LG M�nchen II 11. Zivilkammer — 2023-09-29 — 11 O 1884/22 — Endurteil

Entscheidungsdatum: 2023-09-29

Aktenzeichen: 11 O 1884/22

Dokumenttyp: Endurteil

Tenor

1. Die Klage wird abgewiesen.

2. Der Kl�ger hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist gegen Sicherheitsleistung in H�he von 110 % des jeweils zu vollstreckenden Betrags vorl�ufig vollstreckbar.

4. Der Streitwert wird auf Euro 2.500 festgesetzt.

Tatbestand

1 Die Parteien streiten �ber Anspr�che auf Schadensersatz, Unterlassung, Auskunft und Rechtsverfolgungserstattung wegen behaupteter Verst��e gegen die Datenschutzgrundverordnung im Zusammenhang mit sog. Daten-Scraping im Zeitraum von Januar 2018 bis September 2019.

2 Der Kl�ger ist Nutzer der Plattform ... . Die Beklagte ist Anbieterin der ...-Plattform auf dem Gebiet der Europ�ischen Union.

3 Im Zeitraum vom Januar 2018 bis September 2019 wurden bei der Beklagten personenbezogene Daten aus dem Datenbestand von ... mittels des ...-Tools Kontaktimporter „gescrapt“, also Daten bei ... ausgelesen und persistiert. Die Telefonnummern der Benutzer konnten mit restlichen Personendaten korreliert werden und waren somit Bestandteil des jeweiligen unbefugt verbreiteten Datensatzes. Hierzu wurden mit Hilfe des Contact-Import-Tools Telefonnummern gepr�ft und der zugeh�rige ...-Nutzer wurde angezeigt. Diese Datens�tze wurden ab April 2021 durch unbekannte Dritte im Internet verbreitet und f�r Interessenten bereitgestellt. Anfang April 2021 wurden die entsprechend gescrapten Daten von ca. 533 Millionen ...-Nutzern aus 106 L�ndern im Internet �ffentlich verbreitet.

4 Bei der Erstellung eines ...-Accounts tr�gt der angehende Nutzer die ihn betreffenden personenbezogenen Daten, Vor- und Nachname, Handynummer oder E-Mailadresse, Geschlecht und Geburtsdatum in die Registrierungsmaske ein. W�hrend des relevanten Zeitraums waren Name, Geschlecht und Nutzer-ID der Klagepartei als immer �ffentliche Nutzerinformationen �ffentlich auf dem kl�gerischen Nutzerkonto einsehbar und sind es auch weiterhin (Screenshot Bl. 102 d.A.). Die Sichtbarkeit der sonstigen Daten – Telefonnummer, E-Mail-Adresse, Wohnort, Geburtsdatum, Stadt, Beziehungsstatus – sind von der Zielgruppenauswahl der Klagepartei abh�ngig.

5 Damit Nutzer mit anderen Nutzern leichter in Kontakt treten k�nnen, sind die im Rahmen der Registrierung angegebene Name, Geschlecht und Nutzer-ID als Teil des Nutzerprofils immer �ffentlich einsehbar. Dementsprechend waren der Name und das Geschlecht des Kl�gers im Zeitraum von Januar 2018 bis September 2019, d.h. in dem Zeitraum, in dem das Datenscraping im Rahmen des Scraping-Sachverhalts stattgefunden hat, �ffentlich auf seinem ...-Profil einsehbar. Dies wird und wurde im Hilfebereich der Beklagten erl�utert, wo zudem auch erkl�rt wird, was es bedeutet, wenn Informationen „�ffentlich“ sind.

6 Die Beklagte stellte im ma�geblichen Zeitraum, zug�ngliche Privatsph�re-Einstellungen zur Verf�gung, damit Nutzer – wie auch der Kl�ger – bestimmen k�nnen, inwieweit sie Informationen, die sie zur Verf�gung stellen, �ffentlich einsehbar machen m�chten. Es wurde dabei zwischen zwei Arten von Privatsph�re-Einstellungen unterschieden:

7 Die „Zielgruppenauswahl“ betrifft Einstellungen, die festlegen, wer einzelne Informationen im ...-Profil eines Nutzers sehen kann. Dies umfasst Informationen wie Telefonnummer, Wohnort, Stadt, Beziehungsstatus und E-Mail. Nicht hiervon umfasst sind die immer �ffentlichen Nutzerinformationen, da diese, wie oben erl�utert, immer �ffentlich einsehbar sind. Der Nutzer konnte beispielsweise anstelle der Zielgruppenauswahl „�ffentlich“ festlegen, dass nur „Freunde“ oder „Freunde von Freunden“ die jeweilige Information sehen k�nnen. Soweit keine individuellen Einstellungen gew�hlt wurden, richtete sich die Sichtbarkeit der �ber die immer �ffentlichen Informationen hinausgehenden Informationen nach den Standard-Einstellungen.

8 Die „Suchbarkeits-Einstellungen“ legen fest, wer das Profil eines Nutzers unter anderem anhand einer Telefonnummer finden kann. Soweit keine individuellen Einstellungen gew�hlt wurden, richtete sich im streitgegenst�ndlichen Zeitraum die Suchbarkeit nach den Standard-Einstellungen, wonach es allen Personen, die �ber die Telefonnummer des Nutzers verf�gen, m�glich war, das Profil des Nutzers, sofern dieser seine Telefonnummer bereitgestellt hatte, zu finden.

