LG N�rnberg-F�rth 10. Zivilkammer — 2023-10-20 — 10 O 1510/22 — Endurteil

Entscheidungsdatum: 2023-10-20

Aktenzeichen: 10 O 1510/22

Dokumenttyp: Endurteil

Tenor

1.�Die Beklagte wird verurteilt, an die Kl�gerseite immateriellen Schadensersatz in H�he von 250,00 € nebst Zinsen in H�he von 5 Prozentpunkten �ber dem Basiszinssatz seit 23.06.2022 zu zahlen.

2.�Es wird festgestellt, dass die Beklagte verpflichtet ist, der Kl�gerseite alle k�nftigen Sch�den zu ersetzen, die der Kl�gerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3.�Die Beklagte wird verurteilt, an die Kl�gerseite vorgerichtliche Rechtsanwaltskosten in H�he von 159,94 € zuz�glich Zinsen in H�he von 5 Prozentpunkten �ber dem jeweiligen Basiszinssatz seit dem 23.06.2022 zu zahlen.

4.�Im �brigen wird die Klage abgewiesen.

5.�Von den Kosten des Rechtsstreits haben der Kl�ger 75 Prozent und die Beklagte 25 Prozent zu tragen.

6.�Das Urteil ist vorl�ufig vollstreckbar. Beide Parteien k�nnen die Vollstreckung der jeweils anderen Partei durch Sicherheitsleistung in H�he von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die jeweils andere Partei vor der Vollstreckung Sicherheit in H�he von 110 % des zu vollstreckenden Betrags leistet.

Beschluss

Der Streitwert wird auf 3.000,00 € festgesetzt.

Tatbestand

1 Die Parteien streiten �ber Anspr�che wegen eines Datenschutzvorfalls im Jahr 2019 bei der von der Beklagten betriebenen Plattform F.. Dabei fordert die Klagepartei wegen behaupteter Verst��e gegen die Datenschutzgrundverordnung (Verordnung (EU) 2016/679 des Europ�ischen Parlaments und des Rates vom 27. April 2016) Schadensersatz, Unterlassung, Auskunft, sowie Ersatz vorgerichtlicher Rechtsanwaltskosten.

2 Die Beklagte betreibt die Plattform F. unter der Domain www.f..com auf dem Gebiet der Europ�ischen Union. Die Beklagte hatte im Jahr 2021 einen weltweiten Gesamtumsatz von 118 Milliarden €. Die Klagepartei nutzt die Plattform in Deutschland. F. ist eine Social-Media-Plattform, die unter anderem der sozialen Verkn�pfung von Menschen dienen soll. Ein Nutzer kann hierbei ein Profil erstellen, �ber welches er pers�nliche Informationen einstellen kann.

3 Die Beklagte stellt dabei Einstellungsm�glichkeiten und Informationen zur Verf�gung, damit Nutzer ihre Privatsph�re auf der F.-Plattform verwalten k�nnen. Zur leichteren Verbindung mit anderen Nutzern m�ssen die Nutzer bestimmte Informationen bei der Registrierung angeben, die als Teil des Nutzerprofils immer �ffentlich einsehbar sind. Dazu geh�ren Name, Geschlecht und Nutzer-ID.

4 Bei F. gibt es verschiedene Einstellungsm�glichkeiten f�r die Einsehbarkeit der personenbezogenen Daten des jeweiligen Nutzers. Dabei wird zwischen der Zielgruppenauswahl und den Suchbarkeits-Einstellungen unterschieden.

5 Bei der Zielgruppenauswahl legt der Nutzer fest, welche anderen Nutzer einzelne Informationen auf seinem F.-Profil einsehen k�nnen. Dabei konnte ein Nutzer zwischen „�ffentlich“ und „Freunde von Freunden“ als Personenkreis ausw�hlen. Ab Mai 2019 stand Nutzern die Option „Nur ich“ zur Verf�gung. Selbst wenn die zum Profil hinzugef�gte Mobilfunktelefonnummer von einem Nutzer in der Zielgruppenauswahl nicht auf „�ffentlich“ und damit als nicht f�r andere sichtbar eingestellt worden war, war diese grunds�tzlich f�r alle Nutzer auffindbar.

6 Die Suchbarkeits-Einstellungen legen fest, wer das Profil eines Nutzers anhand seiner Telefonnummer finden kann. Der Nutzer hatte die M�glichkeit diese Suchbarkeits-Einstellung auf „Alle“, „Freunde von Freunden“ oder „Freunde“ einzustellen. Die Suchbarkeit f�r „Alle“ war voreingestellt. Im relevanten Zeitraum waren die Suchbarkeits-Einstellungen der Klagepartei so voreingestellt, dass alle anderen Nutzer ihr Profil mithilfe der Telefonnummer finden konnten. Im vorliegenden Fall gab die Klagepartei auch die Telefonnummer bei F. an.

7 �ber das „Contact-Import-Tool“ (im Folgenden: CIT) k�nnen andere Nutzer nur anhand der Eingabe der Telefonnummer gefunden werden. Dabei ist das automatisierte Sammeln von Daten (Scraping) ohne Erlaubnis durch die Nutzungsbedingungen der Beklagten verboten.

8 Bei F. gab es mehrschichtige Datenschutzinformationen. In den Einstellungen des jeweiligen Nutzerkontos wurden unter verschiedenen Men�punkten Informationen zur Verarbeitung der personenbezogenen Daten des Nutzers und Einstellungsm�glichkeiten von F. angeboten. In der Datenrichtlinie von F. (Anlage B9) sind die meisten Informationen �ber die Verarbeitung personenbezogener Daten der Nutzer zusammengefasst. Ebenso waren im Hilfebereich und den Privatsph�re-Einstellungen Informationen zur Verwendung der personenbezogenen Daten der Nutzer vorhanden.

9 Unter „Kontoeinstellungen“ konnte ein Nutzer seine Telefonnummer hinterlegen und �ndern. Unter dem Unter-Men�punkt „Benachrichtigungen – Handy“ war die Information enthalten, dass standardm��ig nur der jeweilige Nutzer die Telefonnummer sehen kann. �ber das CIT wurde an dieser Stelle nicht informiert. Durch einen weiterf�hrenden Link „Mehr dazu“ gelangte man zu weiteren Informationen, die auch keine weiteren Informationen �ber das CIT enthielten. Im Hilfebereich bei F. informierte die Beklagte �ber potenzielle Verwendungszwecke der Mobilnummer (Anlage B6). Ein potenzieller Verwendungszweck war, interessante Menschen und Themen auf F. vorzustellen. In den Einstellungen, unter „Deine Privatsph�re“ und dort unter „Bestimme, wer dich finden kann“ konnten die Nutzer einstellen, dass sie nicht anhand der Mobilfunknummer gefunden werden wollten. Dort wurde weiter dar�ber informiert, dass „finden“ abh�ngig von den Einstellungen des Nutzers auch bedeuten kann, dass bei Eingabe der Telefonnummer in die Suchzeile der Website das zugeh�rige Nutzerprofil angezeigt werden kann. Eine weitere Information, dass das CIT auf das jeweilige Profil verweist und zu dessen konkreter Funktionsweise, ist nicht enthalten. Eine weitergehende Beschreibung der Verarbeitung der Telefonnummer seitens der Beklagten war nicht vorhanden. Wegen der relevanten Informationen im Hilfebereich, dem Privatsph�re-Tool und den Einstellungen wird auf die Abbildungen in der Klageschrift Bezug genommen.

10 Im Jahr 2019 erstellten unbekannte Dritte (Scraper) Telefonnummern und glichen diese �ber das CIT mit Profilen von Nutzern ab. Die Nutzerdaten im Profil wurden in der Folge abgesch�pft und mit der Handynummer zusammengef�hrt (Anlage B 11).

11 Am 03.04.2021 ver�ffentlichte der Business Insider einen Artikel, wonach Informationen einer Vielzahl von F.-Nutzern von Dritten im Internet zug�nglich gemacht worden seien. Die Beklagte wandte sich mit einem am 06.04.2021 in F. zug�nglichen Artikel an ihre Nutzer (Anlage B 10). Eine Benachrichtigung seitens der Beklagten hinsichtlich der Verletzung des Scraping-Vorfalls an die zust�ndige Aufsichtsbeh�rde oder die Klagepartei pers�nlich erfolgte nicht.

12 Mit Anwaltsschreiben (Anlage K1) forderte die Klagepartei die Beklagte zur Zahlung von 500,00 € immateriellen Schadensersatzes und zur Unterlassung zuk�nftiger Zug�nglichmachung der kl�gerischen personenbezogenen Daten an unbefugte Dritte auf. Zudem verlangte sie Auskunft im Rahmen des Art. 15 DSGVO �ber den Scraping-Vorfall. Wegen der Einzelheiten des Auskunftsbegehrens wird Bezug genommen auf die Anlage K1. Die Beklagte wies die Anspr�che auf immateriellen Schadensersatz und auf Unterlassung zur�ck und erteilte Ausk�nfte gegen�ber der Klagepartei. Wegen der Einzelheiten wird Bezug genommen auf die Anlage K2.

13 Die Klagepartei behauptet, es seien Telefonnummern von den F.-Profilen der F.-Nutzer gescrapt worden. Mithilfe des CIT sei es m�glich gewesen, s�mtliche Daten des Nutzers abzufragen und zu exportieren. Die Einstellungen zur Datensicherheit seien nur als Teil einer Masse an schwer verst�ndlichen Informationen und unklaren Angaben f�r Nutzer auffindbar. Aufgrund der Vielzahl an Einstellungsm�glichkeiten sei mit hoher Wahrscheinlichkeit zu erwarten, dass ein Nutzer die voreingestellten Standardeinstellungen beibehalten und nicht selbstst�ndig �ndern w�rde. Ein Nutzer k�nne keine sicheren Einstellungen erreichen, weil diese undurchsichtig und kompliziert seien.

14 Die Klagepartei tr�gt weiter vor, in der Messenger-App habe es separate Privatsph�re-Einstellungen mit mindestens drei unterschiedlichen Einstellungsm�glichkeiten f�r die Verwendung der Telefonnummer gegeben.

15 Die Klagepartei behauptet, die Scraper h�tten eine Sicherheitsl�cke bei der Beklagten ausgenutzt. Es sei denkbar einfach gewesen, das CIT f�r kriminelle Zwecke zu missbrauchen. Die Beklagte habe keinerlei Sicherheitsma�nahmen vorgehalten, um ein Ausnutzen des CIT zu verhindern. So sei kein Mechanismus zur �berpr�fung der Plausibilit�t der Anfragen der Scraper durch Blockieren ungew�hnlich vieler Anfragen derselben IP-Adresse bereitgehalten worden. Ebenso seien keine Sicherheits-Captchas durch die Beklagte verwendet worden. Die Scraper h�tten lediglich fortlaufende Zahlenfolgen wie 000001, 000002 wahllos in das CIT importiert. Es seien vermutlich allein f�r die Rufnummer eines deutschen Mobilfunkanbieters, ca. 10.000.000 Anfragen gestellt worden. Mit dem Programm der Scraper sei es m�glich, s�mtliche Daten des Nutzers zu exportieren. Bei den �ffentlich verbreiteten Daten handele es sich um Telefonnummer, E-Mail-Adresse, Land, Wohnort, Geburtsdatum, Stadt und Beziehungsstatus und weitere korrelierende Daten der Klagepartei.

16 Die Kl�gerseite tr�gt vor, sie habe einen erheblichen Kontrollverlust �ber ihre Daten erlitten. Es best�nde bei der Klagepartei durch den erheblichen Kontrollverlust �ber ihre personenbezogenen Daten ein Zustand gro�en Unwohlseins und gro�e Sorge �ber einen m�glichen Missbrauch ihrer sie betreffenden Daten. Die Zuordnung von Telefonnummern zu weiteren Daten wie Mail-Adresse oder Anschrift w�rde b�swilligen Akteuren eine weite Bandbreite an M�glichkeiten wie beispielsweise Identit�tsdiebstahl, die �bernahme von Accounts oder gezielte Phishing-Nachrichten er�ffnen. Die Klagepartei erhalte infolge des Scraping-Vorfalls unregelm��ig Kontaktversuche via SMS und E-Mail mit offensichtlichen Betrugsversuchen und potenziellen Virenlinks.

17 Die Klagepartei behauptet weiter, wenn die Kl�gerseite angemessen z�gig benachrichtigt worden w�re, so h�tten zeitnah Schritte zur Risikominimierung und Absicherung eingeleitet werden k�nnen, um einen weiteren Schaden zu vermeiden.

18 Die Kl�gerseite meint im Wesentlichen, die Beklagte habe f�r die Verarbeitung der Telefonnummer der Klagepartei keine Rechtsgrundlage gem�� Art. 6 Abs. 1 Unterabsatz 1 DSGVO. Insbesondere l�ge keine wirksame Einwilligung der Klagepartei vor. Zudem habe die Beklagte nicht hinreichend �ber die Verarbeitung und die Zwecke der Verarbeitung informiert. Die Beklagte habe auch keine geeignete technische und organisatorische Ma�nahme, um ein dem Risiko angemessenes Schutzniveau zu gew�hrleisten. Au�erdem seien die Konfiguration der Seiten und die Voreinstellungen von F. von der Beklagten nicht datenschutzfreundlich gestaltet. Des Weiteren habe es die Beklagte vers�umt die Aufsichtsbeh�rden und die Klagepartei als Betroffene �ber den Scraping-Vorfall zu informieren. Die Kl�gerseite meint, ihr sei ein immaterieller Schaden entstanden. Die Beklagte sei im Wege ihrer Rechenschaftspflicht darlegungs- und beweisbelastet. Die Kl�gerseite ist zudem der Ansicht, die Klageantr�ge zu 1) bis 3) seien hinreichend bestimmt. Insbesondere best�nde auch ein Feststellungsinteresse bzgl. des Klageantrags zu 2). Zudem meint die Klagepartei, ein Unterlassungsanspruch sei auch im Anwendungsbereich der DSGVO gegeben.

