Das LG Pas­sau weist die Kla­ge voll­um­fäng­lich ab, u.a. mit den fol­gen­den Erwägungen:
  • Die Ver­ar­bei­tung der Daten sei für die Erfül­lung des Ver­trags zwi­schen den Par­tei­en erfor­der­lich (Art. 6 Abs. 1 Buchst. b DSGVO). Selbst­ver­ständ­lich wer­den Daten der Kon­tak­te des Nut­zers hoch­ge­la­den, wenn der Nut­zer in das “Cont­act-Import-Tool” einwilligt.
  • Ein Ver­stoss gegen Pri­va­cy by Default lie­ge nicht vor. Der Ver­ant­wort­li­che müs­se ledig­lich sicher­stel­len, dass nur Daten ver­ar­bei­tet wer­den, die für den jewei­li­gen Zweck erfor­der­lich sind:

    Maß­stab für die Aus­wahl der Maß­nah­men ist die Erfor­der­lich­keit für den Ver­ar­bei­tungs­zweck. Der Ver­ar­bei­tungs­zweck kann dabei im Rah­men der Vor­ga­ben des Art. 5 Abs. 1 Buchst. b DSGVO frei gewählt wer­den. Es ist daher nicht zu ver­lan­gen, dass der Ver­ant­wort­li­che stets die jeweils denk­bar daten­schutz­freund­lich­ste Vor­ein­stel­lung trifft. Der Ver­ant­wort­li­che ent­schei­det viel­mehr durch die Fest­le­gung eines bestimm­ten Ver­ar­bei­tungs­zweckes auch über den Umfang der dafür erfor­der­li­chen Daten […].

  • By Default stellt Face­book ein, dass Nut­zer von allen ande­ren gefun­den wer­den kön­nen. Auch das ist kein Ver­stoss, weil es bei neu­en Nut­zern wenig Sinn ergibt, dass sie nur von “Freun­den” gefun­den wer­den kön­nen, die sie noch nicht haben. Face­book durf­te des­halb die ent­spre­chen­de Vor­ein­stel­lung als für den Ver­ar­bei­tungs­zweck erfor­der­lich ein­stu­fen, auch wenn der Nut­zer dies nach­träg­lich manu­ell ändern kann.
  • Eine rechts­wid­ri­ge Über­mitt­lung liegt nicht vor. Face­book ist ein US-Kon­zern und eine glo­ba­le Platt­form. Des­halb müs­sen Daten inter­na­tio­nal aus­ge­tauscht wer­den; andern­falls wäre die Suche nach Nut­zern in ande­ren Gebie­ten nicht mög­lich, und jeder Face­book-Nut­zer weiss das. Einen Anspruch dar­auf, dass Face­book nur in Euro­pa funk­tio­niert, hat der Nut­zer nicht.
  • Es gibt kei­ne Anhalts­punk­te, dass Face­book ihren Daten­be­stand “dem ame­ri­ka­ni­schen Aus­lands­ge­heim­dienst vor­aus­set­zungs­los zur frei­en Ver­fü­gung stellt”.
  • Die Über­mitt­lung in die USA ist zuläs­sig. Sie erfolgt auf Basis des Data Pri­va­cy Frame­works. Der ent­spre­chen­de Ange­mes­sen­heits­be­schluss ist eine taug­li­che Grund­la­ge, eine wei­ter­ge­hen­de Über­prü­fung der Ange­mes­sen­heit erüb­rigt sich.
  • Vor dem DPF waren die Stan­dard­ver­trags­klau­seln die Grund­la­ge, die eine aus­rei­chen­de Grund­la­ge darstellen:

    bb) Für den vor­an­ge­gan­ge­nen Zeit­raum stel­len die von der Kom­mis­si­on erlas­se­nen Stan­dard­ver­trags­klau­seln 2010 und 2021 in Ver­bin­dung mit Art. 46 Abs. 1, Abs. 2 Buchst. c) DSGVO eine aus­rei­chen­de Rechts­grund­la­ge dar. Nach Art. 46 Abs. 1 DSGVO müs­sen den Betrof­fe­nen durch­setz­ba­re Rech­te und wirk­sa­me Rechts­be­hel­fe zur Ver­fü­gung ste­hen, um ein dem EU-Recht gleich­wer­ti­ges Schutz­ni­veau zu gewähr­lei­sten. Die Kla­ge­par­tei rügt inso­weit, dass der USame­ri­ka­ni­sche Rechts­be­helfs­me­cha­nis­mus auf einer Ver­ord­nung der Regie­rung und nicht auf for­mel­lem Gesetz beru­he. Auch bei einer Ver­ord­nung han­delt es sich aber um ein Gesetz im mate­ri­el­len Sin­ne. Wie­so hier­durch kein gleich­wer­ti­ger Rechts­schutz zur Ver­fü­gung gestellt wer­den kön1 O 616/23 ne, ist nicht zu erkennen.

  • Über­dies sei die Daten­über­mitt­lung zur Ver­trags­er­fül­lung erfor­der­lich und damit nach Art. 49 Abs. 1 S. 1 b DSGVO zulässig.

    Soweit Daten­schutz­be­hör­den abwei­chen­de Auf­fas­sun­gen ver­tre­ten, sind die­se für das Gericht nicht bindend.

  • Soll­ten US-Behör­den von Face­book nach US-Recht Aus­künf­te ver­lan­gen kön­nen, sei dies Fol­ge der recht­mä­ssi­gen Über­mitt­lung. Das ste­he einem aus­rei­chen­den Schutz­ni­veau nicht entgegen,

    da sie auch unter euro­päi­schem Daten­schutz­re­gime nach Art. 6 Abs. 1 Buchst. c DSGVO (Erfül­lung einer recht­li­chen Ver­pflich­tung) zuläs­sig wäre.