(1)Randnummer 77 Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne des Art. 6 Abs. 1 Unterabs. 1 lit.

1. b)DSGVO angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 98). Randnummer 78 Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, ist insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art. 6 Abs. 1 Unterabs. 1 lit.
2. b)DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 99). Randnummer 79 Dabei ist im Fall eines Vertrages, der mehrere Dienstleistungen oder mehrere eigenständige Elemente einer Dienstleistung umfasst, die unabhängig voneinander erbracht werden können, die Anwendbarkeit von Art. 6 Abs. 1 Unterabs. 1 lit.
3. b)DSGVO für jede dieser Dienstleistungen gesondert zu beurteilen (EuGH, Urteil vom 4. Juli 2023 – C-52/21, Rn. 100).

(2)Randnummer 80 Demzufolge ergibt sich schon allein aus dem Umstand, dass die Beklagte nur hinsichtlich bestimmter personenbezogener Daten vorgab und -gibt, dass diese „immer öffentlich" , also zwecks Vernetzung sichtbar und damit suchbar sein müssen, und dem Umstand, dass sie den Nutzern im Rahmen der Zielgruppenauswahl und der Suchbarkeitseinstellungen freistellt, ob und wem die nicht „immer öffentlichen" Daten gezeigt werden bzw. ob und wer nach ihnen suchen kann, dass diese Daten nicht objektiv unerlässlich waren und sind, um eine (hinreichende) Verknüpfung der Nutzer der Beklagten zu ermöglichen. Dass dies (unter Umständen) für die Nutzer (und vor allem im Hinblick auf die Werbezweckrichtung und damit das Geschäftsmodell der Beklagten) wünschenswert gewesen sein mag, reicht gerade nicht. Ob der einzelne Nutzer (sich) diesen Wunsch erfüllen mochte, musste ihm vielmehr im Rahmen einer informierten Einwilligung selbst überlassen bleiben (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 99).

(3)Randnummer 81 Ohne Erfolg beruft sich die Beklagte in rechtlicher Hinsicht darauf, die vorgenannten Vorgaben des Gerichtshofs, die der Senat zugrunde legt, bezögen sich nur auf die vom dortigen Vorabentscheidungsersuchen betroffenen Off-Facebook-Daten und beträfen einen anderen Verarbeitungszweck und ließen sich deshalb auf den vorliegenden Fall nicht übertragen. Wenn auch der Kontext, zu dem sich der EuGH zur Auslegung der geforderten Erforderlichkeit für die Vertragserfüllung geäußert hat, ein anderer war, so besteht jedoch keinerlei Zweifel daran, dass diese Aussagen des Gerichtshofs allgemeingültig sind (vgl. explizit EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 98, siehe oben). Dafür, dass der EuGH insoweit eine differenzierende Begriffsbestimmung für geboten hielte, besteht keinerlei Anhaltspunkt (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 100).

(4)Randnummer 82 Ebenso wenig lässt sich in Anwendung der Begriffsbestimmung durch den EuGH eine Erforderlichkeit der streitgegenständlichen Suchbarkeit des Profils per Suchbarkeits- oder Kontaktimportfunktion über eine künstliche Aufspaltung des einheitlichen Nutzungsvertrags in mehrere gesonderte Verträge oder eigenständige Elemente, jeweils in sich geschlossen auf bestimmte Funktionen des Online-Netzwerks, annehmen. Randnummer 83 Zwar sind mehrere Dienstleistungen oder mehrere eigenständige Elemente einer Dienstleistung, die unabhängig voneinander erbracht werden können, im Hinblick auf die Anwendbarkeit von Art. 6 Abs. 1 Unterabs. 1 lit.

1. b)DSGVO für jede dieser Dienstleistungen gesondert zu beurteilen (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 100). Randnummer 84 Jedoch können vorliegend die Such- oder die Kontaktimportfunktion gerade nicht als eigenständige Elemente einer Dienstleistung betrachtet werden; denn sie dienen schlicht dem von der Beklagten beschriebenen Hauptnutzungszweck der Plattform einer möglichst einfachen Vernetzung der Nutzer untereinander. Ihnen fehlt folglich jeglicher eigenständige Charakter, sie sind Mittel zum Zweck, aber eben kein unerlässliches mit Blick auf die Vernetzung der Nutzer (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 101 ff.). (
2. b)Randnummer 85 Auch eine Rechtfertigung über Art. 6 Abs. 1 Unterabs. 1 lit.
3. f)DSGVO (vgl. Anlage B 18) scheidet vorliegend aus (wie OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 105 ff.). (
4. aa)Randnummer 86 Verarbeitungen personenbezogener Daten sind nach Art. 6 Abs. 1 Unterabs. 1 lit.
5. f)DSGVO unter drei kumulativen Voraussetzungen rechtmäßig: Randnummer 87 Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 106; EuGH, Urteil vom 17. Juni 2021, M.I.C.M. - C-597/19, Rn. 106 mwN). (
6. bb)Randnummer 88 Jedenfalls das Vorliegen der zweiten Voraussetzung der Erforderlichkeit lässt sich nicht feststellen. Randnummer 89 Entscheidend hierfür ist, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 der EU-Grundrechtecharta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 108 mwN). Randnummer 90 Zudem ist die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten Grundsatz der „Datenminimierung" zu prüfen, der in Art. 5 Abs. 1 lit.
7. c)DSGVO verankert ist und verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sind (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 109 mwN; siehe oben). Randnummer 91 Dass die Suchbarkeit über die Telefonnummer auf den verschiedenen Ebenen, insbesondere per Kontaktimportfunktion von Facebook oder im Facebook-Messenger, nicht erforderlich ist und war, wird schon dadurch belegt, dass diese Funktion zum 6. September 2019 endgültig und vollständig aus allen Anwendungsbereichen eliminiert wurde (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 107 ff.). (
8. c)Randnummer 92 Die Beklagte kann sich zur Rechtfertigung ihrer Verarbeitung der personenbezogenen Daten nicht auf eine Einwilligung der klägerischen Partei im Sinne des Art. 5 Abs. 1 lit.
9. a)Var. 1, Art. 6 Abs. 1 Unterabs. 1 lit.
10. a)DSGVO berufen. Auch wenn die in Art. 6 Abs. 1 Unterabs. 1 lit.
11. b)bis lit.
12. f)DSGVO vorgesehenen Rechtfertigungsgründe nicht greifen, kann die Verarbeitung personenbezogener Daten infolge einer wirksamen Einwilligung der betroffenen Person rechtmäßig sein (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 93). Randnummer 93 Eine wirksame Einwilligung der klägerischen Partei im Sinne von Art. 6 Abs. 1 Unterabs. 1 lit. a, Art. 7 DSGVO in die Suchbarkeit ihres Nutzerprofils über die Mobilfunktelefonnummer lag allerdings nicht vor (wie OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 111 ff.; OLG Oldenburg, Urteil vom 21. Mai 2024 – 13 U 100/23, juris Rn. 30 ff.). (
13. aa)Randnummer 94 Nach Art. 6 Abs. 1 Unterabs. 1 lit.
14. a)DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn und soweit die betroffene Person ihre Einwilligung für einen oder mehrere bestimmte Zwecke freiwillig in informierter Weise und unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO erteilt hat (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 91 f.; EuGH, Urteil vom 11. November 2020 – C-61/19, Rn. 35 f.). Dabei gilt es, auch den Grundsatz der Transparenz aus Art. 5 Abs. 1 lit.
15. a)Var. 3 DSGVO zu berücksichtigen (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 113). (
16. bb)Randnummer 95 Soweit die klägerische Partei möglicherweise vor dem 25. Mai 2018 in die Suchbarkeit ihres Profils über die Mobilfunknummer eingewilligt hat, konnte eine solche Einwilligung unter Geltung der DSGVO jedenfalls keine rechtfertigende Wirkung mehr entfalten; denn nach Erwägungsgrund 171 Satz 3 DSGVO musste eine vorab erteilte Einwilligung bereits den Bedingungen der DSGVO entsprechen, um fortzugelten. Daran fehlt es vorliegend, weil auch die im April 2018 von der Beklagten der klägerischen Partei mit Blick auf den Geltungsbeginn der DSGVO zur Verfügung gestellten neuen Nutzungsbedingungen vom 19. April 2018 (Anlage B 19) und die zur Verfügung gestellte neue Datenrichtlinie vom 19. April 2018 (Anlage B 20) den Anforderungen der DSGVO nicht genügen. Hierauf ist allein abzustellen, da die Beklagte zu Änderungen ihrer allgemeinen Nutzungsbedingungen nach dem 19. April 2018, etwa zum 31. Juli 2019 (EuGH, Urteil vom 4. Juli 2023 – C-252/21, Rn. 32), die noch Relevanz haben könnten, nichts vorgetragen hat (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 114). (
17. cc)Randnummer 96 Unter Berücksichtigung der historischen Entwicklung von der Datenschutz-Richtlinie (im Folgenden: DSRL) zur DSGVO und bei europarechts-autonomer Auslegung erfordert eine wirksame Einwilligung seit dem 25. Mai 2018 ein aktives Verhalten des Einwilligenden. Entsprechend Erwägungsgrund 32 Satz 3 DSGVO folgt aus Stillschweigen, bereits angekreuzten Kästchen oder Untätigkeit der betroffenen Person keine Einwilligung mehr (EuGH, Urteil vom 11. November 2020 – C-61/19, Rn. 35 f.; EuGH, Urteil vom 1. Oktober 2019 – C-673/17, Rn. 51 ff., insbesondere Rn. 61 ff.). Randnummer 97 Gemessen daran kann die Beklagte schon allein auf Grund des Umstandes, dass sie mit ihrer Voreinstellung „alle" zur Suchbarkeit zum Zeitpunkt der Bedingungsänderungen am 19. April 2018 unverändert eine „Opt-Out-Einwilligung" vorsah, keine wirksame Einwilligung vorweisen (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 116; OLG Oldenburg, Urteil vom 21. Mai 2024 – 13 U 100/23, juris Rn. 32 ff.). (
18. dd)Randnummer 98 Zudem steht der Annahme einer wirksamen Einwilligung auch entgegen, dass die Beklagte nicht transparent und ausreichend über die Bedeutung der Suchbarkeitseinstellung informiert hat. Eine Einwilligung „in informierter Weise“ (Art. 4 Nr. 11 DSGVO) hätte vorausgesetzt, dass die Beklagte die klägerische Partei transparent über die Suchbarkeit des Nutzerprofils anhand der Telefonnummer informiert hätte. Die Beklagte hat jedoch nicht dargelegt, dies getan zu haben (OLG Oldenburg, Urteil vom 21. Mai 2024 – 13 U 100/23, juris Rn. 33). Es erfolgten nur pauschale Hinweise im ersten Schritt des (Bestätigungs-) Verfahrens zur Anpassung des Nutzungsvertrages an die DSGVO: Randnummer 99 Im zweiten Schritt - nach dem Klick auf „Los geht`s" - folgte ebenfalls keine transparente Information: Randnummer 100 Eine ausreichende Information über die (weiterhin, also ohne individuelle Änderung unverändert voreingestellte) Suchbarkeit hätte sich nur in dem Link zu Nutzungsbedingungen „verbergen" können, da nur zu diesen eine Zustimmung („Ich stimme zu") abgefragt wurde; so heißt es in der Anmerkung zum Zustimmungsfeld nur „Indem du auf „Ich stimme zu" klickst, akzeptierst du die aktualisierten Nutzungsbedingungen". Die Zustimmung „Ich stimme zu" bezieht sich damit ausdrücklich nicht auch auf die Datenrichtlinie, die Cookie-Richtlinie oder die bisherigen Einstellungen hinsichtlich der Daten, der Privatsphäre und der Sicherheit (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 117 ff.; OLG Oldenburg, Urteil vom 21. Mai 2024 – 13 U 100/23, juris Rn. 34). Randnummer 101 Allein unter Ziffer 2 der Nutzungsbedingungen (Anlage B 19), wobei Datenrichtlinie und Einstellung verlinkt sind, heißt es wie folgt: Randnummer 102 „2. Unsere Datenrichtlinie und deine Privatsphäre-Einstellungen Randnummer 103 Wir erfassen und verwenden deine personenbezogenen Daten, um die oben beschrieben Dienste für dich bereitzustellen. In unserer Datenrichtlinie erfährst du, wie wir deine Daten erfassen und verwenden. Randnummer 104 Wir empfehlen dir außerdem, deine Privatsphäre-Einstellungen in deinen Einstellungen zu überprüfen. Diese legen die Art und Weise fest, wie wir Daten verwenden." Randnummer 105 Auch im Übrigen lassen sich den Nutzungsbedingungen vom 19. April 2018 (Anlage B 19) keinerlei Angaben zu Suchbarkeitseinstellungen entnehmen. Randnummer 106 Es wurde somit in keiner Weise überhaupt darauf hingewiesen, dass eine (erneute) Zustimmung zur Datenrichtlinie oder erst recht zu den bisherigen Privatsphäre-Einstellungen erforderlich war. Dies widersprach Erwägungsgrund 42 Satz 2 DSGVO, wonach eine betroffene Person wissen soll, dass und in welchem Umfang eine Einwilligung erteilt wird (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 120 ff.). (
19. ee)Randnummer 107 Folglich hat die Beklagte nicht wie geboten sichergestellt, dass das - wie auch bei der klägerischen Partei - voreingestellte und ab dem 25. Mai 2018 unzulässige Opt-Out entfiel und die fortgesetzte Datenverarbeitung durch eine der DSGVO entsprechende Einwilligung gedeckt wurde. Da zudem seit dem 25. Mai 2018 eine Einwilligung nur durch ein aktives Tun und nicht durch stillschweigendes Akzeptieren von Voreinstellungen erfolgen kann (siehe oben), hätte die Beklagte die Nutzer im Rahmen der Änderung der Nutzungsbedingungen etc. mithin sämtliche bisherigen Voreinstellungen durchlaufen lassen müssen, diese - wie erst seit Mai 2019 möglich - auf „nur ich" voreinstellen und ihre aktive Einwilligung nach umfassender Information zu hiervon abweichenden neuen Einstellungen einholen müssen (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 126). (
20. d)Randnummer 108 Ob die Beklagte ihrer Darlegungslast mit Blick auf mögliche weitere Verstöße gegen die DSGVO zeitlich nach dem Scraping-Vorfall und der Veröffentlichung im Darknet nachgekommen ist, kann dahinstehen; denn hinsichtlich der seitens der klägerischen Partei gerügten Verstöße gegen die Meldepflicht nach Art. 33 DSGVO, die Benachrichtigungspflicht nach Art. 34 DSGVO sowie die Nicht- bzw. Schlechterfüllung des Auskunftsrechts nach Art. 15 DSGVO hat die klägerische Partei keinen konkreten auf die fehlenden Informationen zurückzuführenden Schaden dargelegt noch ist ein solcher sonst ersichtlich. Randnummer 109 Dass das Scrapen aufgrund einer rechtzeitigen Information noch konkret bezüglich der klägerischen Partei hätte verhindert oder die Veröffentlichung des Leak-Datensatzes mitsamt den Daten der klägerischen Partei hätte verhindert werden können, ist schon nicht ersichtlich, hätte aber auch allenfalls zum Entfallen des aus Sicht der klägerischen Partei erst auf Grund der Veröffentlichung entstandenen Schadens und gerade nicht zu einer Vertiefung oder Begründung desselben geführt. Randnummer 110 Dasselbe gilt für eine gerügte Verletzung von Art. 17 (Recht auf Löschung/ „Recht auf Vergessenwerden“) und 18 DSGVO (Recht auf Einschränkung der Verarbeitung) (OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris Rn. 147 ff.; vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 26).
21. dd)Randnummer 111 Der klägerischen Partei ist ein immaterieller Schaden durch die genannten Datenschutzverstöße der Beklagten entstanden.

