Der Bundesgerichtshof (BGH) hat am 18. November 2024 (VI ZR 10/24) über Ansprüche von betroffenen Personen im Zusammenhang mit sogenanntem „scraping“ (deutsch: „abschürfen“) entschieden. Nachdem im Rahmen von unterinstanzlichen Urteilen die Schadensersatzansprüche in der Regel verneint wurden, hat der BGH im Wege eines Leitentscheidungsverfahrens hiervon abweichend geurteilt. Die höchstrichterliche Entscheidung hat nun Einfluss auf unzählig ähnlich gelagerte Klagen, die derzeit an Landes- und Oberlandesgerichten in Deutschland anhängig sind. Auch wenn im konkreten Fall lediglich ein Schadensersatz in Höhe von 100 Euro als angemessen angesehen wurde, sollten die Auswirkungen dieser Entscheidung für die Praxis nicht unterschätzt werden.

Zum Sachverhalt

Hintergrund der unzähligen Klagen sind Vorfälle aus den Jahren 2018 und 2019, im Rahmen derer Unbekannte eine beträchtliche Anzahl nicht-veröffentlichter personenbezogener Daten – darunter zum Beispiel Telefonnummern – von rund 533 Millionen Facebook-Nutzenden aus 106 Ländern abgriffen und anschließend verknüpft mit abrufbaren Profilinformationen im April 2021 im sogenannten Darknet weltweit veröffentlichten. Hiervon betroffene Personen machten infolgedessen gegenüber dem Facebook-Betreiber Meta verschiedenste Ansprüche geltend. Meta habe in mehrfacher Hinsicht gegen die Anforderungen der Datenschutz-Grundverordnung (DS-GVO) verstoßen, insbesondere aufgrund einer unzureichenden Gewährleistung der Sicherheit der Verarbeitung personenbezogener Daten unter Berücksichtigung des aktuellen Stands der Technik und unzureichender Voreinstellungen. Dies habe dazu geführt, dass den Unbekannten das Scraping der personenbezogenen Daten erheblich erleichtert wurde.

Im konkreten Fall hatte zwar zunächst das Landgericht Bonn (LG Bonn, Urt. v. 29.3.2023, Az. 13 O 125/22) dem Kläger 250 Euro Schadensersatz zugesprochen, die Klage im Übrigen jedoch abgewiesen, woraufhin im Rahmen des Berufungsverfahrens das Oberlandesgericht Köln (OLG Köln, Urt. v. 7.12.2023, Az. 15 U 67/23) die Klage insgesamt abwies. Nach Ansicht des OLG Köln reiche weder der bloße Kontrollverlust zur Annahme eines immateriellen Schadens im Sinne von Art. 82 Abs. 1 DS-GVO aus, noch habe der Kläger im Rahmen des Verfahrens substantiiert darlegen können, aufgrund des Kontrollverlustes über seine personenbezogenen Daten psychisch beeinträchtigt worden zu sein. Mit Beschluss vom 31. Oktober 2024 bestimmte der BGH das zugrundeliegende Verfahren zum Leitentscheidungsverfahren gemäß § 552b ZPO (Zivilprozessordnung).

Zur Entscheidung

Nach Ansicht des BGH lässt sich der Anspruch des Klägers auf Ersatz eines immateriellen Schadens mit der Begründung des OLG Köln nicht verneinen. Nach der maßgeblichen Rechtsprechung des Europäischen Gerichtshofes (EuGH) zu Art. 82 Abs. 1 DS-GVO, kann bereits ein kurzzeitiger Verlust der Kontrolle über die eigenen personenbezogenen Daten infolge eines Verstoßes gegen die Anforderungen der DS-GVO einen immateriellen Schadensersatz begründen (vgl. zuletzt EuGH, Urt. v. 4.10.2024, Rs. C-200/23). Es bedarf demnach weder einer konkreten missbräuchlichen Verwendung der personenbezogenen Daten zum Nachteil der betroffenen Person noch sonstiger zusätzlicher spürbar negativer Folgen. Begründete Befürchtungen oder Ängste vor einem Missbrauch der personenbezogenen Daten können ebenfalls Gründe für die Annahme eines immateriellen Schadens sein, sind jedoch keine zwingenden Voraussetzungen dafür.

