Daten sind Macht: Warum Verbraucherschützer jetzt leichter gegen Facebook & Co. klagen können

Ein BGH- Urteil mit weitreichenden Folgen für den Datenschutz

In unserer digitalen Welt geben wir ständig Daten preis – oft ohne genau zu wissen, was damit geschieht. Sei es beim Surfen in sozialen Netzwerken, beim Online-Shopping oder beim Spielen von Apps. Große Unternehmen wie Meta (der Konzern hinter Facebook, Instagram und WhatsApp) sammeln riesige Mengen dieser Daten. Doch was passiert, wenn dabei gegen Datenschutzregeln verstoßen wird? Lange war umstritten, ob Verbraucherschutzverbände im Namen der Allgemeinheit dagegen klagen dürfen. Der Bundesgerichtshof (BGH), Deutschlands höchstes Zivilgericht, hat am 27. März 2025 in einem wegweisenden Urteil (Aktenzeichen: I ZR 186/17) entschieden: Ja, das dürfen sie! Dieses Urteil stärkt den Schutz Ihrer persönlichen Daten erheblich und setzt ein klares Signal an Unternehmen, die Datenschutzpflichten bisher möglicherweise nicht ernst genug genommen haben. Wir erklären Ihnen, was genau passiert ist, warum dieses Urteil so wichtig ist und was es für Sie als Nutzer bedeutet.

Hintergrund: Der Fall Facebook „App-Zentrum“ – Ein Spiel mit Ihren Daten?

Der Auslöser für diesen jahrelangen Rechtsstreit liegt weit zurück, im Jahr 2012. Damals betrieb Facebook, das heute zum Meta-Konzern gehört, ein sogenanntes „App-Zentrum“. Hier konnten Nutzerinnen und Nutzer eine Vielzahl von Online-Spielen, die von anderen Firmen (sogenannten Drittanbietern) stammten, direkt auf der Facebook-Plattform spielen – meist kostenlos.

Der Haken an der Sache lag im Kleingedruckten, oder besser gesagt, in dem Text, der unter dem verlockenden Button „Sofort spielen“ oder „Spiel spielen“ erschien. Wer hier klickte, stimmte nicht nur dem Spiel zu, sondern erlaubte der jeweiligen App weitreichende Zugriffe auf seine persönlichen Daten und gab ihr die Erlaubnis, im Namen des Nutzers Beiträge zu veröffentlichen.

Konkret hieß es dort beispielsweise: „Durch das Anklicken von ‘Spiel spielen’ oben erhält diese Anwendung: Deine allgemeinen Informationen, Deine E-Mail-Adresse, Über Dich, Deine Statusmeldungen. Diese Anwendung darf in deinem Namen posten, einschließlich dein Punktestand und mehr.“ Bei manchen Spielen war sogar von Fotos die Rede.

Das Problem: Mangelnde Transparenz und fehlende Einwilligung

Genau hier setzte die Kritik des Verbraucherzentrale Bundesverbands (vzbv) an. Der vzbv ist der Dachverband der deutschen Verbraucherzentralen und setzt sich für die Rechte von Konsumenten ein. Er argumentierte, dass diese Praxis von Facebook gegen zentrale Datenschutzprinzipien verstößt.

Das Hauptproblem war die mangelnde Transparenz. Für die Nutzer war kaum ersichtlich, welche Daten genau an wen weitergegeben wurden und vor allem, zu welchem Zweck diese Drittanbieter die Daten nutzen würden. Der pauschale Hinweis unter dem Button reichte nach Ansicht des vzbv nicht aus, um eine informierte Einwilligung der Nutzer zu erhalten.

Eine informierte Einwilligung bedeutet im Datenschutzrecht, dass Sie als Nutzer freiwillig und in Kenntnis der Sachlage zustimmen müssen, dass Ihre Daten verarbeitet werden. Sie müssen klar verstehen:

• Wer bekommt meine Daten? (Hier: die Spiele-App-Anbieter)
• Welche Daten genau? (Allgemeine Infos, E-Mail, Statusmeldungen etc.)
• Zu welchem Zweck werden sie verwendet? (Wurde hier kaum erklärt)
• Wie kann ich meine Einwilligung widerrufen?

