OLG M�nchen 21. Zivilsenat — 2024-03-11 — 21 U 2766/23 e — Hinweisbeschluss

Entscheidungsdatum: 2024-03-11

Aktenzeichen: 21 U 2766/23 e

Dokumenttyp: Hinweisbeschluss

Tenor

1. Der Senat beabsichtigt, die Berufung gegen das Urteil des Landgerichts Ingolstadt vom 01.06.2023, Az. 81 O 549/22, gem�� � 522 Abs. 2 ZPO zur�ckzuweisen.

2. Hierzu besteht Gelegenheit zur Stellungnahme binnen drei Wochen nach Zustellung dieses Beschlusses.

Gründe

I.

1 Der Kl�ger, der von Beruf Softwareentwickler ist, macht Schadensersatz-, Unterlassungs- und Auskunftsanspr�che wegen der Verletzung von Vorschriften der DSGVO seitens der Beklagten aus und im Zusammenhang mit dem sog. im April 2021 �ffentlich bekannt gewordenen „Scraping-Vorfall“ bei Facebook geltend.

2 Der Kl�ger ist seit etwa 10 bis 15 Jahren und bis heute Nutzer des sozialen Online-Netzwerkes Facebook. F�r die Nutzer in der Europ�ischen Union wird die Facebook-Plattform von der Beklagten, einem Unternehmen nach dem Recht der Irischen Republik mit Sitz in Dublin, Irland, betrieben. Die Beklagte stellt das Netzwerk, das mit Hilfe von personenbezogenen Daten die Kommunikation, das Finden von Personen und das Teilen von Informationen erm�glicht, den Nutzern kostenlos zur Verf�gung. Die Finanzierung erfolgt �ber Werbeeinnahmen.

3 Zwischen Januar 2018 bis September 2019 kam es zu einem sog. „Scraping-Vorfall“, in dessen Rahmen Dritte bei der Beklagten als „�ffentlich“ hinterlegte Informationen von Nutzern auslasen und einen sog. Leak-Datensatz im April 2021 im Darknet ver�ffentlichten. Der den Kl�ger betreffende Datensatz enth�lt seine Telefonnummer, die FacebookID, seinen Namen und sein Geschlecht. Vermutlich erfolgte das Data Scraping bei der Beklagten durch die damals zur Verf�gung gestellte Kontakt-Import-Funktion, mit deren Hilfe die Nutzer Telefonkontakte von ihren Mobilger�ten auf Facebook hochladen konnten, um mit der Telefonnummer weitere „Freunde“ finden zu k�nnen, auch wenn das Profil der jeweiligen Personen die Telefonnummer nicht anzeigte. Die Scraper gaben eine Vielzahl von Kontakten mit automatisch erzeugten Telefonnummern in ein virtuelles Adressbuch ein und versuchten diese selbst generierten Telefonnummern einem konkreten Facebook-Profil zuzuordnen. Wurde mit einer der automatisch generierten „fiktiven“ Telefonnummer eine �bereinstimmung mit einer bei Facebook hinterlegten Telefonnummer erzielt, wurde sodann der jeweils zugeh�rige Facebook-Nutzer angezeigt. Auf diese Weise konnten die �ffentlich einsehbaren Daten des jeweiligen Nutzers abgegriffen und mit dessen Telefonnummer korreliert werden, vgl. Anlage B 11.

4 Aufgrund dieses Vorfalls ersetzte die Beklagte die Kontakt-Import-Funktion durch die Funktion „people you may know“. Das Sammeln von Daten mit Hilfe automatisierter Tools und Methoden war und ist nach den Nutzungsbedingungen der Beklagten untersagt.

5 Bei der Registrierung musste der Kl�ger seinen Namen, sein Geschlecht und seine NutzerID angeben, die als Teil seines Nutzerprofils immer �ffentlich einsehbar sind, vgl. Anlage B 15. Daneben gab der Kl�ger freiwillig seine E-Mail Adresse, seinen Wohnort und seine Telefonnummer an, wobei er hier die M�glichkeit hatte, festzulegen, wer diese Angaben sehen kann. Bei der Registrierung wurde der Kl�ger auf die Nutzungsbedingungen der Beklagten, die Datenrichtlinie und die Cookie-Richtlinie hingewiesen. Informationen zu den Privatsph�re-Einstellungen konnten auch im „Hilfe-Bereich“ gefunden werden. Bei der sog. Zielgruppenauswahl legt der Nutzer fest, wer einzelne Informationen (z.B. die Telefonnummer) seines Facebook-Profils einsehen kann, die Suchbarkeits-Einstellungen legen fest, wer das Profil eines Nutzers z.B. anhand der Telefonnummer finden kann. Die Beklagte hatte im fraglichen Zeitraum in Bezug auf die Suchbarkeit des Kl�gers durch die Telefonnummer eine Voreinstellung auf „alle“ vorgenommen, vgl. Screenshot, Seite 36 der Klageerwiderung. Diese Voreinstellung konnte von den Nutzern auf „Freunde von Freunden“, „Freunde“ oder ab Mai 2019 auf „nur ich“ eingeschr�nkt werden. Hierzu wurden Informationen �ber die entsprechenden Optionen zur �nderung der Benutzereinstellungen bereit gestellt, Anlage B 5. Die Suchbarkeits-Einstellungen befinden sich im Abschnitt „Privatsph�re“ des Haupteinstellungsmen�s im Konto eines Nutzers, zu dem man direkt von der Startseite aus nach der Anmeldung im Konto gelangen kann. Im „Hilfe-Bereich“ wurde u.a. darauf hingewiesen, dass man kontrollieren kann, wer die Telefonnummer sehen kann. Au�erdem konnte ein sog. „Privatsph�re-Check“ durchgef�hrt werden, vgl. Seite 11 der Klage, Anlage B 8. Nutzer wurden im Hilfebereich zudem dar�ber informiert, zu welchen Zwecken ihre Telefonnummer verarbeitet werden kann, Anlage B 6. Die Nutzer wurden weiter dar�ber informiert, dass sie ihre Telefonnummer auch jederzeit entfernen k�nnen, Anlage B 7.

