OLG Stuttgart 4. Zivilsenat — 4 U 194/24 — Urteil

Entscheidungsdatum: 2025-03-19

Aktenzeichen: 4 U 194/24

ECLI: ECLI:DE:OLGSTUT:2025:0319.4U194.24.00

Dokumenttyp: Urteil

Orientierungssatz

1. Grundsätzlich trifft die Klagepartei die Darlegungs- und Beweislast dafür, dass der zeitliche Anwendungsbereich der DSGVO eröffnet ist. Dieser Grundsatz bedarf der Einschränkung, da die Klagepartei als primär darlegungsbelastete Partei außerhalb des maßgeblichen Geschehensablaufs steht und keine Kenntnisse von den maßgeblichen Tatsachen besitzt und den Sachverhalt von sich aus nicht ermitteln kann, während dem Prozessgegner die erforderliche tatsächliche Aufklärung ohne weiteres möglich und auch zuzumuten ist. (Rn.22)

Dem Bestreitenden obliegt im Rahmen der sekundären Darlegungslast auch, zumutbare Nachforschungen zu unternehmen (vgl. u.a. BGH, 5. Oktober 2023, III ZR 216/22). Die „Last“ besteht in der Pflicht, das pauschale Vorbringen des darlegungsbelasteten Gegners (ausnahmsweise) mit weiteren Einzelheiten bestreiten zu müssen. Die Darlegungen müssen so konkret sein, dass der beweisbelasteten Partei eine Widerlegung möglich ist (BGH, 4. Februar 2021, III ZR 7/20). (Rn.22)

Verfahrensgang

vorgehend LG Stuttgart, 13. Mai 2024, 53 O 29/23, Urteil

Tenor

1. Die Berufung des Klägers gegen das Urteil des Landgerichts Stuttgart vom 13.05.2024 – Az. 53 O 29/23 – wird zurückgewiesen.

2. Der Kläger trägt die Kosten des Berufungsverfahrens.

3. Das Urteil des Senats und das in Ziffer 1 genannte Urteil des Landgerichts sind vorläufig vollstreckbar.

4. Die Revision wird nicht zugelassen.

5. Der Streitwert für den Rechtsstreit in beiden Instanzen wird wie folgt festgesetzt:

Gründe

I.

1 Die Parteien streiten um Schadenersatz-, Feststellungs-, Unterlassungs- und Auskunftsansprüche nach der Datenschutzgrundverordnung (künftig: DSGVO) aus einem Scraping-Vorfall auf der Plattform der Beklagten (dem Abgreifen von personenbezogenen Daten aus dem Contact-Importer-Tool der Beklagten), der im April 2021 bekannt geworden ist.

2 Die Klagepartei unterhält ein Nutzerkonto bei der Beklagten, die das soziale Netzwerk ... betreibt. Es kam laut Klagepartei zu einem Abgreifen ihrer persönlichen Daten, wobei das Vorgehen im Detail zwischen den Parteien streitig ist.

3 Mit dem angefochtenen Urteil hat das Landgericht die Klage abgewiesen. Dabei hat das Landgericht hinsichtlich des Zeitraums des Vorfalls keine Feststellungen getroffen.

4 Wegen des Vorbringens der Parteien in erster Instanz, des Verfahrensganges und des Urteilsinhalts wird im Übrigen auf den Tatbestand und die Entscheidungsgründe der angefochtenen Entscheidung Bezug genommen (§ 540 Abs. 1 Nr. 1 ZPO).

5 Gegen das Urteil hat die Klagepartei Berufung eingelegt, wobei sie die erstinstanzlichen Ziele zunächst vollumfassend begehrt hat (Berufungsbegründung) und nach einer teilweise Rücknahme zuletzt mit folgenden Anträgen weiterverfolgt:

6 Das Urteil des Landgericht Stuttgart vom 13.05.2024, Az. 56 O 29/23, wird wie folgt abgeändert:

1.

7 Die Beklagte wird verurteilt, an die Klagepartei einen immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, den Betrag von 500,00 € aber nicht unterschreiten sollte, nebst Zinsen in Höhe von 5 %-Punkten über den jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.

