Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Meta

  • EuG Bindl: EU-Kommission muss 400 Euro für Facebook-Login zahlen

    Ausgerechnet die Europäische Kommission muss wegen eines Datenschutzverstoßes Schadensersatz zahlen. Mit Urteil vom 8. Januar 2025 (Rs. T-354/22, Bindl/Kommission) hat das Gericht der Europäischen Union (EuG) entschieden, dass die Kommission einem Bürger 400 Euro zahlen muss, weil beim Login über Facebook auf einer ihrer Websites personenbezogene Daten ohne geeignete Garantien in die USA übermittelt wurden. Die Entscheidung ist auch für private Website-Betreiber lehrreich.

    Der Fall

    Der Kläger hatte sich im März 2022 auf der Website der „Konferenz zur Zukunft Europas“ für eine Veranstaltung angemeldet und dafür die Option „Mit Facebook anmelden“ genutzt. Dabei wurden nach den Feststellungen des Gerichts unter anderem seine IP-Adresse und Browserinformationen an Meta Platforms in den USA übermittelt. Zu diesem Zeitpunkt gab es nach dem Schrems-II-Urteil keinen Angemessenheitsbeschluss für die USA; das Data Privacy Framework trat erst im Juli 2023 in Kraft. Die Kommission hatte für die Übermittlung auch keine sonstigen geeigneten Garantien vorgesehen. Weitere Vorwürfe des Klägers, insbesondere zu Datenübermittlungen über ein Content-Delivery-Netzwerk eines anderen US-Anbieters, sah das Gericht dagegen nicht als erwiesen an.

    Die Entscheidung

    • Die Kommission hat durch die Einbindung des Facebook-Logins die Übermittlung der IP-Adresse an Meta ermöglicht und ist dafür verantwortlich.
    • Die Übermittlung ohne geeignete Garantien stellt einen hinreichend qualifizierten Verstoß gegen eine Rechtsnorm dar, die dem Einzelnen Rechte verleiht.
    • Der Kläger befand sich in einer Lage der Ungewissheit darüber, wie seine Daten, insbesondere seine IP-Adresse, verarbeitet werden. Das genügte als immaterieller Schaden; der Kausalzusammenhang war hinreichend unmittelbar.
    • Das Gericht sprach die geforderten 400 Euro zu. Weitere Ansprüche, etwa wegen einer behaupteten Verletzung des Auskunftsrechts, wies es mangels nachgewiesenen Schadens ab.

    Für die Datenverarbeitung durch EU-Organe gilt nicht die DSGVO, sondern die inhaltlich weitgehend parallele Verordnung (EU) 2018/1725. Die Grundsätze lassen sich aber gut auf private Website-Betreiber übertragen. Gegen das Urteil ist ein Rechtsmittel zum EuGH möglich.

    Was Website-Betreiber daraus lernen sollten

    1. Wer Login-Funktionen, Plugins oder Skripte von Drittanbietern einbindet, ist für die dadurch ausgelösten Datenübermittlungen mitverantwortlich, ähnlich wie bei den dynamisch geladenen Google Fonts.
    2. Heute ist zu prüfen, ob der Empfänger unter dem Data Privacy Framework zertifiziert ist oder andere Garantien bestehen.
    3. Für nicht notwendige Zugriffe auf Endgeräte ist nach dem TDDDG zusätzlich eine Einwilligung erforderlich.
    4. Die Datenschutzerklärung muss die Dienste und Übermittlungen benennen.

