← Deutschland

LG Bamberg, Endurteil v. 06.06.2023 – 42 O 782/22

LG Bamberg, Endurteil v. 06.06.2023 – 42 O 782/22 - Bürgerservice Navigation Inhalt LG Bamberg, Endurteil v. 06.06.2023 – 42 O 782/22 Download Drucken Titel: Erfolglose Schadensersatzklage wegen Zugri

Art. 82Rn.

5; Sydow/Marsch

/BDSG/Kreße,

  1. Aufl. 2022, DS GVO Art. 82 Rn. 7; Kühling/Buchner/Bergt,
  2. Aufl. 2020,

Art. 82Rn.

23; Ehmann/Selmayr/Nemitz, 2. Aufl. 2018,

Art. 82Rn.

8; vgl. Erwägungsgrund 146 S. 1

; LG Bonn, Urteil vom 1.7.2021 – 15 O 372/20 ZD 2021, 586; LG Essen, Urteil vom 10.11.2022 – nach juris; a. A.: u.a. OLG Stuttgart, Urteil vom 31.03.2021 – 9 U 34/21 BeckRS 2021, 6282). 51 Verstöße gegen Pflichten bei der Datenverarbeitung sind indes nicht ersichtlich. 52 Gemäß Art. 4 Nr. 2 DSGVO ist Verarbeitung jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, durch den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. 53 Gemäß Art. 4 Nr. I DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. 54 Die in jedem Fall veröffentlichten Informationen des Klägers umfassen den Namen, die Nutzer-ID sowie das Geschlecht, ohne die die Nutzung der Plattform F. nicht möglich ist, worauf direkt bei der Anmeldung hingewiesen wird. Damit ist es möglich, den Kläger zu identifizieren. Es handelt sich mithin um personenbezogene Daten. Die übrigen Daten wie Telefonnummer und E-Mail-Adresse sind ebenfalls personenbezogen, aber nicht in jedem Fall öffentlich, worauf später noch näher einzugehen ist. 55 Die von Klägerseite geltend gemachten Pflichtverletzungen unterliegen diesem Verarbeitungsbegriff bzw. dem Verarbeitungsvorgang in Bezug auf die Daten des Klägers nicht: 56 Benachrichtigungs-, Aufklärungs- und Informationspflichten nach Art. 5 Abs. 1 a DSGVO, nach Art. 13, 14, 15 DSGVO und nach Art. 33, 34 DSGVO stellen keine Datenverarbeitung dar, so dass Verstöße gegen diese Normen von Art. 82 Abs. 1, 2 DSGVO nicht umfasst sind (so auch LG Essen a.a.O., AG Strausberg, Urteil vom 13.10.2022 – 25 C 95/21 – BeckRS 2022, 27811, Rn. 17; bzgl. Art. 34 DSGVO weiter auch s. a.: OLG Stuttgart, Urteil vom 31.3.2021, 9 IJ 34/21, juris Rn. 61; LG Düsseldorf, Urteil vom 28.10.2021, 16 O 128/20, GRUR-RS 2021, 33076, Rn. 27; LG Bonn, Urteil vom 1.7.2021, 15 O 372/20, juris, Rn. 41). 57 Schließlich lässt sich auch von vornherein aus Artikel 24 DSGVO kein subjektives Recht herleiten (Taeger/Gabel, DSGVO, 4. Auflage 2022, Artikel 24, Rn. 89). Selbiges gilt für Art. 25 DSGVO (Tager/GabeI, DSGVO, a. a. O., Art. 25, Rn. 100). b) Schaden im Sinne von Art, 82 Abs. I, 2 DSGVO 58 Unabhängig davon fehlt es an einem ersatzfähigen Schaden des Klägers im Sinne des Art. 82 Abs. 1 DSGVO. Für den – hier geltend gemachten – immateriellen Schadensersatz gelten dabei die im Rahmen von S. 253 BGB entwickelten Grundsätze; die Ermittlung obliegt dem Gericht nach S. 287 ZPO (BeckOK DatenschutzR/Quaas, 32. Ed. 1.2.2020,

Art. 82Rn.

