Scraping – Schadensersatz schon bei Kontrollverlust über die eigenen Daten

18.11.2024 Im ersten Leitentscheidungsverfahren zum Datendiebstahl bei Facebook entscheidet sich der BGH zugunsten der Verbraucher. Schon der Verlust der Kontrolle über die eigenen Daten könne Schadensersatzansprüche begründen, so der Vorsitzende des VI. Zivilsenats bereits in der mündlichen Verhandlung am 11.11.2024. In den sogenannten Scraping-Verfahren sind bundesweit tausende Klagen gegen den Facebook- Konzern anhängig, auch die Oberlandesgerichte (OLG) haben abweichend voneinander entschieden. Die Revision gegen ein Urteil des OLG Köln vom 07.12.2023 – 15 U 67/23 hat der BGH zum ersten Leitentscheidungsverfahren nach Schaffung einer entsprechenden gesetzlichen Möglichkeit gemäß § 552b Zivilprozessordnung (ZPO) gemacht.

Der VI. Zivilsenat hat jetzt mit Urteil vom 18.11.2024 – VI ZR 10/24 entschieden, dass der bloße Verlust der Kontrolle über die gescrapten Daten einen immateriellen Schaden begründet. Wie dieser Schaden zu bemessen ist, hat das Instanzgericht zu ermitteln, insoweit wurde die Sache an das Berufungsgericht zurück verwiesen. Es liege ein Verstoß gegen die Datenschutzgrundverordnung (DSGVO) vor, weil die Facebook-Standardvoreinstellung bei der sogenannten Kontakt-Import-Funktion für Telefonnummern auf „alle“ eingestellt war, was nicht dem Grundsatz der Datenminimierung entsprochen habe. Diese Funktion zur Freunde-Suche hatten Hacker wohl schon im Jahr 2018 ausgenutzt, Daten von rund 533 Millionen Nutzern und Nutzerinnen aus 106 Ländern abgegriffen und im April 2021 öffentlich im Internet verbreitet. Die Sicherheitsmaßnahmen des sozialen Netzwerks seien hier nicht ausreichend gewesen, das Verfahren ging daher zulasten der Konzernmutter Meta aus.

Auch der EuGH hat sich schon mehrfach mit Datendiebstählen beschäftigt und bereits die Angst vor einem Missbrauch dieser Informationen als geeignet angesehen, einen immateriellen Schaden darzustellen. Das ergibt seine Auslegung des Art. 82 Abs. 1 Datenschutzgrundverordnung (DSGVO). Aus einem unbefugten Zugriff könne zwar nicht automatisch auf unzureichenden Schutz geschlossen werden, aber die Beweislast liege beim Verantwortlichen. Mit Blick auf mögliche künftige Schäden nehmen die Gerichte nach bisheriger Einschätzung eine nutzerfreundliche Auslegung vor und sehen eine Verletzung des Rechts der informellen Selbstbestimmung und des Schutzes personenbezogener Daten.

– MS –