Auch den Anträgen des Klägers auf Feststellung einer Ersatzpflicht für etwaige zukünftige Schäden, die aus dem ursprünglichen Verstoß resultieren können und Unterlassung der Verwendung der Telefonnummer ohne entsprechende Einwilligung wurden stattgegeben. Für den konkreten Fall könnte somit eine Haftung Metas für Schäden, die aufgrund der Veröffentlichung personenbezogener Daten im Darknet gegebenenfalls erst in Zukunft eintreten, bestehen. Derartige Schäden könnten beispielsweise aus der Übermittlung von Phishing-E-Mails oder weiteren kriminellen Aktivitäten wie Identitätsdiebstahl resultieren.

Der BGH hat nun zur neuen Verhandlung und Entscheidung an das OLG Köln zurückverwiesen. Das Berufungsgericht muss nun also noch einmal im Detail prüfen, inwiefern Datenschutzverstöße vorliegen und hierin tatsächlich ein Schadensersatzanspruch sowie eine mögliche Haftung begründet sein kann. In diesem Zusammenhang erteilte der BGH Hinweise zur Bemessung des immateriellen Schadens und führte aus, dass keine Bedenken dagegen bestünden, die Höhe des Schadensersatzes in einer Größenordnung von 100 Euro zu bemessen. Die hierbei angesetzte Höhe des Schadensersatzes scheint zwar zunächst gering, ausgehend von mehreren zehntausenden oder gar hunderttausenden Betroffenen allein in Deutschland, können jedoch insgesamt Schadensersatzforderungen in mehrstelliger Millionenhöhe auflaufen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Mittlerweile haben Milliarden Menschen ein Profil bei einem sozialen Medium angelegt. Die Auswahl ist groß, die Möglichkeiten zur Vernetzung sind vielfältig und man lernt sehr schnell neue Leute kennen. Es gibt viele Gründe, sich in sozialen Medien anzumelden. Was viele leider nicht als problematisch ansehen, ist, dass man als Nutzer viele personenbezogene Daten von sich und anderen der Öffentlichkeit preisgeben kann. Im digitalen Zeitalter, wo der Wert von Daten mit Öl verglichen wird, sind Profile auf sozialen Medien wie Facebook eine wahre Goldgrube: Nutzer veröffentlichen Informationen über Ihr Geschlecht, Herkunft, Wohnort, Beruf, Interessen, Hobbys, Standorte etc. etc. Mit den richtigen Mitteln lassen sich aus diesen Daten Informationen generieren, die manchen Unternehmen enorme Profite bescheren können.

Daher ist es nicht verwunderlich, dass manche von Ihnen das Internet nach personenbezogenen Daten absuchen, um diese beispielsweise an andere Unternehmen zu Werbezwecken zu verkaufen. Hierzu nutzen sie spezielle Software, die die sozialen Medien durchforsten und Informationen der Nutzer sammeln. Aus datenschutzrechtlicher Sicht ist diese Praktik fragwürdig, in manchen Fällen allerdings gänzlich unzulässig, wenn z. B. Daten unrechtmäßig durch Hacken von Profilen oder Datenbanken gesammelt werden.

Doch wie ist die Rechtslage, wenn lediglich Daten von sozialen Medien gesammelt werden, die von Nutzern in ihren öffentlichen Profilen selbst veröffentlicht wurden? In letzter Zeit haben vermehrt Nutzer sozialer Medien auf Schadensersatz geklagt, nachdem ihre öffentlich zugänglichen Daten von ihren Profilen im Internet zu finden waren. Ein Nutzer versuchte sogar, sein Recht auf Schadensersatz massenhaft, also wegen mehrerer Scraping-Fälle geltend zu machen. Dieser Beitrag soll darstellen, weshalb man keinen Anspruch auf Schadensersatz für Daten-Scraping hat, wenn man seine personenbezogenen Daten auf öffentlichen Profilen preisgibt.