    Schon ein Login-Button kann erhebliche Folgen haben, und bereits die Ungewissheit über die Datenverarbeitung wird als Schaden anerkannt. Gern prüfen wir, welche Drittdienste auf Ihrer Website Daten übermitteln. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • BGH zum Facebook-Scraping: Kontrollverlust ist ein Schaden

    Im April 2021 wurden Daten von rund 533 Millionen Facebook-Nutzern im Internet veröffentlicht, die Unbekannte zuvor durch sogenanntes Scraping abgegriffen hatten. In Deutschland sind tausende Klagen gegen Meta anhängig. Am 18. November 2024 hat der Bundesgerichtshof (Az. VI ZR 10/24) im ersten sogenannten Leitentscheidungsverfahren nach dem neuen § 552b ZPO zentrale Rechtsfragen geklärt. Die Entscheidung wirkt sich auf alle Datenschutz-Schadensersatzklagen aus.

    Der Fall

    Der Kläger war Facebook-Nutzer. Durch die damaligen Suchbarkeits- und Sichtbarkeitseinstellungen konnten Dritte sein Profil mit seiner Telefonnummer verknüpfen und Daten wie Name, Telefonnummer, Arbeitsstätte und Nutzer-ID abgreifen. Er verlangte unter anderem immateriellen Schadensersatz, die Feststellung der Ersatzpflicht für künftige Schäden und Unterlassung. Die Vorinstanzen hatten die Klage überwiegend abgewiesen.

    Die Kernaussagen des BGH

    • Auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein. Der Betroffene muss weder einen konkreten Missbrauch noch sonstige zusätzliche spürbare negative Folgen nachweisen.
    • Liegen keine besonderen Umstände wie ein tatsächlicher Missbrauch der Daten vor, hält der BGH für den bloßen Kontrollverlust einen Ausgleich in der Größenordnung von 100 Euro für ausreichend.
    • Ansprüche auf Feststellung der Ersatzpflicht für künftige Schäden und auf Unterlassung kommen grundsätzlich in Betracht.
    • Die Voreinstellung der Suchbarkeit über die Telefonnummer auf „alle“ dürfte gegen den Grundsatz der Datenminimierung verstoßen. Ob eine wirksame Einwilligung vorlag, muss das Berufungsgericht noch prüfen.

    Der BGH hat die Sache an das Berufungsgericht zurückverwiesen.

    Einordnung

    Der BGH folgt der Linie des EuGH, der eine Erheblichkeitsschwelle abgelehnt und den Kontrollverlust als möglichen Schaden anerkannt hat; siehe unsere Beiträge zur Österreichischen Post und zur Befürchtung eines Datenmissbrauchs. Viele Instanzgerichte hatten bislang zusätzliche Beeinträchtigungen verlangt. Diese Hürde entfällt nun. Zugleich setzt der BGH mit dem Richtwert von 100 Euro ein deutliches Signal gegen überzogene Forderungen.

    Was bedeutet das für Unternehmen?

    Bei Datenlecks mit vielen Betroffenen können auch geringe Einzelbeträge in Summe erhebliche Haftungsrisiken begründen. Unternehmen sollten ihre Voreinstellungen nach dem Grundsatz „Privacy by Default“ (Art. 25 DSGVO) überprüfen, Schnittstellen gegen massenhaftes Abgreifen von Daten absichern und ihre Schutzmaßnahmen dokumentieren.

    Was bedeutet das für Betroffene?

    Betroffene von Datenlecks müssen keinen konkreten Missbrauch mehr nachweisen. Die zu erwartenden Beträge sind ohne besondere Folgen aber überschaubar. Wer zusätzliche Beeinträchtigungen erlitten hat, etwa Betrugsversuche, Spam-Anrufe oder Identitätsmissbrauch, sollte diese genau dokumentieren.

    Für Massenverfahren nach Datenlecks ist die Leitentscheidung ein Wendepunkt: Der Kontrollverlust genügt, der Ausgleich bleibt in typischen Fällen aber moderat. Wir vertreten Betroffene ebenso wie Unternehmen, die sich solchen Klagen gegenübersehen. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • 1,2 Mrd. Euro Bußgeld gegen Meta: Folgen für US-Datentransfers

    Am 22. Mai 2023 hat die irische Datenschutzbehörde (Data Protection Commission, DPC) gegen Meta Platforms Ireland ein Bußgeld von 1,2 Milliarden Euro verhängt. Es ist das höchste Bußgeld seit Geltung der DSGVO. Gegenstand sind die Übermittlungen personenbezogener Daten europäischer Facebook-Nutzer in die USA. Meta hat angekündigt, gegen die Entscheidung vorzugehen.

