projets
1 U 1/24•OLG Brandenburg 1. Zivilsenat, 2026-03-02, 1 U 1/24
1 U 1/24Tribunal supérieur / Ire chambre civile2 mars 2026
Entscheidungsdatum: 2026-03-02
Aktenzeichen: 1 U 1/24
ECLI: ECLI:DE:OLGBB:2026:0302.1U1.24.00
Dokumenttyp: Urteil
I.
Der Kläger nimmt die Beklagte auf Schadensersatz wegen geltend gemachter Verstöße gegen datenschutzrechtliche Vorschriften in Anspruch.
Die in Frankreich ansässige Beklagte vertreibt elektronische Geldbörsen für Krypto-Währungen, sogenannte Hardware-Wallets. Sie unterhält hierzu einen Onlineshop, der über die Internetseite www. … zugänglich ist. Die technische Infrastruktur für den Onlineshop stellt die E-Commerce-Plattform … (Plattform01) (im Folgenden: … (Plattform01)) zur Verfügung. Die Beklagte erhebt beim Verkauf über den Shop von ihren Kunden deren Namen, E-Mail-Adresse, Telefonnummer und Postadresse. Gespeichert werden die Daten in einer Datenbank von … (Plattform01), wo die für den Support zuständigen Mitarbeiter auf sie zugreifen können.
Die Beklagte steht zudem in vertraglicher Beziehung zum Unternehmen … (Incorporated01) (im Folgenden: … (Incorporated01)), das eine Marketingplattform anbietet, über die Unternehmen individualisierte Nachrichten per E-Mail, SMS, mobiler Push-Benachrichtigung oder In-App-Benachrichtigung an ihre Kunden senden können. … (Incorporated01) unterhält hierzu eine Datenbank mit Kundendaten, die sich aus der Datenbank von … (Plattform01) speist. Der Datentransfer erfolgt mit Hilfe einer sog. API-Schnittstelle (application programming interface). Die Schnittstelle ist Teil eines Computerprogramms von … (Incorporated01), über welches die Daten in einem standardisierten Format übergeben und abgerufen werden können. Die Konfiguration der Schnittstelle wurde im Auftrag der Beklagten von der Online-Agentur … (Agency01) (im Folgenden: … (Agency01)) vorgenommen, welche auf die Einrichtung und Konfiguration von Onlineshops spezialisiert ist. Die … (Agency01) wurde hierbei von dem Unternehmen … (Group01) (im Folgenden: … (Group01)) überwacht, einem Spezialisten für Website-Design und die Entwicklung im E-Commerce-Bereich.
Im Verlauf des Jahres 2020 kam es in zwei Fällen zur Übertragung von Kundendaten der Beklagten an Unberechtigte, wobei sich darunter jeweils auch Daten des Klägers befanden, der bereits am 23. Februar 2019 ein Hardware-Wallet über den Onlineshop der Beklagten erworben hatte. Er hatte dabei seinen Namen, den Namen seiner Arbeitgeberin (… (GmbH01)) eine Adresse in Berlin, seine private Mobiltelefonnummer und seine private E-Mail-Adresse (…) eingegeben.
Im ersten Fall der Übertragung von Kundendaten nutzte ein Support-Mitarbeiter von … (Plattform01) in der Nacht vom 17. auf den 18. April 2020 und am 18. Juni 2020 unberechtigt den für ihn bestehenden Zugang, griff auf die Datensätze von mehr als 200 … (Plattform01)-Großkunden - darunter die Beklagte - für eigene Zwecke zu und exportierte diese. Im zweiten Fall nutzten unbekannte Hacker eine fehlerhafte Konfiguration der API-Schnittstelle zwischen … (Plattform01) und … (Incorporated01) in der Zeit vom 25. bis 28. Juni 2020 zu einem Angriff auf die Datenbank von … (Incorporated01) und die Kundendaten u.a. der Beklagten. Die Daten aus dem zweiten Fall wurden anschließend auf einer Internetseite veröffentlicht und standen dort für jedermann zum Download zur Verfügung.
