OLG Stuttgart 4. Zivilsenat — 4 U 372/24 — Urteil

Entscheidungsdatum: 2026-04-29

Aktenzeichen: 4 U 372/24

ECLI: ECLI:DE:OLGSTUT:2026:0429.4U372.24.00

Dokumenttyp: Urteil

Normen: § 823 Abs 1 BGB, § 1004 BGB, § 256 ZPO, Art 6 Abs 1 Buchst a EUV 2016/679, Art 9 Abs 2 EUV 2016/679 ... mehr

Leitsatz

Zu Ansprüchen von Nutzern sozialer Netzwerke wegen der Verwendung von Business-Tools(Rn.113) (Rn.114) (Rn.117) (Rn.119) (Rn.137) (Rn.144) (Rn.154) (Rn.211) (Rn.212) (Rn.220) (Rn.244)

Orientierungssatz

1. Die Zwischenfeststellungsklage ist auch dann zulässig, wenn schon vor dem Prozess Streit zwischen den Parteien über das Rechtsverhältnis bestanden hat. Das inzidenter zu klärende Rechtsverhältnis muss zwischen den Parteien dafür noch über den gegenwärtigen Streitgegenstand hinaus Bedeutung haben oder gewinnen können.(Rn.113) (Rn.114)

2. Die Zwischenfeststellungsklage setzt die Präjudizialität des Rechtsverhältnisses voraus. Wird geltend gemacht, dass die streitgegenständliche Datenverarbeitung durch keinen der Erlaubnistatbestände des Art. 6 Abs. 1 bzw. Art. 9 Abs. 2 DSGVO gedeckt ist, so ist die hierfür notwendige Feststellung nicht deckungsgleich mit der Frage, ob sich aus den allgemeinen Geschäftsbedingungen des zwischen den Parteien abgeschlossenen Vertrags ein Recht ergibt, unabhängig von einer Einwilligung des Betroffenen und unabhängig von sonstigen Rechtfertigungsgründen Daten des Betroffenen auf Drittseiten und -Apps zu verarbeiten.(Rn.117) (Rn.119)

3. Ein Unternehmen kann die Verantwortung für die Einholung der Einwilligung an den jeweiligen Betreiber der Website auslagern, weil sie allein oder zumindest gemeinsam mit dem Betreiber der Website für die Verarbeitung der Daten durch ihre Business Tools verantwortlich.(Rn.137) (Rn.144)

4. Art. 26 Abs. 3 DSGVO umfasst keine Unterlassungsansprüche.(Rn.154)

5. Der Anspruch nach Art. 17 Abs. 1 lit. d) DSGVO setzt kein unverzügliches Löschungsverlangen voraus. Eine begehrte Löschung erst zu einem späteren Zeitpunkt, schadet nicht. Diesem Verlangen muss der Verantwortliche aber unverzüglich nachkommen. Wie der Verantwortliche den Anspruch auf Löschung erfüllt, ist aber seine Sache. Der Anspruch auf Anonymisierung ist darin nicht als "Minus" enthalten, zumal die Anonymisierung einen höheren Aufwand verursachen kann als die Löschung.(Rn.211) (Rn.212) (Rn.220)

6. Zwar besagt Art. 26 Abs. 3 DSGVO, dass die betroffene Person ungeachtet der Einzelheiten der Vereinbarung der gemeinsam Verantwortlichen ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen kann, dem gemeinsam Verantwortlichen ist die Möglichkeit der Entlastung durch Art. 26 Abs. 3 DSGVO wegen Art. 82 Abs. 3 und 4 DSGVO aber nicht zu versagen.(Rn.244)

Verfahrensgang

vorgehend LG Stuttgart, 18. November 2024, 29 O 117/24

Tenor

1. Die Berufung der Beklagten gegen das Urteil des Landgerichts Stuttgart vom 18.11.2024, Az. 29 O 117/24, wird zurückgewiesen.

2. Auf die Berufung des Klägers wird das Urteil des Landgerichts Stuttgart vom 18.11.2024, Az. 29 O 117/24, teilweise abgeändert und insgesamt wie folgt neu gefasst:

2.1. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, folgende auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten erfasste personenbezogene Daten des Klägers zu speichern:

a) auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten des Klägers, ob direkt oder in gehashter Form übertragen, d. h.

• E-Mail des Klägers

• Telefonnummer des Klägers

• Vorname des Klägers

• Nachname des Klägers

• Geburtsdatum des Klägers

• Geschlecht des Klägers

• Ort des Klägers

• Externe IDs anderer Werbetreibender (von der M... Ltd. „external_ID” genannt)

• IP-Adresse des Clients

• User-Agent des Clients (d. h. gesammelte Browserinformationen)

• interne Klick-ID der M... Ltd.

• interne Browser-ID der M... Ltd.

• Abonnement-ID

• Lead-ID

• anon_id

• die Advertising ID des Betriebssystems Android (von der M... Ltd. „madid“ genannt)

sowie folgende personenbezogene Daten des Klägers

b) auf Webseiten

• die URLs der Webseiten samt ihrer Unterseiten

• der Zeitpunkt des Besuchs

• der „Referrer“ (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist),

• die von des Klägers auf der Webseite angeklickten Buttons sowie

• weitere von der M... „Events“ genannte Daten, die die Interaktionen des Klägers auf der jeweiligen Webseite dokumentieren

c) in mobilen Dritt-Apps

• der Name der App sowie

• der Zeitpunkt des Besuchs

• die vom Kläger in der App angeklickten Buttons sowie

• die von der M... „Events“ genannte Daten, die die Interaktionen des Klägers in der jeweiligen App dokumentieren.

2.2. Die Beklagte wird verpflichtet, sämtliche unter dem Tenor zu 2.1 a), b) und c) aufgeführten, seit dem 01.06.2021 bereits verarbeiteten personenbezogenen Daten ab sofort unverändert zu belassen, d. h. insbesondere diese erst zu löschen, wenn der Kläger sie hierzu auffordert, und diese bis zu diesem Zeitpunkt nicht zu verändern, intern nicht weiter zu verwenden und nicht an Dritte weiterzugeben.

2.3. Die Beklagte wird verpflichtet, sämtliche gem. dem Tenor zu 2.1 a) seit dem 01.06.2021 bereits gespeicherten personenbezogenen Daten des Klägers auf ihre Aufforderung hin, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, vollständig zu löschen.

2.4. Die Beklagte wird verurteilt, an den Kläger immateriellen Schadensersatz in Höhe von 500,00 Euro nebst Zinsen i. H. v. fünf Prozentpunkten über dem Basiszinssatz seit dem 20.01.2024, zu zahlen.

2.5. Im Übrigen wird die Klage abgewiesen.

3. Die weitergehende Berufung des Klägers wird zurückgewiesen.

4. Von den Kosten des Berufungsverfahrens tragen der Kläger 80 % und die Beklagte 20 %. Von den Kosten des Verfahrens in erster Instanz tragen der Kläger 85 % und die Beklagte 15 %.

5. Ziff. 2.1 bis 2.3 des Urteils sind vorläufig vollstreckbar gegen Sicherheitsleistung in Höhe von jeweils 750,00 €.

Im Übrigen sind dieses Urteil und das Urteil des Landgerichts Stuttgart im Umfang seiner Aufrechterhaltung ohne Sicherheitsleistung vorläufig vollstreckbar. Der jeweilige Vollstreckungsschuldner kann die Vollstreckung durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht der Vollstreckungsgläubiger vor der Vollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrags leistet.

6. Die Revision gegen dieses Urteil wird zugelassen.

7. Der Streitwert für das Berufungsverfahren wird auf 8.500,00 € festgesetzt.

8. Der vom Landgericht für das erstinstanzliche Verfahren auf 18.000,00 € festgesetzte Streitwert wird von Amts wegen auf 7.750,00 € geändert.

Gründe

I.

1 1. Die Beklagte ist die Betreiberin verschiedener sozialer Netzwerke, u.a. von I.... Gegenwärtig nutzen mehr als 3,98 Milliarden Menschen die Produkte der Beklagten.

2 Die Beklagte bietet Unternehmen die Möglichkeit, gegen Entgelt Anzeigen für ein Publikum auf I... zu präsentieren. Für diese Drittunternehmen bietet die Beklagte sog. Business Tools an. Integriert der Drittunternehmer diese Business Tools in seine Webseite, werden Daten eines Nutzers, der diese Webseite besucht, an die Beklagte übertragen. Darunter befinden sich sog. technische Standarddaten wie beispielsweise die IP-Adresse des Geräts, die im Rahmen der sog. http-Anfrage übermittelt werden. Zusätzliche Daten wie beispielsweise Aktivitätsdaten von Kunden auf den Webseiten oder Apps der Drittunternehmen werden je nach Wahl des Drittunternehmens und abhängig vom jeweils verwendeten Business Tool übermittelt (vgl. im Einzelnen Schriftsatz der Beklagten vom 29.07.2024, Rn. 40-43). Sofern der Nutzer gegenüber der Beklagten sein Einverständnis erklärt hat, werden die übermittelten Daten für personalisierte Werbung genutzt. Auch wenn der Nutzer sein Einverständnis verweigert hat, nutzt die Beklagte die Daten für Sicherheits- und Integritätszwecke.

3 Der Kläger nutzt seit 2021 privat I.... In die Verwendung seiner der Beklagten per Business Tool von Drittunternehmen übermittelten personenbezogenen Daten durch die Beklagte hat er nicht eingewilligt.

4 Der Kläger begehrt mit seiner Klage

5 1. die Feststellung, dass der Nutzungsvertrag der Parteien die Verarbeitung bestimmter, im Antrag aufgelisteter Daten des Klägers nicht gestattet,

6 2. die Verurteilung der Beklagten, es zu unterlassen, auf Dritt-Webseiten und Dritt-Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten des Klägers zu verarbeiten,

7 3. die Verurteilung der Beklagten, die auf Dritt-Webseiten und Dritt-Apps entstandenen personenbezogenen Daten des Klägers unverändert am gespeicherten Ort zu belassen und sie erst auf Aufforderung, spätestens sechs Monate nach rechtskräftigem Abschluss des Verfahrens, zu löschen,

8 4. die Verurteilung der Beklagten, die Daten gem. Klagantrag Ziff. 1 a) auf Aufforderung, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, zu löschen und die Daten gem. Klagantrag Ziff. 1 b) und c) vollständig zu anonymisieren,

9 5. die Verurteilung der Beklagten zur Zahlung immateriellen Schadensersatzes i.H.v. mindestens 5.000 €,

10 6. die Verurteilung der Beklagten zur Freistellung des Klägers von vorgerichtlichen Rechtsanwaltskosten i.H.v. 1.295,43 €.

11 Die Beklagte hat beantragt,

12 die Klage abzuweisen.

13 Wegen der Einzelheiten des Vorbringens der Parteien in erster Instanz wird auf die Schriftsätze und auf die tatsächlichen Feststellungen im Urteil des Landgerichts Bezug genommen.

14 2. Das Landgericht hat dem Unterlassungsantrag teilweise stattgegeben und die Klage im Übrigen abgewiesen.

15 Die Feststellungsklage (Ziff. 1) sei mangels Feststellungsinteresse unzulässig. Der Kläger könne auf Leistung klagen und habe dies mit den auf Unterlassung, Löschung und Schadensersatz gerichteten Anträgen auch getan.

16 Der Unterlassungsantrag sei begründet, soweit es um die Speicherung personenbezogener Off-Site-Daten gehe. Der Anspruch ergebe sich aus Art. 17 DSGVO, wonach der Kläger verlangen könne, dass die Beklagte seine personenbezogenen Daten nicht mehr speichert. Dass die Beklagte mithilfe der Business Tools erfasste personenbezogene Daten des Klägers übermittelt bekomme und speichere, habe die Beklagte nicht bestritten. Dass dies unabhängig von einer Einwilligung geschehe, ergebe sich aus der Erläuterung der Beklagten zur Conversions API. Nach diesen Erläuterungen aggregiere die Conversions API Events von Nutzern, die sich gegen die Nutzung ihrer Daten entschieden hätten, und sende sie an die Beklagte. Da der Unterlassungsanspruch auf die Zukunft gerichtet sei, komme es nicht darauf an, ob die Beklagte in der Vergangenheit personenbezogene Daten erhalten und gespeichert habe. Es komme deshalb auch nicht darauf an, ob der Kläger in der Vergangenheit in die Datenübermittlung an die Beklagte wirksam eingewilligt habe, denn spätestens mit der Klageschrift habe der Kläger eine etwaige Einwilligung widerrufen.

17 Die weitergehenden Unterlassungsanträge seien unbegründet, weil sich aus Art. 17 DSGVO nur ein Anspruch auf Beseitigung bzw. Löschung ergebe. Andere außervertragliche Anspruchsgrundlagen im deutschen Recht seien durch die abgeschlossene Regelung in der Datenschutz-Grundverordnung gesperrt. Vertragliche Unterlassungsansprüche bestünden nur bei einem fortdauernden pflichtwidrigen oder vertragsverletzenden Zustand, nicht aber zum vorbeugenden Schutz, wie ihn der Kläger erstrebe.

18 Der Antrag auf Löschung sei unzulässig, weil die zu löschenden bzw. zu anonymisierenden Daten nur abstrakt umschrieben würden und nicht konkret dargelegt werde, welche der Daten von Dritt-Webseiten oder -Apps stammten. Der Antrag wäre daher nicht vollstreckbar. Soweit der Kläger Anonymisierung verlange, sei der Antrag auch deshalb unzulässig, weil unstreitig die Möglichkeit bestehe, die Daten früherer Aktivitäten vom Konto des Klägers zu trennen, so dass das Rechtsschutzinteresse fehle. Außerdem gebe Art. 17 DSGVO keinen Anspruch auf Anonymisierung, sondern nur auf Löschung.

19 Der Antrag auf Schadensersatz sei unbegründet, weil der Kläger keinen Schaden dargelegt habe. Er habe nicht vorgetragen, welche Daten die Beklagte ohne seine Einwilligung zusammengetragen habe, und er habe auch keinen Beweis dafür angetreten, dass die Beklagte die ihr per Business Tool übermittelten Daten ohne oder gegen seinen Willen zur Schaltung personalisierter Werbung genutzt habe. Nur dies, nicht schon die Speicherung allein, könne einen spürbaren Schaden begründen. Nach den Angaben des Klägers im Rahmen seiner Anhörung bestünden auch Zweifel daran, dass die geschilderten negativen Gefühle mit den streitgegenständlichen Business Tools der Beklagten zu tun hätten, denn der Kläger habe berichtet, dass seine Daten nach Auskunft der Klägerkanzlei weiterverkauft worden seien, öffentlich einsehbar gewesen seien und er eine Mail wegen eines Datenlecks bekommen habe. All dies habe mit dem vorliegenden Verfahren nichts zu tun.

