Meta Business Tools: Kein DSGVO-Schadensersatz ohne konkreten Nachweis der eigenen Betroffenheit

LG Bamberg, Urteil v. 13.05.2025, Az. 42 O 126/24

Kurzzusammenfassung

Wer Schadensersatz wegen einer angeblich rechtswidrigen Datenverarbeitung durch „Meta Business Tools“ wie Meta Pixel, App Events oder die Conversions API verlangt, muss konkret darlegen, dass und welche eigenen personenbezogenen Daten tatsächlich verarbeitet wurden. Allgemeiner Vortrag über die Funktionsweise der Tracking-Technologien und eine Liste von Webseiten, die solche Tools einsetzen sollen, genügt dem LG Bamberg nicht. Das Gericht geht davon aus, dass Meta jedenfalls dann selbst personenbezogene Daten verarbeitet, wenn die von Drittwebseiten übermittelten Daten auf Meta-Servern empfangen, gespeichert, abgeglichen und einem Nutzer zugeordnet werden. Für diesen Verarbeitungsschritt trägt Meta nach Auffassung des Gerichts die datenschutzrechtliche Verantwortung.

Ein Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO scheiterte darüber hinaus am fehlenden Nachweis eines konkreten Schadens. Zwar erkennt das LG Bamberg unter Bezugnahme auf die Rechtsprechung von EuGH und BGH ausdrücklich an, dass bereits ein Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen kann. Der Betroffene muss aber darlegen, welche konkreten Daten von einem solchen Kontrollverlust betroffen waren.

Worum ging es?

Der Kläger nutzte das von der Beklagten betriebene soziale Netzwerk und wandte sich gegen den Einsatz verschiedener „Meta Business Tools“, insbesondere Meta Pixel, App Events über das Facebook SDK, Conversions API und App Events API. Diese Technologien können von Webseiten- und App-Betreibern eingebunden werden und Daten über das Verhalten ihrer Nutzer an Meta übermitteln. Der Kläger warf der Beklagten vor, seinen Internetverkehr seit dem 25. Mai 2018 umfassend zu überwachen. Dabei würden unter anderem Daten von Drittwebseiten und Apps erhoben, mit seiner Meta-ID verknüpft und zu Werbe- und Profilingzwecken verwendet. Er sah darin eine weitreichende Verletzung seines Rechts auf informationelle Selbstbestimmung. Mit seiner Klage verlangte er insbesondere umfangreiche Auskunft über die verarbeiteten Daten und deren Weitergabe, die Löschung bzw. Anonymisierung der Daten sowie mindestens 5.000 Euro immateriellen Schadensersatz und die Freistellung von vorgerichtlichen Rechtsanwaltskosten.

Die Beklagte trat dem entgegen. Sie verwies unter anderem darauf, dass der Kläger in seinem Account unter „Informationen von Werbepartnern zu deinen Aktivitäten“ in die entsprechende Verarbeitung zu Werbezwecken eingewilligt habe. Außerdem habe er nicht konkret dargelegt, welche von ihm tatsächlich besuchten Webseiten oder Apps Meta Business Tools eingesetzt und dabei seine Daten übermittelt hätten.

Das LG Bamberg wies die Klage insgesamt ab.

Entscheidungsgründe

Der geltend gemachte Auskunftsanspruch war nach Auffassung des Gerichts bereits während des Rechtsstreits erfüllt worden. Die Beklagte hatte dem Kläger mit Schreiben vom 18. Dezember 2024 Auskunft erteilt und erläutert, wie er eine Übersicht der verarbeiteten personenbezogenen Daten herunterladen könne. Dabei hält das LG ausdrücklich auch ein elektronisches Self-Service-Auskunftssystem für eine grundsätzlich zulässige Form der Auskunft nach Art. 15 DSGVO und verweist hierfür auf Erwägungsgrund 63 DSGVO.

Der Löschungsantrag war nach Ansicht des Gerichts bereits unzulässig. Der Kläger könne sein Konto über das von der Beklagten bereitgestellte Self-Service-Tool selbst löschen. Er wollte das soziale Netzwerk allerdings weiterhin nutzen. Eine vollständige Löschung oder Anonymisierung sämtlicher Daten bei gleichzeitiger Fortführung des bestehenden Accounts hielt das Gericht nicht für möglich. Zudem begründe Art. 17 DSGVO zwar einen Löschungsanspruch, aber keinen allgemeinen Anspruch auf eine vom Betroffenen vorgegebene anderweitige Verarbeitung oder Anonymisierung.

