LG Kempten 1. Zivilkammer — 2023-06-23 — 13 O 293/23 — Endurteil

Entscheidungsdatum: 2023-06-23

Aktenzeichen: 13 O 293/23

Dokumenttyp: Endurteil

Tenor

1. Die Klage wird abgewiesen.

2. Der Kl�ger hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist gegen Sicherheitsleistung in H�he von 110% des jeweils zu vollstreckenden Betrags vorl�ufig vollstreckbar.

Beschluss

Der Streitwert wird auf 6.200,00 € festgesetzt.

Tatbestand

1 Der Kl�ger macht Anspr�che im Zusammenhang mit der Datenschutzgrundverordnung gegen�ber der Beklagten geltend.

2 Der Kl�ger nutzte im streitgegenst�ndlichen Zeitraum einen ...-Account, die Beklagte ist Betreiberin der ...-Plattform. Die Dienste der Beklagten erm�glichen es den Nutzern, pers�nliche Profile f�r sich zu erstellen und diese mit Freunden zu teilen. Die Nutzer k�nnen auf den pers�nlichen Profilen Angaben zu verschiedenen Daten zu ihrer Person einstellen und im von der Beklagten vorgegebenen Rahmen dar�ber entscheiden, welche anderen Gruppen von Nutzern auf ihre Daten zugreifen k�nnen.

3 Im Zeitraum Januar 2018 bis September 2019 wurden durch unbekannte Dritte Telefonnummern, ...-ID, Name, Vorname, Geschlecht und weitere Daten �ber das Tool „Contact-Import“ – sofern �ffentlich zug�nglichen – abgesch�pft („Scraping“). Indem eine Vielzahl von Kontakten in ein virtuelles Adressbuch eingegeben wurde, gelang es Unbekannten, die Telefonnummern konkreten Profilen zuzuordnen, ohne dass in den entsprechenden Profilen die hinterlegten Telefonnummern �ffentlich freigegeben waren. Um die Telefonnummer jeweils zu korrelieren, wurden mit Hilfe eine Contact-Import-Tools Nummern gepr�ft, um zu sehen, ob diese mit einem ...-Account verbunden waren. Auf dem Profil des Nutzers wurde dieser dann besucht und von dort wurden die �ffentlichen Daten gescrapt („abgesch�pft“). Anfang April 2021 wurde durch die Medien bzw Presse berichtet, dass Daten von ca. 533 Millionen Nutzern der Plattform der Beklagten aus 106 L�ndern im Internet ver�ffentlicht wurden.

4 Beim Anlegen eines ...-Accounts wird der k�nftige Nutzer auf Datenschutz- und Cookie-Richtlinien hingewiesen. Diese sind durch eine Verlinkung getrennt abrufbar. Nach der Anmeldung sind zun�chst die Vor- bzw. Standardeinstellungen aktiviert. Demnach k�nnen „alle“ Personen sehen, welche Seiten der Nutzer abonniert oder mit wem er befreundet ist. Ebenso k�nnen „alle“ den neuen Nutzer �ber seine E-Mail-Adresse „finden“. Die Angabe der Mobilfunknummer ist nicht grunds�tzlich zwingend. Wenn der Nutzer die Zweifaktor-Authentifizierung nutzen m�chte, ist die Angabe einer Mobilfunknummer jedoch zwingend. Entscheidet sich ein Nutzer diese anzugeben, kann er in den Suchfunktionen einstellen, in welchem Umfang er �ber diese gefunden werden will. Der Nutzer kann die Einstellungen individuell ver�ndern und im Hilfebereich einlesen, wie die Beklagte insbesondere die Mobilfunknummer verwendet.

5 Der Kl�ger tr�gt im Wesentlichen vor:

6 Die Beklagte habe gegen zahlreiche Vorschriften der Datenschutzgrundverordnung versto�en. So liege ein Versto� gegen Art. 4 Nr. 2 DSGVO vor, da Daten des Kl�gers ohne Rechtsgrundlage und ohne ausreichende Informationen verarbeitet worden seien. Ferner seien entgegen Artt. 5 ff. DSGVO Daten des Kl�gers unbefugt Dritten zug�nglich gemacht worden. Auch l�gen Verst��e gegen Artt. 15, 17 und 18 DSGVO vor. Im April 2021 seien Daten auch des Kl�gers im Internet ver�ffentlicht worden. Die Beklagte habe keine hinreichenden Sicherheitsvorkehrungen gegen einen unbefugten Zugriff Dritter getroffen. Ferner seien ihre Einstellungen bzgl. der Telefonnummer des Kl�gers so konzipiert, dass keine echte Sicherheit m�glich sei.

