OLG M�nchen 36. Zivilsenat — 2025-06-06 — 36 U 1891/24 e — Endurteil

Entscheidungsdatum: 2025-06-06

Aktenzeichen: 36 U 1891/24 e

Dokumenttyp: Endurteil

Tenor

I. Auf die Berufung des Kl�gers wird das Urteil des Landgerichts M�nchen II vom 17.04.2024, Az. 10 O 2159/23, abge�ndert:

1. Die Beklagte wird verurteilt, an den Kl�ger 200,00 € nebst Zinsen hieraus in H�he von�5 Prozentpunkten �ber dem jeweiligen Basiszinssatz seit 01.08.2023 zu bezahlen.

2. Es wird festgestellt, dass die Beklagte verpflichtet ist, dem Kl�ger alle k�nftigen Sch�den zu ersetzen, die dem Kl�ger durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten im Jahr 2019 entstanden sind und/oder noch entstehen werden.

3. Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, eine Verarbeitung personenbezogener Daten des Kl�gers, welche da sind Telefonnummer, F.-ID, Familienname, Vorname, Geschlecht, Land, �ber die Eingabe der Telefonnummer des Kl�gers in das Kontakt-Import-Tool und die dar�ber hergestellte Verkn�pfung der eingegebenen Telefonnummer mit weiteren �ffentlichen personenbezogenen Daten des Nutzerprofils der Kl�gerseite zu erm�glichen, ohne dass die Beklagte zum Zeitpunkt der Verwendung des Kontakt-Import-Tools unter Eingabe der Telefonnummer Sicherheitsma�nahmen in Form einer Implementierung von Sicherheits-CAPTCHAs und der �berpr�fung massenhafter IP-Abfragen oder vergleichbare Sicherheitsma�nahmen vorh�lt.

4. Die Beklagte wird verurteilt, an den Kl�ger vorgerichtliche Rechtsanwaltskosten in H�he von 280,60 € nebst Zinsen hieraus in H�he von 5 Prozentpunkten �ber dem jeweiligen Basiszinssatz seit 01.08.2023 zu zahlen.

5. Im �brigen wird die Klage abgewiesen.

II. Die weitergehende Berufung des Kl�gers wird zur�ckgewiesen.

III. Von den Kosten des Rechtsstreits beider Instanzen tragen der Kl�ger 57% und die Beklagte 43%.

IV. Das Urteil ist vorl�ufig vollstreckbar.

Beschluss

Der Streitwert wird f�r das Berufungsverfahren auf 4.000,00 € festgesetzt.

Gründe

I.

1 Der Kl�ger macht gegen die Beklagte Anspr�che auf Schadensersatz, Feststellung und Unterlassung wegen behaupteter Verst��e gegen die Verordnung (EU) 2016/679 (Datenschutzgrundverordnung; im Folgenden: DS-GVO) geltend.

2 Die Beklagte, die ihren Sitz in Irland hat, betreibt auf dem Gebiet der Europ�ischen Union das soziale Netzwerk F..

3 Im Zuge des Registrierungsprozesses m�ssen die Nutzer Informationen angeben, darunter Name und Geschlecht, die neben der Nutzer-ID immer �ffentlich einsehbar sind. Daneben k�nnen die Nutzer in ihrem Profil weitere Daten zu ihrer Person (Mobilfunknummer, E-Mail-Adresse, Wohnort, Geburtsdatum, Stadt, Beziehungsstatus) hinterlegen und im von der Beklagten vorgegebenen Rahmen dar�ber entscheiden, welche anderen Gruppen von Nutzern („Freunde“, [auch] „Freunde von Freunden“, „�ffentlich“) auf diese Daten zugreifen k�nnen („Zielgruppenauswahl“). Soweit keine individuellen Einstellungen gew�hlt wurden, war im relevanten Zeitraum die Auswahl auf „Freunde“ voreingestellt.

4 Die „Suchbarkeits-Einstellungen“ legen fest, wer das Profil eines Nutzers unter anderem anhand der Telefonnummer finden kann. Standardm��ig war die Suchbarkeit auf „Alle“ eingestellt. Dieser Kreis konnte stattdessen auf „Freunde“, „Freunde von Freunden“ oder ab Mai 2019 zus�tzlich auf „Nur ich“ begrenzt werden.

5 Die Beklagte erm�glichte es Nutzern bis September 2019, ihre auf dem Mobilger�t gespeicherten Kontakte mit den bei F. hinterlegten Telefonnummern abzugleichen, um die dahinterstehenden Personen als Freunde hinzuzuf�gen (Kontakt-Import-Funktion, auch CIT). Diese M�glichkeit bestand auch, wenn die Zielgruppenauswahl des jeweiligen Nutzers im Hinblick auf die Telefonnummer nicht auf „�ffentlich“ gestellt und damit nicht f�r Dritte einsehbar war.

6 Unabh�ngig davon besteht f�r die Nutzer die M�glichkeit, ihren Account durch eine sogenannte „Zwei-Faktor-Authentifizierung“ mittels �bermittlung der eigenen Mobilfunknummer an die Beklagte zu sichern.

7 �ber Funktion und Bedeutung der Privatsph�re-Einstellungen informierte die Beklagte ihre Nutzer unter anderem im Hilfebereich des Nutzerkontos. Daneben stellte sie eine Datenrichtlinie bereit, die sie im April 2018 anpasste.

8 In einem zwischen den Parteien streitigen Zeitraum ordneten unbekannte Dritte durch die automatisierte und massenhafte Eingabe randomisierter Ziffernfolgen �ber die Kontakt-Import-Funktion des Netzwerks Telefonnummern Nutzerkonten zu und griffen jedenfalls die zu diesen Nutzern vorhandenen – immer �ffentlich einsehbaren und/oder aufgrund der individuellen Zielgruppenauswahl �ffentlich gestellten – Daten ab (sog. Scraping). Das Scraping verstie� gegen die Nutzungsbedingungen von F..

9 Die auf diese Weise erlangten und nunmehr mit einer Telefonnummer verkn�pften Daten von ca. 533�Millionen Nutzern aus 106 L�ndern wurden im April 2021 im Internet �ffentlich verbreitet. Die Beklagte stellte am 06.04.2021 im Artikel „Die Fakten zu Medienberichten �ber F.-Daten“ klar, dass es sich um �ffentlich einsehbare Informationen handelte (Anlage B10). Die Beklagte informierte die zust�ndige Datenschutzbeh�rde nicht �ber den Vorfall. Mittlerweile hat die Beklagte die „Menschen, die du kennen k�nntest“-Funktion implementiert, die nicht mehr die direkten Kontakt�bereinstimmungen anzeigt, sondern neben dem Telefonnummernabgleich weitere Indikatoren f�r eine soziale Verbindung der Nutzer heranzieht.

10 Der Kl�ger unterhielt seit November 2010 ein Nutzerkonto bei F.. Er hatte sich mit der EMail-Adresse ich@werwolfen.de angemeldet und auf dem Netzwerk pers�nliche Daten eingestellt, von 2016 an auch die Telefonnummer. Die Suchbarkeits-Einstellung hatte der Kl�ger bis mindestens September 2019 auf dem Standard „Alle“/„Everyone“ belassen, so dass er mithilfe der Kontakt-Import-Funktion von Dritten �ber seine Telefonnummer gefunden werden konnte. Durch das Scraping wurden jedenfalls die Nutzer-ID, der Vorname und das Geschlecht des Kl�gers abgerufen.

11 Die Beklagte informierte den Kl�ger nicht dar�ber, dass seine Daten durch Dritte abgegriffen wurden. Es fand weder eine pers�nliche Benachrichtigung noch eine allgemein �ffentliche Bekanntmachung �ber den Scraping-Vorfall statt. Auch die zust�ndige irische Datenschutzbeh�rde (Irish Data Protection Commission) wurde durch die Beklagte zun�chst nicht �ber den Vorfall informiert. Mit – nicht rechtskr�ftiger – Entscheidung vom 28.11.2022 verh�ngte die irische Datenschutzbeh�rde gegen die Beklagte auf Grund des Scraping-Vorfalls eine Geldbu�e in H�he von 265 Millionen Euro.

12 Die Beklagte �bermittelte dem Kl�gervertreter mit Schreiben vom 23.08.2021 eine Anleitung zur Einsichtnahme in die bei der Beklagten hinterlegten Informationen und deren Verwendung (Anlage K2). Die Kl�gervertreter forderten die Beklagte mit E-Mail vom 30.12.2022 zur Zahlung von Schadensersatz in H�he von 1.000,00 €, Unterlassung zuk�nftiger Zug�nglichmachung der Daten des Kl�gers an unbefugte Dritte und zur Auskunft �ber die abgegriffenen und ver�ffentlichten Daten auf (Anlage K1).

13 Der Kl�ger hat erstinstanzlich unter anderem vorgetragen, der Datenschutzvorfall habe sich im Jahr 2019 ereignet. Der ihn betreffende, vom Scraping betroffene Datensatz, habe gelautet:

… … (Anm.: Telefonnummer, F.-ID, Name, Geschlecht, Wohnort).

14 Zum Beweis hierf�r wurde der Augenschein des Leak-Datensatzes angeboten.

15 Der Kl�ger tr�gt vor, seit April 2021 erhalte er vermehrt dubiose Nachrichten und E-Mails.

16 Der Kl�ger hat erstinstanzlich beantragt,

1.Die Beklagte wird verurteilt, an die Kl�gerseite immateriellen Schadensersatz in angemessener H�he zu zahlen, dessen H�he in das pflichtgem��e Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

2.Es wird festgestellt, dass die Beklagte verpflichtet ist, der Kl�gerseite alle k�nftigen Sch�den zu ersetzen, die der Kl�gerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3.Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a. personenbezogenen Daten der Kl�gerseite, namentlich Telefonnummer, F.lD, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten �ber eine Software zum Importieren von Kontakten zug�nglich zu machen, ohne die nach dem Stand der Technik m�glichen Sicherheitsma�nahmen vorzusehen, um die Ausnutzung des Systems f�r andere Zwecke als der Kontaktaufnahme zu verhindern,

b. die Telefonnummer der Kl�gerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der un�bersichtlichen und unvollst�ndigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen dar�ber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierf�r die Berechtigung verweigert und, im Falle der Nutzung der F.-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird.

4. Die Beklagte wird verurteilt der Kl�gerseite Auskunft �ber die Kl�gerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empf�nger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten.

5. Die Beklagte wird verurteilt, an die Kl�gerseite vorgerichtliche Rechtsanwaltskosten in H�he von 887,03 € zu zahlen zuz�glich Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

17 Die Beklagte hat in erster Instanz Klageabweisung beantragt und unter anderem eingewandt, das Daten-Scraping habe im Zeitraum von Januar 2018 bis September 2019 stattgefunden. Es sei nur m�glich gewesen, Nutzer anhand einer Telefonnummer zu finden, wenn die Suchbarkeitseinstellung auf „Alle“ gestellt gewesen sei. Im April 2018 habe sie die Suche von Nutzern anhand der Telefonnummer in der F.-Suchfunktion deaktiviert; die Kontakt-Import-Funktion habe fortbestanden. Die vom Kl�ger behaupteten unerw�nschten Kontaktaufnahmen Dritter und den Zusammenhang mit dem Scraping hat die Beklagte bestritten.

18 Die Beklagte tr�gt unter Bezugnahme auf ihr Schreiben an den Kl�ger vom 06.02.2023 (Anlage B 16) vor, sie halte keine Kopie der Rohdaten mit den durch Scraping abgerufenen Daten. Auf Grundlage der bislang vorgenommenen Analysen sei es der Beklagten jedoch gelungen, der Nutzer-ID des Kl�gers die folgenden Datenkategorien zuzuordnen, die nach ihrem Verst�ndnis in den durch Scraping abgerufenen Daten erscheinen und mit den auf dem F.-Profil des Kl�gers verf�gbaren Informationen �bereinstimmen (die „Datenpunkte“):

Nutzer ID

Vorname

Land

Geschlecht

19 Die Beklagte bestreitet mit Nichtwissen, dass die aufgef�hrten angeblichen Datenpunkte Nachname, Wohnort und Stadt der Klagepartei in den durch Scraping abgerufenen Daten enthalten seien. Sie betont, dass nach ihrem Verst�ndnis der Datenpunkt „Land“ eines Nutzers von den unbefugten Dritten anhand der Telefonnummern ermittelt worden sei. Sie bestreite daher, dass die Datenpunkte „Land“ und „Telefonnummer“ vom F.-Profil der Klagepartei abgerufen wurden. Was den Datenpunkt „Bundesland“ angehe, so gebe es kein korrespondierendes Profilfeld auf der F.Plattform, so dass die Information dort auch nicht abgegriffen worden sein kann. W�hrend der kl�gerische (Nutzer-)Name, Geschlecht und Nutzer-ID immer �ffentlich einsehbar seien, sei die Sichtbarkeit der sonstigen Daten, welche die Klagepartei nunmehr auff�hrt – Wohnort und Stadt – von der Zielgruppenauswahl der Klagepartei abh�ngig gewesen.

20 Das Landgericht M�nchen II hat mit Endurteil vom 17.04.2024 die Klage abgewiesen.

21 Das Landgericht hat beide Unterlassungsantr�ge als unzul�ssig abgewiesen. Die Antr�ge seien nicht hinreichend bestimmt i. S. d. � 253 Abs. 2 Nr. 2 ZPO. Zudem fehle das Rechtsschutzbed�rfnis. Auch der Feststellungsantrag sei unzul�ssig, da es an einem notwendigen Feststellungsinteresse im Sinne des � 256 Abs. 1 ZPO fehle. Im �brigen wurde die zul�ssige Klage auf immateriellen Schadenersatz und auf Auskunft sowie auf Ersatz der vorgerichtlichen Rechtsanwaltskosten als unbegr�ndet abgewiesen. Ein Schadensersatzanspruch scheide aus. Dabei k�nne dahinstehen, ob ein Versto� gegen die DS-GVO vorliege und der Kl�ger von dem Scraping-Vorfall betroffen sei, da jedenfalls der Nachweis eines kausal auf etwaigen Verst��en beruhenden Schadens nicht gelungen sei.

22 Soweit der Kl�ger seinen immateriellen Schaden auf die Ver�ffentlichung derjenigen Daten st�tze, die auf seinem Profil bei der Beklagten als „immer �ffentlich“ eingestellt waren (Name, Wohnort und F.-ID), scheide die Annahme eines immateriellen Schadens schon deswegen aus, weil sich der Kl�ger durch seine im Zuge der Registrierung auf der Plattform der Beklagten erkl�rte Zustimmung mit den dort geltenden Nutzungsbedingungen damit einverstanden erkl�rt habe, dass diese Daten in die �ffentlichkeit gelangen. Allerdings handele es sich bei der Telefonnummer in Verbindung mit seinem Vor- und Nachnamen um personenbezogene Daten, die er nicht der �ffentlichkeit habe zug�nglich machen wollen. Jedoch reiche sein Vortrag zu einem angeblichen Kontrollverlust nicht aus, um einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DS-GVO zu begr�nden. Die unter Ziff. 4) verfolgte Auskunftsklage sei unbegr�ndet, da die Beklagte dem Kl�ger bereits au�ergerichtlich Auskunft erteilt habe. Die Nebenforderungen (Rechtsanwaltskosten, Zinsen) teilten das Schicksal der Hauptforderungen.

