Der Cambridge-Analytica-Skandal gilt als einer der bedeutendsten Datenschutzfälle in der Geschichte sozialer Netzwerke.
Im Jahr 2018 wurde bekannt, dass persönliche Informationen von Millionen Facebook-Nutzern für politische Analyse- und Werbezwecke verwendet worden waren, ohne dass die Betroffenen einer solchen Nutzung entsprechend zugestimmt hatten.
Die Affäre löste weltweit Kritik an Facebook aus und verstärkte die Diskussion darüber, wie große Technologieunternehmen persönliche Daten sammeln, weitergeben und wirtschaftlich verwerten.
Nun hat die juristische Aufarbeitung in den Vereinigten Staaten eine neue Dimension erreicht.
Richter Francis Mathew setzte in Santa Fe, New Mexico, eine Strafe von 25 Milliarden Dollar fest.
Die Entscheidung folgt auf ein Urteil von Geschworenen, die Meta Ende September 2026 für irreführende Aussagen zum Schutz von Nutzerdaten verantwortlich gemacht hatten.
Gericht sieht außergewöhnlich viele vorsätzliche Verstöße
Nach den vorliegenden Berichten begründete Richter Francis Mathew die Höhe der Strafe mit der außergewöhnlich großen Zahl vorsätzlicher Verstöße.
Im Mittelpunkt des Verfahrens stand die Frage, ob Facebook-Nutzer über den Umgang mit ihren persönlichen Informationen getäuscht worden waren.
Besonders relevant war dabei die Weitergabe von Daten an Anwendungen von Drittanbietern.
Solche Anwendungen konnten in der Vergangenheit über Schnittstellen der Plattform auf bestimmte Informationen zugreifen.
Die Geschworenen gelangten zu dem Ergebnis, dass Meta irreführende Angaben darüber gemacht hatte, wie diese Daten geschützt und weitergegeben wurden.
Das Verbraucherschutzrecht von New Mexico sieht bei entsprechenden Verstößen Geldstrafen von bis zu 5.000 Dollar pro Verstoß vor.
Da das Gericht von einer sehr großen Zahl einzelner Verstöße ausging, ergab sich eine Strafe in Milliardenhöhe.
Die Entscheidung zeigt, dass irreführende Angaben gegenüber Millionen Nutzern erhebliche finanzielle Konsequenzen haben können.
Allerdings ist der Rechtsstreit noch nicht endgültig abgeschlossen.
Meta will gegen das Urteil vorgehen.
15 Prozent Zinsen: Warum die Summe weiter steigen könnte
Eine besonders weitreichende Aussage betrifft die Verzinsung der festgesetzten Strafe.
Richter Mathew erklärte nach den vorliegenden Berichten, dass auf die ausstehende Summe jährlich Zinsen in Höhe von 15 Prozent anfallen sollen, bis sie vollständig beglichen ist.
Rein rechnerisch entsprächen 15 Prozent auf 25 Milliarden Dollar einem Betrag von 3,75 Milliarden Dollar innerhalb eines Jahres.
Das sind mehr als zehn Millionen Dollar pro Tag.
Diese Berechnung dient lediglich dazu, die Größenordnung zu verdeutlichen.
Wie hoch eine tatsächliche Zinsforderung ausfällt, hängt unter anderem davon ab, ab welchem Zeitpunkt die Verzinsung rechtlich beginnt, ob Zahlungen erfolgen und welche Auswirkungen mögliche Rechtsmittel haben.
Es wäre deshalb verfrüht, bereits heute von einer feststehenden zusätzlichen Zahlung in Milliardenhöhe auszugehen.
Dennoch erhöht eine solche Zinsregelung grundsätzlich den finanziellen Druck, einen Rechtsstreit nicht unbegrenzt fortzuführen.
Meta will die Entscheidung anfechten
Der Facebook-Mutterkonzern akzeptiert die Vorwürfe und die daraus abgeleiteten Konsequenzen nicht.
Bereits nach dem Geschworenenurteil hatte Meta erklärt, mit der Entscheidung nicht einverstanden zu sein und sich weiter verteidigen zu wollen.
Nach den aktuellen Berichten soll nun auch gegen die festgesetzte Strafhöhe vorgegangen werden.
Damit bleibt offen, ob die 25 Milliarden Dollar in dieser Form endgültig Bestand haben werden.
In einem Rechtsmittelverfahren können insbesondere die rechtliche Bewertung, die Berechnung der Verstöße und die Verhältnismäßigkeit der Sanktion eine Rolle spielen.
