LG Passau 1. Zivilkammer — 2024-06-17 — 1 O 121/24 — Endurteil

Entscheidungsdatum: 2024-06-17

Aktenzeichen: 1 O 121/24

Dokumenttyp: Endurteil

Tenor

1. Die Klage wird abgewiesen.

2. Die Kl�gerin hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist gegen Sicherheitsleistung in H�he von 110 % des jeweils zu vollstreckenden Betrags vorl�ufig vollstreckbar.

Beschluss

Der Streitwert wird auf 5.000,00 € festgesetzt.

Tatbestand

1 Die Klagepartei nimmt die Beklagte auf Schadensersatz, Feststellung und Auskunft wegen Verst��en gegen die Datenschutz-Grundverordnung (DSGVO), insbesondere im Zusammenhang mit einem „Scraping“-Vorfall sowie wegen Daten�bermittlung in die USA in Anspruch.

2 Die Beklagte betreibt das soziale Netzwerk „f.“. Die Klagepartei unterh�lt dort ein Nutzerprofil. Dabei sind Name, Geschlecht und Nutzer-ID stets �ffentlich einsehbar, die �brigen durch den Nutzer dort hinterlegten Daten je nach gew�hlter Einstellung. Der Nutzer kann in seinem Profil eine Telefonnummer hinterlegen, wobei nach den Voreinstellungen (jedenfalls in dem hier in Rede stehenden Zeitraum 2018/2019) diese nicht �ffentlich angezeigt wurde, der Nutzer jedoch anhand dieser gefunden werden konnte. Insbesondere war es mit dem „Contact-Import-Tool“ m�glich, die auf dem Mobiltelefon eines Nutzers gespeicherten Kontakte auf „f.“ hochzuladen, so dass diese mit den bei „f.“ hinterlegten Telefonnummern abgeglichen werden und so gezielt diese Kontakte als „Freunde“ dem Profil des anfragenden Nutzers zugeordnet werden konnten, soweit diese Personen ihre Telefonnummer �berhaupt bei „f.“ hinterlegt hatten und ihre Suchbarkeitseinstellungen bez�glich der Telefonnummer nicht von der Voreinstellung „alle“ auf „nur Freunde“ bzw. „Freunde von Freunden“ ge�ndert hatten. Seit Mai 2019 ist es auch m�glich, die Suchbarkeitseinstellung auf „nur ich“ zu begrenzen.

3 Im April 2021 wurden Daten (einschlie�lich Telefonnummer) von ca. 533 Millionen „f.“-Nutzern durch unbekannte Dritte im Internet verbreitet. Diese Daten waren in den Jahren 2018/2019 im Wege des „Scraping“ abgegriffen worden. Dabei waren die im Nutzerprofil hinterlegte Telefonnummer dem konkreten Nutzer und den in dessen „f.“-Profil hinterlegten �ffentlich sichtbaren Daten zugeordnet worden. Vermutlich waren mit Hilfe des „Contact-Import-Tools“ eine Vielzahl m�glicher Telefonnummern automatisiert ausprobiert und im Trefferfall das Profil des Nutzers aufgerufen und dessen �ffentlich zug�ngliche Daten „gescraped“ worden.

4 Die Kl�gervertreter haben die Beklagte mit au�ergerichtlichem Schreiben vom 30.11.2023 (Anlage K1) zu Schadensersatz, Unterlassung und Auskunft aufgefordert. Die Beklagte hat die Anspr�che mit Schreiben vom 27.11.2023 (Anlage B16) zur�ckgewiesen.

5 Die Klagepartei behauptet, infolge einer Sicherheitsl�cke seien ihre Daten (Telefonnummer, F.-ID, Name, Vorname, Geschlecht) �ffentlich zug�nglich gemacht worden. Die betroffene Telefonnummer der Klagepartei laute:

6 Dies sei m�glich gewesen, weil die Datenschutzeinstellungen auf „f.“ un�bersichtlich und intransparent seien und die Voreinstellungen nicht datenschutzfreundlich seien. Insbesondere sei voreingestellt, dass man den Nutzer anhand seiner Telefonnummer „finden“ k�nne. Zudem habe die Beklagte nicht die erforderlichen Vorsichtsma�nahmen (z.B. Einsatz von „Captchas“, Blockierung einer Vielzahl von Anfragen �ber dieselbe IP-Adresse bzw. von systematischen Zahlenreihen) ergriffen, um das „Scraping“ der Daten zu verhindern. Weder die betroffenen Nutzer noch die zust�ndige Datenschutzbeh�rde seien �ber den Vorfall informiert worden. Eine die Datenverarbeitung durch die Beklagte deckende Einwilligung der Klagepartei liege nicht vor. Die Klagepartei leide unter Kontrollverlust �ber ihre Daten und sei in Sorge �ber m�glichen Missbrauch der sie betreffenden Daten. Die Klagepartei habe ihre Telefonnummer lediglich zu Sicherheitszwecken angegeben und sei davon ausgegangen, nur selbst auf diese Information zugreifen zu k�nnen. Die vorgerichtlich erteilte Auskunft der Beklagten sei unzureichend.

