LG Landshut 5. Zivilkammer — 2024-10-25 — 54 O 2373/23 — Endurteil

Entscheidungsdatum: 2024-10-25

Aktenzeichen: 54 O 2373/23

Dokumenttyp: Endurteil

Tenor

1. Die Klage wird abgewiesen.

2. Die Kosten des Rechtsstreits tr�gt die Kl�gerin.

3. Das Urteil ist gegen Sicherheitsleistung in H�he von 110 % des jeweils zu vollstreckenden Betrages vorl�ufig vollstreckbar.

4. Der Streitwert wird auf 9.500,-- € festgesetzt.

Tatbestand

1 Die Kl�gerin macht Unterlassung- und Schadensersatzanspr�che wegen Datenverarbeitung geltend.

2 Die Beklagte betreibt das soziale Netzwerk ..., �ber welches die Nutzer Fotos und Videos teilen k�nnen. Die Kl�gerin nutzt ... seit dem ... .

3 Die Beklagte ist dar�ber hinaus Urheberin der sogenannten Meta Business Tools, welche die Beklagte f�r Drittunternehmen zum Einbau auf deren Webseiten anbietet.

4 Die Kl�gerin behauptet, die Beklagte w�rde die Meta Business Tools, insbesondere die Conversions API sowie das sogenannte Meta Pixel dazu einsetzen, um �ber die Webseiten Dritter Daten ihrer Nutzer einzusammeln, obwohl eine hinreichende Einwilligung der jeweiligen Nutzer nicht vorhanden sei. Dadurch sei es der Beklagten m�glich, ein detailliertes Nutzungsprofil f�r die jeweiligen ...-Kunden anzulegen. Diese Daten w�rden dar�ber hinaus weltweit weiter versandt, auch in L�nder mit einem niedrigen Datenschutzniveau, wie beispielsweise die Vereinigten Staaten von Amerika. Der Kl�gerin sei dadurch ein Schaden entstanden. Zum Zwecke der Datensammlung nutze die Beklagte das sogenannte Digital Fingerprinting, so dass Nutzungsdaten und personenbezogene Daten der jeweiligen ...-Mitglieder auch dann gesammelt werden k�nnten, wenn sie nicht w�hrend der Nutzung des Internets beim Netzwerk der Beklagten eingeloggt sind. Mittels der sogenannten Conversions API k�nne die Beklagte auch Daten sammeln, wenn eine Zustimmung zur Datennutzung durch den jeweiligen Nutzer nicht vorhanden sei. Durch die Meta Business Tools sei es m�glich, Inkognito-Modi der Webbrowser zu umgehen und den Browser zu erkennen, um weiter detaillierte Daten �ber die Internetnutzer zusammen, auch wenn diese einer Datennutzung nicht zugestimmt haben. Beim sogenannten Meta Pixel k�me es zu einer Datenweitergabe an die Beklagte bereits dann, wenn das Pixel geladen wird, ohne dass es auf die Best�tigung der Datennutzung im sogenannten Cookie Banner ankommen w�rde.

5 Die Kl�gerin beantragt zuletzt,

1. Es wird festgestellt, dass der Nutzungsvertrag der Parteien zur Nutzung des Netzwerks „...“ unter dem Benutzernamen „...“ die Verarbeitung von folgenden personenbezogenen Daten in folgendem Umfang seit dem 25.05.2018 nicht gestattet:

a) auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klagepartei, ob direkt oder in gehashter Form �bertragen, d. h.

• E-Mail der Klagepartei

• Telefonnummer der Klagepartei

• Vorname der Klagepartei

• Nachname der Klagepartei

• Geburtsdatum der Klagepartei

• Geschlecht der Klagepartei

• Ort der Klagepartei

• Externe IDs anderer Werbetreibender (von der .„external_ID” genannt)

• IP-Adresse des Clients

• User-Agent des Clients (d. h. gesammelte Browserinformationen)

• interne Klick-ID der ...

• interne Browser-ID der ...

• Abonnement-ID

• Lead-ID

• Anon_id

sowie folgende personenbezogene Daten der Klagepartei

b) auf Webseiten

• die URLs der Webseiten samt ihrer Unterseiten

• der Zeitpunkt des Besuchs

• der „Referrer“ (die Webseite, �ber die der Benutzer zur aktuellen Webseite gekommen ist),

• die von der Klagepartei auf der Webseite angeklickten Buttons sowie

• weitere von der „Events“ genannte Daten, die die Interaktionen der Klagepartei auf der jeweiligen Webseite dokumentieren

c) in mobilen Dritt-Apps

• der Name der App sowie

• der Zeitpunkt des Besuchs

• die von der Klagepartei in der App angeklickten Buttons sowie

• die von der ... „Events“ genannte Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren.

2. Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps au�erhalb der Netzwerke der Beklagten personenbezogene Daten gem. des Antrags zu 1. zu verarbeiten.

3. Die Beklagte wird verurteilt, die weitere Verarbeitung i. S. d. Art. 4 Nr. 2 DSGVO s�mtlicher unter dem Antrag zu 1 a., b. und c. aufgef�hrten, seit dem 25.05.2018 bereits von der Beklagten verarbeiteten personenbezogenen Daten bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, insbesondere diese nicht an Dritte weiterzugeben, bis die Klagepartei die Beklagte zur L�schung auffordert, sp�testens jedoch sechs Monate nach rechtskr�ftigem Abschuss des Verfahrens.

4. Die Beklagte wird verpflichtet, s�mtliche gem. dem Antrag zu 1 a. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten der Klagepartei auf ihre Aufforderung hin, sp�testens jedoch sechs Monate nach rechtskr�ft igem Abschluss des Verfahrens, vollst�ndig zu l�schen und der Klagepartei die L�schung zu best�tigen sowie s�mtliche gem. dem Antrag zu 1 b. sowie c. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten vollst�ndig zu anonymisieren.

5. Die Beklagte wird verurteilt, an die Klagepartei immateriellen Schadensersatz, dessen H�he in das Ermessen des Gerichts gestellt wird, der aber mindestens 5.000,00 Euro betr�gt, nebst Zinsen i. H. v. f�nf Prozentpunkten �ber dem Basiszinssatz seit dem ..., zu zahlen.

6. Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten i.H.v. 973,66 Euro freizustellen.

6 Die Beklagte beantragt,

die Klage abzuweisen.

7 Die Beklagte behauptet, eine Datenverarbeitung ihrer Nutzer w�rde nur mit entsprechender Einwilligung der Kunden erfolgen. Die Meta Business Tools w�rden allein der Integration der Metaprodukte und der Messung der Effektivit�t von Werbeanzeigen dienen, eine systematische Datensammlung der Internetnutzer sei durch die Beklagte nicht angestrebt. Bei einer Nutzung der Meta Business Tools, insbesondere durch die Drittunternehmen, seien diese auf Grund der Nutzervereinbarung zwischen der Beklagten und den Drittunternehmen verpflichtet, vor Weitergabe von Daten an die Beklagte eine entsprechende Einwilligung einzuholen. Im Vortrag der Kl�gerin sei bereits nicht dargelegt worden, welche Daten �berhaupt �bermittelt worden seien. Eine systematische �berwachung der Nutzer g�be es nicht. Die Weitergabe von Daten ins Ausland beruhe auf den Grundlagen der Datenschutzgrundverordnung (DSGVO) und dem Angemessenheitsbeschluss der Europ�ischen Kommission. Ein Schaden werde durch die Beklagte bestritten. Entgegen der Auffassung der Kl�gerin w�rden die Business Tools den jeweiligen Dritten als Feedback f�r die Effektivit�t ihrer Werbeanzeigen im Netzwerk der Beklagten dienen. Im �brigen sei es den Nutzern der Beklagten m�glich, der Nutzung von sogenannten Offsite-Daten, also bei Drittunternehmen erhobenen Daten, zu widersprechen. In den aktuellen Datenschutzeinstellungen der Beklagten sei eine Nutzung bei Neuanmeldung abgeschaltet, d. h. die Nutzer m�ssten aktiv einer solchen Nutzung zustimmen. Die Beklagte stelle auch ausreichend M�glichkeiten zur Verf�gung, die erhobenen Daten von Dritten zu kontrollieren und gegebenenfalls zu l�schen.

8 Eine Beweisaufnahme hat nicht stattgefunden.

9 Zur Vervollst�ndigung des Tatbestands wird verwiesen auf s�mtliche Schrifts�tze der Parteien nebst Anlagen sowie sonstigen Aktenteile.