7 Von dem Scraping Vorfall seien auch die Daten des Kl�gers betroffen. Dem Kl�ger sei durch die unbefugte Ver�ffentlichung seiner personenbezogenen Daten ein Schaden entstanden, der darin bestehe, dass der Kl�ger einen erheblichen Kontrollverlust �ber seine Daten erlitten habe und in einem Zustand gro�en Unwohlseins und Sorge �ber m�glichen Missbrauch seiner Daten verbleibe. Der Kl�ger habe seit 2021 vermehrt dubiose E-Mails und SMS-Nachrichten von unbekannten Adressen und Nummern erhalten.

8 Der Kl�ger beantragt:

1.Die Beklagte wird verurteilt, an die Kl�gerseite immateriellen Schadensersatz in angemessener H�he zu zahlen, dessen H�he in das pflichtgem��e Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

2.Es wird festgestellt, dass die Beklagte verpflichtet ist, der Kl�gerseite alle k�nftigen Sch�den zu ersetzen, die der Kl�gerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3.Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a. personenbezogenen Daten der Kl�gerseite, namentlich Telefonnummer, ...lD, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten �ber eine Software zum Importieren von Kontakten zug�nglich zu machen, ohne die nach dem Stand der Technik m�glichen Sicherheitsma�nahmen vorzusehen, um die Ausnutzung des Systems f�r andere Zwecke als der Kontaktaufnahme zu verhindern,

b. die Telefonnummer der Kl�gerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der un�bersichtlichen und unvollst�ndigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen dar�ber, dass die Telefonnummer auch bei Einstellung auf „privat' noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierf�r die Berechtigung verweigert und, im Falle der Nutzung der ...-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird.

4. Die Beklagte wird verurteilt der Kl�gerseite Auskunft �ber die Kl�gerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empf�nger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten.

5. Die Beklagte wird verurteilt, an die Kl�gerseite vorgerichtliche Rechtsanwaltskosten in H�he von 887,03 € zu zahlen zuz�glich Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

9 Die Beklagte beantragt

Klageabweisung.

10 Die Beklagte ist der Auffassung, dass kein Versto� gegen die DSGVO vorliege. Es sei Sache der Klagepartei, welche Daten bei der Beklagten hinterlegt werden und in welchem Umfang diese in den Einstellungen „�ffentlich“ oder „privat“ gemacht werden. Es seien lediglich �ffentlich einsehbare Daten durch Dritte in Form des Scraping abgerufen worden. Zudem sei unschl�ssig und unsubstantiiert, welche Daten der Klagepartei genau gescrapt worden sein sollen.

11 Die Beklagte ist der Ansicht, nicht gegen Art. 24, 32 DSGVO versto�en zu haben, sondern vielmehr angemessene technische und organisatorische Ma�nahmen ergriffen zu haben, das Risiko von „Scraping“ zu unterbinden und Ma�nahmen zur Bek�mpfung von „Scraping“ zu ergreifen. Es fehle konkreter Vortrag, welche Ma�nahmen in welchem Umfang nicht gen�gen w�rden. Au�erdem m�sse eine solche Beurteilung ex ante und nicht ex post erfolgen. Den Anforderungen des Art. 25 DSGVO sei gen�gt. Es d�rfe dabei der zentrale Zweck von ..., mit Freunden, Familien und Gemeinschaften sich zu verbinden nicht au�er Betracht bleiben. Es bestehe keine Melde- oder Benachrichtigungspflicht, da es an einer Verletzung der Sicherheit i. S. d. Art. 4 Nr. 12 DSGVO und an einer unbefugten Offenlegung von Daten fehle. Unabh�ngig davon habe sie – die Beklagte – wegen der Medienberichterstattung freiwillig eine Vielzahl von Ma�nahmen ergriffen, �ber „Scraping“ und Begrenzungsm�glichkeiten einschlie�lich einer �nderung von Privatsph�re-Einstellungen zu informieren.

12 Es werde bestritten, dass die Klagepartei aufgrund des „Scraping-Vorfalls“ an den genannten Symptomen wie zum Beispiel Stress, Hilflosigkeit oder Gef�hl des Beobachtenwerdens leide. Art. 82 DSGVO umfasse auch keine Verst��e gegen Art. 13-15, 24, 25 DSGVO. Mangels Versto�es gegen die DSGVO sei der (ohnehin unzul�ssige) Feststellungsantrag unbegr�ndet. Der Unterlassungsanspruch scheitere an einer Erstbegehungs- und einer Wiederholungsgefahr. Anwaltskosten seien mangels Verzuges unbegr�ndet.

13 Das Gericht hat am 19.06.2023 m�ndlich zur Sache verhandelt und den Kl�ger informatorisch angeh�rt. Es wird auf das Sitzungsprotokoll vom 19.06.2023 verwiesen.