31). Es können für die Bemessung die Kriterien des Art. 83 Abs. 2 DSGVO herangezogen werden, beispielsweise die Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie die betroffenen Kategorien personenbezogener Daten. Zu berücksichtigen ist auch, dass die beabsichtigte abschreckende Wirkung nur durch für den Anspruchsverpflichtenden empfindliche Schmerzensgelder erreicht wird, insbesondere wenn eine Kommerzialisierung fehlt. Ein genereller Ausschluss von Bagatellfällen ist damit nicht zu vereinbaren (BeckOK DatenschutzR/Quaas, 32. Ed. 1.2.2020,

Art. 82Rn.

31; vgl. LG Köln, Urteil vom 07.10.2020 – 28 O 71/20). Die Pflicht zur Erstattung immaterieller Schäden ist daher nicht nur auf schwere Schäden beschränkt (vgl. LG Landshut, Urteil vom 06.11.2020- 51 O 513/20). 59 Nach den Erwägungsgründen der europäischen Grundrechtscharta ist der Schadensbegriff weit auszulegen (s. Erwägungsgrund Nr. 146, auch wenn er in der DSGVO nicht näher definiert wird). Schadenersatzforderungen sollen abschrecken und weitere Verstöße unattraktiv machen (Bergt in Kühling/Buchner,

/BDSG, 3. Aufl., Art. 82 Rdn. 17 m. w. N.; Hans-Jürgen Schaffland; Gabriele Holthaus in: SchaffIand/WiItfang, Datenschutz-Grundverordnung (

)/Bundesdatenschutzgesetz (BDSG), Artikel 82 Haftung und Recht auf Schadenersatz Rn. 10 b). Darüber hinaus sollen die betroffenen Personen einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden haben. Dabei wird vor allem die abschreckende Wirkung des Schadensersatzes betont, welche insbesondere durch seine Höhe erzielt werden soll. Nach den Erwägungsgründen Nr. 75 kann ein Nichtvermögensschaden durch Diskriminierung, Identitätsdiebstahl oder -betrug, Rufschädigung, Verluste der Vertraulichkeit von dem Berufsgeheimnis unterliegenden persönlichen Daten oder gesellschaftliche Nachteile eintreten. 60 Ein genereller Ausschluss von Bagatellschäden ist im Lichte dieser Erwägungsgründe nicht vertretbar (vgl. LG Essen, Urteil vom 23.9.2021, Az.: 6 O 190/21, ZD 2022, 50; LG Köln, Urteil vom 18.05.2022, Az.: 28 O 328/21, BeckRS 2022, 11236). Dies wird auch aus Art. 4 Abs. 3 AEUV abgeleitet, der die Mitgliedsstaaten dazu anhält, Verstöße wirksam mit Sanktionen zu belegen, denn nur so könne man eine effektive Durchsetzbarkeit des EU-Rechts und damit auch der DSGVO erzielen (LG München I, Urteil vom 09.12.2021, Az.: 31 0 16606/20, BKR 2022, 131). 61 Allein eine Verletzung des Datenschutzrechts als solche begründet allerdings nicht bereits für sich gesehen einen Schadensersatzanspruch für betroffene Personen. Die Verletzungshandlung muss in jedem Fall auch zu einer konkreten, nicht nur völlig unbedeutenden oder empfundenen Verletzung von Persönlichkeitsrechten der betroffenen Personen geführt haben (vgl. LG Hamburg, Urteil vom 04.09.2020 – 324 S 9/19). Verletzung und Schaden sind nicht gleichzusetzen. Es ist zwar eine schwere Verletzung des Persönlichkeitsrechts nicht (mehr) erforderlich. Andererseits ist auch weiterhin nicht für einen Bagatellverstoß ohne ernsthafte Beeinträchtigung bzw. für jede bloß individuelle empfundene Unannehmlichkeit ein Schmerzensgeld zu gewähren; vielmehr muss dem Betroffenen ein spürbarer Nachteil entstanden sein und es muss um eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte Beeinträchtigung von persönlichkeitsbezogenen Belangen gehen (vgl. LG Landshut, Urteil vom