Gründe

10 Die Klage ist teilweise unzul�ssig, im �brigen unbegr�ndet.

I.�

11 Der Klageantrag Ziffer 1 (stets bezogen auf die Antr�ge in der Replik vom ...) ist unzul�ssig, weil kein Feststellungsinteresse der Kl�gerin besteht. Es herrscht der Grundsatz des Vorrangs der Leistungsklage, was vorliegend die Unterlassung im Sinne von Ziffer 2 der Klageantr�ge ist. Warum die Kl�gerin vorab einen Feststellungsantrag geltend macht, um in Anschluss daran die entsprechende Unterlassung zu verlangen, erschlie�t sich nicht und wird von ihr auch nicht hinreichend genau begr�ndet.

12 Ob die Klageantr�ge 3 und 4 zul�ssig sind, kann vorliegend dahinstehen, weil sie jedenfalls unbegr�ndet sind.

II.

13 Im �brigen ist die Klage unbegr�ndet, da die Kl�gerin bereits nicht schl�ssig darlegt, dass die Beklagte unzul�ssigerweise und unter Versto� gegen die DSGVO Daten erheben und verarbeiten w�rde.

14 1. Streitgegenstand im Sinne des � 253 Abs. 2 Nr. 2 ZPO ist nach dem ausdr�cklichen Vortrag der Kl�gerin im Schriftsatz vom ..., die Untersagung von Datensammlungen bei Drittunternehmen, insbesondere die Verarbeitung personenbezogener Daten der Kl�gerin �ber die Meta Business Tools durch die Beklagte (Seite 9 des Schriftsatzes, Bl. 398 d.A.). Entgegen der Auffassung der Kl�gerin sieht die Beklagten diesen Streitgegenstand ebenfalls als eng umrissen an, da sich der Vortrag der Beklagten (von der Beklagten als „streitgegenst�ndliche Datenverarbeitung“ bezeichnet) stets mit dem Meta Pixel und den Meta Business Tools befasst. Es ist nicht ersichtlich, dass die Beklagte (abgesehen von einer abweichenden Rechtsauffassung) einen anderen Streitgegenstand definiert bzw. in ihren Schrifts�tzen behandelt.

15 2. Die Unbegr�ndetheit der Klage folgt daraus, dass die Kl�gerin nicht schl�ssig darlegt, dass bei der Beklagten unzul�ssigerweise Daten gesammelt und verarbeitet werden. Denn insbesondere unter Ber�cksichtigung des Vortrags der Beklagten, auf den die Kl�gerin nicht n�her eingeht, sondern schlicht als falsch zur�ckweist, ist eine Schl�ssigkeit nicht gegeben (M�Ko-ZPO/Pr�tting, 6. A., � 284, Rn. 11; Musielak-Voit/Foerste, ZPO, 21. A., � 284, Rn. 1).

16 Es ist bereits kaum m�glich, den Vortrag der Kl�gerin bei einer Schl�ssigkeitspr�fung als wahr zu unterstellen, da er erhebliche Widerspr�che und Inkonsistenzen aufweist, die mit den beigelegten Anlagen nicht in �bereinklang zu bringen sind, insbesondere unter Ber�cksichtigung des Vortrags der Beklagten erhebliche Zweifel an der Richtigkeit des kl�gerischen Vortrags aufwirft und man somit einen solchen, steten Widerspr�chen unterliegenden Vortrag nicht einmal einer sachverst�ndigen Begutachtung zuf�hren kann.

17 3. Im Kern tr�gt die Kl�gerin drei Sachverhalte vor, aus welchen sich eine unerlaubte Datenverarbeitung der Beklagten in Bezug auf ihre Kunden ergeben soll.

18 a) Die Kl�gerin behauptet, die Beklagte w�rde mittels „digital fingerprinting“ Daten der jeweiligen Nutzer zur jeweiligen ... zuordnen k�nnen, dies unabh�ngig davon, ob der jeweilige Kunde bei der Beklagten eingeloggt ist oder nicht. Der Beklagten sei es durch modernste Techniken m�glich, auch ohne das Setzen von Cookies den jeweiligen Nutzer vor dem PC wiederzuerkennen. Als Hinweis darauf legt die Kl�gerin Anlage K7, einen Artikel des ...- Onlinemagazins vor, das auf Forschungsergebnisse einer Universit�t in den USA verweist. Allerdings bleibt es das Geheimnis der Kl�gerin, woraus sich ein R�ckschluss ergeben soll, dass diese Technik von der Beklagten eingesetzt wird. Aus Anlage K7 ergibt sich dies jedenfalls nicht. Die Beklagte hat bestritten, dass sie derartige Techniken einsetzt. Dar�ber hinaus stellt sich die Frage, wenn bereits 2017 eine derartige Technik stark verbreitet w�re, warum die Beklagte sich noch mit „primitiven“ Techniken wie Setzen von Cookies oder Nutzung des Meta-Pixels abgeben sollte, wenn sie auf die in Anlage K7 erw�hnte „Webbrowser Fingerprintingmethode“ zur�ckgreifen k�nnte.

