Facebook-Scraping: EuGH soll Zulässigkeit und Gerichtsstand einer Musterfeststellungsklage klären

Redaktioneller Kernsatz

Facebook-Scraping: EuGH soll Zulässigkeit und Gerichtsstand einer Musterfeststellungsklage klären

Redaktionelle Zusammenfassung · 857 Wörter

Die Entscheidung erklärt

Vorlage statt Entscheidung über Schadensersatz

Verbraucherverband gegen Betreiberin mit Sitz in Irland

Kläger war der Dachverband der deutschen Verbraucherzentralen, der als qualifizierte Einrichtung eingetragen ist. Die Beklagte betreibt mit Sitz in Irland das soziale Netzwerk Facebook im Unionsgebiet. Nach dem zugrunde gelegten Vorbringen sollen unbekannte Dritte 2018 und 2019 Telefonnummern mit öffentlich zugänglichen Profildaten verknüpft und abgegriffen haben. Die Datensätze sollen 2021 im Internet veröffentlicht worden sein; in Deutschland sollen etwa sechs Millionen Nutzerkonten betroffen sein. Der Verband verlangte gemeinsame Feststellungen zu den Voraussetzungen von Schadensersatzansprüchen nach Artikel 82 DSGVO. Die Betreiberin bestritt bereits die Zulässigkeit. Über diese Frage hatte der Senat eine gesonderte Verhandlung angeordnet.

Umfangreiche Feststellungsziele, bislang keine zugesprochenen Beträge

Die Klage griff insbesondere die Voreinstellung der Suchfunktion über Telefonnummern, eine aus Sicht des Verbandes fehlende wirksame Einwilligung und unzureichende technische sowie organisatorische Schutzmaßnahmen an. Weitere Ziele betrafen die Information der Aufsichtsbehörde und der betroffenen Nutzer. Hinzu kamen die Möglichkeit einer Haftungsbefreiung und Mindestbeträge für den behaupteten Kontrollverlust. Der Verband beantragte unter anderem mindestens 100 Euro bei Betroffenheit von Telefonnummer und grundlegenden Profildaten sowie weitere Beträge für zusätzliche Daten wie E-Mail-Adresse, Geburtsdatum, Wohnort oder Beziehungsstatus. Diese Beträge waren ausschließlich Klageziele. Der Vorlagebeschluss stellte weder ihre Berechtigung noch einen bereits entstandenen Schaden bei einzelnen Nutzern fest.

Musterfeststellung schafft Bindung, aber keinen Zahlungstitel

Der Senat erläuterte die besondere Funktionsweise der Musterfeststellungsklage nach dem Verbraucherrechtedurchsetzungsgesetz. Sie führt selbst nicht zu einer Zahlungspflicht des Unternehmers. Verbraucher müssen ihre individuellen Ansprüche anschließend eigenständig verfolgen. Haben sie ihre Ansprüche wirksam zum Verbandsklageregister angemeldet, können sie sich dabei auf rechtskräftige Feststellungen des Musterverfahrens berufen; das zuständige Gericht ist im gesetzlichen Umfang daran gebunden. Die Anmeldung erfolgt beim Bundesamt für Justiz, nicht beim Gericht des Musterverfahrens, und ist nach den dargestellten Regeln noch bis drei Wochen nach Schluss der mündlichen Verhandlung möglich. Gerade diese Verbindung von späterer Individualklage und verbindlicher Vorentscheidung prägte die unionsrechtlichen Zweifel.

Erste Frage: Wird bereits das Recht auf Schadensersatz ausgeübt?

Artikel 80 Absatz 1 DSGVO betrifft unter anderem die Wahrnehmung von Schadensersatzrechten durch geeignete Organisationen. Der Senat fragte zunächst, ob schon die hier begehrten Feststellungen eine solche Rechtsausübung darstellen. Für eine engere Auslegung könnte sprechen, dass der Verband keine Zahlung verlangt. Für eine weitere Auslegung sah der Senat die weitreichende Bindungswirkung: Bei Erfolg sämtlicher Ziele blieben der Betreiberin in späteren Einzelprozessen nach seiner Einschätzung nur geringe Möglichkeiten, Zahlungsansprüche abzuwehren. Falls die Musterfeststellungsklage von Absatz 1 nicht erfasst wäre, müsste zusätzlich geklärt werden, ob sie dennoch zulässig sein kann oder die Beschränkungen für Verbandsklagen ohne Auftrag ihrer schadensersatzbezogenen Ausgestaltung entgegenstehen.

