LG Schwerin 5. Zivilkammer — 5 O 48/24 — Urteil

Entscheidungsdatum: 2025-10-06

Aktenzeichen: 5 O 48/24

ECLI: ECLI:DE:LGSN:2025:1006.5O48.24.00

Dokumenttyp: Urteil

Tenor

1. Die Beklagte wird verurteilt, Auskunft nach Art. 15 Abs. 1 lit. a., c., g. und h. DGSVO darüber zu erteilen, welche der folgenden personenbezogenen Daten der Klagepartei seit dem 19.11.2022 mit Hilfe der „Meta Business Tools“ erfasst, an die Server der Beklagten weitergeleitet, dort gespeichert und anschließend verwendet wurden und im Zuge dessen mit dem Nutzeraccount des Netzwerks „Instagram” unter dem Benutzernamen „M.“ der Klagepartei verknüpft wurden,

a. auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klagepartei, ob direkt oder in gehashter Form übertragen, d.h.

• E-Mail der Klagepartei

• Telefonnummer der Klagepartei

• Vorname der Klagepartei

• Nachname der Klagepartei

• Geburtsdatum der Klagepartei

• Geschlecht der Klagepartei

• Ort der Klagepartei

• Externe IDs anderer Werbetreibender (von der Meta Ltd. “external_ID” genannt)

• IP-Adresse des Clients

• User-Agent des Clients (d.h. gesammelte Browserinformationen)

• interne Klick-ID der Meta Ltd.

• interne Browser-ID der Meta Ltd.

• Abonnement –ID

• Lead-ID

• anon_id

• die Advertising ID des Betriebssystems Android (von der Meta Ltd. „madid“ genannt)

sowie bezogen auf sämtliche so verarbeiteten personenbezogenen Daten der Klagepartei

b. auf Dritt-Webseiten

• die URLs der Webseiten samt ihrer Unterseiten

• der Zeitpunkt des Besuchs

• der Referrer (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist),

• die auf der Webseite angeklickten Buttons sowie

• weitere von der Meta „Events“ genannte Daten, die die Interaktionen auf der jeweiligen Webseite dokumentieren

c. in mobilen Dritt-Apps

• der Name der App sowie

• der Zeitpunkt des Besuchs

• die in der App angeklickten Buttons sowie

• die von der Meta „Events“ genannte Daten, die die Interaktionen in der jeweiligen App dokumentieren

außerdem für jedes erhobene Datum,

ob, und wenn ja welche konkreten personenbezogenen Daten der Klagepartei die Beklagte seit dem 19.11.2022 zu welchem Zeitpunkt an Dritte (Werbepartner, sonstige Partner im Konzern verbundene Unternehmen oder sonstige Dritte) weitergegeben hat, unter Benennung dieser Dritten,

ob, und wenn ja welche konkreten Daten der Klagepartei die Beklagte seit dem 19.11.2022 zu welchem Zeitpunkt (Beginn, Dauer, Ende) in welchem Drittstaat gespeichert hat;

inwieweit die Daten der Klagepartei für eine automatisierten Entscheidungsfindung einschließlich Profiling verwendet wurden und werden. Die Beklagte hat hierfür aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebte Auswirkung einer solchen Verarbeitung für die betroffene Person zu erteilen.

2. Die Beklagte wird verurteilt, an den Kläger 5.000,00 €, nebst Zinsen i.H.v. fünf Prozentpunkten über dem Basiszinssatz seit dem 23.05.2024, zu zahlen.

3. Im Übrigen wird die Klage abgewiesen.

4. Die Kosten des Rechtsstreits trägt der Kläger zu 25 % und die Beklagte zu 75 %.

5. Das Urteil ist für den Kläger vorläufig vollstreckbar gegen Sicherheitsleistung in Höhe von 110 % des jeweils zu vollstreckenden Betrages. Der Kläger kann die Vollstreckung durch die Beklagte durch Sicherheitsleistung oder Hinterlegung in Höhe von 110 % des für die Beklagte aus dem Urteil vollstreckbaren Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung in Höhe von 110 % des zu vollstreckenden Betrages Sicherheit leistet.

6. Der Streitwert wird auf 10.000,00 € festgesetzt.

Tatbestand

1 Der Kläger macht Ansprüche aus behaupteten Datenschutzverstößen geltend.

2 Die Beklagte ist u.a. Betreiberin des Netzwerkes „Instagram“. Dieses Netzwerk ermöglicht es den Nutzern, persönliche Profile zu erstellen und in dem Umfang ihrer so erstellten Präsenz in diesem Netzwerk mit anderen Nutzerinnen und Nutzern in Kontakt zu treten. Zentrales Merkmal von Instagram ist die Personalisierung. Dazu nutzt die Beklagte zum ersten Daten, die der Nutzer selbst bei der Registrierung (zwingend: Benutzername, Mailadresse oder Telefonnummer, Alter) oder später angibt; zum zweiten „on-site“-Daten, die als Ergebnis der Aktivitäten des Nutzer auf „Instagram“ gesammelt werden; und zum dritten (hier streitgegenständlich) „off-site“-Daten, die die Beklagte von Dritten erhält und die z.B. Informationen beinhalten, wie Nutzer mit den Webseiten und Apps von Drittunternehmen interagieren.

3 Die Beklagte ist weiterhin die Entwicklerin sog. „Meta Business Tools“, namentlich „Meta Pixel“, „App Events über Facebook-SDK“ und „Conversions API“ sowie „App Events API“ (nachfolgend zusammenfassend genannt: „Business Tools“). Diese Business Tools werden im Einvernehmen mit der Beklagten von zahlreichen Drittunternehmen auf deren Webseiten („Meta Pixel“, „Conversions API“) oder Apps („Facebook-SDK“, „App Events API“) eingebunden. Betroffen sind insbesondere zahlreiche reichweitenstarke Webseiten und Apps in Deutschland, wie etwa zahlreiche große Nachrichtenseiten und -Apps und Seiten mit politischem Bezug (z.B. tagesschau.de, spiegel.de, bild.de, welt.de, faz.net, stern.de, wahl-o-mat.de), großen Seiten und Apps zu Reisen und Freizeitgestaltung (z.B. bahn.de, airbnb.de, tripadvisor.de, hrs.de, holidaycheck.de, momondo.de, booking.com, chefkoch.de), Seiten und Apps, die medizinische Hilfe bieten (z.B. apotheken.de, shop-apotheke.de, docmorris.de, ärzte.de, helios-gesundheit.de, jameda.de), Dating- und Erotikseiten (z.B. parship.de, amorelie.de, orion.de, lovescout24.de), aber auch Seiten mit Inhalten aus der innersten Intimsphäre (z.B. krebshilfe.de, fertility.com, nie-wieder-alkohol.de). Eine vollständige Übersicht der betroffenen Webseiten wurde und wird von der Beklagten nicht veröffentlicht. Nach Vortrag des Klägers, den die Beklagte lediglich als unsubstantiiert rügt, sind in Deutschland schätzungsweise 30-40 % aller größeren Webseiten betroffen, darunter die in der Anlage K2 zur Klageschrift gelisteten.

4 Für den durchschnittlichen Internetnutzer ist nicht erkennbar, ob die jeweilige Webseite mit einem Meta Business Tool ausgestattet worden ist.

5 Genereller Zweck dieser Business Tools ist es unter anderem, die Effektivität von Werbeanzeigen von Drittunternehmen auf den von der Beklagten angebotenen Plattformen wie „Instagram“ zu erhöhen und zu messen.

6 Sobald ein Nutzer des Netzwerkes „Instagram“ die Homepage oder App einer Drittfirma, die derartigen Business Tools einsetzt, besucht, übermittelt die Drittfirma über die derart eingebundenen Business Tools die IP-Adresse des Nutzers sowie den User-Agent des Clients (d.h. vom Browser oder vom Nutzergerät abrufbare Daten, deren Verknüpfung über ein „Digital Fingerprinting“ zusammen mit der Nutzer-ID und der IP-Adresse eine Individualisierung des Nutzers erlaubt) an die Beklagte, und zwar unabhängig davon, ob der Nutzer zu diesem Zeitpunkt bei Instagram eingeloggt ist oder nicht. Auf diese Weise erkennt die Beklagte Nutzer auf Drittwebseiten unabhängig davon, ob der Nutzer in den Einstellungen seines Browsers oder in den Einstellungen bei „Instagram“ hinsichtlich der Verwendung von Cookies Einschränkungen gemacht hat. Die Business Tools erfassen sodann, wenn der Webseiten-/Appbetreiber die Funktion „Automatische Events“ der Business Tools aktiviert hat – was die Beklagte empfiehlt –, selbsttätig auch Informationen über die weiteren Aktivitäten des Nutzers auf der Drittwebseite/-app („Events“) und übermitteln diese an die Beklagte. In welcher Weise die Beklagte diese weiteren Daten nutzt, hängt in gewissem Umfang von den Einstellungen des jeweiligen Nutzers bei Instagram ab.

