BECKMANN UND NORDA - Rechtsanwälte Bielefeld

OLG Dresden
Urteil vom 15.10.2024
4 U 940/24

Das OLG Dresden hat entschieden, dass die unzureichende Kontrolle des Auftragsverarbeiters einen Schadensersatzanspruch aus Art. 82 DSGVO des Betroffenen gegen den Verantwortlichen begründen kann.

Aus den Entscheidungsgründen:
1. Die internationale Zuständigkeit deutscher Gerichte ist gemäß Art. 18 Abs. 1 EuGVVO sowie gemäß Art. 79 Abs. 2, Satz 2 DSGVO gegeben, denn die Klagepartei hat ihren gewöhnlichen Aufenthalt in Deutschland. Der sachliche, räumliche und zeitliche Anwendungsbereich der am 25.05.2018 in Kraft getretenen Datenschutzgrundverordnung ist eröffnet.

2. Die Beklagte ist der Klagepartei dem Grunde nach gemäß Art. 82 DSGVO zum Schadensersatz verpflichtet. Der Verantwortliche und Auftragsverarbeiter haftet im Grundsatz nach Art. 82 DSGVO für das Handeln seiner Auftragsverarbeiter und deren Mitarbeiter jedenfalls dann, wenn dem Mitarbeiter erst durch die ihm vom Verantwortlichen oder Auftragsverarbeiter übertragene Tätigkeit die Gelegenheit gegeben wurde, auf die Rechtsgüter der betroffenen Person einzuwirken. Der Verantwortliche haftet auch, wenn der Auftragsverarbeiter die Weisungen des Verantwortlichen ausführt und dadurch ein Schaden entsteht. Missachtet der Auftragsverarbeiter eine rechtmäßige Weisung des Verantwortlichen, haftet der Verantwortliche auch hierfür (Hans-Jürgen Schaffland; Gabriele Holthaus in: Schaffland/Wiltfang, Datenschutz-Grundverordnung (DS-GVO)/Bundesdatenschutzgesetz (BDSG), 8. Ergänzungslieferung 2024, Art. 82 EUV 2016/679, Rz. 30a). Zwar besteht in diesem Fall auch eine Haftung des Auftragsdatenverarbeiters. Der Verantwortliche kann den Betroffenen aber nicht auf dessen vorrangige Inanspruchnahme verweisen, weil dies einem „wirksamen Schadensersatz“ im Sinne des Art. 82 Abs. 4 DSGVO (vgl. auch Erwägungsgrund 146 S. 6) entgegenstünde. Ein Abschieben der Haftung auf den Auftragsverarbeiter widerspricht auch dem Grundgedanken der Auftragsverarbeitung, wonach der Verantwortliche zwar ohne Weiteres Dritte einschalten darf, aber gegenüber der betroffenen Person verantwortlich bleibt. Der Auftragsverarbeiter ist letztlich – mit einigen formalen und inhaltlichen Anforderungen, die aus der fehlenden arbeitsrechtlichen Weisungsbefugnis und tatsächlichen Kontrollmöglichkeit herrühren – wie ein sonstiger Mitarbeiter zu behandeln (vgl. Bergt, in: Kühling/Buchner, DSGVO, 4. Auflage, 2024, Art. 82 Rn. 55 mwN).

a) Die Beklagte hat gegen die ihr obliegende Pflicht zur sorgfältigen Überwachung des von ihr beauftragten externen Auftragsdatenverarbeiters verstoßen, Art. 28, 32 DSGVO.

Art 28 Abs. 1 DSGVO regelt unmittelbar nur die Anforderungen an die Auswahl des Auftragsverarbeiters durch den Verantwortlichen. Dieser darf nur solche Auftragnehmer als Auftragsverarbeiter beauftragen, „die hinreichende Garantie dafür bieten, dass geeignete technische und organisatorische Maßnahmen“ im Einklang mit der DSGVO durchgeführt werden. Dies führt aber nicht nur zu einer Pflicht zur sorgfältigen Auswahl, sondern auch zu einer Pflicht zur sorgfältigen Überwachung des Auftragsverarbeiters durch den Verantwortlichen. Diese Pflicht zur Überwachung des Auftragsverarbeiters - im Anschluss an dessen Auswahl - ist in Art. 28 Abs. 1 DSGVO zwar nicht ausdrücklich geregelt, ergibt sich jedoch aus der Formulierung der Norm („arbeitet [...] nur mit“). Absatz 3 lit h) setzt eine solche Kontrollpflicht voraus, was auch die ordnungsgemäße Datenlöschung betrifft. Zugleich enthält er eine Verpflichtung der Vertragsparteien, die Details zu den Prüfrechten auszugestalten und hierdurch eine effektive Kontrolle durch den Verantwortlichen sicherzustellen (Schaffland/Wiltfang, Datenschutz-Grundverordnung (DSGVO)/Bundesdatenschutzgesetz (BDSG), 8. Ergänzungslieferung 2024, Art. 28 EUV 2016/679, Rn. 61). De facto ist die Pflicht zur Überwachung daher auch ohne konkrete zeitliche Vorgaben als Dauerpflicht zu verstehen (vgl. Plath in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Rz. 17 mwN). Durch diese vertragliche Ausgestaltung werden aber nicht nur die Pflichten des Auftragsdatenverarbeiters, sondern auch die korrespondierenden Prüfpflichten des Unternehmers konkretisiert. Ob dies auch dann gilt, wenn dem Auftragsdatenverarbeiter Pflichten auferlegt werden, die über das nach der DSGVO gebotenen Schutzniveau hinausgehen, bedarf hier entgegen der Auffassung der Beklagten im Schriftsatz vom 9.9.2024 keiner Entscheidung, weil die durch Ziff. 9 des Nachtrags geregelten Pflichten nicht über diese Mindestanforderungen hinausgehen. Wie die Beklagte im Schriftsatz vom 9.9.2024 insofern zu Recht geltend macht, ist der Auftragsverarbeiter nämlich nach Vertragsende – als Ausfluss der allgemeinen Grundsätze der „Rechtmäßigkeit“, (Art. 5 Abs. 1 lit. (a) DSGVO), der „Datenminimierung“ (Art. 5 Abs. 1 lit. (c) DSGVO) sowie der Speicherbegrenzung (Art. 5 Abs. 1 (e) DSGVO) – verpflichtet, alle noch vorhandenen personenbezogenen Daten entweder zu löschen oder zurückzugeben (vgl. Paal/Pauly/Martini, 3. Aufl. 2021, DS-GVO Art. 28 Rn. 22, 23, beck-online mit Verweisen auf Spoerr in BeckOK DatenschutzR DS-GVO Art. 28 Rn. 78). Dies entspricht Art. 9 des Nachtrags.

Die Anforderungen an Auswahl und Überwachung dürfen dabei in der Praxis zwar nicht überspannt werden. Wählt ein Unternehmen z.B. einen führenden und am Markt als zuverlässig bekannten IT-Dienstleister aus, so darf es grundsätzlich auf dessen Fachwissen und Zuverlässigkeit vertrauen, ohne dass etwa eine - vollkommen praxisfremde - Vor-OrtKontrolle erforderlich wäre (Schaffland/Wiltfang aaO.). Gesteigerte Anforderungen ergeben sich indes, soweit z.B. große Datenmengen oder besonders sensible Daten gehostet werden sollen (Plath, a.a.O., Rz. 18). Diese gesteigerten Kontrollpflichten gelten auch außerhalb der Verarbeitung personenbezogener Daten nach Art. 9, 10 DSGVO. Ungeachtet der Frage, ob die von dem zwischen der Beklagten und dem Autragsdatenverarbeiter geschlossenen Vertrag erfassten Daten auch Daten über das Nutzerverhalten und hieraus zu erstellende Profile beinhalteten, betraf die Verarbeitung vorliegend jedenfalls nicht unbedeutende Datenmengen, deren Verlust potentiell vielen Millionen Nutzern Schaden zufügen konnte. Infolgedessen war die Beklagte auch nach Vertragsbeendigung zu einer Überwachung ihres Auftragsdatenverarbeiters dahingehend angehalten, dass dieser die ihm zur Verfügung gestellten Daten tatsächlich löscht und hierüber eine aussagekräftige Bescheinigung ausstellt. Diese durch die DSGVO gesetzlich aufgestellten Anforderungen werden in Ziff. 9 der am 18.7.2019 geschlossenen Zusatzvereinbarung (Anlage B 2a) Datenschutznachtrag ("Nachtrag") als Teil des Dienstleistungsvertrags vom 01. Dezember 2016 wie folgt präzisiert:

„9. BEENDIGUNG DER VERARBEITUNG
9.1 Vorbehaltlich des Abschnitts 9.2, ist der Anbieter verpflichtet, nach Wahl des Unternehmens entweder (a) eine vollständige Kopie aller Personenbezogenen Daten des Unternehmens durch sichere Dateiübertragung in einem Format, das das Unternehmen dem Anbieter in angemessener Weise mitteilt, an das Unternehmen zurückzusenden und anschließend alle anderen Kopien der Personenbezogenen Daten des Unternehmens, die vom Anbieter oder den Unterauftragsverarbeitern verarbeitet wurden, innerhalb von einundzwanzig (21) Kalendertagen nach dem Datum der Beendigung der Dienstleistungen, die die Verarbeitung Personenbezogener Daten des Unternehmens beinhalten (das "Beendigungsdatum"), zu löschen und für die Löschung zu sorgen oder (b) die Daten innerhalb von einundzwanzig (21) Kalendertagen nach dem Beendigungsdatum zu löschen und für die Löschung aller anderen Kopien der Personenbezogenen Daten des Unternehmens, die vom Anbieter oder den Unterauftragsverarbeitern verarbeitet wurden, zu sorgen.

