Das LG Erfurt hat dem EuGH Fragen zum Schadensersatz aus Art. 82 DSGVO bei Kontrollverlust im Zusammenhang mit Facebook-Scraping zur Vorabentscheidung vorgelegt.
Tenor:
Das Ausgangsverfahren wird ausgesetzt. Dem Gerichtshof der Europäischen Union werden gemäß Art. 267 AEUV die folgenden Fragen zur Auslegung von Art. 56 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und der Datenschutz-Grundverordnung (DSGVO) vorgelegt:
Frage 1
Ist Art. 82 Abs. 1 DSGVO dahin auszulegen, dass ein nationales Gericht bei einem Verstoß gegen die DSGVO einer betroffenen Person Schadensersatz zusprechen muss, die lediglich nachgewiesen hat, dass ein Dritter (und nicht der beklagte datenschutzrechtlich Verantwortliche) ihre personenbezogenen Daten im Internet veröffentlicht hat? Mit anderen Worten: Stellt der bloße und ggf. nur kurzzeitige Verlust der Kontrolle über eigene Daten einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO dar?
Frage 2
Falls Frage 1 bejaht wird: Inwieweit unterscheidet sich die Antwort oder macht es einen Unterschied, wenn die veröffentlichten Daten nur aus bestimmten personenbezogenen Daten bestehen (einschließlich allenfalls numerische Nutzer-ID, Name und Geschlecht), welche die betroffene Person bereits selbst im Internet veröffentlicht hatte, in Verbindung mit der Telefonnummer der betroffenen Person, die ein Dritter (bei dem es sich nicht um den beklagten datenschutzrechtlich Verantwortlichen handelt) mit diesen personenbezogenen Daten verknüpft hat?
Aus den Entscheidungsgründen: I. Gegenstand des Ausgangsverfahrens und zugrundeliegender Sachverhalt
Mit ihrer beim Landgericht Erfurt eingereichten Klage - einem Scraping-Fall - macht die Klägerin immateriellen Schadensersatz und eine Reihe weiterer Ansprüche aufgrund von Verstößen der Beklagten gegen die Datenschutz-Grundverordnung („DSGVO“) geltend. Die Beklagte, deren Sitz in Irland ist, betreibt die Social-Media-Plattform Facebook in Europa („Plattform der Beklagten”).
Die Klägerin unterhält ein Nutzerkonto auf der Plattform der Beklagten. Im Rahmen der Registrierung auf der Plattform der Beklagten müssen Nutzer bestimmte Informationen wie Name und Geschlecht angeben. Diese Informationen (zusammen mit der von der Beklagten generierten Nutzer-ID) sind im Rahmen des Nutzerprofils stets öffentlich einsehbar, worüber Nutzer in Kenntnis gesetzt werden. Diese öffentlichen Nutzerinformationen erleichtern die Kontaktaufnahme mit anderen Menschen. Dies entspricht dem Unternehmenszweck der Plattform der Beklagten, nämlich Menschen die Möglichkeit zu geben, Gemeinschaften zu bilden und die Welt näher zusammenzubringen.
Neben den immer öffentlichen Nutzerinformationen können Nutzer in ihrem Profil nach ihrer individuellen Präferenz weitere Informationen angeben. In diesem Zusammenhang können sie festlegen, welche anderen Gruppen von Nutzern diese Informationen sehen können („Freunde“, [auch] „Freunde von Freunden“, „Öffentlich“). Die Beklagte stellt hierfür Privatsphäre-Einstellungen zur Verfügung, durch die Nutzer bestimmen können, inwieweit von ihnen bereitgestellte Informationen öffentlich einsehbar sein sollen (sog. „Zielgruppenauswahl“). Über die Funktion und Bedeutung dieser Privatsphäre-Einstellungen informierte die Beklagte ihre Nutzer in ihrem Hilfebereich.
Entschied sich ein Nutzer - wie die Klägerin - dafür, seine Telefonnummer anzugeben, war die Standard-Zielgruppenauswahl während des relevanten Zeitraums „Freunde“. Die Telefonnummer war demnach nicht öffentlich einsehbar. Im Hinblick auf die Sichtbarkeit ihrer Handynummer hatte die Klägerin es bei der Standardeinstellung der Beklagten belassen, sodass diese nicht öffentlich sichtbar war.
Die Privatsphäre-Einstellungen auf der Plattform der Beklagten ermöglichten es den Nutzern auch, festzulegen, wer ihre Profile anhand ihrer Telefonnummern suchen kann (sog. „Suchbarkeits-Einstellungen“). Entschied sich ein Nutzer dafür, seine Telefonnummer anzugeben, war die Standard-Suchbarkeitseinstellung während des relevanten Zeitraums „Alle“. Nutzer konnten jedoch ihre Suchbarkeitseinstellungen jederzeit auf „Freunde“, „Freunde von Freunden“ oder (ab Mai 2019) auf „Nur ich“ festlegen. Die letztgenannte Einstellung verhinderte, dass andere Nutzer das betreffende Profil über die Telefonnummer finden konnten.
Die Möglichkeit, das Profil eines Nutzers anhand einer Telefonnummer zu finden, sollte ebenfalls dem Ziel dienen, Menschen miteinander zu verbinden. Die Plattform der Beklagten hat weltweit Milliarden von Nutzern. Die Suche nach einem Nutzerprofil allein anhand des Namens mag daher nicht ausreichen, um einen anderen Nutzer sicher zu identifizieren.
Die Klägerin entschloss sich dazu, ihre Telefonnummer auf der Plattform der Beklagten anzugeben, wobei sie die Standard-Suchbarkeitseinstellung „Alle“ nicht änderte.
Bis September 2019 ermöglichte die sog. Kontakt-Importer-Funktion Nutzern, Kontakte von ihren Mobilgeräten auf der Plattform der Beklagten hochzuladen. Hierdurch konnten die Nutzer diese Kontakte auf der Plattform der Beklagten finden und mit ihnen in Kontakt treten, sofern die Suchbarkeitseinstellungen des gesuchten Nutzers auf „Alle“ eingestellt waren (so wie dies bei der Klagepartei der Fall war).
Über einen bestimmten Zeitraum hinweg haben unbekannte Dritte (sog. „Scraper“), die in keiner Verbindung zur Beklagten standen, über die Kontakt-Importer-Funktion Mobiltelefonnummern hochgeladen. Die Mobiltelefonnummern hatten die Scraper bereits vorher anderweitig (d. h. nicht auf der Plattform der Beklagten) erlangt oder generiert. Wurden beim Hochladen der Telefonnummern Nutzerprofile gefunden, sammelten die unbekannten Dritten die Daten, die in den Profilen der Nutzer öffentlich einsehbar waren, und machten sich diese nutzbar.
Bei der Kontakt-Importer-Funktion handelte es sich um eine regulär vorgesehene Funktion der Plattform der Beklagten. Die Scraper wandten automatisierte Tools an, um diese Funktion auszunutzen und um auf Daten zuzugreifen, die in diesem Fall öffentlich einsehbar waren. Diese ohne Erlaubnis erfolgte Datenerhebung mit automatisierten Tools und Methoden fand während des relevanten Zeitraums statt und war (und ist immer noch) durch die Nutzungsbedingungen der Beklagten untersagt.
Die Scraper sammelten unzulässigerweise öffentlich einsehbare Daten zahlreicher Nutzer, fügten diese den Telefonnummern dieser Nutzer hinzu und veröffentlichten diese Daten in einer Datenbank im Internet bzw. Darknet. Dieses Vorgehen umfasste auch personenbezogene Daten der Klägerin, nämlich deren Telefonnummer in Verbindung mit den aus ihrem öffentlich einsehbaren Profil abgegriffenen Informationen (Nutzer-ID, Vorname, Nachname und Geschlecht).
Die Klägerin fordert unter anderem immateriellen Schadensersatz auf der Grundlage von Art. 82 DSGVO. Sie bringt vor, sie habe allein aufgrund der Tatsache, dass ihre Daten abgegriffen und in einer Datenbank veröffentlicht wurden, die Kontrolle über diese Daten verloren. Nach Ansicht der Klägerin stellt dieser Kontrollverlust schon als solcher einen immateriellen Schaden dar.
Die Beklagte macht demgegenüber geltend, dass Art. 82 DSGVO nicht dazu diene, vom Scraping betroffenen Personen Schadensersatz zu gewähren, die zwar von Datenschutzverletzungen betroffen sind, aber keinen konkreten, über den bloßen Kontrollverlust hinausgehenden Schaden erlitten haben. Dabei ist die Beklagte der Auffassung, dass der Scraping-Sachverhalt bereits keinen „Datenschutzverstoß“ darstelle. Die Beklagte macht ferner geltend, dass die bloße erneute Veröffentlichung der Daten der Klagepartei – die gemäß ihren individuellen Privatsphäre-Einstellungen bereits vorher öffentlich einsehbar waren – keinen immateriellen Schadensersatz begründen könne.
II. Einschlägige unionsrechtliche Bestimmungen
Art. 82 DSGVO (Haftung und Recht auf Schadensersatz)
Erwägungsgrund 75 DSGVO (Risiken für die Rechte und Freiheiten natürlicher Personen)
Erwägungsgrund 83 S. 3 DSGVO (Sicherheit der Verarbeitung)
Erwägungsgrund 85 S. 1 DSGVO (Pflicht zur Meldung von Datenschutzverletzungen an die Aufsichtsbehörde)
III. Relevante nationale Rechtsprechung
Die deutsche Rechtsprechung divergiert zu der Frage, ob der bloße Kontrollverlust einen immateriellen Schaden darstellt. Die bereits vorliegenden Entscheidungen des Gerichtshofes der Europäischen Union werden unterschiedlich interpretiert.
In nahezu identischen Verfahren haben mehrere deutsche Oberlandesgerichte Klagen auf immateriellen Schadensersatz abgewiesen. Sie haben dabei festgestellt, dass die auf Scraping beruhende erneute oder erstmalige Veröffentlichung von Daten und der damit einhergehende Kontrollverlust allein nicht ausreichen, um einen immateriellen Schaden zu begründen.
Der Bundesgerichtshof hat allerdings kürzlich in einem Verfahren wegen des unzulässigen Datenscrapings judiziert, dass ein bloßer und selbst kurzzeitiger Verlust der Kontrolle über eigene personenbezogene Daten schon an sich als immaterieller Schaden im Sinne von Art. 82 DSGVO einzuordnen ist und zu einem, wenn auch überschaubaren, Geldanspruch führt (BGH, Urteil vom 18.11.2024 - VI ZR 10/24). Dies soll somit unabhängig davon gelten, ob die Klagepartei individuelle immaterielle Beeinträchtigungen und Nachteile aufgrund des Kontrollverlusts darlegt und nachweist. Weder muss eine konkrete missbräuchliche Verwendung der Daten zum Nachteil des Betroffenen erfolgt sein, wie ein Identitätsdiebstahl, noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.