2.

8 Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klagepartei künftige materielle und künftige derzeit noch nicht vorhersehbare immaterielle Schäden zu ersetzen hat, die der Klägerseite durch den unbefugten Zugriff im Zeitraum ab dem 25.05.2018 bis September 2019 auf das Datenarchiv der Beklagten entstehen.

3.

9 Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall, der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu € 250.000,00, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu 6 Monaten, im Wiederholungsfall bis zu 2 Jahren, zu unterlassen,

10 die Telefonnummer der Klagepartei auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert und, im Falle der Nutzung der ..., hier ebenfalls explizit die Berechtigung verweigert wird.

4.

11 Die Beklagte wird verurteilt, der Klagepartei bezüglich der von der Beklagten verarbeiteten persönlichen Daten ihrer Person und an welche Dritte (mit Namen und ladungsfähiger Anschrift) die persönlichen Daten der Klagepartei übertragen wurden per Übersendung an den Kläger Auskunft zu erteilen.

5.

12 Die Beklagte wird verurteilt, an die Klagepartei für die Nichterteilung einer den gesetzlichen Anforderungen entsprechenden außergerichtlichen Datenauskunft i.S.d. Art. 15 DSGVO einen weiteren immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, den Betrag von 500,00 € aber nicht unterschreiten sollte, nebst Zinsen in Höhe von 5 %-Punkten über den jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.

6.

13 Die Beklagte wird verurteilt, die Klagepartei von den außergerichtlich entstandenen Kosten für die anwaltliche Rechtsverfolgung in Höhe von 1.054,10 € nebst Zinsen in Höhe von 5 %-Punkten über den jeweiligen Basiszinssatz ab Rechtshängigkeit freizustellen.

14 Die Beklagte verteidigt das angegriffene Urteil und beantragt,

15 die Zurückweisung der Berufung des Klägers.

16 Wegen des weiteren Vortrags der Parteien wird auf die gewechselten Schriftsätze nebst Anlagen sowie auf das Protokoll der mündlichen Verhandlung Bezug genommen.

II.

17 Die zulässige Berufung der Klagepartei bleibt ohne Erfolg. Es kann nicht ausreichend sicher festgestellt werden, dass der Abgriff der Daten erst nach dem Inkrafttreten der DSGVO (am 25.05.2018) stattgefunden hat.

18 Die Schlüssigkeit einer Klage – dazu gehört auch, ob eine Anspruchsnorm zeitlich überhaupt anwendbar ist – beurteilt sich nach dem klägerischen Vorbringen im Zeitpunkt der letzten mündlichen Tatsachenverhandlung (Zöller/Vollkommer, ZPO, 35. Aufl. 2024, § 300 Rn. 3). Eine Partei ist nicht gehindert, ihr Vorbringen im Laufe des Rechtsstreits zu ändern, insbesondere zu präzisieren, zu ergänzen oder zu berichtigen (BGH, Beschluss vom 24.07.2018, VI ZR 599/16 Rn. 12, WM 2018, 1833 [1834]; BGH, Beschluss vom 21.07.2011, IV ZR 216/09 Rn. 6). Sie ist auch in der Berufungsinstanz nicht an ihr erstinstanzliches Vorbringen gebunden.

19 Eine Partei darf auch nur vermutete Tatsachen vortragen und unter Beweis stellen, wenn sie darüber keine genaueren Kenntnisse hat oder haben kann, sofern sie die Tatsachen nach Lage der Dinge für wahrscheinlich hält (BGH NJW 2021, 1759 [1761 Rn. 18]; BGHZ 216, 245 [257 Rn. 33]). Unzulässig wird ein solches Vorgehen erst dort, wo die Partei ohne greifbare Anhaltspunkte für das Vorliegen eines bestimmten Sachverhalts willkürlich Behauptungen „aufs Geratewohl“ oder „ins Blaue hinein“ aufstellt. Bei der Annahme von Willkür in diesem Sinne ist Zurückhaltung geboten; in der Regel wird sie nur beim Fehlen jeglicher tatsächlichen Anhaltspunkte gerechtfertigt werden können (BGH NJW-RR 2015, 829 [830 Rn. 13]). Erforderlich ist insgesamt, dass klargestellt wird, welche Behauptungen gelten sollen.

