Gericht in Rom hebt 15-Millionen-Euro-Geldbuße der Garante gegen OpenAI aus Zuständigkeitsgründen auf

Am 18. März 2026 hat das Gericht von Rom die Entscheidung der italienischen Datenschutzbehörde gegen OpenAI vollständig aufgehoben: eine Geldstrafe von 15 Millionen Euro und eine Anordnung, die das Unternehmen verpflichtete, eine sechsmonatige öffentliche Informationskampagne darüber durchzuführen, wie ChatGPT mit personenbezogenen Daten trainiert wird. Das Gericht stellte nicht fest, dass OpenAI die DSGVO eingehalten hatte. Es stellte fest, dass der Garante — die Autorità Garante per la Protezione dei Dati Personali — nicht mehr die zur Entscheidung befugte Behörde war. Der Grund dafür war die Zuständigkeit — ein Punkt, den das Gericht am Entscheidungstag nicht erläuterte und der erst klar wurde, als am 28. Mai 2026 die vollständige Begründung veröffentlicht wurde — und er hing von einem Datum ab: Die irische Datenschutzkommission hatte OpenAI Ireland Ltd am 15. Februar 2024 als einzige Niederlassung des Unternehmens im Europäischen Wirtschaftsraum anerkannt, achteinhalb Monate vor der endgültigen Entscheidung des Garante, und nach dem One-Stop-Shop-Mechanismus der DSGVO hätte die Akte zu diesem Zeitpunkt in Dublin liegen müssen. Reuters berichtete am 19. März 2026 über die Entscheidung und merkte an, dass das Gericht damals keine Begründung veröffentlichte; der Garante lehnte eine Stellungnahme ab. Der Schweregrad, die Konfidenzbewertung und die vollständige Quellenliste des Eintrags befinden sich im Orca AI Incident Archive, zusammen mit den anderen europäischen Regulierungseinträgen, die in seinem Umfeld eingereicht wurden.

Was aufgehoben wurde – und was das Gericht nicht sagte

Die fragliche Entscheidung ist die des Garante: Provvedimento Nr. 755 vom 2. November 2024, veröffentlicht am 20. Dezember 2024. Darin wurde festgestellt, dass OpenAI es versäumt hatte, die Behörde über eine im März 2023 erlittene Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, dass sie personenbezogene Daten von Nutzern zur Schulung von ChatGPT verarbeitet hatte, ohne zuvor eine angemessene Rechtsgrundlage zu ermitteln, dass sie gegen die Transparenz- und Informationspflichten der DSGVO verstoßen und keinen Altersverifikationsmechanismus eingerichtet hatte, mit dem Ergebnis – um es mit den Worten des Garante zu sagen –, dass Kinder unter 13 Jahren Gefahr liefen, Antworten ausgesetzt zu werden, die für ihre Entwicklungsstufe unangemessen sind.

Die Summe von 15 Millionen Euro war nach eigener Darstellung des Garante „auch unter Berücksichtigung der kooperativen Haltung des Unternehmens“ berechnet worden. Der ungewöhnlichere Teil der Entscheidung war die zweite Anordnung. Unter erstmaliger Anwendung von Artikel 166 Absatz 7 des italienischen Datenschutzkodex verlangte die Behörde eine sechsmonatige institutionelle Kampagne in Radio, Fernsehen, Zeitungen und im Internet, deren Inhalte mit der Behörde abzustimmen waren, die sich sowohl an Nutzer als auch an Nichtnutzer von ChatGPT richtete und erklärte, wie ihre Daten für das Training erhoben wurden und wie man ihnen widersprechen, sie berichtigen oder löschen kann.

Am 18. März 2026 hob das Gericht diese Entscheidung vollständig auf. An diesem Tag wurde keine Begründung gegeben. Der Garante erhielt das Urteil am 19. März, und die vollständige Begründung wurde erst am 28. Mai 2026 öffentlich zugänglich, wie Theodore Christakis und Giulio Monga im European Law Blog berichten. OpenAI erklärte gegenüber Reuters, man begrüße die Entscheidung, sei „stets bestrebt gewesen, die Privatsphäre der Nutzer zu respektieren“, und freue sich darauf, mehr italienischen Menschen, Unternehmen und der Gesellschaft dabei zu helfen, von KI zu profitieren. Der Garante wollte sich nicht äußern.

