EuG Bindl: EU-Kommission muss 400 Euro für Facebook-Login zahlen

Ausgerechnet die Europäische Kommission muss wegen eines Datenschutzverstoßes Schadensersatz zahlen. Mit Urteil vom 8. Januar 2025 (Rs. T-354/22, Bindl/Kommission) hat das Gericht der Europäischen Union (EuG) entschieden, dass die Kommission einem Bürger 400 Euro zahlen muss, weil beim Login über Facebook auf einer ihrer Websites personenbezogene Daten ohne geeignete Garantien in die USA übermittelt wurden. Die Entscheidung ist auch für private Website-Betreiber lehrreich.

Der Fall

Der Kläger hatte sich im März 2022 auf der Website der „Konferenz zur Zukunft Europas“ für eine Veranstaltung angemeldet und dafür die Option „Mit Facebook anmelden“ genutzt. Dabei wurden nach den Feststellungen des Gerichts unter anderem seine IP-Adresse und Browserinformationen an Meta Platforms in den USA übermittelt. Zu diesem Zeitpunkt gab es nach dem Schrems-II-Urteil keinen Angemessenheitsbeschluss für die USA; das Data Privacy Framework trat erst im Juli 2023 in Kraft. Die Kommission hatte für die Übermittlung auch keine sonstigen geeigneten Garantien vorgesehen. Weitere Vorwürfe des Klägers, insbesondere zu Datenübermittlungen über ein Content-Delivery-Netzwerk eines anderen US-Anbieters, sah das Gericht dagegen nicht als erwiesen an.

Die Entscheidung

• Die Kommission hat durch die Einbindung des Facebook-Logins die Übermittlung der IP-Adresse an Meta ermöglicht und ist dafür verantwortlich.
• Die Übermittlung ohne geeignete Garantien stellt einen hinreichend qualifizierten Verstoß gegen eine Rechtsnorm dar, die dem Einzelnen Rechte verleiht.
• Der Kläger befand sich in einer Lage der Ungewissheit darüber, wie seine Daten, insbesondere seine IP-Adresse, verarbeitet werden. Das genügte als immaterieller Schaden; der Kausalzusammenhang war hinreichend unmittelbar.
• Das Gericht sprach die geforderten 400 Euro zu. Weitere Ansprüche, etwa wegen einer behaupteten Verletzung des Auskunftsrechts, wies es mangels nachgewiesenen Schadens ab.

Für die Datenverarbeitung durch EU-Organe gilt nicht die DSGVO, sondern die inhaltlich weitgehend parallele Verordnung (EU) 2018/1725. Die Grundsätze lassen sich aber gut auf private Website-Betreiber übertragen. Gegen das Urteil ist ein Rechtsmittel zum EuGH möglich.

Was Website-Betreiber daraus lernen sollten

1. Wer Login-Funktionen, Plugins oder Skripte von Drittanbietern einbindet, ist für die dadurch ausgelösten Datenübermittlungen mitverantwortlich, ähnlich wie bei den dynamisch geladenen Google Fonts.
2. Heute ist zu prüfen, ob der Empfänger unter dem Data Privacy Framework zertifiziert ist oder andere Garantien bestehen.
3. Für nicht notwendige Zugriffe auf Endgeräte ist nach dem TDDDG zusätzlich eine Einwilligung erforderlich.
4. Die Datenschutzerklärung muss die Dienste und Übermittlungen benennen.

Schon ein Login-Button kann erhebliche Folgen haben, und bereits die Ungewissheit über die Datenverarbeitung wird als Schaden anerkannt. Gern prüfen wir, welche Drittdienste auf Ihrer Website Daten übermitteln. Kontaktieren Sie uns oder buchen Sie einen Termin.