20 Vorgerichtliche Rechtsanwaltskosten (Ziff. 6) habe die Beklagte nicht zu ersetzen. Verzug bzgl. des zugesprochenen Unterlassungsantrags sei nicht dargelegt. Außerdem seien die Rechtsanwaltskosten mit den Prozessgebühren abgegolten, denn einen isolierten Auftrag zur vorgerichtlichen Geltendmachung der Ansprüche habe der Kläger nicht dargelegt. Ein außergerichtliches Vorgehen habe ohnehin keine Aussicht auf Erfolg gehabt, so dass die Kosten auch nicht erforderlich gewesen wären.

21 3. Der Kläger verfolgt mit seiner Berufung seine erstinstanzlichen Anträge weiter, den Unterlassungsantrag ergänzt um einen Hilfsantrag (Ziff. 7). Zur Begründung seiner Berufung führt er im Wesentlichen Folgendes aus:

22 Ein Feststellungsinteresse liege vor. Die Möglichkeit einer künftigen Schädigung bestehe auch dann, wenn das Gericht den übrigen Anträgen stattgebe. Jedenfalls sei der Antrag als Zwischenfeststellungsantrag gem. § 256 Abs. 2 ZPO zulässig.

23 Der Antrag auf Unterlassung der künftigen Datenverarbeitung sei vollumfänglich begründet. Schon die Ersterfassung der Daten durch die Business Tools müsse zur Wahrung effektiven Rechtsschutzes verhindert werden, weil die Daten automatisch an die Server der Beklagten übermittelt würden. Ein Anspruch auf Unterlassung folge aus Art. 17 DSGVO. Der Begriff der Speicherung sei weiter zu fassen als vom Landgericht angenommen. Entsprechende Ansprüche aus nationalem Recht seien zudem nicht gesperrt.

24 Der Antrag, die personenbezogenen Daten des Klägers unverändert am gespeicherten Ort zu belassen, sei gem. Art. 18 Abs. 1 lit. b) DSGVO begründet. Hiernach könne die betroffene Person die Löschung der personenbezogenen Daten ablehnen und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangen.

25 Der Antrag auf Löschung bzw. Anonymisierung der Daten sei hinreichend bestimmt. Der Kläger könne nicht wissen, welche Daten die Beklagte von ihm bereits erfasst habe.

26 Der Antrag auf Schadensersatz sei begründet. Der Schaden bestehe im umfassenden Kontrollverlust, der kausal durch den Verstoß gegen Art. 5, 25 DSGVO entstehe.

27 Der Antrag auf Freistellung von vorgerichtlichen Rechtsanwaltskosten sei begründet. Die Kosten seien nicht nur als Verzugsschaden, sondern auch nach §§ 280, 241 Abs. 2 BGB ersatzfähig. Dass die vorgerichtliche Anwaltstätigkeit nicht erfolgversprechend gewesen sei, sei nicht richtig. Zum Zeitpunkt der vorgerichtlichen Tätigkeit im vorliegenden Fall sei noch nicht absehbar gewesen, wie die Beklagte reagieren würde.

28 Ergänzend trägt der Kläger auf die Hinweise des Senats in der Berufungsverhandlung vor, dass er u.a. die Webseiten s….de, z….de, m….de und a….com besucht habe. Auf den Seiten z….de und m….de starte der M...-Pixel schon, bevor der Kläger eine Entscheidung bzgl. des Cookie-Banners getroffen habe. Auf diesen Seiten würden personenbezogene Daten daher noch vor einer etwaigen Einwilligung des Besuchers der betreffenden Seite an die Beklagte übertragen.

29 4. Die Beklagte begehrt mit ihrer Berufung die vollumfängliche Abweisung der Klage. Zur Begründung führt die Beklagte im Wesentlichen Folgendes aus:

30 Das Landgericht habe dem Unterlassungsantrag zu Unrecht teilweise stattgegeben:

31 Das Landgericht habe fälschlicherweise angenommen, die Beklagte habe nicht bestritten, dass die Conversion-Daten über die Conversions API an die Beklagte gesendet würden, auch wenn sich die Nutzer gegen die Nutzung ihrer Daten entschieden hätten. Die Beklagte habe in ihrer Duplik jedoch bestritten, dass sie die Daten über die Aktivitäten eines Nutzers auf den Webseiten/Apps des Drittunternehmens, die ihr das Drittunternehmen über die Conversions-API sende, zum Zwecke der Zustellung personalisierter Werbung an den Nutzer auf I... verarbeite, wenn der Nutzer nicht über die Einstellung „Informationen von Werbepartnern zu deinen Aktivitäten“ zugestimmt habe.

32 Der Klägervortrag sei nicht hinreichend substantiiert. Der Kläger habe in erster Instanz weder die Webseiten oder Apps konkret angegeben, die er angeblich besucht habe, noch den Zeitpunkt, zu dem dies geschehen sein soll. Im Übrigen habe er auch keine Beweise für den angeblichen Besuch der Seiten/Apps vorgelegt. Der Vortrag in zweiter Instanz sei verspätet. Damit bleibe unklar, welche Drittwebseiten und -Apps in den Anwendungsbereich der Anträge fielen. Damit sei notwendigerweise auch nicht nachgewiesen, dass die angeblichen Webseiten die streitgegenständlichen Business Tools überhaupt verwenden bzw. dass sie personenbezogene Daten des Klägers über die streitgegenständlichen Business Tools an die Beklagte übermittelt hätten. Unbeschadet des Vorstehenden habe die Beklagte die Websites z....de und m....de vorsorglich untersucht und festgestellt, dass diese nicht den Geschäftsbedingungen für Business Tools entsprächen. Die Beklagte habe die Betreiber dieser Websites aufgefordert, die Probleme zu beheben und ihr die hierzu ergriffenen Maßnahmen mitzuteilen.

33 Das Landgericht habe rechtsfehlerhaft angenommen, dass die Entgegennahme der Daten und damit deren temporäre Speicherung durch die Beklagte gegen die Datenschutz-Grundverordnung verstoße. Die Beklagte interpretiere die Klage des Klägers jedoch dahin, dass sie sich auf die Verarbeitung von Daten von Drittwebseiten und -Apps zur Bereitstellung personalisierter Werbung beziehe, und hierfür verarbeite die Beklagte die Daten nicht, wenn der Nutzer nicht ausdrücklich seine Zustimmung hierfür erteilt habe.

34 Der Unterlassungsantrag sei unzulässig, weil der Kläger nicht dargelegt habe, gegen welchen Verarbeitungszweck sich der Unterlassungsantrag richte außer gegen den Zweck, die Daten zur Bereitstellung personalisierter Werbung zu verarbeiten. Soweit das Landgericht der Beklagten die gesamte Speicherung der Daten untersage, unabhängig vom Verarbeitungszweck und unabhängig davon, ob die Verarbeitung im Einzelfall rechtmäßig sei, stehe dies im Widerspruch zur Datenschutz-Grundverordnung, die rechtmäßige Datenverarbeitungen erlaube. Beispielsweise nutze die Beklagte die über die streitgegenständlichen Business Tools erhaltenen Daten, um die Sicherheit ihrer Server zu schützen einschließlich der Sicherstellung, dass böswillige Akteure die streitgegenständlichen Business Tools nicht missbrauchen, um Spam, Scraping oder andere Cyberangriffe durch diese Produkte durchzuführen. Ein Verbot dieser Praxis würde die gesamte Gemeinschaft der Beklagten und tatsächlich das Internet als Ganzes gefährden.

35 Der Unterlassungsantrag stelle eine unzulässige verdeckte Klage auf Vornahme einer Handlung dar. Da es die Drittunternehmen seien, die sich entschieden, die streitgegenständlichen Business Tools zu nutzen, um Daten an die Beklagte zu senden, scheine der Schwerpunkt des Antrags darauf abzuzielen, dass die Beklagte technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten des Klägers implementiere. Der Wortlaut des Antrags und das tatsächliche Begehren stünden daher in Widerspruch zueinander.

36 Art. 17 DSGVO gewähre zudem keinen Unterlassungsanspruch. Unterlassungsansprüche nach nationalem Recht seien wegen der abschließenden Natur der Datenschutz-Grundverordnung gesperrt.

37 Eine Wiederholungs- oder Erstbegehungsgefahr bestehe nicht. Da der Kläger keine Drittwebseiten oder -apps benannt habe, die er angeblich besucht habe und die die streitgegenständlichen Business Tools verwendet hätten, habe er auch nicht dargelegt, dass die Beklagte irgendwelche Rechte des Klägers in der Vergangenheit verletzt habe. Es fehle auch an Vortrag für eine bevorstehende Verletzung der Rechte des Klägers, denn mangels Einwilligung des Klägers werde die Beklagte die Daten von Drittwebseiten und -apps nicht zum Zwecke der Bereitstellung personalisierter Werbung verarbeiten.

38 Der Unterlassungsanspruch des Klägers sei jedenfalls deshalb unzulässigerweise zu weit gefasst, weil die Beklagte die über die Business Tools erhaltenen Daten zumindest in einem gewissen Umfang verarbeiten müsse, nämlich um feststellen zu können, ob es sich um personenbezogene Daten eines Nutzers handelt, und um je nach den Einstellungen des Nutzers zu entscheiden, ob in Bezug auf diese Daten weitere Maßnahmen vorgenommen werden können.

39 Der Zivilprozess sei nicht das geeignete Instrumentarium, um sich in allgemeiner Weise gegen das Geschäftsmodell der Beklagten zu wenden. Die Untersuchung und – im Fall festgestellter Verstöße – die Sanktionierung allgemeiner „Geschäftsmodelle“ sei eine Angelegenheit des öffentlichen Rechts und der zuständigen Behörden.

40 5. Der Kläger beantragt zu seiner eigenen Berufung:

41 Das erstinstanzliche Urteil des Landgericht Stuttgart vom 18.11.2024 wird abgeändert und wie folgt neu gefasst.

42 1) Es wird festgestellt, dass der Nutzungsvertrag der Parteien zur Nutzung des Netzwerks ”I...” unter dem Benutzernamen „b…__c…“ die Verarbeitung von folgenden personenbezogenen Daten in folgendem Umfang seit dem 01.06.2021 nicht gestattet:

43 a) auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klagepartei, ob direkt oder in gehashter Form übertragen, d. h.

44 - E-Mail der Klagepartei

45 - Telefonnummer der Klagepartei

46 - Vorname der Klagepartei

47 - Nachname der Klagepartei

48 - Geburtsdatum der Klagepartei

49 - Geschlecht der Klagepartei

50 - Ort der Klagepartei

51 - Externe IDs anderer Werbetreibender (von der M... Ltd. „external_ID” genannt)

52 - IP-Adresse des Clients

53 - User-Agent des Clients (d. h. gesammelte Browserinformationen)

54 - interne Klick-ID der M... Ltd.

55 - interne Browser-ID der M... Ltd.

56 - Abonnement-ID

57 - Lead-ID

58 - anon_id

59 - die Advertising ID des Betriebssystems Android (von der M... Ltd. „madid“ genannt)

60 sowie folgende personenbezogene Daten der Klagepartei

61 b) auf Webseiten

62 - die URLs der Webseiten samt ihrer Unterseiten

63 - der Zeitpunkt des Besuchs

64 - der „Referrer“ (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist),

65 - die von der Klagepartei auf der Webseite angeklickten Buttons sowie

66 - weitere von der M... „Events“ genannte Daten, die die Interaktionen der Klagepartei auf der jeweiligen Webseite dokumentieren

67 c) in mobilen Dritt-Apps

68 - der Name der App sowie

69 - der Zeitpunkt des Besuchs

70 - die von der Klagepartei in der App angeklickten Buttons sowie

71 - die von der M... „Events“ genannte Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren.

72 2) Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten gem. des Antrags zu 1. zu verarbeiten.

73 3) Die Beklagte wird verpflichtet, sämtliche unter dem Antrag zu 1 a., b. und c. aufgeführten, seit dem 01.06.2021 bereits verarbeiteten personenbezogenen Daten ab sofort unverändert am gespeicherten Ort zu belassen, d. h. insbesondere diese erst zu löschen, wenn die Klagepartei sie hierzu auffordert, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, und diese bis zu diesem Zeitpunkt nicht zu verändern, intern nicht weiter zu verwenden, und nicht an Dritte weiterzugeben.

74 4) Die Beklagte wird verpflichtet, sämtliche gem. dem Antrag zu 1 a. seit dem 01.06.2021 bereits gespeicherten personenbezogenen Daten der Klagepartei auf ihre Aufforderung hin, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, vollständig zu löschen und der Klagepartei die Löschung zu bestätigen sowie sämtliche gem. dem Antrag zu 1 b. sowie c. seit dem 01.06.2021 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren.

75 5) Die Beklagte wird verurteilt, an die Klagepartei immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, der aber mindestens 5.000,00 Euro beträgt, nebst Zinsen i. H. v. fünf Prozentpunkten über dem Basiszinssatz seit dem 05.12.2023, zu zahlen.

76 6) Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten i. H. v. 1.295,43 Euro freizustellen.

77 Hilfsweise für den Fall, dass der Antrag zu 2. unzulässig oder unbegründet ist:

78 7) Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten gem. des Antrags zu 1. zu verarbeiten, sofern nicht bezogen auf konkrete einzelne Verarbeitungsvorgänge betreffend personenbezogener Daten des Klägers Rechtfertigungsgründe mit individuellem Bezug auf diese Vorgänge von der Beklagten dargelegt und bewiesen werden, weshalb die Datenverarbeitung insbesondere nicht gerechtfertigt werden kann, mit

79 - dem Abschluss des Vertrags über die Nutzung des Netzwerks „F...“ und/oder „I...“,

80 - einer Einwilligung über die Schaltfläche „Informationen von Werbepartnern zu deinen Aktivitäten“ auf dem Netzwerk „F...“ und/oder „I...”,

81 - einer Einwilligung über die Schaltfläche „M... Cookies in anderen Apps und auf anderen Websites“ auf dem Netzwerk „F...“ und/oder „I...”,

82 - der Erbringung einer Dienstleitung zur Erfüllung des Vertrags über die Nutzung des Netzwerks „F...“ und/oder „I...“,

83 - der abstrakten Forschung zum Wohle der Gesellschaft, der abstrakten Förderung von Schutz, Integrität und Sicherheit,

84 - dem wirtschaftlichen Interesse der Beklagten an einer Personalisierung von Werbeanzeigen,

85 - dem abstrakten Ziel der Information von Strafverfolgungs- und Strafvollstreckungsbehörden, um Straftaten zu verhindern, aufzudecken und zu verfolgen, festzustellen oder

86 - sonstigen nutzerübergreifend geltend gemachten berechtigten Interessen der Beklagten an der Vornahme der Datenverarbeitung.

