BGH: Zum Leitentscheidungsverfahren

Zur Bestimmung eines Leitentscheidungsverfahrens gemäß § 552b ZPO in der Fassung des Gesetzes zur Einführung eines Leitentscheidungsverfahrens beim Bundesgerichtshof vom 24. Oktober 2024 (BGBl. I Nr. 328).

BGH, Beschluss vom 31. Oktober 2024 – VI ZR 10/24

1. Problemstellung

In den letzten Jahren war wiederholt, vor allem in sog. Massenverfahren, zu beobachten, dass kurz vor der anberaumten Revisionsverhandlung Revisionen zurückgenommen wurden, offenbar um eine grundsätzliche Klärung offener Rechtsfragen durch den BGH zu verhindern. Aktuell ist das in zwei sog. Scraping-Verfahren - Ansprüche im Zusammenhang mit einem Datenschutzvorfall beim sozialen Netzwerk Facebook - geschehen (Pressemitteilung des BGH Nr. 190/2024). Das zukünftig zu verhindern, ist Sinn des neuen Leitentscheidungsverfahrens gemäß § 552b ZPO.

2. Inhalt und Gegenstand der Entscheidung

Der Kläger macht Ansprüche wegen einer Verletzung der Datenschutz-Grundverordnung (DSGVO) durch die Beklagte geltend, die ihren Sitz in Irland hat und das soziale Netzwerk Facebook betreibt, bei welchem der Kläger ein Nutzerkonto unterhält. Der Kläger hatte auf dem Netzwerk persönliche Daten eingestellt, u.a. die für alle Nutzer stets öffentlich einsehbare Angabe seines Namens, Geschlechts sowie der ihm zugewiesenen Nutzer-ID. Neben diesen immer einsehbaren Pflichtangaben können die Nutzer in ihrem Profil weitere Daten zu ihrer Person angeben und im von der Beklagten vorgegebenen Rahmen darüber entscheiden, welche anderen Gruppen von Nutzern ("Freunde", [auch] "Freunde von Freunden", "öffentlich") auf diese Daten zugreifen können. Die Beklagte stellt hierfür Privatsphäre-Einstellungen zur Verfügung, mit denen die Nutzer bestimmen können, inwieweit sie Informationen, die sie zur Verfügung stellen, öffentlich einsehbar machen möchten. Der Kläger hatte in diesem Zusammenhang seine Arbeitsstätte öffentlich einsehbar angegeben, die Datenschutzeinstellung betreffend die Sichtbarkeit seiner Mobiltelefonnummer jedoch so gesetzt, dass diese nur für ihn sichtbar war. Bei den Suchbarkeitseinstellungen seines Profils, bei denen festgelegt werden konnte, wer ihn anhand seiner Telefonnummer finden kann, hatte der Kläger es bei der Standardvoreinstellung "alle" belassen; diesen Kreis hätte er stattdessen auch auf "Freunde von Freunden" oder "Freunde" (ab Mai 2019 außerdem: "nur ich") begrenzen können. War die Suchbarkeits-Einstellung eines Nutzers - wie beim Kläger - im Hinblick auf die Telefonnummer auf "alle" gestellt, erlaubte es die von der Beklagten implementierte sog. Kontakt-Import-Funktion bis September 2019 jedem Facebook-Nutzer, das Profil eines anderen Nutzers mit Hilfe der von diesem hinterlegten Telefonnummer zu finden. Hierzu konnten Nutzer Kontakte von Mobilgeräten auf Facebook hochladen, um mit Hilfe der Telefonnummern die jeweiligen Nutzer zu finden. Dies war auch dann möglich, wenn die Zielgruppenauswahl des jeweiligen Nutzers im Hinblick auf die Telefonnummer nicht auf "öffentlich", sondern etwa - wie hier - auf "nur ich" gestellt war.    

Im Zeitraum von Januar 2018 bis September 2019 ordneten unbekannte Dritte durch die Eingabe randomisierter Nummernfolgen über die Kontakt-Import-Funktion des Netzwerks Telefonnummern zu Nutzerkonten zu und griffen die zu diesen Nutzern vorhandenen Daten ab (sog. Scraping). Die auf diese Weise erlangten und nunmehr mit einer Telefonnummer verknüpften Daten von ca. 533 Millionen Nutzern wurden im April 2021 im Internet öffentlich verbreitet. Hiervon waren auch persönliche Daten des Klägers (Telefonnummer in Verknüpfung mit den Daten seines Nutzerkontos, d.h. Nutzer-ID, Vorname, Nachname, Geschlecht und Arbeitsstätte) betroffen. Der Kläger begehrt u.a. die Leistung von immateriellen Schadensersatz, weil die Beklagte in mehrfacher Hinsicht gegen die Datenschutz-Grundverordnung verstoßen und seine Daten nicht ausreichend geschützt habe. Er habe einen spürbaren Kontrollverlust über seine Daten erlitten, der zu einem massiven Anstieg von betrügerischen Kontaktversuchen geführt habe. Das Landgericht hat der Klage teilweise stattgegeben und dem Kläger aus Art. 82 Abs. 1 DSGVO Schadensersatz in Höhe von 250 € sowie einen Teil der begehrten Rechtsverfolgungskosten zugesprochen. Auf die vom Landgericht zugelassene Berufung der Beklagten hat das Oberlandesgericht die Entscheidung des Landgerichts unter Zurückweisung der Anschlussberufung des Klägers abgeändert und die Klage insgesamt abgewiesen (OLG Köln, Urteil vom 7. Dezember 2023 – I-15 U 67/23 ). Mit seiner vom OLG zugelassenen Revision verfolgt der Kläger seine Ansprüche weiter.  

