LG M�nchen I 26. Zivilkammer — 2023-03-23 — 26 O 1859/22 — Endurteil

Entscheidungsdatum: 2023-03-23

Aktenzeichen: 26 O 1859/22

Dokumenttyp: Endurteil

Tenor

1. Es wird festgestellt, dass die Beklagte verpflichtet ist, dem Kl�ger alle materiellen k�nftigen Sch�den zu ersetzen, die ihm durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten am 05./06.08.2020 und am 10./11.10.2020 entstanden sind.

2. Im �brigen wird die Klage abgewiesen.

3. Die Kosten des Rechtsstreits tr�gt der Kl�ger.

4. Das Urteil ist f�r die Beklagte – hinsichtlich der Kosten – gegen Sicherheitsleistung in H�he von 110 % des zu vollstreckenden Betrages vorl�ufig vollstreckbar.

Tatbestand

1 Der Kl�ger begehrt von der Beklagten immateriellen Schadensersatz aus Art. 82 I DSGVO und Feststellung der Haftung bez�glich k�nftiger Sch�den aufgrund eines sog. Datenvorfalls.

2 Die Beklagte ist ein Wertpapierinstitut mit Sitz in M�nchen und bietet u.a. als sog. „Robo-Advisor“ ihrer Kundschaft eine digitale Verm�gensverwaltung an. Der Kl�ger ist seit dem 19.06.2020 Kunde der Beklagten und hat ihr im Rahmen der Vertragsbeziehungen folgende personenbezogene Daten anvertraut: Vor- und Nachname, Anrede, Anschrift, E-Mail-Adresse, Handynummer, Geburtsdatum, Geburtsort und Geburtsland, Staatsangeh�rigkeit, Familienstand, steuerliche Ans�ssigkeit und Steuer-ID, IBAN, Ausweiskopie sowie Portraitfoto.

3 Am 15./16.04.2020, 05./06.08.2020 und am 10./11.10.2020 kam es bei der Beklagten jeweils zu einem unbefugten Zugriff Dritter auf elektronisch gespeicherte, personenbezogene Daten im digitalen Dokumentenarchiv; insgesamt wurden aus einem Teil des Dokumentenarchivs 389.000 Datens�tze von 33.200 Kunden kopiert und entwendet. Der Zugriff erfolgte mittels Zugangsdaten zum System der Beklagten, die die Angreifer im Rahmen eines Angriffs auf einen ehemaligen Vertragspartner der Beklagten, die Firma … (im Folgenden: …), erlangt hatten.

4 Die Fa. … ist ein IT-Unternehmen, das Cloud-Dienstleistungen anbietet. Die Beklagte nahm bis Ende 2015 Dienstleitungen von … in Anspruch, daher waren bei … Zugangsinformationen zum IT-System der Beklagten hinterlegt. Die Beklagte hatte diese Zugangsdaten nach Ende der Vertragsbeziehungen im Jahr 2015 bis zum streitgegenst�ndlichen Datenvorfall nicht ge�ndert. Die Angreifer verschafften sich mithilfe dieser Zugangsdaten Zugriff auf einen Teil des Dokumentenarchivs der Beklagten und die darin befindlichen Kundendaten. Die Angreifer sind unbekannt, die Generalstaatsanwaltschaft Bamberg f�hrt unter dem Az…. ein Ermittlungsverfahren. Nach dem streitgegenst�ndlichen Datenvorfall �nderte die Beklagte die Zugangsinformationen.

5 Am 19.10.2020 wurde der Kl�ger durch die Beklagte informiert, dass er von dem Datenvorfall betroffen ist. Dabei wurde ihm mitgeteilt, dass Vor- und Nachname, Anrede, Anschrift, E-Mail-Adresse, Handynummer, Geburtsdatum, Geburtsort und Geburtsland, Staatsangeh�rigkeit, Familienstand, steuerliche Ans�ssigkeit, IBAN, Ausweiskopie sowie ein Portraitfoto des Kl�gers entwendet wurden.

6 Die Beklagte bot den betroffenen Kunden – so auch dem Kl�ger – sowohl ein einj�hriges Abonnement „SchufaPlus“ zur �berwachung der eigenen Finanzdaten an als auch die �bernahme der Kosten f�r einen neuen Personalausweis. Der Kl�ger nahm das Angebot f�r „SchufaPlus“ an.

7 Mit anwaltlichem Schreiben vom 17.09.2021 lie� der Kl�ger die Beklagte u.a. zur Mitteilung auffordern, ob die Beklagte bereit sei, den dem Kl�ger durch den Zugriff auf seine Daten entstandenen immateriellen Schaden zu ersetzen (Anlage K7). Das lehnte die Beklagte ab.