6 Die irische Datenschutzbeh�rde (Data Protection Commission) leitete im April 2021 ein Verfahren gegen die Beklagte ein und verh�ngte im November 2022 auf der Grundlage von Art. 83 DSGVO ein Bu�geld gegen die Beklagte, da aus ihrer Sicht die Beklagte gegen Art. 25 DSGVO versto�en habe. Die Beklagte legte dagegen Berufung ein, �ber die noch nicht entschieden ist.

7 Der Kl�ger tr�gt vor, dass die Beklagte gegen eine Vielzahl von Vorschriften der DSGVO versto�en habe und deshalb die von ihm geltend gemachten Anspr�che begr�ndet seien. Die Beklagte stellt dies in Abrede und verweist insbesondere darauf, dass sie im fraglichen Zeitraum ausreichende Sicherheitsma�nahmen ergriffen h�tte, um sog. Scraping zu verhindern.

8 Hinsichtlich der weiteren Einzelheiten des Sach- und Streitstandes wird auf die tats�chlichen Feststellungen im landgerichtlichen Urteil Bezug genommen, � 540 Abs. 1 ZPO.

9 Das Landgericht Ingolstadt hat mit Urteil vom 01.06.2023 nach Anh�rung des Kl�gers die Klage abgewiesen. Es konnte sich auf der Grundlage des schrifts�tzlichen Vorbringens in Verbindung mit der pers�nlichen Anh�rung des Kl�gers keine �berzeugung vom Vorhandensein eines immateriellen Schadens bilden.

10 Dagegen richtet sich die Berufung des Kl�gers, der seine erstinstanzlich geltend gemachten Anspr�che mit dem Rechtsmittel vollumf�nglich weiter verfolgt. Er ist der Meinung, dass die Beklagte diverse Verst��e gegen die DSGVO begangen habe, was beim Kl�ger zu einem Kontrollverlust �ber seine Daten gef�hrt habe. Der Kontrollverlust habe bei ihm ein Gef�hl des Unbehagens und der Sorge vor einem m�glichen Missbrauch seiner pers�nlichen Informationen hinterlassen. Seit dem Vorfall erhalte der Kl�ger unregelm��ig unbekannte Kontaktversuche �ber sein Telefon, die Betrugsversuche und potentielle Virenlinks enthielten. Die Beklagte habe insbesondere gegen die Verpflichtung zur Implementierung angemessener technischer und organisatorischer Ma�nahmen zum Schutz der personenbezogenen Daten versto�en und durch die Voreinstellung der Suchbarkeit �ber die Telefonnummer auf „alle“ gegen die Verpflichtung einer datenschutzfreundlichen Verarbeitung der Daten versto�en. Hinsichtlich der weiteren Einzelheiten des Berufungsvorbringens wird auf die Berufungsbegr�ndung vom 31.07.2023 und den Schriftsatz vom 06.11.2023 Bezug genommen.

11 Der Kl�ger beantragt in der Berufung unter Aufhebung des am 01.06.2023 zugestellten Urteils des Landgerichts Ingolstadt (81 O 549/22) wie folgt zu erkennen:

1. Die Beklagte wird verurteilt, an die Kl�gerseite immateriellen Schadensersatz in angemessener H�he zu zahlen, dessen H�he in das pflichtgem��e Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Kl�gerseite alle zuk�nftigen Sch�den zu ersetzen, die der Kl�gerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3. Die Beklagte wird verurteilt, es bei Meidung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a. personenbezogenen Daten der Kl�gerseite, namentlich Telefonnummer, FacebookID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten �ber eine Software zum Importieren von Kontakten zug�nglich zu machen, ohne die nach dem Stand der Technik m�glichen Sicherheitsma�nahmen vorzusehen, um die Ausnutzung des Systems f�r andere Zwecke als der Kontaktaufnahme zu verhindern,

b. die Telefonnummer der Kl�gerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der un�bersichtlichen und unvollst�ndigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Information dar�ber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierf�r die Berechtigung verweigert und, im Falle der Nutzung der Facebook-Messenger App, hier ebenfalls die Berechtigung verweigert wird.

4. Die Beklagte wird verurteilt, der Kl�gerseite Auskunft �ber die Kl�gerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empf�nger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten.

