Welche Fahrzeuge sind betroffen?

Von den ausgewerteten Daten sind laut CCC bisher folgende Modelle betroffen:

• Audi Q4
• Audi Q6
• Skoda Elroq
• Skoda Enyaq
• Seat Born
• Seat Tavascan
• VW ID.3
• VW ID.4
• VW ID.5
• VW ID.7

Allerdings sind die Daten der Marken Audi und Skoda in den Standortdaten um eine Positionsstelle gekürzt worden, sodass der Standort nur grob aufgelöst werden kann.

Bei VW und Seat seien die Bewegungsdaten vollständig gespeichert worden.

Welcher Zeitraum wurde ausgewertet?

Der CCC konnte über 893 Mio. Geokoordinaten aus dem zugespielten Datensatz auswerten, die sich zeitlich wie folgt verteilen:

• Seat: Dezember 2023 bis September 2024
• VW: September 2023 bis September 2024
• Audi: Februar 2024 bis September 2024
• Skoda: Juli 2024 bis September

Ob darüber hinausgehende Datensätze existieren, ist aktuell nicht bekannt. CARIAD hat auf den Hinweis des CCC hin die Sicherheitslücke zügig geschlossen. Der CCC lobte die schnelle Reaktion.

Welche Datenschutzverstöße liegen vor?

Das Datenleck sei auch dem Landesbeauftragten für den Datenschutz Niedersachsen gemeldet worden. Aufgrund der detaillierten Veröffentlichung des CCC scheinen insbesondere folgende Punkte rechtlich relevant zu werden:

1. Unzureichende technisch-organisatorische Maßnahmen (TOM) zum Schutz der personenbezogenen Daten gem. Art. 32 DSGVO
2. Unzulässige Speicherung ungekürzter Bewegungsdaten ohne Einwilligung oder Erforderlichkeit gem. Art. 6 Abs. 1 lit. a) bzw. f) DSGVO

Wie diese erhobenen Daten durch VW bzw. CARIAD genutzt worden sind, wird im Rahmen von Auskunftsersuchen aufzuklären sein.

Rechtlich interessant wird dabei auch die Frage sein, ob durch die Geodaten und die Möglichkeit der Ableitung von Aufenthalten in Kirchen, Krankenhäusern uvm. auch die besonders geschützten “besonderen Kategorien personenbezogener Daten” gem. Art. 9 DSGVO angenommen werden können, bei denen ein grundsätzliches Verarbeitungsverbot besteht. Dies würde eine mögliche Entschädigung erhöhen können.

Welche Ansprüche haben Betroffene des VW-Datenskandals?

Zu den möglichen Ansprüchen gegen VW bzw. CARIAD zählen:

• Entschädigungsansprüche für die aus unserer Sicht unzulässige Datenerhebung exakter Standortdaten,
• Entschädigungsansprüche für die aus unserer Sicht unzureichende IT-Sicherheit,
• Unterlassungsansprüche
• Löschungs- und Auskunftsansprüche

Die Höhe der Entschädigung wird für Betroffene dabei ein wichtiges Kriterium sein:

“Wir werden uns nicht an dem Überbietungs-Wettbewerb beteiligen, mit dem vermeintliche Höchstentschädigungen versprochen werden. Die Höhe der Entschädigung wird ein Gericht festlegen. Wichtig ist deshalb ein realistisches Erwartungsmanagement und eine transparente Aufklärung im Vorfeld”, 

so Tim Platner, Geschäftsführer von VINQO und COO der VINQO Rechtsanwälte.

Betroffene schließen sich zusammen

Betroffene, die gegen VW bzw. CARIAD vorgehen möchten, können ihr Interesse unverbindlich und kostenfrei an einer möglichen “Sammelklage” anmelden. Ziel ist es, bei genügend Anmeldungen eine Bündelung zu erzielen.

“Wir haben nach nicht einmal 1,5 Tagen zahlreiche Anmeldungen verzeichnet und prüfen, welches Vorgehen auch mit Verbraucherverbänden hier angeboten werden kann. Die Abstimmungen laufen dazu aktuell auf Hochtouren. Je mehr Betroffene sich unverbindlich anmelden, desto eher lassen sich Ansprüche bündeln und Prozesskosten reduzieren”,

so Platner weiter.

