Facebook verliert datenschutzrechtlich gegen Facebooknutzer

Im Mittelpunkt der Entscheidung stehen die datenschutzrechtlichen Folgen der Weitergabe personenbezogener Daten an Facebook ohne wirksame Einwilligung der Betroffenen. Für Unternehmen stellt sich dabei insbesondere die Frage, unter welchen Voraussetzungen personenbezogene Daten, die zuvor von anderen Unternehmen erhoben wurden, rechtmäßig erlangt und genutzt werden dürfen. Für Nutzer rückt hingegen in den Fokus, welche rechtlichen Möglichkeiten ihnen gegen eine unzulässige Weitergabe und Verarbeitung ihrer Daten zustehen. Wer solche Konstellationen systematisch im Kontext des Datenschutzrechtes einordnen möchte, findet dort den tragenden Rahmen.

Praxisrelevanz

Von besonderer praktischer Relevanz ist die Entscheidung sowohl für Nutzer von Meta Business Tools als auch für Facebook- und Instagram-Nutzer. Unternehmen, die Meta Business Tools einsetzen, können sich bei datenschutzrechtswidriger Nutzung haftbar machen.

1. Schneller Einstieg

Die Entscheidung des OLG Dresden vom 03.02.2026 – 4 U 292/25 – befasst sich mit dem Einsatz von Meta Business Tools durch Unternehmen. Im Mittelpunkt des Rechtsstreits steht die Frage, ob eine wirksame Einwilligung der Betroffenen vorlag, die durch das Akzeptieren von Cookies erteilt worden sein soll. Diese Business-Tools von Meta dienen dazu, personenbezogene Daten zu sammeln, um das Kaufverhalten der Kunden zu analysieren, indem sie die Kunden-Interaktionen auswerten. Dabei greifen diese Tools häufig auf Cookies zurück. Cookies sind eine Art von Technologie, die sich mit dem menschlichen Gedächtnis vergleichen lässt. Sie merken sich Nutzeranmeldungsdaten, Präferenzen der Nutzer usw. Die mithilfe der Tools erhobenen Daten werden anschließend auch an Meta übermittelt. Genau diese Übermittlung an Meta ist jedoch nicht von der erteilten Cookie-Einwilligung gedeckt. Meta nutzt die erhaltenen Daten anschließend zur Personalisierung von Werbung. Das ist der Grund, warum ein Produkt, das zuvor beispielsweise auf Otto gesucht wurde, später als Werbung auf Facebook angezeigt wird. Für die rechtliche Einordnung einer solchen Konstellation sind insbesondere Aspekte des Datenschutzrechts von Bedeutung.

Worum es in der Entscheidung im Kern geht

Das OLG Dresden verneint, dass durch das Akzeptieren von Cookies eine wirksame Einwilligung in die Weitergabe personenbezogener Daten an Meta vorliegt. Das Gericht ist ferner der Ansicht, dass auch ohne Einwilligung des Nutzers bestimmte nutzerbezogene Daten von Meta an andere Unternehmen weitergegeben werden.

Rechtlicher Kern

Die Beklagte – Meta – verarbeitet personenbezogene Daten im Sinne der Art. 6 und 9 DSGVO i. V. m. Art. 4 DSGVO rechtswidrig, indem sie personenbezogene Daten von Drittunternehmen erhält und zugleich Daten von Facebook- und Instagramnutzern an diese Drittunternehmen übermittelt.

2. Hintergrund des Verfahrens

Meta ermöglicht ihren Geschäftskunden – insbesondere werbetreibenden Unternehmen – gegen Entgelt die Schaltung zielgerichteter, personalisierter Werbung an. Dies erfolgt über Business-Tools, die von den Geschäftspartnern von Meta auf zahlreichen und teilweise reichweitenstarken Webseiten, Servern oder Apps eingebunden werden. „Meta Pixel“ ist ein solches Business-Tool. Durch diese Tools werden Kontaktinformationen und Event-Daten gespeichert und an Meta gesendet.

In den Nutzungsbedingungen der Business Tools ist vorgesehen, dass keine sensiblen Daten im Sinne des Art. 9 DSGVO, z.B. Gesundheitsdaten, übermittelt werden sollen. Die Verantwortung hierfür liegt beim jeweiligen Drittunternehmen, welches die Business Tools verwendet. Zudem müssen bestimmte Informationen vorher „gehasht“ werden, bevor sie an Meta gesendet werden. Hashing ist eine kryptografische Einwegfunktion. Dabei werden personenbezogene Daten in der Regel in pseudonymisierte Daten in Form von Hashwerten überführt, die ohne zusätzliche Informationen nicht ohne Weiteres einer bestimmten Person zugeordnet werden können.

