Amtsgericht Bernau Urteil vom 16.09.2024 – 10 C 612/23

Die Klage wird abgewiesen.

Die Kosten des Rechtsstreits trägt der Kläger.

Das Urteil ist vorläufig vollstreckbar. Der Kläger kann die Zwangsvollstreckung der Gegenseite durch Sicherheitsleistung in Höhe des jeweils zu vollstreckenden Betrages abwenden, wenn nicht die Gegenseite vor der Vollstreckung Sicherheit in gleicher Höhe leistet.

Der Streitwert beträgt 3.500.- €.

Die Parteien streiten über Ansprüche auf Schadensersatz, Auskunft und Nebenforderungen aufgrund behaupteter Verstöße der Beklagten gegen die Datenschutzgrundverordnung (DSGVO) im Zusammenhang mit einem sog. „API-Bug“/Datenleck bei der Beklagten.

Die Beklagte betreibt das soziale Netzwerk _______ (jetzt ____, im folgenden „_________“) und die Webseite______________. Im Rahmen der Nutzung dieser Plattform können Nutzer persönliche Profile anlegen. Auf den persönlichen Profilen können Nutzer ergänzende Angaben zur eigenen Person machen, Profilfotos anlegen, sich sozial vernetzen sowie öffentlich Beiträge zur Diskussion stellen bzw. an von anderen Nutzern initiierten öffentlichen Diskussionen teilnehmen. Die Registrierung bei ___________ erfordert die Angaben einer E-Mail-Adresse oder einer Telefonnummer. In den einzelnen Registrierungsschritten hat der Nutzer sodann neben seiner E-Mail-Adresse bzw. Telefonnummer mindestens seinen Namen und sein Geburtsdatum anzugeben. Außerdem legt der Benutzer innerhalb des Registrierungsvorgangs für seinen _____________-Account einen Nutzernamen und einen Anzeigenamen fest. Der Nutzername (auch Handle genannt) beginnt mit dem Symbol @. Anhand dieses Nutzernamens können andere Nutzer nach dem Account suchen. Der Anzeigename (auch bezeichnet als Name) ist dagegen eine persönliche Kennung auf dem ____________-Dienst. Es kann sich bei dem Anzeigenamen um einen Firmennamen oder einen echten Namen handeln, aber auch z.B. um ein Wortspiel oder ein Anonymus. Er wird neben dem Nutzernamen angezeigt. Die Nutzer können verschiedene Anpassungen hinsichtlich ihrer Auffindbarkeit für andere Nutzer vornehmen. Sofern ein Nutzer eingeloggt ist, findet er unter den Einstellungen für Datenschutz und Sicherheit im Abschnitt Auffindbarkeit die Auswahlmöglichkeit „Personen, die deine E-Mail-Adresse haben, erlauben, dich auf ______________ zu finden“. Das gleiche gilt für die Auffindbarkeit anhand der Telefonnummer. Die Auffindbarkeit über die E-Mail-Adresse bzw. Telefonnummer für die in Deutschland lebenden Nutzer ist grundsätzlich standardmäßig deaktiviert und muss, wenn er dies möchte, durch den entsprechenden Nutzer selbst in den Einstellungen aktiviert werden.

Bei der Beklagten bestand im Juni 2021 für kurze Zeit ein – vom Kläger so bezeichnetes - Datenleck bzw. – von der Beklagten so bezeichnet – ein API-Bug. Dieser bestand darin, dass es nach einem Update für eine bestimmte Zeit über eine nicht durch Sicherheitsmaßnahmen eingeschränkte API-Schnittstelle Dritten, die sich bereits im Besitz der E-Mail-Adresse oder Telefonnummer eines Nutzers befanden, möglich war, mittels Eingabe dieser Daten die __________-ID des Nutzers zu erhalten und dann mit der schon vorhandenen E-Mailadresse / Telefonnummer zu verknüpfen. Ebenso war dies einem Dritten möglich, wenn willkürlich E-Mail-Adressen und Handynummern – beispielsweise bezogen auf Handynummer mit Rufnummernaufzählung - durchprobiert wurden. Ergab der dann nachfolgende Abgleich zwischen den eingespeisten Daten und der bei ____________ vorhandenen Nutzer-Datenbank über die API-Schnittstelle einen Treffer, wurde die _________-ID des Nutzers übermittelt und dem Dritten bekannt gegeben. Aufgrund der vorübergehenden Programmierung der API-Schnittstelle war es möglich, mithilfe der E-Mail-Adresse oder Telefonnummer die Nutzer auch dann aufzufinden, wenn dies aufgrund der standardisierten Einstellungen hätte ausgeschlossen sein sollen. Mit Hilfe der so erlangten Nutzer-ID konnten kriminelle Erpresser im Wege des Daten-Scrapings die im Account hinterlegten öffentlich zugänglichen Stammdaten des jeweiligen Nutzers visualisieren und abgreifen und die in Summe abgegriffenen Daten in einen einheitlichen Datensatz konvertieren. Grundsätzlich konnten folgende Daten abgegriffen werden: E-Mail-Adresse, Telefonnummer, _______-ID, Namen des Nutzers (wenn im Profil eingegeben), Accountnamen des Nutzers (wenn im Profil eingegeben), Verifizierungsstatus des Nutzers (wenn im Profil eingegeben), Wohnort des Nutzers (wenn im Profil eingegeben) und Geburtstag des Nutzers (wenn im Profil eingegeben).

