LG M�nchen I 31. Zivilkammer — 2021-12-09 — 31 O 16606/20 — Endurteil

Entscheidungsdatum: 2021-12-09

Aktenzeichen: 31 O 16606/20

Dokumenttyp: Endurteil

Tatbestand

1 Der Kl�ger ist Kunde der Beklagten. Vor dem Eingehen der Gesch�ftsbeziehung hat der Kl�ger der Beklagten, ein Finanzdienstleistungsunternehmen, zahlreiche personenbezogene Daten zur Verf�gung gestellt. Hinsichtlich der einzelnen Daten wird auf die Klageschrift Seiten 3 und 5 Bezug genommen (vgl. auch Anlage K 2). Au�erdem musste er sich mittels Postident-Verfahren legitimieren, wobei sein Personalausweis abfotografiert wurde.

2 In der Folgezeit nutzte der Kl�ger sein Kundenkonto f�r die Geldanlage in Aktien und Wertpapiere. Am 19.10.2020 wurde der Kl�ger von der Beklagten dar�ber informiert, dass von unbefugten Dritten unrechtm��ig auf einen Teilbestand der in Ihrem Datenarchiv abgelegten Daten zugegriffen wurde. Von Kl�ger wurden die folgenden Daten entwendet:

Vor- und Nachname, Anrede, Anschrift, E-Mail-Adresse, Handynummer, Geburtsdatum, -ort und -land, Staatsangeh�rigkeit, Familienstand, Steuerliche Ans�ssigkeit und Steuer-ID, IBAN, Ausweiskopie, Portraitfoto, welches im Post-Ident-Verfahren angefertigt wurde.

3 Der Kl�ger tr�gt weiter vor, dass sich aus der strafrechtlichen Ermittlungsakte der Generalstaatsanwaltschaft Bamberg (Az.: 620 UJs 1244/21) entnehmen l�sst, dass der Zugriff auf die Kundendaten der Beklagten zu drei unterschiedlichen Zeitpunkten im Jahr 2020 konkret am 15./16.04.2020, am 05./06.08.2020 sowie am 10./11.10.2020 erfolgt ist. Bei jedem dieser Zugriffe wurde ein Teil der insgesamt 389.000 Datens�tze der 33.200 betroffenen Personen kopiert und entwendet. Nach dem Vortrag der Beklagten soll der Zugriff auf die Daten des Kl�gers hingegen am 06.08.2021 erfolgt sein (Schriftsatz vom 29.11.2021 S. 16, Bl. 170 d.A.), wobei dies aber ein Schreibfehler in der Angabe der Jahreszahl sein d�rfe, es aber hierauf auch nicht entscheidungserheblich ankommt.

4 Die Beklagte hatte bei ihrem fr�heren Dienstleister Zugangsinformationen zu ihrem vollst�ndigen IT-System hinterlegt. Der Angreifer verschaffte sich mithilfe dieser Zugangsdaten Zugriff auf einen Teil des Dokumentenarchivs und die darin befindlichen Kundendaten.

5 Die Vertragsbeziehung zwischen der Beklagten und der Fa. wurde Ende 2015 beendet, wobei die Beklagte die Zugangsdaten zu ihrem IT-System, welche der Fa. ... bekannt waren, jedenfalls bis zum streitgegenst�ndlichen Vorfall nicht ge�ndert hat.

6 Es sei mit Blick auf den Schaden des Kl�gers nach Einsicht in die Ermittlungsakte der Generalstaatsanwaltschaft Bamberg offenkundig, dass die T�ter versucht haben, mit gestohlenen Kundendaten Kredite zu erlangen. Weiterhin ergibt sich aus der Ermittlungsakte, dass die gestohlenen Daten im Darknet angeboten wurden.

7 Aufgrund dessen ist der Kl�ger der Ansicht, dass er nunmehr dauerhaft dem Risiko ausgesetzt ist, dass die �ber ihn erbeuteten Daten f�r Identit�tsdiebst�hle, Zugriffsversuche auf von ihm genutzten Online-Dienste oder sonstige Betrugsversuche verwendet werden. So sei es am 27.9.2020 zu insgesamt 10 fehlgeschlagenen Login-Versuchen bei seinem E-Mail-Anbieter gekommen (Anlage K 3).

