Gesamter Gesetzestext

LG Passau 4. Zivilkammer — 2024-04-09 — 4 O 260/23 — Endurteil

Entscheidungsdatum: 2024-04-09

Aktenzeichen: 4 O 260/23

Dokumenttyp: Endurteil

Tenor

Die Klage wird abgewiesen.
Die Kl�gerin hat die Kosten des Rechtsstreits zu tragen.
Das Urteil ist gegen Sicherheitsleistung in H�he von 110% des jeweils zu vollstreckenden Betrags vorl�ufig vollstreckbar.

Beschluss

Der Streitwert wird auf 27.000,00 € festgesetzt.

Tatbestand

1 Die Klagepartei nimmt die Beklagte auf Schadensersatz, Unterlassung, L�schung und Auskunft wegen Verst��en gegen die Datenschutz-Grundverordnung (DSGVO), insbesondere im Zusammenhang mit einem „Scraping“-Vorfall sowie wegen �berwachung des F-Messenger-Dienstes, Verarbeitung von „Off-F-Daten“ und Daten�bermittlung in die USA in Anspruch.

2 Die Beklagte betreibt das soziale Netzwerk „f“. Die Klagepartei unterh�lt dort ein Nutzerprofil. Dabei sind Name, Geschlecht und Nutzer-ID stets �ffentlich einsehbar, die �brigen durch den Nutzer dort hinterlegten Daten je nach gew�hlter Einstellung. Der Nutzer kann in seinem Profil eine Telefonnummer hinterlegen, wobei nach den Voreinstellungen (jedenfalls in dem hier in Rede stehenden Zeitraum 2018/2019) diese nicht �ffentlich angezeigt wurde, der Nutzer jedoch anhand dieser gefunden werden konnte. Insbesondere war es mit dem „Contact-Import-Tool“ m�glich, die auf dem Mobiltelefon eines Nutzers gespeicherten Kontakte auf „f“ hochzuladen, so dass diese mit den bei „f“ hinterlegten Telefonnummern abgeglichen werden und so gezielt diese Kontakte als „Freunde“ dem Profil des anfragenden Nutzers zugeordnet werden konnten, soweit diese Personen ihre Telefonnummer �berhaupt bei „f“ hinterlegt hatten und ihre Suchbarkeitseinstellungen bez�glich der Telefonnummer nicht von der Voreinstellung „alle“ auf „nur Freunde“ bzw. „Freunde von Freunden“ ge�ndert hatten. Seit Mai 2019 ist es auch m�glich, die Suchbarkeitseinstellung auf „nur ich“ zu begrenzen.

3 Im April 2021 wurden Daten (einschlie�lich Telefonnummer) von ca. 533 Millionen „f�„-Nutzern durch unbekannte Dritte im Internet verbreitet. Diese Daten waren in den Jahren 2018/2019 im Wege des „Scraping“ abgegriffen worden. Dabei waren die im Nutzerprofil hinterlegte Telefonnummer dem konkreten Nutzer und den in dessen „f“-Profil hinterlegten �ffentlich sichtbaren Daten zugeordnet worden. Vermutlich waren mit Hilfe des „Contact-Import-Tools“ eine Vielzahl m�glicher Telefonnummern automatisiert ausprobiert und im Trefferfall das Profil des Nutzers aufgerufen und dessen �ffentlich zug�ngliche Daten „gescraped“ worden.

4 Bestandteil von „f“ ist auch ein Messenger-Dienst, �ber den die „f“-Nutzer Nachrichten und Dateien miteinander austauschen k�nnen.

5 Mit E-Mail vom 14.01.2023 hat die Klagepartei zur Auskunft und immateriellen Schadensersatz aufgefordert (Anlage K 15). Die Kl�gervertreter haben die Beklagte mit au�ergerichtlichem Schreiben vom 15.02.2023 (Anlage K16) zu Schadensersatz, Unterlassung und Auskunft aufgefordert. Wegen der Vorw�rfe bez�glich des „f“-Messengers, der „Off-F-Daten“ und der Daten�bermittlung in die USA traten die Kl�gervertreter au�ergerichtlich ebenfalls an die Beklagte heran. Die Beklagte lie� die Anspr�che mit Schreiben vom 15.12.2023 (Anlage B33) zur�ckweisen.

6 Die Klagepartei behauptet, infolge einer Sicherheitsl�cke seien ihre Daten (wie etwa Telefonnummer, F -ID, Name, Vorname, Geschlecht, Bundesland, Land, Stadt sowie Beziehungsstatus u.a.) �ffentlich zug�nglich gemacht worden. Die betroffene Telefonnummer der Klagepartei laute: .

7 Dies sei m�glich gewesen, weil die Datenschutzeinstellungen auf „f“ un�bersichtlich und intransparent seien und die Voreinstellungen nicht datenschutzfreundlich seien. Insbesondere sei voreingestellt, dass man den Nutzer anhand seiner Telefonnummer „finden“ k�nne. Zudem habe die Beklagte nicht die erforderlichen Vorsichtsma�nahmen (z.B. Einsatz von „Captchas“, Blockierung einer Vielzahl von Anfragen �ber dieselbe IP-Adresse bzw. von systematischen Zahlenreihen) ergriffen, um das „Scraping“ der Daten zu verhindern. Weder die betroffenen Nutzer noch die zust�ndige Datenschutzbeh�rde seien �ber den Vorfall informiert worden. Eine die Datenverarbeitung durch die Beklagte deckende Einwilligung der Klagepartei liege nicht vor. Die Klagepartei leide unter erheblichen Kontrollverlust �ber ihre Daten und sei in gro�er Sorge �ber m�glichen Missbrauch der sie betreffenden Daten verblieben.

8 Dar�ber hinaus werde der Messenger-Dienst von „f“ systematisch und automatisiert �berwacht („crawling“ der Inhalte). Dies k�nne nutzerseitig nicht deaktiviert werden und sei zur Vertragserf�llung nicht notwendig.

9 Daten, die Aktivit�ten au�erhalb des sozialen Netzwerks betreffen („Off-F-Daten“), w�rden durch „f“ massenhaft gesammelt, gespeichert und ausgewertet und innerhalb des M-Konzerns weitergegeben. Eine Einwilligung der Nutzer werde nicht eingefordert.

10 Die Beklagte habe s�mtliche personenbezogenen Daten der Kl�gerseite aus und in Verbindung mit dem kl�gerischen „f“-Account in die Vereinigten Staaten von Amerika (USA), insbesondere an die National Security Agency (NSA) zur anlasslosen �berpr�fung und Untersuchung weitergeleitet. Dies sei rechtwidrig, da die USA kein der DSGVO entsprechendes Schutzniveau gew�hrleisten w�rden. Auch habe die Klagepartei nicht in die Weitergabe ihrer Daten eingewilligt.

11 Inhaltlich w�rden die in enormer Menge �bermittelten Daten praktisch das gesamte soziale Leben des Nutzers abbilden. Dadurch seien bei der Klagepartei erhebliche �ngste und Stress entstanden.

12 Die Klagepartei st�tzt die geltend gemachten Auskunfts-, Unterlassungs- und L�schungsanspr�che auf Art. 15, 17 und 18 DSGVO, �� 1004 analog, 823 Abs. 1, 823 Abs. 2 BGB i.V.m. Art. 6 DSGVO, die Schadensersatzanspr�che auf Art. 82 DSGVO.