7 Um ein Konto auf „Instagram“ zu nutzen und zu registrieren, muss der künftige Nutzer den Nutzungsbedingungen (Anlage B2) zustimmen. Dort heißt es, in der Datenschutzrichtlinie der Beklagten werde erläutert, wie die Beklagte Informationen über alle Meta-Produkte hinweg erhebe, verwende und teile, und werde erläutert, wie der Nutzer u.a. in den Instagram -Privatsphäre- und Sicherheitseinstellungen seine Informationen kontrollieren könne.

8 Die Nutzerinnen und Nutzer von „Instagram“ können über die dortigen Einstellmöglichkeiten Einfluss darauf nehmen, wie die derart bei der Beklagten eingehenden Daten weiterverwendet werden. In der Rubrik Einstellungen können die Nutzerinnen und Nutzer unter „optionale Cookies“ entscheiden, ob sie den Einsatz von „Meta Cookies auf anderen Apps und Webseiten“ erlauben. Wenn der Nutzer durch seine Einstellungen auf Instagram den Einsatz von „Meta Cookies auf anderen Apps und Webseiten“ nicht erlaubt und/oder nicht über die Einstellung „Informationen über Aktivitäten von Werbepartnern“ einwilligt, verwendet die Beklagte Informationen dieses Nutzers, die über Business Tools auf Homepages und Apps Dritter erhoben werden, für bestimmte Zwecke gleichwohl, nicht jedoch für die Bereitstellung personalisierter Werbung.

9 Die Beklagte verpflichtet die Drittunternehmen, auf deren Seiten die Business Tools eingebunden werden, zur Einhaltung der Business Tools Nutzungsbedingungen (Anlage B5).

10 Die über die Business Tools von den Apps und Homepages an die Beklagten übertragenen Daten werden von der Beklagten wie folgt – und teilweise in Abhängigkeit von dem Vorliegen der in den Einstellungen abgegebenen Einwilligung – weiterverarbeitet: Mittels der übertragenen technischen Standarddaten wird – soweit, wie ganz regelmäßig, technisch möglich – eine bereits von der Beklagten erfasste Person identifiziert. Der Umstand des Besuchs der die Daten übertragenden Homepage bzw. App sowie der entsprechende Zeitpunkt wird sodann dem personenbezogenen Profil dieser Person zugeordnet und gespeichert und reichert dieses Persönlichkeitsprofil entsprechend um diese personenbezogene Information weiter an. Weitere personenbezogenen Daten über die Aktivitäten des Nutzers auf der Homepage bzw. App des Dritten werden jedenfalls dann gespeichert und mit den sonstigen gegebenenfalls vorhandenen Daten über den jeweiligen Nutzer zu einem personenbezogenen Profil verbunden, wenn der Nutzer in den Einstellungen seine Zustimmung zur Nutzung „optionaler Cookies“ erteilt hat. Hat der Nutzer gegenüber der Beklagten der Datenverarbeitung zur Bereitstellung personalisierter Werbung nicht zugestimmt, verwendet die Beklagte die Daten für diesen Benutzer nicht zur Bereitstellung personalisierter Werbung. Sie verwendet jedoch auch in diesem Fall die Daten, die von Drittunternehmen über Meta Business Tools gesendet werden, für andere Zwecke, nach Vortrag der Beklagten etwa „für Sicherheits- und Integritätszwecke“, einschließlich des Zweckes „der Überwachung von versuchten Angriffen auf die Systeme von Meta“.

11 Die Beklagte räumt sich in ihren AGB das Recht ein, von ihr kontrollierte personenbezogene Daten ihrer Nutzer in andere Länder weltweit zu übertragen, ohne dass insoweit hinsichtlich des datenschutzrechtlichen Schutzniveaus im betreffenden Drittstaat differenziert würde.

12 Der Kläger selbst nutzt seit dem 19.11.2022 ausschließlich privat das Netzwerk Instagram unter dem Nutzernamen „M.“. Der Kläger hat der „Verarbeitung von Daten von Drittwebsiten- und -apps zur Bereitstellung personalisierter Werbung“ nicht zugestimmt.

13 Mit vorgerichtlichem Anwaltsschreiben vom 04.03.2024 (Anlage K3) forderte der Kläger die Beklagte dazu auf, anzuerkennen, dass der Vertrag zwischen den Parteien nach rechtskonformer Auslegung eine Datenverarbeitung der streitgegenständlichen Drittquellendaten ohne wirksame Einwilligung grundsätzlich nicht zulasse; sich strafbewehrt zu verpflichten, Daten nur noch gem. ausdrücklicher Weisung des Klägers zu verarbeiten und auf Aufforderung zu löschen bzw. zu anonymisieren; bestimmte Auskunftspflichten anzuerkennen; sich strafbewehrt zur Unterlassung bestimmter Datenverarbeitungen zu verpflichten; und 5.000,- € zu zahlen. Das Schreiben vom 04.03.2024 erfolgte noch unter Angabe des Nutzernamens „M.“.

14 Der Kläger behauptet, die Beklagte überwache den Internetverkehr des Klägers seit dem 01.02.2022 unter grober und vorsätzlicher Missachtung des europäischen Datenschutzrechts, indem sie dessen persönliche und höchstpersönliche Daten massenweise rechtswidrig erhebe, zu einem Profil zusammenfüge, in unsichere Drittstaaten übertrage, dort unbefristet speichere und sich das Recht herausnehme, diese Daten in unbekanntem Maße auszuwerten und an Dritte weiterzugeben, ohne den Kläger hiervon zu informieren. Hierzu trägt der Kläger vor, er nutze viele Webseiten und Apps, auf denen die Meta Business Tools aktiv seien, einschließlich Webseiten, aus deren Besuch und konkreter Verwendung direkte Rückschlüsse auf besonders sensible personenbezogene Daten gezogen werden könnten. Gegenstand der Beanstandung des Klägers sei nicht die Bereitstellung personalisierter Werbung durch die Beklagte, sondern die Tatsache, dass die auf Drittwebseiten bzw. -apps entstehenden personenbezogenen Daten überhaupt erfasst und verarbeitet würden, gleich zu welchen Zwecken.

15 Die Beklagte sei für die Datenverarbeitung durch die Meta Business Tools und aufgrund der Meta Business Tools verantwortlich i.S. des Art. 28 DSGVO.

16 Für die streitgegenständliche Datenverarbeitung könne sich die Beklagte nicht auf eine Einwilligung der Nutzer berufen. Weder die Schaltflächen zur Verwendung von Cookies noch der Text unter der Schaltfläche „Informationen über Aktivitäten von Werbepartnern“ seien ausreichende Grundlage für eine wirksame Einwilligung der Nutzer. Auch die Datenschutzrichtlinie der Beklagten könne das bestehende Informationsdefizit nicht kompensieren. Zudem werde die streitgegenständliche Datenverarbeitung weitestgehend unabhängig von einer Einwilligung der Nutzer vorgenommen.

17 Die Weitergabe persönlicher Daten an unsichere Drittstaaten sei jedenfalls von 25.05.2018 bis 09.07.2023 rechtswidrig gewesen.

18 Der Kläger trägt weiter vor, die Beklagte stelle über „Instagram“ keine vollständige Beauskunftung gem. Art. 15 Abs. 1, Abs. 3 DSGVO zur Verfügung. Auch eine nachträgliche Löschung der Daten durch den Nutzer sei nicht möglich. Er meint, das Recht auf Anonymisierung sei als Minus im Anspruch auf Löschung aus Art. 17 DSGVO enthalten. Dem Kläger stehe ein Entschädigungsanspruch wegen Verletzung seines Rechts auf informationelle Selbstbestimmung aus Art. 823 Abs. 1 BGB i.V.m. Art. 2 Absatz 1, 1 Absatz 1 GG zu, jedenfalls aber ein Anspruch auf Schadenersatz nach Art. 82 DSGVO, und zwar jeweils mindestens in der beantragten Höhe.

19 Der Kläger beantragt,

20 1. Die Beklagte wird verurteilt, Auskunft nach Art. 15 Abs. 1 lit. a., c., g. und h. DGSVO darüber zu erteilen, welche der folgenden personenbezogenen Daten der Klagepartei seit dem 19.11.2022 mit Hilfe der „Meta Business Tools“ erfasst, an die Server der Beklagten weitergeleitet, dort gespeichert und anschließend verwendet wurden und im Zuge dessen mit dem Nutzeraccount des Netzwerks „Instagram” unter dem Benutzernamen „M.“ der Klagepartei verknüpft wurden,

21 a. auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klagepartei, ob direkt oder in gehashter Form übertragen, d. h.