23 Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf die tats�chlichen Feststellungen des angefochtenen Urteils (� 540 Abs. 1 Nr. 1 ZPO), wegen der Antr�ge erster Instanz wird auf den dortigen Tatbestand Bezug genommen.

24 Gegen diese Entscheidung wendet sich der Kl�ger mit der form- und fristgerecht eingelegten Berufung.

25 Der Kl�ger datiert den Datenvorfall auf September 2019. Er habe keine Kenntnis von den zwei Einstellungsm�glichkeiten zur Sichtbarkeit und zur Suchbarkeit gehabt. Er bestreitet, dass das Auffinden des Nutzer-Profils mittels Eingabe der Telefonnummer im CIT nur m�glich gewesen sei, wenn die Suchbarkeitseinstellung auf „Everyone“ eingestellt gewesen seien.

26 Der Kontrollverlust habe beim Kl�ger ein Gef�hl des Unbehagens und der Sorge vor einem m�glichen Missbrauch seiner pers�nlichen Informationen hinterlassen. Er erhalte seit dem Vorfall unregelm��ig Kontaktversuche �ber sein Telefon in Form von SMS und/oder Anrufen, die Betrugsversuche und potentielle Virenlinks enthielten. H�ufig w�rden dabei bekannte Plattformen und Zahlungsdienstleister wie Amazon oder PayPal oder Anbieter wie DHL, Netflix etc. imitiert, um mit den gestohlenen Daten Vertrauen zu erwecken und um an weitere Daten zu gelangen. Der Kl�ger hege verst�rktes Misstrauen gegen�ber diesen Kontaktversuchen von unbekannten Nummern und Adressen, da er bei jedem Kontakt einen Betrug oder �hnliches bef�rchte. Der Kl�ger gebe seine Telefonnummer stets bewusst und zielgerichtet weiter und mache diese nicht wahl- und grundlos der �ffentlichkeit zug�nglich.

27 Der Kl�ger ist der Ansicht, der Anwendungsbereich des Art. 82 DS-GVO sei er�ffnet. Die Beklagte habe gegen Art. 5 Abs. 1, 13, 14, 15 DS-GVO versto�en, da ihre Informationen nicht transparent und leicht verst�ndlich gewesen seien, sondern umfangreich und verschachtelt mit Links und Unterlinks. Insbesondere sei kein Hinweis auf die Verwendung der Mobilfunknummer f�r das CIT erfolgt. Des Weiteren sei Art. 6 DS-GVO verletzt, da der Kl�ger in die Nutzung seiner nicht �ffentlich geteilten Mobilfunknummer nicht wirksam eingewilligt habe. Die Suchbarkeit des Profils durch Dritte anhand der Mobilfunknummer sei f�r die Erf�llung des zwischen den Parteien geschlossenen Vertrags nicht erforderlich gewesen, ebenso wenig wie f�r die Wahrung der berechtigten Interessen der Beklagten oder Dritter. Die Beklagte habe au�erdem gegen Art. 32 DS-GVO und das Gebot des Datenschutzes durch Technikgestaltung versto�en; ihre technischen und organisatorischen Ma�nahmen seien nicht ausreichend gewesen. Die Beklagte habe das Gegenteil zu beweisen. Wenn aber die Beklagte ein Tool zur Datenverarbeitung implementiert, hier also das CIT, sei durch geeignete technische und organisatorische Ma�nahmen die Sicherheit der personenbezogenen Daten zu gew�hrleisten. Eine Zustimmung zu den Datenschutzhinweisen als Allgemeine Gesch�ftsbedingungen gereiche dem Kl�ger wegen �� 309 Nr. 12 Buchst. b), 308 Nr. 6 BGB nicht zum Nachteil. Ferner liege ein Versto� gegen die Grunds�tze der datenschutzfreundlichen Voreinstellungen „Privacy by Design“ und „Privacy by Default“ i. S. d. Art. 24, 25 DS-GVO vor. Dem Nutzer werde im Registrierungsprozess suggeriert, dass er seine Mobilfunknummer zum Zwecke der die Sicherheit erh�henden „Zwei-Faktor-Authentifizierung“ hinterlege. Schlie�lich habe die Beklagte ihre Meldepflicht gegen�ber der zust�ndigen Aufsichtsbeh�rde nach Art. 33 DS-GVO und ihre Benachrichtigungspflicht gegen�ber dem Kl�ger nach Art. 34 DS-GVO verletzt.

28 Letztlich habe sie keine Datenschutz-Folgenabsch�tzung nach Art. 35 DS-GVO vorgenommen.

29 Die Beklagte m�sse beweisen, keinen Versto� gegen die DS-GVO ver�bt zu haben.

30 Die Beklagte sei wegen des Auskunftsrechts nach Art. 15 DS-GVO verpflichtet, weitere Informationen zum Empf�nger der Daten mittels Logfiles zur Verf�gung zu stellen.

31 Art. 82 DS-GVO erfasse materielle und immaterielle Sch�den. Eine Erheblichkeitsschwelle m�sse nicht erreicht werden. Allein der Kontrollverlust des Kl�gers sei bereits ein Schaden, der sich seit dem Datenleck durch Kontaktversuche unbekannter Dritter mit dem Ziel der Erlangung weiterer Daten manifestiert habe. �ngste, Stress, Komfort- und Zeiteinbu�en stellten einen immateriellen Schaden dar und w�rden durch die Verbreitung der Daten im Darknet vergr��ert. Telekommunikationsdaten geh�rten zu den hoch sensiblen Daten. Die Kausalit�t des Datenlecks bei der Beklagten f�r die Spams habe der Kl�ger best�tigt. Es liege an der Beklagten, den Beweis zu f�hren, dass der Versto� nicht zu einem Schaden beim Kl�ger gef�hrt habe.

32 F�r die H�he des Schadensersatzes m�sse die Vielzahl der Verst��e gegen die DS-GVO Ber�cksichtigung finden und der Umstand, dass dies die Gesch�ftsgrundlage der Beklagten darstelle. Sie lebe aus Gewinnstreben das Gegenteil des Grundsatzes Privacy by Default und ergreife nur Schein- bzw. Minimalma�nahmen bez�glich Information, Mitteilung, Auskunft, Technik und Organisation. Die Kriterien des Art. 83 DS-GVO wie Art, Schwere und Dauer des Versto�es, Grad des Verschuldens und Ma�nahmen zur Minderung des Schadens seien entsprechend anwendbar. Den Kl�ger treffe kein Mitverschulden wegen fehlender �nderung der Einstellungen. Ein Abgreifen der Daten w�re trotzdem m�glich gewesen.

33 Aus Art. 82 DS-GVO k�nne auch der Feststellungsanspruch f�r zuk�nftige materielle und immaterielle Sch�den abgeleitet werden. Es sei derzeit noch nicht absehbar, welche unbekannten Dritten Zugriff auf die Daten des Kl�gers erhalten haben und f�r welche kriminellen Zwecke sie missbraucht werden. Die M�glichkeit eines Schadenseintritts gen�ge. Gegebenenfalls m�sse sich der Kl�ger eine neue Mobilfunknummer zulegen. Die Beklagte habe nicht substantiiert behauptet, die Ma�nahmen zum CIT ausreichend korrigiert zu haben.

34 Der Unterlassungsanspruch sei zul�ssig, da ausreichend bestimmt. Mit Blick auf den Effektivit�tsgedanken k�nne der Unterlassungsanspruch zu einer aktiven Beseitigungspflicht f�hren. Der Leistungsanteil stelle eine blo� unselbst�ndige Nebenpflicht zum Unterlassen dar. Die Anspruchsgrundlage bildeten �� 280 Abs. 1, 241 Abs. 2 BGB, Art. 17 DS-GVO und �� 1004 Abs. 1 S. 2, 823 Abs. 2 BGB analog. Eine Sperrwirkung des Art. 79 DS-GVO bestehe nicht. Die Wiederholungsgefahr sei durch die Rechtsverletzung indiziert. Die Beklagte habe diese nicht widerlegt. Die Suchbarkeitseinstellung sei bereits im Zeitraum von 2018 bis vor September 2019 von „Everyone“ auf „Friends of Friends“ umgestellt worden.

35 Der Kl�ger hat zun�chst die erstinstanzlich gestellten Anspr�che geltend gemacht, darunter in Ziffer 4. den Antrag auf Verurteilung der Beklagten zur Erteilung der Auskunft �ber die den Kl�ger betreffenden personenbezogenen Daten, welche die Beklagte verarbeitet, namentlich welche Daten durch welche Empf�nger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten. Mit Schriftsatz vom 21.02.2025 wurde der Unterlassungsantrag zu Ziff.3a) umformuliert und der Auskunftsantrag zur�ckgenommen.

36 Der Kl�ger beantragt unter R�cknahme des Auskunftsantrags zuletzt:

1. Die Beklagte wird verurteilt, an die Kl�gerseite immateriellen Schadensersatz in angemessener H�he wegen Verst��en gegen die Datenschutzgrundverordnung vor und im Nachgang zum streitgegenst�ndlichen Scraping-Vorfall zu zahlen, dessen H�he in das pflichtgem��e Ermessen des Gerichts gestellt wird, mindestens insgesamt jedoch 1.000,00 EUR nebst Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Kl�gerseite k�nftige materielle und k�nftige derzeit noch nicht vorhersehbare immaterielle Sch�den zu ersetzten, die der Kl�gerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3. Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a) eine Verarbeitung personenbezogener Daten der Kl�gerseite, namentlich /welche da sind Telefonnummer, F.-ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt und Beziehungsstatus, �ber die Eingabe der Telefonnummer der Kl�gerseite in das Kontakt-Import-Tool und die dar�ber hergestellt Verkn�pfung der eigegebenen Telefonnummer mit weiteren �ffentlichen personenbezogenen Daten des Nutzerprofils der Kl�gerseite zu erm�glichen, ohne dass die Beklagte zum Zeitpunkt der Verwendung des Kontakt-Import-Tools unter Eingabe der Telefonnummer Sicherheitsma�nahmen in Form einer Implementierung von Sicherheits-CAPTCHAs und der �berpr�fung massenhafter IP-Abfragen oder vergleichbaren Sicherheitsma�nahmen vorgehalten hat,

b) die Telefonnummer der Kl�gerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der un�bersichtlichen und unvollst�ndigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen dar�ber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierf�r die Berechtigung verweigert und, im Falle der Nutzung der F.-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird.

5. Die Beklagte wird verurteilt, an die Kl�gerseite vorgerichtliche Rechtsanwaltskosten in H�he von 887,03 € zu zahlen zuz�glich Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

37 Der Kl�ger beantragt weiter, dem EuGH n�her formulierte Fragen vorzulegen, das Verfahren gem�� � 148 ZPO in Bezug auf diese und analog zur Entscheidung des EuGH in den Verfahren C189/22, C-741/21, C-687/21, C-667/21, C-340/21, C-307/2 auszusetzen. Die Beklagte beantragt,

die Berufung zur�ckzuweisen.

38 Die Beklagte verteidigt die Entscheidung des Landgerichts. Der Kl�ger habe schon nicht dargelegt, dass seine Daten im zeitlichen Anwendungsbereich der DS-GVO abgerufen worden seien.

39 Der Scraping-Sachverhalt habe im Zeitraum von Januar 2018 bis September 2019 stattgefunden. Da die Beklagte nicht �ber die abgegriffenen Rohdaten verf�ge und keine Logdateien vorhalte, k�nne sie den Zeitpunkt des Scrapings der Daten des Kl�gers nicht bestimmen.

40 Die (angebliche) Verletzung der Aufkl�rungspflichten nach Art. 5 Abs. 1 Buchst. a), 13, 14 DSGVO sei nicht vom Anwendungsbereich des Art. 82 DS-GVO erfasst. �berdies habe die Beklagte dem Kl�ger alle erforderlichen Informationen mit ausreichender Detailtiefe und Transparenz bereitgestellt, insbesondere zur Verwendung der Mobilfunknummer f�r die Kontakt-Import-Funktion.

41 Eine Einwilligung nach Art. 6 Abs. 1 S. 1 Buchst. a) DS-GVO sei nicht erforderlich. Da sich die Verarbeitung personenbezogener Daten auf die Durchf�hrung des jeweiligen Nutzervertrages st�tze, finde Art. 6 Abs. 1 S. 1 Buchst. b) DS-GVO Anwendung. Einem sozialen Netzwerk sei es immanent, dass Nutzer Freunde und Bekannte finden und sich mit ihnen vernetzen k�nnen. Solche Verkn�pfungen werden durch die Kontakt-Import-Funktion als wesentliches Tool, das die Telefonnummern der Nutzer erfordere, erm�glicht.

42 Ebenso scheide Art. 24 DS-GVO als Ankn�pfungspunkt f�r einen Schadensersatzanspruch aus, da er keine konkreten Verpflichtungen begr�nde. Die Beklagte habe ihre Pflichten zur Implementierung angemessener technischer und organisatorischer Ma�nahmen gem�� Art. 32, 24, 5 Abs. 1 Buchst. f) DS-GVO im Zusammenhang mit der Kontakt-Import-Funktion nicht verletzt. Sie habe die Anti-Scraping-Ma�nahmen im relevanten Zeitraum regelm��ig �berpr�ft und gegebenenfalls angepasst. Im Zuge des Scraping-Sachverhalts sei keine unbefugte Offenlegung von Daten erfolgt; diese habe im Einklang mit den Privatsph�re-Einstellungen des Kl�gers gestanden.

43 Jedenfalls seien die Risiken und die Wahrscheinlichkeit des Schadenseintritts gering gewesen.

44 Aus der (angeblichen) Verletzung von Benachrichtigungs- und Informationspflichten nach Art. 33, 34 DS-GVO k�nne ebenfalls kein Anspruch nach Art. 82 DS-GVO resultieren. Die Beklagte sei nicht verpflichtet gewesen, den Scraping-Sachverhalt einer Aufsichtsbeh�rde zu melden, da keine Verletzung der Sicherheit und des Schutzes personenbezogener Daten vorgelegen habe, zumindest kein Risiko f�r die Rechte und Freiheiten nat�rlicher Personen bestanden habe. Aus denselben Gr�nden mussten die Betroffenen nicht informiert werden.