19 b) Eine weitere, von der Kl�gerin beanstandete Datenverarbeitung ist das behauptete Setzen von Cookies f�r die Drittunternehmen, wenn der ...-Nutzer innerhalb des -Netzwerks (beispielsweise bei ...) auf eine Werbeanzeige klickt und die Beklagte dann die Tatsache dieses Werbeklicks an das Drittunternehmen weiterleitet. Hier bleibt bereits offen, was das mit den im Klageantrag genannten Daten, welche von den Drittunternehmen angeblich an ... geschickt werden, zu tun haben soll. Ebenso wenig kann die Kl�gerin nicht darlegen, warum die Beklagte sich nicht an die Datenschutzeinstellungen ihrer Nutzer halten soll. Hier handelt es sich um eine reine Behauptung ins Blaue hinein, die Beklagte w�rde eine unzul�ssige Datenverarbeitung vornehmen, ohne dass erkennbar ist, dass ein Datenstrom von den Drittunternehmen zu Beklagten gerichtet ist. Die Tatsache, dass die Beklagte Daten an die Drittunternehmen schickt (also in die umgekehrte Richtung), um diesen ein Feedback zu geben, dass der ...-Nutzer auf eine Werbeanzeige innerhalb des ...-Netzwerks geklickt hat, rechtfertigt noch nicht die Annahme, die Beklagte w�rde dies in allen F�llen unabh�ngig einer eventuellen Einwilligung vornehmen. Dar�ber hinaus ergibt sich aus dem Vortrag der Kl�gerin insoweit nicht, dass tats�chlich personenbezogene Daten verarbeitet werden. Insbesondere erkl�rt sich nicht, inwieweit die beiden Cookies, welche die Kl�gerin auf Seite 15 der Replik vom ... erw�hnt, tats�chlich mit dem jeweiligen Nutzerkonto in Verbindung gebracht werden k�nnen. Die Kl�gerin bel�sst es bei der blo�en Behauptung, ohne dies n�her darzulegen, das Meta-Pixel w�rde diese beiden Cookies zusammenf�hren und dann Daten an die Beklagte �bersenden. Im Vortrag der Kl�gerin ist ein Zusammenhang mit einer von den Business Tools generierten ID die Rede und einer Klick-ID, die mit dem Klick innerhalb des ...-Netzwerks in Zusammenhang steht. Wie ein Zusammenhang mit dem jeweiligen Nutzer beim Drittunternehmen oder bei der Beklagten hergestellt wird, bleibt offen. Vielmehr erkennt die Webseite des Drittanbieters (!) den Besucher anhand der Cookies wieder, von der Beklagten ist aber nicht die Rede. Dies untermauert vielmehr den Vortrag der Beklagten, die Meta Business Tools dienten der Messung der Effizienz der Werbekampagnen innerhalb des ...-Netzwerks. Denn anhand dieses Cookies kann die Seite des Drittunternehmens nachvollziehen, ob der Besucher der Seite auch schon einmal auf eine Werbeanzeige geklickt hat. Die Identit�t des Besuchers kann aber nicht festgestellt werden, da die Kl�gerin nicht behauptet, ein Zusammenhang mit der ...-ID werde hergestellt. Konkret auf die ...- Seite im Beispiel des Kl�gerin bezogen, wird bei Klick auf eine Anzeige des ... auf dem Computer der Kl�gerin in einem Cookie von ... (!) hinterlegt, dass ein (!) Nutzer dieses Computers mal eine Werbeanzeige vom ... angeklickt hat. Besucht dieser Nutzer (bzw. dessen Computer) nochmals die ...-Homepage, erkennt diese (und nicht die Beklagte) diese Tatsache wieder. Sofern die Kl�gerin dies aber f�r unzul�ssig h�lt, muss sie sich an den jeweiligen Betreiber der Seite wenden, denn mit dieser Form der Datenerhebung und -verarbeitung hat die Beklagte nichts zu tun. Allein die Programmierung und Zurverf�gungstellung der Software, die eine solche Datenverarbeitung erm�glicht, macht die Beklagte nicht zur Verantwortlichen dieser Datenverarbeitung. Das kann auch der Fashion-ID-Entscheidung des EuGH (Urteil vom 29.07.2019, Az. C-40/17) nicht entnommen werden, da dort Daten vom „Gef�llt-mir-Button“ an ... �bersandt wurden, was hier gerade nicht ersichtlich ist.

