Archivbeitrag – Rechtsstand 2024. Die Instanzgerichte haben die Vorgaben seitdem umgesetzt, der EuGH hat weitere Fragen zu Art. 82 DSGVO entschieden. Den aktuellen Stand finden Sie auf unserer Seite Bußgeld und Schadensersatz.
Der Bundesgerichtshof hat mit Urteil vom 18. November 2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren nach § 552b ZPO über eine der vielen Klagen gegen den Betreiber von Facebook nach dem sogenannten Scraping-Vorfall entschieden. Die Kernaussage: Schon der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein. Weitere Nachteile, etwa ein Missbrauch der Daten oder besondere Ängste, müssen nicht hinzukommen.
Der Hintergrund
Unbekannte hatten 2018 und 2019 über die Kontakt-Import-Funktion von Facebook massenhaft Telefonnummern mit Nutzerprofilen verknüpft. Möglich war das, weil die Suchbarkeit über die Telefonnummer standardmäßig auf „alle“ eingestellt war. Im April 2021 wurden Datensätze von weit über 500 Millionen Nutzern weltweit im Internet veröffentlicht. In Deutschland folgten tausende Klagen, die Instanzgerichte entschieden sehr unterschiedlich.
Was der BGH entschieden hat
Der BGH folgt der Rechtsprechung des EuGH, wonach es keine Erheblichkeitsschwelle gibt. Ein Kontrollverlust ist für sich genommen ein Schaden. Der Kläger muss ihn aber nachweisen, also darlegen, dass gerade seine Daten betroffen sind. Kann er keinen Kontrollverlust nachweisen, reichen begründete Befürchtungen und Ängste nur, wenn er diese konkret darlegt.
Zur Höhe gab der BGH dem Berufungsgericht eine Orientierung: Für den bloßen Kontrollverlust ohne weitere Folgen sei in einem Fall wie diesem ein Betrag in der Größenordnung von 100 Euro nicht zu beanstanden.
Daneben hielt der BGH weitere Ansprüche für möglich: die Feststellung einer Ersatzpflicht für künftige Schäden und einen Unterlassungsanspruch gegen die Verwendung der Telefonnummer ohne wirksame Einwilligung. Die Sache ging zur neuen Verhandlung an das Oberlandesgericht zurück.
Bedeutung für Unternehmen
Der Betrag von 100 Euro wirkt gering. Bei Datenpannen mit vielen Betroffenen summiert er sich jedoch, und Prozesskosten und Verwaltungsaufwand kommen hinzu. Die Entscheidung erleichtert Klagen, weil Kläger keinen weiteren Nachteil darlegen müssen. Zu erwarten ist, dass Legal-Tech-Anbieter Massenverfahren nach Datenpannen künftig noch gezielter organisieren.
Für die Verteidigung bleibt gleichwohl Raum. Zu prüfen ist stets, ob die Daten des Klägers tatsächlich betroffen sind, ob der Verstoß kausal war und ob vorgelegte Belege zur Betroffenheit belastbar sind. Zugleich setzt das Urteil Grenzen: Ohne konkreten Nachweis der eigenen Betroffenheit gibt es keinen Anspruch, und Beträge im Bereich von mehreren hundert oder tausend Euro für den bloßen Kontrollverlust sind nach dieser Linie kaum zu begründen.
Was jetzt zu tun ist
- datenschutzfreundliche Voreinstellungen nach Art. 25 Abs. 2 DSGVO überprüfen, insbesondere Such- und Importfunktionen
- Schnittstellen und Funktionen gegen automatisiertes Auslesen absichern, etwa durch Rate-Limits
- bei einer Datenpanne Meldung nach Art. 33 DSGVO und Benachrichtigung nach Art. 34 DSGVO sauber dokumentieren
- für mögliche Massenverfahren eine Verteidigungsstrategie und Prozessbausteine vorbereiten
Fragen dazu? Wir vertreten Unternehmen und Betroffene in Verfahren nach Art. 82 DSGVO. Nutzen Sie unsere Onlineberatung. Mehr unter Bußgeld und Schadensersatz, Datenpanne und Datenschutz.
Schreibe einen Kommentar