BGH-Urteil zum Facebook-Datenleck: Schadensersatz bei Kontrollverlust

Was ist passiert? Der Facebook-Scraping-Skandal

Beim sogenannten Facebook-Scraping hatten Unbekannte im Jahr 2021 mithilfe der Kontaktimportfunktion des sozialen Netzwerks Daten von rund 533 Millionen Nutzern weltweit gesammelt. Die Täter nutzten eine Sicherheitslücke, die es ermöglichte, Telefonnummern durch zufällige Ziffernfolgen Facebook-Konten zuzuordnen. Diese sogenannten „gescrapten“ Daten umfassten Namen, Telefonnummern, Arbeitsstätten und andere öffentlich einsehbare Informationen, die anschließend ins Internet gestellt wurden. Ein umfangreiches Datenleck.

Im Mittelpunkt der juristischen Auseinandersetzung steht die Frage, ob ein derartiger Vorfall – ohne nachweisbare Nutzung der Daten zu schädlichen Zwecken – bereits einen immateriellen Schaden begründet. Bisher hatten viele deutsche Gerichte einen Anspruch auf Schadensersatz abgelehnt, da Kläger häufig keine konkreten Beeinträchtigungen wie finanziellen Verlust oder psychische Belastungen nachweisen konnten. Bisher hatten viele deutsche Gerichte einen Anspruch auf Schadensersatz abgelehnt, da Kläger häufig keine konkreten Beeinträchtigungen wie finanziellen Verlust oder psychische Belastungen nachweisen konnten.

Der BGH stellte jedoch klar, dass ein Schadensersatzanspruch kumulativ folgende Voraussetzungen erfordert: einen Verstoß gegen die DSGVO, das Vorliegen eines Schadens sowie einen Kausalzusammenhang zwischen dem Verstoß und dem Schaden. Mit dieser Klarstellung hat der BGH eine deutliche Erleichterung für Betroffene geschaffen, indem er die Schwelle für den Nachweis eines immateriellen Schadens deutlich absenkte.

Die Entscheidung des BGH: Kontrollverlust genügt als Schaden

Der BGH hat in seinem Urteil klargestellt, dass der bloße Verlust der Kontrolle über personenbezogene Daten ausreicht, um einen immateriellen Schaden im Sinne des Art. 82 DSGVO geltend zu machen. Dies gilt selbst dann, wenn keine weiteren nachweisbaren negativen Folgen, wie Spam, Identitätsdiebstahl oder psychische Belastungen, vorliegen. Der Kontrollverlust stellt also selbst den immateriellen Schaden dar, wobei die Darlegung des individuellen Kontrollverlusts dennoch konkret erfolgen muss. Eine weitergehende Beeinträchtigung – etwa durch Spam, Identitätsdiebstahl oder psychische Belastungen – ist nicht erforderlich. Dies bedeutet, dass allein die Tatsache, dass personenbezogene Daten in unbefugte Hände geraten sind, für die Begründung eines Schadens ausreicht.

Einige sprechen von einem „Tor für Sammelklagen“. Würde tatsächlich jeder der weltweit rund 533 Millionen betroffenen Facebook-Nutzer einen Schadensersatz von 100 Euro verlangen, entstünde für Meta ein Risiko von bis zu 53 Milliarden Euro – etwa 40 Prozent des Jahresumsatzes des Unternehmens. Allein auf die 6 Millionen Betroffenen in Deutschland bezogen, wären das 600 Millionen Euro. Diese Szenarien kursieren derzeit in den Medien und zeigen die möglichen finanziellen Dimensionen. Doch wie belastbar sind diese Zahlen wirklich?

Schadensersatz von 100 Euro als Orientierung?

