Schleswig-Holsteinisches Oberlandesgericht Urteil vom 27.03.2025 – 5 U 52/23

Orientierungssatz

Bei einem sogenannten Scraping-Vorfall kommt es nicht auf den Zeitpunkt der Registrierung eines Nutzerkontos im sozialen Netzwerk an; entscheidend ist der Zeitpunkt des Scraping-Vorfalls selbst. Kann angesichts des wechselhaften Vortrags der betroffenen Person nur ein Zeitraum von Januar 2018 bis September 2019 festgestellt werden, scheidet ein datenschutzrechtlicher Anspruch (ab 25. Mai 2018) aus.(Rn.22)

Verfahrensgang

vorgehend LG Itzehoe, 27. Februar 2023, 10 O 159/22, Urteil

Die Berufung des Klägers gegen das Urteil des Einzelrichters der 10. Zivilkammer des Landgerichts Itzehoe vom 27. Februar 2023 wird zurückgewiesen.

Der Kläger trägt die Kosten des Berufungsverfahrens.

Das Urteil ist vorläufig vollstreckbar. Das in Ziffer 1 genannte Urteil des Landgerichts Itzehoe ist ohne Sicherheitsleistung vorläufig vollstreckbar.

I.

Die Parteien streiten um Schadensersatz, Unterlassungs-, Feststellungs- und Auskunftsansprüche aus einem Scraping-Vorfall auf der Plattform der Beklagten, der im April 2021 bekannt wurde.

Bei diesem Vorfall wurden Mobiltelefonnummer, Name, Facebook-ID, Geschlecht, Beziehungsstatus und Arbeitgeber des Klägers (im Folgenden: klägerische Partei) erlangt und - so sein Vortrag - in einem „Hacker-Forum" veröffentlicht, wobei es unstreitig ist, dass die Telefonnummer nicht im eigentlichen Sinne „gescrapt", sondern von den Scrapern als randomisierte Nummernfolge in das sogenannte Contact Import Tool (CIT) eingepflegt und dann bei Auffinden des Profils der klägerischen Partei ihrem Namen und den sonstigen dort vorhandenen Daten nur zugeordnet wurde.

Das Landgericht hat im Tatbestand festgestellt, dass sich der Scraping-Vorfall zu einem unbekannten Zeitpunkt im Zeitraum Januar 2018 bis September 2019 abgespielt hat. Wegen der weiteren Einzelheiten des Sach- und Streitstandes sowie der erstinstanzlichen Sachanträge wird auf die tatbestandlichen Feststellungen des angegriffenen Urteils Bezug genommen.

Das Landgericht hat die Klage abgewiesen. Hiergegen richtet sich die Berufung der klägerischen Partei.

Der Kläger beantragt:

Es wird unter Aufhebung des am 28.02.2023 zugestellten Urteils des Landgerichts Itzehoe (10 O 159/22) beantragt, wie folgt zu erkennen:

1. Die Beklagte wird verurteilt, an die Klägerseite immateriellen Schadensersatz in angemessener Höhe zu zahlen, dessen Höhe in das pflichtgemäße Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.

2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klägerseite alle künftigen Schäden zu ersetzen, die der Klägerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.

3. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,

a. eine Verarbeitung personenbezogener Daten der Klägerseite, namentlich Telefonnummer, Facebook-ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt und Beziehungsstatus, über die Eingabe der Telefonnummer der Klägerseite in das Kontakt-Import-Tool und die darüber hergestellt Verknüpfung der eingegebenen Telefonnummer mit weiteren öffentlichen personenbezogenen Daten des Nutzerprofils der Klägerseite zu ermöglichen, ohne dass die Beklagte zum Zeitpunkt der Verwendung des Kontakt-Import-Tools unter Eingabe der Telefonnummer Sicherheitsmaßnahmen in Form einer Implementierung von Sicherheits-CAPTCHAs und der Überprüfung massenhafter IP-Abfragen oder vergleichbaren Sicherheitsmaßnahmen vorgehalten hat,

b. die Telefonnummer der Klägerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert und, im Falle der Nutzung der Facebook-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird.

5. Die Beklagte wird verurteilt, an die Klägerseite vorgerichtliche Rechtsanwaltskosten in Höhe von 887,03 € zu zahlen zuzüglich Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.

Den vormaligen Antrag zu 4. (Auskunftsantrag) hat die klägerische Partei zurückgenommen.

Die Beklagte beantragt:

Die Berufung als teilweise unzulässig zu verwerfen, jedenfalls aber vollumfänglich zurückzuweisen.

Hinsichtlich der weiteren Einzelheiten des Sach- und Streitstandes in der Berufungsinstanz wird auf die von den Parteien gewechselten Schriftsätze nebst Anlagen verwiesen.

II.

Die zulässige Berufung der klägerischen Partei hat in der Sache keinen Erfolg. Dem Kläger stehen die geltend gemachten Ansprüche aus der DSGVO gegen die Beklagte nicht zu.

1.

Der klägerischen Partei steht der mit den Anträgen zu 1. und 2. geltend gemachte Anspruch auf Schadensersatz aus Art. 82 DSGVO nicht zu, weil nach dem in der Berufungsinstanz zugrunde zu legenden Sachverhalt nicht feststeht, dass der zeitliche Anwendungsbereich der DSGVO eröffnet ist.

