Landgericht Limburg a.d. Lahn Urteil vom 14.04.2023 – 1 O 171/22

Verfahrensgang

nachgehend OLG Frankfurt, 6 U 68/23

1. Die Klage wird abgewiesen.

2. Die Kosten des Rechtsstreits hat der Kläger zu tragen.

3. Das Urteil ist vorläufig vollstreckbar gegen Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrages.

4. Der Streitwert wird auf 11.000 € festgesetzt.

Der Kläger macht Ansprüche wegen behaupteter Verstöße gegen die Datenschutzgrundverordnung (DSGVO) geltend. Er ist Nutzer der Plattform; die Beklagte ist Betreiberin der Webseite und der Dienste auf dieser Seite auf dem Gebiet der Europäischen Union.

Im Rahmen der Registrierung gab der Kläger seinen Vornamen, Nachnamen, Handynummer, Geburtsdatum und Geschlecht an. Auf der Registrierungsseite fand sich folgender Passus: „Indem du auf Registrieren klickst, … stimmst du unseren Nutzungsbedingungen zu. In unserer Datenrichtlinie erfährst du, wie wir deine Daten erfassen, verwenden und teilen“. Für die weiteren Einzelheiten wird auf die Registrierungsabbildung (Bl. 6 Rs. d.A.) Bezug genommen.

Die Datenrichtlinie enthält u.a. Angaben dazu, welche der vom Nutzer erteilten Informationen immer öffentlich zugänglich sind - nämlich Name, Profil- und Titelbilder, Netzwerke, Geschlecht, Nutzername und Nutzer-ID - und die Angabe, dass öffentlich zugängliche Informationen jeder, also auch Personen von außerhalb der Plattform der Beklagten, sehen kann.

Die Beklagte lieferte den Nutzern ihrer Plattform im relevanten Zeitraum Erklärungen, was öffentliche Informationen sind und welche Informationen öffentlich sind, wie der Nutzer festlegen kann, wer die von ihm über die öffentlichen Informationen hinaus bereitgestellten Informationen sehen kann (sog. Zielgruppenauswahl) und wer ihn anhand seiner E-Mail-Adresse oder seiner Telefonnummer, sofern er E-Mail-Adresse bzw. Telefonnummer auf der Plattform bereitgestellt hat, finden kann (sog. Suchbarkeits-Einstellungen). Traf der Nutzer keine Zielgruppenauswahl, richtete sich die Zugänglichkeit seiner über die öffentlichen Informationen hinausgehenden Informationen nach der Standardeinstellung, wonach „Freunde des Nutzers“ die weiteren Informationen einsehen konnten. Passte der Nutzer die Suchbarkeits-Einstellungen nicht an, sah die Standardeinstellung vor, dass alle Personen, die über die E-Mail-Adresse oder die Telefonnummer des Nutzers verfügten, das Profil des Nutzers, sofern dieser E-Mail-Adresse bzw. Telefonnummer bereitgestellt hatte, finden konnten. Der Kläger hatte zum Zeitpunkt des Scraping-Vorfalles bei den Suchbarkeitseinstellungen keine Änderung vorgenommen, sodass die Standardeinstellung aktiv war.

In der Zeit von Januar 2018 bis September 2019 sammelten Dritte unter Nutzung automatisierter Verfahren eine Vielzahl der auf der Plattform der Beklagten verfügbaren öffentlichen Informationen (sog. Scraping). Darüber hinaus erstellten die Scraper Listen mit möglichen Telefonnummern und luden diese in den Kontakt-Importer der Plattform hoch, um festzustellen, ob die hochgeladenen Telefonnummern mit einem Konto eines Nutzers verbunden sind. Der Kontakt-Importer gab, sofern eine der hochgeladenen Telefonnummern mit dem Konto eines Nutzers, der seine Telefonnummer bereitgestellt und die Standard-Suchbarkeits-Einstellungen nicht geändert hatte, verknüpft war, diese Information, also den Umstand der Verknüpfung von Telefonnummer und Kon-to, an die Scraper. Die Scraper fügten sodann den öffentlich zugänglichen Informationen aus dem betreffenden Profil des Nutzers die mit dem Konto verknüpfte Telefonnummer hinzu.

Im April 2021 wurden die gescrapten Datensätze von rund 533 Mio. Nutzern sowie die mit diesen Datensätzen verknüpften Telefonnummern frei zum Download bereitgestellt. Hierzu gehörten auch die immer öffentlich zugänglichen Informationen des Profils des Klägers und die mit seinem Konto verknüpfte Telefonnummer.