(1)Randnummer 112 Die von der DSGVO verwandten Begriffe „immaterieller" und „materieller" Schaden sind unionsautonom auszulegen und setzen nach dem Wortlaut der Norm, der Systematik und Telos des Art. 82 Abs. 2, Abs. 1 DSGVO sowie der Art. 77-84 DSGVO und den Erwägungsgründen 75, 85 und 146 DSGVO einen über den schlichten Verstoß gegen die DSGVO hinausgehenden Schaden voraus (so EuGH Urteil vom

1. Mai 2023 - C-300/21, Leitsatz 1 und Rn. 29-42; EuGH, Urteil vom
2. Dezember 2023 – C-456/22, Leitsatz und Rn. 21; EuGH, Urteil vom
3. April 2024 – C-741/21, Leitsatz und Tenor zu
4. und Rn. 32 ff., 43; EuGH, Urteil vom
5. Juni 2024 – C-590/22, Tenor zu
6. und Rn. 20 ff.; Generalanwalt Campos Sánchez-Bordona, Schlussanträge vom
7. Oktober 2022 - C-300/21, juris Rn. 117; OLG Hamm, Urteil vom
8. August 2023 – I-7 U 19/23, Rn. 152). Randnummer 113 Der Begriff des „immateriellen Schadens" ist in Ermangelung eines Verweises in Art. 82 Abs. 1 DSGVO auf das innerstaatliche Recht der Mitgliedstaaten im Sinne dieser Bestimmung autonom unionsrechtlich zu definieren (st. Rspr., EuGH, Urteil vom
9. Juni 2024 - C-590/22, Rn. 31 - PS GbR; EuGH, Urteil vom
10. Januar 2024 - C-687/21, Rn. 64 - MediaMarktSaturn; EuGH, Urteil vom
11. Mai 2023 - C-300/21, Rn. 30 und 44 - Österreichische Post). Dabei soll nach ErwG 146 Satz 3 DSGVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen dieser Verordnung in vollem Umfang entspricht. Der bloße Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung reicht nach der Rechtsprechung des Gerichtshofs jedoch nicht aus, um einen Schadensersatzanspruch zu begründen, vielmehr ist darüber hinaus - im Sinne einer eigenständigen Anspruchsvoraussetzung - der Eintritt eines Schadens (durch diesen Verstoß) erforderlich (st. Rspr., vgl. EuGH, Urteil vom
12. Juni 2024 - C-590/22, Rn. 25 - PS GbR; EuGH, Urteil vom
13. April 2024 - C-741/21, Rn. 34; EuGH, Urteil vom
14. Mai 2023 - C-300/21, Rn. 42 - Österreichische Post; BGH, Urteil vom
15. November 2024 – VI ZR 10/24, Rn. 28 BGH, Urteil vom
16. Januar 2025 – VI ZR 109/23, Rn. 9; BGH, Urteil vom
17. Januar 2025 – VI ZR 109/23, Rn. 12). Randnummer 114 Insoweit hat der Gerichtshof festgestellt, dass aus dem Wortlaut von Art. 82 Abs. 1 DSGVO klar hervorgeht, dass das Vorliegen eines „Schadens“, der entstanden ist, eine der Voraussetzungen für den in dieser Bestimmung vorgesehenen Schadenersatzanspruch darstellt, ebenso wie das Vorliegen eines Verstoßes gegen die DSGVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (EuGH, Urteil vom
18. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, Rn. 32; EuGH, Urteil vom
19. Dezember 2023 – C-340/21, Rn. 77; EuGH, Urteil vom
20. Dezember 2023 – C-456/22, Leitsatz und Rn. 14; EuGH, Urteil vom
21. Januar 2024, MediaMarktSaturn, C-687/21, Rn. 58 mwN; EuGH, Urteil vom
22. April 2024 – C-741/21, Rn. 34).

(2)Randnummer 115 Ein solcher Schaden setzt jedoch - entgegen möglicherweise bestehendem innerstaatlichen Recht (vgl. für das deutsche Deliktsrecht zuletzt etwa BGH, Urteil vom

1. Dezember 2022 - VI ZR 168/21, Rn. 18 mwN) - nach Wortlaut, Erwägungsgründen 10, 146 DSGVO und Telos nicht voraus, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Erheblichkeit erreicht hat (EuGH, Urteil vom
2. Mai 2023 - C-300/21, Rn. 44-51; EuGH, Urteil vom
3. Dezember 2023 – C-456/22, Leitsatz und Rn. 16; EuGH, Urteil vom
4. Januar 2024, MediaMarktSaturn, C-687/21, Rn. 59; EuGH, Urteil vom
5. April 2024 – C-741/21, Rn. 36; EuGH, Urteil vom
6. Juni 2024 – C-590/22, Rn. 26; vgl. auch BAG, Vorlagebeschluss vom
7. August 2021 - 8 AZR 253/20 (A), Rn. 33; offen gelassen BVerfG, Beschluss vom
8. Januar 2021 - 1 BvR 2853/19, Rn. 19 ff.; siehe zu Störungen und Belästigungen sowie Zorn und Ärger in Abgrenzung gegenüber Schäden GA Campos Sánchez-Bordona Schlussanträge vom
9. Oktober 2022 - C-300/21, Rn. 111 ff.; GA Pitruzzella Schlussanträge vom
10. April 2023 - C-340/21, Rn. 79 ff. und insbesondere Rn. 83 und EuGH, Urteil vom
11. Dezember 2023 – C-340/21, Rn. 85 zur von den nationalen Gerichten zu beantwortenden Frage des Schadens im Einzelfall; siehe auch OLG Hamm, Urteil vom
12. August 2023 – I-7 U 19/23, Rn. 154 und unten; BGH, Urteil vom
13. Januar 2025 – VI ZR 109/23, Rn. 9).

