BGH bestätigt Schadensersatzansprüche für Verbraucher im Facebook-Datenleck

Datum der Veröffentlichung: 12. November 2024

Der Bundesgerichtshof (BGH) hat in einer Leitentscheidung zur DSGVO eine klare Linie gezogen: Der bloße Verlust der Kontrolle über persönliche Daten stellt bereits einen Schaden dar, der Schadensersatzansprüche begründet. Diese Entscheidung im Rahmen der mündlichen Verhandlung zur Klage gegen Facebooks Mutterkonzern Meta schafft Rechtssicherheit für Betroffene und gibt Gerichten in Deutschland eine dringend benötigte Orientierung. Sie betrifft nicht nur die Klage von Nutzern des sozialen Netzwerks, sondern könnte auch auf zukünftige Fälle ähnlicher Datenlecks anwendbar sein.


Was hat der BGH genau entschieden?


Der BGH stellte fest, dass bereits der Kontrollverlust über personenbezogene Daten, also der Umstand, dass die betroffene Person die Hoheit über ihre eigenen Daten verliert, einen Schaden im Sinne der DSGVO darstellt. Damit erübrigt sich die bislang geforderte Bedingung, dass Betroffene weitere psychische Belastungen oder eine konkrete Missbrauchsgefahr nachweisen müssen. Der BGH schließt sich damit den Urteilen des Europäischen Gerichtshofs (EuGH) an, die die Hürden für Betroffene erheblich gesenkt haben.



Diese Entscheidung ist insbesondere für Millionen Facebook-Nutzer relevant, deren Daten im Rahmen des „Facebook-Datenlecks“ kompromittiert wurden. Durch eine Sicherheitslücke, die Facebook 2021 eingeräumt hatte, gelangten Informationen wie Telefonnummern, E-Mail-Adressen und weitere sensible Daten von über 500 Millionen Nutzern weltweit – darunter etwa sechs Millionen deutsche Facebook-Nutzer – ins Darknet. In Deutschland betroffene Personen sehen sich seitdem einem erhöhten Risiko ausgesetzt, Opfer von Phishing und Identitätsdiebstahl zu werden.


Hintergrund: Das Facebook-Datenleck und seine Auswirkungen


Das Facebook-Datenleck aus dem Jahr 2021 ist ein besonders schwerwiegendes Beispiel für unzureichenden Datenschutz. Eine Schwachstelle ermöglichte es Kriminellen, über Facebooks Kontakt-Import-Funktion Daten wie Telefonnummern, E-Mail-Adressen und teilweise persönliche Angaben wie Beziehungsstatus und Arbeitsort zu extrahieren und zu veröffentlichen. Diese Daten gerieten in die Hände Unbefugter und wurden schließlich im Darknet veröffentlicht, wo sie kriminellen Aktivitäten Vorschub leisten könnten.

Für Betroffene ist das Facebook-Datenleck weitreichender als ein einmaliger Verstoß. Die Veröffentlichung im Darknet kann langfristige Konsequenzen haben, da die Daten wiederholt für betrügerische Aktivitäten genutzt werden können. Besonders problematisch ist hierbei, dass die Datenlecks durch internationale Netzwerke und durch die digitale Reichweite global Auswirkungen haben. In diesem Zusammenhang hat der BGH heute die Forderung erhoben, dass Betroffene des Datenlecks – wie auch künftige Opfer ähnlicher Vorfälle – keine unverhältnismäßigen Nachweise für ihre psychische Belastung erbringen müssen, um einen DSGVO-Schadensersatz zu erhalten.


Rechtssicherheit für Betroffene


Die Entscheidung des BGH hat eine klare Signalwirkung für Betroffene: Wer die Kontrolle über seine persönlichen Daten verliert, kann nun einen Schadensersatzanspruch geltend machen, ohne umfassende Begründungen zur individuellen Beeinträchtigung beizufügen. Diese Rechtssicherheit wird von Datenschutzexperten begrüßt, da sie für die Gerichte eine einheitliche Linie vorgibt und weiteren Abweichungen, wie sie zuvor auf der Ebene der Landesgerichte zu beobachten waren, entgegenwirkt.

