Das OLG Hamm hat seine Rechtsansicht bekräftigt, wonach ein Kontrollverlust über personenbezogene Daten bei unrechtmäßiger Datenverarbeitung allein keinen Anspruch auf immateriellen Schadensersatz aus Art. 82 DSGVO begründet.
Aus den Entscheidungsgründen: 1. Die Berufung hat offensichtlich keine Aussicht auf Erfolg (§ 522 Abs. 2 Satz 1 Nr. 1 ZPO).
Mit Blick auf den vorliegend fehlenden kausalen immateriellen Schaden folgen die Ausführungen im Hinweisbeschluss des Senats der Rechtsprechung des EuGH (Urt. v. 14.12.2023 – C-340/21, BeckRS 2023, 35786 Rn. 84, 85). Danach hat der Kläger als Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie negative Folgen gehabt hat, nachzuweisen, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen. Dem folgend sieht der Senat somit den Kläger zutreffend in der Pflicht, den Indizienbeweis zum Eintritt eines kausalen immateriellen Schadens zu führen. Indem der Senat sich mit den vom Kläger dargelegten Indizien befasst und diese (hier als nicht den Eintritt eines kausalen immateriellen Schadens tragend) würdigt, setzt der Senat schlicht die weitere Vorgabe des EuGH um; denn danach ist das angerufene nationale Gericht, wenn sich eine Person auf die Befürchtung beruft, dass ihre personenbezogenen Daten in Zukunft aufgrund eines solchen Verstoßes missbräuchlich verwendet werden, gehalten zu prüfen, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann.
2. Die Sache hat auch keine grundsätzliche Bedeutung (§ 522 Abs. 2 Satz 1 Nr. 2 ZPO). Ebenso wenig ist eine Entscheidung des BGH zur Fortbildung des Rechts oder zur Sicherung einer einheitlichen Rechtsprechung erforderlich (§ 522 Abs. 2 Satz 1 Nr. 3 ZPO); denn die im vorliegenden Rechtsstreit entscheidungserheblichen Rechtsfragen sind durch die Rechtsprechung des EuGH und des BGH hinreichend geklärt und im Übrigen solche des Einzelfalls.
a) Mit Blick auf das Tatbestandsmerkmal „Eintritt eines kausalen immateriellen Schadens“ im Sinne des Art. 82 Abs. 1 DSGVO bietet der vorliegende Einzelfall keinen Anhaltspunkt für die Annahme einer weiteren klärungsbedürftigen und klärungsfähigen Rechtsfrage; vielmehr ist die streitgegenständliche Rechtsfrage zur fehlenden Qualität der negativen Folge eines bloßen Kontrollverlusts als immaterieller Schaden durch die aufgezeigten aktuellen Entscheidungen des EuGH geklärt. Die Vorlagefrage 4 aus dem Beschluss des BGH vom 26.09.2023 (VI ZR 97/22) betrifft eine andere Konstellation (vgl. hierzu i.E. Senat Beschl. v. 18.10.2023 – I-7 U 77/23, BeckRS 2023, 32741 Rn. 4).
b) Soweit das OLG Stuttgart (Urt. v. 22.11.2023 - 4 U 20/23, GRUR-RS 2023, 32883, Rn. 89 ff., 257 ff.) von der hiesigen Senatsrechtsprechung abweichend den dortigen und hiesigen Antrag zu 2. auf Feststellung der Ersatzpflicht der Beklagten für künftige materielle und immaterielle Schäden als zulässig und begründet ansieht, folgt aus dieser (vermeintlichen) Divergenz obergerichtlicher Entscheidungen kein Bedarf einer Klärung durch den BGH.
Klärungsbedürftig und damit von grundsätzlicher Bedeutung ist nur eine entscheidungserhebliche Rechtsfrage und auch nur dann, wenn ihre Beantwortung zweifelhaft ist oder wenn zu ihr unterschiedliche Auffassungen vertreten werden und die Frage höchstrichterlich noch nicht geklärt ist (vgl. BGH Beschl. v. 6.3.2019 – IV ZR 108/18, Rn. 13).
An einer grundsätzlichen Bedeutung in diesem Sinne fehlt es zunächst deshalb, weil das OLG Stuttgart (Urt. v. 22.11.2023 - 4 U 20/23, GRUR-RS 2023, 32883, Rn. 81) und der Senat (vgl. hierzu i.E. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 Rn. 191 ff.) übereinstimmend in rechtlicher Hinsicht die höchstrichterliche Rechtsprechung zugrunde legen, wonach für Schäden, die aus der behaupteten Verletzung des allgemeinen Persönlichkeitsrechts, also eines sonstigen absolut geschützten Rechtsguts im Sinne von § 823 Abs. 1 BGB, resultieren, bereits die Möglichkeit materieller oder weiterer immaterieller Schäden für die Annahme eines Feststellungsinteresses ausreicht.
Eine Divergenz in den obergerichtlichen Entscheidungen besteht lediglich insoweit, als das OLG Stuttgart anders als der Senat im Zuge der Subsumtion nicht auf den zu entscheidenden Einzelfall abstellt, sondern apodiktisch ohne die Betrachtung der Umstände des konkreten Einzelfalls die abstrakte, theoretische Möglichkeit eines (materiellen und immateriellen) Schadenseintritts für ausreichend erachtet.
