Landgericht Hamburg Urteil vom 03.01.2023 – 322 O 112/22

Orientierungssatz

Der Nutzer einer Internetplattform weiß, dass seine Daten von ihm öffentlich gestellt werden. Dadurch ist er damit einverstanden, dass jedermann darauf Zugriff nimmt.(Rn.26)

Verfahrensgang

anhängig Hanseatisches Oberlandesgericht Hamburg, kein Datum verfügbar, 5 U 13/23

1. Die Klage wird abgewiesen.

2. Der Kläger hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist vorläufig vollstreckbar. Der Kläger kann die Vollstreckung der Beklagten durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110 % des zu vollstreckenden Betrags leistet.

4. Der Streitwert wird auf 2.500,00 € festgesetzt.

Die Beklagte betreibt die Internetplattform F.. Der Kläger macht Ansprüche geltend, weil dort seine Daten „gescrapt“ worden seien.

Um das Jahr 2019 wurden durch Dritte von ca. 530.000.000 F.-Nutzern die personenbezogenen und öffentlich zugänglichen Daten aus dem Datenbestand von F. „gescrapt“, d.h. sie wurden bei F. automatisiert massenhaft ausgelesen. Den Umständen nach wurden von den Dritten zunächst die Telefonnummern der Nutzer ihren F.-Profilen durch Ausprobieren zugeordnet, und zwar mittels des F.-Tools Kontakt-Importeur CIT, mit welchem ein Nutzer ermitteln kann, welche von seinen auf seinem Smartphone gespeicherten Kontakten ein F.-Profil haben. Der jeweilige Profilinhaber hätte dies verhindern können, wenn er eingegeben hätte, dass er nicht von der Öffentlichkeit anhand einer Telefonnummer gefunden werden möchte.

Der Kläger macht geltend, er habe einen Account bei F. gehabt. Wenn die Beklagte dies nicht verifizieren könne, liege dies daran, dass der Kläger seinen Account zwischenzeitlich gelöscht habe.

Vom Kläger seien durch die Dritten Daten wie Telefonnummer, Name, Wohnort und Mailadresse gescrapt worden.

Die gescrapten Daten - auch diejenigen des Klägers – seien im Internet auf Seiten veröffentlicht worden, die illegale Aktivitäten begünstigen sollten, zum Beispiel auf der Seite raidforums.com. Das berge für den Kläger die Gefahr, Opfer von Straftaten zu werden. Jedenfalls sei der Kläger durch den Kontrollverlust beeinträchtigt.

Die Maßnahmen der Beklagten gegen ein Scrapen seien damals unzureichend gewesen. Die Beklagte habe durch unklare Gestaltung ihrer Internetseite die Nutzer davon abgehalten, die erforderlichen Sicherheitseinstellungen vorzunehmen. Die Option, nicht von der Öffentlichkeit anhand der Telefonnummer gefunden zu werden, sei bei F. schwer zu finden gewesen. Hinzu komme, dass der Nutzer nicht darauf hingewiesen worden sei, dass eine Deaktivierung der Synchronisation im F.-Messenger sich nicht auch auf F. auswirke.

Die Beklagte hat keine Capchas verwendet um sicherzustellen, dass die Anfragen von Menschen und nicht durch Roboter stammen.

Die Beklagte habe keinen Mechanismus zur Überprüfung der Plausibilität der Anfragen bereitgehalten, etwa indem ungewöhnlich viele Anfragen derselben IP-Adresse auf einmal geblockt werden oder Adressbücher mit auffälligen Telefonnummernfolgen (zum Beispiel 000001, 000002) automatisch abgelehnt werden.

Das verstoße gegen die Pflicht der Beklagten, dass nur ein möglichst kleiner Personenkreis Zugriff auf die Personendaten haben soll.

Die Beklagte habe gegen die Pflicht verstoßen, den Kläger und die Aufsichtsbehörde unverzüglich zu informieren.

Der Kläger beantragt:

1. Die Beklagte wird verurteilt, an die Klägerseite immateriellen Schadensersatz in angemessener Höhe zu zahlen, dessen Höhe in das pflichtgemäße Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.

2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klägerseite alle künftigen Schäden zu ersetzen, die der Klägerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a. personenbezogenen Daten der Klägerseite, namentlich Telefonnummer, F.ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern,

b. die Telefonnummer der Klägerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert und, im Falle der Nutzung der F.-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird.

4. Die Beklagte wird verurteilt der Klägerseite Auskunft über die Klägerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten.

5. Die Beklagte wird verurteilt, an die Klägerseite vorgerichtliche Rechtsanwaltskosten in Höhe von 354,62 € zu zahlen zuzüglich Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.

Die Beklagte beantragt,

die Klage abzuweisen.

