Facebook-Datenleck: Millionen Verbraucher haben Anspruch auf Schadensersatz

Die DSGVO (Datenschutz-Grundverordnung) verpflichtet Unternehmen, die ihnen zur Verfügung gestellten Daten zu schützen. Passiert das nicht ausreichend und entsteht ein Datenleck, bestehen in vielen Fällen Schadensersatzansprüche nach Paragraf 82 DSGVO. Nachdem einige deutsche Gerichte hier teilweise verbraucherunfreundlich geurteilt hatten, wurde das vom Europäischen Gerichtshof wieder geradegerückt. Die Chancen für Betroffene vom Leak bei Facebook und anderen Datenlecks haben so gute Chancen wie nie zuvor.

Da das Thema mittlerweile viel mediale und juristische Aufmerksamkeit erhalten hat, haben wir den gesamten Vorgang sowie die Folgen für Sie als Verbraucher detailliert aufgearbeitet:

• Teil 1: Datenleck bei Facebook prüfen: So kommen Schadensersatzansprüche zustande
• Teil 2: Facebook-Datenleck: Schadensersatz immer noch möglich – Aktueller Stand 2024 
• Teil 3: Facebook-Datenleck 2021: Überblick über vergangene Entwicklungen
• Teil 4: Facebook-Datenleck: Häufige Fragen besorgter Nutzer

Schadensersatzansprüche können sich gleich in doppelter Art und Weise begründen. Am Anfang steht der Verlust Ihrer Daten. Damit ist gemeint, dass Sie einen Kontrollverlust erleiden und sich nun im Alltag mit negativen Auswirkungen auseinandersetzen müssen. Das kann beispielsweise eine gefühlte Zunahme von Spam-Mails und unerwünschten Anrufen oder ein sonstiger Missbrauch Ihrer Daten sein. Wenn Sie das belegen können, ist das gut. Das europäische Verbraucherrecht mutet Ihnen das aber nicht mehr zwingend zu.

Früher war es nötig, diese Beeinträchtigungen konkret nachzuweisen und in einen direkten kausalen Zusammenhang mit dem Facebook-Datenleck zu bringen. Das wäre sehr aufwendig. Durch die Rechtsprechung des Europäischen Gerichtshofs hat sich das nun geändert, wodurch sich das Verfahren für betroffene Verbraucher deutlich vereinfacht. Zunächst sollten Sie unseren kostenlosen Datenleck-Checker nutzen, um herauszufinden, ob Sie zu den etwa 6 Millionen Betroffenen Facebook-Nutzern in Deutschland gehören.

In unserem Datenleck-Checker können Sie Ihre E-Mail-Adresse und Ihre Mobilfunknummer eintragen. Ihre persönlichen Daten werden dabei nur für den einmaligen Abgleich mit unserer Datenbank verwendet und nicht länger gespeichert. Auch das Ergebnis Ihrer Anfrage bekommen nur Sie selbst zu sehen. Das System durchsucht die Datenbank nach den eingegebenen Daten und schlägt Alarm, wenn sich diese finden lassen.

Die Datenbank enthält Informationen aus vielen heute bekannten Datenlecks. Wenn Sie beispielsweise zunehmend Spam-E-Mails erhalten, wissen Sie zunächst nicht verbindlich, von welchen Datenlecks Sie betroffen sind. Solche gab es in den letzten Jahren schließlich viele. Die Zahl der weltweit betroffenen persönlichen Datensätze geht in den Milliarden-Bereich. Betroffen sind neben Facebook auch weitere Megakonzerne wie Amazon.

Wenn der Checker anschlägt, sind Sie betroffen. Sie sehen nun direkt, ob Ihre persönlichen Informationen bei Facebook oder einer anderen Plattform geleakt worden sind. Beispielsweise aus dem Darknet und Hacker-Foren weiß man, welche Datenpakete aus welchen Quellen stammen. Hier sind auch mehrfache Treffer möglich. Zum Facebook-Mutterkonzern Meta gehören auch andere Plattformen wie beispielsweise der Messenger WhatsApp oder Instagram. 