Im Juni 2022 bzw. der Beklagten bereits im Januar 2022 bekanntgeworden, wurde, weil die abgegriffenen Daten in einem bekannten Hacker-Forum („Darknet“) zum Download angeboten wurden, bekannt, dass unbefugte Dritte in einer Vielzahl von Fällen den API-Bug dazu genutzt hatten, Nutzer-ID von Nutzern in Erfahrung zu bringen, mit der eingegebenen Handynummer oder E-Mail-Adresse zu verknüpfen und dann im Profil als öffentlich eingestellte Daten abzurufen. In einer allgemeinen Pressemitteilung vom 05.08.2022 führte die Beklagte dazu folgendes aus:

„Wir möchten Sie über eine Schwachstelle informieren, die es jemandem ermöglichte, eine Telefonnummer oder E-Mail-Adresse in den Anmeldeablauf einzugeben, um herauszufinden, ob diese Informationen mit einem bestehenden ________-Konto verknüpft waren, und wenn ja, mit welchem spezifischen Konto. Wir nehmen unsere Verantwortung zum Schutz Ihrer Privatsphäre sehr ernst und es ist bedauerlich, dass dies geschehen ist. <...> Dieser Fehler resultierte aus einer Aktualisierung unseres Codes im Juni 2021. Als wir davon erfuhren, haben wir ihn sofort untersucht und behoben.“

Der Kläger war zum Zeitpunkt des Datenlecks / API-Bugs (Juni 2021) unstreitig auf der Plattform ________ angemeldet und hatte dort seine Mailadresse „________gmx.de“ hinterlegt.

Ob vom Kläger relevante Daten beim streitgegenständlichen Vorfall abgegriffen und neu verknüpft wurden, ist zwischen den Parteien ebenfalls streitig.

Vorgerichtlich forderte der Kläger mit Anwaltsschriftsatz vom 7.9.2023 (Anlage K 1) zur Auskunftserteilung, einer Unterlassungserklärung, Zahlung von mindestens 3.000,- € Schmerzensgeld, Abgabe einer Verpflichtungserklärung bezüglich möglicher künftiger Schäden, Auskunft und Erstattung vorgerichtlicher Rechtsanwaltskosten auf. Im Einzelnen wird auf Anlage K 1 verwiesen. Die Beklagte antwortete mit Schreiben vom 21.9.2023.

Der Kläger ist der Ansicht, die Beklagte habe Vorschriften der DSGVO verletzt.

Er behauptet unter Verweis auf eine Positivmeldung auf der Webseite „_____________.com“ (Anlage K 4), dass auch er vom streitgegenständlichen API-Bug betroffen sei, d.h. persönliche Daten von ihm an Dritte übermittelt worden seien, nämlich namentlich seine Mailadresse.

Die Beklagte habe gegen mehrere Vorgaben der DSGVO verstoßen. Insbesondere habe sie personenbezogene Daten ohne Rechtsgrundlage (unbefugten) Dritten zugänglich gemacht, personenbezogene Daten ohne die Gewährleistung (ausreichender) Sicherheit nach Art. 32 DSGVO verarbeitet, die zuständige Aufsichtsbehörde sowie auch der betroffene Kläger nicht nach Art. 33, 34 13 DSGVO über die Datenschutzverletzungen informiert und das Auskunftsrecht des Klägers nach Art. 15 DSGVO verletzt.