13 Die Klagepartei beantragt zuletzt,

Die Beklagte wird verurteilt, an die Klagepartei immateriellen Schadensersatz als Ausgleich f�r Datenschutzverst��e und die Erm�glichung der unbefugten Ermittlung der Telefonnummer sowie weiterer personenbezogener Daten der Kl�gerseite zu zahlen, dessen H�he in das Ermessen des Gerichts gestellt wird, jedoch mindestens 3.000,00 EUR betragen muss, nebst Zinsen in H�he von f�nf Prozentpunkten �ber dem jeweiligen Basiszinssatz seit dem 26.02.2023.
Die Beklagte wird weiter verurteilt, an die Klagepartei immateriellen Schadensersatz als Ausgleich f�r Datenschutzverst��e hinsichtlich der anlasslosen �berwachung von im Wege des F-Messenger-Dienstes versandten und erhaltenen ChatNachrichten der Klagepartei sowie der Sammlung, Nutzung und Auswertung der „Off-FDaten“ der Klagepartei an die Kl�gerseite zu zahlen, dessen H�he in das Ermessen des Gerichts gestellt wird, jedoch mindestens 3.000,00 EUR betragen muss, nebst Zinsen in H�he von f�nf Prozentpunkten �ber dem jeweiligen Basiszinssatz seit Rechtsh�ngigkeit.
Die Beklagte wird weiter verurteilt, an die Klagepartei immateriellen Schadensersatz als Ausgleich f�r Datenschutzverst��e hinsichtlich der Weitergabe und �bermittlung personenbezogener Daten der Kl�gerseite in die USA, insbesondere an die dortige Nation Security Agency (NSA) zu zahlen, dessen H�he in das Ermessen des Gerichts gestellt wird, jedoch mindestens 3.000,00 EUR betragen muss, nebst Zinsen in H�he von f�nf Prozentpunkten �ber dem jeweiligen Basiszinssatz seit Rechtsh�ngigkeit.
Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klagepartei alle zuk�nftigen Sch�den zu ersetzen, die der Klagepartei

a) durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussagen der Beklagten im Jahr 2019 erfolgte und

b) durch die anlasslose �berwachung von im Wege des F -Messenger-Dienstes versandten und erhaltenen ChatNachrichten der Klagepartei sowie der Sammlung, Nutzung und Auswertung der „Off-F -Daten“ sowie

c) durch die Weitergabe und �bermittlung personenbezogener Daten der Kl�gerseite in die USA, insbesondere an die dortige Nation Security Agency (NSA) entstanden sind und / oder noch entstehen werden.

Die Beklagte wird verurteilt, an die Kl�gerseite f�r die Nichterteilung einer den gesetzlichen Anforderungen entsprechenden au�ergerichtlichen Datenauskunft im Sinne des Art.15 DS-GVO einen weiteren immateriellen Schadensersatz, dessen H�he in das Ermessen des Gerichts gestellt wird, den Betrag von 2.000,00 € aber nicht unterschreiten sollte, nebst Zinsen in H�he von 5%- Punkten �ber dem Basiszinssatz seit dem 26.02.2023 zu bezahlen.
Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a) personenbezogene Daten der Klagepartei, namentlich Telefonnummer, -�- ID, Familienname, Vorname, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus, unbefugten Dritten �ber eine Software zum Importieren von Kontakten zug�nglich zu machen, ohne die nach dem Stand der Technik m�glichen Sicherheitsma�nahmen vorzusehen, um die Ausnutzung des Systems f�r andere Zwecke als der Kontaktaufnahme zu verhindern,

b) die Telefonnummer der Klagepartei auf Grundlage einer Einwilligung zu verarbeiten, die wegen der un�bersichtlichen und unvollst�ndigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Information dar�ber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontakt-Import-Tools verwendet werden kann, wenn nicht explizit hierf�r die Berechtigung verweigert und, im Falle der Nutzung der FMessenger-App, hier ebenfalls die Berechtigung verweigert wird.

Die Beklagte wird weiter verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, ChatNachrichten der Klagepartei, welche mittels des „F-Messenger“-Dienstes versandt werden und wurden, anlasslos zu �berwachen.
Die Beklagte wird weiter verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, „Off-F-Daten“ der Klagepartei zu sammeln, nutzen und auszuwerten.
Die Beklagte wird weiter verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, Personenbezogene Daten der Klagepartei in die USA, insbesondere die National Security Agency (NSA) zu �bermitteln.
Die Beklagte wird verurteilt, der Klagepartei Auskunft �ber die Klagepartei betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empf�nger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des KontaktImport-Tools erlangt werden konnten.
Die Beklagte wird verurteilt, der Klagepartei Auskunft �ber die �berwachten, ausgewerteten und gespeicherten Daten aus der �berwachung des F-Messengers zu erteilen, namentlich ChatProtokolle vorzulegen und deren interne Bewertung offenzulegen, sowie diese, sofern anlasslos gespeichert, zu l�schen.
Die Beklagte wird weiter verurteilt, der Klagepartei Auskunft zu erteilen, welche „Off-F-Daten“ durch die Beklagte an der IP-Adresse der Kl�gerseite gesammelt wurden und zu welchem Zweck diese gespeichert und verwendet wurden, sowie diese, sofern anlasslos gespeichert, zu l�schen.
Die Beklagte wird verurteilt, der Klagepartei Auskunft zu erteilen, in welcher konkreten Hinsicht die Kl�gerseite von der �bermittlung der personenbezogenen Daten der Kl�gerseite in die USA, insbesondere an die dortige National Security Agency (NSA) betroffen war, also wer wann auf welche Daten der Kl�gerseite zugegriffen hat und welche genauen personenbezogenen Daten der Kl�gerseite von wem eingesehen wurden.
Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten in H�he von 1.398,25 EUR gegen�ber der Fachanwaltskanzlei ... freizustellen.

14 Die Beklagte beantragt,

Klageabweisung .

15 Die Beklagte ist der Auffassung, der Vortrag der Klagepartei sei unsubstantiiert. Die Klageparteitrage trage bereits nicht vor, welche Daten abgegriffen worden seien, die Ausf�hrungen der Klagepartei ersch�pften sich in abstrakt gehaltenen beispielhaften Aufz�hlungen. Einen Datenschutzversto� stellt die Beklagte in Abrede. Die durch�„Scraping“ erlangten Daten seien ohnehin �ffentlich einsehbar gewesen. Die Transparenzpflichten w�rden durch die Beklagte erf�llt. Alle Nutzer w�rden �ber die Einstellungsm�glichkeiten zur Wahrung ihrer Privatsph�re (insb. Zielgruppenauswahl und Suchbarkeitseinstellungen) entsprechend der Datenrichtlinie der Beklagten hinl�nglich informiert. Zweck der „f“-Plattform sei es, andere Personen zu finden und mit ihnen in Kontakt zu treten, was durch eine Voreinstellung der Suchbarkeitseinstellungen auf „Freunde“ statt „Alle“ konterkariert werde. Die Beklagte ergreife auch angemessene technische und organisatorische Ma�nahmen gegen nach ihren Richtlinien verbotenes „Scraping“ (u.a. �bertragungsbegrenzungen und Bot-Erkennung sowie Captchas) und entwickle diese laufend weiter. Gleichwohl lasse sich „Scraping“ nicht verhindern, zumal von den T�tern Umgehungsstrategien gegen die �bertragungsbeschr�nkungen entwickelt w�rden. Eine Melde- oder Benachrichtigungspflicht habe nicht bestanden. Auskunft �ber ihre Datenverarbeitungst�tigkeit habe die Beklagte vorgerichtlich erteilt, zu einer Auskunft �ber die Datenverarbeitungst�tigkeit Dritter sei die Beklagte nicht verpflichtet. Eine Kopie der durch das „Scraping“ abgerufenen Rohdaten werde von der Beklagten nicht vorgehalten. Eine sp�rbare Beeintr�chtigung habe die Klagepartei nicht erlitten; ein Kontrollverlust oder Unwohlsein stellten keinen Schaden dar.

16 Die Beklagte tr�gt des Weiteren vor, sie behandle alle �ber den Messenger-Dienst �bertragenen Nachrichten vertraulich. Die ePrivacy-Richtlinie werde von der Beklagten befolgt. Die Beklagte f�hre gem�� Art. 3 der CSAM-Verordnung ein sog. CSAM-Scanning durch, um kinderpornographische Inhalte zu identifizieren. Die Datenverarbeitung im Zusammenhang mit dem Messenger-Dienst werde in der Datenschutzrichtlinie der Beklagten dargelegt.