20 Inwieweit ein R�ckschluss auf den jeweiligen Nutzer m�glich ist erschlie�t sich somit nicht und wird von der Kl�gerin nicht erkl�rt. Ob sich dies aus Anlage K6 ergibt kann dahinstehen, da diese in Englisch abgefasst ist und es nicht Aufgabe des Gerichts ist, sich aus irgendwelchen Anlagen einzelne Informationen, welche mit Schrifts�tzen schl�ssig dargelegt sein m�ssen, zusammenzusuchen.

21 Im �brigen erkl�rt die Kl�gerin auch nicht, wie dieser Datenstrom funktionieren soll, wenn die Beklagte eine Nutzung von Offsitedaten (wozu diese Klick-ID-Informationen werden, wenn das Drittunternehmen sie wieder an die Beklagte zur�ckgeschickt) nur mit Einwilligung des Nutzers durchf�hrt. Die Beklagte hat dar�ber hinaus auf Seite 26 des Schriftsatzes vom ... substantiiert und konkret dargelegt, dass die Cookies _fbp und _fbc nicht von der Beklagten kontrolliert und gesetzt werden, sondern allein von den Drittunternehmen, die sich f�r eine Nutzung von Meta Businesstools entschieden haben. Wenn also das Drittunternehmen zwar im Netzwerk der Beklagten wirbt, Meta Business Tools allerdings nicht nutzt, werden offenbar diese beiden Cookies auch nicht gesetzt. Es handelt sich also nicht um Drittanbieter-Cookies, sondern um Erstanbieter-Cookies aus Sicht der Drittunternehmen. Diese m�gen zwar im Zusammenhang mit den Meta Business Tools stehen und von der Beklagten „erfunden“ sein, von einer Datenverarbeitung der Beklagten kann in diesem Zusammenhang allerdings nicht gesprochen werden (s.o.).

22 c) Ebenso wenig kann die Kl�gerin n�her darlegen, es k�me zu einem systematischen Ausspionieren und somit zu einer unzul�ssigen Datenverarbeitung durch die Nutzung des sogenannten Meta-Pixels bei den Drittunternehmen. Insbesondere reicht in diesem Zusammenhang nicht aus, die Entscheidung des Bundeskartellamts vom 06.02.2019 zu zitieren, vielmehr w�re es erforderlich, selbst den Sachverhalt so darzustellen, dass er in sich schl�ssig w�re. Die Beklagte hat nachvollziehbar und technisch korrekt dargelegt, dass allein aus einem Datenstrom, der durch das Laden des Metapixels beim Aufruf der entsprechenden Seite (zum Beispiel www....de) anf�llt, nicht geschlossen werden kann, dass unzul�ssigerweise Daten des jeweiligen Internetnutzers an die Beklagte �bertragen wird. Wer beispielsweise die ... -Homepage aufruft, wird zu Beginn sofort von einem Cookiebanner begr��t, in welchem man die Wahl hat, entweder mit dem kostenpflichtigen ...-Abonnement fortzufahren oder mit Werbung die ...- Homepage zu lesen. Bevor man aber zur eigentlichen Homepage gelangt muss man den Cookies gegebenenfalls zustimmen oder diese ablehnen. Wer die entsprechende Einwilligung n�her studiert, wird dort auch das Meta-Pixel finden, in welches man einwilligen kann oder nicht.

23 Dies unterstreicht aber den Vortrag der Beklagten, dass es die Drittunternehmen sind, welche daf�r verantwortlich sind, die entsprechende Einwilligung der Nutzer einzuholen, bevor sie Daten an die Beklagte �bertragen. Daran �ndert auch die Fashion-ID-Entscheidung des EuGH (s.o.) nichts. Der EuGH hat damals lediglich festgestellt, dass zumindest auch das Drittunternehmen f�r die entsprechende Datenverarbeitung mitverantwortlich ist. Aus der Entscheidung kann nicht geschlossen werden, dass das Drittunternehmen alleine oder dass die Beklagte alleine verantwortlich ist.