Tatsächlich hat der BGH nicht entschieden, dass jeder Betroffene zwingend mindestens 100 Euro Schadensersatz erhalten muss. Die Richter äußern sogar Zweifel, ob ein Schadensersatz von weniger als 10 Euro mit dem Effektivitätsgrundsatz vereinbar wäre. Vielmehr hat der BGH in seiner Entscheidung erklärt, dass er „von Rechts wegen keine Bedenken“ habe, den erforderlichen Ausgleich für den Kontrollverlust in einem Fall wie dem vorliegenden auf 100 Euro zu bemessen.  Damit macht der BGH deutlich, dass der Kontrollverlust zwar einen Schaden darstellt, dieser aber in der Regel nicht erheblich ist. Diese Einschätzung ist jedoch unverbindlich für die Instanzgerichte. Die tatsächliche Schadenshöhe muss, wie in jedem anderen Fall, vom Tatrichter anhand der konkreten Umstände des Einzelfalls bestimmt werden.  Es bleibt daher offen, welche Beträge in anderen Fällen angesetzt werden.

Kritiker weisen zudem darauf hin, dass die individuelle Darlegung der Schäden bei Sammelklagen praktisch kaum umsetzbar sei. Selbst wenn eine gebündelte Massenklage angestrebt wird, muss der Schaden jedes einzelnen Betroffenen so konkret dargelegt werden, dass ein Richter die Umstände des Einzelfalls berücksichtigen kann. Dies könnte gerade bei massenhaften Ansprüchen zu erheblichen Schwierigkeiten führen.

Weitere Feststellungen des Gerichts

Neben dem Schadensersatzanspruch hat der BGH auch die Zulässigkeit von Feststellungsanträgen für künftige Schäden anerkannt. Dies ermöglicht es Betroffenen, die Möglichkeit künftiger Schäden rechtlich feststellen zu lassen, wenn fortdauernde Risiken – etwa durch die weiterhin öffentlich zugänglichen Daten – bestehen. Der BGH hat zudem darauf hingewiesen, dass künftige Schäden nicht konkret vorhersehbar sein müssen, sondern lediglich die Möglichkeit eines Schadenseintritts ausreicht. Weiterhin stellte der BGH klar, dass Betroffene Ansprüche auf Unterlassung und Erstattung vorgerichtlicher Rechtsanwaltskosten haben können.

Auswirkungen des Urteils auf Unternehmen

Die Entscheidung des BGH hat weitreichende Folgen für Unternehmen, die personenbezogene Daten verarbeiten. Der Begriff des „Kontrollverlusts“ als immaterieller Schaden eröffnet eine breite Angriffsfläche für Klagen, insbesondere bei öffentlich bekannt gewordenen Datenschutzvorfällen oder Datenlecks. Dies dürfte vor allem professionellen Klägervertretern in die Hände spielen, die zunehmend Betroffene motivieren, Schadensersatzansprüche geltend zu machen.

Gefahr von Klagewellen

Das Urteil könnte Klagewellen befeuern, bei denen professionelle Anwälte gezielt Datenschutzvorfälle nutzen, um massenhaft Ansprüche einzuklagen. Solche Klagen können für Unternehmen trotz niedriger Schadensersatzbeträge erhebliche wirtschaftliche Belastungen darstellen. Die Kosten für die Rechtsverteidigung und mögliche negative Auswirkungen auf den Ruf des Unternehmens können schnell ein kritisches Ausmaß erreichen. Zudem drohen zusätzliche Kosten durch eine Vielzahl von parallelen Verfahren.

Indirekte Auswirkungen auf die Compliance

Das Urteil verdeutlicht, wie wichtig es ist, Datenschutz-Compliance ernst zu nehmen. Unternehmen, die technische und organisatorische Maßnahmen (TOMs) nur unzureichend umsetzen, könnten sich schnell in der Haftung wiederfinden. Der BGH hat jedoch betont, dass eine Haftung ausgeschlossen sein kann, wenn Unternehmen nachweisen können, dass sie angemessene Schutzmaßnahmen getroffen haben.