17 „Off-F-Daten“, also Informationen �ber Aktivit�ten au�erhalb der Mchnologien, erhalte die Beklagte von Drittanbietern, welche daf�r verantwortlich seien, dass die Erfassung und �bermittlung von Daten auf einer g�ltigen Rechtsgrundlage beruhe, insbesondere eine etwa erforderliche Einwilligung einzuholen. Zus�tzlich verwende die Beklagte die Daten nur, wenn der Nutzer �ber ein Cookie-Banner zugestimmt habe, es sei denn die Verarbeitung sei f�r Zwecke der Sicherheit und Integrit�t erforderlich. Die Einstellungen k�nnten nachtr�glich ge�ndert werden.

18 Die �bermittlung von Daten durch die Beklagte an die M, Inc. in den USA erfolge auf Grundlage von Kapitel V DSGVO, des Angemessenheitsbeschlusses der Kommission 2023 und der Standardvertragsklauseln 2010 und 2021. „f “ sei ein globaler Dienst, weswegen ein grenz�berschreitender Datenaustausch zur Vertragserf�llung erforderlich sei. Gezielte Anfragen von US-Regierungsbeh�rden nach Section 702 des Foreign Surveillance Act (FISA) w�rden vor Beantwortung auf Rechtm��igkeit gepr�ft. Da es der M, Inc. nach USamerikanischem Recht untersagt sei, Informationen �ber derartige Anfragen offenzulegen, sei auch die Beklagte hierzu nicht verpflichtet.

19 Die Beklagte r�gt die fehlende Bestimmtheit der Klageantr�ge und das fehlende Rechtsschutzbed�rfnis bzw. Feststellungsinteresse der Klagepartei. Sie erhebt die Einrede der Verj�hrung.

20 Das Gericht hat zur Sache am 26.02.2024 m�ndlich verhandelt und die Klagepartei informatorisch angeh�rt (Bl. 410 ff. d.A.). Es wird Bezug genommen auf die Sitzungsniederschrift vom 26.02.2024.

21 Zur Erg�nzung, Vertiefung und Vervollst�ndigung des Tatbestandes wird auf die gewechselten Schrifts�tze nebst Anlagen sowie die Sitzungsniederschrift vom 26.02.2024 Bezug genommen.

Gründe

22 Die teilweise unzul�ssige Klage ist vollumf�nglich unbegr�ndet

23 Die Klage ist nur teilweise zul�ssig.

I.�Zust�ndigkeit

24 Das Landgericht Passau ist sachlich nach �� 1 ZPO, 71 Abs. 1, 23 GVG, international nach Art. 79 Abs. 2 S. 2, 82 Abs. 6 DSGVO und �rtlich nach � 44 Abs. 1 S. 2 BDSG zust�ndig.

II. „Scraping-Vorfall“

25 1. Der Streitgegenstand des geltend gemachten Schadensersatzanspruchs ist durch den kl�gerischen Vortrag hinreichend bestimmt, � 253 Abs. 2 Nr. 2 ZPO. Die Klagepartei hat klargestellt, dass sie den geltend gemachten Anspruch nicht alternativ, sondern kumulativ auf das Verhalten der Beklagten vor dem streitgegenst�ndlichen Vorfall im Sinne der Nichteinhaltung gebotener Sicherungsvorkehrungen einerseits und dasjenige nach dem streitgegenst�ndlichen Vorfall im Sinne unzureichender Information der Betroffenen andererseits st�tzt. Damit hat sie beide Vorw�rfe zu einem einheitlich zu bewertenden (� 287 ZPO!) Lebenssachverhalt verbunden. Einer betragm��igen Aufteilung des geltend gemachten Anspruchs auf beide Vorw�rfe bedurfte es somit nicht. Die Klage ist insoweit hinl�nglich bestimmt.

26 2. Der auf die Feststellung der Ersatzpflicht der Beklagten gegen�ber der Klagepartei f�r k�nftige Sch�den gerichtete Antrag ist nicht hinreichend bestimmt gem. � 253 Abs. 2 Nr. 2 ZPO. Der Antrag bezieht sich auf „k�nftige Sch�den“, „die der Kl�gerseite (…) entstanden sind und/oder noch entstehen werden.“ Auch unter Ber�cksichtigung der Klagebegr�ndung und des Vorbringens in der Replik ist f�r das Gericht nicht zu erkennen, ob sich der Antrag nur auf k�nftige Sch�den oder auch bereits entstandene, aber ggfs. noch nicht bekannte Sch�den erstrecken soll.

27 3. Hinsichtlich des Feststellungsantrags besteht auch kein ausreichendes Feststellungsinteresse (� 256 Abs. 1 ZPO). Ein Feststellungsinteresse ist zu verneinen, wenn aus der Sicht des Gesch�digten bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (BGH NJW-RR 2007, 601). Der „Scraping“-Vorfall liegt mittlerweile �ber vier Jahre und die angebliche Ver�ffentlichung der kl�gerischen Daten �ber zwei Jahre zur�ck. Mit Ausnahme der Telefonnummer handelt es sich um Daten, die die Klagepartei selbst zur Ver�ffentlichung bestimmt hat. Ein k�nftiger, den behaupteten Pflichtverletzungen der Beklagten zurechenbarer Schaden ist bei dieser Sachlage vern�nftigerweise nicht zu erwarten

28 4. Die Unterlassungsantr�ge sind hinl�nglich bestimmt, � 253 Abs. 2 Nr. 2 ZPO. Soweit darin Bezug genommen wird auf den „Stand der Technik“ handelt es sich hierbei um den Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen und Betriebsweisen, der nach herrschender Auffassung f�hrender Fachleute das Erreichen des gesetzlich vorgegebenen Zieles gesichert erscheinen l�sst; Verfahren, Einrichtungen und Betriebsweisen oder vergleichbare Verfahren, Einrichtungen und Betriebsweisen m�ssen sich in der Praxis bew�hrt haben oder sollten – wenndies noch nicht der Fall ist – m�glichst im Betrieb mit Erfolg erprobt worden sein (BMJ, Handbuch der Rechtsf�rmlichkeit, 3. Aufl., Teil B, Ziff. 4.5.1, Rn. 256). Der genaueren Beschreibung der nach diesen Grunds�tzen zu erwartenden Sicherheitsma�nahmen bedurfte es nicht.

29 5. Hinsichtlich der Unterlassungsantr�ge kann das Gericht jedoch kein Rechtsschutzinteresse erkennen. Der Klagepartei steht ein einfacherer Weg zur Verf�gung, um das mit diesen Antr�gen gew�nschte Ziel zu erreichen. Sie kann in den Suchbarkeitseinstellungen bez�glich der Telefonnummer „nur ich“ w�hlen oder die Telefonnummer g�nzlich l�schen. Dadurch kann sie die Verarbeitung der Telefonnummer in der von ihr missbilligten Weise unterbinden. Ein rechtlich gesch�tztes Interesse daran, dass die Beklagte die Klagepartei so behandelt, als w�re bei den Suchbarkeitseinstellungen „nur ich“ eingestellt, obwohl die Klagepartei diesen ihr jedenfalls aufgrund der Aufbereitung im gegenst�ndlichen Rechtsstreit positiv bekannten und einfach zu beschreitenden Weg nicht gehen will, vermag das Gericht nicht zu sehen (so auch LG Osnabr�ck GRUR-RS 2023, 3281).

III.�Messenger-Dienst, „O-Daten“, Daten�bermittlung in die USA

30 1. Der auf die Feststellung der Ersatzpflicht der Beklagten gegen�ber der Klagepartei f�r k�nftige Sch�den gerichtete Antrag ist nicht hinreichend bestimmt gem. � 253 Abs. 2 Nr. 2 ZPO. Auf die obigen Ausf�hrungen unter Ziffer II. 2. wird zur Begr�ndung Bezug genommen.

