DSGVO

Hintergrund der wegweisenden Entscheidung ist ein Vorfall aus dem April 2021. Unbekannte hatten damals Daten von rund 533 Millionen Facebook-Nutzerinnen und -Nutzern aus 106 Ländern im Internet veröffentlicht. Diese hatten die Täter abgegriffen, indem sie eine Funktion zur Freunde-Suche in dem sozialen Netzwerk ausnutzten, durch die Profile mithilfe der eigentlich nicht öffentlichen Telefonnummer gefunden werden konnten. Durch die Eingabe willkürlich generierter Telefonnummern wurden so Treffer gelandet und die zugehörigen Daten abgegriffen.

Das als Scraping bezeichnete Verfahren nahm der BGH als Anlass, zum ersten Mal von der neuen Möglichkeit des Leitentscheidungsverfahrens Gebrauch zu machen. Die Leitentscheidung entfaltet keine formale Bindungswirkung und hat auch keine Auswirkungen auf das der Leitentscheidung zugrundeliegende konkrete Revisionsverfahren. Sie dient den Instanzgerichten und der Öffentlichkeit jedoch als Richtschnur und Orientierung dafür, wie die Entscheidung der Rechtsfragen gelautet hätte. Das trägt zur Rechtssicherheit bei und führt gleichzeitig dazu, die Gerichte von weiteren Klagen zu entlasten.

Der Bundesgerichtshof stellt zwar klar, dass eine konkrete missbräuchliche Verwendung der Daten zum Nachteil des Betroffenen noch nicht erfolgt sein muss, damit ein Schaden vorliegen kann. Er konkretisiert aber nicht, ab wann der Kontrollverlust selbst vorliegt. Der BGH hatte im konkreten Fall nur zu entscheiden, ob der tatsächliche Zugriff auf die Nutzerdaten bei Facebook einen Schaden darstellt. Diese Beurteilung kann je nach konkretem Sachverhalt unterschiedlich ausfallen. Dabei ist zu beachten, dass der Verlust der Kontrolle eine Tatsache darstellt. Ob diese vorliegt, ist im Einzelfall individuell zu prüfen.

Bezüglich des Kontrollverlusts führte der BGH aus, dass der Kläger nicht gehalten war, im einzelnen auszuführen, welchen anderen Personen er seine Daten offengelegt hat. Es genüge jedenfalls, wenn er angibt, die Daten nicht allgemein veröffentlicht zu haben. Weiterhin reiche es aus, dass der Kläger seinen Zustand des Unwohlseins und großer Sorge über möglichen Missbrauch seiner Daten deutlich macht. Im vorliegenden Fall hatte der Kläger ausgeführt, er habe ein „verstärkten Misstrauen bezüglich E-Mails und Anrufen von unbekannten Nummern und Adressen“, da er seit dem Vorfall unregelmäßig unbekannte Kontaktversuche via SMS und E-Mail erhalten habe. Auch hätte er sich mit dem „Datenleak“ auseinandersetzen,  den Sachverhalt ermitteln, sich um eine Auskunft der Beklagten kümmern und selbst weitere Maßnahmen ergreifen müssen.

Der BGH kam zu dem Schluss, dass das Berufungsgericht unter Beachtung der aktuellsten Rechtssprechung des BGH zu dem Ergebnis gelangt wäre, dass der Kläger durch den Scraping-Vorfall einen immateriellen Schaden – ob nun allein in Gestalt des Kontrollverlustes als solchem oder darüber hinaus auch in Gestalt der geltend gemachten psychischen Beeinträchtigungen – erlitten hat. Als wichtigste Punkte hielt das Gericht fest:

Wenn ein Schaden nur als Kontrollverlust über personenbezogene Daten festgestellt wird, ohne weitere nachgewiesene Schäden, muss das Gericht bei der Schadensschätzung die Sensibilität der betroffenen Daten (vgl. Art. 9 Abs. 1 DSGVO), deren typische Verwendung, die Art und Dauer des Kontrollverlusts sowie die Möglichkeit der Wiedererlangung der Kontrolle berücksichtigen. Ein möglicher Anhaltspunkt für den Schadensausgleich könnte der hypothetische Aufwand zur Wiedererlangung der Kontrolle sein, etwa durch Maßnahmen wie einen Rufnummernwechsel.

Zweifelhaft ist, ob eine Schadensfestsetzung in „gegebenenfalls nur einstelliger Höhe“ mit dem Effektivitätsgrundsatz vereinbar wäre. Der BGH hätte jedoch keine Bedenken, den Ausgleich für den Kontrollverlust in einem Fall wie diesem auf etwa 100 € zu bemessen. Macht der Betroffene psychische Beeinträchtigungen geltend, die über die allgemeinen Unannehmlichkeiten eines Kontrollverlusts hinausgehen, muss das Gericht ihn anhören, um entsprechende Feststellungen zu treffen. In solchen Fällen ist ein höherer Ausgleichsbetrag als bei reinem Kontrollverlust festzusetzen.

Es ist davon auszugehen, dass mit dieser Entscheidung ein maßgeblicher Wandel in den Scraping-Verfahren einhergehen wird. Die bisherige Quote von mehr als 6.000 erst- und zweitinstanzliche vollumfänglich klageabweisenden Urteilen (knapp 85%) wird sehr warscheinlich in die andere Richtung Kippen, da die Hürde zum Nachweis eines immateriellen Schadens nun deutlich gesenkt wurde. Wir halten Sie auf unserem Portal selbstverständlich auf dem laufenden!

 

Quellen