LG N�rnberg-F�rth 10. Zivilkammer — 2024-05-15 — 10 O 5225/23 — Endurteil

Entscheidungsdatum: 2024-05-15

Aktenzeichen: 10 O 5225/23

Dokumenttyp: Endurteil

Tenor

1. Die Klage wird abgewiesen.

2. Der Kl�ger hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist vorl�ufig vollstreckbar. Der Kl�ger kann die Vollstreckung der Beklagten durch Sicherheitsleistung in H�he von 110% des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in H�he von 110 % des zu vollstreckenden Betrags leistet.

Beschluss

Der Streitwert wird auf 2.500,00 € festgesetzt.

Tatbestand

1 Die Parteien streiten �ber Anspr�che auf Schadensersatz, Feststellung k�nftiger Sch�den, Unterlassung sowie Auskunft wegen von der Klagepartei geltend gemachter Verst��e gegen die Datenschutzgrundverordnung.

2 Die Beklagte betreibt einen Musikstreaming-Dienst. Die Klagepartei nutzte den Musikstreaming-Dienst der Beklagten. Die Beklagte beauftragte das Unternehmen … Ltd. (Im Folgenden: „Auftragsverarbeiter“), die Muttergesellschaft von „…“, um Kundendatenverwaltungsdienste („…“) f�r die Beklagte vorzunehmen.

3 Unbekannte Dritte haben personenbezogene Daten der Nutzer der Beklagten entwendet, boten die Datens�tze von Nutzern seit dem 06.11.2022 zum Verkauf im Darknet und diese seit dem 23.11.2022 f�r jedermann frei zug�nglich zum Herunterladen an.

4 In den abgegriffenen Datens�tzen k�nnen der Name, Vorname, Nutzername, Geburtsdatum, Geschlecht, Sprache, Land, E-Mail-Adresse, User-ID, Daten �ber die Nutzung des … Dienstes (Akquise-Herkunft, kostenloser oder kostenpflichtiger Charakter des Kontos) und Pr�ferenzen (Anzahl der Lieblingssongs, Kommunikationspr�ferenzen) enthalten sein.

5 Mit anwaltlichem Schreiben (Anlage K1) forderte die Kl�gerseite die Beklagte zur Zahlung von Schadensersatz, Erstattung au�ergerichtlicher Rechtsanwaltskosten, Auskunft und Unterlassung auf. Die Beklagte antwortete hierauf mit anwaltlichem Schreiben (Anlage K2) und einer E-Mail (Anlage B14). Sie wies die Anspr�che gr��tenteils zur�ck und antwortete auf das Auskunftsbegehren. Wegen der Einzelheiten wird auf die Schreiben vollumf�nglich Bezug genommen.

6 Die Klagepartei behauptet, die betroffenen Datens�tze seien bereits im Jahr 2019 von den Hackern abgegriffen worden. Sie sei vom Datenleck bei der Beklagten betroffen. Insoweit seien ihren personenbezogenen Daten in der abrufbaren Datenbank im Darknet enthalten.

7 Die Klagepartei tr�gt vor, die Beklagte habe keine hinreichenden technischen und organisatorischen Ma�nahmen getroffen. Der Datenabgriff sei m�glich gewesen oder zumindest erleichtert worden, weil die Beklagte oder ihre Auftragsverarbeiter nach dem Stand der Technik keine geeigneten Sicherheitsma�nahmen implementiert haben.

8 Die Klagepartei behauptet, sie habe einen Schaden aufgrund der Datenschutzverletzungen und des daraus resultierenden Datenlecks erlitten. Aufgrund des Vorfalls habe sie einen Kontrollverlust �ber die sie betreffenden Daten erlitten und verbliebe in einem Zustand gro�en Unwohlseins und gro�er Sorge, insbesondere �ber den Missbrauch ihrer personenbezogener Daten. Sie erhalte seit dem Vorfall zudem unregelm��ig Kontaktversuche an ihre E-Mail-Adresse. Diese enthielten unter anderem Betrugsversuche und potenzielle Virenlinks. Dies habe dazu gef�hrt, dass sie nur noch mit �u�erster Vorsicht auf jegliche Emails und Nachrichten reagieren k�nne, jedes Mal einen Betrug f�rchte und Unsicherheit versp�re.

9 Die Klagepartei tr�gt weiter vor, sie sei wegen des gesamten Vorgehens der Beklagten verunsichert und ver�rgert. Die Beklagte habe weder die Klagepartei als betroffene Person noch die zust�ndige Aufsichtsbeh�rde von dem Datenleck informiert.

10 Die Klagepartei meint im Wesentlichen, der Klageantrag zu 2) sei hinreichend bestimmt und es bestehe daf�r ein Feststellungsinteresse, da eine gewisse Wahrscheinlichkeit f�r k�nftige Sch�den gegeben sei. Auch das mit dem Klageantrag zu 3) verfolgte Unterlassungsbegehren sei zul�ssig, da mangels konkreter Informationen zu den von der Beklagten vorgenommenen Sicherheitsvorkehrungen ein gewisses Ma� an Verallgemeinerung gestattet sei, auch wenn dies dazu f�hre, dass das Vollstreckungsgericht Wertungen vornehmen m�sse.

11 Die Kl�gerseite ist der Ansicht, ein Schadensersatzanspruch nach Art. 82 DSGVO sei gegeben. Der Anwendungsbereich der DSGVO sei er�ffnet, da die Klagepartei vom Datenleck bei der Beklagten betroffen sei und eine Verarbeitung ihrer personenbezogenen Daten vorl�ge.

12 Die Kl�gerseite meint weiter, die Beklagte habe gegen die DSGVO versto�en. So habe die Beklagte keine hinreichenden technischen und organisatorischen Ma�nahmen gem�� Art. 32 Abs. 1 DSGVO vorgehalten, die Klagepartei als Betroffene (Art. 34 DSGVO) und die Aufsichtsbeh�rde (Art. 33 DSGVO) zu sp�t oder nicht informiert und sie sei dem Auskunftsverlangen der Klagepartei gem�� Art. 15 DSGVO nicht ausreichend nachgekommen.

13 Die Klagepartei ist zudem der Ansicht, ihr sei ein Schaden i.S.d. Art. 82 DSGVO entstanden. So habe sie einen Kontrollverlust erlitten. Sie habe zudem �ngste, Sorgen und Bef�rchtungen vor einem m�glichen k�nftigen Missbrauch ihrer personenbezogenen Daten. Der durch den Kontrollverlust eingetretene Schaden habe sich durch subjektive Beeintr�chtigungen, wie Angst, Stress, Komfort- und Zeiteinbu�en sowie dem Gef�hl des Unwohlseins noch verst�rkt.

14 Die Klagepartei meint weiter, die Kausalit�t zwischen den Verst��en der Beklagten und den Sch�den sei gegeben, da ohne die rechtswidrige Offenlegung der Daten kein signifikanter Kontrollverlust und weitere subjektiven Beeintr�chtigungen bei ihr eingetreten w�ren. Auch k�nne sich die Beklagte nicht gem�� Art. 82 Abs. 3 DSGVO exkulpieren, da die gesetzliche Vermutung des Verschuldens durch die Beklagten nicht widerlegt sei.

15 Die Klagepartei ist weiter der Ansicht, die Beklagte habe das Auskunftsbegehren nicht ordnungsgem�� erf�llt, da insbesondere Angaben zu den konkreten Empf�ngern der personenbezogenen Daten fehlen w�rden.