Zu dem jedenfalls erforderlichen „Kontrollverlust“ fehlt es allerdings an einer Definition oder näheren Maßgaben.
IV. Entscheidungserheblichkeit und Erläuterung der Vorlagefragen
Die Antworten des Gerichtshofes der Europäischen Union zu den Vorlagefragen sind entscheidungserheblich. Das vorlegende Gericht geht von einem Datenschutzverstoß der Beklagten mit negativen Folgen aus. Es ist jedoch zweifelhaft, ob ein immaterieller Schaden zu bejahen ist. Abhängig davon, ob die bloße - erneute oder erstmalige - Veröffentlichung von personenbezogenen Daten im Internet als immaterieller Schaden eingestuft wird oder nicht, kann das Gericht dem Klageantrag auf immateriellen Schadenersatz entweder (zumindest teilweise) stattgeben oder ihn abweisen.
Insbesondere hält das Gericht eine Klarstellung des Gerichtshofs für erforderlich, ob Art. 82 Abs. 1 DSGVO es einem nationalen Gericht ermöglicht, einer betroffenen Person Schadensersatz zuzusprechen, obwohl diese keinen konkreten und individuellen materiellen oder immateriellen Schaden nachgewiesen hat, wie begründete Befürchtungen eines Missbrauchs oder andere psychische Beeinträchtigungen, sondern sich lediglich darauf beruft, dass ihre Daten im Internet veröffentlicht wurden und sie somit die Kontrolle hierüber verloren habe. Dieser Klarstellung dient die Vorlagefrage zu 1.
Für den Fall, dass die Vorlagefrage zu 1 bejaht wird, ersucht das Gericht mit der Vorlagefrage zu 2. den Gerichtshof um Klärung, ob der Gerichtshof zu einer anderen Einschätzung gelangt, wenn die (erneut) veröffentlichten Daten lediglich aus solchen personenbezogenen Daten bestehen, deren Veröffentlichung im Internet die betroffene Person vorher selbst veranlasst hatte (einschließlich allenfalls numerische Nutzer-ID, Name und Geschlecht), sowie der Telefonnummer der betroffenen Person.
Bei dieser Bewertung könnte zu berücksichtigen sein, dass die unzulässiger Weise abgegriffenen Daten der Klägerin auf deren Nutzerprofil öffentlich einsehbar waren, während die Mobiltelefonnummer der Klägerin weder abgegriffen noch anderweitig aus dem Nutzerprofil der Klagepartei abgerufen wurde. Damit unterscheidet sich dieser Sachverhalt wohl von den Fällen, die bisher Gegenstand von Vorabentscheidungsverfahren zu Art. 82 DSGVO waren. Es stellt sich die Frage, ob die Klägerin nicht bereits vor dem Datenschutzverstoß die Kontrolle über ihre vom Scraping betroffenen personenbezogenen Daten verloren hatte, was zu einem Ausschluss von Ersatzansprüchen führen könnte.
Nach alledem bestehen Zweifel, ob es sich bei der Problematik des „bloßen Kontrollverlustes“ bereits um einen „acte éclairé“ handelt. Die bisherigen Urteile des Gerichtshofes könnten jedenfalls so verstanden werden, dass ein bloßer Kontrollverlust als solcher noch keinen Schaden darstellt, vielmehr - mit höherem Begründungs- und Beweisaufwand - weitere Voraussetzungen und Umstände hinzutreten müssen, wie etwa psychische Beeinträchtigungen oder ein tatsächlicher Missbrauch von Daten (s. nur EuGH, Urteil vom 25.01.2024, C-687/21, Rn. 67, EuGH, Urteil vom 14.12.2023, C-340/21, Rn. 84, und EuGH, Urteil vom 14.12.2023, C-456/22, Rn. 22).
Den Parteien des Ausgangsverfahrens wurde ausgiebig rechtliches Gehör gewährt. Die Befugnis des Einzelrichters, unionsrechtliche Fragestellungen zu würdigen und vor den Gerichtshof zu bringen, beruht auf Art. 267 AEUV (eingehend LG Erfurt, Hinweisbeschluss vom 4. Februar 2025 - 8 O 211/24, juris). Ein Einzelrichter ist nicht gehalten, gemäß § 348 Abs. 3 ZPO seine Kammer zur Entscheidung über eine Übernahme anzurufen. Dies hat Generalanwalt Rantos in einem Dieselfall herausgestellt (EuGH, Schlussanträge des Generalanwalts vom 2. Juni 2022, C-100/21, Rn. 75 ff.):
„Daher bin ich der Ansicht, dass Art. 267 AEUV einer nationalen Regelung entgegensteht, die, wenn ein Einzelrichter meint, dass sich im Rahmen einer bei ihm anhängigen Rechtssache eine Frage nach der Auslegung oder der Gültigkeit des Unionsrechts stellt, die eine Entscheidung des Gerichtshofs erfordert, diesem vorschreibt, diese Frage einer Zivilkammer vorzulegen, und er folglich daran gehindert ist, den Gerichtshof um Vorabentscheidung zu ersuchen.“
Der BGH hat sich in diesem Beschluss zur Bemessung des Streitwerts in Facebook-Scraping-Fällen für Ansprüche auf Unterlassung, Zahlung, Auskunft und Feststellung geäußert.
Aus den Entscheidungsgründen: Der Senat hat den Streitwert für das Revisionsverfahren auf die Gebührenstufe bis 4.000 € festgesetzt und die Klageanträge dabei - wie zuvor das Berufungsgericht - wie folgt bemessen: 1.000 € (Zahlungsantrag) + 500 € (Feststellungsantrag) + 1.500 € (Unterlassungsanträge) + 500 € (Auskunftsantrag) = 3.500 €. Der Prozessbevollmächtigte des Klägers wendet sich allein gegen die Wertfestsetzung für die Unterlassungsanträge, die er - wie zuvor das Landgericht - mit insgesamt 5.000 € (2 x 2.500 €) bemessen haben möchte.
Eine Höherfestsetzung des Streitwerts für die Unterlassungsanträge ist nicht veranlasst. Der Streitwert ist nach allgemeinen Regeln unter Berücksichtigung aller Umstände des Einzelfalls, insbesondere des Umfangs und der Bedeutung der Sache und der Vermögens- und Einkommensverhältnisse der Parteien, nach Ermessen zu bestimmen (§ 48 Abs. 2 Satz 1, Abs. 1 GKG, § 3 ZPO). Maßgeblich bei einem Unterlassungsantrag nach - wie im Streitfall geltend gemacht - bereits erfolgter Verletzungshandlung ist das Interesse des Anspruchstellers an der Unterbindung weiterer gleichartiger Verstöße, welches maßgeblich durch die Art des Verstoßes, insbesondere seine Gefährlichkeit und Schädlichkeit für den Inhaber des verletzten Rechts bestimmt wird. Allerdings kann auch anderen, von der bereits erfolgten Verletzungshandlung unabhängigen Faktoren - etwa dem Grad der Wahrscheinlichkeit künftiger Zuwiderhandlungen - Rechnung zu tragen sein (vgl. BGH, Urteil vom 12. Mai 2016 - I ZR 1/15, NJW 2017, 814 Rn. 33 ff. mwN). Das Gefährdungspotential ist dabei allein mit Blick auf das konkrete Streitverhältnis zu bestimmen. Für generalpräventive Erwägungen ist bei der Bewertung eines zivilrechtlichen Unterlassungsanspruchs ebenso wenig Raum (BGH, Urteil vom 12. Mai 2016 - I ZR 1/15, NJW 2017, 814 Rn. 42 mwN) wie für eine Orientierung an einem etwaigen (Gesamt-)Schaden unter Einbeziehung anderer Betroffener (vgl. Senat, Beschluss vom 30. November 2004 - VI ZR 65/04, juris Rn. 2; OLG Hamm, Urteil vom 15. August 2023 - 7 U 19/23, juris Rn. 277; OLG Frankfurt/M., K&R 2024, 673). Schließlich darf das Gesamtgefüge der Bewertung nichtvermögensrechtlicher Streitgegenstände nicht aus den Augen verloren werden (BGH, Beschluss vom 26. November 2020 - III ZR 124/20, K&R 2021, 127 Rn. 11).
Nach diesen Grundsätzen ist die erfolgte Festsetzung des Wertes der Unterlassungsanträge auf insgesamt 1.500 € (2 x 750 €) sachgerecht (vgl. zu Parallelfällen auch OLG Hamm, Urteil vom 15. August 2023 - 7 U 19/23, juris Rn. 279 ff.; OLG Frankfurt/M., K&R 2024, 673: jeweils insgesamt 1.000 €). Der Kläger selbst hat seinen Zahlungsanspruch auf Ersatz des bereits eingetretenen Schadens auf 1.000 € beziffert. Der Senat hat hierzu in einem weiteren Parallelverfahren näher ausgeführt, dass er auch eine Bemessung in der Größenordnung von 100 € für den bloßen Kontrollverlust von Rechts wegen nicht beanstanden würde (Urteil vom 18. November 2024 - VI ZR 10/24, juris Rn. 100). Seinen Antrag auf Feststellung hinsichtlich etwaiger zukünftiger Schäden hat auch der Kläger mit 500 € bewertet; dies erscheint angesichts der absehbaren Schwierigkeiten beim Nachweis der Ursächlichkeit künftiger Schäden auch sachgerecht. Die Verletzungshandlung liegt bereits fünf Jahre zurück, ohne dass es bislang jenseits des bloßen Kontrollverlustes zum Eintritt nachweisbarer Schäden oder einer weiteren Verletzungshandlung gekommen wäre; die Beklagte hat die Suchbarkeitsfunktion in der dem Streitfall inmitten stehenden Ausgestaltung vielmehr zwischenzeitlich deaktiviert. Beide Unterlassungsanträge nehmen ihren Ausgangspunkt in derselben Verletzungshandlung und hängen in der Sache eng zusammen.
Leitsatz des BGH:
Immaterieller Schaden im Sinne des Art. 82 Abs. 1 DSGVO kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung sein. Weder muss eine konkrete missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.
BGH, Urteil vom 18. November 2024 - VI ZR 10/24 - OLG Köln - LG Bonn
Der BGH hat im Leitentscheidungsverfahren nach § 552b ZPO entschieden, dass in Facebook-Scraping-Fällen ein Anspruch auf Schadensersatz aus Art. 82 Abs. 1 DSGVO wegen Kontrollverlustes in Höhe von 100 EURO angemessen sein dürfte, sofern keine wirksame Einwilligung in die Datenverarbeitung vorlag. Dies hat die Vorinstanz nunmehr zu prüfen. Der BGH hat zudem entschieden, dass dann auch Unterlassungsanspruch und ein Feststellungsinteresse für einen Schadensersatzfeststellungsanspruch besteht.
