Wenn die KI im Marketing entscheidet: Welche Kennzeichnungs- und Dokumentationspflichten der EU AI Act ab 2026 für automatisierte Werbeprozesse vorschreibt

Wenn die KI im Marketing entscheidet: Kennzeichnungs- und Dokumentationspflichten unter dem EU AI Act ab 2026

Automatisierte Werbeprozesse gehören längst zum Standardrepertoire mittlerer und großer Unternehmen: KI-Systeme übernehmen Anzeigenausspielung, Zielgruppensegmentierung, Texterstellung und Gebotssteuerung. Dieser Artikel referiert, welche rechtlichen Anforderungen der EU-Verordnung über künstliche Intelligenz (EU AI Act, Verordnung (EU) 2024/1689) sowie des geltenden Datenschutz- und Telekommunikationsrechts für genau diese Prozesse relevant sind. Er richtet sich an Geschäftsführungen, die den Überblick über die geltende Normenlage benötigen, ohne selbst Primärrechtstexte auswerten zu müssen.

Art. 50 KI-VO: Transparenzpflichten für KI-erzeugte Marketinginhalte

Die Verordnung (EU) 2024/1689 über künstliche Intelligenz wurde am 13. Juni 2024 erlassen ¹. Ihre Transparenzpflichten — konkret Art. 50 — gelten seit dem 2. August 2026 ¹.

Art. 50 KI-VO regelt zwei Arten von Transparenz: die Offenlegung gegenüber Personen, die mit einem KI-System interagieren, und die Kennzeichnung KI-erzeugter oder -manipulierter Inhalte ¹.

Im Werbeumfeld können etwa Chatbots auf Produktseiten (Interaktion) und KI-erzeugte Bild-, Video- oder Textinhalte (Kennzeichnung) berührt sein. Welche Pflicht im Einzelfall wen trifft, hängt von der Rolle im Umgang mit dem KI-System und von der Art des Inhalts ab.

Offen und damit noch ohne abschließende Klärung ist die Frage, wo die Schwelle zwischen „KI-manipuliert" und bloß technisch bearbeitetem Inhalt liegt. Die Norm verwendet den Begriff „manipuliert" ohne ihn näher zu definieren. Aufsichtsbehörden haben hierzu nach aktuellem Stand noch keine einheitliche Praxis entwickelt.

Was das operativ bedeutet

Für Unternehmen, die Programmatic-Advertising-Kampagnen mit automatisch generierten Anzeigentexten betreiben, stellt sich die Frage, ob diese Texte unter die Kennzeichnungspflicht fallen. Gleiches gilt für dynamisch erzeugte Produktbeschreibungen in Display-Ads oder KI-personalisierte E-Mail-Betreffzeilen.

Art. 5 DSGVO: Grundsätze und Rechenschaftspflicht bei datengetriebener Werbung

Art. 5 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) bindet jede Verarbeitung personenbezogener Daten an sechs Grundsätze ²: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz (lit. a); Zweckbindung (lit. b); Datenminimierung (lit. c); Richtigkeit (lit. d); Speicherbegrenzung (lit. e); Integrität und Vertraulichkeit (lit. f) ².

Für KI-gestützte Zielgruppensegmentierung und verhaltensbasiertes Targeting ist der Grundsatz der Zweckbindung besonders relevant: Daten, die für einen bestimmten Zweck erhoben wurden, dürfen nicht ohne weiteres für einen anderen Zweck — etwa das Trainieren interner KI-Modelle für Werbezwecke — verwendet werden.

Entscheidend ist Art. 5 Abs. 2 DSGVO: Der Verantwortliche ist für die Einhaltung der Grundsätze des Abs. 1 nicht nur verantwortlich, sondern muss deren Einhaltung auch nachweisen können ². Die Nachweislast trifft damit den Verantwortlichen, nicht die betroffene Person ². Das bedeutet: Wer KI-Systeme im Marketing einsetzt, muss dokumentieren, welche Daten auf welcher Grundlage in welchen Prozessschritt eingehen — und zwar so, dass er diesen Nachweis im Zweifelsfall gegenüber einer Aufsichtsbehörde führen kann.

