Facebook-Scraping – Zeitlicher Anwendungsbereich der DSGVO
OLG Hamm, 15.08.2023 – 7 U 19/23
RA und Notar Krau
Im vorliegenden Fall hat das Oberlandesgericht Hamm über eine Klage entschieden, bei der es um Schadensersatz-, Unterlassungs- und Auskunftsansprüche im Zusammenhang mit einem großen Datenleck bei Facebook ging, das im April 2021 öffentlich bekannt wurde (der sogenannte „Scraping-Vorfall“). Die Klägerin, eine Facebook-Nutzerin, machte geltend, dass ihre persönlichen Daten, darunter ihre Mobiltelefonnummer, ihre Facebook-ID, ihr Name und Geschlecht, von Dritten abgegriffen und im Darknet veröffentlicht wurden. Sie argumentierte, dass Facebook (die Beklagte) hierbei gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen habe.
Hintergrund des Falls
Das Geschäftsmodell von Facebook basiert auf personalisierter Werbung, wofür detaillierte Nutzerprofile erstellt werden. Die Beklagte nutzte dafür Daten, die Nutzer bei der Registrierung angaben, sowie weitere Informationen, die innerhalb und außerhalb des sozialen Netzwerks gesammelt wurden.
Der entscheidende Punkt war, dass Facebook Funktionen zur Verfügung stellte (Suchfunktion und Kontaktimportfunktion), die es Dritten ermöglichten, die Telefonnummern von Nutzern abzugreifen, selbst wenn diese als „nicht öffentlich“ eingestellt waren. Standardmäßig war die Suchbarkeit für Telefonnummern auf „alle“ eingestellt. Scraper nutzten dies, indem sie fiktive Telefonnummern generierten und über diese Funktionen öffentliche Nutzerinformationen zuordneten. Obwohl Facebook von diesem „Scraping“ wusste, dauerte es eine Weile, bis die Funktionen vollständig deaktiviert wurden.
Die Klägerin hatte sich 2011 bei Facebook registriert und ihre Telefonnummer war zwar nicht öffentlich sichtbar, aber über die Suchfunktion auffindbar. Ihre Daten wurden im Rahmen des Scraping-Vorfalls abgegriffen und veröffentlicht.
Die Kernfragen des Gerichts
Das Gericht musste mehrere zentrale Fragen klären:
Verstöße gegen die DSGVO:
Hat Facebook gegen die DSGVO verstoßen, insbesondere in Bezug auf die Rechtmäßigkeit der Datenverarbeitung und die Datensicherheit?
Schadensersatz:
Hat die Klägerin einen immateriellen Schaden erlitten, der nach der DSGVO entschädigt werden muss?
Facebook-Scraping – Zeitlicher Anwendungsbereich der DSGVO
Unterlassungsansprüche:
Hat die Klägerin einen Anspruch darauf, dass Facebook bestimmte Datenverarbeitungen in Zukunft unterlässt?
Auskunftsansprüche:
Hat die Klägerin einen Anspruch auf weitere Auskünfte darüber, welche Daten von wem und wann abgegriffen wurden?
Vorgerichtliche Anwaltskosten:
Muss Facebook die vorgerichtlichen Anwaltskosten der Klägerin übernehmen?
Entscheidungen des Oberlandesgerichts Hamm
Das Oberlandesgericht Hamm hat die Berufung der Klägerin zurückgewiesen. Das bedeutet, dass die Klage der Nutzerin in allen Punkten abgewiesen wurde.
Verstöße gegen die DSGVO durch Facebook:
Das Gericht stellte fest, dass Facebook tatsächlich gegen mehrere Vorschriften der DSGVO verstoßen hat. Es wurde argumentiert, dass die Verarbeitung der Mobiltelefonnummer über die Such- und Kontaktimportfunktion nicht zur Vertragserfüllung erforderlich war (Art. 6 Abs. 1 lit. b DSGVO). Auch ein berechtigtes Interesse von Facebook lag nicht vor (Art. 6 Abs. 1 lit. f DSGVO), da es weniger einschneidende Alternativen gab, um Nutzer miteinander zu vernetzen.
Besonders kritisch sah das Gericht die fehlende wirksame Einwilligung der Klägerin. Die voreingestellte Suchbarkeit („Opt-Out“) war nicht DSGVO-konform, und die Informationen über die Funktionsweise waren unzureichend und intransparent. Eine Einwilligung erfordert seit Geltung der DSGVO ein aktives Handeln des Nutzers.
Zudem wurden Verstöße gegen die Prinzipien des „Privacy by Default“ und „Privacy by Design“ (Art. 25 Abs. 1 und 2 DSGVO) festgestellt, da die Grundeinstellungen nicht datenschutzfreundlich waren und keine ausreichenden technischen und organisatorischen Maßnahmen zur Datensicherheit getroffen wurden (Art. 32 DSGVO). Facebook war bekannt, dass Scraping stattfand, reagierte aber zu zögerlich.
Schadensersatzanspruch (immaterieller Schaden):
Obwohl Verstöße gegen die DSGVO festgestellt wurden, wies das Gericht den Schadensersatzanspruch der Klägerin ab. Der Europäische Gerichtshof (EuGH) hat klargestellt, dass ein tatsächlicher und sicherer Schaden vorliegen muss, der über einen bloßen Kontrollverlust hinausgeht. Ein solcher Schaden muss nachgewiesen werden.