Besonders interessant sind die Ausführungen zur datenschutzrechtlichen Verantwortlichkeit. Die bloße Bereitstellung der Meta Business Tools an Webseiten- und App-Betreiber ist nach Auffassung des LG Bamberg noch keine Verarbeitung personenbezogener Daten durch Meta. Über den konkreten Einsatz des Tools auf einer Drittseite entscheide zunächst deren Betreiber. Anders bewertet das Gericht jedoch die nachfolgende Verarbeitung bei Meta selbst. Werden mittels der Business Tools Daten an Meta übermittelt, dort empfangen, gespeichert und mit vorhandenen Daten abgeglichen, liegt nach Auffassung des LG Bamberg eine eigene Verarbeitung durch Meta vor. Besonders deutlich formuliert das Gericht, dass Meta durch den Abgleich die Identifizierbarkeit herstellt, indem der empfangene Datenbestand einem Nutzer zugeordnet wird. Für diesen Vorgang trage Meta die alleinige Verantwortung im Sinne des Art. 24 DSGVO.

Das half dem Kläger im konkreten Verfahren allerdings nicht. Er hatte nach Auffassung des Gerichts nicht ausreichend konkret vorgetragen, welche von ihm besuchten Webseiten oder Apps Meta Business Tools eingesetzt und dabei seine personenbezogenen Daten übermittelt hatten. Allgemeine Aussagen über das Tracking-System oder Listen großer Webseiten genügten nicht. Auch eine sekundäre Darlegungslast der Beklagten half ihm nicht weiter. Welche Webseiten er selbst besucht hatte, lag in seiner eigenen Wahrnehmungssphäre. Erst wenn er solche Webseiten konkret bezeichnet hätte, hätte sich nach Auffassung des Gerichts gegebenenfalls die Frage gestellt, ob Meta näher darlegen muss, ob dort über seine Business Tools Daten des Klägers erhoben wurden. Entsprechendes galt für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Der Kläger hatte nicht konkret dargelegt, Webseiten besucht zu haben, aus deren Nutzung sich beispielsweise Gesundheitsdaten, politische Überzeugungen oder andere besonders geschützte Informationen ergeben hätten.

Schließlich scheiterte auch der Anspruch aus Art. 82 DSGVO. Das Gericht orientiert sich dabei ausdrücklich an der neueren Rechtsprechung des EuGH: Ein DSGVO-Verstoß allein begründet noch keinen Schadensersatzanspruch. Ein zusätzlicher materieller oder immaterieller Schaden muss tatsächlich eingetreten sein. Eine erhebliche Schwelle für einen immateriellen Schaden gibt es dabei allerdings nicht. Das LG Bamberg erkennt ausdrücklich an, dass bereits ein kurzzeitiger Kontrollverlust über personenbezogene Daten einen ersatzfähigen immateriellen Schaden darstellen kann, ohne dass zusätzliche spürbare negative Folgen nachgewiesen werden müssen. Ebenso kann unter bestimmten Voraussetzungen die begründete Befürchtung eines Datenmissbrauchs genügen. Genau daran fehlte es aber im konkreten Fall: Der Kläger konnte weder konkret aufzeigen, über welche Daten er die Kontrolle verloren hatte, noch eine individuelle Beeinträchtigung nachvollziehbar darlegen. Standardisierte Ausführungen über Ängste und Befürchtungen genügten dem Gericht nicht.

Anmerkungen zum Urteil

Das Urteil ist vor allem deshalb interessant, weil es keineswegs feststellt, der Einsatz von Meta Business Tools sei generell datenschutzrechtlich unproblematisch. Die Klage scheitert vielmehr in wesentlichen Punkten an der Darlegungs- und Beweissituation des konkreten Klägers.

Das ist für die Einordnung wichtig. Das LG trennt zwischen drei Ebenen: der Bereitstellung des technischen Tools durch Meta, dessen Einbindung und Einsatz durch den jeweiligen Webseiten- oder App-Betreiber und der anschließenden Verarbeitung der übermittelten Daten durch Meta. Gerade hinsichtlich der letzten Ebene enthält das Urteil einen für Verantwortliche durchaus wichtigen Hinweis. Nach Ansicht des Gerichts beginnt die eigene Verarbeitung bei Meta bereits mit dem Empfang, der Speicherung und dem Abgleich der Daten. Das Gericht stellt dabei darauf ab, dass nach dem eigenen Vortrag der Beklagten die Prüfung, ob eine entsprechende Einwilligung vorliegt, erst nach der Übermittlung und Speicherung der Daten auf den Servern der Beklagten erfolgt. Damit bleibt eine interessante Frage letztlich offen: Auf welcher Rechtsgrundlage erfolgt bereits diese vorgelagerte Verarbeitung, wenn erst anschließend geprüft wird, ob eine Einwilligung des Nutzers vorliegt? Das Gericht musste diese Frage nicht abschließend entscheiden, weil schon nicht hinreichend dargelegt war, dass entsprechende Daten des konkreten Klägers verarbeitet worden waren.