16 Die Klagepartei beantragt,

1.Die Beklagte wird verurteilt, an die Kl�gerseite immateriellen Schadensersatz in angemessener H�he zu zahlen, dessen H�he in das pflichtgem��e Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

2.Es wird festgestellt, dass die Beklagte verpflichtet ist, der Kl�gerseite alle k�nftigen Sch�den zu ersetzen, die der Kl�gerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3.Die Beklagte wird verurteilt, es bei Meldung eines f�r jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (…) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (…) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, die Kl�gerseite betreffenden personenbezogenen Daten, welche die Beklagte im Rahmen der Account-Erstellung sowie ihm Rahmen der Nutzung des Musikstreaming-Dienstes … verarbeitete, selbst und/oder durch Dritte und/oder Auftragsverarbeiter zu verarbeiten, ohne geeignete technische und organisatorische Ma�nahmen i.S.v. Art. 32 DSGVO zu ergreifen und/oder ergreifen zu lassen, welche die unbefugte Offenlegung von bzw. den unbefugten Zugang zu personenbezogenen Daten betreffend die Kl�gerseite verhindern, wie jedoch geschehen mit Datenvorfall 2019.

4.Die Beklagte wird verurteilt der Kl�gerseite Auskunft �ber die Kl�gerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten von welchem Empf�nger gestohlen wurden und/oder durch welche Empf�nger zu welchem Zeitpunkt durch den Datenvorfall aus dem Jahr 2019 erlangt werden konnten.

5.Die Beklagte wird verurteilt, an die Kl�gerseite vorgerichtliche Rechtsanwaltskosten in H�he von 1054,10 € zu zahlen zuz�glich Zinsen seit Rechtsh�ngigkeit in H�he von 5 Prozentpunkten �ber dem Basiszinssatz.

17 Die Beklagte beantragt,

die Klage abzuweisen.

18 Die Beklagte behauptet, ihre Ermittlungsergebnisse l�gen den Schluss nahe, dass der Hackerangriff erst am 06.11.2022 und nicht im Jahr 2019 stattgefunden habe. Lediglich der abgegriffene Datensatz stamme aus dem Jahr 2019. Der Datensatz weise eine hohe �hnlichkeit zu Daten des Auftragsverarbeiters auf. Die Vertragsbeziehung zu dem Auftragsverarbeiter sei zum 30.11.2020 beendet worden.

19 Die Beklagte tr�gt vor, sie habe sich die L�schung der Datens�tze beim Auftragsverarbeiter bereits am 30.11.2020 zum 01.12.2020 versichern und erneut am 22.02.2023 best�tigen lassen. Der Auftragsverarbeiter habe im Juni 2023 einger�umt, dass drei seiner Mitarbeiter die Datens�tze der Nutzer von einer Produktiv in eine Nicht-Produktivumgebung �berf�hrt haben. Dies sei vertraglich nicht gestattet gewesen und die Beklagte habe hiervon keine Kenntnis gehabt. Einen Angriff auf die eigene IT-Infrastruktur k�nne sie ausschlie�en.

20 Sie habe von dem Cyberangriff erst am 08.11.2022 um 15:33 Uhr Kenntnis erlangt. Die betroffenen Personen habe sie nach Bekanntwerden des Vorfalls am 11.12.2022 auf der unternehmenseigenen Webseite und Anfang 2023 mittels einer individuellen E-Mail �ber den Cyberangriff informiert.

21 Die Beklagte tr�gt vor, ihre und die vom Auftragsverarbeiter getroffenen Sicherheitsvorkehrungen seien dem Risiko angemessen. Ihre eigenen IT-Systeme seien von dem streitgegenst�ndlichen Cyberangriff nicht betroffen.

22 Die Beklagte behauptet, die Klagepartei habe keinen immateriellen Schaden erlitten. Insbesondere fehle dem formelhaften und pauschalen Vortrag der Bezug zur Klagepartei. Ein von der Klagepartei vorgetragener Schaden f�nde zudem nicht seine Ursache in dem streitgegenst�ndlichen Datenleck. Die Beklagte tr�gt weiter vor, sie habe vollst�ndig Auskunft gegen�ber der Klagepartei erteilt.

23 Die Beklagte meint im Wesentlichen, die Klage sei hinsichtlich der Klageantr�ge zu 2), 3) und 5) unzul�ssig. Der Klageantrag zu 2) sei zu unbestimmt und der Klagepartei fehle hierbei das Feststellungsinteresse. Auch das mit dem Klageantrag zu 3) verfolgte Unterlassungsbegehren sei unzul�ssig, da es sich hierbei um eine verdeckte Leistungsklage handle. Au�erdem sei der mit dem Klageantrag zu 5) geltend gemachte Anspruch auf Erstattung vorgerichtlicher Rechtsanwaltskosten bereits unzul�ssig, da insoweit geltend gemachte Anspr�che gem�� � 86 Abs. 1 S. 1 VVG auf den Rechtsschutzversicherer �bergegangen seien.

24 Die Beklagte ist der Ansicht, sie habe nicht gegen die DSGVO versto�en, weshalb kein Anspruch der Beklagten auf Schadensersatz, Feststellung k�nftiger Sch�den oder Unterlassung bestehe. Insbesondere habe sie und der Auftragsverarbeiter dem Risiko angemessene technische und organisatorische Ma�nahmen i.S.d. Art. 32 DSGVO vorgehalten. Die Klagepartei trage die Beweislast f�r den Nachweis eines kausalen Schadens. Sie habe nicht nachgewiesen, dass Pflichtverletzungen der Beklagten urs�chlich f�r die behaupteten Sch�den seien. Die Beklagte ist weiter der Ansicht, der Klageantrag zu 2) sei �berdies unbegr�ndet, da jedenfalls keine Anhaltspunkte f�r die M�glichkeit eines k�nftigen Schadenseintritts bestehen. Das Auskunftsbegehren der Klagepartei sei gem�� � 362 Abs. 1 BGB vollst�ndig erf�llt.

25 Das Gericht hat die Klagepartei in der m�ndlichen Verhandlung informatorisch angeh�rt.

26 Wegen der weiteren Einzelheiten wird Bezug genommen auf die eingereichten Schrifts�tze nebst Anlagen und das Protokoll der m�ndlichen Verhandlung.

Gründe

27 Die Klage hat keinen Erfolg. Der Klageantrag zu 3) ist bereits unzul�ssig. Die Klageantr�ge zu 1), 2), 4) und 5) sind unbegr�ndet.

A.

28 Die Klage ist teilweise zul�ssig. Hinsichtlich des Klageantrags zu 3) ist die Klage unzul�ssig.

29 I. Das Landgericht N�rnberg-F�rth ist international, sachlich und �rtlich zust�ndig.

30 1. Die internationale Zust�ndigkeit der deutschen Gerichte folgt aus Art. 79 Abs. 2 S. 2 DSGVO, da die Kl�gerseite ihren gew�hnlichen Aufenthalt in Deutschland hat.

31 Nach Art. 79 Abs. 2 S. 2 DSGVO k�nnen solche Klagen wahlweise auch bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gew�hnlichen Aufenthaltsort hat, es sei denn, es handelt sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Beh�rde eines Mitgliedstaats, die in Aus�bung ihrer hoheitlichen Befugnisse t�tig geworden ist.

32 Vorliegend hat die Klagepartei als betroffene Person (Art. 4 Nr. 1 DSGVO) ihren gew�hnlichen Aufenthalt und ihren Wohnsitz in Deutschland. Die Beklagte ist Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO, da sie allein oder gemeinsam mit anderen �ber die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten der Klagepartei entscheidet (Vgl. EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 30, juris).

33 2. Das Landgericht N�rnberg-F�rth ist jedenfalls in Folge des r�gelosen Einlassens der Beklagten sachlich zust�ndig geworden, � 39 S. 1 ZPO. Die �rtliche Zust�ndigkeit folgt aus � 44 Abs. 1 S. 2 BDSG.

34 II. Der Klageantrag zu 2) ist zul�ssig.

35 1. Der Klageantrag zu 2) ist hinreichend bestimmt.