7 Die Beklagte habe s�mtliche personenbezogenen Daten der Kl�gerseite aus und in Verbindung mit dem kl�gerischen „f.“-Account in die Vereinigten Staaten von Amerika (USA). Dies sei rechtwidrig, da die USA kein der DSGVO entsprechendes Schutzniveau gew�hrleisten w�rden. Die Daten der Klagepartei seien dem Zugriff der us-amerikanischen Geheimdienste zug�nglich. Eine Einwilligung habe die Klagepartei nicht erteilt. Dadurch seien bei der Klagepartei ein Gef�hl des Kontrollverlustes und der st�ndigen �berwachung entstanden..

8 Die Klagepartei st�tzt die geltend gemachten Auskunftsanspr�che auf Art. 15 DSGVO, die Schadensersatzanspr�che auf Art. 82 DSGVO.

9 Die Klagepartei beantragt zuletzt,

1.Die Beklagte wird verurteilt, an die Klagepartei einen immateriellen Schadensersatz, dessen H�he in das Ermessen des Gerichts gestellt wird, den Betrag von 1.500,00 € aber nicht unterschreiten sollte, nebst Zinsen in H�he von 5%-Punkten �ber den jeweiligen Basiszinssatz seit Rechtsh�ngigkeit zu zahlen.

2.Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klagepartei alle materiellen k�nftigen Sch�den zu ersetzen, die der Klagepartei durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3.Die Beklagte wird verurteilt, der Klagepartei Auskunft �ber die personenbezogenen Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empf�nger zu welchem Zeitpunkt bei der Beklagten durch eine „Scraping“-Anwendung des Kontaktimporttools erlangt werden konnten.

4.Die Beklagte wird verurteilt, an die Klagepartei f�r die Nichterteilung einer den gesetzlichen Anforderungen entsprechenden au�ergerichtlichen Datenauskunft i.S.d. Art. 15 DSGVO einen weiteren immateriellen Schadensersatz, dessen H�he in das Ermessen des Gerichts gestellt wird, den Betrag von 1.000,00 € aber nicht unterschreiten sollte, nebst Zinsen in H�he von 5%-Punkten �ber den jeweiligen Basiszinssatz seit Rechtsh�ngigkeit zu zahlen.

5.Die Beklagte wird verurteilt, an die Klagepartei einen immateriellen Schadensersatz f�r die unbefugte Daten�bertragung in die USA dessen H�he in das Ermessen des Gerichts gestellt wird, den Betrag von 1.000,00 € aber nicht unterschreiten sollte, nebst Zinsen in H�he von 5%-Punkten �ber den jeweiligen Basiszinssatz seit Rechtsh�ngigkeit zu zahlen.

6.Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klagepartei alle materiellen k�nftigen Sch�den zu ersetzen, die der Klagepartei durch die unbefugten Daten�bertragung der personenbezogenen Daten in die USA, entstanden sind und/oder noch entstehen werden.

7.Die Beklagte wird verurteilt, die Klagepartei von den au�ergerichtlich entstandenen Kosten f�r die anwaltliche Rechtsverfolgung in H�he von € 1.134,55 nebst Zinsen in H�he von 5%-Punkten �ber den jeweiligen Basiszinssatz ab Rechtsh�ngigkeit freizustellen.

10 Die Beklagte beantragt,

Klageabweisung.

11 Sie r�gt die Unbestimmtheit der Klageantr�ge und fehlendes Feststellungsinteresse der Klagepartei. Einen Datenschutzversto� stellt die Beklagte in Abrede. Die durch „Scraping“ erlangten Daten seien ohnehin �ffentlich einsehbar gewesen. Die Transparenzpflichten w�rden durch die Beklagte erf�llt. Alle Nutzer w�rden �ber die Einstellungsm�glichkeiten zur Wahrung ihrer Privatsph�re (insb. Zielgruppenauswahl und Suchbarkeitseinstellungen) entsprechend der Datenrichtlinie der Beklagten hinl�nglich informiert. Zweck der „f.“-Plattform sei es, andere Personen zu finden und mit ihnen in Kontakt zu treten, was durch eine Voreinstellung der Suchbarkeitseinstellungen auf „Freunde“ statt „Alle“ konterkariert werde. Die Beklagte ergreife auch angemessene technische und organisatorische Ma�nahmen gegen nach ihren Richtlinien verbotenes „Scraping“ (u.a. �bertragungsbegrenzungen und Bot-Erkennung sowie Captchas) und entwickle diese laufend weiter. Gleichwohl lasse sich „Scraping“ nicht verhindern, zumal von den T�tern Umgehungsstrategien gegen die �bertragungsbeschr�nkungen entwickelt w�rden. Eine Melde- oder Benachrichtigungspflicht habe nicht bestanden. Auskunft �ber ihre Datenverarbeitungst�tigkeit habe die Beklagte vorgerichtlich erteilt, zu einer Auskunft �ber die Datenverarbeitungst�tigkeit Dritter sei die Beklagte nicht verpflichtet. Eine Kopie der durch das „Scraping“ abgerufenen Rohdaten werde von der Beklagten nicht vorgehalten. Eine sp�rbare Beeintr�chtigung habe die Klagepartei nicht erlitten; ein Kontrollverlust oder Unwohlsein stellten keinen Schaden dar.

12 Die �bermittlung von Daten durch die Beklagte an die M, Inc. in den USA erfolge auf Grundlage von Kapitel V DSGVO, des Angemessenheitsbeschlusses der Kommission 2023 und der Standardvertragsklauseln 2010 und 2021. „f.“ sei ein globaler Dienst, weswegen ein grenz�berschreitender Datenaustausch zur Vertragserf�llung erforderlich sei.

