LG M�nchen I 23. Zivilkammer — 2021-09-02 — 23 O 10931/20 — Endurteil

Entscheidungsdatum: 2021-09-02

Aktenzeichen: 23 O 10931/20

Dokumenttyp: Endurteil

Tenor

1. Die Klage wird abgewiesen.

2. Der Kl�ger hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist gegen Sicherheitsleistung in Hohe von 110 % des jeweils zu vollstreckenden Betrags vorl�ufig vollstreckbar.

Beschluss

Der Streitwert wird auf 6.650,00 € festgesetzt.

Tatbestand

1 Der Kl�ger begehrt Schadensersatz wegen einer behaupteten Datenschutzverletzung.

2 Die Beklagte betreibt … ein soziales Netzwerk und eine Online Plattform … Der Kl�ger legte dort unter Verwendung der E-Mail Adresse … - seine Kanzlei - E-Mail Adresse - ein Kundenkonto an. Mit Schreiben vom 13.07.2020 forderte der Kl�ger von der Beklagten Schadensersatz wegen eines angeblichen Datenschutzvorfalls vom Januar 2019 auf der Webseite … zu seiner E-Mail Adresse … (Anlage K 3) Die Webseite … geh�rt nicht der Beklagten. Unter Hinweis darauf antwortete die Beklagte mit Schreiben vom 21.07.2020 (Anlage K 4) und teilte dem Kl�ger zugleich mit, wie und �ber welche URL-Links er in seinem … account unter „Einstellungen & Datenschutz“ eine vollst�ndige Kopie der �ber ihn innerhalb seines Nutzerkontos gespeicherten Daten einsehen und herunterladen k�nne.

3 In Erw�gungsgrund 63 der DSGVO hei�t es: „Nach M�glichkeit sollte der Verantwortliche den Femzugang zu einem sicheren System bereitstellen k�nnen, der den betroffenen Personen direkten Zugang zu ihren personenbezogenen Daten erm�glichen w�rde“.

4 Der Kl�ger macht geltend, seine Anfrage nach Auskunft �ber seine bei … verarbeiteten personenbezogenen Daten vom 13.07.2020 (Anlage K 4) habe die Beklagte bis heute nicht beantwortet. Der Kl�ger hat hierzu zun�chst behauptet, von seinem … Account zur E-Mail Adresse … seien im Rahmen eines Hacks im Februar 2019 u.a. seine Daten gestohlen worden. Hierzu legt der eine Seite von „HPI identity Leak Checker“ des Hasso-Plattner-Instituts unter Anlage K 2 vor.

5 Die von der Beklagten mit der Antwort-Mail vom 21.07.2020 (Anlage K 4) �bersandten URL-Links zur Einsicht in die �ber seinem Bereich gespeicherten Daten seien unbrauchbar; sie zeigten bei Aufruf „page not found“.

6 Mit Schriftsatz vom 10.03.2021 sowie in der m�ndlichen Verhandlung am 08.07.2021 tr�gt der Kl�ger vor, um einen Datenschutzvorfall zur E-Mail-Adresse … gehe es nicht mehr, sondern um seinen … account zur E-Mail - Adresse …

7 Der Kl�ger behauptet, nach einer HPI - Anfrage vom 11.02.2021 (Anlage K 7) seien schon im Juni … durch ein Datenleck seine die Zugangsdaten gestohlen worden. �ber den Datenschutzvorfall sei er nicht von der Beklagten informiert worden. Im Jahr 2016 habe das Magazin … berichtet, dass �ber den Darknet-Markt … Accounts gestohlenen Daten angeboten worden seien. Der Kl�ger behauptet ferner, … sch�tze nicht in ausreichendem Ma�e die Daten der Nutzer, also auch nicht die des Kl�gers gegen Hacker - Angriffe. Er habe erstmals 2020 von dem auch in betreffenden Datenleck aus dem Jahr … erfahren.

8 Der Kl�ger tr�gt vor, er habe durch den Versto� gegen seine Auskunftsrechte und das durch Systemfehler erm�glichte Datenleck … die Kontrolle �ber seine Daten verloren. Hierin liege sein Immaterieller Schaden, der wegen der Schwere der Datenschutzverletzung mit mindestens 4.500,00 € zu bewerten sei.

9 Der Kl�ger beantragt,

die Beklagte zu verurteilen, an die Klagepartei einen Betrag in H�he von 6.650,00 € nebst Zinsen hieraus in H�he von 5 Prozentpunkten �ber dem Basiszinssatz seit Rechtsh�ngigkeit zu zahlen.

10 Die Beklagte beantragt,

die Klage abzuweisen.

