AG M�nchen — 2022-08-04 — 211 C 578/22 — Endurteil

Entscheidungsdatum: 2022-08-04

Aktenzeichen: 211 C 578/22

Dokumenttyp: Endurteil

Tenor

1. Die Klage wird abgewiesen.

2. Der Kl�ger hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist vorl�ufig vollstreckbar. Der Kl�ger kann die Vollstreckung der Beklagten durch Sicherheitsleistung in H�he von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in H�he von 110 % des zu vollstreckenden Betrags leistet.

4. Der Streitwert wird auf 4.626,38 € festgesetzt.

Tatbestand

1 Der Kl�ger begehrt von der Beklagten R�ck�bertragung von DC Punkten und Schadensersatz wegen Versto�es gegen die DSGVO und das ZAG.

2 Bei dem Kundenbindungsprogramm DC Punkte handelt es sich um ein Multipartner-Kundenbindungsprogramm. Das Bonusprogramm ist kostenlos. Die teilnehmenden DC Nutzer haben die M�glichkeit, f�r ihre Eink�ufe bei Partnerunternehmen sogenannte DC Punkte zu sammeln. Die DC Partnerunternehmen gew�hren den Kunden, welche ihre Waren oder Dienstleistungen erwerben und dabei das DC Programm nutzen, Rabatte in Form von geldwerten DC Punkten. Die Beklagte ist Betreibergesellschaft des Programms.

3 Jeder DC Nutzer erh�lt eine DC Karte zum Sammeln von DC Punkten in den Gesch�ften teilnehmender Partnerunternehmen. Hierf�r wird die DC Karte beim Bezahlen an der Kasse gescannt und das Partnerunternehmen schreibt dem Kunden die f�r den jeweiligen Kauf gew�hrten DC Punkte automatisch gut. Bei Bestellungen, die online erfolgen, werden die Punkte bei Eingabe der Deutschland-Card Kundennummer im Rahmen des Bestellprozesses gesammelt. Wie viele DC Punkte ein DC Nutzer bei einem konkreten Einkauf als Rabatt erh�lt, entscheiden die DC Partnerunternehmen individuell. Jeder von einem Partnerunternehmen gew�hrte DC Punkt hat einen Geldwert von einem Cent. DC Punkte k�nnen u.a. in Pr�mien eingetauscht, oder in Gutscheine eingetauscht werden.

4 Jeder DC Nutzer kann sein DC Konto online verwalten und dort seine pers�nlichen Daten sowie die gesammelten und eingel�sten DC Punkte einsehen. Bei den einzusehenden pers�nlichen Daten der Nutzer handelt es sich um: Anrede, Titel, Vor- und Nachname, Postanschrift, E-Mail-Adresse, Telefon- und/oder Mobilfunknummer sowie das Geburtsdatum. Bez�glich der Eink�ufe k�nnen Nutzer sehen, bei welchem DC Partnerunternehmen sie wann wie viele Punkte erhalten bzw. eingel�st haben.

5 Der Kl�ger ist Kunde der Beklagten mit der Kundennummer 184 142 2027.

6 In den Teilnahmebedingungen f�r das DC Programm ist u.a. folgendes geregelt:

1. Beschreibung des Programms DC

7 1.1. Das Programm DC erm�glicht es Ihnen, bei allen angeschlossenen Partnerunternehmen DC Punkte insbesondere auf den Bezug von Sach- oder Dienstleistungen zu sammeln und diese auf unterschiedliche Weise (z.B. Pr�mien) wieder einzul�sen. Die Teilnahme ist kostenlos …

5. Sammeln oder Gutschrift der DC Punkte

8 5.1 gegen Vorlage einer DC Karte oder Angabe der Kartennummer k�nnen Sie oder der Mitsammler bei unseren Partnern Guthaben in Form von DC Punkten sammeln.

9 Der Kl�ger konnte sich mit der Eingabe der Kartennummer in Verbindung mit der Angabe des Geburtsdatums und der Postleitzahl in sein Kundenkonto einloggen, Alternativ konnte er sich mit der Eingabe der Kartennummer und einer vierstelligen PINs verifizieren. Die PIN besteht hierbei immer aus einer vierstelligen Zahlenkombination.

10 Die Beklagte setzte ein dokumentiertes Informationssicherheit-Managementsystem um. Der Betrieb des Rechenzentrums wurde regelm��ig durch unabh�ngige Dritte auditiert.

