BGH: Schon der Kontrollverlust über Daten kann ein ersatzfähiger Schaden sein
Datenschutzrecht · BGH, VI ZR 10/24 · 18. November 2024
Der Bundesgerichtshof hat im sogenannten Scraping-Komplex um Facebook entschieden, dass bereits der bloße Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen kann. Das Urteil ist die erste Entscheidung im neuen Leitentscheidungsverfahren und gibt den Instanzgerichten für tausende Parallelverfahren eine Richtung vor.
- Ein kurzzeitiger Kontrollverlust kann genügen; ein Missbrauch der Daten oder spürbare weitere Folgen sind nicht erforderlich.
- Für den bloßen Kontrollverlust hält der BGH im entschiedenen Fall rund 100 Euro für rechtlich vertretbar.
- Auch ein Antrag auf Feststellung der Ersatzpflicht für künftige Schäden kann zulässig sein.
Der Sachverhalt
Im Frühjahr 2021 wurden Daten von rund 533 Millionen Facebook-Nutzern aus 106 Ländern im Internet veröffentlicht. Unbekannte hatten die Kontakt-Import-Funktion der Plattform ausgenutzt: Mit massenhaft erzeugten Telefonnummern ordneten sie Nummern bestehenden Konten zu, soweit die Suchbarkeitseinstellungen dies zuließen, und lasen die öffentlich sichtbaren Profildaten aus. Der Kläger verlangte unter anderem immateriellen Schadensersatz, die Feststellung der Ersatzpflicht für künftige Schäden sowie Unterlassung. Das Landgericht sprach ihm 250 Euro zu, das Oberlandesgericht wies die Klage insgesamt ab, weil ein bloßer Kontrollverlust nicht genüge.
Die Entscheidung des BGH
Der VI. Zivilsenat hat das Berufungsurteil insoweit aufgehoben. Unter Berufung auf die Rechtsprechung des EuGH stellt er klar, dass auch ein nur kurzzeitiger Kontrollverlust einen immateriellen Schaden begründen kann. Der Betroffene muss nicht nachweisen, dass die Daten tatsächlich missbraucht wurden oder dass er besondere Ängste erlitten hat. Er muss allerdings darlegen und gegebenenfalls beweisen, dass ein Kontrollverlust überhaupt eingetreten ist. Für die Bemessung nach § 287 ZPO hält der Senat einen Betrag in der Größenordnung von 100 Euro für den bloßen Kontrollverlust für vertretbar.
Erfolg hatte die Revision auch beim Feststellungsantrag, weil künftige Schäden nach den Umständen ohne Weiteres möglich sind, sowie bei einem Teil der Unterlassungsanträge. Die Sache wurde an das Berufungsgericht zurückverwiesen. Dabei deutete der Senat an, dass eine Voreinstellung der Suchbarkeit auf „alle“ mit dem Grundsatz der Datenminimierung kaum vereinbar sein dürfte.
Die Einzelbeträge sind klein – das Haftungsrisiko entsteht durch die Masse der Betroffenen.
Bedeutung für Unternehmen
Das Urteil senkt die Hürde für Schadensersatzklagen nach Datenschutzvorfällen deutlich, begrenzt aber zugleich die Höhe im Regelfall. Für Verantwortliche mit großen Nutzerzahlen ergibt sich daraus ein erhebliches Massenrisiko. Hinzu kommt die Aussage zu datenschutzfreundlichen Voreinstellungen: Wer Funktionen standardmäßig offen konfiguriert, setzt sich dem Vorwurf eines Verstoßes gegen Art. 25 DSGVO und den Grundsatz der Datenminimierung aus.
- Voreinstellungen von Plattform- und Suchfunktionen auf Datenminimierung überprüfen
- Schutzmaßnahmen gegen automatisiertes Auslesen (Rate-Limits, Missbrauchserkennung) dokumentieren
- Prozesse für Datenschutzvorfälle und den Umgang mit Massenklagen vorbereiten
Quelle: BGH, Urteil vom 18. November 2024 – VI ZR 10/24 (Nachweis curia.europa.eu) ↗
Fragen zu diesem Thema?
Wir unterstützen bei der Abwehr datenschutzrechtlicher Schadensersatzforderungen und bei der datenschutzkonformen Gestaltung digitaler Dienste.
Beratung anfragen ↗Redaktionsstand: 9. November 2026. Der Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.
Mehr zum Rechtsgebiet