Mit seiner am 13. Dezember 2021 zugestellten Klage hat der Kläger zuletzt die Zahlung von Schadensersatz und die Feststellung begehrt, dass die Beklagte zum Ersatz aller künftigen materiellen Schäden verpflichtet ist. Zwischen den Parteien ist insbesondere streitig, ob die von der Beklagten ergriffenen Schutzmaßnahmen in Bezug auf die gespeicherten Kundendaten den Anforderungen der Art. 24 Abs. 1, Art. 32 Abs. 1 DSGVO entsprochen haben.
Mit Zustimmung der Parteien hat das Landgericht mit Beschluss vom 17. Oktober 2023 das schriftliche Verfahren gemäß § 128 Abs. 2 ZPO angeordnet, einen Hinweis erteilt und den Zeitpunkt, bis zu dem Schriftsätze eingereicht werden können, auf den 23. November 2023 bestimmt.
Das Landgericht hat die Klage mit Urteil vom 14. Dezember 2023 abgewiesen. Zur Begründung hat es im Wesentlichen ausgeführt, der Kläger habe sich - trotz entsprechenden Hinweises - nicht dazu geäußert, ob bzw. inwieweit die über seinen den Namen hinausgehenden Angaben im streitgegenständlichen Datensatz „… “ seine persönlichen Daten als Privatperson betreffen oder aber als Daten der … (GmbH01) zu qualifizieren seien. Sein mit Schriftsatz vom 24. November 2023 erfolgter Vortrag, wonach es sich bei der angegebenen Versandadresse um die Adresse seines Arbeitgebers (der … (GmbH01)) und bei der Handynummer um eine gleichermaßen dienstlich wie privat genutzte Nummer handele, habe wegen der Versäumung der Schriftsatzfrist nach § 296a ZPO keine Berücksichtigung finden können. In der Folge stehe vertraglichen Ansprüchen bereits entgegen, dass ein Vertragsschluss durch den Kläger selbst - und nicht etwa die … (GmbH01) - nicht schlüssig dargetan sei; im Übrigen fehle es an der Darlegung eines Datenabflusses in Bezug auf persönliche Daten gerade des Klägers. Hinsichtlich des Feststellungsantrags sei bereits das Feststellungsinteresse zweifelhaft, da materielle Schäden bislang nicht eingetreten seien.
Gegen dieses Urteil wendet sich der Kläger, der mit der Berufungsbegründung zunächst erklärt, jedenfalls die im entwendeten Datensatz angegebene E-Mail-Adresse und Mobilnummer seien ihm zuzuordnen. Es gelte überdies besonders zu berücksichtigen, dass die Veröffentlichung dieser Daten im unmittelbaren Zusammenhang mit der Beklagten und dem von ihr vertriebenen Hardware-Wallet erfolgt sei, weshalb die von ihm erfolgte Anlage in Kryptowährung bekannt sei.
Der Kläger beantragt - nach teilweiser Rücknahme des mit der Berufungsschrift weiter gefassten Feststellungsantrags - zuletzt,
unter Abänderung des Urteils des Landgerichts Frankfurt (Oder) vom 14. Dezember 2023 in der Fassung des Berichtigungsbeschlusses vom 10. Januar 2024
Die Beklagte beantragt,
die Berufung des Klägers zurückzuweisen.
Sie verteidigt die erstinstanzliche Entscheidung und vertieft ihren Vortrag, zu den von ihr vorgenommenen Schutzmaßnahmen und einer daraus resultierenden Haftungsbefreiung nach Art. 82 Abs. 3 DSGVO.
II.
Die ohne Weiteres zulässige Berufung des Klägers hat in der Sache keinen Erfolg.
A. Die Klage ist zulässig, insbesondere sind die deutschen Gerichte für den geltend gemachten Schadensersatzansprüche aus Art. 82 DSGVO international zuständig, da der Kläger als die von einem möglichen Verstoß gegen Regelungen der DSGVO betroffene Person seinen gewöhnlichen Aufenthalt in Deutschland hat, Art. 82 Abs. 6 i.V.m. Art. 79 Abs. 2 Satz 2 DSGVO.