9.2 Der Anbieter und jeder Unterauftragsverarbeiter dürfen Personenbezogene Daten des Unternehmens nur in dem Umfang und für den Zeitraum aufbewahren, wie es die anwendbaren EU-Gesetze vorschreiben, und immer nur unter der Voraussetzung, dass der Anbieter die Vertraulichkeit aller Personenbezogenen Daten des Unternehmens sicherstellt und gewährleistet, dass diese Personenbezogenen Daten des Unternehmens nur für Zwecke verarbeitet werden, die mit denen vereinbar sind, für die sie gemäß Artikel 5.1 (b) der DSGVO erhoben wurden, und wie es die anwendbaren EU-Gesetze vorschreiben, die ihre Speicherung vorschreiben.

9.3 Der Anbieter muss dem Unternehmen schriftlich bestätigen, dass er und jeder Unterauftragsverarbeiter diesen Abschnitt 9 innerhalb von einundzwanzig (21) Kalendertagen nach dem Beendigungsdatum vollständig eingehalten haben.

In Ergänzung hierzu regelt Ziff. 10.1 des Nachtrags das Recht der Beklagten, von dem Auftragsdatenverarbeiter „alle erforderlichen Informationen“ verlangen zu dürfen, „soweit dies vernünftigerweise erforderlich ist“. Folgerichtig war die Beklagte zum einen verpflichtet, von ihrem Wahlrecht nach Ziff. 9.1. Gebrauch zu machen, d.h. entweder die Rückübertragung oder die Löschung der von dem Auftragsdatenverarbeiter gehosteten Daten innerhalb der dort genannten Fristen zu verlangen. Zum anderen war sie gehalten, die Erfüllung der den Auftragsdatenverarbeiter hiernach treffenden Verpflichtungen zu kontrollieren, also die nach dem Vertrag erforderlichen Bestätigungen einzuholen, bei deren Ausbleiben innerhalb der 21-Tage Frist die Vorlage unverzüglich anzumahnen und ggf. auch eine Vorort-Prüfung nach Art. 10 des Nachtrags vorzunehmen. Nichts davon ist hier geschehen. Dem Vortrag der Beklagten lässt sich bereits nicht entnehmen, dass diese gegenüber dem Auftragsdatenverarbeiter ihr Wahlrecht gem. Ziff. 9.1. des Nachtrags überhaupt ausgeübt hätte, ein entsprechendes Schreiben ist nicht vorgelegt worden.

Insbesondere hat sie aber dadurch gegen ihre Kontrollpflichten aus Art. 28 DSGVO verstoßen, dass sie nicht nach Ablauf der vertraglich geregelten 21-tägigen Frist von ihrer Auftragsverarbeiterin die ausdrückliche schriftliche Bestätigung einer tatsächlich durchgeführten Löschung aller bei dieser vorhandenen Datensätze angefordert hat, die eine detaillierte Auflistung der gelöschten Daten enthielt. Die von dem Auftragsdatenverarbeiter unter dem Datum 9.12.2020 versandte Mail genügte dessen vertraglichen Verpflichtungen nicht, schon weil sie nicht dem Schriftformerfordernis in Ziff. 9.3. (“written certification“ in der englischen Originalfassung Anlage B 2b) entsprach (in diesem Sinne auch LG Lübeck, Beschluss vom 8. Mai 2024 – 15 O 224/23 –, Rn. 16, juris). Auch wenn, wozu die Parteien nichts vorgetragen haben, der Nachtrag dem französischen Zivilrecht unterfallen sollte, wäre die elektronische Form der Schriftform nur gleichgestellt, wenn die Identität der Person, die es erstellt hat, eindeutig nachgewiesen und die Integrität der E-Mail gewährleistet wäre (Art. 1366 cc:..“sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité“). Da aus der als Anlage B4 vorgelegten anonymisierten Kopie deren Absender nicht erkenntlich ist, liegen auch diese Voraussetzungen nicht vor. Art. 28 Abs. 9 DSGVO der nur für den „Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4“ gilt, ist auf die Löschungsbestätigung, für die die Parteien ausdrücklich die Schriftform gewählt haben, nicht anwendbar. Schwerer wiegt indes, dass die E-Mail des Auftragsdatenverarbeiters vom 9.12.2020 lediglich die Ankündigung einer bevorstehenden, nicht aber die Bestätigung einer erfolgten Löschung enthielt. Die bloße Ankündigung einer Maßnahme ist jedoch nicht gleichwertig zu einer Bestätigung über deren Ausführung. Es ist allgemein bekannt, dass gleich ob in kleinen oder großen Unternehmen anstehende Vorgänge aufgeschoben und in der Folge auch vergessen werden können. Indem die Bestätigung der tatsächlichen Durchführung einer vertraglich festgelegten Aufgabe eingefordert wird, minimiert der Verantwortliche das Risiko, dass es beim Auftragsverarbeiter bei der bloßen Ankündigung eines Tätigwerdens bleibt und sorgt zugleich dafür, dass der Auftragsverarbeiter in seiner eigenen Sphäre überprüft, ob die vertraglich übernommene Verpflichtung tatsächlich gewissenhaft erfüllt wurde - auch um das eigene Haftungsrisiko zu minimieren.

Die als Anlage B4 vorgelegte Löschungsankündigung des Auftragsdatenverarbeiters erfüllte aber auch unabhängig hiervon nicht die zum Zwecke und zur Sicherstellung der gesetzlichen Pflichten vertraglich festgelegten Anforderungen, weil sie sich lediglich auf „your site and all the data on the site“, d.h. die unmittelbar von der Beklagten zur Verfügung gestellte Website einschließlich der dort befindlichen Daten, nicht jedoch auf die „Löschung aller anderen Kopien der personenbezogenen Daten des Unternehmens, die vom Anbieter ... verarbeitet wurden“.

erstreckte, wie es Ziff. 9.1. vorsieht. Angesichts dessen hätte sich die Beklagte mit dieser weder formal noch inhaltlich hinreichenden Ankündigung nicht zufrieden geben dürfen, sondern auf eine vollständige und rechtzeitige Löschungsbestätigung hinwirken müssen. Wäre diese auf Anforderung nicht unverzüglich vorgelegt worden, hätte sie ggf. eine nach Ziff. 10.1. des Nachtrags vorgesehene Vor-Ort Kontrolle durchführen müssen. Dies ist indes unstreitig nicht geschehen. Eine Nachfrage beim Auftragsdatenverarbeiter ist nach dem eigenen Vorbringen der Beklagten nicht vor dem Jahr 2023 erfolgt. Die als Anlage B5 vorgelegte, als „Declaration of Data Destruction“ bezeichnete E-Mail vom 22.3.2023 liegt aber weit außerhalb eines für diese nach Art. 28 DSGVO erforderliche Kontrolle vertretbaren Prüfzeitraums. Ob sie eine hinreichende Bescheinigung im Sinne von Ziff. 9 Abs. 1 des Nachtrags enthält, kann schon aus diesem Grund dahinstehen. Schließlich kann auch die Kausalität dieser Kontrollpflichtenverletzung für den streitgegenständlichen Hacking-Vorfall nicht verneint werden. Ausgehend vom Regelfall des redlichen Auftragsdatenverarbeiters muss vielmehr angenommen werden, dass die Mitarbeiter der Firma O...... spätestens auf eine Nachfrage der Beklagten reagiert und die bei ihnen noch vorhandenen Daten gelöscht hätten; jedenfalls die Ankündigung einer Vorort-Kontrolle hätte dazu geführt, dass entsprechende Aktivitäten in die Wege geleitet worden wären. Zu einem Abgreifen der Daten, das nach dem Vorbringen der Beklagten erst im Jahr 2022 erfolgt ist, wäre es dann nicht gekommen. Dass der Dienstleister unter dem Eindruck des erfolgten und ihm bekannten Datenlecks und angesichts der zu erwartenden Haftungsansprüche am 22.3.2023 nachträglich eine unrichtige Löschungsbescheinigung erteilt hat, lässt keinen Rückschluss darauf zu, dass er dies auch im Jahr 2020 getan hätte. Anders wäre dies lediglich dann, wenn der Auftragsdatenverarbeiter selbst unredlich gehandelt und die Daten deshalb nicht gelöscht hätte, um sie selbst später weiter zu veräußern oder für eigenen Zwecke zu verarbeiten. Anhaltspunkte für einen solchen Verdacht sind von der hierfür beweisbelasteten Beklagten indes nicht aufgezeigt worden. Nur in einem solchen Fall käme auch ein Auftragverarbeiterexzess gem. Art. 82 Abs. 3 DSGVO in Betracht, der die Verantwortlichkeit der Beklagten entfallen ließe (vgl. zu deren Voraussetzungen i.E. unter 2. d)). Das bloß versehentliche Nichtlöschen der Daten, das noch dazu durch eine unzureichende Kontrolle seitens der Beklagten maßgeblich erleichtert wurde, hält sich jedoch noch im Rahmen des Erwartbaren und erfüllt damit die Voraussetzungen des Art. 82 Abs. 3 DSGVO nicht.

b) Angesichts des Verstoßes der Beklagten gegen ihre Kontroll- und Überwachungspflichten kommt es nicht darauf an, ob sie ihrer Pflicht zur Einhaltung aller erforderlichen technischen und organisatorischen sowie personellen Sicherheitsstandards im eigenen Hause nachgekommen ist. Gleiches gilt im Ergebnis für die Einhaltung der technischen Sicherheitsstandards im Hause des Auftragsdatenverarbeiters „O......“. Den hierauf abzielenden Behauptungen der Klägerseite war auch deshalb nicht nachzugehen, weil sie ersichtlich „ins Blaue hinein“ erfolgen. Dies gilt insbesondere für die Behauptung, der Hacking-Vorfall habe sich bereits 2019 ereignet. Hierfür ist nach den von der Beklagten vorgelegten Ermittlungsergebnissen, insbesondere den zeitnah erfolgten Meldungen an die CNIL nichts ersichtlich. Angesichts des detaillierten Vortrags der Beklagtenseite zum Zustandekommen ihrer irrtümlichen Erstmeldung, des Verweises auf die Ermittlungsergebnisse und wegen der Tatsache der Erstveröffentlichung der Daten im Jahre 2022, die eine Erbeutung der Daten bereits im Jahre 2019 als äußerst unwahrscheinlich erscheinen lassen, hätte es der Klagepartei nach den Grundsätzen der gestuften Darlegungslast oblegen, diesen Beklagtenvortrag substantiiert zu bestreiten.