22 - E-Mail der Klagepartei

23 - Telefonnummer der Klagepartei

24 - Vorname der Klagepartei

25 - Nachname der Klagepartei

26 - Geburtsdatum der Klagepartei

27 - Geschlecht der Klagepartei

28 - Ort der Klagepartei

29 - Externe IDs anderer Werbetreibender (von der Meta Ltd. “external_ID” genannt)

30 - IP-Adresse des Clients

31 - User-Agent des Clients (d. h. gesammelte Browserinformationen)

32 - interne Klick-ID der Meta Ltd.

33 - interne Browser-ID der Meta Ltd.

34 - Abonnement –ID

35 - Lead-ID

36 - anon_id

37 - die Advertising ID des Betriebssystems Android (von der Meta Ltd. „madid“ genannt)

38 sowie bezogen auf sämtliche so verarbeiteten personenbezogenen Daten der Klagepartei

39 b. auf Dritt-Webseiten

40 - die URLs der Webseiten samt ihrer Unterseiten

41 - der Zeitpunkt des Besuchs

42 - der Referrer (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist),

43 - die auf der Webseite angeklickten Buttons sowie

44 - weitere von der Meta „Events“ genannte Daten, die die Interaktionen auf der jeweiligen Webseite dokumentieren

45 c. in mobilen Dritt-Apps

46 - der Name der App sowie

47 - der Zeitpunkt des Besuchs

48 - die in der App angeklickten Buttons sowie

49 - die von der Meta „Events“ genannte Daten, die die Interaktionen in der jeweiligen App dokumentieren

50 außerdem für jedes erhobene Datum,

51 ob, und wenn ja welche konkreten personenbezogenen Daten der Klagepartei die Beklagte seit dem 19.11.2022 zu welchem Zeitpunkt an Dritte (Werbepartner, sonstige Partner, im Konzern verbundene Unternehmen oder sonstige Dritte) weitergegeben hat, unter Benennung dieser Dritten,

52 ob, und wenn ja welche konkreten Daten der Klagepartei die Beklagte seit dem 19.11.2022 zu welchem Zeitpunkt (Beginn, Dauer, Ende) in welchem Drittstaat gespeichert hat;

53 inwieweit die Daten der Klagepartei für eine automatisierten Entscheidungsfindung einschließlich Profiling verwendet wurden und werden. Die Beklagte hat hierfür aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebte Auswirkung einer solchen Verarbeitung für die betroffene Person zu erteilen.

54 2. Die Beklagte wird verpflichtet, nach vollständiger Auskunftserteilung gem. des Antrags zu 1. sämtliche gem. des Antrags zu 1 a. seit dem 19.11.2022 bereits gespeicherten personenbezogenen Daten vollständig zu löschen sowie sämtliche gem. des Antrags zu 1 b. sowie c. seit dem 19.11.2022 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren oder wahlweise nach Wahl der Beklagten zu löschen.

55 3. Die Beklagte wird verurteilt, an die Klagepartei eine angemessene Entschädigung in Geld, deren Höhe in das Ermessen des Gerichts gestellt wird, die aber mindestens 5.000,00 Euro beträgt, nebst Zinsen i.H.v. fünf Prozentpunkten über dem Basiszinssatz seit dem 02.04.2024, zu zahlen.

56 4. Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten i.H.v. 713,76 Euro freizustellen.

57 Die Beklagte beantragt,

58 die Klage abzuweisen.

59 Die Beklagte bezeichnet als „streitgegenständliche Datenverarbeitung“ diejenige zur Bereitstellung personalisierter Werbung. Sie meint, falls der Kläger sich gegen andere Zwecke wende, müsse er mitteilen, welche anderen Zwecke er beanstande.

60 Die Beklagte behauptet, dass nicht sie selbst, sondern die Drittunternehmen, auf deren Webseiten bzw. Apps die Business Tools eingebunden seien, wären datenschutzrechtlich verantwortlich für die Installation und Nutzung der Business Tools, die Erhebung und Übermittlung personenbezogener Daten über diese Tools und die Einholung etwa erforderlicher Einwilligungen der Nutzer. Das sei auch in einer entsprechenden Rahmenvereinbarung zwischen der Beklagten und den Drittunternehmen i.S. des Art. 26 DSGVO niedergelegt. Gleichwohl erklärt die Beklagte, sie stütze sich im Rahmen der streitgegenständlichen Datenverarbeitung nicht auf die über Webseiten bzw. Apps Dritter erteilte Einwilligung, sondern hole diese direkt beim Nutzer ein.

61 Die Beklagte behauptet, dass sie personenbezogene Daten der Klageseite, die Drittunternehmen über die streitgegenständlichen Business-Tools bei dem Besuch einer Webseite oder App des Drittunternehmens an Meta senden, zur Bereitstellung individualisierter Werbung auf Instagram (die „Verarbeitung von Daten von Drittwebsiten- und -apps zur Bereitstellung personalisierter Werbung“) nicht vornimmt.

62 Die „streitgegenständliche Datenverarbeitung“ umfasse keine besonderen Kategorien personenbezogener Daten i.S. des Art. 9 DSGVO. Die Beklagte bestreitet bereits mit Nichtwissen, dass der Kläger regelmäßig Webseiten und Apps nutzt, auf denen die Business Tools genutzt werden. Den behaupteten Umfang seiner Internetnutzung zu sensiblen Daten habe der Beklagte schon nicht substantiiert dargelegt. Zudem verböten der Rahmenvertrag zwischen der Beklagten und den Drittunternehmen bzw. die Nutzungsbedingungen für die Meta Business Tools ausdrücklich, dass Drittunternehmen sensible Daten, insbesondere besondere Kategorien personenbezogener Daten, über die Business Tools an die Beklagte übermitteln. Die Systeme der Beklagten seien so ausgestaltet, dass sie als potentiell unzulässig erkannte Informationen herausfilterten.

63 Die begehrten Auskünfte seien dem Kläger mit Schreiben vom 10.7.2024 (Anlage B8a) erteilt worden. Im übrigen könnten die Nutzer mit der Einstellung „Deine Aktivitäten außerhalb von Meta-Technologien“ auf Instagram eine Zusammenfassung der von Drittunternehmen mit der Beklagten geteilten Daten über Aktivitäten des Nutzers auf Drittwebseiten, die mit seinem Konto verknüpft seien, erhalten. Dort habe der Nutzer auch die Möglichkeit, die mit seinem Instagram -Konto verknüpften und von Drittunternehmen geteilten Informationen über Aktivitäten zu trennen. Der Antrag auf Geldentschädigung sei unzulässig, weil der Kläger in Wirklichkeit immateriellen Schadenersatz fordere und daneben für die Anwendung nationalen Rechts kein Raum sei. Den von Art. 82 DSGVO vorausgesetzten Schaden als Folge der streitgegenständlichen Datenverarbeitung habe der Kläger nicht dargelegt.

64 Nachdem der Kläger zunächst unter Angabe des Nutzernamens „M.“ Klage erhoben hatte, hat der Kläger den Nutzernamen „M.“ erst mit Schriftsatz vom 06.02.2025 richtig gestellt.

Entscheidungsgründe

A.

65 Die Klage ist im Wesentlichen zulässig; hiervon ausgenommen ist lediglich der Hauptantrag zu 2. (dazu nachfolgend unter B.). Das Landgericht Schwerin ist insbesondere in internationaler, sachlicher und örtlicher Hinsicht zuständig.

66 1. Die internationale Zuständigkeit der deutschen Gerichtsbarkeit folgt aus Art. 79 Abs. 2 S. 2 DSGVO, nachdem der Kläger seinen gewöhnlichen Aufenthalt in Deutschland hat. Gemäß § 79 Abs. 2 DSGVO sind für Klagen gegen einen Verantwortlichen im Ausgangspunkt die Gerichte des Mitgliedstaats zuständig, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Nach S. 2 der Vorschrift können solche Klagen wahlweise auch bei den Gerichten des Mitgliedsstaates erhoben werden, indem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat, es sei denn, es handelt sich – was vorliegend nicht der Fall ist – bei dem verantwortlichen oder dem Auftragsverarbeiter um eine Behörde eines Mitgliedstaates, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. Sinn und Zweck dieser Zuständigkeitsregelung ist die Gewährleistung (und Erleichterung) eines effektiven Rechtsschutzes durch die betroffenenfreundliche Möglichkeit einer Klageerhebung am Aufenthaltsort, wobei damit nicht der „tatsächliche“, sondern der „gewöhnliche“ Aufenthaltsort gemeint ist, wie der Wortlaut der englischen Sprachfassung („habitual residence“) verdeutlicht. Diese Voraussetzungen liegen hier vor, weil die Beklagte als Verantwortliche bzw. Auftragsverarbeitende i.S. der DSGVO in Anspruch genommen wird – ob ihr diese Eigenschaft tatsächlich zukommt, ist Frage der Begründetheit der Klage – und der Kläger seinen Wohnsitz und gewöhnlichen Aufenthalt im Bezirk des erkennenden Gerichts hat.