36 Bei Anspr�chen auf Schadensersatz ist eine bestimmte Bezeichnung des zum Ersatz verpflichtenden Ereignisses erforderlich (BGH, NJW 1983, 2247). Zur Ermittlung des Klagebegehrens ist nicht allein auf den Antrag selbst abzustellen, sondern auch die Klagebegr�ndung heranzuziehen (BGH, Urteil vom 15.06.2021 – VI ZR 576/19 –, Rn. 32, juris). Zwar l�sst die Formulierung des auf Feststellung der Ersatzpflicht f�r „k�nftige (…) Sch�den“, die „entstanden sind“ gerichteten Klageantrags in sich widerspr�chlich, da k�nftige Sch�den noch nicht entstanden sind. Auch l�sst der Klageantrag zu 2) keine Abgrenzung zu dem mit dem Klageantrag zu 1) begehrten Ersatz des immateriellen Schadens erkennen. Allerdings ergibt sich aus der Klageschrift (Ziff. B.H.2.), dass sich der Antrag auf k�nftige Sch�den richtet, die ihr aus dem Abhandenkommen ihrer personenbezogenen Daten ihr noch entstehen k�nnten, soweit sie nicht vom Klageantrag zu 1) umfasst sind. So verstanden, gen�gt der Antrag den Anforderungen an die Bestimmtheit (Vgl. OLG Dresden, Urteil vom 5. Dezember 2023 – 4 U 1094/23 –, Rn. 50, juris).

37 2. Die Klagepartei hat hinsichtlich des Klageantrags zu 2) ein Feststellungsinteresse gem�� � 256 Abs. 1 ZPO.

38 Ein Feststellungsantrag ist schon zul�ssig, wenn die Schadensentwicklung noch nicht abgeschlossen ist und der Kl�ger seinen Anspruch deshalb ganz oder teilweise nicht beziffern kann. Ein Feststellungsinteresse ist zu verneinen, wenn aus der Sicht des Gesch�digten bei verst�ndiger W�rdigung kein Grund besteht, mit dem Eintritt eines Schadens wenigstens zu rechnen (BGH Urt. v. 29.6.2021 – VI ZR 52/18, GRUR-RS 2021, 18696 Rn. 30; BGH, Urteil vom 2. April 2014 – VIII ZR 19/13 –, Rn. 18, juris; BGH, Beschluss vom 9. 1. 2007 – VI ZR 133/06, NJW-RR 2007, 601). Diese Rechtsprechung ist auf Anspr�che aus Art. 82 DSGVO zu �bertragen (OLG Stuttgart, Urteil vom 22. November 2023 – 4 U 20/23 –, Rn. 236, juris; OLG Hamm GRUR-RS 2023, 22505 Rn. 193; a.A. ).

39 Es ist vorliegend nicht auszuschlie�en, dass der Klagepartei bei den behaupteten Verst��en gegen die DSGVO und der Ver�ffentlichung ihrer personenbezogenen Daten ein Schaden auch k�nftig entstehen k�nnte (vgl. OLG Stuttgart, Urteil vom 22. November 2023 – 4 U 20/23 –, Rn. 236 ff., juris). Man muss bei verst�ndiger W�rdigung damit rechnen, dass zumindest eine gewisse Wahrscheinlichkeit f�r das Eintreten eines k�nftigen Schadens nicht auszuschlie�en ist. Denn ein Missbrauch von abhanden gekommenen personenbezogenen Daten kann Jahre nach dem urspr�nglichen Datenleck passieren. Unbefugte Dritte m�ssen dabei die erlangten Daten nicht sofort verwenden.

40 III. Der Klageantrag zu 3) ist unzul�ssig.

41 Grunds�tzlich ist ein Klageantrag hinreichend bestimmt, wenn er den erhobenen Anspruch durch Bezifferung oder gegenst�ndliche Beschreibung so konkret bezeichnet, dass der Rahmen der gerichtlichen Entscheidungsbefugnis (� 308 ZPO) klar abgegrenzt ist, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (� 322 ZPO) erkennbar sind, das Risiko des Unterliegens der Klagepartei nicht durch vermeidbare Ungenauigkeit auf den Beklagten abgew�lzt und eine etwaige Zwangsvollstreckung nicht mit einer Fortsetzung des Streits im Vollstreckungsverfahren belastet wird. Der Klageantrag ist der Auslegung zug�nglich. Dabei ist auch die Klagebegr�ndung heranzuziehen (vgl. Z�ller/Greger, ZPO, 34. Auflage, � 253 Rn. 13 m.w.N.).

42 Nach � 253 Abs. 2 Nr. 2 ZPO darf ein Unterlassungsantrag – und nach � 313 Abs. 1 Nr. 4 ZPO eine darauf beruhende Verurteilung – nicht derart undeutlich gefasst sein, dass der Streitgegenstand und der Umfang der Pr�fungs- und Entscheidungsbefugnis des Gerichts (� 308 Abs. 1 ZPO) nicht erkennbar abgegrenzt sind, sich der Beklagte deshalb nicht ersch�pfend verteidigen kann und die Entscheidung dar�ber, was dem Beklagten verboten ist, letztlich dem Vollstreckungsgericht �berlassen bleibt. Aus diesem Grund sind Unterlassungsantr�ge, die lediglich den Wortlaut eines Gesetzes wiederholen, grunds�tzlich als zu unbestimmt und damit als unzul�ssig anzusehen. Abweichendes kann gelten, wenn der gesetzliche Verbotstatbestand eindeutig und konkret gefasst ist, sein Anwendungsbereich durch eine gefestigte Auslegung gekl�rt ist oder der Kl�ger hinreichend deutlich macht, dass er kein Verbot im Umfang des Gesetzeswortlauts beansprucht, sondern sich mit seinem Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert. Die Bestimmtheit des Unterlassungsantrags setzt in solchen F�llen allerdings grunds�tzlich voraus, dass zwischen den Parteien kein Streit dar�ber besteht, dass das beanstandete Verhalten das fragliche Tatbestandsmerkmal erf�llt. Die Wiedergabe des gesetzlichen Verbotstatbestands in der Antragsformulierung ist auch unsch�dlich, wenn sich das mit dem nicht hinreichend klaren Antrag begehrte durch Auslegung unter Heranziehung des Sachvortrags des Kl�gers eindeutig ergibt und die betreffende tats�chliche Gestaltung zwischen den Parteien nicht in Frage steht, sondern sich deren Streit auf die rechtliche Qualifizierung der angegriffenen Verhaltensweise beschr�nkt. Eine auslegungsbed�rftige Antragsformulierung kann im �brigen hinzunehmen sein, wenn eine weitergehende Konkretisierung nicht m�glich und die gew�hlte Antragsformulierung zur Gew�hrung effektiven Rechtsschutzes erforderlich ist (BGH, Urteil vom 26. Januar 2017 – 1 ZR 207/14 –, Rn. 18, juris m.w.N.).

43 Nach diesen Kriterien weist der Klageantrag zu 3) keine hinreichende Bestimmtheit auf.

44 Aus dem Antrag ist nicht hinreichend ersichtlich, welche Ma�nahmen die Beklagte konkret zur Erf�llung ihrer Pflicht zu ergreifen hat. Ohne eine solche Konkretisierung ist f�r die Beklagte nicht klar, wann sie ihrer Pflicht Gen�ge getan hat und wann sie sich einer Haftung bzw. einer Vollstreckung aussetzen w�rde. Dar�ber hinaus w�re f�r das Vollstreckungsgericht nicht hinreichend deutlich, welche Ma�nahmen zu welchem Zeitpunkt von der Beklagten veranlasst werden m�ssten. Dies gilt vorliegend umso mehr, als Gegenstand des Unterlassungsantrages nicht lediglich die Unterlassung der Gew�hrleistung desjenigen Schutzniveaus zum Zeitpunkt des streitgegenst�ndlichen Datenleaks ist, sondern dar�ber hinausgehend und mit Blick auf etwaige zuk�nftige Entwicklungen und Verst��e die Unterlassung der Zug�nglichmachung von personenbezogenen Daten ohne die m�glichen Sicherheitsma�nahmen. In der Sache beansprucht die Kl�gerseite damit aber lediglich ein Verbot im Umfang des Gesetzeswortlauts des Art. 32 Abs. 1 DSGVO. Die auslegungsbed�rftige Antragsformulierung l�sst sich auch durch Auslegung unter Heranziehung des Sachvortrags der Kl�gerseite nicht eindeutig pr�zisieren, da insoweit kein Vortrag erfolgt ist. Sie ist entgegen der Auffassung der Kl�gerseite auch nicht unter dem Gesichtspunkt der Gew�hrung effektiven Rechtsschutzes ausnahmsweise hinzunehmen. Es steht der Kl�gerseite frei, eine hinreichende Konkretisierung zu erreichen, indem sie ihr Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert, was sie vorliegend nicht getan hat.