(3)Randnummer 116 Weiter ist im vorliegenden Fall festzustellen, dass Art. 82 Abs. 1 DSGVO nicht danach unterscheidet, ob der infolge eines erwiesenen Verstoßes gegen die Bestimmungen der DSGVO von der betroffenen Person behauptete „immaterielle Schaden“ mit einer zum Zeitpunkt ihres Schadenersatzantrags bereits erfolgten missbräuchlichen Verwendung ihrer personenbezogenen Daten durch Dritte verbunden ist oder ob er mit ihrer Angst verknüpft ist, dass eine solche Verwendung in Zukunft erfolgen könnte (EuGH, Urteil vom 14. Dezember 2023 – C-340/21, Rn. 79).

(4)Randnummer 117 Somit schließt der Wortlaut von Art. 82 Abs. 1 DSGVO nicht aus, dass der in dieser Bestimmung enthaltene Begriff „immaterieller Schaden“ eine Situation wie die hiesige umfasst, in der sich die betroffene Person, um Schadenersatz nach dieser Bestimmung zu erhalten, auf ihre Befürchtung beruft, dass ihre personenbezogenen Daten aufgrund des eingetretenen Verstoßes gegen die DSGVO in Zukunft von Dritten missbräuchlich verwendet werden (EuGH, Urteil vom

1. Dezember 2023 – C-340/21, Rn. 80; EuGH, Urteil vom
2. Juni 2024 – C-590/22, Tenor zu
3. und Rn. 29 ff.). Randnummer 118 Diese wörtliche Auslegung wird zweitens durch den
4. Erwägungsgrund der DSGVO bestätigt, der speziell den in Art. 82 Abs. 1 DSGVO vorgesehenen Schadenersatzanspruch betrifft und in dessen drittem Satz es heißt, dass „[d]er Begriff des Schadens… im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden [sollte], die den Zielen dieser Verordnung in vollem Umfang entspricht.“ Eine Auslegung des Begriffs „immaterieller Schaden“ im Sinne von Art. 82 Abs. 1 DSGVO, die nicht die Fälle umfasst, in denen die von einem Verstoß gegen die DSGVO betroffene Person sich auf die Befürchtung beruft, dass ihre eigenen personenbezogenen Daten in Zukunft missbräuchlich verwendet werden, entspräche jedoch nicht einer weiten Auslegung dieses Begriffs, wie sie vom Unionsgesetzgeber beabsichtigt ist (vgl. entsprechend EuGH, Urteil vom
5. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, Rn. 37 und 46; EuGH, Urteil vom
6. Dezember 2023 – C-340/21, Rn. 81). Randnummer 119 Weiterhin hat der Gerichtshof in seiner jüngeren Rechtsprechung unter Bezugnahme auf ErwG 85 DSGVO (vgl. ferner ErwG 75 DSGVO) klargestellt, dass schon der - selbst kurzzeitige - Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann, ohne dass dieser Begriff des „immateriellen Schadens" den Nachweis zusätzlicher spürbarer negativer Folgen erfordert (EuGH, Urteil vom
7. Oktober 2024 - C-200/23, juris Rn. 145, 156 i.V.m. 137- Agentsia po vpisvaniyata; EuGH, Urteil vom
8. Juni 2024 - C-590/22, Rn. 33 - PS GbR; EuGH, Urteil vom
9. April 2024 - C-741/21, Rn. 42; vgl. zuvor bereits EuGH, Urteil vom
10. Januar 2024 - C-687/21, Rn. 66 - MediaMarktSaturn; EuGH, Urteile vom
11. Dezember 2023 - C-456/22, Rn. 17-23 - Gemeinde Ummendorf sowie - C-340/21, Rn. 82 - Natsionalna agentsia za prihodite). Im ersten Satz des
12. Erwägungsgrundes der DSGVO heißt es, dass „[e]ine Verletzung des Schutzes personenbezogener Daten … - wenn nicht rechtzeitig und angemessen reagiert wird - einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen [kann], wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste … oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile für die betroffene natürliche Person". Aus dieser beispielhaften Aufzählung der „Schäden", die den betroffenen Personen entstehen können, geht nach der Rechtsprechung des Gerichtshofs hervor, dass der Unionsgesetzgeber unter den Begriff „Schaden" insbesondere auch den bloßen Verlust der Kontrolle („the mere loss of control", „la simple perte de contrôle") über ihre eigenen Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung fassen wollte, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil dieser Personen erfolgt sein sollte (EuGH, Urteil vom
13. Oktober 2024 - C-200/23, juris Rn. 145 - Agentsia po vpisvaniyata; EuGH, Urteil vom
14. Dezember 2023 - C-340/21, Rn. 82 - Natsionalna agentsia za prihodite; BGH, Urteil vom
15. November 2024 – VI ZR 10/24, Rn. 30; BGH, Urteil vom
16. Januar 2025 – VI ZR 109/23, Rn. 16 f.). Randnummer 120 Drittens und letztens wird die so vorgenommene Auslegung durch die Ziele der DSGVO gestützt, denen die Definition des Begriffs „Schaden“ in vollem Umfang entsprechen muss, wie es im dritten Satz des
17. Erwägungsgrundes der DSGVO heißt. Eine Auslegung von Art. 82 Abs. 1 DSGVO dahin, dass der Begriff „immaterieller Schaden“ im Sinne dieser Bestimmung keine Situationen umfasst, in denen sich eine betroffene Person nur auf ihre Befürchtung beruft, dass ihre Daten in Zukunft von Dritten missbräuchlich verwendet werden, wäre jedoch nicht mit der Gewährleistung eines hohen Schutzniveaus für natürliche Personen bei der Verarbeitung personenbezogener Daten in der Union vereinbar, die mit diesem Rechtsakt bezweckt wird (EuGH, Urteil vom
18. Dezember 2023 – C-340/21, Rn. 83; vgl. zum Ganzen auch: BGH, Beschluss vom
19. September 2023 – VI ZR 97/22, Vorlagefrage 4 und Rn. 31).

(5)Randnummer 121 Allerdings muss eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie negative Folgen gehabt hat, nachweisen, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen (vgl. in diesem Sinne EuGH, Urteil vom

1. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, Rn. 50; EuGH, Urteil vom
2. Dezember 2023 – C-340/21, Rn. 84; EuGH, Urteil vom
3. Dezember 2023 – C-456/22, Leitsatz und Rn. 21; EuGH, Urteil vom
4. Januar 2024 – C-687/21, Leitsatz 4; EuGH, Urteil vom
5. April 2024 – C-741/21, Rn. 35). Randnummer 122 Die Ablehnung einer Erheblichkeitsschwelle bedeutet nicht, dass eine Person, die von einem Verstoß gegen die Datenschutz-Grundverordnung betroffen ist, der für sie negative Folgen gehabt hat, vom Nachweis befreit wäre, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 dieser Verordnung darstellen (EuGH, Urteil vom
6. Juni 2024 - C-590/22, Rn. 27 - PS GbR; EuGH, Urteil vom
7. April 2024 - C-741/21, Rn. 36; BGH, Urteil vom
8. November 2024 – VI ZR 10/24, Rn. 29; BGH, Urteil vom
9. Januar 2025 – VI ZR 109/23, Rn. 12). Randnummer 123 Auch insoweit muss die betroffene Person den Nachweis erbringen, dass sie einen solchen - d.h. in einem bloßen Kontrollverlust als solchem bestehenden - Schaden erlitten hat (vgl. EuGH, Urteil vom
10. Juni 2024 - C-590/22, Rn. 33 - PS GbR; EuGH, Urteil vom
11. April 2024 - C-741/21, Rn. 36 und 42). Ist dieser Nachweis erbracht, steht der Kontrollverlust also fest, stellt dieser selbst den immateriellen Schaden dar und es bedarf keiner sich daraus entwickelnden besonderen Befürchtungen oder Ängste der betroffenen Person; diese wären lediglich geeignet, den eingetretenen immateriellen Schaden noch zu vertiefen oder zu vergrößern (BGH, Urteil vom
12. November 2024 – VI ZR 10/24, Rn. 31; BGH, Urteil vom
13. Januar 2025 – VI ZR 109/23, Rn. 17). Randnummer 124 Insbesondere muss das angerufene nationale Gericht, wenn sich eine Person, die auf dieser Grundlage Schadenersatz fordert, auf die Befürchtung beruft, dass ihre personenbezogenen Daten in Zukunft aufgrund eines solchen Verstoßes missbräuchlich verwendet werden, prüfen, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann (EuGH, Urteil vom
14. Dezember 2023 – C-340/21, Rn. 85). Randnummer 125 Entsprechend stellt der Gerichtshof auch darauf ab, dass die „konkret erlittenen Schäden" vollständig ausgeglichen werden müssen (EuGH, Urteil vom
15. Mai 2023 - C-300/21, Rn. 58; EuGH, Urteil vom
16. Dezember 2023 – C-340/21, Rn. 84; EuGH, Urteil vom
17. Dezember 2023 – C-456/22, Rn. 22; EuGH, Urteil vom
18. Dezember 2023 – C-667/21, Leitsatz 4; OLG Hamm, Urteil vom
19. August 2023 – I-7 U 19/23, Rn. 155). Randnummer 126 Die Annahme eines solchen konkreten Schadens setzt in unionsautonomer Auslegung nach ständiger Rechtsprechung des Gerichtshofs voraus, dass dieser „tatsächlich und sicher" besteht (vgl. etwa zur Haftung der Union im Sinne von Art. 340 Abs. 2 AEUV (Amtshaftung für von EU-Bediensteten oder Organen verursachte Schäden) jeweils mwN: EuGH, Urteil vom
20. Dezember 2018 - C-150/17 P, Rn. 86; EuGH, Urteil vom
21. Mai 2017 - C-45/15 P, Rn. 61; EuGH, Urteil vom
22. April 2017 - C-337/15 P, Rn. 91-94; zur Haftung von Privatpersonen im Sinne von Art. 94 VO/2100/94: EuGH Urteil vom
23. März 2023 - C-522/21, Rn. 38, 46, 49, wobei unter Rn. 37 dargestellt wird, dass ein pauschal festzusetzender Strafschadensersatz wie bei Art. 83 und 84 DSGVO ausscheidet; zur Haftung von Mitgliedstaaten nach nationalem Recht wegen Verstoßes gegen Unionsrecht: EuGH, Urteil vom
24. März 2021 - C-501/18, Rn. 112, 122, 127; OLG Hamm, Urteil vom
25. August 2023 – I-7 U 19/23, Rn. 156). Randnummer 127 Insoweit hat der Gerichtshof bereits entschieden, dass Art. 82 DSGVO – anders als andere, ebenfalls in Kapitel VIII dieser Verordnung enthaltene Bestimmungen, und zwar ihre Art. 83 und 84, die im Wesentlichen einen Strafzweck haben, da sie die Verhängung von Geldbußen und anderen Sanktionen erlauben – keine Straf-, sondern eine Ausgleichsfunktion hat. Das Verhältnis zwischen den in Art. 82 DSGVO und den in den Art. 83 und 84 DSGVO enthaltenen Vorschriften zeigt, dass zwischen diesen beiden Kategorien von Bestimmungen ein Unterschied besteht, sie einander aber als Anreiz zur Einhaltung der DSGVO auch ergänzen, wobei das Recht jeder Person, den Ersatz eines Schadens zu verlangen, die Durchsetzungskraft der in dieser Verordnung vorgesehenen Schutzvorschriften erhöht und geeignet ist, von der Wiederholung rechtswidriger Verhaltensweisen abzuschrecken (vgl. u. a. EuGH, Urteil vom
26. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten] - C-300/21, Rn. 38 und 40, EuGH, Urteil vom
27. April 2024 - C-741/21, Rn. 59; EuGH, Urteil vom
28. Juni 2024 – C-182/22 und C-189/22, Rn. 22 ff.). Art. 82 Abs. 1 DSGVO ist dahin auszulegen, dass der in dieser Bestimmung vorgesehene Schadenersatzanspruch ausschließlich eine Ausgleichsfunktion erfüllt, da eine auf diese Bestimmung gestützte Entschädigung in Geld es ermöglichen soll, den erlittenen Schaden in vollem Umfang auszugleichen (EuGH, Urteil vom
29. Juni 2024 – C-182/22 und C-189/22, Rn. 24). Randnummer 128 Aber auch dann, wenn ein Kontrollverlust nicht nachgewiesen werden kann, reicht die begründete Befürchtung einer Person, dass ihre personenbezogenen Daten aufgrund eines Verstoßes gegen die Verordnung von Dritten missbräuchlich verwendet werden, aus, um einen Schadensersatzanspruch zu begründen (vgl. EuGH, Urteil vom
30. Januar 2024 - C-687/21, Rn. 67 - MediaMarktSaturn; EuGH, Urteil vom
31. Dezember 2023 - C-340/21, Rn. 85 - Natsionalna agentsia za prihodite). Die Befürchtung samt ihrer negativen Folgen muss dabei ordnungsgemäß nachgewiesen sein (vgl. EuGH, Urteil vom
32. Juni 2024 - C-590/22, Rn. 36 - PS GbR; EuGH, Urteil vom
33. Dezember 2023 - C-340/21, Rn. 75-86 - Natsionalna agentsia za prihodite). Demgegenüber genügt die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten (vgl. EuGH, Urteil vom
34. Juni 2024 - C-590/22, Rn. 35 - PS GbR; EuGH, Urteil vom
35. Januar 2024 - C-687/21, Rn. 68 – MediaMarktSaturn; BGH, Urteil vom
36. November 2024 – VI ZR 10/24, Rn. 32; BGH, Urteil vom
37. Januar 2025 – VI ZR 109/23, Rn. 19).

