Das Wichtigste in Kürze
- Das OLG Hamm lehnt Schadensersatzansprüche wegen Facebook-Scraping ab, da kein konkreter immaterieller Schaden nachgewiesen wurde.
- Das Gericht stellte gravierende DSGVO-Verstöße von Meta fest, u.a. bei Datenverarbeitung und unzureichenden Schutzmaßnahmen.
- Für immateriellen Schadensersatz nach DSGVO ist ein Nachweis konkreter persönlicher oder psychologischer Beeinträchtigungen erforderlich.
- Pauschale Gefühle wie Kontrollverlust reichen für den Nachweis eines immateriellen Schadens nicht aus.
- Das Urteil schafft einen wichtigen Präzedenzfall für ähnliche Verfahren und betont die hohe Hürde für Kläger.
OLG Hamm Urteil: Kein Schadensersatz für Facebook-Scraping ohne konkreten immateriellen Schaden
Für Kanzleien, die massenhaft angebliche Mandanten für DSGVO-Ansprüche gegen Facebook gesammelt haben, läuft es derzeit nicht gut. Das Oberlandesgericht Hamm hat ein erstes Urteil zu den sogenannten Facebook-Scraping-Fällen gesprochen und eine Klage auf Zahlung von Schadensersatz nach der DSGVO abgewiesen.
Obwohl das Gericht Verstöße gegen datenschutzrechtliche Vorschriften feststellte, konnte die Klägerin einen immateriellen Schaden nicht ausreichend darlegen. Dieses Urteil schafft wichtige Präzedenzfälle für ähnliche Verfahren.
Das Facebook-Scraping: Hintergrund und Hergang des Datenlecks
Im April 2021 wurden die Daten von etwa 500 Millionen Facebook-Nutzern, darunter Namen und Telefonnummern, im Darknet veröffentlicht. Diese Daten waren zuvor über einen längeren Zeitraum durch „Scraping“ gesammelt worden.
Dabei nutzten Unbekannte zunächst die damaligen Suchfunktionen von Facebook aus. Selbst wenn die Anzeige der eigenen Telefonnummer nicht aktiviert war, war es über die Suchfunktion möglich, einen Nutzer mittels einer eingegebenen Telefonnummer zu identifizieren.
Die Scraper generierten millionenfach Telefonnummern per Computer und griffen so Daten ab. Facebook deaktivierte diese Suchfunktion für Telefonnummern im April 2018.
Nach dieser Deaktivierung passten die Scraper ihr Vorgehen an. Sie nutzten die Kontaktimportfunktion von Facebook aus, um weitere Daten abzugreifen. Auch diese Funktion wurde von Facebook im Oktober 2018 auf der Plattform und im September 2019 im Facebook-Messenger deaktiviert.
Der Rechtsstreit vor dem Oberlandesgericht Hamm
Das durch das Datenleck entstandene Facebook-Scraping führte bundesweit zu zahlreichen Klagen gegen Meta, den Betreiber der Plattform. Eine dieser Klagen wurde nun vom Oberlandesgericht Hamm entschieden.
Der für unerlaubte Handlungen zuständige 7. Zivilsenat des OLG Hamm klärte dabei diverse Rechtsfragen im Kontext der Scraping-Klagen. Auch die Klägerin in diesem Fall war vom Scraping betroffen.
In dem im Darknet veröffentlichten Datensatz fanden sich ihre Mobiltelefonnummer, ihr Vor- und Nachname sowie ihr Geschlecht. Sie forderte von Meta eine Entschädigung für immaterielle Schäden in Höhe von mindestens 1.000 Euro.
Die Klägerin argumentierte, Meta habe sowohl im Zusammenhang mit dem Scraping als auch unabhängig davon gegen diverse DSGVO-Vorschriften verstoßen. Meta bestritt dies vehement.
Festgestellte DSGVO-Verstöße durch Meta
Das Landgericht Bielefeld hatte die Klage der Betroffenen bereits in erster Instanz zurückgewiesen. Die Berufung der Klägerin vor dem OLG Hamm blieb ebenfalls erfolglos. Dennoch stellte das Oberlandesgericht gravierende Verstöße gegen die DSGVO fest.
- Meta konnte die zulässige Verarbeitung der Daten nach der DSGVO nicht nachweisen.
- Die Weitergabe der Mobiltelefonnummer über Such- oder Kontaktimportfunktionen war nicht DSGVO-konform.