67 Ob Art. 79 Abs. 2 DSGVO in seinem vorliegend eröffneten Anwendungsbereich die allgemeinen Zuständigkeitsvorschriften der EuGVVO verdrängt oder diese Vorschriften daneben anwendbar bleiben, kann offenbleiben. Denn auch nach den Vorschriften der EuGVVO ist keine abweichende ausschließliche Zuständigkeit im Sinne des Art. 24 EuGVVO begründet, sondern folgt die internationale Zuständigkeit der deutschen Gerichte vorliegend sowohl aus Art. 7 Nr. 1 lit. b als auch Art. 18 Absatz 1 Alt. 2, Art. 17 Abs. 1 lit. c EuGVVO. Nach Art. 18 EuVVVO kann ein Verbraucher gegen eine Vertragspartei, die ihre Tätigkeit auf den Mitgliedstaat, in dem der Verbraucher seinen Wohnsitz hat, ausrichtet, vor dem Gericht seines Wohnsitzes Klage erheben. Der Kläger nutzt als Privatperson die Plattform der Beklagten, die dabei gewerblich handelt (EuGH, Urt. v. 05.06.2018 – EUGH Aktenzeichen C21016 C-210/16 –, juris Rn. EUGH Aktenzeichen C21016 2018-06-05 Rn. 60) und ihre Tätigkeit z.B. durch entsprechende Sprachoptionen auch speziell auf das Gebiet der Bundesrepublik und hier ansässige Nutzer ausgerichtet hat.

68 2. In sachlicher Hinsicht ist das erkennende Gericht gemäß §§ 23 Nr. 1, GVG 71 Abs. 1 GVG zuständig, nachdem der Wert des Streitgegenstandes die Summe von 5.000,- € übersteigt.

69 3. Die örtliche Zuständigkeit des erkennenden Gerichts folgt aus § 44 Abs. 1 S. 2 BDSG. Insoweit bestimmt § 44 Abs. 1 S. 2 BDSG, dass Klagen der betroffenen Person gegen einen Verantwortlichen oder einen Auftragsverarbeiter wegen eines Verstoßes gegen datenschutzrechtliche Bestimmungen im Anwendungsbereich der Verordnung (EU) 2016/679 oder der darin enthaltenen Rechte der betroffenen Person auch bei dem Gericht des Ortes erhoben werden dürfen, dem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat. Diese Voraussetzungen liegen vor, nachdem der Kläger seinen gewöhnlichen Aufenthalt im Bezirk des erkennenden Gerichts hat.

70 B. Soweit die Klage zulässig ist, hat sich auch in der Sache ganz überwiegend Erfolg.

71 Auf das zwischen den Parteien bestehende Vertragsverhältnis ist deutsches Recht anzuwenden. Der Vertrag unterliegt nach Art. 3 Abs. 1, Art. 6 Abs. 2 der VO (EG) Nr. 593/2008 des Europäischen Parlaments und des Rates vom 17.06.2008 über das auf vertragliche Schuldverhältnisse anzuwendende Recht (Rom I-VO; ABl. 2008 L 177, Seite 6) dem von den Parteien ausweislich der Nutzungsbedingungen gewählten deutschen Recht, s. B 2, dort Seite 10, letzter Absatz.

72 I. Klageantrag zu 1. – Auskunft

73 Die Beklagte ist antragsgemäß zu verurteilen, dem Kläger die vom Klageantrag zu 1 erfassten Auskünfte gemäß Art. 15 Abs. 1 DSGVO zu erteilen.

74 1. Der sachliche und räumliche Anwendungsbereich der DSGVO ist eröffnet. Auch in zeitlicher Hinsicht ist die DSGVO auf den streitgegenständlichen Sachverhalt umfassend anwendbar. Die DSGVO ist am 25.05.2018 in Kraft getreten. Der Kläger nutzt das Netzwerk „Instagram“ der Beklagten unstreitig seit dem 19.11.2022, mithin insgesamt erst nach Inkrafttreten der DSGVO; auch die Klageanträge beziehen sich ausschließlich auf Datenverarbeitungsvorgänge ab dem 19.11.2022.

75 2. Die Beklagte ist in Bezug auf die vom Antrag zu 1 erfassten Daten Verantwortlicher i.S. des Art. 15 Abs. 1 DSGVO.

76 Das stellt auch die Beklagte nicht in Abrede, soweit die Speicherung und Verarbeitung von Daten auf der Plattform der Beklagten selbst in Rede steht. Die Beklagte hat insoweit als Betreiberin der Plattform allein über die Zwecke und Mittel der Verarbeitung personenbezogener Daten zu entscheiden (vgl. EuGH, Urteil vom 05.06.2018 – C-210/16 –, juris Rn. 30).

77 Datenschutzrechtlich (zumindest Mit-)Verantwortliche im Sinne des Art. 15 Abs. 1 DSGVO – was insoweit als Grundlage für die geltend gemachten Ansprüche genügt – ist die Beklagte aber auch insoweit, als die Erhebung der in Rede stehenden Daten durch Meta Business Tools auf Webseiten oder Apps Dritter Streitgegenstand ist.

78 Streitgegenstand ist dabei die Summe derjenigen Datenverarbeitungsvorgänge, durch die die Beklagte personenbezogene Daten des Klägers verarbeitet und mit seinem im Klageantrag zu 1 bezeichneten Nutzeraccount des Netzwerks I. verknüpft hat, einschließlich personenbezogener Daten, die über Business Tools der Beklagten an sie gelangt sind. Anders als die Beklagte immer wieder behauptet, beschränkt der Kläger die streitgegenständlichen Ansprüche nicht auf Datenverarbeitungsvorgänge, die einem bestimmten Zweck dienen, insbesondere nicht auf die Datenverarbeitung zur Bereitstellung personalisierter Werbung. Der Kläger trägt zwar vor, das Geschäftsmodell der Beklagten beruhe auf der Erfassung von Daten der Nutzer zu dem Zwecke, diese zu Werbezwecken nutzen zu können. Er betont aber zugleich, die Beklagte nutze die Daten und das so erstellte Persönlichkeitsprofil auch zu nicht werberelevanten Zwecken, und beanstandet dies ausdrücklich.

79 Es liegt auch nicht in der Macht der Beklagten, eine Einschränkung des Streitgegenstandes dahin gehend vorzunehmen, dass dieser nur die Nutzung personenbezogener Daten zum Zwecke der Bereitstellung personalisierter Werbung umfasse. Zivilprozessual bestimmt der Kläger, nicht der Beklagte, den Streitgegenstand der Klage. Anders als die Beklagte meint, hat der Kläger zur Geltendmachung der streitgegenständlichen Ansprüche auch nicht zu präzisieren, welche anderen Zwecke weitergehender Datenverarbeitung er beanstandet. Der Kläger beanstandet nicht lediglich bestimmte Datenverarbeitungszwecke. Er beanstandet vielmehr, dass die auf Drittwebseiten bzw. -apps entstehenden personenbezogenen Daten des Klägers überhaupt erfasst und verarbeitet werden, gleich zu welchen Zwecken.

80 Für diese Datenverarbeitungsvorgänge ist die Beklagte Verantwortliche i.S. der DSGVO.

81 Verantwortlicher i.S. der DSGVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Nr. 7 DSGVO). Hierunter fällt hinsichtlich der streitgegenständlichen Datenverarbeitungsvorgänge jedenfalls auch die Beklagte. Die Meta Business Tools mögen durch Drittunternehmen – nicht durch die Beklagte selbst – auf den Webseiten bzw. Apps jener Drittunternehmen eingebunden werden bzw. eingebunden worden sein. Außer Streit steht aber, dass die Beklagte ihrerseits die von ihr entwickelten Business Tools den Drittunternehmen zur Einbindung auf deren Website bzw. App zur Verfügung stellt. Hierdurch nimmt die Beklagte maßgeblichen Einfluss darauf, dass und in welchem Umfang beim Besuch der Dritt-Webseiten bzw. -apps durch einen Nutzer über diese Business Tools personenbezogene Daten dieses Nutzers erhoben und an die Beklagte weitergeleitet werden.

82 Der Verantwortlichkeit der Beklagten i.S. des Art. 4 Nr. 7 DSGVO steht nicht entgegen, dass daneben ggf. auch das jeweilige Drittunternehmen als Betreiber der Webseite bzw. App Verantwortlicher ist. Bereits aus Art. 26 DSGVO ergibt sich, dass auch mehrere gleichzeitig und gemeinsam im Sinne der DSGVO datenschutzrechtlich verantwortlich sein können.