45 Eine Verletzung der Pflicht zum Datenschutz durch Technikgestaltung und zu datenschutzfreundlichen Voreinstellungen nach Art. 25 DS-GVO liege nicht vor. Es seien ohnehin nur die Datenpunkte Nutzer-ID, Name und Geschlecht durch das Scraping abgerufen worden, d. h. die immer �ffentlichen Nutzerinformationen. Die Standardeinstellung f�r die Suchbarkeit der Telefonnummer sei nicht zu beanstanden, da auch die Nutzung der Telefonnummer im Rahmen der Suchfunktion dem Unternehmenszweck der Beklagten, Menschen miteinander zu verbinden, und damit der Durchf�hrung des Nutzungsvertrages diene. Eine Suchbarkeit allein anhand des Namens reiche wegen der enormen Zahl der F.-Nutzer von ca. 2,8 Milliarden weltweit zur Identifizierung nicht aus. Der Kl�ger h�tte jederzeit �nderungen seiner Suchbarkeits-Einstellungen vornehmen k�nnen. Die „M�glichkeit zum Eingreifen“ mit der Erl�uterung, wie man dies tun k�nne, mache die Standardeinstellung mit Art. 25 Abs. 2 DS-GVO vereinbar. Au�erdem werde durch die Voreinstellung der Suchbarkeit des Nutzerprofils die Telefonnummer nicht einer unbestimmten Zahl anderer nat�rlicher Personen „zug�nglich“ gemacht, weil eine Benutzung des CIT deren Kenntnis durch die suchende Person gerade voraussetzte.

46 Der Anspruch nach Art. 82 DS-GVO k�nne nicht aus einer Verletzung der Datenschutz-Folgenabsch�tzung nach Art. 35 DS-GVO abgeleitet werden. Ein solcher w�rde schon nicht in den zeitlichen Anwendungsbereich der DS-GVO fallen.

47 Die Beklagte treffe kein Verschulden i. S. d. Art. 82 Abs. 3 DS-GVO. Sie habe Ma�nahmen gegen Scraping implementiert, die im Gleichgewicht zur beabsichtigen Nutzerfunktionalit�t st�nden.

48 Der Kl�ger habe keinen materiellen oder immateriellen Schaden erlitten. Daf�r sei eine tats�chliche Beeintr�chtigung pers�nlichkeitsbezogener Belange von einigem Gewicht im Sinne von erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen erforderlich. Ein Verlust der Kontrolle �ber personenbezogene Daten gen�ge nicht; er sei f�r sich genommen nicht einem Schaden gleichzusetzen. Ein Versto� gegen das Recht auf informationelle Selbstbestimmung als nationale Vorschrift werde von Art. 82 DS-GVO nicht erfasst. Der Kl�ger habe einen Kontrollverlust auch nicht nachgewiesen und weder konkrete weitere Folgen noch bestimmte negative Auswirkungen bei sich vorgetragen. Er beschr�nke sich auf formelhafte Behauptungen. Insbesondere werde bestritten, dass der Kl�ger vor dem Scraping-Sachverhalt eine Kontrolle �ber die abgerufenen Daten innegehabt habe. Die Verbreitung von Spam sei mittlerweile weit verbreitet. �berdies k�nne eine erneute Ver�ffentlichung ohnehin �ffentlich sichtbarer Nutzerinformationen zu keinem Kontrollverlust f�hren.

49 Es fehle des Weiteren am Kausalzusammenhang zwischen der angeblichen Pflichtverletzung und dem behaupteten Kontrollverlust oder sonstiger angeblicher negativer Folgen. Der Kl�ger sei seiner Darlegungs- und Beweislast nicht nachgekommen. In Bezug auf die angeblichen Spam-Nachrichten und -Anrufe habe er weder substantiiert dargelegt noch bewiesen, dass sie auf den Scraping-Sachverhalt zur�ckgehen. Es handele sich um Alltagserscheinungen, f�r die eine Vielzahl m�glicher Gr�nde in Betracht komme.

50 Die beanspruchte Schadensh�he sei �berzogen. Art. 82 DS-GVO komme ausschlie�lich eine Ausgleichsfunktion und gerade keine Abschreckungs- oder Straffunktion zu. Der Schadensersatz k�nne allenfalls im symbolischen Bereich liegen. Die Beklagte habe Ma�nahmen zur Eind�mmung von Scraping ergriffen, der Scraping-Sachverhalt sei durch Dritte verursacht worden und der Kontrollverlust beziehe sich nur auf �ffentlich einsehbare Daten. Den Kl�ger treffe ein Mitverschulden, weil er es trotz ausreichender Information unterlassen habe, seine Privatsph�re-Einstellungen anzupassen und seine Telefonnummer zu �ndern.

51 Der Feststellungsantrag sei bereits unzul�ssig, da ein k�nftiger Schadenseintritt nicht hinreichend wahrscheinlich sei. Das Missbrauchspotenzial der streitgegenst�ndlichen Daten sei gering. Der Kl�ger habe ein besondere Gefahrenbewusstsein, weshalb das Risiko, dass er Opfer eines k�nftigen Missbrauchs werde, nicht nennenswert sei. Da er seine Telefonnummer nicht �ndere, scheiterten k�nftige Schadensersatzanspr�che an einem �berwiegenden Mitverschulden des Kl�gers bzw. der Verletzung von Schadensminderungspflichten.

52 Die Unterlassungsantr�ge seien unzul�ssig, da auf aktives Tun gerichtet und nicht hinreichend bestimmt. Es bestehe keine gesetzliche Grundlage. Art. 17 DS-GVO scheide aus. �� 1004, 823 Abs. 1 BGB seien durch Art. 79 Abs. 1 DS-GVO gesperrt. Jedenfalls fehle es an einer Rechtsverletzung und einer Wiederholungsgefahr. Der Kl�ger k�nne die Privatsph�re-Einstellungen jederzeit �ndern und seine Telefonnummer aus dem Nutzerkonto l�schen. Die Telefonnummer k�nne zudem ausschlie�lich zur Zwei-Faktor-Authentifizierung hinterlegt werden. Dar�ber hinaus habe die Beklagte die Suchbarkeit �ber die Telefonnummer mittels CIT zwischenzeitlich entfernt.

53 Die Beklagte beantragt weiter, das Verfahren bis zur Vorabentscheidung des EuGH zum Az. C273/25 auszusetzen Zur Erg�nzung des Sach- und Streitstandes wird auf die gewechselten Schrifts�tze nebst Anlagen, auf die gerichtlichen Hinweise sowie auf das Protokoll der m�ndlichen Verhandlung Bezug genommen.

II.

54 Das Oberlandesgericht M�nchen ist zur Entscheidung berufen und hat dieser die DS-GVO zugrunde zu legen.

55 1. Das Oberlandesgericht M�nchen ist international zust�ndig nach Art. 82 Abs. 6, 79 Abs. 2�S. 2 DS-GVO.

56 Art. 82 Abs. 6 DS-GVO sieht f�r die Inanspruchnahme des Rechts auf Schadensersatz die Zust�ndigkeit der Gerichte vor, die nach den in Art. 79 Abs. 2 DS-GVO genannten Rechtsvorschriften des Mitgliedstaats zust�ndig sind. Art. 79 Abs. 2 S. 2 DS-GVO wiederum gibt der betroffenen Person das Recht, eine Klage gegen einen nicht hoheitlich t�tig gewordenen Verantwortlichen oder Auftragsverarbeiter bei den Gerichten des Mitgliedstaats zu erheben, in dem die betroffene Person ihren Aufenthaltsort hat. Der Kl�ger als betroffene Person hat seinen gew�hnlichen Aufenthalt in Deutschland.

57 2. Der sachliche, r�umliche und zeitliche Anwendungsbereich der DS-GVO ist er�ffnet.

58 a) Nach Art. 2 Abs. 1 DS-GVO gilt die Verordnung f�r die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie f�r die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Es ist unstreitig, dass die bei der Beklagten gespeicherten Informationen personenbezogene Daten des Kl�gers enthalten, die gesammelt und gespeichert werden.

59 b) Art. 3 Abs. 1 DS-GVO erkl�rt die Verordnung in Bezug auf die Verarbeitung personenbezogener Daten f�r anwendbar, soweit diese im Rahmen der T�tigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabh�ngig davon, ob die Verarbeitung in der Union stattfindet. Die Beklagte hat ihren Sitz in Irland.

60 c) Gem�� Art. 99 Abs. 2 DS-GVO gilt die Verordnung ab dem 25.05.2018. Dabei ist hinsichtlich der zeitlichen Anwendbarkeit nicht der Zeitpunkt der Registrierung eines Nutzerkontos im sozialen Netzwerk der Beklagten ma�geblich, sondern der Zeitpunkt des Scraping-Vorfalls (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 19).

61 Der Kl�ger hat den Datenschutzvorfall ma�geblich auf September 2019 datiert, die Beklagte hat als „relevanten Zeitraum“ Januar 2018 bis September 2019 benannt.

62 Grunds�tzlich muss der Anspruchsteller alle Tatsachen behaupten und beweisen, aus denen sich sein Anspruch herleitet. Damit trifft den Kl�ger die Darlegungs- und Beweislast daf�r, dass der zeitliche Anwendungsbereich der DS-GVO er�ffnet ist. Der Grundsatz von Treu und Glauben gebietet jedoch eine sekund�re Darlegungslast des Gegners, wenn die darlegungs- und beweisbelastete Partei au�erhalb des von ihr darzulegenden Geschehensablaufs steht und keine Kenntnisse von den ma�geblichen Tatsachen besitzt, w�hrend der Prozessgegner angesichts des unterschiedlichen Informationsstands beider Parteien zumutbar n�here Angaben machen kann (BGH, Urteil vom 05.10.2023, III ZR 216/22, NJW 2023, 3794, juris Rdnr. 31). Dabei obliegt es dem Prozessgegner im Rahmen der sekund�ren Darlegungslast auch, zumutbare Nachforschungen zu unternehmen. Gen�gt der Gegner seiner sekund�ren Darlegungslast nicht, gilt die Behauptung des Anspruchstellers nach � 138 Abs. 3 ZPO als zugestanden (BGH, Vers�umnisurteil vom 04.02.2021, III ZR 7/20, NJW 2021, 1759, juris Rdnr. 19; BGH, Urteil vom 28.06.2016, VI ZR 559/14, NJW 2016, 3244, juris Rdnr. 18).

63 Der Senat geht in Anwendung dieser Grunds�tze davon aus, dass das Scraping der den Kl�ger betreffenden Daten jedenfalls nach dem 25.05.2018 erfolgte, da die Beklagte im Rahmen ihrer sekund�ren Darlegungslast nicht ausreichend vorgetragen hat, dass sich der Vorfall vor dem Inkrafttreten der DS-GVO ereignet hat. Das von der Rechtsprechung beschriebene, das Prinzip der Darlegungs- und Beweislast aufweichende Wissensgef�lle besteht hier. Die Beklagte als Betreiberin der Plattform und alleinige „Herrin“ �ber die Technik stand dem Scraping-Vorfall weitaus n�her als der Kl�ger, der lediglich Nutzer des Angebots war und keinerlei Einblick in die technischen Vorg�nge bei der Beklagten hatte. Der Kl�ger hat mit seiner Bezugnahme auf September 2019 Angaben der Beklagten aus der Vergangenheit aufgegriffen, die um 2019 kreisten. So f�hrte die Beklagte in ihrer Pressemitteilung vom 06.04.2021 aus, „b�swillige Akteure“ h�tten die Daten von F.-Nutzern nicht durch das Hacken der Systeme erlangt, sondern indem sie sie vor September 2019 von der F.-Plattform gescrapt h�tten. Aufgrund der ergriffenen Ma�nahmen zeigte sich die Beklagte zuversichtlich, dass das spezifische Problem, das den Betr�gern das Scrapen der Daten im Jahr 2019 erm�glicht habe, nicht mehr bestehe. Im Weiteren wies die Beklagte darauf hin, �nderungen am Kontakt-Importer vorgenommen zu haben, als ihr bewusst geworden sei, dass „b�swillige Akteure“ diese Funktion im Jahr 2019 genutzt haben (Anlage B10). Der Kl�ger ist damit seiner Darlegungslast nachgekommen. Mehr war von ihm als Au�enstehendem nicht zu verlangen. Es war an der Beklagten, die das Kommunikationssystem entwickelt hat und nach eigenen Angaben fortlaufend �berwacht, ihre Einwendungen zu spezifizieren. Dies hat sie nicht getan. Welche Erkenntnisse die Beklagte dazu veranlasst haben, im Verfahren den Zeitraum des Scrapings auf Januar 2018 bis September 2019 und damit zum Teil auf die Zeit vor Inkrafttreten der DS-GVO auszuweiten, ist nicht ersichtlich. Dies gilt umso mehr, als sich die Beklagte in ihrem Schreiben vom 23.08.2021 (Anlage K2) und vor allem in ihrer Auskunft vom 06.02.2023 gegen�ber dem Kl�ger eingehend mit den Vorgaben der DS-GVO befasste, ohne deren Anwendbarkeit in Frage zu stellen (Anlage B16). Mit einem blo�en Hinweis darauf, dass sie die Rohdaten der abgegriffenen Daten und die Logdaten nicht vorhalte, vermag die Beklagte dem Erfordernis der sekund�ren Darlegungslast nicht zu gen�gen.

III.

64 Dem Kl�ger steht ein Anspruch auf immateriellen Schadensersatz aus Art. 82 Abs. 1 DS-GVO in H�he von 200,00 € zu.

65 Nach dieser Vorschrift hat jede Person, der wegen eines Versto�es gegen die DS-GVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

66 1. Ein Schadensersatzanspruch im Sinne des Art. 82 Abs. 1 DS-GVO erfordert einen Versto� gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Versto�, wobei diese drei Voraussetzungen kumulativ sind. Die Darlegungs- und Beweislast f�r diese Voraussetzungen trifft die Person, die auf der Grundlage von Art. 82 Abs. 1 DS-GVO den Ersatz eines (immateriellen) Schadens verlangt (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 21; EuGH, Urteil vom 04.10.2024, C-507/23, NJW 2025, 141, juris Rdnr. 24; EuGH, Urteil vom 11.04.2024, C-741/21, NJW 2024, 1561, juris Rdnr. 34 f.; EuGH, Urteil vom 25.01.2024, C-687/21, NJW 2024, 2009, juris Rdnr. 58; EuGH, Urteil vom 21.12.2023, C-667/21, K & R 2024, 114, juris Rdnr. 82; EuGH, Urteil vom 04.05.2023,�C-300/21, NJW 2023, 1930, juris Rdnr. 32; EuGH, Urteil vom 14.12.2023, C-340/21, NJW 2024, 1091, juris Rdnr. 77). Ein Schaden wird daher nicht bereits aufgrund des Versto�es gegen die DS-GVO vermutet (EuGH, Urteil vom 20.06.2024, NJW 2024, 2599, C-182/22, juris Rdnr. 42).