Gleiches gilt im Ergebnis für die Behauptung eines Datenschutzverstoßes im direkten Verantwortungsbereich der Beklagten oder bei der Übermittlung der Daten an den Auftragsdatenverarbeiter. Steht - wie hier - ein objektiver Verstoß gegen Datenschutzvorschriften fest bzw ist unstreitig, so obliegt die Beweislast für die Einhaltung der Grundsätze des Art. 32 DSGVO allerdings dem Verantwortlichen (EuGH, Urteil vom Urteil vom 14.12.2023 - C-340/21, Rz. 57). Vorliegend steht ein solcher Verstoß jedoch lediglich im Bereich der Kontrollpflichten fest; Verstöße im eigenen Bereich der Beklagten sind jedoch nicht ersichtlich und angesichts des Umstandes, dass die Daten unstreitig bei dem Auftragsdatenverarbeiter abhanden gekommen sind, auch nicht plausibel. Angesichts des Umstandes, dass die Beklagte umfangreich zu den von ihr ergriffenen Sicherheits- und Überprüfungsmaßnahmen vorgetragen und detailliert und dabei sowohl ihre IT-Infrastruktur, den von ihr benutzten Sicherheitssystemen beim IP-Transit, bei der Kommunikation als solcher, ihre Firewalls, ihre physische Zutrittskontrollen, insbesondere zu den Datenzentren dargelegt hat und auch zur Ausgestaltung ihrer Zugriffsrechte, insbesondere zu den Authentifizierungssystemen, zur Rückverfolgbarkeit, zur Isolierung der Anmeldedaten, zu Warnsystemen, und zur Bot-Analyse vorgetragen (S. 8 - 12 der Klageerwiderung) umfangreichen Sachvortrag gehalten hat, hätte es der Klagepartei nach den Grundsätzen der gestuften Darlegungslast oblegen, ihre Behauptungen zu einem vermeintlichen Datenschutzverstoß zu präzisieren.

c) Offenbleiben kann ebenfalls, ob die Beklagte ihre Benachrichtigungspflicht aus Art. 34 DSGVO gegenüber der Klagepartei, aus Art. 33 DSGVO gegenüber der Aufsichtsbehörde oder die Auskunftspflicht nach Art. 15 DSGVO verletzt hat, denn ein kausaler Schaden der Klagepartei, der auf der Verletzung von Benachrichtigungspflichten beruhen könnte, ist nicht ersichtlich (vgl. hierzu auch OLG Hamm, Urteil vom 15.08.2023 - 7 U 19/23, Rn 147 - juris). Die Klagepartei hat nicht dargelegt, welcher Schaden ihr daraus entstanden sein soll. Der Kontrollverlust und die Veröffentlichung der Daten und die nach der Behauptung der Klagepartei darauf beruhenden ungebetenen spam e-mails können nur auf dem HackingVorfall und nicht auf der Verletzung von Benachrichtigungs- und Auskunftspflichten zurückzuführen sein.

Unabhängig davon kann ein Schadensersatzanspruch nach Art. 82 DSGVO ohnehin nicht auf die Verletzung der vorgenannten Pflichten gestützt werden, da keine „Verarbeitung personenbezogener Daten“ vorliegt. Nach der Rechtsprechung des EuGH setzt der Anspruch die Verarbeitung personenbezogener Daten unter Verstoß gegen die Bestimmung der DSGVO voraus (vgl. EuGH, Urteil vom 04.05.2023 - C - 300/21, Rn 36 - juris; vgl. Moos/Schlefzig in Taeger/Gabel (Hrsg.) DSGVO, 2022, Art. 82 Rn 22). Dies belegt auch die Formulierung in Erwägungsgrund Nr. 146, wonach Schäden ersetzt werden, die „aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht“.

d) Die Beklagte kann sich nicht nach Art. 82 Absatz 3 DSGVO entlasten.

Der Verantwortliche oder der Auftragsverarbeiter wird nach dem Wortlaut dieser Vorschrift von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. „Nicht verantwortlich“ bedeutet, dass den Verantwortlichen bzw. den Auftragsverarbeiter keinerlei Verschulden an dem Ereignis trifft, das den Schaden auslöste (Bergt in Kühling/Buchner, DS-GVO/BDSG, 3. Aufl., Art. 82 Rdn. 49; im Ergebnis auch Spindler, DB 2016, 937 ff. (947) Schaffland/Wiltfang, a.a.O, Rz. 28). „In keinerlei Hinsicht“ bedeutet, dass der Verantwortliche bzw. der Auftragsverarbeiter nachweist, er habe alle Sorgfaltspflichten erfüllt und damit ihm nicht die geringste Fahrlässigkeit vorgeworfen werden kann (Becker in Plath, DSGVO/BDSG/TTDSG, 4. Aufl., Art. 82 DS-GVO Rdn. 5). Hält er alle erforderlichen technischen und organisatorischen Datensicherungsmaßnahmen ein und kommt es dennoch zu einem unbefugten Datenzugriff, kann ihm dies nicht angelastet werden (Becker in Plath, DSGVO/BDSG/TTDSG, 4. Aufl., Art. 82 DS-GVO Rdn. 5; Frenzel in Paal/Pauly, DSGVO/BDSG, 3. Aufl., Art. 82 Rdn. 15; Bergt in Kühling/Buchner, DS-GVO/BDSG, 3. Aufl., Art. 82 Rdn. 54; Schaffland/Wiltfang, a.a.O, Rz. 29). Die Haftung des Verantwortlichen für das Verhalten eines Auftragsverarbeiters erstreckt sich grundsätzlich nicht auf die Fälle, in denen der Auftragsverarbeiter personenbezogene Daten für eigene Zwecke verarbeitet hat oder diese Daten auf eine Weise verarbeitet hat, die nicht mit dem Rahmen oder den Modalitäten der Verarbeitung, wie sie vom Verantwortlichen festgelegt wurden, vereinbar ist oder auf eine Weise, bei der vernünftigerweise nicht davon ausgegangen werden kann, dass der Verantwortliche ihr zugestimmt hätte (EuGH, Urteil vom 5. Dezember 2023 – C-683/21 –, juris Rz. 85).

Vorliegend hat der Auftragsdatenverarbeiter zwar sowohl gegen allgemeine Regeln der DSGVO als auch gegen seine vertraglichen Pflichten verstoßen. Ungeachtet vertraglicher Verpflichtungen ist der Auftragsverarbeiter bereits nach der DSGVO im Rahmen der Auftragsverarbeitung grundsätzlich nicht berechtigt, die im Auftrag verarbeiteten Daten für eigene Zwecke bzw. für die Zwecke Dritter zu verarbeiten. Darüber hinaus hat der Auftragsverarbeiter die Rückgabe- und Löschpflichten nach Beendigung des Auftrags zu beachten (vgl. Plath in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Rz. 17 mwN). Vorliegend ist unstreitig, dass Datensätze der Beklagten bei der Firma O...... zum einen unzulässigerweise von der Produktiv- in eine Testumgebung überführt wurden, deren Sphäre verlassen haben und anschließend im Darknet zum Verkauf angeboten wurden, nachdem Mitarbeiter dieser Firma entgegen ihrer Zusicherung aus dem Jahre 2023 nicht alle Datensätze der Beklagten wie vertraglich vereinbart unverzüglich nach Vertragsende gelöscht hatten, sondern zumindest einer der Datensätze schließlich entweder von Hackern erbeutet, oder von Mitarbeitern unbefugt weitergegeben wurden.

Wie oben ausgeführt, käme die Beklagte allerdings nur dann in den Genuss der Haftungsprivilegierung nach Art. 82 Abs. 3 DSGVO, wenn ihr selbst keinerlei Fahrlässigkeit vorzuwerfen wäre. Dies ist vorliegend angesichts des eigenen Pflichtenverstoßes der Beklagten nicht der Fall. Dem kann auch nicht das fehlende Zugriffsrecht der Beklagten nach Ablauf des Auftragsverarbeitungsverhältnisses entgegen gehalten werden; wie aufgezeigt standen hier nämlich der Beklagten die in Ziff. 9, 10 des Nachtrags geregelten nachwirkenden Kontrollmöglichkeiten offen.

LG Lübeck
Urteil vom 04.10.2024
15 O 216/23

Das LG Lübeck hat entschieded, dass das Fehlen einer Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO zwischen Auftragsverarbeiter und Unterauftragsverarbeiter einen Schadensersatzanspruch nach Art. 82 DSGVO zur Folge haben kann.

Aus den Entscheidungsgründen:
bbb. Das Gericht ist jedoch überzeugt, dass bereits die Übertragung der streitgegenständlichen Daten von der Beklagten an die O. (vgl. oben) unter Verstoß gegen Bestimmungen der DSGVO erfolgte.