Da diese Informationen im Facebook App-Zentrum unzureichend waren, konnten die Nutzer keine wirklich freie und informierte Entscheidung treffen. Der Klick auf „Spiel spielen“ war somit keine gültige Einwilligung im Sinne des Datenschutzes, so die Argumentation des vzbv. Dies verletze die Informationspflichten, die Unternehmen nach der europäischen Datenschutz-Grundverordnung (DSGVO) haben. Die DSGVO ist das zentrale Gesetz in der EU, das den Umgang mit personenbezogenen Daten regelt und Bürgerinnen und Bürgern mehr Kontrolle über ihre Daten geben soll.

Der lange Weg durch die Instanzen: vom Landgericht zum EuGH und zurück

Der vzbv zog gegen diese Praktiken vor Gericht. Was folgte, war ein juristisches Tauziehen, das über ein Jahrzehnt dauerte und durch alle wichtigen Gerichtsinstanzen in Deutschland und sogar bis zum höchsten Gericht der Europäischen Union führte.

Erste Erfolge für die Verbraucherschützer

Bereits im Oktober 2014 gab das Landgericht (LG) Berlin dem vzbv Recht. Es erklärte die Art und Weise, wie Facebook die Zustimmung zur Datenweitergabe und zum Posten im Namen der Nutzer einholte, für unzulässig. Facebook legte Berufung ein, doch auch die nächste Instanz, das Kammergericht (KG) Berlin (das Oberlandesgericht in Berlin), bestätigte im Wesentlichen die Entscheidung des Landgerichts.

Der Gang zum Bundesgerichtshof und die erste Runde beim EuGH

Facebook ließ nicht locker und legte Revision beim Bundesgerichtshof (BGH) ein. Der BGH ist in Deutschland die letzte Instanz für Zivil- und Strafsachen. Bevor der BGH jedoch selbst entschied, tat er etwas, das in Fällen mit Bezug zu EU-Recht üblich ist: Er setzte das Verfahren aus und legte dem Europäischen Gerichtshof (EuGH) in Luxemburg Fragen zur Vorabentscheidung vor. Der EuGH ist dafür zuständig, EU-Recht – wie die DSGVO – einheitlich auszulegen.

Eine zentrale Frage war: Dürfen Verbraucherschutzverbände wie der vzbv überhaupt wegen Verstößen gegen die DSGVO klagen, insbesondere wenn sie keinen konkreten Auftrag von einzelnen betroffenen Personen haben? Dies nennt man die Klagebefugnis von Verbänden oder auch Verbandsklagerecht.

Im Jahr 2022 traf der EuGH eine grundlegende Entscheidung (Rechtssache C-319/20): Ja, Verbraucherschutzverbände können auf Grundlage von Art. 80 Abs. 2 der DSGVO auch ohne Auftrag einzelner Betroffener gegen Datenschutzverstöße vorgehen, wenn das nationale Recht (also das deutsche Recht) dies vorsieht.

Die zweite Runde beim EuGH: Klärung bei Informationspflichten

Damit war aber noch nicht alles geklärt. Der BGH hatte Zweifel, ob dieses Verbandsklagerecht auch dann gilt, wenn es „nur“ um die Verletzung von Informationspflichten geht – also darum, dass ein Unternehmen seine Nutzer nicht ausreichend darüber aufklärt, was mit ihren Daten passiert (wie im Fall des App-Zentrums, geregelt in Art. 12 und 13 DSGVO). Der BGH legte dem EuGH daher im November 2022 erneut Fragen vor (Verfahren „App-Zentrum II“).

Die Frage lautete sinngemäß: Ist das Recht eines Nutzers auch dann „infolge einer Verarbeitung“ verletzt (wie es Art. 80 Abs. 2 DSGVO verlangt), wenn das Unternehmen lediglich seine Pflicht zur verständlichen Information über den Zweck der Datenverarbeitung und die Empfänger der Daten missachtet hat?