Ferner ist der Feststellungsantrag zulässig, da das insoweit erforderliche Feststellungsinteresse nicht verneint werden kann. Dieses liegt bereits dann vor, wenn die bloße Möglichkeit des künftigen Eintritts des geltend gemachten materiellen Schadens vorliegt; eine darüber hinausgehende hinreichende Schadenswahrscheinlichkeit ist nicht erforderlich. Dies gilt jedenfalls im hier vorliegenden Fall, in dem es nicht um reine Vermögensschäden geht, sondern um Schäden, die aus der Verletzung des Rechts des Klägers auf informationelle Selbstbestimmung gemäß Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG bzw. seines Rechts auf Schutz der personenbezogenen Daten gemäß Art. 8 GRCh resultieren (BGH, Urteil vom 11. November 2025 - VI ZR 396/24 - Rn. 43 m.w.N, juris).
Daran gemessen ist es jedenfalls nicht völlig fernliegend, dass der Kläger - nachdem sein Name und seine Kontaktdaten infolge der streitgegenständlichen Veröffentlichung im Internet frei abrufbar waren und er im Ergebnis seiner persönlichen Anhörung durch den Senat in der Vergangenheit erheblichen Betrugsversuchen ausgesetzt war - auch zukünftig Mails mit betrügerischen Inhalten erhält und dies zu einem materiellen Schaden führt. Ob dem Kläger in diesem Fall der Beweis gelingen wird, dass dies gerade auf die streitgegenständlichen Datenschutzverstöße zurückzuführen ist, ist im Rahmen der Feststellungsklage ohne Belang, sondern erst für den Erfolg einer etwaigen späteren Leistungsklage entscheidend (BGH, a.a.O, Rn. 45-47, juris)
B. Die Klage ist jedoch – sowohl hinsichtlich der Leistungsklage als auch bezüglich des Feststellungsantrags – unbegründet, da dem Kläger ein Schadensersatzanspruch gegen die Beklagte schon dem Grunde nach unter keinem rechtlichen Gesichtspunkt zusteht.
a) Ein Schadensersatzanspruch im Sinne des Art. 82 Abs. 1 DSGVO erfordert einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind. Die Darlegungs- und Beweislast für diese Voraussetzungen trifft grundsätzlich die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines (immateriellen) Schadens verlangt. Nicht nachzuweisen hat die betroffene Person im Rahmen eines Schadensersatzanspruches nach Art. 82 Abs. 1 DSGVO ein Verschulden des Verantwortlichen. Art. 82 DSGVO sieht vielmehr eine Haftung für vermutetes Verschulden vor, die Exkulpation obliegt nach Art. 82 Abs. 3 DSGVO dem Verantwortlichen (BGH, Urteil vom 11. November 2025 – VI ZR 396/24 –, Rn. 13 unter Hinweis auf insbesondere EuGH, Urteil vom 4. Oktober 2024 – C-200/23 –, Rn. 140 f. und Urteil vom 11. April 2024 – C-741/21 –, Rn. 44 f., jeweils juris).
b) An diesem Maßstab gemessen, sind die Voraussetzungen für einen Schadensersatzanspruch weder in Bezug auf die Entwendung von Daten durch einen Mitarbeiter des Unternehmens … (Plattform01) noch aufgrund des Zugriffs unbekannter Dritter auf Kundendaten der Beklagten über eine fehlerhaft programmierte API-Schnittstelle erfüllt.
aa) Dabei scheidet ein Anspruch des Klägers nicht schon deshalb aus, weil bereits eine Betroffenheit seiner eigenen persönlichen Daten und ein daraus resultierender Schadenseintritt nicht erkennbar wäre.