13 Das Gericht hat zur Sache am 10.06.2024 m�ndlich verhandelt und die Klagepartei informatorisch angeh�rt .

14 Zur Erg�nzung und Vervollst�ndigung des Tatbestandes wird auf die gewechselten Schrifts�tze nebst Anlagen sowie die Sitzungsniederschrift Bezug genommen.

Gründe

15 Die teilweise unzul�ssige Klage ist vollumf�nglich unbegr�ndet.

A.

16 Die Klage ist nur teilweise zul�ssig.

I. Zust�ndigkeit

17 Das Landgericht Passau ist international nach Art. 79 Abs. 2 S. 2, 82 Abs. 6 DSGVO und �rtlich nach � 44 Abs. 1 S. 2 BDSG zust�ndig. Die sachliche Zust�ndigkeit ergibt sich infolge r�geloser Einlassung aus � 39 S. 1 ZPO.

II. „Scraping-Vorfall“

18 1. Der Streitgegenstand des geltend gemachten Schadensersatzanspruchs ist durch den kl�gerischen Vortrag hinreichend bestimmt, � 253 Abs. 2 Nr. 2 ZPO. Die Klagepartei hat klargestellt, dass sie den geltend gemachten Anspruch nicht alternativ, sondern kumulativ auf das Verhalten der Beklagten vor dem streitgegenst�ndlichen Vorfall im Sinne der Nichteinhaltung gebotener Sicherungsvorkehrungen einerseits und dasjenige nach dem streitgegenst�ndlichen Vorfall im Sinne unzureichender Information der Betroffenen andererseits st�tzt. Damit hat sie beide Vorw�rfe zu einem einheitlich zu bewertenden (� 287 ZPO!) Lebenssachverhalt verbunden. Einer betragsm��igen Aufteilung des geltend gemachten Anspruchs auf beide Vorw�rfe bedurfte es somit nicht. Die Klage ist insoweit hinl�nglich bestimmt.

19 2. Der auf die Feststellung der Ersatzpflicht der Beklagten gegen�ber der Klagepartei f�r k�nftige Sch�den gerichtete Antrag ist nicht hinreichend bestimmt gem. � 253 Abs. 2 Nr. 2 ZPO. Der Antrag bezieht sich auf „k�nftige Sch�den“, „die der Klagepartei (…) entstanden sind und/oder noch entstehen werden.“ Auch unter Ber�cksichtigung der Klagebegr�ndung und des Vorbringens in der Replik ist f�r das Gericht nicht zu erkennen, ob sich der Antrag nur auf k�nftige Sch�den oder auch bereits entstandene, aber ggfs. noch nicht bekannte Sch�den erstrecken soll.

20 3. Hinsichtlich des Feststellungsantrags besteht auch kein ausreichendes Feststellungsinteresse (� 256 Abs. 1 ZPO). Ein Feststellungsinteresse ist zu verneinen, wenn aus der Sicht des Gesch�digten bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (BGH NJW-RR 2007, 601). Der „Scraping“-Vorfall liegt mittlerweile �ber vier Jahre und die angebliche Ver�ffentlichung der kl�gerischen Daten �ber zwei Jahre zur�ck. Mit Ausnahme der Telefonnummer handelt es sich um Daten, die die Klagepartei selbst zur Ver�ffentlichung bestimmt hat. Ein k�nftiger, den behaupteten Pflichtverletzungen der Beklagten zurechenbarer Schaden ist bei dieser Sachlage vern�nftigerweise nicht zu erwarten.

III. Daten�bermittlung in die USA

21 1. Der auf die Feststellung der Ersatzpflicht der Beklagten gegen�ber der Klagepartei f�r k�nftige Sch�den gerichtete Antrag ist nicht hinreichend bestimmt gem. � 253 Abs. 2 Nr. 2 ZPO. Auf die obigen Ausf�hrungen unter Ziffer II. 2. wird zur Begr�ndung Bezug genommen.

22 2. Hinsichtlich des Feststellungsantrags besteht auch kein ausreichendes Feststellungsinteresse (� 256 Abs. 1 ZPO). Ein Feststellungsinteresse ist zu verneinen, wenn aus der Sicht des Gesch�digten bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (BGH NJW-RR 2007, 601). Welcher Schaden der Klagepartei dadurch entstehen soll, dass die Beklagte rechtswidrig Daten in die USA �bermitteln sollte, ist f�r das Gericht nicht vorstellbar und wird auch nicht plausibel dargelegt.

23 Im �brigen ist die Klage zul�ssig.

B.

24 Die Klage ist – soweit sie unzul�ssig ist: jedenfalls auch – unbegr�ndet.

I. Scraping-Vorfall

25 1. Die Klagepartei hat keinen Schadensersatzanspruch gegen die Beklagte aus Art. 82 Abs. 1 DSGVO.

26 a) Es fehlt bereits an einem relevanten Versto� gegen die Bestimmungen der DSGVO.

27 aa) Die Verarbeitung der kl�gerischen Daten ist rechtm��ig im Sinne von Art. 6 DSGVO.