67 Die DS-GVO verweist f�r den Sinn und die Tragweite der in ihrem Art. 82 enthaltenen Begriffe, insbesondere in Bezug auf die Begriffe „materieller oder immaterieller Schaden“ und�„Schadenersatz“, nicht auf das Recht der Mitgliedstaaten. Daraus folgt, dass diese Begriffe f�r die Anwendung der DS-GVO als autonome Begriffe des Unionsrechts anzusehen sind, die in allen Mitgliedstaaten einheitlich auszulegen sind (EuGH, Urteil vom 04.05.2023, C300/21, NJW 2023, 1930, juris Rdnr. 30; EuGH, Urteil vom 14.12.2023, C-456/22, K & R 2024, 112, juris Rdnr. 15). Dabei soll nach Erw�gungsgrund 146 S. 3 DS-GVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen der DS-GVO in vollem Umfang entspricht, namentlich dem Ziel, innerhalb der Union ein gleichm��iges und hohes Niveau des Schutzes nat�rlicher Personen bei der Verarbeitung personenbezogener Daten zu gew�hrleisten (BGH, Urteil vom 28.01.2025, VI ZR 183/22, NJW 2025, 1059, juris Rdnr. 9; EuGH, Urteil vom 14.12.2023, C-456/22, K & R 2024, 112, juris Rdnr. 19 f.).

68 2. Die Beklagte ist Verantwortliche i. S. d. Art. 4 Nr. 7 DS-GVO. Sie ist die juristische Person, die allein oder gemeinsam mit anderen �ber die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

69 Die Angaben zu den Personalien des Kl�gers sind als Informationen �ber bestimmte oder bestimmbare nat�rliche Personen „personenbezogene Daten“ im Sinne von Art. 4 Nr. 1 DSGVO (EuGH, Urteil vom 04.10.2024, C-200/23, juris Rdnr. 67).

70 Der Verarbeitungsbegriff des Art. 4 Nr. 2 DS-GVO ist umfassend und inkludiert jeden mit oder ohne Hilfe automatisierter Verfahren ausgef�hrten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Ver�nderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch �bermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verkn�pfung, die Einschr�nkung, das L�schen oder die Vernichtung. Diese Aufz�hlung ist nicht abschlie�end (EuGH, Urteil vom 24.02.2022, C-175/20, K & R 2022, 260, juris Rdnr. 35).

71 Selbst bei einem engeren Verst�ndnis des Art. 82 Abs. 1 DS-GVO w�re in Bezug auf den hier inmitten stehenden unbefugten Zugriffs Dritter im Wege des sog. Scraping ohne Weiteres von einer Datenverarbeitung der Beklagten in Form der Speicherung, des Abfragens, der Offenlegung durch �bermittlung, der Bereitstellung und Verkn�pfung auszugehen (vgl. BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 23).

72 3. Die Beklagte hat mit der Voreinstellung der Suchbarkeit anhand einer Telefonnummer auf�„Alle“ gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 Buchst. b) und c), Art. 25 Abs. 2 S. 1, S. 3 DS-GVO versto�en.

73 a) Gem�� Art. 5 Abs. 1 Buchst. b) Halbs. 1 DS-GVO m�ssen personenbezogene Daten f�r festgelegte, eindeutige und legitime Zwecke erhoben werden und d�rfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden („Zweckbindung“). Der Grundsatz der Datenminimierung gem�� Art. 5 Abs. 1 Buchst.�c) DS-GVO verlangt, dass die Datenverarbeitung dem Zweck angemessen und erheblich sowie auf das f�r die Zwecke der Verarbeitung notwendige Ma� beschr�nkt ist. Die Ausnahmen und Einschr�nkungen des Grundsatzes des Schutzes solcher Daten m�ssen sich auf das absolut Notwendige beschr�nken (EuGH, Urteil vom 24.02.2022, C-175/20, K & R 2022, 260, juris Rdnr. 72 f.; BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 87).

74 Die Grunds�tze des Art. 5 DS-GVO werden durch konkrete Vorgaben zur technischen Ausgestaltung und insbesondere durch Vorgaben in Bezug auf datenschutzfreundliche Voreinstellungen in Art. 25 DS-GVO konkretisiert. Gem�� Art. 25 Abs. 2 S. 1 DSGVO hat der Verantwortliche demnach geeignete technische und organisatorische Ma�nahmen zu treffen, die sicherstellen, dass durch Voreinstellung grunds�tzlich nur personenbezogene Daten, deren Verarbeitung f�r den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt f�r die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zug�nglichkeit. Die Ma�nahmen m�ssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von nat�rlichen Personen zug�nglich gemacht werden. Damit beinhaltet Art. 25 Abs. 2 S. 3 DS-GVO die ausdr�ckliche Verpflichtung zu Voreinstellungen, die verhindern, dass die Daten ohne Weiteres, also ohne bewusste pers�nliche �nderung der Voreinstellung, der �ffentlichkeit oder sonst einem unbestimmten Adressatenkreis zug�nglich gemacht werden (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 88 m. w. N.).

75 Die Vorgabe, die Daten nicht „einer unbestimmten Zahl nat�rlicher Personen“ zug�nglich zu machen, ist nach ihrem Zweck darauf ausgelegt, dass der Personenkreis derjenigen, die Zugriff auf die Daten des Betroffenen haben k�nnen, f�r diesen �berschaubar sein soll. Die Regelung des Art. 25 Abs. 2 DS-GVO hat dabei gerade die Voreinstellungen von sozialen Netzwerken im Blick. Dahinter steht die Erkenntnis, dass werkseitig vorgegebene Voreinstellungen durch die Nutzer nur selten ver�ndert werden. Es soll daher verhindert werden, dass Nutzer durch Voreinstellungen, die eine �ber die erforderliche Verarbeitung hinausgehende extensive Datennutzung vorsehen, dazu verleitet werden, ihre Datenschutzrechte abzuw�hlen, ohne dies zu realisieren (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 89 m. w. N.).

76 b) Diesen Anforderungen wurde das Vorgehen der Beklagten zum ma�geblichen Zeitpunkt des Scraping-Vorfalls nicht gerecht. Im relevanten Zeitraum war die Suchbarkeit anhand einer Telefonnummer f�r das Nutzerkonto des Kl�gers standardm��ig auf „Alle“ gestellt. Die Beklagte hat die Standard-Einstellung „Alle“ nicht nur zugestanden, sondern einen Auszug aus dem Kundenkonto des Kl�gers vorgelegt, aus dem hervorgeht, dass auch bei ihm die Suchbarkeitseinstellung wie voreingestellt auf „Everyone“ lautete. Diesen Sachverhalt legt der Senat daher zugrunde.

77 Die Einstellung hatte zur Folge, dass alle anderen F.-Nutzer eine entsprechende Rufnummernsuche durchf�hren konnten. Gleichzeitig wurde �ber die Suchbarkeit der Rufnummer auch der Zugriff auf die weiteren Profilinformationen er�ffnet, was sich konkret in der Vorgehensweise der Scraper niederschlug, die den Umstand ausnutzten, �ber die Verkn�pfung der Telefonnummer sodann die �ffentlichen personenbezogenen Daten des Nutzerprofils abzugreifen. Eine Einschr�nkung der Suchbarkeit konnte nur durch aktive Ver�nderung der Suchbarkeitseinstellungen durch den Nutzer selbst herbeigef�hrt werden. Datenschutzfreundlichere Einstellungsoptionen – insbesondere die erst 2019 eingef�hrte Suchbarkeitsoption „Nur ich“ – wurden demgegen�ber nur als Optionen angeboten, obwohl die Nutzbarkeit des sozialen Netzwerks als solche hiervon nicht abhing, da eine Suche auch �ber die Eingabe des Namens m�glich gewesen w�re. Die Beklagte ist damit ihrer in Art. 5 Abs. 2 DS-GVO festgeschriebenen Pflicht, die Einhaltung der Grunds�tze des Art. 5 Abs. 1 DS-GVO nachzuweisen, nicht nachgekommen.

78 c) Die Voreinstellung war nicht durch Art. 6 Abs. 1 DS-GVO gedeckt.

79 aa) Art. 6 Abs. 1 S. 1 Buchst. a) DS-GVO sieht vor, dass die Verarbeitung rechtm��ig ist, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten f�r einen oder mehrere bestimmte Zwecke gegeben hat.

80 Die Beklagte hat in der Berufungserwiderung gerade klargestellt, dass sich die Verarbeitung personenbezogener Daten zur Bereitstellung der F.-Plattform – und somit auch die damit verbundene Verarbeitung im Zusammenhang mit der Kontakt-Import-Funktion – gerade nicht auf eine Einwilligung des Nutzers st�tzt, sondern vielmehr auf die Durchf�hrung des Nutzervertrages als solchen.

81 bb) Gem�� Art. 6 Abs. 1 S. 1 Buchst. b) DS-GVO ist eine Verarbeitung rechtm��ig, die f�r die Erf�llung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchf�hrung vorvertraglicher Ma�nahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen.

82 Es trifft zwar zu, wie von der Beklagten ausgef�hrt, dass sich der zwischen den Parteien geschlossene Nutzervertrag auf die Bereitstellung der F.Plattform als soziales Netzwerk bezieht und es einem solchen immanent ist, dass die einzelnen Nutzer Freunde und Bekannte finden und sich miteinander vernetzen k�nnen. Richtig ist auch, dass solche Verkn�pfungen durch die Verwendung von Funktionen wie der Kontakt-Import-Funktion hergestellt werden, die daf�r die Telefonnummern von Nutzern erfordern. Allerdings fehlt es insoweit am Tatbestandsmerkmal der Erforderlichkeit, das voraussetzt, dass die Verarbeitung personenbezogener Daten f�r die Vertragserf�llung objektiv unerl�sslich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der f�r die betroffene Person bestimmten Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erf�llt werden k�nnte (EuGH, Urteil vom 04.07.2023, NJW 2023, 2997, C-252/21, juris Rdnr. 125; OLG Brandenburg, Urteil vom 24.03.2025, 1 U 18/23, juris Rdnr. 41).

83 Ein solcher Nachweis ist der Beklagten nicht gelungen. Die Nutzbarkeit von F. als Social-Media-Plattform h�ngt nicht allein von einer Suchbarkeit anhand der Telefonnummer ab. Ein Nutzer kann auch durch Eingabe seines Namens gefunden werden, wenngleich sich die Suche wegen der enormen Zahl an F.-Nutzern – die Beklagte spricht von ca. 2,8 Milliarden weltweit m�hselig gestaltet und gegebenenfalls eine Reihe von Treffern durchforstet werden m�ssen. Eine Notwendigkeit, wie sie Art. 6 Abs. 1 S. 1 Buchst. b) DSGVO voraussetzt, bestand f�r das ehemals implementierte CIT jedenfalls nicht. Es handelte sich um ein reines Komfort-Tool, das den Nutzern erm�glichte, seine auf dem Mobiltelefon gespeicherten Kontakte rasch und ohne gro�en Aufwand auf F. zu spiegeln, sofern seine Kontakte dort Konten unterhielten. Im �brigen zeigt bereits der Umstand, dass die Beklagte ihren Nutzern die M�glichkeit einr�umt, im Rahmen der Suchbarkeitseinstellungen festzulegen, ob und wem die nicht immer �ffentlichen Profildaten gezeigt werden und wer danach suchen kann, dass diese Informationen gerade nicht unabdingbar f�r eine hinreichende Verkn�pfung der Nutzer untereinander sind.

84 cc) Weitere Einwilligungsalternativen des Art. 6 Abs. 1 S. 1 DS-GVO, der eine ersch�pfende und abschlie�ende Aufz�hlung enth�lt (EuGH, Urteil vom 04.05.2023, CR 2023, 439, C-60/22, juris Rdnr. 56), kommen nicht in Betracht, auch nicht Art. 6 Abs. 1 S. 1 Buchst. c) DS-GVO, wonach die Verarbeitung rechtm��ig ist, wenn sie zur Erf�llung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Nach Art. 6 Abs. 3 DS-GVO wird die Rechtsgrundlage f�r diese Verarbeitung entweder durch Unionsrecht oder das Recht der Mitgliedsstaaten festgelegt, dem der Verantwortliche unterliegt. Dabei muss die Rechtsgrundlage ein im �ffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verh�ltnis zu dem verfolgten legitimen Ziel stehen und diese Verarbeitung innerhalb der Grenzen des unbedingt Notwendigen erfolgen (EuGH, Urteil vom 04.07.2023, NJW 2023, 2997, C-252/21, juris Rdnr. 138). Hierzu hat die Beklagte nichts vorgebracht.

85 Art. 6 Abs. 1 S. 1 Buchst. f) DS-GVO wiederum setzt die Erforderlichkeit der Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten voraus, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, �berwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Dies ist nur dann der Fall, wenn der fragliche Betreiber den Nutzern, bei denen die Daten erhoben wurden, ein mit der Datenverarbeitung verfolgtes berechtigtes Interesse mitgeteilt hat, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und wenn sich aus einer Abw�gung der einander gegen�berstehenden Interessen unter W�rdigung aller relevanten Umst�nde ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten dieser Nutzer gegen�ber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht �berwiegen (EuGH, Urteil vom 04.07.2023, NJW 2023, 2997, C-252/21, juris Rdnr. 126). Auch insoweit fehlt es an schl�ssigem Vorbringen der Beklagten.

86 4. Die Beklagte hat zudem ihre Pflichten aus Art. 32 DS-GVO verletzt, indem sie die Verarbeitung personenbezogener Daten des Kl�gers �ber die Eingabe der Telefonnummer des Kl�gers in das Kontakt-Import-Tool und die dar�ber hergestellte Verkn�pfung der eingegebenen Telefonnummer mit weiteren �ffentlichen personenbezogenen Daten des Nutzerprofils des Kl�gers ohne Vorhalten ausreichender Sicherheitsma�nahmen, wie die Implementierung von Sicherheits-CAPTCHAs und der �berpr�fung massenhafter IP-Abfragen, erm�glicht hat.

87 Art. 32 Abs. 1 DS-GVO formuliert den allgemeinen Grundsatz der Integrit�t und Vertraulichkeit (Art. 5 Abs. 1 lit.f DS-GVO) n�her aus und verlangt vom Verantwortlichen, unter Ber�cksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umst�nde und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos f�r die Rechte und Freiheiten nat�rlicher Personen, geeignete technische und organisatorische Ma�nahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gew�hrleisten. Gem�� Abs. 2 sind bei der Beurteilung des angemessenen Schutzniveaus insbesondere die Risiken zu ber�cksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch – ob unbeabsichtigt oder unrechtm��ig – Vernichtung, Verlust, Ver�nderung oder unbefugte Offenlegung beziehungsweise Erm�glichung unbefugten Zugangs zu personenbezogenen Daten, die �bermittelt, gespeichert oder auf andere Weise verarbeitet wurden. Das Gebot des Art. 32 DS-GVO soll insbesondere personenbezogene Daten durch geeignete technische und organisatorische Ma�nahmen davor sch�tzen, dass Dritte diese unbefugt oder unrechtm��ig verarbeiten (Paal/Pauly/Martini, 3. Aufl. 2021, DS-GVO Art. 32 Rn. 2). Die Beklagte hat sich f�r den Eintritt eines Datenvorfalls gem. Art. 82 Abs. 3 DS-GVO zu entlasten (Gola/Heckmann/Gola/Piltz DS-GVO Art. 82 Rn. 24). Sie trifft gem�� Art. 5 Abs. 2 DS-GVO die Darlegungs- und Beweislast f�r die Erf�llung der Vorgaben des Art. 5 Abs. 1 lit. f., Art. 32 DSGVO.