Die Beklagte macht geltend, die Klage sei unzulässig, weil die Anträge teils unbestimmt seien und teils das Feststellungsinteresse fehle. Auch im Übrigen tritt sie dem Klagevortrag entgegen.

Zur Ergänzung des Tatbestands wird auf die bis zum Schluss der mündlichen Verhandlung eingegangenen Schriftsätze der Parteien nebst Anlagen Bezug genommen.

Die Klage ist zulässig. Die Klaganträge sind hinreichend bestimmt. Eine streitwertmäßige Unzuständigkeit wurde nicht gerügt. Ein Feststellungsinteresse ist nach der BGH-Rechtsprechung nur für im Übrigen begründete Klagen erforderlich.

Die Klage ist jedoch unbegründet. Der Kläger hat keinen der mit den Klaganträgen geltend gemachten Ansprüche, insbesondere nicht aus den §§ 1004, 823 Abs. 1, 823 Abs. 2 BGB i.Vm. DSGVO.

A.

Die geltend gemachten Ansprüche des Klägers scheitert bereits daran, dass der Kläger keinen Beweis dafür angetreten hat, dass er zur fraglichen Zeit einen Account bei der Beklagten hatte, so dass nicht sicher ist, dass er vom Scraping betroffen war. Ob dies daran liegt, dass der Kläger seinen Account gelöscht haben will, kann dahinstehen, da der Kläger auch für das Löschen keinen Beweis angetreten hat.

B.

Die Ansprüche des Klägers scheitern darüber hinaus auch bereits daran, dass ein überwiegendes Mitverschulden des Klägers vorliegt. Der Kläger wusste, dass seine Daten von ihm öffentlich gestellt worden waren. Dadurch war der Kläger damit einverstanden, dass jedermann darauf Zugriff nahm. Zwar sahen die Nutzungsbedingungen von F. ein Verbot des Scrapens vor. Das diente jedoch nicht dem Schutz gerade des Klägers. Ob der Dritte neben dem Zugriff auf Daten des Klägers auch auf Daten weiterer F.-Nutzer zugriff, war für eine Beeinträchtigung der Interessen des Klägers einerlei. Der Effekt für den Kläger wäre der gleiche, wenn der Dritte ausschließlich auf die Daten des Klägers zugegriffen hätte. Wenn der Kläger seine Daten vor Dritten hätte schützen wollen, so hätte er dies tun können. Er hat jedoch keinerlei diesbezügliche Anstrengungen seinerseits vorgetragen, so dass es unerheblich ist, ob die diesbezüglichen Optionen leicht oder schwer zu finden waren.

C.

Der Unterlassungsanspruch des Klägers scheitert darüber hinaus auch bereits daran, dass es jedenfalls an einer Wiederholungsgefahr fehlt, weil der Kläger seinem Vortrag nach seinen Account bei F. gelöscht hat, so dass eine Wiederholung gar nicht möglich ist.

D.

Der Auskunftsanspruch des Klägers scheitert darüber hinaus auch daran, dass der Anspruch auf eine unmögliche Leistung gerichtet ist, insoweit er auf die von den Dritten abgegriffenen Daten gerichtet ist, denn bei der Beklagten sind keine Aufzeichnungen darüber vorhanden, welche Daten des Klägers durch die Dritten abgegriffen worden sind. Insoweit der Auskunftsantrag gerichtet ist auf „Daten, welche die Beklagte verarbeitet“, ist der Antrag schon deshalb unbegründet, weil die Beklagte keine Daten des Klägers mehr verarbeitet, weil der Kläger seinen Account gelöscht hat.

E.

Die Nebenentscheidungen beruhen auf den §§ 91, 708 Nr. 11, 711 ZPO.

Der Streitwert in Höhe von 2.500 € berechnet sich wie folgt.

Der Streitwert des Klagantrags zu 1 beträgt 1.000 €.

Der Streitwert des Klagantrags zu 2 beträgt 1.000 € angesichts des Umstands, dass die befürchteten Gefahren bislang nicht eingetreten sind, obwohl bereits ein erheblicher Zeitraum vergangen ist, und angesichts des Umstands, dass die Gefahr eines Datenmissbrauchs für die Zukunft immer geringer wird durch das stetig zunehmende Veralten von Daten.

Der Streitwert des Klageantrags zu 3 beträgt 500 € angesichts des Umstands, dass der Kläger seinen Account bei der Beklagten gelöscht haben will, so dass das Interesse an der Unterlassung für die Zukunft nur gering zu bewerten ist.

Der Streitwert des Klageantrags zu 4 ist wegen insoweit bestehender wirtschaftlicher Identität im Wert der Klaganträge zu 1-3 bereits mit enthalten und deshalb ohne zusätzlichen Wert.

Der Klagantrag zu 5 hat als Nebenforderung keinen eigenen Wert.