- Eine Berufung auf den Vertragszweck als Rechtfertigungsgrund wurde ausgeschlossen, da die Verarbeitung der Mobiltelefonnummer für die Vernetzung nicht zwingend erforderlich ist.
- Meta hatte bei der Einwilligung mit unzulässigen „Opt-out“-Voreinstellungen gearbeitet.
- Informationen über Such- und Kontaktimportfunktion waren unzureichend und intransparent.
- Meta hatte trotz Kenntnis vom Datenabgriff keine naheliegenden Maßnahmen zur Verhinderung ergriffen.
Meta konnte nicht belegen, dass die Weitergabe der Mobiltelefonnummer der Klägerin durch diese Funktionen DSGVO-konform war. Eine Berufung auf den Vertragszweck als Rechtfertigungsgrund schloss das Gericht aus, da die Verarbeitung der Mobiltelefonnummer für die Vernetzung der Nutzer unter Berücksichtigung der Datensparsamkeit nicht zwingend erforderlich ist.
Für eine solche Verarbeitung wäre eine wirksame Einwilligung der Nutzerin oder des Nutzers erforderlich gewesen. Eine solche lag hier jedoch nicht vor, da Meta bei der seinerzeit erteilten Einwilligung der Klägerin mit unzulässigen „Opt-out“-Voreinstellungen gearbeitet hatte. Zudem waren die Informationen über die Such- und Kontaktimportfunktion unzureichend und intransparent.
Darüber hinaus bejahte das Oberlandesgericht eine zum Schadensersatz führende Pflichtverletzung. Meta hatte trotz konkreter Kenntnis vom Datenabgriff keine naheliegenden Maßnahmen ergriffen, um weiteren unbefugten Datenabgriff zu verhindern. Dies unterstreicht die generelle Verantwortung von Plattformbetreibern.
Die Herausforderung: Darlegung eines immateriellen Schadens
Trotz der festgestellten DSGVO-Verstöße und Pflichtverletzungen sprach das Oberlandesgericht der Klägerin keinen Schadensersatz zu. Die Klägerin hatte lediglich immaterielle Schäden geltend gemacht, was nach der DSGVO grundsätzlich möglich ist und zu einer Entschädigung vergleichbar mit Schmerzensgeld führen kann.
Es gelang der Klägerin jedoch nicht, einen konkreten immateriellen Schaden darzulegen. Das Gericht stellte klar, dass der immaterielle Schaden nicht im bloßen Verstoß gegen die DSGVO liegen kann. Vielmehr müssen darüber hinausgehende persönliche oder psychologische Beeinträchtigungen eingetreten sein.
Die Klägerin konnte solche individuellen Beeinträchtigungen nicht nachweisen. Ein pauschaler Vortrag über Gefühle des Kontrollverlusts, des Beobachtetwerdens, der Hilflosigkeit oder Angst, der in vielen ähnlich gelagerten Verfahren identisch war, reichte zur Darlegung einer konkret-individuellen Betroffenheit nicht aus.
Zudem wurde der Datenmissbrauch, der zur ungewollten Veröffentlichung von Name und Mobiltelefonnummer führte, vom Gericht nicht als so schwerwiegend eingestuft, dass ein immaterieller Schaden ohne weiteres naheliegt. Die Klägerin selbst gab in ihrer Anhörung lediglich an, ein „Gefühl der Erschrockenheit“ erlitten zu haben.
Verfahrenswert und Revisionszulassung
Das Oberlandesgericht setzte den Streitwert für das gesamte Verfahren, welches auch weitere erfolglose Anträge auf Feststellung, Unterlassung und Auskunft umfasste, auf lediglich 3.000 Euro fest.
Es sah keinen Anlass, das Verfahren dem Europäischen Gerichtshof zur Vorabentscheidung vorzulegen oder die Revision zuzulassen. Dies begründete das Gericht damit, dass die entscheidenden Rechtsfragen jüngst durch den Europäischen Gerichtshof geklärt wurden.
Fazit
Das Urteil des OLG Hamm verdeutlicht, dass DSGVO-Verstöße von Plattformbetreibern nicht automatisch zu Schadensersatzansprüchen führen. Kläger müssen einen konkret erlittenen immateriellen Schaden detailliert nachweisen, was eine hohe Hürde darstellt. Unternehmen sollten jedoch weiterhin ihre Datenschutzmaßnahmen ernst nehmen, um Pflichtverletzungen zu vermeiden.