88 Die Beklagte hat die Offenlegung der Daten gegen�ber den unbekannten Dritten zu verantworten, da sie bei ihrer Datenverarbeitung die nach dem Stand der Technik angemessenen und auch unter Ber�cksichtigung ihrer berechtigten Gesch�ftsinteressen verh�ltnism��igen Sicherheits- und Abwehrma�nahmen nicht implementiert hatte. Ma�geblich ist eine ex-anteBetrachtung (OLG Hamm GRUR-RS 2023, 22505, Rn. 74, 115 ff.) Es ist weder von der Beklagten dargetan noch sonst ersichtlich, dass ab Geltung der DS-GVO im Mai 2018 ausreichende Sicherheitsvorkehrungen gegen Scraping getroffen wurden. Konkret durfte die Beklagte, der das Risiko des Scrapings bereits sp�testens im M�rz 2018 aufgefallen war, sich nicht auf die Deaktivierung der Suchfunktion der Plattform im April 2018 beschr�nken. Es war f�r sie ohne Weiteres m�glich und im Hinblick auf die Datensicherheit ihrer Nutzer geboten sowie zumutbar, die Kontaktimportfunktion unverz�glich einzuschr�nken oder zu deaktivieren und somit einen massiven weiteren Datenverlust an Unbefugte zu unterbinden. Tats�chlich hat die Beklagte diese Ma�nahmen im Zuge der Ermittlungen der irischen Datenschutzbeh�rde ergriffen (Anlage K 3). Die Beklagte hat nichts dazu vorgetragen, warum ihr diese Ma�nahmen nicht bereits zuvor m�glich und zumutbar waren.

89 5. Die Beklagte haftet nach Art. 82 Abs. 1 DS-GVO. Die Verschuldensvermutung des Art. 82 Abs. 3 DS-GVO hat sie nicht widerlegt.

90 a) Art. 5 Abs. 1 Buchst. b) und c), Art. 25 Abs. 2 S. 1, S. 3 DS-GVO sind vom Anwendungsbereich des Art. 82 Abs. 1 DS-GVO erfasst (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 24). Selbiges gilt auch f�r Art. 32, Art. 5 Abs. 1 lit. f DS-GVO.

91 b) Der Versto� der Beklagten gegen Art. 5 Abs. 1 Buchst. b) und c), Art. 25 Abs. 2 S. 1, S. 3 DS-GVO hatte zur Folge, dass das Benutzerkonto des Kl�gers mit der Voreinstellung der Suchfunktion auf „Alle“ versehen war. Unter Verletzung der Verpflichtungen aus Art. 32, Art. 5 Abs. 1 lit. f., DS-GVO hat es die Beklagte zudem unterlassen, zum Zeitpunkt des Vorfalls hinreichende Sicherheits- und Abwehrma�nahmen in Bezug auf den massenhaften Zugriff unbefugter Dritter im Wege des Scraping zu ergreifen. Der Scraping-Vorfall bei der Beklagten als solcher steht ebenso fest, wie die anschlie�ende Ver�ffentlichung abgegriffener Daten des Kl�gers im Internet.

92 c) Die Nutzer-ID, der Name, das Geschlecht und die Telefonnummer des Kl�gers waren von dem Datenvorfall betroffen. Name, Geschlecht und Nutzer-ID geh�ren zu den immer �ffentlich einsehbaren Informationen. Die Telefonnummer war der entscheidende Link, um diese Daten zusammenzuf�hren.

93 Der Kl�ger hat sich im Hinblick auf seine Betroffenheit auf die „Leak-Liste“ berufen.

94 Soweit die Beklagte bestreitet, dass der Nachname des Kl�gers von den offengelegten Daten erfasst gewesen sei, stellt sie sich in Widerspruch zu dem eigenen Sachvorbringen, wonach der Name des Kl�gers auf dem kl�gerischen Nutzerkonto – wie bei allen Nutzern der F.-Plattform – �ffentlich einsehbar war und ist. Die Beklagte legt als Anlage B 15 sogar einen Screenshot der betreffenden F.-Seite des Kl�gers vor, aus der sich sowohl der Vor- als auch der Nachname des Kl�gers ergibt.

95 Dagegen hat der Kl�ger den Beweis f�r die bestrittene Offenlegung weiterer Informationen, namentlich Bundesland, Stadt, also den Wohnort, und Beziehungsstatus nicht gef�hrt. Das hierf�r vom Kl�ger angebotene Beweismittel, n�mlich die Inaugenscheinnahme des „Leak-Datensatzes“, l�sst nicht erkenne, wie hieraus ein Beweis zu f�hren ist, nachdem weder �ber die konkrete Abrufbarkeit noch den Speicherort des behaupteten Datensatzes Angaben gemacht werden. Es fehlen damit Ausf�hrungen zur Geeignetheit des Beweismittels, zumal der vom Kl�ger selbst wiedergegebene Datensatz keine Angaben �ber den Beziehungsstatus enth�lt. Gleiches gilt f�r das angebotene Sachverst�ndigengutachten.

96 Soweit die Beklagte �berhaupt einer sekund�ren Darlegungslast unterliegt, ist sie dieser nachgekommen.

97 Eine sekund�re Darlegungslast trifft den Prozessgegner der prim�r darlegungsbelasteten Partei, wenn diese keine n�here Kenntnis der ma�geblichen Umst�nde und auch keine M�glichkeit zur weiteren Sachaufkl�rung hat, w�hrend der Bestreitende alle wesentlichen Tatsachen kennt und es ihm unschwer m�glich und zumutbar ist, n�here Angaben zu machen. Dem Bestreitenden obliegt es im Rahmen seiner sekund�ren Darlegungslast, Nachforschungen zu unternehmen, wenn ihm dies zumutbar ist. Die sekund�re Darlegungslast f�hrt jedoch weder zu einer Umkehr der Beweislast noch zu einer �ber die prozessuale Wahrheitspflicht und Erkl�rungslast (� 138 Abs. 1 und 2 ZPO) hinausgehenden Verpflichtung des in Anspruch Genommenen, dem Anspruchsteller alle f�r seinen Prozesserfolg ben�tigten Informationen zu verschaffen. Gen�gt der Anspruchsgegner seiner sekund�ren Darlegungslast nicht, gilt die Behauptung des Anspruchstellers nach � 138 Abs. 3 ZPO als zugestanden (BGH, Urteil vom 08.03.2021, VI ZR 505/19, NJW 2021, 1669, juris Rdnr. 27; BGH, Urteil vom 17.02.2004, X ZR 108/02, NJW-RR 2004, 989, juris Rdnr. 16).

98 Die Beklagte hat vorgetragen, welche Ma�nahmen zur Ermittlung der durch die unbefugten Dritten erlangten Rohdaten sie ergriffen hat und hat die Ergebnisse mitgeteilt. Es ist nicht erkennbar, dass ihr dar�ber hinaus weitere M�glichkeiten zur Verf�gung stehen.

99 d) Art. 82 DS-GVO sieht eine Haftung f�r vermutetes Verschulden vor. Damit hat nicht die betroffene Person im Rahmen eines Schadensersatzanspruches nach Art. 82 Abs. 1 DS-GVO ein Verschulden des Verantwortlichen nachzuweisen, sondern die Exkulpation obliegt nach Art. 82 Abs. 3 DS-GVO dem Verantwortlichen (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 21; EuGH, Urteil vom 11.04.2024, C-741/21, NJW 2024, 1561, juris Rdnr. 46; EuGH, Urteil vom 21.12.2023, C-667/21, K & R 2024, 114, juris Rdnr. 103).

100 Nach Art. 82 Abs. 3 DS-GVO wird der Verantwortliche oder der Auftragsverarbeiter von der Haftung gem�� Art. 82 Abs. 2 DS-GVO befreit, wenn er nachweist, dass er in keinerlei Hinsicht f�r den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

101 Diese Vorschrift ist eng auszulegen. Der Verantwortliche kann sich bei einer Verletzung des Schutzes personenbezogener Daten durch eine unbefugte Offenlegung bzw. einen unbefugten Zugang eines Dritten i. S. v. Art. 4 Nr. 10 DS-GVO nur dann von seiner Haftung befreien, wenn er nachweist, dass es keinen Kausalzusammenhang zwischen der etwaigen Verletzung der Verpflichtung zum Datenschutz durch ihn und dem der nat�rlichen Person entstandenen Schaden gibt (EuGH, Urteil vom 14.12.2023, C-340/21, NJW 2024, 1091, juris Rdnr. 70, 72, 74).

102 Der Scraping-Vorfall kann der Beklagten zwar nicht unmittelbar angelastet werden, weil er durch von ihr unabh�ngige Personen in unredlicher Absicht durchgef�hrt wurde. Jedoch hat die Beklagte mittels ihrer Voreinstellung zur Suchbarkeit anhand der Telefonnummer auf „Alle“ den automatisierten und massenhaften Einsatz der Kontakt-Import-Funktion und damit das Abgreifen der �ffentlich einsehbaren Daten von betroffenen Nutzern erm�glicht. F�r die Beklagte als weltweit agierendes Unternehmen mit langj�hriger Erfahrung und spezifischer technischer Expertise im Betrieb von sozialen Netzwerken war es ohne weiteres erkennbar, dass die von ihr gew�hlte Voreinstellung zur Suchbarkeit mit Blick darauf, die viele Nutzer es sehr wahrscheinlich bei dieser Voreinstellung belassen werden, das Netzwert zu einem attraktiven Ziel f�r Scraping machen w�rde. Die Beklagte unterhielt gerade zu diesem Zwecke eine Abteilung, um die Gefahr solcher Datenabgriffe zu minimieren. Den effektivsten Schritt, das Kontakt-Import-Tool zu deaktivieren bzw. es zu modifizieren, unternahm sie jedoch erst nach dem streitgegenst�ndlichen Vorfall.

103 6. Durch den Versto� der Beklagten gegen die Datenschutzbestimmungen ist dem Kl�ger ein immaterieller Schaden entstanden, den der Senat mit 200,00 € bemisst.

104 a) Der blo�e Versto� gegen die Bestimmungen der Datenschutz-Grundverordnung reicht nicht aus, um einen Schadensersatzanspruch zu begr�nden. Der Eintritt eines Schadens im Rahmen einer rechtswidrigen Verarbeitung personenbezogener Daten ist n�mlich eine nur potenzielle und keine automatische Folge einer solchen Verarbeitung. Au�erdem f�hrt ein Versto� gegen die DS-GVO nicht zwangsl�ufig zu einem Schaden. Schlie�lich muss ein Kausalzusammenhang zwischen dem fraglichen Versto� und dem der betroffenen Person entstandenen Schaden bestehen (EuGH, Urteil vom 04.10.2024, C-507/23, NJW 2025, 141, juris Rdnr. 27; EuGH, Urteil vom 04.05.2023, C-300/21, NJW 2023, 1930, juris Rdnr. 37).

105 Es ist daher �ber einen Versto� gegen die DS-GVO hinaus – im Sinne einer eigenst�ndigen Anspruchsvoraussetzung – der Eintritt eines tats�chlichen Schadens (durch diesen Versto�) erforderlich, den die betroffene Person nachzuweisen hat. Andererseits darf der Ersatz eines immateriellen Schadens nicht davon abh�ngig gemacht werden, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 28 f.; EuGH, Urteil vom 25.01.2024, C-687/21, NJW�2024, 2009, juris Rdnr. 59 f.; EuGH, Urteil vom 11.04.2024, C-741/21, NJW 2024, 1561, juris Rdnr. 36; EuGH, Urteil vom 04.05.2023, C-300/21, NJW 2023, 1930, juris�Rdnr. 46; EuGH, Urteil vom 20.06.2024, C-590/22, VersR 2024, 1302, juris Rdnr. 28).

106 Dabei kann der – selbst kurzzeitige – blo�e Verlust der Kontrolle �ber personenbezogene Daten einen immateriellen Schaden darstellen, ohne dass dieser Begriff den Nachweis zus�tzlicher sp�rbarer negativer Folgen erfordert, etwa eine missbr�uchliche Verwendung der betreffenden Daten zum Nachteil der betroffenen Person. Es bedarf auch keiner sich aus dem Kontrollverlust entwickelnden besonderen Bef�rchtungen oder �ngste der betroffenen Person. Diese w�ren lediglich geeignet, den eingetretenen immateriellen Schaden noch zu vertiefen oder zu vergr��ern. In diesen F�llen muss der Kontrollverlust aber feststehen, d. h. von der betroffenen Person nachgewiesen worden sein (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 30 f.; EuGH, Urteil vom 11.04.2024, C-741/21, NJW 2024, 1561, juris�Rdnr. 42; EuGH, Urteil vom 25.01.2024, C-687/21, NJW 2024, 2009, juris Rdnr. 65 f.; EuGH, Urteil vom 14.12.2023, C-340/21, NJW 2024, 1091, juris Rdnr. 82, 84; EuGH, Urteil vom 14.12.2023, C-456/22, K & R 2024, 112, juris Rdnr. 22; EuGH, Urteil vom 04.10.2024, C-200/23, juris Rdnr. 156).

107 Kann der Betroffene den Kontrollverlust nicht nachweisen, reicht die begr�ndete Bef�rchtung einer Person, dass ihre personenbezogenen Daten aufgrund eines Versto�es gegen die DS-GVO von Dritten missbr�uchlich verwendet werden, aus, um einen Schadensersatzanspruch zu begr�nden. Jedoch muss in diesem Fall die Bef�rchtung samt ihrer negativen Folgen ordnungsgem�� nachgewiesen sein. Die blo�e Behauptung reicht ebenso wenig wie ein rein hypothetisches Risiko der missbr�uchlichen Verwendung durch einen unbefugten Dritten aus (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 32; EuGH, Urteil vom 25.01.2024, C-687/21, NJW�2024, 2009, juris Rdnr. 67 f.; EuGH, Urteil vom 20.06.2024, C-590/22, VersR 2024, 1302, juris Rdnr. 36; EuGH, Urteil vom 14.12.2023, C-340/21, NJW 2024, 1091, juris Rdnr. 85).

108 b) Nach diesen Ma�st�ben ist der Kontrollverlust eingetreten, ein immaterieller Schaden steht damit fest. Es ist unstreitig, dass zumindest der Name und das Geschlecht des Kl�gers neben der zugeordneten Mobilfunknummer vom Scraping-Vorfall erfasst wurden. Diese Daten wurden von Dritten im Darknet verf�gbar gemacht. F�r den Kl�ger besteht keine realistische M�glichkeit, die Kontrolle �ber seine Daten zur�ckzuerlangen. Auf die Frage, ob damit Bef�rchtungen oder �ngste verbunden sind, kommt es daher allenfalls f�r die Bemessung der H�he des notwendigen Ausgleichs an, nicht aber f�r die Feststellung des Schadens als solchem.