24 Unbeachtet blieb allerdings in der damaligen Entscheidung, dass die Beklagte keinen Einfluss darauf hat, ob sich ein Drittunternehmen f�r die Nutzung des Meta-Pixels bzw. der �brigen Meta Business Tools entscheidet. Diese werden von der Beklagten zur Nutzung angeboten, die Kl�gerin tr�gt aber nicht vor, die Beklagte h�tte konkrete Kenntnis dar�ber ob und in welchem Umfang Dritte die Meta Business Tools zum Einsatz bringen. Wie bereits ausgef�hrt unterscheidet sich das Meta Pixel vom „Gef�llt-mir-Button“ dadurch, dass nicht ohne weitere Daten an die Beklagte �bertragen werden, da dies nach dem nachvollziehbaren substantiierten Vortrag der Beklagte nur der Fall ist bzw. sein darf, wenn die Drittunternehmen eine entsprechende Einwilligung einholen, da auch nur dort eine solche sinnvoll ist. Dann sind aber die Drittunternehmen daf�r verantwortlich. Wenn die Kl�gerin daher der Meinung ist, es w�rden ohne ausreichende Einwilligung Daten von den Drittunternehmen an die Beklagte �bersandt, muss sie die Drittunternehmen in Anspruch nehmen.

25 Damit ist es der Beklagten nur m�glich, eine datenschutzkonforme Datenverarbeitung durchzuf�hren, indem sie eine Daten�bertragung an sie nur dann erm�glicht, wenn die Drittunternehmen die entsprechende Einwilligung der Nutzer einholen. Diese sind f�r diesen Teil alleinverantwortlich, dies ergibt sich auch eindeutig aus den Bedingungen f�r die Drittunternehmen, welche die Beklagte in Anlage B5 vorlegt. Es ist f�r die Beklagte mangels leeren Vortrags der Kl�gerin diesbez�glich auch offensichtlich nicht m�glich zu kontrollieren, ob sich die Drittunternehmen an die einschl�gigen Regelungen der Datenschutzgrundverordnung halten oder nicht. Die Kl�gerin kann auch nicht aufzeigen, wie die Beklagte eine solche regelwidrige Nutzung der Meta Business Tools �berhaupt erkennen und gegebenenfalls unterbinden k�nnen soll.

26 d) Auch der Vortrag der Kl�gerin zur sogenannten Conversion API zeigt eine unzul�ssige Datenverarbeitung durch die Beklagte nicht auf. In Anlage K 10 ergibt sich dazu nichts. W�hrend die Kl�gerin rei�erisch behauptet, die Beklagte w�rde mit Stasi-Methoden die Nutzer des Internets systematisch aufhorchen und versuchen, pers�nlichen Bewegungsprofile der Nutzer zu erstellen, kann eine solche Datenkontrolle insbesondere den vorgelegten Unterlagen zur Conversion API gerade nicht entnommen werden. Wie sich aus Anlage K 10 ergibt, dient die Conversion API dazu, den Drittunternehmen eine Kontrolle �ber ihre bei der im Netzwerk der Beklagten (kostenpflichtig) geschalteten Werbeanzeigen zu �berpr�fen und den Erfolg der Werbekampagne zu kontrollieren. Auch die Kl�gerin kann nicht n�her darlegen, dass eine Datenverarbeitung f�r solche Daten, soweit sie in diesem Zusammenhang von den Drittunternehmen an die Beklagte geschickt werden, ohne Einwilligung der jeweiligen Nutzer erfolgt. Das blo�e Bestreiten der Kl�gerin ist in diesem Zusammenhang unbeachtlich, da es auf den Vortrag der Beklagten nicht eingeht und diesen schlicht als falsch darlegt und die Einwilligung als „nicht ausreichend und freiwillig“ abqualifiziert, ohne dies n�her zu erl�utern. Die Beklagte hat ausf�hrlich dargelegt, wie die jeweiligen Dialoge zur Erlangung einer Einwilligung zur Nutzung von Offsitedaten bei Drittunternehmen gestaltet sind und wie der Begleittext dieser Einwilligungserkl�rungen lautet.

27 Es mag f�r den jeweiligen ...– oder ...-Nutzer m�hselig sein, sich durch diese Vielzahl von Einstellungen zu klicken, andererseits scheint es der Kl�gerin im Hinblick auf den Datenschutz ja besonders wichtig zu sein, dass ihre Daten nicht missbraucht werden oder unzul�ssig einer Datenverarbeitung unterworfen werden. Von daher kann gerade in so einem Fall vor einem verst�ndigen Internetnutzer wie der Kl�gerin erwartet werden, dass sie sich die M�he macht, sich in dieses Thema einzuarbeiten und die Vielzahl von Einstellungen einer kritischen �berpr�fung zu unterwerfen. Dies umso mehr, als die Nutzung von Offsitedaten nach dem nicht widersprochenen Vortrag der Beklagten als Standardeinstellung ausgeschaltet ist und der Nutzer daher konkret zustimmen muss, dass diese Offsitedaten auch verwendet werden. Auch die von der Beklagten aufgezeigten M�glichkeiten, die bereits erhobenen bzw. verarbeiteten Offsitedaten zu kontrollieren h�lt das Gericht f�r ausreichend und in sich nachvollziehbar.

