LG M�nchen I 4. Zivilkammer — 2023-03-09 — 4 O 6009/22 — Endurteil

Entscheidungsdatum: 2023-03-09

Aktenzeichen: 4 O 6009/22

Dokumenttyp: Endurteil

Tenor

1. Es wird festgestellt, dass die Beklagte verpflichtet ist, dem Kl�ger alle materiellen k�nftigen Sch�den zu ersetzen, die dem Kl�ger durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten im Zeitraum von April bis Oktober 2020 entstanden sind.

Im �brigen wird die Klage abgewiesen.

2. Von den Kosten des Rechtsstreits tr�gt der Kl�ger 84 %, die Beklagte 16 %.

3. Das Urteil ist vorl�ufig vollstreckbar. Der Kl�ger kann die Vollstreckung den Beklagten durch Sicherheitsleistung in H�he von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in H�he von 110 % des zu vollstreckenden Betrags leistet. Die Beklagte kann eine Vollstreckung des Kl�gers durch Sicherheitsleistung in H�he von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht der Kl�ger vor der Vollstreckung Sicherheit in H�he von 110 % des zu vollstreckenden Betrags leistet.

Beschluss

Der Streitwert wird auf 6.100,00 € festgesetzt.

Tatbestand

1 Die Parteien streiten um Schadensersatz nach einem Abgriff von Daten des Kl�gers (DSGVO-Versto�).

2 Die Beklagte ist ein 2014 gegr�ndetes Wertpapierinstitut, das als sogenannter Robo-Advisor digitale Verm�gensverwaltung anbietet. Der Kl�ger ist Kunde der Beklagten und unterh�lt dort seit dem 22.12.2016 ein Wertpapierdepot. Im Rahmen der Authentifizierung und Anmeldung musste der Kl�ger gegen�ber der Beklagten folgende personenbezogene Daten angeben: Vor- und Nachname, Anrede, Anschrift, E-Mail-Adresse, Handynummer, Geburtsdatum, Geburtsort, Geburtsland, Staatsangeh�rigkeit, Familienstand, steuerliche Ans�ssigkeit, IBAN, Ausweiskopie und ein im Post-Ident-Verfahren angefertigtes Portraitfoto.

3 Am 15./16.04.2020, 05./06.08.2020 und 10./11.10.2020 ist es bei der Beklagten zu einem Zugriff auf personenbezogene Daten im digitalen Dokumentenarchiv gekommen. Insgesamt wurden 389.000 Datens�tze von 33.200 Kunden der Beklagten kopiert und entwendet. Der Zugriff auf die personenbezogenen Daten erfolgte im Rahmen eines Hacker-Angriffs auf das Unternehmen … (im Folgenden: …). Welche Daten speziell des Kl�gers hiervon genau betroffen waren, ist zwischen den Parteien streitig.

4 Die Fa. … ist ein IT-Unternehmen, das Cloud-Dienstleistungen anbietet. Die Beklagte nahm bis Ende 2015 Dienstleitungen von … in Anspruch, daher waren bei … Zugangsinformationen zum IT-System der Beklagten hinterlegt. Die Angreifer verschafften sich mithilfe dieser Zugangsdaten Zugriff auf einen Teil des Dokumentenarchivs der Beklagten und die darin befindlichen Kundendaten. Die Angreifer sind unbekannt, die Generalstaatsanwaltschaft Bamberg f�hrt unter dem Az. … ein Ermittlungsverfahren.

5 Die Beklagte hatte die Zugangsdaten nach der Beendigung der Vertragsbeziehungen mit … Ende 2015 bis zum streitgegenst�ndlichen Vorfall nicht ge�ndert.

6 Die Beklagte informierte den Kl�ger mit einem Standardanschreiben vom 19.10.2020 von dem Vorfall und dar�ber, dass er von dem Datenleck betroffen ist (Anlage K 2).

7 Die Prozessbevollm�chtigten des Kl�gers forderten die Beklagte mit Schreiben vom 05.04.2022 auf, mitzuteilen, ob sie bereit sei, den dem Kl�ger durch den Zugriff auf seine Daten entstandenen immateriellen Schaden zu ersetzen (Anlage K 5), was die Beklagte mit Schreiben ihrer Prozessbevollm�chtigten vom 13.04.2022 ablehnte.