    Der Hintergrund

    Das Verfahren ist eine direkte Folge des Schrems-II-Urteils des EuGH aus dem Jahr 2020. Nach dem Wegfall des Privacy Shields stützte Meta die Übermittlungen auf Standardvertragsklauseln in Verbindung mit zusätzlichen Maßnahmen. Die DPC kam zu dem Ergebnis, dass diese Maßnahmen die Risiken für die Grundrechte der Nutzer nicht ausräumten, die sich aus dem Zugriff US-amerikanischer Behörden ergeben.

    Die Rolle des Europäischen Datenschutzausschusses

    Bemerkenswert ist das Zustandekommen der Entscheidung. Der ursprüngliche Entscheidungsentwurf der irischen Behörde sah kein Bußgeld vor. Andere europäische Aufsichtsbehörden erhoben Einwände. Der Europäische Datenschutzausschuss (EDSA) fasste daraufhin im Streitbeilegungsverfahren nach Art. 65 DSGVO einen verbindlichen Beschluss, auf dessen Grundlage die DPC das Bußgeld verhängte.

    Die Anordnungen

    • Meta muss künftige Übermittlungen personenbezogener Daten in die USA innerhalb von fünf Monaten aussetzen.
    • Meta muss innerhalb von sechs Monaten die rechtswidrige Verarbeitung, einschließlich der Speicherung in den USA, von bereits rechtswidrig übermittelten Daten europäischer Nutzer beenden.

    Bedeutung für kleine und mittlere Unternehmen

    Auf den ersten Blick betrifft die Entscheidung nur einen Großkonzern. Die rechtliche Argumentation gilt aber für jedes Unternehmen, das Daten in die USA übermittelt oder US-Dienste nutzt: Standardvertragsklauseln allein genügen nicht, wenn der Empfänger Überwachungsgesetzen unterliegt und die Daten im Klartext verarbeiten kann. Das deckt sich mit der Linie, die etwa die österreichische Datenschutzbehörde zu Google Analytics vertreten hat.

    Hoffnung auf ein neues Abkommen

    Die EU-Kommission arbeitet an einem neuen Angemessenheitsbeschluss für die USA, dem sogenannten EU-US Data Privacy Framework. Grundlage ist eine Executive Order des US-Präsidenten vom Oktober 2022, die die Zugriffe der Nachrichtendienste beschränken und einen neuen Rechtsbehelfsmechanismus schaffen soll. Ob und wann der Beschluss erlassen wird, ist offen. Ebenso offen ist, ob er einer erneuten Überprüfung durch den EuGH standhalten würde.

    Was Unternehmen jetzt tun sollten

    1. Übermittlungen in die USA im Verzeichnis von Verarbeitungstätigkeiten erfassen und aktualisieren.
    2. Sicherstellen, dass die neuen Standardvertragsklauseln verwendet werden und ein Transfer Impact Assessment vorliegt.
    3. Wirksame zusätzliche Maßnahmen prüfen, etwa Verschlüsselung mit Schlüsselhoheit in der EU.
    4. Für kritische Anwendungen Alternativen mit Datenverarbeitung in der EU in Betracht ziehen.
    5. Die Entwicklung rund um das Data Privacy Framework verfolgen.

    Bis eine tragfähige Nachfolgeregelung für das Privacy Shield vorliegt, bleibt der Datentransfer in die USA ein Thema, das dokumentiert geprüft und regelmäßig neu bewertet werden muss. Wir unterstützen Sie dabei, Ihre US-Dienste rechtssicher aufzustellen. Zum Kontaktformular oder Termin buchen.