Dies rechtfertigt es jedoch nicht, eine grundsätzliche Bedeutung anzunehmen; denn durch die gefestigte Rechtsprechung des BGH (vgl. nur BGH Urt. v. 5.10.2021 – VI ZR 136/20, NJW-RR 2022, 23 Rn. 28 m.w.N.) ist bereits höchstrichterlich geklärt, dass die Frage der Möglichkeit eines Schadenseintritts gerade nicht abstrakt, sondern aus der Sicht des konkret Geschädigten in verständiger Würdigung zu beurteilen ist. Dem folgt der Senat in Achtung der zugrundeliegenden Intention, der Beklagtenpartei keinen Rechtsstreit über nur theoretische Fragen aufzuzwingen, in ständiger Rechtsprechung (vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 Rn. 194 m.w.N.). Dies mag das OLG Stuttgart (Urt. v. 22.11.2023 - 4 U 20/23, GRUR-RS 2023, 32883, Rn. 93 f.) verkannt haben. Eine solche vereinzelte, nicht nachvollziehbar begründete Entscheidung zwingt den Senat jedenfalls nicht zur Zulassung der Revision und damit zugleich zur Abkehr vom Verfahren nach § 522 Abs. 2 ZPO (vgl. dazu BGH Beschl. v. 6.3.2019 - IV ZR 108/18, r+s 2019, 272 Rn. 14; BGH Beschl. v. 8.2.2010 - II ZR 156/09, NJW-RR 2010, 978 Rn. 3; BGH Beschl. v. 27.11.2013 - VII ZR 371/12, NJW 2014, 456 Rn. 9).
Mit Blick darauf ist auch eine Entscheidung des BGH zur Fortbildung des Rechts nicht geboten. Ebenso wenig liegt eine tragende Rechtssatzabweichung von der Rechtsprechung eines höher- oder gleichrangigen anderen Gerichts vor, die eine höchstrichterliche Entscheidung zur Sicherung einer einheitlichen Rechtsprechung erforderte (vgl. hierzu BGH Beschl. v. 6.3.2019 - IV ZR 108/18, r+s 2019, 272 Rn. 15).
c. Entsprechendes gilt insoweit, als das OLG Stuttgart (Urt. v. 22.11.2023 – 4 U 20/23, GRUR-RS 2023, 32883 Rn. 98 ff. und 272) anders als der Senat (Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 Rn. 203 ff.) die Unterlassungsanträge als zulässig erachtet und mit Blick darauf, dass in der Sache über die Unterlassungsansprüche letztlich doch die Implementierung bestimmter Sicherheitsmaßnahmen und damit im Ergebnis eine Leistung verlangt werde, erst die Begründetheit verneint; denn das OLG Stuttgart setzt sich in keiner Weise mit den Ausführungen des Senats zur Unzulässigkeit der beiden Unterlassungsanträge, die auf entsprechender Rechtsprechung des BGH fußen, auseinander. Infolgedessen lassen sich über den jeweiligen Einzelfall hinaus schon keine (weiteren) Unklarheiten in der höchstrichterlichen Rechtsprechung, die eine zusätzliche Klärung durch den BGH erforderten (vgl. hierzu BGH Beschl. v. 8.2.2010 - II ZR 156/09, NJW-RR 2010, 978 Rn. 3; BGH Beschl. v. 27.11.2013 - VII ZR 371/12, NJW 2014, 456 Rn. 9), feststellen.
d. Allein die Vielzahl bundesweit anhängiger gleichgerichteter Rechtsstreite vermag vor dem Hintergrund, dass die entscheidungserheblichen Rechtsfragen sämtlich durch EuGH und BGH geklärt sind, dem Einzelfall keine grundsätzliche Bedeutung zu verleihen.
3. Auch die Durchführung einer mündlichen Verhandlung (§ 522 Abs. 2 Satz 1 Nr. 4 ZPO) ist nicht geboten. Es wird insoweit auf die Ausführungen im Hinweisbeschluss vom 24.11.2023 (Bl. 149 ff. der zweitinstanzlichen elektronischen Gerichtsakte) Bezug genommen.
II. Die Kostenentscheidung beruht auf § 97 Abs. 1 ZPO; die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 544 Abs. 2, § 708 Nr. 10, § 713 ZPO.
III. Aus dem Umstand, dass das OLG Stuttgart im Tenor seines Urteils (v. 22.11.2023 – 4 U 20/23, GRUR-RS 2023, 32883) ohne weitere Begründung in seinem Einzelfall den Streitwert für das Berufungsverfahren auf 7.000,00 EUR festgesetzt hat, ergibt sich für den Senat für den vorliegenden Einzelfall kein Grund von seiner Praxis zur Streitwertfestsetzung abzuweichen. Auch insoweit orientiert sich der Senat an ständiger Rechtsprechung des BGH (Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 Rn. 254 ff.).
OLG München
Verfügung vom 14.09.2023 14 U 3190/23 e
Das OLG München hat in einer Verfügung im Rahmen eines Berufungsverfahrens ausgeführt, dass kein Schadensersatzanspruch und kein Unterlassungsanspruch in Facebook-Scraping-Fällen besteht, wenn keine fühlbare reale Beeinträchtigung vorliegt bzw. dargelegt und bewiesen wird.