31 2. Hinsichtlich des Feststellungsantrags besteht auch kein ausreichendes Feststellungsinteresse (� 256 Abs. 1 ZPO). Ein Feststellungsinteresse ist zu verneinen, wenn aus der Sicht des Gesch�digten bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (BGH NJW-RR 2007, 601). Welcher Schaden der Klagepartei dadurch entstehen soll, dass die Beklagte rechtswidrig seine Messenger-Nachrichten �berwacht, Off-F-Daten verarbeitet und Daten in die USA �bermitteln sollte, ist f�r das Gericht nicht vorstellbar und wird auch nicht plausibel dargelegt.

32 3. Der Unterlassungsantrag zu Ziff. 7 der Klageantr�ge ist nicht hinl�nglich bestimmt, � 253 Abs. 2 Nr. 2 ZPO. Das Wort „anlasslos“ schr�nkt das Unterlassungsbegehren in objektiv nicht abgrenzbarer Weise ein. Ein entsprechender Ausspruch w�re nicht vollstreckungsf�hig.

33 4. Hinsichtlich des Unterlassungsantrags zu Ziff. 8. fehlt der Klagepartei das Rechtsschutzbed�rfnis. Die Klagepartei hat die M�glichkeit, �ber die Einstellungen die Behandlung der „Off-F-Daten“ bzw. „Aktivit�ten au�erhalb der M-Technologien“ selbst zu steuern. Dies muss der Klagepartei sp�testens aufgrund des Beklagtenvortrags im Rechtsstreit auch bekannt sein. Da ihr ein einfacherer Weg zur Erreichung ihres Rechtsschutzziels zur Verf�gung steht, fehlt ihr f�r eine Unterlassungsklage das Rechtsschutzbed�rfnis.

34 5. Der Antrag auf L�schung „anlasslos gespeicherter“ Daten (Ziff. 11 und 12 der Klageantr�ge) ist aus den oben unter Ziff. 3 genannten Erw�gungen wegen Unbestimmtheit unzul�ssig.

35 Im �brigen ist die Klage zul�ssig

36 Die Klage ist – soweit sie unzul�ssig ist: jedenfalls auch – unbegr�ndet.

I.�Scraping-Vorfall

37 1. Die Klagepartei hat keinen Schadensersatzanspruch gegen die Beklagte aus Art. 82 Abs. 1 DSGVO.

38 a) Es fehlt bereits an einem relevanten Versto� gegen die Bestimmungen der DSGVO.

39 i. Die Verarbeitung der kl�gerischen Daten ist rechtm��ig im Sinne von Art. 6�DSGVO.

40 (1) Zum einen hat die Klagepartei in die Datenverarbeitung (Art. 4 Nr. 2 DSGVO) durch die Beklagte eingewilligt (Art. 6 Abs. 1 Buchst. a, Art. 7 DSGVO). Die Einwilligung erfolgte auch freiwillig und in informierter Weise (Art. 4 Nr. 11 DSGVO). Das Gericht kann Vorw�rfen der Klagepartei, die Datenschutzhinweise und -einstellungen auf „f“ seien nicht hinl�nglich transparent (Art. 5 Abs. 1 Buchst. a DSGVO), nicht folgen. Es werden auf „f“ umfangreiche Hinweise und Bedienungshilfen bereitgestellt, mittels derer sich der Nutzer �ber s�mtliche Einstellungsm�glichkeiten und deren Datenschutzrelevanz informieren kann. Hierbei stehen laut kl�gerischem Vortrag insbesondere im Rahmen der Seite „Privatsph�re auf einen Blick“ Informationen dar�ber bereit, wie andere Personen den Nutzer auf F finden k�nnen. Die Information der Beklagten „Nur du kannst deine Nummer sehen“ ist insofern nicht irref�hrend. Die Telefonnummer wird zum Zeitpunkt der Angabe derselben nicht �ffentlich angezeigt. Tats�chlich besteht ein Unterschied darin, ob bestimmte Daten sichtbar sind, also f�r eine Person aus dem in der Zielgruppenauswahl bestimmten Personenkreis, die ein Profil aufruft, unmittelbar einsehbar sind, oder ob der Nutzer anhand dieser Daten aufgefunden werden kann, was voraussetzt, dass diese Daten der suchenden Person bereits bekannt sind. Dass Zielgruppenauswahl und Suchbarkeitseinstellungen voneinander getrennt sind, ist daher nachvollziehbar. Die Beklagte informiert die Nutzer von Anfang an hinl�nglich �ber die von ihr vorgenommene Datenverarbeitung und gen�gt damit ihrer Pflicht zur leicht zug�nglichen Bereitstellung der entsprechenden Informationen. Die tats�chliche Kenntnisnahme obliegt dabei der Klagepartei. Was daran nicht verst�ndlich sein soll, dass alle einen Nutzer anhand seiner Telefonnummer „finden“ k�nnen, erschlie�t sich dem Gericht nicht. Die M�glichkeit, durch Dritte gefunden zu werden und somit auch die M�glichkeit, dass ein missbr�uchliches „Erraten“ der Telefonnummer stattfinden k�nnte, war daher f�r die Klagepartei ebenso ersichtlich wie f�r die Beklagte. Soweit die Klagepartei die Verletzung von Informationspflichten aus Art. 13, 14 DSGVO r�gt, ist aus dem kl�gerischen Vortrag nicht ersichtlich, welche der dort konkret aufgez�hlten Informationen der Klagepartei nicht erteilt worden sein sollen.

41 (2) Zum anderen ist die Datenverarbeitung f�r die Erf�llung des Vertrags zwischen den Parteien erforderlich (Art. 6 Abs. 1 Buchst. b DSGVO). Die Nutzung des „Contact-Import-Tools“ wird Nutzern im Rahmen der Nutzung von „f“ freigestellt. Gibt der Nutzer, wie hier, seine Telefonnummer jedoch unter Einwilligung zur Nutzung des „Contact-Import-Tools“ an, so ist die Verarbeitung derselben im Rahmen dieses Tools gerade denknotwendig zur Erf�llung der resultierenden Vertragsvereinbarung, von anderen auf „f“ gefunden zu werden. Bez�glich der �brigen, von der K agepartei selbst ver�ffentlichten Daten, ist das Vorhalten dieser Nutzerdaten gerade der Zweck des zwischen den Parteien bestehenden Vertragsverh�ltnisses. Eine soziale Plattform wie „f“ dient dazu, es den Nutzern zu erm�glichen, Daten miteinander auszutauschen. Zu diesem Zweck m�ssen diese von der Beklagten denknotwendig verarbeitet werden.

42 ii. Ein Versto� gegen das Transparenzgebot (Art. 5 Abs. 1 Buchst. a DSGVO) ist nicht gegeben (s. bereits oben unter i.).

43 iii. Es liegt auch kein Versto� gegen Art. 25 Abs. 2 DSGVO (Datenschutz durch datenschutzfreundliche Voreinstellung) vor.

44 (1) Nach Art. 25 Abs. 2 S. 1 DSGVO hat der Verantwortliche geeignete technische und organisatorische Ma�nahmen zu treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung f�r den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden, wozu nach Art. 25 Abs. 2 S. 2 DSGVO auch die Zug�nglichkeit der Daten geh�rt. Ma�stab f�r die Auswahl der Ma�nahmen ist die Erforderlichkeit f�r den Verarbeitungszweck. Der Verarbeitungszweck kann dabei im Rahmen der Vorgaben des Art. 5 Abs. 1 Buchst. b DSGVO frei gew�hlt werden. Es ist daher nicht zu verlangen, dass der Verantwortliche stets die jeweils denkbar datenschutzfreundlichste Voreinstellung trifft. Der Verantwortliche entscheidet vielmehr durch die Festlegung eines bestimmten Verarbeitungszweckes auch �ber den Umfang der daf�r erforderlichen Daten (Ehmann/Selmayr/Baumgartner, 2. Aufl. 2018, DS-GVO Art. 25 Rn. 18).