Die Klägerin konnte nach Ansicht des Gerichts keinen konkreten, über den Kontrollverlust hinausgehenden immateriellen Schaden (wie persönliche oder psychologische Beeinträchtigungen) schlüssig darlegen und beweisen. Ihre Angaben zu „Gefühlen eines Kontrollverlusts, eines Beobachtetwerdens und einer Hilflosigkeit“ sowie zu „Angst“ und „Aufwand an Zeit und Mühe“ reichten dem Gericht nicht aus. Es fehlten konkrete, individuelle Beweisanzeichen, die solche Gefühle widerspiegeln. Auch das Erhalten von Spam-SMS oder das versehentliche Klicken auf Links, die sie mit dem Datenleck in Verbindung brachte, wurden als nicht ausreichend bewiesen oder als nicht direkt kausal für einen Schaden anerkannt.
Das Gericht betonte, dass der bloße Kontrollverlust, der zwangsläufig bei einem Verstoß gegen die DSGVO eintritt, allein noch keinen entschädigungsrelevanten Schaden darstellt, da er bei allen Betroffenen gleichermaßen auftritt.
Feststellungsklage (zukünftige Schäden):
Der Antrag, festzustellen, dass Facebook für künftige materielle und immaterielle Schäden haftet, wurde als unzulässig abgewiesen. Es fehlte am notwendigen Feststellungsinteresse, da die Klägerin nicht ausreichend darlegen konnte, dass mit einem Eintritt solcher Schäden in Zukunft zu rechnen ist. Die von ihr genannten Befürchtungen (Spam-Anrufe, -SMS, -E-Mails) wurden als rein theoretischer Natur eingestuft, insbesondere weil sie selbst angab, keinen Schaden erlitten zu haben und ihre Telefonnummer auch auf anderen Plattformen öffentlich sei.
Unterlassungsklagen:
Beide Unterlassungsanträge wurden als unzulässig bewertet. Der erste Antrag (Zugänglichmachen von Daten ohne Sicherheitsmaßnahmen zu unterlassen) wurde als verdeckte Leistungsklage eingestuft, die ein aktives Tun von Facebook verlangt. Solche Anträge müssen bestimmten Kriterien genügen, die hier nicht erfüllt waren, da Facebook die betreffenden Funktionen bereits deaktiviert hatte und es keine konkrete Befürchtung gab, dass sie die neuen Funktionen in gleicher Weise missbrauchen würde. Zudem war der Antrag zu unbestimmt.
Der zweite Antrag (Verarbeitung der Telefonnummer ohne wirksame Einwilligung zu unterlassen) wurde ebenfalls als unzulässig angesehen, da die Klägerin nach Erhalt der Auskunft über das Datenleck die Möglichkeit hatte, ihre Einstellungen zu ändern und somit durch Untätigkeit eine aktive Einwilligung in die fortgesetzte Verarbeitung gegeben hätte. Auch hier fehle das Rechtsschutzbedürfnis, da die Klägerin im Wesentlichen die Allgemeinheit schützen wolle, nicht sich selbst.
Auskunftsanspruch:
Der Antrag auf weitere Auskunft über die abgegriffenen Daten (wer, wann, zu welchem Zweck) wurde als unbegründet abgewiesen. Das Gericht befand, dass Facebook ihren Auskunftspflichten bereits durch das Schreiben vom 28. Oktober 2021 nachgekommen ist. Darin wurde der Klägerin mitgeteilt, welche Daten abgegriffen wurden, wann dies ungefähr geschah („im Zeitraum bis September 2019“) und dass die Scraper Dritte waren und keine Rohdaten vorliegen.
Die Beklagte habe hinreichend deutlich gemacht, dass sie keine weiteren spezifischen Informationen über die Identität der Scraper oder den genauen Zeitpunkt des Scrapings machen kann. Das weitere Auskunftsverlangen wurde als „exzessiv“ und ohne weiteren Nutzen für die Klägerin angesehen, da die Daten bereits veröffentlicht waren und die konkrete Identität der Scraper für die Klägerin keine weitere Relevanz hatte.
Vorgerichtliche Anwaltskosten:
Der Anspruch auf Erstattung vorgerichtlicher Anwaltskosten wurde ebenfalls abgewiesen, teils weil die Hauptanträge unbegründet oder unzulässig waren, teils weil die Klägerin keine wirksame Prozessstandschaft nachweisen konnte, da die Ansprüche auf ihre Rechtsschutzversicherung übergegangen waren. Zudem sei die Beklagte nicht in Verzug gewesen.
Facebook-Scraping – Zeitlicher Anwendungsbereich der DSGVO
Fazit
Das Oberlandesgericht Hamm bestätigte zwar, dass Facebook gegen datenschutzrechtliche Pflichten verstoßen hat. Dennoch scheiterte die Klage der Nutzerin, da sie aus Sicht des Gerichts keinen konkreten, über den reinen Kontrollverlust hinausgehenden Schaden nachweisen konnte und ihre weiteren Anträge als unzulässig oder unbegründet angesehen wurden. Das Urteil unterstreicht, dass ein bloßer Verstoß gegen die DSGVO nicht automatisch zu einem Schadensersatzanspruch führt; vielmehr muss ein konkreter, nachweisbarer Schaden vorliegen.