B.

45 Die Klage ist, soweit sie zul�ssig ist, unbegr�ndet.

46 I. Der Klageantrag zu 1) ist unbegr�ndet. Die Klagepartei hat gegen�ber der Beklagten keinen Anspruch auf Schadensersatz gem�� Art. 82 DSGVO.

47 1. Der Anwendungsbereich der DSGVO ist er�ffnet. Der sachliche Anwendungsbereich der DSGVO ist vorliegend gem�� Art. 2 DSGVO gegeben, da die Beklagte unstreitig personenbezogene Daten der Klagepartei im Rahmen des Musikstreaming-Dienstes verarbeitet und kein Ausschlussgrund des Art. 2 Abs. 2, 3 DSGVO vorliegt. Auch der r�umliche Anwendungsbereich nach Art. 3 Abs. 1 DSGVO ist er�ffnet. Die Beklagte ist als Betreiberin der Plattform … unstreitig Verantwortliche i.S.d. Art. 82, Art. 4 Nr. 7 DSGVO, da sie �ber die Mittel und Zwecke der Datenverarbeitung bestimmt. Sie hat ihren Sitz in Frankreich.

48 Die … Limited ist im vorliegenden Fall Auftragsverarbeiter i.S.d. Art. 4, Nr. 8, Art. 28 DSGVO, da diese personenbezogene Daten der Nutzer von … zumindest bis 30.11.2020 im Auftrag der Beklagten verarbeitete. Die Beklagte bestimmte mit dem Auftragsverarbeitungsvertrag (Anlage B2) die Mittel und Zwecke der Verarbeitung, weshalb keine eigene Verantwortlichkeit der … Limited (im Folgenden: Auftragsverarbeiter) vorliegt.

49 2. Ob ein der Beklagten zurechenbarer Versto� gegen die DSGVO gegeben ist kann vorliegend dahinstehen, da jedenfalls kein kausaler Schaden aufgrund einer Verletzung der DSGVO von der Beklagten hinreichend dargelegt ist oder ein solcher vorliegt.

50 Ein f�r einen Schaden urs�chlicher Versto� gegen Art. 32 DSGVO liegt nicht vor. Selbst unter der Annahme einer Verletzung von Art. 32 DSGVO, bleibt die Kl�gerseite den Nachweis eines kausalen Schadens gem�� Art. 82 DSGVO f�llig.

51 a. Der Verantwortliche haftet lediglich f�r kausal durch die rechtswidrige Verarbeitung verursachte Sch�den (EuGH Urt. v. 25.1.2024 – C-687/21 = NZA 2024, 320 (323) Rn. 58, 61; K�hling/Buchner/Bergt, 3. Aufl. 2020, DSGVO Art. 82 Rn. 41). Eine Miturs�chlichkeit des Versto�es gegen die DSGVO gen�gt (OLG Stuttgart ZD 2021, 375; LG K�ln ZD 2022, 52 Rn. 21).

52 Die Klagepartei tr�gt die Darlegungs- und Beweislast f�r die Kausalit�t nach allgemeinen zivilprozessualen Grunds�tzen. F�r die Frage der haftungsbegr�ndenden Kausalit�t gilt � 286 ZPO. � 286 ZPO erfordert keine absolute oder unumst��liche Gewissheit und auch keine an Sicherheit grenzende Wahrscheinlichkeit, sondern nur einen f�r das praktische Leben brauchbaren Grad von Gewissheit, der Zweifeln Schweigen gebietet (BGH Urt. v. 23.6.2020 – VI ZR 435/19, VersR 2021, 1497 Rn. 13; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 196, juris). Die insoweit notwendige volle �berzeugung kann sich die Kammer ggf. auch allein durch eine Parteianh�rung nach � 141 ZPO verschaffen ( BGH Urt. v. 06.12.2022 – VI ZR 168/21, Rn. 19).

53 b. Ein solcher brauchbarer Grad an Gewissheit, der Zweifeln Schweigen gebietet, liegt zur �berzeugung des Gerichts nicht vor. Die Klagepartei bleibt selbst bei Annahme eines Versto�es gegen die DSGVO und eines Schadens in Form eines Kontrollverlustes beweisf�llig f�r einen auf einer Verletzung der DSGVO beruhenden Schaden.

54 aa. Grunds�tzlich ist das Gericht der �berzeugung, dass ein Kontrollverlust �ber personenbezogenen Daten einen immateriellen Schaden darstellen kann.

55 Der Schadensbegriff des Art. 82 DSGVO ist unionsrechtlich auszulegen und setzt nach dem Wortlaut der Norm, der Systematik und Telos des Art. 82 Abs. 2, Abs. 1 DSGVO sowie der Art. 77 ff. DSGVO und den Erw�gungsgr�nden 75, 85 und 146 DSGVO einen �ber den schlichten Versto� gegen die DSGVO hinausgehenden Schaden voraus (so EuGH Urt. v. 4.5.2023 – C-300/21, GRUR-RS 2023, 8972 Rn. 29-42; GA Campos S�nchez-Bordona Schlussantr. v. 6.10.2022 – C-300/21, GRUR-RS 2022, 26562 Rn. 117; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 152, juris). Ein Schaden i.S.d. Art. 82 DSGVO kann nach dem Wortlaut materieller oder immaterieller Art sein. Ein immaterieller Schaden liegt dabei jedoch noch nicht in der blo�en Verletzung einer Norm der DSGVO (EuGH, Urteil vom 4. Mai 2023 – C-300/21; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23).

56 Ein solcher Schaden setzt nach Wortlaut, Erw�gungsgr�nden 10, 146 DSGVO und dem Telos nicht voraus, dass der betroffenen Person entstandene Schaden einen bestimmten Grad an Erheblichkeit erreicht hat (so EuGH Urt. v. 4.5.2023 – C-300/21, GRUR-RS 2023, 8972 Rn. 44- 51; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 154, juris).

57 Hierbei ist zu beachten, dass nach Erw�gungsgrund 146 der DSGVO der Schadensbegriff weit und den Zielen der DSGVO entsprechend ausgelegt werden soll. So wird aus Erw�gungsgrund 7 der DSGVO das Ziel ersichtlich, dass nat�rliche Personen die Kontrolle �ber ihre eigenen Daten besitzen sollten. Einen Schaden erst dann anzunehmen, wenn es etwa zu einer mit einer unrechtm��igen Zug�nglichmachung von Daten liegenden (�ffentlichen) „Blo�stellung“, einem Identit�tsdiebstahl, einer Weitergabe intimer Informationen oder einer anderen „ernsthaften Beeintr�chtigung f�r das Selbstbild oder Ansehen einer Person“ kommt, und ein „besonderes immaterielles Interesse“ zu verlangen, das �ber den allein durch die Verletzung an sich hervorgerufenen �rger oder sonstige Gef�hlssch�den hinausgeht, verkennt den autonom und nach Erw�gungsgrund 146 ausdr�cklich weit auszulegenden Begriff des Schadens (K�hling/Buchner/Bergt, 4. Aufl. 2024, DSGVO Art. 82 Rn. 18a).

