EuG „Bindl“: Kommission haftet für Datenübermittlung in die USA über Facebook-Login
Datenschutzrecht · EuG, T-354/22 · 8. Januar 2025
Das Gericht der Europäischen Union hat die EU-Kommission verurteilt, einem Website-Besucher 400 Euro immateriellen Schadensersatz zu zahlen. Anlass war eine Übermittlung seiner IP-Adresse an Meta in den USA, die über eine Login-Funktion auf einer Kommissionswebsite ausgelöst wurde. Die Entscheidung zeigt, wie konkret Drittlandübermittlungen über eingebundene Dienste haftungsrechtlich relevant werden.
- Der „Mit Facebook anmelden“-Link im EU-Login führte am 30. März 2022 zur Übermittlung der IP-Adresse an Meta Platforms in den USA.
- Zu diesem Zeitpunkt gab es keinen Angemessenheitsbeschluss für die USA; geeignete Garantien hatte die Kommission nicht nachgewiesen.
- Ansprüche wegen Übermittlungen über Amazon CloudFront und wegen des Auskunftsrechts wies das Gericht ab.
Der Fall
Ein in Deutschland lebender Kläger hatte 2021 und 2022 die Website der „Konferenz zur Zukunft Europas“ besucht und sich für eine Veranstaltung über den Authentifizierungsdienst EU Login registriert, wobei er die Anmeldung über Facebook wählte. Er machte geltend, dass dabei personenbezogene Daten an Empfänger in den USA übermittelt worden seien, und verlangte unter anderem Schadensersatz. Für die Organe der EU gilt nicht die DSGVO, sondern die inhaltlich vergleichbare Verordnung (EU) 2018/1725.
Die Entscheidung
Das EuG rechnete die Übermittlung an Meta der Kommission zu, weil sie den Facebook-Link auf ihrer Seite bereitgestellt hatte. Die Bedingungen der Verbindung richteten sich allein nach den Nutzungsbedingungen von Facebook; Standardvertragsklauseln oder andere Garantien bestanden nicht. Darin sah das Gericht einen hinreichend qualifizierten Verstoß gegen die Regeln über Drittlandübermittlungen. Der Kläger habe einen immateriellen Schaden erlitten, weil er im Ungewissen darüber war, wie seine IP-Adresse verarbeitet wird.
Keinen Erfolg hatte die Klage dagegen hinsichtlich des Content-Delivery-Netzes: In einem Fall wurde die Verbindung über einen Server in München geleitet, in einem anderen hatte der Kläger durch eigene technische Einstellungen selbst den Anschein eines US-Standorts erzeugt.
Wer fremde Login- und Social-Plugins einbindet, verantwortet auch die damit ausgelösten Datenflüsse.
Einordnung
Das Urteil betrifft unmittelbar nur die EU-Organe, die Argumentation lässt sich aber auf Art. 44 ff. und Art. 82 DSGVO übertragen. Seit dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023 ist die Lage für Übermittlungen an zertifizierte US-Unternehmen entspannter; für Altfälle und nicht zertifizierte Empfänger bleibt die Entscheidung relevant. Das Urteil ist nicht rechtskräftig: Der Kläger hat Rechtsmittel zum EuGH eingelegt (C-211/25 P).
- Eingebundene Drittdienste (Login, Plugins, CDN) auf Drittlandübermittlungen inventarisieren
- Übermittlungsgrundlage je Empfänger dokumentieren (DPF-Zertifizierung, Standardvertragsklauseln)
- Gemeinsame Verantwortlichkeit bei Social-Login-Funktionen vertraglich regeln
Quelle: Gericht der EU, Urteil vom 8. Januar 2025 – T-354/22 (Bindl/Kommission) ↗
Fragen zu diesem Thema?
Wir unterstützen bei der Prüfung internationaler Datentransfers und bei der Abwehr datenschutzrechtlicher Ersatzansprüche.
Beratung anfragen ↗Redaktionsstand: 9. November 2026. Der Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.
Mehr zum Rechtsgebiet