109 Der Umstand, dass der Kl�ger Daten wie seine Telefonnummer auch bei anderen Social Media-Anbietern oder Onlineh�ndlern hinterlegt hat, schlie�t den Kontrollverlust nicht aus. Der Kl�ger hat in seiner Anh�rung klargestellt, grunds�tzlich einen bewussten Umgang mit seinen Daten zu �ben und seine Daten mit Bedacht und nicht wahllos weiterzugeben. Zeitlich hat er die fragw�rdigen Vorg�nge so verortet, dass sie selbst nach den Angaben der Beklagten mit dem Daten-Scraping in Zusammenhang gebracht werden k�nnen. Anhaltspunkte daf�r, dass der Kl�ger unter anderem seine Telefonnummer, kombiniert mit Name und Geschlecht, aufgrund eines fr�heren sorglosen Umgangs verloren h�tte, ergeben sich nicht. Die Beklagte hat auch keine anderen Gelegenheiten aufgezeigt, bei denen der Kl�ger einen Kontrollverlust erlitten haben k�nnte oder musste oder dass dies zeitlich vor dem Scraping-Vorfall gewesen sei, z. B. �ber Konten bei anderen Kommunikationsplattformen. Zwar hat der Kl�ger auch anderen Dritten seine Telefonnummer bekannt gegeben, f�r deren uneingeschr�nkte datenschutzkonforme Handhabung er nicht garantieren kann. Das durch die Absch�pfung der Daten aus dem Datenbestand der Beklagten und die anschlie�ende Ver�ffentlichung im Internet mit Zugriffsm�glichkeit f�r jede Person eingetretene Risiko unterscheidet sich jedoch wesentlich von einer bewussten und zielgerichteten Weitergabe an bestimmte Empf�nger (vgl. BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 42).

110 c) Den Schadensersatz bemisst der Senat mit 200,00 €.

111 aa) Bei der Bemessung des Betrags des auf die DS-GVO gest�tzten Schadensersatzanspruchs sind die in Art. 83 DS-GVO vorgesehenen Kriterien f�r die Festsetzung des Betrags von Geldbu�en nicht entsprechend anzuwenden (EuGH, Urteil vom 20.06.2024, C-590/22, VersR 2024, 1302, juris Rdnr. 44).

112 Die DS-GVO enth�lt keine Bestimmung �ber die Bemessung des nach Art. 82 DS-GVO geschuldeten Schadenersatzes. Folglich haben die nationalen Gerichte zum Zweck dieser Bemessung nach dem Grundsatz der Verfahrensautonomie die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten �ber den Umfang der finanziellen Entsch�digung anzuwenden, sofern die vom EuGH definierten unionsrechtlichen Grunds�tze der �quivalenz und der Effektivit�t beachtet werden (EuGH, Urteil vom 11.04.2024, C-741/21, NJW 2024, 1561, juris Rdnr. 58; EuGH, Urteil vom 04.10.2024, C-507/23, NJW 2025, 141, juris Rdnr. 32; EuGH, Urteil vom 25.01.2024, C-687/21, NJW 2024, 2009, juris Rdnr. 53; EuGH, Urteil vom 21.12.2023, C-667/21, K & R 2024, 114, juris�Rdnr. 83; EuGH, Urteil vom 04.05.2023, C-300/21, NJW 2023, 1930, juris Rdnr. 54; EuGH, Urteil vom 20.06.2024, NJW 2024, 2599, C-182/22, juris Rdnr. 27).

113 Dabei ist zu ber�cksichtigen, dass dem in Art. 82 Abs. 1 DS-GVO niedergelegten Schadensersatzanspruch ausschlie�lich eine Ausgleichsfunktion zukommt. Er erf�llt keine Abschreckungs- oder gar Straffunktion, weshalb auch das Vorliegen mehrerer auf denselben Verarbeitungsvorgang bezogener Verst��e nicht zu einer Erh�hung des Schadensersatzes f�hrt (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 18; EuGH, Urteil vom 11.04.2024, C-741/21, NJW 2024, 1561, juris Rdnr. 59 f., 64 f.; EuGH, Urteil vom 25.01.2024, C-687/21, NJW 2024, 2009, juris Rdnr. 47; EuGH, Urteil vom 21.12.2023, C-667/21, K & R 2024, 114, juris Rdnr. 85; BGH, Urteil vom 28.01.2025, VI ZR 183/22, NJW 2025, 1059, juris Rdnr. 10; EuGH, Urteil vom 20.06.2024, NJW 2024, 2599, C-182/22, juris Rdnr. 23).

114 Dies hat unter anderem zur Folge, dass sich die Schwere eines solchen Versto�es nicht auf die H�he des gew�hrten Schadenersatzes auswirken darf und der Schadenersatz nicht in einer H�he bemessen werden darf, die �ber den vollst�ndigen Ausgleich des Schadens hinausgeht (EuGH, Urteil vom 04.10.2024, C-507/23, NJW 2025, 141, juris Rdnr. 43; EuGH, Urteil vom 11.04.2024, C-741/21, NJW 2024, 1561, juris Rdnr. 60; EuGH, Urteil vom 25.01.2024, C-687/21, NJW 2024, 2009, juris Rdnr. 48, 52; EuGH, Urteil vom 21.12.2023, C-667/21, K & R 2024, 114, juris Rdnr. 86; EuGH, Urteil vom 20.06.2024, C-590/22, VersR 2024, 1302, juris Rdnr. 41). Dar�ber hinaus verlangt Art. 82 DS-GVO nicht, dass der Grad des Verschuldens des Verantwortlichen bei der H�he des Schadenersatzes ber�cksichtigt wird (EuGH, Urteil vom 21.12.2023, C-667/21, K & R 2024, 114, juris Rdnr. 103; BGH, Urteil vom 28.01.2025, VI ZR 183/22, NJW 2025, 1059, juris Rdnr. 11; EuGH, Urteil vom 20.06.2024, NJW 2024, 2599, C-182/22, juris Rdnr. 28). Nicht relevant ist des Weiteren, dass der Versto� gegen die DS-GVO zugleich einen Versto� gegen nationale Vorschriften mit sich bringt, die sich auf den Schutz personenbezogener Daten beziehen, aber nicht bezwecken, die Bestimmungen der DS-GVO zu pr�zisieren (EuGH, Urteil vom 20.06.2024, C-590/22, VersR 2024, 1302, juris Rdnr. 48). Ebenso wenig finden die Haltung und die Beweggr�nde des Verantwortlichen Eingang, zumindest dann nicht, wenn dies dazu dienen soll, der betroffenen Personen einen Schadensersatz zu gew�hren, der geringer ist als der Schaden, der ihr konkret entstanden ist (EuGH, Urteil vom 04.10.2024, C-507/23, NJW 2025, 141, juris Rdnr. 45).

115 Mithin ist in Anbetracht der Ausgleichsfunktion eine auf Art. 82 DS-GVO gest�tzte finanzielle Entsch�digung als „vollst�ndig und wirksam“ anzusehen, wenn sie es erm�glicht, den aufgrund des Versto�es gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen, ohne dass ein solcher vollumf�nglicher Ausgleich die Verh�ngung von Strafschadenersatz erfordert (EuGH, Urteil vom 11.04.2024, C-741/21, NJW 2024, 1561, juris�Rdnr. 60 f.; EuGH, Urteil vom 04.10.2024, C-507/23, NJW 2025, 141, juris Rdnr. 34, 40; EuGH, Urteil vom 21.12.2023, C-667/21, K & R 2024, 114, juris Rdnr. 84; EuGH, Urteil vom 04.05.2023, C-300/21, NJW 2023, 1930, juris�Rdnr. 58; BGH, Urteil vom 28.01.2025, VI ZR 183/22, NJW 2025, 1059, juris Rdnr. 11; EuGH, Urteil vom 20.06.2024, C-590/22, VersR 2024, 1302, juris Rdnr. 42).

116 bb) Ein Betrag von 200,00 € gleicht den konkret erlittenen Schaden des Kl�gers aus. Betroffen war im Wesentlichen die Mobilfunknummer des Kl�gers, nachrangig die anderen, ohnehin stets �ffentlich einsehbaren Daten wie Name, Geschlecht und F.-ID, die dennoch in der Zusammenschau mit der Telefonnummer ein durchaus sensibles „Datenpaket“ ergaben.

117 Der Kontrollverlust ist dauerhaft, eine R�ckerlangung der Kontrolle �ber die Daten praktisch ausgeschlossen. Der potentielle Empf�ngerkreis dieser Daten ist grunds�tzlich unbegrenzt. Emotionale Beeintr�chtigungen, die sich kausal auf den Datenschutzversto� beziehen und nicht allein auf die pers�nlichen psychischen Belastungen, lie�en sich den �u�erungen des Kl�gers hingegen nicht entnehmen, wenngleich er mit seiner Aussage seine Unsicherheit und die Sorge �ber den erlittenen Datenverlust nachvollziehbar zum Ausdruck gebracht hat. So berichtete er unter anderem von regelm��igen Spam-SMS, insbesondere solche mit Links zu angeblichen Paketlieferungen, und von Betrugsanrufen, die mit unterdr�ckter Nummer angeblich von Paypal herr�hren. Seine Angaben zeigten auch, dass der Vorgang sein Misstrauen geweckt hat und ihn zu mehr Vorsicht im Umgang mit den Daten im Internet anh�lt.

118 In der Gesamtw�rdigung unter Ber�cksichtigung der Art der betroffenen Daten und der Beeintr�chtigung des Kl�gers ist die Zahlung von 200,00 € geeignet, die erlittene immaterielle Beeintr�chtigung vollst�ndig auszugleichen.

119 d) Ob die weiteren, vom Kl�ger behaupteten Verst��e der Beklagten gegen die DS-GVO vorliegen und ob diese von Art. 82 Abs. 1 DS-GVO erfasst sind, kann dahingestellt bleiben. Wie oben ausgef�hrt, ziehen sie ihr Vorliegen unterstellt mit Blick auf die Ausgleichsfunktion der genannten Norm keine Erh�hung des Schadensersatzanspruchs nach sich. Eine Erweiterung oder Vertiefung des Schadens ist mit einer Verletzung der Aufkl�rungspflicht und einer Verletzung von Benachrichtigungs- und Informationspflichten etc. nicht verbunden. Es handelt sich um ein einheitliches Schadensereignis mit einheitlichen Folgen.

IV.

120 Der Antrag auf Feststellung, dass die Beklagte verpflichtet ist, dem Kl�ger alle k�nftigen Sch�den zu ersetzen, die dem Kl�ger durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden, ist zul�ssig und hat in der Sache Erfolg.

121 1. Die blo�e M�glichkeit des k�nftigen Eintritts der geltend gemachten Sch�den reicht f�r ein Feststellungsinteresse aus, weil es nicht um reine Verm�genssch�den geht, sondern um Sch�den, die aus der vom Kl�ger behaupteten Verletzung seines Rechts auf informationelle Selbstbestimmung gem�� Art. 2 Abs. 1 GG i. V. m. Art. 1 Abs. 1 GG, mithin seines allgemeinen Pers�nlichkeitsrechts als einem sonstigen absolut gesch�tzten Rechtsgut im Sinne von � 823 Abs. 1 BGB, resultieren. Eine dar�berhinausgehende hinreichende Schadenswahrscheinlichkeit ist nicht erforderlich. Auch die prim�r als Anspruchsgrundlage herangezogene Vorschrift des Art. 82 DS-GVO hat jedenfalls dann, wenn mit einem m�glichen Versto� gegen Art. 5 DS-GVO auch eine unrechtm��ige Datenverarbeitung ger�gt wird, eine Verletzung des Rechts auf Schutz der personenbezogenen Daten gem�� Art. 8 GRCh zum Inhalt (vgl. Art. 1 Abs. 2 DS-GVO). Dabei kann die M�glichkeit ersatzpflichtiger k�nftiger Sch�den ohne Weiteres zu bejahen sein, wenn ein deliktsrechtlich gesch�tztes absolutes Rechtsgut verletzt wurde und bereits ein Schaden eingetreten ist (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 48).

122 2. Dies ist hier der Fall. Der bereits eingetretene Kontrollverlust des Kl�gers in Form der Ver�ffentlichung seiner Daten (insbesondere seines Namens in Verbindung mit seiner Mobilfunknummer) dauert an. Somit besteht die Gefahr der missbr�uchlichen Benutzung der Daten fort und ist auch nicht nur rein theoretischer Natur.

123 Entgegen der Ansicht der Beklagten st�tzt sich der Bundesgerichtshof mit seiner Rechtsprechung nicht ma�geblich auf das grundgesetzlich gesch�tzte Recht der informationellen Selbstbestimmung, sondern verortet die Wertung im Rahmen des Art. 82 DS-GVO.

124 3. Angesichts der feststehenden Rechtsverletzung der Beklagten und der feststehenden Schadensersatzpflicht nach Art. 82 Abs. 1 DS-GVO ist der Feststellungsantrag auch begr�ndet.

V.

125 Der Antrag auf Unterlassung einer Verarbeitung personenbezogener Daten des Kl�gers, welche da sind Telefonnummer, F.-ID, Familiennamen, Vornamen, Land, �ber die Eingabe der Telefonnummer des Kl�gers in das Kontakt-Import-Tool und die dar�ber hergestellt Verkn�pfung der eingegebenen Telefonnummer mit weiteren �ffentlichen personenbezogenen Daten des Nutzerprofils des Kl�gers zu erm�glichen, ohne dass die Beklagte zum Zeitpunkt der Verwendung des Kontakt-Import-Tools unter Eingabe der Telefonnummer Sicherheitsma�nahmen in Form einer Implementierung von Sicherheits-CAPTCHAs und der �berpr�fung massenhafter IP-Abfragen oder vergleichbaren Sicherheitsma�nahmen vorgehalten hat, ist zul�ssig und in der Sache begr�ndet. Der dar�berhinausgehende Antrag hinsichtlich der Angaben zu Bundesland, Stadt und Beziehungsstatus ist unbegr�ndet.

126 1. Der Antrag in seiner zuletzt formulierten Fassung ist hinreichend bestimmt.

