Verfahren gegen Grok AI: Rechtsgrundlagen, Haftung und Rechtsschutz in Deutschland

Grok ist ein von xAI entwickeltes KI-System, das unter anderem im Umfeld der Plattform X angeboten wird. Unter dem Stichwort „Verfahren gegen Grok AI“ können unterschiedliche rechtliche Auseinandersetzungen verstanden werden: Beschwerden über die Verarbeitung personenbezogener Daten, Unterlassungsforderungen wegen erfundener Behauptungen, Konflikte um KI-generierte Bilder oder behördliche Untersuchungen nach europäischem Digitalrecht. Diese Verfahren unterscheiden sich hinsichtlich der zuständigen Stellen, ihrer Voraussetzungen und ihrer möglichen Rechtsfolgen.

Für die deutsche Rechtsordnung ist zunächst entscheidend: Ein KI-System ist kein eigenständiges Rechtssubjekt. Ansprüche richten sich nicht gegen die Software selbst, sondern gegen verantwortliche Unternehmen oder natürliche Personen. Wer verantwortlich ist, hängt insbesondere davon ab, wer den jeweiligen Dienst betreibt, über Datenverarbeitungen entscheidet, konkrete Inhalte erzeugt oder diese verbreitet.

Der Beitrag erläutert mögliche Verfahren mit Deutschlandbezug. Er enthält keine Bestandsaufnahme aktuell anhängiger Verfahren gegen xAI, X oder andere Beteiligte. Aus der Darstellung einer Anspruchsgrundlage lässt sich nicht ableiten, dass ein bestimmtes Unternehmen sie verletzt hat. Ob ein konkretes Verfahren eingeleitet wurde und welchen Stand es erreicht hat, muss anhand belastbarer Veröffentlichungen zum jeweiligen Vorgang festgestellt werden. Eine Beschwerde, die Einleitung einer Untersuchung und eine rechtskräftig festgestellte Rechtsverletzung sind dabei strikt auseinanderzuhalten.

Begriffsklärung: Was bedeutet ein Verfahren gegen Grok AI?

KI-Modell, Anwendung und Plattform sind zu unterscheiden

Rechtlich müssen mehrere Ebenen getrennt betrachtet werden. Ein KI-Modell bildet die technische Grundlage für die Verarbeitung von Eingaben und die Erzeugung von Ausgaben. Eine Anwendung stellt diese Funktionen Nutzern zur Verfügung. Eine Plattform kann zusätzlich die öffentliche Verbreitung von Ergebnissen ermöglichen. Auch wenn diese Ebenen als einheitliches Produkt erscheinen, können unterschiedliche Rechtsträger und unterschiedliche gesetzliche Pflichten betroffen sein.

Eine öffentlich verbreitete Falschbehauptung kann Ansprüche gegen den veröffentlichenden Nutzer auslösen. Daneben kommt eine Verantwortung des Anwendungsanbieters oder Plattformbetreibers in Betracht. Die bloße wirtschaftliche Verbindung mehrerer Unternehmen begründet jedoch keine gemeinsame Haftung. Erforderlich ist die Zuordnung einer konkreten Handlung, eines zurechenbaren Beitrags oder einer gesetzlichen Pflicht zum jeweiligen Rechtsträger.

Auch innerhalb eines Unternehmens ist die rechtliche Rolle nicht für sämtliche Vorgänge identisch. Ein Anbieter kann für bestimmte personenbezogene Daten verantwortlich sein, während er bei anderen Verarbeitungen als Auftragsverarbeiter handelt. Maßgeblich sind die tatsächlichen Verhältnisse; eine Bezeichnung in Vertragsbedingungen entscheidet darüber nicht allein.

Zivilverfahren, Aufsicht und Strafverfolgung

Zivilverfahren dienen beispielsweise der Unterlassung rechtswidriger Äußerungen, der Beseitigung einer Beeinträchtigung oder dem Ersatz eines Schadens. Anspruchsberechtigt können betroffene Personen, Unternehmen oder Rechteinhaber sein. Verbände können unter besonderen gesetzlichen Voraussetzungen ebenfalls vorgehen. Nicht jeder Verband darf jedoch beliebige Ansprüche einzelner Betroffener verfolgen.

Aufsichtsverfahren verfolgen andere Zwecke. Datenschutzbehörden kontrollieren die Einhaltung des Datenschutzrechts. Die nach dem Digital Services Act zuständigen Stellen überwachen Pflichten von Vermittlungsdiensten. Strafverfahren betreffen den Verdacht einer Straftat und richten sich nach deutschem Strafrecht grundsätzlich gegen natürliche Personen. Gegen Unternehmen können unter gesonderten Voraussetzungen insbesondere ordnungswidrigkeitenrechtliche Maßnahmen in Betracht kommen.

Diese Wege können nebeneinander bestehen. Eine Datenschutzbeschwerde ersetzt weder einen zivilgerichtlichen Unterlassungstitel noch einen erforderlichen Strafantrag. Umgekehrt gewährleistet eine Strafanzeige nicht, dass ein verletzender Inhalt kurzfristig entfernt wird.

Rechtlicher Rahmen und einschlägige Normen

Persönlichkeitsrecht und Schutz vor falschen Behauptungen

Das allgemeine Persönlichkeitsrecht wird aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG hergeleitet. Im Verhältnis zwischen Privaten wirkt der grundrechtliche Schutz insbesondere bei der Auslegung und Anwendung des Zivilrechts. Als Anspruchsgrundlagen kommen § 823 Abs. 1 BGB sowie für Beseitigung und Unterlassung § 1004 Abs. 1 BGB entsprechend in Betracht. Bei kredit- oder erwerbsgefährdenden unwahren Tatsachenbehauptungen kann zusätzlich § 824 BGB einschlägig sein.