8 Der Kl�ger behauptet, dass auch Kontodaten und/oder Wertpapierdepotdaten sowie steuerliche Daten abgegriffen worden seien und die abgegriffenen Kundendaten, auch die des Kl�gers, im Darknet kursieren w�rden. Es sei offenkundig, dass die T�ter mit gestohlenen Kundendaten versucht h�tten, Kredite zu erlangen. Die Beklagte habe bereits am 15.10.2020 Kenntnis vom Datenvorfall erlangt. Es sei zudem davon auszugehen, dass es bei Einhaltung der als ad�quat geltenden Sicherheitsma�st�be durch die Beklagte nicht zu dem konkreten Datenvorfall gekommen w�re.

9 Der Kl�ger bringt vor, ihm sei aufgrund des Umfangs und der Art und Qualit�t der abgegriffenen personenbezogenen Daten seine Identit�t gestohlen worden. Ihm drohten daraus materielle Sch�den (Verweis des Kl�gers auf Schreiben der Schufa vom 27.11.2020 Anlage K 4). Er sei seit dem Datenleck vermehrt Opfer von Betrugsversuchen via Phishing-Angriffen und Spam-Mails geworden.

10 Der Kl�ger ist der Ansicht, dass ihm gegen die Beklagte ein Anspruch auf immateriellen Schadensersatz zustehe, da die Beklagte gegen mehrere Vorschriften der DSGVO versto�en habe. So habe es die Beklagte unterlassen, geeignete organisatorische Schutzma�nahmen zu treffen, um einen Zugriff Dritter auf die Daten des Kl�gers zu verhindern, da sie die Zugangsdaten zu ihrem IT-System nach Beendigung der Vertragsbeziehungen mit der Fa. … Ende 2015 nicht ge�ndert und daher grob fahrl�ssig gegen Art. 32 Absatz 1 lit. b DSGVO versto�en habe. Zudem sei er nicht unverz�glich im Sinne des Art. 34 Abs. 1 DSGVO �ber die Verletzung seiner Datenschutzrechte informiert worden und die Mitteilung vom 19.10.2020 habe nicht die inhaltlichen Mindestangaben des Art. 33 Abs. 3 lit. b, c, d DSGVO erf�llt.

11 Der Kl�ger ist der Ansicht, der Identit�tsdiebstahl begr�nde bereits einen immateriellen Schaden. Ein immaterieller Schaden sei zudem eingetreten, weil der Kl�ger die Kontrolle dar�ber verloren habe, was zuk�nftig mit seinen Daten geschehe und zu welchem Zweck sie verwendet w�rden.

12 Der Kl�ger ist ferner der Rechtsauffassung, ein Feststellungsinteresse l�ge vor, da die M�glichkeit bestehe, dass weitere Sch�den durch die Verwendung der illegal erlangten Daten entstehen w�rden.

13 Der Kl�ger beantragt:

1.Die Beklagte wird verurteilt, an die Klagepartei einen Betrag in H�he von mindestens € 5.100,00 nebst Zinsen hieraus in H�he von 5 Prozentpunkten �ber dem Basiszinssatz seit Rechtsh�ngigkeit zu zahlen.

2.Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klagepartei alle materiellen k�nftigen Sch�den zu ersetzen, die der Klagepartei durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten im Zeitraum von April bis Oktober 2020 entstanden sind.

3.Die Beklagte wird verurteilt, der Klagepartei vorgerichtliche Anwaltskosten in H�he von € 719,95 zu erstatten.

14 Die Beklagte beantragt,

die Klage abzuweisen

15 Die Beklagte behauptet, sie habe nicht bereits am 15.10.2020, sondern erst am 16.10.2020 Kenntnis von dem Datenvorfall erlangt. Die Steueridentifikationsnummer des Kl�gers sei von dem Datenvorfall nicht betroffen gewesen, da der Kl�ger bei seiner Registrierung seine Steueridentifikationsnummer nicht angegeben habe. Der Datenvorfall habe sich bereits 2020 zugetragen und die Daten des Kl�gers seien seitdem nicht missbraucht worden. Der Kl�ger trage auch nicht konkret vor, dass er selbst Opfer etwaiger Betrugsversuche durch Cyberkriminelle im Nachgang zu dem Datenvorfall geworden sei, insbesondere habe er nach eigenen Angaben weder selbst Spamanrufe noch erpresserischen E-Mails erhalten. Daten des Kl�gers seien zudem auch an anderer Stelle abgegriffen worden (Verweis der Beklagten auf Internetauskunft Anlage B 7).