127 a) Ein Klageantrag ist dann hinreichend bestimmt i. S. d. � 253 Abs. 2 Nr. 2 ZPO, wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (� 308 ZPO) absteckt, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (� 322 ZPO) erkennen l�sst, das Risiko eines Unterliegens des Kl�gers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abw�lzt und eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten l�sst (BGH, Urteil vom 09.03.2021, VI ZR 73/20, NJW 2021, 1756, juris Rdnr. 15; BGH, Urteil vom 15.01.2019, VI ZR 506/17, NJW 2019, 781, juris Rdnr. 12; BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 52). Eine hinreichende Bestimmtheit ist bei einem Unterlassungsantrag f�r gew�hnlich gegeben, wenn eine Bezugnahme auf die konkrete Verletzungshandlung erfolgt oder die konkret angegriffene Verletzungsform antragsgegenst�ndlich ist und der Klageantrag zumindest unter Heranziehung des Klagevortrags unzweideutig erkennen l�sst, in welchen Merkmalen des angegriffenen Verhaltens die Grundlage und der Ankn�pfungspunkt f�r den Rechtsversto� und damit das Unterlassungsgebot liegen soll (vgl. BGH, Urteil vom 09.03.2021, VI ZR 73/20, NJW 2021, 1756, juris Rdnr. 15; BGH, Urteil vom 15.01.2019, VI ZR 506/17, NJW 2019, 781, juris Rdnr. 12). Unterlassungsantr�ge, die lediglich den Wortlaut eines Gesetzes wiederholen, sind grunds�tzlich als unbestimmt anzusehen, wenn nicht entweder bereits der gesetzliche Verbotstatbestand selbst entsprechend eindeutig und konkret gefasst oder der Anwendungsbereich einer Rechtsnorm durch eine gefestigte Auslegung gekl�rt ist oder wenn der Kl�ger hinreichend deutlich macht, dass er nicht ein Verbot im Umfang des Gesetzeswortlauts beansprucht, sondern sich mit seinem Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert. Die Bejahung der Bestimmtheit setzt in solchen F�llen allerdings grunds�tzlich voraus, dass zwischen den Parteien kein Streit dar�ber besteht, dass das beanstandete Verhalten das fragliche Tatbestandsmerkmal erf�llt. Die Wiedergabe des gesetzlichen Verbotstatbestands in der Antragsformulierung ist auch unsch�dlich, wenn sich das mit dem selbst nicht hinreichend klaren Antrag Begehrte im Tats�chlichen durch Auslegung unter Heranziehung des Sachvortrags des Kl�gers eindeutig ergibt und die betreffende tats�chliche Gestaltung zwischen den Parteien nicht infrage gestellt ist, sondern sich ihr Streit ausschlie�lich auf die rechtliche Qualifizierung der angegriffenen Verhaltensweise beschr�nkt. (BGH, Urteil vom 28.07.2022, I ZR 205/20, NJW-RR 2022, 1417, juris Rdnr. 12; BGH, Urteil vom 22.07.2021, I ZR 194/20, CR 2022, 199, juris Rdnr. 34; BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 54).

128 b) Nach diesen Grunds�tzen ist der mit Schriftsatz vom 21.02.2025 umgestellte Unterlassungsantrag des Kl�gers unter Ziff. 3a hinreichend bestimmt. Die von dem Unterlassungsantrag umfasste konkrete Verletzungshandlung, wird jedenfalls unter Ber�cksichtigung des �brigen Klagevorbringens hinreichend bestimmbar beschrieben (vgl. OLG Schleswig Urt. v. 24.4.2025 – 5 U 59/23, GRUR-RS 2025, 8880 Rn. 209). Auf die Verwendung unbestimmter und auslegungsf�higer Begriffe wie „unbefugte Dritte“, „nach dem Stand der Technik m�gliche Sicherheitsma�nahmen“ und „Ausnutzung des Systems f�r andere Zwecke als der Kontaktaufnahme“ – wie noch vor der Antragsumstellung der Fall – wurde im umgestellten Unterlassungsantrag verzichtet. Zwar fehlt im Antragstext eine unmittelbare Bezugnahme auf den konkreten Datenvorfall im Jahre 2019, jedoch ergibt sich eine solche aus dem Gesamtkontext des Klagevorbringens.

129 2. Der Antrag ist auch in der Sache begr�ndet. Ein Unterlassungsanspruch ergibt sich hier schon auf Grundlage des zwischen den Parteien geschlossenen Nutzungsvertrages aus�� 280 Abs. 1 BGB i.V.m. vertraglichen R�cksichtnahmepflichten nach � 241 Abs. 2 BGB.

130 Jedenfalls bei einer Verletzung vertraglicher R�cksichtnahmepflichten im Sinne des � 241 Abs. 2 BGB, durch die die Erreichung des Vertragszwecks bedroht wird, kann aus � 280 Abs. 1 BGB nicht nur Schadenersatz, sondern grunds�tzlich auch Unterlassung verlangt werden (vgl. BGH, NJW 2024, 3375; OLG Schleswig Urt. v. 24.4.2025 – 5 U 59/23, GRURRS 2025, 8880 Rn. 209). Eines R�ckgriffs auf die ebenfalls in Betracht kommenden Anspruchsgrundlagen aus der DS-GVO, z.B. �ber eine analoge Anwendung des Rechts zur L�schung nach Art. 17 DS-GVO (vgl. Vorlagebeschluss des BGH. v. 26.9.2023 – VI ZR 97/22, VuR 2024, 261) oder nach �� 1004, 823 Abs. 1 BGB i.V.m. dem allgemeinen Pers�nlichkeitsrecht (vgl. BGH, Urteil vom 10.7.2018 – VI ZR 225/17, NJW 2018, 3506) bedurfte es insoweit nicht.

131 a) Die Beklagte traf die vertragliche Nebenpflicht zum sorgsamen Umgang mit den personenbezogenen Daten der Nutzer, insbesondere die Pflicht, einen massenhaften unberechtigten Zugriff Dritter auf die Daten in Form des sogenannten Scrapings zu verhindern. Eine solche Verpflichtung folgt aus den Datenrichtlinien (Anlage B9) und den Nutzungsbedingungen (Anlage B19) der Beklagten, in dem der Datenzugriff mittels automatisierter Methoden ohne vorherige Genehmigung und Berechtigung ausdr�cklich untersagt wird. Diese Verpflichtung der Beklagten beinhaltet dabei nicht nur ein repressives Vorgehen gegen etwaige T�ter eines unberechtigten Datenabgriffs, sondern schlie�t pr�ventive, technisch m�gliche und zumutbare Gegenma�nahmen ein.

132 b) Diese Pflicht hat die Beklagte verletzt. Der streitgegenst�ndliche Datenvorfall in Form des massenhaften Abgriffs von personenbezogenen Informationen ist dem Grunde nach unstreitig. Zwar ist der Beklagten das vertrags- und gesetzeswidrige Vorgehen anderer Nutzer oder Dritter nicht unmittelbar zuzurechnen; jedoch hat die Beklagte die Offenlegung der Informationen durch die Bereitstellung der Kontakt-Import-Funktion zur Verkn�pfung der hinterlegten Telefonnummer mit den �brigen �ffentlich abrufbaren personenbezogenen Daten der Nutzer erst technisch erm�glicht, ohne dass zum Vorfallzeitpunkt alle notwendigen und zumutbaren technischen Gegenma�nahmen zur Verhinderung einer missbr�uchlichen Verwendung ergriffen worden waren. Der Beklagten ist die F�hrung eines Entlastungsbeweises nach � 280 Abs. 1 S. 2 BGB nicht gelungen. Insbesondere konnte sie nicht nachvollziehbar darlegen, dass die im Rahmen der Ermittlungen der irischen Datenschutzbeh�rde (vgl. Anlage K 3) ergriffenen Gegenma�nahmen nicht bereits vor dem Scrapingvorfall m�glich waren oder dass ihr diese nicht zumutbar gewesen w�ren. Auf die Ausf�hrungen zum schuldhaften Datenschutzversto� nach Art. 5 Abs. 1 lit. f., Art. 32 DS-GVO unter Ziff. III 4. wird Bezug genommen.

133 c) Die f�r den Unterlassungsanspruch erforderliche Wiederholungsgefahr wird durch das festgestellte rechtsverletzende Verhalten der Beklagten indiziert (vgl. BGH, Urteil vom 10.7.2018 – VI ZR 225/17, NJW 2018, 3506). Dagegen hat die Klagepartei die Offenlegung weiterer personenbezogener Informationen wie Bundesland, Stadt und Beziehungsstatus, wie dargelegt, nicht bewiesen. Hier fehlt es folglich an der Wiederholungsgefahr.

134 3. Es besteht keine Veranlassung, das vorliegende Verfahren im Hinblick auf die noch zu Art. 82 DS-GVO anh�ngigen Vorabentscheidungsersuchen zur Frage eines Unterlassungsanspruchs auszusetzen, denn die vorliegenden Feststellungen sind geeignet, die Voraussetzungen eines etwaigen Unterlassungsanspruchs auch unabh�ngig von der Frage, ob die Datenschutz-Grundverordnung einen R�ckgriff auf den gesetzlichen Unterlassungsanspruch aus �� 1004, 823 Abs. 1 BGB nach nationalem Recht erlaubt, zu begr�nden (vgl. BGH, NJW 2025, 298 Rn. 81).

VI.

135 Der Antrag, die Beklagte zu verurteilen, die Telefonnummer des Kl�gers auf Grundlage einer Einwilligung zu verarbeiten, die wegen der un�bersichtlichen und unvollst�ndigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen dar�ber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierf�r die Berechtigung verweigert und, im Falle der Nutzung der F.-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird, ist jedenfalls unbegr�ndet.

136 1. Der Antrag ist hinreichend bestimmt. Er l�sst sich unter Heranziehung des Klagevorbringens dahingehend auslegen, dass der Kl�ger ein Unterlassen jeglicher Verarbeitung seiner Telefonnummer durch die Beklagte, die �ber die notwendige Verarbeitung f�r die Zwei-FaktorAuthentifizierung hinausgeht, begehrt. Der Kl�ger macht deutlich, f�r welche Zwecke die Beklagte seine Telefonnummer noch verarbeiten darf und f�r welche Zwecke er die Unterlassung der Datenverarbeitung begehrt (vgl. BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 62 ff.).

137 2. Der Kl�ger hat ein Rechtsschutzbed�rfnis f�r den Antrag.

138 a) Das Rechtsschutzbed�rfnis fehlt, wenn eine Klage oder ein Antrag objektiv schlechthin sinnlos ist, wenn also der Kl�ger oder Antragsteller unter keinen Umst�nden mit seinem prozessualen Begehren irgendeinen schutzw�rdigen Vorteil erlangen kann. Dies ist etwa dann der Fall, wenn ein einfacherer oder billigerer Weg zur Erreichung des Rechtsschutzziels besteht oder der Antragsteller kein berechtigtes Interesse an der beantragten Entscheidung hat. Daf�r gelten allerdings strenge Ma�st�be. Das Rechtsschutzbed�rfnis fehlt (oder entf�llt) nur dann, wenn das Betreiben des Verfahrens eindeutig zweckwidrig ist und sich als Missbrauch der Rechtspflege darstellt. Auch darf der Kl�ger nicht auf einen verfahrensm��ig unsicheren Weg verwiesen werden (BGH, Urteil vom 29.09.2022, I ZR 180/21, NJW-RR 2023, 66, juris Rdnr. 10, 16; BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 66 f.).

139 b) Zu einem vergleichbaren, denselben Scraping-Vorgang im Datenarchiv der Beklagten betreffenden Unterlassungsantrag hat der Bundesgerichtshof entschieden, dass das Rechtsschutzbed�rfnis nicht entf�llt, weil der Kl�ger seine Telefonnummer aus seinem Nutzerkonto selbst l�schen k�nnte. Der Kl�ger w�rde sich damit der M�glichkeit der Zwei-Faktor-Authentifizierung f�r die Anmeldung in seinem Nutzerkonto begeben. Der BGH hat allerdings ausgef�hrt, dass in der M�glichkeit des Nutzers, seine Privatsph�re-Einstellungen so zu �ndern, dass sich seine Einwilligung zur Verarbeitung seiner Telefonnummer auf die Nutzung der Zwei-Faktor-Authentifizierung beschr�nkt, und die Suchbarkeitseinstellungen bez�glich seiner Telefonnummer seit Mai 2019 auf „Nur ich“ abzu�ndern, ein im Verh�ltnis zu einem entsprechenden Unterlassungstitel einfacherer und dementsprechend auch billigerer Weg liege. Der Bundesgerichtshof hat in dem von ihm entschiedenen Rechtsstreit das Rechtsschutzbed�rfnis gleichwohl nicht verneinen k�nnen, weil das dortige Berufungsgericht keine Feststellungen zu dem Vortrag des Kl�gers getroffen hatte, dass sich aus einer von der Beklagten erteilten Information mit der �berschrift „M�glicherweise verwenden wir deine Telefonnummer f�r diese Zwecke“ die Besorgnis von Verarbeitungsvorg�ngen jenseits der ZweiFaktor-Authentifizierung ergebe (BGH, Urteil vom 18.11.2024, VI ZR 10/24, NJW 2025, 298, juris Rdnr. 68 f.).

140 Gerade auf diese Information stellt der Kl�ger des hiesigen Verfahrens ebenfalls ab, so dass von einem Rechtsschutzbed�rfnis auszugehen ist.

141 3. Der Antrag ist jedoch unbegr�ndet.

142 Dass die Telefonnummer des Kl�gers �ber die Suchfunktion auch dann noch ermittelt werden kann, wenn er diese auf die Zwei-Faktor-Authentifizierung begrenzt und im �brigen die Suchbarkeitseinstellungen auf „Nur ich“ stellt, hat der Kl�ger nicht schl�ssig dargelegt. Er hat sich darauf zur�ckgezogen, die Behauptung der Beklagten, das Auffinden des NutzerProfils und der dort hinterlegten Daten mittels Eingabe der Telefonnummer im Kontakt-Import-Tool sei nur dann m�glich gewesen, wenn die Suchbarkeitseinstellung in dem jeweiligen Profil auf „Everyone“ gestellt gewesen sei, zu bestreiten und der Beklagten eine sekund�re Darlegungs- und Beweislast f�r die neu implementierte „Nur ich“-Funktion und die Beschr�nkung der Verwendung der Telefonnummer auf die Zwei-Faktor-Authentifizierung zuzusprechen. Allerdings hat der Kl�ger die Voraussetzungen f�r einen Unterlassungsantrag vorzutragen und nachzuweisen. Auf den Schriftsatz der Beklagten vom 03.02.2025, in dem diese mit Blick auf die BGH-Rechtsprechung nochmals ausf�hrlich zu den Grenzen der Suchbarkeit eines Profils mittels Telefonnummer vorgetragen hat, ist er nicht mehr eingegangen.

143 Die Beklagte hat unter Verweis auf ihre Klageerwiderung und Anlage B6 klargestellt, dass die Frage, ob sie die Telefonnummer f�r die aufgef�hrten Zwecke verwende, davon abh�nge, wof�r der Nutzer diese hinterlege und wie er seine diesbez�glichen Einstellungen vorgenommen habe. Mit dem Wort „m�glicherweise“ und der ihm folgenden Auflistung bringe sie transparent zum Ausdruck, welche Verwendungen der Telefonnummer in Betracht kommen und dass die Verwendung der Telefonnummer von Fall zu Fall unterschiedlich sein k�nne.

144 Tats�chlich steht die Anlage B6 in Zusammenhang mit den weiteren Erl�uterungen im Hilfebereich zu den Privatsph�re-Einstellungen, die der Nutzer t�tigen kann. Die Ausf�hrungen sind nicht so zu verstehen, dass eine Verarbeitung und Nutzung der Telefonnummer unabh�ngig von den individuellen Einstellungen eines Nutzers gleichwohl f�r die aufgef�hrten Zwecke erfolge (vgl. OLG Koblenz, Urteil vom 11.02.2025, 3 U 145/24, juris Rdnr. 57).

VII.