Der Kläger behauptet weiter, die Veröffentlichung seiner Daten habe weitreichende Folgen für ihn. Insbesondere werde er durch Spam-Nachrichten via E-Mail belästigt. Er habe einen erheblichen Kontrollverlust über seine Daten erlitten, welcher bei ihm ein großes Unwohlsein und große Sorge über einen möglichen Missbrauch der ihn betreffenden Daten ausgelöst habe.

Es könne zudem zum jetzigen Zeitpunkt noch nicht abgesehen werden, welche Dritte Zugriff auf die Daten der klagenden Partei erhalten hätten und für welche konkreten kriminellen Zwecke die Daten missbraucht würden. Folgen von Datenschutzverletzungen würden sich ihrem Wesen nach erst spät zeigen und lange unerkannt bleiben. Es erscheine auf Grund der Veröffentlichung der E-Mail-Adresse möglich, dass der Kläger durch eine Vielzahl betrügerischer Kontaktaufnahmen belästigt oder gefährdet werde. Die Beklagte habe ihre Auskunftsverpflichtung nicht erfüllt und weder den Kläger noch die Aufsichtsbehörde in ausreichendem Maße und rechtzeitig über die Verarbeitung sie betreffender personenbezogener Daten informiert bzw. aufgeklärt.

Der Kläger beantragt:

die Beklagte zu verurteilen, an ihn immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, der aber mindestens 2.000 Euro beträgt, nebst Zinsen iHv. fünf Prozentpunkten über dem Basiszinssatz seit dem 8.2.2024 zu zahlen;

festzustellen, dass die Beklagte verpflichtet ist, ihm alle materiellen künftigen Schäden zu ersetzen, die ihm durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2021 erfolgte, entstanden sind und/oder noch entstehen werden;

die Beklagte zu verurteilen, ihm Auskunft über die personenbezogenen Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch die unbefugte Veröffentlichung im Internet im Jahr 2021 erlangt werden konnten;

Die Beklagte ferner zu verurteilen, an ihn vorgerichtliche Rechtsanwaltskosten in Höhe von 453,87 EURO nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszins seit dem 8.2.2024 zu zahlen.

Die Beklagte beantragt, die Klage abzuweisen.

Die Beklagte ist der Ansicht, dass dem Feststellungsantrag bereits das Feststellungsinteresse fehle, weil ein zukünftiger Schaden nicht überwiegend wahrscheinlich sei. Sie bestreitet, dass der Kläger von dem streitgegenständlichen API-Bug 2021 betroffen sei. Eine interne Überprüfung durch __________ habe vielmehr ergeben, dass der Account des Klägers nicht zu denjenigen ________-Accounts gehöre, die von dem API-Bug im Jahr 2021 betroffen gewesen seien. Darüber hinaus liege kein Verstoß gegen Art. 33, 34 DSGVO vor.

_________ habe die DPC als zuständige datenschutzrechtliche Aufsichtsbehörde unmittelbar nach Kenntniserlangung des API-Bug am 8.1.2022 und dann fortlaufend informiert, ebenso die von dem API-Bug betroffenen Nutzer mit teilweise in englischer, teilweise in deutscher Sprache abgefassten Informationen, bezüglich der auf die Anlagen B 10 bis B 13 verwiesen wird. Mangels Betroffenheit des Klägers sei dieser gegenüber auch keine Auskunftspflicht nach Art. 15 DSGVO verletzt worden, jedenfalls habe die Beklagte mit ihrem vorgerichtlichen Schreiben vom 21.9.2023 der Auskunftspflicht genügt. Zur Beantwortung von Fragen betreffend die Verarbeitungstätigkeiten Dritter sei die Beklagte weder imstande noch nach Art. 15 DSGVO rechtlich verpflichtet. Ein vermeintlicher Verstoß gegen Art. 15 DSGVO könne außerdem keinen Schadensersatzanspruch nach Art. 82 DSGVO begründen. Schließlich bestreitet die Beklagte die vom Kläger behaupteten Beeinträchtigungen. Der Kläger habe keinen ersatzfähigen Schaden erlitten. Sein Vortrag hierzu sei pauschal und unsubstantiiert. Außerdem sei die Kausalität des API-Bugs der Beklagten für den behaupteten Schaden nicht bewiesen.

Wegen der Einzelheiten des Parteivorbringens wird auf die vorbereitenden Schriftsätze nebst Anlagen sowie das Protokoll zur mündlichen Verhandlung Bezug genommen.

A. Zulässigkeit

Die Klage ist zulässig.