20 Ausgehend davon ist der Vortrag der Klagepartei zum Zeitpunkt des Abgriffs ihrer Daten als schlüssig anzusehen, weil im entscheidenden Zeitpunkt der letzten mündlichen Verhandlung klargestellt war, dass die Klägerseite von einem Datenabgriff im Jahr 2019 und damit nach Inkrafttreten der DSGVO ausgeht.

21 Der deswegen als schlüssig zu behandelnde Vortrag führt für sich allein gesehen jedoch nicht dazu, dass von einem Datenabgriff während der zeitlichen Geltung der DSGVO auszugehen ist, denn die Klagepartei trägt für diesen Umstand die Beweislast und hat – nach dem nun gehaltenen sekundären Vortrag der Beklagten - diesen Beweis nicht geführt.

a.

22 Grundsätzlich trifft die Klagepartei die Darlegungs- und Beweislast dafür, dass der zeitliche Anwendungsbereich der DSGVO eröffnet ist. Dieser Grundsatz bedarf der Einschränkung, da die Klagepartei als primär darlegungsbelastete Partei außerhalb des maßgeblichen Geschehensablaufs steht und keine Kenntnisse von den maßgeblichen Tatsachen besitzt und den Sachverhalt von sich aus nicht ermitteln kann, während dem Prozessgegner die erforderliche tatsächliche Aufklärung ohne weiteres möglich und auch zuzumuten ist. Dabei obliegt es dem Bestreitenden im Rahmen der sekundären Darlegungslast auch, zumutbare Nachforschungen zu unternehmen (BGH, Urteil vom 05.10.2023, III ZR 216/22 Rn. 31; BGH, Urteil vom 04.02.2021, III ZR 7/20 Rn. 19, NJW 2021, 1759; BGH BeckRS 2020, 36575 Rn. 26; BGH NJW 2016, 3244 [3245 Rn. 18]; vergleiche auch BGH NJW 1997, 128 [129]; BGH NJW 1996, 315 [317]). Die „Last“ besteht in der Pflicht, das pauschale Vorbringen des darlegungsbelasteten Gegners (ausnahmsweise) mit weiteren Einzelheiten bestreiten zu müssen. Es ist also am Gegner - hier der Beklagten -, Einzelheiten zu der Behauptung des Datenabgriffs im Jahr 2019 darzustellen und sich zumindest substantiiert zu den Behauptungen zu äußern. Der Umfang der sekundären Darlegungslast richtet sich nach den Umständen des Einzelfalls. Die Darlegungen müssen so konkret sein, dass der beweisbelasteten Partei eine Widerlegung möglich ist (BGH, Urteil vom 04.02.2021, III ZR 7/20 Rn. 19, NJW 2021, 1759).

b.

23 Die Beklagte hat der sie treffenden sekundären Darlegungslast mit dem Vorbringen im Schriftsatz vom 05.02.2025 (Blatt 88 ff. eA) genügt. Die Klagepartei bleibt danach für den Zeitpunkt des Abgriffs beweisfällig.

24 Die Beklagte hat auf Hinweis des Senats ergänzend mitgeteilt, dass sie nicht im Besitz der Rohdaten sei, welche die durch das Scraping abgerufenen Daten enthielten und aufgrund der seit dem Sachverhalt vergangenen Zeit würden auch keine Log-Dateien oder Ähnliches vorgehalten, die ihr die Aufklärung ermöglichen könnten, wie der Scraping-Sachverhalt genau abgelaufen sei und wann die Daten der jeweiligen Klagepartei abgegriffen worden seien. Nach den Vorgaben der DSGVO sei sie auch gar nicht berechtigt, derartige Log-Dateien vorzuhalten. Ihr sei daher auch nicht bekannt, wer die Scraper gewesen seien und auch nicht, welches ...-Konto verwendet wurde, um die ... Profile der Nutzer einzusehen.

