Datenschutzrechtliche Ansprüche wegen Datenerhebung und -verarbeitung mittels der "Meta Business Tools" Leitsatz 1. Ein Rechtsschutzbedürfnis für eine Zwischenfeststellungsklage gemäß § 256 Abs. 2 ZPO

-konform, wenn keine wirksame Einwilligung durch den Verarbeiter eingeholt wird und kein Rechtfertigungsgrund gemäß Art. 6 Abs. 1

vorliegt. Eine Einwilligung ist gemäß Art. 6 Abs. 1 lit. a) i.V.m. EWG 42

nur dann wirksam, wenn sie vollinformiert erfolgt. Der pauschale Hinweis ohne den klaren Verweis auf den genauen Umfang und die genaue Dauer der Datenspeicherung erfüllt die Anforderungen nicht. (Rn.224) 3. Für die Verwendung von Tracking- und Targeting-Software liegen bei Verwendung der Meta Business Tools auch die weiteren Rechtsfertigungsgründe des Art. 6 Abs. 1 lit. b) bis f) DESGVO (richtigerweise:

) nicht vor. (Rn.229) (Rn.239) (Rn.246)

1. Die Datenverarbeitung von Nutzerdaten aus der Europäischen Union war jedenfalls vom
2. Juli 2020 bis zum
3. Oktober 2022 nicht durch einen Erlaubnistatbestand der DGSVO (richtigerweise:

) gedeckt. (Rn.185) (Rn.192) 5. Aus der Rechtswidrigkeit der Datenverarbeitung folgt ein Löschungsanspruch gemäß Art. 17 Abs. 1 lit. d)

, der zeitlich begrenzt ausgesetzt werden kann (Art. 18 Abs. 1 lit. b)

). Dieser Anspruch kann auch im Rahmen einer Unterlassungsklage geltend gemacht werden. (Rn.303) (Rn.307) (Rn.317) (Rn.319) 6. Eine jahrelange unrechtmäßige Datenverarbeitung kann zu einem Kontrollverlust oder der Befürchtung eines Kontrollverlustes führen, was einen immateriellen Schadenersatz i.H.v. 1.200 EUR im Einzelfall rechtfertigen kann. (Rn.367) Orientierungssatz 1. Zitierung zu Leitsatz 1: Anschluss BGH, Urteil vom 18. November 2024 - VI ZR 10/24. (Rn.268) 2. Zitierung zu Leitsatz 2: Anschluss EuGH, Urteil vom 4. Juli 2023 - C-252/21. (Rn.224) 3. Zitierung zu Leitsatz 4: Anschluss EuGH, Urteil vom 16. Juli 2020 - C-311/18. (Rn.185) 4. Zitierung zu Leitsatz 5: Anschluss OLG München, Urteil vom 18. Dezember 2025 - 14 U 1314/25 e. (Rn.304) Verfahrensgang vorgehend LG Magdeburg, 7. November 2024, 10 O 1500/23 anhängig BGH, kein Datum verfügbar, I ZR 92/26 Tenor I. Auf die Berufung der Klagepartei wird das am 7. November 2024 verkündete Urteil der 10. Zivilkammer des Landgerichts Magdeburg – Einzelrichter – abgeändert: 1. Es wird festgestellt, dass zur Nutzung des Netzwerks „Facebook“ unter der E-Mail-Adresse „E. ... “ die Verarbeitung von folgenden personenbezogenen Daten der Klagepartei mit Hilfe der Meta Business Tools durch die Beklagte in folgendem Umfang seit dem 25. Mai 2018 nicht zulässig war:

1. a)auf durch die Klagepartei besuchten Dritt-Webseiten und -Apps die personenbezogenen Daten, die der Identifizierung der Klagepartei dienen, ob direkt oder in gehashter Form übertragen, d. h. - E-Mail der Klagepartei - Telefonnummer der Klagepartei - Vorname der Klagepartei - Nachname der Klagepartei - Geburtsdatum der Klagepartei - Geschlecht der Klagepartei - Aufenthaltsort der Klagepartei - externe IDs besuchter Webseiten (von der Beklagten „external_ID” genannt) - IP-Adresse des Clients - User-Agent des Clients (d. h. gesammelte Browserinformationen) - interne Klick-ID der Beklagten - interne Browser-ID der Beklagten - Abonnement-ID - Lead-ID - anon_id - die Advertising ID des Betriebssystems Android (von der Beklagten „D. “ genannt) sowie
2. b)auf durch die Klagepartei besuchten Dritt-Webseiten - die URLs der Webseiten samt ihrer Unterseiten - der Zeitpunkt des Besuchs - der „Referrer“ (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist) - die von der Klagepartei auf der Webseite angeklickten Buttons sowie - weitere von der Beklagten „Events“ genannte Daten, die die Interaktionen der Klagepartei auf der jeweiligen Webseite dokumentieren
3. c)in den durch die Klagepartei genutzten mobilen Dritt-Apps - der Name der App sowie - der Zeitpunkt des Besuchs - die von der Klagepartei in der App angeklickten Buttons sowie - die von der Beklagten „Events“ genannte Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren. 2. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten – und Apps außerhalb der Netzwerke der Beklagten die in Ziff. 1 genannten personenbezogenen Daten der Klagepartei mit Hilfe einer Software wie Meta Business Tools zu erfassen, an die Server der Beklagten weiterzuleiten, die Daten dort zu speichern und anschließend zu verarbeiten, sofern die Beklagte die Verarbeitung der personenbezogenen Daten nicht auf eine informierte Einwilligung i. S. d. Art. 6 Abs. 1 Satz 1 lit. a)

oder einen Rechtfertigungsgrund nach Art. 6 Abs. 1 Satz 1 lit. b) bis f) oder Art. 9 Abs. 2