Das Amtsgericht Bernau ist für sämtliche Anträge international, örtlich und sachlich zuständig. Die internationale Zuständigkeit deutscher Gerichte folgt aus Art. 79 Abs. 2 S. 2 DSGVO, der die Vorschriften der EuGVVO verdrängt (Albrecht/Jotzo, Das neue Datenschutzrecht der EU, Teil 8: Rechtsbehelfe, Haftung und Sanktionen Rn. 29, beck-online; Sydow/Marsch DSGVO/BDSG/Kreße, 3. Aufl. 2022, DS GVO Art. 79 Rn. 33). Danach können Klagen gegen einen Verantwortlichen – von gewissen hier nicht relevanten Ausnahmen abgesehen – wahlweise auch bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat. Der Kläger hat seinen Wohnsitz in der Bundesrepublik Deutschland und im Bezirk des Amtsgerichts Bernau.

Das Amtsgericht Bernau ist gemäß §§ 23 GVG auch sachlich zuständig. Die örtliche Zuständigkeit folgt aus § 44 Abs.1 S.2 BDSG.

I. Klageantrag Ziffer 1 (Schadenersatz)

Der Klageantrag Ziffer 1 ist hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO.

II. Klageantrag Ziffer 2 (Feststellung)

Ein Feststellungsinteresses gem. § 256 Abs. 1 ZPO ist gegeben, wenn die spätere Verwirklichung eines weiteren Schadens in absehbarer Zeit nach der Art der Verletzung möglich erscheint (BGH, Urt. v. 11. April 1961 - VI ZR 188/60, VersR 1961, 595, 596) und nicht gerade fernliegt (BGH, Urt. v. 2. Dezember 1966 - VI ZR 88/66, VersR 1967, 256, 257; v. 21. Oktober 1971 - II ZR 22/70, ZZP 85, 245, 246; v. 16. November 1971 - VI ZR 76/70, FamRZ 1972, 89, 90; v. 21. September 1987 - II ZR 20/87, NJW-RR 1988, 445; Urt. v. 28. September 1989 - IX ZR 180/88, FamRZ 1990, 37, 39. Die vorliegende Sachverhaltskonstellation – behaupteter Schadensersatzanspruch nach Art. 82 DSGVO – ist vergleichbar derjenigen, bei der es um die Verletzung eines absoluten Rechts geht, nicht derjenigen der alleinigen Geltendmachung von Vermögensschäden (a.A. LG Stuttgart, Urteil vom 24.1.2024 27 O 92/23, juris Rn. 33). Das Feststellungsinteresse wäre deshalb nur dann zu verneinen, wenn aus der Sicht des Geschädigten keinerlei Besorgnis besteht, zumindest mit dem Eintritt eines Schadens zu rechnen (vgl. BGH, Beschluss vom 09.01.2007 –VI ZR 133/06). Nach dem Vortrag des Klägers seien die mit seiner _________ -ID verknüpften Daten (E-Mail-Adresse) noch im Darknet abrufbar. Wer bereits in der Vergangenheit darauf zugegriffen hat, liege nach dem Vortrag des Klägers im Dunkeln. Ausgehend vom Vortrag des Klägers könnte daher nicht ausgeschlossen werden, dass ihm bereits ein Schaden zugefügt wurde, von dem er bislang nur noch keine Kenntnis hat. Erweist sich nach durchgeführter Beweisaufnahme, dass eine Verletzungshandlung tatsächlich nicht stattgefunden hat, ist die Klage als unbegründet, nicht als unzulässig abzuweisen (vgl. Zöller, ZPO, 35. Aufl. 2024 § 256 Rn. 7).

Der Feststellungsantrag ist zulässig. Das erforderliche Feststellungsinteresse nach § 256 Abs. 1 ZPO liegt vor.

B. Begründetheit

Die Klage ist nicht begründet.

I. Klageanträge Ziffer 1 und 2 (materieller und immaterieller Schaden)

Ein Schadensersatzanspruch gemäß Art. 82 DSGVO ist nicht gegeben. Er setzt voraus, dass eine Verletzung des Schutzes personenbezogener Daten der Klagepartei vorgelegen hat. Dies erfordert, dass das _______-Account von dem API-Bug 2021 betroffen gewesen ist; es handelt sich hierbei um eine Frage der haftungsbegründenden Kausalität. Diese Betroffenheit ist von der Klagepartei somit zur vollen Überzeugung des Gerichts mit dem Beweismaß des § 286 ZPO nachzuweisen. Vorliegend hat der Kläger diesen Nachweis nicht erbracht.