25 Damit hat die Beklagte der sie treffenden sekundären Darlegungslast genügt und das ihrerseits Erforderliche getan, um den Vortrag der Klagepartei qualifiziert zu bestreiten.

c.

26 Die Klagepartei hat sich insoweit lediglich auf den Standpunkt gestellt, die Beklagte sei ihrer sekundären Darlegungslast nicht hinreichend nachgekommen, jedoch keinen weiteren Vortrag gehalten oder gar tauglichen Beweis angeboten.

27 So ergibt sich aus der Pressemitteilung der Beklagten vom 06.04.2021 (B 10) nicht, dass der Abgriff nur im Jahr 2019 erfolgt sein kann. Darin wird mitgeteilt, dass „böswillige Akteure die Daten vor September 2019 von der Plattform gescrapt “ hätten, in dem sie „den Kontakt-Importer vor September 2019 verwendet“ hätten und „das Problem im Jahr 2019 behoben“ worden sei. Ein Abgriff „vor September 2019“ - von dem zweimal die Rede ist - kann aber bereits im Jahr 2018 geschehen sein, wodurch diese Formulierung hinsichtlich des genauen Zeitpunkts offenbleibt. Auch kann der Beklagten nicht verwehrt werden (insbesondere nach dem Gewinn weiterer tatsächlicher Erkenntnisse) in einem Prozess einen anderen (ergänzten, geänderten, korrigierten) Vortrag zu halten, zumal wenn dies nachvollziehbar damit begründet wird, dass sich der Sachverhalt zum Zeitpunkt der Erstellung der Pressemitteilung noch in der Aufklärung befunden hat und es damals darum gegangen sei, auf verschiedene Medienberichte zeitnah zu reagieren.

28 Die Klagepartei hat insoweit keinen weiteren Sachvortrag gehalten, sondern sich auf den Standpunkt gestellt, es müsse „prozessual“ davon ausgegangen werden, dass die Daten der Klagepartei frühestens im Jahr 2019 gescrapt wurden. Soweit dies damit begründet wird, es könne als sicher angenommen werden, dass die Cyberkriminellen planmäßig vorgegangen seien und die Daten deshalb mit aller Wahrscheinlichkeit in einer bestimmten Reihenfolge gescrapt hätten, bei US-Amerikanern begonnen wurde (Vorwahl +1), vermag dies schon im Ansatz nicht zu überzeugen. Dies ist jedenfalls nicht geeignet, den notwendigen Beweis zum konkreten Abgriffszeitpunkt bei der Klagepartei zu führen. Soweit als Beweismittel dazu der „Augenschein des Datenleck-Datensatzes der Klagepartei“ angeboten wird, ergeben sich daraus keine Anhaltspunkte für den Abgriffszeitpunkt. Die Einholung des angebotenen Sachverständigengutachtens kann ebenfalls unterbleiben, nachdem sich keinerlei Erläuterungen zu den zu treffenden Feststellungen finden, zumal die Klagepartei in ihrem Vortrag selbst nur mit Vermutungen und (hohen) Wahrscheinlichkeiten argumentiert. Soweit „in analoger Anwendung des § 287 ZPO“ das Beweismaß einer „hinreichenden Sicherheit“ - ein dem Senat bisher nicht bekannter Begriff im Bereich des Beweisrechts - für ausreichend angesehen wird, trifft dies nicht zu. Es gilt der Beweismaßstab des § 286 ZPO.

29 Es kann auch nicht von einem Dauerdelikt ausgegangen werden, denn der Abgriff von Daten zu einem bestimmten Profil von dem CIT kann bei einem Treffer bezüglich der Telefonnummer nur zu einem ganz bestimmten Zeitpunkt erfolgen, nämlich dann, wenn der konkrete Datensatz aus dem Tool abgerufen wird. Wurde der Datensatz vor der zeitlichen Geltung des DSGVO abgegriffen, können mögliche Verstöße gegen die Vorschriften der DSGVO dafür nicht ursächlich sein.