stützen kann. 3. Die Beklagte wird verurteilt, sämtliche vorstehend unter Ziffer I. 1. aufgeführten seit dem 25. Mai 2018 bereits verarbeiteten personenbezogenen Daten der Klagepartei ab sofort unverändert am gespeicherten Ort zu belassen, d. h. insbesondere diese erst zu löschen, wenn die Klagepartei sie hierzu auffordert, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, und diese bis zu diesem Zeitpunkt nicht zu verändern, intern nicht weiter zu verarbeiten und nicht an Dritte weiterzugeben. 4. Die Beklagte wird verurteilt, sämtliche vorstehend unter Ziffer I. 1. aufgeführten seit dem 25. Mai 2018 bereits gespeicherten personenbezogenen Daten der Klagepartei auf separat erfolgende Aufforderung der Klagepartei hin vollständig zu löschen und der Klagepartei die Löschung zu bestätigen, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens. 5. Die Beklagte wird verurteilt, an die Klagepartei immateriellen Schadensersatz in Höhe von 1.200,00 EUR nebst Zinsen i. H. v. fünf Prozentpunkten über dem Basiszinssatz seit dem 12. Januar 2024 zu zahlen. 6. Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten in Höhe von 887,30 EUR freizustellen. 7. Im Übrigen wird die Klage abgewiesen. II. Die weitergehende Berufung wird zurückgewiesen. III. Von den Kosten des Rechtsstreits einschließlich des Berufungsverfahrens trägt die Klagepartei 30 v. H. und die Beklagte 70 v. H. IV. Das Urteil ist ohne Sicherheitsleistung vorläufig vollstreckbar. Beschluss Der Streitwert beträgt bis 13.000,00 EUR. Gründe I. Randnummer 1 Die Parteien streiten über Löschungs-, Unterlassungs- und Schadensersatzansprüche im Zusammenhang mit der Verarbeitung personenbezogener Daten der Klagepartei durch sog. Business Tools der Beklagten. Randnummer 2 Die Klagepartei nutzt als Privatperson seit dem 1. Februar 2008 mit der E-Mail-Adresse „E. ... “ das Angebot der Beklagten bei dem sozialen Netzwerk Facebook, über ein Apple-I-Phone. Sie nutzt in der Regel den Browser Chrome und verbringt nach ihrer Behauptung ca. 3 - 5 h täglich im Internet. Sie macht Ansprüche aus der behaupteten Praxis der Beklagten geltend, diese missachte das europäische Datenschutzrecht, indem sie die Nutzer überwache, deren persönliche und höchstpersönliche Daten rechtswidrig erhebe, in unsichere Drittstaaten übertrage, dort unbefristet speichere, diese in unbekannten Maße auswerte und an Dritte weitergebe, ohne den betroffenen Nutzer hiervon zu informieren. Randnummer 3 Die Beklagte, geschäftsansässig in Irland, bietet unter der Adresse www.facebook.com Dienste an, die täglich weltweit ca. 3,48 Milliarden privaten Nutzern bis zum 3. November 2023 kostenlos zur Verfügung gestellt wurden. Seit dem 4. November 2023 sind diese Dienste nur noch für die Nutzer kostenlos, die zugestimmt haben, dass ihre personenbezogenen Daten erhoben und verwendet werden, um personalisierte Werbung an sie zu richten, wobei die Nutzer die Möglichkeit haben, ein kostenpflichtiges Abonnement abzuschließen, um Zugang zu einer Version dieser Dienste ohne zielgerichtete Werbung zu erhalten. Dieses Angebot hat die Klagepartei nicht angenommen. Randnummer 4 Das Geschäftsmodell des sozialen Online-Netzwerks Facebook beruht auf der Finanzierung durch Onlinewerbung, die sich gezielt an den individuellen Nutzer des sozialen Netz-werks insbesondere nach Maßgabe seines Konsumverhaltens, seiner Interessen und seiner Lebenssituation richtet. Diese Art der Werbung wird technisch ermöglicht, indem automatisiert detaillierte Profile der Nutzer erstellt werden. Randnummer 5 Dafür nutzt und verarbeitet die Beklagte verschiedene Daten, die sie in ihrer Datenschutzrichtlinie (Anlage K 1, S. 5 ff.) aufführt und auf die sie bei der Registrierung ebenso hinweist wie auf die Cookie-Richtlinie. Zu diesen Daten gehören neben den persönlichen Informationen, die der Nutzer bei der Registrierung angibt, wie Name, E-Mail-Adresse und Telefonnummer (vgl. Nutzungsbedingungen S. 1, Anlage B 1), das Nutzungsverhalten des jeweiligen Nutzers in Produkten der Beklagten (= sog. On-Site-Daten), Informationen über Freunde und Follower des Nutzers und deren Nutzungsverhalten in Produkten der Beklagten sowie Informationen über die technischen Geräte, mit deren Hilfe der Nutzer die Produkte der Beklagten nutzt. Zudem sammelt die Beklagte sog. Eventdaten, die sie bezeichnet als „ Informationen von Partnern über Handlungen, die du sowohl innerhalb als auch außerhalb unserer Produkte durchführst . Dazu können z. B. andere von dir besuchte Web-sites, von dir verwendete Apps oder von dir gespielte Online-Spiele gehören. “ Weiter heißt es: „ Partner teilen auch Informationen wie deine E-Mail-Adresse, Cookies und deine Geräte-ID für Werbezwecke mit uns. … Wir erhalten diese Informationen unabhängig davon, ob du bei unseren Produkten angemeldet bist bzw. ein Konto auf ihnen hast oder nicht. Partner geben außerdem ihre Kommunikation mit dir an uns weiter, wenn sie uns anweisen, Dienstleistungen für ihr Unternehmen zu erbringen, wie Unterstützung bei der Verwaltung ihrer Kommunikation […] … Partner nutzen unsere Tools, Integrationen und … Audience Network-Technologien, um Informationen mit uns zu teilen. Diese Partner erheben deine Informationen, wenn du ihre Website oder App besuchst oder ihre Dienste nutzt…“. (vgl. im Einzelnen auch S. 9 der Anlage K 1). Bei Letzteren handelt es sich um sog. Off-Site-Daten. Die Daten werden „gehasht“ (verschlüsselt) übersandt, wobei die gleichen Daten über den gleichen Schlüssel zur gleichen Verschlüsselung führen, so dass jeweils gleichartige „Hashs“ zusammengeführt und sodann dem Nutzer zugeordnet werden können (vgl. S. 9, 10, Anlage K 1 – Datenschutzrichtlinie und S. 2 Anlage K 4 – Parameter für Kund*inneninformation). Randnummer 6 Die Beklagte bietet Drittunternehmen (sog. Partnern) für die Erhebung der Off-Site-Daten Softwareprogramme zur Einbindung in das Meta-System an, die sog. Meta Business Tools. Dazu gehören die Tools „Meta Pixel“, „App Events über Facebook SDK“ (bzw. „Facebook SDK“ für mobile Apps), „Conversion API“ und „App Events API“ (folgend: Business Tools). Die Beklagte schließt mit den Drittanbietern Nutzungsverträge, in die sie ihre Datenschutzrichtlinie einbezieht (Anlage K 1 und B 9). In Ziff. 3. lit.

