Auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Datenschutzverstoßes kann ein immaterieller Schaden im Sinne des Art. 82 Abs. 1 DSGVO sein. Hierzu bedarf es weder einer konkreten missbräuchlichen Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch sonstiger zusätzlicher spürbarer negativer Folgen.
Anfang April 2021 wurden Daten von ca. 533 Millionen Facebook-Nutzern aus 106 Ländern im Internet öffentlich verbreitet. Unbekannte Dritte hatten sich zuvor den Umstand zu Nutze gemacht, dass die beklagte Fa. Meta Platforms, Inc. es als Betreiberin von Facebook in Abhängigkeit von den Suchbarkeits-Einstellungen des jeweiligen Nutzers ermöglicht, dass dessen Facebook-Profil mithilfe seiner Telefonnummer gefunden werden kann. Die unbekannten Dritten ordneten durch die in großem Umfang erfolgte Eingabe randomisierter Ziffernfolgen über die Kontakt-Import-Funktion Telefonnummern den zugehörigen Nutzerkonten zu und griffen die zu diesen Nutzerkonten vorhandenen öffentlichen Daten ab (sog. Scraping). Von diesem Scraping-Vorfall waren auch Daten des hier klagenden Facebook-Nutzers (Nutzer-ID, Vor- und Nachname, Arbeitsstätte und Geschlecht) betroffen, die auf diese Weise mit dessen Telefonnummer verknüpft wurden. Dieser macht geltend, Meta habe keine ausreichenden Sicherheitsmaßnahmen ergriffen, um eine Ausnutzung des Kontakt-Tools zu verhindern. Ihm stehe wegen des erlittenen Ärgers und des Kontrollverlusts über seine Daten Ersatz für immaterielle Schäden zu. Darüber hinaus begehrt der Facebook-Nutzer die Feststellung, dass Meta verpflichtet sei, ihm in diesem Zusammenhang auch alle künftigen materiellen und immateriellen Schäden zu ersetzen, und nimmt Meta auf Unterlassung und Auskunft in Anspruch.
Das erstinstanzlich hiermit befasste Landgericht Bonn hat der Klage teilweise stattgegeben und dem Facebook-Nutzer aus Art. 82 Abs. 1 DSGVO Schadensersatz in Höhe von 250 € zugesprochen, im Übrigen hat es die Klage abgewiesen1. Auf die Berufung von Meta Platforms hat das Oberlandesgericht Köln die Klage unter Zurückweisung der Anschlussberufung des Facebook-Nutzers insgesamt abgewiesen2; weder reiche der bloße Kontrollverlust zur Annahme eines immateriellen Schadens im Sinne von Art. 82 Abs. 1 DSGVO aus noch habe der Facebook-Nutzer hinreichend substantiiert dargelegt, über den Kontrollverlust als solchen hinaus psychisch beeinträchtigt worden zu sein.
Mit Beschluss vom 31. Oktober hat der Bundesgerichtshof das Revisionsverfahren zunächst zum Leitentscheidungsverfahren gemäß § 552b ZPO n.F. bestimmt. Nachdem die Revision in der Folgezeit jedoch, anders als zuvor einige ältere Verfahren, nicht zurückgenommen wurde oder sich anderweitig erledigt hat, hat der Bundesgerichtshof am 11. November 2024 mündlich zur Sache verhandelt und nach allgemeinen Regeln durch Urteil über die Revision des Facebook-Nutzers entschieden und dem Facebook-Nutzer Recht gegeben:
Der Anspruch des Facebook-Nutzers auf Ersatz immateriellen Schadens lasse sich, so der Bundesgerichtshof, mit der Begründung des Oberlandesgerichts Köln nicht verneinen. Nach der für die Auslegung des Art. 82 Abs. 1 DSGVO maßgeblichen Rechtsprechung des Gerichtshofs der Europäischen Union kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung ein immaterieller Schaden im Sinne der Norm sein. Weder muss insoweit eine konkrete missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.
Erfolg hatte die Revision auch, soweit das Oberlandesgericht Köln die Anträge des Facebook-Nutzers auf Feststellung einer Ersatzpflicht für zukünftige Schäden, auf Unterlassung der Verwendung seiner Telefonnummer, soweit diese nicht von seiner Einwilligung gedeckt ist, und auf Ersatz seiner vorgerichtlichen Rechtsanwaltskosten abgewiesen hat. Entgegen der Auffassung des Oberlandesgerichts Köln fehlt es nicht an dem notwendigen Feststellungsinteresse des Facebook-Nutzers, da die Möglichkeit des Eintritts künftiger Schäden unter den Umständen des Streitfalles ohne Weiteres besteht. Der genannte Unterlassungsanspruch ist hinreichend bestimmt und dem Facebook-Nutzer fehlt insoweit auch nicht das Rechtsschutzbedürfnis. Im Übrigen (weiterer Unterlassungsantrag und Auskunftsantrag) blieb die Revision hingegen ohne Erfolg.
Im Umfang des Erfolges der Revision hat der Bundesgerichtshof die Sache zur neuen Verhandlung und Entscheidung an das Oberlandesgericht Köln zurückverwiesen. Für die weitere Prüfung hat der Bundesgerichtshof das Oberlandesgericht Köln zum einen darauf hingewiesen, dass die von der Beklagten vorgenommene Voreinstellung der Suchbarkeitseinstellung auf „alle“ nicht dem Grundsatz der Datenminimierung entsprochen haben dürfte, wobei das Oberlandesgericht Köln ergänzend die Frage einer wirksamen Einwilligung des Facebook-Nutzers in die Datenverarbeitung durch Meta zu prüfen haben wird. Zum anderen hat der Bundesgerichtshof Hinweise zur Bemessung (§ 287 ZPO) des immateriellen Schadens aus Art. 82 Abs. 1 DSGVO erteilt und ausgeführt, warum unter den Umständen des Streitfalles von Rechts wegen keine Bedenken dagegen bestünden, den Ausgleich für den bloßen Kontrollverlust in einer Größenordnung von 100 € zu bemessen.
Bundesgerichtshof, Urteil vom 18. November 2024 – VI ZR 10/24
Bildnachweis:
- Facebook: Gerd Altmann