Der Kläger hat vielmehr mit der Berufungsbegründung vorgetragen, dass der in der Datenbank hinterlegte Kundendatensatz neben seinem Namen auch seine private Telefonnummer und seine private E-Mail-Adresse umfasse. Da dieser Vortrag unbestritten geblieben ist, ist er im Rahmen der Berufung zu berücksichtigen (BGH, Urteil vom 31. Mai 2022 – X ZR 41/20 -; MüKoZPO/Rimmelspacher, 7. Aufl. 2025, ZPO § 531 Rn. 30, beck-online). Der Vortrag zur Adresse, die dem Kläger zuzuordnen sei bzw. sich „hilfsweise“ eine Zuordnung nicht feststellen lasse, ist wegen seiner Widersprüchlichkeit demgegenüber unbeachtlich.
bb) Fest steht auch ein Verstoß gegen die Verordnung im Sinne von Art. 82 Abs. 1 DSGVO, für den nicht mehr als die „unbefugte Offenlegung“ von oder den „unbefugten Zugang“ zu personenbezogenen Daten im Sinne von Art. 4 Nr. 12 DSGVO erforderlich ist (vgl. OLG Karlsruhe, Urteil vom 7. November 2023 - 19 U 23/23 -Rn. 43). Ein solcher liegt sowohl in dem Verhalten des Mitarbeiters von … (Plattform01), der den für ihn bestehenden Zugang unberechtigt nutzte, um auf Datensätze der Beklagten für eigene Zwecke zuzugreifen, als auch im Zugriff unbekannter Hacker auf die bei … (Incorporated01) hinterlegten Kundendaten der Beklagten über die API-Schnittstelle.
cc) Dem Anspruch steht jedoch in beiden Fällen entgegen, dass die Beklagte gemäß Art. 82 Abs. 3 DSGVO von der Haftung befreit ist.
(1) Nach dieser Regelung ist Voraussetzung einer Haftungsbefreiung das Erbringen eines Nachweises dafür, in keinerlei Hinsicht für den Umstand verantwortlich zu sein, durch den ein Schaden eingetreten ist oder eintreten könnte. Die konkreten Anforderungen für den Nachweis, dass die erforderliche Sorgfalt beachtet wurde, hängen von den Umständen des Einzelfalls ab.
So kann sich der Anspruchsverpflichtete etwa entlasten, indem er darlegt und ggf. beweist, dass er die am Maßstab des Stands der Technik und im Verkehr, d.h. am allgemeinen Schutzinteresse orientierte erforderliche Sorgfalt im Sinne von § 276 Abs. 2 BGB angewendet hat (BeckOK DatenschutzR/Quaas, 54. Ed. 1. November 2025, DS-GVO Art. 82 Rn. 18, beck-online). Dies wiederum erfordert, dass der Datenschutzverstoß keine Folge eines Versäumnisses ist, angemessene und in jedem Fall geeignete technische und organisatorische Maßnahmen zu ihrer Verhinderung zu ergreifen, wie sie insbesondere Art. 24 und 32 DSGVO verlangen (so auch OLG München, Beschluss vom 21. Februar 2025 – 3 U 3523/24 e –).
Die Art. 24 und 32 DSGVO schreiben dem Verantwortlichen dabei vor, technische und organisatorische Maßnahmen zu treffen, die darauf gerichtet sind, jede Verletzung des Schutzes personenbezogener Daten so weit wie möglich zu verhindern. Die Geeignetheit solcher Maßnahmen ist konkret zu bewerten, indem geprüft wird, ob der Verantwortliche diese Maßnahmen unter Berücksichtigung der verschiedenen in den genannten Artikeln aufgeführten Kriterien und der Datenschutzbedürfnisse getroffen hat, die speziell mit der betreffenden Verarbeitung sowie den davon ausgehenden Risiken verbunden sind.
Aus Art. 32 Abs. 1 und 2 DSGVO ergibt sich, dass die Geeignetheit solcher technischen und organisatorischen Maßnahmen in zwei Schritten zu beurteilen ist. Zum einen sind die von der betreffenden Verarbeitung ausgehenden Risiken einer Verletzung des Schutzes personenbezogener Daten und ihre möglichen Folgen für die Rechte und Freiheiten natürlicher Personen zu ermitteln. Zum anderen ist zu prüfen, ob die vom Verantwortlichen getroffenen Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke dieser Verarbeitung diesen Risiken angemessen sind (EUGH, Urteil vom 14. Dezember 2023 - C-340/21 - Rn. 42, juris).