14 Zur Erg�nzung des Tatbestands wird auf das schrifts�tzliche Vorbringen der Parteien nebst Anlagen Bezug genommen.

Gründe

15 Die Klage ist zul�ssig, jedoch unbegr�ndet.

A. Zul�ssigkeit

16 I. Das Landgericht Kempten ist international, sachlich und �rtlich zust�ndig.

17 Die deutsche Gerichtsbarkeit folgt aus Art. 6 Abs. 1, Art. 18 Abs. 1 2. Alt EuGVVO. Gem�� Art. 18 Abs. 1 2. Alt EuGVVO kann die Klage eines Verbrauchers gegen den anderen Vertragspartner entweder vor den Gerichten des Mitgliedstaats erhoben werden, in dessen Hoheitsgebiet dieser Vertragspartner seinen Wohnsitz hat, oder ohne R�cksicht auf den Wohnsitz des anderen Vertragspartners vor dem Gericht des Ortes, an dem der Verbraucher seinen Wohnsitz hat. Der Kl�ger ist gem�� Art. 17 Abs. 1 EuGVVO unzweifelhaft Verbraucher. Der Kl�ger hat seinen Wohnort im Bezirk des Landgerichts Kempten .

18 Die �rtliche Zust�ndigkeit folgt aus Art. 18 Abs. 1 2. Alt. EuGVVO und Art. 79 Abs. 2 S. 2 DSGVO, � 44 Abs. 1 S. 2 BDSG.

19 Die sachliche Zust�ndigkeit ergibt sich aus � 39 ZPO.

20 II. Der Feststellungsantrag zu Ziffer 2 ist zul�ssig.

21 Ein Feststellungsantrag ist schon zul�ssig, wenn die Schadensentwicklung noch nicht abgeschlossen ist und der Kl�ger seinen Anspruch deshalb ganz oder teilweise nicht beziffern kann (vgl. OLG Hamm, Urteil vom 21. Mai 2019 – 9 U 56/18 –, Rn. 22, juris). Ein Feststellungsinteresse ist nur zu verneinen, wenn aus der Sicht des Gesch�digten bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (vgl. BGH, Beschluss vom 09. Januar 2007 – VI ZR 133/06 –, juris; BGH, Urteil vom 16. Januar 2001 – VI ZR 381/99 –, juris; Saarl�ndisches Oberlandesgericht Saarbr�cken, Urteil vom 20. Februar 2014 – 4 U 411/12, Rn. 46, juris, m.w.N.).

22 Bei den behaupteten Verst��en gegen die DSGVO mit der behauptet dargelegten unkontrollierten Nutzung gescrapter Daten ist bei verst�ndiger W�rdigung zumindest nicht ausgeschlossen, dass irgendein materieller oder immaterieller Schaden entstehen k�nnte. Es ist nicht v�llig ausgeschlossen, dass der Kl�ger infolge der Ver�ffentlichung seiner Telefonnummer in Verbindung mit seinem Namen sowie weiteren pers�nlichen Daten einen irgendwie gearteten Schaden erleidet.

B. Begr�ndetheit

23 Die Klage ist unbegr�ndet.

24 I. Der Klagepartei stehen keine Anspr�che auf Ersatz immateriellen Schadens aus � 82 Abs. 1 DSGVO zu (Klageantrag Ziff. 1).

25 1. Der Schutzbereich des Art. 82 DSGVO ist vorliegend hinsichtlich behaupteter Verst��e gegen Artt. 13, 14, 15, 24, 25 und Art. 34 DSGVO bereits nicht er�ffnet.

26 a) Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Versto�es gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

27 Gem�� Art. 2 DSGVO umfasst der sachliche Anwendungsbereich der DSGVO die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

28 Ankn�pfungspunkt f�r eine Haftung ist also eine der Verordnung nicht entsprechende Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO. Dies steht im Einklang mit Erw�gungsgrund 146, wonach der Verantwortliche oder der Auftragsverarbeiter Sch�den, die einer Person aufgrund einer Verarbeitung entstehen, die mit der DSGVO nicht im Einklang stehen, ersetzen sollte.

29 Gem�� Art. 4 Nr. 2 DSGVO ist Verarbeitung jeder mit oder ohne Hilfe automatisierter Verfahren ausgef�hrten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Ver�nderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch �bermittlung, Verbreitung oder eine andere Form der Bereitstellung, durch den Abgleich oder die Verkn�pfung, die Einschr�nkung, das L�schen oder die Vernichtung.

30 b) Die behauptete Verletzung von blo�en Benachrichtigungspflichten bzw. Informationsrechten ist unter Zugrundelegung dieses Ma�stabs hingegen nicht erfasst (vgl. Landgericht Essen, Urteil vom 10. November 2022, Az. 6 O 111/22, GRUR-RS 2022, 34818; Amtsgericht Strausberg, BeckRS 2022, 27811; Landgericht Heilbronn, Urteil vom 13. Januar 2023, Az. Bu 8 O 131/22). Folglich sind m�gliche Verst��e gegen Artt. 13, 14, 15, 24, 25 und Art. 34 DSGVO, die lediglich Informationspflichten begr�nden, nicht vom Schutzzweck der Norm erfasst.

31 2. Es fehlt dar�ber hinaus an entsprechenden Pflichtverst��en der Beklagten gegen Normen der DSGVO.