  1. I I .2020 – 51 O 513/20). 62 In den Erwägungsgründen Nr. 75 und 85 werden einige mögliche Schäden aufgezählt, darunter Identitätsdiebstahl, finanzielle Verluste, Rufschädigung, aber auch der Verlust der Kontrolle über die eigenen Daten sowie die Erstellung unzulässiger Persönlichkeitsprofile. Zudem nennt Erwägungsgrund 75 auch die bloße Verarbeitung einer großen Menge personenbezogener Daten einer großen Anzahl von Personen. Der Schaden ist zwar weit zu verstehen, er muss jedoch auch wirklich „erlitten“ (Erwägungsgrund Nr. 146 S. 6), das heißt „spürbar“, objektiv nachvollziehbar, von gewissem Gewicht sein (AG Diez v.
  3. 2018, Az. 8 C 130/18), um bloße Unannehmlichkeiten oder Bagatellschäden auszuschließen, s. Urteil der Kammer 6 O 190/21, nicht rechtskräftig). 63 Gemessen an diesen Grundsätzen hat der Kläger schon keine spürbare Beeinträchtigung – hervorgerufen durch Datenverlust – von persönlichen Belangen dargelegt. 64 Der Kläger hat zunächst pauschal und offenbar durch seine Prozessbevollmächtigen standardisiert in einer Vielzahl von Prozessen gleichartig vorgetragen, einen erheblichen Kontrollverlust über seine Daten erlitten und Sorge vor Missbrauch seiner Daten zu haben. Seit dem Scraping-Vorfall 2019 und Veröffentlichung im April 2021 auf der eingangs benannten Seite sei es zu einem Anstieg von SMS und Mails gekommen. 65 Im Rahmen seiner persönlichen Anhörung gemäß S. 141 ZPO hat er bekundet, seit dem Jahre 2018 oder 2019 vermehrt SMS auf seinem Handy angekommen seien, die nach der äußeren Aufmachung von Paketdienstleistern oder Banken herrührten. Diese Nachrichten seien relativ leicht als nicht von demjenigen, von dem sie herrührten sollten, erkennbar gewesen. Er selbst sei Programmierer und habe insoweit Grundkenntnisse. Auch sei es zu relativ vielen Anrufen gekommen, in denen es um Investments in Form von Trades gegangen sei. Er habe aus bloßem Interesse auf seinem mit einem ausreichenden Virenschutz versehenen Rechner auf den Link, der ihm mit einer solchen SMS mitgeteilt wurde, geklickt, habe jedoch anhand des Designs ohne weiteres erkennen können, dass es sich nicht um eine berechtigte Nachricht gehandelt habe. Er selbst wüsste nicht, wie ein potentieller Missbrauch seiner Daten erfolgen solle, er empfinde es lediglich als nervig, kontaktiert zu werden. Sein altes F.-Profil nutze er nicht mehr, in seinem neu erstellten Profil habe er die Einstellungen so gewählt, dass alles nur für ihn selbst sichtbar sei. 66 Die Angaben des Klägers sind dabei nicht ausreichend, einen spürbaren Nachteil und eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte Beeinträchtigung von persönlichkeitsbezogenen Belangen zu begründen: 67 Zunächst ist zu sehen, dass der Kläger – unterstellt man, dass die Kontaktaufnahmen per SMS und Telefon tatsächlich auf das Geschehen bei der Beklagten zurückzuführen sind – immer wieder auf die gleiche, offenbar plumpe und auf den ersten Blick als „verdächtig“ erkennbare Art und Weise kontaktiert wurde. Die Gefahr hierdurch tatsächlichen Schaden zu erleiden, war damit äußerst gering, zumal der Kläger selbst darauf hinweist, als Programmierer tätig zu sein, so dass er damit etwaige Betrugsversuche leichter erkennen dürfte als ein durchschnittlicher Verbraucher. 68 Der geschilderte Kontrollverlust nebst Angst vor betrügerischen Nachrichten und Anrufen ist hingegen unplausibel. Der Kläger hat im Rahmen der informatorischen Anhörung hierzu selbst angegeben, keine Möglichkeit erkennen zu können, wie seine Daten tatsächlich missbraucht werden könnten – wenngleich nachvollziehbar ist, dass er die unberechtigten Kontaktaufnahmen als „nervig“ empfindet. 