Aus den Verfügungsgründen: Das strukturiert begründete Urteil des Landgerichts leidet nicht an Rechtsfehlern (§ 546 ZPO). Die zugrunde zu legenden Tatsachen (§ 529 ZPO) gebieten keine andere Entscheidung (§ 513 Abs. 1 ZPO).
1. Zutreffend versagt das Landgericht einen Schadensersatzanspruch.
Das Ersturteil arbeitet überzeugend heraus, dass der Beklagten eine schadenskausale Pflichtverletzung, die in den Anwendungsbereich des Art. 82 DSGVO fiele, nicht angelastet werden kann; auf die diesbezüglichen Ausführungen des Landgerichts ist Bezug zu nehmen.
Ihnen ist hier lediglich hinzuzufügen: Insbesondere einen Verstoß gegen Art. 32 durch „zu weite“ Voreinstellungen musste das Landgericht nicht annehmen. Art. 32 DSGVO schreibt nicht schlechthin datenschutzfreundliche Voreinstellungen vor, sondern gebietet – wesentlich allgemeiner gehalten – „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Das ist bei einer Kontaktplattform auch dadurch möglich, dass dem Nutzer durch Anleitungen und Hilfen die Möglichkeit gegeben wird, die Einstellungen enger zu fassen und zudem einen „Privacy-Check“ durchzuführen.
Anderes ergibt sich auch nicht etwa aus Erwägungsgrund 78 zur DSGVO, denn dort werden datenschutzfreundliche Voreinstellungen lediglich als Beispiel für Schutzmaßnahmen genannt, die je nach Sachlage und Zusammenhang empfehlenswert seien.
Er lautet:
„Zum Schutz der in Bezug auf die Verarbeitung personenbezogener Daten bestehenden Rechte und Freiheiten natürlicher Personen ist es erforderlich, dass geeignete technische und organisatorische Maßnahmen getroffen werden, damit die Anforderungen dieser Verordnung erfüllt werden. Um die Einhaltung dieser Verordnung nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun. Solche Maßnahmen könnten unter anderem darin bestehen, dass die Verarbeitung personenbezogener Daten minimiert wird, personenbezogene Daten so schnell wie möglich pseudonymisiert werden, Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird, der betroffenen Person ermöglicht wird, die Verarbeitung personenbezogener Daten zu überwachen, und der Verantwortliche in die Lage versetzt wird, Sicherheitsfunktionen zu schaffen und zu verbessern. In Bezug auf Entwicklung, Gestaltung, Auswahl und Nutzung von Anwendungen, Diensten und Produkten, die entweder auf der Verarbeitung von personenbezogenen Daten beruhen oder zur Erfüllung ihrer Aufgaben personenbezogene Daten verarbeiten, sollten die Hersteller der Produkte, Dienste und Anwendungen ermutigt werden, das Recht auf Datenschutz bei der Entwicklung und Gestaltung der Produkte, Dienste und Anwendungen zu berücksichtigen und unter gebührender Berücksichtigung des Stands der Technik sicherzustellen, dass die Verantwortlichen und die Verarbeiter in der Lage sind, ihren Datenschutzpflichten nachzukommen. Den Grundsätzen des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen sollte auch bei öffentlichen Ausschreibungen Rechnung getragen werden“.
Das Landgericht durfte hier berücksichtigen, dass Facebook eine Plattform für Nutzer ist, die sich in erster Linie „finden lassen“ wollen, um sogenannte „Freundschaftsanfragen“ zu erhalten, wobei der Begriff „Freundschaft“ hier nicht in dem engen Sinne zu verstehen ist, der die deutsche Sprachtradition prägt. Als „technische und organisatorische Maßnahme“ durfte es das Landgericht in diesem Zusammenhang als ausreichend ansehen, dass die Nutzer hier das Ausmaß der Findbarkeit selbst einstellen konnten, angeleitet durch transparente Hilfen und Erklärungen, die umfangreich, aber verständlich und sinnvoll gegliedert sowie zugänglich waren.
2. Das kann indessen dahinstehen, da im vorliegenden Einzelfall auch kein Schaden im Rechtssinne eingetreten ist.
Das Landgericht hat unter zutreffender Einwertung von Erwägungsgrund 146 herausgearbeitet, dass der Schadensbegriff zwar im Prinzip weit reicht, aber eine fühlbare reale Beeinträchtigung voraussetzt. An dieser fehlt es hier, wie das Landgericht anhand der persönlichen Anhörung des Klägers herausgearbeitet hat. Was die Berufungsbegründung hiergegen erinnert, überzeugt nicht:
(a) Erwägungsgrund 85 besagt nicht, dass jeder Kontrollverlust ein Schaden ist.
Er lautet in seinem Satz 1, den die Berufung hier offensichtlich anzieht:
„Eine Verletzung des Schutzes personenbezogener Daten kann – wenn nicht rechtzeitig und angemessen reagiert wird – einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder betrug, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile für die betroffene natürliche Person“.