(1) Kein Versto� gegen Art. 32 DSGVO

32 Nach Art. 32 DSGVO haben der Verantwortliche und der Auftragverarbeiter geeignete technische und organisatorische Ma�nahmen unter Ber�cksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umst�nde und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos f�r die Rechte und Freiheiten nat�rlicher Personen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gew�hrleisten.

33 Dies zu Grunde gelegt hat die Beklagte gegen ihre Verpflichtung, die Sicherheit der Datenverarbeitung zu gew�hrleisten, nicht versto�en. Insbesondere war die Beklagte nicht verpflichtet, Schutzma�nahmen zu treffen, um die Erhebung der immer �ffentlich zug�nglichen Informationen des Profils der Klagepartei aufgrund seiner selbst gew�hlten Einstellung zu verhindern. Diese lautete, dass ihn alle („everyone“) �ber seine Telefonnummer („by phone number“) finden k�nnen. Diese Einstellung beinhaltet dann aber auch das Finden der Klagepartei durch Dritte �ber ihre Mobilfunknummer, die Dritte etwaig auch unter Zuhilfenahme elektronischer M�glichkeiten zuf�llig erzeugt haben und so einen Abgleich von in den Kontaktimporter der Plattform von ... hochgeladenen und etwaig generierten Telefonnummern mit der mit dem dort eingerichteten Konto der Klagepartei verkn�pften Telefonnummer vornehmen. Denn auch Dritte fallen unter den Begriff „everyone“. Unstreitig sind die Daten der Klagepartei von Dritten gescrapt, mithin verarbeitet worden iSd Art. 4 Nr. 2 DSGVO. Es handelt sich bei den unstreitig gescrapten personenbezogenen Daten der Klagepartei um Daten, die f�r jedermann ohne Zugangskontrolle oder �berwindung technischer Zugangsbeschr�nkungen wie Logins oder �hnliches abrufbar sind, was dem Kl�ger bereits durch die Anmeldung bekannt war.

34 Angesichts des Umstandes, dass die Klagepartei sich selbst dazu entschlossen hat, sich �ffentlich durch jedermann �ber seine Telefonnummer suchen zu lassen, auch wenn diese nur ihm selbst angezeigt wird, besteht keine Verpflichtung der Beklagten diese insoweit vertraulich zu behandeln und entgegen dem erkl�rten Willen der Klagepartei nicht technisch durch eine Suchfunktion auffinden zu lassen.

(2) Kein Versto� gegen Art. 33 DSGVO

35 Die Beklagte hat ihre Pflicht gem�� Art. 33 DSGVO, der zust�ndigen Aufsichtsbeh�rde den Datenschutzversto� zu melden, ebenfalls nicht verletzt. Gem�� Art. 33 DSGVO meldet der Verantwortliche im Falle einer Verletzung des Schutzes personenbezogener Daten unverz�glich und m�glichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zust�ndigen Aufsichtsbeh�rde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko f�r die Rechte und Freiheiten nat�rlicher Personen f�hrt. Die Meldung gegen�ber der Aufsichtsbeh�rde erm�glicht es dieser �ber Ma�nahmen zur Eind�mmung und Ahndung der Rechtsverletzung zu entscheiden.

36 Der Beklagten wurde der Datenschutzvorfall sp�testens am 03.04.2021 bekannt, denn zu diesem Zeitpunkt schilderte sie Ihr Vorgehen zu dem Scraping-Vorfall auf Ihrer Website. Der zust�ndigen Aufsichtsbeh�rde, Irish Data Protection Commission (IDPC, gem. Art. 55 DSGVO) wurde unstreitig allerdings kein solcher Vorfall gemeldet. Da hierin aber der Beklagten kein Datenschutzversto� anzulasten ist (s. o.), musste sie diesen auch nicht melden.

(3) Kein Versto� gegen Art. 35 DSGVO

37 Soweit die Klagepartei den geltend gemachten Schadensersatz auf eine Verletzung des Art. 35 DSGVO durch die Beklagte st�tzt mit der Behauptung, die Beklagte habe keine Datenschutz-Folgeabsch�tzung im Sinne des Art. 35 DSGVO durchgef�hrt, verf�ngt er hiermit nicht. Selbst wenn die irische Datenschutzaufsichtsbeh�rde Ermittlungen gegen die Beklagte aufgenommen haben sollte, kann hieraus nicht geschlossen werden, dass die Beklagte im ma�geblichen Zeitraum gegen Art. 35 DSGVO versto�en hat. Selbst wenn man ann�hme, dass die Beklagte in diesem Zeitraum eine Folgenabsch�tzung trotz hohen Risikos f�r die Rechte und Freiheiten der Nutzer der Plattform ... nicht durchgef�hrt hat, ist nicht ersichtlich, dass die unterlassene Folgeneinsch�tzung (mit-)urs�chlich f�r den vom Kl�ger geltend gemachten Schaden war, n�mlich den Verlust �ber die Kontrolle seiner gescrapten Daten. Hiergegen spricht bereits, dass es sich bei den gescrapten Daten um immer �ffentlich zug�ngliche Informationen des Profils des Kl�gers auf der Plattform ... handelte.