8 Der Kl�ger ist daher der Ansicht, dass ihm deshalb Anspr�che gem. � 82 Abs. 1 DSGVO i.V.m. � 253 BGB zustehen, da die Beklagte seine Daten unter Versto� gegen Art. 32 DSGVO verarbeitet habe.

9 Der Kl�ger beantragt daher:

1. Es wird festgestellt, dass die Beklagte verpflichtet ist, dem Kl�ger alle materiellen k�nftigen Sch�den zu ersetzen, die dem Kl�ger durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten im Zeitraum von April bis Oktober 2020 entstanden sind.

2. Die Beklagte wird verurteilt, an den Kl�ger ein angemessenes Schmerzensgeld, dessen H�he in das Ermessen des Gerichts gestellt wird nebst Zinsen in H�he von 5 Prozentpunkten �ber dem Basiszinssatz seit Rechtsh�ngigkeit zu zahlen.

10 Die Beklagte beantragt

die Klage abzuweisen.

11 Hierzu weist sie insbesondere darauf hin, dass sie im Nachgang zum Datenvorfall s�mtliche in Betracht kommenden Ma�nahmen vorgenommen hat, um einem Missbrauch der Daten ihrer Kunden entgegenzuwirken und den Sachverhalt aufzukl�ren. Sie kooperierte eng mit den zust�ndigen Beh�rden und externen Experten.

12 Der Kl�ger habe infolge des Datenvorfalls keinerlei materielle und immaterielle Nachteile erlitten. Es sei auch nicht bekannt, dass andere Kunden der Beklagten missbrauchsbedingt gesch�digt worden sind.

13 Dem Kl�ger st�nden die geltend gemachten Anspr�che aus mehreren Gr�nden nicht zu.

14 Der Beklagten w�rde schon kein Versto� gegen die Datenschutzgrundverordnung zur Last fallen. Der darlegungs- und beweisbelastete Kl�ger habe insofern unsubstantiiert und unschl�ssig vorgetragen. Der Datenvorfall an sich bedeute keinen Versto� der Beklagten gegen die DSGVO. Die technischen und organisatorischen Ma�nahmen der Beklagten seien angemessen gewesen.

15 Die Beklagte nutzt f�r die Abwicklung des gesamten Kundengesch�fts insbesondere eine sichere standardisierte IT-Infrastruktur mit u.a. Applikations- und Datenbankservern, Speicherkapazit�ten, Redundanzsystemen und Backup-L�sungen. Die dem Dokumentenarchiv zu Grunde liegende IT-Infrastruktur ist au�erdem nach IEC 27001:2013, 27017:2015, 27018:2019, ISO/IEC 9001:2015 und CSA STAR CCM v3.0.1 zertifiziert.

16 F�r den kriminellen Zugriff sei ein von der Beklagten betriebenes Dienstprogramm nicht kompromittiert worden. Man k�nne daher nicht von einem „Hack“ des Systems der Beklagten sprechen.

17 Der Angreifer, dessen Identit�t bislang nicht ermittelt werden konnte, erlangte den Zugriff auf die Kundendokumente im Dokumentenarchiv nicht durch �berwindung der von der Beklagten implementierten IT-Sicherheitssysteme. Vielmehr erfolgte der Zugriff unter Ausnutzung rechtswidrig erlangter Zugangsinformationen. Diese waren offenbar zuvor infolge eines Cyber-Angriffs auf das Unternehmen erlangt worden, das mit Softwaredienstleistungen f�r die Beklagte beauftragt worden war. Die Beklagte sei demnach ein Kollateralopfer jenes Cyber-Angriffs auf das Drittunternehmen gewesen.

18 Der Beauftragung von durch ging ein sorgf�ltiger Auswahl- und Pr�fprozess voraus, der unter anderem eine vertiefte inhaltliche Auseinandersetzung mit den Spezifikationen der angebotenen Dienstleistung und den ITspezifischen Sicherheitsstandards von einschloss. Die Bereitstellung der Zugangsinformationen zur digitalen Umgebung der Beklagten an war f�r die Ausf�hrung der Softwaredienstleistungen bereits aus technischer Sicht notwendig, um das externe Deployment-Dienstprogramm an die digitale Umgebung von anbinden zu k�nnen.