Eine KI-Ausgabe kann das Persönlichkeitsrecht verletzen, wenn sie einer identifizierbaren Person etwa Straftaten, berufliches Fehlverhalten oder intime Umstände zuschreibt. Entscheidend sind Aussagegehalt, Kontext und Verständnis der angesprochenen Empfänger. Auch scheinbare Zusammenfassungen oder Antworten auf suggestive Fragen können überprüfbare Tatsachenbehauptungen enthalten.

Nicht jede negative Aussage ist rechtswidrig. Werturteile können dem Schutz der Meinungsfreiheit aus Art. 5 Abs. 1 GG unterfallen. Das KI-System selbst ist allerdings kein Grundrechtsträger; maßgeblich sind die Rechte der beteiligten Personen und Unternehmen. Bei nachweislich unwahren Tatsachenbehauptungen tritt das Interesse an ihrer Verbreitung regelmäßig zurück. Auch wahre Angaben können rechtswidrig sein, wenn sie beispielsweise unzulässig in besonders geschützte private Lebensbereiche eingreifen.

Ein allgemeiner Hinweis auf mögliche KI-Fehler ist kein umfassender Haftungsausschluss. Er kann den Verständniskontext beeinflussen, beseitigt aber nicht automatisch eine konkrete Rechtsverletzung.

Datenschutz bei Eingaben, Training und Ausgaben

Die Datenschutz-Grundverordnung gilt, wenn personenbezogene Daten verarbeitet werden und ihr sachlicher sowie räumlicher Anwendungsbereich eröffnet ist. Ein Unternehmenssitz außerhalb der Europäischen Union schließt ihre Anwendung nicht aus. Art. 3 DSGVO erfasst unter bestimmten Voraussetzungen auch außereuropäische Verantwortliche und Auftragsverarbeiter, deren Verarbeitung mit dem Angebot von Waren oder Dienstleistungen an Personen in der Union oder mit der Beobachtung ihres Verhaltens in der Union zusammenhängt.

Personenbezogene Daten können in Eingaben, Trainingsmaterialien, Gesprächsverläufen und Ausgaben enthalten sein. Auch eine erfundene Information kann personenbezogen sein, wenn sie sich auf eine identifizierte oder identifizierbare Person bezieht. Ob ein trainiertes Modell selbst personenbezogene Daten enthält oder eine bestimmte Verarbeitung ermöglicht, bedarf dagegen einer technischen und rechtlichen Prüfung.

Für die Verarbeitung ist grundsätzlich eine Rechtsgrundlage nach Art. 6 DSGVO erforderlich. Besondere Kategorien personenbezogener Daten, beispielsweise Gesundheitsdaten, unterliegen zusätzlich Art. 9 DSGVO. Für Daten über strafrechtliche Verurteilungen und Straftaten enthält Art. 10 DSGVO besondere Anforderungen.

Art. 5 DSGVO verlangt unter anderem Zweckbindung, Datenminimierung und sachliche Richtigkeit. Öffentlich zugängliche Informationen dürfen daher nicht voraussetzungslos für beliebige Zwecke verarbeitet werden. Eine Berufung auf berechtigte Interessen erfordert insbesondere die Prüfung der Erforderlichkeit und eine Abwägung mit den Rechten der betroffenen Personen.

Betroffene können unter den jeweiligen Voraussetzungen Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO oder Einschränkung der Verarbeitung nach Art. 18 DSGVO verlangen. Diese Rechte sind nicht uneingeschränkt. Ob und welche technische Veränderung eines trainierten Modells geschuldet ist, lässt sich nicht allein aus der Bezeichnung eines Antrags als „Löschungsantrag“ ableiten.

Bildnisse, synthetische Darstellungen und Urheberrecht

Bei der Verbreitung oder öffentlichen Zurschaustellung von Bildnissen sind insbesondere §§ 22 und 23 KunstUrhG zu berücksichtigen. Daneben können das allgemeine Persönlichkeitsrecht und die DSGVO einschlägig sein. Das Verhältnis dieser Regelungen hängt unter anderem vom Verwendungszweck und vom Veröffentlichungskontext ab.

Eine synthetische Darstellung fällt nicht allein deshalb aus dem Persönlichkeitsschutz, weil sie keine echte Fotografie ist. Entscheidend ist insbesondere, ob die dargestellte Person erkennbar ist und welche Aussage die Darstellung vermittelt. Die Herstellung eines Bildes und seine spätere Verbreitung sind rechtlich getrennt zu prüfen; §§ 22 und 23 KunstUrhG regeln nicht jede Form der bloßen Bilderzeugung.

Besonders schwerwiegend können sexualisierte Fälschungen sein. Die Einwilligung in ein gewöhnliches Foto oder dessen Veröffentlichung erlaubt nicht ohne Weiteres die Herstellung oder Verbreitung einer sexualisierten Bearbeitung. Auch eine Kennzeichnung als künstlich erzeugt schließt eine Persönlichkeitsrechtsverletzung nicht aus.