19 Die Klagepartei beantragt,

1. Die Beklagte wird verurteilt, an die Kl�gerseite immateriellen Schadensersatz in angemessener H�he zu zahlen, dessen H�he in das pflichtgem��e Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Kl�gerseite alle k�nftigen Sch�den zu ersetzen, die der Kl�gerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3. Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a. personenbezogenen Daten der Kl�gerseite, namentlich Telefonnummer, F.ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten �ber eine Software zum Importieren von Kontakten zug�nglich zu machen, ohne die nach dem Stand der Technik m�glichen Sicherheitsma�nahmen vorzusehen, um die Ausnutzung des Systems f�r andere Zwecke als der Kontaktaufnahme zu verhindern,

b. die Telefonnummer der Kl�gerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der un�bersichtlichen und unvollst�ndigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen dar�ber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierf�r die Berechtigung verweigert und, im Falle der Nutzung der F.-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird.

4. Die Beklagte wird verurteilt der Kl�gerseite Auskunft �ber die Kl�gerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empf�nger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten.

5. Die Beklagte wird verurteilt, an die Kl�gerseite vorgerichtliche Rechtsanwaltskosten in H�he von 887,03 € zu zahlen zuz�glich Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

20 Die Beklagte beantragt,

die Klage abzuweisen.

21 Die Beklagte behauptet, s�mtliche datenschutzrechtliche relevante Themen seien �ber eine entsprechende Suche (z.B. nach dem Begriff „Handynummer“) leicht zu finden. Auch die Standard-Einstellung der Suchbarkeit auf „Alle“ entspr�che dem Hauptzweck der F.-Plattform.

22 Es sei f�r Dritte nicht m�glich gewesen, w�hrend des relevanten Zeitraums einen bestimmten Nutzer �ber das CIT unter Bezugnahme auf seine Telefonnummer zu identifizieren, die ausschlie�lich f�r die Zwei-Faktor-Authentifizierung hinterlegt war. So seien auch keine Daten abgerufen worden, die nur zum Teil �ffentlich gewesen seien. Die personenbezogenen Daten „Land“ und „Telefonnummer“ seien vom F.-Nutzerprofil der Klagepartei nicht abgerufen worden. Vielmehr sei die Telefonnummer von den Scrapern generiert und bereitgestellt worden.

23 Die Beklagte behauptet weiter, sie habe hinreichende Sicherheitsma�nahmen bez�glich der Datenverarbeitungen getroffen. So habe sie �bertragungsbegrenzungen und -beschr�nkungen sowie eine Bot-Erkennung implementiert. Dabei werde diese auch fortlaufend weiterentwickelt. Zudem sei ein Team von Datenwissenschaftlern, -analysten und Softwareingenieuren zur Bek�mpfung von Scraping besch�ftigt. Die Beklagte habe ihre Systeme insofern an sich entwickelnde ScrapingTaktiken angepasst, um sicherzustellen, dass das Verkn�pfen von Telefonnummern mit bestimmten F.-Nutzern durch das CIT nicht mehr m�glich sei. Durch eine automatisierte Zur�ckweisung von vermeintlich auff�lligen Telefonnummern h�tten Scraping-Aktivit�ten nicht verhindert werden k�nnen.

24 Die Beklagte tr�gt weiter vor, der Zugriff auf die Telefonnummer einer Person, selbst in Kombination mit den Profildaten in den durch Scraping abgerufenen Daten, erh�he nicht das Risiko, dass diese Person Opfer von Betrug oder anderen schweren Internetverbrechen werde, da diese Informationen h�ufig weitergegeben w�rden.

25 Die Beklagte ist im Wesentlichen der Ansicht, die Klage sei hinsichtlich der Klageantr�ge zu 1) bis 3) unzul�ssig, da die Klageantr�ge zu unbestimmt seien und dem Klageantrag zu 2) das Feststellungsinteresse fehle. Die Voraussetzungen des Art. 82 DSGVO l�gen nicht vor, da kein Versto� seitens der Beklagten gegen die DSGVO gegeben sei, die personenbezogenen Daten der Klagepartei immer �ffentlich seien, kein kausaler Schaden gegeben sei und die Beklagte von der Haftung mangels Verschulden gem�� Art. 82 Abs. 3 DSGVO befreit sei. Die Kl�gerseite tr�fe bez�glich der anspruchsbegr�ndenden Tatsachen die Darlegungs- und Beweislast. Des Weiteren sei das im Klageantrag zu 4) enthaltene Auskunftsbegehren am Ma�stab des Art. 15 DSGVO bereits gem�� � 362 Abs. 1 BGB erf�llt.

26 Ein internationaler R�ckschein f�r die Klagezustellung ist nicht zur Akte gelangt. Mit Schriftsatz vom 26.07.2022 teilte der Beklagtenvertreter mit, dass die Klage am 22.06.2022 zugestellt worden ist.

27 Wegen der weiteren Einzelheiten wird auf die gewechselten Schrifts�tze nebst Anlagen sowie das Protokoll der m�ndlichen Verhandlung Bezug genommen.

Gründe

28 Die Klage hat teilweise Erfolg.

A.

29 Die Klage ist teilweise zul�ssig. Hinsichtlich des Klageantrags zu 3a ist die Klage unzul�ssig.

30 I. Das Landgericht N�rnberg-F�rth ist international, sachlich und �rtlich zust�ndig.

31 1. Die internationale Zust�ndigkeit der deutschen Gerichte folgt aus Art. 79 Abs. 2 S. 2 DSGVO, da die Kl�gerseite ihren gew�hnlichen Aufenthalt in Deutschland hat.

32 Nach Art. 79 Abs. 2 S. 2 DSGVO k�nnen solche Klagen wahlweise auch bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gew�hnlichen Aufenthaltsort hat, es sei denn, es handelt sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Beh�rde eines Mitgliedstaats, die in Aus�bung ihrer hoheitlichen Befugnisse t�tig geworden ist.

33 Vorliegend hat die Klagepartei als betroffene Person (Art. 4 Nr. 1 DSGVO) ihren gew�hnlichen Aufenthalt in Deutschland, weil sie ihren Wohnsitz in Deutschland hat. Die Beklagte ist Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO, da sie allein oder gemeinsam mit anderen �ber die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten der Klagepartei als Betreiberin der Plattform F. in Bezug auf deren Nutzung von F. entscheidet (Vgl. EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 30, juris; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 45, juris; LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 40, juris).

34 Auch verarbeitet die Beklagte bereits durch das Erheben personenbezogener Daten im Registrierungsprozess auf der Plattform F.. Die personenbezogenen Daten werden sodann f�r verschiedene Zwecke, wie aus der Datenrichtlinie (Anlage B9) oder der Unterseite „Wozu verwendet F. meine Mobilnummer“ (Anlage B6) zum Teil ersichtlich wird, weiterverarbeitet. Die Beklagte bestimmt als Betreiberin �ber die Zwecke der Verarbeitung. Die Beklagte ist vorliegend auch keine Beh�rde eines Mitgliedstaates, sondern ein Unternehmen in der Rechtsform der Limited.

35 Es kann vorliegend offenbleiben, ob Art. 79 Abs. 2 DSGVO die Zust�ndigkeitsvorschriften der EuGVVO verdr�ngen oder diese daneben anwendbar bleiben, da jedenfalls keine ausschlie�liche Zust�ndigkeit nach Art. 24 EuGVVO und eine Zust�ndigkeit nach Art. 18 Abs. 1 Alt. 2, Art. 17 Abs. 1 lit. c) EuGVVO gegeben ist (vgl. BGH, Urteil vom 29. Juli 2021 – III ZR 179/20 –, BGHZ 230, 347-389, Rn. 24; LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 41, juris). Die Klagepartei nutzt als Privatperson die auch in Deutschland durch die Beklagte gewerblich betriebene Plattform F..

36 2. Das Landgericht N�rnberg-F�rth ist auch sachlich gem�� � 1 ZPO i.V. m. �� 23 Nr. 1, 71 Abs. 1 GVG zust�ndig. Die �rtliche Zust�ndigkeit folgt aus � 44 Abs. 1 S. 2 BDSG.

37 II. Der Klageantrag zu 1) ist zul�ssig. Insbesondere ist er hinreichend bestimmt gem�� � 253 Abs. 2 Nr. 2 ZPO.

38 Grunds�tzlich ist ein Klageantrag hinreichend bestimmt, wenn er den erhobenen Anspruch durch Bezifferung oder gegenst�ndliche Beschreibung so konkret bezeichnet, dass der Rahmen der gerichtlichen Entscheidungsbefugnis (� 308 ZPO) klar abgegrenzt ist, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (� 322 ZPO) erkennbar sind, das Risiko des Unterliegens der Klagepartei nicht durch vermeidbare Ungenauigkeit auf den Beklagten abgew�lzt und eine etwaige Zwangsvollstreckung nicht mit einer Fortsetzung des Streits im Vollstreckungsverfahren belastet wird. Der Klageantrag ist der Auslegung zug�nglich, wobei daf�r auch die Klagebegr�ndung heranzuziehen ist (vgl. Z�ller/Greger, ZPO, 34. Auflage, � 253 Rn. 13 m.w.N.)

39 Nach Auslegung des Klageantrags zu 1) ist dieser dahingehend zu verstehen, dass die Klagepartei f�r mehrerer Verst��e der Beklagten gegen die DSGVO Schadensersatz verlangt. Es liegt dem Klageantrag zu 1) ein einzelner Streitgegenstand zugrunde, da ein einheitlicher Lebenssachverhalt und ein einzelner Antrag vorliegt. Wegen der von der Klagepartei vorgetragenen Verst��e der DSGVO soll das Scrapen der Daten durch Dritte erst m�glich geworden sein und der Schaden resultieren. Der Klage ist zu entnehmen, dass die vorgetragenen Verst��e gegen die DSGVO nicht in einem Alternativverh�ltnis stehen sollen, sondern diese zusammenh�ngend betrachtet werden m�ssen. Nach dem Klagevortrag ist von einem einheitlich geltend gemachten Schaden durch den Scraping-Vorfall auszugehen, der sich im Nachgang an den Scraping-Vorfall durch weitergehende m�gliche DSGVO-Verst��e der Beklagten potenziert oder verschlimmert hat (Vgl. So auch OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23, Rn. 51, juris; LG Kiel Urt. v. 12.1.2023 – 6 O 154/22, GRUR-RS 2023, 328).

40 III. Der Klageantrag zu 2) ist zul�ssig.

41 1. Der Klageantrag zu 2) ist hinreichend bestimmt gem�� � 253 Abs. 2 Nr. 2 ZPO.

42 Eine Unbestimmtheit des Klageantrags zu 2) folgt insbesondere nicht daraus, dass der Antrag mit „alle materiellen k�nftigen Sch�den […], die der Kl�gerseite […] entstanden sind und/oder noch entstehen werden“ formuliert ist. Nach Auslegung des Antrags unter Heranziehung der Schrifts�tze der Klagepartei wird deutlich, dass die Klagepartei den Ersatz von zuk�nftig entstehenden materiellen Sch�den mit dem Klageantrag zu 2) geltend macht, soweit diese nicht vom Klageantrag zu 1) umfasst sind (vgl. LG Aachen Urt. v. 10.2.2023 – 8 O 177/22, GRUR-RS 2023, 2621; LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 55, juris).

43 2. Die Klagepartei hat hinsichtlich des Klageantrags zu 2 ein Feststellungsinteresse gem�� � 256 Abs. 1 ZPO.

44 Ein Feststellungsantrag ist schon zul�ssig, wenn die Schadensentwicklung noch nicht abgeschlossen ist und der Kl�ger seinen Anspruch deshalb ganz oder teilweise nicht beziffern kann. Ein Feststellungsinteresse ist nur zu verneinen, wenn aus der Sicht des Gesch�digten bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (BGH, Beschluss vom 9. 1. 2007 – VI ZR 133/06, NJW-RR 2007, 601).

45 Es ist vorliegend nicht auszuschlie�en, dass der Klagepartei bei den behaupteten Verst��en gegen die DSGVO und der Ver�ffentlichung ihrer personenbezogenen Daten ein Schaden auch k�nftig entstehen k�nnte (vgl. LG Essen Urt. v. 10.11.2022 – 6 O 111/22, GRUR-RS 2022, 34818, Rn. 39; LG Aachen Urt. v. 10.2.2023 – 8 O 177/22, GRUR-RS 2023, 2621 Rn. 37). Deswegen muss man bei verst�ndiger W�rdigung damit rechnen, dass zumindest eine gewisse Wahrscheinlichkeit f�r das Eintreten eines k�nftigen Schadens nicht auszuschlie�en ist.

46 IV. Der Klageantrag zu 3a) ist unzul�ssig. Der Klageantrag zu 3b) ist zul�ssig.

47 1. Der Klageantrag zu 3a) ist nicht hinreichend bestimmt i.S.d. � 253 Abs. 2 Nr. 2 ZPO. Auch nach Auslegung des Klageantrags zu 3a) ist dieser zu unbestimmt.