58 So sieht Erw�gungsgrund 75 der DSGVO, dass eine Verarbeitung „zu einem physischen, materiellen oder immateriellen Schaden f�hren k�nnte, insbesondere […] wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren.“

59 Ebenso ist Erw�gungsgrund 85 der DSGVO zu beachten, der einen Kontrollverlust als Schaden bezeichnet. Danach kann eine Verletzung des Schutzes personenbezogener Daten „einen physischen, materiellen oder immateriellen Schaden f�r nat�rliche Personen nach sich ziehen, wie etwa Verlust der Kontrolle �ber ihre personenbezogenen Daten oder Einschr�nkung ihrer Rechte […]“ nach sich ziehen (Vgl. hierzu Gola/Heckmann/Gola, 3. Aufl. 2022, DSGVO Art. 4 Rn. 112).

60 Mit dem Wort „insbesondere“ in Erw�gungsgrund 75 bringt der europ�ische Gesetzgeber zum Ausdruck, dass er eine nicht abschlie�ende Aufz�hlung von f�r ihn m�glich gehaltenen Schadensereignissen im Erw�gungsgrund 75 getroffen hat und bereits in einem Kontrollverlust den eingetretenen Schaden sieht (�hnlich: K�hling/Buchner/Bergt, 4. Aufl. 2024, DSGVO Art. 82 Rn. 18b). Dies wird an den anderen aufgez�hlten Fallgruppen deutlich. So sind eine Diskriminierung, ein Identit�tsdiebstahl oder -betrug, ein finanzieller Verlust, eine Rufsch�digung, ein Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, die unbefugten Aufhebung der Pseudoymisierung oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile bereits ein materieller oder immaterieller Schaden. Es erschlie�t sich nicht, warum sich bei einem Kontrollverlust ein (immaterieller) Schaden erst bei der betroffenen Person in Form einer emotionalen Betroffenheit zeigen muss.

61 bb. Die Klagepartei bleibt vorliegend jedoch den Nachweis f�llig, dass selbst bei Annahme einer Verletzung von Art. 32 DSGVO und eines Schadens im Sinne eines Kontrollverlusts, dieser kausal auf eine Verletzung von Art. 32 DSGVO zur�ckzuf�hren ist.

62 (1) Der Schaden muss gerade durch den Rechtsversto� entstanden sein. Es gen�gt nicht, dass der Schaden durch eine Verarbeitung entstanden ist, in deren Rahmen es zu einem Rechtsversto� gekommen ist. Zwar umfasst der Begriff der Verarbeitung nach Art. 4 Nr. 2 DSGVO nicht nur einzelne Vorg�nge der Datenverarbeitung, sondern auch Vorgangsreihen, sodass denkbar w�re, dass ein einzelner Versto� in diesem Zusammenhang die gesamte Vorgangsreihe „infiziert“. Art. 82 Abs. 1 DSGVO macht aber deutlich, dass der Schaden „wegen eines Versto�es gegen diese Verordnung“ entstanden sein muss, also gerade der Rechtsversto� zu dem Schaden gef�hrt haben muss (K�hling/Buchner/Bergt, 4. Aufl. 2024, DSGVO Art. 82 Rn. 42). Insoweit gilt die conditio-sine-qua-non-Formel (Simitis/Hornung/Spiecker gen. D�hmann, Datenschutzrecht, DSGVO Art. 82, Rn. 13).

63 (2) Selbst unterstellt die Beklagte oder deren Auftragsverarbeiter h�tten keine hinreichende technischen und organisatorischen Ma�nahmen getroffen, kann nur aufgrund des Abgreifens der personenbezogenen Daten der Klagepartei durch Hacker nicht der R�ckschluss oder die Vermutung gefolgert werden, dass der Datenabgriff durch unbefugte Dritte aufgrund von nicht hinreichenden geeigneten technischen und organisatorischen Ma�nahmen bei der Beklagten oder deren Auftragsverarbeiter erm�glicht oder verursacht worden ist.

64 Vorliegend ist es unklar, wie die personenbezogenen Daten der Klagepartei von den Hackern abgegriffen worden sind. �ber die genaue Vorgehensweise sind weder von der Klagepartei noch von der Beklagten hinreichende Tatsachen vorgetragen und dargelegt.

65 Nach dem EuGH ist eine unbefugte Offenlegung von bzw. ein unbefugter Zugang zu personenbezogenen Daten durch Dritte i.S.v. Art. 4 Nr. 10 DSGVO allein nicht ausreichend, um anzunehmen, dass die technischen und organisatorischen Ma�nahmen, die der f�r die betreffende Verarbeitung Verantwortliche getroffen hat, nicht geeignet i.S.d. Art. 24, 32 DSGVO waren (EuGH, Urteil vom 14.12.2023 – C-340/21 = MMR 2024, 231 Rn. 39).

66 Nach dem Vortrag der Beklagten fand der Cyberangriff bei dem Auftragsverarbeiter statt. Drei Mitarbeiter h�tten die personenbezogenen Daten der Nutzer von unberechtigterweise in eine Nichtproduktivumgebung �berf�hrt. Ob die personenbezogenen Daten sodann aus dieser Nichtproduktivumgebung von den Hackern abgegriffen worden sind, bleibt unklar. Eine (Miturs�chlichkeit der Beklagten oder deren Auftragsverarbeiter ist daher f�r das Gericht nicht feststellbar.

67 (3) Soweit die Klagepartei sodann zur Kausalit�t des Schadens ausf�hrt (Replik Ziff. B.II.2.d.), kn�pft sie an den von ihr selbst vorgetragenen Schaden eines Kontrollverlusts und an die „rechtswidrige Offenlegung“ an. Dabei kn�pft sie nicht an eine Verletzung der DSGVO durch die Beklagte oder deren Auftragsverarbeiter an.

68 Nach dem Vortrag der Kl�gerseite sollen die unzureichenden Schutzma�nahmen den Datenabgriff erm�glicht bzw. erleichtert haben. Da insoweit unklar ist, wie der Datenabgriff durch die Hacker erfolgt ist, ist dieser Vortrag der Klagepartei als Vortrag „ins Blaue hinein“ zu werten. Es steht eben nicht fest, sondern bleibt insoweit unklar, ob der Datenabgriff aufgrund fehlender technischen und organisatorischen Ma�nahmen bei der Beklagten oder deren Auftragsverarbeiter stattfinden konnte. Dabei stellt es keinen Automatismus dar, dass der konkrete Datenabgriff selbst bei der Annahme unzureichender Kontrollmechanismen erm�glicht oder erleichtert worden ist oder mit an Sicherheit grenzender Wahrscheinlichkeit verhindert worden w�re. Die Klagepartei selbst legt einen solchen Ursachenzusammenhang auch nach Darlegung der getroffenen technischen und organisatorischen Ma�nahmen durch die Beklagte nicht in nachvollziehbarer Weise dar. Vielmehr stellt sie stets die Vermutung an, nicht hinreichender technischer und organisatorischer Ma�nahmen i.S.d. Art. 32 DSGVO h�tten zum Datenabgriff gef�hrt. Welche konkreten Ma�nahmen fehlen und zum Datenabgriff gef�hrt haben, legt sie nicht dar.

69 Insoweit die Kl�gerseite ausf�hrt, es seien die Aus�bung von Kontrollrechten aus dem Auftragsverarbeitungsvertrag und Ma�nahmen in Bezug auf den Datenmissbrauch durch Mitarbeiter nicht gegeben (Replik Ziff. A.), ist es f�r das Gericht aufgrund der Unklarheit des Datenabgriffs nicht ersichtlich, dass dieser deswegen erfolgte. Gleiches gilt f�r den Vortrag der Kl�gerseite, dass der Auftragsverarbeiter nicht gewissenhaft und sorgf�ltig von der Beklagten ausgew�hlt worden sein soll (Replik Ziff. A.).