30 Die Unaufklärbarkeit geht zu ihren Lasten und führt dazu, dass nicht hinreichend sicher festgestellt werden kann, dass der konkrete Abgriff der Daten nach dem Inkrafttreten der DSGVO zum 25.05.2018 erfolgt ist. Mangels Kenntnis des konkreten Zeitpunktes des Datenabgriffs kann daher weder eine rechtswidrige Verletzungshandlung noch das Bestehen einer für einen Unterlassungsanspruch notwendigen Wiederholungsgefahr mit der erforderlichen Sicherheit festgestellt werden.

III.

31 Die Kostenentscheidung beruht auf § 97, 516 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit hat ihre Grundlage in §§ 708 Nr. 10, 711, 713 ZPO und die Streitwertfestsetzung in §§ 47, 48 GKG.

32 Danach werden die Streitwerte wie folgt festgesetzt:

33 | | | | | | --- | --- | --- | --- | | Gegenstand | Kläger Berufung | Ab 12.03. | | | – | Entschädigung DSGVO-Verstoß | 3.000,00 € | 500,00 € | | – | Feststellung weiterer Ersatzpflicht | 500,00 € | 500,00 € | | – | Unterlassung | 1.500,00 € | 750,00 € | | – | Auskunft | 500,00 € | 500,00 € | | – | Entschädigung Auskunft | 2.000,00 € | 500,00 € | | – | Rechtsanwaltskosten | 0,00 € | 0,00 € | | – | Gesamt | 7.500,00 € | 2.750,00 € |

34 Insbesondere ist eine Höherfestsetzung des Streitwerts für die Unterlassungsanträge unter Berücksichtigung aller Umstände des Einzelfalls, insbesondere des Umfangs und der Bedeutung der Sache und der Vermögens- und Einkommensverhältnisse der Parteien (§ 48 Abs. 2 Satz 1, Abs. 1 GKG, § 3 ZPO) nicht veranlasst (vgl. BGH, Beschluss vom 10.12.2024 – VI ZR 7/24). Nachdem die Berufung vor der mündlichen Verhandlung durch eine Beschränkung der Anträge teilweise zurückgenommen wurde, ist der Streitwert gestaffelt festgesetzt worden.

35 Die Herabsetzung des Streitwerts für das erstinstanzliche Verfahren von Amts wegen beruht auf einer Anwendung von § 63 Abs. 3 S. 1 GKG. Danach kann das Rechtsmittelgericht, wenn das Verfahren wegen der Hauptsache oder wegen der Entscheidung über den Streitwert, den Kostenansatz oder die Kostenfestsetzung in der Rechtsmittelinstanz schwebt, die Festsetzung innerhalb der zeitlichen Grenzen des § 63 Abs. 3 Nr. 2 GKG abändern (OLG Stuttgart, NJW-RR 2020, 255 Rn. 26, Schneider, NJW 2017, 3764 jew. m.w.N). Die Entscheidung bewegt sich innerhalb dieser Grenzen, da das klageabweisende Urteil bislang keine Rechtskraft erlangt hat.

36 Die Revision ist nicht zuzulassen. Da nicht festgestellt werden kann, dass der Abgriff der Daten während der Geltung der DSGVO stattgefunden hat, hat die Sache keine grundsätzliche Bedeutung, sondern es handelt sich um einen Einzelfall. Der Senat setzt sich dabei insbesondere nicht in Widerspruch zu der Entscheidung des Bundesgerichtshofs vom 18.11.2024 (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, GRUR-RS 2024, 31967), in welcher hinsichtlich der Frage der zeitlichen Geltung der DSGVO klargestellt wurde, dass der Zeitpunkt des Scraping-Vorfalls maßgeblich ist und dieser in dem vom Bundesgerichtshof entschiedenen Fall in Bezug auf die dortige Klagepartei nach den bindenden Feststellungen des Berufungsgerichts jedenfalls nicht vor Inkrafttreten der DSGVO stattgefunden hat (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, GRUR-RS 2024, 31967 Rn. 19). Diese Feststellung kann im vorliegenden Verfahren gerade nicht getroffen werden.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.landesrecht-bw.de/perma?d=NJRE001610146