28 (1) Zum einen hat die Klagepartei in die Datenverarbeitung (Art. 4 Nr. 2 DSGVO) durch die Beklagte eingewilligt (Art. 6 Abs. 1 Buchst. a, Art. 7 DSGVO). Die Einwilligung erfolgte auch freiwillig und in informierter Weise (Art. 4 Nr. 11 DSGVO). Das Gericht kann Vorw�rfen der Klagepartei, die Datenschutzhinweise und -einstellungen auf „f.“ seien nicht hinl�nglich transparent (Art. 5 Abs. 1 Buchst. a DSGVO), nicht folgen. Es werden auf „f.“ umfangreiche Hinweise und Bedienungshilfen bereitgestellt, mittels derer sich der Nutzer �ber s�mtliche Einstellungsm�glichkeiten und deren Datenschutzrelevanz informieren kann. Hierbei stehen laut kl�gerischem Vortrag insbesondere im Rahmen der Seite „Privatsph�re auf einen Blick“ Informationen dar�ber bereit, wie andere Personen den Nutzer auf F. finden k�nnen. Die Information der Beklagten „Nur du kannst deine Nummer sehen“ ist insofern nicht irref�hrend. Die Telefonnummer wird zum Zeitpunkt der Angabe derselben nicht �ffentlich angezeigt. Tats�chlich besteht ein Unterschied darin, ob bestimmte Daten sichtbar sind, also f�r eine Person aus dem in der Zielgruppenauswahl bestimmten Personenkreis, die ein Profil aufruft, unmittelbar einsehbar sind, oder ob der Nutzer anhand dieser Daten aufgefunden werden kann, was voraussetzt, dass diese Daten der suchenden Person bereits bekannt sind. Dass Zielgruppenauswahl und Suchbarkeitseinstellungen voneinander getrennt sind, ist daher nachvollziehbar. Die Beklagte informiert die Nutzer von Anfang an hinl�nglich �ber die von ihr vorgenommene Datenverarbeitung und gen�gt damit ihrer Pflicht zur leicht zug�nglichen Bereitstellung der entsprechenden Informationen. Die tats�chliche Kenntnisnahme obliegt dabei der Klagepartei. Was daran nicht verst�ndlich sein soll, dass alle einen Nutzer anhand seiner Telefonnummer „finden“ k�nnen, erschlie�t sich dem Gericht nicht. Die M�glichkeit, durch Dritte gefunden zu werden und somit auch die M�glichkeit, dass ein missbr�uchliches „Erraten“ der Telefonnummer stattfinden k�nnte, war daher f�r die Klagepartei ebenso ersichtlich wie f�r die Beklagte. Soweit die Klagepartei die Verletzung von Informationspflichten aus Art. 13, 14 DSGVO r�gt, ist aus dem kl�gerischen Vortrag nicht ersichtlich, welche der dort konkret aufgez�hlten Informationen der Klagepartei nicht erteilt worden sein sollen.

29 (2) Zum anderen ist die Datenverarbeitung f�r die Erf�llung des Vertrags zwischen den Parteien erforderlich (Art. 6 Abs. 1 Buchst. b DSGVO). Die Nutzung des „Contact-Import-Tools“ wird Nutzern im Rahmen der Nutzung von „f.“ freigestellt. Gibt der Nutzer, wie hier, seine Telefonnummer jedoch unter Einwilligung zur Nutzung des „Contact-Import-Tools“ an, so ist die Verarbeitung derselben im Rahmen dieses Tools gerade denknotwendig zur Erf�llung der resultierenden Vertragsvereinbarung, von anderen auf „f.“ gefunden zu werden. Bez�glich der �brigen, von der Klagepartei selbst ver�ffentlichten Daten, ist das Vorhalten dieser Nutzerdaten gerade der Zweck des zwischen den Parteien bestehenden Vertragsverh�ltnisses. Eine soziale Plattform wie „f.“ dient dazu, es den Nutzern zu erm�glichen, Daten miteinander auszutauschen. Zu diesem Zweck m�ssen diese von der Beklagten denknotwendig verarbeitet werden.

30 bb) Ein Versto� gegen das Transparenzgebot (Art. 5 Abs. 1 Buchst. a DSGVO) ist nicht gegeben (s. bereits oben unter Buchst. aa).

31 cc) Es liegt auch kein Versto� gegen Art. 25 Abs. 2 DSGVO (Datenschutz durch datenschutzfreundliche Voreinstellung) vor.

32 (1) Nach Art. 25 Abs. 2 S. 1 DSGVO hat der Verantwortliche geeignete technische und organisatorische Ma�nahmen zu treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung f�r den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden, wozu nach Art. 25 Abs. 2 S. 2 DSGVO auch die Zug�nglichkeit der Daten geh�rt. Ma�stab f�r die Auswahl der Ma�nahmen ist die Erforderlichkeit f�r den Verarbeitungszweck. Der Verarbeitungszweck kann dabei im Rahmen der Vorgaben des Art. 5 Abs. 1 Buchst. b DSGVO frei gew�hlt werden. Es ist daher nicht zu verlangen, dass der Verantwortliche stets die jeweils denkbar datenschutzfreundlichste Voreinstellung trifft. Der Verantwortliche entscheidet vielmehr durch die Festlegung eines bestimmten Verarbeitungszweckes auch �ber den Umfang der daf�r erforderlichen Daten (Ehmann/Selmayr/Baumgartner, 2. Aufl. 2018, DS-GVO Art. 25 Rn. 18).

