Facebook-Datenleck: Leitentscheidung des BGH zu Schadensersatz

Der Schutz persönlicher Daten sollte in unserer digitalen Welt höchste Priorität haben. Doch was passiert, wenn diese Informationen in falsche Hände geraten? Ein Vorfall aus dem Jahr 2021 verdeutlichte die weitreichenden Folgen: Damals veröffentlichten Unbekannte Daten von etwa 533 Millionen Facebook-Nutzern aus 106 Ländern im Internet.

Wie kam es zu dem Facebook-Datenleck?

Unbekannte Dritte nutzten eine Schwachstelle bei Facebook aus. Das soziale Netzwerk erlaubte es damals, Profile über die zugehörige Telefonnummer zu finden – abhängig von den jeweiligen Suchbarkeits-Einstellungen. Dabei verwendeten die Angreifer die Kontakt-Import-Funktion, um massenhaft zufällige Telefonnummern einzugeben. So identifizierten sie die verknüpften Profile und griffen öffentlich einsehbare Informationen ab.

Diese als „Scraping“ bekannte Methode ermöglichte es den Angreifern, große Mengen an Nutzerdaten zu sammeln. Dazu gehörten Namen, Telefonnummern und weitere Profilinfos. Schließlich landeten diese Datensätze im Internet – ein Skandal, der als einer der größten Vorfälle in der Geschichte von Facebook gilt.

BGH: Kontrollverlust reicht für Schadensersatz

Der Bundesgerichtshof (BGH) fällte nun ein wegweisendes Urteil in diesem Fall. Er entschied, dass allein der Verlust der Kontrolle über persönliche Daten ausreicht, um immateriellen Schadensersatz zu fordern (Urt. v. 18.11.2024, Az. VI ZR 10/24). Für Betroffene bedeutet dies: Der Nachweis, dass sie Opfer des Datenlecks sind, genügt vollkommen. Demzufolge müssen sie weder einen konkreten Datenmissbrauch noch weitere Beeinträchtigungen belegen.

Schadensersatz bleibt überschaubar

Zwar erleichtert der BGH die Durchsetzung von Ansprüchen erheblich. Dennoch machte der Vorsitzende Richter Stephan Seiters klar, dass der Schadensersatz bei einem reinen Kontrollverlust moderat ausfällt. Im vorliegenden Fall nannte das Gericht einen Betrag von etwa 100 Euro pro betroffener Person. Nun muss das Oberlandesgericht Köln klären, ob tatsächlich ein Datenschutzverstoß vorliegt und wie man den Schaden im Detail bemisst.

Präzedenzfall mit Signalwirkung

Besonders an diesem Fall ist die erstmalige Nutzung des neuen Leitentscheidungsverfahrens durch den BGH. Folglich hat das Urteil enorme Signalwirkung für Tausende ähnlich gelagerte Klagen in Deutschland. Somit setzt das Gericht einen wichtigen Präzedenzfall für den zukünftigen Schutz persönlicher Daten.

Links & Hinweise:
Urteil des BGH |
Leitentscheidungsverfahren |
procado: Facebook im Unternehmenskontext