Die Pressmeiteilung des BGH: Bundesgerichtshof entscheidet über Ansprüche im Zusammenhang mit einem Datenschutzvorfall beim
sozialen Netzwerk Facebook (sog. Scraping)
Sachverhalt:
Die Beklagte betreibt das soziale Netzwerk Facebook. Anfang April 2021 wurden Daten von ca. 533 Millionen Facebook-Nutzern aus 106 Ländern im Internet öffentlich verbreitet. Unbekannte Dritte hatten sich zuvor den Umstand zu Nutze gemacht, dass die Beklagte es in Abhängigkeit von den Suchbarkeits-Einstellungen des jeweiligen Nutzers ermöglicht, dass dessen Facebook-Profil mithilfe seiner Telefonnummer gefunden werden kann. Die unbekannten Dritten ordneten durch die in großem Umfang erfolgte Eingabe randomisierter Ziffernfolgen über die Kontakt-Import-Funktion Telefonnummern den zugehörigen Nutzerkonten zu und griffen die zu diesen Nutzerkonten vorhandenen öffentlichen Daten ab (sog. Scraping).
Von diesem Scraping-Vorfall waren auch Daten des Klägers (Nutzer-ID, Vor- und Nachname, Arbeitsstätte und Geschlecht) betroffen, die auf diese Weise mit dessen Telefonnummer verknüpft wurden. Der Kläger macht geltend, die Beklagte habe keine ausreichenden Sicherheitsmaßnahmen ergriffen, um eine Ausnutzung des Kontakt-Tools zu verhindern. Ihm stehe wegen des erlittenen Ärgers und des Kontrollverlusts über seine Daten Ersatz für immaterielle Schäden zu. Darüber hinaus begehrt der Kläger die Feststellung, dass die Beklagte verpflichtet sei, ihm in diesem Zusammenhang auch alle künftigen materiellen und immateriellen Schäden zu ersetzen, und nimmt die Beklagte auf Unterlassung und Auskunft in Anspruch.
Bisheriger Prozessverlauf:
Das Landgericht hat der Klage teilweise stattgegeben und dem Kläger aus Art. 82 Abs. 1 DSGVO Schadensersatz in Höhe von 250 € zugesprochen; im Übrigen hat es die Klage abgewiesen. Auf die Berufung der Beklagten hat das Oberlandesgericht die Klage unter Zurückweisung der Anschlussberufung des Klägers insgesamt abgewiesen. Weder reiche der bloße Kontrollverlust zur Annahme eines immateriellen Schadens im Sinne von Art. 82 Abs. 1 DSGVO aus noch habe der Kläger hinreichend substantiiert dargelegt, über den Kontrollverlust als solchen hinaus psychisch beeinträchtigt worden zu sein.
Mit Beschluss vom 31. Oktober hat der Bundesgerichtshof das Revisionsverfahren zum Leitentscheidungsverfahren gemäß § 552b ZPO n.F. bestimmt (Pressemitteilung 206/24). Nachdem die Revision nicht zurückgenommen wurde oder sich anderweitig erledigt hat, hat der Bundesgerichtshof jedoch am 11. November 2024 mündlich zur Sache verhandelt und nach allgemeinen Regeln durch Urteil über die Revision des Klägers entschieden.
Entscheidung des Bundesgerichtshofs:
Die Revision des Klägers war teilweise erfolgreich.
Der Anspruch des Klägers auf Ersatz immateriellen Schadens lässt sich mit der Begründung des Berufungsgerichts nicht verneinen. Nach der für die Auslegung des Art. 82 Abs. 1 DSGVO maßgeblichen Rechtsprechung des EuGH kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung ein immaterieller Schaden im Sinne der Norm sein. Weder muss insoweit eine konkrete missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.
Erfolg hatte die Revision auch, soweit das Berufungsgericht die Anträge des Klägers auf Feststellung einer Ersatzpflicht für zukünftige Schäden, auf Unterlassung der Verwendung seiner Telefonnummer, soweit diese nicht von seiner Einwilligung gedeckt ist, und auf Ersatz seiner vorgerichtlichen Rechtsanwaltskosten abgewiesen hat. Entgegen der Auffassung des Berufungsgerichts fehlt es nicht an dem notwendigen Feststellungsinteresse des Klägers, da die Möglichkeit des Eintritts künftiger Schäden unter den Umständen des Streitfalles ohne Weiteres besteht. Der genannte Unterlassungsanspruch ist hinreichend bestimmt und dem Kläger fehlt insoweit auch nicht das Rechtsschutzbedürfnis. Im Übrigen (weiterer Unterlassungsantrag und Auskunftsantrag) blieb die Revision hingegen ohne Erfolg.
Im Umfang des Erfolges der Revision hat der Bundesgerichtshof die Sache zur neuen Verhandlung und Entscheidung an das Berufungsgericht zurückverwiesen. Für die weitere Prüfung hat der Bundesgerichtshof das Berufungsgericht zum einen darauf hingewiesen, dass die von der Beklagten vorgenommene Voreinstellung der Suchbarkeitseinstellung auf "alle" nicht dem Grundsatz der Datenminimierung entsprochen haben dürfte, wobei das Berufungsgericht ergänzend die Frage einer wirksamen Einwilligung des Klägers in die Datenverarbeitung durch die Beklagte zu prüfen haben wird. Zum anderen hat der Bundesgerichtshof Hinweise zur Bemessung (§ 287 ZPO) des immateriellen Schadens aus Art. 82 Abs. 1 DSGVO erteilt und ausgeführt, warum unter den Umständen des Streitfalles von Rechts wegen keine Bedenken dagegen bestünden, den Ausgleich für den bloßen Kontrollverlust in einer Größenordnung von 100 € zu bemessen.
OLG Köln - Urteil vom 7. Dezember 2023 - 15 U 67/23
Die maßgebliche Vorschrift lautet:
Artikel 82 Datenschutz-Grundverordnung (DSGVO) - Haftung und Recht auf Schadenersatz
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Leitsatz des BGH:
Zur Bestimmung eines Leitentscheidungsverfahrens gemäß § 552b ZPO in der Fassung des Gesetzes zur Einführung eines Leitentscheidungsverfahrens beim Bundesgerichtshof vom 24. Oktober 2024 (BGBl. I Nr. 328).
BGH, Beschluss vom 31. Oktober 2024 - VI ZR 10/24 - OLG Köln - LG Bonn
Aus den Entscheidungsgründen: Die Revision wirft Rechtsfragen auf, die für eine Vielzahl anderer Verfahren von Bedeutung sind. Der Senat bestimmt das vorliegende Verfahren daher zum Leitentscheidungsverfahren im Sinne des § 552b ZPO in der Fassung des Gesetzes zur Einführung eines Leitentscheidungsverfahrens beim Bundesgerichtshof vom 24. Oktober 2024 (BGBl. I Nr. 328; im Folgenden: § 552b ZPO nF).
1. Die formalen Voraussetzungen zur Bestimmung des vorliegenden Verfahrens zum Leitentscheidungsverfahren liegen vor. Das Gesetz zur Einführung eines Leitentscheidungsverfahrens beim Bundesgerichtshof vom 24. Oktober 2024 ist nach seinem Art. 7 am Tag nach der Verkündung, mithin am 31. Oktober 2024 in Kraft getreten. Die Revisionsbegründung des Klägers wurde der Beklagten am 8. April 2024 zugestellt, die Revisionserwiderung der Beklagten ist am 15. Oktober 2024 eingegangen (§ 552b Satz 1 ZPO nF). Eine Anhörung der Parteien im Rahmen der Bestimmung des Verfahrens zum Leitentscheidungsverfahren ist nicht erforderlich (arg e contr. § 148 Abs. 4 ZPO nF; vgl. ferner Allgayer, Stellungnahme als Sachverständiger zum [Regierungs-]Entwurf eines Gesetzes zur Einführung eines Leitentscheidungsverfahrens bei Bundesgerichtshof, BTRechtsausschuss vom 13. Dezember 2023, S. 4); etwas anderes würde auch die Zielsetzung des Gesetzes unterlaufen, eine zügige höchstrichterliche Klärung trotz der Rücknahme von Revisionen aus prozesstaktischen Gründen oder aufgrund eines Vergleiches zu ermöglichen (vgl. BT-Drs. 20/8762 S. 10).
2. Das Verfahren wirft die folgenden Rechtsfragen auf:
a) Liegt in der Implementierung der sog. Kontakt-Import-Funktion in Verbindung mit der Standardvoreinstellung "alle" ein Verstoß der Beklagten gegen die Datenschutz-Grundverordnung im Sinne des Art. 82 Abs. 1 DSGVO ?
b) Ist der bloße Verlust der Kontrolle über die gescrapten und nunmehr mit der Mobiltelefonnummer des Betroffenen verknüpften Daten geeignet, einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO zu begründen? Falls ja, wie wäre der Ersatz für einen solchen Schaden zu bemessen ?
c) Welche Anforderungen sind an die Substantiierung einer Schadensersatzklage nach Art. 82 Abs. 1 DSGVO zu stellen ?
d) Reicht die bloße Möglichkeit des Eintritts künftiger Schäden in einem Fall wie dem vorliegenden aus, um ein Feststellungsinteresse im Sinne des § 256 Abs. 1 ZPO zu begründen?
e) Genügen die vom Kläger gestellten Anträge, dass die Beklagte es unterlasse,
- personenbezogene Daten der Klägerseite unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern, und
- die Telefonnummer des Klägers auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf 'privat' noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert und, im Falle der Nutzung der FacebookMessenger App, hier ebenfalls explizit die Berechtigung verweigert wird,
dem Bestimmtheitsgebot des § 253 Abs. 2 Nr. 2 ZPO ?
3. Die Entscheidung dieser Rechtsfragen ist für eine Vielzahl anderer Verfahren von Bedeutung (§ 552b Satz 1 ZPO n.F.). Beim erkennenden Senat sind derzeit 25 weitere Revisionsverfahren zu dem Scraping-Vorfall bei der Beklagten anhängig. In den Tatsacheninstanzen sind bei unterschiedlichen Gerichten noch insgesamt mehrere tausend Verfahren anhängig (vgl. OLG Stuttgart, GRUR-RS 2023, 32883 Rn. 136: über 100 eigene und bundesweit mehr als 6.000 Parallelverfahren; OLG Hamm, GRUR-RS 2024, 16856 Rn. 23: Vielzahl eigener Parallelverfahren; OLG Köln, GRUR-RS 2023, 37347 Rn. 29: Vielzahl gleichgelagerter eigener Verfahren).
BGH hat einen Rechtsstreit um möglichen Schadensersatz aus Art. 82 DSGVO in Facebook-Scraping-Fällen zum Leitentscheidungsverfahren nach § 552b ZPO bestimmt.