Im Juli 2024 kam die klare Antwort vom EuGH: Ja, auch Verstöße gegen die Informationspflichten nach Art. 12 DSGVO können von klagebefugten Verbänden geltend gemacht werden. Die Rechte der Nutzer werden auch dann verletzt, wenn sie nicht die Informationen erhalten, die sie für eine fundierte Entscheidung über ihre Daten benötigen.

Die Entscheidung des Bundesgerichtshofs: Ein Meilenstein für den Datenschutz (Az. I ZR 186/17)

Mit diesen klaren Vorgaben des EuGH im Rücken konnte der BGH nun am 27. März 2025 sein endgültiges Urteil im Fall des Facebook App-Zentrums fällen. Der I. Zivilsenat des BGH, der unter anderem für Wettbewerbsrecht zuständig ist, wies die Revision von Meta (Facebook) zurück. Das bedeutet: Die früheren Urteile des LG Berlin und KG Berlin bleiben bestehen, und der vzbv hat den Prozess gewonnen.

Die Kernbotschaft des BGH-Urteils ist: Verbraucherschutzverbände sind in Deutschland befugt, Datenschutzverstöße von Unternehmen vor Zivilgerichten zu verfolgen.

Rechtliche Grundlagen verständlich erklärt: DSGVO, UWG und UKlaG

Wie kommt der BGH zu dieser Entscheidung? Er stützt sich auf ein Zusammenspiel von EU-Recht und deutschem Recht:

• Artikel 80 Absatz 2 DSGVO: Diese Vorschrift der europäischen Datenschutz-Grundverordnung erlaubt es den EU-Mitgliedstaaten, in ihrem nationalen Recht festzulegen, dass bestimmte Organisationen (wie Verbraucherschutzverbände) Datenschutzverstöße verfolgen können, unabhängig von einem Auftrag einer betroffenen Person. Es geht darum, die Rechte von Betroffenen kollektiv zu schützen.
• Deutsches Recht (§ 8 UWG und § 3 UKlaG): Deutschland hat von der Möglichkeit nach Art. 80 Abs. 2 DSGVO Gebrauch gemacht. Die Klagebefugnis des vzbv ergibt sich aus zwei deutschen Gesetzen:

Dem Gesetz gegen den unlauteren Wettbewerb (UWG): § 8 Abs. 3 Nr. 3 UWG erlaubt qualifizierten Einrichtungen wie dem vzbv, gegen unlautere Geschäftspraktiken zu klagen. Datenschutzverstöße können als solche unlauteren Praktiken angesehen werden, wenn sie auch wettbewerbsrechtliche Relevanz haben (z.B. weil sich ein Unternehmen durch Missachtung von Datenschutzregeln einen Vorteil verschafft).

Dem Unterlassungsklagengesetz (UKlaG): § 3 Abs. 1 Satz 1 Nr. 1 UKlaG erlaubt diesen Einrichtungen, gegen die Verwendung unzulässiger Allgemeiner Geschäftsbedingungen (AGB) vorzugehen. Auch Datenschutzbestimmungen oder Einwilligungsmechanismen können als Teil von AGB gewertet werden.

Der BGH bestätigte nun, dass diese deutschen Gesetze im Lichte der DSGVO so auszulegen sind, dass sie eine solide Rechtsgrundlage für Verbandsklagen bei Datenschutzverstößen bieten.

Kein individueller Auftrag nötig: Kollektiver Schutz im Fokus

Besonders wichtig ist die Bestätigung durch den BGH (basierend auf der EuGH-Entscheidung), dass der vzbv keinen konkreten Auftrag von einem einzelnen betroffenen Facebook-Nutzer brauchte, um diese Klage zu führen. Es reicht aus, dass der Verband im Interesse einer Gruppe oder Kategorie von Personen handelt, deren Datenschutzrechte potenziell verletzt wurden – in diesem Fall die Nutzer des Facebook App-Zentrums.