(4) Kein Versto� gegen Art. 15 DSGVO

38 Schlie�lich hat die Beklagte nicht gegen Art. 15 DSGVO versto�en, indem sie der Klagepartei keine bzw. unvollst�ndige Ausk�nfte erteilt hat. Der Anspruch auf Auskunftserteilung ergibt sich aus Art. 15 Abs. 1 a), c) DSGVO. Die betroffene Person hat das Recht, von dem Verantwortlichen eine Best�tigung dar�ber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft �ber diese personenbezogenen Daten und �ber die Verarbeitungszwecke und �ber die Empf�nger oder Kategorien von Empf�ngern, gegen�ber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden insbesondere bei Empf�ngern in Drittl�ndern oder bei internationalen Organisationen.

39 Da das Schreiben der Beklagten (Anlage B16) Nutzer ID, Vorname, Nachname, Land und Geschlecht enth�lt, ist der Anspruch insoweit erf�llt und erloschen (� 362 Abs. 1 BGB). Nicht beantwortet wird durch die Beklagte in dem au�ergerichtlichen Schreiben, welchen Empf�ngern die Daten des Kl�gers durch Ausnutzung des Kontakt-Import Tools im Sinne des Art. 15 Abs. 1 c) DSGVO zug�nglich gemacht wurden. Das Scraping ist allerdings unstreitig von au�en erfolgt und es nicht erkennbar, wer diese Daten gescrapt hat. Die begehrte Auskunftserteilung ist aufgrund des Vorganges des Scrapings unter Ausnutzung von Daten, die auf „�ffentlich“ gestellt sind, unm�glich. Ebenso ist im Rechtssinne unm�glich (und es wird auch nicht n�her dargelegt, wie die Beklagte mitteilen k�nnen soll), zu informieren, wann die Daten gescrapt wurden. Die Klagepartei geht selbst von 2019 aus bzw. von der Ver�ffentlichung dann im April 2021. Dieser Zeitrahmen ist der Klagepartei bekannt; eine genaue Eingrenzung in Bezug auf seine Daten ist nicht m�glich. Die Beklagte hat der Klagepartei im Ergebnis also alle Informationen mitgeteilt, die ihr im Zuge des Scraping-Vorfalls zur Verf�gung standen. Weitere Angaben kann sie nicht machen. Sie ist folglich hierzu auch nicht verpflichtet.

(5) Kein Versto� gegen Art. 5 Abs. 1 DSGVO

40 Nach dem Grundsatz des Art. 5 Abs. 1 DSGVO m�ssen personenbezogene Daten auf rechtm��ige Weise, nach Treu und Glauben und in einer f�r die betroffene Person nachvollziehbaren Weise verarbeitet werden. Das Erfordernis der Transparenz f�hrt Art. 13 DSGVO in Form von Informations- und Aufkl�rungspflichten fort. Die Aufkl�rung �ber die Zwecke der Verarbeitung muss insbesondere f�r den Nutzer klar verst�ndlich und nachvollziehbar sein. �hnliche Vorgaben sieht auch Art. 14 DSGVO f�r den Fall vor, dass der Verantwortliche die Daten nicht direkt bei der betroffenen Person erhebt. Auch Art. 12 DSGVO sieht eine Information in pr�ziser, transparenter und leicht zug�nglicher Form vor.

41 Diesem Ma�stab wurde die Beklagte gerecht. Sie hat ihren Nutzern – und damit auch der Kl�gerseite – im streitgegenst�ndlichen Zeitraum im Rahmen ihrer Datenrichtlinie und dem Hilfebereich in Bezug auf die Verwendung der Daten und insbesondere der Verwendung der Telefonnummer sowie der Kontakt-Import-Funktion klare Informationen zur Verf�gung gestellt (Anlagen B 1-9). Die Aufkl�rung �ber die Verwendung der Daten erfolgte in verst�ndlicher Sprache. Zudem ist sie auch in f�r den Nutzer zug�nglicher Art und Weise erfolgt. Dies gilt vor allem im Hinblick darauf, dass die Beklagte eine sog. Mehrebenen-Datenschutzerkl�rung verwendet, bei der der Nutzer auf der ersten Ebene einen �berblick �ber die ihm hinsichtlich der Verarbeitung seiner personenbezogenen Daten zur Verf�gung stehenden Informationen erh�lt und auf der zweiten Ebene die detaillierten Ausk�nfte durch das Anklicken eines qualifizierten Abschnitts einsehen kann. Dies dient letztlich der Vermeidung einer �berforderung des Nutzers mit einer blockartigen und �berfrachteten Datenschutzinformation. Zwar trifft es zu, dass die Einstellungsm�glichkeiten �ber mehrere Links erreichbar sind. Die Beklagte informiert den Nutzer jedoch �ber s�mtliche Nutzungs- und Suchbarkeitsoptionen, wie bereits aus den durch die Kl�gerin selbst vorgelegten Screenshots hervorgeht. Der Leser kann dabei auch gleich zu Beginn der Datenschutzrichtlinie feststellen, dass seitens der Beklagten auf die individuelle Anpassung der Privatsph�re-Einstellungen aufmerksam gemacht wird.