Drei Wochen, dann achteinhalb Monate

Es kommt auf die Chronologie an. Der Garante eröffnete sein Sanktionsverfahren am 26. Januar 2024. Am 15. Februar 2024 – etwa drei Wochen später – erkannte die irische Datenschutzkommission OpenAI Ireland Ltd förmlich als OpenAIs einzige Niederlassung im EWR an. Der Garante erließ seine endgültige Entscheidung am 2. November 2024, etwa achteinhalb Monate nach dieser Anerkennung.

Diese Unterscheidung zwischen Eintragung und Anerkennung ist von Bedeutung. OpenAI Ireland Ltd wurde am 24. März 2023 eingetragen, doch „single establishment“ ist ein autonomer Begriff des EU-Datenschutzrechts, der auf die tatsächliche und effektive Ausübung von Tätigkeiten durch stabile Einrichtungen abstellt; die beiden Daten müssen nicht zusammenfallen. Was sich am 15. Februar 2024 änderte, war nicht die Existenz eines irischen Unternehmens, sondern seine Anerkennung für die Zwecke des One-Stop-Shop.

Art. 56 Abs. 1 DSGVO verleiht der Aufsichtsbehörde der Hauptniederlassung oder der einzigen Niederlassung des Verantwortlichen die ausschließliche Zuständigkeit für die grenzüberschreitende Verarbeitung, wobei sie als federführende Aufsichtsbehörde handelt. Das Gericht von Rom stützte sich auf die Stellungnahme 8/2019 des Europäischen Datenschutzausschusses, insbesondere auf deren Abschnitt 4.3.2 über die Begründung einer Hauptniederlassung oder einzigen Niederlassung bzw. deren Verlagerung aus einem Drittland in den EWR, während bereits Verwaltungsverfahren anhängig sind. Nach dieser Auslegung kann die Zuständigkeit jederzeit auf die neue federführende Aufsichtsbehörde übergehen, bis eine endgültige Entscheidung ergangen ist, und jedes anhängige Verfahren muss mit übertragen werden.

Der Garante hatte das Problem vorausgesehen und die Akte geteilt. In seiner Pressemitteilung vom Dezember 2024 heißt es, da OpenAI während der Untersuchung seinen europäischen Hauptsitz in Irland errichtet habe, habe die Behörde „die Verfahrensunterlagen an die irische Datenschutzbehörde (DPC) weitergeleitet, die nach der DSGVO zur federführenden Aufsichtsbehörde wurde, um etwaige laufende Verstöße weiter zu untersuchen, die vor der Eröffnung des europäischen Hauptsitzes nicht abschließend behandelt worden waren“. Die Qualifizierung stammte vom Garante selbst: Er behielt, was er als abgeschlossen betrachtete, und gab weiter, was er als fortbestehend ansah. Das Gericht befand, dass ihm diese Aufteilung nicht offenstand.

Das Wort, auf das sich das Urteil stützte

Fast der gesamte Streit läuft auf Randnummer 16 der Stellungnahme 8/2019 hinaus, in der es heißt, die in der Stellungnahme geprüften Fragen „hauptsächlich Verstöße fortlaufender oder andauernder Natur betreffen“. Der Garante las dies als Grenze: Die Übermittlungslogik sei für fortlaufende Verstöße konzipiert worden und könne kein Verhalten erfassen, das bereits abgeschlossen war, bevor eine Niederlassung im EWR bestand. OpenAI las „hauptsächlich“ als beschreibend und nicht als ausschließend. Das Gericht gab OpenAI Recht und stellte fest, „hauptsächlich“ bezeichne die Art von Fall, in der sich die Frage am häufigsten stelle, und schließe nicht aus, dass dieselbe Logik auf abgeschlossene Verstöße Anwendung finde, wenn das Verfahren noch anhängig ist und noch keine endgültige Entscheidung getroffen wurde.