19 Im �brigen tr�fe die Beklagte in Bezug auf einen unterstellten DSGVO-Versto� kein Verschulden. Schlie�lich bestehe keine Kausalit�t eines angeblichen DSGVO-Versto�es f�r den vermeintlichen Schaden. Hinsichtlich der weiteren Einzelheiten wird auf die Klageerwiderung vom 12.05.2021 Bezug genommen.

20 Der Feststellungsantrag sei mangels Feststellungsinteresses gem�� � 256 Abs. 1 ZPO unzul�ssig. Der darlegungs- und beweisbelastete Kl�ger habe keine Umst�nde vorgetragen, aus denen sich ergibt, dass der Eintritt materieller Sch�den infolge des Datenvorfalls wahrscheinlich ist.

21 Zur Erg�nzung des Tatbestands wird Bezug genommen auf die gewechselten Schrifts�tze nebst Anlagen sowie auf das Sitzungsprotokoll.

22 Die Wiederer�ffnung der Verhandlung aufgrund des Schriftsatzes der Beklagten vom 29.11.2021 war nicht veranlasst (� 156 ZPO). Die darin enthaltenen Ausf�hrungen wurden vom Gericht ber�cksichtigt, sind aber letztlich nicht entscheidungserheblich.

Gründe

23 Die Klage ist zul�ssig, wobei sich die �rtliche Zust�ndigkeit des LG M�nchen aus �� 44 Abs. 1 S. 1 DSGVO, � 12 ZPO ergibt.

24 Hinsichtlich des Feststellungsantrages ist auch das gem. � 256 Abs. 1 ZPO erforderliche Feststellungsinteresse zu bejahen, da die M�glichkeit besteht, dass weitere Sch�den durch die Verwendung der illegal erlangten Daten entstehen. Dies w�re nur dann nicht gegeben, wenn aus Sicht des Kl�gers bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (vgl. Bacher BeckOK ZPO, Vorwerk/Wolf 42. Edition Stand: 01.09.2021 � 256 Rn. 24). Aber gerade bei einem solch umfangreichen Datenabgriff ist bei lebensnaher Betrachtung davon auszugehen, dass dies nicht ohne eine bestimmte, und zwar illegale Absicht erfolgt ist.

25 Die Klage ist auch begr�ndet.

26 Der Kl�ger hat gegen�ber der Beklagten einen Anspruch auf Zahlung von 2.500, - Euro gem. � 82 Abs. 1 DSGVO als immateriellen Schadensersatz.

27 Nach dieser Vorschrift hat jede Person, der wegen eines Versto�es gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

28 Nach � 82 Abs. 3 DSGVO tr�gt die Darlegungs- und Beweislast f�r die haftungsbegr�ndenden Voraussetzungen nach allgemeinen zivilprozessualen Grunds�tzen der Anspruchsberechtigte. Eine Beweislastumkehr ist in Art. 82 Abs. 3 ausdr�cklich nur bez�glich des Gesichtspunkts des Verschuldens vorgesehen. Dem Verletzten obliegt es daher auch, den Datenschutzversto� zu beweisen. Die allgemeine Rechenschaftspflicht der Art. 5 Abs. 2, 24 Abs. 1 DS-GVO bezieht sich auf eine Verantwortlichkeit gegen�ber der Beh�rde. Hierauf kann jedoch eine Beweislastumkehr oder Beweiserleichterung nicht gest�tzt werden (Quaas BeckOK Datenschutzrecht, Wolff/Brink; 36. Edition Stand: 01.05.2021 � 82 Rn. 51; 9 U 34/21 OLG Stuttgart Urteil vom 31.03.2021; LG Frankfurt vom 18.01.2021 - 2-30 O 147/20).

29 Im Hinblick auf die Frage des Datenschutzversto�es verlangt Art. 32 DSGVO (Sicherheit der Verarbeitung) geeignete technische und organisatorische Ma�nahmen, um ein dem Risiko angemessenes Schutzniveau zu gew�hrleisten. Zudem k�nnen die Anforderungen bzw. Vorgaben f�r einen ordnungsgem��en und sicheren Umgang mit den Daten aus Artikel 5 Abs. 1 Lit. f DSGVO (Grunds�tze f�r die Verarbeitung personenbezogener Daten), aus den Erw�gungsgr�nden 39 und 78 Verordnung (EU) 2016/679 S. 12 sowie der Anlage zu � 9 BDSG 2003. (vgl. K�hling/Buchner/Herbst, 3. Aufl. 2020, DS-GVO Art. 5 Rn. 76) entnommen werden.

