Das Wichtigste in Kürze
- Der BGH verhandelt am 8. Oktober 2024 über DSGVO-Ansprüche nach einem massiven Facebook-Daten-Scraping-Vorfall.
- In zwei Fällen (VI ZR 22/24 und VI ZR 7/24) geht es um die Veröffentlichung von persönlichen Nutzerdaten wie Telefonnummern, Namen und IDs.
- Kläger fordern immaterielle Schäden aufgrund von Kontrollverlust, Ängsten und Stress sowie die Feststellung künftiger Schäden.
- Die Urteile des BGH werden entscheidend sein für die Haftung von sozialen Netzwerken bei Sicherheitslücken und die Bemessung immaterieller Schäden im Datenschutzrecht.
BGH verhandelt über DSGVO-Ansprüche nach Facebook-Daten-Scraping
Der für Rechtsstreitigkeiten über Ansprüche aus der Datenschutz-Grundverordnung (DSGVO) zuständige VI. Zivilsenat des Bundesgerichtshofs verhandelt am 8. Oktober 2024 über zwei Revisionen. Im Zentrum steht die Frage, welche Ansprüche Betroffenen zustehen. Deren Daten wurden im Rahmen eines sogenannten Scrapings von unbekannten Dritten erlangt und im Internet verbreitet.
Fall VI ZR 22/24
Die Beklagte betreibt das soziale Netzwerk Facebook. Anfang April 2021 wurden die Daten von circa 533 Millionen Facebook-Nutzern aus 106 Ländern öffentlich im Internet verbreitet. Unbekannte Dritte nutzten zuvor aus, dass Facebook es in Abhängigkeit von den Suchbarkeits-Einstellungen des jeweiligen Nutzers ermöglichte, Profile mittels Telefonnummern zu finden.
Die Angreifer luden mithilfe automatisierter Tools über die Kontakt-Import-Funktion von Facebook in großem Umfang Telefonnummern hoch. Waren diese mit einem Nutzerkonto verknüpft, führten sie die Telefonnummern mit den dort verbundenen öffentlich zugänglichen Daten zusammen. Diese Daten wurden dann abgegriffen (sogenanntes Scraping). Dieser Vorfall kann als ein bedeutendes Datenleck betrachtet werden.
- Nutzer-ID
- Vor- und Nachname
- Land
- Geschlecht
Darüber hinaus begehrt der Kläger die Feststellung, dass die Beklagte verpflichtet sei, ihm in diesem Zusammenhang auch alle künftigen materiellen und immateriellen Schäden zu ersetzen. Zudem nimmt er die Beklagte auf Unterlassung und Auskunft in Anspruch. Die Beklagte hat die geltend gemachten Ansprüche abgelehnt. Sie vertritt die Ansicht, dass weder ein Verstoß gegen die Datenschutz-Grundverordnung vorliege noch dem Kläger ein kausaler Schaden entstanden sei.
Das Landgericht wies die Klage zunächst ab. Auf die Berufung des Klägers hin stellte das Oberlandesgericht jedoch fest, dass die Beklagte verpflichtet ist, dem Kläger alle künftigen materiellen und immateriellen Schäden zu ersetzen, die ihm durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten entstanden sind oder noch entstehen werden. Im Übrigen wies es die Berufung des Klägers zurück. Im Umfang der Berufungszurückweisung verfolgt der Kläger mit der vom Berufungsgericht zugelassenen Revision seine ursprünglich geltend gemachten Ansprüche weiter.
Fall VI ZR 7/24
In diesem Verfahren macht ein weiterer Kläger geltend, dass im Rahmen seiner Nutzung des sozialen Netzwerks Facebook persönliche Daten (Telefonnummer, Facebook-ID, Name, Wohnort, Land und Arbeitgeber) durch unbekannte Dritte im Wege des Scrapings abgeschöpft und im Darknet veröffentlicht wurden. Er begehrt den Ersatz immateriellen Schadens. Dies begründet er damit, dass die Beklagte in mehrfacher Hinsicht gegen die Datenschutz-Grundverordnung verstoßen und seine Daten nicht ausreichend geschützt habe.
Der Kläger gibt an, einen erheblichen Kontrollverlust über seine Daten erlitten zu haben. Er verbleibe in einem Zustand großen Unwohlseins und großer Sorge über den Missbrauch seiner Daten. Darüber hinaus begehrt er die Feststellung, dass die Beklagte verpflichtet sei, ihm in diesem Zusammenhang alle künftigen Schäden zu ersetzen. Des Weiteren macht er Unterlassungs- und Auskunftsansprüche geltend.
Das Landgericht wies die Klage ab. Auch das Oberlandesgericht wies die hiergegen gerichtete Berufung des Klägers zurück. Mit der vom Berufungsgericht zugelassenen Revision verfolgt der Kläger sein Klagebegehren nun weiter.
Fazit
Die anstehenden Verhandlungen vor dem BGH sind wegweisend für die Beurteilung von DSGVO-Ansprüchen nach Daten-Scraping-Vorfällen. Sie werden voraussichtlich präzisieren, welche Haftung sozialen Netzwerken bei mangelnden Sicherheitsmaßnahmen trifft und welche immateriellen Schäden Betroffenen zustehen könnten. Das Urteil wird erhebliche Auswirkungen auf die Praxis des Datenschutzes und die Rechte der Nutzer haben.