Laut BGH Beschluss vom 31.10.2024 seien – auch unter Verweis auf OLG-Entscheidungen –

• Beim Senat des BGH bisher 25 Revisionen anhängig und 
• mehr als 6.000 laufende Klageverfahren in den Vorinstanzen 

Hieraus ergaben sich folgende Probleme:

• die Klagen wurden neben der eigentlichen Entschädigung mit Unterlassungs-, Feststellungs- und Auskunftsanträgen „aufgepumpt„. Hierdurch konnten höheren Rechtsanwaltskosten abgerechnet werden. Die Anträge waren jedoch ganz überwiegend unzulässig oder unbegründet. Hierdurch blieben Kläger, selbst wenn ein gewisses Schmerzensgeld zuerkannt worden ist, auf den überwiegenden Prozesskosten sitzen. 
• Bei der Entschädigung bleibt bis zuletzt streitig, wann ein „Schaden“ vorlag. Denn der eigentliche Datenschutzverstoß führt nicht automatisch zu einem Schadenersatz. Für einen Ersatz braucht es einen Schaden. Die Massenverfahren wurden jedoch meist nur textbausteinartig und damit nicht ausreichend begründet. 
• Die Rechtsprechung ist bisher uneinheitlich. Der Bundesgerichtshof entscheidet am 11.11.2024 erstmals in einem Leitentscheidungsverfahren umfassend hinsichtlich derartiger Entschädigungsansprüche 

Hierdurch sind die bisherigen Facebook-Scraping-Verfahren für Kläger in wirtschaftlicher Hinsicht häufig wenig erfolgreich gewesen. 

Aufgrund der vielen, ungeklärten Rechtsfragen sind diese Klageverfahren deshalb vor dem Bundesgerichtshof als Revisionsinstanz gelandet. 

Zurückgezogene BGH-Revisionen 

Der BGH hätte bereits über einen Monat früher, nämlich am 08.10.2024 (Verfahren VI ZR 7/24 und VI ZR 22/24) über diese Scraping-Verfahren verhandeln wollen. 

Diese Revisionen sind jedoch vorzeitig zurückgenommen worden, sodass der BGH sich hierzu nicht mehr äußern konnte. Ob hier Facebook bzw. Meta den Klägern diese Verfahren vorzeitig „abgekauft“ hat, damit der BGH hierüber nicht mehr entscheiden konnte, ist nicht sicher bekannt. 

Doch der BGH reagierte hierauf – höchst vorsorglich -mit einem Leitentscheidungsverfahren:

Was der BGH entschieden hat

Der BGH die Verfahren für den 11.11.2024 als erste Leitentscheidungsverfahren bestimmt. Hierdurch kann der BGH sich auch noch dann zu den Rechtsfragen äußern, wenn die Kläger die Revision doch noch vorzeitig zurücknehmen sollten. 

Die Verfahren sind in der ersten und zweiten Instanz durch die Kanzlei „WBS LEGAL“ betrieben worden. Vor dem BGH kann die Kanzlei jedoch nicht auftreten, da in Zivilverfahren vor dem BGH nur besonders zugelassene BGH-Anwälte auftreten dürfen. 

Über welche Fragen hat der BGH verhandelt?

Der BGH hat im Scraping-Komplex folgende Rechtsfragen für besonders relevant erachtet: 

a) Liegt in der Implementierung der sog. Kontakt-Import-Funktion in Verbindung mit der Standardvoreinstellung „alle“ ein Verstoß der Beklagten gegen die Datenschutz-Grundverordnung im Sinne des Art. 82 Abs. 1 DSGVO?

b) Ist der bloße Verlust der Kontrolle über die gescrapten und nunmehr mit der Mobiltelefonnummer des Betroffenen verknüpften Daten geeignet, einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO zu begründen? Falls ja, wie wäre der Ersatz für einen solchen Schaden zu bemessen?

c) Welche Anforderungen sind an die Substantiierung einer Schadensersatzklage nach Art. 82 Abs. 1 DSGVO zu stellen?

d) Reicht die bloße Möglichkeit des Eintritts künftiger Schäden in einem
Fall wie dem vorliegenden aus, um ein Feststellungsinteresse im Sinne des § 256 Abs. 1 ZPO zu begründen?

e) Genügen die vom Kläger gestellten Anträge, dass die Beklagte es unterlasse,
– personenbezogene Daten der Klägerseite unbefugten Dritten über eine
Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach
dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die
Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern, und
– die Telefonnummer des Klägers auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen
durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf ‚privat‘ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit
hierfür die Berechtigung verweigert und, im Falle der Nutzung der FacebookMessenger App, hier ebenfalls explizit die Berechtigung verweigert wird,

dem Bestimmtheitsgebot des § 253 Abs. 2 Nr. 2 ZPO?

Was hat der BGH in der mündlichen Verhandlung entschieden?