45 (2) Soweit die Suchbarkeitseinstellungen anhand der Telefonnummer als Voreinstellung im ma�geblichen Zeitpunkt (2018/2019) „Alle“ vorgesehen haben, war dies nicht zu beanstanden, weil der Zweck eines „sozialen Netzwerks“ generell und insbesondere des „Contact-Import-Tools“ nur dadurch erreicht werden kann, dass Nutzer dieses Netzwerks von anderen auch gefunden werden k�nnen. Wenngleich ein Auffinden auch �ber die manuelle Suche m�glich ist, geschieht dies am effektivsten �ber die Telefonnummer, weil diese eine eindeutige Identifikation der Person erm�glicht, w�hrend dies beim Namen nicht der Fall ist. Wer sich als neuer Nutzer bei „f“ anmeldet, kann selbst noch keine „Freunde“ haben und noch nicht der „Freund“ eines anderen Nutzers sein. Eine Voreinstellung auf „nur Freunde“ oder „Freunde von Freunden“ ergibt daher keinen Sinn. Wenn die Beklagte die Erforderlichkeit der Voreinstellung „Alle“ bei den Suchbarkeitseinstellungen bez�glich der Telefonnummer als f�r den Verarbeitungszweck erforderlich qualifiziert hat, liegt diese Entscheidung jedenfalls im Rahmen des Vertretbaren.

46 (3) Art. 25 Abs. 2 S. 3 DSGVO konkretisiert die Anforderungen dahingehend, dass insbesondere sichergestellt sein muss, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von nat�rlichen Personen zug�nglich gemacht werden. Diese Vorschrift ist jedoch auf die Suchbarkeitseinstellungen bez�glich der Telefonnummer auf „f“ schon konzeptionell nicht anwendbar, weil die Suchbarkeit des Nutzers �ber seine Telefonnummer voraussetzt, dass der Suchende die Telefonnummer, nach der mittels des „Contact-Import-Tools“ gesucht wird, bereits kennt bzw. in seinen Telefonkontakten abgespeichert hat. Nichts anderes gilt, wenn die Nummer durch maschinelles Ausprobieren erraten wird. Denn auch dann wird die Nummer nicht durch die Beklagte „einer unbestimmten Zahl von nat�rlichen Personen“ zug�nglich gemacht, sondern nur derjenigen, die die Nummer bereits erraten hat. Dass diese Person die Daten dann unbefugt weiterverarbeitet, ist jedoch nicht der Beklagten zuzurechnen, sondern stellt ein allgemeines Lebensrisiko dar, welches die Klagepartei zu tragen hat, zumal sie selbst die M�glichkeit hatte, diesen Missbrauch durch �nderung der Suchbarkeitseinstellung (zum streitgegenst�ndlichen Zeitpunkt auf: „nur Freunde“) zu verhindern. Es f�llt nicht in den Schutzbereich der Verarbeiterpflichten nach der Datenschutzgrundverordnung, ein Datum (hier: Telefonnummer) vor jemandem geheim zu halten, der es ohnehin bereits kennt.

47 iv. Auch ein Versto� gegen Art. 32, 25 Abs. 1, 5 Abs. 1 Buchst. f DSGVO durch die Beklagte ist nicht gegeben. Die Klagepartei kann sich nicht darauf berufen, die Beklagte habe nicht die erforderlichen Ma�nahmen ergriffen, um den Schutz der kl�gerischen Daten zu gew�hrleisten.

48 (1) Die vom „Scraping“-Vorfall nach kl�gerischer Behauptung betroffenen Daten waren – mit Ausnahme der Telefonnummer – nach dem Willen der Klagepartei ohnehin bereits �ffentlich sichtbar. Dass diese �ffentlich sichtbaren Daten von Dritten kopiert und an anderer Stelle abgespeichert und ver�ffentlicht werden, ist ein Risiko, welches jeder, der seine Daten auf „f“ �ffentlich macht, kennt und in Kauf nimmt. Soweit dies entgegen den Nutzungsbedingungen der Beklagten maschinell und massenhaft erfolgt („Scraping“), geh�rt dies zum allgemeinen Lebensrisiko, das der Nutzer zu tragen hat. Bereits �ffentlich zug�ngliche Daten m�ssen nicht vor dem Zugriff unbefugter Dritter gesch�tzt werden. Diese sind vom Schutzbereich des Art. 32 DSGVO nicht erfasst (s. bereits o. Ziff. 1. a) iii. (3) der Entscheidungsgr�nde).

49 (2) Die Telefonnummer der Klagepartei war zwar auf dem „-�- Profil der Klagepartei nicht �ffentlich sichtbar, aufgrund der Suchbarkeitseinstellungen war jedoch das Profil anhand der Telefonnummer auffindbar. Dies ist die Folge der freiverantwortlichen Entscheidung der Klagepartei, die eigene Telefonnummer �berhaupt bei „f“ zu hinterlegen (was zur Anmeldung nicht erforderlich ist) und die diesbez�glich voreingestellte Suchbarkeitseinstellung „Alle“ nicht abzu�ndern. Infolgedessen war es nach kl�gerischem Vortrag unbekannten Dritten m�glich, durch maschinelles Ausprobieren beliebiger Telefonnummern die Telefonnummer der Klagepartei deren „f“-Profil und den dort ver�ffentlichen Daten zuzuordnen. Auch das findet seine Ursache darin, dass die Klagepartei zur Verwendung ihrer Telefonnummer als Suchkriterium eingewilligt und damit den unbekannten Dritten diese M�glichkeit er�ffnet hat. F�r Schutzma�nahmen seitens der Beklagten bestanden – unabh�ngig davon, dass die Beklagte solche ergriffen zu haben behauptet – jedenfalls vor dem Zeitpunkt des Bekanntwerdens des „Scraping-Vorfalls“ (ex ante) keine Veranlassung. Wie die Beklagte zutreffend ausf�hrt, ist f�r den Umfang der Schutzma�nahmen nach Art. 32 DSGVO zudem eine Risikoabw�gung erforderlich, die insbesondere die Art der Daten und die Wahrscheinlichkeit sowie die m�glichen Folgen des Bekanntwerdens derselben miteinbezieht. Zum einen handelt es sich bei keinem der von der Klagepartei genannten Daten um besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO. Zum anderen sind durch das Bekanntwerden der Telefonnummer keine schwerwiegenden Nachteile f�r die Klagepartei zu erwarten. In Anbetracht dessen hat die Beklagte ihren Pflichten gen�gt, indem sie die Klagepartei auf die m�glichen Einstellungen und ihre Folgen hingewiesen hat. Mehr war von der Beklagten im damaligen Zeitpunkt nicht zu erwarten (so im Ergebnis auch LG Essen GRUR-RS 2022, 34818).

50 v. Die Pflichten zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbeh�rde (Art. 33 DSGVO) bzw. zur Benachrichtigung der hiervon betroffenen Person (Art. 34 DSGVO) bzw. die Auskunftspflicht nach Art. 15 DSGVO fallen nicht in den Schutzbereich des Art. 82 DSGVO, da es sich um keine Pflichten im Rahmen der Datenverarbeitung (Art. 82 Abs. 2 S. 1 DSGVO), sondern um dieser nachgelagerte Pflichten handelt (Gola/Heckmann, Art. 82 Rn. 5; Ehmann/Selmayr Art. 82 Rn. 8). Jedenfalls kann durch etwaige Verletzung dieser Pflichten der Klagepartei kein zus�tzlicher Schaden entstanden sein, nachdem der „Scraping“-Vorfall sich bereits ereignet hatte und der Klagepartei ohnehin keine effektiven Mittel zur Verf�gung standen, der weiteren Verbreitung der Daten zu begegnen.

