Das BGH-Urteil erleichtert die Durchsetzung von Schadenersatzansprüchen bei Datenschutzverletzungen erheblich, setzt jedoch klare Grenzen bei der Höhe der Entschädigung.
Der Bundesgerichtshof (BGH) hat im Fall eines großangelegten Datendiebstahls bei Facebook entschieden, dass Betroffene vergleichsweise geringe Anforderungen erfüllen müssen, um Schadenersatz geltend zu machen. Der sechste Zivilsenat urteilte, dass es ausreiche, wenn Nutzer nachweisen können, Opfer des Vorfalls gewesen zu sein. Ein Nachweis über den Missbrauch der gestohlenen Daten oder konkrete Beeinträchtigungen wie Angst oder Sorge sei nicht erforderlich (Az. VI ZR 10/24).
Das Urteil hat Signalwirkung für Tausende ähnliche Verfahren an Landes- und Oberlandesgerichten in Deutschland. Erstmals nutzte der BGH das neue Leitentscheidungsverfahren, um grundlegende rechtliche Fragen zu klären. Dies könnte die Weichen für künftige Datenschutzklagen stellen.
Der Vorsitzende Richter Stephan Seiters betonte, dass der Schadenersatz bei einem bloßen Kontrollverlust über persönliche Daten begrenzt bleibe. Im vorliegenden Fall nannte er 100 Euro als mögliche Entschädigung. Die endgültige Klärung des Datenschutzverstoßes und der Schadenshöhe obliegt nun dem Oberlandesgericht Köln, das den Fall erneut verhandeln muss.
Im April 2021 waren Daten von 533 Millionen Facebook-Nutzern aus 106 Ländern online veröffentlicht worden. Die Täter hatten eine Funktion zur Freundessuche im sozialen Netzwerk ausgenutzt. Nach dem Vorfall reichten zahlreiche Betroffene Klagen ein, die in erster Instanz häufig abgewiesen wurden.
Der Facebook-Mutterkonzern Meta betonte, es habe keinen Datenschutzverstoß gegeben, da die Systeme nicht gehackt worden seien. Laut Meta wurden bisher über 6.000 Verfahren gewonnen, was einer Erfolgsquote von über 85 Prozent entspreche. Die Aktie von Meta Platforms fiel am Montag an der NASDAQ leicht um 0,31 Prozent auf 552,38 US-Dollar.