Nach Datendiebstahl-Vorfall: Facebook unterliegt Bundesgerichtshof – hohe Schadenersatzzahlungen drohen

Betroffene eines umfangreichen Datendiebstahls bei Facebook vor einigen Jahren haben nach einem Urteil des Bundesgerichtshofs (BGH) vergleichsweise niedrige Hürden, um Schadenersatz zu bekommen. Sie müssen nur nachweisen, dass sie Opfer des Vorfalls waren, wie der sechste Zivilsenat in Karlsruhe entschied.

Es sei weder nötig, dass die Daten nachweislich missbraucht wurden. Noch müssten die Betroffenen Belege dafür liefern, dass sie nun in besonderer Weise beeinträchtigt sind – etwa in Angst und Sorge.

Die unerlaubte Verbreitung von Namen, Land, Geschlecht und Telefonnummern im Netz stelle einen immateriellen Schaden dar, der Schadenersatzansprüche der Betroffenen zur Folge habe. Dazu genüge der Verlust der Kontrolle über die eigenen Daten, es müsse kein konkreter wirtschaftlicher Schaden entstanden sein.

Im konkreten Fall verlangt ein Nutzer 1000 Euro. Diese Summe dürfte aber zu hoch gegriffen sein, so der BGH in einem Hinweis. Bei einem bloßen Kontrollverlust könnten 100 Euro angemessen sein.

Die Vorinstanz, das Oberlandesgericht (OLG) Köln, hatte den Schadenersatzanspruch verneint. Dieses Urteil hob der BGH am Montag auf und verwies den Fall zurück. Das OLG Köln muss nun den Sachverhalt aufklären, was es bisher wegen der pauschalen Ablehnung von Ansprüchen nicht gemacht hatte.

Die Leitentscheidung des BGH ist für Tausende anhängige Verfahren vor deutschen Gerichten von Bedeutung. In den Jahren 2018 und 2019 waren weltweit die Daten von 531 Millionen Nutzern abgeschöpft worden.

Die Angreifer hatten dazu die Funktion „Freunde suchen“ genutzt, beliebige Telefonnummern eingegeben und konnten sich bei Treffern Zutritt zu den Nutzerkonten verschaffen. 2021 wurden dann die Verbindungsdaten im Netz verbreitet – neben Vor- und Nachnamen auch das Land, das Geschlecht, die Telefonnummer und in manchen Fällen auch der Arbeitgeber.

Der Facebook-Mutterkonzern Meta gab sich stets überzeugt, die Klagen seien haltlos und unbegründet. Rechtsanwalt Martin Mekat von der Kanzlei Freshfields hatte noch nach der Verhandlung vergangene Woche betont, es habe bei dem Vorfall keinen Datenschutzverstoß gegeben, Facebook-Systeme seien nicht gehackt worden. Die Anwälte verwiesen auf mehr als 6.000 gewonnene Verfahren, was einer Erfolgsquote von über 85 Prozent entspreche. (dpa/Reuters)