9 Der Kl�ger forderte mit vorgerichtlichem anwaltlichen Schreiben (Email vom 14.09.2021, K1) die Beklagte unter Darlegung der Sach- und Rechtslage vergeblich zur Zahlung von 500 EUR Schadensersatz nach Art. 82 Abs. 1 DSGVO und zur Unterlassung zuk�nftiger Zug�nglichmachung der Kl�gerdaten an unbefugte Dritte sowie zur Auskunft, welche konkreten Daten im April 2021 abgegriffen und ver�ffentlicht wurden. Die Beklagte wies in ihrem Schreiben vom 23.08.2021.2021 (K 2) den Schadensersatz und den Unterlassungsanspruch zur�ck und erteilte dem Kl�ger einige Ausk�nfte, die dem Kl�ger jedoch nicht ausreichen.

10 Der Kl�ger behauptet, die Telefonnummern der Benutzer h�tten wegen einer Sicherheitsl�cke mit den restlichen Personendaten korreliert werden k�nnen. Einerseits habe die Beklagte keinerlei Sicherheitsma�nahmen wie Sicherheitscapchas oder ein Mechanismus zur �berpr�fung der Plausibilit�t etwa ungew�hnlich vieler Anfragen vorgehalten, um ein Ausnutzen des bereitgestellten Tools zu verhindern und andererseits seien die Einstellungen zur Sicherheit der Telefonnummer auf ... so undurchsichtig und kompliziert gestaltet, dass ein Nutzer tats�chlich keine sicheren Einstellungen erreichen k�nne. Aufgrund der Vielzahl an Einstellungsm�glichkeiten sei mit hoher Wahrscheinlichkeit zu erwarten, dass ein Nutzer die voreingestellten Standardeinstellungen beibehalte und nicht selbstst�ndig �ndere. Mit keinem Wort sei erw�hnt, dass die angegebene Nummer dazu verwendet werden k�nne, in irgendeiner Art das Profil des Nutzers zu identifizieren. Nutzer g�ben im Vertrauen und mit dem Ziel, mehr pers�nliche Sicherheit zu erreichen, ihre Telefonnummern auf ...preis. Neben den gew�hnlichen Funktionen der ...-Seite existiere auch noch eine separate Messenger-App, in der separate Sicherheitseinstellungen vorgenommen werden k�nnten.

11 Die Kl�gerseite habe einen erheblichen Kontrollverlust �ber ihre Daten erlitten und verbleibe in einem Zustand gro�en Unwohlsein und gro�er Sorge �ber m�glichen Missbrauch ihrer Daten. Dies manifestiere sich unter anderem in einem verst�rkten Misstrauen bez�glich E-Mails und Anrufen von unbekannten Nummern und Adressen. Dar�ber hinaus erhalte die Kl�gerseite seit dem Vorfall unregelm��ig unbekannte Kontaktversuche via SMS und E-Mail mit Nachrichten offensichtlicher Betrugsversuchen und Virenlinks. Bestehende �ngste, Stress, Komfort- und Zeiteinbu�en w�rden sich darin auswirken, dass sich die Kl�gerseite mit dem Datenleak, der Herkunft der Daten auseinandersetzen habe m�ssen und Identit�tsdiebstahl oder Betrugsversuche bef�rchte.

12 Der Kl�ger ist der Auffassung, ihm stehe ein Schadensersatzanspruch aus Art. 82 I DSGVO zu. Die Beklagte habe gegen die DSGVO versto�en, indem sie personenbezogene Daten der Kl�gerseite ohne Rechtsgrundlage Art. 6, 7 DSGVO und ausreichender Information nach Art. 13, 14 DSGVO verarbeitet sowie diese Daten unbefugten Dritten zug�nglich gemacht und hierbei Pflichten aus Art. 5, 25, 32 und 34 DSVGO sowie Betroffenenrechte der Kl�gerseite nach Art. 15, 17, 18 DSGVO verletzt habe. Ferner stehe dem Kl�ger auch ein Unterlassungsanspruch aus �� 1004 analog, 823 Abs. 1 und 823 Abs. 2 BGB i.V.m. Art. 6 I, 17 DSGVO wie auch ein Auskunftsanspruch nach Art. 15 DSGVO zu.

13 Der Kl�ger beantragt,

1.Die Beklagte wird verurteilt, an die Kl�gerseite immateriellen Schadensersatz in angemessener H�he zu zahlen, dessen H�he in das pflichtgem��e Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

2.Es wird festgestellt, dass die Beklagte verpflichtet ist, der Kl�gerseite alle k�nftigen Sch�den zu ersetzen, die der Kl�gerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3.Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a. personenbezogenen Daten der Kl�gerseite, namentlich Telefonnummer,... ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten �ber eine Software zum Importieren von Kontakten zug�nglich zu machen, ohne die nach dem Stand der Technik m�glichen Sicherheitsma�nahmen vorzusehen, um die Ausnutzung des Systems f�r andere Zwecke als der Kontaktaufnahme zu verhindern,

b. die Telefonnummer der Kl�gerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der un�bersichtlichen und unvollst�ndigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen dar�ber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierf�r die Berechtigung verweigert und, im Falle der Nutzung der ...-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird.

4. Die Beklagte wird verurteilt der Kl�gerseite Auskunft �ber die Kl�gerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empf�nger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten.

5. Die Beklagte wird verurteilt, an die Kl�gerseite vorgerichtliche Rechtsanwaltskosten in H�he von 887,03 € zu zahlen zuz�glich Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

14 Die Beklagte beantragt,

Klageabweisung.