48 Nach � 253 Abs. 2 Nr. 2 ZPO darf ein Unterlassungsantrag – und nach � 313 Abs. 1 Nr. 4 ZPO eine darauf beruhende Verurteilung – nicht derart undeutlich gefasst sein, dass der Streitgegenstand und der Umfang der Pr�fungs- und Entscheidungsbefugnis des Gerichts (� 308 Abs. 1 ZPO) nicht erkennbar abgegrenzt sind, sich der Beklagte deshalb nicht ersch�pfend verteidigen kann und die Entscheidung dar�ber, was dem Beklagten verboten ist, letztlich dem Vollstreckungsgericht �berlassen bleibt. Aus diesem Grund sind Unterlassungsantr�ge, die lediglich den Wortlaut eines Gesetzes wiederholen, grunds�tzlich als zu unbestimmt und damit als unzul�ssig anzusehen. Abweichendes kann gelten, wenn der gesetzliche Verbotstatbestand eindeutig und konkret gefasst ist, sein Anwendungsbereich durch eine gefestigte Auslegung gekl�rt ist oder der Kl�ger hinreichend deutlich macht, dass er kein Verbot im Umfang des Gesetzeswortlauts beansprucht, sondern sich mit seinem Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert. Die Bestimmtheit des Unterlassungsantrags setzt in solchen F�llen allerdings grunds�tzlich voraus, dass zwischen den Parteien kein Streit dar�ber besteht, dass das beanstandete Verhalten das fragliche Tatbestandsmerkmal erf�llt. Die Wiedergabe des gesetzlichen Verbotstatbestands in der Antragsformulierung ist auch unsch�dlich, wenn sich das mit dem nicht hinreichend klaren Antrag Begehrte durch Auslegung unter Heranziehung des Sachvortrags des Kl�gers eindeutig ergibt und die betreffende tats�chliche Gestaltung zwischen den Parteien nicht in Frage steht, sondern sich deren Streit auf die rechtliche Qualifizierung der angegriffenen Verhaltensweise beschr�nkt. Eine auslegungsbed�rftige Antragsformulierung kann im �brigen hinzunehmen sein, wenn eine weitergehende Konkretisierung nicht m�glich und die gew�hlte Antragsformulierung zur Gew�hrung effektiven Rechtsschutzes erforderlich ist (BGH, Urteil vom 26. Januar 2017 – I ZR 207/14 –, Rn. 18, juris m.w.N.).

49 Nach diesen Kriterien weist der Klageantrag zu 3a) keine hinreichende Bestimmtheit auf.

50 Das Gericht schlie�t sich insoweit den Ausf�hrungen des LG L�beck im Urteil vom 25. Mai 2023 (Aktenzeichen: 15 O 74/22) zu dem gleichlautenden Klageantrag 3a) an:

„Der Antrag beschr�nkt sich bereits im Ausgangspunkt nicht auf die Wiedergabe des – �berdies nicht eindeutig und konkret gefassten – gesetzlichen Verbotstatbestandes des Art. 32 Abs. 1 DSGVO, sondern greift aus den dort genannten, zur Gew�hrleistung eines angemessenen Schutzniveaus zu ber�cksichtigenden Umst�nden (Stand der Technik, Implementierungskosten, Art, Umfang, Umst�nde und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos f�r die Rechte und Freiheiten nat�rlicher Personen) isoliert den Stand der Technik heraus. Unabh�ngig davon, dass damit mit Blick auf die Begr�ndetheit des Antrages bereits der Ma�stab des Art. 32 Abs. 1 DSGVO verk�rzt wiedergegeben wird, ist aus dem Antrag bei dieser Fassung nicht hinreichend ersichtlich, welche Ma�nahmen die Beklagte konkret zur Erf�llung ihrer Pflicht zu ergreifen hat. Ohne eine solche Konkretisierung ist f�r die Beklagte aber nicht klar, wann sie ihrer Pflicht Gen�ge getan hat und wann sie sich einer Haftung bzw. einer Vollstreckung aussetzen w�rde. Dar�ber hinaus w�re f�r das Vollstreckungsgericht – auch und insbesondere angesichts des unbestimmten Standes der Technik – nicht hinreichend deutlich, welche Ma�nahmen zu welchem Zeitpunkt von der Beklagten veranlasst werden m�ssten. Dies gilt vorliegend umso mehr, als Gegenstand des Unterlassungsantrages nicht lediglich die Unterlassung der Gew�hrleistung desjenigen Schutzniveaus zum Zeitpunkt des streitgegenst�ndlichen sogenannten „Scraping“ Vorfalles ist, sondern dar�ber hinausgehend und mit Blick auf etwaige zuk�nftige Entwicklungen und Verst��e die Unterlassung der Zug�nglichmachung von personenbezogenen Daten �ber eine Software zum Importieren von Kontakten ohne die nach dem Stand der Technik m�glichen Sicherheitsma�nahmen. In der Sache beansprucht die Kl�gerseite damit aber lediglich ein Verbot im Umfang des – zudem nur unvollst�ndig ber�cksichtigten – Gesetzeswortlaut des Art. 32 Abs. 1 DSGVO. Die auslegungsbed�rftige Antragsformulierung l�sst sich auch durch Auslegung unter Heranziehung des Sachvortrags der Kl�gerseite nicht eindeutig pr�zisieren, da insoweit kein Vortrag erfolgt ist. Sie ist entgegen der Auffassung der Kl�gerseite auch nicht unter dem Gesichtspunkt der Gew�hrung effektiven Rechtsschutzes ausnahmsweise hinzunehmen. Es steht der Kl�gerseite frei, eine hinreichende Konkretisierung zu erreichen, indem sie ihr Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert, was sie vorliegend nicht getan hat“ (LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 59 – 60, juris).

51 2. Der Klageantrag zu 3b) ist zul�ssig. Insbesondere gen�gt er den Bestimmtheitsanforderungen gem�� � 253 Abs. 2 S. 2 ZPO.

52 Nach Auslegung des Klageantrags zu 3b) unter Heranziehung des gesamten Vortrags der Kl�gerseite ist deutlich, dass die Klagepartei eine Verarbeitung ihrer Telefonnummer erst nach einer hinreichend transparenten Information und �bersichtlichen Gestaltung durch die Beklagte und ohne eine Solche ein Unterlassen der Verarbeitung ihrer Telefonnummer begehrt. Eine �bersichtliche Gestaltung liegt nach Auslegung des Vortrags der Klagepartei erst vor, wenn explizit �ber die Verwendung der Telefonnummer in den hierauf gerichteten Einstellungsm�glichkeiten informiert wird (so auch LG Kiel Urt. v. 12.1.2023 – 6 O 154/22, GRUR-RS 2023, 328; LG Aachen Urt. v. 10.2.2023 – 8 O 177/22, GRUR-RS 2023).

B.

53 Die Klage ist, soweit sie zul�ssig ist, teilweise begr�ndet. Die Klageantr�ge zu 1), 2) und 5) sind in dem aus dem Tenor ersichtlichen Umfang begr�ndet. Im �brigen ist die Klage unbegr�ndet.

54 I. Der Klageantrag zu 1) ist teilweise begr�ndet. Der Klagepartei hat gegen die Beklagte einen Schadensersatzanspruch in H�he von 250 € gem�� Art. 82 DSGVO.

55 1. Der Anwendungsbereich der DSGVO ist er�ffnet. Der sachliche Anwendungsbereich der DSGVO ist vorliegend gem�� Art. 2 DSGVO gegeben, da die Beklagte unstreitig personenbezogene Daten der Klagepartei �ber die Plattform F. verarbeitet und kein Ausschlussgrund des Art. 2 Abs. 2, 3 DSGVO vorliegt. Auch der r�umliche Anwendungsbereich nach Art. 3 Abs. 1 DSGVO ist er�ffnet. Die Beklagte ist als Betreiberin der Plattform F. unstreitig Verantwortliche i.S.d. Art. 82, Art. 4 Nr. 7 DSGVO (Siehe auch A.I. m. w. N.). Sie hat ihren Sitz in Irland und damit eine Niederlassung innerhalb der Europ�ischen Union.

56 2. Die Beklagte hat gegen Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 Unterabsatz 1 DSGVO versto�en, da sie vorliegend nicht den Nachweis einer rechtm��igen Verarbeitung der Telefonnummer der Klagepartei gem�� Art. 6 Abs. 1 Unterabsatz 1 DSGVO erbringt.

57 Die DSGVO enth�lt in Art. 5 Abs. 2 DSGVO eine spezifische Beweislastregelung. Danach ist der f�r die Datenverarbeitung Verantwortliche f�r die Einhaltung der in Art. 5 Abs. 1 DSGVO enthaltenen Grunds�tze der Datenverarbeitung verantwortlich und muss deren Einhaltung nachweisen („Rechenschaftspflicht“). Der Verantwortliche muss dies auch im zivilprozessualen Verfahren im Rahmen der Rechenschaftspflicht nachweisen k�nnen (vgl. EuGH Urt. v. 4.7.2023 – C-252/21, GRUR 2023, 1131 Rn. 95, 152, 154; EuGH Urt. v. 4.5.2023 – C-60/22, BeckRS 2023, 8967 Rn. 53; EuGH Urt. v. 24.2.2022 – C-175/20, BeckRS 2022, 2616 Rn. 77 f.; EuGH Urt. v. 24.2.2024 – C-175/20, EuZW 2022, 527 Rn. 77 f., 81; auch BVerwG Urt. v. 1.3.2022 – 6 C 7 /20, BVerwGE 175, 76 Rn. 49 f.; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 5 87 f., juris).

58 Soweit es deshalb um die materielle Rechtm��igkeit der Verarbeitung geht, ist zu beachten, dass eine Verarbeitung personenbezogener Daten nur dann zul�ssig ist, wenn mindestens einer der in Art. 6 Abs. 1 Unterabsatz 1 DSGVO genannten Tatbest�nde erf�llt ist (sog. Verbot mit Erlaubnisvorbehalt). Hierbei handelt es sich um einen f�r den Verantwortlichen bzw. Auftragsverarbeiter g�nstigen Umstand, den dieser bereits nach allgemeinen Grunds�tzen beweisen muss (K�hling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 46). Zudem ergibt sich die Nachweispflicht f�r die Rechtm��igkeit der Verarbeitung aus der in Art. 5 Abs. 2 DSGVO verankerten Rechenschaftspflicht (BeckOK DatenschutzR/Quaas, 44. Ed. 1.5.2023, DS-GVO Art. 82 Rn. 53; K�hling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 46).

59 Ein Versto� gegen Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 DSGVO kann Schadensersatzanspr�che nach Art. 82 DSGVO begr�nden (Gola/Heckmann/Schulz, 3. Aufl. 2022, DS-GVO Art. 6 Rn. 164; BeckOK DatenschutzR/Albers/Veit, 44. Ed. 1.5.2023, DS-GVO Art. 6 Rn. 115).

60 Die Beklagte hat vorliegend die Telefonnummer unstreitig auf ihrer Plattform F. verarbeitet (Vgl. Anlage B16).

61 a. Die Verarbeitung der Telefonnummer der Klagepartei im Hinblick auf die Suchbarkeit eines F.-Profils �ber die Telefonnummer durch das Contact-Import-Tool (im Folgenden: „CIT“) ist nicht zur Vertragserf�llung erforderlich i.S.d. Art. 6 Abs. 1 Unterabsatz 1 lit. b DSGVO. Die Beklagte kann hierf�r nicht den erforderlichen Nachweis erbringen (So auch OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 94 ff., juris).

62 Damit eine Verarbeitung personenbezogener Daten als f�r die Erf�llung eines Vertrags erforderlich im Sinne des Art. 6 Abs. 1 Unterabsatz 1 1 lit. b DSGVO angesehen werden kann, muss sie objektiv unerl�sslich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil, der f�r die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen k�nnen, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erf�llt werden k�nnte. Der Umstand, dass eine solche Verarbeitung im Vertrag erw�hnt wird oder f�r dessen Erf�llung lediglich von Nutzen ist, ist insoweit f�r sich genommen unerheblich. Entscheidend f�r die Anwendung des in Art. 6 Abs. 1 Unterabsatz 1 lit. b DSGVO genannten Rechtfertigungsgrundes ist n�mlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen f�r die ordnungsgem��e Erf�llung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (EuGH Urt. v. 4.7.2023 – C-252/21, GRUR-RS 2023, 15772 Rn. 98 f.).

63 Vorliegend ist es nicht der Fall, dass die Auffindbarkeit des Profils mittels der Telefonnummer zwingend unerl�sslich ist, um den Hauptzweck des Vertrags zwischen den Parteien, das Anbieten und Nutzen eines Social-Media-Profils, zu erf�llen.

64 Durch das CIT erm�glicht die Beklagte einem Nutzer einen Abgleich der in seinem Smartphone gespeicherten Kontakte mit auf F. registrierten Nutzerprofilen, die ihr Profil mit einer Mobilfunknummer verkn�pft haben. So k�nnen diese Kontakte auf der F.-Plattform gefunden und mit den dahinterstehenden Nutzern in Verbindung getreten werden.

65 Eine Notwendigkeit oder Erforderlichkeit einen Nutzer mittels seiner Telefonnummer zu finden, ist nicht gegeben. Dies ergibt sich auch nicht aus dem sozialen Zweck der Vernetzung von Menschen auf Social-Media-Plattformen. Die Nutzer k�nnen sich gegenseitig ebenfalls anhand ihres Namens finden. Es best�nde auch die M�glichkeit eine zuf�llig generierte Zahlenfolge den Nutzern als Nutzer-ID zur Verf�gung zu stellen, anhand welcher sie sodann, wenn es im Interesse des Nutzers ist, diesen auf F. finden k�nnen. Dies gilt insbesondere im Hinblick auf den Grundsatz der Datenminimierung gem�� Art. 5 Abs. 1 lit. c DSGVO.

66 �berdies wird aus den nachtr�glich etablierten Suchbarkeitseinstellungen ersichtlich, dass der Klagepartei als Nutzer eine freie Wahl bleiben kann, ob sie mittels ihrer Telefonnummer gefunden werden m�chte. Somit ist es keine zwingende Notwendigkeit die F.-Plattform nur mittels �ffentlich auffindbarer Telefonnummer zu nutzen. Die Funktion ist n�tzlich, um die im Mobiltelefon hinterlegten Kontakte auf F. zu finden, jedoch nicht zwingend erforderlich zur Vertragserf�llung. Eine Beeintr�chtigung des gesamten Vertrages zwischen den Parteien und eine zwingende Notwendigkeit einer �ffentlich Suchbarkeit des Nutzerprofils anhand der Telefonnummer sind nicht gegeben, weswegen nicht von einer erforderlichen Verarbeitung der Telefonnummer zur Erf�llung des Vertrages auszugehen ist. b.

67 Die Beklagte hat kein �berwiegendes berechtigtes Interesse an der �ffentlichen Auffindbarkeit der Telefonnummer der Klagepartei. Jedenfalls kann sie den Nachweis hierf�r nicht erbringen.

