Facebook-/Meta-Datenleck: DSGVO-Schadensersatz prüfen – Kontrollverlust genügt (BGH VI ZR 10/24)
Nach dem Facebook-/Meta-Datenleck von 2021 können Betroffene immateriellen Schadensersatz nach Art. 82 DSGVO verlangen. Der BGH (VI ZR 10/24, Urteil v. 18.11.2024) stellte klar: Schon der bloße Kontrollverlust über die eigenen Daten genügt – als Orientierung rund 100 €. Wege sind die kostenlose Anmeldung zur vzbv-Musterfeststellungsklage, die die Verjährung hemmt, oder eine Einzelklage.
Prüfen Sie Ihre Betroffenheit mit dem Betroffenheits-Check, vergleichen Sie die drei Wege oder springen Sie direkt zum Muster-Auskunftsersuchen. Den allgemeinen Ablauf von Auskunft und Löschung nach DSGVO erklärt die Seite Datenschutz: Auskunft & Löschung.
Erst Betroffenheit belegen, dann den richtigen Weg wählen.
SpecterAI ordnet Ihren Fall ein: ob Sie betroffen sind, welcher Weg passt – Verbandsklageregister oder Einzelklage – und erzeugt das passende Art.-15-Auskunftsersuchen an Meta mit Ihren Daten.
Kurzantwort: Schadensersatz nach dem Datenleck
Wer vom Facebook-/Meta-Datenleck betroffen ist, hat dem Grunde nach einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO. Der BGH hat im ersten Leitentscheidungsverfahren entschieden (Urteil v. 18.11.2024, VI ZR 10/24): Bereits der bloße Kontrollverlust über die eigenen Daten ist ein ersatzfähiger immaterieller Schaden. Als Orientierung nennt der BGH rund 100 € für den reinen Kontrollverlust.
100 € ist ein Richtwert
Der Betrag ist ein Orientierungswert des Tatrichters, kein garantierter Betrag. Die Höhe entscheidet das Gericht im Einzelfall; mehr gibt es nur bei zusätzlich nachgewiesenen Folgen.
Zwei Wege
(1) kostenlose Anmeldung zur vzbv-Musterfeststellungsklage über das Verbandsklageregister (hemmt die Verjährung, zahlt aber nicht automatisch aus) oder (2) eine Einzelklage gegen Meta.
Hinweis: Dieser Beitrag bietet allgemeine Information und keine Rechtsberatung. Es gibt keine Ergebniszusage – wegen der Verjährungsfragen empfiehlt sich im Zweifel eine individuelle Prüfung.
Datenleck, Kontrollverlust und Weg
Betroffenheit und Anspruch einordnen lassen.
Kostenlos starten · DSGVO-konform · Keine Kreditkarte
Worum es geht: Das Facebook-/Meta-Datenleck 2021
Die Daten von rund 533 Mio. Facebook-Nutzern weltweit (etwa 6 Mio. in Deutschland) wurden per sogenanntem Scraping über die Kontaktimport- bzw. Telefonnummer-Suchfunktion abgegriffen – über diese Lücke, vor deren Schließung durch Facebook im August 2019 – und anschließend im April 2021 öffentlich in einschlägigen Foren veröffentlicht. Angreifer konnten über die Suchfunktion massenhaft Profile mit hinterlegten Telefonnummern verknüpfen. Verantwortlicher im Sinne der DSGVO ist Meta Platforms Ireland Ltd.
Betroffene Datenfelder (laut Auswertungen des Leaks)
Als Anspruchsgrundlage kommen verschiedene Pflichtverstöße in Betracht, über die die Gerichte streiten:
- Unzureichende technisch-organisatorische Maßnahmen gegen das massenhafte Auslesen über die Suchfunktion (Art. 32 DSGVO).
- Verstoß gegen Integrität und Vertraulichkeit der Verarbeitung (Art. 5 Abs. 1 lit. f DSGVO).
