Bundesgerichtshof entscheidet über Ansprüche im Zusammenhang mit einem Datenschutzvorfall beim sozialen Netzwerk Facebook (sog. Scraping) Urteil vom 18. November 2024 - VI ZR 10/24
Sachverhalt
Unbekannte hatten Anfang April 2021 Daten von rund 533 Millionen Facebook-Nutzerinnen und -Nutzern aus 106 Ländern im Internet veröffentlicht. Die Täter hatten diese abgegriffen, indem sie eine Funktion zur Freunde-Suche in dem sozialen Netzwerk ausnutzten, durch die Profile mithilfe der eigentlich nicht öffentlichen Telefonnummer gefunden werden konnten.
Durch die Eingabe willkürlich generierter Telefonnummern wurden so Treffer gelandet und die zugehörigen Daten abgegriffen. Dies nennt man "Scraping".
Von diesem Scraping-Vorfall waren auch Daten des Klägers (Nutzer-ID, Vor- und Nachname, Arbeitsstätte und Geschlecht) betroffen. Der Kläger machte geltend, Facebook habe keine ausreichenden Sicherheitsmaßnahmen ergriffen, um eine Ausnutzung des Kontakt-Tools zu verhindern. Wegen des erlittenen Ärgers und des Kontrollverlusts über seine Daten verlangte er Ersatz für immaterielle Schäden. Zudem begehrte er die Feststellung, dass Facebook verpflichtet sei, ihm in diesem Zusammenhang auch alle künftigen materiellen und immateriellen Schäden zu ersetzen und verlangte Unterlassung und Auskunft.
Prozessverlauf: Das Landgericht hatte der Klage teilweise stattgegeben und dem Kläger aus Art. 82 Abs. 1 DSGVO Schadensersatz in Höhe von 250 € zugesprochen. Im Übrigen hatte es die Klage abgewiesen. Dagegen legte Facebook Berufung ein. Das Oberlandesgericht (OLG) Köln hatte die Klage unter Zurückweisung der Anschlussberufung des Klägers insgesamt abgewiesen.
Nach Ansicht des OLG reiche weder der bloße Kontrollverlust zur Annahme eines immateriellen Schadens i. S. v. Art. 82 Abs. 1 DSGVO aus, noch habe der Kläger hinreichend substantiiert dargelegt, über den Kontrollverlust als solchen hinaus psychisch beeinträchtigt worden zu sein.
Entscheidung des Bundesgerichtshofs
Die Revision des Klägers war teilweise erfolgreich.
Der BGH vertritt die Auffassung, dass schon der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten ein immaterieller Schaden im Sinne des Art. 82 Abs. 1 der Datenschutzgrundverordnung (DSGVO) sei. Die Betroffenen müssten in solchen Fällen nur nachweisen, dass sie Opfer des Vorfalls waren.
Weder muss insoweit eine konkrete missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.
Erfolg hatte die Revision auch, soweit das OLG die Anträge des Klägers auf Feststellung einer Ersatzpflicht für zukünftige Schäden und auf Unterlassung der Verwendung seiner Telefonnummer, soweit diese nicht von seiner Einwilligung gedeckt ist, abgewiesen hat. Nach Ansicht des BGH fehlt es nicht an dem notwendigen Feststellungsinteresse des Klägers, da die Möglichkeit des Eintritts künftiger Schäden unter den Umständen des Streitfalles ohne Weiteres besteht. Der BGH bejahte zudem den Unterlassungsanspruch.
Der BGH hat die Sache zur neuen Verhandlung und Entscheidung an das OLG Köln zurückverwiesen. Das OLG wurde vom BGH darauf hingewiesen, dass die von Facebook vorgenommene Voreinstellung der Suchbarkeitseinstellung auf "alle" nicht dem Grundsatz der Datenminimierung entsprochen haben dürfte. Nach Ansicht des BGH habe das Berufungsgericht ergänzend die Frage einer wirksamen Einwilligung des Klägers in die Datenverarbeitung durch die Beklagte zu prüfen. Ferner hat der BGH einen Hinweise zur Bemessung (§ 287 ZPO) des immateriellen Schadens aus Art. 82 Abs. 1 DSGVO erteilt und ausgeführt, dass der Schadensersatz beim bloßen Kontrollverlust nicht allzu hoch ausfallen könne. Als Beispiel im konkreten Fall wurde der Betrag in Höhe von 100 Euro genannt.
Noch eine Besonderheit: Der BGH hat den Scraping-Komplex genutzt, um von der neuen Möglichkeit des Leitentscheidungsverfahrens Gebrauch zu machen. Die höchstrichterliche Klärung ist entscheidend für Tausende ähnlich gelagerte Klagen, die an den Landes- und Oberlandesgerichten in Deutschland anhängig sind.
https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2024/2024218.html