Handlungsempfehlungen für Unternehmen

Unternehmen sollten das Urteil zum Anlass nehmen, ihre Datenschutzmaßnahmen kritisch zu überprüfen und gegebenenfalls zu verbessern. Folgende Schritte sind empfehlenswert:

• Regelmäßige Überprüfung und Aktualisierung der technischen und organisatorischen Maßnahmen (TOM): Unternehmen sollten ihre Sicherheitsvorkehrungen regelmäßig evaluieren und sicherstellen, dass sie dem aktuellen Stand der Technik entsprechen. Dazu gehören beispielsweise Firewalls, Verschlüsselungstechnologien und strenge Zugriffsregelungen.

• Dokumentation der Datenschutz-Compliance: Unternehmen sollten umfassend dokumentieren, welche Maßnahmen sie zum Schutz personenbezogener Daten ergreifen. Diese Dokumentation ist entscheidend, um im Fall einer Klage nachweisen zu können, dass alle Anforderungen der DSGVO erfüllt wurden.

• Schulung von Mitarbeitern: Datenschutzverletzungen entstehen oft durch menschliches Versagen. Regelmäßige Schulungen können dazu beitragen, die Sensibilität für Datenschutzthemen zu erhöhen und Fehler zu vermeiden.

• Schnelle Reaktion auf Datenschutzvorfälle: Im Fall eines Datenschutzvorfalls sollten Unternehmen unverzüglich Maßnahmen ergreifen, um den Schaden zu begrenzen. Eine zeitnahe Meldung an die Datenschutzbehörde und die Information der Betroffenen sind essenziell, um Sanktionen zu vermeiden.

• Strategischer Umgang mit Klagen: Unternehmen, die mit Schadensersatzansprüchen konfrontiert werden, sollten sich frühzeitig rechtlichen Beistand holen. Es ist wichtig, die Erfolgsaussichten der Klage genau zu prüfen, bevor etwaige Vergleiche angeboten werden. Vorschnelle Zugeständnisse können weitere Klagen provozieren.

• Präventive Maßnahmen gegen Klagewellen: Unternehmen sollten proaktiv mit ihren Kunden und Stakeholdern kommunizieren, um Vertrauen zu schaffen und mögliche Klagen zu verhindern. Eine transparente und offene Kommunikation nach einem Datenschutzvorfall kann dazu beitragen, das Risiko von Klagewellen zu minimieren.

Fazit

Das Urteil des BGH schafft eine wichtige Klarheit für die Auslegung des Art. 82 DSGVO und stärkt die Rechte von Betroffenen. Gleichzeitig gibt es Unternehmen Werkzeuge an die Hand, um sich gegen Ansprüche zu verteidigen, sofern sie nachweisen können, dass sie angemessene Maßnahmen ergriffen haben. Die Entscheidung verdeutlicht jedoch auch die erheblichen Risiken, die durch Datenschutzvorfälle entstehen können. Klagewellen und erhebliche Verteidigungskosten sind reale Bedrohungen, die es durch eine solide Datenschutzstrategie zu vermeiden gilt.

Unternehmen sollten das Urteil nicht als Anlass für Panik sehen, sondern als Weckruf, ihre Datenschutzprozesse zu optimieren. Ein gutes Datenschutzmanagement und die Fähigkeit, die Einhaltung der DSGVO zu belegen, können nicht nur rechtliche Risiken minimieren, sondern auch das Vertrauen der Kunden stärken.

Unsere Kanzlei verfügt über jahrzehntelange Erfahrung im Bereich des Wirtschaftsrechts und der Datenschutz-Compliance. Wir unterstützen Unternehmen dabei, ihre Datenschutzmaßnahmen zu optimieren und sich rechtssicher aufzustellen. Sollten Sie von Klagen betroffen sein, stehen wir Ihnen mit unserer umfassenden Expertise zur Seite. Von der Abwehr unberechtigter Ansprüche bis hin zur Beratung bei Datenschutzverletzungen – wir sind Ihr verlässlicher Partner. Zögern Sie nicht, uns zu kontaktieren, wenn Sie Fragen haben oder eine individuelle Beratung wünschen.