- Fehlende bzw. unzureichende Rechtsgrundlage für die Such-/Importfunktion in ihrer damaligen Ausgestaltung (Art. 6 DSGVO).
Nur verifizierte Fakten: Die genannten Zahlen und das Aktenzeichen VI ZR 10/24 sind belegt. Erfundene Zahlen oder Aktenzeichen kommen hier bewusst nicht vor.
Bin ich betroffen? Prüfung und Auskunft nach Art. 15
Der erste Schritt ist die Frage: Bin ich überhaupt betroffen? Betroffen ist regelmäßig, wer 2021 eine Handynummer im Facebook-Profil hinterlegt hatte oder über die Telefonnummer-Suche auffindbar war. So klären Sie das:
- Kostenlose Selbstauskunft (Art. 15 DSGVO): Fordern Sie bei Meta Auskunft an, ob und welche Daten zu Ihnen verarbeitet wurden und ob diese vom Scraping-Vorfall 2021 betroffen sind. Das passende Muster-Auskunftsersuchen finden Sie weiter unten.
- Leak-Checker als Indiz: Bekannte Dienste (z. B. haveibeenpwned) können einen Hinweis geben, ob Ihre Daten in bekannten Leaks auftauchen – das ist ein Indiz, aber kein Beweis.
Die Art.-15-Auskunft hilft doppelt: Sie belegt die Betroffenheit und den Umfang der Daten und dient damit der Beweissicherung für den Kontrollverlust. Den allgemeinen Ablauf der DSGVO-Auskunft erklärt die Pillar-Seite Datenschutz: Auskunft & Löschung nach DSGVO.
Betroffenheits-Check: betroffen, dann welcher Weg?
Beantworten Sie die Fragen Schritt für Schritt. Der Check arbeitet ausschließlich in Ihrem Browser – es werden keine Daten übertragen oder gespeichert. Am Ende erhalten Sie eine Einschätzung und den passenden nächsten Schritt. Das ersetzt keine individuelle Rechtsberatung.
Frage 1 von max. 3
War 2021 Ihre Handynummer in Ihrem Facebook-Profil hinterlegt oder waren Sie über die Telefonnummer-Suche auffindbar?
Die BGH-Linie: Kontrollverlust genügt (VI ZR 10/24)
Mit dem Urteil vom 18.11.2024 (VI ZR 10/24) hat der BGH im ersten Leitentscheidungsverfahren die zentrale Frage zum Facebook-Datenleck geklärt. Kernaussage: Der bloße Verlust der Kontrolle über die eigenen personenbezogenen Daten ist bereits ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO.
- Kein Nachweis eines konkreten Missbrauchs erforderlich – weder eine finanzielle Einbuße noch eine besondere psychische Beeinträchtigung muss belegt werden.
- Orientierungswert ca. 100 € allein für den Kontrollverlust. Höhere Beträge nur bei zusätzlich dargelegten und erwiesenen Folgen (z. B. Spam, Betrugsversuche, Identitätsmissbrauch).
Ehrliche Einordnung: Betroffenheit und Kontrollverlust müssen Sie dennoch darlegen. Die konkrete Höhe bewerten die Instanzgerichte weiterhin unterschiedlich – der BGH gibt mit den rund 100 € nur einen Rahmen vor.
Welcher Weg? Klageregister, Einzelklage oder abwarten
Wer betroffen ist, hat im Wesentlichen drei Optionen. Zentral ist die Musterfeststellungsklage des vzbv gegen Meta: Der vzbv klagt gebündelt; betroffene Verbraucher melden sich kostenlos im Verbandsklageregister beim Bundesamt für Justiz an. Eine wirksame Anmeldung hemmt die Verjährung (§ 204a BGB) – das ist für viele der entscheidende Vorteil. Wichtig: Die Musterfeststellungsklage klärt nur die Haftung dem Grunde nach und zahlt nicht direkt an die Angemeldeten aus; Geld fließt erst über einen späteren individuellen Anspruch oder einen Vergleich.