Der Senat bestimmt das Verfahren zum Leitentscheidungsverfahren im Sinne des § 552b ZPO in der Fassung des Gesetzes zur Einführung eines Leitentscheidungsverfahrens beim Bundesgerichtshof vom 24. Oktober 2024 (BGBl. I Nr. 328). Die formalen Voraussetzungen zur Bestimmung des vorliegenden Verfahrens zum Leitentscheidungsverfahren liegen vor. Das Gesetz zur Einführung eines Leitentscheidungsverfahrens beim Bundesgerichtshof vom 24. Oktober 2024 ist am 31. Oktober 2024 in Kraft getreten. Die Revisionsbegründung des Klägers wurde der Beklagten am 8. April 2024 zugestellt, die Revisionserwiderung der Beklagten ist am 15. Oktober 2024 eingegangen (§ 552b Satz 1 ZPO nF). Eine Anhörung der Parteien im Rahmen der Bestimmung des Verfahrens zum Leitentscheidungsverfahren ist nicht erforderlich; etwas anderes würde auch die Zielsetzung des Gesetzes unterlaufen, eine zügige höchstrichterliche Klärung trotz der Rücknahme von Revisionen aus prozesstaktischen Gründen oder aufgrund eines Vergleiches zu ermöglichen.    

   a) Liegt in der Implementierung der sog. Kontakt-Import-Funktion in Verbindung mit der Standardvoreinstellung "alle" ein Verstoß der Beklagten gegen die Datenschutz-Grundverordnung im Sinne des Art. 82 Abs. 1 DSGVO?

   b) Ist der bloße Verlust der Kontrolle über die gescrapten und nunmehr mit der Mobiltelefonnummer des Betroffenen verknüpften Daten geeignet, einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO zu begründen? Falls ja, wie wäre der Ersatz für einen solchen Schaden zu bemessen?

   c) Welche Anforderungen sind an die Substantiierung einer Schadensersatzklage nach Art. 82 Abs. 1 DSGVO zu stellen?

   d) Reicht die bloße Möglichkeit des Eintritts künftiger Schäden in einem Fall wie dem vorliegenden aus, um ein Feststellungsinteresse im Sinne des § 256 Abs. 1 ZPO zu begründen?

   e) Genügen die vom Kläger gestellten Anträge, dass die Beklagte es unterlasse,

   - personenbezogene Daten der Klägerseite unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern, und

   - die Telefonnummer des Klägers auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf 'privat' noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert und, im Falle der Nutzung der Facebook-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird,

   dem Bestimmtheitsgebot des § 253 Abs. 2 Nr. 2 ZPO

Die Entscheidung dieser Rechtsfragen ist für eine Vielzahl anderer Verfahren von Bedeutung (§ 552b Satz 1 ZPO n.F.). Beim erkennenden Senat sind derzeit 25 weitere Revisionsverfahren zu dem Scraping-Vorfall bei der Beklagten anhängig. In den Tatsacheninstanzen sind bei unterschiedlichen Gerichten noch insgesamt mehrere tausend Verfahren anhängig.

