BGH-Urteil zu Facebook-Datenleck: Was Nutzer wissen müssen

533 Millionen Betroffene aus 106 Ländern - das ist die Bilanz eines Scraping-Vorfalls beim sozialen Netzwerk Facebook. Anfang April 2021 wurden ihre Daten, also etwa Namen, Handynummern, Wohnorte und Arbeitgeber, im Internet veröffentlicht. Zentraler Angriffspunkt für den Datendiebstahl: Facebooks "Kontakt-Import"-Funktion, eine Möglichkeit, um seine Handykontakte in dem sozialen Netzwerk hochzuladen.

Diese Funktion machten sich Hacker beim Scraping zunutze, indem sie mithilfe automatisierter Tools massenhaft zufällige Telefonnummern bei Facebook eingaben, diese mit den entsprechenden Profilen zusammenführten und die Daten der jeweiligen Nutzer abgriffen.

Wegen des Lecks hatte die irische Datenschutzbehörde schon vor zwei Jahren ein Bußgeld in Höhe von 265 Millionen Euro gegen Meta verhängt. Facebook-Nutzer waren bislang indes leer ausgegangen, die deutsche Rechtsprechung hatte ihre Schadensersatzforderungen immer abgelehnt. Zu Unrecht, wie der Bundesgerichtshof (BGH) heute entschieden hat: Auch die User können von Meta Geld verlangen.

Im Mittelpunkt des Verfahrens stand folgende Frage: Stellt allein der Verlust der Kontrolle über die abgegriffenen Daten einen Schaden im Sinne der Datenschutzgrundverordnung (DSGVO) dar oder braucht es dafür weitere spürbare Beeinträchtigungen?

Dass Facebook gegen DSGVO-Regelungen zur Datensicherheit verstoßen haben dürfte, hatte das Oberlandesgericht Köln zwar bereits in der Vorinstanz angenommen. Es hatte aber im "bloß abstrakten Kontrollverlust" über die Daten keinen Schaden erkannt. Dabei ließ das Kölner Gericht auch nicht die Argumentation des Klägers gelten, dass er aufgrund des Scraping-Vorfalls zum einen Angst und Misstrauen verspüre und zum anderen deutlich mehr Spam-Anrufe und -Nachrichten erhalte.

Dieses Urteil hat der BGH heute weitgehend aufgehoben und dabei deutlich gemacht, dass auch der Kontrollverlust alleine einen Anspruch für die Nutzer begründen kann. Bereits in der mündlichen Verhandlung vor einer Woche hatte der Vorsitzende Richter Stephan Seiters erkennen lassen, dass er die Bedenken des Klägers in Bezug auf dessen Daten teilt:

Eine endgültige Entscheidung im konkreten Fall steht indes noch aus. Der BGH hat den Fall an die Kölner Richter zurückverwiesen. Diese müssen nun weitere Feststellungen zur Sache treffen, sind dabei aber an die rechtliche Einschätzung aus Karlsruhe gebunden.

Über 4.000 Menschen, unter anderem auch den Kläger vor dem BGH, vertritt allein Rechtsanwalt Christian Solmecke von der Kanzlei WBS Legal im Scraping-Komplex. Die Auswirkungen des Verfahrens seien immens:

Ob und wie viel Geld Facebook-User bekommen können, unterscheidet sich von Fall zu Fall - als Ausgangspunkt nannte der BGH heute eine Größenordnung von 100 Euro. Viel Zeit bleibe den Betroffenen laut Solmecke allerdings nicht: Die Ansprüche gegen Meta verjähren am 31. Dezember 2024 - um das zu verhindern, müssten Nutzer also bis zum Ende des Jahres tätig werden, zum Beispiel indem sie selbst Klage erheben.

Der Fall erfährt auch deshalb viel Aufmerksamkeit, weil der BGH erstmals vom neuen Leitentscheidungsverfahren Gebrauch gemacht hat. Das entsprechende Gesetz ist erst Ende Oktober in Kraft getreten und ermöglicht es den Richterinnen und Richtern in Karlsruhe, in Massenverfahren einen Fall herauszugreifen und die streitigen Rechtsfragen verbindlich zu klären. Mit dem neuen Gesetz soll die Justiz vor einer Flut an Einzelklagen, wie etwa beim Diesel-Skandal, bewahrt werden.

Die Besonderheit: Selbst wenn die Parteien sich zwischenzeitlich einigen, kann der BGH die Grundsatzentscheidung fällen. Im Scraping-Komplex hat Meta schon mit vielen Betroffenen Vergleiche geschlossen - eine in Massenverfahren übliche Vorgehensweise von Unternehmen, um einen Präzedenzfall zu verhindern.

Mit dieser Praxis könnte es jetzt aber vorbei sein: Schon am Tag des Inkrafttretens des neuen Gesetzes hatte der BGH den Scraping-Fall zur Leitentscheidung bestimmt - und mit dem heutigen Urteil die Rechte von Internetnutzern gestärkt.