15 Die Beklagte behauptet, die Privatsph�re-Einstellungen seien leicht zu bedienen. Separate Privatsph�ren-Einstellungen in der Messenger-App g�be es nicht, die Einstellungen der Klagepartei zur Zielgruppenauswahl und Suchbarkeit im ... habe den Einstellungen im ...-Konto der Klagepartei entsprochen. Die Suchbarkeit des Kl�gers sei seit dem 01. November 2013 bis zum Ende des relevanten Zeitraums auf „Everyone“, d.h. „Alle“ eingestellt gewesen (Screenshot Bl. 102 d.A.). Die Beklagte habe ihre Nutzer – inklusive der Klagepartei – umfassend und transparent �ber die M�glichkeiten der Anpassung ihrer Suchbarkeits-Einstellungen und Zielgruppenauswahl informiert. Zweck der ...-Plattform bestehe jedoch gerade darin, es Menschen zu erm�glichen, sich mit Freunden, Familie und Gemeinschaften zu verbinden und andere zu finden.

16 Beim Datenscraping w�rden Funktionen einer Website verwendet werden, die f�r ordnungsgem��e Nutzer entworfen worden und bei diesen beliebt seien. Die Beklagte habe Ma�nahmen getroffen, um das Risiko von Scraping zu unterbinden und entwickle ihre eigenen Ma�nahmen zur Bek�mpfung von Scraping kontinuierlich und als Reaktion auf die sich st�ndig �ndernden Techniken und kriminellen Strategien weiter.

17 Schlie�lich sei die Beklagte au�erstande mitzuteilen, welche Daten der Kl�gerseite im Wege des Scrapings von unbekannten Dritten abgegriffen worden seien. Die Beklagte halte keine Kopie der Rohdaten, welche die durch Scraping abgerufenen Daten enthalten w�rden.

18 Die Beklagte ist der Auffassung, die Klage sei wegen Unbestimmtheit und mangels Feststellungsinteresse weitgehend unzul�ssig.

19 Sie sei auch unbegr�ndet, weil der Scraping-Sachverhalt nicht auf einen Datenschutzversto� beruhe. Verst��e gegen Art. 13-15, 24, 25 und 34 DSGVO seien von Art. 82 DSGVO nicht umfasst. Weiter h�tten Dritte allein solche Daten gesammelt, die ohnehin �ffentlich einsehbar gewesen seien, und dann anderweitig im Internet zug�nglich gemacht. Soweit die im Zuge des Scraping-Sachverhalts abgerufenen Daten der KLagepartei von der ...-Plattform stammen w�rden, handle es sich dabei um �ffentlich einsehbare Daten im ...-Profil des Kl�gers, die entweder immer �ffentliche Nutzerinformationen oder im Einklang mit den Privatsph�re-Einstellungen der Klagepartei nicht vertraulich und �ffentlich einsehbar gewesen seien. Schlie�lich habe der Kl�ger keinen immateriellen Schaden erlitten. Auch bei Annahme eines vor�bergehenden Kontrollverlusts �ber personenbezogene Daten des Kl�gers fiele dies nicht in den Verantwortungsbereich der Beklagten, da die �ffentliche Sichtbarkeit den Privatsph�re-Einstellungen des Kl�gers entsprochen habe.

20 Der Feststellungsantrag sei mangels Versto�es gegen die DSGVO ebenso unbegr�ndet. Der Unterlassungsanspruch scheide mangels einer Erstbegehungs- und Wiederholungsgefahr aus. Das Auskunftsverlangen sei au�ergerichtlich beantwortet worden.

21 Das Gericht hat am 13.09.2023 m�ndlich verhandelt, der Kl�ger wurde informatorisch angeh�rt. Diesbez�glich wird auf das Sitzungsprotokoll verwiesen.

22 Zur Erg�nzung des Tatbestandes und wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf die gewechselten Schrifts�tze samt Anlagen Bezug genommen.

Gründe

23 Die zul�ssige Klage ist unbegr�ndet und war daher abzuweisen.

A.

24 Die Klage ist zul�ssig.

25 I. Das Landgericht M�nchen II ist international und �rtlich nach Art. 6 Abs. 1, Art. 18 Abs. 1 Alt. 2 EuGVVO sowie sachlich jedenfalls aufgrund des r�gelosen Einlassens der Beklagten.

26 II. Der Leistungsantrag (Klageantrag zu 1) ist hinreichend bestimmt im Sinne des � 253 Abs. 2 Nr. 2 ZPO.

27 Ein Antrag ist hinreichend bestimmt, wenn der Gegenstand und Umfang der Entscheidungsbefugnis des Gerichts klar umrissen sind, sich der Beklagte ersch�pfend verteidigen kann und nicht dem Vollstreckungsgericht die Entscheidung �berlassen bleibt, was dem Beklagten aufgegeben oder verboten ist. Der Inhalt eines Antrags ist der Auslegung zug�nglich. Zur Auslegung sind auch die Ausf�hrungen in der Begr�ndung mit heranzuziehen (BeckOK ZPO/Bacher, 48. Ed. 1.3.2023, ZPO � 253 Rn. 57, 58).

28 Der Klagebegr�ndung l�sst sich entnehmen, dass das Zahlungsbegehren aus einem zusammenh�ngenden, obgleich sich �ber einen l�ngeren Zeitraum erstreckenden, jedoch in sich abgeschlossenen Lebenssachverhalt folgt. Ma�geblich wird dabei Bezug genommen auf die Anmeldung des Kl�gers auf der Plattform der Beklagten bis hin zu dem Scraping-Vorfall und der Benachrichtigung der betroffenen Nutzer. Die Geltendmachung verschiedener behaupteter Verst��e durch die Beklagte ist hierbei unsch�dlich.