33 (2) Soweit die Suchbarkeitseinstellungen anhand der Telefonnummer als Voreinstellung im ma�geblichen Zeitpunkt (2018/2019) „Alle“ vorgesehen haben, war dies nicht zu beanstanden, weil der Zweck eines „sozialen Netzwerks“ generell und insbesondere des „Contact-Import-Tools“ nur dadurch erreicht werden kann, dass Nutzer dieses Netzwerks von anderen auch gefunden werden k�nnen. Wenngleich ein Auffinden auch �ber die manuelle Suche m�glich ist, geschieht dies am effektivsten �ber die Telefonnummer, weil diese eine eindeutige Identifikation der Person erm�glicht, w�hrend dies beim Namen nicht der Fall ist. Wer sich als neuer Nutzer bei „f.“ anmeldet, kann selbst noch keine „Freunde“ haben und noch nicht der „Freund“ eines anderen Nutzers sein. Eine Voreinstellung auf „nur Freunde“ oder „Freunde von Freunden“ ergibt daher keinen Sinn. Wenn die Beklagte die Erforderlichkeit der Voreinstellung „Alle“ bei den Suchbarkeitseinstellungen bez�glich der Telefonnummer als f�r den Verarbeitungszweck erforderlich qualifiziert hat, liegt diese Entscheidung jedenfalls im Rahmen des Vertretbaren.

34 (3) Art. 25 Abs. 2 S. 3 DSGVO konkretisiert die Anforderungen dahingehend, dass insbesondere sichergestellt sein muss, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von nat�rlichen Personen zug�nglich gemacht werden. Diese Vorschrift ist jedoch auf die Suchbarkeitseinstellungen bez�glich der Telefonnummer auf „f.“ schon konzeptionell nicht anwendbar, weil die Suchbarkeit des Nutzers �ber seine Telefonnummer voraussetzt, dass der Suchende die Telefonnummer, nach der mittels des „Contact-Import-Tools“ gesucht wird, bereits kennt bzw. in seinen Telefonkontakten abgespeichert hat. Nichts anderes gilt, wenn die Nummer durch maschinelles Ausprobieren erraten wird. Denn auch dann wird die Nummer nicht durch die Beklagte „einer unbestimmten Zahl von nat�rlichen Personen“ zug�nglich gemacht, sondern nur derjenigen, die die Nummer bereits erraten hat. Dass diese Person die Daten dann unbefugt weiterverarbeitet, ist jedoch nicht der Beklagten zuzurechnen, sondern stellt ein allgemeines Lebensrisiko dar, welches die Klagepartei zu tragen hat, zumal sie selbst die M�glichkeit hatte, diesen Missbrauch durch �nderung der Suchbarkeitseinstellung (zum streitgegenst�ndlichen Zeitpunkt auf: „nur Freunde“) zu verhindern. Es f�llt nicht in den Schutzbereich der Verarbeiterpflichten nach der Datenschutzgrundverordnung, ein Datum (hier: Telefonnummer) vor jemandem geheim zu halten, der es ohnehin bereits kennt.

35 dd) Auch ein Versto� gegen Art. 32, 25 Abs. 1, 5 Abs. 1 Buchst. f DSGVO durch die Beklagte ist nicht gegeben. Die Klagepartei kann sich nicht darauf berufen, die Beklagte habe nicht die erforderlichen Ma�nahmen ergriffen, um den Schutz der kl�gerischen Daten zu gew�hrleisten.

36 (1) Die vom „Scraping“-Vorfall nach kl�gerischer Behauptung betroffenen Daten waren – mit Ausnahme der Telefonnummer – nach dem Willen der Klagepartei ohnehin bereits �ffentlich sichtbar. Dass diese �ffentlich sichtbaren Daten von Dritten kopiert und an anderer Stelle abgespeichert und ver�ffentlicht werden, ist ein Risiko, welches jeder, der seine Daten auf „f.“ �ffentlich macht, kennt und in Kauf nimmt. Soweit dies entgegen den Nutzungsbedingungen der Beklagten maschinell und massenhaft erfolgt („Scraping“), geh�rt dies zum allgemeinen Lebensrisiko, das der Nutzer zu tragen hat. Bereits �ffentlich zug�ngliche Daten m�ssen nicht vor dem Zugriff unbefugter Dritter gesch�tzt werden. Diese sind vom Schutzbereich des Art. 32 DSGVO nicht erfasst (s. bereits o. Ziff. 1. a) cc) (3) der Entscheidungsgr�nde).

