
Defizite bei Transparenz und Informationspflichten
Die Behörde stellte fest, dass die Informationspflichten gegenüber den betroffenen Personen nicht ausreichend erfüllt wurden. Die Datenschutzerklärung war nach dem Start des Dienstes in Italien zunächst ausschließlich auf Englisch verfügbar und enthielt zudem irreführende Angaben zu den Rechtsgrundlagen sowie unpräzise Kriterien für Speicherfristen. Kritisiert wurde zudem eine unklare Darstellung der Datenübermittlung in Drittländer ohne ausreichende Benennung der Empfängerländer oder der genutzten Angemessenheitsbeschlüsse.
Unzureichender Schutz Minderjähriger und technisches Design
Ein zentraler Vorwurf betraf die mangelhaften technischen Schutzmaßnahmen für Kinder und Jugendliche. Es wurde festgestellt, dass die Verfahren zur Altersüberprüfung in der Praxis nicht zuverlässig funktionierten, wodurch sich auch unter 16-Jährige problemlos registrieren konnten. Darüber hinaus waren Profile von Minderjährigen standardmäßig öffentlich eingestellt, was einen Verstoß gegen den Grundsatz des Privacy by Default darstellte. Das Unternehmen wurde nun verpflichtet, wirksame Sperrmechanismen gegen Neuregistrierungen und einen voreingestellten privaten Modus für Minderjährige umzusetzen.
Verspätete Rechenschaftspflicht und fehlende Vertretung
Die Untersuchung ergab ferner, dass Character Technologies die zwingend erforderliche Datenschutz-Folgenabschätzung erst Jahre nach dem Launch und erst nach einer ersten Anfrage der Behörde formalisierte. Auch die gesetzlich vorgeschriebene Benennung eines Vertreters in der EU erfolgte deutlich zu spät. Ein fehlerhafter Kontaktlink in der Datenschutzerklärung erschwerte zudem zeitweise die Ausübung von Betroffenenrechten und die Kommunikation mit der Behörde.
Herausforderungen beim KI-Training und Löschpflichten
Hinsichtlich des Pre-Trainings der Sprachmodelle stellte die Garante fest, dass die Informationspflichten gegenüber den Betroffenen verletzt wurden, da die Nutzung öffentlich zugänglicher Datensätze das Unternehmen nicht von der Pflicht entbindet, über die Verarbeitung aufzuklären. Ein Verstoß gegen das Widerspruchsrecht wurde hingegen abgelehnt, da die entsprechenden europäischen Leitlinien erst nach der fraglichen Trainingsphase veröffentlicht wurden. Das Unternehmen muss nun prüfen, ob für die weitere Aufbewahrung der für das Training genutzten Daten italienischer Betroffener eine gültige Rechtsgrundlage besteht, oder diese andernfalls vollständig löschen.
Handlungsbedarf für Unternehmen
KI-Anbieter müssen sicherstellen, dass eine umfassende Datenschutz-Folgenabschätzung bereits in der Entwurfsphase des Systems erstellt wird. Alle Transparenzinformationen müssen in der jeweiligen Landessprache der Zielgruppe vorliegen und klare, eindeutige Rechtsgrundlagen für jeden Verarbeitungszweck benennen. Besonders bei Diensten, die Minderjährigen zugänglich sind, ist die Wirksamkeit technischer Alterskontrollen sowie die datenschutzfreundliche Voreinstellung von Nutzerprofilen essenziell.
Fazit
Der Fall Character.AI zeigt, dass die europäischen Aufsichtsbehörden den gesamten Lebenszyklus von KI-Systemen – vom Training bis zur Bereitstellung – streng überwachen. Für Unternehmen bedeutet dies, dass regulatorische Anforderungen nicht hinter technischen Innovationen zurücktreten dürfen und insbesondere der Schutz vulnerabler Nutzergruppen eine proaktive Gestaltung der Systemarchitektur erfordert.
KI-Compliance aus einer Hand
Künstliche Intelligenz rechtssicher nutzen & entwickeln
- KINAST KI-Beratung
- KINAST externer KI-Beauftragter
- KINAST KI-Kompetenz-Schulungen