28 Beim Vortrag, aus Anlage K10 w�rde sich ergeben, die Conversion API sei f�r „Nutzer gedacht, die nicht der Datennutzung zugestimmt haben“, �bersieht die Kl�gerin, dass ausweislich der Fu�note 12 auf Seite 23 der Anlage K10 dies nur ...-Kunden ab einem bestimmten ...-Versionsstand gilt (also f�r Inhaber von ...-Ger�ten), offensichtlich ist dies bei ...-Ger�ten nicht relevant. Davon abgesehen, dass die Kl�gerin nirgends bestreitet, dass das Drittunternehmen vorab die Einwilligung einholen muss und sich dies auch nicht aus der besagten Stelle in Anlage K10 ergibt, hat die Beklagte nachvollziehbar dargelegt (S. 34 des Schriftsatzes vom ..., Bl. 310 d. A.), dass es bei dieser Aussage �berhaupt nicht um eine Datenverarbeitung bei der Beklagten in Bezug auf Offsitedaten der ...-Nutzer geht, sondern allein um das Messen der Effektivit�t von Werbekampagnen, wie die Conversions API stets beworben wird. Au�erdem erkl�rt die Kl�gerin nicht, dass die Beklagte tats�chlich bei Nutzern, welche sich gegen die Nutzung ihrer Daten entschieden haben (opt out bzw. fehlendes opt in), tats�chlich personenbezogene Daten dieser Nutzer erh�lt bzw. verarbeitet. Auf Seite 23 der Anlage K10 sind im unteren Bereich sechs Schritte beschrieben, wie die Events (die Aktionen der jeweiligen Nutzer auf der jeweiligen Webseite des jeweiligen Drittunternehmens) aggregiert werden, um den Erfolg einer Werbekampagne zu messen. In keinem dieser sechs Schritte ist zu erkennen, dass personenbezogene Daten an die Beklagte �bersandt werden. In Schritt 3 ist die Rede von Anzeigen, welche an eine Testgruppe (was auch immer das darstellen soll) ausgeliefert wird, in Schritt 4 werden Conversion-Daten�aus der Kampagne �ber die Conversions API an Meta gesendet, wo dann (Schritt 5) die Events unter Wahrung der Privatsph�re verarbeitet werden. Woraus sich ergibt, dass personenbezogene Daten �bertragen werden erschlie�t sich nicht. Allein die Tatsache, dass anonyme (!) Eventdaten aggregiert werden und zur Auswertung an ... �bersandt werden, l�sst nicht den Schluss zu, es w�rden personenbezogene Daten der jeweiligen Nutzer an die Beklagte �bermittelt und k�nnten dort einer Datenverarbeitung in Bezug auf die jeweilige Nutzungs-ID bei der Beklagten zugef�hrt werden. Vielmehr ist dieser Vortrag der Kl�gerin ein Beispiel daf�r, dass der gesamte Vortrag sich auf Schlagworte beschr�nkt, die genutzt werden sollen, um angebliche Datenschutzverletzungen der Beklagten darzulegen. Substanz haben diese Vorw�rfe nicht. Dar�ber hinaus w�re es �u�erst ungeschickt von der Beklagten, Datenschutzverst��e wie angeblich auf Seite 23 der Anlage K 10, frei ins Internet zu stellen und damit denjenigen einen Angriffspunkt zu liefern, die offenkundig sehr um die Sicherheit ihrer Daten bem�ht sind.

29 4. Soweit die Kl�gerin behauptet, die Beklagte w�rde unzul�ssigerweise Daten in die USA �bertragen und damit gegen einschl�gige EuGH Rechtsprechung versto�en, verweist die Beklagte auf die stets nach den EuGH-Entscheidungen ergangenen Angemessenheitsbeschl�sse der Europ�ischen Kommission und auf die fehlende R�ckwirkung der EuGH-Entscheidungen. Darauf geht die Kl�gerin �berhaupt nicht mehr ein. Es ist daher unstreitig, dass die Angemessenheitsbeschl�sse einen Datentransfer in die USA erlauben.