Die Pressemitteilung des BGH: Bundesgerichtshof bestimmt Leitentscheidungsverfahren in dem sog. Scraping-Komplex (Ansprüche im Zusammenhang mit einem Datenschutzvorfall beim sozialen Netzwerk Facebook)
Der u.a. für Rechtsstreitigkeiten über Ansprüche aus der Datenschutz-Grundverordnung zuständige VI. Zivilsenat hat in dem sog. Scraping-Komplex (Pressemitteilung 115/24) das Revisionsverfahren VI ZR 10/24 zum Leitentscheidungsverfahren bestimmt. Nach der durch das Gesetz zur Einführung eines Leitentscheidungsverfahrens beim Bundesgerichtshof vom 24. Oktober 2024 (BGBl. I Nr. 328) neu geschaffenen Vorschrift des § 552b ZPO kann der Bundesgerichtshof ein bei ihm anhängiges Revisionsverfahren zum Leitentscheidungsverfahren bestimmen, wenn die Revision Rechtsfragen aufwirft, deren Entscheidung für eine Vielzahl von Verfahren von Bedeutung ist. Mit der Bestimmung zum Leitentscheidungsverfahren ist eine Entscheidung über die Rechtsfragen auch dann zu treffen, wenn eine inhaltliche Entscheidung über die Revision aus prozessualen Gründen nicht mehr ergehen kann. Damit soll eine zügige höchstrichterliche Klärung trotz der Rücknahme von Revisionen aus prozesstaktischen Gründen oder aufgrund eines Vergleichs ermöglicht werden.
Das zum Leitentscheidungsverfahren bestimmte Revisionsverfahren VI ZR 10/24 wirft die Rechtsfragen auf,
ob in der von der Beklagten bei Implementierung der sog. Kontakt-Import-Funktion vorgenommenen Standardvoreinstellung auf "alle" ein Verstoß der Beklagten gegen die Datenschutz-Grundverordnung im Sinne des Art. 82 Abs. 1 DSGVO liegt,
ob der bloße Verlust der Kontrolle über die gescrapten und nunmehr mit der Mobiltelefonnummer des jeweiligen Betroffenen verknüpften Daten geeignet ist, einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO zu begründen,
wie in einem solchen Fall der Schaden zu bemessen wäre,
welche Anforderungen an die Substantiierung einer Schadensersatzklage nach Art. 82 Abs. 1 DSGVO zu stellen sind,
ob die bloße Möglichkeit des Eintritts künftiger Schäden ausreicht, um ein Feststellungsinteresse im Sinne des § 256 Abs. 1 ZPO zu begründen,
ob die vom Kläger gestellten Unterlassungsanträge dem Bestimmtheitsgebot des § 253 Abs. 2 Nr. 2 ZPO genügen.
Diese Rechtsfragen sind für eine Vielzahl beim Bundesgerichtshof und in den Tatsacheninstanzen anhängiger, in wesentlichen Teilen gleichgearteter Verfahren von Bedeutung. Diese Verfahren können nunmehr grundsätzlich bis zur Erledigung des Leitentscheidungsverfahrens ausgesetzt werden.
In zwei zunächst zur Verhandlung am 8. Oktober 2024 vorgesehenen Verfahren sind die Revisionen von den Klägern kurzfristig vor dem Termin zurückgenommen worden (Pressemitteilung 190/24). Für den 11. November 2024 ist Termin zur mündlichen Verhandlung in dem nunmehr zum Leitentscheidungsverfahren bestimmten Revisionsverfahren VI ZR 10/24 anberaumt (Pressemitteilung 195/24). In dem weiteren für den 11. November 2024 terminierten Verfahren VI ZR 186/24 ist die Revision zwischenzeitlich ebenfalls zurückgenommen worden.
OLG Köln - Urteil vom 7. Dezember 2023 - 15 U 67/23
Die maßgeblichen Vorschriften lauten:
§ 552b ZPO n.F.: Bestimmung zum Leitentscheidungsverfahren
Wirft die Revision Rechtsfragen auf, deren Entscheidung für eine Vielzahl anderer Verfahren von Bedeutung ist, so kann das Revisionsgericht nach Eingang einer Revisionserwiderung oder nach Ablauf eines Monats nach Zustellung der Revisionsbegründung das Revisionsverfahren durch Beschluss zum Leitentscheidungsverfahren bestimmen. Der Beschluss enthält eine Darstellung des Sachverhalts und der Rechtsfragen, deren Entscheidung für eine Vielzahl anderer Verfahren von Bedeutung ist.
(1) Endet die zum Leitentscheidungsverfahren bestimmte Revision, ohne dass ein mit inhaltlicher Begründung versehenes Urteil ergeht, so trifft das Revisionsgericht durch Beschluss eine Leitentscheidung. Der Beschluss ergeht ohne mündliche Verhandlung.
(2) In dem Beschluss wird
1. festgestellt, dass die Revision beendet ist, und
2. eine Leitentscheidung zu den im Beschluss nach § 552b benannten Rechtsfragen getroffen.
(3) Der Beschluss ist zu begründen. Die Begründung ist auf die Erwägungen zur Entscheidung der maßgeblichen Rechtsfragen zu beschränken.
(4) Das Gericht kann ferner, wenn die Entscheidung des Rechtsstreits von Rechtsfragen abhängt, die den Gegenstand eines bei dem Revisionsgericht anhängigen Leitentscheidungsverfahrens bilden, nach Anhörung der Parteien anordnen, dass die Verhandlung bis zur Erledigung des Leitentscheidungsverfahrens auszusetzen ist. Eine Aussetzung hat zu unterbleiben, wenn eine Partei der Aussetzung widerspricht und gewichtige Gründe hierfür glaubhaft macht. (…)
OLG München
Verfügung vom 14.09.2023 14 U 3190/23 e
Das OLG München hat in einer Verfügung im Rahmen eines Berufungsverfahrens ausgeführt, dass kein Schadensersatzanspruch und kein Unterlassungsanspruch in Facebook-Scraping-Fällen besteht, wenn keine fühlbare reale Beeinträchtigung vorliegt bzw. dargelegt und bewiesen wird.
Aus den Verfügungsgründen: Das strukturiert begründete Urteil des Landgerichts leidet nicht an Rechtsfehlern (§ 546 ZPO). Die zugrunde zu legenden Tatsachen (§ 529 ZPO) gebieten keine andere Entscheidung (§ 513 Abs. 1 ZPO).
1. Zutreffend versagt das Landgericht einen Schadensersatzanspruch.
Das Ersturteil arbeitet überzeugend heraus, dass der Beklagten eine schadenskausale Pflichtverletzung, die in den Anwendungsbereich des Art. 82 DSGVO fiele, nicht angelastet werden kann; auf die diesbezüglichen Ausführungen des Landgerichts ist Bezug zu nehmen.
Ihnen ist hier lediglich hinzuzufügen: Insbesondere einen Verstoß gegen Art. 32 durch „zu weite“ Voreinstellungen musste das Landgericht nicht annehmen. Art. 32 DSGVO schreibt nicht schlechthin datenschutzfreundliche Voreinstellungen vor, sondern gebietet – wesentlich allgemeiner gehalten – „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Das ist bei einer Kontaktplattform auch dadurch möglich, dass dem Nutzer durch Anleitungen und Hilfen die Möglichkeit gegeben wird, die Einstellungen enger zu fassen und zudem einen „Privacy-Check“ durchzuführen.
Anderes ergibt sich auch nicht etwa aus Erwägungsgrund 78 zur DSGVO, denn dort werden datenschutzfreundliche Voreinstellungen lediglich als Beispiel für Schutzmaßnahmen genannt, die je nach Sachlage und Zusammenhang empfehlenswert seien.
Er lautet:
„Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten natürlicher Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen getroffen werden, damit die Anforderungen dieser Verordnung erfüllt werden. Um die Einhaltung dieser Verordnung nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun. Solche Maßnahmen könnten unter anderem darin bestehen, dass die Verarbeitung personenbezogener Daten minimiert wird, personenbezogene Daten so schnell wie möglich pseudonymisiert werden, Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird, der betroffenen Person ermöglicht wird, die Verarbeitung personenbezogener Daten zu überwachen, und der Verantwortliche in die Lage versetzt wird, Sicherheitsfunktionen zu schaffen und zu verbessern. In Bezug auf Entwicklung, Gestaltung, Auswahl und Nutzung von Anwendungen, Diensten und Produkten, die entweder auf der Verarbeitung von personenbezogenen Daten beruhen oder zur Erfüllung ihrer Aufgaben personenbezogene Daten verarbeiten, sollten die Hersteller der Produkte, Dienste und Anwendungen ermutigt werden, das Recht auf Datenschutz bei der Entwicklung und Gestaltung der Produkte, Dienste und Anwendungen zu berücksichtigen und unter gebührender Berücksichtigung des Stands der Technik sicherzustellen, dass die Verantwortlichen und die Verarbeiter in der Lage sind, ihren Datenschutzpflichten nachzukommen. Den Grundsätzen des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen sollte auch bei öffentlichen Ausschreibungen Rechnung getragen werden“.
Das Landgericht durfte hier berücksichtigen, dass Facebook eine Plattform für Nutzer ist, die sich in erster Linie „finden lassen“ wollen, um sogenannte „Freundschaftsanfragen“ zu erhalten, wobei der Begriff „Freundschaft“ hier nicht in dem engen Sinne zu verstehen ist, der die deutsche Sprachtradition prägt. Als „technische und organisatorische Maßnahme“ durfte es das Landgericht in diesem Zusammenhang als ausreichend ansehen, dass die Nutzer hier das Ausmaß der Findbarkeit selbst einstellen konnten, angeleitet durch transparente Hilfen und Erklärungen, die umfangreich, aber verständlich und sinnvoll gegliedert sowie zugänglich waren.
2. Das kann indessen dahinstehen, da im vorliegenden Einzelfall auch kein Schaden im Rechtssinne eingetreten ist.
Das Landgericht hat unter zutreffender Einwertung von Erwägungsgrund 146 herausgearbeitet, dass der Schadensbegriff zwar im Prinzip weit reicht, aber eine fühlbare reale Beeinträchtigung voraussetzt. An dieser fehlt es hier, wie das Landgericht anhand der persönlichen Anhörung des Klägers herausgearbeitet hat. Was die Berufungsbegründung hiergegen erinnert, überzeugt nicht:
(a) Erwägungsgrund 85 besagt nicht, dass jeder Kontrollverlust ein Schaden ist.
Er lautet in seinem Satz 1, den die Berufung hier offensichtlich anzieht:
„Eine Verletzung des Schutzes personenbezogener Daten kann – wenn nicht rechtzeitig und angemessen reagiert wird – einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder betrug, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile für die betroffene natürliche Person“.
(b) Dass der Kläger „durch Ärger, Angst, Stress, Sorge“ geplagt sei, hat die Anhörung nicht ergeben, sondern seinen freimütigen Angaben war u.a. zu entnehmen, dass er die Plattform weiter nutzt, was dem Landgericht zeigte, dass der Kläger nicht durchgreifend bekümmert ist. Was er an Zeit und Kraft aufgewendet habe, um sich mit dem Problem auseinanderzusetzen, war nicht in der Weise greifbar geworden, dass ein „erlittener“ Schaden darin gesehen werden musste.