Der Beweisantritt des Klägers besteht darin, dass – was vom Grundsatz her unstreitig ist - die von dem australischen Sicherheitsforscher Tony Hunt betriebene Internetplattform https:///haveibeenpwned.com unter Eingabe der E-Mail-Adresse des Klägers _____________ (vgl. Bl. 139), dass der Kläger vom API-Bug der Beklagten 2021 betroffen sei. Hieraus ergibt sich – jedenfalls im vorliegenden Fall - aber nicht der Vollbeweis, dass die Angaben auf der Internetseite https:///haveibeenpwned.com zutreffend sind und der Kläger von dem API-Bug tatsächlich betroffen ist (so auch u.a. LG Stuttgart, Urteil vom 24.1.2024, 27 O 92/23 juris Rn 27ff; LG Freiburg, Urteil vom 24.5.2024 8 O 304/23, juris, LG Deggendorf, Urteil vom 3.5.2024 34 O 471/23 (nicht veröffentlicht).

Die Beklagte hat im vorliegenden Verfahren dezidiert dargestellt, aufgrund welcher Umstände sie davon ausgehe, dass die Treffermitteilung der Webseite https://haveibeenpwned.com/ bezogen auf den Kläger keine verlässliche Grundlage für die Annahme sei, dass er tatsächlich vom API-Bug 2021 bei der Beklagten betroffen sei. Insbesondere hat die Beklagte dargestellt, dass https://haveibeenpwned.com/ durch die Bezugnahme auf einen Artikel der Internetseite www.bleeping-computer.com mitteile, dass es sich bei den 200 Millionen Datensätzen, die sich im Besitz unberechtigter Dritter befänden, um solche handele, die aufgrund des API-Bugs bei der Beklagten im Jahr 2021 erlangt worden seien. _________ habe diese Darstellung überprüft und festgestellt, dass weltweit lediglich 5,4 Millionen (und nicht 200 Millionen) _______-Nutzer von dem API-Bug betroffen gewesen seien. Bezüglich dieser Personen stelle _______ deren Betroffenheit in den entsprechenden Klageverfahren auch unstreitig. Vorliegend vermochte die Beklagte beim Kläger keinen Treffer zu vermelden. Die Website https://haveibeenpwned.com/ nehme Bezug auf den „200 M Report“, der aber gerade nicht in Verbindung mit dem API-Bug 2021 bei der Beklagten stehe. Es bestünden nämlich wesentliche Unterschiede zwischen den beiden Datensätzen. Unter anderem erschienen die Datensätze in unterschiedlichen Formaten. Das Format des 200 M-Datensatzes weise auch nicht darauf hin, dass es sich um von _______ gewonnene Daten handelt. Im 200 M-Datensatz seien zudem – anders als im 5,4 M Datensatz – gerade keine ________-IDs enthalten, die für jedes Nutzerkonto existieren, jeweils einzigartig sind und allein aus Zahlen bestehen. Der 200 M-Datensatz enthielt auch keine Telefonnummern. Bei den im 200 M Report enthaltenen Daten handelt es sich wahrscheinlich um eine Sammlung von Daten, die bereits online über verschiedene Quellen öffentlich zugänglich seien und nicht von _______ stammten.

Auf dieses dezidierte Vorbringen hat der Kläger, obwohl hinsichtlich seiner Betroffenheit beweisbelastet, substantiiert nichts erwidert. Insbesondere hat er nicht vorgetragen, auf welcher Grundlage der Betreiber der Internetseite https:///haveibeenpwned.com die mögliche Betroffenheit individueller Nutzer ermittelt hat. Dass https:///haveibeenpwned.com eine renommierte Plattform ist, die von Sicherheitsexperten weltweit anerkannt ist und auch der Umstand, dass auch das Bundesamt für Sicherheit in der Informationstechnik in einer Pressemitteilung auf die Internetseite https:///haveibeenpwned.com verwiesen hat, genügt nicht für den Vollbeweis, dass die Angaben auf der Internetseite https:///haveibeenpwned.com richtig sind. Denn in der genannten Pressemitteilung vom 17.01.2019 (abrufbar unter https://www.bsi.bund.de/DE/Service-Navi/ Presse/Pressemitteilungen/Presse2019/BSI_analysiert_Datensatz_mit_Millionen_Mailadressen_und_Passwoertern _170119.html ) hat das Bundesamt für Sicherheit in der Informationstechnik in der Pressemitteilung lediglich ausgeführt, das „Angaben des IT-Sicherheitsforschers Troy Hunt zufolge, der den Datensatz aufgefunden hat, Internetnutzer über die Plattform https:///haveibeenpwned.com prüfen können, ob ihre E-Mail-Adressen und Zugangsdaten in dem aktuellen Datenfund enthalten sind“. Aufgrund der ausdrücklichen Bezugnahme auf die Angaben des Webseitenbetreibers wird keine eigene Bewertung der Verlässlichkeit dieser Daten abgegeben. Auch dass der Gründer der Plattform, Tony Hunt, mehrfach betont hat, dass die Daten gründlich verifiziert werden bevor sie veröffentlicht werden, reicht für einen Vollbeweis nicht aus.