(b) Dass der Kläger „durch Ärger, Angst, Stress, Sorge“ geplagt sei, hat die Anhörung nicht ergeben, sondern seinen freimütigen Angaben war u.a. zu entnehmen, dass er die Plattform weiter nutzt, was dem Landgericht zeigte, dass der Kläger nicht durchgreifend bekümmert ist. Was er an Zeit und Kraft aufgewendet habe, um sich mit dem Problem auseinanderzusetzen, war nicht in der Weise greifbar geworden, dass ein „erlittener“ Schaden darin gesehen werden musste.
(c) Dass der Kläger seit dem Datenleck Kontaktversuche von unbekannten Dritten in Form von „Spam“-SMS und „Spam“-Anrufen erhalten habe, hat der Kläger dahin relativiert, diese beruhten wahrscheinlich darauf, dass er seine Mobiltelefonnummer bei dem mehrfach erwähnten großen und weltweit tätigen Versandhandelsunternehmen hinterlegt habe. Das Landgericht hatte daher verständlicherweise unüberwindliche Bedenken, die SMS und Anrufe gerade der Beklagten als kausal verursachten Schaden anzulasten.
2. Nicht zu beanstanden ist ferner, dass das Landgericht auch für einen zukünftigen Schaden keine Anhaltspunkte sah.
3. Zutreffend versagt das Landgericht den Unterlassungsanspruch
Die Wiederholungsgefahr besteht bereits deshalb nicht, weil der Kläger die Einstellungen von „alle“ auf „nur ich“ zurücksetzen kann. Das erfordert keine weiteren Maßnahmen der Beklagten, so dass offen bleiben kann, ob diese die Suchbarkeitsfunktion deaktiviert hat und „Anti-Scraping-Maßnahmen“ ins Werk gesetzt hat.
Denn selbst wenn eine Rechtsverletzung vorläge, die – grundsätzlich – Wiederholungsgefahr zu indizieren geeignet wäre, wäre diese Indizwirkung durch obige Fallumstände hier widerlegt.
Nicht verfangen kann der Einwand, wonach es keine Abhilfe bringe, wenn der Kläger seine Einstellungen von „everyone“ auf „friends of friends“ umstellt. Es mag unterstellt werden, dass auch Daten von Nutzern „gescrapt“ worden sind, die – anders als der Kläger – nicht „everyone“ eingestellt hatten. Das ist aber nicht der Schadenshergang, der vorliegend anzunehmen war und an dem die Wiederholungsgefahr zu messen wäre. Dass sich der hier festgestellte Schadenshergang wiederholen würde, kann der Kläger schon durch die geänderten Einstellungen bewirken. Stellt er die Einstellungen von „alle“ auf „nur ich“ zurück, und würden seine Daten dann (erneut) gescrapt, so wäre das ein anderer Schadenshergang.
4. Zutreffend versagt das Landgericht den Auskunftsanspruch.
Anders als in den von der Berufungsbegründung angezogenen Entscheidungen anderer Gerichte (BerBegr S. 65/66) war der Auskunftsanspruch vorliegend erfüllt mit Ausnahme einer Angabe, wer der/die Scraper/in gewesen ist. Letztere Angabe (des „Empfängers“) kann die Beklagte nicht machen, weil sie den Empfänger nicht kennt. Dass sie in früheren Fällen gegen unbefugte Dritte vorgegangen ist, ändert hieran fallbezogen nichts.
5. Nach alledem hat das Landgericht auch Schadensersatzansprüche nach nationalem Recht zutreffend versagt.
Das OLG Hamm hat entschieden, dass ein Schadensersatzanspruch in Facebook-Scraping-Fällen nur dann besteht, wenn ein konkreter Schaden nachgewiesen wird. Der Verstoß gegen die DSGVO und das Gefühl des Kontrollverlustes seitens des Betroffenen genügt nicht allein nicht.
Die Pressemitteilung des Gerichts: Leitentscheidung zu Facebook-Scraping
Das Oberlandesgericht Hamm hat ein erstes Urteil zu den sogenannten Facebook-Scraping-Fällen gesprochen und eine Klage auf Zahlung von Schadensersatz nach der Datenschutz-Grundverordnung (DSGVO) abgewiesen. Nach dem Urteil liegen zwar Verstöße gegen datenschutzrechtliche Vorschriften vor, einen immateriellen Schaden konnte die Klägerin jedoch nicht ausreichend darlegen.
Im April 2021 veröffentlichten Unbekannte die Daten von etwa 500 Millionen Facebook-Nutzern im Darknet, darunter Namen und Telefonnummern. Die Daten hatten die Unbekannten zuvor über einen längeren Zeitraum zunächst unter Ausnutzung der seinerzeitigen Suchfunktionen von Facebook gesammelt, weshalb von „Scraping“ gesprochen wird (von engl. to scrape für zusammenkratzen). Auch dann, wenn die Anzeige der eigenen Telefonnummer bei Facebook nicht aktiviert war, war es über die Suchfunktion möglich, einen Nutzer über eine eingegebene Telefonnummer zu identifizieren. Dies nutzen die unbekannten „Scraper“ aus, indem sie millionenfach Telefonnummern mit dem Computer generierten und hierzu Daten abriefen. Facebook deaktivierte die Suchfunktion für Telefonnummern im April 2018. Auf ein daraufhin angepasstes Scraping-Verfahren, das die Kontaktimportfunktion von Facebook ausnutzte, wurden weitere Daten abgegriffen, bis Facebook auch diese Funktion auf der Plattform im Oktober 2018 und im Facebook-Messenger im September 2019 deaktivierte.