145 Da der Kl�ger den zun�chst in der Berufungsbegr�ndung angek�ndigten Auskunftsantrag zur�ckgenommen hat, war dar�ber vom Senat nicht mehr zu entscheiden.

VIII.

146 Der Zinsanspruch folgt aus �� 291, 288 Abs. 1 BGB.

IX.

147 Der Kl�ger hat Anspruch auf Erstattung der vorgerichtlichen Rechtsanwaltskosten nach Art. 82 Abs. 1 DS-GVO unter dem Gesichtspunkt erforderlicher Kosten einer zweckentsprechenden Rechtsverfolgung.

148 Die Kosten der Rechtsverfolgung und deshalb auch die Kosten eines mit der Sache befassten Rechtsanwalts geh�ren, soweit sie zur Wahrnehmung der Rechte erforderlich und zweckm��ig waren, grunds�tzlich zu dem wegen einer unerlaubten Handlung zu ersetzenden Schaden (BGH, Urteil vom 17.11.2015, VI ZR 492/14, NJW 2016, 1245, juris Rdnr. 9). Dabei ist ma�geblich, wie sich die voraussichtliche Abwicklung des Schadensfalls aus der Sicht des Gesch�digten darstellt.

149 Ist die Verantwortlichkeit f�r den Schaden und damit die Haftung von vornherein nach Grund und H�he derart klar, dass aus der Sicht des Gesch�digten kein vern�nftiger Zweifel daran bestehen kann, dass der Sch�diger ohne weiteres seiner Ersatzpflicht nachkommen werde, so wird es grunds�tzlich nicht erforderlich sein, schon f�r die erstmalige Geltendmachung des Schadens gegen�ber dem Sch�diger einen Rechtsanwalt hinzuzuziehen. In derart einfach gelagerten F�llen kann der Gesch�digte grunds�tzlich den Schaden selbst geltend machen, so dass sich die sofortige Einschaltung eines Rechtsanwalts nur unter besonderen Voraussetzungen als erforderlich erweisen kann, wenn etwa der Gesch�digte aus Mangel an gesch�ftlicher Gewandtheit oder sonstigen Gr�nden wie etwa Krankheit oder Abwesenheit nicht in der Lage ist, den Schaden selbst anzumelden (BGH, Urteil vom 08.11.1994, VI ZR 3/94, NJW 1995, 446, juris Rdnr. 9).

150 Der Kl�ger hatte die Beklagte �ber seine Prozessbevollm�chtigten mit E-Mail vom 30.12.2022 unter anderem zur Zahlung von Schadensersatz in H�he von 1.000,00 € auffordern lassen. Dieser Anspruch steht ihm dem Grunde, wenn auch nicht in der H�he zu. Aufgrund der ungekl�rten Rechtslage durfte sich der Kl�ger zu diesem Zeitpunkt bereits vorgerichtlich anwaltlicher Begleitung bedienen.

151 Der Anspruch berechnet sich nach dem Gegenstandswert der berechtigten Inanspruchnahme der Beklagten in H�he von 200,00 € f�r den immateriellen Schadenersatz und f�r den Auskunftsanspruch in H�he von 500,00 €, sowie f�r den Unterlassungsanspruch in H�he von 1.000 €, also einem Gesamtbetrag von 1.700 €, mit einer 1,3 Geb�hr nach Nr. 2003 VV RVG, der Pauschale nach Nr. 7002 VV RVG und der Umsatzsteuer nach Nr. 7008 VV RVG, somit 280,60 €.

X.

152 1. Die Kostenentscheidung beruht f�r die erste Instanz auf �� 91 Abs. 1, 92 Abs. 1�ZPO, f�r die Berufungsinstanz zus�tzlich auf �� 97 Abs. 1, 516 Abs. 3 ZPO.

153 2. Die Entscheidung zur vorl�ufigen Vollstreckbarkeit folgt aus �� 708 Nr. 10, 711, 713 ZPO.

154 3. Die Streitwertfestsetzung ergibt sich aus �� 47 Abs. 1 S. 1, 48 Abs. 1 S. 1 GKG in Verbindung mit � 3 ZPO. Ma�geblicher Zeitpunkt f�r die Bewertung des Geb�hrenstreitwerts ist nach � 40 GKG der Zeitpunkt der Antragstellung, die den Rechtszug einleitet, in der Berufungsinstanz also die Einreichung der Berufungsantr�ge. Sp�ter eingetretene wertreduzierende Antrags�nderungen (z. B. teilweise Berufungsr�cknahme, teilweise Klager�cknahme, teilweise Erledigterkl�rung etc.) bleiben in Bezug auf den Geb�hrenstreitwert au�er Betracht (OLG M�nchen, Beschluss vom 13.12.2016, 15 U 2407/16, NJW-RR 2017, 700, juris Rdnr. 16; Toussaint/Elzer, Kostenrecht, 54. Auflage 2024, � 40 GKG Rdnr. 11). Der Senat bemisst die Antr�ge wie folgt:

Ziffer 1.: 1.000,00 €

Ziffer 2.: 500,00 €

Ziffer 3.a): 1.000,00 €

Ziffer 3.b): 1.000,00 €

Ziffer 4.: 500,00 €

155 a) Der Zahlungsantrag unter Ziff. 1. ist mit dem bezifferten Mindestbetrag, also einem Wert von 1.000,00 € in Ansatz zu bringen, � 48 Abs. 1 S. 1 GKG, i.V.m. � 3 ZPO. Bei der Leistungsklage ist der formulierte Antrag wertbestimmend (vgl. Z�ller/Herget, ZPO, 35. Auflage 2024, zu � 3 Rn. 16.112).

156 b) Der Feststellungsantrag unter Ziff. 2. ist hier nur mit 500,00 € zu bewerten. Es ist grunds�tzlich unter Anwendung von � 3 Hs. 1 ZPO auf das wirtschaftliche Interesse des Kl�gers an der begehrten Feststellung abzustellen. Dabei ist bei positiven Feststellungsklagen der Wert des Gegenstandes oder des Rechtsverh�ltnisses zugrunde zu legen und regelm��ig ein Abschlag von 20%, ausnahmsweise von 50% oder mehr vorzunehmen. Im �brigen k�nnen auch Zweifel an der Durchsetzbarkeit des Anspruchs einen h�heren Abschlag rechtfertigen. Bei einem Feststellungsantrag auf alle „k�nftig noch“ entstehenden Sch�den sind bei der Wertfestsetzung nur die ab Klageeinreichung mutma�lich entstehenden Sch�den zu ber�cksichtigen, vorhergehende Sch�den bleiben unber�cksichtigt (Musielak/Voit/Heinrich, 22. Aufl. 2025, ZPO � 3 Rn. 27). Vorliegend ist der Feststellungsantrag bez�glich etwaiger k�nftiger materieller Schadenersatzanspr�che angesichts der Tatsache, dass der Datenschutzvorfall aus dem Jahre 2019 bereits l�ngere Zeit zur�ck liegt, ohne dass bislang ein bezifferbarer materieller Schaden entstanden w�re, das Realisierungsrisiko also eher niedrig zu bewerten ist, und angesichts der absehbaren Schwierigkeiten beim Nachweis der Urs�chlichkeit k�nftiger Sch�den, mit einem Wert von 500,00 € hinreichend ber�cksichtigt (so auch in den sog. Scraping-F�llen: BGH, Beschluss vom 10.12.2024 – VI ZR 22/24; OLG Frankfurt, Beschluss vom 18.07.2023 – 6 W 40/23 – ZD 2023, 744, Rn. 11; OLG Karlsruhe, Beschluss vom 05.07.2023 – 10 W 5/23 – ZD 2023, 7046, Rn. 8; OLG Stuttgart, Beschluss vom 03.01.2023 – 4 AR 4/22 – Rn. 23, juris).

157 c) F�r die beiden Unterlassungsantr�ge unter Ziff. 3. ist zusammen ein Wert von�2.000,00 € in Ansatz zu bringen. Der Streitwert des Unterlassungsantrags ist als nichtverm�gensrechtlicher Streitgegenstand anhand des betroffenen Interesses des Kl�gers zu bestimmen, wobei gem�� � 48 Abs. 2 Satz 1 GKG die Umst�nde des Einzelfalls, insbesondere des Umfangs und der Bedeutung der Sache und der Verm�gens- und Einkommensverh�ltnisse der Parteien, zu beachten sind. Zwar geht der Bundesgerichtshof davon aus, dass in Anlehnung an � 23 Abs. 3 S. 2 RVG bei mangelnden gen�genden Anhaltspunkten f�r ein h�heres oder geringeres Interesse von einem Streitwert von 5.000 € auszugehen ist (BGH, Beschluss vom 17.11.2015 – II ZB 8/14 – WM 2016, 96, Rn. 13). Auf diesen Auffangstreitwert ist jedoch nur dann zur�ckzugreifen, wenn – anders als hier – nicht gen�gend Anhaltspunkte f�r eine Streitwertbemessung bestehen (vgl. BGH, Beschluss vom 28.01.2021, III ZR 162/20 Rn. 9; OLG Karlsruhe, Beschluss vom 05.07.2023 – 10 W 5/23, juris Rn. 16 mwN). Ma�geblich bei einem Unterlassungsantrag nach – wie im Streitfall geltend gemacht – bereits erfolgter Verletzungshandlung ist das Interesse des Anspruchstellers an der Unterbindung weiterer gleichartiger Verst��e, welches ma�geblich durch die Art des Versto�es, insbesondere seine Gef�hrlichkeit und Sch�dlichkeit f�r den Inhaber des verletzten Rechts bestimmt wird (BGH Beschluss vom 10.12.2024 – VI ZR 22/24, BeckRS 2024, 43241 Rn. 13). Allerdings kann auch anderen, von der bereits erfolgten Verletzungshandlung unabh�ngigen Faktoren – etwa dem Grad der Wahrscheinlichkeit k�nftiger Zuwiderhandlungen – Rechnung zu tragen sein (vgl. BGH, Urteil vom 12. Mai 2016 – I ZR 1/15, NJW 2017, 814 Rn. 33 ff. mwN). Das Gef�hrdungspotential ist dabei allein mit Blick auf das konkrete Streitverh�ltnis zu bestimmen. F�r generalpr�ventive Erw�gungen ist bei der Bewertung eines zivilrechtlichen Unterlassungsanspruchs ebenso wenig Raum (BGH, Urteil vom 12. Mai 2016 – I ZR 1/15, NJW 2017, 814 Rn. 42 mwN) wie f�r eine Orientierung an einem etwaigen (Gesamt-)Schaden unter Einbeziehung anderer Betroffener (vgl. BGH, Beschluss vom 30. November 2004 – VI ZR 65/04, juris Rn. 2; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23, juris Rn. 277; OLG Frankfurt/M., K& R 2024, 673). Schlie�lich darf das Gesamtgef�ge der Bewertung nichtverm�gensrechtlicher Streitgegenst�nde nicht aus den Augen verloren werden (BGH, Beschluss vom 26. November 2020 – III ZR 124/20, K& R 2021, 127 Rn. 11). Vor diesem Hintergrund h�lt es der Senat f�r angemessen, die mit dem Klageantrag Ziff. 3a und 3b gestellten Unterlassungsantr�ge mit einem Streitwert von jeweils 1.000 Euro, zusammen also einem Wert von 2.000 €, in Ansatz zu bringen (so hat der BGH, in den sog. ScrapingF�llen f�r zwei �hnlich gelagerte Unterlassungsantr�ge gebilligt jeweils einen Wert von 750 €, zusammen also 1.500 € anzunehmen: BGH Beschluss vom 10.12.2024 – VI ZR 22/24, BeckRS 2024, 43241 Rn. 13).

158 Die teilweise Abweisung des Unterlassungsantrags 3.a ist von untergeordneter wirtschaftlicher Bedeutung und f�llt bei der Bemessung des Unterliegensanteils nicht ins Gewicht.

159 d) F�r den unter Ziff. 4 geltend gemachten Auskunftsanspruch ist ein Wert von 500,00 € in Ansatz zu bringen. Der Wert des mit dem Klageantrag Ziffer 4. geltend gemachten Auskunftsanspruchs bestimmt sich nach der wirtschaftlichen Bedeutung, die diesem Anspruch zukommt (vgl. BGH, Beschluss vom 14.10.2015, IV ZB 21/15). Im Anschluss an die Rechtsprechung des Bundesgerichtshofs (BGH, Beschluss vom 28.1.2021, III ZR 162/20, GRUR-RS 2021, 2286, Rn. 14) zum Wert eines im Wege eines Annexantrags geltend gemachten Auskunftsanspruchs im Zusammenhang mit Leistungs- und Unterlassungsantr�gen wegen (behaupteter) Rechtsverletzungen durch die Betreiber von sozialen Netzwerken erscheint dieser Wert mit nicht mehr als 500 Euro angemessen eingeordnet (OLG Karlsruhe, Beschluss vom 05.07.2023- 10 W 5/23 – ZD 2023, 7046, Rn. 10; OLG Frankfurt, Beschluss vom 18.07.2023 – 6 W 40/23 – ZD 2023, 744, Rn. 22). Anders als in den F�llen einer Datenauskunftsklage nach Art. 15 DS-GVO, die nach der Vorstellung des dortigen Kl�gers einem wirtschaftlichen Ziel, n�mlich der erleichterten Durchsetzung weiterer Klageantr�ge, dienen sollte, und die mit 5.000,00 € bewertet wurde (vgl. OLG K�ln, Beschluss vom 03.09.2019 – 20 W 10/18 – BeckRS 2019, 21980, Rn. 4), ist hier nicht ersichtlich, dass der Auskunftsanspruch der Vorbereitung zur unmittelbaren Geltendmachung weitergehender Anspr�che dienen soll.

160 e) Der Antrag auf Zahlung der Kosten f�r die vorgerichtliche Rechtsverfolgung wirkt nicht streitwerterh�hend (BGH, Beschluss vom 25.09.2007, VI ZB 22/07, NJW-RR 2008, 374, juris Rdnr. 4 ff.).

XI.

161 Die Revision ist nicht zuzulassen, die Voraussetzungen des � 543 Abs. 2 ZPO liegen nicht vor.

162 Die von beiden Parteien aus unterschiedlichen Gr�nden beantragte Aussetzung des Verfahrens konnte unterbleiben. Zu den f�r den hiesigen Rechtsstreit entscheidungserheblichen Fragen hat sich der EuGH ausdr�cklich erkl�rt.

titelzeile

Datenschutzgrundverordnung, Streitwertfestsetzung, Materielle Rechtskraft, Aussetzung des Verfahrens, Vorgerichtliche Rechtsanwaltskosten, Rechtsschutzbed�rfnis, Schadensersatzpflicht, Datenschutzfreundliche Voreinstellungen, Darlegungs- und Beweislast, Zeitlicher Anwendungsbereich, Wiederholungsgefahr, Feststellungsantrag, Auskunftsanspruch, Sekund�re Darlegungslast, Unterlassungsanspruch, Rechtsh�ngigkeit, Auftragsverarbeiter, Technische und organisatorische Ma�nahmen, Nichtverm�gensrechtliche, Streitgegenstand