83 Die Beklagte ist ihrer datenschutzrechtlich Verantwortlichkeit nach Art. 4 Nr. 7 DSGVO auch nicht dadurch enthoben, dass sie im Rahmen einer Rahmenvereinbarung mit den Betreibern der Webseiten bzw. in ihren Business Tools Nutzungsbedingungen (Anlage B5) den Drittunternehmen die Verpflichtung auferlegt, einen stabilen und hinreichend auffälligen Hinweis für Nutzer bezüglich dem Erfassen, Teilen sowie der Verwendung der Business-Tool-Daten bereitzustellen, der näher beschriebene Mindestangaben zu enthalten hat. Zwar sollen nach Art. 26 DSGVO gemeinsam Verantwortliche „in einer Vereinbarung in transparenter Form festlegen, wer von ihnen welche Verpflichtung erfüllt“. Eine solche Vereinbarung entbindet die gemeinsam Verantwortlichen indes nicht grundsätzlich von ihrer Verantwortlichkeit gegenüber dem Betroffenen; dies wäre ein rechtlich unbeachtlicher Vertrag zu Lasten Dritter. Sie dient primär der Effektivität der Durchsetzung der datenschutzrechtlichen Verpflichtung der mehreren Verantwortlichen. Im übrigen wäre die Vereinbarung der Beklagten mit den Betreibern der Webseiten bzw. Apps auch inhaltlich nicht ausreichend, um die Beklagte generell aus ihrer datenschutzrechtlichen Verantwortlichkeit gegenüber ihren Nutzern für die Erhebung von Daten über die Meta Business Tools und deren weitere Nutzung zu entbinden. Die Verantwortlichkeit des Betreibers der Webseite oder App ist auf den Vorgang oder die Vorgänge der Verarbeitung personenbezogener Daten beschränkt, für den/die er tatsächlich über die Zwecke und Mittel entscheidet (EuGH, Urt. v. 29.07.2019 – C-40/17 –, juris – FashionID). Dazu gehört die Erhebung und Weitergabe von Daten an die Beklagte, aber weder die Speicherung dieser Daten bei der Beklagten noch ihre weitere Verarbeitung durch die Beklagte, einschließlich beispielsweise ihrer Zusammenführung mit dem Nutzerprofil des Klägers bei der Beklagten oder der Weitergabe der Daten an Dritte durch die Beklagte.

84 3. Dass die Beklagte überhaupt personenbezogene Daten des Klägers verarbeitet, unstreitig. Das ist dem Grunde nach schon deshalb der Fall, weil der Kläger Inhaber eines Nutzerprofils bei „Instagram“ ist; nach eigenem Vortrag der Beklagten ist die Personalisierung von Inhalten zentrales Merkmal des Betriebes dieser Plattform. Es steht außer Streit, dass die Beklagte sämtliche Daten des Klägers, die ihr über die Meta Business Tools übermittelt werden, zumindest für „bestimmte Datenverarbeitungsvorgänge“ (von der Beklagten als technische Standarddaten bezeichnet, s. SS vom 04.09.2025, dort Rn. 21) auch dann nutzt, wenn sich der Kläger weder der Beklagten gegenüber noch dem Drittunternehmen gegenüber einverstanden erklärt hat. Diese Nutzung, wie auch die nach Behauptung der Beklagten vorgeschaltete Prüfung, ob ein Einverständnis mit der Datenverarbeitung zur Bereitstellung personalisierter Werbung vorliegt, ist Datenverarbeitung i.S. der DSGVO.

85 Dass die Verarbeitung als solche insgesamt rechtswidrig ist, setzt der Auskunftsanspruch nach Art. 15 DSGVO nicht voraus. Er ist auch nicht auf die Beauskunftung rechtswidriger Datenverarbeitungsvorgänge beschränkt, soll vielmehr dem Berechtigten überhaupt erst ermöglichen, etwaige rechtswidrige Datenverarbeitungsvorgänge zu erkennen.

86 Der Kläger hat deshalb einen Anspruch nach Art. 15 Abs. 1 DSGVO gegen die Beklagte auf Auskunft über diese personenbezogenen Daten, wie mit der Klage näher spezifiziert. Der Anspruch erstreckt sich insbesondere auf „alle verfügbaren Informationen über die Herkunft der Daten“ (Art. 15 Abs. 1 lit. h DSGVO).

87 4. Bei den im Klageantrag zu 1) genannten Daten handelt es sich um personenbezogene Daten des Klägers, teils zugleich um Daten zur Herkunft der in Rede stehenden personenbezogenen Daten i.S. des Art. 15 Abs. 1 lit. h DSGVO.

88 Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

89 Unzweifelhaft sind danach die E-Mail des Klägers, dessen Telefonnummer, sein Vor- und Nachname, sein Geburtsdatum, sein Geschlecht und der Ort, an dem er sich befindet, personenbezogene Daten. Ebenso handelt es sich bei der IP-Adresse des genutzten Clients um ein personenbezogenes Datum.

90 Ferner handelt es sich auch bei der internen Klick-ID der Meta Ltd., sowie der internen Browser-ID der Meta Ltd. um personenbezogene Daten. Mit diesen Daten können die Aufrufe der Drittwebseite und die Aktionen darauf eindeutig einem bestimmten „Instagram“-Konto zugeordnet werden, in diesem Fall dem Konto des Klägers.

91 Auch die URLs der Webseiten samt ihrer Unterseiten, der Zeitpunkt des Besuchs, der „Referrer“ (d.h. die Webseite, über die der Nutzer zur aktuellen Webseite gekommen ist), die vom Kläger angeklickten Buttons sowie die weiteren, von der Beklagten „Events“ genannten Daten, die die Interaktion des Klägers auf der jeweiligen Webseite dokumentieren, sind personenbezogene Daten, da sie jeweils in Verbindung mit weiteren Informationen dem Kläger zugeordnet werden können und dadurch Informationen über diesen beinhalten. So kann dadurch ermittelt werden, welche Webseiten der Kläger besuchte, wann dies geschah, von welcher Webseite er dort hingelangte, sowie welche Aktionen er dort durchgeführt hat, beispielsweise, ob er bestimmte Artikel gekauft hat.

92 Aus den gleichen Gründen handelt es sich schließlich bei dem Namen der App, sowie dem Zeitpunkt des Besuchs, den vom Kläger in der App angeklickten Buttons, sowie den von der Beklagten „Events“ genannten Daten, die die Interaktionen des Klägers in der jeweiligen App dokumentieren, um personenbezogene Daten.

93 Die Daten zum User-Agent des Clients, welche ausweislich des klägerischen Vortrags, welchem die Beklagte nicht entgegengetreten ist, die für das Digital Fingerprinting nutzbaren Daten darstellen, stellen somit ebenfalls personenbezogene Daten dar.

94 Schließlich sind auch die Lead-ID, die Abonnement-ID, die anon_id sowie die externe ID anderer Werbetreibender personenbezogene Daten. Denn als „ID“ stellen sie Identitätsdokumente bzw. Kennungen des Klägers dar bezüglich seiner Aktionen/Kontakte im Internet.

95 Das Gericht nimmt insoweit Bezug auf das von Klägerseite vorgelegte Glossar (Anlage K4) und die schriftsätzlichen Erläuterungen dazu, denen die Beklagte hinsichtlich der technischen Begrifflichkeiten und Funktionalitäten nicht entgegen getreten ist.

96 Die Auskünfte, die der Kläger mit seinem Klageantrag zu 1 in Bezug auf die vorbezeichneten personenbezogenen Daten begehrt, stehen ihm gem. Art. 15 Abs. 1 lit. a., c., g. und h. DSGVO zu.

97 5. Der Anspruch auf Auskunftserteilung ist nicht durch Erfüllung erloschen.

98 Erfüllt im Sinne des § 362 Abs. 1 BGB ist ein Auskunftsanspruch grundsätzlich dann, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erfüllung nicht entgegen. Der Verdacht, dass die erteilte Auskunft unvollständig oder unrichtig ist, kann einen Anspruch auf Auskunft in weitergehendem Umfang nicht begründen. Wesentlich für die Erfüllung des Auskunftsanspruchs ist daher die – gegebenenfalls konkludente – Erklärung des Auskunftsschuldners, dass die Auskunft vollständig ist. Die Annahme eines derartigen Erklärungsinhalts setzt jedoch voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig abdecken soll. Daran fehlt es beispielsweise dann, wenn sich der Auskunftspflichtige hinsichtlich einer bestimmten Kategorie von Auskunftsgegenständen nicht erklärt hat, etwa weil er irrigerweise davon ausgeht, er sei hinsichtlich dieser Gegenstände nicht zur Auskunft verpflichtet. Dann kann der Auskunftsberechtigte eine Ergänzung der Auskunft verlangen (LG Münster, Urt. v. 29.01.2025 – 4 O 241/23 –).