87 Die Beklagte beantragt,

88 die Berufung der Klageseite zurückzuweisen.

89 Die Beklagte beantragt zu ihrer eigenen Berufung,

90 das Urteil des Landgerichts Stuttgart vom 18. November 2024 (das „angefochtene Urteil“), Az. 29 O 117/24, M... zugestellt am 20. November 2024, abzuändern, soweit die Klage zugesprochen wurde, und die Klage insgesamt abzuweisen.

91 Der Kläger beantragt hierzu,

92 die Berufung der Beklagten zurückzuweisen.

93 6. Wegen der Einzelheiten und wegen des weiteren Vortrags der Parteien in zweiter Instanz wird auf die eingereichten Schriftsätze und die Protokolle der mündlichen Verhandlung verwiesen.

II.

94 1. Die Berufung des Klägers ist in Bezug auf die vorgerichtlichen Rechtsanwaltskosten (Berufungsantrag Ziff. 6) unzulässig.

95 a) Hat das Landgericht die Abweisung eines einheitlichen Klageanspruchs auf zwei rechtlich voneinander unabhängige Gründe gestützt, von denen jeder für sich die Abweisung trägt, liegt eine hinreichende Berufungsbegründung nur vor, wenn beide Gründe – in für sich ausreichender Weise – angegriffen werden. Stellt der Rechtsmittelkläger nur einen der beiden Gründe in Frage, so ist sein Rechtsmittel unzulässig (Zöller/Heßler, ZPO, 36. Aufl. 2026, § 520, Rn. 39).

96 b) Das Landgericht hat die Abweisung der Klage u.a. darauf gestützt, dass die vorgerichtlichen Rechtsanwaltskosten mit den Prozessgebühren abgegolten seien, weil ein isolierter Auftrag zur vorgerichtlichen Geltendmachung der Ansprüche nicht dargelegt sei. Mit dieser Begründung, die die Klagabweisung für sich allein trägt, setzt sich die Berufungsbegründung des Klägers nicht auseinander. Die Berufung ist daher insoweit unzulässig.

97 2. Im Übrigen sind die Berufungen des Klägers und der Beklagten zulässig.

III.

98 Die Berufung des Klägers ist hinsichtlich der Berufungsanträge Ziff. 1, 2 und 7 unbegründet. Der Feststellungsantrag (Ziff. 1) ist unzulässig, der Unterlassungsantrag (Ziff. 2) ist unbegründet und der zum Unterlassungsantrag gestellte Hilfsantrag (Ziff. 7) ist unzulässig. Hinsichtlich der Anträge auf unveränderte Speicherung (Ziff. 3), auf Löschung bzw. Anonymisierung (Ziff. 4) und auf Schadensersatz (Ziff. 5) hat die Berufung des Klägers teilweise Erfolg.

99 Die Berufung der Beklagten ist unbegründet. Dem Kläger steht der Unterlassungsanspruch (Ziff. 2) in der vom Landgericht zugesprochenen Fassung zu.

100 A. Die auch in der Berufungsinstanz von Amts wegen zu prüfende internationale Zuständigkeit folgt bzgl. sämtlicher auf die Datenschutz-Grundverordnung gestützten Ansprüche aus Art. 79 Abs. 2 Satz 2 DSGVO, hinsichtlich des Klagantrags Ziff. 5 i.V.m. Art. 82 Abs. 6 DSGVO. Dahinstehen kann, ob Art. 79 Abs. 2 DSGVO auch für konkurrierende Schadensersatz- und Unterlassungsansprüche nach nationalem Recht gilt (so Auernhammer/v. Lewinski, DSGVO/BDSG, 8. Aufl. 2024, DSGVO, Art. 79, Rn. 6), da sich die internationale Zuständigkeit bzgl. dieser Ansprüche andernfalls aus Art. 17 Abs. 1 Buchst. c, Art. 18 Abs. 1 EuGVVO ergibt.

101 B. Zu den einzelnen Klaganträgen:

102 Klagantrag Ziff. 1 (Feststellungsantrag):

103 Mit dem Klagantrag Ziff. 1 begehrt der Kläger die Feststellung, dass der Nutzungsvertrag der Parteien die Verarbeitung von im Einzelnen bezeichneten personenbezogenen Daten des Klägers nicht gestattet.

104 Der Klagantrag Ziff. 1 ist unzulässig. Der Feststellungsklage fehlt das erforderliche Feststellungsinteresse.

105 Gem. § 256 Abs. 1 ZPO kann auf Feststellung des Bestehens oder Nichtbestehens eines Rechtsverhältnisses Klage erhoben werden, wenn der Kläger ein rechtliches Interesse daran hat, dass das Rechtsverhältnis alsbald festgestellt wird.

106 1. Erforderlich ist ein Rechtsverhältnis, d.h. eine aus einem konkreten Lebenssachverhalt resultierende Beziehung einer Person zu einer anderen Person oder einer Sache, die ein mit materieller Rechtskraftwirkung feststellbares subjektives Recht enthält oder aus der ein solches Recht entspringen kann (Zöller/Greger, aaO., § 256, Rn. 4).

107 Ein solches Rechtsverhältnis liegt vor. Zwischen den Parteien besteht ein Nutzungsvertrag bzgl. des sozialen Netzwerks I... und Gegenstand der Feststellungsklage ist, ob sich aus diesem Nutzungsvertrag ein Recht der Beklagten ergibt, personenbezogene Daten des Klägers, die die Beklagte über die Business Tools von Drittunternehmern erhalten hat, zu verarbeiten (a.A. OLG Dresden, Urteil vom 03.02.2026, 4 U 292/25, juris, Rn. 136 f.; wie hier OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 157; OLG München, Urteil vom 18.12.2025, 14 U 881/25, GRUR-RS 2025, 36464, Rn. 51).

108 2. Das erforderliche Feststellungsinteresse fehlt. Dem Feststellungsinteresse steht der Vorrang der Leistungsklage entgegen.

109 Das Feststellungsinteresse fehlt, wenn dem Kläger eine Klage auf Leistung möglich und zumutbar ist und wenn die Klage auf Leistung sein Rechtsschutzziel erschöpft (Zöller/Greger, aaO., § 256, Rn. 14). Leistungsklage in diesem Sinne ist auch eine (vorbeugende) Unterlassungsklage (BGH, NJW-RR 2016, 1404, Rn. 16).

110 Eine Klage auf Leistung ist möglich. Für die Vergangenheit fordert der Kläger beziffert Schadensersatz und Löschung bzw. Anonymisierung der bereits erhobenen Daten, für die Zukunft kann der Kläger Unterlassung verlangen und tut dies mittlerweile auch. Diese Klagen erschöpfen sein Rechtsschutzziel.

111 Die gegenteilige Argumentation des Klägers in der Berufungsbegründung überzeugt nicht. Gewissheit über das aktuell bestehende Rechtsverhältnis kann der Kläger auch mit einer Unterlassungsklage erlangen, bei deren Erfolg er zudem gegen die Beklagte vollstrecken kann, falls sich diese nicht an das Unterlassungsgebot halten sollte. Nicht überzeugend ist insoweit der Verweis des Klägers auf die Argumentation des Bundesgerichtshofs im Urteil zum Datenscraping (BGH, Urteil vom 18.11.2024, VI ZR 10/24, Rn. 48), da die beiden Feststellungsanträge nicht vergleichbar sind. Der vom Bundesgerichtshof beurteilte Feststellungsantrag war auf die Feststellung der Ersatzpflicht der Beklagten für künftige Schäden gerichtet und nicht - wie hier - auf die Feststellung, dass der Nutzungsvertrag die Verarbeitung personenbezogener Daten nicht gestattet. Zudem besteht beim Datenscraping durch die fortdauernde Veröffentlichung der personenbezogenen Daten im Internet das Risiko einer missbräuchlichen Nutzung dieser Daten durch Dritte. Im vorliegenden Fall besteht diese Gefahr nicht, denn die Daten sind lediglich bei der Beklagten gespeichert und gegenüber der Beklagten kann der Kläger mit der Unterlassungsklage vorgehen.

112 3. Auch als Zwischenfeststellungsklage ist die Klage nicht zulässig.

113 a) Entgegen dem Gesetzeswortlaut ist die Zwischenfeststellungsklage allerdings auch dann zulässig, wenn - wie hier - schon vor dem Prozess Streit zwischen den Parteien über das Rechtsverhältnis bestanden hat (Becker-Eberhard in MüKo/ZPO, 7. Aufl. 2025, § 256, Rn. 83).

114 b) Für die Zwischenfeststellungsklage bedarf es zwar keines Feststellungsinteresses (Zöller/Greger, aaO., § 256, Rn. 39). Das Urteil über die Hauptklage darf die Rechtsbeziehungen der Parteien aber nicht bereits erschöpfend regeln. Das inzidenter zu klärende Rechtsverhältnis muss zwischen den Parteien noch über den gegenwärtigen Streitgegenstand hinaus Bedeutung haben oder gewinnen können (Zöller/Greger, aaO., § 256, Rn. 40). Hieran fehlt es.

115 Allerdings betraf der Unterlassungsantrag in erster Instanz nur die Verarbeitung der Daten bei den Drittunternehmen, die die Business Tools der Beklagten auf ihrer Webseite und auf ihren Apps integriert hatten. Die Unterlassung der Datenverarbeitung bzgl. der von diesen Drittunternehmen an die Beklagte übermittelten Daten war vom Unterlassungsantrag ausweislich des Wortlauts des Antrags nicht umfasst („zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten … zu verarbeiten“). In erster Instanz war die Speicherung der Daten auf den Servern der Beklagten daher nicht Streitgegenstand.

116 Das Feststellungsinteresse muss aber bis zum Schluss der letzten mündlichen Verhandlung vorliegen (Zöller/Greger, aaO., § 256, Rn. 16) und in zweiter Instanz ist der Beklagten nach dem Urteil des Landgerichts auch die Speicherung der ihr von den Drittunternehmen übermittelten Daten des Klägers untersagt. Dass das Landgericht dem Kläger insoweit entgegen § 308 Abs. 1 ZPO etwas zugesprochen hat, was dieser gar nicht beantragt hatte, ändert hieran nichts, da der Kläger die Zurückweisung der Berufung der Beklagten beantragt hat. Hierdurch hat er sich die Entscheidung des Landgerichts zu eigen gemacht und seine Klage in der Berufungsinstanz in zulässiger Weise um den ihm zugesprochenen Unterlassungsanspruch erweitert (vgl. Zöller/Feskorn, aaO., § 308, Rn. 7).

117 c) Zudem setzt die Zwischenfeststellungsklage die Präjudizialität des Rechtsverhältnisses voraus. Dieses muss für den in der Hauptentscheidung enthaltenen Subsumtionsschluss ein notwendiges Element sein (Becker-Eberhardt in MüKo/ZPO, aaO., § 256, Rn. 85). Auch dies ist nicht der Fall.

118 Mit dem Feststellungsantrag begehrt der Kläger die Feststellung, dass das Vertragsverhältnis der Parteien der Beklagten ohne Einwilligung des Klägers bzw. ohne einen anderen Rechtfertigungsgrund kein Recht gibt, Daten des Klägers auf Drittseiten und -Apps zu verarbeiten. Insbesondere soll nach dem Willen des Klägers festgestellt werden, dass die Klauseln in den Allgemeinen Geschäftsbedingungen der Beklagten, die der Beklagten ein Recht auf die streitgegenständliche Datenverarbeitung auch ohne Einwilligung einräumen, unwirksam sind und der Beklagten kein Recht zur anlasslosen Dauererhebung aller Daten des Klägers auf Drittseiten und -Apps gibt (Replik, S. 65, 68).

119 Einer derartigen Feststellung bedarf es für die Entscheidung der anderen Anträge nicht. Für den Unterlassungsantrag kommt es gemäß den nachfolgenden Ausführungen auf die vom Kläger begehrte Feststellung nicht an, da der Unterlassungsanspruch bereits aufgrund der fehlenden Störereigenschaft der Beklagten abzuweisen ist. Für den Schadensersatzanspruch wiederum ist zwar ein Verstoß der Beklagten gegen die Datenschutz-Grundverordnung Voraussetzung. Die streitgegenständliche Datenverarbeitung darf mithin durch keinen der Erlaubnistatbestände des Art. 6 Abs. 1 bzw. Art. 9 Abs. 2 DSGVO gedeckt sein. Die hierfür notwendige Feststellung ist aber nicht deckungsgleich mit der Frage, ob sich aus den allgemeinen Geschäftsbedingungen des zwischen den Parteien abgeschlossenen Vertrags ein Recht der Beklagten ergibt, unabhängig von einer Einwilligung des Klägers und unabhängig von sonstigen Rechtfertigungsgründen Daten des Klägers auf Drittseiten und -Apps zu verarbeiten.

120 Klagantrag Ziff. 2 (Unterlassungsantrag):

121 Mit dem Klagantrag Ziff. 2 begehrt der Kläger die Verurteilung der Beklagten, es zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten gem. Ziff. 1 der Klage zu verarbeiten.

122 1. Der Klagantrag Ziff. 2 ist sowohl nach seinem Wortlaut als auch nach der Klagebegründung darauf gerichtet, es der Beklagten zu untersagen, personenbezogene Daten des Klägers, die sich auf Dritt-Webseiten und Dritt-Apps befinden, zu verarbeiten. Gemeint sind damit nicht die Daten, die von den Drittunternehmen bereits an die Beklagte übermittelt worden sind, sondern die davor stattfindende Datenverarbeitung durch die Business Tools auf den Webseiten und Apps Dritter. Dies folgt nicht nur aus dem eindeutigen Wortlaut des Antrags, sondern auch aus seiner Begründung. So führt der Kläger in der Replik, in der der Kläger den Klagantrag erstmals in seiner derzeitigen Form gestellt hat, ausdrücklich zur (gemeinsamen) Verantwortlichkeit der Beklagten für die Datenverarbeitung auf den Webseiten und Apps Dritter aus und stellt fest, dass Gegenstand dieses Antrags die Daten seien, die nicht bereits zuvor (d.h. auf ihren eigenen Seiten und Servern) von der Beklagten verarbeitet worden seien (Replik, S. 57, 71). Dass der Kläger seinen Antrag in diesem Sinne versteht, zeigen auch seine Ausführungen in der Berufungsbegründung zur Begründetheit des Klagantrags Ziff. 2 (Berufungsbegründung S. 6). Der Kläger führt dort aus, dass die Ersterfassung der Daten durch die Business Tools zur Folge habe, dass diese Daten automatisch an die Server der Beklagten übermittelt würden. Deshalb sei es erforderlich, auch die der endgültigen Speicherung auf den Servern der Beklagten vorgelagerten Datenverarbeitungsvorgänge wirksam zu verhindern.

