2 BGB und §§ 675 m S. 1, 2810 Abs. 1 BGB. Die Beklagte sei insoweit Zahlungsdienstleister im Sinne der Norm. Ferner bestehe ein solcher Anspruch
2 BGB in Verbindung mit §§ 55 Abs. 1 Nr. 2 in Verbindung mit 1 S. 2 Nr. 5 ZAG. Der Kläger macht hierzu geltend, dass es sich bei § 55 Abs. 1 ZAG um ein Schutzgesetz im Sinne des § 823 Abs. 1 BGB handele. Bei der Ausgabe der DC Kundenkarte handele es sich um die Ausgabe von Zahlungsinstrumenten im Sinne von § 1 S. 22 Nr. 5 ZAG. Der Kläger macht geltend, dass es sich bei den DC Punkten der Beklagten um E-Geld handele. Deshalb sei die Beklagte verpflichtet, eine Zwei-Faktor-Authentifizierung zu verlangen. Der DC Kunde erhalte die DC Punkte nicht unentgeltlich. Der jeweilige Kunde erhalte beim Bezahlvorgang von dem Händler einen Skonto in Höhe der erzielten Bonuspunkte. Anstatt den Skontobetrag vom Kaufpreis abzuziehen, weise der Kunde den Händler an, ihm den überschießenden Betrag als Punkte-Gutschrift auszuzahlen. Die Punkte würden von der Beklagten emittiert und für die Kunden verwaltet. 14 Eine Verletzung des Datenschutzes durch die Beklagte sei auch darin zu sehen, dass die Beklagte die Mindestanforderungen an eine starke Kundenauthentifizierung vernachlässige. Die Beklagte habe sich bei der Auswahl und dem Einsatz der personalisierte Sicherheitsmerkmale für die Implementierung eines nur einfachen Berechtigungssystems entschieden, welches hinter den Sicherheitsstandards von auf dem aktuellen Stand der Technik befindlichen Systemen zurückbleibe. Der Kläger habe dadurch die Kontrolle über seine personenbezogenen Daten verloren. Der Kläger macht geltend, dass die von der Beklagten gestellten Mindestanforderungen an das vom Kunden zu wählende Passwort ungeeignet seien. Als Stand der Technik sei eine Mindestlänge von 10 Zeichen anzusetzen. Eine Einschränkung der verwendbaren Zeichen auf Zahlen gehöre nicht zum Stand der Technik. Die bisherigen Sicherheitsvorkehrungen der Beklagten seien nicht geeignet gewesen, ein dem Stand der Technik entsprechendes Schutzniveau zu gewährleisten. Daher bestehe ein Anspruch auf Schadensersatz
1 DSGVO. 15 Der Kläger beantragt:
1, 71 GVG sachlich und
24 II. Die Klage ist unbegründet. 25 1. Der Kläger hat gegen die Beklagte keinen Anspruch auf Gutschrift von 12.638 Deutschland-Card Punkten auf sein bei der Beklagten geführtes DC Konto. 26 Die Beklagte trägt vor, dass sie die streitgegenständlichen DC Punkte aus Kulanz vor Klageeinreichung zurückgebucht habe (Schriftsatz vom 23.06.2022, S. 2 = Bl. 121 d.A.) und dass der Kläger Zugriff auf sein Konto mit den Punkten habe (Schriftsatz vom 23.06.2022, S. 2 f. = Bl. 121/122 d.A.; Schriftsatz vom 18.07.2022, S. 2 = 132 d.A.). Beides wird vom Kläger bestritten (zuletzt Schriftsatz vom 12.07.2022 = Bl. 129 d.A.). Ob Erfüllung eingetreten ist oder nicht, kann dahinstehen. Auf eine Beweiserhebung kommt es insoweit nicht an, da ein Anspruch auf die Gutschrift nicht besteht. 27 a) Ein entsprechender Anspruch ergibt sich nicht aus § 675 u S. 2 BGB. 28 Nach § 675 u Satz 1 BGB hat der Zahlungsdienstleister des Zahlers im Falle eines nicht autorisierten Zahlungsvorgangs gegen diesen keinen Anspruch auf Erstattung seiner Aufwendungen.