37 (2) Die Telefonnummer der Klagepartei war zwar auf dem „f.“-Profil der Klagepartei nicht �ffentlich sichtbar, aufgrund der Suchbarkeitseinstellungen war jedoch das Profil anhand der Telefonnummer auffindbar. Dies ist die Folge der freiverantwortlichen Entscheidung der Klagepartei, die eigene Telefonnummer �berhaupt bei „f.“ zu hinterlegen (was zur Anmeldung nicht erforderlich ist) und die diesbez�glich voreingestellte Suchbarkeitseinstellung „Alle“ nicht abzu�ndern. Infolgedessen war es nach kl�gerischem Vortrag unbekannten Dritten m�glich, durch maschinelles Ausprobieren beliebiger Telefonnummern die Telefonnummer der Klagepartei deren „f.“-Profil und den dort ver�ffentlichen Daten zuzuordnen. Auch das findet seine Ursache darin, dass die Klagepartei zur Verwendung ihrer Telefonnummer als Suchkriterium eingewilligt und damit den unbekannten Dritten diese M�glichkeit er�ffnet hat. F�r Schutzma�nahmen seitens der Beklagten bestanden – unabh�ngig davon, dass die Beklagte solche ergriffen zu haben behauptet – jedenfalls vor dem Zeitpunkt des Bekanntwerdens des „Scraping-Vorfalls“ (ex ante) keine Veranlassung. Wie die Beklagte zutreffend ausf�hrt, ist f�r den Umfang der Schutzma�nahmen nach Art. 32 DSGVO zudem eine Risikoabw�gung erforderlich, die insbesondere die Art der Daten und die Wahrscheinlichkeit sowie die m�glichen Folgen des Bekanntwerdens derselben miteinbezieht. Zum einen handelt es sich bei keinem der von der Klagepartei genannten Daten um besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO. Zum anderen sind durch das Bekanntwerden der Telefonnummer keine schwerwiegenden Nachteile f�r die Klagepartei zu erwarten. In Anbetracht dessen hat die Beklagte ihren Pflichten gen�gt, indem sie die Klagepartei auf die m�glichen Einstellungen und ihre Folgen hingewiesen hat. Mehr war von der Beklagten im damaligen Zeitpunkt nicht zu erwarten (so im Ergebnis auch LG Essen GRUR-RS 2022, 34818).

38 ee) Die Pflichten zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbeh�rde (Art. 33 DSGVO) bzw. zur Benachrichtigung der hiervon betroffenen Person (Art. 34 DSGVO) bzw. die Auskunftspflicht nach Art. 15 DSGVO fallen nicht in den Schutzbereich des Art. 82 DSGVO, da es sich um keine Pflichten im Rahmen der Datenverarbeitung (Art. 82 Abs. 2 S. 1 DSGVO), sondern um dieser nachgelagerte Pflichten handelt (Gola/Heckmann, Art. 82 Rn. 5; Ehmann/Selmayr Art. 82 Rn. 8). Jedenfalls kann durch etwaige Verletzung dieser Pflichten der Klagepartei kein zus�tzlicher Schaden entstanden sein, nachdem der „Scraping“-Vorfall sich bereits ereignet hatte und der Klagepartei ohnehin keine effektiven Mittel zur Verf�gung standen, der weiteren Verbreitung der Daten zu begegnen.

39 ff) Sofern die Datenschutzbeh�rden einen Versto� der Beklagten gegen die Bestimmungen der DSGVO bejahen sollte, entfaltet diese keine jedenfalls Bindungswirkung f�r das Gericht.

40 b) Der Klagepartei ist zudem kein kausaler Schaden entstanden. Beweisbelastet f�r den Eintritt eines durch einen Versto� gegen die DSGVO verursachten Schadens ist nach allgemeinen Grunds�tzen die Klagepartei. Entgegen der Auffassung der Klagepartei resultiert dabei kein Schaden aus der blo�en Verletzung der DSGVO, sondern diese muss zu einer tats�chlichen Beeintr�chtigung der Klagepartei f�hren (vgl. EuGH, Urt. v. 4.5.2023 – C-300/21). Der Nachweis eines kausalen Schadens ist auch nach dem Beweisma�stab des � 287 ZPO nicht gef�hrt. Die pers�nliche Anh�rung der Klagepartei hat ergeben, dass diese geh�uft dubiose Anrufe und Kurzmitteilungen erh�lt. Ihre Telefonnummer hat die Klagepartei auch bei anderen Dienstleistern hinterlegt. F�r einen kausalen Zusammenhang mit dem durch den „Scraping“-Vorfall nach kl�gerischem Vortrag ver�ffentlichen Datensatz gibt es keinen Beleg. So ist es allgemein bekannt, dass auch Personen, die nicht bei „f.“ angemeldet sind oder dort zumindest keine Telefonnummer hinterlegt haben, von Anrufen und Nachrichten, wie sie die Klagepartei beschreibt, geplagt werden. Soweit kl�gerseits ein Gef�hl des Unwohlseins und Kontrollverlustes behauptet wird, bleibt der kl�gerische Vortrag so allgemein, dass daraus ein konkreter, der gerichtlichen Bewertung zug�nglicher Schaden nicht abgeleitet werden kann. Zwar ist der Schadensbegriff weit zu verstehen, er muss jedoch auch wirklich „erlitten“, das hei�t „sp�rbar“ und objektiv nachvollziehbar sein.

41 Woraus dieser Schaden konkret r�hren soll, ist aus dem Vortrag der Klagepartei nicht zu entnehmen.

42 2. Der Antrag auf Feststellung der Ersatzpflicht bez�glich k�nftiger Sch�den ist auch unbegr�ndet. Es fehlt bereits an einem Versto� gegen die Vorschriften der DSGVO, der Grundlage eines Schadensersatzanspruchs sein k�nnte (s.o. Ziff. 1. a). Jedenfalls ist nicht ersichtlich, welcher k�nftige, auf eine Pflichtverletzung der Beklagten zur�ckzuf�hrende Schaden der Klagepartei entstehen k�nnen sollte.