Auf Instagram und Facebook heißt es unter anderem, dass der Nutzer in die Verwendung von Cookies einwilligen muss, damit personalisierte Werbung angezeigt werden kann.: Einstellung –> Kontenübersicht –> Deine Informationen und Berechtigungen –> Cookies verwalten –> Unsere Cookies in anderen Apps und auf anderen Websites erlauben?

„Wenn du diese Cookies erlaubst ... Verwenden wir deine individuellen Cookie-Informationen, um dir relevante Werbung zu zeigen …

Wenn du diese Cookies nicht erlaubst:
Verwenden wir diese Informationen nicht, um dir relevante Werbung zu zeigen.“

Die Klagepartei willigte hier nicht in die Datenverarbeitung zum Zweck der Bereitstellung personalisierter Werbung ein, gleichwohl wurde ihr personalisierte Werbung angezeigt.

Meta trug vor, andere Unternehmen vertraglich verpflichtet zu haben, wirksame Einwilligungen der Nutzer einzuholen, vgl. Art. 26 DSGVO. Danach hätten die Nutzer auf anderen Webseiten oder in Apps in die entsprechende Datenverarbeitung eingewilligt. Die Kläger sollen daher konkret darlegen und beweisen, welche Webseiten sie besucht haben und dass hierbei ohne ihre vorherige Einwilligungen Daten an Meta übermittelt worden seien.

3. Entscheidung des OLG Dresden

In seinem Urteil vom 03.02.2026 - 4 U 292/25 entschied das OLG Dresden zugunsten der Kläger und verneinte eine Einwilligung in die Weitergabe und Datenverarbeitung durch Meta. Nicht die Kläger, sondern Meta trägt die Darlegungs- und Beweislast bzgl. einer Rechtfertigung und Einwilligung nach Art. 6 DSGVO. Dieser Beweis ist Meta nicht gelungen. Das Urteil ist mangels Zulassung der Revision rechtskräftig geworden.

Der Begriff der personenbezogenen Daten ist weit zu verstehen und umfasst alle Arten von Informationen sowohl objektiver als auch subjektiver Natur unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten natürlichen Person verknüpft ist, so dass sie aufgrund dessen direkt oder indirekt identifiziert oder identifizierbar ist. Die übermittelten Daten sind zur Identifizierung des Nutzers geeignet, was die Beklagte ausdrücklich nicht bestreitet.

Durch die Sammlung von Daten – insbesondere durch im Internet hinterlassene sowie veröffentlichte und getätigte Informationen – werden mittels algorithmischer Auswertung Persönlichkeits-, Verhaltens- und Bewegungsprofile erstellt. Die so gewonnenen Daten verdichten sich zu einem modellhaften, auf Algorithmen beruhenden Gesamtbild der individuellen Persönlichkeit. Darin sah das Gericht auch ein Profiling iSd Art. 4 Nr. 4 DSGVO.

Da es sich um interne Verarbeitungsvorgänge der Beklagten handelt, trifft sie eine sekundäre Darlegungslast hinsichtlich der Datenerhebung und -verarbeitung mittels Business-Tools. Die Klagepartei muss hingegen weder konkret darlegen, welche Webseiten sie besucht hat, noch beweisen, dass sie dort eine Einwilligung verweigert hat. Denn eine Datenübermittlung an die Beklagte setzt eine Cookie-Einwilligung ohnehin nicht zwingend voraus, da die Business-Tools auf zahlreichen Drittwebseiten unstreitig fehlerhaft implementiert sind und Daten daher auch ohne Einwilligung weitergeleitet werden. Es ist daher davon auszugehen, dass auch von der Klagepartei Business-Tool-Daten erhoben wurden. Soweit die Beklagte dies ausnahmsweise bestreitet, trägt sie hierfür die Darlegungslast.

Hinsichtlich sensibler personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO unterscheidet die Datenverarbeitung über die Business-Tools der Beklagten nicht zwischen „einfachen“ und sensiblen Daten, da keine Differenzierung danach erfolgt, ob es sich um sensible Informationen handelt (vgl. EuGH, Urt. v. 04.07.2023, C-252/21, Rn. 71, 73). Im Übrigen ist kaum vorstellbar, dass bei der Übermittlung von diesen Drittwebseiten an die Beklagte keine sensiblen Daten enthalten sind. Denn schon allein das Aufsuchen oder Registrieren auf entsprechenden Drittwebseiten sowie die dort getätigten Aktionen, wie z.B. Online-Bestellungen, können Rückschlüsse auf Gesundheit, sexuelle Orientierung, Finanzen und Weltanschauung eines Nutzers zulassen.