Satz 2 ist der Zahlungsdienstleister verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten und, sofern der Betrag seinem Zahlungskonto belastet worden ist, dieses Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte. 29 Voraussetzung für einen entsprechenden Anspruch des Klägers gegen die Beklagte wäre, dass der Beklagte Zahlungsdienstleister des Klägers ist. Dies ist vorliegend nicht gegeben. Der Kläger behauptet zwar pauschal, dass zwischen der Beklagten und dem Kläger ein Zahlungsdienstrahmenvertrag über E-Geld nach den §§ 675 c Abs. 2, 675f Abs. 2 BGB durch die Teilnahme des Klägers am DC Programm abgeschlossen worden sei. Dies ist jedoch ausweislich der Teilnahmebedingungen für das DC Programm nicht der Fall, wonach der Kunde lediglich Guthaben bei den teilnehmenden Unternehmen erwirbt, die dem Kunden als DC Kunde von DC Partnerunternehmen in Form von DC Punkten gutgeschrieben werden (Nr. 1.1 der Teilnahmebedingungen). Es liegt damit lediglich eine Verwaltung der DC Punkte vor. Für den Begriff des Zahlungsdienstleisters wird an die zugrundeliegende Normen des ZAG zurückgegriffen (Casper in MüKo, 8. Aufl. 2020, § 675 c BGB, Rn. 37 ff.). Dessen Voraussetzungen sind nicht erfüllt (s. sogleich unter c)). 30 b) Ein entsprechender Anspruch des Klägers ergibt sich auch nicht aus § 675 m Abs. 1 S. 1 BGB in Verbindung mit § 280 Abs. 1 BGB. 31 § 675 m legt die Pflichten eines Zahlungsdienstleisters fest. Der Beklagte ist jedoch kein Zahlungsdienstleister des Klägers. 32 c) Ein solcher Anspruch ergibt sich auch nicht aus § 823 Abs. 2 BGB in Verbindung mit §§ 55 Abs. 1 Nr. 2 In Verbindung mit § 1 S. 2 Nr. 5 ZAG. 33 Es kann insoweit dahinstehen, ob es sich bei der Vorschrift des § 55 Abs. 1 ZAG um ein Schutzgesetz im Sinne des § 823 Abs. 2 BGB handelt, da die Beklagte nach dem Tatsachenvortrag der Parteien kein Zahlungsdienstleister im Sinne des § 55 ZAG ist. 34 § 55 Abs. 1 ZAG verpflichtet den Zahlungsdienstleister, eine starke Kundenauthentifizierung zu verlangen. Zahlungsdienstleister sind
1 Nr. 2 ZAG E-Geldinstitute im Sinne des Abs. 2 Satz 1 Nr. 1, die im Inland zum Geschäftsbetrieb nach diesem Gesetz zugelassen sind, sofern sie Zahlungsdienste erbringen.
2 Satz 1 Nr. 1 ZAG sind E-Geldemittenten Unternehmen, die das E-Geldgeschäft betreiben, ohne E-Geldemittenten im Sinne der Nummern 2-4 zu sein.
2 Satz 2 ZAG ist das E-Geldgeschäft die Ausgabe von E-Geld. „Ausgabe“ von E-Geld ist die Eingehung der Verpflichtung der E-Geld ausgebenden Stelle zur Leistung gegenüber dem Berechtigten bzw. demjenigen, der E-Geld als Zahlungsmittel akzeptiert (Schwennike/Auerbach KWG mit ZAG,
1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. 43 Zwischen den Parteien ist strittig, ob die Beklagte gegen die Datenschutzgrundverordnung verstoßen hat. Der Kläger trägt nach den allgemeinen zivilprozessualen Grundsätzen die Darlegungs- und Beweislast für die haftungsbegründenden Voraussetzungen (mwN Paulus in: BeckOK, Datenschutzrecht, 37. Ed., Art. 82 DSGVO, Rn. 51; LG München I, Urt. v. 9.12.2021 - 31 O 16606/20; zu weitgehend LAG Baden-Württemberg, Urt. v. 25.02.2021 - 17 Sa 37/20, Rz. 99, die dort angeführte Rechenschaftspflicht bezieht sich auf eine Verantwortlichkeit gegenüber der Behörde). Aus Art. 82 Abs. 3 DSGVO ergibt sich lediglich hinsichtlich des Verschuldens eine Beweislastumkehr. Damit trägt der Kläger die Darlegungs- und Beweislast hinsichtlich eines Verstoßes der Beklagten gegen die Datenschutzgrundverordnung und eines daraus kausal entstandenen Schadens. 44 b) Der Kläger behauptet, dass die Beklagte die