99 Darlegungs- und beweisbelastet hinsichtlich der die Erfüllung begründenden Umstände ist die Beklagte.

100 Die Beklagte hat ihre Auskunftspflicht weder durch ihr Schreiben vom 10.09.2024 (Anlage B8a) erfüllt noch durch ihre Bezugnahme auf dieses Schreiben im Rechtsstreit, verbunden mit der Behauptung, mit diesem Schreiben seien alle Auskünfte erteilt worden; die Beklagte nehme mangels Einwilligung des Klägers keine streitgegenständliche Datenverarbeitung (Datenverarbeitung zur Bereitstellung personalisierter Werbung) vor. Die Auskunft im Rechtsstreit beschränkt sich, wie der Klammerzusatz unmissverständlich erkennen lässt, auf die nach (irriger) Behauptung der Beklagten allein streitgegenständlichen Datenverarbeitungsvorgänge zur Bereitstellung personalisierter Werbung. Dasselbe bei weitem zu enge Verständnis hatte die Beklagte auch ihrem vorgerichtlichen Schreiben vom 10.09.2024 zugrunde gelegt.

101 Auch der Verweis auf das Vorhandensein von Self-Service-Tools im Schreiben vom 10.09.2024 und erneut im Rechtsstreit ist nicht ausreichend. Das Tool „Deine Aktivitäten außerhalb der Meta-Technologien“ ermöglicht dem Nutzer nach unwidersprochen gebliebenem Vortrag des Klägers nur den Abruf rudimentärer Informationen, deren Umfang hinter demjenigen der begehrten Auskünfte weit zurückbleiben. So zeigt das Tool nur, auf welchen Seiten die Nutzer getrackt wurden, solange sie auf demselben Gerät bei einem Netzwerk der Beklagten eingeloggt waren. Das Tool zeigt hingegen nicht, welche Seiten der Nutzer sonst noch (d.h. zu anderen Zeiten) besucht hat, auf welche Unterseiten der Nutzer unterwegs war und welche Buttons er dort angeklickt hat, an welche Dritten Informationen weitergegeben wurden und welchem Verarbeitungszweck die jeweilige Datenverarbeitung diente. Das Tool zeigt zudem – auch dies ist unstreitig – die ohnehin rudimentären Informationen nur für die jeweils letzten Monate an.

102 II. Klageantrag zu 2. – Löschung und Anonymisierung

103 1. Hauptantrag – Leistungsantrag

104 Bereits unzulässig, weil nicht hinreichend bestimmt und daher nicht vollstreckbar, ist der unter Ziff. 2 gestellte Hauptantrag.

105 Der Kläger begehrt mit diesem Hauptantrag, „die Beklagte zu verpflichten, nach vollständiger Auskunftserteilung gem. des Antrags zu 1. sämtliche gem. des Antrags zu 1 a. seit dem 19.11.2022 bereits gespeicherten personenbezogenen Daten vollständig zu löschen sowie sämtliche gem. des Antrags zu 1 b. sowie c. seit dem 19.11.2022 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren.“

106 Der Antrag ist als Antrag auf Verurteilung der Beklagten zur Löschung bzw. Anonymisierung der in Rede stehenden Daten auszulegen. Der Kläger möchte, entgegen dem Wortlaut des Antrages, eine Verpflichtung der Beklagten erkennbar nicht erst durch den Tenor begründet sehen, sondern strebt aufgrund einer nach seiner Rechtsauffassung bereits bestehenden rechtlichen Verpflichtung der Beklagten deren Verurteilung durch das Gericht an.

107 Der so verstandene Leistungsantrag ist unzulässig, weil ein Urteilstenor des erstrebten Inhalts nicht hinreichend bestimmt wäre, um vollstreckbar zu sein. Solange die Beklagte die Auskunft, zu deren Erteilung sie unter Ziff. 1 des Tenors der vorliegenden Entscheidung verurteilt wird, nicht erteilt hat, ist unklar, welche konkreten Daten gelöscht bzw. anonymisiert werden sollen. Der Leistungsantrag wird auch nicht dadurch wenigstens teilweise vollstreckbar, dass er sich zumindest auch auf solche Daten erstreckt, hinsichtlich deren die Beklagte künftig Auskunft erteilen wird. Denn ein gerichtlicher Leistungstitel muss zum Zeitpunkt seines Erlasses vollstreckbar sein. Er darf nicht in dem Sinne „blanko“ erlassen werden, dass er erst durch eine nachfolgende Handlung (hier: des Schuldners) inhaltlich konkretisiert wird. Dem Umstand, dass der Kläger derzeit in Ermangelung der Auskunftserteilung außerstande ist, einen alle relevanten Daten umfassenden Leistungsantrag in vollstreckungsfähiger Form zu stellen, hat der Gesetzgeber Rechnung getragen, indem er für solche Fälle die Möglichkeit einer Stufenklage eröffnet (§ 254 ZPO). Der Kläger hat indes auf den rechtlichen Hinweis des Gerichts in der mündlichen Verhandlung klargestellt, keine Stufenklage erheben zu wollen.

108 III. Klageantrag zu 3.

109 Auf den Klageantrag zu 3. war dem Kläger eine Entschädigung wegen Verletzung seines Rechts auf informationelle Selbstbestimmung in Höhe von 5.000,- € zuzusprechen, § 823 Abs. 1 BGB i.V.m. Art. 2 Abs. 1, 1 Abs. 1 GG.

110 1. Der Kläger hat den geltend gemachten Zahlungsanspruch zunächst, soweit ersichtlich, gleichrangig als Entschädigungsanspruch nach nationalem Recht auf §§ 280 Abs. 1, 241 Abs. 2 BGB sowie auf § 823 Abs. 1 BGB, jeweils in Verbindung mit Art. 2 Abs. 1, Art. 1 Abs. 1 GG, und als Anspruch auf Schadenersatz auf Art. 82 DSGVO gestützt. Seit Neufassung des Klageantrages zu 3 mit Schriftsatz vom 06.02.2025 macht er mit seinem Zahlungsbegehren vorrangig einen Entschädigungsanspruch aus § 823 Abs. 1 BGB in Verbindung mit Art. 2 Abs. 1, Art. 1 Abs. 1 GG geltend.

111 2. Der primär auf § 823 Abs. 1 BGB in Verbindung mit Art. 2 Abs. 1, Art. 1 Abs. 1 GG gestellte Antrag ist als unbezifferter Klageantrag zulässig und in Höhe von 5.000,- € begründet.

112 a. Der Klageantrag zu 3 ist als unbezifferter Klageantrag zulässig. Das gilt für den Anspruch aus § 823 Abs. 1 BGB in Verbindung mit Art. 2 Abs. 1, Art. 1 Abs. 1 GG, weil § 253 Abs. 2 BGB die Bemessung der „billigen“ Entschädigung dem Gericht überlässt, der Kläger die für die Bemessung maßgeblichen tatsächlichen Grundlagen vorträgt und er die ungefähre Größenordnung der begehrten Entschädigung mitgeteilt hat.

113 b. Art. 82 DSGVO schließt den Anspruch aus nationalem Recht nicht aus. Grundsätzlich haben zwar die von der DSGVO zur Verfügung gestellten Rechtsbehelfe abschließenden Charakter, wie sich insbesondere aus den Erwägungsgründen 9 und 10 der Verordnung ergibt. Dies gilt jedoch in Anbetracht des Erwägungsgrundes 146 S. 4 nicht für Art. 82 DSGVO. Dementsprechend können konkurrierende Ansprüche aus § 823 ff. BGB ebenso wie aus quasivertraglichen oder vertraglichen Sonderverbindungen (§ 280 Abs. 1, 241 Abs. 2,311 Abs. 2 BGB bestehen (ebenso LG Ellwangen, Urteil vom 06.12.2024 – 2 O 222/24 –, S. 35 mit umfangreichen Nachweisen).

114 c. Die Voraussetzungen eines Anspruches auf Entschädigung nach § 823 Abs. 1 BGB in Verbindung mit Art. 2 Abs. 1, Art. 1 Abs. 1 GG liegen vor.