11 Am 05.09.2021 wurden 12.638 DC Punkte des Kl�gers in einen Netto-Warengutschein umgewandelt. Betroffen war das Punktekonto der Klagepartei mit der Kartennummer..., welches zwischenzeitlich von der Beklagten gesperrt wurde. Es wurde in der Netto-App einen Netto-Gutschein generiert. Am streitgegenst�ndlichen Tag fanden bei der Beklagten keine dokumentierten Cyberattacken oder Datenschutzvorf�lle statt.

12 Der Kl�ger behauptet, die am 05.09.2021 f�r die Erstellung der Gutscheine eingel�sten 12.638 DC Punkte seien unbefugt von Dritten eingel�st worden. Der Kl�ger habe seine Zugangsdaten zu keiner Zeit Dritten zur Verf�gung gestellt und er selbst habe am 05.09.2021 keine DC Punkte online gegen einen Netto waren Gutschein eingel�st. Auch sonst habe er die Zahlungsanweisung nicht autorisiert.

13 Der Kl�ger ist der Ansicht, dass er Anspr�che auf R�ck�bertragung der DC habe gem�� � 675 u S. 2 BGB und �� 675 m S. 1, 2810 Abs. 1 BGB. Die Beklagte sei insoweit Zahlungsdienstleister im Sinne der Norm. Ferner bestehe ein solcher Anspruch gem�� � 823 Abs. 2 BGB in Verbindung mit �� 55 Abs. 1 Nr. 2 in Verbindung mit 1 S. 2 Nr. 5 ZAG. Der Kl�ger macht hierzu geltend, dass es sich bei � 55 Abs. 1 ZAG um ein Schutzgesetz im Sinne des � 823 Abs. 1 BGB handele. Bei der Ausgabe der DC Kundenkarte handele es sich um die Ausgabe von Zahlungsinstrumenten im Sinne von � 1 S. 22 Nr. 5 ZAG. Der Kl�ger macht geltend, dass es sich bei den DC Punkten der Beklagten um E-Geld handele. Deshalb sei die Beklagte verpflichtet, eine Zwei-Faktor-Authentifizierung zu verlangen. Der DC Kunde erhalte die DC Punkte nicht unentgeltlich. Der jeweilige Kunde erhalte beim Bezahlvorgang von dem H�ndler einen Skonto in H�he der erzielten Bonuspunkte. Anstatt den Skontobetrag vom Kaufpreis abzuziehen, weise der Kunde den H�ndler an, ihm den �berschie�enden Betrag als Punkte-Gutschrift auszuzahlen. Die Punkte w�rden von der Beklagten emittiert und f�r die Kunden verwaltet.

14 Eine Verletzung des Datenschutzes durch die Beklagte sei auch darin zu sehen, dass die Beklagte die Mindestanforderungen an eine starke Kundenauthentifizierung vernachl�ssige. Die Beklagte habe sich bei der Auswahl und dem Einsatz der personalisierte Sicherheitsmerkmale f�r die Implementierung eines nur einfachen Berechtigungssystems entschieden, welches hinter den Sicherheitsstandards von auf dem aktuellen Stand der Technik befindlichen Systemen zur�ckbleibe. Der Kl�ger habe dadurch die Kontrolle �ber seine personenbezogenen Daten verloren. Der Kl�ger macht geltend, dass die von der Beklagten gestellten Mindestanforderungen an das vom Kunden zu w�hlende Passwort ungeeignet seien. Als Stand der Technik sei eine Mindestl�nge von 10 Zeichen anzusetzen. Eine Einschr�nkung der verwendbaren Zeichen auf Zahlen geh�re nicht zum Stand der Technik. Die bisherigen Sicherheitsvorkehrungen der Beklagten seien nicht geeignet gewesen, ein dem Stand der Technik entsprechendes Schutzniveau zu gew�hrleisten. Daher bestehe ein Anspruch auf Schadensersatz gem�� Art. 82 Abs. 1 DSGVO.

15 Der Kl�ger beantragt:

1. Die Beklagte wird verurteilt, der Klagepartei 12.638 Deutschland Card Punkte, mit einem Gegenwert in H�he von € 126,38 auf ihres bei der Beklagten gef�hrte Konto mit der Kartennummer ... zu �bertragen.

2. Die Beklagte zu wird verurteilt, an die Klagepartei einen Betrag in H�he von mindestens € 4.500,00 nebst Zinsen hieraus in H�he von 5 Prozentpunkten �ber dem Basiszinssatz seit Rechtsh�ngigkeit zu zahlen.