5. Die Beklagte wird verurteilt, an die Kl�gerseite vorgerichtliche Rechtsanwaltskosten in H�he von 887,03 € zu zahlen zuz�glich Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

12 Die Beklagte beantragt,

die Berufung zur�ckzuweisen.

13 Die Beklagte bestreitet Verst��e gegen die DSGVO und sieht die angeblichen Gesetzesverletzungen schon nicht vom Schutzbereich des Art. 82 DSGVO umfasst. Auch sei beim Kl�ger kein Schaden entstanden. Der Auskunftsanspruch sei erf�llt. Hinsichtlich der Einzelheiten der Berufungserwiderung wird auf den Schriftsatz der Beklagten vom 26.10.2023 verwiesen.

II.

14 Der Senat beabsichtigt, die Berufung der Klagepartei gegen das Urteil des Landgerichts Ingolstadt vom 01.06.2023 gem�� � 522 Abs. 2 ZPO zur�ckzuweisen, weil er einstimmig der Auffassung ist, dass die Berufung offensichtlich keine Aussicht auf Erfolg hat, der Rechtssache keine grunds�tzliche Bedeutung zukommt, weder die Fortbildung des Rechts- noch die Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Berufungsgerichts erfordert und die Durchf�hrung einer m�ndlichen Verhandlung nicht geboten ist.

15 Gem�� � 513 Abs. 1 ZPO kann die Berufung nur darauf gest�tzt werden, dass das angefochtene Urteil auf einer Rechtsverletzung im Sinne von � 546 ZPO beruht oder nach � 529 ZPO zugrunde zu legende Tatsachen eine andere Entscheidung rechtfertigen. Dies zeigt die Berufungsbegr�ndung nicht auf.

16 Das Urteil des Landgerichts wird im Ergebnis vom Senat vollumf�nglich geteilt.

17 Im Hinblick auf die Berufungsbegr�ndung der Klagepartei sind folgende Ausf�hrungen veranlasst.

1. Zum Antrag 1, Anspruch auf Zahlung eines immateriellen Schadensersatzes, Art. 82 DSGVO:

18 1.1. Der Anwendungsbereich der DSGVO ist in zeitlicher Hinsicht zumindest teilweise und in sachlicher und r�umlicher Hinsicht er�ffnet, Art. 99 Abs. 2, Art. 2 Abs. 1, Art. 4 Nr. 7 DSGVO. Dies stellt auch die Beklagte nicht in Abrede. Der Kl�ger ist aktivlegitimiert, da er vom Data Scraping datenschutzrechtlich betroffen ist und die Beklagte passivlegitimiert, da sie als Betreiberin der Plattform Facebook Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO ist.

19 1.2. Zweifel bestehen jedoch, ob der Beklagten tats�chlich eine relevante Verletzungshandlung zur Last gelegt werden kann, die zu einem Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO f�hrt, wobei der Senat zugunsten der Klagepartei davon ausgeht, dass schon jeglicher Versto� gegen die DSGVO ausreicht und nicht zus�tzlich eine der DSGVO zuwiderlaufende Verarbeitung erforderlich ist (zum Streitstand und zur vorstehenden Auslegung vgl. BeckOK, DatenschutzR/Quaas 46. Ed. 1.11.2023, DS-GVO Art. 82 Rn. 14 -16, K�hling/Buchner/Bergt DS-GVO Art. 82 Rn. 23, 24; Paal/Pauly/Frenzel, 3. Auflage 2021, DS-GVO, Art. 82 Rn. 6; aA Ehmann/Selmayr/Nemitz, 2. Auflage 2018, DS-GVO, Art. 82 Rn. 8; Sydow/Marsch DS-GVO/BDSG/Kre�e, 3. Auflage 2022, DS GVO Art. 82 Rn. 7). Die Frage, ob eine relevante Verletzungshandlung vorliegt, kann hier letztlich dahinstehen bzw. zugunsten des Kl�gers unterstellt werden, weil der geltend gemachte Zahlungsanspruch schon deshalb nicht gegeben ist, da der Senat – wie das Landgericht – nicht davon �berzeugt ist, dass dem Kl�ger ein Schaden entstanden ist. Gleichwohl geht der Senat in Bezug auf die von der Klagepartei behaupteten Verst��e gegen die DSGVO auf die wesentlichen Aspekte ein:

20 1.2.1. Ein Versto� gegen Informationspflichten sowie der Vorwurf einer mangelnden Transparenz der Information d�rfte nicht gegeben sein, Art. 5 Abs. 1 a, Art. 13, Art. 14 DSGVO. Die Beklagte hat ihre Nutzer im streitgegenst�ndlichen Zeitraum im Rahmen ihrer Datenrichtlinie, dem Hilfebereich und in Bezug auf die Verwendung der Daten, insbesondere auch die Verwendung der Telefonnummer sowie die damals noch bestehenden Kontakt-Import Funktion aufgekl�rt. Sie hat klare Informationen zur Verf�gung gestellt, die verst�ndlich und zug�nglich waren. Diese sind sinnvoll in mehreren Ebenen und mit verlinkten Einstellungsm�glichkeiten angelegt und geben Auskunft �ber s�mtliche Nutzungs- und Suchbarkeitsoptionen. Der Nutzer von Facebook wird darauf aufmerksam gemacht, dass er die Privatsph�re-Einstellungen individuell anpassen kann. Die Datenschutzinformationen sind zwar unvermeidlich umfangreich, gleichwohl aber nicht un�bersichtlich. �ber die Zwecke der Datenverarbeitung d�rfte die Beklagte ausreichend aufgekl�rt und eine selbstbestimmte Nutzung der Dienste erm�glicht haben, gerade auch durch die Zusatzfunktion „Privatsph�re-Check“. In diesem Zusammenhang wird auf den von der Klagepartei selbst in die Klage auf Seite 11 eingef�gten Screenshot verwiesen, worin �ber die Frage aufgekl�rt wird „Wer kann dich anhand der angegebenen Telefonnummer finden ?“. Die Befassung mit den Privatsph�re-Einstellungen vor dem Hintergrund des Schutzes eigener Daten kann von den Nutzern der Beklagten, die selbst auch eine gewisse Verantwortung f�r den Umgang ihrer pers�nlichen Daten in sozialen Netzwerken oder im Internet im Allgemeinen haben, durchaus verlangt werden; so auch LG Detmold, Urteil vom 28.03.2023 – 02 O 85/22, Rn. 28, juris.

21 1.2.2. Der Senat hat weiter auch Zweifel, ob die Beklagte gegen die Pflicht zur Implementierung angemessener technischer und organisatorischer Ma�nahmen versto�en hat, Art. 5 Abs. 1 f, Art. 24, Art. 25, Art. 32 DSGVO. Diese Normen verlangen vom Verantwortlichen, der auch eine dahingehende Beweislast hat (vgl. Urteil des EuGH vom 14.12.2023 – C-340/21, Rn. 52), einen rechtm��igen und verantwortungsbewussten Umgang mit der Verarbeitung der Daten. Ein Versto� gegen diese Normen w�re nur dann begr�ndet, wenn die Beklagte aus der Sicht ex ante nach dem damaligen Stand der Technik strengere Ma�nahmen h�tte ergreifen m�ssen. Ein Versto� gegen Art. 32 DSGVO k�nnte schon deshalb ausscheiden, weil die betroffenen Daten unstreitig �ffentlich einsehbar waren, so LG Aachen, Urteil vom 22.02.2023 – 8 O 177/22, GRUR-RS 2023, 2621. Zudem ist Art. 32 DSGVO nicht als absolute Gew�hrleistung der Datensicherheit konzipiert.

22 Auch mussten von der Beklagten nicht alle theoretisch denkbaren Missbrauchspotenziale und -konstellationen pr�ventiv antizipiert werden. Es kann zwar davon ausgegangen werden, dass mit der Kontakt-Import-Funktion gewisse Risiken einer Verletzung des Schutzes personenbezogener Daten einhergingen, allerdings gab es in der Vergangenheit vor dem streitgegenst�ndlichen Vorfall unstreitig bei der Beklagten keinerlei derartige Data-Scraping Vorf�lle, so dass die Eintrittswahrscheinlichkeit aus der Sicht ex ante gering eingesch�tzt werden durfte. Die Schwere der m�glichen Risiken durfte ebenfalls als gering eingesch�tzt werden, weil es sich bei den von den Scrapern abgegriffenen Daten nur um �ffentlich zug�ngliche Informationen handelt, die von Nutzern der Beklagten, wie auch dem Kl�ger, freiwillig preisgegeben worden sind. Die Beklagte hat in der Wahl der Mittel zur Risikobegrenzung zudem einen Ermessensspielraum, vgl. K�hling/Buchner/Jandt, 4. Aufl. 2023, DS-GVO Art. 32 Rn. 8, der mit den von der Beklagten vorgetragenen (von der Klagepartei mit Nichtwissen bestrittenen und hier als zutreffend unterstellten) Ma�nahmen, wie �bertragungsbegrenzungen und Bot-Erkennung durch Captcha-Abfragen jedenfalls nicht offensichtlich fehlerhaft ausgenutzt worden sein d�rfte. Die Beklagte besch�ftigte zudem schon damals ein Team von Datenanalysten und Softwareingenieuren zur Verhinderung von Scraping-Aktivit�ten. Das Data-Scraping frei bzw. �ffentlich zug�nglicher Informationen h�tte durch die individuellen Entscheidungen des Kl�gers in den Suchbarkeitseinstellungen ohne Weiteres verhindert werden k�nnen. Entsprechende Anleitungen zur �nderung der Optionen wurden von der Beklagten bereit gestellt.

23 Der Kl�ger verh�lt sich auch widerspr�chlich, wenn er einerseits freiwillig und eigenverantwortlich personenbezogene Daten auf Facebook mitteilt, um an dem sozialen Netzwerk, das auf das Finden von „Freunden“ und einen Austausch sowie Kommunikation ausgerichtet ist, teilnehmen zu k�nnen, sich andererseits aber auf das Fehlen hinreichender Sicherheitsma�nahmen hinsichtlich frei abrufbarer Daten beruft, vgl. auch LG Kiel, Urteil vom 12.01.2023, ZD 2023, 282; AG Strausberg, Urteil vom 13.10.2022 – 25 C 95/21, BeckRS 2022, 27811.