8 Unstreitig waren personenbezogene Daten des Kl�gers, u.a. seine E-Mail-Adresse und seine Telefonnummer, auch bei anderen, rechtswidrigen Datenabgriffen betroffen, wie aus der Anlage B8 ersichtlich.

9 Der Kl�ger tr�gt vor, dass die Beklagte nach Beendigung der Vertragsbeziehungen zur Fa. … die Zugangsdaten zu ihrem Dokumentenarchiv nicht ge�ndert habe, stelle einen Versto� gegen Art. 32 I lit. b) DSGVO dar. Au�erdem habe die Beklagteb ereits vor dem 16.10.2020 Kenntnis vom Datenleck gehabt, so dass die Benachrichtigung vom 19.10.2020 weder zeitlich noch inhaltlich den Anforderungen an eine Benachrichtigung nach Art. 34 DSGVO entspreche.

10 Nach Einsicht in die Ermittlungsakte der Generalstaatsanwaltschaft Bamberg (Az.: … offenkundig, dass die T�ter versucht h�tten, mit gestohlenen Kundendaten Kredite zu erlangen. Zudem w�rden gestohlene Kundendaten, unter anderem die des Kl�gers, im Darknet zum Kauf angeboten.

11 Von dem Datenvorfall sei auch die Steuer-ID des Kl�gers betroffen gewesen. Insgesamt habe er durch den Datenvorfall einen Kontrollverlust �ber seine personenbezogenen Daten erlitten und es bestehe auch die Gefahr eines Identit�tsdiebstahls. Das stelle bereits einen immateriellen Schaden dar, der auf die Verst��e der Beklagten gegen die Art. 32, 34 DSGVO zur�ckzuf�hren sei, so dass er einen Anspruch auf Schadenersatz gem. Art. 82 Abs. 1 DSGVO habe. Tats�chlich sei er auf Grund des Datenvorfalls vermehrt Opfer von Betrugsversuchen geworden, so habe er seither n�mlich �ber 800 Spam-E-Mails sowie einige Spam-SMS von unbekannten Kriminellen erhalten, auch Telefonanrufe von ihm unbekannten Personen.

12 Der Kl�ger ist der Auffassung, er habe deshalb einen Anspruch auf Schadenersatz sowohl f�r den erlittenen immateriellen Schaden, sowie ein Interesse an der Feststellung der Ersatzpflicht f�r materielle Sch�den. Damit der Anspruch auf immateriellen Schadenersatz im unionsrechtlichen Sinne effektiv sei, d�rfe es auch keine Bagatellgrenze geben und der Schaden d�rfe aus diesem Grunde auch nicht zu gering bemessen sein, so dass ein Betrag von mindestens 5.100,00 € erforderlich sei.

13 Der Kl�ger beantragt,

1.die Beklagte zu verurteilen, an die Klagepartei einen Betrag in H�he von mindestens € 5.100,00 nebst Zinsen hieraus in H�he von f�nf Prozentpunkten �ber dem Basiszinssatz seit Rechtsh�ngigkeit zu zahlen,

2.festzustellen, dass die Beklagte verpflichtet ist, der Klagepartei alle materiellen k�nftigen Sch�den zu ersetzen, die der Klagepartei durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten im Zeitraum von April bis Oktober 2020 entstanden sind, und

3.die Beklagte zu verurteilen, der Klagepartei vorgerichtliche Anwaltskosten in H�he von € 859,18 zu erstatten.

14 Die Beklagte beantragt,

die Klage abzuweisen.

15 Die Beklagte tr�gt vor, von dem Datenvorfall seien tats�chlich nur als pdf-Dokumente gespeicherte Kundendaten betroffen gewesen, die aufgrund anderweitiger Vorschriften in dieser Form h�tten archiviert werden m�ssen. Der Datenvorfall sei auch nicht etwa durch L�cken oder M�ngel in den Sicherheitssystemen der Beklagten selbst erfolgt, vielmehr seien die eigenen technischen und organisatorischen Sicherheitsstandards angemessen und ausreichend gewesen. Das habe auch die Datenschutzbeh�rde ausdr�cklich festgestellt.

16 Die Beklagte habe darauf vertrauen d�rfen, dass die Fa. … nach der Vertragsbeendigung die Daten nicht vollst�ndig und dauerhaft l�schen w�rde; das sei auch geschehen, der Hacker-Angriff bei der Fa. … habe tats�chlich einem Back-Up-System gegolten.