3. Die Beklagte wird verurteilt, der Klagepartei ihre Kosten f�r die au�ergerichtliche Vertretung in H�he von € 818,72 zu bezahlen.

16 Die Beklagte beantragt:

Klageabweisung.

17 Die Beklagte behauptet, dass es sich bei der technischen Verarbeitung von Daten an g�ngigen und anerkannten Sicherheitsrichtlinien orientiere, die das Bundesamt f�r Sicherheit in der Informationstechnik vorg�be. Der Netto-Gutschein sei nicht eingel�st worden. Die Beklagte tr�gt ferner vor, dass die abgebuchten Punkte dem Kl�ger am 07.10.2021 gutgeschrieben worden seien.

18 Bei dem DC Kundenbindungsprogramm handele es sich nicht um E-Geld. Eine starke Kundenauthentifizierung in Form einer Zweifaktorauthentifizierung m�sse daher nicht implementiert werden.

19 Die Beklagte gew�hre f�r das DC Kunden-Login-Konto ein angemessenes technisches und organisatorisches Schutzniveau im Sinne von Art. 32 Abs. 1 DSGVO.

20 Die Beklagte macht geltend, dass weder das ZAG noch � 675 ff. BGB im vorliegenden Fall anwendbar seien.

21 Zur Erg�nzung des Tatbestands wird auf s�mtliche Schrifts�tze der Parteien nebst Anlagen, sowie auf das Protokoll der m�ndlichen Verhandlung vom 30.06.2022 Bezug genommen.

Gründe

22 Die zul�ssige Klage ist unbegr�ndet.

23 I. Die Klage ist zul�ssig. Insbesondere ist das Amtsgericht M�nchen gem�� �� 23 Nr. 1, 71 GVG sachlich und gem�� �� 12, 17 ZPO �rtlich zust�ndig.

24 II. Die Klage ist unbegr�ndet.

25 1. Der Kl�ger hat gegen die Beklagte keinen Anspruch auf Gutschrift von 12.638 Deutschland-Card Punkten auf sein bei der Beklagten gef�hrtes DC Konto.

26 Die Beklagte tr�gt vor, dass sie die streitgegenst�ndlichen DC Punkte aus Kulanz vor Klageeinreichung zur�ckgebucht habe (Schriftsatz vom 23.06.2022, S. 2 = Bl. 121 d.A.) und dass der Kl�ger Zugriff auf sein Konto mit den Punkten habe (Schriftsatz vom 23.06.2022, S. 2 f. = Bl. 121/122 d.A.; Schriftsatz vom 18.07.2022, S. 2 = 132 d.A.). Beides wird vom Kl�ger bestritten (zuletzt Schriftsatz vom 12.07.2022 = Bl. 129 d.A.). Ob Erf�llung eingetreten ist oder nicht, kann dahinstehen. Auf eine Beweiserhebung kommt es insoweit nicht an, da ein Anspruch auf die Gutschrift nicht besteht.

27 a) Ein entsprechender Anspruch ergibt sich nicht aus � 675 u S. 2 BGB.

28 Nach � 675 u Satz 1 BGB hat der Zahlungsdienstleister des Zahlers im Falle eines nicht autorisierten Zahlungsvorgangs gegen diesen keinen Anspruch auf Erstattung seiner Aufwendungen. Gem�� Satz 2 ist der Zahlungsdienstleister verpflichtet, dem Zahler den Zahlungsbetrag unverz�glich zu erstatten und, sofern der Betrag seinem Zahlungskonto belastet worden ist, dieses Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden h�tte.

29 Voraussetzung f�r einen entsprechenden Anspruch des Kl�gers gegen die Beklagte w�re, dass der Beklagte Zahlungsdienstleister des Kl�gers ist. Dies ist vorliegend nicht gegeben. Der Kl�ger behauptet zwar pauschal, dass zwischen der Beklagten und dem Kl�ger ein Zahlungsdienstrahmenvertrag �ber E-Geld nach den �� 675 c Abs. 2, 675f Abs. 2 BGB durch die Teilnahme des Kl�gers am DC Programm abgeschlossen worden sei. Dies ist jedoch ausweislich der Teilnahmebedingungen f�r das DC Programm nicht der Fall, wonach der Kunde lediglich Guthaben bei den teilnehmenden Unternehmen erwirbt, die dem Kunden als DC Kunde von DC Partnerunternehmen in Form von DC Punkten gutgeschrieben werden (Nr. 1.1 der Teilnahmebedingungen). Es liegt damit lediglich eine Verwaltung der DC Punkte vor. F�r den Begriff des Zahlungsdienstleisters wird an die zugrundeliegende Normen des ZAG zur�ckgegriffen (Casper in M�Ko, 8. Aufl. 2020, � 675 c BGB, Rn. 37 ff.). Dessen Voraussetzungen sind nicht erf�llt (s. sogleich unter c)).