Außerdem gab es weitreichende Leaks bei LinkedIn, Deezer und vielen anderen Firmen, die Nutzerdaten benötigen und verarbeiten. Das gilt auch für Drittanbieter, die mit der Verwaltung von Nutzerdaten beauftragt sind. Ein Beispiel ist das Modern Solution Datenleck, bei dem Daten von otto.de entwendet wurden. Es ist vorstellbar, dass Ansprüche gegen mehrere Unternehmen bestehen. Unabhängig davon, wo das Leck besteht, bieten wir Ihnen gerne unsere kostenlose Erstberatung an.

Wir haben bei DB-Anwälte bereits hohe Summen für unsere Mandanten erstreiten können. Diese liegen bei bis zu 5.000 Euro. Die Erfahrung zeigt, dass betroffene Nutzer hier gute Gewinne machen können. Die Kontrolle über Ihre Daten werden Sie ohnehin nicht wiederbekommen. Einmal im Darknet veröffentlicht, lässt sich der Kontrollverlust nicht rückgängig machen. Die Entschädigung dafür sollten Sie aber mitnehmen.

Dabei geht es auch nicht nur ums Geld. Der Schadensersatzanspruch aus Paragraf 82 DSGVO ist auch ein wichtiger Kontrollmechanismus für Unternehmen. Würden Verbraucher Ihre Rechte nicht durchsetzen, hätten viele Konzerne wie Facebook kaum einen Anreiz, sich an die Regeln im Umgang mit Ihren Daten zu halten. Machen Sie den Datenleck-Check und sichern Sie sich Ihre kostenlose Erstberatung.

Wenn Sie vom Datenleck bei Facebook betroffen sind, sollten Sie sich beeilen. Nach 2024 dürften viele Ansprüche aus dem Datenleck 2021 verjährt sein. Ausnahmen können bestehen, Sie sollten aber dennoch keine Zeit verlieren. Den Datenleck-Check sollten Sie allerdings in jedem Fall durchführen, da schließlich immer wieder neue Leaks auftauchen. Von welcher Quelle Ihr Datensatz geleakt wurde, spielt für Ihren Schadensersatzanspruch ohnehin keine Rolle. Wir setzen Ihre Ansprüche gegen die Verantwortlichen durch.

Ende 2023 haben sich außerdem die Chancen auf eine Datenleck-Entschädigung in Höhe von bis zu 5.000 Euro drastisch erhöht. Das liegt an der verbraucherfreundlichen Rechtsprechung des Europäischen Gerichtshofes. Dabei wurde unsere Rechtsansicht bestätigt, dass für einen Schadensersatzanspruch eben kein konkreter Missbrauch der Daten nachweisbar sein muss. Damit widerspricht der EuGH indirekt vereinzelter, verbraucherunfreundlicher Rechtsprechung, wie z. B. durch das Oberlandesgericht (OLG) Stuttgart.

Der europäische Gerichtshof (EuGH) erließ am 14.12.2023 ein wegweisendes Urteil in der Rechtssache C-340/21. Auch hier ging es um ein Datenleck, das 2019 bei der Nationalen Agentur für Einnahmen des bulgarischen Staates entstanden war. Auch wenn es sich hierbei um eine staatliche Behörde handelt, sind die Rechtsvorschriften des europäischen Datenschutzrechts für Unternehmen gleichermaßen bindend. Das Urteil entfaltet also auch Signalwirkung für das Facebook-Datenleck und andere Leaks. Der Bundesgerichtshof (BGH) sowie Oberlandesgerichte (OLG) und Landgerichte (LG) richten sich meist nach den Einschätzungen des EuGH.

Die Richter stellten folgende Punkte fest:

• Ein Data-Leak beweist nicht zwangsläufig, dass Schutzmaßnahmen unzureichend waren. Die Beweislast, dass sie ausreichend waren, liegt aber beim Unternehmen.
• Gehen personenbezogene Daten verloren, wird gehaftet. Ausnahmen bestehen nur, wenn nachgewiesen werden kann, dass das Unternehmen für das Leck nicht verantwortlich ist.
• Die Daten müssen nicht nachweislich durch Dritte missbraucht werden. Es reicht aus, dass die betroffene Person dies befürchten muss.