69 Der Hinweis des Klägers darauf, dass nur den Wenigsten eine konkrete (und wohl auch erhebliche) Schadendarstellung gelingen dürfte und er wegen der Reichweite und der Größe des behaupteten Datenlecks schon aufgrund einer bloßen Gefährdung einen Schaden unter Bezugnahme auf LG München (Urteil vom 9.12.2021 – 31 0 16606/20, BeckRS 21/41707 und Urteil vom 20.1.2022 – 3 0 17493/20 – BeckRS 6105) bejahen will, ist diese Rechtsprechung nicht ohne Weiteres auf die vorliegende Konstellation übertragbar. Das LG München hat Schadensersatz aufgrund einer Gefahr eines Identitätsmissbrauchs zugesprochen. In dem zu Grunde liegenden Fall wurden Daten veröffentlicht, nämlich „Personalien und Kontaktdaten, Daten zur gesetzlich erforderlichen Identifizierung des Kunden (etwa Ausweisdaten), die im Rahmen der Geeignetheitsprüfung erfassten Informationen, Daten bezogen auf Konto und/oder Wertpapierdepot (etwa Referenzkontoverbindung, Berichte, Wertpapierabrechnungen, Rechnungen) sowie steuerliche Daten (etwa Steueridentifikationsnummer)“. Vorliegend geht es um ein öffentliches Profil nebst Telefonnummer und damit deutlich weniger sensible Daten. Eine Telefonnummer kann man wechseln. Dass aus dem Bekanntwerden einer Telefonnummer ein Identitätsmissbrauch entstehen kann, ist eher unwahrscheinlich (so auch: LG Karlsruhe, Urteil vom 09.02.2021, Az.: 4 O 67/20, ZD 2022, 55). Insbesondere würde der Schadenbegriff so aufgeweicht und ausgedehnt und es würde der konkrete Nachweis einer möglichen Betroffenheit genügen, um eine Haftung zu begründen. Dies käme einer reinen Gefährdungshaftung gleich und widerspricht letztlich auch dem Erwägungsgrund Nr.
  4. Der Erwägungsgrund Nr. 75 stützt die bisher vertretene Auffassung der Kammer (s. Urteil des Landgerichts Essen vom 23.9.2021, Az.: 6 O 190/21, ZD 2022, 50), da aus Risiken für die Rechte und Freiheiten natürlicher Personen physische, materielle oder immaterielle Schaden entstehen können. Insoweit sind Schäden aber kein zwangsweise Produkt aus einem Risiko für die Rechte und Freiheiten natürlicher Personen aus einer Verarbeitung personenbezogenen Daten, vielmehr sind diese nur fakultativ. Der Sinn der Verordnung wird aber nicht gewahrt, indem man jeglichem „Unwohlsein“ eine Schadensposition einräumt. Vielmehr muss zumindest ein ernsthaftes Risiko bestehen, dass die Daten missbraucht werden. Dies konnte die Kammer im Lichte der Angaben des persönlich gehörten Klägers nicht feststellen, der seine Suchbarkeitseinstellungen trotz der behaupteten – seit knapp zwei Jahren bestehenden – Angst erst eine Woche vor dem Termin auf Anraten seines Prozessbevollmächtigten verändert hat.
  5. Kein Anspruch aus nationalem Recht 70 Ansprüche aus nationalem Recht gemäß SS 280 Abs. 1, Abs. 3, 281, 327, 327 e, 327 i BGB, gemäß S. 280 Abs. 1 BGB i.V.m. Nutzungsvertrag sui generis, gemäß S. 823 Abs. 1, 253 Abs. 2 BGB i.V. m. Art. 2 Abs. 1 und Art. 1 Abs. 1 GG, gemäß S. 823 Abs. 2 BGB i.V. m. dem Recht auf informationelle Selbstbestimmung und gemäß SS 1004 analog, 823 Abs. 2 i. V, m. Art, 13, 14 DSGVO bestehen ebenfalls nicht. 71 Insoweit kann auf die diesbezüglichen Ausführungen in dem Urteil des LG Essen, Urteil vom