(6)Randnummer 129 Der Betroffene, der Ersatz des immateriellen Schadens verlangt, muss folglich geltend machen (und ggf. nachweisen), dass der Verstoß gegen die Datenschutz-Grundverordnung negative Folgen für ihn gehabt hat, die einen immateriellen Schaden darstellen (BGH, Urteil vom

1. November 2024 – VI ZR 10/24, Rn. 33). Randnummer 130 Das Risiko der Nichterweislichkeit - auch in Bezug auf das konkrete Ausmaß eines etwaigen Schadens - verbleibt beim Anspruchsteller (vgl. EuGH, Urteil vom
2. April 2024 - C-741/21, Rn. 35; BGH, Urteil vom
3. November 2024 – VI ZR 10/24, Rn. 37).

(7)Randnummer 131 Diesen Darlegungserfordernissen genügt das Vorbringen der klägerischen Partei (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 38 ff.). (

1. a)Randnummer 132 Der Scraping-Vorfall bei der Beklagten als solcher steht ebenso fest wie die anschließende Veröffentlichung der abgegriffenen Daten im Internet. Die klägerische Partei hat bereits erstinstanzlich den Inhalt des von den Scrapern geleakten, auf ihn bezogenen Datensatzes in Form eines wörtlichen Zitats wiedergegeben und geltend gemacht, es handele sich um seine Mobiltelefonnummer, Name, Facebook-ID, Geschlecht, Beziehungsstatus und Arbeitgeber. Zum Kontrollverlust hat die klägerische Partei angegeben, ihre Telefonnummer stets bewusst und zielgerichtet weiterzugeben und diese nicht wahl- und grundlos der Öffentlichkeit, wie etwa im Internet, zugänglich zu machen. Randnummer 133 Zu den weitergehenden Folgen hat die klägerische Partei vorgetragen, wegen des Scraping-Vorfalls in einem Zustand großen Unwohlseins und großer Sorge über möglichen Missbrauch der sie betreffenden Daten verblieben zu sein. Dies manifestiere sich unter anderem in einem verstärkten Misstrauen bezüglich E-Mails und Anrufen von unbekannten Nummern und Adressen. Seit dem Vorfall erhalte sie unregelmäßig unbekannte Kontaktversuche via SMS und/ oder Anrufen. Diese enthielten Nachrichten mit offensichtlichen Betrugsversuchen und Phishing-Attacken. Das habe dazu geführt, dass sie nur noch mit äußerster Vorsicht auf jegliche E-Mails und Nachrichten reagieren könne und jedes Mal einen Betrug fürchte und Unsicherheit verspüre. Zur aufgewendeten Zeit und Mühe trug die klägerische Partei vor, sie habe sich mit dem „Datenleak" auseinandersetzen, den Sachverhalt ermitteln, sich um eine Auskunft der Beklagten kümmern und selbst weitere Maßnahmen ergreifen müssen. (
2. b)Randnummer 134 Dieses Vorbringen genügt sowohl hinsichtlich des eingetretenen Kontrollverlustes bezüglich ihrer oben genannten Daten als auch hinsichtlich der sich hieraus entwickelnden besonderen Befürchtungen und Bemühungen den Anforderungen an einen hinreichend substantiierten Klagevortrag. Insbesondere war die klägerische Partei nicht gehalten, im Einzelnen auszuführen, welchen anderen Personen sie ihre Daten - insbesondere ihre Telefonnummer - offengelegt hat. Es genügt jedenfalls, wenn sie wie hier angibt, dies zuvor bewusst und ausgewählt getan zu haben, d.h. die Daten nicht allgemein veröffentlicht zu haben. Randnummer 135 Die Darlegungslast wird auch nicht dadurch erhöht, dass die Telefonnummer im Vergleich zu den in Art. 9 DSGVO genannten besonders sensiblen Daten weniger geheimhaltungsbedürftig ist. Dieser Umstand mag sich zwar auf die Höhe eines etwaigen Schadensersatzanspruches auswirken, beeinflusst die prozessuale Darlegungslast zum Anspruch dem Grunde nach hingegen nicht. Das Risiko, auch Dritte könnten ihre Telefonnummer nicht datenschutzkonform verarbeiten, steht - solange sich dieses nicht unstreitig vor dem Eintritt des Scraping-Vorfalls verwirklicht hatte - der Darlegung eines Kontrollverlusts nicht entgegen. Insoweit unterscheidet sich der durch das Scraping und die dauerhafte Preisgabe der mit dem Namen der klägerischen Partei verknüpften Telefonnummer im Internet behauptete Kontrollverlust wesentlich von den Risiken, die mit einer bewussten und zielgerichteten Weitergabe der Telefonnummer an bestimmte Empfänger verbunden sind (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 38 ff.).

(8)Randnummer 136 Vorliegend hat die klägerische Partei einen Kontrollverlust mit nachfolgenden Unannehmlichkeiten auch nachgewiesen, nicht aber weitergehende psychische Beeinträchtigungen. (