16 Die Beklagte bringt weiter vor, sie habe davon ausgehen d�rfen, dass die Firma … die Zugangsinformationen vollst�ndig und dauerhaft gel�scht habe, da die Firma … verpflichtet gewesen sei, sich der zur Ausf�hrung der Softwaredienstleistungen erhaltenen und nach Vertragsbeendigung nicht mehr ben�tigten Zugangsinformationen zu entledigen. Eine Pflicht zur regelm��igen �nderung von Zugangsinformationen bestehe nicht. Eine derartige „Rotation“ sei auch mit Nachteilen behaftet.

17 Die Beklagte ist der Auffassung, dass dem Kl�ger weder ein materieller noch ein immaterieller Schaden entstanden sei. Die Daten des Kl�gers seien weder missbraucht worden noch liege ein Identit�tsdiebstahl vor. Es fehle hierzu bereits an substantiiertem Vortrag. Die Beklagte habe zudem ausreichende technische und organisatorische Ma�nahmen zur Gew�hrleistung einer angemessenen Datensicherheit implementiert.

18 Die Beklagte meint weiter, ein Schadensersatzanspruch k�nne von vornherein nicht auf eine vermeintliche Verletzung von Art. 34 DSGVO gest�tzt werden. Denn diese Norm falle nicht in den Schutzbereich des Art. 82 DSGVO. Es fehle selbst bei Vorliegen eines Schadens am Verschulden der Beklagten sowie der Kausalit�t.

19 Die Beklagte ist der Rechtsansicht, der Feststellungsantrag sei unzul�ssig, da es an einem Feststellungsinteresse fehle. Zudem sei die Klage unzul�ssig, weil der Klageantrag zu Ziffer 1 nicht hinreichend bestimmt sei. Der Kl�ger mache einen einheitlichen Zahlungsantrag geltend, st�tze das Begehren jedoch auf die vermeintliche Verletzung von Art. 34 DSGVO und Art. 32 DSGVO, womit der Klage zwei unterschiedliche Streitgegenst�nde zugrunde l�gen.

20 Zur Erg�nzung des Sachverhalts wird Bezug genommen auf die gewechselten Schrifts�tze der Parteien nebst Anlagen sowie das Protokoll �ber die m�ndliche Verhandlung vom 12.01.2023.

Gründe

21 Die zul�ssige Klage ist nur teilweise begr�ndet.

22 A. Die Klage ist zul�ssig.

23 1. Der Klageantrag Ziffer 1 ist hinreichend bestimmt im Sinne von � 253 Abs. 2 Nr. 2 ZPO.

24 Entgegen der Auffassung der Beklagten ist der Leistungsantrag nicht deswegen zu unbestimmt, da die behaupteten zwei DSGVO-Verst��e unterschiedliche Lebenssachverhalte darstellten und damit unterschiedliche Streitgegenst�nde und der Kl�ger daher konkretisieren h�tte m�ssen, in welchem Verh�ltnis die Verst��e den Mindestbetrag von 5.100 € anteilig tragen sollen. Die geltend gemachten Verst��e, das Unterlassen des Treffens geeigneter Schutzma�nahmen sowie eine unzureichende Benachrichtigung �ber den Datenvorfall, unterfallen n�mlich dem gleichen Lebenssachverhalt, da jeweils dieselben Daten betroffen sind.

25 2. Hinsichtlich des Klageantrags Ziffer 2 ist auch ein Feststellungsinteresse des Kl�gers gem�� � 256 Abs. 1 ZPO gegeben.

26 Eine Klage auf Feststellung der deliktischen Verpflichtung eines Sch�digers zum Ersatz k�nftiger Sch�den ist zul�ssig, wenn die M�glichkeit eines Schadenseintritts besteht (OLG M�nchen 10 U 707/15, Rn. 4; Bacher, BeckOK ZPO, 47. Edition, Stand 01.12.2022, � 256 Rn. 24).