17 Bei der Beurteilung des nach Art. 32 Abs. 1 DSGVO erforderlichen Schutzniveaus m�sse auf die Gesamtheit der von der Beklagten ergriffenen technischen und organisatorischen Ma�nahmen abgestellt werden und diese h�tten vorliegend ein dem Risiko angemessenes Schutzniveau erreicht, so dass kein Versto� gegen Art. 32 Abs. 1 DSGVO vorliege, der einen Anspruch auf Schadenersatz gem. Art. 82 Abs. 1 DSGVO zu begr�nden geeignet w�re. Auch die Voraussetzungen des Art. 34 DSGVO seien durch die Mitteilung vom 19.10.2020 erf�llt; davon unabh�ngig falle diese Vorschrift aber selbst unter der Annahme eines Versto�es nicht in den von Art. 82 DSGVO umfassten Schutzbereich.

18 Davon unabh�ngig habe die Beklagte unmittelbar nach Bekanntwerden reagiert, nicht nur durch die Information, sondern auch durch die Angebote zu „Schufa-Plus“ und der Kosten�bernahme f�r einen neuen Personalausweis.

19 Schlie�lich sei dem Kl�ger tats�chlich weder ein immaterieller noch gar ein materieller Schaden entstanden. Soweit er Spam-Nachrichten oder Anrufe �berhaupt erhalten haben sollte, lie�en sich diese nicht urs�chlich auf die streitgegenst�ndlichen Datenvorf�lle zur�ckf�hren, sondern entspr�chen dem allgemeinen Risiko, Adressat solcher Nachrichten zu werden, das bereits durch die Nutzung einer E-Mail-Adresse begr�ndet werde. Solche Nachrichten seien auch lediglich als Unannehmlichkeiten zu werten, die die Schwelle zu einem immateriellen Schaden bereits nicht zu �berschreiten verm�chten.

20 F�r die weiteren Einzelheiten des Sachverhalts und des Parteivorbringens wird auf die gewechselten Schrifts�tze mit Anlagen und auf das Protokoll der m�ndlichen Verhandlung vom 12.01.2023 (Bl. 215/216 d.A.) Bezug genommen.

Gründe

21 Die zul�ssige Klage erweist sich in nur geringem Umfang als begr�ndet. Der Kl�ger hat einen Anspruch auf Schadenersatz dem Grunde nach f�r ihm k�nftig aus den beiden Datenvorf�llen vom August und Oktober 2020 entstehende materielle Sch�den gem. Art. 82 Abs. 1 DSGVO. Ein weitergehender Anspruch besteht demgegen�ber nicht.

I)

22 Die Klage ist zul�ssig.

23 1. Das LG M�nchen I ist gem. �� 1 ZPO, 71 Abs. 1, 23 Nr. 1 GVG sachlich und gem. �� 44 Abs. 1 S. 1 BDSG, 12, 17 ZPO �rtlich zust�ndig.

24 2. Der Klageantrag zu Ziffer 1 ist hinreichend bestimmt im Sinne von � 253 Abs. 2 Nr. 2 ZPO, weil die geltend gemachten Verst��e gegen Art. 32, 34 DSGVO und die geltend gemachten Folgen demselben Lebenssachverhalt unterfallen und dieselben Daten betroffen sind, so dass sie auch im Lichte des Antrags auf Zahlung von 5.100,00 € zuz�glich Zinsen einen einheitlichen Streitgegenstand darstellen, der damit hinreichend bestimmt ist.

25 3. Der Kl�ger hat auch ein gem. � 256 Abs. 1 ZPO erforderliches Interesse an der Feststellung einer Ersatzpflicht f�r k�nftige materielle Sch�den. Eine Klage auf Feststellung der deliktischen Verpflichtung eines Sch�digers zum Ersatz k�nftiger Sch�den ist zul�ssig, wenn die M�glichkeit eines Schadenseintritts besteht (vgl. z.B. OLG M�nchen v. 20.11.2015 – Az.: 10 U 707/15 – Rz. 4; alle Entscheidungen, auch im Folgenden und soweit nicht anders gekennzeichnet, zitiert nach juris-Datenbank; vgl. auch Bacher, Beck'scher Online-Kommentar zur ZPO, 47. Edition, Stand 01.12.2022, � 256 Rz. 24). Diese M�glichkeit ist vorliegend gegeben, da die Angreifer immer noch Zugriff auf die Daten des Kl�gers haben. Dass dem Kl�ger seit dem Datenvorfall 2020 keine materiellen Sch�den entstanden sind, vermag daran nichts zu �ndern, da keine hinreichende Wahrscheinlichkeit eines Schadens erforderlich ist, sondern die immer noch bestehende M�glichkeit ausreicht. Etwas anderes g�lte erst dann, wenn aus Sicht des Kl�gers bei verst�ndiger W�rdigung gar kein Grund mehr best�nde, mit dem Eintritt eines Schadens wenigstens zu rechnen (OLG M�nchen v. 20.11.2015 – Az.: 10 U 707/15 – Rz. 7, Rn. 4).

