Millionen Nutzer bei Facebook betroffen - Wann gibt es Schadensersatz bei Datenlecks? Erste Leitentscheidung des BGH naht

Beim Facebook-Datenleck aus dem Jahr 2021 wurden Nutzernamen, Geburtsdaten, E-Mail-Adressen, Telefonnummern sowie persönliche Angaben wie der Beziehungsstatus von 6 Millionen Deutschen ins Darknet geleakt – ein Einfallstor für Kriminelle! Deshalb vertritt WBS.LEGAL zehntausende Facebook-Nutzer, um für sie immateriellen Schadensersatz nach Art. 82 DSGVO zu erstreiten.

Erste BGH-Leitentscheidung

Ursprünglich sollte der BGH am 8. Oktober über zwei unserer Facebook-Datenleck-Fälle verhandeln. Nachdem dieser Verhandlungstermin aufgehoben wurde, begrüßen wir die Anberaumung des zeitnahen neuen Verhandlungstermins am 11. November, damit endlich Rechtssicherheit für alle betroffenen Verbraucher besteht (BGH, VI ZR 10/24). 

Zusätzlich wird unser Verfahren damit das bundesweit erste Leitentscheidungsverfahren des BGH sein. Das Gesetz wurde kürzlich im Bundesgesetzblatt veröffentlicht und ist heute am 31. Oktober in Kraft getreten. Das Leitentscheidungsverfahren gibt dem BGH die neue Möglichkeit, für eine Vielzahl anhängiger gleichgelagerter Einzelklagen die maßgeblichen Rechtsfragen in einer Leitentscheidung zu klären. Bei der Entscheidung wird es sich somit um absolutes Neuland handeln.

Christian Solmecke hat sich als Rechtsanwalt und Partner der Kölner Medienrechtskanzlei WBS.LEGAL auf die Beratung der Internet und IT-Branche spezialisiert. So hat er in den vergangenen Jahren den Bereich Internetrecht/E-Commerce der Kanzlei stetig ausgebaut und betreut zahlreiche Medienschaffende, Web 2.0 Plattformen und App-Entwickler. Neben seiner Tätigkeit als Rechtsanwalt ist Christian Solmecke vielfacher Buchautor und als Gründer der cloudbasierten Kanzleisoftware Legalvisio.de auch erfolgreicher LegalTech Unternehmer.

Der konkrete Fall

Im konkreten Verfahren hat unser vom Datenleck betroffener Mandant Facebook u.a. auf Schadensersatz verklagt. Das Landgericht Bonn hatte in erster Instanz dem Betroffenen 250 Euro Schadensersatz zugesprochen, da ihm durch den Kontrollverlust über seine Daten ein ersatzfähiger Schaden entstanden ist (Az. 13 O 125/22). Das Oberlandesgericht (OLG) Köln hatte sodann im Berufungsverfahren das erstinstanzliche Urteil teilweise abgeändert und die Klage insgesamt abgewiesen (Az. 15 U 67/23). Der BGH wird nun im Leitentscheidungsverfahren ganz grundsätzlich entscheiden, ob Meta durch das Datenleck gegen die DSGVO verstoßen hat. Sodann muss er bewerten, ob der Kontrollverlust über die beim Datenleck abgegriffenen Daten einen ersatzfähigen Schaden auslöst. Darüber hinaus wird der BGH entscheiden, ob Meta auch für zukünftige Schäden, die aus dem Datenleck resultieren, haften muss.

Die bisherige Rechtsprechung und unsere Argumentation

Bislang haben bereits viele deutsche Gerichte unserer Rechtsauffassung zugestimmt, dass Facebook die Daten nicht genug vor Hackern geschützt hat und Betroffenen deshalb Schadensersatz schuldet. Eine (auszugsweise) Liste erfolgreicher Verfahren finden Sie hier.

Aktuell hat etwa das OLG Dresden ein positives Urteil gefällt und unserem Mandanten Schadensersatz zugesprochen (Az. 4 U 480/24). Auch das OLG Oldenburg hatte bereits drei positive Urteile gefällt (Az. 13 U 108/23; 13 U 89/23; 13 U 109/23). So sieht es z. B. auch das Landgericht Frankfurt – das unseren Mandanten im Übrigen deswegen auch 1000 Euro zugesprochen hat und Facebook außerdem dazu verpflichtete, alle potenziellen zukünftigen Schäden zu ersetzen, die noch auftreten können (Az. 2-27 O 194/22). Zahlreiche weitere Gerichte wie u.a. das LG München, das LG Darmstadt sowie das LG Verden haben unseren Mandanten 1000 Euro Schadensersatz zugesprochen (Az. 6 O 11754/23, Az. 30 O 2/22, Az. 2 O 115/22).

