DSGVO in der automatisierten Kommentarmoderation

Der wichtigste Satz zuerst: Ein Kommentar unter deinem Beitrag ist ein personenbezogenes Datum der Person, die ihn geschrieben hat - nicht deins. Verantwortlicher im Sinne von Artikel 4 Nr. 7 DSGVO bist du, weil du über Zwecke und Mittel der Moderation entscheidest. Doorman verarbeitet in deinem Auftrag und ist Auftragsverarbeiter nach Artikel 4 Nr. 8.

Das klingt formal, hat aber eine sehr praktische Folge: Wenn sich jemand bei dir meldet, musst du antworten können - und dafür sollst du uns nicht erst fragen müssen. Alles Weitere in diesem Artikel folgt aus dieser Rollenverteilung.

• Die Informationspflichten nach Artikel 13 und 14 treffen dich, nicht uns. Ein Satz in deiner Datenschutzerklärung reicht in aller Regel.
• Ein Antrag auf Auskunft oder Löschung geht bei dir ein. Wir unterstützen dich dabei, entscheiden aber nicht über ihn.
• Meta ist für die Plattform selbst eigenständig verantwortlich. Die gemeinsame Verantwortlichkeit für eine Facebook-Seite, die der EuGH ausgeformt hat, liegt eine Ebene über der Moderation und ist von ihr unabhängig.

Eine Einwilligung der kommentierenden Person scheidet praktisch aus: Sie wäre vor dem Kommentar einzuholen und jederzeit widerrufbar. In der Praxis stützt sich die Moderation auf das berechtigte Interesse nach Artikel 6 Abs. 1 lit. f - das Interesse des Seitenbetreibers daran, den eigenen Kommentarbereich frei von Hass, Spam und Betrug zu halten.

Das verlangt eine Abwägung, und die schreibst du einmal auf. Drei Punkte tragen sie üblicherweise: Die Verarbeitung ist auf den veröffentlichten Kommentartext beschränkt, die Wirkung ist reversibel - verborgen ist nicht gelöscht -, und ein Mensch kann jede Entscheidung überprüfen. Wer die Abwägung nicht dokumentiert, hat sie nicht.

Berechtigtes Interesse ist keine Generalklausel, sondern eine Rechnung, die man vorzeigen können muss.

Artikel 5 Abs. 1 lit. c verlangt, dass Daten dem Zweck angemessen und auf das notwendige Maß beschränkt sind. Bei einem KI-gestützten Moderationswerkzeug entscheidet sich das nicht im Text der Datenschutzerklärung, sondern im Inhalt der Anfrage, die an das Modell geht.

Geht an das Modell

• Der Kommentartext und eine interne ID
• Deine Regeln, in deinen eigenen Worten
• Der Kontext des Beitrags, zu dem kommentiert wurde

Bleibt außen vor

• Name und Profil-ID der kommentierenden Person
• Deine Zugangsdaten zu Instagram oder Facebook
• E-Mail-Adresse, Abo- und Zahlungsdaten
• Daten anderer Kunden - eine Anfrage enthält nur deine

Ein Kommentartext ohne Absender ist in den allermeisten Fällen kein personenbezogenes Datum mehr - es sei denn, jemand nennt sich im Text selbst. Wer stattdessen den ganzen Datensatz an ein Modell schickt, verlagert eine Entscheidung über personenbezogene Daten in ein anderes Land, um sich eine Zeile Code zu sparen. Genau diese Abkürzung ist der Unterschied zwischen einer Verarbeitung, die man erklären kann, und einer, die man verteidigen muss.

Artikel 28 Abs. 3 zählt auf, was ein AVV regeln muss. Praktisch sind es sechs Dinge, die du bei jedem Werkzeug abfragen solltest - bei uns genauso wie bei allen anderen.

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien betroffener Personen - hier: kommentierende Dritte und dein eigenes Team.
• Die Liste der Unterauftragsverarbeiter mit Zweck und Verarbeitungsort, und ein Verfahren dafür, wie du über Änderungen erfährst.
• Die technischen und organisatorischen Maßnahmen nach Artikel 32 - Verschlüsselung, Zugriffskontrolle, Signaturprüfung eingehender Ereignisse, Umgang mit Sicherungskopien.
• Die Unterstützungspflichten bei Betroffenenrechten und bei einer Datenschutz-Folgenabschätzung.
• Der Meldeweg bei einer Schutzverletzung - und zwar einer, der nicht durch ein Ticketsystem führt. Artikel 33 gibt dir 72 Stunden gegenüber der Aufsichtsbehörde, gerechnet ab deiner Kenntnis.
• Was am Ende des Vertrags passiert: Löschung oder Rückgabe, und in welcher Frist.