Im Hinblick auf dieses „Datenleck“ sind bundesweit zahlreiche Klagen gegen Meta als Betreiberin der Plattform anhängig, so auch im Bezirk des Oberlandesgerichts Hamm, für den nunmehr die erste Entscheidung vorliegt. Der für das Recht der unerlaubten Handlungen zuständige 7. Zivilsenat klärt darin zahlreiche Rechtsfragen im Zusammenhang mit den Scraping-Klagen.
Auch die Klägerin im nun entschiedenen Verfahren war von dem Scraping betroffen. In dem im Darknet veröffentlichten Datensatz fanden sich ihre Mobiltelefonnummer, ihr Vor- und Nachname sowie die Angabe ihres Geschlechts. Die Klägerin hat von Meta als Betreiberin der Plattform unter anderem eine Entschädigung für immaterielle Schäden ähnlich einem Schmerzensgeld in Höhe von mindestens 1.000 Euro verlangt. Sie hat die Auffassung vertreten, die Betreiberin der Plattform habe sowohl im Zusammenhang mit dem Scraping als auch unabhängig davon gegen verschiedene Vorschriften des Datenschutzes aus der DSGVO verstoßen. Dem ist Meta entgegengetreten.
Das Landgericht Bielefeld hatte die Klage zurückgewiesen. Die von der Klägerin eingelegte Berufung ist nun vor dem Oberlandesgericht Hamm ohne Erfolg geblieben. Zwar hat das Oberlandesgericht Verstöße gegen die DSGVO festgestellt. Von einem immateriellen Schaden der Klägerin konnte es sich jedoch nicht überzeugen.
Zu den festgestellten Verstößen gegen die DSGVO geht das Oberlandesgericht im Ausgangspunkt davon aus, dass es auch im Zivilprozess Aufgabe des für die Datenverarbeitung Verantwortlichen – hier Meta – ist, die zulässige Verarbeitung dieser Daten nach der DSGVO nachzuweisen. Auch die Weitergabe von Daten an Dritte auf eine Suchfunktion oder eine Kontaktimportfunktion ist dabei Datenverarbeitung im Sinne der DSGVO. Meta konnte hier nicht nachweisen, dass die Weitergabe der Mobiltelefonnummer der Klägerin im Rahmen der Such- oder Kontaktimportfunktion nach der DSGVO gerechtfertigt war. Auf die Erfüllung des Vertragszwecks als Rechtfertigungsgrund nach der DSGVO kann sich Meta dabei nicht berufen, da die Verarbeitung der Mobiltelefonnummer für die Vernetzung der Nutzerinnen und Nutzer von Facebook untereinander unter Berücksichtigung des Grundsatzes der Datensparsamkeit nicht zwingend erforderlich ist. Für die Verarbeitung der Mobiltelefonnummer bedarf es daher einer Einwilligung der Nutzerin oder des Nutzers. Eine solche wurde hier schon deswegen nicht wirksam erteilt, weil bei der seinerzeit erteilten Einwilligung der Klägerin in unzulässiger Weise mit von der Nutzerin auf Wunsch abwählbaren Voreinstellungen gearbeitet wurde („opt-out“) und die Informationen über die Such- und Kontaktimportfunktion unzureichend und intransparent waren.
Auch eine grundsätzlich zum Schadensersatz führende Pflichtverletzung hat das Oberlandesgericht bejaht, da Meta trotz der konkreten Kenntnis von dem Datenabgriff im vorliegenden Fall naheliegende Maßnahmen zur Verhinderung weiteren unbefugten Datenabgriffs nicht ergriffen hatte.
Das Oberlandesgericht hat der Klägerin im Ergebnis aber dennoch keinen Schadensersatz zuerkannt. Die Klägerin hat hier lediglich immaterielle Schäden geltend gemacht, was nach der DSGVO grundsätzlich möglich ist und zu einer Entschädigung ähnlich einem Schmerzensgeld führen kann. Allerdings ist es der Klägerin nicht gelungen, einen konkreten immateriellen Schaden darzulegen. Dabei geht das Oberlandesgericht davon aus, dass der immaterielle Schaden nicht in dem bloßen Verstoß gegen die DSGVO selbst liegen kann, sondern darüberhinausgehende persönliche bzw. psychologische Beeinträchtigungen eingetreten sein müssen. Solche hat die Klägerin jedoch nicht individuell dargelegt. Der zu einer Vielzahl an ähnlich gelagerten Verfahren identische, pauschale Vortrag, die „Klägerpartei“ habe Gefühle eines Kontrollverlusts, eines Beobachtetwerdens und einer Hilflosigkeit, insgesamt also das Gefühl der Angst entwickelt und Aufwand an Zeit und Mühe gehabt, reicht zur Darlegung einer konkret-individuellen Betroffenheit der Klägerin nicht aus. Auch ist der hier in Rede stehende Datenmissbrauch, der zur ungewollten Veröffentlichung von Name und Mobiltelefonnummer geführt hat, nicht so schwerwiegend, dass der Eintritt eines immateriellen Schadens ohne weiteres naheliegt. Hinzu kommt, dass die Klägerin in ihrer persönlichen Anhörung vor dem Landgericht lediglich ausgeführt hatte, sie habe ein „Gefühl der Erschrockenheit“ erlitten.
