🚨 BGH-Urteil zum Facebook-Datenleck

Schadensersatz für Facebook-Datenleck für Millionen Nutzer bestätigt

Der Wendepunkt im Datenschutzrecht: BGH stärkt Verbraucherrechte massiv

Es ist ein juristisches Erdbeben bezüglich des Facebook-Datenlecks, dessen Nachbeben noch Jahre in der deutschen Gerichtssaal-Landschaft zu spüren sein werden. Der Bundesgerichtshof (BGH) hat am 18. November 2024 (Az. VI ZR 10/24) ein Grundsatzurteil gefällt, das die Position von Millionen Verbraucherinnen und Verbrauchern in Deutschland drastisch stärkt. Jahrelang herrschte Unsicherheit: Haben Nutzer Anspruch auf Geld, wenn ihre Daten durch Sicherheitslücken bei Facebook, Deezer, Twitter oder anderen Plattformen „abhandenkommen“, ohne dass direkt das Bankkonto geplündert wird? Die Antwort aus Karlsruhe ist nun ein deutliches: Ja, grundsätzlich schon.

Für die Betreiber sozialer Netzwerke und Online-Dienste bedeutet dieses Urteil das Ende einer Ära, in der sie sich oft erfolgreich auf die Position zurückziehen konnten, dass ohne „blutende Wunde“ (also einen konkreten, bezifferbaren finanziellen Schaden) kein Schadensersatz fällig sei. Der VI. Zivilsenat des BGH hat diese Hürde nun im Einklang mit der Rechtsprechung des Europäischen Gerichtshofs (EuGH) eingerissen. Dieser Artikel analysiert detailliert, was das Urteil für Sie bedeutet, wie hoch die Chancen auf Entschädigung wirklich sind und welche Schritte Sie jetzt unternehmen sollten.

Der Hintergrund: Das „Scraping“-Leck von 2021

Um die Tragweite des Urteils zu verstehen, lohnt ein Blick zurück auf den Auslöser: Im Frühjahr 2021 tauchten in Hacker-Foren Datensätze von rund 533 Millionen Facebook-Nutzern weltweit auf. Allein in Deutschland waren etwa sechs Millionen Konten betroffen. Die Datensätze enthielten Namen, Facebook-IDs, Geschlecht, Wohnort, Beziehungsstatus und – besonders kritisch – Mobilfunknummern. Eben das Facebook-Datenleck.

DER ARTIKEL GEHT NACH DEM BANNER WEITER

Ihr gutes Recht – jetzt mit KI klären lassen.

ca. 4h

Jetzt mit einem
Anwalt sprechen

Telefonische Rechtsberatung
persönlich & lösungsorientiert

34,99 € *

• 15 / 30 / 45 Minuten wählbar
• Antwort in ca. 4 Stunden
• Wenn Reden wichtig ist

Zur Hotlineauswahl

Direkt klären, statt schreiben.

Tausende zufriedene Kunden!

ca. 2 min!

KI-Ersteinschätzung zur Rechtsfrage

• PDF-Antwort in 5 klaren Kapiteln auf Ihre Frage
• Optional:
• Check von bis zu 5 Dokumenten (PDF)
• Telefonat mit einem Anwalt zum Thema

29,99 € *

Zur LexBot Auswahl

Strukturierte KI-Ersteinschätzung als PDF zu Ihrer Rechtsfrage. Mit Einordnung, nächsten Schritten und Musterschreiben (falls passend). Sicher im Dashboard abrufbar - optional mit Dokumenten-Check & Anwaltstelefonat.

ca. 4h

Schriftliche Antwort
vom Anwalt

Eine Rechtsfrage mit
Dokumentenprüfung

99,99 € *

• Schriftliche, anwaltliche, Ausarbeitung
• Upload eines Dokumentes
• Eine Rückfrage inklusive

Schriftliche Beratung wählen

Wenn es vom Anwalt schriftlich sein soll

*alle Preise inkl. MwSt.
LexBot® ist als Marke geschützt und beim Deutschen Patent- und Markenamt (DPMA) registriert.