51 vi. Sofern die Datenschutzbeh�rden einen Versto� der Beklagten gegen die Bestimmungen der DSGVO bejahen sollte, entfaltet diese keine jedenfalls Bindungswirkung f�r das Gericht

52 b) Der Klagepartei ist zudem kein kausaler Schaden entstanden. Beweisbelastet f�r den Eintritt eines durch einen Versto� gegen die DSGVO verursachten Schadens ist nach allgemeinen Grunds�tzen die Klagepartei (vgl. EuGH, Urteil vom 14.12.2023 – C-340/21, BeckRS 2023, 35786). Ein Schaden resultiert nicht aus der blo�en Verletzung der DSGVO, sondern diese muss zu einer tats�chlichen Beeintr�chtigung f�hren (vgl. EuGH, Urt. v. 4.5.2023 – C-300/21; OLG M�nchen GRUR-RS 2023, 24733). Zwar kann allein der Umstand, dass eine betroffene Person infolge eines Versto�es gegen diese Verordnung bef�rchtet, dass ihre personenbezogenen Daten durch Dritte missbr�uchlich verwendet werden k�nnten, einen „immateriellen Schaden“ im Sinne dieser Bestimmung darstellen (EuGH, Urteil vom 14.12.2023 – C-340/21, BeckRS 2023, 35786).

53 Der Nachweis eines kausalen Schadens ist auch nach dem Beweisma�stab des � 287 ZPO nicht gef�hrt. Die pers�nliche Anh�rung der Klagepartei hat ergeben, dass diese geh�uft dubiose Anrufe von Unbekannten, darunter auch von ausl�ndischen Nummern und Spam-SMS sowie Nachrichten �ber WhatsApp erhalten. Nach ihrem eigenen Vortrag im Rahmen ihrer informatorischen Anh�rung hat Klagepartei hat im Zeitraum 2005 bis 2018 eine private Stellenvermittlung betrieben und im Rahmen dieser T�tigkeit auf Anfrage der Unternehmen an diese weitergegeben. F�r einen kausalen Zusammenhang mit dem durch den „Scraping“-Vorfall nach kl�gerischem Vortrag ver�ffentlichen Datensatz gibt es keinen Beleg. So ist es allgemein bekannt, dass auch Personen, die nicht bei „f“ angemeldet sind oder dort zumindest keine Telefonnummer hinterlegt haben, von Anrufen und Nachrichten, wie sie die Klagepartei beschreibt, geplagt werden. Soweit kl�gerseits ein Gef�hl des Unwohlseins und Kontrollverlustes behauptet wird, bleibt der kl�gerische Vortrag so allgemein, dass daraus ein konkreter, der gerichtlichen Bewertung zug�nglicher Schaden nicht abgeleitet werden kann. Zwar ist der Schadensbegriff weit zu verstehen, er muss jedoch auch wirklich „erlitten“, das hei�t „sp�rbar“ und objektiv nachvollziehbar sein. Woraus dieser Schaden konkret r�hren soll, ist aus dem Vortrag der Klagepartei nicht zu entnehmen.

54 2. Der Antrag auf Feststellung der Ersatzpflicht bez�glich k�nftiger Sch�den ist auch unbegr�ndet. Es fehlt bereits an einem Versto� gegen die Vorschriften der DSGVO, der Grundlage eines Schadensersatzanspruchs sein k�nnte (s.o. Ziff. 1. a). Jedenfalls ist nicht ersichtlich, welcher k�nftige, auf eine Pflichtverletzung der Beklagten zur�ckzuf�hrende Schaden der Klagepartei entstehen k�nnen sollte.

55 3. Die geltend gemachten Unterlassungsanspr�che ergeben sich nicht aus entsprechender Anwendung von � 1004 BGB in Verbindung mit dem Recht auf informationelle Selbstbestimmung und den Vorschriften der DSGVO.

56 a) Es liegt bereits kein Versto� gegen Vorschriften der DSGVO vor, der einen Unterlassungsanspruch zu begr�nden geeignet w�re (s.o. Ziff. 1. a).

57 b) Der Unterlassungsantrag zu Ziffer 6. a) der Antragsformel, der darauf gerichtet ist, die Beklagte zu verpflichten, es zu unterlassen, personenbezogene Daten der Kl�gerseite �ber eine Software zum Importieren von Kontakten zug�nglich zu machen, ohne die nach dem Stand der Technik m�glichen Sicherheitsma�nahmen vorzusehen, um die Ausnutzung des Systems f�r andere Zwecke als der Kontaktaufnahme zu verhindern, scheitert auch daran, dass die Klagepartei es selbst in der Hand hat, durch Anpassung ihrer Einstellungen �ber die Verarbeitung ihrer Daten zu disponieren. Die Klagepartei wei� sp�testens seit dem gegenst�ndlichen Rechtsstreit, wie die Suchbarkeitseinstellung funktioniert. Sie kann jederzeit ihre Telefonnummer l�schen oder in den Suchbarkeitseinstellungen insoweit die Option „nur ich“ w�hlen. Wenn sie dies nicht tut und die Dienste der Beklagten gleichwohl weiterhin in Anspruch nimmt, willigt sie in die Datenverarbeitung durch die Beklagte – und zwar in Kenntnis aller Umst�nde – ein. Dann kann sie nicht mehr mit einem Unterlassungsanspruch gegen Beklagte vorgehen.

58 c) Hinsichtlich des Unterlassungsantrags zu Ziffer 6. b), der darauf gerichtet ist, die Beklagte zu verpflichten, es zu unterlassen, die Telefonnummer der Kl�gerseite auf Grundlage einer auf nicht hinl�nglicher Information beruhenden Einwilligung zu verarbeiten, gilt insoweit das N�mliche: Die Klagepartei kann nicht einerseits ihre Einstellungen so belassen wie sie sind und andererseits von der Beklagten verlangen, dass sie die Daten nicht auf Basis dieser Einstellungen verarbeitet (so im Ergebnis auch LG Bielefeld GRUR-RS, 2022, 38375).

59 4. Die Klagepartei hat auch keinen weiteren Auskunftsanspruch gegen die Beklagte aus Art. 15 DSGVO. Allgemein bekannt kann sich jeder „f“-Nutzer die bez�glich seiner Person gspeicherten Daten herunterladen. Im vorgerichtlichen Schreiben vom 10.07.2023 (Anlage B17) wird die Vorgehensweise nochmals beschrieben. Der Anspruch auf Datenkopie aus Art. 15 Abs. 3 DSGVO ist damit erf�llt, � 362 Abs. 1 BGB. Die weiteren Informationen nach Art. 15 Abs. 1 DSGVO finden sich in der �ffentlich zug�nglichen und als Anlage B21 vorgelegten Datenrichtlinie der Beklagten, sodass auch der darauf gerichtete Anspruch erf�llt ist. Einen Anspruch auf Auskunft �ber die Datenverarbeitungst�tigkeit Dritter (n�mlich der T�ter) hat die Klagepartei gegen die Beklagte nicht. Im �brigen ist auch nicht schl�ssig dargetan, was die Beklagte �ber die von ihr mitgeteilten Informationen hinaus diesbez�glich wissen, aber nicht preisgeben sollte.