24 Dem Senat ist bewusst, dass das OLG Hamm in seinem Urteil vom 15.08.2023 – 7 U 19/23, GRUR 2023, 1791, dazu eine andere Ansicht vertritt, letztlich wurde aber auch dort ein Schadensersatzanspruch verneint. Zwar mag es schon damals anstelle der Kontakt-Import-Funktion die heute verwendete gleichwertige Funktion „people you may know“ gegeben haben, allerdings sind vorliegend keine Anhaltspunkte ersichtlich, dass der Beklagten bereits ab Beginn der Scraping-Vorf�lle die Kontakt-Import-Funktion als „Schwachstelle“ bekannt gewesen ist, was zu einer unverz�glichen Einschr�nkung dieser Funktion h�tte f�hren m�ssen.

25 1.2.3. Der Senat sieht vorliegend nach vorl�ufiger Bewertung der Sach- und Rechtslage auch keinen Datenschutzversto� durch Technikdesign infolge der gew�hlten Voreinstellung, Art. 25 DSGVO. Diese Vorschrift bedeutet im Grundsatz, dass ein Produkt oder Dienst f�r den Nutzer bereits ohne weiteres Zutun beim ersten Einschalten bzw. Aufruf die datenschutzfreundlichsten Einstellungen und Komponenten aufweisen soll, vgl. K�hling/ Buchner/Hartung, 4. Auflage 2024, DS-GVO Art. 25 Rn. 24. Der Verantwortliche wird verpflichtet durch geeignete technische und organisatorische Ma�nahmen sicherzustellen, dass durch eine Voreinstellung im technischen Verfahren nur die personenbezogenen Daten verarbeitet werden, deren Verarbeitung f�r den jeweiligen bestimmten Verarbeitungszweck erforderlich sind. Die hier von der Beklagten getroffene Voreinstellung im Rahmen der Suchbarkeit durch die Telefonnummer auf „alle“ d�rfte indessen keinen Versto� gegen Art. 25 DSGVO darstellen, weil insoweit der Gesamtkontext des sozialen Netzwerkes sowie das Gesch�ftsmodell der Beklagten, das insbesondere in dem Finden von „Freunden“ liegt, zu ber�cksichtigen ist. Der von der Beklagten bereit gestellte Facebook-Dienst hat weltweit ca. 2,8 Milliarden Nutzer, so dass die Suchbarkeit allein anhand des Namens in der Regel nicht ausreicht, um einen anderen Nutzer zu finden. Insofern weist die Angabe der Telefonnummer eine h�here Trefferwahrscheinlichkeit auf, so auch LG Kiel, Urteil vom 12.01.2023 – 6 O 154/22, GRUR-RS 2023, 328. Es entspricht dem charakteristischen Wesen eines sozialen Netzwerkes, dass personenbezogene Daten erhoben und durch die Nutzer nach den selbst konfigurierten Privatsph�re-Einstellungen �ffentlich zug�nglich gemacht werden. Zudem erlegt Art. 25 Abs. 2 DSGVO dem Verantwortlichen nicht die Pflicht auf, stets die datenschutzfreudlichste, sondern (nur) die im Rahmen der Erforderlichkeit des Verarbeitungszwecks datenschutzfreundlichste Voreinstellung zu treffen, BeckOK/DatenschutzR/Paulus, 46. Ed. 1.11.202, DS-GVO Art. 25 Rn. 8. Es m�ssen also lediglich geeignete, technische und organisatorische Ma�nahmen getroffen werden, um ein dem Risiko angemessenes Schutzniveau zu gew�hrleisten. Dies ist bei einer Kontaktplattform auch dadurch m�glich, dass dem Nutzer durch Anleitungen und Hilfen die M�glichkeit gegeben wird, die Einstellungen enger zu fassen und einen „privacy check“ durchzuf�hren, so auch OLG M�nchen, Hinweisverf�gung vom 14.09.2023, Az. 14 U 3190/23 e, GRUR-RS 2023, 24733. Auch m�ssen Nutzer eines sozialen Netzwerkes damit rechnen, dass frei bzw. �ffentlich zug�nglich gemachte oder suchbare personenbezogene Daten ggf. kopiert und anderweitig ver�ffentlicht werden, vgl. LG Essen, Urteil vom 10.11.2022 – 6 O 111/22, GRUR-RS 2022, 34818, Rn. 18.

26 Wie oben bereits ausgef�hrt, l�sst der Senat jedoch die Frage, ob eine Verletzungshandlung durch die Beklagte vorliegt, ausdr�cklich dahinstehen. Im Hinblick darauf, dass der Senat keinen immateriellen Schaden beim Kl�ger sieht, kommt es hierauf nicht entscheidungserheblich an.

27 1.3. F�r das Vorliegen eines Schadens reicht die blo�e Verletzung von Vorschriften der DSGVO nicht aus, vielmehr muss im Einzelfall ein konkreter Schaden vorliegen, wobei ein gewisser Grad an Erheblichkeit nicht erforderlich ist, EuGH, Urteil vom 14.12.2023 – C-340/21, Rn. 78 und Urteil vom 04.05.2023 – C-300/21, Rn. 51.