30 b) Ein entsprechender Anspruch des Kl�gers ergibt sich auch nicht aus � 675 m Abs. 1 S. 1 BGB in Verbindung mit � 280 Abs. 1 BGB.

31 � 675 m legt die Pflichten eines Zahlungsdienstleisters fest. Der Beklagte ist jedoch kein Zahlungsdienstleister des Kl�gers.

32 c) Ein solcher Anspruch ergibt sich auch nicht aus � 823 Abs. 2 BGB in Verbindung mit �� 55 Abs. 1 Nr. 2 In Verbindung mit � 1 S. 2 Nr. 5 ZAG.

33 Es kann insoweit dahinstehen, ob es sich bei der Vorschrift des � 55 Abs. 1 ZAG um ein Schutzgesetz im Sinne des � 823 Abs. 2 BGB handelt, da die Beklagte nach dem Tatsachenvortrag der Parteien kein Zahlungsdienstleister im Sinne des � 55 ZAG ist.

34 � 55 Abs. 1 ZAG verpflichtet den Zahlungsdienstleister, eine starke Kundenauthentifizierung zu verlangen. Zahlungsdienstleister sind gem�� � 1 Abs. 1 Nr. 2 ZAG E-Geldinstitute im Sinne des Abs. 2 Satz 1 Nr. 1, die im Inland zum Gesch�ftsbetrieb nach diesem Gesetz zugelassen sind, sofern sie Zahlungsdienste erbringen. Gem�� � 1 Abs. 2 Satz 1 Nr. 1 ZAG sind E-Geldemittenten Unternehmen, die das E-Geldgesch�ft betreiben, ohne E-Geldemittenten im Sinne der Nummern 2-4 zu sein. Gem�� � 1 Abs. 2 Satz 2 ZAG ist das E-Geldgesch�ft die Ausgabe von E-Geld. „Ausgabe“ von E-Geld ist die Eingehung der Verpflichtung der E-Geld ausgebenden Stelle zur Leistung gegen�ber dem Berechtigten bzw. demjenigen, der E-Geld als Zahlungsmittel akzeptiert (Schwennike/Auerbach KWG mit ZAG, 4. Aufl., � 1 ZAG, Rn. 99).

35 Entgegen der Behauptung des Kl�gers gibt die Beklagte kein E-Geld heraus. Die Beklagte ist ausweislich der Teilnahmebedingungen zum DC Kundenprogramm keine entsprechende Verpflichtung eingegangen. Sie ist lediglich die Betreiberin des Programms. Ausweislich der Teilnahmebedingungen f�r das DC Programm verwaltet die Beklagte Rabatte und andere Guthaben, die dem Kunden als DC Kunde von den DC Partnerunternehmen in Form von DC Punkten gutgeschrieben werden. Die Verwaltung von E-Geld wird von � 1 Abs. 2 Satz 2 ZAG nicht erfasst (Schwennicke/Auerbach, KWG mit ZAG, 4. Aufl., � 1 Rn. 98). Damit ist die Beklagte nicht Zahlungsdienstleister im Sinne des � 55 Abs. 1 ZAG.

36 Etwas anderes ergibt sich auch nicht daraus, dass die Beklagte die DC zur Abwicklung (z.B. Sammeln und Einl�sen von Punkten) herausgegebenen hat.

37 Dar�ber hinaus handelt es sich bei den DC Punkten nicht um E-Geld. E-Geld ist nach � 1 Abs. 2 S. 3 ZAG jeder elektronisch, darunter auch magnetisch, gespeicherte monet�re Wert in Form einer Forderung an den Emittenten, der gegen Zahlung eines Geldbetrags ausgestellt wird, um damit Zahlungsvorg�nge im Sinne des � 675 f Abs. 4 Satz 1 BGB durchzuf�hren und der auch von anderen nat�rlichen oder juristischen Personen als dem Emittenten angenommen wird. Voraussetzung ist damit, dass die Zahlungseinheiten gegen Zahlung eines Geldbetrages bereitgestellt werden. Die Zahlung eines Geldbetrags erfordert damit eine Gegenleistung des Berechtigten in Form von Bar- oder Buchgeld vor Ausgabe der Zahlungseinheiten. Bei elektronisch gespeicherten Bonuspunkten eines Rabattsystems, die ohne Gegenleistung gew�hrt werden, liegt kein E-Geld vor. Dies ist vorliegend der Fall. Ein DC Kunde zahlt f�r zu erwerbende Waren oder Dienstleistungen den gleichen Endpreis, wie Kunden, die das Programm der Beklagten nicht nutzen. Damit erh�lt der Kunde die Bonuspunkte ohne Gegenleistung.