27 Diese M�glichkeit ist vorliegend gegeben, da die Angreifer immer noch Zugriff auf die Daten des Kl�gers haben. Dass dem Kl�ger seit dem Datenvorfall 2020 keine materiellen Sch�den entstanden sind, vermag daran nichts zu �ndern, da keine hinreichende Wahrscheinlichkeit eines Schadens erforderlich ist, sondern die immer noch bestehende M�glichkeit ausreicht. Dies w�re nur dann nicht gegeben, wenn aus Sicht des Kl�gers bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (BeckOK ZPO a.a.O.). Eine solche Konstellation liegt hier aber nicht vor.

28 Unerheblich f�r die Zul�ssigkeit (und auch die Begr�ndetheit) des Feststellungsantrags ist ferner, ob dem Kl�ger in einem etwaigen Bezifferungsprozess es tats�chlich gel�nge, etwaig eingetretene Sch�den als ad�quat kausale Folge des Datenabgriffs zu beweisen. Eine solche Frage w�re in einem etwaigen sp�teren Bezifferungsprozess zu entscheiden.

29 B. Die Klage ist jedoch nur in Teilen begr�ndet.

30 I. Der Kl�ger hat gegen die Beklagte keinen Anspruch auf Zahlung eines Betrags in H�he von 5.100 € als Schadensersatz bzw. eines niedrigeren oder h�heren Betrags aus demselben Rechtsgrund.

31 Es fehlt jedenfalls an einem nachgewiesenen materiellen oder immateriellen Schaden des Kl�gers im Sinne von Art. 82 DSGVO. F�r den Schadenseintritt ist der Kl�ger beweisbelastet (OLG Frankfurt a.M., 02.03.2022, 13 U 206/20; LG K�ln, 16.02.2022, 28 I 303/20).

32 Hierzu hat die 5. Zivilkammer des Landgerichts M�nchen in ihrem Urteil vom 09.02.2023, Az.: 5 O 5853/22, ausgef�hrt was folgt:

„aa) Der Kl�ger hat nicht substantiiert vorgetragen, dass er selbst Beeintr�chtigungen erlitten habe, die �ber ein unkonkretes Gef�hl des Kontrollverlustes �ber seine Daten hinausgingen. Insbesondere gelang es ihm nicht substantiiert vorzutragen, dass es zu einem Missbrauch seiner Daten kam oder dass seine Daten im Darknet angeboten worden seien.

bb) Damit weicht der vorliegende Sachverhalt von den vom Kl�ger zitierten Urteilen (z.B. LG M�nchen I, Endurteil vom 23.06.2022 – 5 O 3768/22; LG M�nchen I, Endurteil vom 09.12.2021 – 31 O 16606/20), die anderen Kl�gern gegen dieselbe Beklagte – (deutlich) geringere als die vom Kl�ger beantragten – Schadensersatzzahlungen zusprachen, ab. Bei den zitierten Urteilen lag jeweils ein Sachverhalt zugrunde, bei dem es der klagenden Partei gelungen war, erlittene Beeintr�chtigungen vorzutragen und zu beweisen.

cc) Dass andere von dem Datenvorfall betroffene Personen einen Schaden erlitten haben, beispielsweise durch das Erhalten von Spam-E-Mails, kann keinen Schaden des Kl�gers begr�nden, da es an einem eigenen erlittenen Nachteil fehlt.

dd) Entgegen der Auffassung des Kl�gers kann ein Schaden auch nicht bereits wegen des Versto�es der Beklagten gegen Art. 32 DSGVO angenommen werden, mit der Begr�ndung, dass bereits der Versto� gegen die DSGVO an sich einen Schaden im Sinne von Art. 82 Abs. 1 DSGO begr�nde.

(1) Diese Auffassung ist mit dem Wortlaut des Art. 82 Abs. 1 DSGVO nicht vereinbar. Nach dem Wortlaut besteht ein Schadensersatzanspruch, wenn einer Person wegen eines Versto�es gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist; das Vorliegen eines Versto�es gegen die DSGVO und der daraus entstandene Schaden sind folglich zwei unterschiedliche Tatbestandsmerkmale. Wenn jeder Versto� gegen die DSGVO an sich bereits einen Schaden und damit einen Anspruch auf Schadensersatz begr�nden w�rde, w�re es �berf�ssig, dass Art. 82 Abs. 1 DSGVO das Vorliegen eines Schadens als Voraussetzung f�r den Schadensersatzanspruch nennt. Der Schaden ist somit nicht mit der zugrundeliegenden Rechtsgutsverletzung gleichzusetzen. Denn ausdr�cklich muss der Schaden „erlitten“ werden, woraus folgt, dass dieser tats�chlich entstanden sein muss und nicht lediglich bef�rchtet wird (BeckOK, Datenschutzrecht, 42. Edition, 01.08.22, Art. 82 DSGVO Rn. 23). Es bedarf somit des Nachweises eines konkreten (auch immateriellen) Schadens (OLG Frankfurt a.M., Urt. v. 02.03.2022, 13 U 206/20).