Praktische Konsequenz der Rechenschaftspflicht

Automatisierte Werbeprozesse, die im Hintergrund laufen und deren Datenpfade nicht vollständig nachvollziehbar dokumentiert sind, erzeugen ein strukturelles Nachweisproblem. Ein KI-System, das aus mehreren Datenquellen aggregiert und Signale eigenständig gewichtet, muss dokumentatorisch so abgebildet sein, dass sich die Einhaltung jedes einzelnen Grundsatzes rekonstruieren lässt. Das ist eine organisatorische, nicht nur eine technische Anforderung.

Art. 6 DSGVO: Rechtsgrundlagen für die Datenverarbeitung im Targeting

Art. 6 Abs. 1 DSGVO zählt die Rechtsgrundlagen für die Verarbeitung personenbezogener Daten abschließend auf ³. Fehlt eine dieser Grundlagen, ist die Verarbeitung unzulässig ³. Die sechs Tatbestände sind:

• lit. a: Einwilligung der betroffenen Person für einen oder mehrere bestimmte Zwecke
• lit. b: Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen
• lit. c: Erfüllung einer rechtlichen Verpflichtung
• lit. d: Schutz lebenswichtiger Interessen
• lit. e: Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt
• lit. f: Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen ³

Auf lit. f können sich Behörden in Erfüllung ihrer Aufgaben nicht stützen (Art. 6 Abs. 1 UAbs. 2 DSGVO) ³.

Im Marketing-Kontext kommen typischerweise lit. a (Einwilligung) und lit. f (berechtigtes Interesse) in Betracht. Ob das berechtigte Interesse des Werbetreibenden die Interessen oder Grundrechte der betroffenen Person überwiegt, hängt vom konkreten Anwendungsfall ab und ist nicht pauschal zu beantworten. Wie diese Abwägung bei verhaltensbasierter Werbung ausfällt, ist in der Aufsichtspraxis umstritten.

§ 25 TDDDG: Einwilligung beim Zugriff auf Endeinrichtungen

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) regelt in § 25 den technischen Zugriff auf Endeinrichtungen der Nutzer. § 25 Abs. 1 S. 1 TDDDG bestimmt: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf bereits dort gespeicherte Informationen sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat ⁴. Dabei ist der Anknüpfungspunkt der technische Zugriff auf die Endeinrichtung; auf einen Personenbezug der gespeicherten Informationen kommt es nicht an ⁴. Information und Einwilligung haben gemäß der DSGVO zu erfolgen (§ 25 Abs. 1 S. 2 TDDDG) ⁴.

§ 25 Abs. 2 TDDDG nennt zwei Ausnahmen, in denen keine Einwilligung erforderlich ist ⁴:

• Nr. 1: wenn der alleinige Zweck der Speicherung oder des Zugriffs die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist
• Nr. 2: wenn Speicherung oder Zugriff unbedingt erforderlich sind, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann ⁴

Für Tracking zu Werbezwecken, etwa über Third-Party-Cookies oder Pixel, kommt es darauf an, ob einer dieser beiden Zwecke vorliegt. Die Norm gilt in der Fassung vom 6. Mai 2024, in Kraft seit dem 14. Mai 2024 ⁴.

Zusammenspiel der Normen

Die vier betrachteten Normen greifen im Ablauf automatisierter Werbeprozesse an unterschiedlichen Punkten, überschneiden sich aber in ihren Anforderungen.

§ 25 TDDDG setzt am frühesten an: Bevor ein KI-System überhaupt Signale aus der Endeinrichtung des Nutzers verarbeiten kann, verlangt die Norm eine wirksame Einwilligung — sofern keine der beiden Ausnahmen greift. Die Einwilligung nach § 25 TDDDG muss nach DSGVO-Maßstäben erfolgen, womit Art. 6 Abs. 1 lit. a DSGVO als korrespondierende Rechtsgrundlage ins Spiel kommt.

