BGH-Urteil zum Facebook-Scraping: Kontrollverlust ist Schaden

Der Bundesgerichtshof hat am 18.11.2024 entschieden: Wer beim Facebook-Scraping die Kontrolle über seine Daten verloren hat, hat einen Schaden nach Art. 82 DSGVO BGH VI ZR 10/24. Ein Missbrauch der Daten muss nicht hinzukommen. Geld hat der BGH selbst nicht zugesprochen. Für den bloßen Kontrollverlust hielt er rund 100 € für rechtlich unbedenklich.

Was beim Facebook-Scraping passiert ist

Scraping heißt: Daten werden automatisiert und massenhaft eingesammelt. Das ist kein Hack. Die Täter haben keine Sicherung geknackt, sondern eine vorhandene Funktion in großem Stil ausgenutzt.

Facebook ließ je nach Suchbarkeits-Einstellung zu, ein Profil über die Telefonnummer zu finden. Unbekannte gaben über die Kontakt-Import-Funktion massenhaft zufällige Ziffernfolgen ein, ordneten so Telefonnummern den passenden Konten zu und griffen die dort öffentlich sichtbaren Daten ab. Anfang April 2021 wurden die Daten von rund 533 Millionen Nutzern im Internet veröffentlicht. Beim Kläger waren es Nutzer-ID, Vor- und Nachname, Arbeitsstätte und Geschlecht, verknüpft mit seiner Telefonnummer BGH VI ZR 10/24.

Abgegriffen wurden die Daten 2018 und 2019, betroffen sein sollen rund sechs Millionen Konten in Deutschland Verbandsklageregister.

Das LG Bonn sprach dem Kläger 250 € zu LG Bonn 13 O 125/22. Das OLG Köln wies die Klage ganz ab: Der bloße Kontrollverlust sei kein Schaden, und mehr habe der Kläger nicht dargelegt OLG Köln 15 U 67/23.

Was der BGH entschieden hat

• Schaden: Schon der bloße, auch kurzzeitige Verlust der Kontrolle über personenbezogene Daten ist ein immaterieller Schaden, auf der Linie des EuGH. Missbrauch oder weitere spürbare Folgen sind nicht nötig.
• Künftige Schäden: Der Antrag festzustellen, dass Facebook auch für spätere Schäden haftet, durfte nicht abgewiesen werden.
• Unterlassung: Ebenso der Antrag, die Telefonnummer ohne gedeckte Einwilligung nicht mehr zu verwenden.

Über den Ausgang entscheidet wieder das OLG Köln, mit Hinweisen des BGH: Die Voreinstellung der Suchbarkeit auf „alle“ dürfte gegen die Datenminimierung verstoßen haben, den Grundsatz, nur so viele Daten zu verarbeiten wie nötig. Ob der Kläger wirksam eingewilligt hat, soll das OLG prüfen BGH VI ZR 10/24.

Die Höhe darf das Gericht schätzen § 287 ZPO. Für den bloßen Kontrollverlust unter den Umständen des Falls hatte der BGH keine rechtlichen Bedenken gegen einen Betrag:

Bei geringem Schaden gibt es nur geringen Ersatz, abschrecken soll der Anspruch nicht BGH VI ZR 10/24, Rn. 96 f.. Kommt mehr hinzu, kann der Betrag höher liegen BGH VI ZR 10/24, Rn. 101.

Was der BGH nicht entschieden hat

• Keinen Betrag. Die 100 € sind ein Hinweis an das Berufungsgericht für diesen Fall, kein Urteil über eine Zahlung und kein Tarif.
• Nicht, dass jeder Facebook-Nutzer Geld bekommt. Wer klagt, muss beweisen, dass seine Daten im Leak sind. Das OLG Köln wies 2025 eine Klage ab, weil der Kläger nur das Ergebnis eines Online-Prüfdienstes vorlegte OLG Köln 6 U 11/25.
• Nichts zur Verjährung.
• Nichts zum Verkauf von Ansprüchen. Ob Art.-82-Ansprüche abgetreten werden dürfen, liegt noch beim BGH BGH VI ZR 257/24.

Die BGH-Urteile seitdem

Der BGH hat die Linie seitdem mehrfach bestätigt und eingegrenzt.

Kontrollverlust ist ein Schaden, muss aber bewiesen werden, eine Werbe-E-Mail allein reicht nicht BGH VI ZR 109/23. Ein rein hypothetisches Risiko wie ein unverschlüsseltes Fax ist kein Schaden BGH VI ZR 186/22. Wurden Daten beim früheren Dienstleister gehackt und im Darknet angeboten, ist das ein Schaden, und frühere Leaks derselben Daten betreffen nur die Höhe BGH VI ZR 396/24. 2026 bejahte er den Schaden auch bei einer bestrittenen Forderung, die an die SCHUFA gemeldet wurde BGH VI ZR 375/24, und bei einer fehlgeleiteten Bewerbernachricht BGH VI ZR 97/22. Die Höhe verwies er jeweils zurück, einen eigenen Betrag setzte er in keiner dieser Entscheidungen fest.

Wie die Oberlandesgerichte seitdem urteilen

Die 100 € sind Ausgangspunkt, je nach Fall geht es darunter oder darüber:

• 200 € beim OLG Hamm wegen Sorgen und Spam-Belastung, der Veröffentlichung im Darknet und der nicht absehbaren Dauer des Kontrollverlusts OLG Hamm 11 U 44/24.
• 100 € beim OLG Köln. Die übrigen Daten waren ohnehin öffentlich, verloren war nur die Kontrolle über die Rufnummer OLG Köln 15 U 41/23.
• 200 € beim OLG Frankfurt a. M.: 100 € für den Kontrollverlust, dazu die Angst vor Missbrauch OLG Frankfurt 6 U 53/24.
• 75 € beim OLG Düsseldorf. Die Klägerin hatte ihre Nummer gewechselt, damit endete der Kontrollverlust OLG Düsseldorf 16 U 99/24.

Frühere Leaks können der Klage trotzdem schaden: Das OLG Köln verneinte wenige Monate vor dem BGH den Zusammenhang auch deshalb, weil die E-Mail-Adresse des Klägers schon 2012 und 2022 in Leaks war OLG Köln 6 U 11/25. Mehr Urteile im Ratgeber Wie viel Schadensersatz gibt es?

Was du jetzt tun kannst

• Selbst klagen oder einen Anwalt beauftragen, oft mit Rechtsschutzversicherung. Wer verliert, trägt die Kosten § 91 ZPO.
• Zur Verbandsklage anmelden. Der Verbraucherzentrale Bundesverband (vzbv) klagt gegen Meta, nur wegen des Scrapings 2018/2019. Die Anmeldung hält die Verjährung an § 204a BGB. Am 24.06.2026 hat das OLG Hamburg ausgesetzt und dem EuGH Fragen vorgelegt, unter anderem zu seiner Zuständigkeit OLG Hamburg 11 VKl 1/24 sammelklagen.de.
• Den Anspruch verkaufen. Das OLG Hamm hält die Abtretung, also die Übertragung des Anspruchs an einen Käufer, für zulässig OLG Hamm 11 U 69/23. Du bekommst weniger, dafür jetzt und ohne Kostenrisiko. Mehr im Ratgeber Anspruch verkaufen.

Mehr im Ratgeber zur Verjährung.

Häufige Fragen

Bekomme ich wegen des Facebook-Scrapings automatisch 100 €?

Nein. Der BGH hat niemandem Geld zugesprochen. Geld gibt es nur, wenn du den Anspruch geltend machst und deine Betroffenheit beweist.

Woher weiß ich, ob ich betroffen bin?

Am belastbarsten ist eine Bestätigung von Meta selbst, etwa auf eine Auskunftsanfrage Art. 15 DSGVO. Mehr im Ratgeber Betroffen von einem Datenleck?

Gilt das Urteil auch für andere Datenlecks?

Der Grundsatz ja: Ob Daten durch Scraping, Hack oder Versehen abgeflossen sind, ändert nichts daran, dass Kontrollverlust ein Schaden ist. So sprach das OLG Düsseldorf nach einem Hack beim Dienstleister eines Musikstreamingdienstes 200 € zu OLG Düsseldorf 16 U 83/24. Mehr im Ratgeber zum DSGVO-Schadensersatz.