Urheberrechtlich sind Trainingsnutzung und Ausgabe zu unterscheiden. Für Text und Data Mining können §§ 44b und 60d UrhG relevant sein. Ihre Voraussetzungen und begünstigten Nutzungen unterscheiden sich. § 44b UrhG betrifft insbesondere rechtmäßig zugängliche Werke und sieht die Möglichkeit eines Nutzungsvorbehalts vor; bei online zugänglichen Werken muss dieser maschinenlesbar erklärt werden. Daraus folgt jedoch keine pauschale Aussage über die Zulässigkeit sämtlicher Formen generativen KI-Trainings.

Enthält eine Ausgabe geschützte Werkbestandteile, sind mögliche Eingriffe in Verwertungsrechte und einschlägige Schranken gesondert zu prüfen. Nicht jede Ähnlichkeit und nicht die bloße Übernahme eines abstrakten Stils begründen eine Urheberrechtsverletzung. Umgekehrt legitimiert ein zulässiger Verarbeitungsschritt nicht automatisch jede spätere Ausgabe.

Digital Services Act und deutsches Durchführungsgesetz

Die Verordnung (EU) 2022/2065, der Digital Services Act beziehungsweise DSA, regelt Vermittlungsdienste. In Deutschland ergänzt das Digitale-Dienste-Gesetz, kurz DDG, die europäischen Vorgaben insbesondere hinsichtlich Zuständigkeiten und Durchsetzung.

Für Hostingdienste sieht Art. 16 DSA Melde- und Abhilfeverfahren vor. Für Online-Plattformen gelten unter den jeweiligen Voraussetzungen zusätzliche Pflichten, darunter das interne Beschwerdemanagement nach Art. 20 DSA. Dabei sind gesetzliche Ausnahmen, insbesondere für bestimmte kleine Anbieter, zu beachten. Weitergehende Anforderungen betreffen Dienste, die nach dem DSA als sehr große Online-Plattformen oder sehr große Online-Suchmaschinen benannt wurden.

Eine Chatbot-Funktion ist nicht automatisch ein Hostingdienst oder eine Online-Plattform. Entscheidend ist, welche konkrete Funktion welchen gesetzlichen Diensttyp erfüllt. Auch die Einbindung in eine Plattform beantwortet nicht ohne Weiteres die Einordnung sämtlicher Funktionen.

Haftungsprivilegierungen für fremde Informationen dürfen nicht ungeprüft auf vom Anbieter selbst erzeugte oder verantwortete Inhalte übertragen werden. Ebenso ist zwischen den Voraussetzungen einer Haftungsprivilegierung und den besonderen Verfahrenspflichten des DSA zu unterscheiden. Der DSA enthält kein allgemeines Gebot zur Überwachung sämtlicher übermittelter oder gespeicherter Informationen; dies ergibt sich aus Art. 8 DSA.

Die europäische KI-Verordnung

Die Verordnung (EU) 2024/1689, die KI-Verordnung, ergänzt das bestehende Recht. Sie unterscheidet insbesondere zwischen KI-Systemen, Hochrisiko-KI-Systemen und KI-Modellen mit allgemeinem Verwendungszweck. Die Einordnung als Hochrisiko-KI-System richtet sich nach gesetzlichen Kriterien und dem vorgesehenen Einsatz. Ein allgemein verfügbarer Chatbot ist nicht allein wegen seiner Leistungsfähigkeit stets ein Hochrisiko-KI-System.

Art. 53 KI-Verordnung enthält Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Dazu gehören unter den gesetzlichen Voraussetzungen technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts der Union und eine hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte. Für bestimmte offen bereitgestellte Modelle bestehen teilweise Ausnahmen, jedoch keine vollständige Freistellung von sämtlichen Pflichten.

Art. 50 KI-Verordnung betrifft Transparenzpflichten, unter anderem bei der Interaktion mit KI-Systemen und bei bestimmten synthetischen Inhalten. Dabei sind technische Kennzeichnungspflichten des Anbieters und Offenlegungspflichten des Betreibers auseinanderzuhalten. Auch hier bestehen gesetzliche Voraussetzungen und Ausnahmen.

Der in Art. 113 KI-Verordnung festgelegte Zeitplan sieht grundsätzlich eine Anwendung ab dem 2. August 2026 vor, mit vorgezogenen und späteren Anwendungszeitpunkten für bestimmte Regelungen. Die Vorschriften über KI-Modelle mit allgemeinem Verwendungszweck gehören grundsätzlich zu den seit dem 2. August 2025 anwendbaren Teilen. Für zuvor in Verkehr gebrachte Modelle enthält Art. 111 Abs. 3 KI-Verordnung eine besondere Übergangsregelung bis zum 2. August 2027. Für einen konkreten Vorgang sind deshalb die maßgebliche Fassung und die einschlägigen Übergangsbestimmungen zu prüfen.

Die KI-Verordnung ersetzt weder das Datenschutzrecht noch das allgemeine Zivilrecht. Sie begründet insbesondere keinen allgemeinen automatischen Entschädigungsanspruch für jede fehlerhafte Antwort.

Rechtsprechungslinien: Welche Maßstäbe lassen sich übertragen?

Automatisch erzeugte Aussagen bleiben rechtlich überprüfbar

Der Bundesgerichtshof befasste sich mit Urteil vom 14. Mai 2013 – VI ZR 269/12 – mit persönlichkeitsrechtsverletzenden Suchergänzungsvorschlägen. Die Entscheidung zeigt, dass automatisiert erzeugte Verknüpfungen rechtlicher Kontrolle unterliegen können. Bedeutung hatten insbesondere die Zurechnung zum Anbieter und die Pflichten nach einem Hinweis auf eine konkrete Persönlichkeitsrechtsverletzung.