II)

26 Die Klage ist jedoch in nur geringem Umfang begr�ndet.

27 1. Der Kl�ger hat keinen Anspruch auf einen immateriellen Schadenersatz in H�he von 5.100,00 € gem. Art. 82 Abs. 1 DSGVO. Denn auch wenn die Beklagte, indem sie die Zugangsinformationen f�r die Fa. … nach Beendigung der vertraglichen Beziehungen nicht �nderte und somit gegen Art. 32 Abs. 1 DSGVO verstie�, so ist dem Kl�ger doch kein urs�chlich auf die streitgegenst�ndlichen Datenvorf�lle zur�ckzuf�hrender, immaterieller Schaden entstanden, der gem. Art. 82 Abs. 1 DSGVO ersatzf�hig w�re.

28 1.1 Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Versto�es gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen. Verantwortlicher im Sinne der DSGVO ist gem. Art. 4 Nr. 7 DSGVO jede nat�rliche oder juristische Person, Beh�rde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen �ber die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Personenbezogene Daten sind gem. Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, wobei eine nat�rliche Person als identifizierbar angesehen wird, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identit�t dieser nat�rlichen Person sind, identifiziert werden kann.

29 1.2 Die Beklagte ist Verantwortliche im Sinne von Art. 82 Abs. 1, 4 Nr. 7 DSGVO, weil sie Kundendaten im Rahmen des Anmeldeprozesses abfragt und in einem Datenarchiv abspeichert. Auch sind die von den streitgegenst�ndlichen Daten vorf�llen erfassten Daten personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO, weil sie den Kl�ger identifizierbar machen.

30 1.3 Die Beklagte hat gegen Art. 32 Abs. 1 DSGVO versto�en.

31 1.3.1 Nach Art. 32 Abs. 1 DSGVO sind Verantwortliche (i.S.v. Art. 4 Nr. 7 DSGVO) verpflichtet, geeignete technische und organisatorische Ma�nahmen zu treffen, um ein dem Risiko f�r die Rechte und Freiheiten der von der Datenverarbeitung betroffenen Personen angemessenes Schutzniveau zu garantieren. Art. 5 Abs. 1 lit. f. DSGVO erg�nzt den Aspekt der Vertraulichkeit, dass die Daten vor unbefugter und unrechtm��iger Verarbeitung durch geeignete technische und organisatorische Ma�nahmen zu sch�tzen sind. Dabei h�ngen die konkret zu ergreifenden Schutzma�nahmen von der Bedeutung der Daten f�r die Rechte und Interessen der betroffenen Personen ab (Schantz in Wolff/Brink, Beck'scher Online-Kommentar zum Datenschutzrecht, 42. Edition, 01.11.2021, Art. 5 Rz. 35).

32 1.3.2 Indem die Beklagte die Zugangsdaten nach Beendigung der Vertragsbeziehung mit der Fa. … nicht �nderte, sch�tzte sie die Daten nicht angemessen vor einer unbefugten oder unrechtm��igen Verarbeitung.

33 Die Beklagte speicherte die personenbezogenen Daten des Kl�gers – als pdf-Dateien verschriftlichter Dokumente – in einem Datenarchiv. Den Zugangsschl�ssel zu ihrem Datenarchiv hatte sie zun�chst w�hrend der Dauer der bestehenden Zusammenarbeit bei der Fa. … gespeichert. Doch auch nach Beendigung der Vertragsbeziehung mit der Fa. … �nderte die Beklagte den Zugangsschl�ssel nicht ab und unternahm auch keine anderen Schritte um sicherzustellen, dass der Zugangsschl�ssel nicht mehr verwendet werden kann. Dadurch hat sie das Risiko aufrechterhalten, dass durch einen Hacker-Angriff auf die Fa. … auch Daten ihrer Kunden abgegriffen werden k�nnen, ein Risiko, dass durch eine Ab�nderung der Zugangsdaten h�tte minimiert oder gar ausgeschlossen werden k�nnen.