Meta (der Mutterkonzern von Facebook) argumentierte stets, man sei nicht „gehackt“ worden. Vielmehr hätten Dritte eine Funktion zur Kontaktsynchronisation („Contact Importer“) missbraucht, um massenhaft Telefonnummern abzufragen und mit öffentlichen Profilen zu verknüpfen – ein Vorgang, der als „Scraping“ (Abschürfen) bezeichnet wird. Meta stellte sich auf den Standpunkt, dies sei schwer zu verhindern gewesen und begründe keine Haftung. Deutsche Instanzgerichte, allen voran das Oberlandesgericht Köln, folgten dieser Argumentation oft und wiesen Klagen ab, weil den Nutzern kein „spürbarer Nachteil“ entstanden sei.

Vertiefende Analyse: Das Ende der „Bagatellgrenze“

Mit dem Urteil VI ZR 10/24 hat der BGH diese unternehmensfreundliche Rechtsprechung nun korrigiert. Die Entscheidung basiert auf drei zentralen juristischen Säulen, die auch für künftige Cyber-Vorfälle bei anderen Unternehmen gelten werden.

1. Der bloße Kontrollverlust ist ein Schaden (Art. 82 DSGVO)

Der wichtigste Punkt des Urteils betrifft den Begriff des „immateriellen Schadens“. Nach Art. 82 der Datenschutz-Grundverordnung (DSGVO) steht Betroffenen Schadensersatz zu, wenn ihnen durch einen Verstoß ein materieller oder immaterieller Schaden entstanden ist. Lange stritten Juristen darüber, ob bloßer Ärger oder das vage Gefühl des Unbehagens ausreichen.

Der BGH stellte nun klar: Der kurzzeitige Verlust der Hoheit über die eigenen personenbezogenen Daten stellt bereits einen Schaden dar. Es ist nicht mehr notwendig, dass der Kläger schlaflose Nächte, Angstzustände oder Depressionen durch ärztliche Atteste nachweist. Dass die sensiblen Daten (wie die Mobilnummer) gegen den Willen des Nutzers in dunklen Ecken des Internets kursieren, genügt als Beeinträchtigung des Persönlichkeitsrechts. Damit ist die in Deutschland lange hochgehaltene „Bagatellgrenze“ faktisch gefallen.

2. Beweislastumkehr: Unternehmen in der Defensive

Prozessual noch bedeutender ist die Klarstellung zur Beweislast nach Art. 5 und Art. 32 DSGVO (Rechenschaftspflicht und Sicherheit der Verarbeitung). Bisher verlangten viele Gerichte von den klagenden Verbrauchern, sie müssten genau darlegen, welche technische Sicherheitslücke Facebook übersehen hat – für einen Laien ein Ding der Unmöglichkeit.

Der BGH dreht den Spieß um: Das Unternehmen muss beweisen, dass seine Sicherheitsmaßnahmen zum Zeitpunkt des Vorfalls „state of the art“ (Stand der Technik) waren. Meta muss also lückenlos darlegen, dass das Scraping trotz bestmöglicher Sicherheitsvorkehrungen nicht zu verhindern war. Gelingt dieser Beweis nicht (was angesichts der bekannten Warnungen vor der Scraping-Lücke schwierig wird), haftet das Unternehmen für den Datenschutzverstoß. Dies erleichtert die Durchsetzung von Ansprüchen massiv.

3. Die Höhe des Schadensersatzes: Masse statt Klasse

Während der BGH die Haftung dem Grunde nach erleichtert, dämpft er die Erwartungen der Höhe nach. In der Verhandlung deutete der Senat an, dass bei einem reinen Kontrollverlust ohne weitere Folgen (wie Phishing-Anrufe oder Betrugsversuche) ein Betrag von ca. 100 Euro angemessen sein könnte. Dies ist weit entfernt von den oft geforderten 1.000 bis 2.000 Euro.

Doch der Schein trügt: Für Meta ist das Urteil dennoch verheerend. Wenn auch nur 10 % der 6 Millionen betroffenen Deutschen ihren Anspruch gegen daas Facebook-Datenleck durchsetzen, reden wir über eine Summe von 60 Millionen Euro – plus enorme Anwalts- und Gerichtskosten. Für Verbraucher bedeutet dies: Der „große Geldregen“ bleibt aus, aber eine spürbare Genugtuung ist nun realistisch durchsetzbar.

