Facebook - Datenleck

Die Missbrauchsgefahr eines Datenlecks hängt von den geleakten Daten ab. Abhängig von den veröffentlichten Daten ist mit erhöhtem Spampotential bei Veröffentlichung der E-Mail-Adresse, Missbrauch von geleakten Passwörtern, Trojaner-Mails, Social Engineering und Phishing-Attacken zu rechnen. Die Gefahren sind umso höher, je mehr Daten dem Absender zur Verfügung stehen. Es besteht in Folge eines Datenschutzvorfalls das konkrete Risiko von finanziellen Schäden, das sich etwa durch den Missbrauch von Kreditkartendaten oder einen Identitätsdiebstahl mit einem Eingehungsbetrug zu Lasten des Betroffenen realisieren kann. Sofern Standortdaten betroffen sind, können die geleakten Daten zudem dazu verwendet werden, um Bewegungsprofile der Betroffenen zu erstellen. Es steigt schließlich das Risiko Opfer von Erpressungen oder Drohungen zu werden, insbesondere soweit sensible Daten betroffen sind. Gerade im Bereich der besonderen Kategorie personenbezogener Daten wie der politischen Gesinnung, Gewerkschaftszugehörigkeit, sexuellen Orientierung oder den Gesundheitsdaten besteht zuletzt ein erhöhtes Interesse, selbst zu entscheiden, wer Details hierüber erfährt.

Mit der Unterstützung von Protectra, die die Ansprüche der Betroffenen gebündelt geltend macht. Besonders erfreulich für Betroffene: Nach Art. 82 Abs. 4 DSGVO haften der Verantwortliche und in die Verarbeitung gegebenenfalls einbezogene Auftragsverarbeiter als Gesamtschuldner für Verstöße. Nach Art. 82 Abs. 3 DSGVO ergibt sich zudem eine erhebliche Erleichterung für die Anspruchsdurchsetzung, da der Verantwortliche einen ordnungsgemäßen Umgang mit personenbezogenen Daten beweisen muss:

"Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist."

Neben dem Auskunfts- und Unterlassungsanspruch steht Betroffenen ein Schadensersatzanspruch nach Art. 82 DSGVO zu. Danach sind materielle Schäden (denkbar zum Beispiel Aufwand für einen Tausch der Mailadresse) wie auch immaterielle Schäden zu ersetzen. Hierunter sind pauschale Abgeltungen für spürbare Nachteile durch objektiv nachvollziehbare, mit gewissem Gewicht einhergehende Beeinträchtigungen von persönlichkeitsbezogenen Belangen zu fassen.

Sowohl Art. 82 Abs. 1 DSGVO als auch § 83 Abs. 2 BDSG sehen eine Entschädigung auch für immaterielle Schäden vor. Seit Dezember 2023 hat der Europäische Gerichtshof (EuGH) mit einer Serie von Entscheidungen (C-340/21, C-456/22, C-667/21, C-300/21, C-182/22, C-189/22, C-200/23) die Voraussetzungen zugunsten Betroffener, deren personenbezogene Daten ungewollt veröffentlicht wurden, näher definiert unter denen ein Schadensersatzanspruch zusteht. Der BGH hat nun in seiner Leitentscheidung zum Scraping Vorfall bei Facebook entschieden, dass allein der Kontrollverlust über personenbezogene Daten einen Schaden im Sinne von Art. 82 DSGVO darstellen kann und zusätzlich keine Befürchtungen oder Ängste nachgewiesen werden müssten.

Sobald es Neuigkeiten gibt, informieren wir Sie über den Stand Ihres Verfahrens. Darüber hinaus bitten wir Sie von Anfragen abzusehen. Es ist gerade in einem relativ neuen Rechtsgebiet ohne ständige Rechtsprechung nichts Ungewöhnliches, dass der Abschluss einer Instanz viel Zeit (auch bis über ein Jahr) in Anspruch nimmt.

Protectra, unsere Gegner oder die Rechtsschutzversicherung

Als Datenverarbeiter ist Facebook grundsätzlich nach Art. 34 DSGVO verpflichtet, Betroffene über eine Datenpanne zu informieren, jedenfalls wenn damit ein „voraussichtlich hohes Risiko für die persönlichen Rechte und Freiheiten“ der Betroffenen einhergeht. Facebook beruft sich darauf, dass die Pflicht entfallen sei, da durch nachfolgende Maßnahmen sichergestellt worden sei, dass das Risiko nicht fortbestehe.

In Leitentscheidungen entscheidet der Bundesgerichtshof (BGH) über grundsätzliche Rechtsfragen, auch wenn sich das Verfahren bereits erledigt hat. Meist stellen sich bei einer großen Anzahl von Zivilklagen mit gleichgelagerten Sachverhalten (wie dem Streit um das Facebook Datenleck) die gleichen entscheidungserheblichen Rechtsfragen, die der BGH höchstrichterlich klärt, damit in gleichgelagerten Verfahren die Instanzgerichte anhand dieser Leitentscheidung zügig entscheiden können.

In der mündlichen Verhandlung am 11.11.2024 teilte der BGH mit, dass allein der Kontrollverlust über personenbezogene Daten einen Schaden im Sinne von Art. 82 DSGVO darstellen kann und zusätzlich keine Befürchtungen oder Ängste nachgewiesen werden müssten.