1. a)Randnummer 137 Ein Kontrollverlust liegt vor. Randnummer 138 Entgegen der von der Beklagten in der mündlichen Verhandlung geäußerten Rechtsauffassung ist ein Kontrollverlust nicht deshalb ausgeschlossen, weil Name und Mobilnummer der klägerischen Partei in einem online leicht zu findenden Telefonbuch angegeben sind. Kontrolle über seine Daten - insbesondere seine Telefonnummer - hat, wer sie bewusst und ausgewählt offenlegt, d.h. sie nicht allgemein veröffentlicht (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 41). Dass dies der Fall gewesen ist, steht nicht zur Überzeugung des Senats fest. Die klägerische Partei war, als der Beklagtenvertreter sie im Rahmen der mündlichen Verhandlung auf das Telefonbuch angesprochen hat, völlig überrascht. An der dort angegebenen Adresse wohnt sie seit 25 Jahren nicht mehr. Ob sie der Veröffentlichung zugestimmt hat, konnte sie nicht erinnern. Dieses Gesamtbild spricht zur Überzeugung des Senats dagegen, dass die klägerische Partei sich vor 25 Jahren entschlossen hat, ihre Telefonnummer allgemein zu veröffentlichen. Randnummer 139 Der Scraping-Vorfall bei der Beklagten als solcher steht ebenso fest wie die anschließende Veröffentlichung der abgegriffenen Daten und deren Verfügbarkeit im Internet. Die klägerische Partei hat bereits erstinstanzlich den Inhalt des von den Scrapern geleakten, auf sie bezogenen Datensatzes in Form eines wörtlichen Zitats wiedergegeben und geltend gemacht, es handele sich um ihre Mobiltelefonnummer, Name, Facebook-ID, Geschlecht, Beziehungsstatus und Arbeitgeber. Randnummer 140 Zum Kontrollverlust hat die klägerische Partei angegeben, diese Daten und insbesondere ihre Telefonnummer stets bewusst und zielgerichtet weiterzugeben und diese nicht wahl- und grundlos der Öffentlichkeit, wie etwa im Internet, zugänglich zu machen. Randnummer 141 Insofern hat ihre Anhörung vor dem Senat ergeben, dass die klägerische Partei zwar zuvor in vielerlei Form im Internet unterwegs war und ist, nicht aber, dass ihre Mobiltelefonnummer in Zusammenhang mit ihrem Namen (hierum geht es im Wesentlichen) bereits zuvor derart öffentlich bzw. häufig Verwendung gefunden hätte, dass bereits vor dem streitgegenständlichen Vorfall von einem Verlust der Kontrolle hierüber anzunehmen wäre. Die klägerische Partei hat insofern zwar angegeben, auf diversen Social-Media-Plattformen angemeldet zu sein, nämlich neben Facebook noch bei Steam und X (Twitter), und auch Streamingdienste wie Netflix sowie Messengerdienste wie WhatsApp zu nutzen. Daneben hat sie eine Online-Präsenz, die sie als E-Mail nutzt, auf der ihr Klarname und ihre E-Mail-Adresse zu finden sind. Sie hat aber deutlich gemacht, darauf zu achten, möglichst wenig Daten öffentlich werden zu lassen und vor allem ihre Telefonnummer gegenüber dem jeweiligen Dienst nur anzugeben, wenn dies für eine Zwei-Faktor-Authentifizierung oder aus sonstigen Gründen unabweislich notwendig sei. In sozialen Plattformen, wie der von der Beklagten betriebenen, habe sie die Einstellungen stets so gewählt, dass allein sie selbst / nur Freunde die Telefonnummer sehen könne. Im beruflichen Verkehr nutze sie ihre private Telefonnummer nicht. Es gebe zwar eine Umstellung von der beruflichen Telefonanlage auf ihre private Mobilnummer; diese sei aber für die Anrufer nicht zu sehen. Eine eigene Internetseite unterhalte sie nicht. Auch wenn sie im Internet einkaufe, gebe sie nur die unumgänglich notwendigen Daten an, um das Einkaufen und insbesondere die Lieferung der gekauften Waren zu ermöglichen. Die Telefonnummer gebe sie nur an, wenn sich der Verlauf der Lieferung nicht anders nachverfolgen lasse. Randnummer 142 Der Senat ist von der Richtigkeit dieser Angaben überzeugt. Die klägerische Partei hat sich freimütig und offen zu ihrem Verhalten in der digitalen Welt geäußert. Gründe, an der Richtigkeit ihrer Angaben zu zweifeln, sind nicht ersichtlich. Ein Kontrollverlust ist damit durch den streitgegenständlichen Vorfall eingetreten. (
2. b)Randnummer 143 Weitergehende psychische Beeinträchtigungen hat die klägerische Partei hingegen nicht bewiesen. Randnummer 144 Zu den weitergehenden Folgen hat die klägerische Partei schriftsätzlich geäußert, wegen des Scraping-Vorfalls in einem Zustand großen Unwohlseins und großer Sorge über möglichen Missbrauch der sie betreffenden Daten zu sein. Dies manifestiere sich unter anderem in einem verstärkten Misstrauen bezüglich E-Mails und Anrufen von unbekannten Nummern und Adressen. Seit dem Vorfall erhalte sie unregelmäßig unbekannte Kontaktversuche via SMS und E-Mail. Diese enthielten Nachrichten mit offensichtlichen Betrugsversuchen und Phishing-Attacken. Das habe dazu geführt, dass sie nur noch mit äußerster Vorsicht auf jegliche E-Mails und Nachrichten reagieren könne und jedes Mal einen Betrug fürchte und Unsicherheit verspüre. Randnummer 145 Zur aufgewendeten Zeit und Mühe hat die klägerische Partei vorgetragen, sie habe sich mit dem „Datenleak" auseinandersetzen, den Sachverhalt ermitteln, sich um eine Auskunft der Beklagten kümmern und selbst weitere Maßnahmen ergreifen müssen. Randnummer 146 Eine über den Kontrollverlust hinausgehende psychische Beeinträchtigung liegt darin zur Überzeugung des Senats nicht. Die klägerische Partei hat bei ihrer Anhörung auf den Senat nicht den Eindruck gemacht, besondere Sorge hinsichtlich möglichen Missbrauchs ihrer Daten zu haben. Sie ist nach wie vor vielfach im Internet aktiv, hat ihre Telefonnummer nicht geändert und schildert auch abnehmende Unannehmlichkeiten durch Spam-Mails, Anrufe unbekannter Dritter oder Betrugsversuche. Randnummer 147 Die vorstehenden Umstände sind aber bei der Bemessung der Höhe des Schadensersatzes zu berücksichtigen.

(9)Randnummer 148 Soweit der Beklagten möglicherweise ein Verstoß gegen die Meldepflicht nach Art. 33 Abs. 1 DSGVO, die Benachrichtigungspflicht nach Art. 34 Abs. 1 DSGVO wegen einer unterlassenen Meldung des Datenschutzvorfalls vorzuwerfen ist, hat die klägerische Partei jedenfalls keine immateriellen Schäden geltend gemacht, die auf diesen Verstoß zurückzuführen sind (vgl. BGH, Urteil vom

1. November 2024 – VI ZR 10/24, Rn. 26). Randnummer 149 Dabei kann dahinstehen, ob - wie dies die Beklagte geltend macht - ein Verstoß gegen diese Vorschriften nicht in den Schutzbereich von Art. 82 DSGVO fällt, weil der Datenschutzverstoß nicht im Zuge einer Verarbeitung entstanden sein soll. Denn die behaupteten immateriellen Schäden in Form von Angst, Sorge, Unwohlsein sowie Belästigung durch Spam-Anrufe bzw. Spam-SMS könnten, selbst wenn man sie im Rahmen des Art. 82 Abs. 1 DSGVO ausreichen lassen wollte (vgl. dazu Vorlagefrage 4 in: BGH, Beschluss vom
2. September 2023 – VI ZR 97/22, Rn. 31), jedenfalls nicht kausal auf einen Verstoß der Beklagten gegen Art. 33 Abs. 1, 34 Abs. 1 DSGVO zurückgeführt werden. Dabei kommt es auch nicht auf die Frage der genauen Verteilung der Darlegungs- und Beweislast für die Kausalitätsfragen im Rahmen des Art. 82 Abs. 1 DSGVO (dazu OLG Stuttgart, Urteil vom
3. März 2021 - 9 U 34/21 – im darauf folgenden Verfahren vor dem BGH - VI ZR 111/21 ist die Klage zurückgenommen worden) an. Denn die für diese Schäden nach eigenen Angaben der klägerischen Partei maßgebliche Veröffentlichung der Telefonnummer in Verbindung mit seinem Namen im sogenannten Darknet hätte - anderes macht auch die klägerische Partei selbst gar nicht geltend - durch eine Meldung der Beklagten bei ihr oder der Aufsichtsbehörde offensichtlich nicht mehr verhindert werden können. Die klägerische Partei hat auch nichts dazu vorgetragen - und es ist auch sonst nicht ersichtlich - ob und in welcher Weise sie sich bei früherer Information der Beklagten vor den angeblich erlittenen Schäden (Angst, Unsicherheit, Misstrauen, Belästigung durch Anrufe etc.) geschützt hätte bzw. wie sie die irische Datenschutzbehörde bei einer frühzeitigen Information vor diesen angeblichen Auswirkungen hätte schützen können. Randnummer 150 Soweit die klägerische Partei sich im Rahmen der Verstöße gegen Art. 33 Abs. 1, 34 Abs. 1 DSGVO darauf beruft, sie hätte bei früherer Information zeitnah Schritte zur Risikominimierung und Absicherung einleiten können, ist auch dies kein hinreichender Vortrag, um einen bei ihr entstandenen immateriellen Schaden feststellen zu können. Auch hier fehlen jegliche Angaben der klägerischen Partei dazu, um welche Schritte es sich gehandelt hätte und welche Auswirkungen sie gehabt hätten - zumal sie wie gezeigt - die Sicherheitseinstellungen im Profil nicht geändert und auch ihre Telefonnummer beibehalten hat. Soweit die klägerische Partei behauptet, dass die von Seiten der Beklagten unterlassene Meldung des Vorfalls bei der Aufsichtsbehörde ihren Schaden vertieft bzw. intensiviert habe, ist auch dieser Vortrag - trotz entsprechender Rüge der Beklagten - pauschal und unsubstantiiert geblieben.

(10)Randnummer 151 Soweit die klägerische Partei ihren Schadensersatzanspruch schließlich auf eine Verletzung von Art. 15 DSGVO im Hinblick auf eine vermeintlich unzureichende Auskunft der Beklagten über den Scraping-Vorfall stützt, greift auch dies nicht durch. Dabei kann auch hier dahinstehen, ob ein Verstoß gegen diese Vorschrift in den Schutzbereich von Art. 82 DSGVO fällt. Denn die Beklagte hat im Hinblick auf die von der klägerischen Partei geforderte Auskunft ihre Verpflichtung aus Art. 15 DSGVO nicht verletzt, da sie weder eine verspätete noch eine unvollständige Auskunft erteilt hat. Randnummer 152 Die Prozessbevollmächtigten der klägerischen Partei haben mit Schreiben vom

1. November 2021 (Anlage K 1) Auskunft darüber gefordert, „ob Sie unsere Mandantschaft betreffende personenbezogene Daten ... im Zusammenhang mit dem im April 2021 bekannt gewordenen Datenschutzvorfall verarbeiten". Insofern bezog sich das außergerichtliche klägerische Auskunftsersuchen ausdrücklich nur auf den streitgegenständlichen Scraping-Vorfall. Zu diesem Auskunftsersuchen hat die Beklagte in der Folgezeit - nach dem Vortrag der klägerischen Partei mit Schreiben vom
2. August 2021 (Anlage K 2), nach dem Vortrag der Beklagten mit dem inhaltlich im wesentlichen gleichlautenden Schreiben vom
3. November 2021 (Anlage B 16) - auch Stellung genommen. Sie hat hinsichtlich der allgemein von ihr verarbeiteten Daten der klägerischen Partei auf ihr Information-Tool verwiesen und hinsichtlich der konkret verlangten Auskünfte über den Scraping-Vorfall mitgeteilt, es handele sich dabei nicht um eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, so dass der Anwendungsbereich des Art. 15 DSGVO nicht eröffnet sei. Insofern liegt eine Auskunft vor, die erkennbar den Gegenstand des berechtigten Auskunftsbegehrens der klägerischen Partei vollständig abdeckt. Eine Verletzung von Art. 15 Abs. 1 DSGVO durch die Beklagte scheitert daran, dass sie die Auskunft hinsichtlich der allgemeinen Daten der klägerischen Partei - soweit eine solche überhaupt verlangt worden sein sollte - (unstreitig) erfüllt hat und sich hinsichtlich der von der klägerischen Partei primär begehrten Daten bezüglich des Scraping-Vorfalls - Namen der Scraper, Datum des Zugriffs etc. - jedenfalls von Anfang an auf Unmöglichkeit berufen konnte. Randnummer 153 Soweit die klägerische Partei in diesem Zusammenhang die Entscheidung des Gerichtshofs vom
4. Januar 2023 (C-154/21) zur Reichweite des Auskunftsanspruchs anführt, kann auch dies der Berufung nicht zum Erfolg verhelfen. Der Europäische Gerichtshof hat zwar die Regelung in Art. 15 Abs. 1 lit. c) DSGVO dahingehend ausgelegt, dass sich das Auskunftsrecht des Betroffenen gegen den Verantwortlichen auch auf die Identität des Empfängers der Daten bezieht. Er hat jedoch gleichzeitig klargestellt, dass diese Verpflichtung zur Auskunft über die Identität des Empfängers nicht eingreift, wenn es dem Verantwortlichen - wie vorliegend der Fall - nicht möglich ist, die Empfänger zu identifizieren und sich in diesen Fällen das Auskunftsrecht auf Informationen über die Kategorie von Empfängern bezieht (EuGH, Urteil vom
5. Januar 2023 – C-154/21, Tenor und Rn. 28 ff., 51). Randnummer 154 Auch auf die weitere Rechtsfrage, ob ein Auskunftsbegehren nach Art. 15 Abs. 1 DSGVO dann schon als erfüllt anzusehen ist, wenn der Auskunftspflichtige nur deutlich machen kann, sich vollständig erklärt zu haben (u.a. BGH, Urteil vom
6. Juni 2021 - VI ZR 576/19, Rn. 19) und die Frage der inhaltlichen Richtigkeit und Vollständigkeit dann möglicherweise im Verfahren auf Abgabe einer eidesstattlichen Versicherung (§§ 259, 260 BGB analog) zu klären wäre, kommt es wegen der Unmöglichkeit - die ganz zweifelsfrei den Anspruch zu Fall bringt - nicht mehr an. ee) Randnummer 155 Der klägerischen Partei steht der Höhe nach ein Anspruch in Höhe von € 300,00 zu.

