LG Traunstein, Endurteil v. 17.07.2026 – 9 O 1560/24 - Bürgerservice Navigation Inhalt LG Traunstein, Endurteil v. 17.07.2026 – 9 O 1560/24 Download Drucken Titel: Anforderungen an den Nachweis datens

Art. 5Abs.

1 DSGVO 44 Ein Verstoß der Beklagten gegen die in Art. 5 Abs. 1 DSGVO normierten Grundsätze der Datenverarbeitung ist nicht festzustellen. 45 Nach diesen Grundsätzen müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Diese allgemeinen Prinzipien werden durch die Informations- und Aufklärungspflichten der Art. 12, 13 und 14 DSGVO konkretisiert. 46 Diesem Maßstab ist die Beklagte gerecht geworden. Sie hat substantiiert dargelegt, dass sie angemessene technische und organisatorische Vorkehrungen gegen den unbefugten Abfluss von Daten getroffen hatte und das schädigende Ereignis auf individuellem, ex ante nicht vermeidbarem menschlichen Versagen beruhte. 47 Demgegenüber erweist sich das Vorbringen des Klägers, das bloße Auftreten eines Datenlecks indiziere bereits unzureichende Sicherheitsvorkehrungen und ein unangemessenes Schutzniveau, als unsubstantiiert und damit prozessual unbeachtlich. Nach ständiger höchstrichterlicher Rechtsprechung ist der Vortrag einer Partei nur dann hinreichend substantiiert, wenn sie Tatsachen anführt, die in Verbindung mit einem Rechtssatz geeignet sind, das geltend gemachte Recht als in ihrer Person entstanden erscheinen zu lassen; pauschale Behauptungen ohne greifbare Anhaltspunkte genügen dem nicht (vgl. BGH, Beschluss vom 9. Februar 2009 – ZR 77/08, WM 2009, 1154 Rn. 4; BGH, Beschluss vom 21. Mai 2007 – ZR 266/04, ZIP 2007, 1524 Rn. 8; BGH, Urteil vom 25. Juli 2005 – ZR 199/03, WM 2005, 1847, 1848 m.w.N.). 48 Soweit die Klägerseite meint, aus dem Vorfall selbst auf einen Verstoß schließen zu können, verkennt sie die Verteilung der Darlegungslast. Nach der Rechtsprechung des Gerichtshofs der Europäischen Union begründet eine Verletzung des Schutzes personenbezogener Daten als solche nicht bereits die Annahme, dass die von dem Verantwortlichen getroffenen Sicherheitsmaßnahmen nicht „geeignet“ im Sinne der Art. 24, 32 DSGVO waren (vgl. EuGH, Urteil vom 14. Dezember 2023 – C-340/21 [Natsionalnaagentsia za prihodite], NJW 2024, 515 Rn. 30 ff.). Ein „Verschulden auf erster Stufe“ allein durch das Gelingen eines Hackerangriffs scheidet aus. 49 bb)

Art. 6Abs.

1, Art. 13 Abs. 1 DSGVO Ein Verstoß gegen Art. 6 Abs. 1 und Art. 13 Abs. 1 DSGVO liegt nicht vor. Der unbefugte Abzug der Daten durch kriminelle Dritte („Datenleck“) stellt keine der Beklagten zuzurechnende Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO dar, die einer gesetzlichen Erlaubnis nach Art. 6 Abs. 1 DSGVO bedurft hätte. Da die Beklagte den unbefugten Zugriff nicht veranlasst oder gesteuert hat, war sie insoweit auch nicht zu einer vorherigen Information des Klägers nach den Maßgaben der Art. 13 oder Art. 14 DSGVO verpflichtet. 50 cc)

Art. 15DSGVO 51 Die Beklagte hat ihre Pflichten aus Art.

15 Abs. 1 DSGVO nicht verletzt. 52 Der Auskunftsanspruch des Klägers ist durch das außergerichtliche Auskunftsschreiben der Beklagten (Anlage DB 3) gemäß § 362 Abs. 1 BGB durch Erfüllung erloschen. Dieses Schreiben enthält erschöpfende Angaben über die konkret verarbeiteten personenbezogenen Daten, deren Verwendungszweck, Herkunft, Speicherdauer, das Nichtvorliegen eines Profilings sowie über potenzielle Empfänger im Sinne des Art. 15 Abs. 1 lit. c DSGVO. 53 Soweit die Beklagte im Rahmen dieses Schreibens keine Angaben dazu gemacht hat, an welche konkreten unbefugten Dritten die Daten im Zuge des Hackerangriffs abgeflossen sind, führt dies nicht zu einer Unvollständigkeit der Auskunft. Der Anspruch aus Art. 15 Abs. 1 DS-GVO ist insoweit wegen Unmöglichkeit nach § 275 Abs. 1 BGB ausgeschlossen. Der unbefugte Zugriff erfolgte unstreitig von außen durch unbekannte Akteure. Da die Identität der Angreifer für die Beklagte nicht ermittelbar ist, ist ihr die Erteilung dieser Auskunft im Rechtssinne unmöglich. 54 Gleiches gilt für die exakte zeitliche Eingrenzung des Datenabflusses bezüglich der konkreten Daten des Klägers. Die Beklagte hat im Rahmen des ihr Möglichen über den bekannten Gesamtzeitraum des Vorfalls informiert. Weitergehende Auskunftspflichten treffen den Verantwortlichen nach Art. 15 DSGVO nicht, wenn die Informationen außerhalb seines Kenntnis- und Ermittlungsbereichs liegen (vgl. zur Begrenzung des Auskunftsanspruchs auf das tatsächlich Ermittelbare: BGH, Urteil vom 5. März 2024 – ZR 330/21, NJW 2024, 1805 Rn. 18 ff.). 55 dd)