1. d)der Nutzungsbedingungen (Stand 25. April 2023, Anlage B 5) mit den Drittwebseitenbetreibern werden diese verpflichtet, die „erforderlichen Einwilligungen“ der Endnutzer vor Nutzung der Business Tools einzuholen. Randnummer 7 Genereller Zweck der Business Tools ist es unter anderem, die Effektivität von Werbeanzeigen von Drittunternehmen auf den von der Beklagten angebotenen Plattformen wie Instagram oder Facebook zu erhöhen und zu messen. Hierzu können von den Business Tools Daten an die Beklagte übermittelt werden. Im Einzelnen unterscheiden sich dabei die technischen Abläufe nach der Art der eingebundenen Tools und der Zustimmung/Ablehnung der Nutzer. Randnummer 8 Die Business Tools ermöglichen allgemein gefasst folgende Datenerhebung: Randnummer 9 Sobald ein Nutzer die Webadresse oder URL eines Drittanbieters, der die Business Tools nutzt, eingegeben hat, kommuniziert der Browser des Nutzers mit dem Server des Drittanbieters, um die Inhalte der Seite zu laden (sog. HTTP-Anfrage) und darüber hinaus über Cookies mit den Servern der Beklagten, um diese eingebetteten Inhalte mittels einer weiteren http-Anfrage anzufragen. Hierzu heißt es in den „ Parametern für Kund*innen-Information an die Drittunternehmen “ (Anlage K 4): Randnummer 10 „Du kannst mit den Meta-Business-Tools Parameter für Kund*innen-Informationen an Meta senden. Dabei handelt es sich um eine Reihe von Identifizierungsmerkmalen wie Namen und E-Mail-Adressen von Nutzer*innen, die du zusammen mit deinen Event-Daten teilst.“ Randnummer 11 Über die sog. Klick-ID, die von den Cookies _fbp und _fbc bei einer Nutzeraktivität, dem sog. Event, ausgelesen wird, die First Party Cookies und die Cookies der Drittwebseiten, erhält die Beklagte Nutzerdaten. Ob diese Daten auch zurückfließen, wenn der Nutzer die sog. Third Party Cookies, über die die Informationen an die Beklagte zurückfließen, nicht zugelassen hat, ist streitig. Randnummer 12 Der Meta Pixel nutzt die first party cookies der Webseite, um seine Daten abzulegen, wieder auszulesen, zusammenzuführen und an die Beklagte zu übersenden, ohne dass der Nutzer dies bemerkt (vgl. Anlage K 6, S. 2). In der Beschreibung der Top 11 Pixel in Anlage B 4 heißt es: Randnummer 13 „This pixel is loaded when a user visits a website or opens an email and is used to track users activities… Once added to your site, these … pixel graphics gather user behaviour and collect other insights that allow you to measure the impact an ROI of your ads.“ Randnummer 14 Als Teil der http-Anfrage des Nutzers werden die technischen Standarddaten vom Gerät des Nutzers an die Beklagte gesendet. Dabei handelt es sich um Geräteinformationen, die der Beklagten mit einer Wahrscheinlichkeit von über 99 v. H. eine Nutzeridentifikation ermöglichen (vgl. BKartA, Beschluss vom 6. Februar 2019, Az. B6-22/16, Rn. 580, BeckRS 2019, 4895, beck-online). Technische Standarddaten in diesem Sinne sind etwa die mit dem Nutzergerät verknüpfte IP-Adresse, das Betriebssystem des Geräts, die Art des verwendeten Browsers (z. B. Chrome, Firefox, Safari, usw.), dessen Softwareversion, die vom Kunden verwendete Sprache, ob das Gerät des Kunden einen Touchscreen hat und die Parameter dieses Touchscreens. Im weiteren Verlauf kann dann das derart aktivierte „Business-Tool“ unter im Einzelnen streitigen Umständen weitere Daten (im Folgenden „weitere personenbezogene Daten“), insbesondere zur aktuellen und zurückliegenden Aktivität auf der Homepage wie etwa Klicks auf einzelne Artikel oder Buttons, Tastatureingaben, Formulareingaben etc. (sog. „ event data“ ) an Meta übertragen, wobei Art und Umfang der übermittelten Daten davon abhängen, welches der vorgenannten Business Tools das Drittunternehmen integriert hat und wie es dieses Tool im Einzelnen einsetzt. Randnummer 15 Ist auf der von der Nutzerin oder dem Nutzer besuchten Seite hingegen das Business Tool „Conversions API“ bzw. auf der App das Business Tool „App Events API“ (im Folgenden: „API-Tools“) eingebunden, erfolgt keine weitere direkte http-Abfrage an die Beklagte. Vielmehr wird das Business Tool im Folgenden und unter im Einzelnen streitigen Umständen direkt auf dem Server des Drittanbieters aktiv und kann von dort die vorgenannten technischen Standarddaten sowie „weitere personenbezogene Daten“ an die Beklagte übermitteln. Mit der