Mit vorgerichtlicher Email seiner Prozessbevollmächtigten vom 04.08.2021 (Anlage K1, Bl. 29 ff d.A.) forderte der Kläger die Beklagte zur Zahlung von 500,00 € Schadensersatz, zur Unterlassung zukünftiger Zugänglichmachung der klägerischen Daten und zur Auskunft darüber auf, welche konkreten Daten im April 2021 abgegriffen und veröffentlicht wurden. Mit Schreiben ihrer Prozessbevollmächtigten vom 28.10.2021 wies die Beklagte die Zahlung von Schadensersatz als auch den Unterlassungsanspruch zurück und übermittelte den Prozessbevollmächtigten des Klägers eine dezidierte Anleitung zur Einsichtnahme in seine bei der Plattform der Beklagten hinterlegten Informationen und deren Verwendung. Für die diesbezüglichen Einzelheiten wird auf die Anlage B16 (Bl. 152 ff d.A.) Bezug genommen.

Der Kläger behauptet, die Beklagte habe keinerlei Sicherheitsvorkehrungen getroffen, um ein Abgreifen seiner Daten zu verhindern. Auch habe man keine Maßnahmen getroffen, die automatisierten Nummernabfragen z.B. mittels Sicherheitscaptcha zu verhindern. Dass eine automatisierte Massenabfrage möglich war, stelle eine Sicherheitslücke dar, für die die Beklagte einzustehen habe. Es sei für einen Nutzer aufgrund des verschachtelten Aufbaus des Auftritts und sich zum Teil widersprechender Informationen nicht so einfach möglich, zu erkennen, dass bei einer Angabe der Handynummer - wie vom Kläger vorgenommen - jeder über eine Eingabe dieser Nummer als Suchkriterium auf die öffentlich einsehbaren Angaben des Nutzers auf seiner Seite gelangen könne. Hierfür habe der Kläger keine wirksame Einwilligung erteilt. Der Kläger habe einen erheblichen Kontrollverlust über seine Daten erlitten. Er leide unter großem Unwohlsein und Sorgen, da er einen Missbrauch befürchte. Er behauptet, dass nach dem Datenleck vermehrt Spam-Nachrichten und Anrufe bei ihm eingegangen seien.

Der Kläger beantragt:

1. Die Beklagte wird verurteilt, an die Klägerseite immateriellen Schadensersatz in angemessener Höhe zu zahlen, dessen Höhe in das pflichtgemäße Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.

2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klägerseite alle künftigen Schäden zu ersetzen, die der Klägerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a. personenbezogenen Daten der Klägerseite, namentlich Telefonnummer, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern,

b. die Telefonnummer der Klägerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert und, im Falle der Nutzung der Facebook-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird.

4. Die Beklagte wird verurteilt, der Klägerseite Auskunft über die Klägerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten.

5. Die Beklagte wird verurteilt, an die Klägerseite vorgerichtliche Rechtsanwaltskosten in Höhe von 887,03 € zu zahlen zuzüglich Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.

Die Beklagte beantragt,

die Klage abzuweisen.

Die Beklagte meint, das Scraping stelle keinen Datenschutzverstoß dar. Es fehle an einer Verletzung der Sicherheit, da lediglich öffentlich zugängliche Profilinformationen des Klägers abgerufen und auch keine spezifischen Sicherheitsmaßnahmen oder Zugriffsberechtigungen umgangen oder überwunden worden seien. Eine unbefugte Offenlegung oder Zugänglichmachung von klägerischen Daten sei nicht gegeben. Der Beklagten könne zudem keine Sicherheitslücke zur Last gelegt werden, da die hergestellte Verknüpfung zwischen der Telefonnummer des Klägers und seinem Nutzerkonto lediglich auf die seinerzeitige Suchbarkeitseinstellung des Klägers zurückzuführen sei. Der Kläger habe keinen immateriellen Schaden erlitten. Die Beklagte behauptet zudem, dass sie nicht imstande sei, die Empfänger der gescrapten Daten mitzuteilen. Die Beklagte ist der Auffassung, dass der Klageantrag zu 1. unzulässig, weil nicht hinreichend genug bestimmt sei. Der Feststellungsantrag (Klageantrag zu 2.) sei unzulässig, ebenso wie der Unterlassungsanspruch. Neben der bereits mit Schreiben vom 28.10.2021 erteilten Auskunft bestehe kein weiterer Auskunftsanspruch.

