Kein Schadensersatzanspruch gegen Meta nach Scraping-Angriff

Web-Scraping ist eine Technik, bei der Software oder Bots verwendet werden, um automatisch Daten in großem Stil von Webseiten zu extrahieren. Weil Meta nicht genügend getan habe, um solche Schwachstellen auszubessern, wurde der Konzern mehrfach auf Schadensersatz in Anspruch genommen.

Facebook als Datenquelle: Inwieweit ist Meta mitverantwortlich?

Wenn man ein Facebook-Konto erstellt, hat man die Möglichkeit, persönliche Informationen wie Wohnort, Geburtsdatum und Arbeitgeber in seinem Profil anzugeben. User:innen können entscheiden, ob sie diese Informationen für jeden sichtbar oder nur für einen ausgewählten Personenkreis zugänglich machen möchten. Aber selbst die öffentlich sichtbaren Daten sind kein Allgemeingut und dürfen nicht automatisch von Datensammlern erfasst werden. Das Scrapen von Daten über diesen Weg ist zudem durch die Facebook-Nutzungsbedingungen verboten. Vorfälle gibt es jedoch trotzdem genug.

In diesem Zusammenhang mussten immer wieder Gerichte darüber entscheiden, inwieweit Facebook für solche Vorfälle mithaftbar gemacht werden kann, weil die Plattform nicht genügend Sicherheitsvorkehrungen getroffen habe – oder zumindest nicht rechtzeitig. 

Leitentscheidung zu Facebook-Scraping

In der Rechtsprechung lässt sich bei den zahlreichen Klagen bereits ein roter Faden erkennen: Ein Anspruch auf Ersatz des immateriellen Schadens in der geltend gemachten Höhe von 1.000 Euro steht dem Betroffenen nicht zu (Urteil des LG Memmingen vom 09.03.2023, Az.: 35 0 1036/22). Die Abschöpfung öffentlicher Daten durch Scraping sind Facebook nicht anzulasten, urteilte auch das Landgericht Offenburg (Urteil vom 28.02.2023, Az.: 2 O 98/22). Wir berichteten über die Fälle. Nun reiht sich ein Oberlandesgericht in die Liste der Entscheidungen ein und kommt zum selben Ergebnis.

Das OLG hatte die Klage gegenüber Meta als Betreiberin von Facebook auf Zahlung von Schadensersatz in Höhe von 1.000 Euro ebenfalls abgewiesen (Urteil vom 15. August 2023, Az.: 7 U 19/23; Vorinstanz: Landgericht Bielefeld, Urteil vom 19. Dezember 2022, Az.: 8 O 157/22). Auch hier verkennt das OLG nicht, dass Verstöße gegen datenschutzrechtliche Vorschriften vorliegen, da Meta trotz der konkreten Kenntnis keine naheliegenden Maßnahmen zur Verhinderung eines weiteren unbefugten Datenabgriffs ergriffen habe.

Kein Schaden, kein Anspruch!

Von einem immateriellen Schaden in Form eines Schmerzensgeldes konnte die Klägerin das Gericht jedoch nicht überzeugen. Dabei geht das Oberlandesgericht davon aus, dass der immaterielle Schaden nicht in dem bloßen Verstoß gegen die DSGVO selbst liegen könne, sondern darüberhinausgehende persönliche, beziehnungsweise psychologische Beeinträchtigungen eingetreten sein müssen. Der Datenmissbrauch, der hier zur ungewollten Veröffentlichung von Name und Mobiltelefonnummer geführt habe, sei nicht so schwerwiegend, dass ein Schadensersatzanspruch gerechtfertigt sei.

Die Gerichte müssen sich nämlich von den massenhaft Betroffenen immer wieder anhören, sie hätten „Gefühle eines Kontrollverlusts, eines Beobachtetwerdens und einer Hilflosigkeit“ sowie ein „Gefühl der Erschrockenheit“ empfunden. Angst sowie Aufwand an Zeit und Mühe können die Gerichte ebenfalls nicht mehr hinter dem Ofen hervorlocken. Kasse machen lässt sich jedenfalls mit solchen Vorfällen schon seit einem EuGH-Urteil nicht (mehr) so leicht. Bitter, aber wahr: Betroffene müssten erst abwarten, bis das Kind in den Brunnen gefallen ist und mit den erbeuteten Daten beispielsweise ein Identitätsdiebstahl stattgefunden hat. Dann kann der entstandene Schaden belegt werden.