123 Das Landgericht hat diesen Antrag allerdings nicht in dem oben genannten Sinn verstanden, sondern dahin ausgelegt, dass es um die der Beklagten bereits übermittelten Daten geht. Dies ergibt sich ansatzweise aus der Formulierung im Tenor unter Ziff. 1.a), wo von der Übertragung der Daten in direkter oder gehashter Form die Rede ist. Vor allem aber führt das Landgericht in den Entscheidungsgründen ausdrücklich aus, dass sich das Verbot nur gegen die Speicherung der Daten richtet, die außerhalb der sozialen Netzwerke der Beklagten erfasst und an die Beklagte übermittelt wurden (LGU S. 9 unter gg)).

124 Für das Berufungsverfahren bedeutet dies, dass Gegenstand der Berufung der Beklagten der Antrag Ziff. 2 mit dem vom Landgericht zugesprochenen Inhalt ist (nachfolgend 3.), während Gegenstand der Berufung des Klägers der Klageantrag mit dem vom Kläger intendierten Sinn ist (nachfolgend 2.).

125 2. Zur Berufung des Klägers (Datenverarbeitung auf den Webseiten und Apps Dritter):

126 Die Berufung des Klägers ist unbegründet.

127 Ein Unterlassungsanspruch ergibt sich nicht aus Art. 17 DSGVO. Art. 17 DSGVO gibt ein Recht auf Löschung, aber kein Recht auf Unterlassung (EuGH, Urteil vom 04.09.2025, C-655/23, Rn. 43). Die Datenschutz-Grundverordnung steht aber Bestimmungen des nationalen Rechts, aus denen sich Ansprüche auf Unterlassung ergeben können, nicht entgegen (EuGH, aaO., Rn. 46 ff.). In Betracht kommt damit ein Unterlassungsanspruch gem. §§ 823, 1004 BGB wegen Verletzung des allgemeinen Persönlichkeitsrechts.

128 a) Der Kläger ist in seinem allgemeinen Persönlichkeitsrecht betroffen. Im Rahmen des allgemeinen Persönlichkeitsrechts gehören auch die persönlichen Daten zu den geschützten Rechtsgütern (Grüneberg/Sprau, BGB, 85. Aufl. 2026, Vor § 823, Rn. 33). Es ist davon auszugehen, dass der Kläger auf Webseiten war, die die Business Tools der Beklagten implementiert hatten, und dass hierbei personenbezogene Daten des Klägers erhoben und an die Beklagte übermittelt worden sind.

129 Der Kläger hat dies in erster Instanz in allgemeiner Form behauptet und in zweiter Instanz hinsichtlich einzelner Webseiten (z....de und m....de) konkretisiert. Schon der allgemeine Vortrag in erster Instanz genügte, denn damit hatte der Kläger schlüssig alle zur Begründung des behaupteten Rechts erforderlichen Tatsachen vorgetragen. Mehr war nicht erforderlich (vgl. Zöller/Greger, aaO., § 138, Rn. 8a).

130 Die Beklagte kann sich insoweit nicht darauf berufen, dass der Kläger die Seiten, auf denen er war, konkret benennen müsste. Es obliegt der Beklagten, den Vortrag des Klägers zu bestreiten, wenn dieser nach ihren Erkenntnissen nie Webseiten mit Business Tools der Beklagten besucht bzw. die Beklagte nie personenbezogene Daten des Klägers aus derartigen Besuchen übermittelt bekommen hat. Dies ist der Beklagten auch möglich, da sie aus ihren Systemen ersehen kann, welche Daten sie verarbeitet und ob und in welcher Weise dies personenbezogene Daten des Klägers betrifft (vgl. OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 289).

131 Dass der Kläger auf Webseiten war, auf denen Business Tools der Beklagten installiert waren, wird von der Beklagten nicht bestritten. Die Beklagte bestreitet lediglich, dass der Kläger jede der in Anlage K2 aufgelisteten 466 Websites besucht hat. Dass er einige dieser Websites aufgesucht hat – wie beispielsweise die Website m….de – ist damit nicht bestritten. Soweit die Beklagte ausdrücklich bestreitet, dass der Kläger eine der in der Klageschrift auf den Seiten 10 bis 12 abgebildeten fünf Webseiten oder eine der auf Seite 9 der Klageschrift aufgelisteten 24 Websites besucht hat (Klageerwiderung, Rn. 71), befinden sich jedenfalls die Websites z….de und m….de nicht unter diesen Websites. Der Besuch dieser Websites ist daher nicht bestritten.

132 Hinzu kommt, dass die Beklagte den entsprechenden Vortrag des Klägers nur mit Nichtwissen bestritten hat. In diesem Sinn versteht der Senat auch das Bestreiten der Beklagten in späteren Schriftsätzen. Dieses Bestreiten mit Nichtwissen ist unzulässig, da die Frage, welche Daten der Beklagten übermittelt worden sind, einen Bereich betrifft, der Gegenstand der eigenen Wahrnehmung der Beklagten ist (vgl. OLG Hamm, Urteil vom 09.03.2026, I-8 U 13/25, Urteilsumdruck S. 21).

133 b) Der Kläger hat schlüssig dargelegt, dass seine personenbezogenen Daten, die anlässlich seiner Besuche von Websites mit implementierten Business Tools der Beklagten erhoben worden sind, unrechtmäßig verarbeitet wurden.

134 Die Beklagte stützt sich für die Zulässigkeit der Verarbeitung der personenbezogenen Daten des Klägers auf den Drittwebseiten und -Apps, auf denen ihre Business Tools implementiert sind, darauf, dass der Kläger beim Besuch der Webseite bzw. bei der Nutzung der App eine Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO erteilt habe.

135 aa) Eine Rechtfertigung der Datenverarbeitung durch Einwilligung des Klägers gegenüber dem Betreiber der Website, die eines oder mehrere der Business Tools der Beklagten enthält, ist grundsätzlich möglich.

136 Nach den Nutzungsbedingungen der Business Tools hat der Betreiber der Website, der ein Business Tool der Beklagten in seine Website einbindet, zu gewährleisten, dass er über alle erforderlichen Rechte und Berechtigungen sowie über eine Rechtsgrundlage für die Offenlegung und Verwendung der Business Tool-Daten verfügt.

137 Nicht richtig ist die Auffassung des Klägers, dass die Beklagte die Verantwortung für die Einholung der Einwilligung nicht an den jeweiligen Betreiber der Website auslagern kann, weil sie allein oder zumindest gemeinsam mit dem Betreiber der Website für die Verarbeitung der Daten durch ihre Business Tools verantwortlich ist. Die vom Kläger als Beleg für seine Rechtsansicht zitierte Entscheidung des EuGH (EuGH, Urteil vom 29.07.2019 – C-40/17 – „Gefällt mir“-Button – Fashion ID) besagt das Gegenteil, nämlich dass die Verantwortung für die Einholung der Einwilligung für die Verarbeitung der personenbezogenen Daten beim Betreiber der Website liegt und nicht bei der Beklagten. Zwar führt der EuGH in der genannten Entscheidung aus, dass der Betreiber der Website und die Beklagte als Anbieter der Business Tools über die Mittel, die dem Erheben personenbezogener Daten der Besucher der Website und deren Weitergabe durch Übermittlung zu Grunde lagen, und über die Zwecke der Erhebung und der Weitergabe der Daten durch Übermittlung gemeinsam entschieden haben (EuGH, aaO., Rn. 79, 81). Daher sei auch der Betreiber der Website als Verantwortlicher anzusehen (EuGH, aaO., Rn. 85). Die erforderliche Einwilligung des Betroffenen für die Erhebung der Daten und deren Weitergabe durch Übermittlung an die Beklagte müsse jedoch der Betreiber der Website einholen und nicht die Beklagte, da der Verarbeitungsprozess der personenbezogenen Daten dadurch ausgelöst werde, dass ein Besucher die Website des Betreibers aufrufe (EuGH, aaO., Rn. 102).

138 bb) Die Behauptung der Beklagten, dass der Kläger beim Besuch der Drittwebseiten und -Apps, auf denen die Business Tools der Beklagten implementiert sind, eine Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO erteilt habe, hat der Kläger jedenfalls mit seinem Vortrag in der Berufungsinstanz zu den Websites z....de und m....de bestritten. Der Vortrag des Klägers hierzu ist mittlerweile unstreitig. Die Beklagte trägt selbst vor, dass sie festgestellt habe, dass die Websites z....de und m....de nicht den Geschäftsbedingungen für Business Tools entsprächen.

139 Ohnehin trifft die Beklagte als (gemeinsam) Verantwortliche die Darlegungs- und Beweislast dafür, dass der Betroffene die Einwilligung erklärt hat und die Einwilligung den Anforderungen der Art. 4 Nr. 11 DSGVO und Art. 7 DSGVO genügt. Hinreichenden Vortrag hierzu hat die Beklagte nicht gehalten.

140 c) Die Beklagte kann aber trotz einer fehlenden wirksamen Einwilligung des Klägers für die auf der Website des Drittunternehmers stattfindende Datenverarbeitung nicht auf Unterlassung in Anspruch genommen werden.

141 Der Unterlassungsanspruch analog §§ 823 Abs. 1, 1004 BGB setzt die Störereigenschaft desjenigen voraus, der auf Unterlassung in Anspruch genommen werden soll. An dieser Störereigenschaft der Beklagten fehlt es.

142 aa) Störer ist, wer, auch ohne Täter oder Teilnehmer zu sein, in irgendeiner Weise willentlich und adäquat kausal zur Beeinträchtigung des Rechtsguts beiträgt oder dessen Verhalten eine Beeinträchtigung befürchten lässt, unabhängig von Art und Umfang seines Beitrags. Hat die Beeinträchtigung ihre unmittelbare Ursache im Verhalten Dritter, ist zusätzlich die Verletzung von Handlungspflichten erforderlich, die sich, von speziellen gesetzlichen Verpflichtungen abgesehen, allgemein danach bestimmen, inwieweit der Verantwortliche zu der Verletzung beiträgt und ihm zumutbare Einwirkungsmöglichkeiten zur Verfügung stehen (Grüneberg/Sprau, aaO., Vor § 823, Rn. 31, 35).

143 bb) Die Beklagte hat zwar bei einer fehlenden oder unwirksamen Einwilligung willentlich und adäquat kausal zur Beeinträchtigung des allgemeinen Persönlichkeitsrechts des betroffenen Besuchers der Website beigetragen. Die Beklagte kann sich insoweit nicht darauf zurückziehen, dass sie die Business Tools nicht selbst in die Website des Drittunternehmers eingebunden hat, da sie die Business Tools eigens zum Zwecke der Einbindung in die Website oder App des Drittunternehmers zur Verfügung gestellt hat.

144 Weitere Voraussetzung ist jedoch, dass die Beklagte Handlungspflichten verletzt hat, denn die Beeinträchtigung hat ihre unmittelbare Ursache im Verhalten des Betreibers der Website, der entgegen der getroffenen Vereinbarung mit der Beklagten die Daten ohne ausreichende Rechtsgrundlage erhoben und übermittelt hat. Allein der Umstand, dass die Beklagte die verfahrensgegenständlichen Business Tools entwickelt und den Drittunternehmen zur Verfügung gestellt hat, führt deshalb nicht dazu, dass sie als unmittelbare Störerin anzusehen wäre (a.A. OLG Dresden, Urteil vom 12.03.2026, 17 U 625/25, Urteilsumdruck S. 56).

145 Dass die Beklagte Handlungspflichten verletzt hätte, die sich aus den speziellen Regelungen der Datenschutz-Grundverordnung ergeben, ist nicht erkennbar.

146 (i) Die Beklagte ist (gemeinsam) Verantwortliche für die mittels der Business Tools stattfindende Datenverarbeitung.

147 Verantwortlicher ist nach § 4 Nr. 7 Halbsatz 1 DSGVO die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet. Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel der Verarbeitung fest, sind sie gemeinsam Verantwortliche (Art. 26 Abs. 1 Satz 1 DSGVO).

148 Der EuGH hat bereits entschieden, dass die Beklagte und der Unternehmer, der ein Social-Plug-In der Beklagten (im konkreten Fall den „Gefällt mir“-Button) in seiner Website einbindet, gemeinsam über die Mittel, die dem Erheben personenbezogener Daten der Besucher der Website und deren Weitergabe durch Übermittlung zu Grunde lagen, und über die Zwecke der Erhebung und der Weitergabe der Daten durch Übermittlung gemeinsam entschieden haben und die Beklagte daher gemeinsamer Verantwortlicher i.S.d. Art. 26 DSGVO für die Datenverarbeitung ist (EuGH, Urteil vom 29.07.2019 – C-40/17 – „Gefällt mir“-Button – Fashion ID, Rn. 79, 81, 85). Für die streitgegenständlichen Business Tools gilt nichts anderes.

149 (ii) Es ist jedoch nicht ersichtlich, dass die Beklagte gegen Handlungspflichten verstoßen hat, die sich aus der gemeinsamen Verantwortlichkeit i.S.d. Art. 26 DSGVO ergeben.

150 Dass für die Einholung der Einwilligung nicht die Beklagte verantwortlich ist, sondern der Drittunternehmer, wurde oben schon ausgeführt.

151 Die Beklagte hat auch nicht gegen die Verpflichtung gem. Art. 26 Abs. 1 Satz 2, Abs. 2 DSGVO verstoßen, in einer Vereinbarung mit dem Drittunternehmer in transparenter Form festzulegen, wer von ihnen welche Verpflichtung gemäß der Datenschutz-Grundverordnung erfüllt. Es ist unstreitig, dass die Beklagte die Drittunternehmer im Rahmen der getroffenen Vereinbarung jeweils darauf hinweist, dass diese für die Einholung einer wirksamen Einwilligung verantwortlich sind. Die Business Tool-Nutzungsbedingungen, in denen die Beklagte die Drittunternehmer darauf hinweist, dass diese eine wirksame Einwilligung einholen müssen (Anlage B5), genügen als Vereinbarung i.S.d. Art. 26 DSGVO, denn ein konkretes Formerfordernis für die Vereinbarung enthält Art. 26 DSGVO nicht (Auernhammer/Schreibauer, aaO., Art. 26 DSGVO, Rn. 17).