Das Hilfsargument des Garante war der Grundsatz des italienischen Zivilgesetzbuchstempus regit actum – dass das zur jeweiligen Zeit geltende Recht maßgeblich ist. Das Gericht verwarf es aufgrund des Sachverhalts: Dies sei eine Abfolge von Tatsachen, nicht von Gesetzen. Der entscheidende Zeitpunkt ist nach der Logik des Urteils weder das Datum des Verstoßes noch das Datum der Eröffnung der Untersuchung, sondern das Datum der Annahme der endgültigen Entscheidung. Ab diesem Zeitpunkt ist die Zuständigkeit festgelegt.

Auf die Begründetheit wurde nie eingegangen.

Das Gericht gab dem ersten Rechtsmittelgrund – der fehlenden Zuständigkeit – statt und erklärte alle übrigen Rechtsmittelgründe für „absorbiert“. Es traf keine Feststellung zur Rechtsgrundlage für das Training, zur Transparenz, zur Altersverifizierung oder zur verspäteten Meldung der Verletzung. Es äußerte sich nicht dazu, ob 15 Millionen Euro verhältnismäßig waren. Diese Fragen bleiben formal unbeantwortet.

Das ist der Punkt, der in der Berichterstattung am leichtesten verloren geht. Wie die italienische Firma Rödl & Partner in einer Mitteilung vom Juni 2026 formulierte, dürfe das Urteil „nicht als substantielles grünes Licht für die Praktiken von OpenAI gelesen werden: Es handelt sich lediglich um eine Übertragung der Zuständigkeit auf die zuständige Aufsichtsbehörde“. Der Eintrag des Archivs verzeichnet für diesen Vorfall keinen realen Schaden, was zu einem Fall passt, bei dem es darum ging, wer entscheiden darf, und nicht um eine nachgewiesene Verletzung identifizierter Personen.

Ob die Datei in Dublin zu Hause ist

Der gewichtigste Einwand gegen die Entscheidung ist, dass die übernehmende Stelle möglicherweise ebenfalls nicht in der Lage ist, den Fall zu entscheiden. Christakis und Monga vertreten in einem am 4. Juni 2026 im European Law Blog unter dem Titel „Establish, Then Escape?“ veröffentlichten Beitrag die Auffassung, dass die Lesart des Gerichtshofs eher eine Durchsetzungslücke als einen Wechsel des Forums erzeugt. Ihr konkretes Beispiel ist die Meldung der Datenschutzverletzung. Die Verletzung ereignete sich am 20. März 2023, und die Pflicht zur Benachrichtigung des Garante war zweiundsiebzig Stunden später fällig, als OpenAI keine EU-Niederlassung hatte und OpenAI Ireland Ltd noch nicht gegründet war. Der Garante stufte diesen Verstoß als abgeschlossen ein und behielt ihn für sich; nach der Logik des Gerichtshofs entfällt die gesamte Entscheidung einschließlich dieses Vorwurfs. Die Autoren argumentieren, es sei schwer vorstellbar, wie die irische Behörde, deren Zuständigkeit zeitlich nachfolgt und aus einer Niederlassung herrührt, die bei Entstehung der Pflicht nicht existierte, über eine dem Garante geschuldete Meldung in Bezug auf italienische betroffene Personen entscheiden könnte.

Sie achten auf die Grenzen dieses Arguments, und das sollte der Leser auch tun. Sie halten die Gegenposition fest — dass die DSGVO ein einheitliches unionsweites Instrument ist, sodass jede Behörde, die federführend wird, sie durchsetzen kann, wann immer sich die Tatsachen ereignet haben — und bezeichnen die Frage als diskutabel. Sie merken an, dass ihnen keine frühere Entscheidung eines nationalen Gerichts bekannt ist, die Abschnitt 4.3.2 der Stellungnahme 8/2019 anwendet, dass dies ein erstinstanzliches Urteil eines Einzelrichters ist und dass die Reichweite von Artikel 56 für Verhalten vor Begründung einer Niederlassung ihnen eher ungeklärt als klar erscheint. Ihre Empfehlung ist ein Vorabentscheidungsersuchen an den Gerichtshof nach Artikel 267 AEUV.