70 Es greift f�r das Tatbestandsmerkmal der Kausalit�t nach Art. 82 DSGVO gerade keine Vermutung. Diese betrifft nach dem Wortlaut des Art. 82 Abs. 3 DSGVO nur das Verschulden. Die Klagepartei hat vorliegend nicht den Nachweis erbracht, dass fehlenden Kontrollmechanismen, den Datenabgriff erm�glichten oder erleichterten.

71 Das Gericht konnte sich nach dem Vortrag der Parteien nur davon �berzeugen, dass Hacker die personenbezogenen Daten der Klagepartei, die sie bei der Beklagten angegeben hat, abgegriffen haben.

72 (c) Es liegt auch kein kausaler Schaden vor, soweit die Klagepartei vortr�gt, sie erhalte regelm��ig Spam-E-Mails.

73 Grunds�tzlich k�nnen in einem Datenverlust durch das Abgreifen und Ver�ffentlichen von personenbezogenen Daten (immaterielle) Sch�den in Form von Spam oder Bel�stigungsanrufe eintreten. Ob solche Sch�den vorliegend substantiiert durch die Kl�gerseite vorgetragen sind, kann dahinstehen, da jedenfalls keine Kausalit�t zwischen dem Datenleck und den Spam-E-Mails von der Kl�gerseite hinreichend darlegt ist.

74 Es steht nicht fest, dass einerseits der Datenabgriff aufgrund einer Verletzung der DSGVO durch die Beklagte oder deren Auftragsverarbeiter resultiert (Vgl. Ziff. B.I.2.b.) und andererseits die Spam-E-Mails ihre Ursache im Datenleck finden. Es besteht zwar die M�glichkeit, dass die personenbezogenen Daten der Klagepartei aus dem Datenleck f�r die Spam-E-Mails verwendet werden. Jedoch ist ein konkreter Ursachenzusammenhang nicht hinreichend von der Klagepartei dargelegt.

75 Dem Gericht ist es aus eigener Wahrnehmung bekannt, dass auch Personen, die nicht vom Datenleck bei der Beklagten betroffen sind, Spam-E-Mails erhalten. Es kann vorliegend viele Ursachen f�r diese Spam-E-Mails geben. Es besteht die M�glichkeit, dass die Klagepartei ihre personenbezogenen Daten an anderer Stelle weitergegeben oder diese an anderer Stelle abgegriffen wurden und diese von dort f�r die Spam-E-Mails durch genutzt werden oder an unbefugte Dritte gelangt sind. Allein der Umstand, dass die E-Mail-Adresse der Klagepartei im abgegriffenen Datensatz enthalten war, l�sst nicht die Schlussfolgerung zu, dass die Absender der Spam-E-Mails die E-Mail-Adresse der Klagepartei aus dem Datenleck bei der Beklagten haben.

76 (d) Das Gericht kann �berdies keinen immateriellen Schaden feststellen, soweit die Kl�gerseite Bef�rchtungen �ber einen zuk�nftigen Missbrauch ihrer personenbezogenen Daten oder ein Unwohlsein aufgrund des Datenabgriffs behauptet.

77 Allein der Umstand, dass eine betroffene Person infolge eines Versto�es gegen die DSGVO bef�rchtet, dass ihre personenbezogenen Daten durch Dritte missbr�uchlich verwendet werden k�nnten, kann grunds�tzlich einen „immateriellen Schaden“ im Sinne des Art. 82 DSGVO darstellen (EuGH Urt. v. 14.12.2023 – C-340/21, BeckRS 2023, 35786 Rn. 86).

78 Eine solche subjektive Beeintr�chtigung in Form von Bef�rchtungen �ber den Missbrauch der Daten oder ein Unwohlsein aufgrund des Datenabgriffs kann das Gericht nach der informatorischen Anh�rung der Klagepartei jedoch nicht feststellen. Die Klagepartei hat kein Unwohlsein oder eine Beeintr�chtigung best�tigt. Auch hat die Klagepartei keine Verhaltens�nderung nach Bekanntwerden des Datenlecks angegeben. Der Kl�ger achtet seit jeher auf seine Daten und nutzt Dienste im Internet.

79 Die Klagepartei hat insoweit nur Auswirkungen auf ihr Verhalten hinsichtlich der vorgetragenen Spam-SMS und nicht �ber den Kontrollverlust �ber ihre personenbezogenen Daten in der informatorischen Anh�rung best�tigt.

80 Der Vortrag in der Klageschrift zum gro�en Unwohlsein und zur gro�en Sorge �ber m�glichen Missbrauch der betreffenden Daten ist f�r eine weitere Beeintr�chtigung zu pauschal. Insbesondere wird diese Formulierung in zahlreichen Schrifts�tzen der Prozessbevollm�chtigten der Klagepartei verwendet. Eine Konkretisierung und objektive Nachvollziehbarkeit dieses Unwohlseins z.B. in Form einer Verhaltens�nderung der Klagepartei l�sst sich so vorliegend nicht feststellen.

81 3. Die Klagepartei ist der ihr obliegenden Darlegungs- und Beweislast hinsichtlich eines Schadens wegen etwaiger Verst��e gegen Art. 15 DSGVO, Art. 33 DSGVO und Art. 34 DSGVO nicht hinreichend nachgekommen.

82 Hinsichtlich der seitens der Klagepartei ger�gten Verst��e gegen die Meldepflicht nach Art. 33 DSGVO und die Benachrichtigungspflicht nach Art. 34 DSGVO ist kein konkreter auf die fehlenden Informationen zur�ckzuf�hrenden Schaden ersichtlich. Dass das Abhandenkommen der personenbezogenen Daten der Klagepartei aufgrund einer rechtzeitigen Information noch konkret bez�glich der Klagepartei h�tte verhindert oder die Ver�ffentlichung des Leak-Datensatzes mitsamt den Daten der Klagepartei h�tte verhindert werden k�nnen, ist schon nicht ersichtlich, h�tte aber auch allenfalls zum Entfallen des aus Sicht der Klagepartei erst auf Grund der Ver�ffentlichung der personenbezogenen Daten entstandenen Schadens und gerade nicht zu einer Vertiefung oder Begr�ndung desselben gef�hrt.

83 Auch soweit die Kl�gerseite vortr�gt, sie habe einen immateriellen Schaden wegen einer unzureichenden Auskunft der Beklagten gem�� Art. 15 DSGVO erlitten, kann das Gericht neben eines fehlenden Versto�es gegen Art. 15 DSGVO (s. Ziff. B.III.) bereits keinen Schaden feststellen.

84 Die von der Klagepartei vorgetragenen subjektiven Beeintr�chtigungen in Form einer Intensivierung des Kontrollverlusts, des Unwohlseins, gro�er Sorgen sowie �rger h�tten sich durch die unterbliebenen Informationen verst�rkt, konnte das Gericht nicht feststellen.

85 Insoweit hat sich nach der informatorischen Anh�rung der Klagepartei nicht best�tigt, dass die aus Sicht der Kl�gerseite unzureichende Benachrichtigung der Klagepartei selbst, der Aufsichtsbeh�rde oder eine unzureichende Auskunft der Beklagten Sorgen, �ngste sowie �rger sch�rt oder ein Unwohlsein ausl�st.

86 II. Der Klageantrag zu 2) ist unbegr�ndet.

87 Die Klagepartei hat keinen Anspruch auf Feststellung k�nftiger materieller Sch�den.

88 Nach dem BGH ist ein Feststellungsantrag begr�ndet, wenn die sachlichen und rechtlichen Voraussetzungen eines Schadensersatzanspruchs vorliegen, also ein haftungsrechtlich relevanter Eingriff gegeben ist, der zu m�glichen k�nftigen Sch�den f�hren kann (BGH, Urteil vom 17. Oktober 2017 – VI ZR 423/16 –, BGHZ 216, 149-174, Rn. 49; �hnlich M�KoZPO/Becker-Eberhard, 5. Aufl., � 256 Rn. 32).