30 5. Somit kommen Unterlassungsanspr�che von vornherein nicht in Betracht.

III.

31 Ein Schadensersatzanspruch ist ohnehin unbegr�ndet, da die Kl�gerin einen irgendwie gearteten materiellen oder immateriellen Schaden nicht darzustellen vermag. Die Kl�gerin sieht die Beklagte bereits schadensersatzpflichtig, da diese gegen Vorschriften der DSGVO verst��t. Dies allein reicht jedoch nicht aus. Der Vortrag der Kl�gerin auf Blatt 187 ff.�d. A. (S. 37 ff. der Replik vom ...) ist denkbar ungef�hr, wie es in Schrifts�tzen betreffend die DSGVO auf Kl�gerseite stets der Fall ist. Individuellen Vortrag findet man dort nicht, der Vortrag ist in allen F�llen stets der gleiche. Im �brigen erkl�rt die Kl�gerin auch nicht, warum sie sich nicht bei ... abmeldet, wenn die Beklagte permanent Daten von ihr abgreift und einer unzul�ssigen Datenverarbeitung unterwirft.

32 In der Rechtsprechung des EuGH ist mittlerweile hinreichend gekl�rt, ab wann Schadenersatz bei Verst��en gegen Datenschutzgrundverordnung zu leisten ist. Wie bereits ausgef�hrt, reicht der blo�e Versto� gegen die Datenschutzgrundverordnung (der hier ohnehin nicht substantiiert dargelegt ist) nicht aus (Urteil vom 20.06.2024, Az. C-182/22 und C-189/22; NJW 2024, 2599). Es bedarf eines f�hlbaren und messbaren Schadens, den die Kl�gerin hier gerade nicht vorzutragen vermag (Urteil vom 13.12.2018, Az. C-150/17; Urteil vom 14.12.2023, Az. C-340/21).

IV.

33 Nachdem die Kl�gerin schon nicht darstellen kann, welche unzul�ssige Datenverarbeitung die Beklagte durchf�hren soll, bestehen auch keine Anspr�che auf Speicherung oder Anonymisierung oder L�schung von Daten.

V.

34 Mangels Hauptanspr�che besteht auch kein Anspruch auf Ersatz au�ergerichtlicher Kosten.

VI.

35 Die Kostenfolge ergibt sich aus � 91 ZPO. Die vorl�ufige Vollstreckbarkeit resultiert aus � 709 ZPO. Der Streitwert wurde wie folgt festgesetzt: Ziffer 1: 1.500 €, Ziffer 2 und 3 jeweils 1.000 €, Ziffer 4: 1.000 € und Ziffer 5: 5.000 €.

Leitsatz

Wer einen Unterlassungsanspruch wegen angeblich unzul�ssiger Datenverarbeitung geltend macht, muss den zugrunde liegenden Sachverhalt in sich widerspruchsfrei, konkret und nachvollziehbar darlegen; blo�e Behauptungen „ins Blaue hinein“, die sich weder aus vorgelegten Anlagen noch aus einer Auseinandersetzung mit dem substantiierten Vortrag des Gegners ergeben, gen�gen der Substantiierungspflicht nicht.� (Rn. 14 – 22 und 26) (redaktioneller Leitsatz)

Leitsatz

Die blo�e Zurverf�gungstellung von Tracking- und Messwerkzeugen (Meta Business Tools, Meta-Pixel, Conversion-API) macht den Anbieter nicht automatisch zum Verantwortlichen f�r die Datenverarbeitung der Drittunternehmen. F�r die Einholung wirksamer Einwilligungen und die datenschutzkonforme Erfassung sind die Drittunternehmen verantwortlich. (Rn. 19 und 22 – 25) (redaktioneller Leitsatz)

Leitsatz

Behauptet ein Kl�ger einen unzul�ssigen internationalen Datentransfer, ohne sich mit entgegenstehenden Angemessenheitsbeschl�ssen der Europ�ischen Kommission auseinanderzusetzen, und legt er keinen f�hlbaren und messbaren Schaden dar, scheiden sowohl Unterlassungs- als auch Schadensersatzanspr�che nach der DS-GVO aus. Der blo�e – zudem unsubstantiiert behauptete – Versto� gegen die Verordnung gen�gt nicht. (Rn. 29 – 32) (redaktioneller Leitsatz)

titelzeile

Schl�ssiger Sachvortrag erfordert mehr als Behauptungen ins Blaue hinein