Eine unmittelbare Gleichsetzung mit generativer KI wäre jedoch unzutreffend. Suchergänzungen, Suchergebnisse und ausformulierte Chatbot-Antworten unterscheiden sich in ihrer Entstehung und Aussagewirkung. Die Entscheidung liefert deshalb einen Ausgangspunkt, aber keine abschließende Haftungsregel für Grok.

Insbesondere lässt sich daraus nicht allgemein ableiten, dass ein Anbieter generativer KI immer erst nach einer Beanstandung verantwortlich sein kann. Ob eine Ausgabe als eigene Aussage zu behandeln ist und welche Pflichten bereits vorher bestehen, muss eigenständig geprüft werden.

Konkrete Beanstandungen können Prüfpflichten auslösen

Mit Urteil vom 25. Oktober 2011 – VI ZR 93/10 – entwickelte der Bundesgerichtshof Maßstäbe zu Prüfpflichten eines Hostproviders bei beanstandeten Blogeinträgen. Eine hinreichend konkrete Mitteilung kann Anlass zu einer Sachverhaltsprüfung und gegebenenfalls weiteren Maßnahmen geben.

Diese Rechtsprechung ist im heutigen europäischen Rechtsrahmen einzuordnen. Sie rechtfertigt weder eine ausnahmslose Vorabkontrolle sämtlicher Inhalte noch die Annahme, Anbieter dürften konkrete Hinweise auf Rechtsverletzungen ignorieren. Bei Tatsachenstreitigkeiten kann insbesondere eine Befassung des für den Beitrag Verantwortlichen erforderlich sein.

Für KI-bezogene Beanstandungen ist entscheidend, ob die Mitteilung die konkrete Aussage, den Betroffenen und den Verletzungsgrund nachvollziehbar bezeichnet. Ob die Grundsätze für fremde Blogbeiträge auf eine unmittelbar vom Chatbot erzeugte Ausgabe übertragbar sind, bleibt eine gesonderte Frage.

Datenschutzschadensersatz erfordert mehr als einen Regelverstoß

Der Gerichtshof der Europäischen Union stellte mit Urteil vom 4. Mai 2023 – C-300/21 – klar, dass ein Verstoß gegen die DSGVO allein keinen Schadensersatzanspruch nach Art. 82 DSGVO begründet. Erforderlich sind außerdem ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang. Für immaterielle Schäden ist keine besondere Erheblichkeitsschwelle zulässig.

Damit ist nicht jeder Nachweis eines Schadens entbehrlich. Betroffene müssen die geltend gemachten nachteiligen Folgen im Verfahren hinreichend darlegen und gegebenenfalls beweisen. Welche Anforderungen gelten und welche Beweiserleichterungen in Betracht kommen, hängt von der konkreten Anspruchsvoraussetzung ab.

Eine unrichtige personenbezogene KI-Ausgabe führt somit nicht automatisch zu einem feststehenden Geldbetrag. Auch die Verantwortlichkeit des in Anspruch genommenen Beteiligten ist gesondert zu prüfen.

Typische Fallkonstellationen

Erfundenes Fehlverhalten einer Privatperson

Ein Nutzer fragt nach einer bestimmten Person. Das System behauptet wahrheitswidrig, diese sei wegen einer Straftat verurteilt worden. Bereits eine Ausgabe gegenüber einem einzelnen Dritten kann persönlichkeitsrechtlich erheblich sein. Eine öffentliche Weiterverbreitung kann die Beeinträchtigung erheblich verstärken.

Zu prüfen sind Identifizierbarkeit, Aussagegehalt, Unwahrheit und Verantwortlichkeit. Die bloße Namensgleichheit genügt nicht in jedem Fall für die Zuordnung zu einer bestimmten Person. Umgekehrt kann eine Person auch ohne Namensnennung anhand zusätzlicher Angaben erkennbar sein.

Wird die Antwort anschließend auf X veröffentlicht, liegt eine weitere Verbreitungshandlung vor. Ansprüche gegen den veröffentlichenden Nutzer und gegen beteiligte Unternehmen müssen jeweils eigenständig begründet werden. Eine gemeinsame Haftung kann bei Vorliegen der gesetzlichen Voraussetzungen bestehen; aus dem bloßen Zusammenwirken technischer Dienste folgt sie nicht automatisch.

Sexualisierte Bilder ohne Zustimmung

Wird eine erkennbare Person in einem künstlich erzeugten sexualisierten Bild dargestellt, können ihr Persönlichkeitsrecht und ihre sexuelle Selbstbestimmung erheblich betroffen sein. Inhalt, Realitätsnähe, Verbreitungsumfang und Kontext beeinflussen die rechtliche Bewertung.

Nicht jede sexualisierte synthetische Darstellung erfüllt automatisch einen Straftatbestand. Bei Darstellungen Minderjähriger ist insbesondere zwischen kinderpornographischen und jugendpornographischen Inhalten zu unterscheiden. § 184b StGB betrifft kinderpornographische, § 184c StGB jugendpornographische Inhalte. Die gesetzlichen Begriffe, die jeweilige Handlung und die Anforderungen an die Darstellung sind sorgfältig zu prüfen. „Sexualisiert“ und „pornographisch“ sind keine austauschbaren Rechtsbegriffe.