34 Als Verantwortliche im Sinne von Art. 32 Abs. 1, 4 Nr. 7 DSGVO durfte sich die Beklagte auch nicht lediglich darauf verlassen, dass die Fa. … die Zugangsinformationen l�schen w�rde, unabh�ngig davon, ob diese dazu vertraglich verpflichtet war oder nicht. Vor allem aber durfte sie sich auch nicht ohne weiteres darauf verlassen, dass auch alle Sicherungskopien, Back-Ups und sonstigen weiteren Speicherma�nahmen im Hinblick auf den Zugangsschl�ssel vollst�ndig und dauerhaft gel�scht sein w�rden. Allein das Vertrauen der Beklagten in ausreichende Schutzma�nahmen auf Seiten der Fa. … reicht insbesondere vor dem Hintergrund der Sensibilit�t der erlangten, personenbezogenen Daten nicht aus, um ein ausreichendes Schutzniveau behaupten zu k�nnen. Entgegen Art. 5 DSGVO, der ein Ergreifen von Ma�nahmen fordert, hat die Beklagte schlichtweg nichts getan, um nach Vertragsende mit der Fa. … einem Datenmissbrauch vorzubeugen, quasi so als h�tte sie nach Beendigung eines Mietverh�ltnisses der Mieterin den Wohnungsschl�ssel �berlassen und sich nicht darum gek�mmert, was damit passiert.

35 Die Beklagte hat auch nicht hinreichend vorgetragen, warum die Ab�nderung der Zugangsdaten derart aufw�ndig gewesen w�re, dass dies im Verh�ltnis zu dem Risiko f�r die Rechte und Freiheiten ihrer Kunden nicht mehr angemessen gewesen w�re. Insbesondere w�re eine kurzzeitige Nichtverf�gbarkeit der Dienste hinzunehmen gewesen. Tats�chlich war ihre – nach Bekanntwerden der Datenvorf�lle – eine solche Ma�nahme dann auch m�glich. Ber�cksichtigt man zudem, dass die Beklagte durch ihr Verhalten die Datenmissbrauchsm�glichkeit �ber die Fa. … �ber den urspr�nglich gegebenen Umfang erweiterte, indem sie auch die personenbezogenen Daten von Kunden, die die Beklagte erst nach Beendigung der vertraglichen Beziehungen zur Fa. … gewinnen konnte, gleichfalls dem Risiko eines Zugriffs �ber den alten Zugangsschl�ssel aussetzte.

36 Auf Grund hat die Beklagte die grundlegenden, personenbezogenen Daten des Kl�gers nicht ausreichend durch geeignete technische und organisatorische Ma�nahmen vor einem unberechtigten Zugriff gem. Art. 5 Abs. 1 lit. F DSGVO gesch�tzt und damit nicht ausreichend geeignete Ma�nahmen f�r ein angemessenes Schutzniveau im Sinne von Art. 32 Abs. 1 DSGVO ergriffen.

37 1.3.3 Dem steht auch nicht entgegen, dass die Beklagte f�r ihr Informationssicherheitsmanagement eine Zertifizierung nach ISO 27001:2013 des T�V Rheinland erhalten hatte, das Bayerische Landesamt f�r Datenschutzaufsicht (LDA Bayern) keinen Pflichtenversto� feststellte und daher – wie die Beklagte vortr�gt – in einer nach Art. 32 Abs. 1 DSGVO vorzunehmenden Gesamtw�rdigung das Schutzniveau in Anbetracht des Zusammenspiels aller ergriffenen Ma�nahmen als ausreichend zu werten sei. Denn ungeachtet dessen, dass der konkrete Pr�fungsumfang weder des T�V Rheinland noch des LDA Bayern nicht hinreichend dargetan ist, stellt die Einhaltung eines Zertifizierungsverfahrens (Art. 32 Abs. 3 DSGVO) nur einen Aspekt im Rahmen der Abw�gung dar, in die zugleich auch Umfang und Bedeutung der in Frage stehenden personenbezogenen Daten und die Risiken und potenziellen Folgen eines Datenvorfalls einzustellen sind, wie auch Art. 32 Abs. 2 DSGVO deutlich macht. Nach Beendigung der Vertragsbeziehungen die dem fr�heren Vertragspartner zur Verf�gung gestellten Zugangsdaten nicht abzu�ndern, ist in Anbetracht des Umfangs der dadurch betroffenen Daten und des Umstandes, dass es sich um h�chstpers�nliche, private Daten einer gro�en Zahl von Kunden handelt, daher ein wenngleich singul�rer, aber doch im konkreten Fall in seinen Auswirkungen so gravierender Versto�, dass auch in Anbetracht eines ansonsten angemessenen und ausreichenden Schutzkonzeptes eine Verletzung der sich aus Art. 32 Abs. 1, Art. 5 Abs. 1 DSGVO ergebenden Pflichten zu bejahen ist.

38 1.4 Der Versto� gegen Art. 32 Abs. 1 DSGVO – das Absehen von einer �nderung der Zugangsdaten nach Vertragsbeendigung mit der Fa. … – l�sst auch die im Verkehr erforderliche Sorgfalt au�er acht und war damit fahrl�ssig, so dass auch das erforderliche Verschulden auf Seiten der Beklagten zu bejahen ist.