(1)Randnummer 156 Die Datenschutz-Grundverordnung enthält keine Bestimmung über die Bemessung des aus Art. 82 Abs. 1 DSGVO geschuldeten Schadensersatzes. Insbesondere können aufgrund des unterschiedlichen Zwecks der Vorschriften nicht die in Art. 83 DSGVO genannten Kriterien herangezogen werden (EuGH, Urteil vom

1. Oktober 2024 - C-507/23, juris Rn. 39 ff. - Patērētāju tiesību aizsardzības centrs; EuGH, Urteil vom
2. April 2024 - C-741/21, Rn. 57, 62). Die Bemessung richtet sich vielmehr entsprechend dem Grundsatz der Verfahrensautonomie nach den innerstaatlichen Vorschriften über den Umfang der finanziellen Entschädigung (EuGH, Urteil vom
3. April 2024 - C-741/21, Rn. 58; EuGH, Urteil vom
4. Januar 2024 - C-687/21, Rn. 53 - MediaMarktSaturn; EuGH, Urteil vom
5. Dezember 2023 - C-667/21, Rn. 83 und 101 - Krankenversicherung Nordrhein; jeweils mwN). In Deutschland ist somit insbesondere die Verfahrensvorschrift des § 287 ZPO anzuwenden (BAG, NJW 2022, 2779 Rn. 14; BGH, Urteil vom
6. November 2024 – VI ZR 10/24, Rn. 93).

(2)Randnummer 157 Die innerstaatliche Verfahrensautonomie bei der Ermittlung des nach Art. 82 DSGVO zu ersetzenden Schadens unterliegt indes mehreren aus dem Unionsrecht folgenden Einschränkungen (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 94 ff.). (

1. a)Randnummer 158 Die Modalitäten der Schadensermittlung dürfen bei einem - wie im Streitfall - unter das Unionsrecht fallenden Sachverhalt nicht ungünstiger sein als diejenigen, die gleichartige Sachverhalte regeln, die dem innerstaatlichen Recht unterliegen (Äquivalenzgrundsatz). Auch dürfen sie die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz) (vgl. EuGH, Urteil vom 4. Oktober 2024 - C-507/23, juris Rn. 31 - Patērētāju tiesību aizsardzības centrs; EuGH, Urteil vom 20. Juni 2024 - C-182/22 und C-189/22, Rn. 32 - Scalable Capital; EuGH, Urteil vom 4. Mai 2023 - C-300/21, Rn. 53 - Österreichische Post; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 95). (
2. b)Randnummer 159 In Anbetracht der Ausgleichsfunktion des in Art. 82 DSGVO vorgesehenen Schadenersatzanspruchs, wie sie in ErwG 146 Satz 6 DSGVO zum Ausdruck kommt, ist eine auf Art. 82 DSGVO gestützte Entschädigung in Geld als „vollständig und wirksam" anzusehen, wenn sie es ermöglicht, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen; eine Abschreckungs- oder Straffunktion soll der Anspruch aus Art. 82 Abs. 1 DSGVO dagegen nicht erfüllen (vgl. EuGH, Urteil vom 20. Juni 2024 - C-590/22, Rn. 42 - PS GbR; vgl. auch EuGH, Urteil vom 4. Oktober 2024 - C-507/23, juris Rn. 43 f. - Patērētāju tiesību aizsardzības centrs; EuGH, Urteile vom 20. Juni 2024 - C-182/22 und C-189/22, Rn. 23 - Scalable Capital; EuGH, Urteil vom 11. April 2024 - C-741/21, Rn. 59; EuGH, Urteil vom 25. Januar 2024 - C-687/21, Rn. 47 - MediaMarktSaturn). Folglich darf weder die Schwere des Verstoßes gegen die Datenschutz-Grundverordnung, durch den der betreffende Schaden entstanden ist, berücksichtigt werden, noch der Umstand, ob ein Verantwortlicher mehrere Verstöße gegenüber derselben Person begangen (EuGH, Urteil vom 11. April 2024 - C-741/21, Rn. 60 und 64 f.) und ob er vorsätzlich gehandelt hat (EuGH, Urteile vom 20. Juni 2024 - C-182/22 und C-189/22, Rn. 29 f. - Scalable Capital; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 96). Randnummer 160 Im Ergebnis soll die Höhe der Entschädigung zwar nicht hinter dem vollständigen Ausgleich des Schadens zurückbleiben, sie darf aber auch nicht in einer Höhe bemessen werden, die über den vollständigen Ersatz des Schadens hinausginge (vgl. EuGH, Urteil vom 11. April 2024 - C-741/21, Rn. 60; EuGH, Urteil vom 25. Januar 2024 - C-687/21, Rn. 48 - MediaMarktSaturn). Ist der Schaden gering, ist daher auch ein Schadensersatz in nur geringer Höhe zuzusprechen (vgl. EuGH, Urteil vom 4. Oktober 2024 - C-507/23, juris Rn. 35 - Patērētāju tiesību aizsardzības centrs; EuGH, Urteile vom 20. Juni 2024 - C-182/22 und C-189/22, Rn. 45 f. - Scalable Capital). Dies gilt auch unter Berücksichtigung des Umstandes, dass der durch eine Verletzung des Schutzes personenbezogener Daten verursachte immaterielle Schaden seiner Natur nach nicht weniger schwerwiegend ist als eine Körperverletzung (vgl. dazu EuGH, Urteil vom 4. Oktober 2024 - C-200/23, juris Rn. 151- Agentsia po vpisvaniyata; EuGH, Urteil vom 20. Juni 2024 - C-182/22 und C-189/22, Rn. 39 - Scalable Capital; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 97).

(3)Randnummer 161 Daraus ergeben sich Vorgaben sowohl in Bezug auf die Untergrenze als auch auf die Obergrenze des nach Art. 82 Abs. 1 DSGVO zu gewährenden Schadensersatzes, die das Schätzungsermessen des Tatgerichts (§ 287 ZPO) rechtlich begrenzen (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 98 ff.). (

1. a)Randnummer 162 Wenn allein ein Schaden in Form eines Kontrollverlusts an personenbezogenen Daten vorliegt, weil weitere Schäden nicht nachgewiesen sind, sind bei der Schätzung des Schadens insbesondere die etwaige Sensibilität der konkret betroffenen personenbezogenen Daten (vgl. Art. 9 Abs. 1 DSGVO) und deren typischerweise zweckgemäße Verwendung zu berücksichtigen. Weiter sind die Art des Kontrollverlusts (begrenzter/unbegrenzter Empfängerkreis), die Dauer des Kontrollverlusts und die Möglichkeit der Wiedererlangung der Kontrolle etwa durch Entfernung einer Veröffentlichung aus dem Internet (inkl. Archiven) oder Änderung des personenbezogenen Datums (z.B. Rufnummernwechsel; neue Kreditkartennummer) in den Blick zu nehmen. Als Anhalt für einen noch effektiven Ausgleich könnte in den Fällen, in denen die Wiedererlangung der Kontrolle mit verhältnismäßigem Aufwand möglich wäre, etwa der hypothetische Aufwand für die Wiedererlangung der Kontrolle (hier insbesondere eines Rufnummernwechsels) dienen (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 99). (
2. b)Randnummer 163 Äußerst zweifelhaft erscheint daher, ob hier eine Festsetzung in „gegebenenfalls nur einstelliger Höhe" mit dem Effektivitätsgrundsatz zu vereinbaren wäre (so aber obiter OLG Celle, Urteil vom 4. April 2024 - 5 U 31/23, juris Rn. 102). Dagegen hat der Bundesgerichtshof von Rechts wegen keine Bedenken, den notwendigen Ausgleich für den eingetretenen Kontrollverlust als solchem in einem Fall wie dem streitgegenständlichen in einer Größenordnung von € 100,00 (so obiter OLG Hamm, GRUR-RS 2024, 16856 Rn. 40) zu bemessen (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 100). (
3. c)Randnummer 164 Macht der Betroffene psychische Beeinträchtigungen geltend, die über die mit dem eingetretenen Kontrollverlust für jedermann unmittelbar zusammenhängenden Unannehmlichkeiten hinausgehen, ist das Gericht gegebenenfalls gehalten, den Betroffenen anzuhören, um die notwendigen Feststellungen hierzu treffen zu können. Ausgehend davon wird es gegebenenfalls einen Betrag als Ausgleich festzusetzen haben, der über dem im Falle eines bloßen Kontrollverlustes zuzusprechenden Betrag liegt (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 101). Die klägerische Partei hat aber nach den vorstehenden Ausführungen keine über den Kontrollverlust hinausgehenden psychischen Beeinträchtigungen.