Betroffene und Hinweisgeber sollten möglicherweise strafbare Inhalte nicht unnötig herunterladen, speichern oder weiterleiten. Für eine erste Meldung können Fundstelle, Nutzerkonto, Zeitpunkt und eine sachliche Beschreibung geeigneter sein als eigene Bildsammlungen. Welche Beweissicherung zulässig und erforderlich ist, hängt vom Inhalt und von der konkreten Rolle der handelnden Person ab.

Offenlegung vertraulicher Informationen

Gibt ein Nutzer fremde Gesundheitsdaten, Personalunterlagen oder Mandatsinformationen ein, kann bereits diese Übermittlung rechtswidrig sein. Eine spätere öffentliche Ausgabe ist dafür nicht zwingend erforderlich.

Für Unternehmen und berufliche Geheimnisträger stellen sich insbesondere folgende Fragen:

• Besteht eine geeignete datenschutzrechtliche Grundlage?
• Welche Rolle übernimmt der Anbieter tatsächlich?
• Ist ein Vertrag nach Art. 28 DSGVO erforderlich?
• Werden personenbezogene Daten in Drittländer übermittelt, und sind die Anforderungen der Art. 44 ff. DSGVO erfüllt?
• Bestehen berufliche Verschwiegenheitspflichten, etwa nach § 203 StGB, oder ein Schutz als Geschäftsgeheimnis?

Ein Auftragsverarbeitungsvertrag löst nicht sämtliche dieser Fragen. Insbesondere begründet er für sich genommen weder die Zulässigkeit der ursprünglichen Datenverarbeitung noch die Zulässigkeit einer Drittlandübermittlung. Bei beruflichen Geheimnissen sind zudem die besonderen gesetzlichen Voraussetzungen für die Einbeziehung weiterer Personen zu beachten.

Fehlerhafte berufliche Entscheidungen nach einer KI-Antwort

Falsche Rechts-, Gesundheits- oder Finanzinformationen können Schäden verursachen. Gleichwohl führt eine unrichtige Antwort nicht automatisch zur Haftung des Anbieters. Bei vertraglichen Ansprüchen sind insbesondere Vertragsinhalt, geschuldete Leistung, Pflichtverletzung, Vertretenmüssen und Kausalität zu prüfen. Bei außervertraglichen Ansprüchen können andere Voraussetzungen gelten.

Wer KI-Ausgaben beruflich übernimmt, bleibt an eigene Sorgfaltspflichten gebunden. Welcher Kontrollaufwand erforderlich ist, hängt insbesondere vom Tätigkeitsbereich, der Tragweite der Entscheidung und den erkennbaren Fehlerrisiken ab. Ein Hinweis auf den KI-Einsatz ersetzt eine gebotene fachliche Prüfung nicht.

Bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung kann Art. 22 DSGVO eingreifen. Die Vorschrift enthält Ausnahmen und Schutzanforderungen. Eine tatsächlich eigenständige menschliche Entscheidung kann außerhalb dieses Tatbestands liegen; eine lediglich formale Bestätigung des automatisierten Ergebnisses genügt dafür nicht notwendigerweise.

Rechtsfolgen und Risiken für Beteiligte

Unterlassung, Beseitigung und Berichtigung

Bei rechtswidrigen Persönlichkeitsverletzungen kommen Unterlassung und Beseitigung in Betracht. Für einen vorbeugenden Unterlassungsanspruch ist eine hinreichend konkrete Erstbegehungsgefahr, nach bereits erfolgter Verletzung grundsätzlich eine Wiederholungsgefahr erforderlich. Verschulden ist für solche Abwehransprüche nicht in gleicher Weise Voraussetzung wie für Schadensersatz nach § 823 BGB.

Der Antrag muss die zu untersagende Verletzung hinreichend bestimmt erfassen. Ein allgemeines Verbot, jemals Informationen über eine Person auszugeben, lässt sich aus einer einzelnen Falschbehauptung regelmäßig nicht ableiten.

Auch ein Widerruf oder eine Richtigstellung kann bei unwahren Tatsachenbehauptungen unter besonderen Voraussetzungen in Betracht kommen. Davon zu unterscheiden sind datenschutzrechtliche Berichtigungsansprüche und die technische Umsetzung einer Abhilfe. Ob ein Konto, ein Datenbestand, eine Abrufquelle oder das Modell selbst verändert werden muss, richtet sich nach der jeweiligen Pflicht und ihrer wirksamen Erfüllung.

Schadensersatz und Geldentschädigung

Materielle Schäden können etwa durch nachweisbare Erwerbsausfälle entstehen. Häufig ist jedoch streitig, ob gerade die KI-Ausgabe oder ihre Verbreitung den Schaden verursacht hat. Eine zeitliche Abfolge allein belegt diesen Zusammenhang nicht. Auch andere Ursachen und gegebenenfalls ein Mitverschulden können rechtlich relevant werden.

Eine Geldentschädigung wegen Verletzung des allgemeinen Persönlichkeitsrechts setzt nach der deutschen Rechtsprechung besondere Voraussetzungen voraus. Erforderlich sind insbesondere ein schwerwiegender Eingriff und das Fehlen einer anderweitigen befriedigenden Ausgleichsmöglichkeit. Maßgeblich ist eine Gesamtwürdigung, unter anderem von Anlass, Bedeutung und Tragweite des Eingriffs sowie dem Verschulden.

Dieser Anspruch ist vom Schadensersatz nach Art. 82 DSGVO zu unterscheiden. Die für die persönlichkeitsrechtliche Geldentschädigung geltenden Anforderungen dürfen nicht ohne Weiteres auf den unionsrechtlichen Datenschutzschadensersatz übertragen werden.