89 Im vorliegenden Fall ist ein Schadensersatzanspruch der Klagepartei gegen�ber der Beklagten nicht gegeben (Vgl. Ziff. I.), weshalb kein haftungsrechtlich relevanter Eingriff nach den vorstehenden Anforderungen vorliegt.

90 III. Der Klageantrag zu 4) ist unbegr�ndet. Der Klagepartei steht kein Anspruch gem�� Art. 15 Abs. 1 DSGVO gegen�ber der Beklagten zu. Die Beklagte hatte den Auskunftsanspruch, soweit er bestand, bereits gem�� � 362 Abs. 1 BGB erf�llt.

91 1. Grunds�tzlich besteht nach Art. 15 Abs. 1 DSGVO ein Anspruch auf Auskunft der betroffenen Person gegen den Verantwortlichen in dem in Art. 15 Abs. 1 lit. a) – lit. h) DSGVO bezeichneten Umfang, wenn der Verantwortliche personenbezogene Daten verarbeitet (vgl. BGH, Urteil vom 15.06.2021 – VI ZR 576/19 = NJW 2021, 1381).

92 a. Der Anspruch erstreckt sich nicht auf eine Verarbeitung personenbezogener Daten durch Dritte. Soweit die personenbezogene Daten von unbefugten Dritten verarbeitet wurden, ist jedenfalls nicht die Beklagte auskunftspflichtig (Vgl. LG Aachen Urt. v. 10.2.2023 – 8 O 177/22, GRUR-RS 2023, 2621 Rn. 96-98; LG Essen Urt. v. 10.11.2022 – 6 O 111/22, GRUR-RS 2022, 34818 Rn. 101; LG Regensburg Endurteil v. 11.5.2023 – 72 O 1413/22, GRUR-RS 2023, 13826 Rn. 82).

93 b. Der Anspruch nach Art. 15 DSGVO umfasst vorliegend nicht die namentliche Auskunft �ber die drei von der Beklagten benannten Mitarbeiter des Auftragsverarbeiters.

94 Arbeitnehmer sind nicht als „Empf�nger“ im Sinne von Art. 15 Abs. 1 Buchst, c DSGVO […] anzusehen, wenn sie personenbezogene Daten unter der Aufsicht dieses Verantwortlichen und im Einklang mit seinen Weisungen verarbeiten (EuGH Urt. v. 22.6.2023 – C-579/21, BeckRS 2023, 14515 Rn. 7).

95 Wenn sind die praktische Wirksamkeit, der durch die DSGVO einger�umten Rechte sicherzustellen und die Rechte und Freiheiten anderer Personen kollidieren, sind diese gegeneinander abzuw�gen. Nach M�glichkeit sind Modalit�ten zu w�hlen, die die Rechte und Freiheiten anderer Personen nicht verletzen, wobei zu ber�cksichtigen ist, dass diese Erw�gungen nicht dazu f�hren d�rfen, dass der betroffenen Person jegliche Auskunft verweigert wird (EuGH Urt. v. 22.6.2023 – C-579/21, BeckRS 2023, 14515 Rn. 80).

96 Vorliegend haben die drei Mitarbeiter des Auftragsverarbeiters die personenbezogenen Daten der Klagepartei in einer Nicht-Produktivumgebung verarbeitet.

97 Die Klagepartei legt nicht dar, welche Rechte sie durch eine nicht namentliche Nennung der Mitarbeiter des Auftragsverarbeiters nicht oder nur eingeschr�nkt aus�ben kann. Insoweit kann die Klagepartei alle in Art. 15 – Art. 21 DSGVO gegen�ber der Beklagten als Verantwortliche und dem Auftragsverarbeiter geltend machen.

98 2. Die Beklagte hat den Auskunftsanspruch der Klagepartei gem�� den Anforderungen des Bundesgerichtshofs (BGH, Urteil vom 15. Juni 2021 – VI ZR 576/19) zudem erf�llt, � 362 Abs. 1 BGB.

99 Erf�llt im Sinne des � 362 Abs. 1 BGB ist ein Auskunftsanspruch grunds�tzlich dann, wenn die Angaben nach dem erkl�rten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erf�llung nicht entgegen. Der Verdacht, dass die erteilte Auskunft unvollst�ndig oder unrichtig ist, kann einen Anspruch auf Auskunft in weitergehendem Umfang nicht begr�nden. Wesentlich f�r die Erf�llung des Auskunftsanspruchs ist daher die – gegebenenfalls konkludente – Erkl�rung des Auskunftsschuldners, dass die Auskunft vollst�ndig ist (vgl. BGH, Urteil vom 3. September 2020 – III ZR 136/18, GRUR 2021, 110 Rn. 43 m.w.N ). Die Annahme eines derartigen Erkl�rungsinhalts setzt demnach voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollst�ndig abdecken soll. Daran fehlt es beispielsweise dann, wenn sich der Auskunftspflichtige hinsichtlich einer bestimmten Kategorie von Auskunftsgegenst�nden nicht erkl�rt hat, etwa weil er irrigerweise davon ausgeht, er sei hinsichtlich dieser Gegenst�nde nicht zur Auskunft verpflichtet. Dann kann der Auskunftsberechtigte eine Erg�nzung der Auskunft verlangen (BGH, Urteil vom 15. Juni 2021 – VI ZR 576/19 –, Rn. 19-20, juris; vgl. auch OLG Dresden, Urteil vom 16. April 2024 – 4 U 213/24 –, Rn. 75, juris).

100 Die Beklagte hat mit Anwaltsschreiben und E-Mail (Anlagen K2, B14) zun�chst Auskunft �ber die Verarbeitung personenbezogener Daten der Klagepartei gegeben. Mit der Klageerwiderung gab die Beklagte weiter Auskunft �ber die verarbeiteten personenbezogenen Daten der Klagepartei (Klageerwiderung Ziff. B.I.2.3.; Anlage B6). Damit hat die Beklagte das Auskunftsersuchen der Beklagten hinreichend nach den Anforderungen des Bundesgerichtshofs erf�llt.

101 IV. Der Klageantrag zu 5) ist jedenfalls unbegr�ndet. Ob der geltend gemachte Anspruch auf Erstattung der vorgerichtlichen Rechtsanwaltskosten gem�� � 86 Abs. 1 Satz 1 VVG auf den Rechtsschutzversicherer �bergegangen ist, kann daher unentschieden bleiben.

102 Einerseits teilt der Klageantrag zu 5) als Nebenforderung das Schicksal der Hauptforderungen, da die Klage zu den Klageantr�gen zu 1), 2), 3) und 4) unbegr�ndet oder bereits unzul�ssig ist.

103 Andererseits war die Beklagte vor Beauftragung der Prozessbevollm�chtigten aufgrund eigener T�tigkeit der Klagepartei nicht in Verzug gem�� � 286 BGB. Die Beklagte sah sich erstmalig mit dem Anwaltsschreiben der Kl�gervertreter (Anlage K1) mit den Anspr�chen der Klagepartei konfrontiert. Es erfolgte die Mandatierung der Kl�gervertreter folglich vor dem Zugang des Aufforderungsschreibens bei der Beklagten. Die Klagepartei legt auch nicht dar, dass die vor Verzugseintritt erfolgte Mandatierung der Prozessbevollm�chtigten zur effektiven Durchsetzung der kl�gerischen Anspr�che aufgrund der Schwierigkeit der Sach- und Rechtslage erforderlich und notwendig war.

104 V. Die von der Klagepartei geltend gemachten Zinsen teilen als Nebenforderung das Schicksal der Hauptforderung.

C.

105 Die Kostenentscheidung beruht auf � 91 Abs. 1 ZPO. Die Entscheidung zur vorl�ufigen Vollstreckbarkeit folgt aus � 708 Nr. 11, � 711, � 709 ZPO.

D.

106 Der Streitwert ist auf 2.500 € festzusetzen.

107 1. Der Streitwert f�r den Klageantrag zu 1) ist wegen der Angabe eines Mindestbetrags (Vgl. Z�ller, ZPO, 35. Auflage 2024, �3 Rn. 16.171) auf 1.000 € festzusetzen.