(2) Zudem w�rde diese Auffassung Verantwortliche im Sinne der DSGVO unbillig belasten.

Der vorliegende Fall zeigt, dass bei einem Datenleck bei gro�en Unternehmen eine Vielzahl von Personen – hier 33.200 Kunden – betroffen sein kann. W�rde jeder dieser Person bereits wegen eines Versto�es gegen die DSGVO ein Schadensersatz in f�nfstelliger H�he zustehen, ohne dass die Betroffenen konkrete Beeintr�chtigungen erlitten haben m�ssen, w�rde dies f�r Unternehmen m�glicherweise existenzbedrohende Zahlungsverpflichtungen nach sich ziehen, obwohl die Beeintr�chtigungen der Rechte ihrer Kunden als eher gering einzustufen sind.“

33 Dem ist seitens des Unterzeichners beizutreten. Der Sachvortrag des Kl�gers zu den durch ihn erlittenen Beeintr�chtigungen ersch�pft sich in Allgemeinpl�tzen. Diese werden in weitgehend identischer Form durch die Prozessbevollm�chtigten des Kl�gers in einer Vielzahl von Schrifts�tzen in gleicher Form vorgetragen. So hei�t es in der Klageschrift S. 8, der Kl�ger sei bereits vermehrt Opfer von Betrugsversuchen geworden. Einen Satz sp�ter hei�t es weiter, der Kl�ger sei bereits vermehrt Opfer von Betrugsversuchen via Phishing Angriffen und Spam Mails geworden. Wenn es konkrete Phishing-Angriffe auf den Kl�ger gegeben h�tte, so w�re es dem Kl�ger m�glich gewesen, hierzu konkret vorzutragen, was nicht erfolgt ist. Hierzu angeh�rt werden konnte der Kl�ger nicht, da er zum Termin zur m�ndlichen Verhandlung nicht erschienen ist. Zudem w�rde sich selbst f�r den Fall tats�chlicher Phishing-Angriffe das Problem stellen, ob diese tats�chlich urs�chlich auf den hier gegenst�ndlichen Datenschutzvorfall zur�ckzuf�hren sind. Phising-Angriffe kommen mittlerweile h�ufig vor. Auch der Unterzeichner war bereits mit solchen Angriffen konfrontiert, etwa dass vermeintlich Passw�rter oder Accounts bei Paypal oder Amazon „best�tigt“ werden sollten. Vom Datenschutzvorfall bei der Beklagten war der Unterzeichner hingegen schon mangels Konto dort nicht betroffen. Mithin sind die meisten Internetnutzer mit derartigen Angriffen konfrontiert. Gleiches gilt f�r Spam-Mails, die wohl jeder Nutzer des Internets in gro�er Zahl erh�lt. Zudem ist zu ber�cksichtigen, dass nach der Internet-Auskunft Anlage B 7 pers�nliche Daten des Kl�gers auch bei anderen Datenschutzvorf�llen abgegriffen wurden.

34 Unabh�ngig von diesen Erw�gungen erachtet es das Gericht auch f�r �u�erst unwahrscheinlich, dass alle Kunden der Beklagten, die von dem Datenschutzvorfall betroffen waren, die genau gleichen �ngste hatten oder in gleicher Weise mit aus dem Vorfall resultierenden Problemen konfrontiert waren. Der identische Sachvortrag dazu d�rfte eher auf einer Arbeits�konomisierung der Prozessbevollm�chtigten des Kl�gers, die gerichtsbekannt zahlreiche Kl�ger gegen die Beklagte vertreten, beruhen. Zuletzt gab auch die im Termin f�r den Kl�ger anwesende Rechtsanw�ltin an, ihr seien �ber die vorgetragenen Beeintr�chtigungen hinaus keine konkreten Beeintr�chtigungen bekannt.