  6. November 2022 – 6 O 111/22 = zitiert nach juris Bezug genommen werden, denen sich das Gericht uneingeschränkt anschließt. II. Klageantrag zu 2) – Feststellungsanspruch 72 Die Klage auf Feststellung einer Ersatzpflicht künftiger materieller und immaterieller Schäden ist mangels Anspruchsgrundlage – gleich ob nach nationalen Vorschriften oder nach den Bestimmungen der DSGVO – unbegründet. III. Klageantrag zu 3) – Unterlassungsanspruch 73 Auch der mit dem Klageantrag zu 3) geltend gemachte Unterlassungsanspruch (SS 1004 analog, 823 Abs. 2 BGB i.V.m. Art. 6 Abs. 1, Art. 17 DSGVO) unterliegt der Abweisung. 74 Es ist unstreitig, dass die Beklagte die Kontakt-Import-Funktion (Contact Importer Tool (Cl T)) als Reaktion auf den Scraping-VorfaII in der früheren Form nicht mehr bereitstellt und Abhilfemaßnahmen ergriffen hat. Eine – grundsätzlich durch einen einmaligen Verstoß indizierte – Wiederholungsgefahr kann auf dieser Grundlage nicht mehr angenommen werden (vgl. BGH, Urteil vom 14.10.1994 – V ZR 76/93, juris Rn. 22; BeckOK BGB/Fritzsche,
  7. Ed. 01.11.2022, BGB S. 1004 Rn. 94), zumal die Klägerseite mit der Klageschrift (BI. 33, 34 d.A.) selbst vorgetragen hat, dass die Beklagte nach dem Bekanntwerden des Vorfalls durch die Sicherstellung von Sicherheitsmaßnahmen nach dem Stand der Technik die Möglichkeit des Datenabgriffs bzw. der Datenzusammenführung verhindert hat. 75 Zudem liegt es jederzeit in der Hand des Klägers, der spätestens mit den im vorliegenden Verfahren gewechselten Schriftsätzen über die Möglichkeit der Suchbarkeitseinstellungen bei F. umfassend informiert ist, die Suchbarkeitseinstellungen zu verändern und hat dies nach eigener Angabe eine Woche vor der mündlichen Verhandlung auch getan. Dass die Beklagte entgegen der von einem Nutzer getroffenen Profileinstellungen oder Suchbarkeitseinstellungen Telefonnummern freigibt oder anderweitig nutzt, hat auch der Kläger nicht behauptet. IV. Klageantrag zu 4) – Auskunftsansprwch 76 Der mit dem Klageantrag zu 4) verfolgte Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO unterliegt der Abweisung, weil dieser nach Überzeugung des Gerichts durch das außergerichtliche Schreiben der Beklagten vom 23.08.2021 (Anlage K 2) bereits erfüllt wurde (S. 362 Abs. I BGB). 77 Weitergehende Auskunft kann der Kläger nicht verlangen. Ihm ist nämlich einerseits bekannt, welche Daten durch den Scraping-Vorfall erlangt und veröffentlicht wurden. Schließlich hat er in der Replik vom 07.10.2022 (BI. 168 d.A.) den behauptet geleakten Datensatz selbst vorgetragen. Andererseits hat die Beklagte glaubhaft vorgetragen, sie selbst halte keine „Rohdaten“ des Scraping-Vorfalls. 78 Nicht beantwortet wird durch die Beklagte in dem außergerichtlichen Schreiben, welchen Empfängern die Daten des Klägers durch Ausnutzung der Kontakt-Import-Funktion im Sinne des Art. 15 Abs. I lit. c) DSGVO zugänglich gemacht wurden. Das Scraping ist allerdings von außen erfolgt, und es nicht erkennbar, wer diese Daten gescrapt hat. Die begehrte Auskunftserteilung ist aufgrund des Vorgangs des Scrapings unter Ausnutzung von Daten, die öffentlich sichtbar sind, unmöglich. Ebenso ist im Rechtssinne unmöglich (und es wird auch nicht näher dargelegt, wie die Beklagte dazu imstande sein soll), zu informieren, wann genau die Daten gescrapt wurden. Die Beklagte hat dem Kläger im Ergebnis also alle Informationen mitgeteilt, die ihr im Zuge des Scraping-Vorfalls zur Verfügung standen. Weitere Angaben kann sie nicht machen. Sie ist folglich hierzu auch nicht verpflichtet. V. Klageantrag zu 5) – Nebenforderung Rechtsanwaltskosten 79 Die Nebenforderungen (Klageantrag zu 5) teilen das Schicksal der übrigen Klageanträge und unterliegen der Abweisung. C. 80 Die Kostenentscheidung beruht auf S. 91 Abs. 1 ZPO. D. 81 Der Ausspruch über die vorläufige Vollstreckbarkeit richtet sich nach S. 709 S. I, 2 ZPO. E. 82 Die Höhe des Streitwertes ergibt sich aus den obigen Darlegungen (Begründetheit, Teil A., l, 3.).

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.