Frag zusätzlich eine Sache schriftlich ab, die in keinem Muster-AVV steht: Werden meine Inhalte zum Training von Modellen verwendet? Die Antwort steht nicht im Marketing, sondern in den Geschäftsbedingungen des Modellanbieters.

Artikel 5 Abs. 1 lit. e nennt es Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange in identifizierbarer Form vorliegen, wie der Zweck es erfordert. Der Zweck der Moderation endet, wenn der Kommentar bearbeitet ist - deine Statistik braucht ihn danach nicht mehr im Klartext.

Ein Detail, das oft übersehen wird: Sicherungskopien. Ein Dump vom Tag D enthält den Text aller Kommentare aus den 30 Tagen davor. Wird er länger aufbewahrt als die Löschfrist, ist die Frist nur die halbe Wahrheit. Frag danach - es ist die Frage, an der sich ein ernst gemeintes Löschkonzept von einem geschriebenen unterscheidet.

Drei Dinge, die dabei oft verwechselt werden

• Verbergen ist kein Löschen. Der Kommentar bleibt bei Meta liegen, nur für andere unsichtbar. Wer die Löschung seines eigenen Kommentars verlangt, wendet sich an die Plattform - oder du machst ihn sichtbar und löschst ihn dort.
• Eine Begründung ist keine Offenlegung des Modells. Es genügt zu sagen, welche deiner Regeln gegriffen hat - und die hast du selbst geschrieben.
• Die Löschfrist ist keine Aufbewahrungspflicht. Wer eine längere Historie braucht, kann sie nicht bestellen - er kann sie sich exportieren.

Brauche ich für automatische Kommentarmoderation eine Einwilligung?

In aller Regel nein. Eine Einwilligung der kommentierenden Person wäre vor dem Kommentar einzuholen und jederzeit widerrufbar - praktisch unmöglich. Üblich ist das berechtigte Interesse nach Artikel 6 Abs. 1 lit. f, gestützt auf eine dokumentierte Abwägung. Lass die Rechtsgrundlage für deinen Fall prüfen, statt diesen Absatz zu kopieren.

Ist das Verbergen eines Kommentars eine automatisierte Entscheidung nach Artikel 22?

Artikel 22 greift bei Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung. Ob das Ausblenden eines einzelnen Kommentars diese Schwelle erreicht, ist umstritten. Der pragmatische Weg ist, die Frage nicht offen zu lassen: Wenn ein Mensch jede Entscheidung einsehen und mit einem Klick umkehren kann, ist das Recht auf Eingreifen aus Artikel 22 Abs. 3 erfüllt, unabhängig davon, wie man die Schwelle beurteilt.

Muss ich eine Datenschutz-Folgenabschätzung machen?

Artikel 35 verlangt sie bei voraussichtlich hohem Risiko, insbesondere bei umfangreicher systematischer Überwachung öffentlich zugänglicher Bereiche oder umfangreicher Verarbeitung besonderer Kategorien. Bei großen Kommentarvolumina lohnt sich die Prüfung. Wir stellen die Bausteine bereit - Verarbeitungsbeschreibung, Empfänger, Verarbeitungsorte, Fristen und Maßnahmen -, die Bewertung bleibt bei dir.

Werden Kommentare zum Training von KI-Modellen verwendet?

Nein. Kommentare, Regeln und Wissensdokumente werden nicht zum Training oder Fine-Tuning von Modellen verwendet. Die vertragliche Zusicherung der eingesetzten Anbieter bekommst du zusammen mit dem Auftragsverarbeitungsvertrag.

• Sicherheit, DSGVO und EU AI Act im Überblick - Datenfluss, Berechtigungen und Löschfristen auf einer Seite.
• Der EU AI Act und automatisierte Kommentarmoderation - Risikoklassen, Artikel 50 und menschliche Aufsicht.
• EU-Inferenz und der Provider-Split - Drittlandtransfers und Standardvertragsklauseln im Detail.

Stand: 3. September 2026. Dieser Artikel beschreibt das technische Verhalten des Produkts und ist keine Rechtsberatung.