Wenn Sie vom Facebook-Datenleck betroffen sind, ist das in vielerlei Hinsicht eine sehr gute Nachricht. Zwar bedeutet die Tatsache, dass ein Datenleck zustande gekommen ist, nicht automatisch, dass ein Unternehmen dieses auch durch nachlässige Speicherung zu verantworten hat. In der Praxis ist das aber häufig der Fall, was Sie als Verbraucher nun nicht einmal mehr nachweisen müssen. Im Gegenteil: Unternehmen müssen bei einem Rechtsstreit beweisen, dass Ihre Maßnahmen ausreichend waren.

Außerdem müssen Sie auch keine Schäden durch den Kontrollverlust nachweisen. Sie müssen weder aufzeigen, dass Cyberkriminelle Ihren Datensatz missbraucht haben, noch, dass hierfür eine unmittelbar bevorstehende Gefahr besteht. Es kann schon einen sog. „immateriellen Schaden“ darstellen, wenn Sie in Folge eines Verstoßes gegen die DSGVO befürchten, dass Ihre Daten missbraucht werden könnten. Die Beweislast verschiebt sich dadurch deutlich auf Unternehmensseite, was Klagen in der Rechtspraxis um ein Vielfaches einfacher macht.

Das entscheidet das Gericht je nach Einzelfall. Dabei orientiert es sich am Empfinden des Klägers. Je eher man sich gestört, verfolgt oder unsicher fühlt, desto höher fällt der Anspruch aus. Meist liegt dieser zwischen 1.000 und 5.000 Euro. Darüber hinaus können auch noch weitere Ansprüche begründet sein. Solche könnten beispielsweise vorliegen, wenn Sie durch das Datenleck tatsächlich materielle Schäden erleiden mussten.

Außerdem ist mit einem Urteil in der Regel ein Unterlassungsanspruch verbunden. Das würde dann bedeuten, dass Ihnen Facebook bzw. Meta nicht nur Schadensersatz zahlen muss, sondern auch in Zukunft dafür Sorge zu tragen hat, dass Ihr Datensatz nicht verloren geht. Sollte also in der Zukunft bei Facebook ein weiteres Datenleck zustande kommen, kann es sein, dass die Ansprüche auf Entschädigung sogar nochmals deutlich steigen.

Anfang April 2021 gab es einen großen Datendiebstahl bei Facebook, von dem circa 6 Millionen User aus Deutschland betroffen sind. Die gestohlenen Daten tauchten in Hackerforen auf. Dazu gehörten:

• Nutzernamen 
• E-Mail-Adressen 
• Telefonnummern  

Hinzu kommen zahlreiche weitere persönliche Angaben wie Geburtsdatum und Beziehungsstatus. Das hing aber auch davon ab, wie viele Daten Benutzer jeweils in Ihren Social-Media-Konten hinterlegt hatten. Weltweit sollen allein durch dieses Datenleck 533 Millionen sensible Kontaktdaten von Nutzern betroffen sein, darunter auch Daten von ca. 6 Millionen Nutzern aus Deutschland. Das sind ca. 20 Prozent der deutschen Nutzer. Dass Ihr Account dabei ist, ist also durchaus wahrscheinlich.

Zahlreiche Medien berichten, dass die Daten 2021 über eine Sicherheitslücke erbeutet wurden, die das Unternehmen nach eigenen Angaben bereits im August 2019 als geschlossen gemeldet hatte. Offenbar war das Problem aber entgegen der Behauptung gar nicht behoben. Schon damals waren u. a. Handynummern von Facebook-Profilen mittels einer „Scraping“ genannten Methode unverschlüsselt zugänglich.

Die europäische Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen dazu, die ihnen anvertrauten Daten zu schützen. In Anbetracht von Menge und Sensibilität der Daten würde man von einem Megakonzern wie Facebook erwarten, dass er diese gewissenhafter schützt. Wiederkehrende Sicherheitslücken wurden aber offenbar nicht ausreichend geschlossen und führen nun zu hohen Schadensersatzansprüchen.