35 Anzuf�gen ist noch, dass nach zutreffender Auffassung der blo�e DSGVO-Versto� selber noch nicht zu einem Ersatzanspruch nach Art. 82 DSGVO f�hrt. Eine abweichende Auffassung w�rde den Begriff des Schadens sowie von „Schadensersatz“ in Art. 82 Abs. 1 DSGVO ad absurdum f�hren. Auch reicht ein blo�er Kontrollverlust �ber Daten f�hrt einen Ersatzanspruch nicht aus (Paal, H�he des Ersatzes immaterieller Sch�den nach Art. 82 DSGVO, NJW 2022, 3673).

36 II. Anspruch auf Zinsen aus dem Zahlungsbetrag hat der Kl�ger mangels Anspruchs in der Hauptsache nicht.

37 III. Hingegen hat der Kl�ger Anspruch auf Feststellung der grunds�tzlichen Ersatzpflicht f�r zuk�nftige Sch�den, welche aus dem Datenschutzvorfall bei der Beklagten resultieren. Der entsprechende Anspruch ergibt sich aus Art. 82 DSGVO.

38 1. Die Beklagte ist Verantwortliche im Sinne von Art. 82 Abs. 1, 4 Nr. 7 DSGVO, da sie Kundendaten im Rahmen des Anmeldeprozesses abfragt und in einem Datenarchiv abspeichert.

39 2. Die Beklagte hat gegen Art. 32 Abs. 1 DSGVO versto�en.

40 Hierzu hat die 5. Zivilkammer des Landgerichts M�nchen I in ihrem Urteil vom 09.02.2023, Az.: 5 O 5853/22, ausgef�hrt:

„Art. 32 Abs. 1 DSGVO verpflichtet Verantwortliche, geeignete technische und organisatorische Ma�nahmen zu treffen, um ein dem Risiko f�r die Rechte und Freiheiten der von der Datenverarbeitung betroffenen Personen angemessenes Schutzniveau zu garantieren. Art. 5 Abs. 1 (f) DSGVO erg�nzt den Aspekt der Vertraulichkeit, dass die Daten vor unbefugter und unrechtm��iger Verarbeitung zu sch�tzen sind durch geeignete technische und organisatorische Ma�nahmen. Die konkret zu ergreifenden Schutzma�nahmen h�ngen von der Bedeutung der Daten f�r die Rechte und Interessen der betroffenen Personen ab (Schantz in: BeckOK Datenschutzrecht, 42. Edition, 01.11.2021, Art. 5 Rn. 35).

(1) Dies hat die Beklagte unterlassen, indem sie die Zugangsdaten zu ihrem IT-System nach Beendigung der Vertragsbeziehungen mit der Fa. … nicht ge�ndert hat.

Die Beklagte hatte den Zugangsschl�ssel zu ihrem Datenarchiv bei der Fa. … gespeichert. Die gespeicherten personenbezogenen Daten, mithin auch die Daten des Kl�gers lagen und liegen in einem Dokumentenarchiv bei der Fa … in Frankfurt a.M.. Die Vertragsbeziehung zur Fa. … beendete die Beklagte Ende 2015. Die beim Kl�ger im Jahr 2020, d.h. �ber 4 Jahre nach Beendigung der Vertragsbeziehung Beklagte … erhobenen Daten wurden im Datenerarchiv gespeichert und dort mittels des bei der Fa. … erlangten Zugangsschl�ssels ausgelesen. Nach Beendigung der Vertragsbeziehung mit der Fa. … hat die Beklagte den Zugangsschl�ssel nicht ge�ndert noch andere Schritte unternommen, dass der Zugangsschl�ssel nicht mehr verwendet werden kann.

(2) Dadurch hat sie das Risiko aufrechterhalten, dass durch einen Hacker-Angriff auf die Fa. … auch Daten ihrer Kunden abgegriffen werden k�nnen. Dieses Risiko h�tte durch eine Ab�nderung der Zugangsdaten minimiert oder gar ausgeschlossen werden k�nnen.

(3) Da die Beklagte Verantwortliche im Sinne von Art. 32 Abs. 1, 4 Nr. 7 DSGVO ist, hat sie sich nicht darauf verlassen d�rfen, dass die Fa. … die Zugangsinformationen l�scht, unabh�ngig davon, ob diese dazu vertraglich verpflichtet war oder nicht.