Wege zum DSGVO-Schadensersatz im Vergleich
| Weg | Kosten | Aufwand | Verjährungshemmung | Mögliche Höhe | Risiko / Nachteile |
|---|---|---|---|---|---|
| Verbandsklageregister (vzbv-Musterfeststellungsklage) | kostenlos | gering (Anmeldung) | Ja – § 204a BGB | keine direkte Auszahlung; erst nach Urteil/Vergleich über eigenen Anspruch (Orientierung ~100 €) | langwierig, an Ausgang gebunden; Anmeldefenster/Status prüfen |
| Einzelklage | Gerichts-/Anwaltskosten bzw. Rechtsschutz | höher | Ja – ab Klageerhebung | individuell (~100 € aufwärts je nach Folgen) | Prozess- und Kostenrisiko |
| Abwarten / nichts tun | keine | keiner | Nein | 0 € | Anspruch kann verjähren |
Keine Zusage fester Auszahlungen: Die mögliche Höhe hängt vom Einzelfall und – im Register – vom Ausgang der Musterfeststellungsklage ab. Der Orientierungswert von rund 100 € betrifft den reinen Kontrollverlust.
Aktueller Stand (vor der Anmeldung prüfen): Der vzbv hat seine Musterfeststellungsklage gegen Meta am 09.12.2024 beim Hanseatischen Oberlandesgericht (OLG) Hamburg eingereicht. Das Klageregister beim Bundesamt für Justiz ist seit dem 05.05.2025 geöffnet; die erste mündliche Verhandlung fand am 10.10.2025 statt, das Gericht hielt einen Vergleich für möglich. Da sich der Verfahrensstand ändern und das Anmeldefenster schließen kann, prüfen Sie das aktuelle Anmeldefenster und den Status unbedingt direkt im Verbandsklageregister beim Bundesamt für Justiz, bevor Sie sich anmelden.
Separater Hinweis: Daneben gibt es ein eigenständiges Abhilfeklage-Verfahren gegen Meta (getragen vom Verbraucherschutzverein VSV, OLG Hamburg, Az. 11 VKl 1/25, Register seit 24.11.2025). Das ist ein anderes Verfahren als die hier dargestellte vzbv-Musterfeststellungsklage; Status und Anmeldung jeweils separat beim Bundesamt für Justiz prüfen.
Verjährung: Welche Frist gilt jetzt?
Für den Schadensersatzanspruch gilt die regelmäßige Verjährung. Maßgeblich sind diese Eckpunkte – mit einem gerichtlich umstrittenen Fristbeginn:
Verjährung im Überblick
Frist
3 Jahre (§ 195 BGB)
Beginn
Jahresende bei Kenntnis (§ 199 Abs. 1 BGB)
Hemmung
Anmeldung zum Register (§ 204a BGB)
Stellt man auf eine Kenntnis im Jahr der Veröffentlichung (2021) ab, wäre die Regelverjährung Ende 2024 abgelaufen. Der genaue Fristbeginn ist jedoch gerichtlich umstritten.
Die Konsequenz: Für viele Betroffene ist die Anmeldung zur Musterfeststellungsklage der entscheidende Hebel, weil sie die Verjährung hemmt (§ 204a BGB). Ob ein Einzelanspruch noch durchsetzbar ist, lässt sich nicht pauschal zusagen – das hängt vom individuellen Fristbeginn ab.
Individuell prüfen: Lassen Sie Ihre konkrete Frist und den aktuellen Status der Musterfeststellungsklage prüfen, bevor Sie sich auf einen Weg festlegen. Eine pauschale Zusage zur Durchsetzbarkeit gibt es nicht.
Muster: Auskunftsersuchen nach Art. 15 DSGVO an Meta
Mit diesem kostenlosen Schreiben stellen Sie fest, ob Sie betroffen sind, und sichern den Nachweis für den Kontrollverlust. Tauschen Sie die Platzhalter in eckigen Klammern gegen Ihre Angaben aus. Die Anschrift von Meta sollten Sie vor dem Versand aus einer offiziellen Quelle (Impressum / Datenschutzhinweise) verifizieren.