1 DSGVO erforderlichen Maßnahmen hinsichtlich des Zugangs des Klägers zu dem Kundenkonto nicht getroffen habe. 45 Der Kläger macht geltend, dass eine Zwei-Faktor-Authentifizierung Stand der Technik gewesen sei. Er bezieht sich in der Klageschrift zunächst darauf, dass es sich bei dem Kundenkonto um E-Geld handeln würde. Das vom Kläger vorgelegte Privatgutachten (Anlage K13 zum Schriftsatz vom 08.06.2022) stellt hinsichtlich der Zwei-Faktor-Authentifizierung ebenfalls auf das Vorliegen eines E-Geld-Kontos ab. Die Beklagte ist jedoch kein Zahlungsdienstleister. Der Kläger hat nicht ausreichend dargelegt, dass die Zwei-Faktor-Authentifizierung auch bei bloßen Kundenbindungsprogrammen Stand der Technik ist und die vorliegende Authentifizierung beim Programm der Beklagten diesen nicht erfüllt. Danach sind zwar die einzelnen zum Kunden-Login erforderlichen Informationen teilweise nicht geheim, sondern gegenüber einzelnen Vertragspartnern anzugeben oder im näheren Umfeld des Kunden bekannt. Für die Kombination der verschiedenen Merkmale beim Login wurde dies aber nicht vorgetragen. Auch hat die Beklagte ein dokumentiertes Informationssicherheits-Managementsystem im Unternehmen umgesetzt und unterliegt einer regelmäßigen Auditierung durch unabhängige Dritte. Dies erfolgt am ISO-Standard 27001 und den Sicherheitslinien des Bundesamtes für Sicherheit in der Informationstechnik. Zudem hat die Beklagte ein sogenanntes Security Information and Event Management zur Überwachung implementiert. Ein Verstoß hiergegen wurde seitens des Klägers nicht vorgetragen. Darüber hinaus ist der Stand der Technik nur ein Gesichtspunkt in der von § 32 Abs. 1 und Abs. 2 DSGVO vorgeschrieben Abwägung. Danach sind unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Umstände für die Gesamtabwägung aller genannten Faktoren, die danach gegen ein angemessenes Schutzniveau sprechen, werden von dem Kläger nicht vorgetragen. Ein Verstoß gegen Art. 32 DSGVO liegt danach nicht vor. Aus Art. 32 DSGVO folgt kein Anspruch auf eine Zwei-Faktor-Authentifizierung im vorliegenden Fall. 46 c) Der Kläger macht insbesondere geltend, dass die von der Beklagten vorgegebenen Regelungen zum Passwort unzureichend seien und nicht dem Stand der Technik entsprechen würden. Die Einlog-Modalitäten sehen vor, dass Kunden sich mit der Eingabe der Kartennummer in Verbindung mit der Angabe des Geburtsdatums und der Postleitzahl in das Kundenkonto einloggen können oder mit der Eingabe der Kartennummer und einer vierstelligen PIN, die aus einer vierstelligen Zahlenkombination besteht. Der Kläger führt aus, dass als Stand der Technik eine Mindestlänge von 10 Zeichen anzusehen sei und eine Einschränkung der verwendbaren Zeichen nicht zum Stand der Technik gehöre. Insoweit übersieht die Argumentation, dass darüber hinaus auch die Kartennummer als zusätzliche Anforderung erforderlich ist. 47 Ein etwaiger Verstoß der Beklagten gegen Art. 32 DSGVO - wie hier nicht - wäre jedenfalls auch nicht kausal für den behaupteten Punkteklau. Nach Vortrag der Beklagten in der Klageerwiderung (S. 9 f.) ist es technisch zwingen notwendig für die Einlösung der DC Punkte in einen Warengutschein für Netto, die Netto-App zu nutzen und diese mit dem Deutschland-Card-Konto zu verbinden. Eine Möglichkeit Netto-Gutscheine im Prämienshop der Beklagten mit Punkten zu erwerben besteht nicht (Anlage B6 zum Schriftsatz vom 23.06.2022). Auf diese Netto-App hat die Beklagte keinen Einfluss. Inwieweit durch die Verknüpfung des Programms der Beklagten mit der App ein Verstoß gegen Art. 32 DSGVO vorliegen soll, hat der darlegungs- und beweisbelastete Kläger nickt substantiiert vorgetragen. Es liegt damit kein Verstoß der Beklagten gegen Art. 32 DSGVO vor. 48 3. Da die geltend gemachten Hauptforderungen nicht bestehen, hat der Kläger gegen die Beklagte auch keinen Anspruch auf Zahlung von vorgerichtlichen Anwaltskosten. 49 III. Die Kostenentscheidung folgt aus § 91 Abs. 1 S. 1 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit aus §§ 709 Nr. 11, 711 ZPO.
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.