42 Auch aus dem Umfang dieser Datenschutzinformation kann nicht auf eine Un�bersichtlichkeit geschlossen werden. In Anbetracht der Vorgaben der DSGVO und der damit verbundenen vielseitigen Informationsverpflichtungen liegt es in der Natur der Sache, dass eine Datenschutzinformation umfangreich ausf�llt (LG Kiel, Urteil vom 12. Januar 2023 – 6 O 154/22, juris Rn. 46).

(6) Kein Versto� gegen Artt. 24, 25 Abs. 2 DSGVO

43 Demnach muss der Verantwortliche geeignete technische und organisatorische Ma�nahmen treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung f�r den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt f�r die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zug�nglichkeit. Solche Ma�nahmen m�ssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von nat�rlichen Personen zug�nglich gemacht werden.

44 Dies soll vor allem den technisch unversierten Nutzer sch�tzen. Die Voreinstellungen sollen m�glichst datenschutzfreundlich eingestellt werden, um die Privatsph�re der Nutzer zu gew�hrleisten. Der Nutzer kann dann individuell Anpassungen nach seinen W�nschen vornehmen. Unstreitig sind f�r die Registrierung nur der Name, das Geschlecht und die ID sichtbar, die auch stets �ffentlich sichtbar sind, wozu jeder User aber durch Akzeptieren der Datenschutzbestimmungen zustimmt. Soweit jemand sich dann noch entschlie�t seine Telefonnummer zu hinterlegen, was f�r die Registrierung bei ... gerichtsbekannt nicht erforderlich ist, ist diese Einstellung zwar zun�chst unstreitig bei den Suchbarkeitseinstellungen auf „everyone“ „by phone number“ gestellt. �ndert man diese Einstellung nicht, so kann der jeweilige Nutzer �ber seine E-Mail-Adresse und Mobilnummer gefunden werden und ihm eine Freundschaftsanfrage geschickt werden. Der technisch unkundige Nutzer wird gleichwohl �ber die entsprechenden Hinweise hinreichend informiert und �ber Einstellungsm�glichkeiten und deren Begrenzungsm�glichkeiten in Kenntnis gesetzt. Zudem muss sich jeder Internetnutzer, der insbesondere eine Plattform eines sozialen Netzwerkes wie das der Beklagten nutzt, bewusst sein, dass es Internetgepflogenheiten gibt, mit denen man sich vertraut zu machen hat, will man solche Kommunikationsplattformen gebrauchen. Der Schutz des Art. 25 DSGVO reicht nicht so weit, dass er den jeweiligen Nutzer vor den internetspezifischen Gepflogenheiten vollends sch�tzt; vielmehr muss sich der jeweilige Nutzer, der einer Plattform eines sozialen Netzwerks beitreten will, mit den geltenden Gepflogenheiten vertraut machen. Bei einer Plattform, die auf Kontaktsuche und das Finden von Kontakten ausgerichtet ist und auf der die Beklagte angibt, dass das nicht zwingend erforderliche Hinterlegen der Telefonnummer es erm�glicht, leichter gefunden zu werden und die Zwecke der Plattform besser zu nutzen, muss der jeweilige Nutzer eigenverantwortlich entscheiden, in welchem Umfang er diese M�glichkeiten nutzt und entsprechende Daten freigibt.

45 �berdies w�rde selbst eine Verletzung dieser Vorschrift einen Schadensersatzanspruch nicht begr�nden k�nnen. Allein aus einem Versto� gegen Art. 25 DSGVO kann wegen seines organisatorischen Charakters ein Anspruch nach Art. 82 Abs. 1 DSGVO nicht begr�ndet werden (vgl. Gola/Heckmann/Nolte/Werkmeister, 3. Aufl. 2022, DSGVO Art. 25 Rn. 3, 34; K�hling/Buchner/Hartung, 3. Aufl. 2020, DSGVO Art. 25 Rn. 31). Die Vorschrift entfaltet bereits vor dem eigentlichen Beginn der Datenverarbeitung ihren Regelungscharakter. Zu diesem, einer tats�chlichen Datenverarbeitung vorgelagerten Zeitpunkt entfaltet die DSGVO jedoch nach Art. 2 Abs. 1 DSGVO noch keine Wirkung. Die Anwendbarkeit der DSGVO setzt vielmehr eine tats�chliche Verarbeitung personenbezogener Daten voraus (vgl. Ehmann/Selmayr/Baumgartner, 2. Aufl. 2018, DSGVO Art. 25 Rn. 7). Ein Anspruch aus Art. 82 DSGVO kommt daher nur in Betracht, wenn weitere Verst��e gegen die DSGVO vorliegen (vgl. Gola/Heckmann/Nolte/Werkmeister, 3. Aufl. 2022, DSGVO Art. 25 Rn. 3). Das ist hier indes, wie vorstehend ausgef�hrt, gerade nicht der Fall.