Demgegenüber können die Art. 24 und 32 DSGVO - anders als der Kläger meint - aber nicht dahin verstanden werden, dass eine unbefugte Offenlegung von bzw. ein unbefugter Zugang zu personenbezogenen Daten durch einen Dritten für die Schlussfolgerung ausreicht, dass die von dem für die betreffende Verarbeitung Verantwortlichen ergriffenen Maßnahmen nicht im Sinne dieser Bestimmungen geeignet waren, ohne dass ihm die Möglichkeit eingeräumt wird, den Gegenbeweis zu erbringen. Dieser Auffassung steht bereits der Wortlaut des Art. 24 DSGVO entgegen, der ausdrücklich vorsieht, dass der Verantwortliche den Nachweis dafür erbringen können muss, dass die von ihm umgesetzten Maßnahmen im Einklang mit der DSGVO stehen; diese Möglichkeit bliebe ihm verwehrt, wenn eine unwiderlegbare Vermutung angenommen würde (zum Maßstab eingehend EuGH, Urteil vom 14. Dezember 2023 – C-340/21 –, Rn. 22 ff., juris)
(2) Auf dieser Grundlage ist zunächst festzustellen, dass es sich bei den geleakten Daten nicht um hochsensible Daten wie Kontoverbindungen, Gesundheitsdaten oder Geschäftsgeheimnisse handelt, die per se der Geheimhaltung unterliegen, sondern lediglich um den Namen, die Anschrift, die Telefonnummer und die E-Mail-Adresse der Kunden, welche von diesen regelmäßig im üblichen Geschäftsverkehr als Identifizierungsmerkmal verwendet und mitgeteilt werden. Gerade die Telefonnummer ist ein Datum, das nach seiner Zweckbestimmung dem Betroffenen ermöglichen soll, in Kontakt mit anderen, identifizierbaren Personen zu treten und das daher im täglichen Leben auch solchen anderen Personen oft in großem Umfang zugänglich gemacht wird (OLG Hamm, Urteil vom 28. November 2024 - I-7 U 52/24 - Rn. 38, juris).
Entgegen der Auffassung des Klägers sind die hier veröffentlichten Daten auch in Verbindung mit dem Umstand, dass sie in der Datenbank eines Herstellers und Händlers von Hardware-Wallets enthalten sind, nicht als höchst sicherheitsrelevante Informationen anzusehen, zumal Kryptowährungen auch im Jahr 2020 schon durchaus verbreitet waren (Kammergericht, Urteil vom 20. November 2025 - 26 U 81/23 -).
(3) Ausgehend davon sind die von der Beklagten ergriffenen technischen und organisatorischen Maßnahmen geeignet und ausreichend, um die ihr von ihren Kunden erhobenen personenbezogener Daten so weit wie möglich zu schützen. Im Einzelnen:
(a) In Bezug auf Entwendung von Daten durch einen Mitarbeiter des Unternehmens … (Plattform01) ist dabei zunächst einzustellen, dass sich die Beklagte eines selbständigen Dienstleisters bedienen durfte, um ihren Onlineshop zu führen. Ob … (Plattform01) in diesem Zusammenhang als Auftragsverarbeiter der Beklagten i.S.d. Art. 4 Nr. 8 DSGVO einzustufen ist, kann dahinstehen, weil auch … (Plattform01) keinem Fahrlässigkeitsvorwurf ausgesetzt ist.
Die Beklagte selbst hat bei Auswahl und Kontrolle des Dienstleisters mit der gebotenen Sorgfalt im Sinne des Art. 32 DSGVO gehandelt, denn sie hat mit … (Plattform01) - unstreitig - den Marktführer für Online-Shop-Systeme gewählt, der sich ihr gegenüber vertraglich zur Einhaltung der DSGVO verpflichtet hat (so auch OLG München, Beschluss vom 25. März 2025 - 20 U 41/24/23 e -).