Dabei ergeben sich die Anforderungen an die Übertragung von Daten auf Auftragsverarbeiter aus Art. 28 DSGVO. Hiernach setzt die Verarbeitung von Daten durch Auftragsverarbeiter (und entsprechend die Übergabe der Daten an den Auftragsverarbeiter) voraus, dass zwischen der Beklagten und dem Auftragsverarbeiter ein Vertrag oder ein anderes Rechtsinstrument gem. Art. 28 Abs. 3 DSGVO vorliegt, der die dort im Einzelnen aufgezählten Maßnahmen und Gewährleistungen vorsieht. Entsprechendes gilt für eventuelle Unterauftragsverarbeiter: diesen muss ebenfalls verbindlich durch Vertrag oder ein anderes Rechtsinstrument dieselben Datenschutzpflichten auferlegt worden sein wie dem Auftragsverarbeiter selbst, § 28 Abs. 4 DSGVO. Fehlt es an diesen Voraussetzungen, so stellt sich (entgegen der hierzu geäußerten Rechtsansicht der Beklagten im Termin zur mündlichen Verhandlung) auch die Übermittlung der Daten von dem Verantwortlichen an den Auftragsverarbeiter oder Unterauftragsverarbeiter als rechtswidrig dar (vgl. hierzu etwa BeckOK DatenschutzR/Spoerr, 49. Ed. 1.8.2024, DS-GVO Art. 28 Rn. 29-32.1 m.w.N. zur dogmatischen Herleitung; Kühling/Buchner/Hartung, 4. Aufl. 2024, DS-GVO Art. 28 Rn. 61-63: „Umgekehrt ist eine fehlende oder unvollständige Vereinbarung ein eigener Normverstoß (…)“).

Diese vorgenannten Voraussetzungen für die rechtskonforme Übermittlung geschützter Daten an Auftragsdatenverarbeiter wurden hier nicht beachtet. Dabei kann dahinstehen, ob die O. als Auftragsdatenverarbeiter oder - wie dies der Vortrag der Beklagten nahelegt - als Unterauftragsdatenverarbeiter der M. tätig wurde. Denn nach dem insoweit unstreitigen Sachverhalt liegt weder ein den Anforderungen des Art. 28 Abs. 3 DSGVO genügender Auftragsverarbeitungsvertrag zwischen der Beklagten und der O. vor - an welche aber dennoch die Daten herausgegeben wurden -, noch ein Unterauftragsverarbeitungsvertrag zwischen der O. und der M.. Auch auf entsprechenden Hinweis vom 8. Mai 2024 erfolgte hierzu kein weiterer Sachvortrag. Eine wirksame Übertragung von Datenschutzverpflichtungen auf die O. lag damit entgegen der Vorgaben der DSGVO zu keinem Zeitpunkt vor.

Dem kann die Beklagte auch nicht entgegenhalten, dass es „marktüblich und nicht zu beanstanden“ sei, „dass Verträge innerhalb eines Konzerns von der Muttergesellschaft (auch mit Wirkung für verbundene Unternehmen) abgeschlossen werden“. Dies überzeugt die Kammer nicht. Nach deutschem und europäischen Gesellschaftsrecht handelt es sich auch bei konzernverbundenen Gesellschaften grundsätzlich um rechtlich selbständige Rechtspersönlichkeiten. Eine automatische Verpflichtung der Konzerntochter durch einen Vertrag der Konzernmutter findet nicht statt, so dass auch vertragliche Datenschutzpflichten der Konzernmutter nicht ohne weiteres zugleich sämtliche Töchter verpflichten. Entsprechend nimmt es nicht Wunder, dass auch in der einschlägigen datenschutzrechtlichen Literatur betont wird, dass es sich bei konzernverbundenen Gesellschaften um getrennte Organisationen handelt und auch datenschutzrechtlich eine Privilegierung von Konzernen nicht stattfindet (vgl. Nickel: Alternativen der konzerninternen Auftragsverarbeitung, ZD 2021, 140).

ccc. Des Weiteren muss sich die Beklagte auch die bei O. selbst unstreitig geschehenen Verstöße gegen die DSGVO zurechnen lassen.

(1) Die Verarbeitung der Daten bei der O. erfolgte unter Außerachtlassung des nach der DSGVO erforderlichen Schutzniveaus, welches - im Wege der Vertragsgestaltung nach Art. 28 Abs. 3 und 4 - sicherzustellen die Beklagte verpflichtet war. Da die Beklagte es unterlassen hat, die entsprechenden Verträge zu schließen bzw. deren Abschluss durch die M. zu gewährleisten, sieht die Kammer insoweit die Beklagte zumindest in der sekundären Darlegungslast, dass dennoch und entgegen des entsprechenden Anscheins bei der O. durchgängig ein den Vorgaben der DSGVO hinreichendes Schutzniveau aufrechterhalten wurde. Dieser sekundären Darlegungslast ist die Beklagte schon deshalb nicht nachgekommen, da sie selbst vorträgt, dass Mitarbeiter der O. die streitgegenständlichen Daten weisungswidrig aus der hierfür vorgesehenen Produktivumgebung („production environment") entnommen und in eine vom Dienstleister außerhalb der Vertragsbeziehung mit der Beklagten betriebene Nicht-Produktivumgebung („non-production environment“) überführt hätten. Vortrag der Beklagten, dass in dieser vertragswidrigen Produktivumgebung dennoch alle maßgeblichen und erforderlichen Schutzvorkehrungen gewahrt wurden, findet sich nicht. Vielmehr geht auch die Beklagte davon aus, dass gerade diese Verschiebung der Daten in einen nicht hinreichend gesicherten Bereich ursächlich für den Datenschutzvorfall war.

(2) Diese Verstöße muss sich die Beklagte - entgegen der vorläufigen Einschätzung der Kammer in der Verhandlung am 22. Februar 2024 (vgl. hierzu auch den nachfolgenden Hinweis vom 8. Mai 2024) - zurechnen lassen. Der Begriff der Beteiligung an einer rechtswidrigen Datenverarbeitung nach der DSGVO geht insoweit deutlich weiter als von der Kammer zunächst angenommen. In der einschlägigen Literatur ist insoweit weitgehend Konsens, dass eine Beteiligung im Sinne der Verordnung nicht zwingend voraussetzt, dass der Verantwortliche selbst an dem letztlich schadensauslösenden Vorgang direkt mitgewirkt hat. Vielmehr genügt es grundsätzlich, wenn er im Sinne einer conditio sine qua non an der Vorgangsreihe beteiligt war, die letztlich die schädigende Handlung ermöglicht hat (Kühling/Buchner/Bergt, 4. Aufl. 2024, DS-GVO Art. 82 Rn. 22; Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rn. 13, 14; Paal, MMR 2020, 14, 15; Spindler/Schuster/Spindler/Horváth, 4. Aufl. 2019, DS-GVO Art. 82 Rn. 9, 10; i.d.S. wohl auch: BeckOK DatenschutzR/Quaas, 47. Ed. 1.2.2024, DS-GVO Art. 82 Rn. 39-43). Hieraus folgt, dass selbst ein Verantwortlicher, der rechtmäßig Daten an einen Dritten weitergibt, an der weiteren, auch weisungswidrigen Verarbeitung dieser Daten durch den Dritten weiterhin „beteiligt“ im Sinne der Verordnung ist (Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rn. 13, 14). Vor diesem Hintergrund liegt hier eine Beteiligung der Beklagten im Rechtssinne an der Datenverarbeitung durch Mitarbeiter von O. vor. Denn die Beklagte hat jedenfalls durch die (zudem rechtswidrige) Herausgabe der Daten an O. eine conditio sine qua non für diese nachfolgende Verarbeitung gesetzt. Durch diese weite Zurechnung wird auch nicht die Haftung der Verantwortlichen überzogen. Eine Begrenzung der Haftung findet vielmehr nach der Konzeption des Art. 82 DSGVO nicht über den weiteren Begriff der „Beteiligung“, sondern über die Exkulpationsmöglichkeit des Art. 82 Abs. 3 DSGVO statt.

dd. Soweit nach den obigen Ausführungen haftungsbegründende und der Beklagten zuzurechnende Verletzungen der DSGVO vorliegen, sind diese auch von der Beklagten zu vertreten.

Dabei kann für das vorliegende Verfahren dahinstehen, ob Art. 82 DSGVO eine verschuldensunabhängige Haftung begründet (BAG, EuGH-Vorlage vom 26. August 2021 - 8 AZR 253/20 (A) -, juris Rn. 40), eine Gefährdungshaftung mit der bloßen Möglichkeit der rechtsvernichtenden Einwendung fehlenden Verschuldens (vgl. hierzu etwa BeckOK DatenschutzR/Quaas DS-GVO Art. 82 Rn. 17-22) oder ob mit der wohl h.M. angenommen werden kann, Art. 82 Abs. 3 DSGVO enthalte ein Verschuldenserfordernis im Sinne der gängigen deutschen Terminologie mit einer entsprechenden Vermutung zu Lasten des Normverletzers und einer bei dem Verpflichteten liegenden Beweislast, dass weder Vorsatz noch Fahrlässigkeit vorlag (vgl. etwa BeckOK DatenschutzR/Quaas DS-GVO Art. 82 Rn. 17-22; Ehmann/Selmayr/Nemitz, 2. Aufl. 2018, DS-GVO Art. 82 Rn. 14, 15; so wohl auch: Hans-Jürgen Schaffland; Gabriele Holthaus in: Schaffland/Wiltfang, Datenschutz-Grundverordnung (DS-GVO)/Bundesdatenschutzgesetz (BDSG), Artikel 82 Haftung und Recht auf Schadenersatz; EuArbRK/Franzen, 4. Aufl. 2022, EU (VO) 2016/679 Art. 82 Rn. 17, 18; Gola/Heckmann/Gola/Piltz, 3. Aufl. 2022, DS-GVO Art. 82 Rn. 24-26).

Den Volltext der Entscheidung finden Sie hier:

LG Lübeck
Urteil vom 07.12.2023
14 S 19/23

Das LG Lübeck hat entschieden, dass ein Hinweis auf eine Internetseite oder ein QR-Code zur wirksamen Einbeziehung von AGB und Vertragsbedingungen genügen.