Als Anbieterin von Online-Leistungen – der Vertragsabschluss mit dem Kl�ger erfolgte ausschlie�lich online – musste die Beklagte zudem wissen, dass Sicherheitskopien regelm��ig angefertigt werden, d.h. dass Daten letztlich nicht nur an einem einzigen Ort gespeichert werden. Ihr war damit bekannt, dass der Zugangsschl�ssel sich auch in Sicherheitskopien der Fa. … befinden k�nnte. Die Beklagte hat damit nicht die erforderliche Sorgfalt daf�r aufgewendet, um sicherzustellen, dass der Zugangsschl�ssel, der bei der Fa. … lag, keiner weiteren Verwendung zugef�hrt wird (so auch LG K�ln, 18.5.2022, 28 I 328/21). Allein das Vertrauen der Beklagten, dass sich die Fa. … rechtstreu verhalten werde und damit ein Missbrauch des Zugangsschl�ssels ausgeschlossen ist, reicht insbesondere vor dem Hintergrund der Sensibilit�t der erlangten, personenbezogenen Daten nicht aus, um ein ausreichendes Schutzniveau behaupten zu k�nnen. Entgegen Art. 5 DSGVO, der ein Ergreifen von Ma�nahmen fordert, hat die Beklagte schlichtweg nichts getan, um nach Vertragsende mit der Fa. … einem Datenmissbrauch vorzubeugen, quasi so als h�tte sie nach Beendigung eines Mietverh�ltnisses der Mieterin den Wohnungsschl�ssel �berlassen und sich nicht darum gek�mmert, was damit passiert.

(4) Die Beklagte hat auch nicht hinreichend vorgetragen, warum die Ab�nderung der Zugangsdaten derart aufw�ndig gewesen w�re, dass dies im Verh�ltnis zu dem Risiko f�r die Rechte und Freiheiten ihrer Kunden nicht mehr angemessen gewesen w�re. Insbesondere w�re eine kurzzeitige Nichtverf�gbarkeit der Dienste hinzunehmen gewesen.

(5) Hinzu kommt, dass die Beklagte durch ihr Verhalten die Datenmissbrauchsm�glichkeit �ber die Fa. … �ber den urspr�nglich gegebenen Umfang erweitert hat, hat sie doch die personenbezogenen Daten von Kunden, die erst nach Beendigung der Beziehung Beklagte … – akquiriert wurden, gleichfalls der Zugriffsm�glichkeit �ber den alten Zugangsschl�ssel zugef�hrt. Es fehlt insoweit auch an einer wirksamen Einwilligung in die Datenverarbeitung nach Art 6 DSVGO, da der Kl�ger nicht einmal dar�ber informiert worden war, dass seine Daten �ber die Fa. CodeShip als eine Dritte, die in die Vertragsbeziehungen weder mit ihm noch mit der Beklagten eingebunden gewesen war, zug�nglich seien. Dass der Zugangssch�ssel bei der Fa. … noch vorhanden sein k�nnte, musste der Beklagten bewusst sein (s.o.).

(6) Da die Beklagte ihre eigenen Pflichten aus Art. 32 Abs. 1 DSGVO verletzt hat, kann dahinstehen, ob ihr �berdies ein etwaiger Versto� der Fa. … zuzurechnen ist.“

41 Dem ist seitens des Unterzeichners beizutreten. Erg�nzend ist seitens des Gerichts anzuf�hren, dass es f�r die unterbliebene �nderung der Zugangsdaten auch jeglichen nachvollziehbaren Grundes fehlte. Ganz offensichtlich hat sich die Beklagte darauf verlassen, dass sich die Fa. … vertragsgem�� verhalte. M�glicherweise war dies im Grundsatz auch der Fall, doch wie der vorliegende Fall zeigt, kann es immer Kopien vorhandener Daten auf Sicherungsservern geben. Schon weil die Beklagte hierauf keinerlei Einfluss hatte, h�tte sie die Zugangsdaten �ndern m�ssen. Dabei ist auch unerheblich, ob es technische Standards dahingehend gibt, dass Zugangsdaten regelm��ig zu �ndern seien. Eine solche �nderung war hier nach der Beendigung der Vertragsbeziehung derart naheliegend, dass sich die Beklagte nicht darauf berufen kann, es g�be keine Standards, die eine solche �nderung vorschrieben.