28 Zwar hat der EuGH zuletzt in den Rechtssachen C-340/21 und C-678/21 den auch vom Kl�ger geltend gemachten Verlust �ber die Kontrolle der eigenen Daten infolge eines Versto�es gegen die DSGVO und weiter auch die Bef�rchtung einer Person, dass ihre personenbezogenen Daten durch Dritte missbr�uchlich verwendet werden k�nnten, grunds�tzlich als m�glichen immateriellen Schaden ausreichen lassen. In den genannten Entscheidungen wurde aber jeweils betont, dass das angerufene nationale Gericht pr�fen muss, ob der behauptete Kontrollverlust und die Bef�rchtung missbr�uchlicher Verwendung von personenbezogenen Daten unter den gegebenen besonderen Umst�nden und im Hinblick auf die betroffene Person als begr�ndet angesehen werden kann, was letztlich Tatfragen des Einzelfalls sind.

29 Im Einklang mit dem Landgericht kann der Senat aufgrund der Angaben des Kl�gers bei seiner pers�nlichen Anh�rung vor dem Landgericht nicht erkennen, dass der Kl�ger tats�chlich einen solchen Schaden erlitten hat, wof�r er den Nachweis erbringen muss (EuGH, Urteil vom 14.12.2023 – C-340/21, Rn. 84). Der Senat schlie�t sich hier vollumf�nglich der W�rdigung der Aussage des Kl�gers durch das Landgericht an. Mit den im Urteil diesbez�glich angestellten Erw�gungen setzt sich die Berufung nicht auseinander, sondern wiederholt nur ihren bereits erstinstanzlich gebrachten Vortrag, der in dieser Weise auch in anderen von den Kl�gervertretern betriebenen Verfahren formelhaft gebracht wird.

30 Anders als im schrifts�tzlichen Vorbringen hat der Kl�ger bei seiner Anh�rung schon keine Bef�rchtung einer missbr�uchlichen Verwendung seiner Telefonnummer ge�u�ert, sondern lediglich erkl�rt, dass er gerne „Herr seiner Daten“ sein und bleiben wolle. Er wolle verhindern, dass so etwas nochmals vorkomme und er wolle Ersatz f�r seinen zeitlichen Aufwand. Dieser bestehe darin, dass er Anrufe erhalte, deren Beantwortung ihn wahnsinnig viel Zeit kosten w�rden. Auch habe er bei verschiedenen SMS die Angst, dass seine Kinder mit seinem Handy irgendwelche Best�tigungen durchf�hrten, die dann zu Verpflichtungen f�hrten. Trotz dieser vom Kl�ger beschriebenen Umst�nde hat er aber sein Verhalten in keiner Weise ge�ndert, insbesondere auch nicht die Einstellung der Telefonnummer im Rahmen der Suchbarkeit auf dem Portal der Beklagten, das nach wie vor auf „alle“ lautet, ge�ndert, was aber zu erwarten w�re. Gerade die Voreinstellung auf „alle“ bei der Suchbarkeit greift der Kl�ger mit seiner Klage an und f�hrt aus, dass er auf die �nderungsm�glichkeiten nicht transparent genug hingewiesen worden sei und dass genau diese Funktion dazu gef�hrt habe, dass im Darknet nun seine Telefonnummer, verkn�pft mit dem Namen zu finden sei. Inzwischen ist der Kl�ger jedenfalls �ber seine Prozessbevollm�chtigten vollumf�nglich dar�ber informiert, wie sich diese Einstellung �ndern l�sst. Gleichwohl sieht der Kl�ger offensichtlich bis jetzt keine Veranlassung hieran etwas zu �ndern. Dass inzwischen eine andere Einstellungsoption gew�hlt worden w�re, was der Kl�ger bei seiner Anh�rung vor dem Landgericht angek�ndigt hatte, wird mit der Berufung jedenfalls nicht vorgetragen. Insoweit teilt der Senat vollumf�nglich den vom Landgericht beschriebenen Eindruck, dass der Kl�ger einen �u�erst sorglosen Umgang mit seinen Daten vermittelt, obwohl er doch selbst angibt, er wolle „Herr der Daten“ sein. Gerade als Software-Entwickler sollte es f�r den Kl�ger ein leichtes sein, die entsprechende Einstellung der Suchbarkeit zu �ndern. Soweit der Kl�ger seine Besorgnis darauf st�tzt, dass seine Kinder m�glicherweise auf unbekannte SMS derart reagieren k�nnten, dass ihm m�glicherweise nicht gewollte Verpflichtungen entst�nden, obliegt es dem Kl�ger selbst, sein Handy vor dem Zugriff seiner Kinder zu sch�tzen, z.B. durch sichere Verwahrung, Verwendung eines Passwortes oder einer FaceID.

31 Die vom Kl�ger geschilderten Umst�nde k�nnten nur dann einen ersatzpflichtigen Schaden begr�nden, wenn der Gesch�digte diese pers�nlich erlebt und sie ihn seelisch belastet, mithin psychisch beeintr�chtigt h�tten, so auch Schlussantr�ge des Generalanwalts Giovanni Pitruzella vom 27.04.2022 – C-340/21, Rn. 83. Derartiges ist der Aussage des Kl�gers aber nicht zu entnehmen, so dass der Eintritt eines immateriellen Schadens nicht �berwiegend wahrscheinlich im Sinne von � 287 Abs. 1 ZPO ist.