Welche Argumente Meta tatsächlich vorbringen wird und wie die zuständigen Gerichte darüber entscheiden, lässt sich derzeit nicht abschließend beurteilen.
Für die öffentliche Einordnung ist deshalb eine Unterscheidung wichtig:
Das Gericht hat die Strafe festgesetzt. Daraus folgt aber noch nicht, dass Meta den gesamten Betrag bereits gezahlt hat oder dass die Entscheidung unanfechtbar ist.
Cambridge Analytica: Daten von rund 87 Millionen Nutzern betroffen
Die Vorgeschichte reicht bis in das Jahr 2018 zurück.
Damals wurde bekannt, dass die britische Beratungsfirma Cambridge Analytica Informationen von schätzungsweise 87 Millionen Facebook-Nutzern erhalten beziehungsweise ausgewertet hatte.
Ein wesentlicher Teil der Daten stammte aus dem Umfeld einer Facebook-Anwendung, über die Informationen nicht nur von unmittelbar teilnehmenden Personen, sondern unter damaligen Bedingungen auch von deren Kontakten zugänglich werden konnten.
Viele Betroffene wussten nicht, dass ihre Daten auf diese Weise in die Hände Dritter gelangen konnten.
Cambridge Analytica verwendete Datenanalysen für politische Kommunikations- und Kampagnenstrategien.
Besonders intensiv wurde über mögliche Zusammenhänge mit der US-Präsidentschaftswahl 2016 und dem Brexit-Referendum diskutiert.
Dabei muss zwischen der dokumentierten Nutzung persönlicher Daten für politische Zwecke und der Frage unterschieden werden, ob dadurch konkrete Wahlergebnisse verändert wurden.
Ein bestimmter Einfluss auf den Ausgang dieser Abstimmungen lässt sich aus dem Datenskandal allein nicht beweisen.
Der zentrale Datenschutzvorwurf bleibt davon unberührt.
Millionen Menschen konnten nicht ausreichend nachvollziehen und kontrollieren, wie ihre persönlichen Informationen verwendet wurden.
Warum die Weitergabe an Drittanbieter so problematisch ist
Soziale Netzwerke verfügen über umfangreiche Informationen über ihre Nutzer.
Dazu gehören beispielsweise Profildaten, Kontakte, Interessen und Angaben zum Nutzungsverhalten.
Werden solche Informationen an externe Anwendungen weitergegeben, entstehen zusätzliche Risiken.
Denn Verbraucher können häufig nur schwer erkennen, welche Unternehmen Zugriff erhalten und zu welchen Zwecken die Informationen anschließend genutzt werden.
Auch kann es schwierig sein, eine einmal erfolgte Weitergabe rückgängig zu machen.
Besonders problematisch ist eine Situation, in der Nutzer aufgrund der Angaben einer Plattform davon ausgehen, ihre Daten seien ausreichend geschützt, während tatsächlich weitergehende Zugriffsmöglichkeiten bestehen.
Hier setzt der verbraucherschutzrechtliche Kern des Verfahrens in New Mexico an.
Nicht allein die technische Möglichkeit der Datenweitergabe steht im Mittelpunkt, sondern auch die Frage, ob Verbraucher darüber wahrheitsgemäß informiert wurden.
Schon 2019 zahlte Facebook fünf Milliarden Dollar
Der Cambridge-Analytica-Skandal hatte bereits früher erhebliche finanzielle Folgen.
Im Jahr 2019 einigte sich Facebook mit der amerikanischen Federal Trade Commission auf eine Zahlung von fünf Milliarden Dollar.
Die US-Behörde warf dem Unternehmen Verstöße gegen Datenschutzverpflichtungen vor.
Die damalige Sanktion gehörte bereits zu den besonders hohen Strafzahlungen im amerikanischen Datenschutzbereich.
Das neue Verfahren in New Mexico ist jedoch rechtlich davon zu unterscheiden.
Es beruht auf eigenen Vorwürfen und den Verbraucherschutzvorschriften des Bundesstaates.
Die nun festgesetzten 25 Milliarden Dollar sind deshalb nicht einfach eine nachträgliche Erhöhung der früheren FTC-Strafe.
Vielmehr zeigt die Entwicklung, dass ein großer Datenskandal unterschiedliche behördliche und gerichtliche Verfahren nach sich ziehen kann.
Warum erhalten betroffene Nutzer nicht automatisch Geld?
Für Verbraucher stellt sich angesichts der außergewöhnlichen Summe eine naheliegende Frage.