39 1.5 Allerdings ist dem Kl�ger durch die streitgegenst�ndlichen Datenvorf�lle weder ein immaterieller noch ein materieller Schaden entstanden, der eine Ersatzpflicht nach Art. 82 Abs. 1 DSGVO ausl�sen w�rde.

40 1.5.1 Der Anspruch auf Schadenersatz setzt nach dem ausdr�cklichen Wortlaut des Art. 82 Abs. 1 DSGVO voraus, dass dem Betroffenen „wegen eines Versto�es gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist“ (Hervorhebung durch das Gericht). Die Darlegungs- und Beweislast daf�r tritt – den allgemeinen zivilprozessualen Regeln, dass die klagende Partei grunds�tzlich die den Anspruch begr�ndenden Umst�nde beweisen muss – der Kl�ger (vgl. OLG Frankfurt a.M. v. 2.3.2022 – Az.: 13 U 206/20 – Rz. 65 f.; LG M�nchen I v. 09.02.2023 – Az. 5 O 5853/22 – vorgelegt als Anlage B15).

41 1.5.2 Diesen Ma�stab zugrunde gelegt, hat der Kl�ger nicht ausreichend dargetan, dass bei ihm ein materieller oder immaterieller Schaden eingetreten sei. Einen konkreten materiellen Schaden hat er selbst nicht behauptet. Dass die bei dem Datenvorfall erbeuteten personenbezogenen Daten f�r einen Identit�tsdiebstahl tats�chlich verwendet bzw. missbraucht worden w�ren, hat er gleichfalls nicht vorgetragen. Und er hat auch nicht subsstantiiert dazu vorgetragen, dass es in sonstiger Weise zu einem konkreten Missbrauch – �ber den Erhalt von Nachrichten oder Anrufen hinaus – seiner Daten gekommen sei oder seine Daten im Darknet tats�chlich konkret angeboten worden seien.

42 Soweit der Kl�ger vorgetragen hat, dass er Adressat einer gro�en Anzahl von E-Mails, Kurznachrichten oder auch Anrufen, z.T. auch mit erpresserischem Inhalt geworden sei, handelt es sich dabei um typische, mit der Nutzung digitaler Kommunikationsmittel verbundener Beeintr�chtigungen und Risiken, wie sie allgemein auftreten und erlitten werden. Der Datenvorfall mag bei dem Kl�ger ein unkonkretes, wiewohl unangenehmes Gef�hl des Kontrollverlustes �ber die eigenen Daten ausgel�st haben, die Schwelle zur Annahme eines immateriellen Schadens im Sinne einer Beeintr�chtigung eines gesch�tzten Rechtsgutes wird dadurch jedoch noch nicht �berschritten.

43 Doch selbst wenn man in dem Erhalt der E-Mails, Nachrichten und Anrufe einen ausreichenden immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO erblicken wollte, so hat der Kl�ger jedenfalls nicht ausreichend substantiiert darzulegen vermocht, dass diese Beeintr�chtigungen urs�chlich auf die hier streitgegenst�ndlichen Datenvorf�lle zur�ckzuf�hren w�ren. Denn die Beklagte hat substantiiert anhand der Anlage B8 vorgetragen, dass der Kl�ger bei mindestens drei weiteren Gelegenheiten Opfer von Datenvorf�llen wurde, bei denen jedenfalls auch seine Telefonnummer und seine E-Mail-Adresse abgegriffen wurden. Das hat der Kl�ger auch nicht substantiiert bestritten. Dann aber l�sst sich der geklagte Erhalt von E-Mails, Nachrichten und Anrufen auch nicht zur �berzeugung des Gerichts (� 286 ZPO), nicht einmal mit einer �berwiegenden Wahrscheinlichkeit (� 287 ZPO) auf die streitgegenst�ndlichen Datenvorf�lle bei der Beklagten zur�ckf�hren.

44 1.5.3 Entgegen der Auffassung des Kl�gers kann ein Schaden auch nicht allein wegen des Versto�es der Beklagten gegen Art. 32 DSGVO angenommen werden, mit der Begr�ndung, dass bereits der Versto� gegen die DSGVO an sich einen Schaden im Sinne von Art. 82 Abs. 1 DSGO begr�nde.