Muster – Auskunftsersuchen nach Art. 15 DSGVO
Meta Platforms Ireland Ltd.
[Anschrift Meta]
Betreff: Antrag auf Auskunft nach Art. 15 DSGVO
Sehr geehrte Damen und Herren,
hiermit beantrage ich nach Art. 15 DSGVO eine vollständige und kostenlose Auskunft über alle zu meiner Person verarbeiteten Daten, eine Kopie dieser Daten sowie Angaben zu Herkunft, Empfängern, Speicherdauer und Verarbeitungszwecken.
Ich bitte zudem um Mitteilung, ob meine personenbezogenen Daten – insbesondere meine Telefonnummer – von dem im April 2021 öffentlich gewordenen Scraping-/Datenabfluss-Vorfall betroffen sind.
Meine Identifikationsdaten: [Name], [bei Facebook hinterlegte Telefonnummer/E-Mail], [Profil-URL/Nutzername].
Bitte übersenden Sie die Auskunft innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).
Mit freundlichen Grüßen
[Name] · [Anschrift] · [Ort, Datum] · [Unterschrift]
Die Auskunft nach Art. 15 DSGVO ist kostenlos und dient als Nachweis Ihrer Betroffenheit und des Kontrollverlusts. Antwort grundsätzlich innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).
Häufige Fragen zum Facebook-/Meta-Datenleck
Bin ich vom Facebook-Datenleck betroffen?
Betroffen ist, wessen Handynummer 2021 im Facebook-Profil hinterlegt bzw. über die Telefonnummer-Suche auffindbar war – in Deutschland rund 6 Mio. Nutzer. Ob das auf Sie zutrifft, klären Sie am sichersten mit einer kostenlosen Art.-15-Auskunft bei Meta; ergänzend können bekannte Leak-Checker (z. B. haveibeenpwned) ein Indiz liefern, sind aber kein Beweis. Eine pauschale Garantie über die Betroffenheit gibt es nicht.
Wie viel Schadensersatz bekomme ich beim Facebook-Datenleck?
Der BGH nennt für den bloßen Kontrollverlust einen Orientierungswert von rund 100 € (Urteil v. 18.11.2024, VI ZR 10/24). Das ist ausdrücklich ein Richtwert, kein garantierter Betrag – die Höhe legt das Gericht im Einzelfall fest. Höhere Beträge kommen nur in Betracht, wenn zusätzliche Folgen wie Spam, Betrugsversuche oder Identitätsmissbrauch dargelegt und nachgewiesen werden.
Muss ich einen konkreten Schaden oder Missbrauch nachweisen?
Nein. Nach dem BGH (VI ZR 10/24) genügt der bloße Verlust der Kontrolle über die eigenen Daten als immaterieller Schaden i. S. v. Art. 82 Abs. 1 DSGVO. Ein Nachweis von konkretem Missbrauch, finanzieller Einbuße oder besonderer psychischer Beeinträchtigung ist nicht erforderlich. Darlegen müssen Sie aber Ihre Betroffenheit und den Kontrollverlust.
Ist mein Anspruch aus dem Datenleck schon verjährt?
Es gilt die regelmäßige Verjährung von drei Jahren (§ 195 BGB), beginnend zum Schluss des Jahres, in dem der Anspruch entstand und Sie Kenntnis hatten (§ 199 Abs. 1 BGB). Stellt man auf eine Kenntnis im Jahr der Veröffentlichung (2021) ab, wäre die Regelverjährung Ende 2024 abgelaufen – der genaue Fristbeginn ist jedoch gerichtlich umstritten. Eine wirksame Anmeldung zum Verbandsklageregister hemmt die Verjährung (§ 204a BGB). Lassen Sie Ihre Frist individuell prüfen; eine pauschale Zusage zur Durchsetzbarkeit ist nicht möglich.