Bußgelder und strafrechtliche Folgen

Aufsichtsrechtliche Bußgelder ahnden Verstöße gegen gesetzliche Pflichten. Sie werden nicht als Entschädigung an Betroffene ausgezahlt. Daneben können zuständige Behörden im Rahmen ihrer Befugnisse Abhilfemaßnahmen anordnen. Eine behördliche Maßnahme entscheidet aber nicht zwangsläufig sämtliche zivilrechtlichen Fragen zwischen den Beteiligten.

Strafrechtliche Verantwortung setzt einen anwendbaren Tatbestand sowie dessen objektive und subjektive Voraussetzungen voraus. Nach § 15 StGB ist grundsätzlich nur vorsätzliches Handeln strafbar, soweit das Gesetz fahrlässiges Handeln nicht ausdrücklich mit Strafe bedroht.

Die Erzeugung eines Inhalts durch KI ersetzt daher nicht den erforderlichen Vorsatz. Umgekehrt schützt die Verwendung eines KI-Werkzeugs nicht vor Strafbarkeit, wenn jemand damit tatbestandsmäßig und schuldhaft handelt. Auch eine Unternehmensleitung ist nicht schon wegen ihrer Stellung für jede rechtswidrige Ausgabe strafrechtlich verantwortlich.

Verfahren, Zuständigkeiten und Fristen

Richtigen Anspruchsgegner und zuständige Stelle ermitteln

Vor einem Verfahren ist zu klären, welcher Rechtsträger den betroffenen Dienst betreibt und welche Handlung ihm zugerechnet wird. Anhaltspunkte liefern Anbieterkennzeichnung, Vertragsbedingungen, Datenschutzhinweise und produktbezogene Angaben. Ein Markenname ist keine verlässliche Bezeichnung des Prozessgegners.

Bei grenzüberschreitenden Sachverhalten sind internationale Zuständigkeit, anwendbares Recht, Zustellung und spätere Vollstreckung getrennt zu prüfen. Ein deutsches Gericht kann unter Umständen zuständig sein, obwohl der Anspruchsgegner im Ausland sitzt. Daraus folgt jedoch nicht automatisch, dass deutsches materielles Recht auf sämtliche Ansprüche anzuwenden ist.

Art. 79 Abs. 2 DSGVO eröffnet betroffenen Personen unter seinen Voraussetzungen gerichtlichen Rechtsschutz insbesondere auch in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts. Für bestimmte hoheitlich handelnde Behörden gilt eine Ausnahme. Bei Persönlichkeits-, Urheber- oder Vertragsansprüchen können andere Zuständigkeitsregeln maßgeblich sein. Die bloße Abrufbarkeit eines Dienstes in Deutschland beantwortet diese Fragen nicht abschließend.

Beschwerde bei Datenschutzbehörden und nach dem DSA

Art. 77 DSGVO gewährt betroffenen Personen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere am gewöhnlichen Aufenthaltsort, am Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Bei grenzüberschreitender Verarbeitung können besondere Zuständigkeits- und Kooperationsregeln eingreifen. Die betroffene Person muss diese behördeninterne Verteilung nicht vollständig vorab klären.

Nach Art. 53 DSA können sich Nutzer eines Vermittlungsdienstes wegen behaupteter DSA-Verstöße an den Koordinator für digitale Dienste des Mitgliedstaats wenden, in dem sie sich aufhalten oder niedergelassen sind. Auch entsprechend beauftragte Organisationen können unter den gesetzlichen Voraussetzungen tätig werden. In Deutschland ist die Koordinierungsstelle bei der Bundesnetzagentur angesiedelt.

Bei sehr großen Online-Plattformen und sehr großen Online-Suchmaschinen besitzt die Europäische Kommission besondere Aufsichtsbefugnisse. Welche Stelle konkret zuständig ist, hängt von Dienst, Pflicht und Verfahrensgegenstand ab.

Eine solche Beschwerde ist kein individuelles Löschungsurteil. Sie betrifft die Einhaltung der gesetzlichen Dienstepflichten. Ein persönlicher Schadensersatzanspruch muss gegebenenfalls gesondert verfolgt werden.

Einstweiliger Rechtsschutz und Hauptsacheverfahren

Bei fortdauernden oder unmittelbar drohenden Verletzungen kann eine einstweilige Verfügung nach §§ 935 und 940 ZPO in Betracht kommen. Erforderlich sind ein Verfügungsanspruch und ein Verfügungsgrund. Anspruch und Dringlichkeit sind grundsätzlich glaubhaft zu machen; § 294 ZPO regelt die Glaubhaftmachung.

Für persönlichkeitsrechtliche Eilverfahren besteht keine einheitliche gesetzliche Monatsfrist. Längeres Zuwarten kann jedoch gegen die Dringlichkeit sprechen. Die gerichtliche Handhabung und die Umstände des Einzelfalls sind zu beachten. Aus der fehlenden gesetzlichen Monatsfrist folgt deshalb keine unbegrenzte Möglichkeit, Eilrechtsschutz in Anspruch zu nehmen.

Das Hauptsacheverfahren ermöglicht eine umfassendere Klärung. Wer eine einstweilige Verfügung erwirkt, muss außerdem das Schadensersatzrisiko nach § 945 ZPO berücksichtigen. Es kann insbesondere entstehen, wenn sich die Anordnung als von Anfang an ungerechtfertigt erweist und ihre Vollziehung einen Schaden verursacht.