152 Ein sonstiger Verstoß der Beklagten gegen Handlungspflichten ergibt sich aus dem Vortrag des Klägers nicht.

153 (iii) Aus Art. 26 Abs. 3 DSGVO folgt nicht, dass die Beklagte gleichwohl vom Kläger auf Unterlassung in Anspruch genommen werden kann.

154 Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ungeachtet der Einzelheiten der Vereinbarung, die die Beklagte mit dem jeweiligen Drittunternehmen geschlossen hat, ihre Rechte im Rahmen der Datenschutz-Grundverordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen. Diese Ansprüche sind jedoch beschränkt auf die Rechte der betroffenen Person nach Kapitel 3 DSGVO (Bertermann in Ehmann/Selmayer, DSGVO, 3. Aufl. 2024, Art. 26, Rn. 29; Spoerr in BeckOK Datenschutzrecht, Stand 01.08.2025, Art. 26, Rn. 58). Unterlassungsansprüche sind daher nicht von Art. 26 Abs. 3 DSGVO umfasst, weil diese in den Art. 12 bis 23 DSGVO nicht vorgesehen sind (Bertermann, ebenda). Ein anderes Ergebnis ergibt sich auch dann nicht, wenn entsprechend dem Wortlaut der Regelung nicht nur die Rechte der betroffenen Person nach Kapitel 3 DSGVO gemeint sind, sondern alle in der Datenschutz-Grundverordnung geregelten Rechte, denn der Unterlassungsanspruch ist nicht in der Datenschutz-Grundverordnung geregelt, sondern ergibt sich ergänzend aus den Regelungen des nationalen Rechts.

155 3. Zur Berufung der Beklagten (Verarbeitung der an die Beklagte übermittelten Daten):

156 Die Berufung der Beklagten ist unbegründet.

157 a) Die Berufung der Beklagten ist nicht deshalb begründet, weil der Kläger den ihm vom Landgericht zugesprochenen Anspruch gar nicht geltend gemacht hat. Wie oben bereits ausgeführt, hat sich der Kläger durch den Antrag auf Zurückweisung der Berufung der Beklagten die Entscheidung des Landgerichts zu eigen gemacht und seine Klage in der Berufungsinstanz in zulässiger Weise um den ihm zugesprochenen Unterlassungsanspruch erweitert (vgl. Zöller/Feskorn, aaO., § 308, Rn. 7).

158 b) Auf die Verwendung der Daten für personalisierte Werbung kann der Unterlassungsantrag nicht gestützt werden. Insoweit fehlt es an der Wiederholungsgefahr.

159 aa) Materiellrechtliche Voraussetzung für den Unterlassungsanspruch ist die Wiederholungsgefahr.

160 In der Regel begründet die vorangegangene rechtswidrige Beeinträchtigung eine tatsächliche Vermutung hierfür. Auch eine erstmals ernsthaft drohende Beeinträchtigung genügt. Für sie spricht aber keine tatsächliche Vermutung (Grüneberg/Herrler, aaO., § 1004, Rn. 32; Grüneberg/Sprau, aaO., Vor § 823, Rn. 29).

161 bb) Dass die Beklagte in der Vergangenheit personenbezogene Daten des Klägers zu Werbezwecken verwendet hätte, hat der Kläger nicht substantiiert behauptet. Jedenfalls hat er für eine derartige Behauptung keinen Beweis angeboten. Der Kläger trägt lediglich in allgemeiner Form vor, dass die Beklagte unrechtmäßig personenbezogene Daten des Klägers verarbeitet habe. Konkreterer Vortrag findet sich nicht. Soweit der Kläger vorträgt, dass die Einstellung der Schaltflächen „Optionale Cookies“ und „Informationen zu Aktivitäten von Werbepartnern“ keinerlei Auswirkungen auf die Funktionsweise der Business Tools und der in diesen stattfindenden Datenverarbeitung für den Kläger habe, und diese Behauptung unter Sachverständigenbeweis stellt, lässt sich auch diesem Vortrag nicht die Behauptung entnehmen, dass die Beklagte personenbezogene Daten des Klägers ohne dessen Einwilligung für Werbezwecke verwendet habe.

162 Es fehlt insoweit auch an der Erstbegehungsgefahr, denn die Beklagte hat bereits vorgerichtlich in ihrem Antwortschreiben auf das Anwaltsschreiben des Klägers ausdrücklich erklärt, dass sie ohne Einwilligung die ihr per Business Tool übermittelten Daten des Klägers nicht zu Werbezwecken verwendet (Anlage B10).

163 c) Der Unterlassungsantrag ist aber deshalb begründet, weil die Beklagte die personenbezogenen Daten des Klägers unstreitig zu Sicherheits- und Integritätszwecken speichert und den erforderlichen Vortrag dafür, dass dies gem. Art. 6 Abs. 1 lit. f) DSGVO zulässig ist, trotz eines gerichtlichen Hinweises nicht gehalten hat.

164 aa) Nach Art. 6 Abs. 1 lit. f) DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

165 Zu den berechtigten Interessen in diesem Sinne zählt auch die Verhinderung von Betrug (Erwägungsgrund 47 Satz 6). Die Verarbeitung von personenbezogenen Daten durch Betreiber von elektronischen Kommunikationsnetzen und -diensten stellt zudem in dem Maße ein berechtigtes Interesse des jeweiligen Verantwortlichen dar, wie dies für die Gewährleistung der Netz- und Informationssicherheit unbedingt notwendig und verhältnismäßig ist, d.h. soweit dadurch die Fähigkeit eines Netzes oder Informationssystems gewährleistet wird, mit einem vorgegebenen Grad der Zuverlässigkeit Störungen oder widerrechtliche oder mutwillige Eingriffe abzuwehren, die die Verfügbarkeit, Authentizität, Vollständigkeit und Vertraulichkeit von gespeicherten oder übermittelten personenbezogenen Daten sowie die Sicherheit damit zusammenhängender Dienste, die über diese Netze oder Informationssysteme angeboten werden bzw. zugänglich sind, beeinträchtigen. Ein solches berechtigtes Interesse kann beispielsweise darin bestehen, den Zugang Unbefugter zu elektronischen Kommunikationsnetzen und die Verbreitung schädlicher Programmcodes zu verhindern sowie Angriffe in Form der gezielten Überlastung von Servern („Denial of service“-Angriffe) und Schädigungen von Computer- und elektronischen Kommunikationssystemen abzuwehren (Erwägungsgrund 49).

166 Die Verarbeitung muss zur Wahrung des berechtigten Interesses erforderlich sein. Die Erforderlichkeit entfällt, wenn es ebenfalls geeignete, nachweislich hinreichend wirksame alternative Wege der Datenverarbeitung gibt, die datenschutzrechtlich weniger belastend für die Betroffenen wirken (Auernhammer/Kramer, aaO., Art. 6, Rn. 79). Die Tatsachengrundlagen, die die Erforderlichkeit der Datenverarbeitung stützen sollen, sind vom Verantwortlichen darzulegen (Albers/Veit in BeckOK DatenschutzR, aaO., DSGVO Art. 6, Rn. 69).

167 Ist die Speicherung der Daten zu Sicherheitszwecken erforderlich, muss geprüft werden, ob die Interessen oder die Grundrechte und Grundfreiheiten der Betroffenen die Verarbeitungsinteresse überwiegen. Ein Überwiegen der Interessen der Betroffenen ist nicht von vornherein ausgeschlossen. Es kommt darauf an, welche Daten in welchem Umfang und für welchen Zeitraum gespeichert und verarbeitet werden (Auernhammer/Kramer, aaO., Art. 6, Rn. 88).

168 bb) Die Beklagte hat in erster Instanz vorgetragen, dass die Speicherung der Daten zu Sicherheits- und Integritätszwecken einschließlich der Überwachung von versuchten Angriffen auf die Systeme der Beklagten wie z.B. der forcierten Überlastung der Website erforderlich sei.

169 Die Beklagte hat die Sicherheits- und Integritätszwecke allerdings trotz des gerichtlichen Hinweises in der ersten Berufungsverhandlung nicht näher konkretisiert. Sie trägt weiterhin lediglich in pauschaler Form vor, dass sie die über die Business Tools gesammelten Daten nutze

170 - zur Erkennung anomaler Aktivitäten, die möglicherweise darauf abzielten, die Dienste der Beklagten zu stören, wie beispielsweise atypische Verhaltensmuster bei Empfangsraten oder anomale Geräte-/Netzwerkaktivitäten,

171 - zur Fehlerbehebung und Betriebsdatenerfassung,

172 - zur Erkennung von feindlichen Akteuren, deren Handlungen gegen die Richtlinien der Beklagten verstoßen könnten, wie beispielsweise Hacking-Aktivitäten, Daten aus verbotenen Quellen, Sicherheitsrisiken insbesondere für Minderjährige, mögliche kriminelle Aktivitäten gefährlicher Organisationen und Beeinflussungsmaßnahmen einschließlich koordinierter unechter Verhaltensweisen.

173 Dieser allgemein gehaltene Vortrag genügt nicht. Er lässt nicht erkennen, welche Daten des Klägers die Beklagte zu Sicherheits- und Integritätszwecken verarbeitet, auf welche Weise dies geschieht, warum die Verarbeitung der Daten für die angegebenen Sicherheits- und Integritätszwecke überhaupt notwendig ist und wie lange die Beklagte die Daten zu Sicherheits- und Integritätszwecken speichert. Vortrag hierzu ist erforderlich, weil nur so geprüft werden kann, ob die Verarbeitung der personenbezogenen Daten zur Wahrung des von der Beklagten behaupteten berechtigten Interesses erforderlich ist und ob dieses Verarbeitungsinteresse in der Abwägung gegenüber den Interessen und den Grundrechten und Grundfreiheiten des Klägers den Vorrang genießt. Dies ist der Beklagten ausweislich ihrer Stellungnahme zum gerichtlichen Hinweis auch bewusst, da sie in Randnummer 1 ihres Schriftsatzes die obigen Fragen auflistet. Gleichwohl enthalten die folgenden Ausführungen keine einzige Antwort auf die aufgelisteten Fragen.

174 Auch der im letzten Schriftsatz vom 27.03.2026 erfolgte weitere Vortrag ist zur Substantiierung der behaupteten Sicherheits- und Integritätszwecke nicht geeignet. Soweit die Beklagte in diesem Schriftsatz vorträgt, dass sie Daten innerhalb von drei Stunden aus ihren Systemen lösche, bezieht sich diese Frist auf das an dieser Stelle dargestellte Beispiel. Dass die Beklagte die ihr mittels Business Tools übermittelten Daten generell nach drei Stunden löscht, lässt sich dem Vortrag an der betreffenden Stelle nicht entnehmen (Rn. 25 ff.). Hinzu kommt, dass die Beklagte die Daten nur löscht, wenn sie keine weitere Untersuchung für erforderlich hält. Offen bleibt, nach welchen Kriterien die Beklagte diese Erforderlichkeit bestimmt. Ohnehin fehlt auch insoweit ein konkreter Bezug zu den von der Beklagten gespeicherten personenbezogenen Daten des Klägers.

175 cc) Der weitere Einwand der Beklagten, dass sie die bei ihr eingehenden Daten verarbeiten müsse, um festzustellen, ob die Daten mit einem Konto bei ihr in Verbindung stehen und ob nach den Einstellungen dieses Kontos eine Verarbeitung zulässig ist, ist nicht begründet. Auf den Einwand kommt es schon deshalb nicht an, weil das Landgericht der Beklagten lediglich die Speicherung der Daten untersagt hat, nicht aber den Abgleich der Daten.

176 Im Übrigen wäre der Einwand auch in Bezug auf den Abgleich der Daten unbegründet. Ein Abgleich der eingehenden Daten mit den vorhandenen Konten kommt von vornherein nur in Betracht, wenn die Daten rechtmäßig erhoben worden sind. Sind die Daten rechtmäßig erhoben worden, beispielsweise aufgrund der Einwilligung der betroffenen Person mit der Erhebung und Übermittlung dieser Daten an die Beklagte, dann ist von dieser Einwilligung auch der Abgleich mit den vorhandenen Daten erfasst. Sind die Daten jedoch unrechtmäßig erhoben worden, so hat die Beklagte kein berechtigtes Interesse daran festzustellen, ob die Daten mit einem Konto bei ihr in Verbindung stehen.

177 d) Die vorangegangene rechtswidrige Beeinträchtigung begründet eine tatsächliche Vermutung für das Vorliegen einer Wiederholungsgefahr.

178 e) Das vom Landgericht gegenüber der Beklagten ausgesprochene Verbot, die auf Dritt-Webseiten und -Apps erhobenen personenbezogenen Daten des Klägers, die an die Beklagte übermittelt worden sind, zu speichern, geht nicht deshalb zu weit, weil vom Verbot auch erlaubte Verhaltensweisen erfasst wären. Letzteres ist nicht der Fall, da die Beklagte – wie ausgeführt – keinen Rechtfertigungsgrund für eine Verarbeitung nach Art. 6 DSGVO schlüssig dargelegt hat.

179 Dass die Voraussetzungen einer zulässigen Speicherung möglicherweise in der Zukunft vorliegen, steht dem Untersagungsgebot nicht entgegen. Wird zu einem späteren Zeitpunkt eine wirksame Einwilligung erteilt oder ergibt sich nach Schluss der mündlichen Verhandlung ein Rechtfertigungsgrund für eine Datenverarbeitung durch die Beklagte, kann die Beklagte dies mit der Vollstreckungsabwehrklage nach § 767 Abs. 2 ZPO geltend machen. Diese kann auch gegen einen Unterlassungsanspruch gerichtet werden (OLG Dresden, Urteil vom 03.02.2026, 4 U 292/25, juris, Rn. 183). Der Ansicht des OLG München und ihm folgend des OLG Naumburg, dass von dem Verbot ausdrücklich erlaubte Verhaltensweisen ausgenommen werden müssten (OLG München, Urteil vom 18.12.2025, 14 U 1068/25, GRUR-RS 2025, 36441, Rn. 187-194; OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 295-297), ist deshalb nicht zu folgen. Ohnehin dürfte eine Tenorierung wie in den Fällen des OLG München und des OLG Naumburg im vorliegenden Fall unbestimmt sein, weil die Parteien gerade darüber streiten, ob die streitgegenständliche Datenverarbeitung gesetzlich zulässig ist.

180 Klagantrag Ziff. 3 (Speicherung):

181 Die Berufung des Klägers hat Erfolg mit dem Antrag, die Beklagte zu verurteilen, die Daten unverändert zu lassen und sie nicht zu löschen. Sie ist unbegründet, soweit der Kläger die Verurteilung der Beklagten begehrt, die Daten am gespeicherten Ort zu belassen.