Die Durchsetzungslücke ist nicht nur eine doktrinäre Vorhersage. Theodore Christakis, der am Tag nach dem Urteil im Cross-Border Data Forum schrieb, hielt fest, dass keine andere europäische Datenschutzbehörde eine endgültige Durchsetzungsentscheidung zu DSGVO-Verstößen aus der ChatGPT-Startphase von November 2022 bis März 2023 veröffentlicht hat und dass der ChatGPT-Taskforce-Bericht des EDSB von Mai 2024 nur vorläufige Ansichten enthielt. Demnach wurde die einzige endgültige DSGVO-Durchsetzungsentscheidung, die Europa im Zeitraum der Einführung generativer KI getroffen hat, nun aufgehoben.

Was hat sich nach dem 18. März geändert?

Das Bußgeld war bereits ausgesetzt worden. Am 21. März 2025 setzte dasselbe Gericht die Wirkung der Sanktion bis zur Entscheidung aus, vorbehaltlich einer Sicherheit – einer cauzione, also einer Sicherheitsleistung, in Altalex’ Bericht über die Anordnung. Diese Aussetzung berührte die Begründetheit nicht, und die ein Jahr später erfolgte Aufhebung ebenso wenig.

Der Garante hat den Fall nicht so sehr aus seinen Akten entfernt, als ihn vielmehr beiseitegelegt. Seine Pressemitteilungsseite zur Entscheidung 755 enthält nun einen Hinweis darauf, dass die Entscheidung nach dem Urteil Nr. 4153/2026 „vorübergehend von der Website des Garante entfernt“ wurde. Das Wort stammt von der Behörde: vorübergehend.

Was die Rechtsmittelfrage betrifft, sind die Quellen konsistent, aber unvollständig. Christakis und Monga merken an, dass der Garante möglicherweise noch bei der Corte di Cassazione Rechtsmittel einlegen wird. Das Cross-Border Data Forum hielt am 19. März 2026 fest, dass die Behörde, da die Begründung noch nicht veröffentlicht worden war, damals nicht sagen konnte, ob sie dies tun würde. In den für diesen Artikel geprüften Quellen fanden wir keinen Bericht über eine seitdem erfolgte Einlegung eines Rechtsmittels und keine endgültige Entscheidung der Irish Data Protection Commission zum übermittelten Vorgang. Das Fehlen beider ist kein Beweis dafür, dass nichts geschehen ist; beides bedeutet, dass der Ausgang noch nicht abgeschlossen ist.

Etabliert, erörtert und offen

• Festgestellt: dass das Urteil Nr. 4153/2026 vom 18. März 2026 die Entscheidung Nr. 755 vom 2. November 2024 vollständig aufgehoben hat, wodurch eine Geldbuße von 15 Mio. € und die Anordnung einer sechsmonatigen Medienkampagne entfielen; dass der Tenor an jenem Tag ohne Begründung verlesen wurde; und dass die veröffentlichten Gründe auf dem One-Stop-Shop, der Anerkennung der OpenAI Ireland Ltd durch die DPC am 15. Februar 2024 und der EDPB-Stellungnahme 8/2019 beruhen.

• Erörtert: ob eine anhängige Akte ordnungsgemäß an eine Behörde übermittelt werden darf, deren Zuständigkeit erst nach dem fraglichen Verhalten entstanden ist. Das Gericht bejahte dies; Christakis und Monga vertreten die Auffassung, dass diese Auslegung das Verhalten vor Begründung der Niederlassung nicht durchsetzbar lässt, und möchten, dass der Gerichtshof entscheidet; Rödl & Partner und ICT Legal Consulting beschreiben das Urteil stattdessen als Klärung der Frage, wie der One-Stop-Shop bei einem Wechsel der Niederlassung während eines laufenden Verfahrens anzuwenden ist.

• Offen:ob der Garante den Fall vor die Corte di Cassazione bringt, ob ein Gericht ihn nach Luxemburg verweist und ob die irische Behörde jemals zu dem Teil der Akte, den sie erhalten hat, eine Entscheidung trifft.

Die 15 Millionen Euro sind weg. Die Frage, die der Fall aufgeworfen hat – wer in Europa einen Anbieter generativer KI für den Zeitraum, bevor er eine europäische Niederlassung hatte, nach der DSGVO zur Verantwortung ziehen kann –, ist einfach an einen anderen Schreibtisch weitergewandert.