Immer wieder unterschätzen Verbraucher die Gefahren, die vom Facebook-Datenleck und anderen Sicherheitslücken ausgehen. Viele können sich gar nicht vorstellen, welchen Schaden man mit einer einfachen Telefonnummer oder einer E-Mail-Adresse anrichten kann. Das Problem ist, dass die tatsächliche Gefahr erst noch folgt und Sie Vermögensschäden unter Umständen erst später erleiden.

Die Daten werden nun nämlich für betrügerische Spam-Nachrichten per SMS oder E-Mail missbraucht. Eines von vielen Beispielen sind gefälschte Paketbenachrichtigungen, die Betroffene über einen Link auf eine Malware-Seite umleiten. Da die Unbefugten konkrete Informationen vorliegen haben, sind die Nachrichten meist sehr glaubwürdig.

Wer vom Facebook-Leak betroffen ist, hat also ein hohes Risiko, Opfer von Cyberkriminellen zu werden, die personenbezogene Daten und Passwörter missbrauchen. Dabei kann es sich um Phishing-Attacken, Malware, Betrug, Erpressung oder Bedrohung handeln. Häufig sind die nun folgenden Nachrichten der Grundstein, um nach und nach an weitere Daten zu gelangen.

So dringen Unbefugte Schritt für Schritt immer tiefer in Ihre Privatsphäre ein. Häufig passiert das geduldig über längere Zeiträume, ohne das Wissen der Betroffenen. Sobald die Verbrecher beispielsweise Kontodaten erreichen, schlagen sie zu. Sie sollten deshalb Ihre E-Mail-Adresse und Telefonnummer auf ein Datenleck überprüfen lassen. Das geht einfach mit unserem Datenleck-Checker.

Unternehmen sind gemäß der Datenschutz-Grundverordnung (DSGVO) dazu verpflichtet, personenbezogene Daten zu schützen. Bei einer Datenpanne haben sie ebenfalls bestimmte Verpflichtungen, zum Beispiel Melde- und Auskunftspflichten. Durch das Auskunftsrecht gemäß Art. 15 DSGVO können Nutzer Auskunft darüber verlangen, ob sie von einem Datenleck betroffen sind.

Sind Sie vom Facebook-Datenleck betroffen, stehen die Chancen gut, dass Ihnen Schadensersatz bzw. „immaterieller Schadensersatz“ gemäß Art. 82 DSGVO zusteht. Immaterieller Schadensersatz bedeutet: Sie können eine Entschädigung dafür erhalten, dass Ihre Daten „geklaut“ wurden und in Umlauf geraten sind, auch wenn Ihnen (noch) kein unmittelbarer finanzieller Schaden durch Cyber-Attacken entstanden ist.

Wenn Ihr Datensatz im Facebook-Leak auftauchen, haben Sie grundsätzlich einen Schadensersatzanspruch gegen Meta, wie das Unternehmen heute heißt. Die Datenpanne ist ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO). Zunächst machen wir Ihre Ansprüche außergerichtlich geltend, was häufig schon ausreichen kann. Ob zur Durchsetzung Ihres Schadensersatzanspruchs eine Klage erforderlich und sinnvoll ist, besprechen wir im kostenlosen Erstgespräch.

Pflichtverletzungen und Verstöße gegen die DSGVO können fallabhängig einen Schadensersatzanspruch bis zu 5.000 Euro auslösen. Da durch die Datenpanne hochsensible persönliche Daten der Facebook-User an die Öffentlichkeit gelangten, ist ein entsprechend hoher Schadensersatzanspruch äußerst wahrscheinlich. Die Erfolgsaussichten hierfür sind gut, da die Lecks ausreichend belegt sind. Außerdem gab es bereits viele positive Urteile zugunsten geschädigter Verbraucher.

Nachfolgend eine Liste von Urteile zum Facebook-Datenleck, alphabetisch nach Gericht sortiert, mit Angabe des Aktenzeichens (Az.) und des zugesprochenen Schadensersatzes. Diese Liste ist stellt nur einen kleinen Auszug der Masse von Urteilen gegen Facebook dar.