II.�Messenger-Dienst, „Off-F-Daten“, Daten�bermittlung in die USA

60 1. Der Klagepartei stehen keine Anspr�che gegen die Beklagte im Zusammenhang mit den behaupteten Vorw�rfen hinsichtlich des F-Messenger-Dienstes zu. Es fehlt bereits an einem relevanten Versto� gegen die Bestimmungen der DSGVO. Die Klagepartei hat nicht schl�ssig dargelegt, woraus sich ergeben soll, dass die Beklagte die �ber den F-Messenger-Dienst ausgetauschten Inhalte systematisch automatisiert �berwacht im Sinne eines „crawlings“ der Inhalte. Aus der Datenschutzrichtlinie der Beklagten ergibt sich solches jedenfalls nicht. Die Beklagte hat vielmehr plausibel dargelegt, dass sie die �bertragenen Nachrichten entsprechend der gesetzlichen Vorgaben, insbesondere der ePrivacy-Richtlinie, behandelt und ein zul�ssiges CSAM (child sexual abuse material)-Scanning zur Identifikation kinderpornographischer Inhalte durchf�hrt. Soweit die Klagepartei die L�nge und Un�bersichtlichkeit der Datenschutzrichtlinie der Beklagten r�gt, l�sst sich kein Versto� gegen Art. 13, 14 DSGVO erkennen. Die umfangreichen datenschutzrechtlichen Anforderungen, die von Rechts wegen an die Beklagte gestellt werden, in Verbindung mit der Komplexit�t der von der Beklagten zur Verf�gung gestellten Dienstleistungen lassen keine knappere oder einfachere Darstellung der datenschutzrechtlichen Rahmenbedingungen zu. Dass die Beklagte die �ber den Messenger-Dienst ausgetauschten Inhalte als solche speichert und an den Adressaten �bermittelt, ist zur Bereitstellung dieser Dienstleistung unumg�nglich, Art. 6 Abs. 1 Buchst. b DSGVO. F�r einen Versto� gegen das Gebot der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) sieht das Gericht deswegen ebenfalls keine Anhaltspunkte. Das CSAM-Scanning ist von Art. 6 Abs. 1 Buchst. f DSGVO gedeckt. Im �brigen ist es der Klagepartei – wie jedem „...„-Nutzer -selbst �berlassen, ob sie den Messenger-Dienst �berhaupt verwenden will oder nicht.

61 2. Der Klagepartei stehen auch keine Anspr�che gegen die Beklagte im Zusammenhang mit den behaupteten Vorw�rfen hinsichtlich der „Off-F-Daten“ zu.

62 a) Auch insoweit ist kein datenschutzrechtlicher Versto� ersichtlich. Die Verarbeitung von Daten im Zusammenhang mit „Aktivit�ten au�erhalb der M-Technologien“ („Off-F-Daten“) ist durch die Einwilligung des Nutzers gedeckt, Art. 6 Abs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO. Nach dem Vortrag der Beklagten, an dessen Richtigkeit das Gericht keine Zweifel hat, holt sie die Einwilligung der Nutzer mittels eines im Schriftsatz vom 15.01.2024 auf S. 11 abgebildeten Cookie-Banners ein. Die entsprechenden Einstellungen werden durch Hinweise nachvollziehbar beschrieben und k�nnen vom Benutzer nachtr�glich abge�ndert werden. Die Klagepartei ist bei „f“ angemeldet, so dass sie selbst die entsprechenden Einstellungen vornehmen kann. Wie es sich bei Personen verh�lt, die nicht bei „f“ angemeldet sind, kann dahinstehen, weil die Klagepartei nicht zu diesem Personenkreis geh�rt. Dass die Schaltfl�che „Alle Cookies erlauben“ blau eingef�rbt ist, stellt keinen Versto� gegen Art. 25 Abs. 2 DSGVO (datenschutzfreundliche Voreinstellung) dar. Denn es handelt sich um keine „Voreinstellung“, sondern um eine �bliche und erlaubte optische Hervorhebung, die die aktive Entscheidungsm�glichkeit des Nutzers unber�hrt l�sst. Soweit die Beklagte Informationen von Cookies und �hnlichen Technologien von Dritten erh�lt, verarbeitet sie sie nach eigenen Angaben ohne Zustimmung des Nutzers nur zu Sicherheits- und Integrit�tszwecken, was durch Art. 6 Abs. 1 Buchst. b ff. DSGVO bzw. Art. 9 Abs. 2 Buchst. b ff. DSGVO gedeckt ist. Substanziell Entgegenstehendes wurde durch die Klagepartei nicht in den Rechtsstreit getragen.

63 b) Soweit die Beklagte bis zum Beschluss des Bundeskartellamts vom 06.02.2019 (s. Pressemitteilung vom 07.02.2019, Anlage K-E-4) die „Off-F-Daten“ ohne eine erforderliche Einwilligung verarbeitet haben sollte, wird schon nicht vorgetragen, dass die Beklagte „Off-F-Daten“ aus diesem Zeitraum bezogen auf die Klagepartei �berhaupt noch vorh�lt. Im �brigen w�ren daraus resultierende Anspr�che der Klagepartei jedenfalls verj�hrt, �� 195, 199 Abs. 1, 214 Abs. 1 BGB. Die Klagepartei musste jedenfalls infolge der vorgenannten Pressemittteilung die tats�chlichen Anspruchsvoraussetzungen kennen oder sich dem Vorwurf grob fahrl�ssiger Unkenntnis aussetzen. Verj�hrung w�re somit zum Ende des Jahres 2022 eingetreten.

64 3. Der Klagepartei stehen schlie�lich keine Anspr�che gegen die Beklagte im Zusammenhang mit den behaupteten Vorw�rfen im Zusammenhang mit der Daten�bermittlung in die USA zu.

65 a) Eine rechtswidrige Daten�bermittlung kann das Gericht nicht erkennen. Die Plattform „f“ und der M-Konzern stammen aus den USA. „F“ ist als globale Plattform konzipiert. Um dieses weltweite Netzwerk unterhalten zu k�nnen, m�ssen zwangsl�ufig Daten international ausgetauscht werden. Dass in diesem Zusammenhang auch Daten durch die Beklagte in die USA �bermittelt werden, liegt folglich nahe. Dieses Erfordernis ist auch unabh�ngig davon, ob die Klagepartei mit USamerikanischen „f“-Nutzern „befreundet“ ist oder nicht. Denn allein die Suche nach Nutzern in anderen Rechtsgebieten kann nur funktionieren, wenn ein grenz�berschreitender Datenaustausch stattfindet. All dies muss jedem „f“-Nutzer, auch der Klagepartei, hinl�nglich bekannt sein. Die Klagepartei hat keinen Anspruch darauf, dass „f“ dergestalt betrieben wird, dass s�mtliche Daten in Europa gespeichert und verarbeitet werden im Sinne eines rein europ�ischen „f “. Die unternehmerische Entscheidung des Betreibers der Plattform „f “, Daten in den Vereinigten Staaten von Amerika zu verarbeiten, ist von den Nutzern hinzunehmen, zumal niemand dazu gezwungen wird, die Plattform „f “ zu nutzen.

66 b) Die Daten�bermittlung ist daher grunds�tzlich zur Vertragserf�llung erforderlich, Art. 6 Abs. 1 Buchst. b DSGVO. Daf�r, dass die Beklagte, was die Klagepartei letztlich behauptet, dar�ber hinaus ihren gesamten Datenbestand dem amerikanischen Auslandsgeheimdienst voraussetzungslos zur freien Verf�gung stellt, gibt es keine hinreichenden tats�chlichen Anhaltspunkte. Was die USamerikanische Regierung insoweit „zugegeben“ haben soll, wird kl�gerseits nicht konkret dargelegt. Die Beklagte jedenfalls hat solches bestritten und Beweis wurde kl�gerseits nicht gef�hrt.

67 c) Die Voraussetzungen f�r die Daten�bermittlung in Drittl�nder nach Kapitel V DSGVO werden von der Beklagten eingehalten.

68 i. Aktuell erfolgt die Daten�bermittlung aufgrund des Angemessenheitsbeschlusses der Kommission vom 10.07.2023. Dieser stellt eine taugliche Grundlage f�r die Daten�bermittlung dar, Art. 45 Abs. 3 DSGVO. Eine weitergehende �berpr�fung der Angemessenheit des Schutzniveaus er�brigt sich dadurch.

69 ii. F�r den vorangegangenen Zeitraum stellen die von der Kommission erlassenen Standardvertragsklauseln 2010 und 2021 in Verbindung mit Art. 46 Abs. 1, Abs. 2 Buchst. c) DSGVO eine ausreichende Rechtsgrundlage dar.

70 Nach Art. 46 Abs. 1 DSGVO m�ssen den Betroffenen durchsetzbare�Rechte und wirksame Rechtsbehelfe zur Verf�gung stehen, um ein dem EU-Recht gleichwertiges Schutzniveau zu gew�hrleisten. Die Klagepartei r�gt insoweit, dass der USamerikanische Rechtsbehelfsmechanismus auf einer Verordnung der Regierung und nicht auf formellem Gesetz beruhe. Auch bei einer Verordnung handelt es sich aber um ein Gesetz im materiellen Sinne. Wieso hierdurch kein gleichwertiger Rechtsschutz zur Verf�gung gestellt werden k�nne, ist nicht zu erkennen.