Das Oberlandesgericht hat den Streitwert für das gesamte Verfahren – in dem auch erfolglos weitere Anträge auf Feststellung, Unterlassung und Auskunft geltend gemacht worden waren – mit lediglich 3.000 Euro bewertet. Es hat keinen Anlass gesehen, das Verfahren dem Europäischen Gerichtshof zur Vorabentscheidung vorzulegen oder die Revision zuzulassen, da die entscheidenden Rechtsfragen jüngst durch den Europäischen Gerichtshof geklärt wurden.
Oberlandesgericht Hamm, Urteil vom 15. August 2023, Az. 7 U 19/23; Vorinstanz: Landgericht Bielefeld, Urteil vom 19. Dezember 2022, Az. 8 O 157/22.
Die Entscheidung ist veröffentlicht unter www.nrwe.de externer Link, öffnet neues Browserfenster / neuen Browser-Tab.
Bernhard Kuchler
Pressedezernent
Für die Entscheidung relevante Vorschriften der Datenschutz-Grundverordnung (DSGVO)
Art. 4 – Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck: […]
2. "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; […]
Art. 5 – Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ("Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz");
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken ("Zweckbindung");
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ("Datenminimierung"); […]
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ("Rechenschaftspflicht").
Art. 6 – Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; […]
Art. 7 – Bedingungen für die Einwilligung
(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
(2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen. […]
Art. 32 – Sicherheit der Verarbeitung
(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; […]
Art. 82 – Haftung und Recht auf Schadenersatz
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. […]
Das OLG Frankfurt hat entschieden, dass in den typischen Scraping-Fällen gegen Facebook / Meta regelmäßig ein Streitwert von 6.000 EURO angemessen ist. Dabei entfallen 4.000 EURO auf den Unterlassungsanspruch.
Aus den Entscheidungsgründen: 1. Der Streitwert des bezifferten Klageantrags zu 1 entspricht dem eingeklagten Mindestschadensersatz in Höhe von 1.000 Euro (§ 48 Abs. 1 Satz 1 GKG i.V.m. § 3 ZPO).
2. Die Beschwerdeführer wenden sich auch zu Recht nicht dagegen, dass das Landgericht den Schadensersatzfeststellungsantrag (Klageantrag zu 2) mit 500 Euro bewertet hat (vgl. auch OLG Stuttgart, Beschluss vom 03.01.2023 - 4 AR 4/22, juris Rn. 23; OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 15 mwN).
3. Entgegen der Ansicht der Beschwerdeführer ist der Wert der auf Unterlassung gerichteten Klageanträge zu 3 a) und b) nicht mit mehr als insgesamt 4.000 Euro zu bemessen.
a) Nach den zutreffenden Rechtsausführungen des Landgerichts ist der Streitwert in nichtvermögensrechtlichen Streitigkeiten gemäß § 48 Abs. 2 Satz 1 GKG unter Berücksichtigung aller Umstände des Einzelfalls, insbesondere des Umfangs und der Bedeutung der Sache und der Vermögens- und Einkommensverhältnisse der Parteien, nach Ermessen zu bestimmen. Dabei kommt der Streitwertangabe des Klägers zu Beginn des Verfahrens nach ständiger Rechtsprechung des Senats zwar grundsätzlich erhebliche indizielle Bedeutung für den Wert des tatsächlich verfolgten Interesses zu (siehe u.a. auch KG, Beschluss vom 26.11.2004 - 5 W 146/04, juris Rn. 5; Beschluss vom 18.02.2022 - 5 U 1007/20, juris Rn. 81), da der Kläger bei Einreichung der Klageschrift noch nicht sicher wissen kann, ob sein Antrag Erfolg haben wird. Er ist daher von sich aus gehalten, sein wirtschaftliches Interesse an der Verfolgung des geltend gemachten Verstoßes realistisch einzuschätzen. Eine Abweichung von der Streitwertangabe des Klägers kommt daher im Regelfall nur in Betracht, wenn Anzeichen dafür bestehen, dass diese erheblich über- oder untersetzt ist (vgl. z.B. OLG Frankfurt am Main, Beschluss vom 14.12.2022 - 6 W 77/22, WRP 2023, 358 Rn. 4 mwN - Penthouse in Erstbezug, zu einem UWG-Verstoß).
b) Vorliegend ist allerdings unter Berücksichtigung des beidseitigen Parteivortrags davon auszugehen, dass der vom Landgericht angenommene Streitwert von insgesamt 4.500 Euro für die Klageanträge zu 3 a) und b) nicht zu gering, sondern vielmehr zu hoch ist (vgl. insofern auch OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16: 4.000 Euro; siehe auch OLG Dresden, Beschluss vom 28.09.2022 - 17 AR 36/22, Anlage SW2 S. 5, GA 590 [juris Rn. 8]: Zwischen 3.000 Euro und 5.000 Euro).