29 III. Demnach ist auch der Feststellungsantrag (Klageantrag zu 2) hinreichend bestimmt. Zudem hat der Kl�ger sein Feststellungsinteresse hinreichend dargetan, indem er die M�glichkeit vorbringt, dass weitere Sch�den durch die Verwendung der illegal erlangten Daten entstehen k�nnen.

30 Die Zul�ssigkeit eines Feststellungsantrags ist bereits gegeben, wenn die Schadensentwicklung noch nicht abgeschlossen ist und der Kl�ger daher seinen Anspruch ganz oder teilweise nicht festsetzen kann (OLG Hamm, Urteil vom 21. Mai 2019 – 9 U 56/18 –, Rn. 22, juris). Das Feststellungsinteresse w�re nur dann nicht gegeben, wenn aus der Sicht des Kl�gers bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (vgl. Bacher BeckOK ZPO, Vorwerk/Wolf 43. Edition Stand: 01.12.2021 � 256 Rn. 24).

31 Das kl�gerische Begehren wird vorliegend auf behauptete Verst��e gegen die DSGVO gest�tzt. Eine m�glicherweise damit einhergehende unkontrollierte Nutzung gescrapter Daten schlie�t somit bei verst�ndiger W�rdigung die Entstehung eines materiellen oder weiteren immateriellen Schadens nicht aus. Ein weiterer Schadenseintritt ist bei einer Ver�ffentlichung pers�nlicher Daten des Kl�gers nicht v�llig fernliegend.

32 IV. Auch das Unterlassungsbegehren (Klageantrag zu 3) ist hinreichend bestimmt, indem es auf die Zug�nglichmachung personenbezogener Daten des Kl�gers, insbesondere der Telefonnummer, gest�tzt wird. Im Rahmen der zu ber�cksichtigenden Klagebegr�ndung wird auch deutlich, woraus sich die konkrete Datenverarbeitung, auf die der Kl�ger Bezug nimmt, ergibt. Der Kl�ger ist der Auffassung, dass er keine wirksame Einwilligung f�r die Ver�ffentlichung seiner – nicht bereits auf seinem ...-Profil f�r jeden einsehbaren – personenbezogenen Daten, insbesondere der Telefonnummer, erteilt hat.

B.

33 Die Klage ist jedoch unbegr�ndet, da dem Kl�ger weder ein Schadensersatz in H�he von 1.000 € aus Art. 82 Abs. 1 DSGVO, noch ein Anspruch auf entsprechende Feststellung oder auf Unterlassung aus �� 1004 analog, 823 Abs. 1 und 823 Abs. 2 BGB i.V.m. Art. 6 I, 17 DSGVO oder auf Auskunft nach Art. 15 DSGVO zusteht.

34 Demnach hat er auch keinen Anspruch auf vorgerichtliche Rechtsanwaltskosten aus Art. 82 Abs. 1 DSGVO oder Zinsen aus �� 291, 288 BGB.

35 I. Dem Kl�ger steht kein Schadensersatzanspruch aus Art. 82 I DSGVO (Klageantrag zu 1) und damit auch kein Anspruch auf Feststellung der Ersatzpflicht zuk�nftiger Sch�den (Klageantrag zu 2) zu, weil die behaupteten Verst��e nicht vom Schutzbereich des Art. 82 DSGVO umfasst sind, die Beklagte nicht gegen die DSGVO versto�en hat und der Kl�ger keinen kausal eingetretenen Schaden nachweisen konnte.

36 1. Die behaupteten Verst��e gegen Art. 13, 14 DSGVO und Art. 34 sowie Art. 15 DSGVO und Art. 25 DSGVO sind schon nicht vom Anwendungsbereich des Art. 82 DSGVO erfasst.

37 Art. 82 DSGVO erfasst von vornherein nur solche Pflichtverst��e, die im Rahmen einer „Verarbeitung“ geschehen (etwa OLG Stuttgart, Urteil vom 31. M�rz 2021, Az. 9 U 34/21, Rn. 61, Juris; LG D�sseldorf, Urteil vom 28. Oktober 2021, Az. 16 O 128/20, GRUR-RS 2021, 33076 Rn. 27; Nemitz, in: Ehmann/Selmayr, Datenschutz-Grundverordnung, 2. Aufl. 2018, Art. 82 Rn. 8). Dies folgt bereits aus dem Wortlaut des Art. 82 Abs. 2 S. 1 DSGVO „durch eine nicht dieser Verordnung entsprechende Verarbeitung“.

38 Art. 13, 14 DSGVO, Art. 34 DSGVO und Art. 15 DSGVO begr�nden hingegen Informationspflichten gegen�ber betroffenen Personen. Die Erteilung von Informationen �ber die Verarbeitung personenbezogener Daten, die Benachrichtigung �ber eine Verletzung des Schutzes personenbezogener Daten gegen�ber Nutzern und die Erteilung einer beantragten Auskunft stellen jedoch selbst keine Verarbeitungen personenbezogener Daten i. S. v. Art. 4 Nr. 2 DSGVO dar. Dementsprechend kann ein Schadensersatzanspruch nach Art. 82 DSGVO nicht aus einer Verletzung dieser Vorschriften resultieren.

