Der BGH hat am 18.11.2024 in einer Grundsatzentscheidung festgestellt, dass schon der Verlust der Kontrolle über die eigenen Daten zu einem Anspruch auf Schadensersatz nach Art. 82 Abs. 1 DSGVO (Datenschutz-Grundverordnung) in einer Größenordnung von 100,00 € führt. Es reicht also aus, von einem Datenschutzvorfall betroffen zu sein, bei dem Daten abgegriffen worden sind. Können konkrete Beeinträchtigungen durch die missbräuchliche Verwendung der Daten, überdurchschnittlich viele Spam Anrufe oder SMS etc. nachgewiesen werden, erhöht dies den Schadensersatz.
Die Entscheidung wird von Verbraucherschützern und Verbraucheranwälten und nicht zuletzt von der Kanzlei wbs legal, die das Urteil erstritten hat, als großartiger Sieg gefeiert. Allerdings wurden 1.000 € als Schadensersatz gefordert, während der BGH einen geringen Schadensersatz von 100,00 € für angemessen erachtet.
Geklagt hatte ein Facebook Nutzer gegen den Mutterkonzern META wegen Verstoßes gegen den Datenschutz. Anlass war ein Datenleck bei Facebook aus dem Jahr 2019, das aber erst im Jahr 2021 bekannt wurde. Damals war es Unbekannten gelungen, persönliche Daten von 533 Millionen Nutzern aus 106 Ländern abzugreifen. Sie hatten mit Hilfe von Computern millionenfach Handynummern erzeugt, die sie in die „Kontakt-Import-Funktion“ von Facebook hochgeladen hatte. Gehörte zu der zufällig erzeugten Handynummer ein Facebook Profil, wurde dieses den Tätern mit allen auf dem Profil öffentlich einsehbaren Informationen angezeigt. Diese Daten führten die Unbekannten mit den dazu gehörigen Telefonnummern zu Datensätzen zusammen, den sie dann gesammelt im Internet veröffentlicht haben.
Der BGH hat das Klageverfahren an das Oberlandesgericht Köln zurückverwiesen. Da dieses einen Schadensersatzanspruch von vornherein abgelehnt hat, hatte es nicht geprüft, ob der Schadensersatzanspruch ausgeschlossen sein könnte, weil der Kläger den Nutzungsbedingungen von Facebook zugestimmt hat. Dies muss es jetzt nachholen. Allerdings hat der BGH bereits darauf hingewiesen, dass in den Suchbarkeitseinstellungen „alle“ voreingestellt war, was nicht dem Grundsatz der Datenminimierung aus Art. 5 DSGVO entsprechen würde, so dass Zweifel an einer wirksamen Einwilligung in die Datenverarbeitung bestehen.
Es besteht daher eine hohe Chance, dass Sie 100,00 € Schadensersatz erhalten, wenn Sie von der Datenpanne bei Facebook betroffen waren.
Ob dies der Fall war, können Sie im Internet unter https://haveibeenpwned.com/ erfahren. Dort können Sie ins Eingabefeld email adress Ihre E-Mail-Adresse eintippen oder Ihre Telefonnummer (im internationalen Format, also +49123…). Allerdings werden bei Nutzung der Seite Daten in die USA übertragen, so dass US Behörden Zugriff auf die Daten erhalten könnten. Auch das Hasso-Plattner-Institut überprüft mit dem HPI Identity Leak Checker unter https://sec.hpi.uni-potsdam.de/ilc/ , ob Ihre Daten im Internet veröffentlicht wurden. Hilfestellung erhalten Sie auch auf den Seiten der Kanzlei wbs legal. Hier kann über die Mobilnummer ermittelt werden, ob man vom Datenleck bei Facebook betroffen war. Gleiches ist auch über die Seiten der Kanzlei Dr. Stoll & Sauer möglich. Dort werden die Daten aber zum Zwecke der Kontaktaufnahme dauerhaft gespeichert.
Da die Datenpanne in 2021 bekannt geworden ist, läuft die dreijährige Verjährungsfrist für Schadensersatzansprüche Ende diesen Jahres ab. Um die Verjährung zu unterbrechen, müssen die Ansprüche rechtshängig gemacht werden. Wenn Sie tätig werden wollen, dann am besten sofort. Die Stiftung Warentest informiert auf ihren Seiten zum weiteren Vorgehen und stellt ein Musterschreiben zum Herunterladen mit weiteren Hinweisen zur Verfügung. Dieses finden Sie unter folgendem Link: https://www.test.de/Facebook-Datenpanne-Schmerzensgeld-nach-Hacker-Erfolg-5933730-0/
Zum Urteil selbst liegt bisher nur die Pressemitteilung vom 18.11.2024 vor: https://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=pm&Datum=2024&Sort=3&nr=139661&anz=218&pos=0