aa) Zwar hat der Kläger geltend gemacht, das Datenleck habe für ihn schwerwiegende Folgen. Er gebe seine Telefonnummer nicht wahl- und grundlos preis. Die erlangten Datensätze stünden bis heute jedem im Internet zu Verfügung. Sie seien auf Internetseiten veröffentlicht worden, die illegale Aktivitäten begünstigten, wie www.(...).com, einem bekannten „Hacker-Forum“, auf dem illegal abgeschöpfte Daten für kriminelle Machenschaften wie Internetbetrug hinterlegt und ausgetauscht würden. Die Datensätze lieferten Kriminellen ausreichend Informationen für Betrugsversuche durch sog. Phishing per SMS (Versuche, sich über gefälschte Kurznachrichten als vertrauenswürdiger Kommunikationspartner auszugeben, um an persönliche Nutzerdaten zu kommen oder Nutzer zu schädlichen Aktionen zu verleiten), Scamming ([Internet-]Betrug), Spamming (Zusenden unerwünschter Nachrichten), Smishing (Form des Phishings, bei der Nutzer verleitet werden, auf einen Link mit Schadstoffsoftware zu klicken), Identitätsdiebstahl und die Übernahme von Accounts und Anrufen (sog. „SIM-Swap“-Angriffe). Seit dem Vorfall bzw. seit April 2019 erhalte er unregelmäßig bzw. vermehrt Anrufe von unbekannten Nummern, Kontaktversuche von Unbekannten per SMS (vgl. jeweils Anlage K6, Anlagenband zum Schriftsatz vom 08.02.2023) und E-Mails mit offensichtlichen Betrugsversuchen und potenziellen Virenlinks. Dies wäre ohne das Datenleck aufgrund der Privatsphäre-Einstellung - gerade in Bezug auf seine Telefonnummer - so nicht der Fall gewesen. Durch den von der Beklagten zu verantwortenden umfassenden Verlust der Kontrolle über seine Daten, insbesondere in Verknüpfung mit seiner Telefonnummer, habe er das Gefühl des Kontrollverlusts, Beobachtetwerdens und der Hilfslosigkeit, und damit insgesamt ein überschattendes Gefühl der Angst. Sein Unwohlsein und seine ständige große Sorge vor einem Datenmissbrauch zeigten sich insbesondere in verstärktem Misstrauen gegenüber Anrufen und E-Mails von unbekannten Nummern bzw. Adressen. Er reagiere nur noch äußerst vorsichtig auf E-Mails und Nachrichten und fürchte jedes Mal einen Betrug. Zwar erhielten auch Personen, die nicht bei Plattform1 seien, jedenfalls SPAM-E-Mails, die Spannbreite möglicher Negativfolgen des Scrapings gehe aber darüber hinaus. So könne es unter anderem sein, dass er sich bei einem Anruf mit seinem Namen melde, mit „Ja“ antworte oder auf ihm per SMS oder E-Mail übersandte Links klicke und dadurch in irgendwelche Verträge gerate. Drohanrufe oder -nachrichten könnten es erforderlich machen, dass er sich eine neue Handynummer zulegen oder den Anbieter wechseln müsse, was zeit- und kostenaufwändig wäre.
bb) Andererseits ist der Kläger selbst nur von einem mittelschweren Fall ausgegangen, da die „entwendeten“ Daten nicht sensibel oder höchstpersönlicher Natur, aber umfangreich seien. Auch hat der Kläger die Daten - abgesehen von seiner Telefonnummer - selbst auf Plattform1 öffentlich zugänglich gemacht hat und trotz des angeblichen Angstgefühls seine Kontoeinstellungen nach Bekanntwerden des Datenlecks nicht geändert.
Die Kläger aufgezeigten Missbrauchsmöglichkeiten mögen zudem zwar theoretisch bestehen und die Veröffentlichung der verknüpften Daten Anreiz zu einer rechtswidrigen Verwendung geben, allerdings hängen die vom Kläger behaupteten vermehrten E-Mails und Anrufe nicht nachweislich mit dem Scraping zusammen. Dargetan sind mit Anlage K6 im Wesentlichen ein paar SMS zu angeblich versandten Paketen, teils mit der Aufforderung, einen Link zu betätigen. Eine schwerwiegende Beeinträchtigung, die dem Kläger auch bei einem künftigen, vergleichbaren Vorfall drohen könnte, kann darin nach zutreffender Auffassung des Landgerichts nicht gesehen werden. Es ist auch nicht erkennbar, dass der Kläger Opfer von Drohungen oder derart schwerwiegenden Belästigungen werden könnte, dass er seine Telefonnummer ändern müsste.
Nach zutreffender Auffassung des Oberlandesgerichts Karlsruhe ist auch nicht erkennbar, dass ein künftiger, gleichgelagerter Vorfall wirtschaftlich erheblich höher zu bewerten wäre als die Klageanträge zu 1 und 2 mit insgesamt 1.500 Euro (vgl. OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16). In Bezug auf den streitgegenständlichen Vorfall ist unstreitig, dass die Beklagte zunächst weder die Nutzer noch die für sie zuständige Datenschutzbehörde des Landes1 (A) über das streitgegenständliche Scraping informiert hat.