108 2. Der Streitwert f�r den Klageantrag zu 2) ist gem�� � 3 ZPO nach Sch�tzung des Kl�gerinteresses auf 500,00 € festzusetzen. Das Gericht sch�tzt dieses Interesse unter Ber�cksichtigung der hinsichtlich etwaiger k�nftiger Sch�den ersichtlich schwierig nachzuweisenden Kausalit�t auf 500,00 € (Vgl. OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23 –, Rn. 279, juris; OLG Frankfurt, Beschluss vom 18. Juli 2023 – 6 W 40/23 –, Rn. 11, juris; OLG Karlsruhe, Beschluss vom 5. Juli 2023 – 10 W 5/23 –, Rn. 15, juris).

109 3. Gem�� � 3 ZPO wird der Wert von dem Gericht nach freiem Ermessen festgesetzt. F�r den nichtverm�gensrechtlichen Anspruch im Klagantrag Ziff. 3 wird der Streitwert gern. � 48 Abs. 2 GKG unter Ber�cksichtigung aller Umst�nde des Einzelfalls, insbesondere des Umfangs und der Bedeutung der Sache und der Verm�gens- und Einkommensverh�ltnisse der Parteien, nach Ermessen bestimmt. Der in 23 Abs. 3 S. 2 RVG genannten Ausgangswert von 5.000,00 € gibt grunds�tzlich nur einen ersten Anhalt, der nach den Umst�nden des Einzelfalls zu erm��igen oder zu erh�hen ist (LG M�nchen, Beschluss vom 09.07.2019 – 2 T 2032/19, BeckRS 2019, 13929; OLG Saarbr�cken, BeckRS 2018, 33509). Bei einer Unterlassungsklage ist dabei insbesondere auch das Unterlassungsinteresse der Klagepartei und damit ihre auf Grund des zu beanstandenden Verhaltens zu besorgende wirtschaftliche Beeintr�chtigung zu ber�cksichtigen (OLG Hamm, NJW-RR 2014, 894, m.w.N.).

110 Zu ber�cksichtigen ist zudem die Stellung der Beteiligten sowie Art, Umfang und Gef�hrlichkeit der zu unterlassenden oder begehrten Handlung (vgl. BGH Beschl. v. 25.4.2023 – VI ZR 111/22, GRUR 2023, 1143 Rn. 13 m. w. N ). Das Gericht ist bei der Streitwertbemessung nicht an die subjektiven Wertangaben in der Klageschrift gebunden (so explizit BGH Beschl. v. 8.10.2012 – X ZR 110/11, GRUR 2012, 1288 Rn. 4; OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 276, juris).

111 Ausgehend von diesen Ma�st�ben h�lt das Gericht f�r den Klageantrag zu 3) einen Streitwert von 500,00 € f�r angemessen. Dabei ber�cksichtigt das Gericht insbesondere die wirtschaftliche Beeintr�chtigung, die von dem beanstandeten Verhalten zu besorgen ist und die beseitigt werden soll entsprechend des geltend gemachten Schadensersatzanspruchs in H�he von 1.000,00 € (Klageantrag zu 1). Der Klageantrag zu 3) st�tzt sich im Wesentlichen auf eine Wiederholungsgefahr bez�glich nur eines Teils der vermeintlich vorliegenden Datenschutzverst��e der Beklagten. Abgesehen von den unterschiedlichen Zeitr�umen des den Klageantr�gen Ziff. 1 und 2 zugrundeliegenden Geschehens in der Vergangenheit und den von Klageantrag Ziffer 3 erfassten Wiederholungen in der Zukunft sind keine Umst�nde erkennbar, die eine unterschiedliche wirtschaftliche Bewertung rechtfertigen k�nnten. Dass ein zuk�nftiger gleichgelagerter Vorfall eine signifikant gr��ere wirtschaftliche Bedeutung entfalten k�nnte, als das im Verh�ltnis der Parteien mit insgesamt 1.500 Euro f�r die Klageantr�ge 1 und 2 zu bemessende Interesse, hat die Klagepartei nicht aufgezeigt (OLG Karlsruhe, Beschluss vom 5. Juli 2023 – 10 W 5/23 –, Rn. 16, juris). Der Streitwert f�r den Klageantrag zu 3) kann deshalb jedenfalls nicht oberhalb der vermeintlich insgesamt mit den Klageantr�gen zu 1) und 2) vorgetragenen Beeintr�chtigungen liegen (Vgl auch OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23 –, Rn. 281, juris).

112 4. Der Streitwert f�r den Klageantrag zu 4) ist auf 500 € festzusetzen, da insoweit keine besonderen Umst�nde hinzutreten, die �ber einen massenhaften gew�hrten Auskunftsanspruch hinausginge, der ein allgemeines Informationsinteresse befriedigen soll (Vgl. LAG N�rnberg, Beschluss vom 30.10.2020 – 2 Ta 123/20 = ZD 2021, 326 Rn. 25 m.w.N ).

113 5. Der Klageantrag zu 5) ist als Nebenforderung nicht streitwerterh�hend.

Leitsatz

F�r das Tatbestandsmerkmal der Kausalit�t nach Art. 82 DSGVO greift keine Vermutung, sodass ein Anspruchsteller sowohl einen Datenschutzversto�, einen konkreten Schaden als auch den Ursachenzusammenhang zwischen dem Versto� und dem Schadenseintritt darlegen und beweisen muss.� � (Rn. 24, 68 und 70) (redaktioneller Leitsatz)

Leitsatz

Ein Kontrollverlust �ber personenbezogenen Daten kann einen immateriellen Schaden i.S.v. Art. 82 DSGVO darstellen. Der Schaden muss jedoch gerade durch den Rechtsversto� entstanden sein. Es gen�gt nicht, dass der Schaden durch eine Verarbeitung entstanden ist, in deren Rahmen es zu einem Rechtsversto� gekommen ist.� (Rn. 54 – 60 und 62) (redaktioneller Leitsatz)

Leitsatz

Eine unbefugte Offenlegung von bzw. ein unbefugter Zugang zu personenbezogenen Daten durch Dritte i.S.v. Art. 4 Nr. 10 DSGVO allein ist nicht ausreichend, um anzunehmen, dass die technischen und organisatorischen Ma�nahmen, die der f�r die betreffende Verarbeitung Verantwortliche getroffen hat, nicht geeignet i.S.d. Art. 24, 32 DSGVO waren. Ist unklar, wie ein Datenabgriff durch Hacker erfolgt ist, ist ein Vortrag des Anspruchstellers, wonach der Verantwortliche diesen durch unzureichende Schutzma�nahmen erm�glicht bzw. erleichtert hat, als Vortrag „ins Blaue hinein“ zu werten. Insoweit stellt es keinen Automatismus dar, dass ein Datenabgriff bei der Annahme unzureichender Kontrollmechanismen erm�glicht oder erleichtert worden w�re.� (Rn. 65 und 68) (redaktioneller Leitsatz)

Leitsatz

Grunds�tzlich k�nnen in einem Datenverlust durch das Abgreifen und Ver�ffentlichen von personenbezogenen Daten (immaterielle) Sch�den in Form von Spam oder Bel�stigungsanrufen eintreten. Ein entsprechender Schadensersatzanspruch setzt jedoch u.a. voraus, dass die Kausalit�t zwischen dem Datenleck und den Spam-E-Mails von dem Anspruchsteller hinreichend dargelegt wird. Allein die M�glichkeit, dass die personenbezogenen Daten des Betroffenen aus einem Datenleck bei dem Verantwortlichen f�r Spam-E-Mails verwendet werden, ist nicht ausreichend, um einen Schadensersatzanspruch zu begr�nden. (Rn. 73 – 74) (redaktioneller Leitsatz)

titelzeile

Keine Kausalit�tsvermutung zwischen Datenschutzversto� und Schaden