11 Die Beklagte tr�gt vor, mit der Mitteilung und Erl�uterung der URL-Links sowie den Hinweis auf weitere Kontaktm�glichkeiten in ihrer E-Mail vom 21.07.2021 (Anlage K 4) habe die Beklagte auf ihre Auskunftspflichten nach der DSGVO erf�llt. Das von der Beklagten angebotene Auskunftssystem sei markt�blich. Nach Erw�gungsgrund 63 der DSGVO sei der Fernzugriff auf ein elektronisches Auskunftssystem ausdr�cklich als M�glichkeit genannt. Mit einem solchen System zum Fern- und Direktzugriff solle den Nutzern eine handhabbare Plattform zur Erf�llung der Pflichten aus Art. 15 DSGVO zur Verf�gung gestellt werden. Das von ihr, der Beklagten, zur Verf�gung gestellte Informationssicherheit-Management Systems sei nach internationalen Standards wie der Norm ISO/IEC27001 zertifiziert, sicher und funktioniere. Auf die Mitteilung der Links mit ihrer E-Mail vom 21.07.2020 (Anlage K 4) habe sich der Kl�ger nicht mehr reagiert.

12 Im �brigen bestreitet die Klagepartei einen Datenschutzvorfall betreffend die E-Mail-Adresse des Kl�gers … Die hierzu vorgelegte Anlage K7 belege gar nichts, nicht einmal die E-Mail-Adresse … sei dort genannt.

13 Auch zu den angeblich fehlenden Sicherheitsma�nahmen auf Seiten der Beklagten, aufgrund derer es zu einer Verletzung des Schutzes personenbezogener Daten des Kl�gers gekommen sein soll, habe der Kl�ger nichts Valides vorgetragen.

14 Die Beklagte erhebt im Hinblick auf den behaupteten Oatenschutzvorfall … vorsorglich die Einrede der Verj�hrung.

15 Wegen des weiteren Sach- und Streitstands wird auf die Schrifts�tze der Parteien samt Anlagen sowie auf das Protokoll der Sitzung vom 08.07.2021 Bezug genommen.

Gründe

16 Die zul�ssige Klage ist unbegr�ndet.

17 I. Dem Kl�ger steht kein Anspruch auf Ersatz eines immateriellen Schadens gem�� Art. 82 DS-GVO gegen die Beklagte zu. Der Kl�ger hat weder einen Versto� der Beklagten gegen die Datenschutzverordnung nachvollziehbar dargelegt noch einen ersatzf�higen Schaden.

Im Einzelnen gilt Folgendes:

18 1. Der Kl�ger macht geltend, er habe die Beklagte mit Schreiben vom 13.07.2020 (Anlage K 3) zur Auskunft �ber seine bei der Beklagten verarbeiteten personenbezogenen Daten gem�� Art. 15 DSGVO aufgefordert. Dem sei die Beklagte nicht nachgekommen. Die ihm mit E-Mail vom 21.07.2020 (Anlage K 4) �bersandten URL - Links w�rden nicht funktionieren. Dies trifft nicht zu Schon die Auskunftsanfrage des Kl�gers war irref�hrend. Zum einen hatte der Kl�ger mit seiner Anfrage vom 13.07.2020 Auskunft betreffend einer anderen E-Mail - Adresse angefragt … und zudem noch zu einer falschen Webside … nicht zur Beklagten geh�rt. Trotzdem hat die Beklagte mit der Mitteilung der beiden URL - Links … die �ber den pers�nlichen Kundenaccount im Bereich „Einstellungen & Datenschutz“ abrufbar sind, die Auskunft nach Art. 15 DSGVO auch f�r den Account des Kl�gers zur E-Mail - Adresse … erteilt.

19 Die Einlassung des Kl�gers, diese URL - Links seien nicht aufrufbar, es handele sich um tote Links, die nur die Nachricht „page not found“ (Anlage K 6) generierten, ist schlicht nicht nachvollziehbar. Zum einen hat die Beklagte Screenshots der bei Aufruf der Seiten jeweils erscheinenden Startseiten unter Anlage B4 vorgelegt. In der m�ndlichen Verhandlung am 08.07.2021, die im Wege der Videokonferenz stattgefunden hat, erkl�rten der Kl�ger und der Vertreter der Beklagten, w�hrend der Sitzung jeweils die Seiten �ber ihre Rechner aufrufen zu wollen. Der Kl�ger bekundete, dies sei ihm wiederum nicht gelungen, die Seiten �ffneten sich bei ihm nicht. Der Beklagtenvertreter meldete demgegen�ber den Vollzug des Aufrufs der Webseiten. Die jeweiligen Ergebnisse konnten im Rahmen der Videokonferenz nicht in Augenschein genommen werden. Das Gericht konnte sich jedoch im Nachgang zu Sitzung selbst davon �berzeugen, dass sich die von der Beklagten mitgeteilten URL-Links als st�ndig zur Verf�gung stehende Links ohne Probleme im Bereich „Einstellungen & Datenschutz“ in … Accounts �ffnen lassen und die von der Beklagten in Anlage B4 als Screenshots vorgelegten Startseiten erscheinen.