Conversion API können „ Marketingdaten direkt und zuverlässig von deinem Server [= dem Server des Drittunternehmens ] an die Meta-Systeme übermittelt ( werden ), die deine Werbeanzeigen ausliefern “ (Meta Playbook, S. 4 und 23, Anlage K 5, Anlagenband). Randnummer 16 Die Daten werden auch weitergeleitet, wenn sich die Nutzer gegen die Nutzung ihrer Daten entschieden haben. Wegen des Datentransfers bei der Conversions API wird auf das Schaubild in Anlage K 5, Meta Playbook, dort S. 23, Bezug genommen: Randnummer 17 Hierzu heißt es: Randnummer 18 „Die Conversions API ist nötig, um die Events von Nutzer*innen zu aggregieren, die sich gegen die Nutzung ihrer Daten entschieden haben.“ Randnummer 19 Und weiter in Fußnote 12: Randnummer 20 „Opt-out-Nutzer*innen sind Personen, die der Tracking-Einwilligung von Facebook/Instagram auf Mobilgeräten ab iOS 14.5 nicht zugestimmt haben.“ Randnummer 21 Da die Conversions API nicht in den Browser des Nutzers geladen werden muss, kann der Nutzer sie nicht abschalten. Die entsprechenden Systeme nutzt die Beklagte auch bei Nutzern, die die Schaltflächen „Optionale Cookies erlauben “ und „Informationen über Aktivitäten von Werbepartnern“ nicht aktiviert haben (vgl. Beispiel einer Nutzung von spiegel.de, Replik S. 25 bis 33). Die Drittunternehmen werden ermuntert, Meta Pixel und die Conversion App zu verbinden, weil das „ Optimierungsmöglichkeiten für die Kampagnen-Performance“ biete (vgl. S. 11, Anlage K 5). Randnummer 22 Hierzu heißt es in dem Leitfaden der Beklagten „ Redesigning our systems to provide more control over Off-Facebook Activity“ (S. 4, Anlage K 5): Randnummer 23 „We needed to respect people´s desire to disconnect off-site activity from their account and still provide reliable measurement reports to businesses – even if many people choose to disconnect this data from their account….When a person chooses to disconnect his or her off-site activity, we remove the mapping between the MID and the UID and generate a new random MID for that person. This prevents system from connecting the off-site activity data to that persons UID…. The bucketed MID does not represent an individual user. We can aggregate that observation with others who viewed the same ad – without determining exactly which person within the bucket took that action.“ Randnummer 24 Außerdem verarbeitet die Beklagte Daten für Sicherheitsuntersuchungen (vgl. S. 4, Anlage K 5). Randnummer 25 Der Nutzer kann nicht verhindern, dass die Beklagte die über Dritte generierten Daten erhält. Drittunternehmen können wählen, ob sie die Event-Daten und Kontaktinformationen über die streitgegenständlichen Business Tools mit der Beklagten teilen (vgl. Meta Developer Page „ General Data Protection Regulation“ , Anlage B 13; „ Ressource zur Cookie-Einwilligung “, Anlage B 14). Randnummer 26 Für die Verarbeitung der personenbezogenen Daten der Nutzer des sozialen Netzwerks Facebook stützt sich die Beklagte auf den Nutzungsvertrag, den die Nutzer durch Betätigung der Schaltfläche „Registrieren“ abschließen und mit dem sie den von der Beklagten festgelegten allgemeinen Nutzungsbedingungen zustimmen. Zugleich wird auf die Datenschutzrichtlinie (Anlage K 1) verwiesen. Der Nutzer kann „mithilfe verschiedener Einstelloptionen kontrollieren, welche Arten von Werbeanzeigen und Werbetreibenden“ er sieht (S. 2, Anlage B 2, Nutzungsbedingungen). Randnummer 27 Bevor die Nutzer auf der Website der Beklagten zur Einstellung „ Informationen von Werbepartnern zu deinen Aktivitäten “ gelangen, erklärt die Beklagte sowohl die Art der gesammelten und verwendeten Daten (d. h. Daten, die erfasst werden, „ wenn du die Website [oder] App eines Werbepartners besuchst“) als auch den Verarbeitungszweck, für den die Einwilligung eingeholt wird (d. h. um „dir die besten Anzeigen zu zeigen “). Die Einstellung „ Informationen von Werbepartnern zu deinen Aktivitäten“ informiert die Nutzer: „Du kannst deine Auswahl jederzeit ändern“ . Weiter heißt es: Randnummer 28 „Wenn wir wissen, was dir gefällt, können wir dir relevantere Werbung für neue Dinge zeigen. Wenn du Webseiten oder Apps von Werbepartnern besuchst oder in ihren Geschäften etwas kaufst, senden diese möglicherweise Informationen zu deiner Aktivität und worin diese bestand. […] So können wir dir eher Werbung zeigen, die relevant für dich ist und genauso interessant wie dein regulärer Content. Wir tun dies aber nur dann zu diesem Zweck, wenn du das möchtest. Du kannst entscheiden, ob wir diese Informationen nutzen können, um passende Werbung für dich anzuzeigen.