68 Verarbeitungen personenbezogener Daten sind nach Art. 6 Abs. 1 Unterabsatz 1 lit. f DSGVO unter drei kumulativen Voraussetzungen rechtm��ig. Erstens muss von dem f�r die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens d�rfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten gesch�tzt werden sollen, gegen�ber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht �berwiegen (EuGH Urt. v. 4.7.2023 – C-252/21, GRUR-RS 2023, 15772 Rn. 106).

69 Das Gericht kann vorliegend kein berechtigtes Interesse der Beklagten an der �ffentlichen Auffindbarkeit der Telefonnummer der Klagepartei feststellen. Die Beklagte bleibt hierf�r den Nachweis schuldig. Allein aus dem von der Beklagten vorgetragenen sozialen Zweckgedanken von F. als Social-Media Plattform l�sst sich ein berechtigtes Interesse an der �ffentlichen Auffindbarkeit eines Nutzerprofils anhand der Telefonnummer nicht begr�nden. Die soziale Interaktion bleibt auch ohne die Suchbarkeitsfunktion f�r jedermann anhand der Telefonnummer uneingeschr�nkt, da das Nutzerprofil auch anhand des Namens gefunden werden und so den gew�nschten Interessen der Beklagten an der sozialen Verbindung von Menschen hinreichend Rechnung getragen werden kann.

70 Es fehlt jedenfalls an der Erforderlichkeit der Verarbeitung der Telefonnummer zur Verwirklichung eines berechtigten Interesses der Beklagten. Insoweit gelten die obigen Ausf�hrungen auch f�r Art. 6 Abs. 1 Unterabsatz 1 lit. f DSGVO (Vgl. C.I.2.a.).

71 c. Eine wirksame Einwilligung der Klagepartei gem�� Art. 6 Abs. 1 Unterabsatz 1 lit. a, Art. 7 DSGVO liegt nicht vor.

72 Nach Art. 6 Abs. 1 Unterabsatz 1 lit. a DSGVO ist die Verarbeitung personenbezogener Daten rechtm��ig, wenn und soweit die betroffene Person ihre Einwilligung f�r einen oder mehrere bestimmte Zwecke freiwillig in informierter Weise und unmissverst�ndlich im Sinne von Art. 4 Nr. 11 DSGVO erteilt hat (EuGH Urt. v. 4.7.2023 – C-252/21, GRUR-RS 2023, 15772 Rn. 91 f.; EuGH Urt. v. 11.11.2020 – C-61/19, NJW 2021, 841 Rn. 35 f., OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 113, juris). Eine wirksame Einwilligung erfordert ein aktives Verhalten des Einwilligenden. Entsprechend Erw�gungsgrund 32 Satz 3 folgt aus Stillschweigen, bereits angekreuzten K�stchen oder Unt�tigkeit der betroffenen Person keine wirksame Einwilligung des Betroffenen (vgl. EuGH Urt. v. 11.11.2020 – C-61/19, NJW 2021, 841 Rn. 35 f.; EuGH Urt. v. 1.10.2019 – C-673/17, NJW 2019, 3433 Rn. 51 ff., OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 115, juris).

73 Anhand dessen l�sst sich vorliegend keine wirksame Einwilligung der Klagepartei in die Verarbeitung ihrer Telefonnummer zum Zweck der �ffentlichen Suchbarkeit feststellen.

74 Eine wirksame Einwilligung liegt nicht in der Voreinstellung der Suchbarkeit der Telefonnummer auf „Alle“. Nach der Rechtsprechung ist ein aktives Tun des Nutzers erforderlich. Vorliegend h�tte die Beklagte die M�glichkeit zur Einwilligung �hnlich eines „Opt-In“ und nicht eines „Opt-Out“ der Klagepartei anbieten m�ssen, damit ein aktives Tun gerichtet auf eine Einwilligung der Klagepartei vorliegt.

75 Im Abschluss der Registrierung mit dem Klick auf den Button „Registrieren“ ist ebenfalls keine Einwilligung nach den vorangestellten Kriterien zu sehen. Eine Einwilligung h�tte insbesondere im Hinblick auf den Transparenzgrundsatz (Art. 5 Abs. 1 lit. a DSGVO) abgesondert vom Registrierungsvorgang oder besonders hervorgehoben abgegeben werden m�ssen (Vgl. K�hling/Buchner/Buchner/K�hling, 3. Aufl. 2020, DS-GVO Art. 7 Rn. 25; BeckOK DatenschutzR/Albers/Veit, 44. Ed. 1.5.2023, DS-GVO Art. 6 Rn. 38).

76 Die Klagepartei h�tte eine Einwilligung �berdies auch nicht in informierter Art und Weise abgegeben. Die Beklagte h�tte unbeschadet der weiteren Anforderungen der Art. 13, 14 DSGVO dar�ber informieren m�ssen, welche Daten zu welchem Zweck und von wem verarbeitet werden (Ehmann/Selmayr/Heberlein, 2. Aufl. 2018, DS-GVO Art. 6 Rn. 8; �hnlich: BeckOK DatenschutzR/Albers/Veit, 44. Ed. 1.5.2023, DS-GVO Art. 6 Rn. 36). Daf�r reicht es vorliegend nicht aus, dass der Klagepartei beim Registrierungsvorgang ein Hinweis auf die jeweils verlinkten Nutzungsbedingungen, die Datenrichtlinie und die Cookie-Richtlinie gegeben wird. Es werden keine Informationen �ber die Nutzung der Telefonnummer dergestalt zur Verf�gung gestellt, dass ein Nutzer vor Abgabe seiner Einwilligung wei�, zu welchem Zweck, in welcher Art und Weise und von wem seine Telefonnummer verarbeitet wird. Insbesondere findet sich weder in der Datenrichtlinie, in den Nutzungsbedingungen, dem Hilfebereich noch in der Cookie-Richtlinie ein Hinweis auf die Verarbeitung der Telefonnummer zur �ffentlichen Suchbarkeit des Profils der Klagepartei mittels des CIT. Ein Hinweis in den Privatsph�re-Einstellungen und dort unter „Bestimme wer dich finden kann“ zur Suchbarkeit der Telefonnummer und was „Finden“ bedeutet, reicht f�r eine informierte Einwilligung vorliegend nicht. Dabei muss der Nutzer unter Privatsph�re-Einstellungen einen weiteren Untermen�punkt anklicken. Dieser Men�punkt ist erst nach Registrierung f�r den Nutzer auffindbar und nicht hinreichend transparent erreichbar, da der Nutzer nicht an dieser Stelle mit Informationen zur Verarbeitung seiner Telefonnummer rechnen muss und diese erst �ber mehrere Klicks in einem Untermen�punkt zu finden ist.

77 Die Beklagte f�hrt in der Klageerwiderung �berdies selbst aus, dass eine Einwilligung des Nutzers i.S.v. Art. 6 Abs. 1 Unterabsatz 1 lit. a DSGVO im gegenst�ndlichen Kontext nicht erforderlich war (S. 82 d. Klageerwiderung).

78 3. Die Beklagte ist ihrer Verpflichtung zur Information �ber die Verarbeitung der Telefonnummer der Klagepartei gem�� Art. 5 Abs. 1, Art. 13 DSGVO nicht hinreichend nachgekommen.

79 Eine Verletzung von den gem�� Art. 13 DSGVO bestehenden Informations- und Aufkl�rungspflichten ist vom Anwendungsbereich des Art. 82 DSGVO erfasst (LG Stuttgart Urt. v. 26.1.2023 – 53 O 95/22, GRUR-RS 2023, 1098 Rn. 64; LG Paderborn Urt. v. 19.12.2022 – 3 O 99/22, GRUR-RS 2022, 39349 Rn. 47; BeckOK DatenschutzR/Schmidt-Wudy, 44. Ed. 1.5.2023, DS-GVO Art. 13 Rn. 18; Gola/Heckmann/Franck, 3. Aufl. 2022, DS-GVO Art. 13 Rn. 64).

80 Gem�� Art. 13 Abs. 1 lit. c DSGVO hat der Verantwortliche die Zwecke, f�r die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage f�r die Verarbeitung mitzuteilen. Die Mitteilung �ber die Zwecke der Verarbeitung ist f�r die Transparenz der Datenverarbeitung aus Sicht der betroffenen Person von entscheidender Bedeutung und steht im Zusammenhang mit dem Grundsatz der Zweckbindung, wonach personenbezogene Daten grunds�tzlich nur f�r festgelegte, eindeutige und legitime Zwecke erhoben werden. Die Angaben m�ssen vollst�ndig und so detailliert sein, dass die betroffene Person sich ein Bild davon machen kann, mit welchen Datenverarbeitungen sie zu rechnen hat (Paal/Pauly/Paal/Hennemann, 3. Aufl. 2021, DS-GVO Art. 13 Rn. 16; K�hling/Buchner/B�cker, 3. Aufl. 2020, DS-GVO Art. 13 Rn. 25; Gola/Heckmann/Franck, 3. Aufl. 2022, DS-GVO Art. 13 Rn. 12 f.).

81 Die Beklagte hat die Klagepartei bei Datenerhebung hinreichend dar�ber aufgekl�rt, dass deren Mobilfunknummer zum Zweck der Hilfe bei der Anmeldung, zur „Zwei-Faktor-Authentifizierung“, zu Werbezwecken, zum Zweck des Vorschlagens potenzieller Bekanntschaften sowie zur Kommunikation mit F. verwendet wird (Anlagen B6, B9).

82 Die Beklagte hat die Klagepartei jedoch unzureichend �ber den Zweck der Verwendung der Telefonnummer f�r das seitens der Beklagten verwendete CIT aufgekl�rt (so auch: LG Paderborn Urt. v. 19.12.2022 – 3 O 99/22, GRUR-RS 2022, 39349 Rn. 55; LG Stuttgart Urt. v. 26.1.2023 – 53 O 95/22, GRUR-RS 2023, 1098 Rn. 60 ff.).

83 Die Beklagte hat in den mehrschichtigen Datenschutzinformationen keinen Hinweis �ber die Verarbeitung der Telefonnummer der Klagepartei, um diese �ffentlich �ber das CIT zu finden, platziert. In der Datenrichtlinie (Anlage B9) findet sich kein Hinweis auf die Verarbeitung der Telefonnummer mittels des CIT.

84 Es gen�gt der Hinweis im Hilfebereich von F. „Wozu verwendet F. meine Mobilnummer […] um dir Personen, die du kennen k�nntest, vorzuschlagen, damit du dich mit ihnen auf F. verbinden kannst“ (Anlage B6) nicht, da gerade nicht auf die �ffentliche Auffindbarkeit der Telefonnummer der Klagepartei hingewiesen wird. Vielmehr wird nur dar�ber informiert, dass Personen, die die Kl�gerseite kennen k�nnte, ihr �ber eine Verkn�pfung zur Telefonnummer vorgeschlagen werden. Es l�sst sich allenfalls der gedankliche R�ckschluss ziehen, dass anderen Nutzern das Profil der Klagepartei anhand ihrer Mobilfunknummer ebenfalls vorgeschlagen wird. Damit unterl�sst die Beklagte aber gerade die Information auf die �ffentliche Suchbarkeit der Mobilfunknummer �ber das CIT.

85 Ein Hinweis in den Privatsph�re-Einstellungen und dort unter „Bestimme wer dich finden kann“ zur Suchbarkeit der Telefonnummer und was „Finden“ bedeutet, gen�gt den Anforderungen des Art. 13 DSGVO nicht. Dabei muss der Nutzer unter Privatsph�re-Einstellungen einen weiteren Untermen�punkt anklicken. Der Zugang zu diesem Men�punkt ist erst nach Registrierung f�r den Nutzer m�glich und nicht hinreichend transparent erreichbar, da der Nutzer nicht an dieser Stelle mit Informationen zur Verarbeitung seiner Telefonnummer rechnen muss und diese erst �ber mehrere Klicks in einem Untermen�punkt zu finden ist. �berdies wird �ber die Funktionsweise des CIT und den Verwendungszweck der Telefonnummer dort nicht hinreichend aufgekl�rt.

86 4. Die Beklagte hat gegen Art. 32. Abs. 1, Art. 24, Art. 5 Abs. 1 lit. f DSGVO versto�en, da sie keine hinreichenden technischen und organisatorischen Ma�nahmen zum Schutz der personenbezogenen Daten der Klagepartei getroffen hat. Bez�glich der Einhaltung der technischen und organisatorischen Ma�nahmen ist die Beklagte im Zuge ihrer Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO darlegungs- und beweisbelastet (Generalanwalt beim EuGH Schlussantrag v. 27.4.2023 – C-340/21, GRUR-RS 2023, 8707 Rn. 42; OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23 –, Rn. 88, juris).

87 Eine Verletzung von Art. 32 DSGVO ist dabei generell vom Schutzbereich des Art. 82 DSGVO umfasst. (LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 81, juris; K�hling/Buchner/Jandt DS-GVO Art. 32 Rn. 40a; Sydow/Marsch DS-GVO/BDSG/Mantz, 3. Aufl. 2022, DS GVO Art. 32 Rn. 31).

88 Der Verantwortliche hat geeignete technische und organisatorische Ma�nahmen zu ergreifen, um ein dem Risiko der Datenverarbeitung angemessenes Schutzniveau zu gew�hrleisten. Die Geeignetheit bezieht sich demnach auf das Ziel der Risikovermeidung (K�hling/Buchner/Jandt, 3. Aufl. 2020, DS-GVO Art. 32 Rn. 5). Dabei kommt es darauf an, wie gro� die Risiken sind, die den Rechten und Freiheiten der betroffenen Person drohen und wie hoch die Wahrscheinlichkeit eines Schadenseintritts ist. Damit ergibt sich, dass die Ma�nahmen umso wirksamer sein m�ssen, je h�her die drohenden Sch�den sind (Ehmann/Selmayr/Hladjk, 2. Aufl. 2018, DS-GVO Art. 32 Rn. 4; Spindler/Schuster/Laue, 4. Aufl. 2019, DS-GVO Art. 32 Rn. 4). Dies wird vor allem anhand der Sensibilit�t der Daten und der Wahrscheinlichkeit eines Schadeneintritts bestimmt (Gola/Heckmann/Piltz, 3. Aufl. 2022, DS-GVO Art. 32 Rn. 41). Art. 32 Abs. 1 DSGVO verpflichtet den Verantwortlichen nicht zu einem absoluten Schutz der Daten (vgl. LG Paderborn Urt. v. 19.12.2022 – 3 O 99/22, GRUR-RS 2022, 39349 Rn. 72Gola/Heckmann/Piltz, 3. Aufl. 2022, DS-GVO Art. 32 Rn. 11; vgl. auch Spindler/Schuster/Laue, 4. Aufl. 2019, DS-GVO Art. 32 Rn. 3) .