Sobald die Daten verarbeitet werden, greifen Art. 5 und Art. 6 DSGVO. Art. 6 verlangt eine Rechtsgrundlage für jede Verarbeitungshandlung; Art. 5 Abs. 2 verlangt den Nachweis der Einhaltung. Eine Einwilligung nach § 25 TDDDG deckt dabei nicht automatisch jeden nachgelagerten Verarbeitungsschritt im KI-Prozess ab — für jeden Zweck braucht es eine eigenständige Rechtsgrundlage nach Art. 6 DSGVO.

Art. 50 KI-VO setzt an dem Punkt an, an dem das KI-System nach außen wirkt: gegenüber der natürlichen Person, die mit dem System interagiert oder KI-erzeugte Inhalte konsumiert. Die Norm ergänzt die datenschutzrechtlichen Anforderungen um eine inhaltsbezogene Transparenzpflicht, die unabhängig davon gilt, ob personenbezogene Daten verarbeitet werden.

Grenzen und offene Fragen

Mehrere Auslegungsfragen sind nach aktuellem Stand ungeklärt:

• Schwelle „KI-erzeugte Inhalte": Art. 50 KI-VO verwendet den Begriff, ohne eine präzise Schwelle zu definieren, ab der eine Kennzeichnungspflicht entsteht. Ob KI-assistierter Text (menschliche Überarbeitung nach KI-Entwurf) kennzeichnungspflichtig ist, ist offen.
• Berechtigtes Interesse im Adtech-Kontext: Die Anwendbarkeit von Art. 6 Abs. 1 lit. f DSGVO auf verhaltensbasiertes Targeting ist in der europäischen Aufsichtspraxis uneinheitlich. Verschiedene Datenschutzaufsichtsbehörden vertreten unterschiedliche Positionen.
• Reichweite der TDDDG-Ausnahmen: Was unter „unbedingt erforderlich" im Sinne von § 25 Abs. 2 Nr. 2 TDDDG fällt, ist in der Rechtsprechung nicht abschließend bestimmt. Insbesondere bei KI-gestützten Personalisierungsfunktionen ist die Einordnung streitig.
• Durchsetzungsarchitektur des EU AI Act: Welche nationalen Behörden für die Durchsetzung von Art. 50 KI-VO in Deutschland zuständig sind und wie sie kooperieren, war zum Zeitpunkt der Normgeltung noch nicht vollständig geregelt.

Fazit

Der EU AI Act verlangt seit dem 2. August 2026 Transparenz gegenüber Personen, die mit KI-Systemen interagieren, und die Kennzeichnung KI-erzeugter Inhalte. Parallel dazu verlangen Art. 5 und Art. 6 DSGVO eine dokumentierte Rechtsgrundlage für jeden Verarbeitungsschritt sowie den Nachweis der Einhaltung der Datenschutzgrundsätze — eine Beweislast, die beim Verantwortlichen liegt. § 25 TDDDG regelt den vorgelagerten Zugangspunkt: den technischen Zugriff auf die Endeinrichtung, der ohne Einwilligung grundsätzlich unzulässig ist, es sei denn, eine der beiden gesetzlichen Ausnahmen greift. Die Normen ergänzen sich im Ablauf, decken sich aber nicht gegenseitig ab — eine Einwilligung nach einer Norm ersetzt nicht die Anforderungen der anderen. Mehrere Auslegungsfragen, darunter die Kennzeichnungsschwelle nach Art. 50 KI-VO und die Reichweite des berechtigten Interesses nach DSGVO im Adtech-Kontext, sind derzeit offen.

Quellen

• [1] Art. 50 KI-VO — Transparenzpflichten für KI-Systeme und KI-Inhalte — Amt für Veröffentlichungen der EU (EUR-Lex) (o.J.)
• [2] Art. 5 DSGVO — Grundsätze und Rechenschaftspflicht — Amt für Veröffentlichungen der EU (EUR-Lex) (o.J.)
• [3] Art. 6 DSGVO — Rechtsgrundlagen der Verarbeitung — Amt für Veröffentlichungen der EU (EUR-Lex) (o.J.)
• [4] § 25 TDDDG — Einwilligung für Zugriff auf Endeinrichtungen — Bundesamt für Justiz (gesetze-im-internet.de) (o.J.)