“ Randnummer 29 Unter der Unterüberschrift „ Was ist unsere Rechtsgrundlage “ erklärt die Beklagte: Randnummer 30 „ Wir stützen uns bei der Verarbeitung deiner Informationen für die in dieser Datenschutzrichtlinie beschriebenen Zwecke auf verschiedene Rechtsgrundlagen. Je nach den Umständen stützen wir uns auf unterschiedliche Rechtsgrundlagen, wenn wir dieselben Informationen für verschiedene Zwecke verarbeiten. Für jede der nachstehend aufgeführten Rechtsgrundlagen erläutern wir, warum wir deine Informationen verarbeiten … […]“ „ Wir verarbeiten Informationen für die folgenden Rechtsgrundlagen:…“ Randnummer 31 Der Nutzer hat für die Verarbeitung seiner Daten die Möglichkeit, zwischen zwei Einstellungen zu wählen: Randnummer 32 − Deaktivierung/Verwendung optionaler Cookies Randnummer 33 − Informationen von Werbepartnern zu Aktivitäten verwenden/nicht verwenden, um Werbung anzuzeigen. Randnummer 34 Beim Öffnen einer Drittwebsite erscheint seit dem 3. November 2023 für den Nutzer eine zusätzliche Schaltfläche, auf welcher der Nutzer eine Einstellung für Cookies betreffend die weitere Nutzung der Drittwebsite treffen kann. Der Nutzer hat seitdem die Wahl zwischen einer weiteren entgeltfreien Nutzung mit Werbung und Tracking oder einer entgeltlichen Weiternutzung, ohne dass seine Daten an Werbetreibende weitergegeben werden (s. Screenshot auf Seite 30 der Klageerwiderung vom 12. Februar 2024, Bl. 76 Bd. I d. A.). Darüber hinaus können die Nutzer optionale Cookies auf anderen Apps und Webseiten erlauben, andernfalls eine Abmeldung von den Apps und Webseiten erfolgt. Außerdem heißt es weiter: „ Wenn du diese Cookies nicht erlaubst, kann es sein, dass wir weiterhin aggregierte Informationen zu Aktivitäten auf diesen Websites erhalten. “ (Screenshot, Klageerwiderung vom 12. Februar 2024, Bl. 77 Bd. I d. A.). Randnummer 35 Nutzer können die Anzeige von Werbung über optionale Cookies steuern. Zu optionalen Cookies heißt es auf den Seiten der Beklagten: Randnummer 36 „Unsere Cookies in anderen Apps und auf anderen Websites: Randnummer 37 Wir verwenden Cookies in Apps und auf Websites von anderen Unternehmen, die Meta-Technologien nutzen. Mithilfe dieser Cookies können andere Unternehmen Informationen über deine Aktivitäten in ihren Apps und auf ihren Websites mit uns teilen.“ Randnummer 38 Wegen der weiteren Einzelheiten der Informationen wird auf den Text auf S. 50 Bd. II d. A. Bezug genommen. Randnummer 39 Die Drittanbieter teilen mit der Beklagten Kontaktinformationen und sog. Event-Daten (Aktivitäten) der Nutzer, „über Personen und ihre Handlungen …, die sie auf deinen Websites und in deinen Apps oder Shops vornehmen“ (Business-Tools Nutzungsbedingungen, Anlage B 5, Seite 1), die von der Beklagten u. a. für Messlösungen und Analysedienste über Nutzer und ihre Nutzung der Apps, Webseiten, Produkte und Dienstleistungen genutzt werden, die sog. Targeting (Ausrichtung von Werbekampagnen auf Personen) zu ermöglichen und die diese bis zu zwei Jahre lang speichert (vgl. S. 2 bis 4 der Nutzungsbedingungen für Business Tools, Anlage B 5). Gemäß Ziff. 3.
2. d)ist der Drittunternehmer verpflichtet, die erforderlichen Einwilligungen der Nutzer einzuholen (Anlage B 5, S. 4). Eine Kontrolle durch die Beklagte sehen die Nutzungsbedingungen nicht vor. Hierzu heißt es im Business Tool-Hilfebereich für Unternehmen, Anlage B 6, S. 1: Randnummer 40 „Metas Systeme sind zwar darauf ausgelegt, potenziell unzulässige Informationen herauszufiltern, die sie erkennen können, aber letztendlich bist du für die Daten verantwortlich, die du mit Meta teilst“. Randnummer 41 Zu den berechtigten Interessen der Beklagten zu dieser Datenverarbeitung heißt es in der Datenschutzrichtlinie (S. 62 Anlage K 1): Randnummer 42 „Wir verarbeiten deine Informationen so, wie es für unsere berechtigten Interessen bzw. die von anderen erforderlich ist. Zu unseren Interessen zählen u. a. die Bereitstellung eines innovativen, personalisierten, sicheren und profitablen Dienstes für unsere Nutzer und Partner ….“ Randnummer 43 Die Beklagte hat eine formelle Art. 26