die Art. 24, 25 Abs. 2 DSGVO Ein Verstoß gegen die Pflicht zur Gewährleistung datenschutzfreundlicher Voreinstellungen gemäß Art. 25 Abs. 2 DSGVO (sog. „privacy by default“) liegt nicht vor. 56 Die Vorschrift des Art. 25 Abs. 2 DSGVO verpflichtet den Verantwortlichen, durch geeignete technische und organisatorische Maßnahmen sicherzustellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Dies soll insbesondere verhindern, dass Daten ohne Zutun der betroffenen Person einer unbestimmten Zahl von Personen zugänglich gemacht werden. 57 Diesen Vorgaben hat die Beklagte entsprochen. Für die Registrierung auf der Plattform der Beklagten war unstreitig lediglich die Angabe einer E-Mail-Adresse erforderlich. Diese Adresse war für andere Nutzer oder die Öffentlichkeit von vornherein nicht einsehbar, sondern wurde ausschließlich intern verwendet. Eine restriktivere, datenschutzfreundlichere Voreinstellung war mithin technisch und konzeptionell nicht möglich. 58 Zudem scheidet ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO wegen eines etwaigen Verstoßes gegen Art. 25 DSGVO bereits aus Rechtsgründen aus. Bei den Vorgaben aus Art. 25 DSGVO handelt es sich um rein organisatorische und der eigentlichen Datenverarbeitung vorgelagerte Pflichten (Vollzugspflichten im Rahmen der Systemgestaltung). Ein bloßer Verstoß gegen diese strukturellen Pflichten zur Systemeinrichtung vermag für sich genommen – ohne eine daran anknüpfende, konkrete rechtswidrige Verarbeitungstätigkeit – keinen Schadensersatzanspruch der betroffenen Person auszulösen (vgl. BGH, Urteil vom 9. Juli 2024 – ZR 34/23, NJW 2024, 2741 Rn. 22 ff.; siehe auch Gola/Heckmann/Nolte/Werkmeister, DSGVO, 3. Aufl. 2022, Art. 25 Rn. 3, 34). 59 ee)

Art. 32

DSGVO 60 Die Beklagte hat auch nicht gegen ihre Pflicht zur Gewährleistung der Sicherheit der Verarbeitung aus Art. 32 DSGVO verstoßen. 61 Nach Art. 32 Abs. 1 DSGVO haben der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Norm verlangt jedoch keinen absoluten, unüberwindbaren Schutz gegen jedwede kriminelle Angriffe ex post. Maßgeblich ist vielmehr eine exante-Betrachtung im Wege einer risikobasierten Prognoseentscheidung unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Eintrittswahrscheinlichkeit und der Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen (vgl. EuGH, Urteil vom 14. Dezember 2023 – C-340/21, NJW 2024, 515 Rn. 35). 62 Dass die von der Beklagten ergriffenen Sicherheitsvorkehrungen diesen Anforderungen ex ante nicht genügten, hat der Kläger nicht hinreichend substantiiert dargelegt. Die Beklagte hat demgegenüber detailliert und klägerseits unbestritten vorgetragen, welche konkreten Sicherheitsbarrieren und Schutzmechanismen zum Zeitpunkt des Vorfalls implementiert waren, um die verarbeiteten E-Mail-Adressen vor unbefugten externen Zugriffen zu schützen. 63 Bei der Bemessung des Schutzniveaus war insbesondere zu berücksichtigen, dass die Beklagte von der Klagepartei lediglich die E-Mail-Adresse ohne ein dazugehöriges Passwort verarbeitete. Die Verarbeitung einer isolierten E-Mail-Adresse weist eine verhältnismäßig geringe Schadensgeneigtheit auf, weshalb an die Sicherheitsmaßnahmen keine überspannten Anforderungen zu stellen waren. 64 Das Gericht konnte sich insoweit auch nach informatorischer Anhörung des Klägers nicht davon überzeugen, dass dieser über seine E-Mail-Adresse hinausgehende weitere personenbezogene Daten bei der Beklagten angegeben hatte. Dies wurde von der Beklagten substantiiert bestritten, welche mitteilte, dass eine Negativauskunft ergeben habe, dass der Beklagte allenfalls den ... dienst der Beklagten genutzt haben könne, weil keine Daten über ihn vorlägen. Der Kläger konnte darauf keine weiteren sein Vorbringen stützende Nachweise vorlegen, etwa Bestätigungs-E-Mails oder Screenshots. 65 ff)

