Bereits 2018 sorgte der Datenschutz-Skandal um Cambridge Analytica beim Facebook-Mutterkonzern Meta für Aufsehen. Ende 2022 tauchte der Skandal wieder in den Schlagzeilen auf, da der Fall vor einem endgültigen Abschluss steht, indem Facebook sich im Rahmen einer Einigung zu einer Zahlung von 725 Millionen US-Dollar bereit erklärt hat. Über diesen Vergleich wurden Gerichtsunterlagen veröffentlicht, die Aufschluss über die aktuelle Lage geben.
Der Inhalt im Überblick
Der Verlauf des Rechtsstreits mit Facebook
Bei Untersuchungen der Verbraucherschutzbehörde (FTC) wurde festgestellt, dass Cambridge Analytica bis zu 87 Millionen Nutzerdaten von Facebook unerlaubterweise für politische Kampagnen genutzt hatte. Bereits 2019 schloss Facebook einen Vergleich mit der FTC über eine Strafzahlung in Höhe von 5 Milliarden US-Dollar. Zudem wurde eine Sammelklage angestrebt, die sich mittlerweile zur größten Datenschutz-Sammelklage jemals entwickelt hat. Ende 2022 wurden Gerichtsunterlagen zu dem vorgeschlagenen Vergleich veröffentlicht. Eine richterliche Zustimmung steht noch aus.
Die verschiedenen Positionen zwischen Kläger und Facebook
Die Ursachen, die letztendlich zu einem Vergleich geführt haben, sind vielfältig und hatten verschiedene Stärken und Schwächen in der Argumentation. Ein fortlaufender Rechtsstreit wäre mit enormen Kosten verbunden, welcher sich wahrscheinlich über weitere Jahre gestreckt hätte. Die Kläger sind der Ansicht, dass vertragliche Ansprüche, die Video Privacy Protection Act (VPPA) Klage und die Fahrlässigkeitsklage, eine gute Ausgangslage sei, um zugelassen zu werden.
Vertragliche Ansprüche
Die Kläger sind der Ansicht, dass Facebook gegen vertragliche Bedingungen nach Treu und Glauben verstoßen habe. Facebook soll dabei entgegen dem Versprechen zum Datenschutz ihrer Nutzer und der Weitergabe an Dritte gehandelt haben. Außerdem soll Facebook versprochen haben, Daten von Freunden bei Apps nur mittels Einwilligung verarbeiten zu dürfen und nur auf Grundlage einer Einwilligung Daten weiterzugeben. Die Kläger haben Beweise gesammelt, die darauf hindeuten, dass Facebook gegen dieses Versprechen verstoßen habe. Dennoch gebe es erhebliche Risiken bei der Beweisführung.
Facebook hingegen versicherte, dass sie keine Aufzeichnungen führen, die den Klägern ermöglichen würden, die Apps zu identifizieren, die angeblich Nutzerdaten erhalten haben sollen. So bleibe es dem Kläger nur offen durch allgemeine Praktiken zu beweisen, dass Facebook gegen vertragliche Versprechen verstoßen habe.
VPPA-Klage
Bei einer VPPA-Klage dürfe ein Videobanddienstleister keine personenbezogenen Daten wissentlich weitergeben. Die Kläger gehen davon aus, dass Facebook als Videobanddienstleister angesehen werden könne. Allerdings bleibe fraglich, ob nachgewiesen werden könne, dass Facebook Daten weitergegeben habe. Die Kläger seien der Auffassung, dass Personen über einen Link oder eine E-Mail-Adresse identifizierbar seien und Daten weitergeben wurden.
Facebook argumentierte, dass die Art und Weise wie die personenbezogenen Daten weitergegeben wurden, rechtmäßig seien. Des Weiteren gebe es keine Aufzeichnungen, die zeigen, dass Daten an Dritte weitergegeben wurden. Für die VPPA-Klage gilt eine Verjährungsfrist von 2 Jahren und eine Anerkennung der Höhe des Schadensersatzes nach VPPA wäre fraglich.
Fahrlässigkeit
Des Weiteren soll Facebook fahrlässig gehandelt haben, weil sie den Zugang Dritter zu sensiblen Nutzerdaten nicht ausreichend überwacht haben. Die Kläger haben umfangreiche Beweise gesammelt, die stützen, dass die Sicherheitsmaßnahmen nicht ausreichend seien, um der Sorgfaltspflicht nachzukommen. Facebook erwiderte, dass die Nutzer durch den AGB zugestimmt hätten und ein Schaden schwer zu berechnen sei.
Andere Ansprüche
Die Kläger halten die Chancen für die Durchsetzung anderer Ansprüche wie unerlaubter Handlungen gegen die Privatsphäre, der SCA-Klage oder auch die Täuschung durch Verschweigen, für eher gering. Eine Sammelklage, die nicht notwendige Inhalte aufführt, könne das Risiko einer Zulassung der Sammelklage gefährden.
Veränderungen und Ergebnis des Vergleichs
Der Vergleichsfond soll, sofern er genehmigt wird, eine Höhe von 725 Millionen Dollar haben und wäre somit der höchste Vergleich einer Sammelklage im Bereich Datenschutz, der jemals erzielt wurde. Zudem sei die Höhe des Vergleichs höher als eine realistisch zu erwartende Entschädigung. Auch der Zuteilungsplan für die Kläger sei angemessen.
Facebook hat seit dem Rechtsstreit einige Veränderungen angestoßen. So haben sie die beanstandeten Praktiken beendet oder unterliegen einem Überwachungsprogramm der FTC Consent Order. Hierfür wurde eine eidesstaatliche Erklärung abgegeben. Die Consent Order soll auch den Bereich abdecken, den der Kläger mittels Unterlassungsanspruch fordert. Zu den Vorwürfen gegen den Zugriff von Apps auf die Freundesdaten, die Weitergabe von Daten an Dritte und dem Zugang Dritter, erwiderte Facebook man habe seitdem weitere Sicherheitsmaßnahmen getroffen. So wurde eine Codeänderung vorgenommen, die andere Apps in der Berechtigung einschränkt und Zugriff auf Freundesdaten verhindert. Außerdem soll Facebook seine Überwachung für Drittanbieter verbessert haben, indem Überprüfungen, eine Datenschutzrichtlinie, Selbstzertifizierungen, Überwachungen für Nutzerdaten bei Dritten und weitere Anstrengungen unternommen wurden, um den Datenschutz zu verbessern.
Abschluss und Ausblick auf die Einigung mit Facebook
Die Kläger haben versucht umfangreiche und relevante Beweise zu sammeln und hatten die Untersuchungen fast abgeschlossen. Der Vergleich ist die bisher höchste Summe bei einer Sammelklage im Datenschutz und nach Ansicht der Berater ein bahnbrechendes Ergebnis. Insbesondere nasch Beurteilung des Verfahrensstandes sei es ein Erfolg, da das Gericht die Sammelklage noch nicht zugelassen hat und dementsprechend ein gewisses Risiko bestehe. Der Facebook-Mutterkonzern Meta räumt im Rahmen des Vergleichs kein eigenes Fehlverhalten ein. Die Einigung sei nach Meta
„im besten Interesse unserer Gemeinschaft und unserer Aktionäre.“
Ein Vergleich mag im Interesse der Kläger sinnvoll sein, die Schuldfrage im Sinne des Datenschutzes bleibt zumindest juristisch ungeklärt.