32 Der vom Kl�ger nur schrifts�tzlich geltend gemachte Kontrollverlust ist f�r den Senat schon nicht nachvollziehbar, weil die nach dem kl�gerischen Vortrag den Gegenstand der Verletzung von Vorschriften der DSGVO bildenden Daten aus dem �ffentlich zug�nglichen Profil des Kl�gers stammen, die damit nicht mehr unter der ausschlie�lichen kl�gerischen Kontrolle waren, so auch LG Bielefeld, Urteil vom 19.12.2022 – 8 O 182/22, Rn. 39, juris.

33 1.4. Letztlich fehlt es aber auch an der dritten Voraussetzung f�r einen Schadensersatzanspruch, der Kausalit�t zwischen einer tatbestandsm��igen Verletzungshandlung und dem Schaden. Die Beweislast f�r diese Voraussetzung obliegt dem Anspruchsberechtigten, was den allgemeinen deliktischen Voraussetzungen entspricht. Eine Beweislastumkehr ist Art. 82 DSGVO nur bez�glich des Gesichtspunkts des Verschuldens zu entnehmen, vgl. BeckOK DatenschutzR/Quaas, 46. Ed. 1.11.2023, DS-GVO Art. 82 Rn. 16-27. Den Nachweis der erforderlichen Kausalit�t hat der Kl�ger jedoch nicht gef�hrt, denn gerichtsbekannt erhalten auch Personen „dubiose“ Telefonanrufe oder SMS von unbekannten Nummern, die keine Nutzer von Facebook sind.

34 1.5. Vor diesem Hintergrund kann die weitere Frage dahinstehen, wie die H�he eines Schadensersatzanspruchs zu ermitteln ist.

2. Feststellungsantrag:

35 Die mit dem Antrag zu 2 verfolgte Feststellungsklage ist bereits unzul�ssig, weil es am notwendigen Feststellungsinteresse nach � 256 Abs. 1 ZPO fehlt. Die M�glichkeit eines Schadenseintritts (vgl. BGH, Urteil vom 29.06.2021 – VI ZR 52/18) materieller oder immaterieller Art ist durch den Kl�ger weder hinreichend dargelegt noch ersichtlich. Gerade im Hinblick auf die vergangene Zeit ist auch nicht damit zu rechnen, dass zuk�nftige Sch�den noch eintreten werden. Jedenfalls w�re der Feststellungsantrag aber unbegr�ndet, weil der Eintritt k�nftiger Sch�den mangels eines bereits eingetretenen Schadens nicht hinreichend wahrscheinlich ist.

3. Unterlassungsklage

36 3.1. Bei der mit Antrag zu 3a verfolgten Unterlassungsklage handelt es sich tats�chlich um eine verdeckte Leistungsklage, die unabh�ngig davon, ob sie ausreichend bestimmt ist (� 253 Abs. 2 Nr. 2 ZPO) ebenfalls bereits unzul�ssig ist. Ob eine Handlungspflicht auferlegt oder Unterlassung gefordert wird, ist im Wege der Auslegung mit Blick auf den Schwerpunkt der jeweils in Rede stehenden Verpflichtung zu beurteilen. Vorliegend fordert der Kl�ger mit Antrag zu 3a aber im Schwerpunkt ein aktives Tun, das nicht nach � 890 ZPO, sondern als vertretbare Handlung nach � 887 ZPO zu vollstrecken ist, n�mlich zuk�nftig Kontakt-Import-Funktionen nur im Einklang mit den einzuhaltenden Sicherheitsvorkehrungen freizuschalten, um Zugriffe unbefugter Dritter nach M�glichkeit von vornherein zu verhindern, so wie es die DSGVO verlangt. Der Kl�ger will gar kein Unterlassen der Nutzung der Kontakt-Import-Funktion, was er auch durch eine schlichte Umstellung der Suchbarkeitseinstellungen h�tte erreichen k�nnen, sondern er will, dass irgendeine andere Kontakt-Import-Funktion unter Wahrung der Sicherheitsanforderungen genutzt werden kann. Der Antrag ist damit auf ein zuk�nftiges aktives Tun gerichtet, das an � 259 ZPO zu messen ist. Da die Kontakt-Import-Funktion sp�testens seit September 2019 nicht mehr existiert, besteht keine Besorgnis nicht rechtzeitiger Leistung. Es ist auch nicht ersichtlich, dass die Beklagte k�nftig die gesetzlichen Vorgaben der DSGVO nicht umsetzen wird, zumal sie ein hohes Eigeninteresse daran hat, dass es zu keinen weiteren Scraping-Vorf�llen mit einhergehenden Klagen und Bu�geldverfahren kommt. Zudem fehlt dem Antrag das erforderliche Rechtschutzbed�rfnis mit Blick auf die �ffentlichen Nutzerdaten. In dem gestellten Antrag werden auch weitere Daten wie Bundesland, Land, Stadt und Beziehungsstatus genannt, die der Kl�ger nach den Ausf�hrungen in der Klage gegen�ber der Beklagten gar nicht angegeben hat. Der Antrag erweckt damit den Anschein, dass der Kl�ger allein die Allgemeinheit vor der Beklagten sch�tzen will.