Der BGH stellte klar: Es wäre unrealistisch und würde den Zweck des Verbandsklagerechts untergraben, wenn der Verband jede einzelne betroffene Person vorab identifizieren und einen Auftrag einholen müsste. Es genügt, wenn der Verband aufzeigt, dass die Rechte einer identifizierbaren Gruppe von Personen durch eine bestimmte Datenverarbeitungspraxis (wie die unzureichende Information im App-Zentrum) verletzt werden.

[themifybox]Wichtig: Der Bundesgerichtshof hat entschieden, dass qualifizierte Verbraucherschutzverbände wie der vzbv gestützt auf das deutsche Wettbewerbs- und Unterlassungsklagengesetz (UWG, UKlaG) und im Einklang mit der europäischen Datenschutz-Grundverordnung (DSGVO, Art. 80 Abs. 2) berechtigt sind, Datenschutzverstöße von Unternehmen vor Zivilgerichten einzuklagen. Sie benötigen dafür keinen Auftrag von einzelnen betroffenen Personen, sondern können im kollektiven Interesse der Verbraucher handeln.[/themifybox]

Was bedeutet das Urteil für Sie als Verbraucher? Mehr Schutz im digitalen Dschungel

Dieses Urteil ist weit mehr als nur eine juristische Spitzfindigkeit. Es hat konkrete positive Auswirkungen für Sie als Nutzerin und Nutzer digitaler Dienste:

• Stärkere Fürsprecher für Ihre Datenrechte: Neben den Datenschutzbehörden (wie dem Bundesdatenschutzbeauftragten oder den Landesdatenschutzbehörden), die Verstöße verfolgen und Bußgelder verhängen können, gibt es nun eine weitere starke Kraft: die Verbraucherschutzverbände. Sie können nun effektiver gegen Unternehmen vorgehen, die es mit dem Datenschutz nicht so genau nehmen. Sie agieren als „Anwälte der Allgemeinheit“ im Datenschutz.
• Mehr Druck auf Unternehmen: Das Urteil erhöht den Druck auf Unternehmen wie Meta, Google, Amazon und Co., die DSGVO und insbesondere die Pflicht zur transparenten Information und zur Einholung gültiger Einwilligungen ernster zu nehmen. Die Gefahr, von Verbraucherschutzverbänden verklagt zu werden, wirkt abschreckend.
• Effektiverer Kollektivrechtsschutz: Für Einzelpersonen ist es oft schwierig, aufwändig und teuer, gegen große Konzerne wegen Datenschutzverstößen vorzugehen. Das Verbandsklagerecht ermöglicht es, Rechtsverstöße, die viele Menschen betreffen, effizienter und gebündelt zu verfolgen.
• Sensibilisierung für Datenschutz: Solche Urteile und die damit verbundenen Klagen rücken das Thema Datenschutz stärker ins öffentliche Bewusstsein. Sie machen deutlich, dass Datenschutz kein abstraktes Konzept ist, sondern ein wichtiges Grundrecht, das auch im digitalen Raum Geltung hat.

Jutta Gurkmann vom vzbv fasste die Bedeutung treffend zusammen: „Viel zu oft stehen Verbraucher:innen datenhungrigen Anbietern im Internet hilflos gegenüber. Immer wieder ignorieren Anbieter Datenschutzpflichten und damit Datenschutzrechte von Verbraucher:innen. Hier braucht es neben den Datenschutzbehörden starke klagebefugte Verbraucherschutzverbände an der Seite der Verbraucher:innen.“

Datenschutz im Alltag: Worauf Sie selbst achten können

Auch wenn das BGH-Urteil den kollektiven Schutz stärkt, bleibt es wichtig, dass Sie selbst bewusst mit Ihren Daten umgehen. Hier einige Tipps, inspiriert durch den Fall des App-Zentrums:

Seien Sie skeptisch bei „kostenlosen“ Angeboten: Gerade bei kostenlosen Spielen oder Apps zahlen Sie oft indirekt – mit Ihren Daten. Fragen Sie sich: Welche Informationen gebe ich hier preis?