Aus den Entscheidungsgründen:
Die Kammer geht davon aus, dass vorliegend eine derartige zumutbare Möglichkeit der Kenntnisnahme der Honorartabelle bestand. Die Auftragserteilung beinhaltet unter „Auftragsbedingungen“ einen ausdrücklichen Hinweis darauf, dass sich die Kosten des Gutachtens nach der zum Beauftragungszeitpunkt geltenden Honorartabelle der Klägerin berechnen.

Dies folgt allerdings nicht aus dem Umstand, dass der Gutachtenauftrag darauf hinweist, dass die Honorartabelle jederzeit beim Sachverständigen einzusehen ist. Denn insbesondere in Konstellationen fernmündlicher Auftragserteilung ist es dem Kunden nicht zuzumuten, zur Einsichtnahme in die Honorartabelle zunächst zum Gutachter zu fahren.

Es folgt aber aus dem Umstand, dass in der Auftragserteilung direkt auf die Internetseite hingewiesen wird, auf der die Honorartabelle abgelegt ist. Zudem befindet sich ein zur Honorartabelle führender QR-Code auf dem Formular. Dies genügt zur Überzeugung der Kammer, damit der allein maßgebliche Durchschnittskunde zumutbar Kenntnis erlangen kann. Der Durchschnittskunde in Deutschland verfügt über ein Mobiltelefon mit Internetzugang. Nach den Angaben des Statistischen Bundesamtes verfügten bereits 2018 77% der Haushalte über ein Smartphone (https://www.destatis.de/DE/Themen/Gesellschaft-Umwelt/Einkommen-Konsum-Lebensbedingungen/Ausstattung-Gebrauchsgueter/Tabellen/a-evs-infotechnik-d.html). Der Durchschnittskunde ist damit ohne weiteres in der Lage, eine auf der Auftragsbestätigung genannte Internetadresse aufzurufen. Zudem vermittelt auch der QR Code für den Durchschnittskunden unschwer den Zugang zu der Tabelle, weshalb eine zumutbare Möglichkeit der Kenntnisnahme nach Auffassung der Kammer vorliegt.

Die Kammer verkennt dabei nicht, dass es naturgemäß auch noch eine signifikante Anzahl an Personen ohne Smartphone bzw. ganz ohne Internetzugang gibt. Maßstab nach § 305 BGB ist jedoch nicht, dass jedermann zumutbar Kenntnis nehmen kann, sondern dass der Durchschnittskunde zumutbar Kenntnis nehmen kann. Dieser auf den Durchschnittskunden abstellende Maßstab impliziert, dass es nach dem Willen des Gesetzgebers im Einzelfall in Kauf zu nehmen ist, dass es Personen gibt, die unterdurchschnittlich gut zur problemlosen Teilnahme am allgemeinen Geschäftsverkehr ausgestattet sind, und die in der Folge Schwierigkeiten haben werden, Kenntnis von den fraglichen Dokumenten zu nehmen. Dies wiegt hier allerdings nicht weiter schwer, da es vorliegend Personen ohne Internetzugang – die den Auftrag entsprechend regelmäßig vor Ort erteilen werden – auch ohne weiteres zumutbar ist, im Einzelfall auf diesen Umstand hinzuweisen und um Ausdruck der gewünschten Informationen zu bitten.

Ob die Geschädigte hier tatsächlich Kenntnis genommen hat, ist im Übrigen unerheblich. Auf eine tatsächliche Kenntnisnahme kommt es nicht an (BeckOGK/Lehmann-Richter, 1.7.2023, BGB § 305 Rn. 221).

Den Volltext der Entscheidung finden Sie hier:

LG Lübeck
Beschluss vom 02.06.2023
15 O 2/23

Das LG Lübeck hat im Rahmen eines einstweiligen Verfügungsverfahrens entschieden, dass gegen Facebook
ein Anspruch auf Unterlassung der unwiderruflichen Löschung eines bereits deaktivierten Nutzerkontos bis zum Abschluss des Hauptsacheverfahrens bestehen kann.

Aus den Entscheidungsgründen:
Der Antrag war auch begründet.

a. Der Antragstellerin stand der geltend gemachte Verfügungsanspruch zu. Bis zur Erledigung des Antrages konnte sie von der Antragsgegnerin verlangen, es bis zum rechtskräftigen Abschluss des Hauptsacheverfahrens zu unterlassen, das bereits deaktivierte Nutzerkonto der Antragstellerin und die dazu gespeicherten Daten endgültig und unwiderruflich zu löschen.

Der Anspruch folgt dabei aus § 280 Abs. 1 BGB. Hiernach können die Nutzer vorbeugende vertragliche Unterlassungsansprüche gegen Plattformbetreibern wie der Antragsgegnerin geltend machen, wenn die konkrete Gefahr einer erstmaligen Rechtsverletzung in der Zukunft besteht (Erstbegehungsgefahr) und dem Rechtsinhaber nicht zugemutet werden kann, die erste rechtswidrige Beeinträchtigung abzuwarten. Der Nachweis der Erstbegehungsgefahr obliegt dabei vollumfänglich dem Anspruchsteller.

Vorliegend bestand die konkrete Gefahr der vertragswidrigen Löschung des Nutzerkontos der Antragsgegnerin samt aller dazugehöriger Daten. Dass die Gefahr einer Datenlöschung bestand, folgt bereits aus den oben geschilderten Standardabläufen bei der Antragsgegnerin. Auch nach der eigenen Darstellung der Antragsgegnerin werden die Daten eines – wie hier – deaktivierten Kontos „nach einer bestimmten Zeit“ (sog. „Schonfrist“) unwiderruflich gelöscht.

Diese Gefahr war vorliegend auch hinreichend unmittelbar und nicht erst in entfernter Zukunft zu besorgen. Denn aus den obigen Ausführungen ergibt sich ebenfalls, dass jedenfalls aus der maßgeblichen Sicht eines objektiven Betrachters mit jedem weiteren ablaufenden Tag das Risiko anstieg, dass es unmittelbar zu einem Datenverlust kommen würde. Dies folgt aus dem Umstand, dass sich zwar an die Deaktivierung eine „Schonfrist“ anschloss, jedoch keinerlei nachvollziehbar kommunizierten Regelungen bestanden, wie lange diese Sicherheit vor Datenverlust bieten würde. Jedenfalls aus der Sicht eines objektiven Dritten musste jederzeit damit gerechnet werden, dass die – so auch in keiner Weise kommunizierte – „Schonfrist“ enden und der Prozess der endgültigen Löschung aktiviert würde. Dieser jederzeit mögliche Löschungsprozess bot sodann keinerlei zumutbare Sicherheit mehr vor Datenverlust, da dieser zwar während einer 90-tägigen Frist noch gestoppt werden kann, es allerdings unstreitig auch während dieser 90 Tage möglich ist, dass ein Versuch der Wiederherstellung fehlschlägt und zudem bereits 14 Tage nach Einleitung des Löschvorgangs es in jedem Fall schon nicht mehr möglich ist, sämtliche Kontoinformationen wiederherzustellen.

Dem kann die Antragsgegnerin auch nicht mit durchgreifendem Erfolg entgegensetzen, sie habe gar „nicht beabsichtigt“, das Nutzerkonto der Antragstellerin und die dazugehörigen Daten vor dem rechtskräftigen Abschluss eines Hauptsacheverfahrens zu löschen. Denn jedenfalls bis zum maßgeblichen Zeitpunkt der Erledigung, mithin der Reaktivierung des Kontos am 16. Januar 2023 lag keine derartige Erklärung gegenüber der Antragstellerin vor, die geeignet gewesen wäre, die aus der maßgeblichen Sicht eines objektiven Dritten bis zur Erledigung bestehende Erstbegehungsgefahr (vgl. oben) zu widerlegen. Vielmehr hatte die Antragsgegnerin bis zu diesem Zeitpunkt insbesondere auch auf das anwaltliche Schreiben nur durch eine faktisch aussagefreie Standardemail reagiert. Die Erklärung, keine Löschung zu beabsichtigen erfolgte erst im innerprozessualen Schriftsatz vom 26. Januar 2023 nach Eintritt der erledigenden Ereignisses – und damit zu spät.

Soweit andere Gerichte der entsprechenden Aussage der Antragsgegnerin, sie habe nicht vorgehabt, die Daten zu löschen, streitentscheidende Relevanz zubilligten (vgl. etwa OLG Nürnberg, Beschluss vom 7.10.2022 – 3 U 2178/22 -, MMR 2023, 375) überzeugt dies das Gericht nicht. Maßgeblich für die Prüfung der Frage, ob eine konkrete Gefahr des Datenverlustes vorlag, ist die sich aus Sicht eines objektiven Dritten darbietende Gesamtsituation. Diese sprach hier aus den dargelegten Gründen für eine erhebliche Gefahrensituation. Was hingegen die Antragsgegnerin aufgrund nicht vorgetragener, bis zur Erledigung des Verfahrens auch nicht nach außen getretener und rein interner Willensbildungsprozesse „wirklich“ wollte, kann an dieser Sachlage nichts ändern – und ist daher von der Antragstellerin auch nicht zu widerlegen.

Die damit unmittelbar drohende Löschung der Daten wäre auch rechtswidrig gewesen. In der Rechtsprechung ist insoweit mittlerweile anerkannt, dass Facebook ein Nutzerkonto grundsätzlich nur in Ausnahmefällen ohne vorherige Abmahnung kündigen und sodann die Daten löschen darf (vgl. etwa OLG Karlsruhe, Urteil vom 4. Februar 2022 - 10 U 17/20 -, GRUR-RS 2022, 1154). Eine vorherige Abmahnung ist hier nicht erfolgt und ein Ausnahmefall liegt nicht vor. Weder kann von einer ersichtlichen Zwecklosigkeit einer Abmahnung ausgegangen werden noch liegt in dem oben dargestellten Eintrag eine derart gravierende Vertragsverletzung vor, dass eine sofortige Kündigung zulässig gewesen wäre. Insbesondere liegt auch eine Strafbarkeit des Eintrages nach § 86a StGB nicht derart auf der Hand, dass eine Kündigung ohne Abmahnung angezeigt gewesen sein könnte. § 86a StGB ist nicht einschlägig, wenn ein Hakenkreuz in einem Kontext dargestellt wird, aus dem sich die Gegnerschaft zu der zugrundeliegenden Ideologie ergibt (BeckOK StGB/Ellbogen, 57. Ed. 1.5.2023, StGB § 86a Rn. 32-35). Dies ist vorliegend jedenfalls nicht fernliegend, da sich aus dem Text unter dem verwendeten Foto ergibt, dass die Antragsgegnerin die abgebildete Fahne als für die Abgebildeten gerade diskreditierend wahrnimmt – sich selbst mithin in Gegnerschaft zu diesen stellt.

b. Es lag auch bis zum Zeitpunkt der Erledigung der für den Erlass der Anordnung erforderliche Verfügungsgrund vor.