Schließlich ist auch das Hashen (Verschlüsseln) der von Partnern der Beklagten übermittelten Daten nicht geeignet, ihre Behauptung zu stützen, sie verarbeitete bei fehlender Einwilligung ihrer Nutzer keine personenbezogenen Daten, die ihr mittels Business Tools übermittelt werden. Drittunternehmen übermitteln der Beklagten zwar Kontakt- und Eventdaten ihrer Kunden in gehashter Form bei Vorliegen einer „Cookie-Einwilligung“. Den Nutzungsbestimmungen und den Parametern für Business-Tools-Verwender lässt sich aber entnehmen, dass die Beklagte, die ihren Geschäftspartnern die für die Verschlüsselung dieser Daten zu verwendende Technologie im Einzelnen verbindlich vorschreibt, diese Technologie selbst verwendet. Da sie ihre eigenen Nutzerdaten mit demselben Verfahren hasht und die Hashes vergleicht, ermöglicht dies eine Zuordnung in den meisten Fällen. Dass sie die erfolgte Verschlüsselung der Daten rückgängig machen kann, um sie für ihre Zwecke, darunter auch - aber nicht nur - personalisierte Werbung verwenden zu können, wird durch die Nutzungsbestimmungen und die detaillierten Regelungen in den Parametern belegt.

Nach Auffassung des Gerichts wurde Meta weder über die "Meta-Cookies in anderen Apps und auf anderen Webseiten" noch über die Schaltfläche " Deine Informationen und Berechtigungen " eine Einwilligung zur Nutzung von Business-Tool-Daten erteilt.

Ferner wurde auch der Grundsatz der Datenminimierung nicht beachtet, da sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Onlineplattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden. Vgl. auch Bundeskartellamt, NZKart 2024, 651 [655]; vgl. Hense, K&R 2023, 556-562.

Das Gericht bejahte aus den genannten Gründen nicht nur einen Unterlassungsanspruch aus § 823 II BGB i. V. m. Art. 6 DSGVO iVm § 1004 Abs. 1 Satz 2 BGB analog, sondern sprach zudem einen immateriellen Schadensersatz zu, den es in Höhe von 1.500 € für ausreichend und angemessen erachtete.

Was von der Entscheidung heute trägt

Tragend bleibt die Verteilung der Darlegungs- und Beweislast. Wer eine Verarbeitung auf eine Einwilligung stützt, muss deren Vorliegen, Reichweite und Informiertheit belegen. Vertragliche Zusicherungen der Drittanbieter und der Verweis auf allgemeine Richtlinien genügen dafür nicht. Für Unternehmen bedeutet das: Der Nachweis liegt bei der eigenen Dokumentation, nicht bei der Plattform.

Offen bleibt die Bemessung des immateriellen Schadens. Solange der Bundesgerichtshof keine einheitliche Linie vorgegeben hat, hängt die Höhe erkennbar vom entscheidenden Senat ab.

• Business Tools als vollständigen Datenfluss prüfen, von der Auslösung auf Website oder App über die Übermittlung bis zur weiteren Verarbeitung durch Meta.
• Rechtsgrundlage je Datenfluss getrennt dokumentieren, einschließlich Zeitpunkt und Reichweite der Einwilligung.
• Consent-Implementierung technisch verifizieren. Ein vorhandenes Banner ersetzt nicht den Nachweis, dass vor der Zustimmung keine Daten abfließen.
• Hashing ist keine Anonymisierung, wenn die übermittelten Werte durch Abgleich wieder einer Person oder einem Nutzerkonto zugeordnet werden können.
• Vereinbarung nach Art. 26 DSGVO prüfen. Gemeinsame Verantwortlichkeit verteilt Pflichten, sie hebt die eigene Verantwortlichkeit nicht auf.

Wo aus Datenschutz eine streitige Auseinandersetzung wird, zählen Belege, Kausalität und eine prozessfeste Linie. Diese Konstellationen gehören zu streitigen Datenschutzverfahren und Art.-82-Klagen. Die vorgelagerte Prüfung von Tracking, Einwilligung, Verantwortlichkeit und Betroffenenrechten bleibt Aufgabe der unternehmensbezogenen DSGVO-Beratung bei ITMR.

Zuständige Rechtsanwälte bei ITMR

Die Konstellation verbindet operative Datenschutzpraxis mit streitiger Anspruchsbewertung: Rechtsgrundlagen für Tracking, Dokumentation, gemeinsame Verantwortlichkeit nach Art. 26 DSGVO sowie Abwehr oder Durchsetzung von Ansprüchen aus Art. 82 DSGVO. ITMR Rechtsanwälte PartGmbB berät hierzu aus Düsseldorf bundesweit.