Im April 2021 wurden Daten von rund 533 Millionen Facebook-Nutzern im Internet veröffentlicht, die Unbekannte zuvor durch sogenanntes Scraping abgegriffen hatten. In Deutschland sind tausende Klagen gegen Meta anhängig. Am 18. November 2024 hat der Bundesgerichtshof (Az. VI ZR 10/24) im ersten sogenannten Leitentscheidungsverfahren nach dem neuen § 552b ZPO zentrale Rechtsfragen geklärt. Die Entscheidung wirkt sich auf alle Datenschutz-Schadensersatzklagen aus.
Der Fall
Der Kläger war Facebook-Nutzer. Durch die damaligen Suchbarkeits- und Sichtbarkeitseinstellungen konnten Dritte sein Profil mit seiner Telefonnummer verknüpfen und Daten wie Name, Telefonnummer, Arbeitsstätte und Nutzer-ID abgreifen. Er verlangte unter anderem immateriellen Schadensersatz, die Feststellung der Ersatzpflicht für künftige Schäden und Unterlassung. Die Vorinstanzen hatten die Klage überwiegend abgewiesen.
Die Kernaussagen des BGH
- Auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein. Der Betroffene muss weder einen konkreten Missbrauch noch sonstige zusätzliche spürbare negative Folgen nachweisen.
- Liegen keine besonderen Umstände wie ein tatsächlicher Missbrauch der Daten vor, hält der BGH für den bloßen Kontrollverlust einen Ausgleich in der Größenordnung von 100 Euro für ausreichend.
- Ansprüche auf Feststellung der Ersatzpflicht für künftige Schäden und auf Unterlassung kommen grundsätzlich in Betracht.
- Die Voreinstellung der Suchbarkeit über die Telefonnummer auf „alle“ dürfte gegen den Grundsatz der Datenminimierung verstoßen. Ob eine wirksame Einwilligung vorlag, muss das Berufungsgericht noch prüfen.
Der BGH hat die Sache an das Berufungsgericht zurückverwiesen.
Einordnung
Der BGH folgt der Linie des EuGH, der eine Erheblichkeitsschwelle abgelehnt und den Kontrollverlust als möglichen Schaden anerkannt hat; siehe unsere Beiträge zur Österreichischen Post und zur Befürchtung eines Datenmissbrauchs. Viele Instanzgerichte hatten bislang zusätzliche Beeinträchtigungen verlangt. Diese Hürde entfällt nun. Zugleich setzt der BGH mit dem Richtwert von 100 Euro ein deutliches Signal gegen überzogene Forderungen.
Was bedeutet das für Unternehmen?
Bei Datenlecks mit vielen Betroffenen können auch geringe Einzelbeträge in Summe erhebliche Haftungsrisiken begründen. Unternehmen sollten ihre Voreinstellungen nach dem Grundsatz „Privacy by Default“ (Art. 25 DSGVO) überprüfen, Schnittstellen gegen massenhaftes Abgreifen von Daten absichern und ihre Schutzmaßnahmen dokumentieren.
Was bedeutet das für Betroffene?
Betroffene von Datenlecks müssen keinen konkreten Missbrauch mehr nachweisen. Die zu erwartenden Beträge sind ohne besondere Folgen aber überschaubar. Wer zusätzliche Beeinträchtigungen erlitten hat, etwa Betrugsversuche, Spam-Anrufe oder Identitätsmissbrauch, sollte diese genau dokumentieren.
Für Massenverfahren nach Datenlecks ist die Leitentscheidung ein Wendepunkt: Der Kontrollverlust genügt, der Ausgleich bleibt in typischen Fällen aber moderat. Wir vertreten Betroffene ebenso wie Unternehmen, die sich solchen Klagen gegenübersehen. Schreiben Sie uns oder vereinbaren Sie einen Termin.