Praktische Schritte für Betroffene


  1. Überprüfung der eigenen Daten: Verbraucher, die die Plattform Facebook nutzen, können prüfen, ob sie selbst von dem Datenleck betroffen sind. Dafür stehen verschiedene Online-Tools zur Verfügung, die anhand der Mobilnummer eine Prüfung durchführen können.
  2. Schadensersatz geltend machen: Betroffene sollten ihre Ansprüche auf Schadensersatz prüfen und sich gegebenenfalls rechtlich beraten lassen, um sicherzustellen, dass alle relevanten Informationen dokumentiert werden.
  3. Sicherheitsmaßnahmen im Alltag: Es ist ratsam, regelmäßig die eigenen Datenschutz- und Sicherheitseinstellungen auf Plattformen wie Facebook und anderen sozialen Netzwerken zu überprüfen und anzupassen.


Hier geht es zum Ratgeber "Datenlecks bei Facebook – So prüfst du, ob deine Daten betroffen sind"

Haftung auch für potenzielle Schäden


Neben der Anerkennung des Kontrollverlusts als schadenbegründend hat der BGH auch die Frage künftiger Schäden berücksichtigt. Durch die Veröffentlichung im Darknet könnte es in der Zukunft zu weiteren Angriffen, etwa durch Phishing, Identitätsdiebstahl oder andere kriminelle Aktivitäten, kommen. Der BGH entschied, dass auch diese möglichen, noch nicht eingetretenen Schäden durch das Datenleck schadensersatzpflichtig sind. Unternehmen wie Facebook bzw. Meta haften damit nicht nur für den konkreten Schaden, sondern auch für alle Folgen, die sich potenziell noch aus der Veröffentlichung der Daten im Darknet ergeben können. Auch besteht die Möglichkeit, dass Betroffene Unterlassungsansprüche geltend machen können, um Facebook und ähnliche Anbieter in Zukunft zu strikterem Datenschutz zu verpflichten.


Das Verfahren: Wichtige Schritte und mögliche Fortsetzung


Der BGH verwies den Fall nun an das Oberlandesgericht Köln zurück, welches die genaue Höhe des Schadensersatzes festlegen und die Verantwortlichkeiten weiter prüfen soll. Das Oberlandesgericht Köln hatte zuvor in der Berufungsinstanz die Klage abgewiesen, da es die Voraussetzung des Schadensersatzes enger auslegte und verlangte, dass ein konkreter Missbrauch oder eine psychische Belastung der Betroffenen nachgewiesen werden muss. Der BGH hat diese eng gefasste Auslegung nun korrigiert und klargestellt, dass die Verletzung des Selbstbestimmungsrechts über persönliche Daten ausreicht, um einen Anspruch auf Entschädigung zu begründen.


Das Verfahren könnte in den kommenden Jahren erneut vor dem BGH landen, falls das Oberlandesgericht Köln die konkrete Bemessung des Schadensersatzes trifft und dabei erneut Rechtsfragen aufwirft, die durch das oberste Gericht zu entscheiden wären. Bis dahin hat der BGH eine rechtliche Grundlage geschaffen, die es ermöglicht, dass auch künftige Fälle zügiger und verbraucherfreundlicher entschieden werden.


Die Bedeutung der Entscheidung im europäischen Kontext


Der BGH bezieht sich in seinem Urteil auf die Rechtsgrundlagen, die der Europäische Gerichtshof (EuGH) geschaffen hat. Der EuGH hatte bereits mehrfach betont, dass die DSGVO dem Schutz personenbezogener Daten höchsten Wert beimisst und dass dieser Schutz unabhängig davon gilt, ob konkrete Schäden im Einzelfall bereits eingetreten sind. In seiner Entscheidung betont der BGH, dass der bloße Kontrollverlust über die eigenen Daten nicht als geringfügiger Verstoß angesehen werden kann, da die DSGVO ausdrücklich eine „Ausgleichsfunktion“ für Betroffene vorsieht.


Mit der Entscheidung wird zudem die Rechtssicherheit auf europäischer Ebene erhöht, da auch Gerichte in anderen EU-Staaten die Entscheidung des BGH als Orientierungshilfe nutzen können. Die Entscheidung könnte somit dazu beitragen, eine europaweit einheitlichere Handhabung des Datenschutzes und der Schadensersatzansprüche bei Datenverlust zu schaffen.