46 (7) Schlie�lich ist auch ein Versto� gegen Art. 6 Abs. 1, 13 Abs. 1 DSGVO nicht feststellbar. Die Beklagte hat den Kl�ger ausreichend aufgekl�rt gem�� Art. 13 Abs. 1 DSGVO, insbesondere �ber die Zwecke der Verarbeitung sowie deren Rechtsgrundlage und die etwaigen Empf�nger oder Kategorien von Empf�ngern der personenbezogenen Daten. Der Kl�ger hat zudem mit der Zustimmung zu den Nutzungsbedingungen und der Datenrichtlinie die Einwilligung zu der Verarbeitung der ihn betreffenden personenbezogenen Daten f�r einen oder mehrere bestimmte Zwecke gegeben gem�� Art. 6 Abs. 1 S. 1 a) DSGVO. Insbesondere wurden die Datenschutzrichtlinie sowie die Nutzungsbedingungen in einfach verst�ndlicher Sprache abgefasst und sind einfach zug�nglich. Die Website der Beklagten weist den Nutzer sogar mehrfach darauf hin, dass man einen „Privatsph�recheck“ durchf�hren kann. Insoweit entspricht das Ersuchen der Einwilligung auch den Voraussetzungen des Art. 7 Abs. 2 DSGVO.

47 3. Die Klagepartei ist �berdies beweisf�llig geblieben, dass ihr aufgrund des „Scraping-Vorgangs“ ein Schaden entstanden ist. Jedenfalls fehlt es an einem ersatzf�higen Schaden des Kl�gers im Sinne des Art. 82 Abs. 1 DSGVO.

48 a) Zwar ist nach Erw�gungsgrund 146 S. 3 zur DSGVO der Schadensbegriff weit auszulegen, der wirksame Schadensersatz muss auch Abschreckungscharakter haben. Grundvoraussetzung ist jedoch nach Erw�gungsgrund 146 zur DSGVO, dass der immaterielle Schaden „erlitten“, also tats�chlich entstanden sein muss (und nicht lediglich bef�rchtet werden darf). Daraus folgt auch, dass ein blo�er Versto� gegen die DSGVO bei der Datenverarbeitung f�r einen Anspruch auf Ersatz immaterieller Sch�den nicht ausreicht. Es muss eine kausal hierauf beruhende sp�rbare Beeintr�chtigung des Gesch�digten hinzutreten, um von einem Schaden sprechen zu k�nnen, z. B. eine benennbare und nachweisbare Pers�nlichkeitsverletzung wie etwa eine „Blo�stellung“ (vgl. OLG Brandenburg, Beschluss vom 21.06.2021, 1 U 69/20 = BeckRS 2021).

49 b) Hiervon ist das Gericht nach dem kl�gerischen Vortrag und dessen Anh�rung in der m�ndlichen Verhandlung nicht �berzeugt. Ein blo�er Kontrollverlust �ber seine Daten stellt keine sp�rbare Beeintr�chtigung im Sinne einer Pers�nlichkeitsverletzung und damit keinen Schaden dar. Dasselbe gilt f�r einen behaupteten Zustand erh�hten Misstrauens. Ein solches ergab die informatorische Anh�rung gerade nicht. Der Kl�ger ist weiterhin bei ... angemeldet und ist auch bei weiteren sozialen Plattformen (XING) angemeldet. Weiter hat er sensible Daten, wie zB seine Handynummer dem Internetversandh�ndler „Amazon“ hinterlegt. Dies widerspricht gerade der kl�gerischen Behauptung, man habe durch ein „Scraping-Vorfall“ einen „Schaden“ in Form von Stress, Misstrauen, Angst vor Kontrollverlust etc erlitten.

50 Hinzu kommt, dass eine der Anruf unbekannter Nummern bzw Spamnachrichten nicht kausal auf den „Scraping-Vorfall“ zur�ckzuf�hren ist. Der Kl�ger gab im Rahmen der Anh�rung an, dass Spam-Nachrichten im Zusammenhang mit seinem „Amazon-Konto“ erhalte. Genau bei Amazon unterh�lt der Kl�ger jedoch ein Kundenkonto mit dort hinterlegter Handynummer. Es dr�ngt sich daher auf, jedenfalls ist daher zwanglos m�glich, dass die Spamnachrichten auf das Nutzungsverhalten des Kl�gers bei „Amazon“ zur�ckzuf�hren sind.