182 1. Mit dem Klagantrag Ziff. 3 begehrt der Kläger die Verpflichtung der Beklagten, die im Klagantrag Ziff. 1 bezeichneten Daten unverändert am gespeicherten Ort zu belassen, nicht zu verändern und nicht an Dritte weiterzugeben und die Daten erst auf Aufforderung des Klägers bzw. sechs Monate nach rechtskräftigem Abschluss des Verfahrens zu löschen.

183 Der Kläger hat in der Berufungsverhandlung ausdrücklich klargestellt, dass der Antrag allein darauf gerichtet ist, die Daten ab sofort unverändert am gespeicherten Ort zu belassen. Eine künftige Löschung werde mit diesem Antrag nicht begehrt. Diese sei Gegenstand des Antrags Ziff. 4. Zu beurteilen ist daher nur das Begehren auf unveränderte Speicherung der Daten und die Untersagung der Weitergabe dieser Daten an Dritte.

184 2. Anspruchsgrundlage für das Verlangen des Klägers ist Art. 18 DSGVO. Art. 18 Abs. 1 DSGVO gibt einer betroffenen Person das Recht, unter den dort genannten Voraussetzungen von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen.

185 Die Einschränkung der Verarbeitung bezeichnet nach Art. 4 Nr. 3 DSGVO die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Wurde die Verarbeitung eingeschränkt, dürfen die personenbezogenen Daten – von ihrer Speicherung abgesehen – nur mit Einwilligung der betroffenen Person oder bei Vorliegen der anderen in Art. 18 Abs. 2 DSGVO genannten Voraussetzungen verarbeitet werden. Inhaltlich entspricht die Einschränkung der Verarbeitung dem Begriff der Sperrung (Auernhammer/Eßer, aaO., Art. 4, Rn. 62).

186 3. Die Einschränkung der Verarbeitung kann die betroffene Person u.a. dann verlangen, wenn die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt (Art. 18 Abs. 1 Buchst. b) DSGVO).

187 Die genannten Voraussetzungen liegen vor. Die Verarbeitung der Daten war unrechtmäßig. Auf die Ausführungen unter Ziff. 3 zu Klagantrag Ziff. 2 wird verwiesen. Auch die weitere Voraussetzung für den Anspruch auf Einschränkung, dass die betroffene Person die Löschung ablehnt, liegt vor. Ein entsprechendes Verlangen, die Daten nicht zu löschen, hat der Kläger jedenfalls mit dem Antrag Ziff. 3 gestellt.

188 4. Das vom Kläger begehrte Verbot entspricht allerdings nicht in vollem Umfang den mit einer Einschränkung verbundenen Rechtsfolgen. Nicht von der Anspruchsgrundlage gedeckt ist das Verlangen des Klägers, dass die Daten am gespeicherten Ort verbleiben.

189 a) Aus dem Anspruch auf Einschränkung der Verarbeitung ergibt sich nicht, dass die Daten am gespeicherten Ort zu belassen sind, denn der Erwägungsgrund 67 sieht ausdrücklich vor, dass die Daten vorübergehend auf ein anderes Verarbeitungssystem übertragen werden können. Insoweit ist die Klage des Klägers daher unbegründet und bleibt seine Berufung ohne Erfolg.

190 b) Im Übrigen ist der Antrag Ziff. 3 begründet.

191 Nach erfolgter Einschränkung der Verarbeitung ist dem Verantwortlichen verboten, die Daten zu verändern, intern weiter zu verwenden oder an Dritte weiterzugeben (vgl. Auernhammer/Stollhoff, aaO., Art. 18, Rn. 25). Der Verantwortliche darf die Daten auch nicht mehr löschen, weil auch das Löschen von Daten nach der Legaldefinition des Art. 4 Nr. 2 DSGVO eine Verarbeitung ist. Der Verantwortliche hat also nicht die Wahl, statt der Einschränkung zu löschen (Auernhammer/Stollhoff, aaO., Art. 18, Rn. 26).

192 Dem Anspruch des Klägers steht nicht entgegen, dass nach Art. 18 Abs. 2 DSGVO personenbezogene Daten auch dann, wenn ihre Verarbeitung gem. Art. 18 Abs. 1 DSGVO eingeschränkt worden ist, verarbeitet werden dürfen, wenn die betroffene Person einwilligt oder wenn dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Union oder eines Mitgliedstaates erfolgt. Die Beklagte hat nicht vorgetragen, dass eine dieser Voraussetzungen vorliegt. Es ist deshalb auch nicht davon auszugehen, dass das begehrte Verbot, die Daten intern nicht weiter zu verwenden und nicht an Dritte weiterzugeben, zu umfassend wäre, weil es auch erlaubte Verhaltensweise umfassen würde.

193 Klagantrag Ziff. 4 (Löschung und Anonymisierung):

194 Mit dem Klagantrag Ziff. 4 begehrt der Kläger die Verpflichtung der Beklagten,

195 - sämtliche im Klageantrag Ziff. 1 a bezeichneten Daten des Klägers auf Aufforderung des Klägers, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens vollständig zu löschen (nachfolgend 1.),

196 - der Klagepartei die Löschung zu bestätigen (nachfolgend 2.),

197 - sämtliche gem. dem Antrag zu 1. b) und c) seit dem 01.06.2021 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren (nachfolgend 3.).

198 1. Der Antrag auf Löschung ist zulässig und begründet.

199 a) Der Antrag auf Löschung ist zulässig.

200 aa) Die Klage ist auf eine Löschung erst sechs Monate nach Rechtskraft bzw. nach erfolgter Aufforderung gerichtet ist. Der Anspruch auf Löschung ist bis zum angegebenen Zeitpunkt nicht fällig, weil der Kläger ausdrücklich die Speicherung der Daten bis zu diesem Zeitpunkt verlangt. Es handelt sich daher um eine Klage auf künftige Leistung (vgl. OLG Naumburg, aaO., Rn. 308).

201 Eine Klage auf künftige Leistung ist nur unter den Voraussetzungen der §§ 257 bis 259 ZPO zulässig (Foerste in Musielak/Voit, ZPO, 22. Aufl. 2025, § 257, Rn. 6). Nach § 259 ZPO kann eine Klage auf künftige Leistung erhoben werden, wenn den Umständen nach die Besorgnis gerechtfertigt ist, dass der Schuldner sich der rechtzeitigen Leistung entziehen werde. Für die Besorgnis genügt, dass der Schuldner den Anspruch oder die Leistungspflicht ernstlich bestreitet. Bösgläubigkeit oder gar Böswilligkeit ist nicht erforderlich (Becker-Eberhard in MüKo/ZPO, aaO., § 259, Rn. 13).

202 Die Beklagte hat ernstlich bestritten, dass sie zur Löschung der personenbezogenen Daten verpflichtet ist, und insoweit darauf verwiesen, dass sie befugt ist, die Daten aus Sicherheits- und Integritätsgründen weiterhin zu speichern. Die Beklagte hat damit ihre Leistungspflicht ernstlich bestritten. Die Voraussetzungen für eine Klage auf künftige Leistung liegen damit vor.

203 bb) Der Zulässigkeit der Klage steht auch nicht entgegen, dass die Löschung vor Ablauf von sechs Monaten nach Rechtskraft des Urteils von der vorausgegangenen Aufforderung des Klägers abhängt, d.h. von einer aufschiebenden Bedingung. Dieser Umstand ändert an der hinreichenden Bestimmtheit des Antrags nichts.

204 Ein Klageantrag ist grundsätzlich hinreichend bestimmt, wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 ZPO) absteckt, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennen lässt, das Risiko eines Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abwälzt und schließlich eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt (BGH, NJW 1999, 954).

205 Unter all diesen Gesichtspunkten ist gegen einen an die Aufforderung geknüpften Fälligkeitszeitpunkt für die beantragte Löschung im Grundsatz nichts einzuwenden. In der oben zitierten Entscheidung des Bundesgerichtshofs ging es um einen Antrag auf Zahlung einer monatlichen Nutzungsentschädigung bis zur Herausgabe der Sache. Gründe, die Bestimmtheit des Antrags für einen Antrag auf Löschung nach Herausgabe anders zu beurteilen, sind nicht ersichtlich. Die Erwägungen des Bundesgerichtshofs gelten auch im vorliegenden Fall. Ob der Kläger die Beklagte zur Löschung aufgefordert hat, lässt sich in aller Regel leicht und sicher feststellen. Die erforderliche Prüfung kann vor Beginn der Zwangsvollstreckung im Klauselerteilungsverfahren erfolgen, da es sich um eine aufschiebende Bedingung handelt (§§ 726, 731 ZPO).

206 cc) Der Antrag ist auch nicht wegen fehlender Bestimmtheit der zu löschenden bzw. zu anonymisierenden Daten unzulässig.

207 Das Landgericht hat den Antrag für unzulässig gehalten, weil die Daten, die gelöscht bzw. anonymisiert werden sollen, nur abstrakt umschrieben würden und nicht konkret dargelegt sei, welche der Daten von Dritt-Webseiten oder -Apps stammten. Es sei den gespeicherten Daten als solches nicht anzusehen, ob sie von Dritt-Webseiten oder -Apps stammten oder von F... oder I.... Dies überzeugt unter Berücksichtigung der oben unter bb) dargelegten Anforderungen an die Bestimmtheit eines Klagantrags nicht:

208 Dass es der Beklagten nicht möglich wäre festzustellen, ob die bei ihr gespeicherten Daten von Dritt-Webseiten oder -Apps stammen, behauptet die Beklagte selbst nicht. Sie rügt, dass der Klagantrag eine unzulässige außerprozessuale Bedingung enthalte und das Rechtsschutzinteresse für eine Klage auf künftige Leistung fehle. Sie argumentiert jedoch an keiner Stelle damit, dass sie die Herkunft der Daten nicht mehr feststellen könne. Soweit sie in ihrer Berufungserwiderung ausführt, dass der Löschungs- und Anonymisierungsantrag des Klägers zu unbestimmt sei, weil er nicht spezifiziere, welche konkreten Daten Gegenstand der Anträge des Klägers seien, verweist sie lediglich auf zwei Urteile von Landgerichten sowie auf eine angebliche Erörterung unter Abschnitt B.I. Im Abschnitt B.I. befasst sich die Beklagte jedoch nur mit der Frage, gegen welchen Verarbeitungszweck sich der Kläger mit seiner Klage wendet (Rn. 10 ff.). Der Einwand, dass die Daten, deren Löschung bzw. Anonymisierung der Kläger begehrt, nicht hinreichend konkretisiert seien, taucht an der betreffenden Stelle nicht auf.

209 An der Bestimmtheit des Antrags bestehen danach keine Zweifel. Die Daten, um die es geht, sind durch ihre Herkunft konkret bezeichnet. Nur über diese Daten wird entschieden; über Inhalt und Umfang der Rechtskraft bestehen daher keine Zweifel. Eine Zwangsvollstreckung aus dem Urteil ist gem. § 888 ZPO möglich, da die Löschung bzw. Anonymisierung der bei der Beklagten gespeicherten Daten eine nicht vertretbare Handlung darstellt.

210 b) Der Löschungsanspruch ist begründet.

211 Der Anspruch auf Löschung personenbezogener Daten, die unrechtmäßig verarbeitet werden, richtet sich nach Art. 17 Abs. 1 lit. d) DSGVO. Danach muss der Verantwortliche personenbezogene Daten, die unrechtmäßig verarbeitet wurden, unverzüglich löschen, wenn die betroffene Person dies verlangt.

212 Die genannten Voraussetzungen liegen vor. Hinsichtlich der unrechtmäßigen Verarbeitung wird auf die obigen Ausführungen zur Berufung der Beklagten gegen den vom Landgericht zugesprochenen Unterlassungsanspruch verwiesen. Ein Verlangen des Klägers liegt ebenfalls vor. Dass er keine unverzügliche Löschung begehrt, sondern eine Löschung erst zu einem späteren Zeitpunkt, schadet nicht, denn Anspruchsvoraussetzung ist nach Sinn und Zweck der Vorschrift nicht das Verlangen nach einer unverzüglichen Löschung, sondern nur das Verlangen nach einer Löschung, der der Verantwortliche dann unverzüglich nachkommen muss (vgl. Kamann/Braun in Ehmann/Selmayr, aaO., Art. 17, Rn. 42).

213 2. Nicht begründet ist die Berufung des Klägers hinsichtlich des geltend gemachten Anspruchs auf Bestätigung der Löschung.

214 Anspruchsgrundlage für das Begehren des Klägers auf Bestätigung der Löschung ist Art. 12 Abs. 3 Satz 1 DSGVO. Nach dieser Vorschrift hat der Verantwortliche der betroffenen Person unverzüglich, spätestens innerhalb eines Monats, Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 DSGVO – also auch auf den Antrag auf Löschung gem. Art. 17 DSGVO – ergriffenen Maßnahmen zur Verfügung zu stellen.

215 Auch insoweit handelt es sich um eine Klage auf künftige Leistung, denn die Löschung ist noch nicht erfolgt und soll nach dem Willen des Klägers auch noch nicht erfolgen.

216 Der Antrag ist unzulässig, weil die Voraussetzungen für eine Klage auf künftige Leistung nicht vorliegen. Insbesondere fehlt es an der Besorgnis der Nichterfüllung i.S.d. § 259 ZPO, denn die Beklagte hat für den Fall, dass sie personenbezogene Daten des Klägers löscht, nie ihre Verpflichtung in Abrede gestellt, dem Kläger die Löschung der Daten zu bestätigen.

217 3. Unbegründet ist ferner die Berufung des Klägers in Bezug auf den Anspruch auf vollständige Anonymisierung der Daten gem. Klageantrag Ziff. 1 b) und c).

218 a) Der Antrag ist zulässig. Ihm fehlt insbesondere nicht deshalb das Rechtsschutzbedürfnis, weil bzgl. der Anonymisierung der Daten die Möglichkeit besteht, die Daten früherer Aktivitäten vom Konto des Klägers zu trennen. Diese Möglichkeit lässt das Rechtsschutzinteresse für die begehrte Anonymisierung nicht entfallen. Anonymisiert sind Daten, wenn die betroffenen Daten nicht oder nicht mehr identifiziert werden können (Auernhammer/Eßer, aaO., Art. 4, Rn. 72). Mit der Trennung der Daten wären die Daten jedoch nur dann anonymisiert, wenn gewährleistet wäre, dass der Personenbezug nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft wiederhergestellt werden kann (Auernhammer/Eßer, aaO., Art. 4, Rn. 73). Dass dies der Fall wäre, lässt sich dem Vortrag der Beklagten nicht entnehmen.