Ein Verfügungsgrund liegt vor, wenn die objektiv begründete Gefahr besteht, dass durch Veränderung des status quo die Rechtsverwirklichung der Antragstellerin mittels des im Hauptsacheprozess erlangten Urteils einschließlich dessen Vollstreckung vereitelt oder erschwert werden könnte. Dies ist hier der Fall gewesen, da – wie sich bereits aus den obigen Ausführungen ergibt – jederzeit und mit im Zeitverlauf steigendem Risiko mit der unwiderruflichen Löschung der Daten gerechnet werden musste. Ein zeitaufwändiges Hauptsacheverfahren hätte keinesfalls mit der hinreichenden Aussicht auf Bewahrung der Daten vor Löschung betrieben werden können.

Einen Fall der Selbstwiderlegungen vermag das Gericht im Übrigen nicht zu erkennen. Ein solcher liegt nach der einschlägigen Rechtsprechung vor, wenn die Antragstellerin nach Eintritt der Gefährdung mit dem Antrag zuwartet. Wie lange die Antragstellerin dabei ohne Rechtsverlust mit dem Antrag zuwarten darf, lässt sich nicht allgemein bestimmen und hängt von der Art des Anspruchs und den Umständen des Einzelfalls ab. Für wettbewerbsrechtliche Unterlassungsansprüche wird in der Regel ein Zuwarten von einem Monat noch akzeptiert, während zwei Monate dringlichkeitsschädlich sind. Ähnliche Zeiträume werden bei Ansprüchen nach dem UrhG in der Rechtsprechung angenommen und bei Persönlichkeitsrechtsverletzungen (vgl. MüKoZPO/Drescher, 6. Aufl. 2020, ZPO § 935 Rn. 19-21).

Bei der Bemessung des hier angemessenen Zeitraumes, der vor der Inanspruchnahme gerichtlicher Hilfe ohne Rechtsverlust verstreichen kann, kommt der Antragstellerseite vorliegend ein Einschätzungsspielraum zu. Dies folgt aus dem Umstand, dass die Antragsgegnerseite zwar einerseits vorgerichtliche Abhilfemöglichkeiten anbietet (vgl. oben), die Nutzerinnen und Nutzer dann jedoch sehr weitgehend im Unklaren lässt, wie, wann und ob überhaupt hierauf reagiert wird. Hinzukommt zudem, dass keine nachvollziehbaren Informationen vorgehalten werden, wie lange die persönlichen Daten nach einer Deaktivierung des Kontos noch vor einer Löschung „sicher“ sind und wann der Löschungsprozess eingeleitet wird. In der Zusammenschau befinden sich die Nutzerinnen und Nutzer daher in der paradoxen und individuell auch nicht auflösbaren Situation, einerseits nicht zu früh – nämlich vor Ausschöpfung der plattformeigenen Abhilfemöglichkeiten - gerichtliche Hilfe in Anspruch nehmen zu sollen, andererseits hierauf keine Reaktion zu erhalten und im Hinblick auf die unklare Dauer der Schonfrist und des Beginn des Löschungsprozesses auch nicht zu wissen, wann die gerichtliche Inanspruchnahme „zu spät“ sein könnte.

Vor diesem Hintergrund hat das Gericht keinerlei Bedenken hinsichtlich der hier von der Antragstellerin gewählten zeitlichen Ablaufs, der eine angemessene und vernünftige Reaktion auf die aufgezeigte Gemengelage darstellt und daher nicht zu einem Rechtsverlust führen kann. Zwar verstrichen hier zwischen der gefahrbegründenden Deaktivierung des Kontos bis zur Inanspruchnahme gerichtlicher Hilfe ca. 7 Wochen. Dies geschah jedoch nicht durch reine Passivität der Antragstellerin, sondern ist die Folge der sinnvollen und angemessenen Nutzung der plattformeigenen Meldewege, die die Antragstellerin zu nutzen versuchte, wobei Verzögerungen vor allem dadurch eintraten, dass die Antragsgegnerin auf die Anschreiben nicht bzw. nicht angemessen einzelfallbezogen reagierte.

Die Deaktivierung erfolgte hier am 11. November 2021. Hierauf nutzte die Antragstellerin zunächst die plattformeigenen Wege der Beanstandung und wartete vernünftigerweise die Reaktion bis Ende November 2021 ab. Als keine Reaktion erfolgte, wandte sie sich Anfang Dezember an den Prozessbevollmächtigten, der sich – was ebenfalls nicht zu beanstanden ist – zunächst mit Schreiben vom 9. Dezember außergerichtlich an die Antragstellerin wandte und nun seinerseits ca. 3 angemessene Wochen auf substantielle Antwort abwartete – die nicht erfolgte. Im Anschluss stellte die Antragstellerin unverzüglich Antrag auf Erlass der begehrten Maßnahme bei Gericht.

Die Kosten waren im Rahmen des richterlichen Ermessens nach § 91 a ZPO auch nicht aus anderen Gründen den Klägern aufzuerlegen.

Das Gericht legt den Streitwert auf 10.000 EUR fest. Hierbei geht es davon aus, dass der Streitwert in einem Hauptsacheverfahren wegen der Löschung eines Facebook-Kontos und damit einhergehend aller dort enthaltenen Freundschaftsverbindungen, Follower, Posts etc. ein Streitwert von vorliegend 10.000 EUR angemessen erscheint. Hiervon hat das Gericht vorliegend keinen weiteren Abschlag vorgenommen, da Gegenstand des hiesigen Verfahrens zwar nur der Erlass einer einstweiligen Anordnung war, dessen Anlass jedoch die Befürchtung endgültigen Datenverlustes war, so dass insoweit kein erheblicher Unterschied zwischen Hauptsachestreitwert und Streitwert des einstweiligen Anordnungsverfahrens besteht (so auch OLG Stuttgart, Beschluss vom 9. August 2022 - 4 W 40/22 -, Juris).

Den Volltext der Entscheidung finden Sie hier:

LG Lübeck
Urteil vom 24.02.2023
15 O 90/22

Das LG Lübeck hat entschieden, dass ein Privatverkauf und kein gewerbliches Angebot vorliegt, wenn der Verkäufer zuvor rein privat von ihm genutzte Fahrzeuge zum Verkauf anbietet.

Aus den Entscheidungsgründen:
Unternehmer ist nach § 14 BGB jede natürliche oder juristische Person, die bei Abschluss eines Rechtsgeschäfts in Ausübung ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handelt. Dies setzt ein selbständiges und planmäßiges, auf eine gewisse Dauer angelegtes Anbieten entgeltlicher Leistungen am Markt voraus. Ob die Tätigkeit haupt- oder nebenberuflich ausgeübt wird, ist irrelevant. Ist der Abschluss eines Vertrags weder der gewerblichen noch der selbstständigen beruflichen Tätigkeit des Verkäufers zuzuordnen, liegt rein privates Handeln vor.(BGH, BGHZ 167, 40 = NJW 2006, 2250 Rdnrn. 14 ff.; MüKoBGB/Micklitz, 9. Aufl. 2021, BGB § 14 Rn. 19). Das rechtsgeschäftliche Handeln einer – wie hier – natürlichen Person ist dabei nach der Rechtsprechung des Bundesgerichtshofes mit Rücksicht auf den Wortlaut des § 13 BGB grundsätzlich als Verbraucherhandeln anzusehen. Eine Zuordnung entgegen dem mit dem rechtsgeschäftlichen Handeln objektiv verfolgten Zweck kommt nur in Betracht, wenn die dem Vertragspartner bei Vertragsschluss erkennbaren Umstände eindeutig und zweifelsfrei darauf hinweisen, dass die natürliche Person in Verfolgung ihrer gewerblichen oder selbstständigen beruflichen Tätigkeit handelt.

Speziell im Hinblick auf den An- und Verkauf von Kraftfahrzeugen ist dabei nach der höchstrichterlichen Rechtsprechung maßgeblich auf den bisherigen Nutzungszweck des Verkäufers abzustellen. Der Verkauf eines zuvor ausschließlich privat genutzten Fahrzeugs ist danach in der Regel nicht als Unternehmergeschäft zu klassifizieren (BGH, Urteil vom 13. 3. 2013 – VIII ZR 186/12-, NJW 2013, 2107: OLG Celle, NJW-RR 2004, 1645; ähnl. OLG Karlsruhe, NJW-RR 2012, 289; Palandt/Ellenberger, BGB, 72. Aufl., § 13 Rdnr. 4; Micklitz, in: MünchKomm-BGB, 6. Aufl., § 14 Rdnr. 19; vgl. auch Reinking/Eggert, Rdnrn. 1973 ff.).

