Das LG Passau weist die Klage vollumfänglich ab, u.a. mit den folgenden Erwägungen:
- Die Verarbeitung der Daten sei für die Erfüllung des Vertrags zwischen den Parteien erforderlich (Art. 6 Abs. 1 Buchst. b DSGVO). Selbstverständlich werden Daten der Kontakte des Nutzers hochgeladen, wenn der Nutzer in das “Contact-Import-Tool” einwilligt.
- Ein Verstoss gegen Privacy by Default liege nicht vor. Der Verantwortliche müsse lediglich sicherstellen, dass nur Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind:
Maßstab für die Auswahl der Maßnahmen ist die Erforderlichkeit für den Verarbeitungszweck. Der Verarbeitungszweck kann dabei im Rahmen der Vorgaben des Art. 5 Abs. 1 Buchst. b DSGVO frei gewählt werden. Es ist daher nicht zu verlangen, dass der Verantwortliche stets die jeweils denkbar datenschutzfreundlichste Voreinstellung trifft. Der Verantwortliche entscheidet vielmehr durch die Festlegung eines bestimmten Verarbeitungszweckes auch über den Umfang der dafür erforderlichen Daten […].
- By Default stellt Facebook ein, dass Nutzer von allen anderen gefunden werden können. Auch das ist kein Verstoss, weil es bei neuen Nutzern wenig Sinn ergibt, dass sie nur von “Freunden” gefunden werden können, die sie noch nicht haben. Facebook durfte deshalb die entsprechende Voreinstellung als für den Verarbeitungszweck erforderlich einstufen, auch wenn der Nutzer dies nachträglich manuell ändern kann.
- Eine rechtswidrige Übermittlung liegt nicht vor. Facebook ist ein US-Konzern und eine globale Plattform. Deshalb müssen Daten international ausgetauscht werden; andernfalls wäre die Suche nach Nutzern in anderen Gebieten nicht möglich, und jeder Facebook-Nutzer weiss das. Einen Anspruch darauf, dass Facebook nur in Europa funktioniert, hat der Nutzer nicht.
- Es gibt keine Anhaltspunkte, dass Facebook ihren Datenbestand “dem amerikanischen Auslandsgeheimdienst voraussetzungslos zur freien Verfügung stellt”.
- Die Übermittlung in die USA ist zulässig. Sie erfolgt auf Basis des Data Privacy Frameworks. Der entsprechende Angemessenheitsbeschluss ist eine taugliche Grundlage, eine weitergehende Überprüfung der Angemessenheit erübrigt sich.
- Vor dem DPF waren die Standardvertragsklauseln die Grundlage, die eine ausreichende Grundlage darstellen:
bb) Für den vorangegangenen Zeitraum stellen die von der Kommission erlassenen Standardvertragsklauseln 2010 und 2021 in Verbindung mit Art. 46 Abs. 1, Abs. 2 Buchst. c) DSGVO eine ausreichende Rechtsgrundlage dar. Nach Art. 46 Abs. 1 DSGVO müssen den Betroffenen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen, um ein dem EU-Recht gleichwertiges Schutzniveau zu gewährleisten. Die Klagepartei rügt insoweit, dass der USamerikanische Rechtsbehelfsmechanismus auf einer Verordnung der Regierung und nicht auf formellem Gesetz beruhe. Auch bei einer Verordnung handelt es sich aber um ein Gesetz im materiellen Sinne. Wieso hierdurch kein gleichwertiger Rechtsschutz zur Verfügung gestellt werden kön1 O 616/23 ne, ist nicht zu erkennen.
- Überdies sei die Datenübermittlung zur Vertragserfüllung erforderlich und damit nach Art. 49 Abs. 1 S. 1 b DSGVO zulässig.
Soweit Datenschutzbehörden abweichende Auffassungen vertreten, sind diese für das Gericht nicht bindend.
- Sollten US-Behörden von Facebook nach US-Recht Auskünfte verlangen können, sei dies Folge der rechtmässigen Übermittlung. Das stehe einem ausreichenden Schutzniveau nicht entgegen,
da sie auch unter europäischem Datenschutzregime nach Art. 6 Abs. 1 Buchst. c DSGVO (Erfüllung einer rechtlichen Verpflichtung) zulässig wäre.