30 Insbesondere nennt der Erw�gungsgrund 39 als geforderte Ma�nahmen, dass gew�hrleistet ist, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Ger�te, mit denen diese verarbeitet werden, benutzen k�nnen. Die Anlage zu � 9 BDSG 2003 listete technische und organisatorische Ma�nahmen auf, die auch zur Erf�llung der Anforderungen des Art. 5 Abs. 1 lit. f eingesetzt werden k�nnen.

31 Unter Zugrundelegung dieser Vorgaben hat die Beklagte einen Datenschutzversto� begangen.

32 Hierbei kann dahingestellt bleiben, ob der Beklagten etwaige Sicherheitsm�ngel bei dem Drittunternehmen zugerechnet werden k�nnen. Denn die Beklagte hat selbst keine ausreichenden organisatorischen Ma�nahmen vorgenommen, um den streitgegenst�ndlichen Datenverlust zu verhindern (vgl. auch Art. 82 Abs. 4 DSGVO).

33 So ist unstreitig, dass die Beklagte die Zugangsdaten f�r das Unternehmen nach Beendigung der Gesch�ftsbeziehung nicht ge�ndert hat. Darauf, wie die Beklagte vortr�gt, dass sie davon ausgehen musste, dass die Zugangsinformationen vollst�ndig und dauerhaft seitens gel�scht werden, durfte sie sich im Hinblick auf den gro�en Umfang (Zugriff auf das vollst�ndige IT-System) sowie aufgrund der Qualit�t und Sensibilit�t der gespeicherten Daten nicht verlassen. Da die Beklagte die L�schung offensichtlich nicht �berpr�ft hat, war es fahrl�ssig gewesen, die Zugangsdaten seit Beendigung der Gesch�ftsbeziehung im Jahre 2015 bis zum Zugriff auf die Kundendaten der Beklagten im Jahre 2020 mehrere Jahre lang unver�ndert zu lassen. Die Beklagte kann sich auch nicht durch die umfangreichen Ausf�hrungen �ber die technischen und organisatorischen Ma�nahmen (TOMs) insoweit entlasten. Unerheblich w�re hierbei im �brigen, wenn - wie die Beklagte vortr�gt, das Dokumentarchiv im Jahr 2015 noch keine Kundendaten enthalten haben sollte. Denn jedenfalls sind diese dann in der Folgezeit in das Archiv aufgenommen worden.

34 Sofern die Beklagte ausweislich Ihres Schreibens vom 19.10.2020 nach dem Vorfall umgehend alle erforderlichen Ma�nahmen ergriffen hat, um weitere unrechtm��ige Zugriffe auf das digitale Dokumentenarchiv auszuschlie�en, so ist es - entgegen der Ansicht des Beklagten - nicht als unzumutbar anzusehen, dass dies bereits unmittelbar nach Beendigung der Gesch�ftsbeziehung mit dem Unternehmen h�tte getan werden k�nnen. Auch wenn dies einen gewissen Aufwand erfordert h�tte - und jetzt ja auch erfordert hat, kann dies keine Berechtigung daf�r sein, die Daten der Kunden in einem bestimmten Bereich der Gef�hrdung durch einen (m�glichen) unerlaubten Zugriff von au�en ausgesetzt sein zu lassen.

35 Wenn die Beklagte au�erdem betont, dass es sich bei um ein unabh�ngiges Unternehmen handelt, dessen etwaige Unzul�nglichkeiten ihr daher von vornherein nicht zugerechnet werden k�nnen, ist dies unerheblich. Denn es lag eben auch eine Unzul�nglichkeit auf Seiten der Beklagten bzw. ein eigener DSGVO-Versto� vor, und gerade die seitens der Beklagten vorgetragene fehlende rechtliche und tats�chliche M�glichkeit, den L�schungsprozess bei zu beaufsichtigen, zu kontrollieren oder anzuweisen erforderte auf Seiten der Beklagten die Vornahme entsprechender eigener Sicherungsma�nahmen.