89 Der Begriff „geeignet“ setzt voraus, dass die zur Sicherung der Informationssysteme gew�hlten Ma�nahmen sowohl in technischer (Angemessenheit der Ma�nahmen) als auch in qualitativer Hinsicht (Wirksamkeit des Schutzes) ein akzeptables Niveau erreichen. Um die Einhaltung der Grunds�tze der Notwendigkeit, Angemessenheit und Verh�ltnism��igkeit zu gew�hrleisten, muss die Verarbeitung nicht nur geeignet sein, sondern auch den Zwecken entsprechen, denen sie dienen soll. Dabei spielt der Grundsatz der Minimierung eine entscheidende Rolle, wonach auf allen Stufen der Datenverarbeitung stets darauf geachtet werden muss, dass Sicherheitsrisiken minimiert werden (GA Pitruzzella Schlussantr�ge v. 27.4.2023 – C-340/21, BeckRS 2023, 8707 Rn. 26).

90 Es ist eine Frage des konkreten Einzelfalls, ob die vom Verantwortlichen darzulegenden und zu beweisenden Ma�nahmen das Risiko einer Datenverletzung Dritter – aus ex-ante-Sicht – hinreichend zu verhindern geeignet waren, wobei dem Verantwortlichen bei der Auswahl und Umsetzung der Ma�nahmen ein gewisser subjektiver Beurteilungsspielraum zuzugestehen ist (vgl. GA Pitruzzella Schlussantr�ge v. 27.4.2023 – C-340/21, BeckRS 2023, 8707 Rn. 40; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 140, juris).

91 Gem�� Art. 32 Abs. 3 DSGVO hat der Verantwortliche die M�glichkeit, die Anforderungen an die geeigneten technischen und organisatorischen Ma�nahmen durch Einhaltung genehmigter Verhaltensregeln (Art. 40 Abs. 2 lit. h DSGVO) oder eines genehmigten Zertifizierungsverfahrens (Art. 42 DSGVO) nachzuweisen (Ehmann/Selmayr/Hladjk, 2. Aufl. 2018, DS-GVO Art. 32 Rn. 12).

92 Die Beklagte hat vorliegend aus einer ex-ante Sicht keine hinreichenden technischen und organisatorischen Ma�nahmen angemessen zum Risiko w�hrend des Zeitraums des Scraping-Vorfalls dargelegt und nachgewiesen. Die von der Beklagten vorgetragenen „Anti-Scraping-Ma�nahmen“ w�ren selbst im Falle deren Nachweises nicht geeignet, um ein dem Risiko angemessenes Schutzniveau zu gew�hrleisten (Vgl. so auch OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 138 ff. juris; LG Paderborn Urt. v. 19.12.2022 – 3 O 99/22, GRUR-RS 2022, 39349 Rn. 76).

93 Es besteht vorliegend ein hohes Risiko f�r die Rechte und Freiheiten der Klagepartei i.S.d. Art. 32 DSGVO.

94 Die Verarbeitung der personenbezogenen Daten durch die Offenlegung und �bermittlung an andere Nutzer geht �ber das blo�e Speichern oder Erheben hinaus. Es handelt sich auch nicht um �ffentlich einsehbare Daten, da Dritten Zugang �ber F. gew�hrt wird (LG Paderborn Urt. v. 19.12.2022 – 3 O 99/22, GRUR-RS 2022, 39349 Rn. 77). Nur weil die Daten „�ffentlich“ auf der Plattform F. einsehbar sind, befreit dies die Beklagte nicht von der Pflicht, geeignete organisatorische und technische Ma�nahmen i.S.d. Art. 32 DSGVO zu treffen. Die personenbezogenen Daten der Nutzer sind eben nicht �berall „�ffentlich einsehbar“, sondern nur auf F.. Zudem werden eine Vielzahl der von der Beklagten verarbeitenden Daten (u.a. Telefonnummer, Nachname, Vorname, Land, Geschlecht) in einem Nutzerprofil zusammengefasst. So ist ein geb�ndeltes „Datenpaket“ �ber die angegebenen Daten der Klagepartei auf F. vorhanden. Diese Verkn�pfung personenbezogener Daten l�sst weitere R�ckschl�sse auf die Klagepartei zu, als wenn z.B. die Telefonnummer ausschlie�lich einzeln auffindbar w�re. Au�erdem war das Nutzerprofil der Klagepartei im Zeitpunkt des Scraping-Vorfalls �ber das CIT suchbar und auffindbar. Die Einstellung der Suchbarkeit auf „Alle“ war voreingestellt, sodass die Telefonnummer der Klagepartei nie ausschlie�lich f�r die Zwei-Faktor-Authentifizierung von der Beklagten verarbeitet wurde, sondern auch f�r die Nutzung des CIT.

95 Mit der �ffentlichen Einsehbarkeit des Nutzerprofils auf F. besteht, wie der vorliegende Fall zeigt, ein hohes Missbrauchsrisiko der personenbezogenen Daten durch Dritte. Durch den R�ckgriff auf das Nutzerprofil und die Telefonnummer besteht die Gefahr von gezielten Phishing-Attacken, Identit�tsdiebstahl und weiteren rechtswidrigen Verarbeitungen durch Dritte (Vgl. LG Paderborn Urt. v. 19.12.2022 – 3 O 99/22, GRUR-RS 2022, 39349 Rn. 76). Scraping stellte im Jahr 2019 nach Angaben der Beklagten bereits eine weit verbreitete Technik zum unbefugten Abgriff personenbezogener Daten dar. Die Beklagte war sich des „Scraping als g�ngige Taktik“ von „b�swilligen Akteuren“ in diesem Zeitraum bewusst (Vgl. Anlagen B10, B11).

96 Aufgrund des hohen Risikos f�r die personenbezogenen Daten ist im vorliegenden Fall ein hoher Ma�stab an ein angemessenes Schutzniveau zu stellen. Die Beklagte hat dieses Schutzniveau nicht eingehalten.

97 Der Vortrag der Beklagten dahingehend, dass eine Besch�ftigung eines „External Data Misuse Team“ von Datenwissenschaftlern, -analysten und Software-Ingenieuren, �bertragungsbeschr�nkungen zur Reduzierung der Anzahl von Anfragen, ein Vorgehen gegen Scraper mittels Unterlassungsaufforderungen, Kontosperrungen und Gerichtsverfahren und Bestrebungen gegen Hosting-Anbieter stattf�nde, reicht nicht f�r ein angemessenes Schutzniveau der personenbezogenen Daten der Klagepartei aus. Wie die Beklagte selbst einr�umt, sind die Ma�nahmen, die Onlineplattformen zur Verringerung von Scraping einsetzen, in der Regel �bertragungsbegrenzungen und Bot-Erkennungen. Diese Ma�nahmen h�tten vorliegend das Scraping mittels Telefonnummeraufz�hlung verhindert oder zumindest erheblich erschwert. Die konkret aufgef�hrten Ma�nahmen der Begrenzung des Rufnummernabgleichs und der eingeschr�nkten Auffindbarkeit von Nutzerprofilen �ber das CIT f�hrte die Beklagte nach ihren eigenen Schilderungen erst im Nachgang des Scraping-Vorfalls ein („Vor einer Reihe von Verbesserungen, die wir im September 2019 vorgenommen haben“ Anlage B11). Soweit die Beklagte au�erdem vortr�gt, sie gehe mittels Unterlassungsaufforderungen, Kontosperrungen und Gerichtsverfahren gegen Scraper vor, greifen diese (nicht technischen) Ma�nahmen erst, wenn Scraping tats�chlich eingetreten ist. Hinsichtlich der Besch�ftigung eines „External Data Misuse Team“ von Datenwissenschaftlern, -analysten und Software-Ingenieuren bleibt die Beklagte im Zuge ihrer Darlegungslast insoweit f�llig, was genau dieses Team an Besch�ftigten gegen Scraping vor dem September 2019 unternommen hat. Der Hinweis auf die Identifizierung von „Aktivit�tsmustern und Verhaltensweisen, die typischerweise mit automatisierten Computeraktivit�ten in Zusammenhang stehen“ durch das „External Data Misuse Team“ reicht zwar f�r die Erkennung von Scraping aus. Jedoch bleibt offen, welche konkreten Gegen- und Schutzma�nahmen sodann durch das „External Data Misuse Team“ oder die Beklagte ergriffen worden sind. Ebenfalls bleibt unklar, wie diese Schutzma�nahmen funktionieren sollten. Insbesondere erschlie�t sich f�r das Gericht nicht, dass die Besch�ftigung dieses Teams ausreichend f�r die Erkennung von Scraping war, wenn im Zuge des Scraping-Vorfalls circa 533 Millionen Datens�tze von Nutzern der Plattform F. im Internet ver�ffentlicht worden sind.

98 �berdies wird das „External Data Misuse Team“ erst dann t�tig, wenn bereits Scraping auftritt. Die Beklagte h�tte vorliegend Systeme zur Erkennung von massenhaften Abfragen vor September 2019 vorhalten und die Suchbarkeit der Nutzerprofile �ber die Telefonnummer (z.B. „Nur f�r Freunde von Freunden“) einschr�nken m�ssen, um ein angemessenes Schutzniveau im Hinblick auf das hohe Risiko zu gew�hrleisten. Die Beklagte h�tte zudem f�r die Suche eines Nutzerprofils �ber das CIT weitergehende Informationen, wie z.B. den Vor- und Nachnamen, abfragen k�nnen. Diese Ma�nahmen h�tten zumindest die Suchbarkeit �ber die wahllose Eingabe von Telefonnummern erheblich eingeschr�nkt. Da die Beklagte schon nicht hinreichend substantiiert zu den getroffenen technischen und organisatorischen Ma�nahmen vortr�gt, worauf die Beklagtenseite bereits hingewiesen hat (S. 36 d. Replik), w�re im �brigen eine Vernehmung des als Zeugen angebotenen Gesch�ftsf�hrers der Beklagten nicht erforderlich.

99 5. Ob ein Versto� gegen Art. 25 DSGVO vorliegt, kann vorliegend wegen seines organisatorischen Charakters und der Unanwendbarkeit des Art. 82 DSGVO auf organisatorische Normen der DSGVO offenbleiben (Vgl. LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 98, juris).

100 Allein aus einem Versto� gegen Art. 25 DSGVO kann wegen seines organisatorischen Charakters ein Anspruch nach Art. 82 Abs. 1 DSGVO nicht begr�ndet werden (vgl. LG Paderborn, Urteil vom 19. Dezember 2022 – 3 O 99/22; Gola/Heckmann/Nolte/Werkmeister, 3. Aufl. 2022, DSGVO Art. 25 Rn. 3, 34; K�hling/Buchner/Hartung, 3. Aufl. 2020, DS-GVO Art. 25 Rn. 31). Die Vorschrift entfaltet bereits vor dem eigentlichen Beginn der Datenverarbeitung ihren Regelungscharakter. Zu diesem, einer tats�chlichen Datenverarbeitung vorgelagerten Zeitpunkt, entfaltet die DSGVO jedoch nach Art. 2 Abs. 1 DSGVO noch keine Wirkung. Die Anwendbarkeit der DSGVO setzt vielmehr eine tats�chliche Verarbeitung personenbezogener Daten voraus (vgl. Ehmann/Selmayr/Baumgartner, 2. Aufl. 2018, DSGVO Art. 25 Rn. 7). Ein Anspruch aus Art. 82 DSGVO setzt daher dar�ber hinaus voraus, dass weitere Verst��e gegen die DSGVO vorliegen (vgl. Gola/Heckmann/Nolte/Werkmeister, 3. Aufl. 2022, DSGVO Art. 25 Rn. 3, 34; LG Paderborn, Urteil vom 19. Dezember 2022 – 3 O 99/22 –, Rn. 120, juris).

101 6. Die Klagepartei ist der ihr obliegenden Darlegungslast bez�glich eines Schadens hinsichtlich etwaiger Verst��e gegen Art. 33 DSGVO und Art. 34 DSGVO nicht nachgekommen. Deshalb kann es vorliegend offenbleiben, ob ein Versto� gegen Art. 33 DSGVO und Art. 34 DSGVO vorliegt und dieser vom Anwendungsbereich des Art. 82 DSGVO umfasst ist. Hinsichtlich etwaiger Verst��e gegen Art. 33, 34 DSGVO schlie�t sich das Gericht den Ausf�hrungen des Oberlandesgericht Hamm an (OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 147 – 149, juris):

„Ob die Beklagte ihrer Darlegungslast mit Blick auf m�gliche weitere Verst��e gegen die DSGVO zeitlich nach dem Scraping-Vorfall und der Ver�ffentlichung im Darknet nachgekommen ist, kann dahinstehen; denn hinsichtlich der seitens der Kl�gerin ger�gten Verst��e gegen die Meldepflicht nach Art. 33 DSGVO, die Benachrichtigungspflicht nach Art. 34 DSGVO […] hat die Kl�gerin keinen konkreten auf die fehlenden Informationen zur�ckzuf�hrenden Schaden dargelegt noch ist ein solcher sonst ersichtlich. Dass das Scrapen aufgrund einer rechtzeitigen Information noch konkret bez�glich der Kl�gerin h�tte verhindert oder die Ver�ffentlichung des Leak-Datensatzes mitsamt den Daten der Kl�gerin h�tte verhindert werden k�nnen, ist schon nicht ersichtlich, h�tte aber auch allenfalls zum Entfallen des aus Sicht der Kl�gerin erst auf Grund der Ver�ffentlichung entstandenen Schadens und gerade nicht zu einer Vertiefung oder Begr�ndung desselben gef�hrt.“

102 7. Die Klagepartei hat einen kausalen Schaden durch den Kontrollverlust �ber ihre gescrapten personenbezogenen Daten erlitten. F�r einen weitergehenden Schaden bleibt die Kl�gerseite darlegungs- und beweisf�llig.