Wenn Meta 25 Milliarden Dollar zahlen soll, erhalten die betroffenen Facebook-Nutzer dann eine Entschädigung?
Eine solche Zahlung ergibt sich aus dem Urteil nicht automatisch.
Bei der festgesetzten Summe handelt es sich um eine staatliche Zivilstrafe.
Sie ist grundsätzlich von individuellen Schadensersatzansprüchen zu unterscheiden.
Nach den berichteten Angaben des Generalstaatsanwalts von New Mexico soll das Geld dem Schulsystem des Bundesstaates zugutekommen.
Betroffene Facebook-Nutzer erhalten daher nicht allein aufgrund dieser Entscheidung einen bestimmten Anteil der Strafsumme.
Für individuelle Entschädigungen wären gegebenenfalls eigene rechtliche Anspruchsgrundlagen oder gesonderte Verfahren erforderlich.
Das verdeutlicht einen wichtigen Unterschied zwischen staatlicher Rechtsdurchsetzung und persönlichem Schadensersatz.
Eine Geldstrafe soll Rechtsverstöße sanktionieren und künftige Verstöße verhindern.
Eine Entschädigung soll dagegen einen konkret entstandenen Schaden ausgleichen.
Was bedeutet das Urteil für Facebook-Nutzer in Deutschland?
Die Entscheidung eines US-Gerichts begründet nicht automatisch Ansprüche für Facebook- oder Instagram-Nutzer in Deutschland.
Hier gelten insbesondere die Datenschutz-Grundverordnung und die einschlägigen europäischen sowie nationalen Rechtsvorschriften.
Die DSGVO verpflichtet Unternehmen unter anderem dazu, personenbezogene Daten rechtmäßig, transparent und zweckgebunden zu verarbeiten.
Verbraucher haben unter bestimmten Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch.
Artikel 82 DSGVO sieht zudem einen Schadensersatzanspruch vor, wenn durch einen Verstoß gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist und die weiteren rechtlichen Voraussetzungen erfüllt sind.
Allerdings führt nicht jeder Datenschutzverstoß automatisch zu einer Geldzahlung.
Ob ein Anspruch besteht, muss anhand der konkreten Umstände geprüft werden.
Das amerikanische Urteil ersetzt eine solche Prüfung nicht.
Datenschutz bleibt auch im Zeitalter künstlicher Intelligenz entscheidend
Während die Gerichte noch über die Folgen früherer Datenschutzverstöße entscheiden, entwickeln sich die Geschäftsmodelle großer Technologieunternehmen weiter.
Künstliche Intelligenz eröffnet neue Möglichkeiten, Informationen auszuwerten und digitale Angebote zu personalisieren.
Damit entstehen zusätzliche Fragen zur Verarbeitung persönlicher Daten.
Verbraucher müssen erkennen können, welche Informationen ein Unternehmen erhebt, wofür sie verwendet werden und welche Rechte ihnen zustehen.
Die Erfahrungen aus dem Cambridge-Analytica-Skandal verdeutlichen, wie problematisch undurchsichtige Datenflüsse sein können.
Gerade bei neuen KI-Anwendungen wird es deshalb darauf ankommen, Transparenz und wirksame Kontrollmöglichkeiten sicherzustellen.
Können Milliardenstrafen große Technologiekonzerne abschrecken?
Die außergewöhnliche Strafhöhe führt zu einer grundsätzlichen Diskussion.
Wie hoch muss eine Sanktion sein, damit sie bei einem international tätigen Konzern tatsächlich Wirkung entfaltet?
Bei Unternehmen mit sehr hohen Umsätzen können kleinere Geldstrafen unter Umständen nur begrenzte wirtschaftliche Auswirkungen haben.
Andererseits müssen auch hohe Sanktionen auf einer tragfähigen gesetzlichen Grundlage beruhen und verhältnismäßig sein.
Die angekündigte Anfechtung durch Meta zeigt, dass diese Fragen weiterhin Gegenstand gerichtlicher Auseinandersetzungen sein können.
Für den Verbraucherschutz ist die Höhe einer Geldstrafe allerdings nicht das einzige Kriterium.
Entscheidend ist auch, ob Unternehmen ihre Verfahren ändern, unzulässige Datenzugriffe verhindern und Nutzer zuverlässig über die Verarbeitung ihrer Informationen aufklären.
Eine Sanktion kann vergangene Verstöße ahnden.
Dauerhafter Datenschutz erfordert jedoch wirksame technische und organisatorische Maßnahmen.
