Scraping auf Social-Media-Plattform – Schutzbereich DS-GVO – Immaterieller Schaden durch Kontrollverlust über eigene Daten

Scraping auf Social-Media-Plattform – Schutzbereich DS-GVO – Immaterieller Schaden durch Kontrollverlust über eigene Daten

RA und Notar Krau

Das Oberlandesgericht Stuttgart (4. Zivilsenat) hat am 22. November 2023 unter dem Aktenzeichen 4 U 20/23 ein wichtiges Urteil zum Thema „Scraping auf Social-Media-Plattformen“ und den daraus resultierenden Schadenersatzansprüchen nach der Datenschutz-Grundverordnung (DSGVO) gefällt.

Hintergrund des Falls

Ein Nutzer des sozialen Netzwerks Facebook (der Kläger) verklagte Facebook (die Beklagte), nachdem im Jahr 2019 seine Telefonnummer und andere persönliche Daten (wie Name, Geschlecht, Facebook-ID) über ein Kontakt-Import-Tool von unbefugten Dritten ausgelesen („Scraping„) und 2021 im Internet verbreitet wurden.

Der Kläger machte geltend, Facebook habe gegen verschiedene Vorschriften der DSGVO verstoßen und forderte Schmerzensgeld, die Feststellung einer Ersatzpflicht für künftige Schäden, Unterlassung weiterer Datenverarbeitung und Auskunft über die Empfänger seiner Daten. Das Landgericht hatte die Klage in erster Instanz vollständig abgewiesen.

Kernpunkte des Urteils des OLG Stuttgart

1. Immaterieller Schaden (Schmerzensgeld)

Definition des Schadens:

Das Gericht stellte klar, dass der Begriff des materiellen oder immateriellen Schadens gemäß Art. 82 DSGVO einheitlich in der gesamten EU auszulegen ist und nicht auf das nationale deutsche Verständnis beschränkt ist. Ein bloßer Verstoß gegen die DSGVO reicht nicht aus; es muss ein tatsächlicher, erlittener Schaden nachgewiesen werden.

Keine Bagatellschwelle:

Es gibt keine „Erheblichkeits-“ oder „Bagatellschwelle“ für Schäden. Auch geringfügige Beeinträchtigungen können einen Schaden darstellen.

Kontrollverlust:

Der Verlust der Kontrolle über die eigenen Daten kann einen immateriellen Schaden begründen, insbesondere wenn er zu einer seelisch belastenden Ungewissheit über das Schicksal der Daten führt. Jedoch muss der Betroffene konkrete Umstände darlegen, die seine erlebten Empfindungen widerspiegeln.

Beweislast:

Die Beweislast für das Vorliegen eines Schadens liegt beim Kläger. Im vorliegenden Fall konnte der Kläger nach seinen eigenen, inhaltlich und wörtlich gleichlautenden Aussagen in vielen ähnlichen Verfahren, keine über bloße „Lästigkeit“ hinausgehenden, spürbaren immateriellen Beeinträchtigungen (wie Angstgefühle oder seelisches Leid) nachweisen. Daher wurde der Anspruch auf sofortigen immateriellen Schadenersatz abgewiesen.

2. Feststellung einer Ersatzpflicht für künftige Schäden

Dieser Anspruch wurde dem Kläger zugesprochen. Das Gericht befand, dass die bloße Möglichkeit eines künftigen Schadenseintritts (z.B. durch Spam-SMS, Anrufe oder andere Missbräuche der Telefonnummer) ausreicht, um eine Feststellung der Ersatzpflicht für künftige materielle oder immaterielle Schäden zu begründen, da die (endgültig) verlorene Kontrolle über die Telefonnummer weiteren Missbrauch ermöglichen kann.

