Scraping-Vorfall in 2021: Bundesgerichtshof verurteilt Facebook

BGH schafft Klarheit im Datenschutz

In einem richtungsweisenden Urteil hat der Bundesgerichtshof (BGH) die Anforderungen an Schadensersatzansprüche im Datenschutz konkretisiert. Im Fokus stand ein Kläger, dessen Daten durch einen Scraping-Vorfall bei Facebook im Jahr 2021 veröffentlicht wurden. Unbekannte Dritte nutzten dabei Facebooks „Kontakt-Import“-Funktion, um Namen, Telefonnummern und weitere Informationen zu Millionen von Nutzerkonten zu erlangen. Insgesamt waren weltweit 533 Millionen Nutzer betroffen. (Über das Scraping bei Facebook haben wir HIER berichtet.)

Der Kläger machte geltend, dass Facebook durch unzureichende Sicherheitsvorkehrungen gegen die Datenschutzgrundverordnung (DSGVO) verstoßen habe. Neben einer Entschädigung für immaterielle Schäden forderte er auch die Feststellung einer zukünftigen Ersatzpflicht und die Unterlassung der unbefugten Datennutzung.

EuGH-Vorgaben und die bisherige Praxis deutscher Gerichte

Die rechtliche Bewertung immaterieller Schäden war bisher umstritten. Während der Europäische Gerichtshof (EuGH) keine Bagatellgrenze für immaterielle Schäden vorsieht und auch geringfügige Schäden anerkennt, zeigten sich deutsche Gerichte restriktiver. Sie wiesen häufig Klagen ab, da Betroffene neben dem Kontrollverlust weitere konkrete Nachteile oder psychische Belastungen nachweisen mussten. Beispiele sind Urteile des OLG Oldenburg, OLG Stuttgart und OLG Hamm, die diese Darlegungslast betonten.

BGH: Kontrollverlust reicht aus

Mit seinem Urteil stellt der BGH klar: Bereits der kurzzeitige Verlust der Kontrolle über persönliche Daten kann einen immateriellen Schaden im Sinne der DSGVO darstellen. Weder der Nachweis einer missbräuchlichen Nutzung noch anderer negativer Folgen ist notwendig. Dieser Grundsatz stärkt Nutzerrechte erheblich, da er die Hürden für Schadensersatzklagen senkt.

Allerdings begrenzt der BGH die Höhe des Ersatzes: So sei ein Betrag von 100 € angemessen, wenn über den bloßen Kontrollverlust hinaus keine außergewöhnlichen Belastungen vorliegen. Dies stellt eine klare Grenze für Ansprüche dar und könnte für viele Betroffene enttäuschend sein.

Künftige Schadensersatzpflicht und offene Fragen

Der BGH erkannte außerdem das Feststellungsinteresse des Klägers an künftigen Schäden an. Dies betrifft potenzielle zukünftige Nachteile, die aus der Veröffentlichung seiner Daten entstehen könnten. Zudem hat das Gericht Hinweise zur Frage der Einwilligung gegeben: Die Vorinstanz muss klären, ob der Kläger bei der Kontoerstellung wirksam in die Nutzung seiner Daten eingewilligt hat. Diese Frage könnte weitere Datenschutzverfahren beeinflussen.

So prüfen Sie, ob Ihre Daten betroffen sind:
Facebook bietet über seinen Hilfebereich ein Online-Formular an, mit dem Nutzer herausfinden können, ob ihre Daten von der Scraping-Datenpanne betroffen sind. Die Antwort verweist auf die Website haveibeenpwned.com, wo Nutzer E-Mail-Adressen und Telefonnummern auf bekannte Datenlecks prüfen können.

Zusätzlich können Betroffene Zugriffe durch Drittanbieter-Apps im Hilfebereich von Facebook überprüfen und verwalten. Gerade in der Vergangenheit gab es immer wieder Berichte über Datenmissbrauch durch Anwendungen wie bei der Cambridge Analytica-Affäre oder durch Sicherheitslücken, die Fotos oder andere Informationen zugänglich machten.

Praktische Tipps für mehr Sicherheit:
Wer feststellt, dass persönliche Daten von ihm im Umlauf sind, sollte:

• Passwörter ändern und für jeden Dienst ein eigenes Passwort verwenden.
• Bei verdächtigen E-Mails und SMS wachsam bleiben und keine Links oder Anhänge öffnen.
• Dienste wie den HPI Identity Leak Checker nutzen, um zu prüfen, ob Login-Daten kompromittiert sind.

Eile geboten – Verjährung zum Jahresende:
Betroffene Nutzer können noch bis zum 31. Dezember 2024 gegen Meta klagen und Schadensersatz fordern. Danach verjähren Ansprüche.

Klagefrist und Metas Position

Betroffene Nutzer können bis Ende des Jahres 2024 klagen. Diese Frist bietet geschädigten Facebook-Nutzern die Gelegenheit, Schadensersatzansprüche geltend zu machen. Als Richtwert nannte der BGH etwa 100 € für Fälle ohne zusätzliche Belastungen, wobei die endgültige Festlegung bei der Vorinstanz liegt.

Um betroffenen Nutzern die Durchsetzung ihrer Ansprüche zu erleichtern, stellen Verbraucherschützer einen Musterbrief für ein Forderungsschreiben sowie eine Schritt-für-Schritt-Anleitung (RTF-Datei) bereit. Der Musterbrief sollte per Einschreiben mit Rückschein an Meta Platforms Ireland Limited gesendet werden, um den Zugang der Forderung zweifelsfrei nachweisen zu können.

Fazit zum Facebook-Scraping-Urteil

Das Urteil des BGH ist ein Meilenstein für Datenschutzklagen in Deutschland. Es stärkt die Rechte von Betroffenen, indem es den Kontrollverlust als immateriellen Schaden anerkennt. Gleichzeitig bleiben die Grenzen der Schadenshöhe eng gesteckt. Mit der Rückverweisung an die Vorinstanz bleibt die Klärung entscheidender Details wie der Einwilligung in die Datenverarbeitung offen.

Quelle: Bundesgerichtshof

Lesen Sie auch:

• Lesebeschränkungen bei Twitter wegen Data-Scraping sorgen für Unmut bei Nutzern
• Facebook-Leak: Daten von über 500 Millionen Nutzern veröffentlicht
• Facebook-Scraping-Urteil
• So geht Facebook gegen Scraping vor!

Abonnieren Sie unseren Newsletter, um auf dem Laufenden zu bleiben. Erkunden Sie auch unser umfangreiches Medienbildungsangebot.