42 3. Das Verschulden der Beklagten ist ebenfalls gegeben, weil die Beklagte gehalten gewesen w�re, die Zugangsdaten nach K�ndigung der Vertragsbeziehung mit der Fa. … zu ver�ndern, was sie aber bewusst nicht getan hat.

43 4. Die grunds�tzliche M�glichkeit des Eintritts materieller Sch�den besteht, da die Daten des Kl�gers noch immer „verloren“ sind und damit potenziell missbraucht werden k�nnten. Auch wenn der Datenabgriff bereits im Jahr 2020 stattfand, ist unter dem Gesichtspunkt „Das Internet vergisst nicht“ nicht ansatzweise ausgeschlossen, dass die personenbezogenen Daten des Kl�gers, die �ber den Datenvorfall erlangt wurden, in Zukunft zu einem Schaden bei diesem f�hren. Der eingetretene Datenverlust betrifft einen nicht unerheblichen Bestandteil an personenbezogenen Daten des Kl�gers. F�r den Feststellungsantrag ist hingegen unerheblich, ob dem Kl�ger in einem etwaigen sp�teren Bezifferungsprozess tats�chlich der Nachweis gelingen w�rde, dass ihm entstandene Sch�den gerade auf das Datenleck bei der Beklagten zur�ckzuf�hren sind.

C.

44 Anspruch auf vorgerichtliche Rechtsanwaltskosten hat der Kl�ger nicht. Die Beklagte befand sich nicht im Verzug mit einer Erkl�rung zu ihrer Haftung, als der Kl�ger seine nunmehrigen Prozessbevollm�chtigten einschaltete. Vielmehr stammte bereits das erste Anschreiben an die Beklagte von den nunmehrigen Prozessbevollm�chtigten, so dass die Kosten der Einschaltung der Prozessbevollm�chtigten jedenfalls nicht verzugskausal sind.

45 Im Anspruchsschreiben Anlage K5 wird zudem gar kein Feststellungsantrag geltend gemacht, so dass auch unter dem Gesichtspunkt von �� 280 Abs. 1, 249 BGB auch ein Teilbetrag f�r die vorgerichtlichen Rechtsanwaltskosten nicht zuzusprechen war.

D.

46 I. Die Entscheidung �ber die Kosten erfolgte nach � 92 Abs. 1 ZPO.

47 II. �ber die vorl�ufige Vollstreckbarkeit war f�r beide Parteien nach �� 708 Nr. 11, 711 ZPO zu entscheiden.

48 III. Der Streitwert wurde auf 6.100 € festgesetzt. Ma�geblich ist insoweit der mit Ziff. 1 der Klageantr�ge geforderte Betrag von 5.100 €. Hinzu tritt ein Betrag f�r den Feststellungsantrag hinsichtlich zuk�nftiger Sch�den. Dieser ist auch wirtschaftlich nicht identisch mit dem Zahlungsantrag, weshalb der Streitwertangabe des Kl�gers nicht gefolgt werden konnte. Mangels n�herer Angaben der Parteien sowie Anhaltspunkt f�r eine konkrete Bemessung geht das Gericht von einem Betrag in H�he von 1.000 € aus.

Leitsatz

Werden die Zugangsdaten zu einem Datenarchiv nach Beendigung der Vertragsbeziehung zu einem IT-Dienstleister (hier: Cloud-Dienstleistungen) nicht ge�ndert, sind die betroffenen Daten nicht angemessen vor einer unbefugten oder unrechtm��igen Verarbeitung gesch�tzt. (Rn. 40) (redaktioneller Leitsatz)

Leitsatz

Ein Antrag auf Feststellung einer Ersatzpflicht f�r etwaige k�nftige materielle Sch�den auf Grund von Daten-Scraping ist begr�ndet, wenn die M�glichkeit des Eintritts materieller Sch�den besteht und nicht g�nzlich auszuschlie�en ist, weil die Daten des Betroffenen noch immer „verloren“ sind und damit potenziell missbraucht werden k�nnen. (Rn. 43) (redaktioneller Leitsatz)

titelzeile

Schadensersatzbegehren nach unbefugtem Zugriff Dritter auf personenbezogene Daten