Argumentation der Gerichte

Das Landgericht Offenburg (Urt. v. 28.02.2023 – Az.: 2 O 98/23), um nur ein Urteil von vielen zu nennen, argumentierte, dass die Durchführung des Daten-Scrapings allein nicht zu einem Schaden des Betroffenen führt, wenn Nutzer Ihre Daten freiwillig angeben und deren Profile darüber hinaus öffentlich einsehbar sind.

„Es ist festzuhalten, dass alle Daten – bis auf die Handynummer – aus dem öffentlichen Profil des Klägers „abgelesen“ wurden, die der Kläger bereitwillig dort selbst eingetragen hat. Ein Identitätsdiebstahl hat insoweit nicht stattgefunden. Soweit diese Daten öffentlich waren, standen sie bereits bei ihrer Eingabe nicht mehr unter der ausschließlichen klägerischen Kontrolle. Das Gefühl eines Kontrollverlustes kann sich daraus gerade nicht nachvollziehbar ergeben.“

Nahezu identisch wurden viele andere Urteile zu dem Thema argumentiert. Das Gericht bemängelte weiter, das Fehlen sämtlicher Anzeichen negativer Folgen für den Betroffenen. So wurden im Laufe des Verfahrens keinerlei Anzeichen ersichtlich, dass der Kläger überhaupt irgendwelche Anzeichen von Beunruhigung, geschweige denn tatsächliche Ängste, Sorgen, Unwohlsein oder andere Unannehmlichkeiten erlitt. Als ein mitentscheidendes Argument stellte das Gericht fest, dass der Kläger bis zum Schluss der mündlichen Verhandlung seine Suchbarkeitseinstellungen nicht geändert habe.

Und was lernen wir daraus?

Eigentlich nichts Neues. Das Urteil bestätigt genau das, was eigentlich alle sagen: Pass auf deine privaten Daten auf! Dennoch kann man einige Nützliche Dinge aus diesem Urteil ziehen. Nämlich Erkenntnis über die genauen Voraussetzungen für einen Anspruch auf Ersatz eines immateriellen Schadens durch Daten-Scraping. Die Rechtsprechung stellt klar, dass kein Schadensersatzanspruch besteht, wenn man seine personenbezogenen Daten selbst und freiwillig in öffentlich zugänglichen Profilen preisgibt. Dies gilt auch, wenn Ansprüche massenhaft geltend gemacht werden sollen. Allein die Tatsache, dass man die Möglichkeit hat, sich zu schützen, indem man lediglich die Privatsphäre-Einstellungen ändert, steht diesem Anspruch massiv im Wege. Somit hängt der Anspruch auf Schadensersatz maßgebend von der Zugänglichkeit der preisgegebenen Daten ab.

Wir können Ihnen daher nur raten, wie oben angesprochen, sehr vorsichtig mit Ihren Daten zu sein, wenn Sie verhindern wollen, „Opfer“ von Daten-Scraping auf sozialen Netzwerken zu werden. Überlegen Sie also sehr genau, was für Daten Sie von sich preisgeben möchten. Falls Sie sich, wie viele andere auch, dafür entschieden haben, ein Profil z. B. auf Facebook zu erstellen, vergessen Sie nicht die Privatsphäre-Einstellungen Ihren Bedürfnissen entsprechend anzupassen. Mit den richtigen Einstellungen kann die Gefahr des Daten-Scrapings minimiert werden und nur so haben Sie Anspruch auf Schadensersatz, wenn Ihre Daten trotzdem gesammelt wurden.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.