45 Diese Auffassung ist mit dem Wortlaut des Art. 82 Abs. 1 DSGVO nicht vereinbar. Nach dem Wortlaut besteht ein Schadensersatzanspruch, wenn einer Person wegen eines Versto�es gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist; das Vorliegen eines Versto�es gegen die DSGVO und der daraus entstandene Schaden sind folglich zwei unterschiedliche Tatbestandsmerkmale. Wenn jeder Versto� gegen die DS-GVO an sich bereits einen Schaden und damit einen Anspruch auf Schadensersatz begr�nden w�rde, er�brigte sich, dass Art. 82 Abs. 1 DSGVO das Vorliegen eines Schadens ausdr�cklich als weitere Voraussetzung f�r den Schadensersatzanspruch nennt. Der Schaden ist somit nicht mit der zugrundeliegenden Rechtsgutsverletzung gleichzusetzen, sondern Art. 82 Abs. 1 DSGVO trennt zwischen dem Versto� und dem daraus resultierenden, „entstandenen“ Schaden, woraus folgt, dass dieser tats�chlich entstanden sein muss und nicht lediglich bef�rchtet wird (OLG Frankfurt v. 02.03.2022 – Az.: 13 U 206/20 – Rz. 70 f.; Generalanwalt Manuel Campos S�nchez-Bordona, Schlussantr�ge in der Rechtssache C-300/21 �sterreichische Post AG vom 06.10.2022, Rz. 27 ff.; Quaas in Wolff/Brink, Beck'scher Online-Kommentar zum Datenschutzrecht, 43. Edition, Stand 01.02.2023, Art. 82 DSGVO, Rz. 23). Daher muss auch ein immaterieller Schaden eingetreten sein und konkret dargelegt werden, wof�r sich beispielhafte Aufz�hlungen in den Erw�gungsgr�nden 75 und 85 der DSGVO finden (Quaas a.a.O., Rz. 24). Weder die vom Kl�ger geklagten Beeintr�chtigungen noch der Umstand, dass es �berhaupt zu einem Datenvorfall gekommen ist, erf�llen damit die Voraussetzungen des Art. 82 Abs. 1 DSGVO f�r einen ersatzf�higen immateriellen Schaden.

46 1.5.4 Auf Grund all dessen hat der Kl�ger keinen Anspruch auf Ersatz eines immateriellen Schadens gem. Art. 82 Abs. 1 DSGVO. Lediglich erg�nzend sei daher darauf hingewiesen, dass die Beklagte ihrerseits – davon abgesehen – aber auch Kompensationsleistungen erbracht hat, etwa durch das Angebot einer kostenlosen Teilnahme am „SchufaPlus“-Programm, was dem Kl�ger eine �berwachung im Hinblick auf unbefugte finanzielle Aktivit�ten erm�glicht und dieser daher auch angenommen hat, oder durch das Angebot der Kosten�bernahme f�r die Ausstellung eines neuen Personalausweises – ein Angebot, dass der Kl�ger allerdings selbst im Hinblick auf die nur noch kurze Laufzeit des Personalausweises ausschlug.

47 Auch wenn der Kl�ger – wie von ihm in der m�ndlichen Verhandlung vorgetragen – dabei auch ber�cksichtigte, dass w�hrend der Corona-Pandemie ein Antrag auf vorgezogene Ausstellung eines neuen Personalausweises mit erheblichem Aufwand verbunden gewesen w�re, so zeigt der Umstand, dass er diesen Aufwand scheute, doch, dass er das Risiko eines Missbrauchs der mit dem Ausweis verbundenen Daten doch als jedenfalls geringer erachtete als die Unannehmlichkeiten des Aufwandes.

48 1.6 Aus den gleichen Erw�gungen kann der Kl�ger auch keinen Schadenersatz gem. Art. 82 Abs. 1 DSGVO wegen eines Versto�es gegen Art. 34 Abs. 1 DSGVO geltend machen. Dabei kann es dahingestellt bleiben, ob die von der Beklagten am 19.10.2020 erteilten Informationen unverz�glich im Sinne von Art. 34 DSGVO erfolgt sind und auch den erforderlichen Inhalt hatten. Und es kann auch dahingestellt bleiben, ob Art. 34 DSGVO �berhaupt in den Schutzbereich des Art. 82 Abs. 1 DSGVO f�llt (was die Beklagte bestreitet). Denn auch insoweit fehlt es jedenfalls an einem ersatzf�higen immateriellen Schaden nach den oben dargelegten Erw�gungen. Und das gilt umso mehr, als auch nach dem kl�gerischen Vortrag nicht ersichtlich ist, inwieweit die von ihm vorgetragenen Beeintr�chtigungen urs�chlich auf eine unzureichende Information zur�ckzuf�hren sein sollten – die Datenvorf�lle waren ja zuvor bereits erfolgt.