43 3. Die Klagepartei hat auch keinen weiteren Auskunftsanspruch gegen die Beklagte aus Art. 15 DSGVO. Allgemein bekannt kann sich jeder „f.“-Nutzer die bez�glich seiner Person gespeicherten Daten herunterladen. Im vorgerichtlichen Schreiben vom 27.11.2023 (Anlage wird die Vorgehensweise nochmals beschrieben. Der Anspruch auf Datenkopie aus Art. 15 Abs. 3 DSGVO ist damit erf�llt, � 362 Abs. 1 BGB. Die weiteren Informationen nach Art. 15 Abs. 1 DSGVO finden sich in der �ffentlich zug�nglichen und als Anlage B20 vorgelegten Datenrichtlinie der Beklagten, sodass auch der darauf gerichtete Anspruch erf�llt ist. Im Schreiben vom 27.11.2023 (Anlage hat die Beklagte dar�ber hinaus (�berobligatorisch) auch die ihr zur Verf�gung stehenden Informationen zu dem „Scraping“-Vorfall mitgeteilt. Einen Anspruch auf Auskunft �ber die Datenverarbeitungst�tigkeit Dritter (n�mlich der T�ter) hat die Klagepartei gegen die Beklagte nicht. Im �brigen ist auch nicht schl�ssig dargetan, was die Beklagte �ber die von ihr mitgeteilten Informationen hinaus diesbez�glich wissen, aber nicht preisgeben sollte.

44 4. Da die Beklagte ihre Auskunftspflicht nicht verletzt hat, hat die Klagepartei auch keinen Anspruch auf Schadensersatz wegen Nichterteilung der Auskunft aus Art. 82 DSGVO. Im �brigen ist auch insoweit nicht ersichtlich, worin der Schaden der Klagepartei liegen sollte.

II. Daten�bermittlung in die USA

45 1. Der Klagepartei stehen auch keine Anspr�che gegen die Beklagte im Zusammenhang mit den behaupteten Vorw�rfen im Zusammenhang mit der Daten�bermittlung in die USA zu.

46 a) Eine rechtswidrige Daten�bermittlung kann das Gericht nicht erkennen. Die Plattform „f.“ und der M-Konzern stammen aus den USA. „F.“ ist als globale Plattform konzipiert. Um dieses weltweite Netzwerk unterhalten zu k�nnen, m�ssen zwangsl�ufig Daten international ausgetauscht werden. Dass in diesem Zusammenhang auch Daten durch die Beklagte in die USA �bermittelt werden, liegt folglich nahe. Dieses Erfordernis ist auch unabh�ngig davon, ob die Klagepartei mit USamerikanischen „f.“-Nutzern „befreundet“ ist oder nicht. Denn allein die Suche nach Nutzern in anderen Rechtsgebieten kann nur funktionieren, wenn ein grenz�berschreitender Datenaustausch stattfindet. All dies muss jedem „f.“-Nutzer, auch der Klagepartei, hinl�nglich bekannt sein. Die Klagepartei hat keinen Anspruch darauf, dass „f.“ dergestalt betrieben wird, dass s�mtliche Daten in Europa gespeichert und verarbeitet werden im Sinne eines rein europ�ischen „f.“. Die unternehmerische Entscheidung des Betreibers der Plattform „f.“, Daten in den Vereinigten Staaten von Amerika zu verarbeiten, ist von den Nutzern hinzunehmen, zumal niemand dazu gezwungen wird, die Plattform „f.“ zu nutzen.

47 b) Die Daten�bermittlung ist daher grunds�tzlich zur Vertragserf�llung erforderlich, Art. 6 Abs. 1 Buchst. b DSGVO.

48 c) Die Voraussetzungen f�r die Daten�bermittlung in Drittl�nder nach Kapitel V DSGVO werden von der Beklagten eingehalten.

49 aa) Aktuell erfolgt die Daten�bermittlung aufgrund des Angemessenheitsbeschlusses der Kommission vom 10.07.2023. Dieser stellt eine taugliche Grundlage f�r die Daten�bermittlung dar, Art. 45 Abs. 3 DSGVO. Eine weitergehende �berpr�fung der Angemessenheit des Schutzniveaus er�brigt sich dadurch.

50 bb) F�r den vorangegangenen Zeitraum stellen die von der Kommission erlassenen Standardvertragsklauseln 2010 und 2021 in Verbindung mit Art. 46 Abs. 1, Abs. 2 Buchst. c) DSGVO eine ausreichende Rechtsgrundlage dar. Nach Art. 46 Abs. 1 DSGVO m�ssen den Betroffenen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verf�gung stehen, um ein dem EU-Recht gleichwertiges Schutzniveau zu gew�hrleisten. Wieso in den Vereinigten Staaten von Amerika kein gleichwertiger Rechtsschutz zur Verf�gung gestellt werden k�nne, ist nicht zu erkennen.

51 cc) Schlie�lich ist die Daten�bermittlung, wie bereits oben unter Buchst. a) ausgef�hrt, zur Vertragserf�llung erforderlich und damit auf Grundlage von Art. 49 Abs. 1 S. 1 b DSGVO zul�ssig.

52 dd) Soweit Datenschutzbeh�rden abweichende Auffassungen vertreten, sind diese f�r das Gericht nicht bindend.