38 Soweit der Kl�ger behauptet, dass davon ausgegangen werden k�nne, dass die Partner der Beklagten f�r die Gew�hrung der Punkte ein Entgelt zu zahlen haben, wird der Kl�ger auf die Teilnahmebedingungen f�r das DC Programm verwiesen, die Beklagte Rabatte und andere Guthaben verwaltet, die dem Kunden als DC Kunde von den Deutschland-Card Partnerunternehmen in Form von DC Punkten gutgeschrieben werden. Danach erwerben die Partnerunternehmen der Beklagten keine Punkte gegen Entgelt von der Beklagten, sondern gew�hren ihrerseits den Kunden die Rabattpunkte, die von der Beklagten lediglich verwaltet werden. Soweit der Kl�ger vortr�gt, dass die Partnerunternehmen und die Beklagte durch das DC Programm als Gegenleistung Daten �ber das Kaufverhalten der Kunden erlangen, stellt dies keine unmittelbare Gegenleistung zu den einzelnen DC Punkten dar, die der Unentgeltlichkeit Entgegenstehen.

39 d) Ein solcher Anspruch folgt auch nicht aus �� 823 Abs. 2 BGB In Verbindung mit 55 Abs. 1 S. 1, 2 ZAG.

40 Das soeben Gesagte gilt insoweit entsprechend. Die Beklagte ist kein Zahlungsdienstleister.

41 2. Der Kl�ger hat gegen die Beklagte keinen Anspruch auf Zahlung von immateriellem Schadensersatz in H�he von 4.500,00 € aus Art. 82 Abs. 1 DSGVO in Verbindung mit 32 Abs. 1 DSGVO.

42 a) Gem�� Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Versto�es gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter.

43 Zwischen den Parteien ist strittig, ob die Beklagte gegen die Datenschutzgrundverordnung versto�en hat. Der Kl�ger tr�gt nach den allgemeinen zivilprozessualen Grunds�tzen die Darlegungs- und Beweislast f�r die haftungsbegr�ndenden Voraussetzungen (mwN Paulus in: BeckOK, Datenschutzrecht, 37. Ed., Art. 82 DSGVO, Rn. 51; LG M�nchen I, Urt. v. 9.12.2021 - 31 O 16606/20; zu weitgehend LAG Baden-W�rttemberg, Urt. v. 25.02.2021 - 17 Sa 37/20, Rz. 99, die dort angef�hrte Rechenschaftspflicht bezieht sich auf eine Verantwortlichkeit gegen�ber der Beh�rde). Aus Art. 82 Abs. 3 DSGVO ergibt sich lediglich hinsichtlich des Verschuldens eine Beweislastumkehr. Damit tr�gt der Kl�ger die Darlegungs- und Beweislast hinsichtlich eines Versto�es der Beklagten gegen die Datenschutzgrundverordnung und eines daraus kausal entstandenen Schadens.

44 b) Der Kl�ger behauptet, dass die Beklagte die gem�� � 32 Abs. 1 DSGVO erforderlichen Ma�nahmen hinsichtlich des Zugangs des Kl�gers zu dem Kundenkonto nicht getroffen habe.