Um eine Entwendung der Daten zu verhindern, auf welche ihre Mitarbeiter im Rahmen der Ausübung der Tätigkeit im Kundensupport Zugriff haben mussten, hat … (Plattform01) die Mitarbeiter ihres Kundensupports – unstreitig – einer eingehenden Prüfung unterzogen, welche neben der Prüfung der fachlichen Qualifikation auch die Überprüfung früherer Tätigkeiten sowie eine Einsicht in das Führungszeugnis umfasste.
Diese Maßnahmen der Überprüfung von Mitarbeitern erscheinen angemessen und ausreichend, um die Daten des hier in Rede stehenden Schutzniveaus – wie sie in faktisch jedem Unternehmen, jeder Behörde oder jeder Rechtsanwaltskanzlei mit Kundenkontakt vorliegen – zu sichern. Ein „Vier-Augen-Prinzip“ oder eine Freigabe durch Vorgesetzte kann … (Plattform01) entgegen der Auffassung des Klägers nicht abverlangt werden. Bei Mitarbeitern im Support, welche bei den Anfragen von Kunden permanent auf deren - nicht besonders sensible - Daten zurückgreifen müssen, würden solche Prinzipien dazu führen, dass jede Anfrage stets von zwei Mitarbeitern durchzuführen wäre. Dies wäre ein unverhältnismäßiger Zeit- und Kostenaufwand (ebenso OLG München, Urteil vom 21. Februar 2025 – 3 U 3523/24 e, OLG München, Beschluss vom 25. März 2025 – 20 U 41/24/23 e, Kammergericht, Urteil vom 5. November 2025 - 26 I 81/23 -), der im Übrigen auch sonst in keinem Unternehmen üblich ist.
Dabei gilt es auch zu berücksichtigen, dass ein das kriminelle Verhalten eines Mitarbeiters ausschließender Schutz durch den Arbeitgeber schlechterdings nicht möglich ist. Der Fall des sog. Mitarbeiterexzesses, bei dem ein Mitarbeiter Daten für eigenen Zwecke missbraucht oder entwendet, führt deshalb – wenn die Mitarbeiter wie hier sorgfältig ausgewählt sind – nicht zur Haftung des nach der DSGVO Verantwortlichen oder seines Auftragsdatenverarbeiters. Anerkannt ist vielmehr, dass der Mitarbeiter durch diese Form der Datenverarbeitung selbst zum Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO wird und in der Folge unmittelbar gegenüber den von seinem Verstoß Betroffenen haftet (so etwa in einem Bußgeldverfahren gegen einen Polizisten, bei dienstlich nicht veranlasster Datenabfrage OLG Stuttgart, Beschluss vom 25. Februar 2025 – 2 ORbs 16 Ss 336/24 –, juris; Becker in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Art. 82 EUV 2016/679, Rn. 15, juris).
(b) Hinsichtlich des zweiten Vorfalls, bei dem unbekannte Hacker eine fehlerhafte Konfiguration des API-Schlüssels für einen Angriff auf die Kundendaten der Beklagten nutzten, gilt es hinsichtlich der verschiedenen Beteiligten zu unterscheiden.