115 aa. Art. 2 Abs. 1 GG gewährleistet in Verbindung mit Art. 1 Abs. 1 GG das allgemeine Persönlichkeitsrecht. Daraus ist als Schutzgut das Recht auf informationelle Selbstbestimmung herzuleiten, dass über den Schutz der Privatsphäre des einzelnen hinausgeht und ihm die Befugnis gibt, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Es umfasst die aus dem Gedanken der Selbstbestimmung folgende Befugnis des einzelnen, grundsätzlich selbst darüber zu entscheiden, ob, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden, ob ein Kommunikationsinhalt einzig dem Gesprächspartner, einem bestimmten Personenkreis oder der Öffentlichkeit zugänglich sein soll (BGH, Urt. v. 29.04.2014 – VI ZR 137/13 –, NJW 2014, 2276; Urt. v. 11.06.2013 – VI ZR 209/12 –, NJW 2013, 3029). Davon erfasst werden alle Daten, die für Dritte erkennbar einer bestimmten Person zugeordnet sind, etwa das eigene Bild, das gesprochene und geschriebene Wort oder sonstige Einzelheiten des privaten Lebensbereiches (BGH, Urt. v. 11.06.2013 – VI ZR 209/12 –, NJW 2013, 3029). Das Recht auf informationelle Selbstbestimmung schützt die Grundrechtsträger nach gefestigter höchstrichterlicher Rechtsprechung auch gegenüber Privaten in ihren Rechten, selbst zu entscheiden, welche Daten an Dritte herausgegeben werden und welche nicht.

116 Die Nutzung der Informationstechnik hat für die Persönlichkeit und die Entfaltung des Einzelnen eine früher nicht absehbare Bedeutung erlangt. Die moderne Informationstechnik, insbesondere die zunehmende Verbreitung vernetzter informationstechnischer Systeme, eröffnet dem Einzelnen neue Möglichkeiten der Persönlichkeitsentfaltung, begründet aber auch neuartige Gefährdungen der Persönlichkeit. Solche Gefährdungen ergeben sich bereits daraus, dass komplexe informationstechnische Systeme wie etwa Personalcomputer ein breites Spektrum von Nutzungsmöglichkeiten eröffnen, die sämtlich mit der Erzeugung, Verarbeitung und Speicherung von Daten verbunden sind. Dabei handelt es sich nicht nur um Daten, die der Nutzer des Rechners bewusst anlegt oder speichert. Im Rahmen des Datenverarbeitungsprozesses erzeugen informationstechnische Systeme zudem selbsttätig zahlreiche weitere Daten, die ebenso wie die vom Nutzer gespeicherten Daten im Hinblick auf sein Verhalten und seine Eigenschaften ausgewertet werden können. In der Folge können sich im Arbeitsspeicher und auf den Speichermedien solcher Systeme eine Vielzahl von Daten mit Bezug zu den persönlichen Verhältnissen, den sozialen Kontakten und den ausgeübten Tätigkeiten des Nutzers finden. Werden diese Daten von Dritten erhoben und ausgewertet, so kann dies weitreichende Rückschlüsse auf die Persönlichkeit des Nutzers bis hin zu einer Profilbildung ermöglichen (BVerfG, Urt. v. 27.02.2008 – 1 BvR 370/07 –, NJW 2008, 822). Dieses Recht ist unter den Bedingungen der modernen und von digitalen Systemen zutiefst geprägten Massengesellschaft essenziell. Wer nicht mit hinreichender Sicherheit überschauen kann, welche ihn betreffenden Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind, und wer das Wissen möglicher Kommunikationspartner nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden (BVerfG, Beschl. v. 06.11.2019 – 1 BvR 16/13 –, juris). Der Schutzumfang des Rechts auf informationelle Selbstbestimmung beschränkt sich auch nicht auf Informationen, die bereits ihrer Art nach sensibel sind und schon deshalb Grund rechtlich geschützt werden. Auch der Umgang mit personenbezogenen Daten, die für sich genommen nur geringen Informationsgehalt haben, kann, je nach dem Ziel des Zugriffs und den bestehenden Verarbeitung und Verknüpfungsmöglichkeiten, grundrechtserhebliche Auswirkungen auf die Privatheit und Verhaltensfreiheit des Betroffenen haben (BVerfG, Urt. v. 27.02.2008 – 1 BvR 370/07 –, BVerfGE 120, 274; Beschl. v. 13.06.2007 – 1 BvR 1550/03 –, NJW 2007, 2464).

117 bb. Eine Verletzungshandlung der Beklagten liegt durch ihre unrechtmäßige Datenverarbeitung vor. Die Praxis der Beklagten ist auch rechtswidrig. Insoweit wird auf die vorstehenden Ausführungen Bezug genommen.

118 cc. Eine schuldhafte Verletzung des allgemeinen Persönlichkeitsrechts begründet einen Anspruch auf eine Geldentschädigung, wenn es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Ob eine so schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, dass die Zahlung einer Geldentschädigung erforderlich ist, kann nur aufgrund der gesamten Umstände des Einzelfalls beurteilt werden. Hierbei sind insbesondere die Bedeutung und Tragweite des Eingriffs, also das Ausmaß der Verbreitung der Veröffentlichung, die Nachhaltigkeit und Fortdauer der Interessen und oder Rufschädigung des Verletzten, ferner Anlass und Beweggrund des Handelnden sowie der Grad seines Verschuldens zu berücksichtigen. Auf die Vermögenslage des Beeinträchtigten kommt es zur Bemessung der Entschädigung nicht entscheidend an, aber eventuell auf die wirtschaftliche Leistungsfähigkeit des Rechtsverletzers. Für Medien muss der aufzubringende Entschädigungsbetrag einen echten Hemmungseffekt bedeuten, weniger orientiert an Prominenz oder Nichtprominenz des Betroffenen als ausgerichtet auf Art, Ausmaß und Intensität der jeweiligen Persönlichkeitsverletzung; nichts anderes kann in Fällen der vorliegenden Art gelten.

119 Nach diesen Maßstäben gebührt vorliegend dem Kläger eine Entschädigung von 5.000,-€.

120 Die generelle Praxis der Beklagten, immer und auch ohne Einwilligung jedenfalls solche technischen Standarddaten, die der Beklagten mit hoher Wahrscheinlichkeit eine Identifizierung des jeweiligen Nutzers innerhalb der Systeme der Beklagten erlaubt, sowie das Datum, dass und wann die fragliche Drittseite mit diesem technischen Parametern aufgesucht wurde, über die Business Apps zu erheben, beeinträchtigt den Kläger in gravierendem Maße in seinem Recht auf informationelle Selbstbestimmung. Wie die Beklagte selbst nicht in Abrede stellt, führt die Vielzahl von Daten, die ihr über ihre Business Tools zur Verfügung gestellt werden, im Wege eines „Digital Fingerprinting“ dazu, dass die Beklagte den Nutzer allein hierdurch identifizieren kann, und zwar unabhängig von etwaigen browserseitigen Einschränkungen hinsichtlich der Verwendung von Third Party Cookies, ohne dass der Nutzer dazu bei den Netzwerken der Beklagten eingeloggt sein müsste und ohne dass der durchschnittliche Internetnutzer die Übertragungen von Daten an die Beklagte und deren Zusammenführung bei der Beklagten feststellen oder verhindern könnte.

121 Das Gericht erachtet als hinreichend dargelegt und bewiesen (§ 286 Abs. 1 ZPO), dass diese Praxis der Beklagten konkret auch den Kläger in ganz erheblicher Weise in seinem Persönlichkeitsrecht beeinträchtigt. Ohne Erfolg beanstandet die Beklagte in diesem Zusammenhang, der Kläger habe nicht genau dargelegt, welche konkreten Webseiten und Apps, auf denen Meta Business Tools aktiv seien, er im streitgegenständlichen Zeitraum genutzt habe; habe zudem auch nicht substantiiert dargelegt, dass sensible Daten des Klägers tatsächlich über die Meta Business Tools an die Beklagte übermittelt worden seien. Solchen konkreten weiteren Vortrages des Klägers bedarf es nicht.

122 Zum einen ist die Beklagte dem Vortrag des Klägers nicht ausreichend entgegengetreten, dass ca. 30-40 % aller größeren Webseiten weltweit, darunter auch etliche mit hochsensiblen Themen, den Meta Pixel als eines der Business Tools nutzen. Die Beklagte bestreitet das Vorbringen des Klägers lediglich als unsubstantiiert, was in der Sache unzutreffend und prozessual unzureichend ist. Hinzu kommt, dass unstreitig nur der vorzitierte Meta Pixel ausfindig gemacht werden kann, die anderen Meta Business Tools (Conversions API, Facebook SDK, Conversions API, App Events API) hingegen nicht. Es muss deshalb davon ausgegangen werden, dass die Zahl betroffener Webseiten und Apps noch deutlich größer ist. Bereits aufgrund dieser Zahlen muss bei jedem, der das Internet in üblicher Weise regelmäßig nutzt, zwangsläufig davon ausgegangen werden, dass er ebenso regelmäßig Seiten aufsucht, auf denen ein Business Tool der Beklagten installiert ist.