Wegen der weiteren Einzelheiten des Sachvortrags der Parteien wird auf die gewechselten Schriftsätze nebst Anlagen Bezug genommen.

I. Die Klage ist zulässig.

1. Die internationale Zuständigkeit deutscher Gerichte folgt aus Art. 6 Abs. 1, Art. 18 Abs. 1 Alt. 2 EuGVVO (Brüssel IaVO). Gemäß Art. 1 Abs. 1 EuGVVO ist die EuGVVO sachlich anwendbar auf Zivil- und Handelssachen. Vorliegend handelt es sich um eine Zivilsache. Die deutsche Gerichtsbarkeit folgt aus Art. 6 Abs. 1, Art. 18 Abs. 1 Alt. 2 EuGVVO. Ein ausschließlicher Gerichtstand gemäß Art. 24 EuGVVO ist nicht ersichtlich. Gemäß Art. 18 Abs. 1 Alt. 2 EuGVVO kann die Klage eines Verbrauchers gegen den anderen Vertragspartner entweder vor den Gerichten des Mitgliedstaats erhoben werden, in dessen Hoheitsgebiet dieser Vertragspartner seinen Wohnsitz hat, oder ohne Rücksicht auf den Wohnsitz des anderen Vertragspartners vor dem Gericht des Ortes, an dem der Verbraucher seinen Wohnsitz hat. Der Kläger ist gemäß Art. 17 Abs. 1 EuGVVO unzweifelhaft Verbraucher. Der Kläger hat seinen Wohnsitz im Bezirk des Landgerichts Limburg.

Die internationale Zuständigkeit deutscher Gerichte ergibt sich ferner aus Art. 79 Abs. 2 DSGVO. Danach können Klagen gegen einen Verantwortlichen oder gegen einen Auftragsverarbeiter bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat, es sei denn, es handelt sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde eines Mitgliedstaats, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. Gemäß Art. 4 Nr. 7, 8 DSGVO sind Verantwortliche natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden. Auftragverarbeitende sind natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. Die Beklagte ist Verantwortliche im Sinne dieser Normen.

2. Die Klageanträge sind hinreichend bestimmt und zulässig.

Der Klageantrag zu 1. ist - entgegen der Ansicht der Beklagten - hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO. Grundsätzlich ist ein Klageantrag hinreichend bestimmt, wenn er den erhobenen Anspruch durch Bezifferung oder gegenständliche Beschreibung so konkret bezeichnet, dass der Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 ZPO) klar abgegrenzt ist, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennbar sind, das Risiko des (eventuellen teilweisen) Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abgewälzt und eine etwaige Zwangsvollstreckung nicht mit einer Fortsetzung des Streits im Vollstreckungsverfahren belastet wird. Der Klageantrag ist der Auslegung zugänglich, wobei dafür auch die Klagebegründung heranzuziehen ist (vgl. Zöller/Greger, ZPO, 33. Aufl. (2020), § 253 Rn. 13 m.w.N.). Aus der Klagebegründung ergibt sich, dass der Zahlungsantrag sich auf einen zusammenhängenden, wenngleich über einen längeren Zeitraum erstreckenden, aber in sich abgeschlossenen Lebenssachverhalt stützt. Von der Anmeldung des Klägers auf der Plattform der Beklagten bis zu dem Abgriff einiger persönlicher Daten des Klägers (Scraping) bzw. der möglicherweise nicht ausreichenden Benachrichtigung der betroffenen Nutzer.

Entsprechend ist auch der Feststellungsantrag zu Ziff. 2. hinreichend bestimmt.

Auch der Klageantrag zu Ziffer 3. ist - entgegen der Ansicht der Beklagten - zulässig. Das Unterlassungsbegehren im Hinblick auf die Zugänglichmachung personenbezogener Daten des Klägers, insbesondere der Telefonnummer, ist hinreichend bestimmt. Bei der gebotenen Berücksichtigung der Klagebegründung steht auch die konkrete Datenverarbeitung, auf die sich der Kläger bezieht, fest. Der Kläger vertritt die Ansicht, dass die Veröffentlichung seiner - nicht bereits auf seiner Seite für Jedermann einsehbaren - personenbezogenen Daten, insbesondere der Telefonnummer, nicht durch eine wirksame Einwilligung gedeckt sei.