3. Unterlassungsanspruch

Das Gericht lehnte den weitgehenden Unterlassungsanspruch des Klägers ab. Ein Unterlassungsanspruch kann im Datenschutzrecht nur aus Art. 17 DSGVO (Recht auf Löschung) hergeleitet werden und beschränkt sich auf die Unterlassung der Speicherung von Daten, nicht aber auf die Unterlassung bestimmter Datenverarbeitungsvorgänge oder die Auferlegung bestimmter Sicherheitsmaßnahmen. Nationales deutsches Recht (Paragrafen 823, 1004 BGB) findet hier aufgrund der abschließenden Harmonisierung durch die DSGVO keine Anwendung.

Scraping auf Social-Media-Plattform – Schutzbereich DS-GVO – Immaterieller Schaden durch Kontrollverlust über eigene Daten

4. Auskunftsanspruch

Der Kläger forderte Auskunft über die konkreten Empfänger seiner Daten. Das Gericht bestätigte zwar grundsätzlich das Recht auf Auskunft über die Identität der Empfänger nach Art. 15 DSGVO. Im vorliegenden Fall wurde der Anspruch jedoch abgewiesen, da die Beklagte (Facebook) nach eigenen Angaben die Identität der Scraper nicht kannte und der Kläger dies nicht bestritten hatte. Eine bereits erfolgte Auskunft über die Art der abgegriffenen Daten wurde als ausreichend erachtet.

5. Festgestellte DSGVO-Verstöße von Facebook

Trotz der Abweisung der Ansprüche auf Schmerzensgeld, Unterlassung und Auskunft, stellte das Gericht mehrere Verstöße von Facebook gegen die DSGVO fest, die kausal für den Kontrollverlust des Klägers über seine Daten waren:

Transparenzgebot (Art. 5 Abs. 1 lit. a DSGVO):

Die Informationen von Facebook über die Nutzung der Telefonnummer und die Funktionsweise des Kontakt-Import-Tools waren nicht ausreichend transparent und verständlich. Auch die Einwilligung des Klägers war aufgrund intransparenter Opt-out-Einstellungen unwirksam.

Unzureichende Sicherheitsmaßnahmen (Art. 5 Abs. 1 lit. f, 32 DSGVO):

Facebook hatte keine angemessenen technischen und organisatorischen Maßnahmen getroffen, um das Scraping zu verhindern. Die Möglichkeit des Zugriffs auf Nutzerdaten über das Kontakt-Import-Tool stellte eine Schwachstelle dar.

Keine datenschutzfreundlichen Voreinstellungen (Art. 25 Abs. 2 DSGVO):

Die Standardeinstellung, dass die Telefonnummer „für jedermann“ suchbar war, verstieß gegen das Prinzip des „Privacy-by-Default“, das vorschreibt, dass Voreinstellungen datenschutzfreundlich sein und die Datenminimierung gewährleisten müssen.

Verstoß gegen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO):

Facebook hatte die zuständige Aufsichtsbehörde und die betroffenen Personen nicht unverzüglich über den Datenvorfall informiert.

Keine Datenschutz-Folgenabschätzung (Art. 35 DSGVO):

Facebook hatte keine erforderliche Datenschutz-Folgenabschätzung für das Kontakt-Import-Tool vorgenommen, obwohl ein hohes Risiko für die Rechte und Freiheiten der Nutzer bestand.

Ergebnis

Das Oberlandesgericht Stuttgart bestätigte die Feststellung einer zukünftigen Schadenersatzpflicht der Beklagten, wies die Berufung des Klägers bezüglich des Anspruchs auf sofortigen immateriellen Schadenersatz, Unterlassung und Auskunft jedoch zurück. Die Revision wurde zugelassen. Dieses Urteil unterstreicht die Verantwortung von Plattformbetreibern für den Schutz personenbezogener Daten und die möglichen zivilrechtlichen Folgen bei Verstößen gegen die DSGVO, auch wenn die Hürden für den Nachweis eines konkreten immateriellen Schadens hoch bleiben können.