Antwortfristen und Verjährung auseinanderhalten

Nach Art. 12 Abs. 3 DSGVO muss der Verantwortliche über Maßnahmen auf einen Antrag nach Art. 15 bis 22 DSGVO unverzüglich, spätestens innerhalb eines Monats nach Eingang informieren. Unter Berücksichtigung der Komplexität und der Anzahl der Anträge ist eine Verlängerung um zwei weitere Monate möglich. Über die Verlängerung und ihre Gründe muss innerhalb des ersten Monats informiert werden.

Wird der Verantwortliche nicht tätig, verlangt Art. 12 Abs. 4 DSGVO grundsätzlich spätestens innerhalb eines Monats eine Information über die Gründe sowie über Beschwerde- und gerichtliche Rechtsschutzmöglichkeiten. Die Monatsfrist ist nicht schlicht mit einer festen Zahl von Tagen gleichzusetzen.

Für zahlreiche zivilrechtliche Ansprüche gilt die regelmäßige dreijährige Verjährungsfrist nach § 195 BGB. Sie beginnt nach § 199 Abs. 1 BGB grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger die maßgeblichen Umstände sowie den Schuldner kennt oder ohne grobe Fahrlässigkeit kennen müsste. Sonderregelungen bleiben zu prüfen. Eine Anbieter- oder Behördenbeschwerde hemmt die Verjährung nicht automatisch.

Bei Antragsdelikten ist die Strafantragsfrist gesondert zu beachten. § 77b StGB sieht grundsätzlich drei Monate vor. Die Frist beginnt grundsätzlich mit Ablauf des Tages, an dem der Berechtigte Kenntnis von Tat und Täter erlangt. Strafanzeige und erforderlicher Strafantrag sind nicht dasselbe.

Praktische Handlungsschritte für Betroffene

Beweise vollständig, aber datensparsam sichern

Eine belastbare Dokumentation sollte den Kontext der beanstandeten Ausgabe erkennen lassen. Ein isolierter Satz kann für die rechtliche Bewertung unzureichend sein. Soweit rechtlich zulässig und ohne zusätzliche Gefährdung möglich, können insbesondere festgehalten werden:

• vollständige Eingabe und relevante Gesprächsabfolge;
• beanstandete Ausgabe mit Datum und Uhrzeit;
• verwendete Anwendung und erkennbare Einstellungen;
• Veröffentlichungsadresse und beteiligte Nutzerkonten;
• bereits versandte Meldungen und erhaltene Antworten;
• konkrete Auswirkungen, beispielsweise Rückfragen Dritter.

Screenshots sind nützlich, beweisen aber nicht automatisch sämtliche technischen Umstände. Nachvollziehbare Verlaufsaufzeichnungen und verfügbare Originaldaten können ergänzen. Dass eine Ausgabe bei einem späteren Versuch nicht erneut erscheint, widerlegt ihre frühere Erzeugung nicht ohne Weiteres.

Eine von der KI genannte Quellenangabe beweist zudem nicht, dass die behauptete Quelle tatsächlich existiert oder den Inhalt enthält. Quelle und Aussage sind unabhängig zu überprüfen. Sensible Daten Dritter dürfen bei der Dokumentation nicht unnötig vervielfältigt werden. Bei möglicherweise strafbaren Bildinhalten ist besondere Zurückhaltung erforderlich.

Eine konkrete und überprüfbare Beanstandung formulieren

Eine Meldung sollte erklären, welche Aussage oder Darstellung beanstandet wird, wen sie betrifft und weshalb sie rechtswidrig sein soll. Bei einer falschen Tatsachenbehauptung ist möglichst genau zu bezeichnen, welcher tatsächliche Umstand unzutreffend wiedergegeben wurde.

Für öffentliche Inhalte ist eine genaue elektronische Fundstelle hilfreich. Bei privaten Chatbot-Ausgaben können Gesprächskennung, Ausgabezeitpunkt und der erforderliche Gesprächskontext die Zuordnung erleichtern. Nicht erforderliche Identitätsunterlagen oder zusätzliche sensible Informationen sollten dabei nicht vorsorglich vollständig übermittelt werden.

Unterschiedliche Ziele sind zu trennen: Entfernung eines veröffentlichten Beitrags, Verhinderung weiterer gleichartiger Ausgaben, datenschutzrechtliche Auskunft und Löschung gespeicherter Daten sind unterschiedliche Anliegen. Eine präzise Beanstandung erleichtert die Bearbeitung und den späteren Nachweis, worüber der Anbieter informiert war.

Reaktionsweg und Aufwand am Schutzziel ausrichten

Geht es um die schnelle Eindämmung einer Rufschädigung, kann zivilrechtlicher Eilrechtsschutz gegenüber einer länger dauernden aufsichtsrechtlichen Untersuchung vorrangige Bedeutung haben. Geht es um unbekannte Verarbeitungszwecke oder gespeicherte personenbezogene Daten, kann zunächst eine datenschutzrechtliche Auskunft zweckmäßig sein.

Vor gerichtlichen Schritten sind Durchsetzbarkeit, Kostenrisiko und mögliche zusätzliche Öffentlichkeit zu berücksichtigen. Ausländische Zustellungen oder die Vollstreckung gegen einen ausländischen Rechtsträger können zusätzliche Schwierigkeiten verursachen. Auch ein sachlich berechtigtes Anliegen kann an einem unbestimmten Antrag oder einem nicht verantwortlichen Anspruchsgegner scheitern.

