Wer sein Smartphone mit einem sozialen Netzwerk synchronisiert, denkt an Komfort. An das schnelle Auffinden von Bekannten. An Vernetzung.
Was viele nicht bedenken: Mit einem Klick werden nicht nur eigene Daten übertragen – sondern auch die Daten Dritter. Menschen, die sich nie registriert haben. Die nie „Ja“ gesagt haben.
Das Landgericht Berlin hat hierzu mit Urteil vom 16. Dezember 2025 (Az. 15 O 569/18) eine Entscheidung getroffen, die weit über den Einzelfall hinausweist .
Im Zentrum: Die „Freunde-Finden“-Funktion von Facebook und die Frage, wie weit datengetriebene Geschäftsmodelle gehen dürfen.
Das Urteil finden Sie unter (251216 Urteil \(vollständig\).pdf)
Worum ging es konkret?
Geklagt hatte der Bundesverband der Verbraucherzentralen. Angegriffen wurden insbesondere drei Komplexe:
-
Upload von Kontaktdaten aus dem Adressbuch
Facebook ermöglichte es Nutzern, Kontakte vom Smartphone oder aus E-Mail-Konten hochzuladen. Darunter befanden sich regelmäßig Daten von Personen, die selbst nicht bei Facebook registriert waren. -
Nutzung dieser Daten für Netzwerk- und Werbezwecke
Die hochgeladenen Informationen dienten nicht nur der Kontaktanzeige, sondern auch der Generierung von Freundschaftsvorschlägen und weiteren datenbasierten Funktionen. -
Verarbeitung besonderer Kategorien personenbezogener Daten
Also Daten über politische Ansichten, religiöse Überzeugungen, Gesundheitsdaten oder sexuelle Orientierung – ohne eine hinreichend klare, ausdrückliche Einwilligung.
Das Landgericht untersagte der Beklagten unter Androhung von Ordnungsgeld, personenbezogene Daten nicht registrierter Personen ohne deren Einwilligung auf eigene Server hochzuladen und zu verarbeiten .
Der zentrale Punkt: Wer ist „Verantwortlicher“?
Ein entscheidender rechtlicher Hebel lag in der Einordnung der Rolle von Facebook nach Art. 4 Nr. 7 DSGVO.
Das Gericht stellte klar:
Facebook ist nicht bloß technischer Dienstleister oder „Auftragsverarbeiter“. Das Unternehmen entscheidet eigenständig über Zwecke und Mittel der Datenverarbeitung – insbesondere über:
-
Umfang der erhobenen Daten
-
Dauer der Speicherung
-
konkrete Nutzungszwecke
-
Verknüpfung mit weiteren Funktionen wie Freundschaftsvorschlägen
Damit trägt Facebook die volle datenschutzrechtliche Verantwortung .
Für die Praxis bedeutet das: Plattformen können sich nicht hinter der Entscheidung ihrer Nutzer verstecken, wenn sie selbst die Infrastruktur und die wirtschaftliche Verwertung der Daten bestimmen.
Keine Einwilligung – kein berechtigtes Interesse
Besonders deutlich wird das Urteil bei der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO.
Facebook argumentierte, die Verarbeitung sei zur Wahrung berechtigter Interessen erforderlich. Das Gericht folgte dem nicht.
Warum?
-
Die betroffenen Dritten hatten keinerlei Beziehung zur Plattform.
-
Sie mussten nicht damit rechnen, dass ihre Daten gespeichert und ausgewertet werden.
-
Sie hatten keine realistische Möglichkeit, Einfluss zu nehmen.
Die Richter betonen sinngemäß:
Wer nicht Teil des Netzwerks ist, darf nicht ohne Weiteres Teil seiner Datenökonomie werden .
Das Urteil stellt damit klar: Das Geschäftsmodell „Netzwerk wächst durch Adressbuch-Upload“ findet dort seine Grenze, wo informationelle Selbstbestimmung beginnt.
Sensible Daten: Strenge Maßstäbe
Noch schärfer sind die Anforderungen bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO.
Hier verlangt das Gericht eine eindeutige, bestätigende und ausdrückliche Einwilligung der betroffenen Person .
Voreingestellte Häkchen, versteckte Hinweise oder pauschale Zustimmungen im Registrierungsprozess reichen nicht.
Gerade für datengetriebene Werbemodelle ist das ein sensibles Terrain. Profilbildung darf nicht auf Annahmen, Vermutungen oder technisch erzeugten Rückschlüssen beruhen, wenn es um besonders geschützte Lebensbereiche geht.
Bedeutung für Unternehmen
Die Entscheidung betrifft nicht nur große Plattformen.
Jedes Unternehmen, das:
-
Kundenkontakte importiert,
-
Empfehlungsfunktionen anbietet,
-
Daten Dritter über Nutzer erhebt,
-
Profiling zu Werbezwecken betreibt,
muss prüfen, ob eine tragfähige Rechtsgrundlage besteht.
Insbesondere kritisch sind:
-
Adressbuch-Synchronisierungen
-
„Invite-a-friend“-Programme
-
Lookalike-Audiences
-
CRM-Importe aus Drittquellen
Die Schwelle für ein berechtigtes Interesse liegt hoch, wenn die betroffene Person keine Beziehung zum Unternehmen hat.
Strategische Einordnung
Das Urteil reiht sich in eine Linie höchstrichterlicher Rechtsprechung ein, die den Begriff der „betroffenen Person“ weit auslegt und Verbänden eine aktive Rolle bei der Durchsetzung des Datenschutzes zugesteht.
Für Verbraucher bedeutet das:
Auch ohne eigenes Tätigwerden können Datenschutzverstöße gerichtlich überprüft werden.
Für Unternehmen bedeutet es:
Datenschutz ist kein nachgelagerter Compliance-Punkt – sondern ein struktureller Bestandteil der Produktgestaltung.
„Privacy by Design“ wird damit vom Schlagwort zur wirtschaftlichen Notwendigkeit.
Fazit
Das Landgericht Berlin setzt einen klaren Rahmen:
Daten Dritter sind kein frei verfügbares Wachstumskapital.
Wer personenbezogene Informationen verarbeitet, trägt Verantwortung – auch dann, wenn die Daten über Nutzer auf die Plattform gelangen.
Für Unternehmen lohnt sich jetzt eine Überprüfung bestehender Prozesse. Gerade dort, wo Daten aus fremden Quellen ins eigene System gelangen, liegt erhebliches Haftungs- und Abmahnpotenzial.