39 Ebenso wenig kann ein Versto� gegen Art. 25 Abs. 1, Abs. 2 DSVGO einen Schadensersatz nach Art. 82 Abs. 1 DSVGO ausl�sen, weil die Normen nicht in direktem Zusammenhang mit einer konkreten Verarbeitung stehen und in erster Linie eine organisatorische Verpflichtung f�r den Verantwortlichen darstellen (Gola/Heckmann, DSVGO, 3. Auflage 2022, Art. 25 Rn. 34).

40 2. Der geltend gemachte Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO besteht auch deshalb nicht, weil der darlegungs- und beweisbelastete Kl�ger einen Versto� gegen die DSGVO nicht dargelegt oder bewiesen hat.

41 Art. 82 Abs. 1 DSGVO sieht ausdr�cklich vor, dass ein Anspruch auf Schadensersatz nur besteht, wenn „wegen eines Versto�es gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist“. Der Kl�ger tr�gt die Beweislast f�r das Vorliegen der notwendigen Anspruchsvoraussetzungen des geltend gemachten Schadensersatzanspruchs. Dies umfasst insbesondere die Darlegung und den Beweis f�r die Tatsachen, aus denen sich der angebliche Pflichtversto� ergibt (Spindler/Horvath, in: Spindler/Schuster, DSGVO, 4. Aufl. 2019, Art. 82 Rn. 11; Quaas, in: BeckOK, DSGVO, 36. Aufl., 1. August 2022, Art. 82 Rn. 51). Der Kl�ger hat einen Versto� der Beklagten gegen ihre Pflicht aus der DSGVO weder substantiiert dargelegt noch bewiesen.

42 2.1. Es sind keine Transparenzpflichten gem. Art. 5 Abs. 1, 13, 14 DSGVO verletzt.

43 Nach Art. 13 DSGVO hat der Verantwortliche der betroffenen Person zum Zeitpunkt der Datenerhebung die in Art. 13 Abs. 1 und Abs. 2 DSGVO aufgef�hrten Informationen zur Verf�gung zu stellen. Vergleichbare Vorgaben sieht Art. 14 DSVGO f�r den Fall vor, dass der Verantwortliche die Daten nicht bei der betroffenen Person erhebt. Dadurch soll eine faire und transparente Verarbeitung gew�hrleistet werden (Art. 13 Abs. 2, Art.14 Abs. 2 DSGVO), wobei es sich um eine Konkretisierung des allgemeinen datenschutzrechtlichen Transparenzgrundsatzes (Art. 5 Abs. 1 DSGVO) handelt.

44 Die Beklagte stellt ihren Nutzern, den Kl�ger eingeschlossen, s�mtliche in Art. 13 DSGVO aufgef�hrten Informationen in Bezug auf die von ihr durchgef�hrten Datenverarbeitungen zum Zeitpunkt der Datenerhebung im Rahmen ihrer Datenrichtlinie zur Verf�gung. Die Darstellung der Informationen erfolgt im Einklang mit den Vorgaben der DSGVO, die eine Darstellung in pr�ziser, transparenter, verst�ndlicher und leicht zug�nglicher Form in einer klaren und einfachen Sprache voraussetzt (vgl. Art. 12 Abs. 1 DSGVO).

45 Die von der Beklagten verwendete Mehrebenen-Datenschutzerkl�rung wurde unbestritten im relevanten Zeitraum durch weitergehende Informationen im Hilfebereich erg�nzt. Hierdurch werden den Nutzern nicht nur die nach Art. 5 Abs. 1 lit. a, 13 und 14 DSGVO gesetzlich vorgeschriebenen Pflichtinformationen zur Verf�gung gestellt, sondern auch �bersichtliche Zusammenfassungen besonders relevanter Themen.

46 Soweit der Kl�ger den Inhalt dieser Informationen f�r unzureichend h�lt, weil darin etwa die Information fehle, dass „das �ffentliche Teilen der Telefonnummer die M�glichkeit er�ffnet, dass durch automatische Software eine Kategorisierung und Abgreifung durch b�swillige Dritte erfolgen kann“, so geht dieser Einwand schon deshalb fehl, weil die Beklagte nur Informationen zur eigenen Verarbeitungst�tigkeit erteilen muss und nicht zu (hypothetischen) Verarbeitungst�tigkeiten Dritter. �ber ihre eigenen Verarbeitungst�tigkeiten, insbesondere �ber die Zwecke der Verarbeitung der Telefonnummer und die Funktionsweise der Kontakt-Importer-Funktion, stellt die Beklagte ausf�hrliche Informationen zur Verf�gung.

47 Soweit der Kl�ger den Inhalt der Datenschutzinformationen f�r unzureichend h�lt, weil er durch die Beklagte nicht ausreichend �ber die Verwendung der Telefonnummer belehrt worden sei, ist dies unzutreffend. Der Kl�ger selbst legt Screenshots von Seiten der Beklagten vor, die eben diese Hinweise enthalten. Darauf sind die Zwecke, zu denen die Telefonnummer verarbeitet wird, klar aufgef�hrt und erl�utert (etwa Screenshots Klageschrift Bl. 11 ff d.A).