219 b) Der Antrag steht entgegen seinem missverständlichen Wortlaut nicht in inhaltlichem Widerspruch zum Antrag Ziff. 3. Nach dem Antrag Ziff. 3 soll die Beklagte die gespeicherten Daten unverändert am gespeicherten Ort belassen, nach dem Antrag Ziff. 4 soll sie die Daten anonymisieren. Der Kläger hat insoweit jedoch klargestellt, dass auch der bzgl. der Daten gem. Klageantrag Ziff. 1 b) und c) gestellte Anonymisierungsantrag unter derselben zeitlichen Bedingung steht wie der Löschungsantrag bzgl. der Daten gem. Klageantrag Ziff. 1 a), nämlich unter der Bedingung, dass die Anonymisierung erst auf Aufforderung des Klägers, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens erfolgen soll.

220 c) Der Antrag auf Anonymisierung ist unbegründet, denn eine Anspruchsgrundlage für die begehrte Anonymisierung der Daten besteht nicht. Die Datenschutz-Grundverordnung gibt zwar unter bestimmten Voraussetzungen einen Anspruch auf Löschung. Einen Anspruch auf Anonymisierung gibt sie jedoch nicht. Soweit der Kläger im Wege des Erst-Recht-Schlusses der Ansicht ist, dass der Anspruch auf Anonymisierung als „Minus“ im Anspruch auf Löschung aus Art. 17 DSGVO enthalten sei, kann dem nicht gefolgt werden, denn wie der Verantwortliche den Anspruch des Betroffenen auf Löschung erfüllt, ist seine Sache (Kamann/Braun in Ehmann/Selmayer, aaO., Art. 17, Rn. 40), zumal die Anonymisierung einen höheren Aufwand verursachen kann als die Löschung.

221 In diesem Sinne haben auch das OLG München, das OLG Naumburg und das OLG Hamm entschieden (OLG München, Urteil vom 18.12.2025, 14 U 881/25, GRUR-RS 2025, 36464, Rn 138; OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 320; OLG Hamm, Urteil vom 09.03.2026, I-8 U 13/25, Urteilsumdruck S. 32). Dass die genannten Oberlandesgerichte die Beklagte statt zur Anonymisierung zur Löschung verurteilt haben, beruht lediglich darauf, dass die Klagepartei in den dortigen Fällen die Anonymisierung oder „wahlweise nach Wahl der Beklagten“ auch die Löschung beantragt hatte. Dies ist im vorliegenden Fall anders. Der Kläger hat allein die Anonymisierung beantragt.

222 Der gegenteiligen Ansicht des OLG Dresden, das einen Anspruch auf Anonymisierung zuerkennt (Urteil vom 03.02.2026, 4 U 292/25, juris, Rn. 191; Urteil vom 17.03.2026, 4 U 709/25, Urteilsumdruck S. 28), ist nicht zu folgen. Das OLG Dresden argumentiert damit, dass der Verantwortliche der Löschpflicht auch durch eine entsprechende Anonymisierung entsprechen könne, wenn die betroffene Person die Anonymisierung verlangt. Dass der Verantwortliche seiner Verpflichtung zur Löschung auch durch Anonymisierung nachkommen kann, heißt aber nicht, dass er zur Anonymisierung verpflichtet ist, denn im Hinblick auf die Mittel und Verfahren der Löschung steht dem Verantwortlichen ein Auswahlermessen zu, soweit die ausgewählten Maßnahmen zu dem erforderlichen Löschungserfolg führen (Kamann/Braun in Ehmann/Selmayr, aaO., Art. 17, Rn. 40).

223 Klagantrag Ziff. 5 (Schadensersatz):

224 Die Berufung hinsichtlich des Klagantrags Ziff. 5, mit dem der Kläger immateriellen Schadensersatz in Höhe von mindestens 5.000,00 € begehrt, ist in Höhe von 500,00 € begründet.

225 Anspruchsgrundlage für das Begehren des Klägers ist Art. 82 DSGVO. Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen. Voraussetzung für den Schadensersatzanspruch ist damit ein Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines immateriellen Schadens sowie ein Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (BGH, Urteil vom 18.11.2024, VI ZR 10/24, Rn. 21).

226 1. Ein Verstoß gegen die Datenschutz-Grundverordnung liegt vor.

227 a) Für den vom Kläger geltend gemachten Anspruch auf immateriellen Schadensersatz sind sowohl etwaige Verstöße gegen die Datenschutz-Grundverordnung bei der Erhebung personenbezogener Daten durch die Business Tools zu berücksichtigen, die in die gemeinsame Verantwortlichkeit der Beklagten und des Betreibers der Website mit den Business Tools fallen, als auch Verstöße nach Übermittlung dieser Daten an die Beklagte, denn hinsichtlich der insoweit vom Kläger behaupteten Verstöße ist von einem einheitlichen Streitgegenstand auszugehen.

228 Vom Streitgegenstand werden sämtliche mit der inkriminierten Datenverarbeitung im Zusammenhang stehenden gerügten Verstöße gegen die Datenschutz-Grundverordnung umfasst, die bei einer natürlichen, vom Standpunkt der Parteien ausgehenden und den Sachverhalt seinem Wesen nach erfassenden Betrachtung zu dem zur Entscheidung gestellten Tatsachenkomplex gehören (BGH, Urteil vom 18.11.2024, VI ZR 10/24, Rn. 17). Bei natürlicher Betrachtung können die geltend gemachten Verstöße gegen die Datenschutz-Grundverordnung vor und nach der Übermittlung der Daten an die Beklagte nicht isoliert beurteilt werden, da sie sämtlich in einem einheitlichen Geschehen wurzeln, nämlich der Bereitstellung der Business Tools durch die Beklagte und der Implementierung dieser Tools in die Websites der Drittunternehmer.

229 b) Gemäß den obigen Ausführungen zum Unterlassungsanspruch verstößt die Beklagte mit der Verarbeitung der ihr via Business Tool übermittelten personenbezogenen Daten des Klägers gegen die Datenschutz-Grundverordnung, da keiner der in Art. 6 Abs. 1 DSGVO genannten Bedingungen für eine Verarbeitung der Daten erfüllt ist. Außerdem liegt ein Verstoß gegen die Datenschutz-Grundverordnung auch in Bezug auf die Erhebung und Übermittlung der personenbezogenen Daten auf den Drittseiten vor, da die Beklagte keinen hinreichenden Vortrag zu der insoweit erforderlichen Einwilligung des Klägers gehalten hat. Hinsichtlich der Websites z....de und m....de ist ohnehin unstreitig, dass es an einer Einwilligung des Klägers fehlt.

230 c) Für den Verstoß hinsichtlich der Erhebung der Daten auf den Websites der Drittunternehmer z....de und m....de ist auch die Beklagte verantwortlich, da diese zusammen mit dem Drittunternehmer gemeinsam Verantwortliche i.S.d. Art. 26 DSGVO ist (vgl. EuGH, Urteil vom 29.07.2019, C-40/17 – „Gefällt mir“-Button – Fashion ID). Dass die schädigende Handlung durch den Drittunternehmer vorgenommen worden ist und nicht durch die Beklagte, steht der Haftung nicht entgegen, denn bei gemeinsam Verantwortlichen genügt es, dass der andere beteiligte Verantwortliche eine schädigende Handlung vorgenommen hat (Auernhammer/Schürmann/Baier, aaO., Art. 82, Rn. 16).

231 Zur Entlastungsmöglichkeit nach Art. 82 Abs. 3 DSGVO wird auf die nachfolgenden Ausführungen unter 4. verwiesen.

232 2. Dem Kläger ist auch ein Schaden entstanden.

233 a) Der Begriff des immateriellen Schadens in Art. 82 Abs. 1 DSGVO umfasst negative Gefühle wie beispielsweise Sorge oder Ärger, die die betroffene Person infolge einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten empfindet und die

234 - durch einen Verlust der Kontrolle über diese Daten,

235 - ihre mögliche missbräuchliche Verwendung oder

236 - eine Rufschädigung

237 hervorgerufen werden, sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen diese Verordnung empfindet (EuGH, Urteil vom 04.09.2025, C-655/23, GRUR-RS 2025, 22639, Rn. 64).

238 b) Ein Schaden besteht hier in Form eines Kontrollverlusts. Hiergegen kann nicht eingewandt werden, dass die Daten nur an die Beklagte weitergegeben wurden, nicht an sonstige Dritte. Der Bundesgerichtshof hat einen Kontrollverlust auch in einem Fall bejaht, in dem die Personalaktenverwaltung von Bundesbeamten unzulässigerweise durch Bedienstete des Landes Niedersachsen vorgenommen wurde (BGH, NJW 2025, 1656, Rn. 14 f.). Der Umstand, dass die Bediensteten des Landes Niedersachsen zur Verschwiegenheit verpflichtet waren, stand der Annahme eines Schadens dabei nicht entgegen (BGH, aaO., Rn. 16). Hinzu kommt, dass der Kläger nicht ansatzweise überblicken kann, welche Dimension die Datenverarbeitung durch die Beklagte hat (vgl. OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 341) und dass der Kläger keine Möglichkeit hat, durch eigenes Handeln die Kontrolle über die Daten zurückzuerlangen, da weder durch die Änderung der Datenschutzeinstellungen noch durch die Löschung seines Kontos eine vollumfängliche Löschung der bei der Beklagten gespeicherten Daten möglich wäre (vgl. OLG Dresden, Urteil vom 03.02.2026, 4 U 292/25, juris, Rn. 197). Angesichts dessen kann ein Kontrollverlust durch die unberechtigte Übermittlung personenbezogener Daten an die Beklagte nicht verneint werden.

239 Ein anderer Schaden im Sinne der Rechtsprechung des EuGH ist nicht ersichtlich. Eine Rufschädigung durch die Speicherung der an die Beklagte übermittelten Daten scheidet ebenso aus wie die Sorge über eine mögliche missbräuchliche Verwendung der Daten. Derartige Folgen hat der Kläger weder vorgetragen noch nachgewiesen.

240 3. Auch der erforderliche Kausalzusammenhang zwischen dem Schaden und dem Verstoß der Beklagten besteht. Würde die Beklagte die ihr via Business Tools übermittelten personenbezogenen Daten des Klägers nicht verarbeiten und insbesondere auch nicht speichern, hätte der Kläger bzgl. dieser Daten keinen Kontrollverlust erlitten.

241 4. Gem. Art. 82 Abs. 3 DSGVO wird der Verantwortliche von der Haftung gem. Art. 82 Abs. 2 DSGVO befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Mit Verantwortung ist das Verschulden im Sinne der deutschen Rechtsterminologie gemeint und nicht die datenschutzrechtliche Verantwortlichkeit (Quaas in BeckOK Datenschutzrecht, 55. Ed., Stand 01.02.2026, DSGVO, Art. 82, Rn. 17; Aliprandi, Datenschutzrechtlicher Schadensersatz nach Art. 82 DS-GVO, S. 448).

242 Hinsichtlich der Datenverarbeitung durch die Beklagte selbst kommt eine Haftungsbefreiung nach Art. 82 Abs. 3 DSGVO ersichtlich nicht in Betracht. Für ein fehlendes Verschulden der Beklagten ist nichts vorgetragen.

243 Gleiches gilt im Ergebnis für die Erhebung und Übermittlung der personenbezogenen Daten des Klägers durch die Drittunternehmer.

244 Nicht zu folgen ist insoweit allerdings der in der Kommentarliteratur teilweise vertretenen Ansicht, dass dem gemeinsam Verantwortlichen die Möglichkeit der Entlastung durch Art. 26 Abs. 3 DSGVO versagt wird (so Auernhammer/Schreibauer, aaO., Art. 26, Rn. 18). Zwar besagt Art. 26 Abs. 3 DSGVO, dass die betroffene Person ungeachtet der Einzelheiten der Vereinbarung der gemeinsam Verantwortlichen ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen kann. Für Schadensersatzansprüche enthält Art. 82 DSGVO in den Absätzen 3 und 4 aber eine speziellere Regelung, die neben einer angelegten gesamtschuldnerischen Haftung dem Verantwortlichen unter den hohen Voraussetzungen des Art. 82 Abs. 3 DSGVO auch einen individuellen Entlastungsbeweis ermöglicht (Spoerr in BeckOK DatenschutzR, aaO., DS-GVO Art. 26 Rn. 63). Ohnehin wird vertreten, dass die Regelung in Art. 26 Abs. 3 DSGVO nur die in Kapitel 3 der DSGVO geregelten Rechte betrifft, d.h. die in Art. 12 bis 23 DSGVO geregelten Rechte (vgl. Bertermann in Ehmann/Selmayr, aaO., Art. 26, Rn. 29), bzw. dass Art. 26 Abs. 3 DSGVO dem Betroffenen zwar die Geltendmachung gegenüber jedem Verantwortlichen ermöglicht, die Verpflichtung zur Erfüllung sich aber nach der getroffenen Vereinbarung richtet (so Piltz in Gola/Heckmannn, DSGVO, 3. Aufl. 2022, Art. 26, Rn. 35 f.).

245 Die Beklagte hat aber den Nachweis, dass sie in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist, nicht geführt. Die Beklagte hat insoweit lediglich die gem. Art. 26 DSGVO mit den Drittunternehmern geschlossene Vereinbarung vorgelegt. Dahinstehen kann, ob sie allein deshalb schon davon ausgehen durfte, dass der Betreiber der Website die erforderliche Sorgfalt beim Einholen der Einwilligung walten lässt. Selbst wenn dies der Fall wäre, müsste die Beklagte zumindest darlegen und ggf. beweisen, dass sie keine Kenntnis von der fehlerhaften Implementierung der Business Tools auf den Drittseiten z….de und m….de hatte – etwa aufgrund der Beschwerden anderer Kunden. Hierzu fehlt jeglicher Vortrag.

246 5. Die Höhe des immateriellen Schadensersatzes nach Art. 82 Abs. 1 DSGVO richtet sich nach nationalem Recht, da die Datenschutz-Grundverordnung keine Regeln für die Bemessung des nach Art. 82 DSGVO geschuldeten Schadensersatzes festlegt. Der Schadensersatz ist daher nach § 287 ZPO unter Beachtung der unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität zu schätzen. Entscheidend ist, welcher Betrag erforderlich ist, um einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden sicherzustellen, wie im 146. Erwägungsgrund der DSGVO ausgeführt, wobei weder der Grad des Verschuldens noch das Bestehen eines Unterlassungsanspruchs anspruchsmindernd zu berücksichtigen sind (vgl. EuGH, Urteil vom 04.09.2025, C-655/23, Rn. 69, 72 f., 83).