3. Kontext der Entscheidung

In den sog. Massenverfahren – Verbraucherklagen etwa im Diesel-Skandal oder wegen unzulässiger Klauseln in Fitnessstudio-, Versicherungs- oder Bankverträgen - stellen sich meist die gleichen entscheidungserheblichen Rechtsfragen. Sind diese Rechtsfragen durch den Bundesgerichtshof höchstrichterlich geklärt, können gleichgelagerte Verfahren, die bei den Instanzgerichten noch anhängig sind, anhand dieser Leitentscheidung ohne weiteres zügig entschieden werden. Bisher konnten jedoch durch Rücknahme von Revisionen oder aufgrund eines Vergleichs höchstrichterliche Entscheidungen verhindert werden. Ohne eine höchstrichterliche Klärung blieben die Instanzgerichte jedoch immer wieder mit neuen Verfahren zu gleichgelagerten Sachverhalten belastet. Für eine effiziente Erledigung von Massenverfahren war es daher erforderlich, dass auch in Fällen der Revisionsrücknahme oder der sonstigen Erledigung der Revision zentrale Rechtsfragen zügig durch den Bundesgerichtshof geklärt werden können (BTDrs 20/8762, 10). Diesem Zweck dient das Leitentscheidungsverfahren, das in dem neu geschaffenen § 552b ZPO kodifiziert worden ist. Wird in einem Massenverfahren Revision eingelegt, so kann das Revisionsgericht – im Regelfall: der Bundesgerichtshof - dieses Verfahren zu einem Leitentscheidungsverfahren bestimmen. Aus den bei ihm anhängigen Revisionen kann das Revisionsgericht ein geeignetes Verfahren auswählen, das ein möglichst breites Spektrum an offenen Rechtsfragen bietet, die er, wie bisher, selbst identifizieren kann. Die Instanzgerichte können bei ihnen anhängige Parallelverfahren mit Zustimmung der Parteien währenddessen aussetzen. Das Revisionsgericht entscheidet über die Rechtsfragen in Form der Leitentscheidung auch dann, wenn die Parteien die Revision zurücknehmen oder sich das Revisionsverfahren auf andere Weise erledigt. Die Leitentscheidung entfaltet dabei keinerlei formale Bindungswirkung und hat auch keine Auswirkungen auf das der Leitentscheidung zugrundeliegende konkrete Revisionsverfahren, dient jedoch den Instanzgerichten und der Öffentlichkeit als Richtschnur und Orientierung dafür, wie die Entscheidung der Rechtsfragen gelautet hätte. Ob über das neue Verfahren die gewünschte Entlastung der Instanzgerichte eintreten wird, erscheint fraglich. Denn in der Regel dauert es geraume Zeit, bis eine „Klagewelle“ in der Revisionsinstanz angekommen ist. Dies gilt erst recht für eine repräsentative Zahl von Revisionen, aus denen für andere Verfahren entscheidungserhebliche Rechtsfragen erkennbar werden (Feskorn MDR 2024, 1413ff., 1417). Die Leitentscheidung verhindert somit allein eine Flucht der Prozessparteien aus der Revision. Darüber hinaus wird die Klärung von Rechtsfragen durch das Revisionsgericht weder erleichtert noch beschleunigt (Vollkommer NJW 2024, 3257ff., 3259).

4. Auswirkungen für die Praxis

Mit Urteil vom 18. November 2024 hat der Senat das Berufungsurteil teilweise aufgehoben und die Sache zur neuen Verhandlung und Entscheidung an das Berufungsgericht zurückverwiesen: Der Anspruch des Klägers auf Ersatz immateriellen Schadens lässt sich mit der Begründung des Berufungsgerichts nicht verneinen. Nach der für die Auslegung des Art. 82 Abs. 1 DSGVO maßgeblichen Rechtsprechung des EuGH kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung ein immaterieller Schaden im Sinne der Norm sein. Weder muss insoweit eine konkrete missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen. Erfolg hatte die Revision auch, soweit das Berufungsgericht die Anträge des Klägers auf Feststellung einer Ersatzpflicht für zukünftige Schäden, auf Unterlassung der Verwendung seiner Telefonnummer, soweit diese nicht von seiner Einwilligung gedeckt ist, und auf Ersatz seiner vorgerichtlichen Rechtsanwaltskosten abgewiesen hat. Entgegen der Auffassung des Berufungsgerichts fehlt es nicht an dem notwendigen Feststellungsinteresse des Klägers, da die Möglichkeit des Eintritts künftiger Schäden unter den Umständen des Streitfalles ohne Weiteres besteht. Der genannte Unterlassungsanspruch ist hinreichend bestimmt und dem Kläger fehlt insoweit auch nicht das Rechtsschutzbedürfnis. Im Übrigen (weiterer Unterlassungsantrag und Auskunftsantrag) blieb die Revision hingegen ohne Erfolg. Für die weitere Prüfung hat der Bundesgerichtshof das Berufungsgericht zum einen darauf hingewiesen, dass die von der Beklagten vorgenommene Voreinstellung der Suchbarkeitseinstellung auf "alle" nicht dem Grundsatz der Datenminimierung entsprochen haben dürfte, wobei das Berufungsgericht ergänzend die Frage einer wirksamen Einwilligung des Klägers in die Datenverarbeitung durch die Beklagte zu prüfen haben wird. Zum anderen hat der Bundesgerichtshof Hinweise zur Bemessung (§ 287 ZPO) des immateriellen Schadens aus Art. 82 Abs. 1 DSGVO erteilt und ausgeführt, warum unter den Umständen des Streitfalles von Rechts wegen keine Bedenken dagegen bestünden, den Ausgleich für den bloßen Kontrollverlust in einer Größenordnung von 100 € zu bemessen (PM 2018/2024). Da das Verfahren durch streitige Entscheidung beendet worden und ein mit Gründen versehenes Urteil ergangen ist, brauchte der Senat keine Leitentscheidung gemäß § 565 ZPO zu treffen. Eine Aussetzung von bei Instanzgerichten anhängigen Parallelverfahren, wie sie der neu geschaffene § 148 Abs. 4 ZPO erlaubt, war ebenfalls nicht nötig.

‍