48 Im Rahmen der Entscheidung ist auch der Umstand zu ber�cksichtigen, dass die Nutzung der Plattform als solche freiwillig erfolgt. Die Angabe der Mobilfunknummer ist f�r die blo�e Nutzung der Plattform nicht zwingend erforderlich. Es reicht aus, wenn Name, Geschlecht und ID hinterlegt sind. Zudem obliegt es dem Nutzer festzulegen, „wer deine Telefonnummer sehen kann und wer auf ... nach dir suchen kann“. Daher sind die von der Beklagten gew�hlten Voreinstellungen nicht zu bem�ngeln, weil der jeweilige Nutzer umfassend und verst�ndlich �ber �nderungsm�glichkeiten informiert wird. Die Einstellungsm�glichkeiten finden sich in einer Sammlung von Links und Unterlinks. Die Beklagte hat �ber die Nutzungs- und Findungsm�glichkeiten aufgekl�rt. Dabei ist zu beachten, dass das Profil eines Nutzers �ber die Mobilfunknummer als solches im relevanten Zeitraum auffindbar war, wenn wie im Falle des Kl�gers die Suchbarkeitsfunktion �ber die Mobilfunknummer �berhaupt und �berdies f�r jedermann er�ffnet war.

49 2.2. Es liegt auch keine Verletzung der Pflicht zur Implementierung angemessener technischer und organisatorischer Ma�nahmen gem. Art. 32 DSGVO vor. Selbst bei unterstelltem Fehlen von Sicherheitsvorkehrungen durch die Beklagte ist der Beklagten kein Versto� gegen ihre Verpflichtung, die Sicherheit der Datenverarbeitung zu gew�hrleisten, vorzuwerfen.

50 Verarbeitungsprozesse sind im Sinne des Art. 32 DSGVO so zu gestalten, dass ein ausreichendes Schutzniveau f�r die Sicherheit personenbezogener Daten f�r einen angemessenen Systemdatenschutz gegeben ist.

51 Vorliegend war die Beklagte jedoch nicht dazu verpflichtet, Schutzma�nahmen zu ergreifen, um der Erhebung der �ffentlich zug�nglichen Informationen des kl�gerischen Profils aufgrund seiner selbst gew�hlten Einstellung entgegenzuwirken. Im relevanten Zeitraum war der Kl�ger f�r alle („everyone“) �ber seine Telefonnummer zu finden. Es bestand keine Verpflichtung der Beklagten, diese Daten vor der Verarbeitung gem. Art. 4 Nr. 2 DSGVO durch die Scraper zu sch�tzen, weil die Daten nicht unbefugt oder unrechtm��ig verarbeitet worden sind. Die gescrapten personenbezogenen Daten des Kl�gers sind Daten, die im relevanten Zeitraum f�r jedermann abrufbar waren. Dies gilt vor allem vor dem Hintergrund, dass Zweck der Plattform jedenfalls auch darin besteht, Menschen mittels bestimmter Funktionen aufzufinden und zu kontaktieren (vgl. Screenshots Klageschrift Bl. 11 d.A.).

52 �berdies folgt kein Anspruch auf konkrete Sicherungsma�nahmen aus der DSGVO. Es gen�gt, wenn die Beklagte ein hinreichendes Schutzniveau sicherstellt. Dies ist vorliegend der Fall. Es wird ein EDM-Team (External-Data-Misuse-Team) bei der Beklagten besch�ftigt. Die Beklagte hat auch �berzeugend erl�utert, dass immer wieder konkrete Ma�nahmen ergriffen werden, um Scraping zu verhindern. Ob auch nach diesen Ma�nahmen weiter Scraping m�glich ist, kann die Beklagte nicht wissen, da die Scraper professionell und auch kriminell handeln und ihre Vorgehensweisen auch den neuen Sicherheitsgegebenheiten anpassen.

53 2.3. Weiter trifft die Beklagte kein Versto� gegen Art. 25 DSVGO. Insbesondere entspricht die Standard-Einstellung f�r die Suchbarkeit von Telefonnummern w�hrend des streitgegenst�ndlichen Zeitraums „Alle“ dem Zweck der ...-Plattform. Denn die Verarbeitung von Kontaktdaten wie E-Mail-Adresse oder Telefonnummer ist erforderlich, um den Verarbeitungszweck des gegenseitigen Auffindens und Vernetzens (s.o.) zu erreichen.

54 2.4. Benachrichtigungs- und Meldepflichten aus Art. 34, 33 DSGVO sind ebenso nicht verletzt, weil die Beklagte, wie ausgef�hrt, den Schutz personenbezogener Daten nicht verletzt hat. Die gescrapten Daten waren �ffentlich einsehbar.

55 2.5. Es erfolgte auch keine unrechtm��ige Verarbeitung personenbezogener Daten ohne Rechtsgrundlage nach Art. 6 DSGVO.

56 Der Beklagten f�llt kein Versto� gegen Art. 6 DSGVO zur Last, weil die Verarbeitung der personenbezogenen Daten des Kl�gers durch die Beklagte im Rahmen der Bereitstellung der ...-Plattform rechtm��ig war. Die von Dritten abgerufenen Informationen waren im Einklang mit der Zielgruppenauswahl des Kl�gers �ffentlich zug�nglich und wurden nicht von der Beklagten an Dritte �bermittelt. Die Daten des Kl�gers wurden zu jeder Zeit rechtm��ig durch die Beklagte verarbeitet; auch die �brigen streitgegenst�ndlichen Datenkategorien waren f�r die Scraper einsehbar – wie f�r jeden anderen ...-Nutzer – weil der Kl�ger dies insbesondere durch seine Zielgruppenauswahl festlegte.