Gesetzliche Ermächtigung und fehlende Einzelaufträge

Sollte Artikel 80 Absatz 1 eingreifen, stellten sich weitere Fragen. Der Senat sah keine ausdrückliche deutsche Spezialregel zur Wahrnehmung dieser DSGVO-Schadensersatzrechte, entnahm der Gesetzesbegründung aber einen entsprechend weiten Anwendungswillen des nationalen Gesetzgebers. Ob das genügt, sollte der Gerichtshof entscheiden. Außerdem lagen unstreitig keine individuellen Aufträge der Nutzer vor; der Verband klagte ausdrücklich im eigenen Namen. Er hielt die Anmeldung zum Register für ausreichend. Der Senat teilte diese Sicht nicht. Er verwies darauf, dass Anmeldungen erst nach Klageerhebung möglich sind und für die Zulässigkeit grundsätzlich die nachvollziehbare Betroffenheit von mindestens 50 Verbrauchern dargelegt werden muss, nicht bereits deren Anmeldung.

Internationale Zuständigkeit und deliktischer Gerichtsstand

Ein zweiter Fragenkomplex betraf den Klageort. Die nationale Zuständigkeitsregel knüpft grundsätzlich an den allgemeinen Gerichtsstand des verklagten Unternehmens an; dieser lag hier in Irland. Der Senat hielt jedoch Artikel 7 Nummer 2 EuGVVO für anwendbar. Die speziellen Zuständigkeitsvorschriften der DSGVO verdrängten diese Regel nach seiner Auffassung nicht vollständig. Für behauptete Datenschutzverstöße komme ein deliktischer Gerichtsstand am Ort des Schadenseintritts in Betracht. Den behaupteten Kontrollverlust verortete der Senat beim Wohnsitz beziehungsweise gewöhnlichen Aufenthalt der betroffenen Person. Weil die Klage deutsche Nutzer betraf, sprach dies für eine internationale Zuständigkeit deutscher Gerichte. Die Beklagte widersprach dieser Auslegung.

Kann Hamburg über die gesamte deutsche Nutzergruppe entscheiden?

Damit war noch nicht geklärt, welches deutsche Gericht örtlich zuständig wäre. Der Hamburger Gerichtsbezirk erfasst nur einen Teil der betroffenen Nutzer. Der Senat wollte Grundsätze einer vom Gerichtshof entschiedenen kartellrechtlichen Verbandsklage zu einer Onlineplattform übertragen und eine einheitliche Zuständigkeit für die gesamte identifizierbare Nutzergruppe annehmen. Er verwies auf die deutsche Plattformversion sowie Nähe, Vorhersehbarkeit und geordnete Rechtspflege. Die Beklagte hielt die frühere Entscheidung wegen ihrer besonderen kartellrechtlichen Grundlage für nicht übertragbar. Für den Fall einer Ablehnung fragte der Senat hilfsweise, ob wenigstens für Hamburger Nutzer Zuständigkeit besteht und ob dafür Wohnsitz oder Aufenthalt heute oder zur Zeit des Datenabgriffs maßgeblich ist.

Aussetzung zur unionsrechtlichen Klärung beschlossen

Die weiteren von der Beklagten erhobenen Zulässigkeitsbedenken teilte der Senat nicht. Deshalb kam es nach seiner Bewertung gerade auf die vorgelegten Fragen an. Der Beschluss eröffnet eine unionsrechtliche Klärung des Zusammenspiels von nationalem kollektiven Rechtsschutz, datenschutzrechtlicher Vertretung und europäischen Zuständigkeitsregeln. Für die betroffenen Nutzer folgt daraus noch kein Zahlungsanspruch und für die Betreiberin noch keine festgestellte Haftung. Ebenso wenig erklärte das Gericht die Musterfeststellungsklage bereits für unzulässig. Es legte vielmehr die entscheidenden Auslegungsalternativen offen und setzte das Verfahren aus, damit diese Fragen vor einer eigenen abschließenden Zulässigkeitsentscheidung beantwortet werden können.