Ebenso ist festzustellen, dass auch die Internetseite https://haveibeenpwned.com/ selbst im Ergebnis keine verlässliche Verantwortung für die mögliche Zuordnung der Daten des „200 M Reports“ zum API-Bug bei der Beklagten 2021 übernimmt, sondern insoweit ihrerseits lediglich auf die Einschätzung Dritter verweist. Denn bei Anklicken der Textzeile „over 200M records scraped from _______ appeared on a popular hacking forum“ erfolgt eine Weiterleitung auf einen Artikel der Internetseite www.bleepingcomputer.com, auf der es ausdrücklich heißt, dass von den Bedrohungsakteuren lediglich „behauptet“ („claimed“, „is allegedly the same“) werde, dass es sich bei den 200 Millionen bzw. 400 Millionen ______ Profilen um solche handelt, die auf die Sicherheitslücke im Jahr 2021 zurückzuführen seien. Indem die Seite www.haveibeenpwned.com auf diesen Artikel Bezug nimmt, gibt sie also selbst bekannt, dass der Zusammenhang des 200-Millionen-Datensatzes mit der Sicherheitslücke im Jahre 2021 lediglich auf Behauptungen der Bedrohungsakteure zurückzuführen ist (so auch LG Deggendorf, a.a.O. unter B. 3 d) der Entscheidungsgründe).

Dass der Kläger etwa tatsächlich von Telefonaten (z.B. aus dem Ausland) und Spamnachrichten belästigt wird, hat er nicht konkret dargelegt. Bezüglich möglicher Spammails hat der Kläger nicht konkret mitgeteilt, ob er seit Juni 2021 oder danach tatsächlich vermehrt Spammails erhält.

Da eine Betroffenheit des Klägers nicht bewiesen ist, ist auch der Antrag zu 2 wegen künftiger Schäden unbegründet.

II. Auskunft (Klageantrag Ziffer 3)

Dem Kläger steht ferner der mit dem Klageantrag zu 3 verfolgte Auskunftsanspruch dazu, welche Daten durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch die Nutzung der API-Schnittstelle erlangt werden konnte, nicht (mehr) zu. Denn der Anspruch auf Auskunft ist jedenfalls durch Erfüllung untergegangen, § 362 Abs. 1 BGB.

a) Ein Auskunftsanspruch ist im Sinne des § 362 Abs. 1 BGB erfüllt, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit oder Unvollständigkeit einer Erfüllung nicht entgegen. Der Verdacht, dass die erteilte Auskunft unvollständig oder unrichtig ist, kann einen Anspruch auf Auskunft in weitergehendem Umfang nicht begründen, was auch aus dem Wortlaut des § 259 Abs. 2 BGB folgt. Wesentlich für die Erfüllung des Auskunftsanspruchs ist daher die - gegebenenfalls konkludente - Erklärung des Auskunftsschuldners, dass die Auskunft vollständig sei (vgl. BGH, Urteil vom 03.09.2020 - III ZR 136/18 = GRUR 2021,110). Die Annahme eines derartigen Erklärungsinhalts setzt demnach voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig abdecken soll.

b) Dies ist hier der Fall. Mit Schreiben vom 7.9.2023 (Anlage K 1) hat der Kläger gegenüber der Beklagten Auskunft begehrt, „wann, wer welche personenbezogenen Daten unserer Mandantschaft über die API-Schnittstelle „abgegriffen“ hat“. Diesem Auskunftsverlangen hat die Beklagte zwar mit vorgerichtlichem Schreiben vom 21.9.2023 (Anlage K 2) noch nicht entsprochen. Denn die Erklärung:

