Urteil zum Facebook-Datenleck: Gericht spricht Nutzer Schadensersatz zu

In einem von unserer Kanzlei vertretenen Fall hat das Amtsgericht Tübingen entschieden, dass ein Facebook-Nutzer aufgrund eines Datenschutzverstoßes im Zusammenhang mit dem sogenannten Facebook-Scraping einen Anspruch auf Schadensersatz gegen den Plattformbetreiber hat (Urteil vom 09.03.2026, Az. 9 C 595/24, noch nicht rechtskräftig). Das Gericht verurteilte die Betreiberin des sozialen Netzwerks zur Zahlung von 200 Euro immateriellem Schadensersatz nebst Zinsen und stellte zudem fest, dass das Unternehmen für künftige Schäden aus dem Datenleck haftet.

Hintergrund: Massives Datenscraping bei Facebook

Unbekannte Dritte nutzten zwischen Januar 2018 und September 2019 eine Funktion zum Import von Kontakten, um automatisiert Telefonnummern mit Facebook-Profilen zu verknüpfen. Dabei wurden massenhaft Telefonnummern eingegeben und die dazugehörigen Profilinformationen ausgelesen. Durch dieses sogenannte Scraping konnten die Angreifer personenbezogene Daten von rund 533 Millionen Nutzern weltweit sammeln. Im April 2021 wurden diese Daten schließlich im Internet veröffentlicht. Auch die Daten des klagenden Nutzers waren davon betroffen.

Zu den abgegriffenen Informationen gehörten unter anderem die Telefonnummer, die Facebook-Nutzer-ID, Vor- und Nachname, das Geschlecht und teilweise weitere Profilinformationen.

Gericht sieht mehrere Verstöße gegen die DSGVO

Das Amtsgericht Tübingen stellte fest, dass der Plattformbetreiber bei der Verarbeitung personenbezogener Daten gegen mehrere Vorschriften der Datenschutz-Grundverordnung (DSGVO) verstoßen hat.

Unzulässige Voreinstellungen der Suchfunktion

Ein zentraler Kritikpunkt des Gerichts betraf die Standardeinstellung der Suchfunktion über Telefonnummern. Diese war so voreingestellt, dass das Profil eines Nutzers von allen anderen Nutzern über die Telefonnummer gefunden werden konnte. Nach Auffassung des Gerichts verstößt eine solche Voreinstellung gegen die Grundsätze der Datenminimierung und der datenschutzfreundlichen Voreinstellungen gemäß Art. 5 und Art. 25 DSGVO. Plattformbetreiber sind demnach verpflichtet, ihre Systeme so zu gestalten, dass personenbezogene Daten grundsätzlich nicht einer unbegrenzten Anzahl von Personen zugänglich sind, sofern dies nicht erforderlich ist.

Fehlende Sicherheitsmaßnahmen gegen massenhaften Datenzugriff

Das Gericht stellte darüber hinaus fest, dass Meta unzureichende technische Schutzmaßnahmen gegen automatisierte Datenabfragen implementiert hatte. Insbesondere fehlten nach Auffassung des Gerichts wirksame Captcha-Mechanismen und Kontrollmechanismen gegen automatisierte Datenabgriffe. Damit hat der Plattformbetreiber seine Verpflichtungen aus Art. 32 DSGVO verletzt, der angemessene technische und organisatorische Sicherheitsmaßnahmen verlangt.

Kontrollverlust über personenbezogene Daten als Schaden

Das Gericht stellte klar, dass der Verlust der Kontrolle über personenbezogene Daten bereits einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen kann. Nach der Rechtsprechung des Europäischen Gerichtshofs ist es dafür nicht erforderlich, dass Betroffene einen besonders schwerwiegenden Schaden oder konkrete Missbrauchsfälle nachweisen. Ausschlaggebend ist, dass durch den Datenschutzverstoß ein realer Kontrollverlust über die eigenen Daten eingetreten ist.

Schadensersatz, Ersatz künftiger Schäden und Unterlassungsanspruch

Schadensersatz: Das Gericht sprach dem Kläger 200 Euro immateriellen Schadensersatz zu. Bei der Bemessung berücksichtigte es insbesondere, dass vor allem die Telefonnummer betroffen war, während andere Daten (Name, Geschlecht, Nutzer-ID) ohnehin öffentlich einsehbar waren.

Künftige Schadensersatzpflicht: Das Unternehmen haftet demnach für alle zukünftigen materiellen Schäden, die aus dem Datenleck entstehen könnten. Dies ist insbesondere dann relevant, wenn die Daten später für Betrug oder Identitätsmissbrauch verwendet werden.

Unterlassungsanspruch: Das Unternehmen wurde zudem verpflichtet, die Telefonnummer des Klägers künftig nicht mehr auf Grundlage einer unwirksamen Einwilligung zu verarbeiten. Dies gilt, wenn Nutzer nicht ausreichend über die Funktionsweise der Suchfunktion informiert werden.

Kostenfreie Ersteinschätzung für Facebook-Nutzer

Wir vertreten rechtsschutzversicherte Verbraucher*innen zum Thema Datenleck-Schadensersatz und setzen ihre Ansprüche auf Entschädigung durch. Neben der Geltendmachung von Schadensersatzansprüchen sichern wir Sie über einen sogenannten Feststellungsantrag für mögliche zukünftige Schäden ab. Darüber hinaus kümmern wir uns um die Deckungszusage Ihrer Rechtsschutzversicherung und übernehmen im weiteren Verlauf die gesamte Korrespondenz mit der Versicherung.

Jetzt unverbindliche & kostenfreie Prüfung anfordern

Sie haben Fragen? Rufen Sie uns an unter 0711-9308110 oder schreiben Sie uns Ihre Fragen über unser Kontaktformular.