Konsequenzen für Unternehmen


Die Entscheidung ist auch ein starkes Signal an Unternehmen, ihre Datenschutzrichtlinien zu überprüfen und bestehende Sicherheitsmaßnahmen gegebenenfalls anzupassen. Die Haftungsrisiken bei Datenschutzverletzungen sind durch die Entscheidung des BGH deutlich gestiegen, und die Aussicht auf Schadensersatzansprüche in Millionenhöhe wird Unternehmen dazu anregen, Maßnahmen zum Schutz personenbezogener Daten strenger umzusetzen. Die Kosten, die durch eine potenzielle Verletzung entstehen könnten, machen es für viele Unternehmen wirtschaftlich ratsam, präventiv in Datenschutzmaßnahmen zu investieren.

Aktuelle Themen

12. September 2025
Worum es wirklich geht Viele digitale Angebote wirken gebührenfrei. In Wahrheit fließt häufig eine klare Gegenleistung. Verbraucher bezahlen nicht mit Euro, sondern mit personenbezogenen Daten. Genau das erkennt unser Gesetz seit 2022 ausdrücklich an. Wo Daten die Gegenleistung sind, greifen die speziellen Verbraucherrechte für digitale Produkte voll. Das schafft Ordnung im Markt, stärkt Transparenz und zwingt Anbieter zu Qualität. Die Bundesverbraucherhilfe benennt die Regeln, ordnet sie ein und formuliert Erwartungen an Unternehmen, die in Deutschland ernst genommen werden wollen. Der rechtliche Ankerpunkt Der Kern steht in § 327 BGB. Die Vorschriften der §§ 327 bis 327u BGB gelten für Verbraucherverträge über digitale Produkte. Das umfasst digitale Inhalte wie Programme, E Books, Musik und Spiele sowie digitale Dienstleistungen wie Cloud Angebote oder Apps. Nach § 327 Abs. 3 BGB gilt dies ausdrücklich auch dann, wenn der Verbraucher als Gegenleistung personenbezogene Daten bereitstellt oder sich hierzu verpflichtet. Damit wird die Datenhingabe rechtlich wie ein Preis behandelt. Ausgenommen sind Konstellationen, in denen der Unternehmer die bereitgestellten Daten ausschließlich verarbeitet, um seine Leistungspflicht oder gesetzliche Vorgaben zu erfüllen. Europäische Herkunft und wirtschaftlicher Hintergrund Die deutsche Regelung setzt die EU Richtlinie 2019 770 über digitale Inhalte und digitale Dienstleistungen um. Diese Richtlinie stellt klar, dass Modelle Daten gegen Leistung in den Anwendungsbereich fallen. Ziel ist es, einheitliche Standards zu schaffen und die vertraglichen Rechte von Verbrauchern auch bei vermeintlich kostenlosen Angeboten abzusichern. Der Markt erhält damit klare Spielregeln für Konformität, Aktualität und Rechtsbehelfe. Was genau als Gegenleistung zählt Als Gegenleistung gelten personenbezogene Daten, die der Verbraucher einem Unternehmer überlässt, damit dieser sie für wirtschaftliche Zwecke nutzt. Typische Beispiele sind die Bereitstellung von Namen, Kontakt und Geburtsdatum, um Marketing zu ermöglichen oder Profile zu monetarisieren. Nicht vom Gegenleistungsmodell erfasst sind Daten, die ausschließlich zur Erfüllung der Leistung oder zur Einhaltung rechtlicher Pflichten benötigt werden. Diese Abgrenzung steht sowohl in § 312 Abs. 1a BGB für die allgemeinen Verbraucherregeln als auch im System der §§ 327 ff. BGB. Dadurch gelten Informationspflichten und Widerrufsregeln auch dann, wenn ein Angebot mit Daten bezahlt wird. Die zentralen Rechte bei Daten als Preis Wer mit Daten zahlt, erhält nahezu das volle Paket an Gewährleistungsrechten für digitale Produkte. Das beginnt mit dem Anspruch auf ein mangelfreies digitales Produkt im Sinne von § 327e BGB und reicht über Nacherfüllung, Vertragsbeendigung und Schadensersatz