„Bezüglich des angeblichen Datenlecks..hat ________ International die Öffentlichkeit bereits umfassend informiert. Insbesondere weist _______ International Behauptungen zurück, wonach 400 Millionen mit _______ verknüpfte Nutzer E-Mails und Telefonnummern durch dieselbe Sicherheitslücke, die im Januar 2022 entdeckt wurde, erlangt wurden. Vielmehr sind das Vorfall-Reaktionsteam und das Team für Privatsphäre und Datenschutz von _______ International nach einer umfassenden Untersuchung zu dem Schluss gekommen, dass es keine Beweise dafür gibt, dass die online verkauften Daten durch die Ausnutzung einer Sicherheitslücke in den Systemen von ______ International erlangt wurden“,

erschöpfte sich in der bloßen Zurückweisung der geltend gemachten Ansprüche und enthielt keine Erklärung dazu, ob personenbezogene Daten des Klägers über die API-Schnittstelle der Beklagten an Dritte gelangt seien.

Die Beklagte hat dem Auskunftsverlangen der Klagepartei jedoch dann mit Klageerwiderung vom 21.3.2024 (Bl. 50 ff) genügt. Denn dort hat die Beklagte ausdrücklich erklärt, dass der Account der Klagepartei nicht zu denjenigen _______-Accounts gehört habe, die von dem API-Bug im Jahr 2021 betroffen gewesen seien. Diese Erfüllungshandlung war ausreichend, um den Erfüllungserfolg zu bewirken. Dass die Klagepartei die erteilte Auskunft für unrichtig ansieht, ändert hieran – wie ausgeführt – nichts.

Soweit der Kläger darüber hinaus Auskunft verlangt, wer die Daten über die API-Schnittstelle „abgegriffen“ habe, ist der Anspruch (ebenfalls) durch Erfüllung untergegangen, § 362 BGB. Die Beklagte hat mit der Klageerwiderung vorgetragen, über die Verarbeitungstätigkeiten Dritter (hier: „_______“), keine Angaben machen zu können. Unabhängig davon, ob die erteilte Auskunft unrichtig oder unvollständig ist, begründet die erteilte Auskunft jedenfalls keinen (weiteren) Auskunftsanspruch, da die Beklagte zum Ausdruck gebracht hat, das Auskunftsbegehren des Klägers vollständig erfüllt zu haben und nicht weiter erfüllen zu können (vgl. idS: LG Paderborn Urt. v. 19.12.2022 – 3 O 99/22, GRUR-RS 2022, 39349 Rn. 162-168, beck-online).

III. Vorgerichtliche Rechtsanwaltskosten (Klageantrag Ziff. 4)

Nachdem die geltend gemachten Ansprüche in der Sache nicht bestehen, kommt auch der mit dem Klageantrag Ziff. 4 geltend gemachte Anspruch auf Ersatz vorgerichtlicher Anwaltskosten nicht in Betracht. Ein Anspruch auf Ersatz vorgerichtlicher Anwaltskosten besteht auch dann nicht, wenn zu Gunsten des Klägers unterstellt wird, dass ihm ein Anspruch auf Erteilung einer „Negativauskunft“ (fehlende Betroffenheit vom API-Bug) zugestanden hat, der erst im Rahmen der Klageerwiderung erfüllt worden ist. Die Beklagte war jedenfalls nicht verpflichtet, den Kläger unaufgefordert über ihre fehlende Betroffenheit zu informieren. Mit der Geltendmachung des Auskunftsanspruchs durch den Anwaltsschriftsatz des Klägers vom 7.9.2023 (Anlage K 1) sind die vorgerichtlichen Anwaltskosten bereits angefallen und daher nicht dadurch verursacht worden, dass die Beklagte in ihrem Antwortschreiben vom 21.9.2023 (Anlage K 2) keine ausdrückliche Auskunft der Nicht-Betroffenheit erteilt hat (ebenso LG Stuttgart 27 O 92/23 vom 24.1.2024 juris Rn. 38).

IV. Nebenentscheidungen

1. Die Entscheidung über die Kosten beruht auf § 91 ZPO.

2. Die Entscheidung zur vorläufigen Vollstreckbarkeit folgt aus §§ 708 Nr. 11, 711 S. 1 ZPO.

Rechtsbehelfsbelehrung:

Gegen die Entscheidung kann das Rechtsmittel der Berufung eingelegt werden. Die Berufung ist nur zulässig, wenn der Wert des Beschwerdegegenstands 600 Euro übersteigt oder das Gericht des ersten Rechtszuges die Berufung im Urteil zugelassen hat.

