Anspruch auf Schadenersatz BGH stärkt Opfer von Facebook-Datenschutzvorfall

Anbieter zum Thema

FTAPI Software GmbH

Der Bundesgerichtshof hat sich einen gravierenden Datenschutzvorfall bei Facebook vorgeknöpft und nun für viele vergleichbare Fälle geklärt, wann Nutzer bei einem Datenleck Anspruch auf Schadenersatz haben. Cyberkriminelle hatten Daten von Hunderten Millionen Facebook-Konten gestohlen.

Im April 2021 hatten Unbekannte eine Funktion zur Freunde-Suche in dem sozialen Netzwerk Facebook ausgenutzt und Daten von rund 533 Millionen Nutzern und Nutzerinnen aus 106 Ländern abgegriffen und öffentlich im Internet verbreitet. Sie hatten sich laut Bundesgerichtshof (BGH) den Umstand zunutze gemacht, dass Facebook es damals in Abhängigkeit von Suchbarkeits-­Einstellungen der User ermöglichte, dass die jeweiligen Profile mit Hilfe der eigentlich nicht offen sichtbaren Telefonnummern gefunden werden konnten. So wurden zum Beispiel Nutzer-ID, Vor- und Nachname, Land und Geschlecht mit der jeweiligen Telefonnummer verknüpft.

Datenschutzverletzung mit Facebook-Userdaten

Telefonnummern von 420 Millionen Facebook-Nutzern im Netz entdeckt

Diese Art von Datendiebstahl nennt man Scraping, was auf Deutsch so viel wie Schürfen bedeutet. Dabei werden Daten etwa von Internetseiten systematisch gesammelt und gespeichert. Ein Beispiel für eine autorisierte und legitime Nutzung ist etwa die Arbeit von Suchmaschinen. Wenn allerdings automatisierte Prozesse genutzt werden, um Daten auf Facebook ohne Zustimmung des Konzerns auszulesen, stellt das einen Verstoß gegen die Nutzungsbedingungen dar. Nun hat der BGH höchstrichterlich geklärt, wann ein Anspruch auf Schadenersatz besteht.

Betroffene müssen Schaden nachweisen

Die Betroffenen des Datendiebstahls haben nach dem Urteil des BGH vergleichsweise niedrige Hürden, um Schadenersatz zu bekommen. Sie müssen nur nachweisen, dass sie Opfer des Vorfalls waren, wie der sechste Zivilsenat in Karlsruhe entschied. Es sei weder nötig, dass die Daten nachweislich missbraucht wurden. Noch müssten die Betroffenen Belege dafür liefern, dass sie nun in besonderer Weise beeinträchtigt sind „ etwa in Angst und Sorge. Der BGH hat zum ersten Mal von der neuen Möglichkeit des Leitentscheidungsverfahrens Gebrauch gemacht. Die höchstrichterliche Klärung ist entscheidend für Tausende ähnlich gelagerte Fälle an Landes- und Oberlandesgerichten in Deutschland.

Schadenersatz wird gering ausfallen

Trotz der Bedeutung dieses Verfahrens hatten die Meta-Anwälte gewarnt: „Selbst wenn der Bundesgerichtshof in einigen Fällen immateriellen Schadenersatz für möglich halten sollte, dürften die Prozesskosten der Kläger den Betrag eines etwaigen Schadenersatzes immer noch weit übersteigen.“ Dies wird sich nun wohl bewahrheiten. Der Vorsitzende Richter des sechsten Zivilsenats, Stephan Seiters, machte deutlich, dass der Schadenersatz beim bloßen Kontrollverlust nicht allzu hoch ausfallen könne. Als Beispiel im konkreten Fall nannte Seiters 100 Euro. Konkret muss das Oberlandesgericht Köln den Fall nun in Teilen noch einmal verhandeln und dabei klären, ob tatsächlich ein Datenschutzverstoß vorlag und wie der Schaden zu bemessen sei.

Wie prüfe ich, ob ich betroffen bin?

Ob Sie von dem Datenklau betroffen waren oder nicht, können Sie direkt bei Facebook erfragen – und zwar auf der Hilfeseite von Facebook unter Eingabe Ihres vollständigen Namens, Ihrer Mail-Adresse und Ihres Wohnortes. Alternativ können Sie auch die Seite haveibeenpwned.com nutzen, um herauszufinden, ob Ihre Daten 2021 ausgespäht und veröffentlicht worden sind.

Über die Webseite der Stiftung Warentest können Betroffene nachlesen, wie sie Schadenersatz beantragen können. Dort stellt die gemeinnützige Verbraucherorganisation einen Musterbrief bereit, mit dessen Hilfe sie das Schmerzensgeld beim Facebook-Mutterkonzern Meta einfordern können. Der Musterbrief muss lediglich mit ein paar persönlichen Daten versehen und anschließend per Einschreiben mit Rückschein an den Firmensitz nach Irland geschickt werden. Kosten dafür laut Stiftung Warentest: höchstens 7,60 Euro. Der Aufwand: nur wenige Minuten.

Waren Ihre Daten seinerzeit im Netz öffentlich, sollten Sie keine Zeit verlieren und Ihre Forderung bei Meta umgehend anbringen, rät die Stiftung Warentest. Der Grund: „Die Zeit ist knapp: Ende des Jahres verjähren die Rechte der meisten Facebook-Opfer.“

Worum ging es in dem Verfahren am BGH?