53 d) Soweit US-Regierungsbeh�rden einschlie�lich der Geheimdienste von M, Inc., nach USamerikanischem Recht Ausk�nfte verlangen k�nnen, ist dies Folge der rechtm��igen Daten�bermittlung in den Herrschaftsbereich der Vereinigten Staaten von Amerika. Diese M�glichkeit steht der Gew�hrleistung eines im Wesentlichen gleichen Schutzniveaus nicht entgegen, da sie auch unter europ�ischem Datenschutzregime nach Art. 6 Abs. 1 Buchst. c DSGVO (Erf�llung einer rechtlichen Verpflichtung) zul�ssig w�re. Falls der Betroffene von einer etwaigen Auskunft an die Geheimdienste nicht informiert wird, ist dies gerechtfertigt, weil zum einen eine Geheimhaltungspflicht nach USamerikanischem Rechts besteht und es sich zum anderen um ihrem Wesen nach geheimhaltungsbed�rftige Informationen handelt, Art. 23 DSGVO i.V.m. � 29 Abs. 1 S. 2 BDSG. Es versteht sich von selbst, dass die Information, ob und welche Ausk�nfte an Geheimdienste erteilt werden, ihrem Wesen nach geheimhaltungsbed�rftig ist.

54 2. F�r einen Schadensersatzanspruch aus Art. 82 DSGVO fehlt es zudem an einem kausalen Schaden der Klagepartei. Hinsichtlich der Daten�bermittlung in die Vereinigten Staaten von Amerika machte die Klagepartei im Rahmen ihrer informatorischen Anh�rung keine Angaben zu etwaigen Belastungen. Ob und in welchem Umfang Daten der Klagepartei tats�chlich dorthin �bermittelt wurden, ist nicht feststellbar. F�r einen konkreten Schaden der Klagepartei ist daher nichts ersichtlich.

III. Vorgerichtliche Kosten

55 Mangels zuzusprechender Hauptforderung besteht auch kein Anspruch auf Erstattung vorgerichtlicher Rechtsverfolgungskosten.

C.

56 I. Die Kostenentscheidung beruht auf � 91 ZPO.

57 II. Die vorl�ufige Vollstreckbarkeit ergibt sich aus � 709 ZPO.

58 III. Die Streitwertfestsetzung beruht auf �� 39 Abs. 1, 43 Abs. 1, 48 Abs. 1 S. 1 GKG, 3 ZPO.

59 Das Gericht bewertet die Antr�ge wie folgt:

Ziffer Wert (€)

1. 1.500,-

2. 500,-

3. 500,-

4. 1.000,-

5. 1.000,-

6. 500,-

Leitsatz

Im Rahmen der Datenverarbeitung besteht ein Unterschied darin, ob bestimmte Daten innerhalb eines sozialen Netzwerks sichtbar sind, also f�r eine Person aus dem in der Zielgruppenauswahl bestimmten Personenkreis, die ein Profil aufruft, unmittelbar einsehbar sind, oder ob der Nutzer anhand dieser Daten aufgefunden werden kann, was voraussetzt, dass diese Daten der suchenden Person bereits bekannt sind. Der Anbieter eines sozialen Netzwerks hat die Nutzer in angemessener Weise �ber die Verarbeitung der von ihnen gespeicherten Daten zu informieren, wobei die tats�chliche Kenntnisname der durch ihn in angemessener Weise zur Verf�gung gestellten Informationen in den Verantwortungsbereich des jeweiligen Nutzers f�llt. (Rn. 28) (redaktioneller Leitsatz)

Leitsatz

Nach Art. 25 Abs. 2 S. 1 DSGVO hat der Verantwortliche geeignete technische und organisatorische Ma�nahmen zu treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung f�r den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden, wozu nach Art. 25 Abs. 2 S. 2 DSGVO auch die Zug�nglichkeit der Daten geh�rt. Ma�stab f�r die Auswahl der Ma�nahmen ist die Erforderlichkeit f�r den Verarbeitungszweck. Der Verarbeitungszweck kann dabei im Rahmen der Vorgaben des Art. 5 Abs. 1 lit. b DSGVO frei gew�hlt werden. Es ist daher nicht zu verlangen, dass der Verantwortliche stets die jeweils denkbar datenschutzfreundlichste Voreinstellung trifft. Der Verantwortliche entscheidet vielmehr durch die Festlegung eines bestimmten Verarbeitungszweckes auch �ber den Umfang der daf�r erforderlichen Daten. (Rn. 32) (redaktioneller Leitsatz)

Leitsatz

F�r den Umfang der Schutzma�nahmen nach Art. 32 DSGVO ist eine Risikoabw�gung erforderlich, die insbesondere die Art der Daten und die Wahrscheinlichkeit sowie die m�glichen Folgen des Bekanntwerdens derselben miteinbezieht. (Rn. 37) (redaktioneller Leitsatz)

Leitsatz

Die Pflichten zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbeh�rde bzw. zur Benachrichtigung der hiervon betroffenen bzw. die Auskunftspflicht nach Art. 15 DSGVO fallen nicht in den Schutzbereich des Art. 82 DSGVO, da es sich um keine Pflichten im Rahmen der Datenverarbeitung, sondern um dieser nachgelagerte Pflichten handelt. (Rn. 38) (redaktioneller Leitsatz)

titelzeile

Kenntnisnahme von Datenverarbeitungsinformationen sozialer Netzwerke obliegt dem jeweiligen Nutzer