Die Beklagte muss sich insoweit zunächst nicht ein etwaiges Verschulden der … (Agency01) bzw. ihrer Mitarbeiter bei der Konfiguration der Schnittstelle zurechnen lassen. Nach überwiegender Auffassung haftet ein Verantwortlicher im Sinne des Art. 82 DSGVO zwar auch für Fehler von Auftragsverarbeitern. Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Diese Voraussetzungen erfüllt … (Agency01) nicht. Der Kläger hat zwar vorgetragen, der Einbau der API-Schnittstelle habe … (Agency01) einen Vollzugriff auf die Kundendatenbank sowie die darin befindlichen personenbezogenen Daten ermöglicht, so dass … (Agency01) in die gesamte Kundendatenbank der Beklagten habe einsehen können. Die Beklagte ist diesem Vortrag jedoch substantiiert entgegengetreten und hat ihrerseits vorgebracht, dass im Zeitpunkt der Implementierungsarbeiten durch … (Agency01) keine echten Kundendaten in der Datenbank enthalten gewesen sein. Hierzu hat sich der Kläger nicht weiter erklärt. Soweit er ausgeführt hat, … (Agency01) sei mit den Daten jedenfalls im Rahmen späterer Beauftragung in Berührung gekommen, macht sie dies nicht rückwirkend zur Auftragsverarbeiterin (Kammergericht, Urteil vom 20. November 2025 - 26 U 81/23 -).
Eine Verantwortlichkeit der Beklagten aus anderen Gründen ist nicht erkennbar. Sie durfte sich ohne Verstoß gegen die DSGVO auch fremder Hilfe zur Programmierung der API-Schnittstelle bedienen. Ein Verschulden käme insoweit nur in Betracht, wenn sie … (Agency01) unsorgfältig ausgesucht hätte. Davon ist vorliegend nicht auszugehen. Nach dem jedenfalls nicht in beachtlicher Weise bestrittenen Vortrag der Beklagten handelt es sich bei … (Agency01) um ein Unternehmen, das von… (Plattform01) als sog. „Plus-Partner“ empfohlen wurde. Dieses Etikett erhielten Unternehmen, die besondere Erfahrung mit der … (Plattform01)-Plattform und dem E-Commerce-Bereich hatten und von… (Plattform01), dem Marktführer für Online-Shops, empfohlen wurden. Die Beklagte durfte hiernach darauf vertrauen, mit … (Agency01) ein kompetentes und zuverlässiges Unternehmen beauftragt zu haben. Sie brauchte auch keinerlei nähere Erkundigungen über … (Agency01) einzuholen. Konkrete Anhaltspunkte, die Anlass zu Zweifeln hätten geben müssen, sind nicht vorgetragen und auch sonst nicht ersichtlich. Eine Nachforschungspflicht bzgl. der Zertifizierung nach Sicherheitsstandards traf sie daher nicht.
Ob die Beklagte die von ihr behaupteten Penetrationstests – d.h. Tests zur Prüfung der Sicherheit von Systembestandteilen mit Mitteln und Methoden, die ein Hacker anwenden würde, um unautorisiert in das System einzudringen – durchgeführt hat und ob diese und das von ihr ins Leben gerufene … (Programm01)-Programm – ein Belohnungssystem zum Auffinden von etwaigen Sicherheitslücken – geeignet waren, den Fehler an der API-Schnittstelle aufzufinden, kann hiernach offenbleiben (so auch Kammergericht, Urteil vom 20. November 2025 - 26 U 81/23 -).
Auch ein vertraglicher Anspruch aus § 280 Abs.1 BGB scheidet aus, da im Ergebnis der vorstehenden Ausführungen jedenfalls feststeht, dass die Beklagte etwaige Pflichtverletzungen nicht zu vertreten hat.
Die Kostenentscheidung beruht auf §§ 97 Abs. 1, 269 Abs. 3 Satz 2 ZPO. Die Entscheidung zur vorläufigen Vollstreckbarkeit findet ihre Grundlage in §§ 708 Nr. 10, 711, 713 ZPO.
Eine Zulassung der Revision ist nicht veranlasst, da weder die Rechtssache grundsätzliche Bedeutung hat noch die Fortbildung des Rechts oder die Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Revisionsgerichts erfordern, § 543 Abs. 2 ZPO.
III.
Der Streitwert wird auf die Wertstufe bis 2.000 € festgesetzt. Die Festsetzung folgt aus § 3 ZPO i.V.m. § 47 GKG, wobei der Senat den Wert des Feststellungsantrags mit 1/3 des Werts des Zahlungsanspruchs bemessen hat.
Connectez Omnilex pour rechercher dans le corpus juridique depuis votre assistant IA.