20 Die Beklagte hat insoweit unbestritten vorgetragen, es handele sich dabei um ein markt�bliches und zertifiziertes Auskunftssystem. Die elektronische Bereitstellung der personenbezogenen Daten aus dem Account heraus ist von der DSGVO ausdr�cklich zugelassen. Im Erw�gungsgrund 63 zur DSGVO hei�t es, dass nach M�glichkeit der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen k�nnen sollte, der den betroffenen Personen direkten Zugang zu ihren personenbezogenen Daten erm�glichen w�rde.

21 Die Beklagte hat somit die vom Kl�ger geforderte Auskunft nach Art. 15 DSGVO erteilt, indem sie ihm st�ndig verf�gbare URL-Links zur Verf�gung stellte, mit welcher … Kunden die �ber sie in ihrem Bereich gespeicherten Daten jederzeit abrufen k�nnen.

22 2. Aus dem Vortrag des Kl�gers, im Rahmen eines Datenlecks … sei auch die E-Mail-Adresse des Kl�gers … gestohlen worden; die Diebe h�tten dadurch Zugriff auf s�mtliche unter dieser E-Mail gespeicherten Kontakte, insbesondere Mandantenkontakte gehabt, die neben seiner eigenen E-Mail Adresse im Darknet h�tten verkauft werden k�nnen, ist nicht nachvollziehbar. Es mag sein, dass - wie sich aus dem zuletzt unter Anlage K 10 vorgelegten Auszug eines Ergebnisses einer Anfrage des Kl�gers bei HPI Leak Checker ergibt - von einem gro� angelegten Datenhack … betroffenen Nutzem auch der Kl�ger betroffen war. Die Beklagte hat ihn unstreitig dar�ber nicht informiert. Nicht nachvollziehbar ist jedoch der Vortrag des Kl�gers, dadurch seien auch seine Kontaktdaten, insbesondere Mandantenkontakte dem Zugriff der Hacker preisgegeben und von diesen durch Adressierung von Spammails genutzt worden. Der Kl�ger hat hierzu keine konkreten Tatsachen vorgetragen. Dies ergibt auch nicht das vom Kl�ger zuletzt unter Anlage K 11 vorgelegte Privatgutachten …. Dort wird zu dem Umfang der abgezogenen Daten nichts ausgef�hrt. Den Zugriff auf Mandantenkontakte hat der Kl�ger ohne Spezifizierung und Beweisantritt in den Raum gestellt. Daher muss auch der Behauptung des Kl�gers, die Sicherheitssystem der Beklagten seien zum damaligen Zeitpunkt nicht ausreichend gewesen, nicht nachgegangen werden.

23 Denn einen ersatzf�higen Schaden hat der Kl�ger nicht dargetan. Zwar kann nach Art. 82 DS-GVO auch ein durch einen Versto� gegen die Verordnung entstandener immaterieller Schaden ersetzt werden. In den Erw�gungsgr�nden sind auch Nichtverm�genssch�den durch Diskriminierung, Indentit�tsdiebstahl oder -betrug, Rufsch�digung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten oder gesellschaftliche Nachteile genannt (Vgl. BeckOK Datenschutz/Quaas DSGVO Art. 82 Rz. 23). Einen vergleichbaren schwerwiegenden Eingriff hat der Kl�ger indessen nicht vorgebracht Insbesondere hat der Kl�ger, dessen Kanzlei - EMail-Adresse betroffen gewesen sein soll, nicht vorgetragen, dass zum Beispiel vertrauliche Mandantendaten abgegriffen worden sein k�nnten. Die Kanzlei E-Mail - Adresse des Kl�gers d�rfte demgegen�ber nicht geheim, sondern ohne Weiteres Dritten zug�nglich sein. Der Kl�ger hat sich im �brigen darauf beschr�nkt vorzutragen, sein Schaden bestehe im Verlust der Kontrolle �ber seine Daten. Dies gen�gt nicht, um einen bemessbaren, immateriellen Schaden festzustellen.

24 Die Klage war daher abzuweisen.

25 II. Die Kostenentscheidung folgt aus � 91 ZPO. Die Entscheidung �ber die vorl�ufige Vollstreckbarkeit ergibt � 709 ZPO.

Leitsatz

Nach Art. 82 DSGVO kann auch ein durch einen Versto� gegen die Verordnung entstandener immaterieller Schaden ersetzt werden; insofern kommen Nichtverm�genssch�den durch Diskriminierung, Indentit�tsdiebstahl oder -betrug, Rufsch�digung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten oder gesellschaftliche Nachteile in Betracht. (Rn. 23) (redaktioneller Leitsatz)

Leitsatz

Die Behauptung, durch den Verlust der Kontrolle �ber Daten sei ein Schaden eingetreten gen�gt nicht, um einen bemessbaren, immateriellen Schaden festzustellen. (Rn. 23) (redaktioneller Leitsatz)

titelzeile

Voraussetzungen des Anspruchs auf immateriellen Schadensersatz nach der DSGVO