103 a. Die Darlegungs- und Beweislast f�r einen kausalen Schaden nach Art. 82 DSGVO tr�gt nach allgemeinen zivilprozessualen Grunds�tzen der Anspruchsberechtigte. Der EuGH f�hrt zur Darlegungs- und Beweislast aus, „dass eine Person, die von einem Versto� gegen die DSGVO betroffen ist, der f�r sie negative Folgen gehabt hat, [nicht] vom Nachweis befreit w�re, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 dieser Verordnung darstellen“ (EuGH Urt. v. 4.5.2023 – C-300/21, GRUR-RS 2023, 8972 Rn. 50). Daraus folgt, dass ein Betroffener eines Versto�es gegen die DSGVO einen immateriellen Schaden darlegen und beweisen muss. Eine Beweislastumkehr ist in Art. 82 Abs. 3 DSGVO dem Wortlaut nach ausdr�cklich nur bez�glich des Tatbestandsmerkmals des Verschuldens vorgesehen. b.

104 Der Klagepartei ist ein kausaler Schaden durch das Scrapen ihrer personenbezogenen Daten durch unbefugte Dritte und den damit einhergehenden Kontrollverlust �ber ihre personenbezogenen Daten entstanden. Den Kontrollverlust hat die Kl�gerseite hinreichend substantiiert dargelegt. aa.

105 Der Schadensbegriff des Art. 82 DSGVO ist unionsrechtlich auszulegen und setzt nach dem Wortlaut der Norm, der Systematik und Telos des Art. 82 Abs. 2, Abs. 1 DSGVO sowie der Art. 77 ff. DSGVO und den Erw�gungsgr�nden 75, 85 und 146 DSGVO einen �ber den schlichten Versto� gegen die DSGVO hinausgehenden Schaden voraus (so EuGH Urt. v. 4.5.2023 – C-300/21, GRUR-RS 2023, 8972 Rn. 29-42; GA Campos S�nchez-Bordona Schlussantr. v. 6.10.2022 – C-300/21, GRUR-RS 2022, 26562 Rn. 117; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 152, juris). Ein Schaden i.S.d. Art. 82 DSGVO kann nach dem Wortlaut materieller oder immaterieller Art sein. Ein immaterieller Schaden liegt dabei jedoch noch nicht in der blo�en Verletzung einer Norm der DSGVO (EuGH, Urteil vom 4. Mai 2023 – C-300/21; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23).

106 Ein solcher Schaden setzt nach Wortlaut, Erw�gungsgr�nden 10, 146 DSGVO und dem Telos nicht voraus, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Erheblichkeit erreicht hat (so EuGH Urt. v. 4.5.2023 – C-300/21, GRUR-RS 2023, 8972 Rn. 44-51; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 154, juris).

107 Hierbei ist zu beachten, dass nach Erw�gungsgrund 146 der DSGVO der Schadensbegriff weit und den Zielen der DSGVO entsprechend ausgelegt werden soll. So wird aus Erw�gungsgrund 7 der DSGVO das Ziel ersichtlich, dass nat�rliche Personen die Kontrolle �ber ihre eigenen Daten besitzen sollten. Insoweit soll der Schadensersatzanspruch auch abschreckende Wirkung entfalten und eine wirksame Sanktionierung sein (OLG Frankfurt a. M. Urteil vom 14.4.2022 – 3 U 21/20 = NJW-RR 2022, 1608 Rn. 50; LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 114, juris; K�hling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 65). Der Zweck der Abschreckung kann nur durch die Ausurteilung ausreichend hoher immaterieller Schadensersatzanspr�che erf�llt werden (K�hling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 18). Einen Schaden erst dann anzunehmen, wenn es etwa zu einer mit einer unrechtm��igen Zug�nglichmachung von Daten liegenden (�ffentlichen) „Blo�stellung“, einem Identit�tsdiebstahl, einer Weitergabe intimer Informationen oder einer anderen „ernsthaften Beeintr�chtigung f�r das Selbstbild oder Ansehen einer Person“ kommt, und ein „besonderes immaterielles Interesse“ zu verlangen, das �ber den allein durch die Verletzung an sich hervorgerufenen �rger oder sonstige Gef�hlssch�den hinausgeht, verkennt den autonom und nach Erw�gungsgrund 146 ausdr�cklich weit auszulegenden Begriff des Schadens (K�hling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 18a).

108 So sieht Erw�gungsgrund 75 der DSGVO, dass eine Verarbeitung „zu einem physischen, materiellen oder immateriellen Schaden f�hren k�nnte, insbesondere […] wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren.“

109 Mit dem Wort „insbesondere“ bringt der europ�ische Gesetzgeber zum Ausdruck, dass er eine nicht abschlie�ende Aufz�hlung von f�r ihn m�glich gehaltenen Schadensereignissen im Erw�gungsgrund 75 getroffen hat und bereits in einem Kontrollverlust den eingetretenen Schaden sieht (�hnlich: K�hling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 18b). Dies wird an den anderen aufgez�hlten Fallgruppen deutlich. So sind eine Diskriminierung, ein Identit�tsdiebstahl oder -betrug, ein finanzieller Verlust, eine Rufsch�digung, ein Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, die unbefugten Aufhebung der Pseudonymisierung oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile bereits ein materieller oder immaterieller Schaden. Es erschlie�t sich sodann nicht, warum sich bei einem Kontrollverlust ein (immaterieller) Schaden erst bei der betroffenen Person in Form einer emotionalen Betroffenheit zeigen muss.

110 Ebenso ist Erw�gungsgrund 85 der DSGVO zu beachten, der einen Kontrollverlust als Schaden bezeichnet. Danach kann eine Verletzung des Schutzes personenbezogener Daten „einen physischen, materiellen oder immateriellen Schaden f�r nat�rliche Personen nach sich ziehen, wie etwa Verlust der Kontrolle �ber ihre personenbezogenen Daten oder Einschr�nkung ihrer Rechte […]“ nach sich ziehen (Vgl. hierzu Gola/Heckmann/Gola, 3. Aufl. 2022, DS-GVO Art. 4 Rn. 112).

111 Die Kontrolle �ber die eigenen Daten findet im deutschen Zivilrecht Ausdruck �ber das Recht auf informationelle Selbstbestimmung (verankert in Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG), welches als Auspr�gung des allgemeinen Pers�nlichkeitsrechts gew�hrleistet wird (Gr�neberg, BGB, 82. Auflage 2023, � 823, Rn. 132; BeckOGK/Specht-Riemenschneider, 1.8.2023, BGB � 823 Rn. 1373 ff.). Das im Zivilrecht deliktrechtlich �ber � 823 BGB und im Datenschutzrecht durch Art. 82 DSGVO gesch�tzte Recht auf informationelle Selbstbestimmung enth�lt die „Befugnis des Einzelnen, grunds�tzlich selbst zu entscheiden, wann und innerhalb welcher Grenzen pers�nliche Lebenssachverhalte offenbart werden“ (vgl. hierzu im Einzelnen BeckOGK/Specht-Riemenschneider, 1.2.2023, BGB � 823 Rn. 1365-1383).

112 Eine Kontrolle �ber die gescrapten personenbezogenen Daten besitzt die Klagepartei nach �berzeugung des Gerichts nicht mehr, da diese zumindest �ffentlich im Internet angeboten werden. Der Kontrollverlust tritt mit dem Abscrapen der personenbezogenen Daten durch unbefugte Dritte ein und nicht mit der unrechtm��igen Verarbeitung und den weiteren Verst��en gegen die DSGVO. Die personenbezogenen Daten der Klagepartei, insbesondere die Telefonnummer, werden nicht mehr ausschlie�lich bei der Beklagten verarbeitet, sondern sind einem unbegrenzten Personenkreis zug�nglich. Erst durch die Verst��e gegen die DSGVO hat es die Beklagte erm�glicht, dass unbefugte Dritte das Contact-Import-Tool f�r einen Datenabgriff ausnutzen konnten. Die personenbezogenen Daten der Klagepartei befinden sich �ffentlich auf der Webseite raidforums.com und werden dort zur Weitergabe und Verkauf angeboten. Dadurch hat die Klagepartei keine Kontrolle mehr, wer, wann und wie mit den gescrapten personenbezogenen Daten der Klagepartei umgeht. In dieser Ungewissheit, was mit den eigenen Daten passiert, liegt der Schaden der Klagepartei. Der (immaterielle) Schaden realisiert sich vorliegend nicht durch die Datenschutzverst��e als solche realisiert, sondern erst durch das Abgreifen der Daten, das weitere Vorgehen der Scraper und der Ver�ffentlichung der personenbezogenen Daten der Klagepartei (�hnlich LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 106 – 107, juris). Folglich findet der Schaden seine Ursache in den DSGVO-Verst��en durch die Beklagte, begr�ndet sich aber erst durch den objektiven Kontrollverlust.

113 Eine weitergehende subjektive Beeintr�chtigung in Form von starkem Unwohlsein �ber den Kontrollverlust ist nach �berzeugung des Gerichts nicht erforderlich. Vielmehr kann sich der eingetretene immaterielle Schaden durch eine weitergehende subjektive Beeintr�chtigung der Klagepartei intensivieren.

114 Eine weitergehende subjektive Beeintr�chtigung kann das Gericht vorliegend nicht feststellen. Die Klagepartei erschien nach ordnungsgem��er Ladung nicht im Termin zur m�ndlichen Verhandlung, sodass eine informatorische Anh�rung unterblieb.

115 Der Vortrag in der Klageschrift zum gro�en Unwohlsein und zur gro�en Sorge �ber m�glichen Missbrauch der betreffenden Daten ist f�r eine weitere Beeintr�chtigung zu pauschal. Insbesondere wird diese Formulierung in zahlreichen Schrifts�tzen der Prozessbevollm�chtigten der Klagepartei verwendet. Eine Konkretisierung und objektive Nachvollziehbarkeit dieses Unwohlseins in Form einer Verhaltens�nderung der Klagepartei l�sst sich so vorliegend nicht feststellen. bb.

116 Der Schaden ist vorliegend auch kausal auf die Datenschutzverletzungen der Beklagten zur�ckzuf�hren.

117 Der Verantwortliche haftet lediglich f�r kausal durch die rechtswidrige Verarbeitung verursachte Sch�den (K�hling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 41; LG Paderborn Urteil vom 19.12.2022 – 3 O 99/22, GRUR-RS 2022, 39349 Rn. 128). Eine Miturs�chlichkeit des Versto�es gegen die DSGVO gen�gt (OLG Stuttgart ZD 2021, 375; LG K�ln ZD 2022, 52 Rn. 21) .

118 M�glich wurde das Scraping durch die rechtswidrige Verarbeitung der Telefonnummer der Beklagten mittels des CIT ohne Einwilligung der Klagepartei. Denn h�tte die Klagepartei erst eine Einwilligung f�r die Verarbeitung der Telefonnummer abgeben m�ssen, w�re diese grunds�tzlich ohne Einwilligung nicht �ffentlich �ber das CIT suchbar gewesen und die Klagepartei h�tte keinen Kontrollverlust erlitten. Gleiches gilt f�r die mangelnde hinreichende und transparente Information durch die Beklagte. Denn h�tte die Klagepartei von der �ffentlichen Suchbarkeit durch andere und die Funktionsweise des CIT hinreichende Informationen zur Verf�gung gehabt, h�tte sie ihre Einstellungen auf dieser Grundlage �ndern k�nnen oder hinreichend bewusst �ffentlich lassen k�nnen. Im Sinne einer conditio-sine-qua-non w�re der Kontrollverlust ebenfalls nicht eingetreten, wenn die Beklagte hinreichende technische und organisatorische Ma�nahmen getroffen h�tte. Es w�re den Scraper technisch nicht m�glich gewesen, den Datensatz der Klagepartei abzugreifen. c.

119 Es liegt kein kausaler Schaden vor, soweit die Klagepartei vortr�gt, sie erhalte regelm��ig Spam-Nachrichten, Spam-Mails und Bel�stigungsanrufe.

120 Grunds�tzlich k�nnen in einem Datenverlust durch das Scrapen und Ver�ffentlichen von personenbezogenen Daten (immaterielle) Sch�den in Form von Spam oder Bel�stigungsanrufe eintreten. Ob solche Sch�den vorliegend substantiiert durch die Kl�gerseite vorgetragen sind, kann offenbleiben, da jedenfalls keine Kausalit�t zwischen den Verst��en der Beklagten gegen die DSGVO und den Spam-Nachrichten und Bel�stigungsanrufen hinreichend darlegt ist.

121 Die Klagepartei tr�gt die Darlegungs- und Beweislast f�r die Kausalit�t nach allgemeinen zivilprozessualen Grunds�tzen (Vgl. C.I.7.a). F�r die Frage der haftungsbegr�ndenden Kausalit�t gilt � 286 ZPO. � 286 ZPO erfordert keine absolute oder unumst��liche Gewissheit und auch keine an Sicherheit grenzende Wahrscheinlichkeit, sondern nur einen f�r das praktische Leben brauchbaren Grad von Gewissheit, der Zweifeln Schweigen gebietet (BGH Urt. v. 23.6.2020 – VI ZR 435/19, VersR 2021, 1497 Rn. 13; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 196, juris).