Lesen Sie Berechtigungsanfragen: Wenn eine App oder ein Dienst Zugriff auf Ihre Kontakte, Ihren Standort, Ihre Fotos oder Ihre E-Mail-Adresse möchte, überlegen Sie genau: Ist das für die Funktion wirklich notwendig? Seien Sie besonders vorsichtig, wenn eine App in Ihrem Namen posten möchte.

Achten Sie auf Einwilligungs-Texte: Nehmen Sie sich kurz Zeit, die Hinweise bei Einwilligungs-Buttons („Ich stimme zu“, „Akzeptieren“, „Spiel spielen“) zu lesen. Sind sie verständlich? Wird klar, wer welche Daten zu welchem Zweck erhält? Im Zweifel: Lieber ablehnen oder den Dienst nicht nutzen.

Nutzen Sie Datenschutzeinstellungen: Soziale Netzwerke und Betriebssysteme bieten oft detaillierte Einstellungsmöglichkeiten, wer Ihre Daten sehen darf und welche Apps Zugriff haben. Überprüfen Sie diese regelmäßig und schränken Sie Zugriffe ein, wo es geht.

Informieren Sie sich: Die Verbraucherzentralen bieten auf ihren Webseiten viele Informationen und Beratung zum Thema Datenschutz im digitalen Alltag an.

Ausblick: Die Zukunft des digitalen Verbraucherschutzes in Deutschland und Europa

Das BGH-Urteil ist ein wichtiger Baustein für einen stärkeren digitalen Verbraucherschutz. Es wird voraussichtlich Auswirkungen auf viele weitere Gerichtsverfahren haben, in denen ähnliche Fragen zur Klagebefugnis von Verbänden im Datenschutzrecht eine Rolle spielen. BGH-Anwalt Peter Wassermann, der den vzbv vertrat, sprach von einer „Fülle von Verfahren“, die nun möglicherweise im Sinne der Verbraucher entschieden werden können.

Das Urteil reiht sich ein in eine Entwicklung, bei der Gerichte in Europa zunehmend die Rechte von Nutzerinnen und Nutzern gegenüber den großen Tech-Plattformen stärken. Es unterstreicht die Bedeutung der DSGVO als wirksames Instrument zum Schutz der Privatsphäre.

Es bleibt abzuwarten, wie Unternehmen auf dieses Urteil reagieren werden. Idealerweise führt es zu mehr Transparenz und datenschutzfreundlicheren Praktiken von Anfang an („Privacy by Design“ und „Privacy by Default“). Die Möglichkeit von Verbandsklagen gibt den Verbraucherschützern jedenfalls ein schärferes Schwert in die Hand, um dies notfalls auch gerichtlich durchzusetzen. Der Schutz Ihrer Daten im Netz hat damit einen wichtigen Verbündeten gewonnen.

Zusammenfassung: Das Wichtigste auf einen Blick

Der Bundesgerichtshof (BGH) hat am 27. März 2025 entschieden (Az. I ZR 186/17), dass Verbraucherschutzverbände (wie der vzbv) in Deutschland Datenschutzverstöße von Unternehmen wie Meta (Facebook) vor Zivilgerichten einklagen dürfen.

Anlass war ein Fall aus dem Jahr 2012 um das Facebook „App-Zentrum“, bei dem Nutzer durch Klick auf „Spiel spielen“ unklar über die Weitergabe ihrer Daten an Spiele-Anbieter und das Posten in ihrem Namen informiert wurden.

Der BGH bestätigte nach Vorlagen an den Europäischen Gerichtshof (EuGH), dass die DSGVO (Art. 80 Abs. 2) in Verbindung mit deutschen Gesetzen (UWG, UKlaG) diese Klagebefugnis (Verbandsklagerecht) begründet.

Entscheidend ist: Verbände brauchen keinen Auftrag von einzelnen Betroffenen, um im kollektiven Interesse gegen Datenschutzverstöße (auch bei Verletzung von Informationspflichten) vorzugehen.

Das Urteil stärkt den Verbraucherschutz im digitalen Raum erheblich, erhöht den Druck auf Unternehmen zur Einhaltung der DSGVO und gibt Nutzern neben den Datenschutzbehörden einen weiteren starken Fürsprecher für ihre Rechte.