Eine außergerichtliche Aufforderung kann zur Klärung beitragen und kostenrechtlich bedeutsam sein. Sie ist jedoch nicht für jede Verfahrensart eine zwingende gesetzliche Voraussetzung. Ebenso ersetzt eine freiwillig gesetzte Antwortfrist keine gesetzliche Verjährungs- oder Antragsfrist.

Offene Streitfragen bei generativer KI

Wem ist eine konkrete Ausgabe rechtlich zuzurechnen?

Generative Systeme erzeugen Antworten im Zusammenwirken von Modell, Systemeinstellungen, Eingabe und gegebenenfalls externen Informationen. Daraus entstehen schwierige Zurechnungsfragen. Eine vollständige Verlagerung der Verantwortung auf Nutzer lässt sich ebenso wenig pauschal begründen wie eine verschuldensunabhängige Haftung des Anbieters für jede Ausgabe.

Bedeutsam können die Gestaltung des Dienstes, Einflussmöglichkeiten, vorhersehbare Risiken und die Reaktion auf konkrete Hinweise sein. Dabei hängen die maßgeblichen Kriterien von der Anspruchsgrundlage ab. Datenschutzrechtliche Verantwortlichkeit, deliktsrechtliche Zurechnung und strafrechtlicher Vorsatz sind nicht gleichzusetzen.

Wer gezielt eine falsche Aussage provoziert und anschließend verbreitet, ist anders zu beurteilen als jemand, der unerwartet eine rechtsverletzende Antwort erhält. Auch eine gezielte Manipulation durch Nutzer schließt jedoch nicht automatisch jede daneben bestehende Pflicht eines Anbieters aus.

Welche technischen Abhilfen sind geschuldet?

Das Entfernen eines veröffentlichten Beitrags unterscheidet sich technisch von der dauerhaften Verhinderung ähnlicher Modellausgaben. Denkbar sind Veränderungen von Datenbeständen, Abrufquellen, Filtern, Systemeinstellungen oder Modellbestandteilen. Welche Maßnahme rechtlich erforderlich ist, hängt von Anspruchsgrundlage und konkreter Pflicht ab.

Technische Komplexität allein befreit nicht von gesetzlichen Verpflichtungen. Andererseits darf nicht ohne Prüfung unterstellt werden, eine rechtswidrige Ausgabe lasse sich durch einen einzelnen Löschvorgang dauerhaft verhindern. Auch Wirksamkeit, Reichweite und mögliche Beeinträchtigungen rechtmäßiger Nutzungen sind zu berücksichtigen.

Eine bloße Entfernung aus der sichtbaren Benutzeroberfläche ist nicht zwingend mit der Löschung sämtlicher gespeicherter personenbezogener Daten gleichzusetzen. Umgekehrt bedeutet eine datenschutzrechtlich zulässige weitere Speicherung bestimmter Daten nicht, dass diese weiterhin öffentlich oder in Ausgaben verwendet werden dürfen.

Wie lassen sich Informationsasymmetrien überwinden?

Betroffene kennen regelmäßig weder die Trainingsquellen noch interne Schutzmaßnahmen oder die technische Entstehung einer bestimmten Antwort. Anbieter verfügen über einen erheblichen Informationsvorsprung. Das kann die Darlegung von Verantwortlichkeit und Kausalität erschweren.

Datenschutzrechtliche Auskunft, gerichtliche Darlegungsanforderungen und aufsichtsrechtliche Untersuchungsbefugnisse können zur Aufklärung beitragen. Ein Auskunftsanspruch nach Art. 15 DSGVO ist jedoch kein allgemeiner Anspruch auf Offenlegung des vollständigen Modells, sämtlicher Trainingsdaten oder jeder internen technischen Entscheidung.

Rechte Dritter und Geschäftsgeheimnisse können Grenzen begründen, erlauben aber keine pauschale Verweigerung jeder Information. Ob einzelne Angaben herauszugeben sind, erfordert eine Prüfung des konkreten Anspruchs und der entgegenstehenden Rechte. Auch prozessuale Beweiserleichterungen entstehen nicht allein dadurch, dass ein KI-System beteiligt ist.

Zusammenfassung

Verfahren im Zusammenhang mit Grok AI unterliegen in Deutschland keinem einheitlichen Sonderrecht. Je nach Sachverhalt greifen Persönlichkeitsrecht, Datenschutzrecht, Urheberrecht, Vertragsrecht, Strafrecht sowie europäische Vorschriften für Vermittlungsdienste und KI-Systeme ineinander. Entscheidend sind die konkrete Dienstfunktion, die beanstandete Handlung und der tatsächlich verantwortliche Rechtsträger.

Für Betroffene sind eine nachvollziehbare Beweissicherung, eine präzise Beanstandung und die Wahl des passenden Verfahrens wesentlich. Anbieterbeschwerden, behördliche Aufsicht, zivilgerichtlicher Rechtsschutz und Strafverfolgung erfüllen unterschiedliche Aufgaben. Ihre Voraussetzungen, Fristen und Kostenrisiken müssen getrennt betrachtet werden.

Die Rechtsprechung zu automatisierten Suchergänzungen und Plattformpflichten bietet Orientierung, entscheidet aber nicht sämtliche Fragen generativer KI. Weder besteht ein rechtsfreier Raum noch eine automatische Haftung für jede fehlerhafte Antwort. Ebenso belegt die Darstellung möglicher Rechtsgrundlagen nicht, dass bereits ein entsprechendes Verfahren gegen einen bestimmten Anbieter anhängig oder eine Rechtsverletzung festgestellt ist.