bis zur Beweislastumkehr. Das System ist bewusst am Kaufrecht orientiert, jedoch auf digitale Besonderheiten zugeschnitten. Ein Schwerpunkt ist die Aktualisierungspflicht. § 327f BGB verpflichtet den Unternehmer, während des maßgeblichen Zeitraums notwendige Updates bereitzustellen und Verbraucher hierüber zu informieren. Dazu zählen auch Sicherheitsaktualisierungen. Unterbleiben erforderliche Updates, liegt ein Mangel vor. Für Verbraucher bedeutet das, dass auch eine scheinbar kostenlose App über die gesamte Nutzungsdauer sicher und funktionsfähig gehalten werden muss. Minderung oder Kündigung Die Minderung ist der klassische Weg, den Preis bei Mängeln zu reduzieren. § 327n BGB erlaubt die Minderung jedoch nur, wenn tatsächlich ein Geldpreis geschuldet ist. Wer ausschließlich mit Daten bezahlt, kann folgerichtig nichts mindern. In diesen Fällen ist die konsequente Lösung die Vertragsbeendigung. Das Gesetz will hier Klarheit statt Scheinlösungen. Kommentar und Gesetzesbegründung bestätigen dies. Besonders stark ist der Kündigungsschutz: § 327m Abs. 2 Satz 2 BGB hebt die Erheblichkeitsschwelle für Verträge mit Daten als Gegenleistung auf. Das bedeutet, dass Verbraucher bei kleineren Mängeln nicht an Verträge gefesselt bleiben. Sie dürfen beenden, selbst wenn der Mangel an sich gering wäre. In der Praxis erhöht das den Druck auf Anbieter, mangelfreie digitale Produkte zu liefern und die Qualität dauerhaft zu halten. Abgrenzungen und echte Ausnahmen Nicht jeder Datenaustausch aktiviert das System der §§ 327 ff. BGB. Ausgenommen sind etwa Verträge über freie und quelloffene Software, wenn der Verbraucher keinen Preis zahlt und der Unternehmer personenbezogene Daten ausschließlich zur Verbesserung von Sicherheit, Kompatibilität oder Interoperabilität der Software verarbeitet. Diese Ausnahme soll Innovation im Open Source Umfeld schützen und trägt der gemeinschaftlichen Entwicklungskultur Rechnung. Entscheidend ist die strikte Zweckbindung. Wird darüber hinaus monetarisiert, greift wieder das volle Regime. Schnittstelle zum Datenschutzrecht Die Verbraucherverträge mit Daten als Gegenleistung müssen datenschutzrechtlich tragfähig sein. Eine Einwilligung ist nur gültig, wenn sie freiwillig ist. Das Kopplungsverbot in Artikel 7 Absatz 4 der Datenschutz Grundverordnung und Erwägungsgrund 43 setzen enge Maßstäbe. Eine Dienstleistung darf nicht von einer Einwilligung in eine zusätzliche, für die Vertragserfüllung nicht erforderliche Datenverarbeitung abhängig gemacht werden. Die europäischen Aufsichtsbehörden bekräftigen diese Linie. Unternehmen, die auf Daten als Gegenleistung setzen, müssen Einwilligungen getrennt einholen, Zwecke klar darstellen und echte Wahlfreiheit bieten. Andernfalls sind die Geschäftsmodelle rechtlich unhaltbar. Praxisrelevante Folgen für Verbraucher Wer eine scheinbar kostenlose App nutzt, darf eine mangelfreie Leistung und ordnungsgemäße Updates erwarten. Kommt es zu Störungen, ist der erste Schritt die Nacherfüllung. Bleiben Mängel bestehen, kann bei Daten als Gegenleistung die Vertragsbeendigung erklärt werden. Der Anbieter muss dann die Verarbeitung der bereitgestellten Daten für die vertraglichen Zwecke einstellen und die gesetzlichen Löschpflichten beachten. Eine Minderung kommt nur in Betracht, wenn zusätzlich Geld geflossen ist. Für Verbraucher lautet die klare Leitlinie, die Einwilligungstexte zu lesen, den Update Status zu beobachten und Mängel strukturiert zu dokumentieren. Das