Im September 2018 wurde bekannt, dass Hacker Facebook angegriffen und Zugriff auf die Daten von 29 Millionen Facebook-Konten erlangt haben (Facebook meldet Angriff auf 50 Millionen Konten). Rund drei Millionen der betroffenen Facebook-Konten stammten aus EU-Staaten.
Zu den durch den Hackerangriff betroffenen Kategorien personenbezogener Daten gehörten:
- der vollständige Name des Nutzers
- seine E-Mail-Adresse
- seine Telefonnummer
- sein Wohnort
- sein Arbeitsort
- sein Geburtsdatum
- seine Religion
- sein Geschlecht
- seine Beiträge in der Timeline
- die Gruppen, in denen er Mitglied war
- die personenbezogenen Daten von Kindern.
Die Sicherheitsverletzung entstand durch die Ausnutzung von Nutzer-Tokens auf der Facebook-Plattform durch unbefugte Dritte. Der Verstoß wurde von Meta Platforms Ireland Limited (MPIL) und seiner US-Muttergesellschaft kurz nach seiner Entdeckung behoben.
Jetzt verhängte die Irish Data Protection Commission (DPC) deswegen gegen Meta Irland, dem Mutterkonzern von Facebook, eine Geldstrafe in Höhe von 251 Millionen Euro. Die Gründe für die Geldstrafe sind folgende:
- Meta hat nicht alle in dieser Bestimmung geforderten Informationen, die es hätte angeben können und müssen, in seine Meldung über die Datenschutzverletzung aufgenommen. Der Datenschutzbeauftragte rügte das MPIL wegen Versäumnissen in Bezug auf diese Bestimmung und verurteilte es zur Zahlung von Geldbußen in Höhe von 8 Millionen Euro.
- Meta hat es versäumt, den Sachverhalt jedes Verstoßes und die zu seiner Behebung unternommenen Schritte zu dokumentieren, und zwar so, dass die Aufsichtsbehörde die Einhaltung der Vorschriften überprüfen kann. Die Aufsichtsbehörde rügte MPIL für die Versäumnisse in Bezug auf diese Bestimmung und ordnete die Zahlung von Geldbußen in Höhe von 3 Millionen Euro an.
- Meta/MPIL hat nicht sichergestellt, dass die Datenschutzgrundsätze bei der Gestaltung der Verarbeitungssysteme geschützt werden. Die Datenschutzbehörde stellte fest, dass das MPIL gegen diese Bestimmung verstoßen hatte, verwarnte das MPIL und verurteilte es zur Zahlung von Geldbußen in Höhe von 130 Millionen Euro.
- Meta ist seinen Verpflichtungen als für die Verarbeitung Verantwortliche nicht nachgekommen, um sicherzustellen, dass standardmäßig nur personenbezogene Daten verarbeitet werden, die für bestimmte Zwecke erforderlich sind. Die Datenschutzbehörde stellte fest, dass das MPIL gegen diese Bestimmungen verstoßen hatte, verwarnte das MPIL und verurteilte es zur Zahlung von Geldbußen in Höhe von 110 Millionen Euro.
Der oben beschriebene Vorfall steht aber nicht in Zusammenhang mit einer kürzlichen Entscheidung des Bundesgerichtshofs. Diese bezieht sich auf einen Datenschutzvorfall auf Facebook aus dem Jahr 2021:
- BGH-Urteil gegen Facebook: So erhalten Nutzer jetzt bis zu 3000 Euro Schadensersatz von Meta
- 100 Euro pro Facebook-Nutzer: Deutsche Sammelklage gestartet