Auch hinsichtlich Art. 82 DSGVO liegt die Entscheidung im Grundsatz auf der Linie der neueren Rechtsprechung von EuGH und BGH. Das Gericht verlangt keine Erheblichkeitsschwelle für einen immateriellen Schaden. Es verlangt aber einen konkret nachgewiesenen Schaden. Der bloße Vortrag, man fühle sich durch Tracking generell überwacht oder habe abstrakt die Kontrolle über seine Daten verloren, reicht nicht.

Für Unternehmen ist außerdem die Aussage zur Auskunft nach Art. 15 DSGVO interessant. Das Gericht akzeptiert ausdrücklich ein elektronisches Self-Service-System, über das der Betroffene unmittelbar auf seine personenbezogenen Daten zugreifen bzw. diese herunterladen kann.

Gibt es hier Handlungsbedarf?

Für Unternehmen, die Meta Pixel, Conversions API, App Events oder vergleichbare Tracking- und Marketingtechnologien einsetzen, ist das Urteil kein Freibrief. Es zeigt vielmehr, dass die datenschutzrechtliche Verantwortlichkeit für die verschiedenen Verarbeitungsschritte getrennt geprüft werden sollte.

• Tracking-Inventar erstellen: Dokumentieren Sie, welche Meta Business Tools und sonstigen Tracking-Technologien auf Webseiten und in Apps tatsächlich eingesetzt werden.

• Datenflüsse nachvollziehen: Prüfen Sie insbesondere, welche Daten bereits beim Aufruf einer Seite oder App an Meta oder andere Anbieter übertragen werden und zu welchem Zeitpunkt dies geschieht.

• Rechtsgrundlage vor der Übermittlung prüfen: Wird eine Verarbeitung auf eine Einwilligung gestützt, sollte technisch sichergestellt sein, dass einwilligungsbedürftige Daten nicht bereits übertragen werden, bevor die Einwilligung vorliegt.

• Consent-Management technisch testen: Es genügt nicht, lediglich ein Cookie-Banner vorzuhalten. Entscheidend ist, ob die darin getroffene Auswahl technisch tatsächlich umgesetzt wird.

• Besondere Kategorien von Daten berücksichtigen: Bei Webseiten oder Apps, deren Nutzung Rückschlüsse etwa auf Gesundheit, Religion, politische Überzeugungen oder andere Daten nach Art. 9 DSGVO ermöglichen kann, ist besondere Vorsicht geboten.

• Informationspflichten überprüfen: Datenschutzerklärungen sollten nachvollziehbar erläutern, welche Tracking-Technologien eingesetzt werden, welche Daten an welche Empfänger übermittelt werden und zu welchen Zwecken dies geschieht.

• Auskunftsprozesse vorbereiten: Das Urteil bestätigt, dass elektronische Self-Service-Lösungen grundsätzlich ein geeignetes Instrument zur Erfüllung von Art. 15 DSGVO sein können. Die Auskunft muss aber inhaltlich vollständig sein.

• Löschkonzepte überprüfen: Unternehmen sollten festlegen, welche Daten nach Art. 17 DSGVO gelöscht werden können und welche Daten für die Fortführung eines Vertrags- oder Nutzerkontos weiterhin erforderlich sind.

• Dokumentation sichern: Gerade weil datenschutzrechtliche Streitigkeiten zunehmend von der konkreten Darlegung einzelner Verarbeitungsschritte abhängen, sollten Konfiguration, Einwilligungsmechanismus, Datenflüsse und Änderungen des Trackings nachvollziehbar dokumentiert werden.

Unsere Kanzlei steht Unternehmen gerne bei Fragen zum datenschutzkonformen Einsatz von Tracking-Technologien, Meta Business Tools und zur Umsetzung der Betroffenenrechte nach der DSGVO zur Verfügung.

Ebenfalls für diese Fragen könnte interessant sein:

Beschluss der Datenschutzkonferenz DSK zu Facebook-Fanpages – Der Beitrag behandelt insbesondere die datenschutzrechtliche Verantwortlichkeit bei Facebook-Fanpages, die erforderlichen Rechtsgrundlagen und Informationspflichten.

EuGH bejaht einen konkreten DSGVO-Auskunftsanspruch hinsichtlich des Empfängers – Zur Reichweite des Auskunftsanspruchs aus Art. 15 DSGVO und der Pflicht, konkrete Empfänger personenbezogener Daten zu benennen.

Neue GDD Praxishilfe: Checkliste zu Auskunftsersuchen – Praktische Hinweise zur organisatorischen und technischen Vorbereitung auf Auskunftsersuchen nach Art. 15 DSGVO.

Ungelöste Frage im Datenschutz: Müssen personenbezogene Daten in einem Backup gelöscht werden, wenn der Betroffene eine Löschung nach Art. 17 DSGVO verlangt? – Vertiefend zum im Urteil ebenfalls angesprochenen Löschungsanspruch nach Art. 17 DSGVO.