erhöht die Durchsetzungskraft. Erwartungen der Bundesverbraucherhilfe an den Markt Wir verlangen von der Digitalwirtschaft kompromisslose Klarheit. Wer mit Daten bezahlt, muss dieselbe Verlässlichkeit erhalten wie beim klassischen Kauf gegen Geld. Anbieter haben saubere Opt-in-Prozesse zu etablieren, Zweckbindungen real zu leben und Updatepflichten planbar zu erfüllen. Geschäftsmodelle, die Qualität aufschieben oder Einwilligungen verstecken, sind nicht marktfähig. Gleichzeitig erwarten wir von der Politik Rechtssicherheit statt weiterer Regelflut. Die §§ 327 ff. BGB und die EU Vorgaben bilden einen ausbalancierten Rahmen. Entscheidend ist die konsequente Anwendung in der Aufsicht und die Durchsetzung durch Zivilgerichte, nicht die nächste Reformwelle. Fazit Kostenlos ist im Digitalen die Ausnahme. Wer mit Daten zahlt, erhält dafür ausgewachsene Rechte. § 327 Abs. 3 BGB macht die Datenhingabe zum Preis und aktiviert die Gewährleistungsmechanik für digitale Produkte. Updates sind Pflicht. Minderung setzt einen Geldpreis voraus. Bei Daten als Gegenleistung steht die Vertragsbeendigung schon bei kleineren Mängeln offen. Ausnahmen gelten eng und zweckgebunden, etwa bei frei lizenzierter Software, die ausschließlich aus Sicherheits- und Kompatibilitätsgründen Daten verarbeitet. Parallel sichert das Datenschutzrecht die Freiwilligkeit der Einwilligung ab. Diese Kombination stärkt Verbraucher und schafft faire Wettbewerbsbedingungen für ernsthafte Anbieter.
18. August 2025
Tomorrow im Fokus: Whitelabel-Konstruktionen im Bankensektor schaffen systemische Risiken Die Bundesverbraucherhilfe e.V. hat in den vergangenen drei Jahren fortlaufend Verbraucherbeschwerden dokumentiert, die über unser Beschwerdeformular, per E-Mail und telefonisch eingegangen sind. Ergänzend haben wir öffentlich zugängliche Erfahrungsberichte auf Portalen wie Finanzfluss ausgewertet, wo zum Stand August 2025 insgesamt 50 Bewertungen für Tomorrow verzeichnet sind – 38 Prozent davon negativ, mit einer Durchschnittsbewertung von 3,1 von 5 Punkten. Die Analyse zeigt wiederkehrende Muster: blockierte Guthaben, verweigerte Auszahlungen, nicht nachvollziehbare Kontosperren und massives Versagen im Kundenservice. Das eigentliche Problem liegt jedoch tiefer : Kunden von Whitelabel-Anbietern schließen ihre Vertragsbeziehung grundsätzlich nicht mit einer Bank ab, sondern mit einem Unternehmen ohne eigene Banklizenz. Die eigentlichen Bankgeschäfte werden im Falle von Tomorrow-Kunden im Hintergrund von der Solaris SE abgewickelt. Diese Konstruktion mag rechtlich zulässig sein, sie ist jedoch aus unserer Sicht hochgradig ineffizient und für Verbraucher intransparent. Denn während Tomorrow als Marke nach außen auftritt, sind die entscheidenden Prozesse – von der Freigabe von Überweisungen bis hin zu Pfändungsschutzkonten – von Solaris abhängig. Verbraucher haben jedoch keinen Zugang zu Solaris, keine Ansprechpartner und keine Möglichkeit, mit den tatsächlichen Entscheidungsträgern zu kommunizieren. Damit entsteht ein System der Verantwortungslosigkeit: Tomorrow verweist auf Prozesse von Solaris und Solaris ist für Verbraucher nicht erreichbar. Kritik an Whitelabel-Strukturen im Bankensektor Whitelabel-Banking bedeutet: Ein Unternehmen wirbt Kunden, baut eine Marke auf, verwaltet die Oberfläche – die eigentlichen Bankgeschäfte laufen über eine externe Lizenzbank. Für Verbraucher führt dieses Modell dazu, dass Probleme mit Bankbezug weitergereicht