Bei gebotener Gesamtabwägung aller relevanten Umstände mögen zwar die Einkommens- und Vermögensverhältnissen der Beklagten und die wirtschaftliche Bedeutung der Scraping-Vorfälle für diese mit zu berücksichtigen sein (vgl. z.B. OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16 mwN), allerdings führt der Verweis des Klägers auf mögliche Geldbußen in Höhe von 2 % (bei Verstößen gegen Art. 25, 33 und 35 DSGVO) bzw. 4 % (bei Verstößen gegen Art. 5, 13 bis 15 DSGVO) des „weltweiten“ Vorjahresumsatzes nicht zu einer abweichenden Streitwertbemessung. Selbst wenn der vom Kläger behauptete Gesamtumsatz der „Beklagtenseite“ von weltweit knapp 118 Milliarden US-Dollar im Jahr 2021 allein von der Beklagten erzielt worden wäre, entfielen auf jeden der 533 Millionen vom Scraping betroffenen Benutzer ausgehend von einer Geldbuße in Höhe von 4 % nur knapp 9 US-Dollar.
Nach zutreffender Auffassung des Oberlandesgerichts Karlsruhe ist für die Klageanträge zu 3 a) und b) auch nicht jeweils der Auffangstreitwert des § 23 Abs. 3 Satz 2 RVG (analog) von 5.000 Euro anzusetzen. Auf diesen Wert ist nur zurückzugreifen, wenn - anders als hier - nicht genügend Anhaltspunkte für eine Streitwertbemessung bestehen (vgl. auch OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16 mwN; siehe hingegen OLG Stuttgart, Beschluss vom 03.01.2023 - 4 AR 4/22, Anlage SW2 S. 7 f., GA 598 [juris Rn. 27 f.]).
Vor diesem Hintergrund hält es der Senat für angemessen, den mit dem Klageantrag Ziffer 3 gestellten Unterlassungsanträgen einen Streitwert von insgesamt 4.000 Euro beizumessen (ebenso u.a. OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 16 mwN; LG Köln, Urteil vom 31.05.2023 - 28 O 138/22, juris Rn. 60 f.; LG Detmold, Urteil vom 28.04.2023 - 2 O 184/22, GRUR-RS 2023, 14599 Rn. 45).
4. Entgegen der Auffassung der Beschwerdeführer ist der auf Auskunft über die von der Beklagten verarbeiteten personenbezogenen Daten des Klägers gerichtete Klageantrag zu 4 mit 500 Euro gleichfalls angemessen bewertet (vgl. auch OLG Karlsruhe, Beschluss vom 05.07.2023 - 10 W 5/23, juris Rn. 17). Soweit das Oberlandesgericht Dresden in der vom Kläger in Bezug genommenen Entscheidung vom 28.09.2022 von einem Streitwert zwischen 1.000 Euro und 5.000 Euro ausgegangen ist (Az. 17 AR 36/22, Anlage SW2 S. 5, GA 590 [juris Rn. 8]), betrifft die von diesem in Bezug genommene Entscheidung des Oberlandesgerichts Köln (Beschluss vom 25.07.2019 - 20 W 10/18) eine Datenauskunftsklage gemäß Art. 15 DSGVO, die nach der Vorstellung des dortigen Klägers einem wirtschaftlichen Ziel, nämlich der erleichterten Durchsetzung weiterer Klageanträge, dienen sollte, und die mit 5.000 Euro bewertet wurde (vgl. OLG Köln, Beschluss vom 03.09.2019 - 20 W 10/18, juris Rn. 4). Vorliegend ist ein über den bezifferten Klageantrag zu 1 hinausgehendes wirtschaftliches Interesse an den begehrten Auskünften nicht dargetan und auch nicht ersichtlich (vgl. auch OLG Stuttgart, Beschluss vom 03.01.2023 - 4 AR 4/22, Anlage SW2 S. 8, GA 599 [juris Rn. 30]).
5. Der auf Abmahnkostenersatz gerichtete Klageantrag zu 5 wirkt sich gemäß § 43 Abs. 1 GKG bzw. § 49 Abs. 1 Satz 1 GKG i.V.m. § 4 Abs. 1 ZPO nicht streitwerterhöhend aus.
6. Insgesamt besteht daher kein Anlass, den vom Landgericht auf 6.500 Euro festgesetzten Streitwert heraufzusetzen. Vielmehr ist der Wert auf 6.000 Euro herabzusetzen. Wegen der Möglichkeit, die erstinstanzliche Festsetzung von Amts wegen zu ändern (§ 63 Abs. Satz 1 Nr. 2 GKG), besteht bei Streitwertbeschwerden kein Verschlechterungsverbot (sog. Verbot der reformatio in peius, vgl. z.B. OLG Frankfurt am Main, Beschluss vom 13.10.2014 - 10 W 48/14, juris Rn. 1; OLG Stuttgart, Beschluss vom 09.10.2019 - 6W 47/19, NJW-RR 2020, 255 Rn. 26; OLG München, Beschluss vom 14.07.2020 - 25 W 587/20, juris Rn. 5, OVG Lüneburg, Beschluss vom 04.02.2008 - 5 OA 185/07, NVwZ-RR 2008, 431; Laube in: BeckOK Kostenrecht, 41. Edition, Stand: 01.04.2023, § 68 Rn. 161 mwN).