122 Die Kl�gerseite tr�gt nicht hinreichend vor, dass der Scraping-Vorfall urs�chlich f�r die Spam-Nachrichten, -SMS und Bel�stigungsanrufe ist. Es steht nicht fest, dass die Bel�stigungsanrufe und -SMS ihre Ursache im Scraping-Vorfall finden. Es besteht zwar die M�glichkeit, dass die personenbezogenen Daten f�r die Bel�stigungsanrufe und -SMS verwendet werden. Jedoch ist ein konkreter Ursachenzusammenhang nicht hinreichend von der Klagepartei dargelegt.

123 Dem Gericht ist es aus eigener Wahrnehmung bekannt, dass auch Personen, die keinen F.-Account haben, Spamnachrichten und -anrufe erhalten. Es kann vorliegend viele Ursachen f�r solche Bel�stigungen geben, die jedoch nicht zwingend aus dem Scraping-Vorfall resultieren. Es besteht die M�glichkeit, dass die Klagepartei ihre personenbezogenen Daten an anderer Stelle weitergegeben hat und diese von dort sodann f�r die Spam-Nachrichten und -anrufe genutzt werden oder an unbefugte Dritte gelangt sind. Allein aus einer Zunahme der Spamnachrichten und Bel�stigungsanrufe nach dem Jahr 2019 l�sst sich nicht die Schlussfolgerung ziehen, dass die Absender der Nachrichten oder die Anrufer die entsprechenden personenbezogenen Daten der Klagepartei aus dem gescrapten Datensatz haben. Aufgrund der Alternativm�glichkeit der Ursachen ist keine hinreichende Kausalit�t gegeben (Vgl. auch OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 200, juris; LG M�nster Urt. v. 7.3.2023 – 02 O 54/22, GRUR-RS 2023, 4183 Rn. 57; LG Aachen Urt. v. 10.2.2023 – 8 O 177/22, GRUR-RS 2023, 2621 Rn. 80; LG Itzehoe Urt. v. 9.3.2023 – 10 O 87/22, GRUR-RS 2023, 3825 Rn. 75; LG Regensburg Endurteil v. 11.5.2023 – 72 O 1413/22, GRUR-RS 2023, 13826 Rn. 68).

124 8. Die Beklagte kann sich vorliegend auch nicht gem�� Art. 82 Abs. 3 DSGVO exkulpieren.

125 Nach Art. 82 Abs. 3 DSGVO wird die Beklagte von der Haftung nur frei, wenn sie nachweist, dass sie in keinerlei Hinsicht f�r den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Dadurch wird die Verantwortlichkeit der Beklagten f�r den Schaden widerleglich vermutet. Zum Begriff der Verantwortlichkeit f�hrt das Landgericht Paderborn (Urteil vom 19. Dezember 2022 – 3 O 99/22 –, Rn. 125, juris) zutreffend aus:

„Zwar ist der Begriff der Verantwortlichkeit im Sinne des � 82 Abs. 3 DSGVO nicht n�her definiert. So wird dieser vorwiegend mit dem Begriff des Verschuldens gleichgesetzt (vgl. OLG Stuttgart 31.3.2021 – 9 U 34/21; Gola/Heckmann/Gola/Piltz, 3. Aufl. 2022, DS-GVO Art. 82 Rn. 24; K�hling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 49). Teilweise wird dies hingegen nicht angenommen mit der Folge, dass Art. 82 DSGVO m�glicherweise als Gef�hrdungshaftungstatbestand zu begreifen sei, sodass dem Verantwortlichen oder Auftragsverarbeiter unabh�ngig von jedwedem Verschulden lediglich ganz ungew�hnliche Kausalverl�ufe, die jeder Lebenserfahrung widersprechen, sowie F�lle h�herer Gewalt und weit �berwiegenden eigenen Fehlverhaltens der betroffenen Person nicht anzulasten seien (Sydow/Marsch DS-GVO/BDSG/Kre�e, 3. Aufl. 2022, DS GVO Art. 82 Rn. 18).“

126 Vorliegend kommt es hierauf jedoch nicht entscheidend an, da die Beklagte ein fehlendes Verschulden ihrerseits nicht nachweisen kann und kein Fall eines ungew�hnlichen Kausalverlaufs, noch h�herer Gewalt oder weit �berwiegenden eigenen Fehlverhaltens der Klagepartei gegeben ist. Die Beklagte hat vorliegend mehrere ihr obliegenden Pflichten aus DSGVO verletzt. Dadurch kann sich die Beklagte von fahrl�ssigem Handeln nicht entlasten. Vielmehr w�re bei normgem��en Verhalten der Beklagten ein Abscrapen der personenbezogenen Daten der Klagepartei ihres F.-Profil nicht oder nur erschwert m�glich gewesen und kein Kontrollverlust der Klagepartei �ber ihre personenbezogenen Daten entstanden.

127 9. Die H�he des Schadens beziffert das Gericht mit 250,00 €.

128 Dabei h�lt es diesen Betrag f�r angemessen und ausreichend, um den immateriellen Schaden auszugleichen. Gleichzeitig tr�gt es der Abschreckungswirkung des Schadensersatzes nach Art. 82 DSGVO und den besonderen Umst�nden des Falles Rechnung. Dem Gericht steht insoweit ein Ermessen zu (� 287 ZPO).

129 Bei der Bemessung der H�he des Schadensersatzes kann � 253 BGB herangezogen werden, sofern die unionsrechtlichen Grunds�tze der �quivalenz und Effektivit�t beachtet werden (EuGH Urteil vom 04.05.2023 – C-300/21 = GRUR-RS 2023, 8972 Rn. 59; BeckOK DatenschutzR/Quaas, 44. Ed. 1.5.2023, DS-GVO Art. 82 Rn. 31). Dabei k�nnen die Kriterien des Art. 83 Abs. 2 DSGVO herangezogen werden. Dazu z�hlen die Art, Schwere und Dauer des Versto�es unter Ber�cksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung, der Grad des Verschuldens, Ma�nahmen zur Minderung des entstandenen Schadens, fr�here Verst��e sowie die Kategorien der betroffenen personenbezogenen Daten, die betroffenen Kategorien personenbezogener Daten zur Ermittlung (BeckOK DatenschutzR/Quaas, 44. Ed. 1.5.2023, DS-GVO Art. 82 Rn. 31; so auch LG Essen, Urteil vom 23.9.2021 – 6 O 190/21 = ZD 2022, 50 (Rn. 48); LG L�beck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 115, juris).

130 Vorliegend war einerseits zu ber�cksichtigen, dass die Beklagte mehrfach gegen die DSGVO versto�en hat und die Ver�ffentlichung der personenbezogenen Daten der Klagepartei erst aufgrund dieser Verst��e m�glich war. Zudem bel�uft sich der weltweite Jahresumsatz der Beklagten im Jahr 2021 auf 118 Milliarden €.

131 Andererseits ist in die Bewertung der H�he des Schadensersatzanspruches einzuflie�en, dass die Beklagte im Nachgang weitere Sicherheitsma�nahmen gegen Scraping getroffen hat, keine besonders sensiblen Daten i.S.d. Art. 9 Abs. 1 DSGVO gescrapt wurden und es vorliegend zu keiner Verm�gensgef�hrdung oder einem Verm�gensschaden gekommen ist. Des Weiteren ist zu ber�cksichtigen, dass die Beklagte die Daten nicht selbst ver�ffentlicht hat, sondern dies durch unbefugte Dritte geschehen ist und sie nur eine Miturs�chlichkeit trifft. Au�erdem hat die Klagepartei im Anspruchsschreiben an die Beklagte selbst einen Betrag von 500 € als ausreichende Kompensation f�r die Datenschutzverst��e und die Ver�ffentlichung angesehen.

132 Da nur der Kontrollverlust als Schaden vorliegend gegeben und keine weitere subjektive Beeintr�chtigung durch die Klagepartei dargelegt ist, reduziert das Gericht diesen Betrag unter Ber�cksichtigung der Gesamtumst�nde um 50%. Das Gericht h�lt wegen der ausgef�hrten Erw�gungen einen Betrag von 250,00 € zum Ausgleich des eingetretenen immateriellen Schadens f�r angemessen.

133 Auf eine vergleichbare Entscheidung des OLG Frankfurt vom 14.04.2022, Az. 3 U 21/20 zum Verlust sensibler Daten hinsichtlich der Schadensh�he kann verwiesen werden. Das OLG Frankfurt sah einen angemessenen Schadensersatz in H�he von 500 € f�r eine Beeintr�chtigung wegen eines versehentlichen Versendens von Kontodaten einer Bank als angemessen an (OLG Frankfurt am Main, Urteil vom 14.04.2022, 3 U 21/20 = ZD 2022, 621). Da es sich vorliegend nicht um �hnlich sensible personenbezogene Daten (Bankdaten), sondern um die Telefonnummer der Klagepartei handelt, ist ein Abschlag von 50% zu 500 € unter Ber�cksichtigung des Einzelfalls angemessen. Insoweit die Kl�gerseite einwendet, andere Gerichte h�tten f�r weniger gravierende Verst��e 5000 € (ArbG D�sseldorf Urteil vom 06.02.2020 – 3 SaGa 7 �D/19 = NZA-RR 2020, 409 Rn. 85) oder 1500 € (ArbG Neum�nster Urteil vom 11.8.2020 – 1 Ca 247 c/20 = ZD 2021, 171 Rn. 37) zugesprochen, ist dies auf den vorliegenden Fall nicht �bertragbar. So wurde wegen mangelhafter Auskunft in den benannten Verfahren ein Schaden festgestellt und nicht wegen eines Kontrollverlusts. �berdies ging es im dortigen Sachverhalt jeweils um ein nicht erf�lltes Auskunftsverlangen sowie um ein Verfahren in der Zust�ndigkeit der Arbeitsgerichtsbarkeit, welche f�r das vorliegend entscheidende Gericht nicht bindend ist.

134 II. Der Klageantrag zu 2) ist begr�ndet. Die Klagepartei hat einen Anspruch auf Feststellung k�nftiger materieller Sch�den aus den konkret vorliegenden Verletzungen der DSGVO durch die Beklagte.

135 Nach dem BGH ist ein Feststellungsantrag begr�ndet, wenn die sachlichen und rechtlichen Voraussetzungen eines Schadensersatzanspruchs vorliegen, also ein haftungsrechtlich relevanter Eingriff gegeben ist, der zu m�glichen k�nftigen Sch�den f�hren kann. Von einer Wahrscheinlichkeit des Schadenseintritts h�ngt die Entstehung des Anspruchs nicht ab. Da der Feststellungsausspruch nichts dar�ber aussagt, ob ein k�nftiger Schaden eintreten wird, ist es unbedenklich, die Ersatzpflicht des Sch�digers f�r den Fall, dass der Schaden eintreten sollte, bereits jetzt festzustellen (BGH, Urteil vom 17. Oktober 2017 – VI ZR 423/16 –, BGHZ 216, 149-174, Rn. 49; �hnlich M�KoZPO/Becker-Eberhard, 5. Aufl., � 256 Rn. 32).

136 Dies ist auf den vorliegenden Fall �bertragbar. Da jedenfalls die Voraussetzungen eines immateriellen Schadensersatzanspruch der Klagepartei bestehen (Vgl. C.I.), ist der Klageantrag zu 2) nach den Vorgaben des BGH begr�ndet. Es wird vorliegend nur festgestellt, dass die Verletzungen der DSGVO durch die Beklagte bei einem potenziell k�nftigen und festzustellenden Schaden Grundlage sind. Dies ist nach dem BGH auch unbedenklich, da der Feststellungsausspruch keine Aussage dar�ber trifft, ob ein m�glicher zuk�nftiger Schaden auch tats�chlich gegeben ist.

137 III. Der Klageanspruch zu 3b) ist unbegr�ndet.

138 Es kann vorliegend dahinstehen, ob ein Unterlassungsanspruch im Anwendungsbereich der DSGVO in Betracht kommt und auf welche Rechtsgrundlage dieser zu st�tzen w�re (Art. 17, Art. 21 DSGVO; �� 823, 1004 BGB), da ein Anspruch auf Unterlassung eine Datenverarbeitung ohne Erf�llung der Informationspflichten hinsichtlich der Funktionsweise des CIT und der Verwendung von Telefonnummern mangels Wiederholungsgefahr nicht gegeben ist.

139 Die Beklagte hat vorliegend gegen die DSGVO versto�en, indem sie nicht hinreichend und transparent �ber die Verarbeitung der personenbezogenen Daten der Klagepartei informiert und die Daten der Klagepartei unrechtm��ig verarbeitet hat (Vgl. C.I.3.).

140 Eine Wiederholungsgefahr durch die Beklagte ist vorliegend jedoch nicht gegeben.

141 Die mangelnde hinreichende und transparente Information der Beklagten l�st f�r die Zukunft keine nachteiligen Folgen mehr f�r die Klagepartei aus. Die Kl�gerseite ist im Rahmen des Rechtsstreits hinreichend �ber die Datenverarbeitung durch die Beklagte aufgekl�rt worden (vgl. LG Paderborn, Urteil vom 19.12.2022 – 3 O 99/22; LG Ulm, Urteil vom 16.02.2023 – 4 86/22). Die Kenntnis von dem die Klagepartei eine weitere Verarbeitung der Telefonnummer im Zusammenhang mit dem CIT abh�ngig macht, hat sie bereits erlangt. Zudem ist es der Klagepartei mittlerweile zumindest m�glich, die „Suchbarkeits-Einstellung“ entsprechend des gew�nschten Datenschutzniveaus anzupassen.

142 IV. Der Klageantrag zu 4) ist ebenfalls unbegr�ndet. Der Klagepartei steht kein Anspruch gem�� Art. 15 Abs. 1 DSGVO gegen�ber der Beklagten zu, da die Beklagte den Auskunftsanspruch, soweit er bestand, bereits gem�� � 362 Abs. 1 BGB erf�llt hat.

143 1. Grunds�tzlich besteht nach Art. 15 Abs. 1 DSGVO ein Anspruch auf Auskunft der betroffenen Person gegen den Verantwortlichen in dem in Art. 15 Abs. 1 lit. a) – lit. h) bezeichneten Umfang, wenn der Verantwortliche personenbezogene Daten verarbeitet (vgl. BGH, Urteil vom 15.06.2021 – VI ZR 576/19 = NJW 2021, 1381).

144 Der Anspruch erstreckt sich jedoch nicht auf eine Verarbeitung personenbezogener Daten durch Dritte. Soweit durch den Scraping-Vorgang personenbezogene Daten von unbefugten Dritten verarbeitet wurden, ist jedenfalls nicht die Beklagte auskunftspflichtig (LG Aachen Urt. v. 10.2.2023 – 8 O 177/22, GRUR-RS 2023, 2621 Rn. 96-98; LG Essen Urt. v. 10.11.2022 – 6 O 111/22, GRUR-RS 2022, 34818 Rn. 101; LG Regensburg Endurteil v. 11.5.2023 – 72 O 1413/22, GRUR-RS 2023, 13826 Rn. 82).

145 Hinsichtlich der Auskunft �ber die Empf�nger, die personenbezogene Daten durch den Scraping-Vorfall erlangen konnten, stellt das Abgreifen der personenbezogenen Daten keine Verarbeitung durch die Beklagte als Verantwortliche dar. Vielmehr sind die Personen, die die Daten scrapen, selbst Verantwortliche i.S.d. Art. 4 Nr. 7 DSGVO, da die Beklagte bei diesem Datenverarbeitungsvorgang eben nicht �ber die Zwecke und Mittel der Verarbeitung entscheidet. So sieht es vorliegend auch die Klagepartei in der Replik, die Scraper als „selbstverst�ndlich ebenfalls datenschutzrechtlich Verantwortliche“ bezeichnet.

146 2. Der Anspruch ist, soweit er bestand, wegen Erf�llung nach � 362 Abs. 1 BGB erloschen.

147 Erf�llt im Sinne des � 362 Abs. 1 BGB ist ein Auskunftsanspruch grunds�tzlich dann, wenn die Angaben nach dem erkl�rten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erf�llung nicht entgegen. Der Verdacht, dass die erteilte Auskunft unvollst�ndig oder unrichtig ist, kann einen Anspruch auf Auskunft in weitergehendem Umfang nicht begr�nden. Wesentlich f�r die Erf�llung des Auskunftsanspruchs ist daher die – gegebenenfalls konkludente – Erkl�rung des Auskunftsschuldners, dass die Auskunft vollst�ndig ist (BGH, Urteil vom 15. Juni 2021 – VI ZR 576/19, Rn. 19 m.w.N.) �berdies muss der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, dem Betroffenen zur Verf�gung stellen (vgl. EuGH Urt. v. 22.6.2023 – C-579/21, BeckRS 2023, 14515 Rn. 37 ff; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 246, juris).

148 Die Beklagte hat unstreitig personenbezogene Daten der Klagepartei verarbeitet. Die Beklagte hat durch das au�ergerichtliche Schreiben (Anlage B 16) hinreichend Auskunft �ber die Verarbeitung der personenbezogenen Daten von Nutzer-ID, Vorname, Nachname, Land, Geschlecht und der Telefonnummer der Klagepartei gegeben. Die konkreten Rohdaten in Form von Logdaten der Klagepartei oder eine Kopie hiervon hat die Beklagte nach ihren Angaben nicht mehr.

149 Soweit die Klagepartei ein neues Auskunftsbegehren mit dem Klageantrag zu 4) an die Beklagte stellt, hat die Beklagte die Kl�gerseite mit der Klageerwiderung und dem Verweis auf das Schreiben der Beklagten (Anlage B16) bereits auf ihre Selbstbedienungstools („Access Your Information“ und „Download Your Information“) verwiesen. Dort kann die Kl�gerseite jederzeit die von der Beklagten verarbeitenden Daten abrufen und einsehen. V. Der Kl�gerseite steht ein Anspruch auf Ersatz vorgerichtlicher Rechtsanwaltsgeb�hren in H�he von 159,94 € zu.

150 Der Ersatz vorgerichtlicher Rechtsanwaltskosten ist von Art. 82 Abs. 1 DSGVO umfasst. Kostenerstattung aufgrund des materiell-rechtlichen Kostenerstattungsanspruchs kann der Gesch�digte vom Sch�diger dagegen grunds�tzlich nur insoweit verlangen, als seine Forderung diesem gegen�ber auch objektiv berechtigt ist (BGH Urt. v. 5.12.2017 – VI ZR 24/17, BeckRS 2017, 138416 Rn. 6 m. w. N.). Zur effektiven Durchsetzung der kl�gerischen Anspr�che war aufgrund der Schwierigkeit der Sach- und Rechtslage die Hinzuziehung eines Rechtsbeistandes erforderlich und notwendig. Ausgehend von einem Wert des berechtigten Verlangens der Kl�gerseite von 750 € (Klageantrag zu 1) 250 €; Klageantrag zu 2) 500 €) zum Zeitpunkt der au�ergerichtlichen T�tigkeit ergibt dies Kosten in H�he von 159,94 € (1,3 Gesch�ftsgeb�hr Nr. 2300, 1008 VV RVG: 114,40 € Auslagen Nr. 7001 u. 7002 VV RVG: 20,00 €; 19% MwSt: 25,54 €).

151 VI. Der Zinsanspruch folgt aus �� 288 Abs. 1, 291 BGB. Ein internationaler R�ckschein gelangte nicht zur Akte. Die Klageschrift wurde laut Schriftsatz des Beklagtenvertreters vom 26.07.2022 am 22.06.2022 zugestellt. Ab dem Folgetag sind daher Rechtsh�ngigkeitszinsen zu gew�hren.

152 VII. Die Kostenentscheidung beruht auf � 92 Abs. 1 S. 1 ZPO. Die Entscheidung zur vorl�ufigen Vollstreckbarkeit folgt aus � 708 Nr. 11, � 711, � 709 ZPO.

C.

153 Der Streitwert ist auf 3000 € festzusetzen.

154 1. Der Streitwert f�r den Klageantrag zu 1) ist wegen der Angabe eines Mindestbetrags (Vgl. Z�ller, ZPO, 34. Auflage 2022, � 3 Rn. 16.171) auf 1000 € festzusetzen.

155 2. Der Streitwert f�r den Klageantrag zu 2) ist gem�� � 3 ZPO nach Sch�tzung des Kl�gerinteresses auf 500,00 € festzusetzen. Das Gericht sch�tzt dieses Interesse unter Ber�cksichtigung der hinsichtlich etwaiger k�nftiger Sch�den ersichtlich schwierig nachzuweisenden Kausalit�t auf 500,00 € (Vgl. OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23 –, Rn. 279, juris; OLG Frankfurt, Beschluss vom 18. Juli 2023 – 6 W 40/23 –, Rn. 11, juris; OLG Karlsruhe, Beschluss vom 5. Juli 2023 – 10 W 5/23 –, Rn. 15, juris).

156 3. Gem�� � 3 ZPO wird der Wert von dem Gericht nach freiem Ermessen festgesetzt. F�r den nichtverm�gensrechtlichen Anspruch im Klagantrag Ziff. 3 wird der Streitwert gem. � 48 Abs. 2 GKG unter Ber�cksichtigung aller Umst�nde des Einzelfalls, insbesondere des Umfangs und der Bedeutung der Sache und der Verm�gens- und Einkommensverh�ltnisse der Parteien, nach Ermessen bestimmt. Der in 23 Abs. 3 S. 2 RVG genannten Ausgangswert von 5.000,00 € gibt grunds�tzlich nur einen ersten Anhalt, der nach den Umst�nden des Einzelfalls zu erm��igen oder zu erh�hen ist (LG M�nchen, Beschluss vom 09.07.2019 – 2 T 2032/19, BeckRS 2019, 13929; OLG Saarbr�cken, BeckRS 2018, 33509). Bei einer Unterlassungsklage ist dabei insbesondere auch das Unterlassungsinteresse der Klagepartei und damit ihre auf Grund des zu beanstandenden Verhaltens zu besorgende wirtschaftliche Beeintr�chtigung zu ber�cksichtigen (OLG Hamm, NJW-RR 2014, 894, m.w.N.).

157 Zu ber�cksichtigen ist zudem die Stellung der Beteiligten sowie Art, Umfang und Gef�hrlichkeit der zu unterlassenden oder begehrten Handlung (vgl. BGH Beschluss vom 25.4.2023 – VI ZR 111/22, GRUR 2023, 1143 Rn. 13 m. w. N.). Das Gericht ist bei der Streitwertbemessung nicht an die subjektiven Wertangaben in der Klageschrift gebunden (so explizit BGH Beschluss vom 8.10.2012 – X ZR 110/11, GRUR 2012, 1288 Rn. 4; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 276, juris).

158 Ausgehend von diesen Ma�st�ben h�lt das Gericht f�r die Klageantr�ge zu 3) einen Streitwert von jeweils 500,00 € f�r angemessen. Dabei ber�cksichtigt das Gericht insbesondere die wirtschaftliche Beeintr�chtigung, die von dem beanstandeten Verhalten zu besorgen ist und die beseitigt werden soll entsprechend des geltend gemachten Schadensersatzanspruchs in H�he von 1.000,00 € (Klageantrag zu 1). Die Antr�ge zu 3a und 3b st�tzen sich im Wesentlichen auf eine Wiederholungsgefahr bez�glich nur eines Teils der vermeintlich und tats�chlich vorliegenden Datenschutzverst��e der Beklagten. Abgesehen von den unterschiedlichen Zeitr�umen des den Klageantr�gen Ziff. 1 und 2 zugrundeliegenden Geschehens in der Vergangenheit und den von Klageantrag Ziffer 3 erfassten Wiederholungen in der Zukunft sind keine Umst�nde erkennbar, die eine unterschiedliche wirtschaftliche Bewertung rechtfertigen k�nnten. Dass ein zuk�nftiger gleichgelagerter Vorfall eine signifikant gr��ere wirtschaftliche Bedeutung entfalten k�nnte, als das im Verh�ltnis der Parteien mit insgesamt 1.500 Euro f�r die Klageantr�ge 1 und 2 zu bemessende Interesse, hat die Klagepartei nicht aufgezeigt (OLG Karlsruhe, Beschluss vom 5. Juli 2023 – 10 W 5/23 –, Rn. 16, juris). Der Streitwert f�r die Antr�ge zu 3a) und 3b) kann deshalb jedenfalls nicht oberhalb der vermeintlich insgesamt bereits erlittenen Beeintr�chtigung liegen (OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 281, juris).

159 4. Der Streitwert f�r den Klageantrag zu 4) ist auf 500 € festzusetzen.

160 5. Der Klageantrag zu 5) ist als Nebenforderung nicht streitwerterh�hend.

Leitsatz

Der Betreiber einer Social-Media-Plattform verst��t gegen Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 Unterabs. 1 DS-GVO, wenn er nicht den Nachweis erbringt, dass die Verarbeitung der Telefonnummer des Nutzers rechtm��ig war. (Rn. 56 – 58) (redaktioneller Leitsatz)

Leitsatz

Ein Versto� gegen Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 DS-GVO kann Schadensersatzanspr�che nach Art. 82 DS-GVO begr�nden. (Rn. 59) (redaktioneller Leitsatz)

Leitsatz

Die Verarbeitung der Telefonnummer des Nutzers von Facebook im Hinblick auf die Suchbarkeit seines Profils �ber die Telefonnummer durch das Contact-Import-Tool („CIT“) ist nicht zur Vertragserf�llung erforderlich im Sinne des Art. 6 Abs. 1 Unterabs. 1 lit. b DS-GVO.�� (Rn. 61) (redaktioneller Leitsatz)

Leitsatz

Der Betreiber einer Social-Media-Plattform hat kein �berwiegendes berechtigtes Interesse an der �ffentlichen Auffindbarkeit der Telefonnummer seiner Nutzer. Sie m�sste hierf�r auch den Nachweis erbringen. Allein aus dem sozialen Zweckgedanken der Plattform l�sst sich ein solches �berwiegendes berechtigtes Interesse des Plattformbetreibers nicht begr�nden.�(Rn. 67 – 69) (redaktioneller Leitsatz)

Leitsatz

Eine wirksame Einwilligung nach Art. 6 Abs. 1 Unterabs. 1 lit. a, Art. 4 Nr. 11 DS-GVO iVm Erw�gungsgrund 32 S. 3 DS-GVO erfordert ein aktives Verhalten des Einwilligenden. Aus Stillschweigen, bereits angekreuzten K�stchen oder Unt�tigkeit der betroffenen Person folgt keine wirksame Einwilligung. Eine wirksame Einwilligung liegt nicht in der Voreinstellung der Suchbarkeit der Telefonnummer auf "Alle". Die Einwilligung muss im Hinblick auf den Transparenzgrundsatz (Art. 5 Abs. 1 lit. a DS-GVO) abgesondert vom Registrierungsvorgang oder besonders hervorgehoben abgegeben werden.� (Rn. 71 – 75) (redaktioneller Leitsatz)

Leitsatz

Der Betreiber einer Social-Media-Plattform verst��t gegen Art. 32 Abs. 1, Art. 24, Art. 5 Abs. 1 lit. f DS-GVO, wenn er keine hinreichenden technischen und organisatorischen Ma�nahmen zum Schutz der personenbezogenen Daten der Nutzer getroffen hat. F�r die Einhaltung der technischen und organisatorischen Ma�nahmen ist der Plattformbetreiber im Zuge der Rechenschaftspflicht aus Art. 5 Abs. 2 DS-GVO darlegungs- und beweisbelastet. Der Versto� ist vom Schutzbereich des Art. 82 umfasst.�� (Rn. 86 – 87) (redaktioneller Leitsatz)

Leitsatz

Ein ersatzpflichtiger Schaden im Sinne von Art. 82 DS-GVO besteht schon im Kontrollverlust von personenbezogenen Daten. (Rn. 109) (redaktioneller Leitsatz)

titelzeile

Schadensersatzpflicht nach Scraping-Vorfall wegen Erm�glichung des Zugriffs auf Daten �ber Telefonnummer