II. Die Klage ist jedoch nicht begründet.

1. Der Kläger hat keinen Anspruch auf immateriellen Schadenersatz. Ein Anspruch gegen die Beklagte ergibt sich weder aus Art. 82 DSGVO noch aus sonstigen Vorschriften.

Dem Kläger ist es nicht gelungen, den Eintritt eines (eigenen) Schadens als überwiegend wahrscheinlich (§ 287 ZPO) nachzuweisen. Nach dem ausdrücklichen Wortlaut der Vorschrift muss der Schaden „erlitten“ werden, woraus sich ergibt, dass dieser tatsächlich entstanden sein muss und nicht lediglich befürchtet wird (so auch OLG Frankfurt a. M. GRUR-RS 2022, 4491, Rn. 55 ff.). Zwar ist der Begriff des Schadens nach dem Erwägungsgrund 146 S. 3 weit auszulegen, sodass die Betroffenen einen wirksamen Ersatz bekommen; nach Auffassung der Kammer reicht jedoch ein bloßer Verstoß gegen Vorschriften der DSGVO nicht aus, um (immateriellen) Schadensersatz verlangen zu können. Es bedarf vielmehr der Darlegung eines konkreten (auch immateriellen) Schadens (vgl. auch OLG Frankfurt a. M. aaO.). Allerdings ist es nicht erforderlich, dass der eingetretene Schaden erheblich ist; mithin sind auch Bagatellschäden ersatzfähig.

Das Vorliegen eines konkreten, immateriellen Schadens, wozu auch Ängste, Sorgen, Stress sowie Komfort- und Zeiteinbußen zählen, hat der Kläger nicht hinreichend dargetan. Er hat zwar ausführen lassen, dass er einen erheblichen Kontrollverlust über seine Daten erlitten habe und deshalb unter großem Unwohlsein und Sorgen leide sowie einen Missbrauch befürchte; nach dem Datenleck seien vermehrt Spam-Nachrichten und Spam-Anrufe eingegangen. Diese Angaben sind – hierauf hat die Beklagtenseite hingewiesen – völlig unsubstantiiert.

Dass der Kläger unter den von ihm beschriebenen Ängsten und Sorgen tatsächlich leidet, ist auf dieser Grundlage nicht festzustellen. Dagegen spricht bereits der Umstand, dass es sich bei den gescrapten Daten des Klägers - mit Ausnahme der Mobilfunknummer - um Daten handelt, die immer auf der Seite öffentlich sind. Es ist diesen Daten immanent, dass sie jedem jederzeit zugänglich zu sind. Auf diesen Umstand weist die Beklagte ihre Nutzer auch ausdrücklich hin, sodass es für die Kammer nicht nachvollziehbar ist, weshalb eine „weitere Veröffentlichung“ dieser Daten, bei dem Kläger zu einem unguten Gefühl geführt haben sollte. Dagegen spricht weiterhin der Umstand, dass es sich offensichtlich um eine standardisierte Klageschrift handelt, die für eine Vielzahl von betroffenen Nutzern eingereicht wird. So ist beispielsweise vorgetragen, dass sich der Kläger aufgrund des Vorfalls mit betrügerischen E-Mails auseinandersetzen müsse, obwohl die E-Mailadresse gar nicht gescrapt worden sein kann, weil der Kläger sie – unstreitig – nicht angegeben hat. Ebenso kann die Kammer keinen konkreten immateriellen Schaden aus der Veröffentlichung der Mobilfunknummer ersehen. Erhebliche Zweifel an dem in der Klageschrift vorgetragenen Gemütszustand des Klägers ergeben sich bereits daraus, dass der Kläger die Mobilfunknummer angab, ohne von den auf der Website der Beklagten - leicht auffindbar - bereitgestellten Einschränkungsmöglichkeiten bezüglich der Suchbarkeitskriterien zu machen. Der klägerische Vortrag ist nicht hinreichend substantiiert und individualisiert, um den angeblichen immateriellen Schaden nachvollziehbar erscheinen zu lassen. Es ist weder vorgetragen noch ersichtlich, welche kriminellen oder auch nur lästigen Handlungen Dritte mit der Kombination aus immer öffentlich zugänglichen Daten des Nutzers (Name, Profil- und Titelbilder, Netzwerke, Geschlecht, Nutzername und Nutzer-ID) und der Handynummer begehen sollten. Diese Daten gehen nicht über einen bloßen „Telefonbucheintrag“ hinaus. Ein diffuses Bedrohungsgefühl vermag ohne nachvollziehbare Tatsachengrundlage keinen immateriellen Schaden zu begründen.