BGH wird im Einklang mit dem EuGH verbraucherfreundlich entscheiden

Teilweise sehen manche OLGs (u.a. OLG Köln und OLG Stuttgart als Vorinstanzen zu den aufgehobenen BGH-Entscheidungen) dies derzeit anders. Diese Gerichte erkennen zwar alle ein Fehlverhalten von Facebook an. Das OLG Stuttgart leitet daraus auch eine grundsätzliche Ersatzpflicht ab. Sie stellen letztlich aber unverhältnismäßig hohe Anforderungen an den Schaden, den ein Verbraucher darlegen muss. Hierzu argumentieren sie, dass allein der Kontrollverlust über die eigenen Daten nicht ausreiche, um einen Schadensersatzanspruch zu begründen.

Dies ist mit der verbraucherfreundlichen Rechtsprechung des Europäischen Gerichtshofs (EuGH) unserer Ansicht nach unvereinbar. Dieser hat in verschiedenen Urteilen (insbes. C-300/21; C-340/21; C-741/21; C-590/22; C-182/22; C-189/22) Folgendes entschieden:

1. Für einen Anspruch auf Schadensersatz nach der Datenschutzgrundverordnung (DSGVO) müssen Betroffene nicht nachweisen, dass ihre Daten tatsächlich illegal weitergegeben wurden bzw. dass ein Datendiebstahl auch tatsächlich zu Identitätsdiebstahl bzw. -betrug geführt hat.
2. Befürchtungen, Ängste und Sorgen sowie der faktische Kontrollverlust über die eigenen Daten reichen aus, um einen Schaden annehmen zu können.
3. Es gibt beim Schadensersatz keine „Erheblichkeitsschwelle“, der Schaden muss also keine bestimmte Schwere erreichen, um ersatzfähig zu sein.
4. Der Begriff des Schadens ist weit zu betrachten, denn die DSGVO soll die Rechte der Betroffenen ausreichend schützen.
5. Die Höhe des Schadensersatzes soll so hoch bemessen werden, dass sie den erlittenen Schaden vollständig und wirksam kompensieren kann, schließlich hat die DSGVO hier eine „Ausgleichsfunktion“. 

Und in einem aktuellen Urteil vom 4.Oktober 2024 entschied der EUGH nochmals ausdrücklich, dass allein der Kontrollverlust über datenschutzwidrig veröffentlichte Daten bereits einen ersatzfähigen Schaden darstellt. Einen Nachweis zusätzlicher konkreter nachteiliger Folgen müssten Betroffene hingegen nicht führen (Rs. C-200/23).

Ein weiterer interessanter Aspekt, den der EuGH zuletzt betonte: Der Schaden durch Verletzungen des Schutzes personenbezogener Daten ist seiner Natur nach nicht weniger schwerwiegend als eine Körperverletzung. Das ist eigentlich eine Selbstverständlichkeit, doch der EuGH musste dies noch einmal betonen, weil das vorlegende deutsche Gericht auf diese Weise versucht hatte, mögliche Schadensersatzansprüche von Betroffenen kleinzuhalten.

Eine Tendenz unter deutschen Gerichten, welcher der EuGH mit dieser erneuten Klarstellung weiter entgegenwirkte. Die Rechtsprechung ist dennoch aktuell extrem uneinheitlich. Die Gerichte wissen derzeit (noch) nicht, wie sie das europäische Recht auslegen und die erwähnten aktuellen Urteile des EuGH interpretieren sollen. Hier besteht daher dringender Klärungsbedarf sowohl vor dem BGH als auch vor dem EuGH. Wichtige Fragen wie die Klärung, ob die Betroffenen einen Unterlassungsanspruch für die Zukunft gegen Meta haben, liegen aktuell noch beim EuGH und sind dort bislang nicht abschließend entschieden worden. Ebenfalls besteht Uneinheitlichkeit bei den Gerichten bezogen auf die Höhe des korrekten Schadenersatzes. Hier schwanken die Urteile zwischen 50 Euro und 1000 Euro.

Das ist in unseren Augen völlig unverständlich, da die Sachverhalte in den meisten Fällen absolut identisch sind. Umso mehr sind wir nun auf die Bewertung des BGH gespannt. Die konkret zu klärenden Rechtsfragen hat der Bundesgerichtshof im Rahmen einer Pressemitteilung veröffentlicht.