werden müssen. Genau dies spiegelt sich in den dokumentierten Beschwerden wider: verzögerte Auszahlungen, blockierte Guthaben, intransparente Prüfungen, mangelnde Erreichbarkeit. Dieses System gefährdet nicht nur die Rechte einzelner Verbraucher, sondern untergräbt das Vertrauen in den gesamten Finanzsektor. Denn Banken müssen für Verlässlichkeit stehen. Wer aber mit einem Unternehmen Verträge schließt, das selbst gar keine Bankgeschäfte durchführen darf, wird strukturell in eine Abhängigkeit gedrängt, in der Transparenz und Verantwortlichkeit fehlen. Unsere Forderung: Keine Whitelabels im Bankensektor Die Bundesverbraucherhilfe e.V. fordert eine klare politische Korrektur: Im Bankensektor darf es keine Whitelabel-Konstruktionen geben. Wer Konten anbietet, muss selbst über eine Banklizenz verfügen, direkte Verantwortung gegenüber Verbrauchern übernehmen und für Transparenz im gesamten Prozess sorgen. Nur so ist gewährleistet, dass Verbraucherrechte jederzeit durchgesetzt werden können und dass Entscheidungen nachvollziehbar und rechtssicher erfolgen. Es muss mindestens eine modifizierte BaFin-Lizenz für solche Anbieter eingeführt werden. Nur unter strengen Aufsichtskriterien sollten Bankgeschäfte vertrieben werden dürfen – ähnlich wie bei Assekuradeuren im Versicherungswesen oder bei Versicherungsgesellschaften in Kooperation mit Rückversicherern. Eine völlige Lizenzfreiheit für diese Marktakteure führt zu Intransparenz und Risiken, die im Finanzsektor nichts zu suchen haben. Botschaft des Präsidiums: „Die Erkenntnisse über Tomorrow zeigen nicht nur operative Schwächen, sondern offenbaren ein strukturelles Problem im Finanzsektor. Verträge werden mit einem Unternehmen geschlossen, das gar keine Banklizenz besitzt. Verbraucher zahlen den Preis dafür, dass Prozesse stocken und Verantwortlichkeiten verschwimmen. Irgendwann ist der Punkt erreicht, an dem wir dieses Modell nicht mehr akzeptieren können. Unsere Forderung ist klar: Keine Whitelabels im Bankensektor. Wer Bank sein will, muss Bank sein – mit allen Rechten und Pflichten gegenüber den Verbrauchern.“ – Ricardo Dietl, Präsident der Bundesverbraucherhilfe e.V. (selbst Betroffener von Tomorrow)
11. April 2025
CDU, CSU und SPD haben sich auf einen ambitionierten Kurs verständigt: Der Koalitionsvertrag 2025 setzt klare Prioritäten – wirtschaftliche Erneuerung, technologieoffener Klimaschutz, eine modernisierte Bundeswehr, ein digitaler Staat und gezielte Entlastungen für Familien, Arbeitnehmende und Rentner. Neben einer neuen Gründerfreundlichkeit und einem massiven Ausbau der Energie- und Wasserstoffinfrastruktur verspricht das Bündnis auch Fortschritte bei der Wohnraumschaffung, der Rentensicherheit, dem Bürokratieabbau und der frühkindlichen Bildung. Der Sozialstaat wird reformiert, Asylverfahren beschleunigt, und die Verwaltungsmodernisierung auf allen Ebenen angepackt. Zugleich bleibt die Handschrift einer stabilitätsorientierten Haushaltspolitik mit Schuldenbremse erkennbar. Verbraucher können sich auf verbesserte Verbraucherrechte im digitalen Raum, fairere Steuersätze und mehr Transparenz bei Lebensmitteln und Dienstleistungen einstellen. Die größten Investitionen werden in Verteidigung, Klima, Infrastruktur und Bildung fließen – vergleichsweise gering bleibt der Aufwand bei Justiz, Kultur und Ehrenamt. Wer alle Inhalte im Detail, aber in leicht verständlicher Sprache nachlesen möchte, findet unsere vollständige Zusammenfassung zum Download hier: