805 Millionen ohne Irland: Mit diesem Hebel straft Italien Meta – und das trifft auch KI

Darum geht es

Am 14. November 2026 hat die italienische Datenschutzbehörde Garante per la protezione dei dati personali gegen Meta eine Strafe von 805 Millionen Euro verhängt. Der Grund ist eine unscheinbare Funktion der Facebook-App für Android: „Vorschläge aus der Galerie, während du Facebook nutzt“. Seit 2023 schlägt sie beim Scrollen Fotos und Videos vom Handy als mögliche Beiträge vor. Laut Pressemitteilung des Garante hat Meta dabei auf Fotos, Videos und deren Metadaten italienischer Nutzer zugegriffen, ohne eine spezifische Einwilligung einzuholen und ohne ausreichend zu informieren.

Die Rekordsumme stand überall in den Schlagzeilen. Interessanter ist aber die Frage, warum ausgerechnet Rom entscheiden durfte. Metas EU-Sitz liegt in Dublin, und bei der DSGVO führt normalerweise die irische Behörde. Dieser Artikel erklärt, welchen Hebel der Garante nutzt, welche aktuellen KI-Funktionen derselbe Hebel treffen könnte und was im Bescheid ausdrücklich nicht steht.

Was der Garante festgestellt hat

Das Verfahren begann im Juli 2025 nach einer Beschwerde der Verbraucherzentrale Bozen (Centro Tutela Consumatori Utenti). Die Behörde hat die App auch selbst technisch analysiert. Laut Pressemitteilung stellte sie drei Dinge fest:

• Facebook fragte den Galeriezugriff über eine einzige Berechtigung ab, die für die ganze App und mehrere Funktionen galt.
• Der Hinweis dazu sprach nur davon, „weitere Funktionen zu aktivieren“. Dass damit auch die Galerie-Vorschläge gemeint waren, war nicht zu erkennen.
• Die Funktion war standardmäßig eingeschaltet, laut Bericht von Open auf rund 20 Millionen Smartphones in Italien.

Bei der Höhe der Strafe berücksichtigte der Garante die Zahl der Betroffenen, die Dauer des Verstoßes und eine frühere Entscheidung gegen Meta aus dem Jahr 2019. Nach Angaben des Fachblogs von Pasquale Pillitteri war das eine Strafe von 1 Million Euro im Fall Cambridge Analytica. Erschwerend kam die geringe Kooperationsbereitschaft während der Ermittlungen hinzu. Metas Nachbesserungen nach der Beschwerde wertete die Behörde nur leicht mildernd. Sie seien spät gekommen und erreichten nur Nutzer, die die App aktualisieren.

Die Auflagen im Überblick:

Der Hebel: Art. 122 statt DSGVO

Der Garante stützt sich nicht auf die DSGVO, sondern auf Art. 122 des italienischen Datenschutzkodex. Damit setzt Italien Art. 5(3) der ePrivacy-Richtlinie um. Diese Regel ist als „Cookie-Paragraf“ bekannt, gilt aber für jedes Speichern und jedes Auslesen von Informationen auf einem Endgerät. Der Garante formuliert es so: Das Smartphone gehört zur Privatsphäre des Menschen. Jeder Zugriff auf seinen Inhalt braucht deshalb eine freie und informierte Einwilligung, und zwar unabhängig davon, ob Daten übertragen werden oder ein Schaden entsteht.

Der entscheidende Punkt ist die Zuständigkeit. Die DSGVO kennt den One-Stop-Shop: Ein Konzern hat in der EU nur eine federführende Behörde, die seines Hauptsitzes. Bei Meta, Google, Apple und Microsoft ist das meist Irland. Der Europäische Gerichtshof hat 2021 im Urteil C-645/19 (Facebook Belgium) bestätigt, dass dieses Prinzip bei grenzüberschreitender Datenverarbeitung die Regel ist und Ausnahmen eng sind. Die ePrivacy-Richtlinie hat einen solchen Mechanismus aber nicht. Jede nationale Behörde ist für das Auslesen von Geräten in ihrem Land selbst zuständig. Mit genau diesem Argument wies der Garante Metas Einwand zurück, die irische Behörde sei zuständig.

Neu ist dieser Weg nicht. Die französische CNIL hat ihn mehrfach genutzt: im Dezember 2020 mit 100 Millionen Euro gegen Google und 35 Millionen Euro gegen Amazon, Ende 2021 mit 150 Millionen Euro gegen Google und 60 Millionen Euro gegen Facebook, im September 2025 mit 325 Millionen Euro gegen Google. Grundlage war jeweils Art. 82 des französischen Datenschutzgesetzes, also die französische Fassung von Art. 5(3). Google hatte schon damals auf Irland verwiesen. Der französische Staatsrat (Conseil d'État) bestätigte Anfang 2022 trotzdem die Zuständigkeit der CNIL. Die Datenschutzorganisation noyb reichte 2021 ihre Beschwerde gegen die Android-Werbe-ID bewusst nach ePrivacy-Recht bei der CNIL ein. Laut Fortune sollte so die französische Behörde allein entscheiden können, ohne die anderen EU-Behörden einbinden zu müssen.

Teuer wird es in Italien, weil der Datenschutzkodex Verstöße gegen Art. 122 in Art. 166 Abs. 2 dem höchsten DSGVO-Strafrahmen zuordnet: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Zum Nachrechnen: 805 Millionen Euro sind laut Garante 0,47 Prozent des Umsatzes. Daraus ergibt sich eine Bemessungsgrundlage von rund 171 Milliarden Euro und eine theoretische Obergrenze von etwa 6,8 Milliarden Euro. Der Garante hat also gut ein Achtel des möglichen Rahmens ausgeschöpft.

In Deutschland gilt Art. 5(3) als § 25 TDDDG (früher TTDSG). Den One-Stop-Shop gibt es auch hier nicht. Die Strafen sind aber viel kleiner: § 28 Abs. 1 Nr. 13 TDDDG sieht für unerlaubtes Speichern oder Auslesen höchstens 300.000 Euro vor. Unsere Einschätzung: Ein Fall wie der italienische wäre in Deutschland rechtlich zwar möglich, eine Strafe in dreistelliger Millionenhöhe aber nicht.

Wo der Bescheid angreifbar ist

Meta war laut Reuters zunächst nicht für eine Stellungnahme erreichbar und hat noch nicht erklärt, ob es Rechtsmittel einlegt. Pillitteri hält die Zuständigkeitsfrage für den wahrscheinlichsten Streitpunkt vor dem ordentlichen Gericht.

Unsere Einschätzung: Ein zweiter Ansatzpunkt ist die Formulierung „unabhängig von der Übertragung“. Der Europäische Datenschutzausschuss (EDPB) hat in seinen Leitlinien 2/2023 zum Anwendungsbereich von Art. 5(3) festgehalten, dass die rein lokale Nutzung gespeicherter Informationen kein „Zugriff“ ist, solange die Information das Gerät nicht verlässt. Werden die Informationen oder daraus abgeleitete Daten weitergeschickt, etwa an einen Server, greift Art. 5(3) dagegen auch dann, wenn die Daten lokal entstanden sind. Der Garante legt die Regel damit weiter aus als der EDPB. Für den Galerie-Fall muss das nicht entscheidend sein, aus der Pressemitteilung geht aber nicht hervor, welche Daten Facebook tatsächlich an Meta geschickt hat.

Was nicht im Bescheid steht

Viele Überschriften stellen einen Zusammenhang mit KI her. Formal gibt der Bescheid das nicht her. Der Garante schreibt ausdrücklich, dass das Verfahren nicht untersucht hat, ob Galerie-Inhalte zum Training von KI-Modellen verwendet wurden. Meta bestreitet das. Laut startupfortune.com ist gerade das die Stärke des Bescheids: Die Behörde muss keine KI-Nutzung nachweisen, wenn schon der Zugriff ohne Einwilligung rechtswidrig war.

Ausdrücklich offen ist auch eine neue Funktion von 2026, die Galerie-Inhalte in der Cloud verarbeitet. Der Garante behält sich vor, sie in einem eigenen Verfahren zu prüfen.

Welche KI-Funktionen derselbe Hebel trifft

Gemeint ist die Funktion, die Meta am 16. April 2026 für EU und Großbritannien angekündigt hat. Sie analysiert die Kamerarolle, sucht „besondere Momente“ heraus und schlägt Collagen, Bearbeitungen und Videos vor. Laut TechCrunch lädt die App dafür zum Start in den USA fortlaufend Bilder vom Gerät in Metas Cloud. Meta betont, die Funktion sei Opt-in und die Inhalte würden weder für Werbung noch für KI-Verbesserungen genutzt, solange man sie nicht veröffentlicht oder mit Meta AI bearbeitet. Wer zustimmt, akzeptiert laut TechCrunch allerdings Metas KI-Nutzungsbedingungen. Sie erlauben es, Bildinhalte zusammenzufassen, Bilder zu verändern und auf ihrer Grundlage neue Inhalte zu erzeugen.