51 4. Auch nach nationalem Recht steht dem Kl�ger der geltend gemachte Zahlungsanspruch nicht zu. Ein vertraglicher Anspruch gem�� �� 280 Abs. 1, 241 Abs. 2 BGB scheidet aus, weil der Kl�ger keine Verletzung von vertraglichen Pflichten durch die Beklagte dargelegt hat.

52 Anspr�che gem�� �� 823 Abs. 1, 253 Abs. 2 BGB i.V.m. dem allgemeinen Pers�nlichkeitsrecht bzw. mit dem Recht auf informationelle Selbstbestimmung (vgl. Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) scheitern mangels Darlegung der Verletzung eines der in � 253 Abs. 2 BGB genannten Rechtsg�ter durch den Kl�ger.

53 Schlie�lich besteht auch kein Anspruch nach � 823 Abs. 2 BGB i.V.m. den Vorschriften der DSGVO (s.o.)

54 II. Die Klagepartei hat keinen Anspruch auf die begehrte Feststellung (Klageantrag Ziff. 2).

55 Es wird insoweit auf die obigen Ausf�hrungen verwiesen.

56 III. Die Klagepartei hat keinen Unterlassungsanspruch (Klageantrag. Ziff. 3).

57 Der Klagepartei steht nach �� 1004 analog, 823 Abs. 1 und aus Abs. 2 BGB i.V.m. Art. 6 Abs. 1 DSGVO sowie Art. 17 DSGVO gegen die Beklagte ferner kein Anspruch auf Unterlassung zu, seine personenbezogenen Daten in Zukunft unbefugt, d.h. konkret ohne vorherige ausreichende Belehrung, zu ver�ffentlichen und diese zuk�nftig unbefugten Dritten zug�nglich zu machen. Denn es fehlt bereits an einem Versto� der Beklagten, der �berhaupt zu einem Unterlassungsanspruch f�hren k�nnte, selbst wenn man Art. 6 DSGVO als Schutzgesetz im Sinne des � 823 Abs. 2 BGB ansieht.

58 Es fehlt jedenfalls an einem Versto�. Die Beklagte hat die Klagepartei ausreichend aufgekl�rt gem�� Art. 13 Abs. 1 DSGVO, insbesondere �ber die Zwecke der Verarbeitung sowie deren Rechtsgrundlage und die etwaigen Empf�nger oder Kategorien von Empf�ngern der personenbezogenen Daten (s.o.). Die Klagepartei hat zudem mit der Zustimmung zu den Nutzungsbedingungen und der Datenrichtlinie die Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten f�r einen oder mehrere bestimmte Zwecke gegeben gem�� Art. 6 Abs. 1 S. 1 a.) DSGVO. Insbesondere wurden die Datenlinie sowie die Nutzungsbedingungen in einfach verst�ndlicher Sprache abgefasst und sind einfach zug�nglich, wenn auch mehrschichtig. Die Website der Beklagten weist einen sogar mehrfach darauf hin, dass man einen Privatsph�recheck machen kann. Insoweit entspricht das Ersuchen der Einwilligung auch den Voraussetzungen des Art. 7 Abs. 2 DSGVO. Wie ausgef�hrt, sind bei Auslegung nach dem objektiven Empf�ngerhorizont gem�� �� 133, 157 BGB durchaus bei entsprechender Sorgfalt und Inanspruchnahme von Zeit die mehrschichtigen Hinweise nachvollziehbar

59 IV. Der Auskunftsantrag war ebenfalls abzuweisen (Klageantrag Ziff. 4).

60 Der Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO unterliegt der Abweisung, da er durch das au�ergerichtliche Schreiben (Anlage B16) bereits erf�llt ist. Eine weitergehende Auskunft kann die Klagepartei nicht verlangen (s.o.).

61 V. Mangels Anspruch in der Hauptsache waren auch die Nebenanspr�che abzuweisen.

62 VI. Die Kostenentscheidung ergibt sich aus � 91 Abs. 1 Satz 1 ZPO. Der Ausspruch zur vorl�ufigen Vollstreckbarkeit folgt aus �� 708 Nr. 11, 711 ZPO.

63 Der Streitwert war gem�� � 3 ZPO festzusetzen (Klage Ziff. 1: 1.000 EUR; Ziff. 2: 2.400 EUR; Ziff. 3. 2.000 EUR; Ziff. 4. 800 EUR).

Leitsatz

Zur Notwendigkeit der Darlegung eines konkreten Schadens bei Geltendmachung eines Schadensersatzanspruchs wegen Versto�es gegen die DSGVO in einem Scraping-Fall bei einem sozialen Netzwerk. (Rn. 47 – 50) (redaktioneller Leitsatz)

Leitsatz

Zu Verst��en gegen die DSGVO durch einen "Scraping"-Vorfall bei einem sozialen Netzwerk. (Rn. 31 – 46) (redaktioneller Leitsatz)

titelzeile

Notwendigkeit der Darlegung eines konkreten Schadens bei Datenschutzverst��en