45 Der Kl�ger macht geltend, dass eine Zwei-Faktor-Authentifizierung Stand der Technik gewesen sei. Er bezieht sich in der Klageschrift zun�chst darauf, dass es sich bei dem Kundenkonto um E-Geld handeln w�rde. Das vom Kl�ger vorgelegte Privatgutachten (Anlage K13 zum Schriftsatz vom 08.06.2022) stellt hinsichtlich der Zwei-Faktor-Authentifizierung ebenfalls auf das Vorliegen eines E-Geld-Kontos ab. Die Beklagte ist jedoch kein Zahlungsdienstleister. Der Kl�ger hat nicht ausreichend dargelegt, dass die Zwei-Faktor-Authentifizierung auch bei blo�en Kundenbindungsprogrammen Stand der Technik ist und die vorliegende Authentifizierung beim Programm der Beklagten diesen nicht erf�llt. Danach sind zwar die einzelnen zum Kunden-Login erforderlichen Informationen teilweise nicht geheim, sondern gegen�ber einzelnen Vertragspartnern anzugeben oder im n�heren Umfeld des Kunden bekannt. F�r die Kombination der verschiedenen Merkmale beim Login wurde dies aber nicht vorgetragen. Auch hat die Beklagte ein dokumentiertes Informationssicherheits-Managementsystem im Unternehmen umgesetzt und unterliegt einer regelm��igen Auditierung durch unabh�ngige Dritte. Dies erfolgt am ISO-Standard 27001 und den Sicherheitslinien des Bundesamtes f�r Sicherheit in der Informationstechnik. Zudem hat die Beklagte ein sogenanntes Security Information and Event Management zur �berwachung implementiert. Ein Versto� hiergegen wurde seitens des Kl�gers nicht vorgetragen. Dar�ber hinaus ist der Stand der Technik nur ein Gesichtspunkt in der von � 32 Abs. 1 und Abs. 2 DSGVO vorgeschrieben Abw�gung. Danach sind unter Ber�cksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umst�nde und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos f�r die Rechte und Freiheiten nat�rlicher Personen geeignete technische und organisatorische Ma�nahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gew�hrleisten. Umst�nde f�r die Gesamtabw�gung aller genannten Faktoren, die danach gegen ein angemessenes Schutzniveau sprechen, werden von dem Kl�ger nicht vorgetragen. Ein Versto� gegen Art. 32 DSGVO liegt danach nicht vor. Aus Art. 32 DSGVO folgt kein Anspruch auf eine Zwei-Faktor-Authentifizierung im vorliegenden Fall.

46 c) Der Kl�ger macht insbesondere geltend, dass die von der Beklagten vorgegebenen Regelungen zum Passwort unzureichend seien und nicht dem Stand der Technik entsprechen w�rden. Die Einlog-Modalit�ten sehen vor, dass Kunden sich mit der Eingabe der Kartennummer in Verbindung mit der Angabe des Geburtsdatums und der Postleitzahl in das Kundenkonto einloggen k�nnen oder mit der Eingabe der Kartennummer und einer vierstelligen PIN, die aus einer vierstelligen Zahlenkombination besteht. Der Kl�ger f�hrt aus, dass als Stand der Technik eine Mindestl�nge von 10 Zeichen anzusehen sei und eine Einschr�nkung der verwendbaren Zeichen nicht zum Stand der Technik geh�re. Insoweit �bersieht die Argumentation, dass dar�ber hinaus auch die Kartennummer als zus�tzliche Anforderung erforderlich ist.

47 Ein etwaiger Versto� der Beklagten gegen Art. 32 DSGVO - wie hier nicht - w�re jedenfalls auch nicht kausal f�r den behaupteten Punkteklau. Nach Vortrag der Beklagten in der Klageerwiderung (S. 9 f.) ist es technisch zwingen notwendig f�r die Einl�sung der DC Punkte in einen Warengutschein f�r Netto, die Netto-App zu nutzen und diese mit dem Deutschland-Card-Konto zu verbinden. Eine M�glichkeit Netto-Gutscheine im Pr�mienshop der Beklagten mit Punkten zu erwerben besteht nicht (Anlage B6 zum Schriftsatz vom 23.06.2022). Auf diese Netto-App hat die Beklagte keinen Einfluss. Inwieweit durch die Verkn�pfung des Programms der Beklagten mit der App ein Versto� gegen Art. 32 DSGVO vorliegen soll, hat der darlegungs- und beweisbelastete Kl�ger nickt substantiiert vorgetragen. Es liegt damit kein Versto� der Beklagten gegen Art. 32 DSGVO vor.

48 3. Da die geltend gemachten Hauptforderungen nicht bestehen, hat der Kl�ger gegen die Beklagte auch keinen Anspruch auf Zahlung von vorgerichtlichen Anwaltskosten.

49 III. Die Kostenentscheidung folgt aus � 91 Abs. 1 S. 1 ZPO. Die Entscheidung �ber die vorl�ufige Vollstreckbarkeit aus �� 709 Nr. 11, 711 ZPO.

Leitsatz

Es verst��t nicht gegen � 32 Abs. 1 DSGVO, wenn der Anbieter eines Kundenbindungsprogramms keine Zwei-Faktor-Authentifizierung vornimmt. (Rn. 41 – 47) (redaktioneller Leitsatz)

titelzeile

Sicherheitsanforderungen bei Kundenbindungsprogrammen