Zig Kläger und Klägerinnen kritisierten, die Sicherheitsmaßnahmen seien zu lasch gewesen. Wegen des erlittenen Ärgers und des Kontrollverlusts über die Daten hatten sie Ersatz auch für sogenannte immaterielle Schäden gefordert. Der Facebook-Mutterkonzern Meta lehnte solche Ansprüche ab, weil weder ein Verstoß gegen die Datenschutz-Grundverordnung vorgelegen haben soll noch den Klägern ein Schaden entstanden sei, der sich unmittelbar aus dem Vorfall ergeben habe. „Wir sind der festen Überzeugung, dass die Scraping-Klagen unbegründet sind“, hatte Meta kommentiert.

Der sechste Zivilsenat hat anhand eines Falls aus Nordrhein-Westfalen unter anderem geklärt, ob die Standardvoreinstellung auf „alle“ bei der sogenannten Kontakt-Import-Funktion doch gegen die Datenschutz-Grundverordnung verstößt, ob der bloße Verlust der Kontrolle über die gescrapten Daten einen immateriellen Schaden begründet, wie dieser Schaden zu bemessen wäre und wie eine Schadensersatzklage begründet sein müsste.

Schrems Klage gegen Meta

EuGH urteilt über Facebooks Datenverarbeitung

Warum war der Fall juristisch von großer Bedeutung?

Nach Auskunft der Bundesrechtsanwaltskammer sind Tausende Klagen zu dem Thema vor den deutschen Land- und Oberlandesgerichten anhängig. Auch dem BGH liegen mehrere Revisionen zur Entscheidung vor. Die Instanzgerichte hätten die Rechtsfragen bislang sehr unterschiedlich beantwortet und die zugrundeliegende Rechtsprechung des Europäischen Gerichtshofs (EuGH) unterschiedlich interpretiert. Nach Angaben der Kanzlei Freshfields Bruckhaus Deringer, die Meta vertritt, hat sie mehr als 6.000 erst- und zweitinstanzliche klageabweisende Urteile erwirkt, was einer Erfolgsquote von über 85 Prozent entspreche.

Der BGH hat das jüngste Verfahren zu einem Leitentscheidungsverfahren bestimmt. Es ist das erste seiner Art, denn diese Möglichkeit gibt es erst seit Ende Oktober. Das Prozedere ermöglicht dem obersten deutschen Zivilgericht, in jedem Fall Leitentscheidungen zu den Rechtsfragen zu treffen – auch wenn Revisionen aus prozesstaktischen Gründen oder wegen eines Vergleichs zurückgenommen werden, wie im Scraping-Komplex schon geschehen.

Was unternimmt Facebook gegen Scraping?

„Da Scraper den normalen menschlichen Umgang mit unseren Produkten imitieren, werden wir nie in der Lage sein, jegliches Scraping vollständig zu unterbinden, ohne gleichzeitig die Möglichkeiten der Menschen zu beeinträchtigen, unsere Apps und Websites wie gewünscht zu nutzen“, hatte Meta schon 2021 mitgeteilt. Ein Team unter anderem aus Daten- und Analyse-Fachleuten sowie Entwicklern soll das unerlaubte Auslesen erkennen und blockieren. Um den Vorgang technisch zu erschweren, arbeiten sie den Angaben nach unter anderem mit Übertragungslimits, die die Häufigkeit von Interaktionen regeln. Datenlimits sollen verhindern, dass jemand mehr Daten bezieht, als zur normalen Nutzung der Produkte nötig. Und wenn sich bestimmte Muster herauskristallisieren, würden Anfragen blockiert.

Transatlantischer Datenaustausch und FISA

Im Gespräch mit Max Schrems: Was bewegt den Juristen?

Wie kann ich meine Daten schützen?

Die Verbraucherzentrale rät zu Datensparsamkeit: „Wer sich bei Online-Diensten anmeldet, sollte wenn möglich nicht alle abgefragten Daten preisgeben.“ Mit dem Geburtsdatum etwa lasse sich leicht die Identität stehlen. „Überlegen Sie also bei jeder Veröffentlichung, ob Sie die Info auch laut durch einen Bus rufen würden.“ Ferner sollte man regelmäßig überprüfen, welche persönlichen Daten veröffentlicht sind. Wer sein Nutzerkonto nicht mehr gebraucht, sollte es löschen - das verringere das Risiko eines Datenmissbrauchs. Wichtig dabei: „Es reicht nicht, die App zu deinstallieren. Zunächst muss das Nutzerkonto gelöscht werden!“

Facebook konkret empfiehlt, die Einstellungen im „Privatsphäre-Check“ zu prüfen. Im Bereich „So kann man dich finden und kontaktieren“ in den Einstellungen könnten User und Userinnen festlegen, wer sie anhand von E-Mail-Adresse und Telefonnummer finden kann. Zudem könnten sie unter anderem bearbeiten, wer grundlegende Infos im Profil sehen kann.

Werbefreie Version ist „Mogelpackung“

Datenschützer sieht Bezahl-Abo bei Facebook kritisch

(ID:50233713)