Diesen Maßstäben entsprechend liegt hier kein unternehmerischer Verkauf des streitgegenständlichen Jetskis vor. Zum einen ist schon kein planmäßiges, auf gewisse Dauer angelegtes Anbieten entgeltlicher Leistungen festzustellen. Ausweislich der vom Kläger selbst eingereichten Screenshots des eBay-Profils des Beklagten agierte dieser als „Privater Nutzer“. Die unterschiedlichen von ihm zum Verkauf angebotenen Gegenstände, wie etwa ein Boot, ein Jetski, Anker, eine Uhr oder ein Auto Marke Porsche ließen zudem auch keine Anhaltspunkte auf ein irgendwie planmäßig angelegtes Anbieten erkennen und ließen daher auch keine zwingenden und eindeutigen Rückschlüsse auf ein gewerbliches Handeln (zumal entgegen des Auftritts als „privater Nutzer“) zu. Auch war der bisherige Nutzungsweck des verkauften Jetskis unstreitig rein privater Natur.

(c) Der Gewährleistungsausschluss ist auch nicht unwirksam nach § 444 BGB. Nach dieser Bestimmung kann sich ein Verbraucher nicht auf einen Gewährleistungsausschluss berufen, soweit er den fraglichen Mangel arglistig verschwiegen hat. Arglist setzt dabei voraus, dass der Käufer beweist, dass der Käufer entweder positiv Kenntnis von dem Mangel hatte oder zumindest mit bedingtem Vorsatz handelte, also den Mangel mindestens für möglich hält oder mit ihm rechnet und billigend in Kauf nimmt, dass der Käufer ihn übersieht (MüKoBGB/Westermann, 8. Aufl. 2019, BGB § 438 Rn. 28, 29).

Den Volltext der Entscheidung finden Sie hier:

LG Lübeck
Urteil vom 17.01.2022
10 O 387/21

Das LG Lübeck hat entschieden, dass ein Addams-Family-GIF mit Halsabschneide-Geste keine unzulässige Aufforderung zum Töten darstellt, so dass Twitter die darauf hin ausgesprochene Account-Sperre aufheben und den Tweet wiederherstellen muss.

Aus den Entscheidungsgründen:

I. Der zulässige Antrag auf Erlass einer einstweiligen Verfügung ist begründet.

Der Verfügungskläger hat einen Anspruch auf Wiederherstellung des gelöschten Tweets mit der Bilddatei und auf Freischalten seines Accounts, §§ 280 Abs. 1, 249 Abs. 1 BGB.

Zwischen dem Verfügungskläger und der Verfügungsbeklagten besteht ein Nutzungsvertrag, in dessen Rahmen sich die Verfügungsbeklagte verpflichtet, das Nutzerkonto des Verfügungsklägers zu unterhalten und ihm die Möglichkeit zu gewähren, Beiträge und Kommentare zu fertigen. Gegen diese vertragliche Verpflichtung hat die Verfügungsbeklagte verstoßen, indem sie die am 24. November 2021 vom Verfügungsbeklagten ausgewählte Bilddatei löschte und seinen Account für unbestimmte Zeit suspendierte. Die Veröffentlichung der Bilddatei verstieß weder gegen Strafgesetze noch gegen die vertraglichen Bestimmungen oder Richtlinien der Verfügungsbeklagten. Inwieweit die allgemeinen Geschäftsbedingungen der Verfügungsbeklagten ggf. unwirksam sein könnten, ist daher für die Entscheidung dieses Verfahrens auf Erlass einer einstweiligen Verfügung nicht erheblich.

1. Bei der streitgegenständlichen Abbildung, die der Verfügungskläger als Kommentar veröffentlichte, handelt es sich um eine Äußerung, die von der Meinungsfreiheit gedeckt ist.

Das Grundrecht auf Meinungsfreiheit aus Art. 5 Abs. 1 Satz 1 GG wird nicht schrankenlos gewährt. Es findet seine Schranken in den Vorschriften der allgemeinen Gesetze, den gesetzlichen Bestimmungen zum Schutze der Jugend und in dem Recht der persönlichen Ehre (Art. 5 Abs. 2 GG). Ein allgemeines Gesetz liegt vor, wenn sich dieses nicht gegen die Äußerung einer Meinung als solche richtet, sondern vielmehr dem Schutz eines schlechthin, ohne Rücksicht auf eine bestimmte Meinung zu schützenden Rechtsgutes dient, das gegenüber der Meinungsfreiheit Vorrang hat (Burghart, in: Leibholz/Rinck, Grundgesetz, 84. Lfg 2021, Art. 5 Rn. 672). Dies trifft auf Strafgesetze wie § 241 StGB und § 111 StGB, die die körperliche und seelische Integrität anderer Menschen schützen, zu. Die Meinungsäußerungsfreiheit muss hier zurücktreten, wenn durch ihre Ausübung schutzwürdige Interessen anderer von höherem Rang verletzt würden.

a) Die Äußerung des Verfügungsklägers erfüllt jedoch keinen der genannten Straftatbestände. Sie ist in ihrem Gesamtzusammenhang, aus dem sie nicht herausgelöst werden darf, zu beurteilen (BGH, Urteil vom 30. Januar 1996 – VI ZR 386/94 – Juris Rn. 24). Entscheidend ist nicht die subjektive Vorstellung der Parteien, sondern die Sicht eines unvoreingenommenen und verständigen Durchschnittsempfängers (BGH, Urteil vom 29. Januar 2002 – VI ZR 20/01 – Juris Rn. 25 ff; OLG München, Urteil vom 7. Januar 2020 – 18 U 1491/19 – Juris Rn. 136.). Bei der Beurteilung einer Meinungsäußerung auf einer Plattform ist auf einen eher flüchtigen Durchschnittsbeobachter abzustellen (OLG Stuttgart, Urteil vom 6. September 2018 – 4 W 63/18 – Juris Rn. 70). Bei mehrdeutigen Äußerungen, die verschiedene Deutungen zulassen, ist diejenige zugrunde zu legen, die für den sich Äußernden am günstigsten ist, es sei denn, diese günstigste Deutung ist fernliegend oder kann unter Angabe besonderer Gründe ausgeschlossen werden (Klass, in: Erman, BGB Kommentar, 16. Auflage 2020, Anhang zu § 12, Abschnitt G I. Ehrschutz Rn. 112).

Aus Sicht eines flüchtigen, unvoreingenommenen und verständigen Durchschnittsbeobachters ist bei der vom Verfügungskläger veröffentlichten Bilddatei nicht anzunehmen, dass es sich um eine Aufforderung zum Töten von [xxx] handelt.

Die abgebildete Szene zeigt ein etwa sechsjähriges Mädchen, das eine kopflose Puppe in der Hand hält und mit ausgestrecktem Zeigefinger eine fließende Bewegung quer über ihre Kehle ausführt (bzw. im Standbild nur andeutet). Ihr Finger symbolisiert dabei ein Messer, mit dem die Kehle durchgeschnitten wird. Diese Zeichensprache kann als universal bekannt angenommen werden. Damit kann die Geste unmittelbar so verbalisiert werden, dass ein anderer Mensch getötet wird oder werden solle, und in einem bereits gelockerten Sinn, dass ein Mensch (an irgendeinem Einfluss) sterben möge. Gleichwohl werden der Geste je nach Zusammenhang ihrer Verwendung zahlreiche weitere unterschiedliche Bedeutungen beigemessen. So findet sie sich häufig als Aufforderung an einen anderen dazu, ein begonnenes Verhalten abzubrechen oder eine geplante Handlung zu unterlassen. Der Verfügungskläger hat unwidersprochen vorgetragen, dass er das Bild in der von der Verfügungsbeklagten bereitgestellten App aus zahlreichen weiteren Bildern („mimes“) der Kategorien „Stop it!“ oder „Kill it!“ ausgewählt habe. Damit steht fest, dass die Geste bei Nutzern der Plattform auch als Metapher für den Wunsch stehen kann, dass ein (aus Sicht des Verwenders unerfreulicher) Zustand oder eine Betätigung enden möge. Der fast schon allgegenwärtige Einsatz der Geste hat außerdem dazu geführt, dass ihr in einer weiteren, vom unmittelbaren Aussagegehalt vollends gelösten Übertragung nahezu jeder Bedeutungsgehalt zukommen kann, der mit einem gewissen Überlegenheitsgefühl dessen, der die Geste vollzieht, gegenüber jenem, dem sie gezeigt wird verbunden ist (z. B. „Ich bin schlauer/stärker/besser usw.“). Mit verwandtem Bedeutungsgehalt kann die halsabschneidende Geste deshalb auch so etwas wie „Schach matt“ nach einem Kräftemessen zweier Opponenten heißen. Dies wird von dem durchschnittlichen Beobachter zwar als (aggressive) Siegesgeste verstanden, keinesfalls jedoch als Ankündigung einer Tötung des Gegners oder einem Aufruf zu dessen Tötung.

Es ist für den Durchschnittsbeobachter ersichtlich, dass die Verwendung des Bildes durch den Verfügungskläger in dem konkreten Zusammenhang keine ernstgemeinte Aufforderung zum Töten oder eine sonstige Bedrohung von [xxx] darstellt.

Dass es dem Verfügungskläger bei objektiver Betrachtung um die übertragene, nicht die direkte Bedeutung der Geste ging, wird schon daraus deutlich, dass die Szene der bekannten US-amerikanischen Fernsehserie „The Addams Family“ entstammt. Inzwischen gibt es neben der Fernsehserie unzählige Cartoons, Kinoverfilmungen, einen Zeichentrick-Ableger, sowie ein Musical und ein Handyspiel. In der Fernsehserie wird die Addams Familie als satirische, düstere Version der perfekten amerikanischen Kernfamilie dargestellt. Jedes Familienmitglied hat exzentrische Züge, alle lieben sie das Makabre. Die abgebildete Darstellerin der fiktiven Wednesday Addams hat zwar eine Vorliebe dafür, Mordpläne gegen ihren Bruder zu schmieden. Dies fügt sich jedoch in andere, rätselhafte Umstände ein, die die Addams Familie auf absurde Weise charakterisieren. Die für die Kunstform der Satire typische Übertreibung springt dem Durchschnittsbeobachter auch in der Abbildung des Kindes ins Auge, das die Geste des Halsabschneidens vollzieht und – allegorisch überzeichnet – überdies eine kopflose Puppe bei sich führt. Für den Beobachter deutet nichts hieran ernstlich auf eine Tötung. Hätte der Verfügungskläger tatsächlich Tötungsgedanken zum Ausdruck bringen wollen, hätte er hierfür einen kämpferisch auftretenden Agenten anstelle der Figur Wednesday Addams auswählen müssen.