(4)Randnummer 165 Vorliegend ist ein Schadensersatz in Höhe von € 300,00 zuzusprechen. Randnummer 166 Es ist zwar ein Kontrollverlust anzunehmen, psychische Beeinträchtigungen, die über die mit dem eingetretenen Kontrollverlust für jedermann unmittelbar zusammenhängenden Unannehmlichkeiten hinausgehen, indes nicht (siehe oben). Randnummer 167 Die Bemessung des Schadensersatzes nach den genannten Kriterien ergibt das folgende Bild: Randnummer 168 Die klägerische Partei ist zur Überzeugung des Senats sensibel, was die Weitergabe ihrer Daten angeht. Das hat sie im Rahmen ihrer Anhörung deutlich gemacht. Sie nutzt die digitale Welt im üblichen Rahmen und bemüht sich, ihre Daten unter ihrer Kontrolle zu halten. Allerdings sind „nur“ Mobiltelefonnummer, Name, Facebook-ID, Geschlecht, Beziehungsstatus und Arbeitgeber der klägerischen Partei erbeutet worden. All diese Daten, auch die Mobiltelefonnummer gehören nicht zu besonders sensiblen Daten. Vor diesem Hintergrund trifft sie der im Ausgangspunkt leichte Kontrollverlust in einem „mittleren“ Ausmaß. Randnummer 169 Hinzu kommt allerdings, dass die Daten, insbesondere die Mobilfunknummer zur Überzeugung des Senats (§ 287 ZPO) dazu benutzt wurden, die klägerische Partei mit Spam-SMS und ungewollten Anrufen zu Werbe- oder Betrugszwecken zu belästigen. So hat sie im Rahmen ihrer Anhörung geschildert, etwa zur Zeit der medialen Berichterstattung über den streitgegenständlichen Vorfall vermehrt mit Anrufen bzw. SMS unbekannter Herkunft belästigt worden zu sein, sowohl zu Werbe- als auch zu Betrugszwecken. Anfangs seien es mindestens eine SMS oder ein Anruf pro Tag gewesen, inzwischen eher nur noch ein Anruf pro Monat und einige SMS. Die klägerische Partei hat im Rahmen ihrer Anhörung den Senat überzeugend geschildert, sich gegen die aufdringlichen Anrufe nur schlecht wehren zu können. Dass die Anrufe die klägerische Partei belasten, war deutlich zu spüren. Hinzu kommt, dass die Telefonnummer der klägerischen Partei einem unbegrenzten Personenkreis durch Abrufe im Internet für einen langen Zeitraum zugänglich (gewesen) ist, wovon offenbar Gebrauch gemacht worden ist. Die Höhe des Schadensersatzes begrenzend ist indes zu berücksichtigen, dass die klägerische Partei ihre Telefonnummer nicht geändert hat, mithin die Belästigung offenbar nicht unerträglich gewesen ist bzw. ist, sowie dass der hypothetische Aufwand für die Wiedererlangung der Kontrolle in Form des Aufwands für einen Rufnummernwechsel nicht besonders hoch ist. Allerdings ist die Begrenzung wiederum nicht allzu hoch zu bemessen, weil die klägerische Partei ihre Telefonnummer bereits seit vielen Jahren nutzt und es deshalb besonders aufwendig ist, ihre Änderung allen potentiellen Anrufern bekannt zu machen. Randnummer 170 Anhaltspunkte dafür, dass zusätzlich zu dem bloßen Kontrollverlust sonstige Gründe vorliegen könnten, den Schadensersatz in anderer Höhe zuzusprechen, sind weder konkret vorgetragen noch ersichtlich. Randnummer 171 Soweit die klägerische Partei diesbezüglich anführt, in der Entscheidung des Gerichts der Europäischen Union (EuG) vom

1. Januar 2025 (T-354/22, Rn. 195 ff.) sei ein Schadensersatz in Höhe von € 400,00 zugesprochen worden, so betrifft dies einen vom vorliegenden zu unterscheidenden Einzelfall. Dort ging es um einen Verlust der IP-Adresse, die in ein fremdes Land abgeflossen war. Die IP-Adresse macht konkrete an das Netz angebundene Geräte adressierbar und damit erreichbar. Nach Auffassung des Senats handelt es sich hierbei um einen schon nach der Art der abgegriffenen Daten erheblich schwereren Fall mit erheblich höherem Potential für etwaige Straftaten durch Dritte. c) Randnummer 172 Eine andere Anspruchsgrundlage, die einen höheren Ersatz geben könnte, kommt für den mit dem Antrag zu 1) geltend gemachten Anspruch auf Ersatz eines immateriellen Schadens nicht in Betracht. Randnummer 173 Da weder eine deliktische Haftung der Beklagten aus § 823 Abs. 1 BGB i.V.m. dem Recht der klägerischen Partei auf informationelle Selbstbestimmung noch eine vertragliche Haftung wegen Pflichtverletzung im Rahmen des zwischen den Parteien bestehenden Nutzungsvertrages, auf den nach den Nutzungsbedingungen der Beklagten deutsches Recht anzuwenden ist (vgl. dazu BGH, Urteil vom
2. Juli 2018 - III ZR 183/17), einen Ersatz für immaterielle Schäden in der von der klägerischen Partei behaupteten Form vorsieht, kommt es auf die Frage eines Vorrangs der europarechtlichen Schadensersatzregelungen der DSGVO vor nationalen Schadensersatzbestimmungen grundsätzlich nicht an. Randnummer 174 Selbst wenn man hier mit Blick auf Erwägungsgrund Nr. 146 Satz 4 der DSGVO etwa das nationale Institut der Geldentschädigung für anwendbar halten wollte, fehlt es ersichtlich an einer über das Gesagte hinausgehenden schweren Persönlichkeitsrechtsverletzung, zu deren Ausgleich eine (weitergehende) Geldzahlung in Betracht gezogen werden könnte. d) Randnummer 175 Dazu steht der klägerischen Partei ein Anspruch auf Zahlung von Rechtshängigkeitszinsen im Sinne der §§ 291, 288 Abs. 1 BGB zur Seite, deren Beginn vorliegend nicht angegriffen wird.
3. Randnummer 176 Der Antrag zu 2) auf Feststellung einer Ersatzpflicht für künftige materielle sowie künftige derzeit noch nicht vorhersehbare immaterielle Schäden ist zulässig und begründet. a) Randnummer 177 Der Antrag ist zulässig. aa) Randnummer 178 Es reicht die bloße Möglichkeit des künftigen Eintritts der geltend gemachten Schäden für die Annahme eines Feststellungsinteresses; eine darüberhinausgehende hinreichende Schadenswahrscheinlichkeit ist nicht erforderlich (BGH, Urteil vom
4. November 2024 – VI ZR 10/24, Rn. 48).

(1)Randnummer 179 Bei Verletzung einer Norm zum Schutz des Vermögens fehlt es an einem feststellbaren Rechtsverhältnis, solange der Eintritt irgendeines Schadens noch ungewiss ist; hier muss der Kläger daher schon für die Zulässigkeit der Klage eine Vermögensgefährdung, das heißt die Wahrscheinlichkeit eines auf die Verletzungshandlung zurückzuführenden Schadenseintritts, substantiiert dartun (BGH, Urteil vom

1. Oktober 1992 – IX ZR 43/92, juris Rn. 77; BGH, Urteil vom
2. Juli 2005 – IX ZR 49/02, juris Rn. 7; BGH, Urteil vom
3. Januar 2006 – XI ZR 384/03, Rn. 27; BGH, Urteil vom
4. Juli 2014 – IX ZR 197/12, Rn. 11; BGH, Urteil vom
5. März 2016 – XI ZR 122/14, Rn. 43). Ausreichend ist, dass nach der Lebenserfahrung und dem gewöhnlichen Verlauf der Dinge mit hinreichender Wahrscheinlichkeit ein erst künftig aus dem Rechtsverhältnis erwachsender Schaden angenommen werden kann (BGH, Urteil vom
6. Oktober 1992 – IX ZR 43/92, juris Rn. 77; BGH, Urteil vom
7. Juli 2014 – IX ZR 197/12, Rn. 11). Randnummer 180 Grund dafür ist der Schutz des möglichen Schädigers, dem nicht ein Rechtsstreit über gedachte Fragen aufgezwungen werden soll, von denen ungewiss ist, ob sie jemals praktische Bedeutung erlangen könnten.

(2)Randnummer 181 Dagegen genügt bei Verletzung eines absoluten Rechts oder aber in solchen Fällen, in denen bereits ein (Teil-)Schaden eingetreten ist, wenn künftige Schadensfolgen – wenn auch nur entfernt – möglich, ihre Art und ihr Umfang, sogar ihr Eintritt aber noch ungewiss sind (BGH, Urteil vom

1. Januar 2001 – VI ZR 381/99, juris Rn. 7; BGH, Urteil vom
2. Januar 2006 – XI ZR 384/03, Rn. 27; BGH, Beschluss vom
3. Januar 2007 – VI ZR 133/06, Rn. 5; BGH, Urteil vom
4. Juni 2021 – VI ZR 52/18, Rn. 30), auf die Wahrscheinlichkeit weiterer Schäden kommt es hier nicht an (BGH, Urteil vom
5. Juni 2021 – VI ZR 52/18, Rn. 30). Ein Feststellungsinteresse ist nur zu verneinen, wenn aus der Sicht des Geschädigten bei verständiger Würdigung kein Grund gegeben ist, mit dem Eintritt eines Schadens wenigstens zu rechnen (BGH, Beschluss vom
6. Januar 2007 – VI ZR 133/06, Rn. 5).

(3)Randnummer 182 Die Möglichkeit künftiger Schäden reicht hier aus, weil es nicht um reine Vermögensschäden geht, sondern um Schäden, die aus der von der klägerischen Partei behaupteten Verletzung ihres Rechts auf informationelle Selbstbestimmung gemäß Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG, mithin ihres allgemeinen Persönlichkeitsrechts als einem sonstigen absolut geschützten Rechtsgut im Sinne von § 823 Abs. 1 BGB, resultieren (vgl. BGH, Urteil vom 5. Oktober 2021 - VI ZR 136/20, Rn. 28; BGH, Urteil vom 29. Juni 2021 – VI ZR 10/18, Rn. 30; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 48). Randnummer 183 Auch die primär als Anspruchsgrundlage herangezogene Vorschrift des Art. 82 DSGVO hat jedenfalls dann, wenn - wie hier - mit einem möglichen Verstoß gegen Art. 5 DSGVO auch eine unrechtmäßige Datenverarbeitung gerügt wird, eine Verletzung des Rechts auf Schutz der personenbezogenen Daten gemäß Art. 8 GRCh zum Inhalt (vgl. Art. 1 Abs. 2 DSGVO). Dabei kann die Möglichkeit ersatzpflichtiger künftiger Schäden ohne Weiteres zu bejahen sein, wenn ein deliktsrechtlich geschütztes absolutes Rechtsgut verletzt wurde und bereits ein Schaden eingetreten ist (BGH, Urteil vom 30. Juli 2020 - VI ZR 397/19, Rn. 29; BGH, Urteil vom 17. Oktober 2017 - VI ZR 423/16, Rn. 49 mwN; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 48).