57 Die Beklagte verf�gt �ber eine wirksame Rechtsgrundlage f�r die Verarbeitung der Daten der Klagepartei. Die einschl�gige Rechtsgrundlage f�r die Verarbeitung von personenbezogenen Daten des Kl�gers im Rahmen der Bereitstellung der ...-Plattform ist Art. 6 Abs. 1 lit. b DSGVO. Dabei handelt es sich um den hier erheblichen Verarbeitungszweck, welcher bedingt, dass bestimmt Daten den Privatsph�re-Einstellungen des Kl�gers entsprechend �ffentlich zug�nglich sind. Einer ausdr�cklichen Einwilligung des Kl�gers nach Art. 6 Abs. 1 lit. a DSVGO, welche die Klagepartei wegen Un�bersichtlichkeit und Unvollst�ndigkeit von Informationen nicht als erteilt ansieht, bedurfte es damit nicht.

58 2.6. Die Auskunftspflicht gem. Art. 15 DSGVO ist ebenso nicht verletzt, da die Beklagte mit ihrer Auskunft vom 04.11.2021 ihrer Pflicht aus Art. 15 DSGVO nachgekommen ist.

59 Das kl�gerische Auskunftsersuchen (Email K 1) hat die Beklagte am 23.08.2021 (K 2) ordnungsgem�� beantwortet. An diesem Tag hat die Beklagte eine Antwort an den Kl�gervertereter per beA verschickt, in der sie den Kl�ger auf die ma�geblichen Abschnitte der Datenrichtlinie und die verf�gbaren Selbstbedienungs-Tools („Zugriff auf deine Informationen“ und „Deine Informationen herunterladen“) hinwies, die es ...-Nutzern erm�glichen, ihre ...-Daten aufzurufen und einzusehen. Dies stellt eine hinreichende Antwort auf das kl�gerische Auskunftsersuchen nach Art. 15 DSGVO dar.

60 Eine Verletzung der Auskunftspflicht ist nicht etwa darin zu sehen, dass im Schreiben der Beklagten „keinerlei konkrete Aussagen dazu, welche Daten der Kl�gerseite im Wege des Scrapings von unbekannten Dritten abgegriffen wurden“ enthalten waren. Insoweit beziehen sich die von dem Kl�ger begehrten Informationen n�mlich auf Verarbeitungst�tigkeiten Dritter. Art. 15 Abs. 1 DSGVO verpflichtet den Verantwortlichen indes lediglich zur Auskunft in Bezug auf die eigene Verarbeitungst�tigkeit. Die Beklagte ist zur Beantwortung von Fragen betreffend die Verarbeitungst�tigkeiten Dritter weder imstande noch nach Art. 15 DSGVO rechtlich verpflichtet ist. Informationen �ber personenbezogene Daten, die von einem Datenschutzvorfall betroffen sind, sowie �ber den Zeitpunkt und das Ausma� des Datenschutzvorfalls k�nnen nur gefordert werden, wenn Art. 34 DSGVO greift. Dies ist hier aber nicht der Fall. Demgegen�ber ist die Beklagte gem. Art. 15 DSGVO nicht verpflichtet, solche Informationen bereitzustellen. Das Scraping ist von au�en erfolgt und es ist nicht ersichtlich, wer diese Daten gescrapt hat. Es ist unm�glich, eine Auskunft �ber Daten zu erteilen, die w�hrend des Scrapens auf „�ffentlich“ gestellt waren.

61 3. Letztlich liegt dar�ber hinaus mangels haftungsausf�llender Kausalit�t auch kein ersatzf�higer immaterieller Schaden vor. Der darlegungs- und beweisbelastete Kl�ger konnte das Gericht nicht von der haftungsausf�llenden Kausalit�t zwischen etwaiger Rechtsgutsverletzung und eingetretenem Schaden �berzeugen.

62 Im Rahmen seiner informatorischen Anh�rung gab der Kl�ger an, er habe sich 2010 auf ... registriert. Er sei auch auf weiteren Social-Media-Plattformen wie ... und ... unterwegs, diese nutze er aber kaum aktiv.. Des Weiteren nutze er Online-Shops wie ...� und ... . Bei den Online-Shops gebe er nat�rlich die n�tigen Daten an. Insbesondere wenn die Lieferung durch eine Spedition erfolge, habe er auch dort seine Telefonnummer angegeben. In den letzten Jahren habe er des �fteren Anrufe und SMS auf das Handy bekommen. Wenn er Anrufe erhalte, sei keiner am anderen Ende der Leitung Wenn er SMS erhalte, seien die oft mit Links, das k�me ihm komisch vor. Er denke dass diese unberechtigten Anrufe und SMS-Zusendungen auf den Scraping-Vorfall bei ... zur�ckzuf�hren seien, denn es w�rde zeitlich sehr gut passen.

63 Zur �berzeugung des Gerichts l�sst sich nicht nachweisen, dass die unberechtigten Anrufe und SMS im Kausalzusammenhang mit dem Scraping-Vorfall bei der Beklagten erfolgt sind. Zum einen gibt der Kl�ger im Internet auf verschiedenen Plattformen und Shops seine personenbezogenen Daten, insbesondere Email und Telefonnummer an, sodass gerade nicht seine Daten bei ... abgegriffen worden sein m�ssen. Es ist ebenso denkbar, dass �ber ... oder ... jemand die Daten abgegriffen hat.

64 4. Ein Anspruch auf Feststellung der Ersatzpflicht hinsichtlich k�nftiger Sch�den (Klageantrag zu 2) besteht mangels Schadensersatzanspruch nach Art. 82 DSVGO nicht. Auf vorstehende Ausf�hrungen wird verwiesen.

65 II. Dem Kl�ger steht auch kein Unterlassungsanspruch nach �� 1004 analog, 823 Abs. 1 oder 823 Abs. 2 BGB i.V.m. Art. 6 I, 17 DSGVO (Klageantrag zu 3) zu.