Die Deutung, es liege ein Aufruf zur Tötung vor, ergibt sich auch nicht aus dem Zusammenspiel der Geste mit dem Tweet „Shall we play a game?“ des Nutzers „@Theanonleaks“. Die Frage „Shall we play a game?“ ist der Film-Serie „Saw“ entlehnt. Die Hauptfigur dieses Horror-Thrillers ist ein psychopatischer Serienmörder, der sich Opfer sucht und deren Überlebenswillen durch Folter testet. Bevor er seine Opfer foltert, fragt er seine Opfer wahlweise „Do you wanna play a game?“ oder „I want to play a game.“ Dies ist freilich keine wirkliche Frage, da seine Opfer keine andere Wahl haben als „mitzuspielen“. In Anlehnung an die Film-Serie Saw ist „Shall we play a game?“ für den Durchschnittsbetrachter als eine rhetorische Frage aus dem Bereich des Fiktionalen aufzufassen. Dabei ist den Angaben des Verfügungsklägers, die nicht bestritten worden sind, Glauben zu schenken, „@Theanonleaks“ stehe für eine Gruppe von Aktionisten namens „Anon“, der es keinesfalls um das Töten eines Menschen oder einen Aufruf zu Gewalt gehe, sondern die dafür bekannt sei, geheime Informationen zu hacken und der Öffentlichkeit zu unterbreiten („leaken“). Mit der Einstellung des Bildes der Wednesday Addams habe er der Gruppe, mit deren Aktionen er durchaus gelegentlich sympathisiere, zeigen wollen, dass sie mit einem Hacker- Angriff auf das Nutzerkonto [xxx] zu weit gehe. Diese Bedeutung, die nach den Ausführungen des Verfügungsklägers nicht fernliegt, kann die Kammer nicht ausschließen.

Strafbares Verhalten des Verfüfungsklägers liegt jedoch auch dann nicht vor, wenn die Äußerung „Shall we play a game?“ in ihrem vollständigen Kontext erfasst und mit einer weiteren Bedeutung versehen wird. Sie bezieht sich auf den Post „Freiheit ist wichtiger als Gesundheit“ von [xxx]. Dieser ist Mitglied der Jungen Liberalen im Kreis [xxx] nd der Öffentlichkeit durch seine Auseinandersetzung mit Jan Bö. und [xxx] bei Tw. bekannt. Über diese berichteten bereits der Stern, tagesspiegel.de, Cicero Online, Welt online und der Spiegel (nachzulesen [xxx]). Der Tweet „Freiheit ist wichtiger als Gesundheit“ bezieht sich nach dem Verständnis eines unvoreingenommenen Durchschnittsempfängers auf die Maßnahmen zur Bekämpfung der Corona-Pandemie. Alle bisherigen Corona-Bekämpfungsmaßnahmen sind gedacht als Einschränkung der Freiheiten zur Bekämpfung der Pandemie und damit zur Verbesserung der Gesundheit der Bürger. Vor dem Hintergrund, dass Corona-Maßnahmen wiederholt von Gerichten auf ihre Verhältnismäßigkeit überprüft werden und in der Politik und Gesellschaft eine Konsensfindung immer schwieriger wird, ist offensichtlich, dass der Tweet von [xxx] polarisiert. Eine Polarisierung trägt zur leichteren Verständlichkeit bei, ist aber oft überspitzt und provozierend. Es entspricht der allgemeinen Lebenserfahrung, dass die Gegenreaktion auf eine provozierende Aussage ebenfalls überspitzt, polarisierend und provozierend ist. Die Aussage „Shall we play a game?“ kann daher ebenso wie die Geste des Halsabschneidens von einem durchschnittlichen Empfänger auch als krasse Ablehnung der Aussage [xxx] verstanden werden. Daraus folgt für den unvoreingenommenen Betrachter jedoch nicht, dass die Tweets tatsächliche Konsequenzen haben sollen.

Dass die Bedeutung der Abbildung den Wunsch ausdrücke, [xxx] möge sterben oder sein Wohlbefinden leiden, hat die Verfügungsbeklagte auch nicht anhand weiterer Tatsachen glaubhaft gemacht. Es mag zwar sein, dass weitere Nutzer Botschaften in diesem Sinne verbreiteten, wie der Nutzer [xxx] mit dem Kommentar: „Ich bleib dabei, er darf gerne in Freiheit krepieren“. Die Verfügungsbeklagte trägt aber selbst nicht vor, dass der Verfügungskläger sich auf diesen oder ähnliche Tweets bezogen habe, während der Verfügungskläger angab, allein den Ausgangs- Tweet des Nutzers „@Theanonleaks“ kommentiert zu haben.

b) Die Veröffentlichung des Bildes liefert auch nach den allgemeinen Geschäftsbedingungen und Richtlinien der Verfügungsbeklagten keinen Anlass zu dessen Löschung. Dies gilt insbesondere auch vor dem Hintergrund, dass Netzwerkbetreiber durchaus die Möglichkeit haben, in ihren allgemeinen Geschäftsbedingungen auch nicht strafbare oder rechtsverletzende Meinungsäußerungen einschränken zu dürfen, sofern sichergestellt wird, dass die Entfernung von Inhalten im Einzelfall unter Berücksichtigung der grundrechtlich geschützten Position des jeweiligen Nutzers erfolgt und sachlich gerechtfertigt ist (vgl. BGH, Urteil vom 29. Juli 2021 – III ZR 179/20 –, Juris Rn. 58 ff., 78). Dass ein Verstoß gegen die allgemeinen Geschäftsbedingungen der Verfügungsbeklagten nach dem glaubhaft gemachten Vortrag der Parteien nicht vorliegen kann, leuchtet schon deswegen ein, weil die Verfügungsbeklagte, wie der Verfügungskläger unwidersprochen vorträgt, die entsprechende Bilddatei selbst in ihrer Anwendersoftware zur Verwendung bereithält. Es wäre äußerst widersprüchlich, wenn die Verfügungsbeklagte Sanktionen gegen Nutzer ihres Dienstes ergreifen könnte, weil diese eine von ihr selbst zu Kommentarzwecken zur Verfügung gestellte Bilddatei verwenden.

2. Da dem Kommentar des Verfügungsklägers in Form der bildlichen Darstellung weder ein Aufruf zu Gewalt entnommen werden kann noch ein wiederholter Regelverstoß des Verfügungsklägers vorliegt, kommt eine Sperrung dessen Nutzerkontos nach der Richtlinie der Verfügungsbeklagten über missbräuchliches Verhalten in Verbindung mit ihren allgemeinen Geschäftsbedingungen nicht in Betracht. Dabei bedarf es keiner näheren Prüfung, inwieweit die allgemeinen Geschäftsbedingungen einer Inhaltskontrolle gemäß (dem kollisionsrechtlich anwendbaren) § 307 Abs. 1 Satz 1 BGB standhielten. Soweit es in den allgemeinen Geschäftsbedingungen heißt,

„Wir können Ihre Accounts sperren oder kündigen oder Ihnen die Bereitstellung der Dienste jederzeit aus beliebigem Grund ganz oder teilweise verwehren, insbesondere, wenn ...“ (Hervorhebung hier [Anmerkung der Redaktion: durch das Gericht]),

kann dies jedenfalls nicht dahingehend verstanden werden, dass überhaupt kein ernsthafter Grund für die Sperrung eines Nutzerkontos vorliegen müsste. Die Kammer versteht die allgemeinen Geschäftsbedingungen daher auch dahingehend, dass die im Weiteren („insbesondere ...“) genannten Beispiele den Schweregrad eines Verstoßes andeuten, der erreicht sein muss, bevor eine scharfe Sanktion greifen kann. Bei anderer Auslegung läge vor dem Hintergrund der Rechtsprechung des Bundesgerichtshofes eine Nichtigkeit dieser Bestimmung auf der Hand. Der erforderliche schwere Verstoß gegen den Nutzervertrag und die hierfür maßgeblichen Bedingungen ist jedoch – wie ausgeführt – nicht gegeben.

Den Volltext der Entscheidung finden Sie hier:

LG Lübeck
Urteil vom 17.01.2012
11 O 69/11

Das LG Lübeck hat entschieden, dass die Verpackung und die Bezeichnung für ein Fruchtgetränk "Kirsche - rote Traube" irreführend und damit wettbewerbswidrig ist, wenn diese Früchte nur 25% des Inhalts ausmachen. Die Entscheidung ist nicht rechtskräftig.

Aus der Pressemitteilung des Verbraucherzentrale Bundesverbandes (vzbv):

"Beim Anblick der Verpackung von „Fruit 2 Day, Kirsche – rote Traube“ bekamen die Verbraucher nach Auffassung des vzbv den Eindruck, dass im Produkt überwiegend Kirschen und Trauben enthalten seien. Nicht nur der Name wies auf diese Früchte hin, auch auf der Verpackung waren Kirschen und Trauben abgebildet. Tatsächlich machen diese Zutaten nur 25 Prozent des Inhalts aus.

Diese Irreführung konnte auch das abgebildete Sternchen hinter „rote Trauben“ nicht ausräumen; denn die Zuordnung wurde dem Verbraucher schwer gemacht. Auf der Rückseite der Verpackung war das Sternchen anders gestaltet als auf der Vorderseite."

Die Pressemitteilung des Verbraucherzentrale Bundesverbandes finden Sie hier: