Musterfeststellungsklage neues Recht gegen Meta Platforms Ireland Limited

Öffentliche Bekanntmachung einer Verbandsklage gemäß § 44 VDuG

1. Allgemeine Verfahrensdaten

Bekanntmachung am: 05.05.2025

Datum der Anhängigkeit: 09.12.2024

Datum der Rechtshängigkeit: 04.03.2025

Gericht: Hanseatisches Oberlandesgericht Hamburg

Aktenzeichen: 11 VKl 1/24

2. Bezeichnung des Klägers/der Kläger

Kläger: Verbraucherzentrale Bundesverband e. V. (VZBV)

gesetzlicher Vertreter: vertreten durch die Vorständin Ramona Pop

Straße und Hausnummer: Rudi-Dutschke-Straße 17

PLZ und Ort: 10969 Berlin

Land: Deutschland

anwaltlich vertreten durch: Dr. Stoll & Sauer Litigation Rechtsanwaltsgesellschaft mbH

Straße und Hausnummer: Einsteinallee 1/1

PLZ und Ort: 77933 Lahr

Land: Deutschland

3. Bezeichnung des Beklagten/der Beklagten

Beklagter: Meta Platforms Ireland Limited

gesetzlicher Vertreter: vertreten durch die Mitglieder des Board of Directors, dieses vertreten durch Richard Kelley

Straße und Hausnummer: Merrion Road, Dublin 4

PLZ und Ort: D04 X2K5 Dublin

Land: Irland

anwaltlich vertreten durch: Freshfields PartG mbB

Straße und Hausnummer: Bockenheimer Anlage 44

PLZ und Ort: 60322 Frankfurt am Main

Land: Deutschland

4. Abhilfeantrag oder Feststellungsziele

1. Verstöße gegen DSGVO
a. Voreinstellung der Suchfunktion

i. Es wird festgestellt, dass die Musterbeklagte dadurch, dass sie die Voreinstellung in der Daten-Eingabemaske des Netzwerks "Facebook" zur Suchbarkeit so ausgestaltete, das das öffentliche Profil eines Nutzers, der natürliche Person und Verbraucher ist sowie den gewöhnlichen Aufenthaltsort in Deutschland hat, über das Kontakt-Importer-Tool durch Eingabe seiner Telefonnummer auffindbar war, gegen Art. 25 Abs. 1 und 2, Art. 5 Abs. 1 a), b) und c) DSGVO verstoßen hat.

Hilfsweise für den Fall, dass das Gericht Ziffer 1. a. i. nicht positiv feststellt, wird beantragt, folgende Feststellung zu treffen:

ii. Es wird festgestellt, dass die Musterbeklagte dadurch, dass sie die Voreinstellung in der Daten-Eingabemaske des Netzwerks "Facebook" zur Suchbarkeit so ausgestaltete, dass das öffentliche Profil eines Nutzers, der natürliche Person und Verbraucher ist sowie den gewöhnlichen Aufenthaltsort in Deutschland hat und der seine Telefonnummer in den Privatsphäre-Einstellungen des Netzwerks "Facebook" nicht auf "öffentlich" einstellte, dennoch über das Kontakt-Importer-Tool durch Eingabe seiner Telefonnummer auffindbar war, gegen Art. 25 Abs. 1 und 2, Art. 5 Abs. 1 a), b) und c) DSGVO verstoßen hat.

b. Keine Einwilligung
Es wird festgestellt, dass in einer erteilten Zustimmung eines Nutzers, der natürliche Person und Verbraucher ist sowie den gewöhnlichen Aufenthaltsort in Deutschland hat, zu den jeweils geltenden Nutzungsbedingungen im Rahmen des Registrierungsverfahrens keine wirksame Einwilligung gemäß Art. 6 Nr. 1 a), 7 Abs. 1 und 2 DSGVO in die in Feststellungsziel Ziff. 1 a. erfolgte Datenverarbeitung in Form der Öffentlichkeit der Daten in Verbindung mit der Suchbarkeitsfunktion liegt.

c. Mangelnder Schutz vor Scraping
Es wird festgestellt, dass die Musterbeklagte dadurch, dass sie keine geeigneten technischen und organisatorischen Maßnahmen ergriffen hat, um die massenhafte Eingabe randomisierter Ziffernfolgen in das Kontakt-Importer-Tool mit dem Ergebnis der Verknüpfung von Telefonnummern mit den Daten, die aus den öffentlichen Profilen der Nutzer des Netzwerks "Facebook", die natürliche Personen und Verbraucher sind sowie den gewöhnlichen Aufenthaltsort in Deutschland haben, ersichtlich sind, zu verhindern, gegen Art. 5 Abs. 1 f), Art. 24 und Art. 32 DSGVO verstoßen hat.

d. Unterlassene Meldung der Aufsichtsbehörde
Es wird festgestellt, dass die Musterbeklagte dadurch, dass sie das massenhafte Abgreifen und Verknüpfen von Telefonnummern und den aus den öffentlichen Profilen der Nutzer des Netzwerks "Facebook" ersichtlichen Daten, die natürliche Personen und Verbraucher sind sowie den gewöhnlichen Aufenthaltsort in Deutschland haben, durch unbefugte Dritte nicht unverzüglich der Aufsichtsbehörde gemeldet hat, gegen Art. 33 DSGVO verstoßen hat.

e. Unterlassene Benachrichtigung der betroffenen Nutzer
Es wird festgestellt, dass die Musterbeklagte dadurch, dass sie das massenhafte Abgreifen und Verknüpfen von Telefonnummern und den aus den öffentlichen Profilen der Nutzer des Netzwerks "Facebook" ersichtlichen Daten, die natürliche Personen und Verbraucher sind sowie den gewöhnlichen Aufenthaltsort in Deutschland haben, durch unbefugte Dritte nicht unverzüglich den betroffenen Nutzern angezeigt hat, gegen Art. 34 DSGVO verstoßen hat.

2. Keine Haftungsbefreiung
Es wird festgestellt, dass sich die Musterbeklagte im Falle des Vorliegens der Tatbestandsvoraussetzungen des Art. 82 Abs. 1 DSGVO hinsichtlich des eingetretenen Schadens der Nutzer, die natürliche Personen und Verbraucher sind sowie den gewöhnlichen Aufenthaltsort in Deutschland haben, in Form des Kontrollverlustes über die Telefonnummer sowie den aus den öffentlichen Profilen dieser Nutzer des Netzwerks "Facebook" ersichtlichen Daten nicht nach Art. 82 Abs. 3 DSGVO exkulpieren kann.

3. Rechtsfolgen aufgrund Kontrollverlustes

a. Mindestschaden
Es wird festgestellt, dass der Schadensersatzbetrag für Nutzer des Netzwerks "Facebook", die natürliche Personen und Verbraucher sind sowie den gewöhnlichen Aufenthaltsort in Deutschland haben, im Falle des Vorliegens eines Schadenersatzanspruchs nach Art. 82 Abs. 1 DSGVO aufgrund mindestens eines der unter Feststellungsziel Ziff. 1 beschriebenen Verstöße mit der Folge des Kontrollverlustes über personenbezogene Daten in Form der Telefonnummer im Zusammenhang mit den aus den öffentlichen Profilen der Nutzer ersichtlichen Daten, mit mindestens 100 € zu bemessen ist.

b. E-Mail-Adresse
Es wird festgestellt, dass sich der unter Feststellungsziel Ziff. 1. a. beschriebene Schadensersatzbetrag um mindestens weitere 100 € erhöht, wenn sich im öffentlichen Profil des Netzwerks "Facebook" auch die E-Mail-Adresse des Nutzers befand.