-Vereinbarung mit Drittunternehmen getroffen. Nach den Nutzungsbedingungen für die Business Tools ist der Drittanbieter verpflichtet, auf die Pixel der Beklagten hinzuweisen (vgl. Anlage B 5, Anlagenband Beklagte, Rn. 27, Klageerwiderung). Randnummer 44 Die Business Tools sind in zahlreiche Webseiten und Apps in Deutschland im Hintergrund eingebunden. Hierzu gehören Randnummer 45 - zahlreiche große Nachrichtenseiten und -Apps (z. B. … .de, … .de, … .de, … .net, … .de), Randnummer 46 - große Reiseseiten und -Apps (z. B. … .de, … .de, … .de, … . de, … .de), Randnummer 47 - Seiten und Apps, die medizinische Hilfe bieten (z. B. … .de, … .de, … .de, … .de, … .de, … .de), Randnummer 48 - Dating- und Erotikseiten (… .de, … .de, … .de, … .de), Randnummer 49 - Seiten mit Inhalten aus der Intimsphäre (… .de, … .com, …. de, … .nl). Randnummer 50 Nach klägerischer Darstellung sind in Deutschland exemplarisch etwa die weiteren in Anlage K 2, auf die wegen der Einzelheiten Bezug genommen wird, gelisteten großen Webseiten Partner der Beklagten. Randnummer 51 Die angefallenen Daten sendet die Beklagte weltweit in Drittstaaten, insbesondere die USA, und gibt sie auch an Dritte sowie an Behörden weiter (vgl. S. 72 Datenschutzrichtlinie, Anlage K 1). Randnummer 52 Die Einstellung „ Deine Aktivitäten außerhalb der Meta-Technologien “ erlaubt es den Nutzern, eine Zusammenfassung der mit ihren Konten verknüpften Informationen über die Aktivitäten des Nutzers auf Apps und/oder Websites, die von Drittunternehmen mit der Beklagten geteilt wurden, zu kontrollieren und abzurufen („ Von Drittunternehmen geteilte Informationen über Aktivitäten “). Zusätzlich zu der Möglichkeit für Nutzer, über die Einstellung „ Deine Aktivitäten außerhalb von Meta-Technologien “ eine Zusammenfassung ihrer „ Neueste Aktivitäten “ abzurufen, können die Nutzer die von Drittunternehmen geteilten Informationen über Aktivitäten von dem Facebook-Konto „trennen“ lassen und/oder die künftigen Verknüpfungen zwischen Facebook-Konto und den von Drittunternehmen geteilten Informationen über Aktivitäten ausschalten. Die Beklagte stellt ihren Nutzern dabei keine Möglichkeit zur Verfügung, die Löschung der unter dem Tenor Ziff. 1 aufgeführten Off-Site-Daten herbeizuführen. Über das Tool werden nur Daten bzgl. solcher Drittwebsites oder -Apps angezeigt, die besucht wurden, währenddessen der Nutzer auf dem gleichen Gerät im Netzwerk der Beklagten eingeloggt war. Die innerhalb des Tools zu findenden Informationen teilen nicht mit, an welche konkrete Empfänger die Daten weitergegeben wurden. Zudem sind die Informationen auf einen Zeitraum von wenigen Monaten begrenzt. Randnummer 53 Die Klagepartei begehrte mit Schreiben vom 24. August 2023 Auskunft über die Nutzung von Daten durch Einbindung der Business Tools (Anlage K 3, Anlagenband). Die Beklagte erteilte am 11. Juli 2024 Auskunft lediglich durch Hinweis auf ihre Self-Service-Tools (Anlage B 10). Randnummer 54 Die Klagepartei hat im ersten Rechtszuge die Ansicht vertreten, ihre Zustimmung zu den Nutzungsbedingungen der digitalen Plattform der Beklagten erfülle nicht die Voraussetzungen von Art. 6 Abs. 1 und Art. 7