Die Behauptung, der Kläger habe seit April 2021 vermehrt Spam-Anrufe und Spam-Nachrichten erhalten, genügt ebenfalls nicht. Der Erhalt solcher Nachrichten gehört in der heutigen digitalisierten Welt zum allgemeinen Lebensrisiko, insbesondere dann, wenn man durch Unterhaltung eines Accounts oder durch Teilnahme an anderen sog. sozialen Netzwerken freigiebig seine personenbezogenen Daten ins Internet stellt. Angebliche Spam-Mails und Spam-Nachrichten können damit genauso von Personen stammen, die legal durch Teilnahme an einem sozialen Netzwerk an E-Mail-Adresse und Telefonnummer des Klägers gelangt sind.

Aufgrund der vorgenannten Ausführungen kam es auf die Frage, ob und inwieweit die Beklagte gegen die DSGVO verstoßen hat, nicht an. Insbesondere ist es insoweit nicht von Belang, dass die für die Beklagte zuständige (irische) Datenschutzbehörde - wie der Kläger in der Klagereplik vom 08.12.2022 (Bl. 213 d.A.) vorträgt - im November 2022 wegen des 533 Mio. Datensätze betreffenden Scrapings eine Geldbuße i.H.v. 265 Mio. EUR gegen die Beklagte verhängt hat.

2. Die Klage auf Feststellung einer Ersatzpflicht für künftige Schäden ist mangels Vorliegens eines künftigen Schadens unbegründet.

Es ist weder vorgetragen noch ersichtlich, dass dem Kläger aufgrund der von den Scrapern destillierten Kombination aus immer öffentlich zugänglichen Daten (Name, Profil- und Titelbilder, Netzwerke, Geschlecht, Nutzername und Nutzer-ID) und der Handynummer irgendwelche materiellen künftigen Schäden überhaupt entstehen können.

3. Der Kläger hat auch keinen Unterlassungsanspruch gegen die Beklagte gemäß §§ 1004 analog, 823 Abs. 2 BGB i.V.m. Art. 6 Abs. 1 sowie Art. 17 DSGVO (Klageantrag zu Ziff. 5.). Eine Zuwiderhandlung ist jedenfalls für die Zukunft nicht mehr zu befürchten.

Es ist unstreitig, dass die Beklagte das Kontaktimporttool als Reaktion auf den Scraping-Sachverhalt jedenfalls insofern nicht mehr bereitstellt, als jedermann unter bloßer Eingabe einer Telefonnummer Zugriff auf das öffentlich einsehbare Profil des Nutzers erhält. Eine - grundsätzlich durch einen einmaligen Verstoß indizierte - Wiederholungsgefahr ist somit widerlegt. Zudem liegt es jederzeit in der Hand des Klägers, die Suchbarkeitskriterien in den Einstellungen zu verändern. Dass die Beklagte entgegen der von einem Nutzer getroffenen Einstellungen Telefonnummern freigibt oder anderweitig nutzt, hat der Kläger schon nicht behauptet.

4. Der Kläger hat auch keinen Anspruch auf eine weitergehende Auskunft gemäß Art. 15 DSGVO.

Die Beklagte hat dem Kläger mit Schreiben vom 18.07.2022 in angemessener Weise Auskunft über die von ihr verarbeiteten Daten erteilt hat. Es ist nicht ersichtlich, dass neben den immer öffentlich einsehbaren Daten und der Handynummer des Klägers weitere Daten von dem Scraping-Vorgang betroffen sein können. Der Kläger trägt nicht vor, dass er die Suchbarkeitsfunktion um andere Kriterien als die Handynummer erweitert hätte. Es ist aber nicht ersichtlich, dass Daten gescrapt wurden, die nicht öffentlich einsehbar und/oder von den Suchbarkeitskriterien umfasst waren. Dann würde es sich um einen Hacker-Angriff handeln, der weder ersichtlich ist noch vom Kläger vorgetragen wird.

5. Mangels eines Anspruchs in der Hauptsache hat der Kläger auch keinen Anspruch auf Zahlung vorgerichtlicher Anwaltskosten bzw. Zahlung von Rechtshängigkeitszinsen.

III. Die Kostenentscheidung folgt aus § 91 Abs. 1 S. 1 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit richtet sich nach §§ 708 Nr. 11, 711 ZPO.

Die Streitwertfestsetzung folgt aus § 3 ZPO.