c. Geburtsdatum
Es wird festgestellt, dass sich der unter Feststellungsziel Ziff. 1. a. beschriebene Schadensersatzbetrag um mindestens weitere 100 € erhöht, wenn sich im öffentlichen Profil des Netzwerks "Facebook" auch das Geburtsdatum des Nutzers befand.

d. Wohnort
Es wird festgestellt, dass sich der unter Feststellungsziel Ziff. 1. a. beschriebene Schadensersatzbetrag um mindestens weitere 100 € erhöht, wenn sich im öffentlichen Profil des Netzwerks "Facebook" auch der Wohnort des Nutzers befand.

e. Beziehungsstatus
Es wird festgestellt, dass sich der unter Feststellungsziel Ziff. 1. a. beschriebene Schadensersatzbetrag um mindestens weitere 200 € erhöht, wenn sich im öffentlichen Profil des Netzwerks "Facebook" auch der Beziehungsstatus des Nutzers befand.

5. Kurze Darstellung des vorgetragenen Lebenssachverhalts

Der Musterkläger ist der Bundesverband der Verbraucherzentralen und Verbraucherverbände.

Die Musterbeklagte, die ihren Sitz in Irland hat, betreibt das soziale Netzwerk Facebook, in welchem Nutzer unter Angabe persönlicher Daten Profile anlegen und sich mit anderen Nutzern verbinden können. In den Jahren 2018 und 2019 griffen unbekannte Dritte Telefonnummern sowie die öffentlich hinterlegten Daten der diesen Nummern zugeordneten Nutzerprofile ab (sog. "Scraping"). Diese Datensätze wurden im Jahr 2021 im Internet veröffentlicht. In Deutschland sollen ca. sechs Millionen Nutzerkonten betroffen sein.

In Anlehnung an das Urteil des Bundesgerichtshofs vom 18. November 2024 - VI ZR 10/24-möchte der Musterkläger im vorliegenden Verfahren zunächst feststellen lassen, dass die Beklagte u.a. durch die Voreinstellung der Suchfunktion, dem mangelnden Schutz vor Scraping und der unterlassenen Benachrichtigung der Datenschutzbehörden und der betroffenen Nutzer gegen die DSGVO verstoßen hat. Darüber hinaus begehrt er die Feststellung von Mindestschadensbeträgen in Abhängigkeit von den konkret betroffenen Nutzerdaten.

6. Angaben gemäß §§ 44 Nummer 8 und 19 VDuG

7. Stand des Verfahrens

Folgende Bekanntmachungen können Sie der Seite "Stand des Verfahrens" entnehmen:

Terminbestimmungen des Gerichts
Hinweise des Gerichts
Zwischenentscheidungen des Gerichts
Gerichtlich genehmigte Vergleiche, Angaben gemäß § 44 Nummer 10 VDuG (Hinweise zur Befugnis der Angemeldeten zum Austritt aus dem Vergleich, Form, Frist und Wirkung des Austritts)
Urteile im Verbandsklageverfahren
Einlegung eines Rechtsmittels
Eintritt der Rechtskraft
Beschluss über die Bestellung oder Entlassung einer Sachwalterin oder eines Sachwalters
Beschluss, durch den die Ablehnung einer Sachwalterin oder eines Sachwalters für begründet erklärt wird
Eröffnung eines Umsetzungsverfahrens
Beschluss über die Feststellung der Beendigung des Umsetzungsverfahrens
Sonstige Beendigung des Verbandsklageverfahrens
Eröffnung des Insolvenzverfahrens über das Vermögen der Unternehmerin bzw. des Unternehmers

8. Formulare

Alsbald nach Eintragung Ihrer Anmeldung in das Verbandsklageregister erhalten Sie unaufgefordert per Post eine Bestätigung über die Eintragung. Bitte sehen Sie bis dahin von Nachfragen ab. In der Bestätigung sind Ihre persönlichen Daten sowie die Klage, zu der Sie Ihre Ansprüche angemeldet haben, angegeben.