247 Zu berücksichtigen ist insoweit, dass die Datenverarbeitung durch die Beklagte besonders umfassend ist, da sie potenziell unbegrenzte Daten über die Online-Aktivitäten ihrer Nutzer betrifft, und das Gefühl auslösen kann, dass das Privatleben der Nutzer kontinuierlich überwacht wird (OLG Dresden, aaO., Rn. 197; OLG Jena, Urteil vom 02.03.2026, 3 U 31/25, BeckRS 2026, 2610, Rn. 156). Insbesondere besteht die Gefahr, dass die Beklagte auch bei verweigerter Einwilligung die über die Business Tools erlangten Daten zur Erstellung eines detaillierten Profils des Nutzers verwendet (OLG Dresden, aaO., Rn. 197). Zudem ist aus Sicht des Klägers nicht auszuschließen, dass auch besonders sensible Daten i.S.v. Art. 9 Abs. 1 DSGVO, etwa Gesundheitsdaten oder Daten zur sexuellen Orientierung, von der streitgegenständlichen Datenverarbeitung betroffen sind, denn für eine Übermittlung sensibler Daten genügt es schon, dass der Kläger auf einer Seite wie z....de Artikel mit entsprechenden Themen anklickt, und dem Kläger dürfte es wie jedem sonstigen Internet-Nutzer nicht möglich sein, seine Bewegungen im Internet im Nachhinein im Detail nachzuvollziehen (vgl. OLG Jena, Urteil vom 02.03.2026, 3 U 31/25, BeckRS 2026, 2610, Rn. 90). Das Gefühl umfassender Beobachtung kann insoweit dazu Anlass geben, davon abzusehen, derartige Artikel anzuklicken bzw. Webseiten mit derartigen Themen aufzusuchen (vgl. OLG Dresden, aaO., Rn. 197; OLG Naumburg, Urteil vom 05.02.2026, 9 U 44/25, juris, Rn. 356).

248 Der Senat hält aus diesen Gründen einen Schadensersatzbetrag in Höhe von 500,00 € für angemessen.

249 6. Ein weitergehender Schadensersatzanspruch steht dem Kläger auch unter dem Gesichtspunkt der Verletzung seines allgemeinen Persönlichkeitsrechts nicht zu.

250 Der Umstand, dass dem Kläger ein Schadensersatzanspruch nach Art. 82 DSGVO zusteht, schließt einen Schadensersatzanspruch nach Art. 823 Abs. 1 BGB wegen Verletzung des allgemeinen Persönlichkeitsrechts nicht aus (BGH, Urteil vom 29.07.2025, VI ZR 426/24, Rn. 36). Das allgemeine Persönlichkeitsrecht umfasst auch das Recht auf informationelle Selbstbestimmung, das gewährleistet, dass Informationen über eine Person vor intransparenter Verarbeitung und Nutzung durch Private geschützt sind (Grüneberg/Retzlaff, aaO., § 823, Rn. 132).

251 Nach der ständigen Rechtsprechung des Bundesgerichtshofs begründet die schuldhafte Verletzung des allgemeinen Persönlichkeitsrechts einen Anspruch auf eine Geldentschädigung jedoch nur, wenn es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Ob eine so schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, dass die Zahlung einer Geldentschädigung erforderlich ist, kann nur aufgrund der gesamten Umstände des Einzelfalls beurteilt werden. Hierbei sind insbesondere die Bedeutung und Tragweite des Eingriffs, ferner Anlass und Beweggrund des Handelnden sowie der Grad seines Verschuldens zu berücksichtigen. Die Zubilligung einer Geldentschädigung unter den genannten Voraussetzungen findet ihre sachliche Berechtigung in dem Gedanken, dass das Persönlichkeitsrecht gegenüber schwerwiegenden Beeinträchtigungen anderenfalls ohne ausreichenden Schutz bliebe mit der Folge, dass der Rechtsschutz der Persönlichkeit verkümmern würde (BGH, Urteil vom 12.03.2024, VI ZR 1370/20, Rn. 70).

252 Ein schwerwiegender Eingriff in das allgemeine Persönlichkeitsrecht des Klägers, der nicht in anderer Weise als durch Zahlung einer Geldentschädigung befriedigend aufgefangen werden könnte, liegt im vorliegenden Fall nicht vor (vgl. OLG Naumburg, aaO., Rn. 366 f.; OLG München, GRUR-RS 2025, 36464, Rn. 116 ff.; OLG Dresden, Urteil vom 17.03.2026, 4 U 709/25, Urteilsumdruck S. 33; OLG Hamm, Urteil vom 09.03.2026, I-8 U 13/25, Urteilsumdruck S. 38; a.A. OLG Dresden, Urteil vom 12.03.2026, Az. 17 U 625/25, Urteilsumdruck S. 68). Zu berücksichtigen ist, dass der Kläger für den datenschutzrechtlichen Verstoß der Beklagten bereits immateriellen Schadensersatz nach Art. 82 DSGVO erhält. Die vom Kläger erlittene Beeinträchtigung wird ferner dadurch aufgefangen, dass im vorliegenden Verfahren die Verarbeitung der ihr via Business Tool übermittelten Daten des Klägers untersagt wird (vgl. OLG München, GRUR-RS 2025, 36464, Rn. 121). Außerdem ist zu berücksichtigen, dass der Kläger nach wie vor I... nutzt und allein dadurch der Beklagten schon unzählige Daten liefert.

253 7. Der Schadensersatzbetrag von 500,00 € ist gem. §§ 291 Abs. 1, 288 Abs. 1 Satz 2 BGB ab Rechtshängigkeit, d.h. ab dem 20.01.2024 mit 5 Prozentpunkten über dem Basiszinssatz zu verzinsen. Ein weitergehender Anspruch auf Verzinsung bereits ab dem 05.12.2023 besteht nicht, da der Kläger den von der Beklagten bestrittenen Zugang seiner Mahnung vom 06.11.2023 nicht nachgewiesen hat.

254 Klagantrag Ziff. 7 (Hilfsantrag zum Unterlassungsantrag Ziff. 2):

255 Die Bedingung für die Entscheidung über den Hilfsantrag liegt vor, da der mit Klagantrag Ziff. 2 geltend gemachte Hauptantrag, der die Verarbeitung personenbezogener Daten des Klägers auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten betrifft, gemäß den obigen Ausführungen unbegründet ist.

256 Die Stellung des Hilfsantrags in der Berufungsinstanz ist gem. § 533 ZPO zulässig. Die Beklagte hat zwar die Einwilligung ausdrücklich versagt. Der Hilfsantrag ist jedoch sachdienlich, weil er denselben Streitstoff betrifft und seine Zulassung geeignet ist, den Streitstoff im Rahmen des anhängigen Rechtsstreits auszuräumen (vgl. Zöller/Heßler, aaO., § 533, Rn. 6). Da die Tatsachengrundlage für den Hilfsantrag dieselbe ist wie für den Hauptantrag, steht auch § 533 Nr. 2 ZPO der Zulässigkeit des Hilfsantrags nicht im Wege.

257 Der Hilfsantrag ist allerdings nicht hinreichend bestimmt und daher unzulässig. Im Hilfsantrag werden im Verhältnis zum Hauptantrag einzelne Verarbeitungsvorgänge vom Verbot ausgenommen, sofern die Beklagte hinsichtlich dieser Verarbeitungsvorgänge „Rechtfertigungsgründe mit individuellem Bezug auf diese Vorgänge“ darlegt und beweist. Sowohl der Begriff „Rechtfertigungsgründe“ als auch der geforderte „individuelle Bezug“ zum jeweiligen Verarbeitungsvorgang sind nicht eindeutig und bedürfen der Auslegung. Gleiches gilt für die Frage, wann ausreichender bzw. schlüssiger Vortrag hinsichtlich der Rechtfertigungsgründe vorliegt und wann dieser Vortrag ausreichend bewiesen ist. Zwar sind auslegungsbedürftige Begriffe in einem Unterlassungsantrag nicht schlechthin unzulässig, wohl aber dann, wenn der Streit gerade darum geht, ob das beanstandete Verhalten darunter fällt (Zöller/Greger, aaO., § 253, Rn. 13c). Dies ist hier der Fall, denn die Parteien streiten gerade darum, ob sich die Beklagte hinsichtlich der von ihr vorgenommenen Datenverarbeitung auf die von ihr vorgetragenen Sicherheits- und Integritätszwecke stützen kann.

IV.

258 1. Die Kostenentscheidung folgt aus §§ 92 Abs. 1, 97 Abs. 1 ZPO.

259 Die vorläufige Vollstreckbarkeit richtet sich hinsichtlich des Tenors Ziff. 2.1 bis 2.3 nach § 709 ZPO, da diese Ansprüche nicht auf Geld oder geldwerte Gegenstände gerichtet sind und es sich daher insoweit um keine vermögensrechtliche Streitigkeiten handelt (vgl. Götz in MüKo/ZPO, aaO., § 708, Rn. 17). Soweit die Beklagte der Auffassung ist, dass die Sicherheitsleistung gem. § 709 ZPO ein Vielfaches des Streitwerts des betreffenden Antrags betragen müsse, weil dies dem irreparablen Schaden entspreche, den die Vollstreckung der Beklagten zufügen würde, bleibt sie jede nachvollziehbare Begründung dafür schuldig, warum die unveränderte Speicherung und spätere Löschung der ihr via Business Tools übermittelten personenbezogenen Daten des Klägers einen derartigen Schaden verursachen sollte.

260 Im Übrigen richtet sich die vorläufige Vollstreckbarkeit nach §§ 708 Nr. 10, 711 ZPO.

261 2. Die Revision ist nach § 543 Abs. 2 S. 1 Nr. 1 ZPO für beide Parteien zuzulassen. Die Rechtssache hat grundsätzliche Bedeutung, da in einer unbestimmten Vielzahl von Parallelfällen die Maßstäbe, die an den Vortrag der Betroffenen zur Internetnutzung anzulegen sind, unterschiedlich ausgelegt werden. Zudem bestehen Differenzen bzgl. der Zulässigkeit einer Feststellungsklage, bzgl. des Umfangs eines Unterlassungsanspruchs und bzgl. der Frage, ob der Löschungsanspruch nach Art. 17 DSGVO als Minus auch einen Anspruch auf Anonymisierung enthält.

262 3. Der Streitwert für das Berufungsverfahren ist auf 8.500,00 € festzusetzen. Der Streitwert für das landgerichtliche Verfahren ist auf 7.750,00 € zu korrigieren.

263 a) Der Streitwert für das Berufungsverfahren beträgt 8.500,00 € und setzt sich wie folgt zusammen:

264 Berufung des Klägers

265 - Ziff. 1: Feststellung: 500,00 €

266 - Ziff. 2: Unterlassung der Verarbeitung der Daten auf Drittseiten: 750,00 €

267 - Ziff. 3: Speicherung: 750,00 €

268 - Ziff. 4: Löschung/Anonymisierung: 750,00 €

269 - Ziff. 5: Schadensersatz: 5.000,00 €

270 Berufung Beklagte

271 - Ziff. 2: Unterlassung der Speicherung der Daten: 750,00 €

272 Beim Streitwert für die Berufungsinstanz ist der Antrag Ziff. 2 zweimal zu berücksichtigen, da der Antrag Ziff. 2 in der Berufungsinstanz zwei unterschiedliche Streitgegenstände hat, nämlich einmal die Untersagung der Verarbeitung der personenbezogenen Daten auf den Drittseiten und -Apps gemäß Klagantrag Ziff. 2 und zudem die Untersagung der Speicherung der bereits an die Beklagte übermittelten und daher auf deren Servern gespeicherten Daten gemäß der Verurteilung durch das Landgericht.

273 Den Wert der Unterlassungsanträge bemisst der Senat jeweils mit 750,00 €. Maßgeblich bei einem Unterlassungsantrag nach bereits erfolgter Verletzungshandlung ist das Interesse an der Unterbindung weiterer gleichartiger Verstöße, das maßgeblich durch die Art des Verstoßes, insbesondere seine Gefährlichkeit und Schädlichkeit für den Inhaber des verletzten Rechts bestimmt wird. Allerdings kann auch anderen, von der bereits erfolgten Verletzungshandlung unabhängigen Faktoren - etwa dem Grad der Wahrscheinlichkeit künftiger Zuwiderhandlungen - Rechnung zu tragen sein (BGH, Beschluss vom 10.12.2024 VI ZR 7/24, Rn. 14 mwN). Dass es im vorliegenden Fall um Daten geht, die das Nutzerverhalten des Klägers über einen längeren Zeitraum im Netz betreffen, belegt kein erhöhtes Gefährdungspotential im Vergleich zu dem Abgriff persönlicher Daten wie Telefonnummer, Namen und Arbeitsstätte in den sog. Scraping-Fällen. In diesen Fällen hat der Bundesgerichtshof den Streitwert für die Unterlassungsanträge regelmäßig auf 750,00 € festgesetzt. Der Senat sieht keinen Anlass, hiervon abzuweichen. Dahinstehen kann insoweit, ob das Interesse der Beklagten an der Aufhebung ihrer Verurteilung zur Unterlassung das Interesse des Klägers an der Verurteilung zur Unterlassung übersteigt, denn nach § 47 Abs. 2 Satz 1 GKG ist der Streitwert für das Rechtsmittelverfahren durch den Wert des Streitgegenstands des ersten Rechtszugs begrenzt.

274 b) Die Herabsetzung des Streitwerts für das erstinstanzliche Verfahren von Amts wegen beruht auf einer Anwendung von § 63 Abs. 3 Satz 1 Nr. 2 GKG. Danach kann das Rechtsmittelgericht, wenn das Verfahren wegen der Hauptsache oder wegen der Entscheidung über den Streitwert, den Kostenansatz oder die Kostenfestsetzung in der Rechtsmittelinstanz schwebt, die Festsetzung innerhalb der zeitlichen Grenzen des § 63 Abs. 3 Satz 2 GKG abändern (OLG Stuttgart, NJW-RR 2020, 255 Rn. 26, Schneider, NJW 2017, 3764 jew. m.w.N). Die Entscheidung bewegt sich innerhalb dieser Grenzen, da das landgerichtliche Urteil bislang keine Rechtskraft erlangt hat.

275 Für den landgerichtlichen Streitwert gelten die Ausführungen zum Streitwert des Berufungsverfahrens entsprechend. Hinsichtlich des Klagantrags Ziff. 2 ist der Wert von 750,00 € jedoch nur einmal zu berücksichtigen, da der Antrag des Klägers allein auf die Verarbeitung seiner Daten auf den Dritt-Webseiten und -Apps gerichtet war. Der Streitwert für das landgerichtliche Verfahren beträgt daher 7.750,00 €.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.landesrecht-bw.de/perma?d=NJRE001641272