1. bb)Randnummer 184 Nach diesen Grundsätzen ist die Möglichkeit des Eintritts künftiger Schäden hier ohne Weiteres zu bejahen. Randnummer 185 Die klägerische Partei wurde durch den Verstoß gegen die Datenschutz-Grundverordnung in ihrem Recht auf informationelle Selbstbestimmung gemäß Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 GG bzw. in ihrem Recht auf Schutz der personenbezogenen Daten gemäß Art. 8 GRCh verletzt. Bei der fortdauernden Veröffentlichung der personenbezogenen Daten der klägerischen Partei (insbesondere ihres Namens in Verbindung mit ihrer Telefonnummer) besteht das Risiko einer missbräuchlichen, insbesondere betrügerischen Nutzung dieser Daten mit der Folge eines materiellen oder immateriellen Schadens fort. In Anbetracht des bereits eingetretenen und noch andauernden Kontrollverlusts über diese Daten ist eine künftige Schadensentwicklung auch nicht nur rein theoretischer Natur (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 49; OLG Stuttgart, Urteil vom 22. November 2023 – 4 U 20/23, juris Rn. 236 ff.).
2. b)Randnummer 186 Der Antrag ist auch begründet. Randnummer 187 Auf Grundlage der genannten Feststellungen (schon eingetretener Schaden durch Kontrollverlust) kann der Feststellungsanspruch auch in der Sache nicht verneint werden (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 50). Wie gesehen besteht das Risiko einer missbräuchlichen, insbesondere betrügerischen Nutzung der Daten der klägerischen Partei mit der Folge eines materiellen oder immateriellen Schadens fort. 3. Randnummer 188 Der auf Unterlassung gerichtete Antrag zu 3) ist teilweise unzulässig gewesen (Antrag zu 3a), hinsichtlich der Anträge zu 3a) und 3b) aber (nunmehr) zulässig und begründet.
3. a)Randnummer 189 Der ursprüngliche Klageantrag zu Ziffer 3a) ist unzulässig gewesen, da er nicht hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO ist (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 51 ff.). Randnummer 190 Mit dem Antrag zu 3a) hat die klägerische Partei Unterlassung insoweit verlangt, als ihre personenbezogenen Daten „unbefugten Dritten" über das CIT zugänglich gemacht werden, ohne dass die „nach dem Stand der Technik möglichen Sicherheitsmaßnahmen" vorgesehen würden, um die „Ausnutzung des Systems" zu verhindern.
4. aa)Randnummer 191 Ein Klageantrag ist hinreichend bestimmt (§ 253 Abs. 2 Nr. 2 ZPO), wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 ZPO) absteckt, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennen lässt, das Risiko eines Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abwälzt und eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt (BGH, Urteil vom 9. März 2021 - VI ZR 73/20, Rn. 15). Dies bedeutet bei einem Unterlassungsantrag insbesondere, dass dieser nicht derart undeutlich gefasst sein darf, dass die Entscheidung darüber, was dem Beklagten verboten ist, letztlich dem Vollstreckungsgericht überlassen bleibt (vgl. BGH, Urteil vom 28. Juli 2022 - I ZR 205/20, Rn. 12; BGH, Urteil vom 2. Juni 2022 - I ZR 140/15, Rn. 26; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 52). Randnummer 192 Eine hinreichende Bestimmtheit ist bei einem Unterlassungsantrag für gewöhnlich gegeben, wenn eine Bezugnahme auf die konkrete Verletzungshandlung erfolgt oder die konkret angegriffene Verletzungsform antragsgegenständlich ist und der Klageantrag zumindest unter Heranziehung des Klagevortrags unzweideutig erkennen lässt, in welchen Merkmalen des angegriffenen Verhaltens die Grundlage und der Anknüpfungspunkt für den Rechtsverstoß und damit das Unterlassungsgebot liegen soll (st. Rspr.; vgl. BGH, Urteil vom 2. Juni 2022 - I ZR 140/15, Rn. 26 mwN; BGH, Urteil vom 9. März 2021 - VI ZR 73/20, Rn. 15; BGH, Urteil vom 15. Januar 2019 - VI ZR 506/17, Rn. 12 mwN; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 53). Die Verwendung auslegungsbedürftiger Begriffe im Klageantrag ist zulässig, wenn über ihren Sinngehalt zwischen den Parteien kein Streit besteht und objektive Maßstäbe zur Abgrenzung vorliegen, oder wenn der Kläger den auslegungsbedürftigen Begriff hinreichend konkret umschreibt und gegebenenfalls mit Beispielen unterlegt oder sein Begehren an der konkreten Verletzungshandlung ausrichtet (BGH, Urteil vom 2. Juni 2022 - I ZR 140/15, Rn. 26; BGH, Urteil vom 9. September 2021 - I ZR 113/20, Rn. 12 mwN; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 53). Randnummer 193 Demgegenüber sind Unterlassungsanträge, die lediglich den Wortlaut eines Gesetzes wiederholen, grundsätzlich als zu unbestimmt und damit unzulässig anzusehen. Abweichendes kann gelten, wenn entweder bereits der gesetzliche Verbotstatbestand selbst entsprechend eindeutig und konkret gefasst oder der Anwendungsbereich einer Rechtsnorm durch eine gefestigte Auslegung geklärt ist, oder wenn der Kläger hinreichend deutlich macht, dass er nicht ein Verbot im Umfang des Gesetzeswortlauts beansprucht, sondern sich mit seinem Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert. Die Bejahung der Bestimmtheit setzt in solchen Fällen allerdings grundsätzlich voraus, dass zwischen den Parteien kein Streit darüber besteht, dass das beanstandete Verhalten das fragliche Tatbestandsmerkmal erfüllt. Die Wiedergabe des gesetzlichen Verbotstatbestands in der Antragsformulierung ist auch unschädlich, wenn sich das mit dem selbst nicht hinreichend klaren Antrag Begehrte im Tatsächlichen durch Auslegung unter Heranziehung des Sachvortrags des Klägers eindeutig ergibt und die betreffende tatsächliche Gestaltung zwischen den Parteien nicht infrage gestellt ist, sondern sich ihr Streit ausschließlich auf die rechtliche Qualifizierung der angegriffenen Verhaltensweise beschränkt. Eine auslegungsbedürftige Antragsformulierung kann im Übrigen hinzunehmen sein, wenn dies zur Gewährleistung effektiven Rechtsschutzes erforderlich ist (st. Rspr.; vgl. nur BGH, Urteil vom 28. Juli 2022 - I ZR 205/20, Rn. 12; BGH, Urteil vom 22. Juli 2021 - I ZR 194/20, Rn. 34 mwN; BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 54).
5. bb)Randnummer 194 An diesen Anforderungen gemessen ist der ursprüngliche Antrag der klägerischen Partei zu Ziffer 3a), nicht hinreichend bestimmt gewesen. Er lässt sich auch unter Heranziehung des Klagevorbringens nicht in einer Weise auslegen, dass die klägerische Partei ein hinreichend bestimmtes Unterlassen begehrt (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 55).

(1)Randnummer 195 Insbesondere der Begriff des unbefugten Dritten, aber auch die an Art. 32 Abs. 1 DSGVO und damit an den bloßen Gesetzeswortlaut angelehnte Formulierung der „nach dem Stand der Technik möglichen Sicherheitsmaßnahmen" sowie die Formulierung „Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme" sind unbestimmt. Dem steht nicht entgegen, dass die Beklagte in der Wahl der von ihr zu ergreifenden Maßnahmen eine Auswahl haben muss, solange diese geeignet sind, das konkrete Rechtsschutzziel zu erreichen (vgl. BGH, Beschluss vom

1. Februar 2024 - III ZR 63/23, Rn. 11; BGH, Urteil vom
2. Dezember 2023 - KZR 101/20, Rn. 75; jeweils zu Unterlassungsansprüchen nach § 1004 BGB). Auch insoweit wäre es - auch mit Blick auf die Gewährung effektiven Rechtsschutzes (BGH, Urteil vom
3. Januar 2017 - I ZR 207/14, Rn. 18) – der klägerischen Partei zumutbar gewesen, die künftig zu unterlassende Verletzungshandlung weiter zu konkretisieren (BGH, Urteil vom
4. November 2024 – VI ZR 10/24, Rn. 56).

(2)Randnummer 196 Die klägerische Partei begehrt sinngemäß, dass die Beklagte keine Funktion anbietet, die es Dritten erlaubt, auf seine personenbezogenen Daten zuzugreifen, wenn die Beklagte nicht durch geeignete Sicherheitsmaßnahmen einem Missbrauch dieser Funktion entgegenwirkt. Eine Eingrenzung der Verletzungshandlung findet allerdings nur insoweit statt, als auf die Kontakt-Import-Funktion Bezug genommen wird, welche die klägerische Paratei im Rahmen der Klageschrift als Einfallstor für das Datenscraping identifiziert hat. Der pauschale Hinweis auf eine Ausnutzung der Kontakt-Import-Funktion ist für eine Konkretisierung jedoch nicht hinreichend. Er lässt nicht erkennen, durch welche konkrete Maßnahme die Beklagte gegen die Datenschutz-Grundverordnung verstoßen hat, obwohl eine weiter gehende Konkretisierung - etwa durch Hinweis auf die Default-Einstellung der Suchbarkeitseinstellungen auf „alle", sofern dies das Klageziel sein sollte - möglich gewesen wäre. Auch der Begriff der „unbefugten Personen" hätte durch eine Darlegung der konkreten Verletzungshandlung näher definiert werden können (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 57).

(3)Randnummer 197 Die Konkretisierung des Antrags ist auch nicht deswegen entbehrlich, weil sich eine solche aus dem Klagevorbringen ergäbe. Die klägerische Partei hat zur Erläuterung ihres Rechtsschutzziels lediglich angegeben, sie verfolge ein Unterlassen, dass personenbezogene Daten ohne ausreichende Sicherheitsvorkehrungen verarbeitet werden. Eine Bezugnahme auf den Scraping-Vorfall als konkrete Verletzungsform enthält der Unterlassungsantrag nicht. Auch eine nähere Darlegung, welche konkrete Verletzungshandlung durch die Beklagte zu unterlassen sei, fehlt ebenso wie eine Erläuterung, in welchen Fällen von einer „Ausnutzung" der Kontakt-Import-Funktion bzw. von einer Nutzung durch „unbefugte Personen" auszugehen sei (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, Rn. 58). b) Randnummer 198 Der nunmehr gestellte Klageantrag zu 3a) ist hingegen zulässig. Randnummer 199 Mit dem neuen Antrag zu 3a) verlangt die klägerische Partei Unterlassung insoweit, als eine Verarbeitung personenbezogener Daten der Klägerseite, namentlich Telefonnummer, Facebook-ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt und Beziehungsstatus, über die Eingabe der Telefonnummer der Klägerseite in das Kontakt-Import-Tool und die darüber hergestellte Verknüpfung der eigegebenen Telefonnummer mit weiteren öffentlichen personenbezogenen Daten des Nutzerprofils der Klägerseite ermöglicht wird, ohne dass die Beklagte zum Zeitpunkt der V