66 Es ist bereits zweifelhaft, ob die DSGVO einen derartigen Unterlassungsanspruch vorsieht. Jedenfalls fehlt es aber an einem Versto� gegen die DSGVO, da die Verarbeitung der personenbezogenen Daten der Klagepartei, einschlie�lich ihrer Telefonnummer, rechtm��ig erfolgt ist und insbesondere keine unbefugte Zug�nglichmachung ihrer Daten gegen�ber Dritten vorliegt.

67 Auch eine Wiederholungsgefahr ist nicht zu bef�rchten, da es jedem Nutzer obliegt, jederzeit seine Suchbarkeitseinstellungen anzupassen.

68 III. Einen weitergehenden Auskunftsanspruch aus Art. 15 DSVGO (Klageantrag zu 4) hat der Kl�ger nicht. Die Beklagte hat dem Kl�ger mit Schreiben vom 04.11.2021 in angemessener Weise Auskunft �ber die von ihr verarbeiteten Daten erteilt. Es wurden auch keine Anhaltspunkte vorgetragen, dass Daten vom Scraping erfasst sind, die nicht ohnehin �ffentlich einsehbar beziehungsweise von den Suchbarkeitskriterien umfasst waren. Andernfalls l�ge ein Hacker-Angriff vor, der jedoch vom Kl�ger nicht dargetan wird. Erg�nzend wird auf vorstehende Ausf�hrungen Bezug genommen.

69 IV. Mangels Begr�ndetheit der Hauptforderungen sind auch die Nebenforderungen in Form der zu ersetzenden Rechtsanwaltskosten nach Art. 82 DSVGO und Zinsen nach �� 291, 288 BGB unbegr�ndet.

C.

70 Die Nebenentscheidungen folgen aus �� 91, 709 Satz 1, 2 ZPO.

71 Hinsichtlich des Streitwertes war Ziffer 1 der Klage mit 1000 Euro zu bewerten, was dem kl�gerischen Mindestbetrag entspricht. Antrag Ziffer 2 war mit Euro 400 zu bewerten; bei einem Feststellungsantrag ist der Wert des Gegenstandes des Rechtsverh�ltnisses ma�geblich. Die zuk�nftigen Sch�den sind aufgrund des Umstandes, dass der Kl�ger selbst die Daten auf der Plattform angab und aufgrund des inzwischen verstrichenen Zeitraumes mit 400 Euro zu bewerten. Ziffer 3 bewertet das Gericht mit 1.000 Euro; Unterlassungsanspr�che sind nach dem Interesse des Anspruchstellers zu bemessen. Da der Kl�ger selbst die Daten auf der Plattform der Beklagten eingab und die Beeintr�chtigung des Kl�gers vom Gericht als gering erachtet wird, sind 1.000 Euro ausreichend. Ziffer 4 (Auskunftsanspruch) wird mit 100 Euro angesetzt, dabei wurde auch ber�cksichtigt, dass der Kl�ger selbst diesen mit Null bewertete.zudem d�rften ihm die Daten, die er auf der Plattform der Beklagten eingab, selbst bekannt sein.

72 Die einzelnen Streitwerte waren zu addieren.

73 Auch das Landgericht Bonn und das Landgericht Kiel haben diese Streitwerte angesetzt (10 O 142/22 und 6 O 154/22).

Leitsatz

Ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO setzt voraus, dass der Versto� auf eine nicht DSGVO-konforme Verarbeitung i.S.v. Art. 4 Nr. 2 DSGVO zur�ckzuf�hren ist. Reine Informationspflichten nach Art. 13, Art. 14, Art. 15 oder Art. 34 DSGVO begr�nden demgegen�ber keine Verarbeitung und k�nnen daher keinen Schadensersatzanspruch ausl�sen. Gleiches gilt f�r die organisatorischen Verpflichtungen des Verantwortlichen aus Art. 25 Abs. 1, Abs. 2 DSGVO.� (Rn. 36 – 39) (redaktioneller Leitsatz)

Leitsatz

Die Transparenzpflichten nach Art. 5 Abs. 1, Art. 13 und Art. 14 DSGVO sind erf�llt, wenn der Verantwortliche die erforderlichen Informationen in einer mehrstufig aufgebauten Datenschutzerkl�rung bereitstellt, die durch leicht zug�ngliche Zusatzinformationen erg�nzt wird, und die Nutzer damit in klarer und verst�ndlicher Weise �ber Zwecke und Funktionsweisen der eigenen Verarbeitung aufgekl�rt werden. Eine Pflicht zur Information �ber hypothetische Verarbeitungsvorg�nge Dritter besteht nicht.� (Rn. 42 – 46) (redaktioneller Leitsatz)

Leitsatz

Der Verantwortliche ist nach Art. 32 DSGVO nicht verpflichtet, personenbezogene Daten, die aufgrund der selbst gew�hlten Einstellungen des Nutzers �ffentlich zug�nglich sind, vor der Erhebung durch Dritte zu sch�tzen. Ma�geblich ist, dass ein insgesamt angemessenes Schutzniveau durch technische und organisatorische Ma�nahmen gew�hrleistet wird, w�hrend ein Anspruch auf konkrete Sicherungsma�nahmen nicht aus der DSGVO abgeleitet werden kann. (Rn. 48 und 51 – 52) (redaktioneller Leitsatz)

titelzeile

�ffentliche Profildaten m�ssen nicht vor der Erhebung durch Dritte gesch�tzt werden