Hinsichtlich der zeitlichen Anwendbarkeit ist nicht der Zeitpunkt der Registrierung eines Nutzerkontos im sozialen Netzwerk der Beklagten maßgeblich, sondern der Zeitpunkt des Scraping-Vorfalls. Dass sich dieser zu einem Zeitpunkt ereignet hat, zu dem die DSGVO gilt, steht nicht fest. Die DSGVO ist nach ihrem Art. 99 Abs. 2 zum 25. Mai 2018 in Kraft getreten.

Das Landgericht hat im Tatbestand des angefochtenen Urteils festgestellt, dass sich der Scraping-Vorfall im Zeitraum Januar 2018 bis September 2019 ereignet hat (§ 314 ZPO). Ernstliche Zweifel an der Richtigkeit oder Vollständigkeit dieser Feststellung bestehen nicht (§ 529 Abs. 1 ZPO).

Im Ausgangspunkt bestehen allerdings Zweifel an der Richtigkeit der Feststellung, denn entgegen der tatbestandlichen Feststellung des Landgerichts war in erster Instanz unstreitig, dass die Daten im Jahr 2019 gescrapt worden sind. Das hat klägerische Partei in der Klage behauptet. Die Beklagte hat es in erster Instanz nicht hinreichend bestritten. Sie nennt zwar in der Klageerwiderung (Seite 11 Rn. 24) den Zeitraum von Januar 2018 bis September 2019. An dieser Stelle erläutert sie aber, wie das Facebook-Profil in dem angegebenen Zeitraum eingestellt war. Ergänzend führt sie an, dass sich das Scraping innerhalb dieses Zeitraums, in dem das Facebook-Profil in der dort beschriebenen Weise eingestellt war, ereignet habe. Damit bestreitet sie den von der klägerischen Partei behaupteten Zeitraum nicht, sondern greift ihn auf. Zugleich hat sie die Behauptung der klägerischen Partei mit der in der Klageerwiderung vorgelegten Pressemitteilung Anlage B 10 (auch anrufbar unter: https://about.fb.com/de/news/2021/04/die-fakten-zu-medienberichten-ueber-facebook-daten/), in der es heißt, „aufgrund der von uns ergriffenen Maßnahmen sind wir zuversichtlich, dass das spezifische Problem, das ihnen das Scrapen dieser Daten im Jahr 2019 ermöglichte, nicht mehr besteht“ sowie „als uns bewusst wurde, wie böswillige Akteure diese Funktion im Jahr 2019 nutzten, haben wir Änderungen am Kontakt-Importer vorgenommen“, unstreitig gestellt. Überdies hat sie sowohl vorgerichtlich in der Auskunft an die klägerische Partei (Anlage KGR 5) angegeben, dass die Daten im Zeitraum „bis September 2019“ erlangt worden seien, als auch in erster Instanz diese Behauptung wiederholt.

Diese Zweifel sind allerdings angesichts des Vortrags der klägerischen Partei in der Berufungsinstanz nicht aufrechtzuerhalten. Die klägerische Partei nimmt die tatbestandliche Feststellung des angefochtenen Urteils auf und behauptet in der Berufungsinstanz, es sei „im Zeitraum von Januar 2018 bis September 2019 ...  zu einem sogenannten „Datenscraping“ gekommen (Berufungsbegründung Seite 6 - eA 56). Sie stellt die tatbestandliche Feststellung also gleichsam im Nachhinein richtig. Dass sie, nachdem sie die rechtliche Relevanz dieser Behauptung erkannt hat, wieder von ihr abrücken will (Schriftsatz vom 12. März 2025 Seite 16 - eA 334), ändert nichts daran, dass sich angesichts ihres changierenden Vortrags keine ernstlichen Zweifel an der Richtigkeit und Vollständigkeit der tatbestandlichen Feststellung des landgerichtlichen Urteils mehr ergeben. Nur ergänzend ist darauf hinzuweisen, dass nicht die Beklagte, sondern die klägerische Partei selbst den Scraping-Vorfall auf den im Januar 2018 beginnenden Zeitraum datiert hat.

2.

Der klägerischen Partei stehen auch die mit dem Antrag zu 3. geltend gemachten Unterlassungsansprüche nicht zu.

Der Anspruch ergibt sich zwar aus dem zwischen den Parteien bestehenden Nutzungsvertrag und nicht aus der DSGVO. Des Weiteren ist die Beklagte auch verpflichtet, die zum Zeitpunkt des Schlusses der mündlichen Verhandlung geltenden Vorschriften zur Datenminimierung der DSGVO einzuhalten. Auch ein vertraglicher Unterlassungsanspruch setzt aber voraus, dass (weitere) Beeinträchtigungen zu besorgen sind (vgl. § 1004 Abs. 1 Satz 2 BGB). Daran fehlt es vorliegend. Nach dem Vorstehenden steht nicht fest, dass die DSGVO galt, als die Daten gescrapt wurden, dass die Beklagte also gegen Vorgaben der DSGVO verstoßen hat. Überdies hat sie Dateneingabe und Datenschutz gänzlich neu gestaltet.

3.

Die Kostenentscheidung folgt aus § 91 Abs. 1 ZPO, die Entscheidung zur vorläufigen Vollstreckbarkeit aus § 708 Nr. 10, § 713 ZPO.

Die Revision ist nicht zuzulassen. Die prozessualen Fragen sind geklärt, der Rechtsstreit hat seinen Schwerpunkt im Tatsächlichen.