Praktische Tipps: Was Sie jetzt tun sollten

Nicht jeder Facebook-Nutzer ist automatisch betroffen, und nicht jeder Anspruch ist bares Geld wert. Hier ist Ihre Schritt-für-Schritt-Anleitung:

Schritt 1: Betroffenheit prüfen

Bevor Sie aktiv werden, müssen Sie wissen, ob Ihre Daten im 2021er-Leak enthalten sind. Nutzen Sie seriöse Datenbanken wie „Have I Been Pwned“ oder die kostenlosen Checker spezialisierter Verbraucherkanzleien. Sie benötigen dafür meist nur Ihre damals genutzte Mobilnummer oder E-Mail-Adresse.

Schritt 2: Verjährung im Blick behalten

Dies ist der kritischste Punkt. Das Datenleck wurde im April 2021 breit bekannt. Die regelmäßige Verjährungsfrist im deutschen Zivilrecht beträgt drei Jahre zum Jahresende (§ 195 BGB). Das bedeutet: Wenn Sie im Jahr 2021 Kenntnis von Ihrer Betroffenheit erlangt haben, verjähren Ihre Ansprüche voraussichtlich am 31.12.2024.

Haben Sie erst 2022 oder später davon erfahren, läuft die Frist entsprechend länger. Um auf Nummer sicher zu gehen, sollten Sie jedoch von einer Verjährung Ende 2024 ausgehen und zeitnah handeln.

Schritt 3: Rechtsschutzversicherung nutzen

Da der Schadensersatzbetrag pro Person eher gering ausfällt (ca. 100 €), ist das Kostenrisiko einer individuellen Klage ohne Versicherung unverhältnismäßig hoch. Wenn Sie eine Rechtsschutzversicherung haben, fragen Sie nach einer Deckungszusage für eine „DSGVO-Schadensersatzklage gegen Meta Platforms Ireland Ltd.“. Viele Versicherer, die bisher blockierten, müssen aufgrund des BGH-Urteils nun zahlen.

Schritt 4: Vorsicht bei Legal-Tech-Anbietern

Der Markt wird derzeit geflutet von Anbietern, die Ihnen „Sofort-Entschädigungen“ anbieten. Das Modell: Sie treten Ihren Anspruch ab und erhalten sofort z.B. 30 Euro. Der Anbieter klagt dann auf eigenes Risiko und behält die Differenz. Angesichts der nun sehr sicheren Rechtslage durch den BGH kann es sinnvoller sein, sich einer Sammelklage anzuschließen oder einen Anwalt zu mandatieren, der spezialisiert und automatisiert arbeitet, um den vollen Betrag (ca. 100 € bis 300 € je nach Einzelfall) zu erhalten.

Die Rechtslage zum Facebook-Datenleck im Wandel

Die folgende Tabelle verdeutlicht, wie drastisch sich die Chancen für Verbraucher durch das BGH-Urteil verbessert haben:

Ausblick und Fazit

Das Urteil VI ZR 10/24 ist weit mehr als nur „Facebook-Schelte“. Es ist ein Grundsatzurteil für die digitale Ökonomie. Der BGH hat klargestellt, dass personenbezogene Daten einen intrinsischen Wert haben. Wer diese Daten gewerblich nutzt, trägt die volle Verantwortung für deren Sicherheit. „Wir wurden halt ausgetrickst“ ist keine gültige Ausrede mehr.

Fazit für Verbraucher

Der Weg zum Recht ist frei. Die hohen Hürden der deutschen Instanzgerichte sind gefallen. Wer betroffen ist und eine Rechtsschutzversicherung hat, sollte seine Ansprüche jetzt geltend machen – nicht nur wegen des Geldes, sondern um ein Signal für den Datenschutz zu setzen. Die Zeit drängt jedoch wegen der drohenden Verjährung zum Jahresende.
<

Rechtlicher Hinweis & Kontakt

Sollte Ihnen dieser Beitrag geholfen haben, so können Sie uns etwas zurückgeben in dem Sie uns bei Google bewerten.