123 Der Kläger nutzt das Internet im Rahmen seiner täglichen Lebensführung. Gegenteiliges anzunehmen, wäre in der heutigen Zeit weltfremd und unrealistisch. So werden heutzutage sowohl Informationen fast ausschließlich digital über entsprechenden Nachrichtenseiten (bspw. Spiegel-Online) abgerufen, aber auch das soziale Leben hat sich zu einem nicht unerheblichen Teil in das world wide web verlagert. In Bezug auf den Kläger bestätigt sich diese Annahme bereits durch hier streitgegenständliche Nutzung des Netzwerks „Instagram“, die die Beklagte wohl kaum bestreiten will. Es erschiene jedenfalls nicht nachvollziehbar, zu behaupten, dass der Kläger nur diesen Internetauftritt nutzt.

124 Die Nutzung des Internets durch den Kläger in Verbindung mit der streitgegenständlichen Praxis der Beklagten führt dazu, dass die Besorgnis des Klägers absolut nachvollziehbar ist, die Beklagte habe durch Zusammenführung der ihr übertragenen und bei ihr gespeicherten Daten mit den vom Kläger selbst in seinem Nutzerprofil eingetragenen Daten in Bezug auf diesen ein umfassendes Persönlichkeitsprofil angelegt.

125 Die exzessive Datenverarbeitung und -sammlung durch die Beklagte bedroht daher bereits jetzt die Freiheit von Inhabern von „Instagram“-Profilen wie dem Kläger, sich sowohl im Internet als auch in der realen Welt ungehindert nach den eigenen Bedürfnissen zu bewegen und zu verhalten.

126 Bei der Bemessung der Entschädigung war zu Lasten der Beklagten zu berücksichtigen, dass sich die zwei jüngeren der in Rede stehenden Business Tools, die „Conversion API“ und die „App Events API“, von dem „Meta Pixel“ bzw. der „Facebook SDK“ maßgeblich dadurch unterscheiden, dass sie darauf angelegt sind, unter Mitwirkung der Webseitenbetreiber und Appanbieter alle Schutzversuche der Nutzer und Browserhersteller zu umgehen und die Datensammlung auch dann weiterhin zu ermöglichen, wenn der Nutzer den Inkognito-Modus benutzt, Cookies von Drittseiten nicht zulässt und VPN benutzt. Die Beklagte ist zwar der Behauptung des Klägers entgegen getreten, dies sei einziger Zweck der Einführung von „Conversion API“ und „App Events API“ gewesen. Im Einzelnen verliert sich ihre Stellungnahme aber in der Diskussion technischer Begrifflichkeiten und im wiederholten Verweis auf die angebliche Alleinverantwortlichkeit der Drittunternehmen. Im Kern unbestritten geblieben ist, dass diese beiden Apps vom Nutzer nicht abgeschaltet werden können. Die technische Entwicklung der Beklagten ist also mindestens objektiv darauf angelegt, legitime Abwehrmaßnahmen des Berechtigten gegen ihre rechtswidrige Datensammlung zu vereiteln.

127 Dabei handelt die Beklagte vorsätzlich mit Gewinnerzielungsabsicht, rein aus ökonomischen Gesichtspunkten. Mit den erhobenen Daten erwirtschaftet sie Umsatz und Gewinn. Für sie streitende Grundrechtspositionen führt die Beklagte nicht an, solche sind auch nicht anderweitig erkennbar.

128 Insgesamt erachtet das Gericht daher eine Entschädigung von 5.000,- € als angemessen, aber auch erforderlich.

129 d. Aus Art. 82 DSGVO ergibt sich kein weitergehender Anspruch. Denn die für die Bemessung des Anspruchs aus Art. 82 DSGVO maßgeblichen Gesichtspunkte fließen sämtlich auch in die Bemessung des Anspruchs aus § 823 Abs. 1 BGB i.V.m. Art. 2 Abs. 1 und Art. 1 Abs. 1 GG ein. Im Rahmen des Art. 82 DSGVO dürfen hingegen weder die Schwere des Verstoßes gegen die DSGVO, durch den der betreffende Schaden entstanden ist, berücksichtigt werden, noch der Umstand, ob ein Verantwortlicher mehrere Verstöße gegenüber derselben Person begangen und ob er vorsätzlich gehandelt hat (BGH, Urt. v. 18.11.2024 – VI ZR 10/24 –, NJW 2025, 298 m.w.N.). In Anbetracht der Ausgleichsfunktion des in Art. 82 DSGVO vorgesehenen Schadensersatzanspruchs, wie sie in Erwägungsgrund 146 Satz 6 DSGVO zum Ausdruck kommt, ist eine auf Art. 82 DSGVO gestützte Entschädigung in Geld bereits dann als „vollständig und wirksam“ anzusehen, wenn sie es ermöglicht, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen; eine Abschreckungs- oder Straffunktion soll der Anspruch aus Art. 82 Abs. 1 DSGVO dagegen nicht erfüllen (BGH, Urt. v. 18.11.2024 – VI ZR 10/24 –, NJW 2025, 298 m.w.N.). Soweit dem Kläger ein Anspruch auch aus Art. 82 Abs. 1 DSGVO zusteht, ist dieser von der Entschädigung nach § 823 Abs. 1 BGB i.V.m. Art. 2 Abs. 1, Art. 1 Abs. 1 BGB umfasst (OLG Köln, Urt. v. 26.11.2020 – 15 U 39/20 –, GRUR-RS 2020, 38050 Rn. 41).

130 3. Der Entschädigungsanspruch des Klägers ist seit dem Datum der Rechtshängigkeit mit 5 Prozentpunkten über dem Basiszinssatz zu verzinsen, §§ 291, 288 BGB. Die Geltendmachung eines vor diesem Zeitpunkt bestehenden Zinsanspruchs aus Verzugsgesichtspunkten scheitert an der verzugsbegründenden Wirkung der Aufforderung der Klägerseite vom 04.03.2024, Anlage K3. Denn in dem Schreiben wurde die Beklagte zur Zahlung aufgefordert ohne der Beklagten den korrekten Nutzernamen oder sonstige Daten mitzuteilen, die eine Identifizierung des Klägers innerhalb des „Instagram-Netzwerks“ ermöglicht hätte. Dem Gericht ist dabei hinlänglich bekannt, dass es insoweit zumindest entweder den korrekten Nutzernamen, die Mailadresse oder der zugeordneten Telefonnummer bedurfte hätte.

131 IV. Klageantrag zu 4

132 Der Kläger hat keinen Anspruch auf Freistellung von vorgerichtlichen Rechtsanwaltskosten, § 823 Abs. 1, 280 BGB. Insoweit kann auf die vorstehenden Ausführungen verwiesen werden. Da das anwaltliche Schreiben vom 04.03.2024 nicht geeignet war, eine Identifizierung des Klägers zu ermöglichen, kann eine Erstattung der entsprechenden Kosten nicht verlangt werden.

133 Nebenentscheidungen

134 Die Kostenentscheidung beruht auf § 92 Abs. 1 ZPO und ergibt sich aus dem jeweiligen prozentualen Anteil des Obsiegens bzw. Unterliegens im Rechtsstreit. Auf die nachfolgende Begründung zu dem Gebührenstreitwert wird zur Berechnung verwiesen.

135 Die Entscheidung zur vorläufigen Vollstreckbarkeit für die Vollstreckung durch den Kläger folgt aus § 709 S. 1, S. 2 ZPO, für die Vollstreckung durch die Beklagte aus §§ 708 Nr. 11, 2. Alt., 711 ZPO.

136 Die Streitwertfestsetzung beruht auf §§ 63 Abs. 2, 48 Abs. 1 S. 1, Abs. 2, 43 GKG, 3ff. ZPO. Für nicht vermögensrechtliche Ansprüche wegen Verletzung von Persönlichkeitsrechten bestimmt § 48 Abs. 2 GKG, dass unter Berücksichtigung der Einzelfallumstände der Wert nach Ermessen festzusetzen ist, wobei Bedeutung und Umfang der Sache sowie Vermögens- und Einkommensverhältnisse der Parteien einfließen sollen. Das Gericht erachtet insoweit für die Klageanträge zu 1 und zu 2 jeweils einen Betrag von 2.500,- € für angemessen. Der Gebührenstreitwert des Klageantrages zu 3 bemisst sich danach, welcher Betrag unter Zugrundelegung des klägerischen Tatsachenvortrags gerechtfertigt erscheint, d.h. vorliegend auf 5.000,00 €. Auf die Mindestangabe des Klägers im Antrag kommt es insoweit nicht an. Eine Höchstangabe, die den Streitwert begrenzen könnte, hat der Kläger nicht vorgenommen.