(c) Dass der Kläger seit dem Datenleck Kontaktversuche von unbekannten Dritten in Form von „Spam“-SMS und „Spam“-Anrufen erhalten habe, hat der Kläger dahin relativiert, diese beruhten wahrscheinlich darauf, dass er seine Mobiltelefonnummer bei dem mehrfach erwähnten großen und weltweit tätigen Versandhandelsunternehmen hinterlegt habe. Das Landgericht hatte daher verständlicherweise unüberwindliche Bedenken, die SMS und Anrufe gerade der Beklagten als kausal verursachten Schaden anzulasten.
2. Nicht zu beanstanden ist ferner, dass das Landgericht auch für einen zukünftigen Schaden keine Anhaltspunkte sah.
3. Zutreffend versagt das Landgericht den Unterlassungsanspruch
Die Wiederholungsgefahr besteht bereits deshalb nicht, weil der Kläger die Einstellungen von „alle“ auf „nur ich“ zurücksetzen kann. Das erfordert keine weiteren Maßnahmen der Beklagten, so dass offen bleiben kann, ob diese die Suchbarkeitsfunktion deaktiviert hat und „Anti-Scraping-Maßnahmen“ ins Werk gesetzt hat.
Denn selbst wenn eine Rechtsverletzung vorläge, die – grundsätzlich – Wiederholungsgefahr zu indizieren geeignet wäre, wäre diese Indizwirkung durch obige Fallumstände hier widerlegt.
Nicht verfangen kann der Einwand, wonach es keine Abhilfe bringe, wenn der Kläger seine Einstellungen von „everyone“ auf „friends of friends“ umstellt. Es mag unterstellt werden, dass auch Daten von Nutzern „gescrapt“ worden sind, die – anders als der Kläger – nicht „everyone“ eingestellt hatten. Das ist aber nicht der Schadenshergang, der vorliegend anzunehmen war und an dem die Wiederholungsgefahr zu messen wäre. Dass sich der hier festgestellte Schadenshergang wiederholen würde, kann der Kläger schon durch die geänderten Einstellungen bewirken. Stellt er die Einstellungen von „alle“ auf „nur ich“ zurück, und würden seine Daten dann (erneut) gescrapt, so wäre das ein anderer Schadenshergang.
4. Zutreffend versagt das Landgericht den Auskunftsanspruch.
Anders als in den von der Berufungsbegründung angezogenen Entscheidungen anderer Gerichte (BerBegr S. 65/66) war der Auskunftsanspruch vorliegend erfüllt mit Ausnahme einer Angabe, wer der/die Scraper/in gewesen ist. Letztere Angabe (des „Empfängers“) kann die Beklagte nicht machen, weil sie den Empfänger nicht kennt. Dass sie in früheren Fällen gegen unbefugte Dritte vorgegangen ist, ändert hieran fallbezogen nichts.
5. Nach alledem hat das Landgericht auch Schadensersatzansprüche nach nationalem Recht zutreffend versagt.
Das OLG Hamm hat entschieden, dass ein Schadensersatzanspruch in Facebook-Scraping-Fällen nur dann besteht, wenn ein konkreter Schaden nachgewiesen wird. Der Verstoß gegen die DSGVO und das Gefühl des Kontrollverlustes seitens des Betroffenen genügt nicht allein nicht.
Die Pressemitteilung des Gerichts: Leitentscheidung zu Facebook-Scraping
Das Oberlandesgericht Hamm hat ein erstes Urteil zu den sogenannten Facebook-Scraping-Fällen gesprochen und eine Klage auf Zahlung von Schadensersatz nach der Datenschutz-Grundverordnung (DSGVO) abgewiesen. Nach dem Urteil liegen zwar Verstöße gegen datenschutzrechtliche Vorschriften vor, einen immateriellen Schaden konnte die Klägerin jedoch nicht ausreichend darlegen.
Im April 2021 veröffentlichten Unbekannte die Daten von etwa 500 Millionen Facebook-Nutzern im Darknet, darunter Namen und Telefonnummern. Die Daten hatten die Unbekannten zuvor über einen längeren Zeitraum zunächst unter Ausnutzung der seinerzeitigen Suchfunktionen von Facebook gesammelt, weshalb von „Scraping“ gesprochen wird (von engl. to scrape für zusammenkratzen). Auch dann, wenn die Anzeige der eigenen Telefonnummer bei Facebook nicht aktiviert war, war es über die Suchfunktion möglich, einen Nutzer über eine eingegebene Telefonnummer zu identifizieren. Dies nutzen die unbekannten „Scraper“ aus, indem sie millionenfach Telefonnummern mit dem Computer generierten und hierzu Daten abriefen. Facebook deaktivierte die Suchfunktion für Telefonnummern im April 2018. Auf ein daraufhin angepasstes Scraping-Verfahren, das die Kontaktimportfunktion von Facebook ausnutzte, wurden weitere Daten abgegriffen, bis Facebook auch diese Funktion auf der Plattform im Oktober 2018 und im Facebook-Messenger im September 2019 deaktivierte.
Im Hinblick auf dieses „Datenleck“ sind bundesweit zahlreiche Klagen gegen Meta als Betreiberin der Plattform anhängig, so auch im Bezirk des Oberlandesgerichts Hamm, für den nunmehr die erste Entscheidung vorliegt. Der für das Recht der unerlaubten Handlungen zuständige 7. Zivilsenat klärt darin zahlreiche Rechtsfragen im Zusammenhang mit den Scraping-Klagen.
Auch die Klägerin im nun entschiedenen Verfahren war von dem Scraping betroffen. In dem im Darknet veröffentlichten Datensatz fanden sich ihre Mobiltelefonnummer, ihr Vor- und Nachname sowie die Angabe ihres Geschlechts. Die Klägerin hat von Meta als Betreiberin der Plattform unter anderem eine Entschädigung für immaterielle Schäden ähnlich einem Schmerzensgeld in Höhe von mindestens 1.000 Euro verlangt. Sie hat die Auffassung vertreten, die Betreiberin der Plattform habe sowohl im Zusammenhang mit dem Scraping als auch unabhängig davon gegen verschiedene Vorschriften des Datenschutzes aus der DSGVO verstoßen. Dem ist Meta entgegengetreten.
Das Landgericht Bielefeld hatte die Klage zurückgewiesen. Die von der Klägerin eingelegte Berufung ist nun vor dem Oberlandesgericht Hamm ohne Erfolg geblieben. Zwar hat das Oberlandesgericht Verstöße gegen die DSGVO festgestellt. Von einem immateriellen Schaden der Klägerin konnte es sich jedoch nicht überzeugen.
Zu den festgestellten Verstößen gegen die DSGVO geht das Oberlandesgericht im Ausgangspunkt davon aus, dass es auch im Zivilprozess Aufgabe des für die Datenverarbeitung Verantwortlichen – hier Meta – ist, die zulässige Verarbeitung dieser Daten nach der DSGVO nachzuweisen. Auch die Weitergabe von Daten an Dritte auf eine Suchfunktion oder eine Kontaktimportfunktion ist dabei Datenverarbeitung im Sinne der DSGVO. Meta konnte hier nicht nachweisen, dass die Weitergabe der Mobiltelefonnummer der Klägerin im Rahmen der Such- oder Kontaktimportfunktion nach der DSGVO gerechtfertigt war. Auf die Erfüllung des Vertragszwecks als Rechtfertigungsgrund nach der DSGVO kann sich Meta dabei nicht berufen, da die Verarbeitung der Mobiltelefonnummer für die Vernetzung der Nutzerinnen und Nutzer von Facebook untereinander unter Berücksichtigung des Grundsatzes der Datensparsamkeit nicht zwingend erforderlich ist. Für die Verarbeitung der Mobiltelefonnummer bedarf es daher einer Einwilligung der Nutzerin oder des Nutzers. Eine solche wurde hier schon deswegen nicht wirksam erteilt, weil bei der seinerzeit erteilten Einwilligung der Klägerin in unzulässiger Weise mit von der Nutzerin auf Wunsch abwählbaren Voreinstellungen gearbeitet wurde („opt-out“) und die Informationen über die Such- und Kontaktimportfunktion unzureichend und intransparent waren.
Auch eine grundsätzlich zum Schadensersatz führende Pflichtverletzung hat das Oberlandesgericht bejaht, da Meta trotz der konkreten Kenntnis von dem Datenabgriff im vorliegenden Fall naheliegende Maßnahmen zur Verhinderung weiteren unbefugten Datenabgriffs nicht ergriffen hatte.
Das Oberlandesgericht hat der Klägerin im Ergebnis aber dennoch keinen Schadensersatz zuerkannt. Die Klägerin hat hier lediglich immaterielle Schäden geltend gemacht, was nach der DSGVO grundsätzlich möglich ist und zu einer Entschädigung ähnlich einem Schmerzensgeld führen kann. Allerdings ist es der Klägerin nicht gelungen, einen konkreten immateriellen Schaden darzulegen. Dabei geht das Oberlandesgericht davon aus, dass der immaterielle Schaden nicht in dem bloßen Verstoß gegen die DSGVO selbst liegen kann, sondern darüberhinausgehende persönliche bzw. psychologische Beeinträchtigungen eingetreten sein müssen. Solche hat die Klägerin jedoch nicht individuell dargelegt. Der zu einer Vielzahl an ähnlich gelagerten Verfahren identische, pauschale Vortrag, die „Klägerpartei“ habe Gefühle eines Kontrollverlusts, eines Beobachtetwerdens und einer Hilflosigkeit, insgesamt also das Gefühl der Angst entwickelt und Aufwand an Zeit und Mühe gehabt, reicht zur Darlegung einer konkret-individuellen Betroffenheit der Klägerin nicht aus. Auch ist der hier in Rede stehende Datenmissbrauch, der zur ungewollten Veröffentlichung von Name und Mobiltelefonnummer geführt hat, nicht so schwerwiegend, dass der Eintritt eines immateriellen Schadens ohne weiteres naheliegt. Hinzu kommt, dass die Klägerin in ihrer persönlichen Anhörung vor dem Landgericht lediglich ausgeführt hatte, sie habe ein „Gefühl der Erschrockenheit“ erlitten.
Das Oberlandesgericht hat den Streitwert für das gesamte Verfahren – in dem auch erfolglos weitere Anträge auf Feststellung, Unterlassung und Auskunft geltend gemacht worden waren – mit lediglich 3.000 Euro bewertet. Es hat keinen Anlass gesehen, das Verfahren dem Europäischen Gerichtshof zur Vorabentscheidung vorzulegen oder die Revision zuzulassen, da die entscheidenden Rechtsfragen jüngst durch den Europäischen Gerichtshof geklärt wurden.
Oberlandesgericht Hamm, Urteil vom 15. August 2023, Az. 7 U 19/23; Vorinstanz: Landgericht Bielefeld, Urteil vom 19. Dezember 2022, Az. 8 O 157/22.
Die Entscheidung ist veröffentlicht unter www.nrwe.de externer Link, öffnet neues Browserfenster / neuen Browser-Tab.
Bernhard Kuchler
Pressedezernent
Für die Entscheidung relevante Vorschriften der Datenschutz-Grundverordnung (DSGVO)
Art. 4 – Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck: […]
2. "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; […]
Art. 5 – Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz");
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken ("Zweckbindung");
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung"); […]
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ("Rechenschaftspflicht").
Art. 6 – Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; […]
Art. 7 – Bedingungen für die Einwilligung
(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen. […]
Art. 32 – Sicherheit der Verarbeitung
(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; […]
Art. 82 – Haftung und Recht auf Schadenersatz
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. […]
Das OLG Frankfurt hat entschieden, dass in den typischen Scraping-Fällen gegen Facebook / Meta regelmäßig ein Streitwert von 6.000 EURO angemessen ist. Dabei entfallen 4.000 EURO auf den Unterlassungsanspruch.
Aus den Entscheidungsgründen: 1. Der Streitwert des bezifferten Klageantrags zu 1 entspricht dem eingeklagten Mindestschadensersatz in Höhe von 1.000 Euro (§ 48 Abs. 1 Satz 1 GKG i.V.m. § 3 ZPO).
2. Die Beschwerdeführer wenden sich auch zu Recht nicht dagegen, dass das Landgericht den Schadensersatzfeststellungsantrag (Klageantrag zu 2) mit 500 Euro bewertet hat (vgl. auch OLG Stuttgart, Beschluss vom 03.01.2023 - 4 AR 4/22, juris Rn. 23; OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 15 mwN).
3. Entgegen der Ansicht der Beschwerdeführer ist der Wert der auf Unterlassung gerichteten Klageanträge zu 3 a) und b) nicht mit mehr als insgesamt 4.000 Euro zu bemessen.
a) Nach den zutreffenden Rechtsausführungen des Landgerichts ist der Streitwert in nichtvermögensrechtlichen Streitigkeiten gemäß § 48 Abs. 2 Satz 1 GKG unter Berücksichtigung aller Umstände des Einzelfalls, insbesondere des Umfangs und der Bedeutung der Sache und der Vermögens- und Einkommensverhältnisse der Parteien, nach Ermessen zu bestimmen. Dabei kommt der Streitwertangabe des Klägers zu Beginn des Verfahrens nach ständiger Rechtsprechung des Senats zwar grundsätzlich erhebliche indizielle Bedeutung für den Wert des tatsächlich verfolgten Interesses zu (siehe u.a. auch KG, Beschluss vom 26.11.2004 - 5 W 146/04, juris Rn. 5; Beschluss vom 18.02.2022 - 5 U 1007/20, juris Rn. 81), da der Kläger bei Einreichung der Klageschrift noch nicht sicher wissen kann, ob sein Antrag Erfolg haben wird. Er ist daher von sich aus gehalten, sein wirtschaftliches Interesse an der Verfolgung des geltend gemachten Verstoßes realistisch einzuschätzen. Eine Abweichung von der Streitwertangabe des Klägers kommt daher im Regelfall nur in Betracht, wenn Anzeichen dafür bestehen, dass diese erheblich über- oder untersetzt ist (vgl. z.B. OLG Frankfurt am Main, Beschluss vom 14.12.2022 - 6 W 77/22, WRP 2023, 358 Rn. 4 mwN - Penthouse in Erstbezug, zu einem UWG-Verstoß).
b) Vorliegend ist allerdings unter Berücksichtigung des beidseitigen Parteivortrags davon auszugehen, dass der vom Landgericht angenommene Streitwert von insgesamt 4.500 Euro für die Klageanträge zu 3 a) und b) nicht zu gering, sondern vielmehr zu hoch ist (vgl. insofern auch OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16: 4.000 Euro; siehe auch OLG Dresden, Beschluss vom 28.09.2022 - 17 AR 36/22, Anlage SW2 S. 5, GA 590 [juris Rn. 8]: Zwischen 3.000 Euro und 5.000 Euro).
aa) Zwar hat der Kläger geltend gemacht, das Datenleck habe für ihn schwerwiegende Folgen. Er gebe seine Telefonnummer nicht wahl- und grundlos preis. Die erlangten Datensätze stünden bis heute jedem im Internet zu Verfügung. Sie seien auf Internetseiten veröffentlicht worden, die illegale Aktivitäten begünstigten, wie www.(...).com, einem bekannten „Hacker-Forum“, auf dem illegal abgeschöpfte Daten für kriminelle Machenschaften wie Internetbetrug hinterlegt und ausgetauscht würden. Die Datensätze lieferten Kriminellen ausreichend Informationen für Betrugsversuche durch sog. Phishing per SMS (Versuche, sich über gefälschte Kurznachrichten als vertrauenswürdiger Kommunikationspartner auszugeben, um an persönliche Nutzerdaten zu kommen oder Nutzer zu schädlichen Aktionen zu verleiten), Scamming ([Internet-]Betrug), Spamming (Zusenden unerwünschter Nachrichten), Smishing (Form des Phishings, bei der Nutzer verleitet werden, auf einen Link mit Schadstoffsoftware zu klicken), Identitätsdiebstahl und die Übernahme von Accounts und Anrufen (sog. „SIM-Swap“-Angriffe). Seit dem Vorfall bzw. seit April 2019 erhalte er unregelmäßig bzw. vermehrt Anrufe von unbekannten Nummern, Kontaktversuche von Unbekannten per SMS (vgl. jeweils Anlage K6, Anlagenband zum Schriftsatz vom 08.02.2023) und E-Mails mit offensichtlichen Betrugsversuchen und potenziellen Virenlinks. Dies wäre ohne das Datenleck aufgrund der Privatsphäre-Einstellung - gerade in Bezug auf seine Telefonnummer - so nicht der Fall gewesen. Durch den von der Beklagten zu verantwortenden umfassenden Verlust der Kontrolle über seine Daten, insbesondere in Verknüpfung mit seiner Telefonnummer, habe er das Gefühl des Kontrollverlusts, Beobachtetwerdens und der Hilfslosigkeit, und damit insgesamt ein überschattendes Gefühl der Angst. Sein Unwohlsein und seine ständige große Sorge vor einem Datenmissbrauch zeigten sich insbesondere in verstärktem Misstrauen gegenüber Anrufen und E-Mails von unbekannten Nummern bzw. Adressen. Er reagiere nur noch äußerst vorsichtig auf E-Mails und Nachrichten und fürchte jedes Mal einen Betrug. Zwar erhielten auch Personen, die nicht bei Plattform1 seien, jedenfalls SPAM-E-Mails, die Spannbreite möglicher Negativfolgen des Scrapings gehe aber darüber hinaus. So könne es unter anderem sein, dass er sich bei einem Anruf mit seinem Namen melde, mit „Ja“ antworte oder auf ihm per SMS oder E-Mail übersandte Links klicke und dadurch in irgendwelche Verträge gerate. Drohanrufe oder -nachrichten könnten es erforderlich machen, dass er sich eine neue Handynummer zulegen oder den Anbieter wechseln müsse, was zeit- und kostenaufwändig wäre.
bb) Andererseits ist der Kläger selbst nur von einem mittelschweren Fall ausgegangen, da die „entwendeten“ Daten nicht sensibel oder höchstpersönlicher Natur, aber umfangreich seien. Auch hat der Kläger die Daten - abgesehen von seiner Telefonnummer - selbst auf Plattform1 öffentlich zugänglich gemacht hat und trotz des angeblichen Angstgefühls seine Kontoeinstellungen nach Bekanntwerden des Datenlecks nicht geändert.
Die Kläger aufgezeigten Missbrauchsmöglichkeiten mögen zudem zwar theoretisch bestehen und die Veröffentlichung der verknüpften Daten Anreiz zu einer rechtswidrigen Verwendung geben, allerdings hängen die vom Kläger behaupteten vermehrten E-Mails und Anrufe nicht nachweislich mit dem Scraping zusammen. Dargetan sind mit Anlage K6 im Wesentlichen ein paar SMS zu angeblich versandten Paketen, teils mit der Aufforderung, einen Link zu betätigen. Eine schwerwiegende Beeinträchtigung, die dem Kläger auch bei einem künftigen, vergleichbaren Vorfall drohen könnte, kann darin nach zutreffender Auffassung des Landgerichts nicht gesehen werden. Es ist auch nicht erkennbar, dass der Kläger Opfer von Drohungen oder derart schwerwiegenden Belästigungen werden könnte, dass er seine Telefonnummer ändern müsste.
Nach zutreffender Auffassung des Oberlandesgerichts Karlsruhe ist auch nicht erkennbar, dass ein künftiger, gleichgelagerter Vorfall wirtschaftlich erheblich höher zu bewerten wäre als die Klageanträge zu 1 und 2 mit insgesamt 1.500 Euro (vgl. OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16). In Bezug auf den streitgegenständlichen Vorfall ist unstreitig, dass die Beklagte zunächst weder die Nutzer noch die für sie zuständige Datenschutzbehörde des Landes1 (A) über das streitgegenständliche Scraping informiert hat.
Bei gebotener Gesamtabwägung aller relevanten Umstände mögen zwar die Einkommens- und Vermögensverhältnissen der Beklagten und die wirtschaftliche Bedeutung der Scraping-Vorfälle für diese mit zu berücksichtigen sein (vgl. z.B. OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16 mwN), allerdings führt der Verweis des Klägers auf mögliche Geldbußen in Höhe von 2 % (bei Verstößen gegen Art. 25, 33 und 35 DSGVO) bzw. 4 % (bei Verstößen gegen Art. 5, 13 bis 15 DSGVO) des „weltweiten“ Vorjahresumsatzes nicht zu einer abweichenden Streitwertbemessung. Selbst wenn der vom Kläger behauptete Gesamtumsatz der „Beklagtenseite“ von weltweit knapp 118 Milliarden US-Dollar im Jahr 2021 allein von der Beklagten erzielt worden wäre, entfielen auf jeden der 533 Millionen vom Scraping betroffenen Benutzer ausgehend von einer Geldbuße in Höhe von 4 % nur knapp 9 US-Dollar.
Nach zutreffender Auffassung des Oberlandesgerichts Karlsruhe ist für die Klageanträge zu 3 a) und b) auch nicht jeweils der Auffangstreitwert des § 23 Abs. 3 Satz 2 RVG (analog) von 5.000 Euro anzusetzen. Auf diesen Wert ist nur zurückzugreifen, wenn - anders als hier - nicht genügend Anhaltspunkte für eine Streitwertbemessung bestehen (vgl. auch OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16 mwN; siehe hingegen OLG Stuttgart, Beschluss vom 03.01.2023 - 4 AR 4/22, Anlage SW2 S. 7 f., GA 598 [juris Rn. 27 f.]).
Vor diesem Hintergrund hält es der Senat für angemessen, den mit dem Klageantrag Ziffer 3 gestellten Unterlassungsanträgen einen Streitwert von insgesamt 4.000 Euro beizumessen (ebenso u.a. OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16 mwN; LG Köln, Urteil vom 31.05.2023 - 28 O 138/22, juris Rn. 60 f.; LG Detmold, Urteil vom 28.04.2023 - 2 O 184/22, GRUR-RS 2023, 14599 Rn. 45).
4. Entgegen der Auffassung der Beschwerdeführer ist der auf Auskunft über die von der Beklagten verarbeiteten personenbezogenen Daten des Klägers gerichtete Klageantrag zu 4 mit 500 Euro gleichfalls angemessen bewertet (vgl. auch OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 17). Soweit das Oberlandesgericht Dresden in der vom Kläger in Bezug genommenen Entscheidung vom 28.09.2022 von einem Streitwert zwischen 1.000 Euro und 5.000 Euro ausgegangen ist (Az. 17 AR 36/22, Anlage SW2 S. 5, GA 590 [juris Rn. 8]), betrifft die von diesem in Bezug genommene Entscheidung des Oberlandesgerichts Köln (Beschluss vom 25.07.2019 - 20 W 10/18) eine Datenauskunftsklage gemäß Art. 15 DSGVO, die nach der Vorstellung des dortigen Klägers einem wirtschaftlichen Ziel, nämlich der erleichterten Durchsetzung weiterer Klageanträge, dienen sollte, und die mit 5.000 Euro bewertet wurde (vgl. OLG Köln, Beschluss vom 03.09.2019 - 20 W 10/18, juris Rn. 4). Vorliegend ist ein über den bezifferten Klageantrag zu 1 hinausgehendes wirtschaftliches Interesse an den begehrten Auskünften nicht dargetan und auch nicht ersichtlich (vgl. auch OLG Stuttgart, Beschluss vom 03.01.2023 - 4 AR 4/22, Anlage SW2 S. 8, GA 599 [juris Rn. 30]).
5. Der auf Abmahnkostenersatz gerichtete Klageantrag zu 5 wirkt sich gemäß § 43 Abs. 1 GKG bzw. § 49 Abs. 1 Satz 1 GKG i.V.m. § 4 Abs. 1 ZPO nicht streitwerterhöhend aus.
6. Insgesamt besteht daher kein Anlass, den vom Landgericht auf 6.500 Euro festgesetzten Streitwert heraufzusetzen. Vielmehr ist der Wert auf 6.000 Euro herabzusetzen. Wegen der Möglichkeit, die erstinstanzliche Festsetzung von Amts wegen zu ändern (§ 63 Abs. Satz 1 Nr. 2 GKG), besteht bei Streitwertbeschwerden kein Verschlechterungsverbot (sog. Verbot der reformatio in peius, vgl. z.B. OLG Frankfurt am Main, Beschluss vom 13.10.2014 - 10 W 48/14, juris Rn. 1; OLG Stuttgart, Beschluss vom 09.10.2019 - 6W 47/19, NJW-RR 2020, 255 Rn. 26; OLG München, Beschluss vom 14.07.2020 - 25 W 587/20, juris Rn. 5, OVG Lüneburg, Beschluss vom 04.02.2008 - 5 OA 185/07, NVwZ-RR 2008, 431; Laube in: BeckOK Kostenrecht, 41. Edition, Stand: 01.04.2023, § 68 Rn. 161 mwN).
Das OLG Dresden hat entschieden, dass die unbefugte Veröffentlichung einer fremden Handynummer auf einem Online-Portal eine Verletzung des Rechts auf informationelle Selbstbestimmung und einen Verstoß gegen Art. 6 DSGVO darstellt. Der Betroffene hat u.a. einen abmahnfähigen Unterlassungsanspruch gegen den Täter.
Aus den Entscheidungsgründen:
1. Allerdings hätte es vor Erlass dieses Beschlusses den Bekl. – ggf. telefonisch – anhören müssen. Als Ausfluss des Rechts auf rechtliches Gehör aus Art. 103 Abs. 1 GG, der eine besondere Ausprägung der Waffengleichheit ist, ist es grundsätzlich geboten, in einem gerichtlichen Verfahren der Gegenseite grundsätzlich vor einer Entscheidung Gehör und damit die Gelegenheit zu gewähren, auf eine bevorstehende gerichtliche Entscheidung Einfluss zu nehmen. Entbehrlich ist eine vorherige Anhörung nur in Ausnahmefällen. Voraussetzung der Verweisung auf eine nachträgliche Anhörung ist, dass sonst der Zweck des einstweiligen Verfügungsverfahrens vereitelt würde (BVerfG, einstweilige Anordnung vom 03. Juni 2020 – 1 BvR 1246/20 –, Rn. 16, juris Beschluss der 3. Kammer des Ersten Senats vom 30. September 2018 - 1 BvR 1783/17 -, Rn. 14 bis 16 juris). Ein solcher Ausnahmefall ist hier nicht erkennbar. Dies wirkt sich jedoch im Berufungsverfahren nicht mehr aus. Ein Verstoß gegen Art. 103 Abs. 1 GG ist jedenfalls geheilt, wenn das rechtliche Gehör im Rechtsmittelzuge gewährt wird (statt aller Burghart in: Leibholz/Rinck, Grundgesetz, 81. Lieferung 09.2020, Art. 103 GG, Rn. 416). So liegt der Fall hier. Vor Erlass des im Berufungsverfahren allein streitgegenständlichen Verfügungsurteils vom 21.8.2020 ist dem Beklagten im Rahmen des Widerspruchsverfahrens hinreichend Gelegenheit zur Äußerung gegeben worden, von der er auch umfassend Gebrauch gemacht hat. Im Termin vom 11.8.2020 ist ihm zudem eine weitere Stellungnahmefrist eingeräumt worden, die Ausführungen im Schriftsatz vom 11.8.2020 hat das Landgericht bei der Entscheidung berücksichtigt.
2. Das Landgericht hat auch zutreffend einen Verfügungsanspruch der Klägerin aus §§ 823 Abs. 1, 1004 Abs. 1 S. 2 BGB analog bejaht. Das durch § 823 BGB unter anderem geschützte allgemeine Persönlichkeitsrecht beinhaltet auch das Recht auf Informationelle Selbstbestimmung. Dies bedeutet, dass der Betroffene die unbefugte Benutzung seiner persönlichen Daten nicht dulden muss (vgl. Palandt/Sprau, BGB, 80. Aufl., § 823 Rz. 115 m.w.N.). Die unrechtmäßige Verarbeitung personenbezogener Daten der Klägerin im Sinne des Art. 6 DSGVO stellt überdies die Verletzung eines Schutzgesetzes nach § 823 Abs. 2 BGB dar, die ebenfalls mit einem Unterlassungsanspruch nach § 1004 BGB geltend gemacht werden kann (vgl. Palandt/Sprau, aaO., § 823 Rn 85 m.w.N.). Die Verwendung der Telefonnummer der Klägerin oder ihrer sonstigen Kontaktdaten in einer „gefakten“ xxx-Kleinanzeige stellt eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO dar, bezüglich derer grundsätzlich Unterlassung verlangt werden kann. Die private Handynummer der Klägerin ist ein personenbezogenes Datum im Sinne des Art. 4 Nr. 1 DSGVO, auch wenn in der Anzeige ihr Name nicht aufgeführt ist. Hierunter sind alle Informationen zu verstehen, die sich auf eine identifizierte oder identifizierbare natürliche Person (Betroffener) beziehen. Eine natürliche Person ist identifizierbar im Sinne dieser Norm, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (Schreiber in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Artikel 4 DSGVO, Rn. 7). Unter der Geltung des BDSG war umstritten, unter welchen Voraussetzungen von einer solchen Identifizierbarkeit, auszugehen ist. Teilweise wurde insoweit auf einen subjektiven Maßstab abgestellt; entscheidend sollte hiernach sein, dass der verarbeitende Diensteanbieter in der Lage ist, mit den ihm normalerweise zur Verfügung stehenden Hilfsmitteln unter vernünftigem Aufwand die Daten einem bestimmten Individuum zuordnen zu können. Kann er diese Zuordnung unter den genannten Bedingungen nicht selbst vornehmen, soll ein Personenbezug mangels Bestimmbarkeit zu verneinen sein (MMR 2000, 721 (722); Meyerdierks, MMR 2009, 8 (12); Nink/Pohle, MMR 2015, 563 (564 f.); Voigt/Alich, NJW 2011, 3541 (3542 m.w.N.). Nach anderer Auffassung kommt es demgegenüber auf ein objektives Verständnis an; entscheidend für die Frage, ob ein Datum personenbezogen ist oder nicht, sei allein, ob dieses durch einen beliebigen Dritten einem Individuum zugeordnet werden könnte (Däubler/Klebe/Wedde/Weichert/Weichert, § 3 BDSG Rz. 13). Personenbezogen ist ein Datum nach dieser Auffassung immer dann, wenn es durch irgendjemanden einer bestimmten Person zugeordnet werden kann. Ob auch derjenige, der die Daten verarbeitet, die Möglichkeit hat, die Zuordnung zum jeweiligen Individuum nachvollziehen zu können, ist irrelevant (zum Streitstand vgl. Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl. 2018, § 12 TMG, Rn. 7ff). Vorliegend bedarf diese Frage keiner Entscheidung. Die Identifizierbarkeit der Klägerin über ihre Telefonnummer wird hier nämlich jedenfalls im Kontext der als Anlage AS 3 vorgelegten Kleinanzeige dadurch mit hinreichender Sicherheit gewährleistet, dass dort zusätzlich der auf sie hindeutende Nutzername "xxxxxxxxxxx" sowie ein Hinweis auf den Standort des Wagens an ihrem Wohnort in Leipzig enthalten ist. Unstreitig ist überdies, dass der Ehemann der Klägerin in der Vergangenheit über ein gleichartiges Fahrzeug verfügt hat. Infolge dieser Angaben ist es für einen größeren Personenkreis möglich, die Klägerin zu identifizieren. Die Weitergabe dieser Telefonnummer an einen unbestimmten Personenkreis im Rahmen einer ohne dessen Einwilligung für den Betroffenen eingestellten "xxx-Kleinanzeige" stellt eine rechtswidrige Verwendung dieser Daten dar, schon weil sie die Gefahr begründet, dass der Betroffenen gegen seinen Willen von fremden Personen unter dieser Nummer kontaktiert wird, wie es auch vorliegend geschehen ist. Die missbräuchliche Verwendung ihrer Telefonnummer, durch die Dritte veranlasst wurden, mit der Klägerin Kontakt aufzunehmen, stellt überdies eine tatbestandsmäßige Nachstellung im Sinne des § 238 Abs. 1 Nr. 3 StGB dar, der wiederum ein Schutzgesetz im Sinne von § 823 Abs. 2 BGB ist. Ob ihr allgemeines Persönlichkeitsrecht darüber hinaus durch die Kontaktaufnahme unter Verwendung der Pseudonyme "T... R..." und "P... W..." verletzt ist (zum Recht auf anonyme Kommunikation vgl. BVerfGE 95, 28; BGH NJW 2009, 2888, 2892f; Klass in: Erman, BGB, 16. Aufl. 2020, Anhang zu § 12 – Das Allgemeine Persönlichkeitsrecht, Rn. 245), kann angesichts dessen dahinstehen.
3. Die Klägerin hat darüber hinaus hinreichend glaubhaft gemacht, dass der Beklagte Urheber dieser Tathandlungen gewesen ist (vgl. §§ 936, 920 Abs. 2 i.V.m. § 294 ZPO). Zur Glaubhaftmachung kann der Beweisbelastete sich aller Beweismittel bedienen, die auch zur Versicherung an Eides statt zugelassen werden. Beweismaß ist bei der Glaubhaftmachung nicht der Vollbeweis, sondern eine Wahrscheinlichkeitsfeststellung (BGHZ 156, 139, 142; Zöller-Geimer/Greger, ZPO, aaO., § 294 Rz. 1 m.w.N.; Rz. 6 m.w.N.). Dabei bedeutet „überwiegende Wahrscheinlichkeit“, dass nicht nur ein „Quäntchen“ mehr für die Richtigkeit der Behauptung spricht. Zu fordern ist vielmehr ein den konkreten Umständen angepasstes Maß an Glaubhaftigkeit (Zöller, a.a.O.). Zur Widerlegung durch den Gegner ist die gleiche Glaubhaftmachung mit der gleichen Wahrscheinlichkeitsfeststellung möglich (Zöller-Geimer/Greger, § 294 Rz. 2 m.w.N.).
Wie das Landgericht geht auch der Senat davon aus, dass die Klägerin durch die Ausdrucke der X...-Registrierungsbedingungen glaubhaft gemacht hat, dass bei der Einrichtung von E-Mail-Accounts unter X...mail und der im Geschäftsverkehr verwendeten E-Mail-Adressen die Mobilfunknummer des Beklagten angegeben wurde. Auch die zur Generierung der Accounts notwendigen IP-Nummern stammen vom Telefonanbieter des Beklagten (Vodafone). Durch Vorlage eines X...-Ausdrucks in der mündlichen Verhandlung vom 11.08.2020 (Anlage zum Protokoll, Bl. 115 d. A.) hat die Klägerin weiterhin glaubhaft gemacht, dass X... bereits seit dem Jahre 2012 bei der Einrichtung eines e-mail-accounts zwingend die Angabe der Handynummer verlangt hat und die Registrierung erst nach Aufruf einer Bestätigungs-SMS an diese Handynummer abgeschlossen ist. Dem stehen die vom Beklagten vorgelegten Unterlagen (Anlage AST10, Bl. 128 f. d. A.) nicht entgegen, weil mit den im Verfügungsverfahren zur Verfügung stehenden Beweismitteln jedenfalls nicht auszuschließen ist, dass sich dies nur auf das isolierte Anmelden eines X...-Kontos ohne gleichzeitige Erstellung einer X...-E-Mail-Adresse beziehen, was auch die Klägerin für sich in Anspruch nimmt (Bl. 137 d. A., Anlage AS7, Bl. 139 d. A.). Die beigezogene Ermittlungsakte lässt überdies den Rückschluss zu, dass tatsächlich bei der Einrichtung der streitgegenständlichen Konten die Mobilfunk-Nummer des Beklagten angegeben und diesem im Nachgang auch mitgeteilt wurde (für „p...w...mail@gmail.com“ - Bl. 32 Ermittlungsakte; für „t...r...mail@gmail.com“ - Bl. 33 der Ermittlungsakte; für l...-u...@gmail.com“ - Bl. 19 Ermittlungsakte). Wieso gleichwohl ein unbekannter Dritter die Telefonnummer des Beklagten hätte verwenden sollen, um unter Einsatz erheblicher krimineller Energie der Klägerin nachzustellen und dies zugleich dem Beklagten in die Schuhe zu schieben, hat der Beklagte nicht plausibel machen können. Die erstmals im Berufungsverfahren erhobene Behauptung, er habe sein iPad mit den darauf enthaltenen Daten verschiedenen Mitarbeitern der K... GmbH zur Verfügung gestellt, erscheint zum einen nachgeschoben und unglaubhaft und kann eine solche Handlungsweise zum anderen nicht erklären. Hierfür ergibt sich auch nichts aus den mit der Berufungsbegründung vorgelegten und mit eidesstattlichen Versicherungen glaubhaft gemachten Sachverhalten, die die Erstellung der Accounts und Versendung der entsprechenden E-Mails durch den Beklagten gerade nicht ausschließen. Dass der Kläger, wie er behauptet, vom Urlaub in I... aus, im Rahmen einer Besprechung, bei der typischerweise Handy und/oder Laptop aufgeklappt auf dem Tisch stehen, während einer Geschäftsreise in seiner Eigenschaft als Fotograf oder während einer "Autofahrt" nach I... (die zumindest durch eine Fähraufenthalt unterbrochen worden sein muss) zu keinem Zeitpunkt die Möglichkeit gehabt haben soll, von seinem sicherlich mit einem Internetzugang ausgestatteten Mobiltelefon E-Mails einzurichten oder zu verschicken, ist bereits nach der Lebenserfahrung und vor dem Hintergrund des geschilderten Fähigkeiten des Beklagten (u.a. Aufbau der Homepage der K... GmbH, digitale Fotografie) nicht plausibel. Da ein Unterlassungsanspruch unabhängig von der Frage besteht (s.o.), ob der Beklagte sich hinter den E-Mail Pseudonymen "T... R..." und "P... W..." verbirgt, kommt es bereits nicht darauf an, ob sich der Beklagte am 3.8.2019 in S... befand, wohingegen die dem Pseudonym "T... R..." an diesem Tage zugeordnete IP-Adresse bei der "... ... ... GmbH" lokalisiert wurde.
4. Das Landgericht hat schließlich auch einen Verfügungsgrund zu Recht bejaht. Bei der Frage, ob der Erlass einer einstweiligen Verfügung zur Abwendung wesentlicher Nachteile oder der Verhinderung drohender Gewalt erforderlich ist, sind die schutzwürdigen Interessen beider Seiten im Rahmen des gerichtlichen Beurteilungsspielraums gegeneinander abzuwägen. Es muss eine Dringlichkeit gegeben sein, die bei zu langem Zuwarten des Erlassantrages widerlegt werden kann (Zöller-Vollkommer, aaO., § 940 Rz. 4 jeweils m.w.N.). In persönlichkeitsrechtlichen Streitigkeiten ist nach ständiger Rechtsprechung des Senats ein Verfügungsgrund für eine auf Unterlassung gerichtet einstweilige Verfügung regelmäßig zu bejahen, wenn keine Selbstwiderlegung der Dringlichkeit, insbesondere durch Zuwarten, gegeben ist (zuletzt Senat, Beschluss vom 25. Januar 2018 - 4 U 1675/17 -, juris). Dies ist eine Frage des Einzelfalles, für die sich gleichwohl in der Rechtsprechung Regelfristen herausgebildet haben, bei deren Überschreitung von einer Selbstwiderlegung auszugehen ist. Diese reichen von vier Wochen bzw. einem Monat (OLG Karlsruhe, Urteil vom 14.1.2015 - 6 U 156/14 - juris; vgl. im Übrigen die Verweise auf nicht veröffentlichte Rechtsprechung der OLGe Koblenz und Köln sowie des KG bei Wenzel-Burkhardt, Das Recht der Wort- und Bildberichterstattung, 6. Aufl. Kap 12 Rn 145) über fünf Wochen (OLG Hamburg, Beschluss vom 15.12.2014 - 7 W 141/14 - juris) bis zu 8 Wochen bzw. zwei Monaten ab Kenntniserlangung von der Rechtsverletzung (OLG Stuttgart, Urteil vom 08. Februar 2017 - 4 U 166/16 -, Rn. 35 - 36, juris Senat, Urteil vom 27. November 2018 – 4 U 1282/18 –, Rn. 11, juris). Vorliegend greifen diese Grundsätze indes schon deshalb nicht ein, weil sie voraussetzen, dass der Berechtigte trotz Kenntnis oder grob fahrlässiger Unkenntnis von der Durchsetzung seiner Unterlassungsansprüche absieht. Eine solche Kenntnis ist hier jedoch nicht anzunehmen. Die Klägerin hatte zwar schon im August 2019 Strafanzeige erstattet und es mag im Rahmen eines nachfolgenden Telefonats mit dem ermittelnden Polizeibeamten auch der Name des Beklagten gefallen sein. Ohne irgend welchen konkreten Ermittlungsergebnisse war es ihr aber zu diesem Zeitpunkt nicht zumutbar, einen Verfügungsantrag zu stellen, weil sie keine Mittel zur Glaubhaftmachung in der Hand hatte. Diese Möglichkeit ergab sich erstmals nach Einsicht in die Ermittlungsakte, diese wurde am 15.4.2020 gewährt, keine zwei Wochen später, nämlich am 27.4.2020 wurde der Antrag gestellt. Auch verfängt die Auffassung des Beklagten nicht, eine Dringlichkeit sei nicht gegeben weil schon eine Wiederholungsgefahr nicht vorliege - schließlich sei die Klägerin nach eigenen Angaben ab November 2019 nicht mehr belästigt worden. Dies kann sich zwanglos daraus erklären, dass die Belästigungen ohnehin unregelmäßig erfolgten und dass die Klägerin bereits im August 2019 Strafanzeige gegen Unbekannt erstattet hatte und der Beklagte jedenfalls ab Dezember 2019 bereits „offiziell“ nämlich durch die Ladung zu seiner Beschuldigtenvernehmung Kenntnis von einem gegen ihn geführten Ermittlungsverfahren hatte. Bei der Nachteilsabwägung ist schließlich zu berücksichtigen, dass dem Beklagten durch den Erlass der Verfügung über die hiermit verbundene Kostenbelastung hinaus keinerlei Nachteile entstehen und er die Möglichkeit hat, einen Antrag auf Anordnung der Klageerhebung zur Hauptsache nach § 926 ZPO zu stellen, während umgekehrt die Klägerin in ihrer geschäftlichen Sphäre insofern durchaus Nachteile befürchten muss, als sie durch die Neugründung einer Veranstaltungsagentur sich ihren Kunden und Geschäftspartnerkreis erst aufbauen muss. Dass auch die Vorgänge in ihrer Privatsphäre sie vor dem Hintergrund ihrer Schwangerschaft/Entbindung auch psychisch nicht unerheblich belasten, hat sie durch eine Versicherung an Eides statt glaubhaft gemacht.