Unsere Gegenüberstellung zeigt, wo der ePrivacy-Hebel voraussichtlich greift. Die rechtliche Spalte ist unsere Einschätzung, keine Behördenentscheidung:

Zu Gemini: Eine E-Mail von Google kündigte an, dass Gemini ab dem 7. Juli 2025 mit Telefon, Nachrichten und WhatsApp arbeitet, „egal ob die Gemini-Aktivität an oder aus ist“. Malwarebytes und andere kritisierten das als Zugriff ohne neue Zustimmung. Wie tief Gemini in Android steckt, zeigt auch ein Beschluss der EU-Kommission vom 16. Juli 2026 nach dem Digital Markets Act. Danach muss Google Konkurrenten Zugang zu denselben Systemfunktionen geben, darunter das Lesen des Bildschirms und Aktionen über mehrere Apps hinweg. Zu Samsungs Memory gibt es nur Berichte von SamMobile und Engadget auf Basis von Screenshots. Engadget erwartet die Beta von One UI 9.5 in Kürze und die stabile Version mit der Galaxy-S27-Reihe Anfang 2027.

Was du selbst umschalten kannst

• Facebook: Unter Einstellungen und Privatsphäre → Einstellungen → „Vorschläge zum Teilen aus der Kamerarolle“ (Bezeichnung je nach App-Version) stehen zwei Schalter: Vorschläge beim Browsen und Cloud-Verarbeitung. Beide ausschalten. Laut Berichten löscht Meta hochgeladene, nicht geteilte Fotos nach dem Abschalten innerhalb von 30 Tagen.
• Android selbst: In den Systemeinstellungen unter Apps → Facebook → Berechtigungen → Fotos und Videos den Zugriff entziehen oder auf ausgewählte Fotos beschränken. Das ist der sicherste Schalter, weil er unabhängig von Metas Menüs wirkt.
• Gemini: In der Gemini-App über das Profilbild → Apps die verbundenen Apps trennen. Getrennte Apps sind laut Malwarebytes unabhängig von der Aktivitäts-Einstellung gesperrt. Zusätzlich lässt sich die Gemini-Aktivität ausschalten.
• Google Fotos: In den Einstellungen der Fotos-App lassen sich die Gemini-Funktionen abschalten. Laut heise ist der Schalter gut versteckt.
• Recall: Die Funktion ist Opt-in. Wer sie eingeschaltet hat, kann die Speicherung von Schnappschüssen in den Windows-Datenschutzeinstellungen wieder beenden.

Einordnung

Der Bescheid ist vor allem wegen des Rechtswegs wichtig. Er zeigt, dass Behörden außerhalb Irlands gegen Big Tech vorgehen können, sobald eine App auf Inhalte des Geräts zugreift, und in Italien mit Strafen im DSGVO-Maßstab. Gerade KI-Assistenten brauchen solche Zugriffe: Sie lesen Galerie, Bildschirm, Nachrichten und Screenshots. Das schafft für die Anbieter ein neues Risiko. Statt einer federführenden Behörde können in der EU viele einzelne Aufsichten zuständig werden, mit unterschiedlichen Auslegungen und, wie der Vergleich zwischen Italien und Deutschland zeigt, sehr unterschiedlichen Strafrahmen.

Offen bleibt einiges. Meta kann vor Gericht ziehen, und die Zuständigkeit ist dabei der naheliegende Angriffspunkt. Die Auslegung „auch ohne Übertragung“ ist strenger als die des EDPB. Ob Galerie-Inhalte in Metas KI gelandet sind, hat niemand geprüft. Unsere Einschätzung: Mehr Wirkung als die Geldsumme dürfte die 60-Tage-Auflage haben. Muss eine Funktion ausdrücklich eingeschaltet werden, nutzen sie erfahrungsgemäß deutlich weniger Menschen. Spannend wird, ob der Garante die Cloud-Analyse der Kamerarolle mit derselben Begründung angeht und ob andere Behörden in der EU nachziehen.