36 Es liegt auch die erforderliche Kausalit�t zwischen dem „DSGVO-Versto�“ und dem „Schaden“ vor. Art. 82 Abs. 1 DSGVO verlangt, dass der Schaden infolge eines konkreten DSGVO-Versto�es eintritt. Es gen�gt zwar nicht, dass ein Schaden blo� auf eine Verarbeitung personenbezogener Daten zur�ckzuf�hren ist, in deren Rahmen es zu einem Rechtsversto� gekommen war (OLG Stuttgart, Urteil vom 31. M�rz 2021, Az. 9 U 34/21, S. 8, Anlage B 2; Paal, MMR 2020, 14, 17 m.w.N.), vorliegend beruht der Schaden aber nicht nur auf eine solche Verarbeitung. Es ist davon auszugehen, dass es bei Einhaltung der als ad�quat geltenden Sicherheitsma�st�be nicht zu dem konkreten Datenvorfall gekommen w�re (vgl. Quaas, in: BeckOK Datenschutzrecht, Wolff/Brink, 33. Ed., 01.08.2020, Art. 82 DSGVO Rn. 51; 26 - Miturs�chlichkeit gen�gt).

37 Sofern die Beklagte das Urteil das LG M�nchen I vom 02.09.2021, 23 O 10931/20 angef�hrt, sprechen dessen Entscheidungsgr�nde gerade daf�r, dass im vorliegenden Fall ein Schaden gegeben ist. So weist das Landgericht zutreffend darauf hin, dass nach Art. 82 DS-GVO auch ein durch einen Versto� gegen die Verordnung entstandener immaterieller Schaden ersetzt werden kann sowie dass in den Erw�gungsgr�nden (Nr. 75) (insbesondere) auch Nichtverm�genssch�den durch Diskriminierung, Indentit�tsdiebstahl oder -betrug, Rufsch�digung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten oder gesellschaftliche Nachteile genannt sind (Vgl. BeckOK Datenschutz/Quaas DSGVO Art. 82 Rz. 23). Im dortigen Verfahren hat das Gericht seine Entscheidung insbesondere darauf gest�tzt, dass der Kl�ger sich darauf beschr�nkt hat, vorzutragen, sein Schaden bestehe im Verlust der Kontrolle �ber seine Daten (was aber auch im Erw�gungsgrund Nr. 75 genannt ist!). W�hrend dort ein Angriff auf den Account der E-Mail-Adresse zugrunde liegt, sind im vorliegenden Fall wesentlich umfangreichere und sensiblere Daten abgegriffen worden. Entgegen der Ansicht des LG Essen, Urteil vom 23.9.2021 - 6 O 190/21 liegt darin eine nicht nur „unbedeutende oder empfundene Verletzung von Pers�nlichkeitsrechten“. Im �brigen erw�hnt das LG Essen auch, dass ein Schmerzensgeldanspruch nach Art. 82 DS-GVO nicht auf schwere Sch�den beschr�nkt ist, sodass sich ein genereller Ausschluss von Bagatellf�llen verbietet. Das Gericht geht zudem offensichtlich (und zutreffend) auch davon aus, dass ein Identit�tsdiebstahl f�r einen Schmerzensgeldanspruch ausreichen w�rde.

38 Die Erw�gungsgr�nde 75 und 85 DS-GVO z�hlen beispielhaft auf, welche konkreten Beeintr�chtigungen einen „physischen, materiellen oder immateriellen Schaden“ darstellen k�nnen, so etwa Diskriminierung, Identit�tsdiebstahl oder -betrug, finanzieller Verlust, Rufsch�digung, unbefugte Aufhebung einer Pseudonymisierung oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile. Nach Erw�gungsgrund 146 DS-GVO muss der Begriff des Schadens zudem „im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden, die den Zielen dieser Verordnung in vollem Umfang entspricht“ und die „betroffenen Personen sollen einen vollst�ndigen und wirksamen Schadensersatz f�r den erlittenen Schaden erhalten“. Im Vordergrund steht hier eine abschreckende Wirkung des Schadensersatzes, die insbesondere durch dessen H�he erreicht werden soll. Dieser Gedanke wird auch aus Art. 4 III EUV abgeleitet. Danach sind die Mitgliedstaaten angehalten, Verst��e wirksam zu sanktionieren. Denn nur so w�re eine effektive Durchsetzung des EU-Rechts - und damit auch der DS-GVO - gew�hrleistet (Wybitul/Ha�/Albrecht: NJW 2018, 113, beckonline; vgl. auch Korch, NJW 2021, 978 - „Aus Erw�gungsgrund 146 S. 3 ergibt sich, dass der Begriff des Schadens weit zu verstehen ist“).