Art. 33

DSGVO 66 Schließlich hat die Beklagte nicht gegen ihre Meldepflicht gegenüber der Aufsichtsbehörde aus Art. 33 Abs. 1 DSGVO verstoßen. 67 Nach dieser Vorschrift hat der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich – und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde – der zuständigen Aufsichtsbehörde zu melden, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die persönliche Rechtssphäre führt. 68 Die Beklagte hat diese Frist gewahrt. Ihr wurde der Vorfall unstreitig am ... 2020 durch ihren Dienstleister ... bekannt. Die Meldung an die nach Art. 55, 56 DSGVO im Wege des „One-Stop-Shop-Verfahrens“ international zuständige irische Datenschutzbehörde (Irish Data Protection Commission – IDPC) erfolgte am ... 2020 (Anlage B 34). 69 Eine frühere Meldung war der Beklagten nicht zumutbar, da zu diesem Zeitpunkt das tatsächliche Ausmaß und das Vorliegen eines konkreten Risikos für die Betroffenen noch verifiziert werden mussten. Eine Pflichtverletzung scheidet zudem aus, weil die Meldepflicht nach Art. 33 Abs. 1 DSGVO voraussetzt, dass dem Verantwortlichen ein systemischer oder kausaler Datenschutzverstoß anzulasten ist, was vorliegend – wie dargetan – gerade nicht der Fall ist. 70

1. c)Jedenfalls fehlt es aber an einem ersatzfähigen Schaden der Klagepartei im Sinne des Art. 82 DSGVO 71
2. aa)Nach dem Ergebnis der persönlichen Anhörung des Klägers konnte sich das Gericht nicht mit der für nötigen Sicherheit davon überzeugen, dass der Kläger über seine E-Mail-Adresse hinaus weitere personenbezogene Daten bei der Beklagten angegeben hat. Der Kläger hat zwar behauptet, seine vollständigen Personalien, also Name, Adresse und Telefonnummer bei der Beklagten angegeben zu haben. Diese von der Beklagten bestrittene Behauptung konnte aber durch nichts verifiziert werden. Insbesondere ergab eine Abfrage der Telefonnummer des Klägers ... auf der Rechercheplattform databreach.com, dass diese von keinerlei Datenleaks betroffen war. 72 Ob die isolierte E-Mail-Adresse des Klägers ohne Verknüpfung mit weiteren Identifikationsmerkmalen überhaupt eine Information über eine identifizierbare natürliche Person im Sinne des Art. 4 Nr. 1 DSGVO darstellt, kann jedoch letztlich dahinstehen, da die Klage bereits aus anderen Gründen unbegründet ist. 73
3. bb)Der Kläger hat nicht einmal schlüssig dargetan und bewiesen, dass seine E-Mail-Adresse tatsächlich von dem konkreten Datenvorfall bei der Beklagten betroffen war. 74 Als anspruchsbegründende Tatsache trägt die Klägerseite hierfür die volle Darlegungs- und Beweislast; eine Beweislastumkehr oder Beweiserleichterung zugunsten der betroffenen Person sieht die DSGVO insoweit nicht vor (vgl. BGH, Urteil vom 18. November 2024 – ZR 10/24, GRUR-RS 2024, 31967 Rn. 24). 75 Diesen Beweis hat der Kläger nicht erbracht: 76 Der Kläger legt diesbezüglich lediglich einen Auszug der Plattform haveibeenpwned.com vor. Ein Eintrag auf einer derartigen Plattform ist für sich genommen nicht geeignet, den Vollbeweis für die tatsächliche Betroffenheit von einem spezifischen Datenleck zu erbringen (vgl. OLG Dresden, Hinweisbeschluss vom 18. Juni 2024 – 4 U 156/24, GRUR-RS 2024, 19396; LG Freiburg, Urteil vom 24. Mai 2024 – 8 O 304/23, ZD 2024, 534; LG Lübeck, Urteil vom 16. Februar 2024 – 15 O 214/23, GRUR-RS 2024, 13166 Rn. 49). Die Funktionsweise und die Datengrundlage dieser Plattform entziehen sich einer verlässlichen gerichtlichen Überprüfung. Der Plattformbetreiber weist in seinen Nutzungsbedingungen selbst darauf hin, dass ein Treffer nicht zwingend eine tatsächliche Betroffenheit des Nutzers impliziert (vgl. von Wickede/Berchtold, ZD 2025, 258; Hillert, jurisPR-ITR 6/2024, Anm. 5). 77 Einer Einholung des beantragten Sachverständigengutachtens bedurfte es mangels greifbarer Anhaltspunkte und einer verlässlichen Datengrundlage nicht; die Beweiserhebung liefe auf einen unzulässigen Ausforschungsbeweis hinaus. 78
4. cc)Selbst bei Unterstellung einer DSGVO-Pflichtverletzung der Beklagten und einer Betroffenheit des Klägers ist dem Kläger kein durch den Verstoß kausal verursachter Schaden entstanden. 79