Klageregister-Anmeldung oder eigene Klage – was ist besser?
Das hängt vom Einzelfall ab. Die Anmeldung zur vzbv-Musterfeststellungsklage im Verbandsklageregister ist kostenlos, aufwandsarm und hemmt die Verjährung, ist aber langwierig und vom Ausgang des Verfahrens abhängig. Wichtig: Eine Musterfeststellungsklage klärt nur die Haftung dem Grunde nach und zahlt nicht automatisch aus – nach einem erfolgreichen Urteil oder einem Vergleich müssen Sie Ihren individuellen Anspruch noch durchsetzen bzw. am Vergleich teilnehmen. Eine Einzelklage ist individuell und potenziell schneller oder höher, trägt jedoch ein Kosten- und Prozessrisiko – sinnvoll vor allem mit Rechtsschutzversicherung oder bei nachgewiesenen Zusatzschäden.
Kann ich gleichzeitig im Klageregister angemeldet sein und einzeln klagen?
Für denselben Anspruch können Sie nicht doppelt vorgehen. Mit wirksamer Anmeldung zur vzbv-Musterfeststellungsklage besteht eine Bindungswirkung; für denselben Anspruch ist daneben keine separate Einzelklage möglich. Eine Abmeldung ist nur bis zu einem bestimmten Zeitpunkt möglich, danach gilt die Bindung an das Verfahren. Die genauen Fristen und der Status hängen vom konkreten Verfahren ab und sollten beim Bundesamt für Justiz verifiziert werden.
Anspruch in rund zwei Minuten prüfen
Lassen Sie Betroffenheit und Anspruch von SpecterAI einordnen – und erzeugen Sie das passende Art.-15-Auskunftsersuchen an Meta mit Ihren Daten. Kostenlos starten, DSGVO-konform, Serverstandort Deutschland.
Weiterführende Themen
- Datenschutz: Auskunft & Löschung nach DSGVO – der allgemeine Ablauf von Auskunft, Berichtigung und Löschung.
- SCHUFA-Eintrag löschen: Frist, Muster & Reform – Betroffenenrechte gegenüber Auskunfteien.
Quellen
- Datenschutz-Grundverordnung (DSGVO), Verordnung (EU) 2016/679 – Art. 5 Abs. 1 lit. f, Art. 6, Art. 12 Abs. 3, Art. 15, Art. 32, Art. 82 (EUR-Lex, eur-lex.europa.eu).
- BGH, Urteil v. 18.11.2024 – VI ZR 10/24 (Kontrollverlust als immaterieller Schaden, Orientierung ~100 €), mit Pressemitteilung des BGH (bundesgerichtshof.de).
- § 195 BGB (regelmäßige Verjährungsfrist), § 199 BGB (Beginn der Verjährung) und § 204a BGB (Hemmung durch Anmeldung zum Verbandsklageregister), gesetze-im-internet.de.
- Verbraucherrechtedurchsetzungsgesetz (VDuG) – Musterfeststellungsklage und Verbandsklageregister beim Bundesamt für Justiz (bundesjustizamt.de); Status und Anmeldefenster zum jeweiligen Verfahren dort verifizieren.
- vzbv-Information zur Musterfeststellungsklage gegen Meta (eingereicht 09.12.2024 beim OLG Hamburg, Klageregister beim Bundesamt für Justiz seit 05.05.2025) – aktuellen Stand prüfen (vzbv.de).
Dieser Beitrag bietet allgemeine Information und keine Rechtsberatung; es besteht keine Ergebniszusage. Der Fristbeginn der Verjährung und der Status der vzbv-Musterfeststellungsklage sind im Einzelfall zu prüfen. Im Zweifel wenden Sie sich an die Verbraucherzentrale, die zuständige Datenschutz-Aufsichtsbehörde oder eine Anwältin bzw. einen Anwalt.