Die Berufung ist binnen einer Notfrist von einem Monat bei dem

Landgericht Frankfurt (Oder)

Müllroser Chaussee 55

15236 Frankfurt (Oder)

einzulegen.

Die Frist beginnt mit der Zustellung der vollständigen Entscheidung, spätestens mit Ablauf von fünf Monaten nach der Verkündung der Entscheidung.

Die Berufung muss mit Schriftsatz durch eine Rechtsanwältin oder einen Rechtsanwalt eingelegt werden. Die Berufungsschrift muss die Bezeichnung der angefochtenen Entscheidung und die Erklärung enthalten, dass Berufung eingelegt werde.

Die Berufung muss binnen zwei Monaten mit Anwaltsschriftsatz begründet werden. Auch diese Frist beginnt mit der Zustellung der vollständigen Entscheidung.

Gegen die Entscheidung, mit der der Streitwert festgesetzt worden ist, kann Beschwerde eingelegt werden, wenn der Wert des Beschwerdegegenstands 200 Euro übersteigt oder das Gericht die Beschwerde zugelassen hat.

Die Beschwerde ist binnen sechs Monaten bei dem

Amtsgericht Bernau bei Berlin

Breitscheidstraße 50

16321 Bernau bei Berlin

einzulegen.

Die Frist beginnt mit Eintreten der Rechtskraft der Entscheidung in der Hauptsache oder der anderweitigen Erledigung des Verfahrens. Ist der Streitwert später als einen Monat vor Ablauf der sechsmonatigen Frist festgesetzt worden, kann die Beschwerde noch innerhalb eines Monats nach Zustellung oder formloser Mitteilung des Festsetzungsbeschlusses eingelegt werden. Im Fall der formlosen Mitteilung gilt der Beschluss mit dem dritten Tage nach Aufgabe zur Post als bekannt gemacht.

Die Beschwerde ist schriftlich einzulegen oder durch Erklärung zu Protokoll der Geschäftsstelle des genannten Gerichts. Sie kann auch vor der Geschäftsstelle jedes Amtsgerichts zu Protokoll erklärt werden; die Frist ist jedoch nur gewahrt, wenn das Protokoll rechtzeitig bei dem oben genannten Gericht eingeht. Eine anwaltliche Mitwirkung ist nicht vorgeschrieben.

Rechtsbehelfe können auch als elektronisches Dokument eingereicht werden. Eine einfache E-Mail genügt den gesetzlichen Anforderungen nicht.

Rechtsbehelfe, die durch eine Rechtsanwältin, einen Rechtsanwalt, durch eine Behörde oder durch eine juristische Person des öffentlichen Rechts einschließlich der von ihr zur Erfüllung ihrer öffentlichen Aufgaben gebildeten Zusammenschlüsse eingereicht werden, sind als elektronisches Dokument einzureichen, es sei denn, dass dies aus technischen Gründen vorübergehend nicht möglich ist. In diesem Fall bleibt die Übermittlung nach den allgemeinen Vorschriften zulässig, wobei die vorübergehende Unmöglichkeit bei der Ersatzeinreichung oder unverzüglich danach glaubhaft zu machen ist. Auf Anforderung ist das elektronische Dokument nachzureichen.

Elektronische Dokumente müssen

mit einer qualifizierten elektronischen Signatur der verantwortenden Person versehen sein oder

von der verantwortenden Person signiert und auf einem sicheren Übermittlungsweg eingereicht werden.

Ein elektronisches Dokument, das mit einer qualifizierten elektronischen Signatur der verantwortenden Person versehen ist, darf wie folgt übermittelt werden:

auf einem sicheren Übermittlungsweg oder

an das für den Empfang elektronischer Dokumente eingerichtete Elektronische Gerichts- und Verwaltungspostfach (EGVP) des Gerichts.

Wegen der sicheren Übermittlungswege wird auf § 130a Absatz 4 der Zivilprozessordnung verwiesen. Hinsichtlich der weiteren Voraussetzungen zur elektronischen Kommunikation mit den Gerichten wird auf die Verordnung über die technischen Rahmenbedingungen des elektronischen Rechtsverkehrs und über das besondere elektronische Behördenpostfach (Elektronischer-Rechtsverkehr-Verordnung - ERVV) in der jeweils geltenden Fassung sowie auf die Internetseite www.justiz.de verwiesen.