37 3.2. Auch die mit Antrag 3b verfolgte Unterlassungsklage ist unzul�ssig.

38 Soweit der Antrag tats�chlich als Unterlassungsantrag dahingehend zu verstehen w�re, dass die Beklagte die fortgesetzte Verarbeitung ohne informierte Einwilligung zu unterlassen hat, ist die Klage wegen fehlenden Rechtsschutzbed�rfnisses unzul�ssig. Der Kl�ger wurde sp�testens durch seine Prozessbevollm�chtigten �ber die Sichtbarkeit- und Suchbarkeitsfunktion informiert und hatte Gelegenheit, diese Einstellungen umzustellen. Soweit der Antrag auf zuk�nftige Leistung gerichtet ist, weil eine Wiederholung bef�rchtet wird, liegt nach dem Schwerpunkt des Rechtsschutzbegehrens in der Sache erneut kein Unterlassen vor, das nach � 890 Abs. 2 ZPO vollstreckt werden k�nnte, sondern eine Leistungsklage, gerichtet auf ein aktives Tun. Die Klage ist darauf gerichtet, dass zuk�nftig die Mobilfunktelefonnummer nur nach Ma�gabe einer in Folge ausreichender Information wirksam erteilten Einwilligung im Rahmen einer Suchfunktion zu verarbeiten ist. Diese verdeckte Leistungsklage wahrt nicht die Grenzen des � 259 ZPO. Wegen der endg�ltigen Abschaffung der Kontakt-Import-Funktion besteht keine Besorgnis einer Leistungsverweigerung.

39 Der Senat schlie�t sich hier vollumf�nglich den Ausf�hrungen des OLG Hamm in dessen Urteil vom 15.08.2023 – 7 U 19/23, GRUR 2023, 1791, an.

40 Auf die vom BGH im Beschluss vom 26.09.2023 – VI ZR 97/22 aufgeworfenen Fragen zum Unterlassungsanspruch kommt es insoweit nicht an, so dass ein Abwarten der Entscheidung des EuGH nicht geboten ist.

41 4. Die mit dem Antrag nur 4 verfolgte Auskunftsklage ist unbegr�ndet, weil die Beklagte die entsprechende Auskunft mit Schreiben vom 17.11.2021, Anlage K 2, erf�llt hat, � 362 Abs. 1 BGB. Im �brigen geht das Auskunftsbegehren zu weit, Art. 12 Abs. 5, S. 2 Buchst. b DSGVO. Der konkrete Zeitpunkt, wann das Scraping stattgefunden hat, ist f�r den Kl�ger ohne weitere Relevanz, zumal der Zeitpunkt f�r die Ver�ffentlichung des Leak-Datensatzes feststeht. Etwas anderes ergibt sich auch nicht aus der Entscheidung des EuGH, Urteil vom 12.01.2023, C-154/21. Darin wird zwar ausgef�hrt, dass der Verantwortliche verpflichtet ist, einer betroffenen Person gem. Art. 15 DSGV die konkrete Identit�t der Empf�nger von Daten mitzuteilen. Voraussetzung ist aber, dass der Verantwortliche diese Daten gegen�ber Empf�ngern offengelegt hat. Eine derartige Offenlegung ist aber im Fall des Scrapings zu verneinen. Der Anspruch ist im �brigen nach dem Urteil auch ausgeschlossen, wenn es dem Verantwortlichen nicht m�glich ist, die Empf�nger zu identifizieren oder wenn der Auskunftsanspruch offenkundig unbegr�ndet oder exzessiv ist. Diese Voraussetzungen liegen hier vor. Insoweit wird auf die obigen Ausf�hrungen verwiesen. Welche Zwecke der Kl�ger mit den weiteren Informationen verfolgt, wird auch nicht dargelegt.

42 5. Da die Klage insgesamt keinen Erfolg hat, schuldet die Beklagte auch keinen Ersatz von vorgerichtlichen Rechtsanwaltskosten.

III.

43 Im Hinblick auf die obigen Ausf�hrungen wird der Klagepartei die R�cknahme ihrer offensichtlich aussichtslosen Berufung empfohlen. Auf die in Betracht kommende Erm��igung der Gerichtsgeb�hren von 4,0 auf 2,0 (vgl. KV Nr. 1220, 1222) wird hingewiesen. gez.

titelzeile

Dsgvo, Personenbezogene Daten, Technische und organisatorische Ma�nahmen, Vorgerichtliche Rechtsanwaltskosten, Auskunftsanspruch, Verletzungshandlung, Unterlassungsklage, DS-GVO, Facebook, Proze�bevollm�chtigter, Feststellungsantrag, Leistungsklage, Verantwortlichkeit, Rechtsh�ngigkeit, Pers�nliche Anh�rung, Telefonnummer, Vertretbare Handlung, Landgerichte, Erm��igung der Gerichtsgeb�hr, Feststellungsinteresse