71 iii. Schlie�lich ist die Daten�bermittlung, wie bereits oben unter Buchst. a) ausgef�hrt, zur Vertragserf�llung erforderlich und damit auf Grundlage von Art. 49 Abs. 1 S. 1 b DSGVO zul�ssig.

72 iv. Soweit Datenschutzbeh�rden abweichende Auffassungen vertreten, sind diese f�r das Gericht nicht bindend.

73 d) F�r eine Verletzung von Art. 5 Abs. 1 Buchst. f bzw. Art. 32 DSGVO ist schl�ssig nichts vorgetragen. Wieso Anlass zur Annahme bestehen sollte, dass die Beklagte die Daten der Klagepartei in technischer oder organisatorischer Hinsicht nicht hinl�nglich sch�tzt, ergibt sich aus dem Klagevortrag nicht.

74 e) Eine Verletzung von Art. 13 DSGVO kann das Gericht ebenfalls nicht erkennen. Die Beklagte hat die Fundstellen genannt, unter denen sich der Nutzer �ber die Notwendigkeit der Daten�bermittlung an ausl�ndische Unternehmen, namentlich die M, Inc., wie auch �ber die Beauskunftung von Regierungsanfragen informieren kann. Dass die Beklagte ihrer Informationspflicht nicht nachgekommen w�re, ist nicht ersichtlich.

75 f) Soweit US-Regierungsbeh�rden einschlie�lich der Geheimdienste von M, Inc., nach USamerikanischem Recht Ausk�nfte verlangen k�nnen, ist dies Folge der rechtm��igen Daten�bermittlung in den Herrschaftsbereich der Vereinigten Staaten von Amerika. Diese M�glichkeit steht der Gew�hrleistung eines im Wesentlichen gleichen Schutzniveaus nicht entgegen, da sie auch unter europ�ischem Datenschutzregime nach Art. 6 Abs. 1 Buchst. c DSGVO (Erf�llung einer rechtlichen Verpflichtung) zul�ssig w�re.

76 4. F�r einen Schadensersatzanspruch aus Art. 82 DSGVO fehlt es zudem an einem kausalen Schaden der Klagepartei. Diese berichtete im Rahmen ihrer informatorischen Anh�rung nicht von irgendwelchen �ngsten oder sonstigen Folgen der Daten�bermittlung. F�r einen Schaden der Klagepartei ist daher nichts ersichtlich.

77 5. Auskunftsanspr�che nach Art. 15 DSGVO stehen der Klagepartei gegen die Beklagte nicht zu.

78 a) Soweit begehrt wird Auskunft bez�glich der Daten „aus der �berwachung des F-Messengers“ zu erteilen, „Chat-Protokolle vorzulegen und deren interne Bewertung offenzulegen“, k�nnen die Chat-Verl�ufe durch die Klagepartei selbst heruntergeladen werden, wie von der Beklagten in ihrem vorgerichtlichen Schreiben (Anlage B33) umfassend beschrieben wird. Der Auskunftsanspruch ist dadurch erf�llt, � 362 Abs. 1 BGB. Was unter einer „internen Bewertung“ zu verstehen sein soll, erschlie�t sich dem Gericht nicht; eine Subsumtion unter eine der Kategorien des Art. 15 Abs. 1 DSGVO ist insoweit nicht m�glich.

79 b) Soweit Auskunft begehrt wird, welche „Off-F-Daten“ durch die Beklagte an der IP-Adresse der Kl�gerseite gesammelt und zu welchem Zweck sie gespeichert und verwendet wurden, verweist die Beklagte in ihrem vorgerichtlichen Schreiben (B33) ebenfalls zu Recht auf die von ihr zur Verf�gung gestellte Selbstauskunftsm�glichkeit und hinsichtlich der Verarbeitungszwecke auf eine bestimmte Seite im Hilfebereich. Die Auskunft ist damit erteilt, � 362 Abs. 1 BGB.

80 c) Hinsichtlich etwaiger an die NSA �bermittelter Daten kann die Beklagte die Auskunft verweigern, weil zum einen eine Geheimhaltungspflicht nach USamerikanischem Rechts besteht und es sich zum anderen um ihrem Wesen nach geheimhaltungsbed�rftige Informationen handelt, Art. 23 DSGVO i.V.m. � 29 Abs. 1 S. 2 BDSG, wobei sich letztgenannte Vorschrift entgegen der Auffassung der Klagepartei schon dem Wortlaut nach nicht auf Berufsgeheimnistr�ger beschr�nkt. Es versteht sich von selbst, dass die Information, ob und welche Ausk�nfte an Geheimdienste erteilt werden, ihrem Wesen nach geheimhaltungsbed�rftig ist. Im �brigen erfolgt die Beauskunftung an die NSA nicht durch die Beklagte, sondern durch die M, Inc., so dass die Beklagte hinsichtlich eines Auskunftsanspruchs auch nicht passivlegitimiert w�re.

81 6. Die L�schantr�ge nach Art. 17 DSGVO (Ziff. 11 und 12 der Klageantr�ge) gehen ins Leere, weil sie unter der Voraussetzung gestellt sind, dass die Datenverarbeitung „anlasslos“ erfolgt. Selbst wenn man diesem Begriff die Bedeutung „nicht notwendig“ (Art. 17 Abs. 1 Buchst. a DSGVO), „ohne Rechtsgrundlage“ (Art. 17 Abs. 1 Buchst. b DSGVO), oder „unrechtm��ig“ (Art. 17 Abs. 1 Buchst. d DSGVO) beimessen wollte, liegen diese Voraussetzungen, wie unter Ziffer 1. bis 2. ausgef�hrt, nicht vor.

82 7. S�mtliche Unterlassungsanspr�che scheitern am Fehlen eines Versto�es gegen die DSGVO, s.o. Ziff. 1 bis 3. Bez�glich der „Off-F-Daten“ tritt hinzu, dass es der Nutzer selbst in der Hand hat, die diesbez�glichen Einstellungen zu verwalten. Die Klagepartei handelt widerspr�chlich, wenn sie die Einstellungen so bel�sst, wie sie sind, und andererseits von der Beklagten verlangt, die Daten nicht auf Grundlage dieser Einstellungen zu verarbeiten.

III.�Vorgerichtliche Kosten

83 Mangels zuzusprechender Hauptforderung besteht auch kein Anspruch auf Erstattung vorgerichtlicher Rechtsverfolgungskosten.

84 I.�Die Kostenentscheidung beruht auf � 91 ZPO.

85 II.�Die vorl�ufige Vollstreckbarkeit ergibt sich aus � 709 ZPO.

86 III.�Die Streitwertfestsetzung beruht auf �� 39 Abs. 1, 43 Abs. 1, 48 Abs. 1 S. 1 GKG, 3 ZPO.

87 Das Gericht bewertet die Antr�ge wie folgt:

Ziffer

Wert

3.000,-

500,-

2.000,-

2.500,-

500,-

Leitsatz

Soweit die Suchbarkeitseinstellungen f�r einen Kunden eines sozialen Netzwerks im Internet anhand der Telefonnummer als Voreinstellung "Alle“ vorgesehen haben, ist dies nicht zu beanstanden, weil der Zweck eines „sozialen Netzwerks“ generell und insbesondere des „Contact-Import-Tools“ der hier betroffenen Plattform nur dadurch erreicht werden kann, dass Nutzer dieses Netzwerks von anderen auch gefunden werden k�nnen. (Rn. 45) (redaktioneller Leitsatz)

titelzeile

Erfolglose Schadensersatzklage wegen Verbreitung von Daten von Plattfornutzern durch Dritte

LG Passau 4. Zivilkammer, 2024-04-09, 4 O 260/23

Regest