39 Im vorliegenden Fall muss aufgrund des Umfanges und Art der entwendeten Daten des Kl�gers ein solcher Identit�tsdiebstahl angenommen werden, welcher einen Anspruch auf Schadensersatz begr�ndet.

40 So hat die Beklagte mit Schreiben vom 19.10.2020 (Anlage K 7) den betroffenen Kunden, somit auch dem Kl�ger mitgeteilt, dass die folgenden Daten von dem Vorfall betroffen sind wie „Personalien und Kontaktdaten, Daten zur gesetzlich erforderlichen Identifizierung des Kunden (etwa Ausweisdaten), die im Rahmen der Geeignetheitspr�fung erfassten Informationen, Daten bezogen auf Konto und/oder Wertpapierdepot (etwa Referenzkontoverbindung, Berichte, Wertpapierabrechnungen, Rechnungen) sowie steuerliche Daten (etwa Steueridentifikationsnummer)“ und dass der Versuch unternommen werden k�nnte, Dritte mit der Identit�t des Kunden zu t�uschen, um sich Vorteile zu verschaffen (Identit�tsmissbrauch).

41 F�r die Bemessung der H�he des Schadensersatzes k�nnen die Kriterien des Art. 83 Abs. 2 herangezogen werden, wie etwa die Art, Schwere und Dauer des Versto�es unter Ber�cksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung, die betroffenen Kategorien personenbezogener Daten (vgl. Quaas BeckOK Datenschutzrecht, Wolff/Brink 37. Edition Stand: 01.08.2021 Rn. 31), wobei die Ermittlung im �brigen dem Gericht nach � 287 ZPO obliegt (BeckOK DatenschutzR/Quaas, 32. Ed. 1.2.2020, DS-GVO Art. 82 Rn. 31).

42 Allerdings muss bei der Bemessung der H�he des immateriellen Schadensersatzes ber�cksichtigt werden, dass die streitgegenst�ndlichen Daten offensichtlich bislang noch nicht, jedenfalls nicht zu Lasten des Kl�gers missbraucht worden sind und von daher allenfalls eine mehr oder weniger hohe Gef�hrdung angenommen werden kann. Ber�cksichtigt werden muss jedoch auch - wie oben angesprochen - die gesetzgeberisch beabsichtigte abschreckende Wirkung des Schadensersatzes. Unter Abw�gung dieser gesamten Gesichtspunkte erachtet das Gericht einen (immateriellen) Schadensersatz in H�he von 2.500, - Euro als angemessen.

43 Sofern die Beklagte meint, es sei eine Vorabentscheidung des EuGH zwingend erforderlich, was j�ngst das BVerfG, Beschluss von 14.1.2021 - 1 BvR 2853/19 festgestellt hat, so �bersieht sie Art. 267 Abs. 3 AEUV. W�hrend n�mlich bei dem, der genannten Entscheidung zugrunde liegenden Sachverhalt weder die Berufungsbeschwer erreicht war, noch das Amtsgericht die Berufung zugelassen hatte, ist diese vorliegend unzweifelhaft gegeben (vgl. � 511 Abs. 1, 2 Ziff. 1 ZPO), so dass keine letztinstanzliche Entscheidung gegeben ist.

44 Der Zinsanspruch ergibt sich aus �� 291, 288 Abs. 1 BGB.

45 Kosten �� 91 Abs. 1, 92 Abs. 2 Ziff. 2 ZPO; vorl�ufige Vollstreckbarkeit � 709 ZPO; Streitwert: �� 3, 5 ZPO, wobei sich das Gericht an der Streitwertvorgabe des Kl�gers in der Klageschrift orientiert hat.

Leitsatz

Die Entwendung von personenbezogenen Daten aus dem Datenbestand eines Finanzdienstleisters rechtfertigt einen Anspruch auf immateriellen Schadensersatz in H�he von 2.500 €. (Rn. 41) (redaktioneller Leitsatz)

Leitsatz

Die Darlegungs- und Beweislast f�r das Vorliegen eines Datenschutzversto�es liegt beim Anspruchsteller; eine Beweislastumkehr existiert insoweit nur hinsichtlich des Verschuldens. (Rn. 28 – 40) (redaktioneller Leitsatz)

titelzeile

Schadensersatz bei Datenabfluss aus dem Datenbestand eines Finanzdienstleisters