49 2. Der Kl�ger hat auch keinen Anspruch auf Ersatz eines ihm m�glicherweise k�nftig entstehenden materiellen Schadens im Zusammenhang mit dem Datenvorfall im April 2020, weil er zu diesem Zeitpunkt nach eigenem Vortrag noch nicht Kunde der Beklagten war (das ist er erst seit Juni 2020) und entsprechend seine Daten zu diesem Zeitpunkt auch noch nicht von dem Vorfall betroffen gewesen sein k�nnen.

50 3. Demgegen�ber erweist sich der Antrag auf Feststellung einer Ersatzpflicht f�r etwaige k�nftige materielle Sch�den auf Grund der beiden Datenvorf�lle vom August und Oktober 2020 gem. Art. 82 Abs. 1 DSGVO als begr�ndet. Wie oben ausgef�hrt, hat die Beklagte als Verantwortliche schuldhaft gegen Art. 32 Abs. 1 DSGVO versto�en. Erleidet der Kl�ger in Zukunft materielle Sch�den durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, die damit kausal zu dem Versto� der Beklagten gegen Art. 32 DSGVO sind, so steht ihm gegen die Beklagte ein Schadensersatzanspruch gem�� Art. 82 Abs. 1 DSGVO zu.

51 Die M�glichkeit des Eintritts materieller Sch�den besteht und ist auch nicht g�nzlich auszuschlie�en, weil die Daten des Kl�gers noch immer „verloren“ sind und damit potenziell missbraucht werden k�nnen. Auch wenn der Datenabgriff bereits im Jahr 2020 stattfand, ist unter dem Gesichtspunkt „Das Internet vergisst nicht“ nicht auszuschlie�en, dass die personenbezogenen Daten des Kl�gers, die �ber den Datenvorfall erlangt wurden, in Zukunft missbraucht werden und so zu einem Schaden bei dem Kl�ger f�hren, zumal ein nicht unerheblicher Bestandteil an personenbezogenen Daten des Kl�gers betroffen ist.

52 Insoweit erweist sich die Klage daher als begr�ndet. Da es sich vorliegend nicht um ein letztinstanzliches Urteil handelt, war eine Vorlage zum Zweck der Vorabentscheidung an den EuGH gem�� Art. 267 Abs. 3 AEUV nicht, wie von der Beklagten beantragt, erforderlich.

4, Soweit der Kl�ger schlie�lich Ersatz der ihm durch die vorgerichtliche anwaltliche Vertretung entstandenen Kosten von 859,28 € f�r die Geltendmachung immateriellen Schadenersatzes begehrt, ist die Klage demgegen�ber wiederum unbegr�ndet, weil ein solcher Anspruch auf immateriellen Schadenersatz nicht besteht, so dass auch seine vorgerichtliche Geltendmachung unberechtigt war. Und eine Erkl�rung �ber die Ersatzpflicht f�r k�nftige materielle Sch�den wurde mit dem als Anlage K7 vorgelegten Schreiben nicht verlangt, war somit nicht Gegenstand der au�ergerichtlichen Geltendmachung.

III)

53 Die Kostenentscheidung folgt aus � 92 Abs. 2 ZPO, weil die Klage in nur geringem Umfang begr�ndet ist und insoweit auch kein Kostensprung ausgel�st wird.

54 Der Ausspruch zur vorl�ufigen Vollstreckbarkeit – hinsichtlich der Kosten – beruht auf � 709 ZPO.

Leitsatz

Werden die Zugangsdaten zu einem Datenarchiv nach Beendigung der Vertragsbeziehung zu einem IT-Dienstleister (hier: Cloud-Dienstleistungen) nicht ge�ndert, sind die betroffenen Daten nicht angemessen vor einer unbefugten oder unrechtm��igen Verarbeitung gesch�tzt. (Rn. 32 – 36) (redaktioneller Leitsatz)

Leitsatz

Ein Schaden kann nicht allein wegen des Versto�es gegen Art. 32 DSGVO mit der Begr�ndung angenommen werden, dass bereits der Versto� gegen die DSGVO an sich einen Schaden im Sinne von Art. 82 Abs. 1 DSGO begr�nde. (Rn. 44) (redaktioneller Leitsatz)

Leitsatz

Ein Antrag auf Feststellung einer Ersatzpflicht f�r etwaige k�nftige materielle Sch�den auf Grund von Daten-Scraping ist begr�ndet, wenn die M�glichkeit des Eintritts materieller Sch�den besteht und nicht g�nzlich auszuschlie�en ist, weil die Daten des Betroffenen noch immer „verloren“ sind und damit potenziell missbraucht werden k�nnen. (Rn. 50 – 51) (redaktioneller Leitsatz)

titelzeile

Schadensersatzbegehren nach unbefugtem Zugriff Dritter auf personenbezogene Daten