. Zudem verarbeite die Beklagte, die als verantwortliche Verarbeiterin auch der von den Drittseiten verarbeiteten Daten anzusehen sei, sensible Daten der Klagepartei i. S. v. Art. 9

ohne die hierfür erforderliche Einwilligung nach Art. 7

. Die Beklagte sei Verantwortliche i. S. d. Art. 28

auch für die Drittwebseiten, weil diese die von der Beklagten bereitgestellten Tools anwendeten. Randnummer 55 Sie hat zur Funktionsweise der Conversions API behauptet, die Cookies _fbp und _fbc enthielten eine vom Meta-Pixel generierte ID, die den jeweiligen Browser identifiziert, der einen ggf. blockierten Third Party Cookie umgehen kann und die Daten von Webseitenbesuchen an die Beklagte übermitteln kann. Randnummer 56 Die Klagepartei hat die Auffassung vertreten, die Datenverarbeitung durch die Beklagte verstoße auch gegen § 42 Abs. 2 BDSG. Randnummer 57 Sie, die Klagepartei, habe mangels entsprechender Aufklärung nicht freiwillig und wirksam in die streitgegenständliche Datenverarbeitung eingewilligt, weder auf den Seiten der Beklagten noch auf den Seiten der Drittanbieter. Jedenfalls aber habe sie mit der Einreichung dieser Klage ihre Zustimmung zur Verarbeitung ihrer Business Tool-Daten durch die Beklagte widerrufen. Zudem habe die Beklagte nicht ihren gesetzlichen Informationspflichten mit dem Hinweis auf optionale Cookies genügt, weil jedenfalls nicht auf das streitgegenständliche Fingerprinting hingewiesen werde. Zumindest habe die Beklagte gegen das Kopplungsverbot in Art. 7 Abs. 4

verstoßen, weil die Einwilligung nicht den Exzess der Datenverarbeitung durch die Beklagte decke. Ihrer Ansicht nach erfüllte das Tool „Informationen unserer Werbepartner zu deinen Aktivitäten“ nicht die Anforderungen an Art. 15

. Randnummer 58 Ihrer Ansicht nach sei die streitgegenständliche Datenerhebung für die Erfüllung der Hauptleistung, d. h. die Zurverfügungstellung des Netzwerkes der Beklagten, nicht erforderlich. Auch mit der Abonnement-Variante habe die Beklagte die Nutzung der Daten nicht ausgeschlossen, sondern zeige die entsprechende Werbung lediglich nicht mehr an. Randnummer 59 Aus Anlage K 2 ergebe sich, dass die Beklagte auch sensible Daten i. S. d. Art. 9

erhebe. Sie, die Klagepartei, besuche durchschnittlich ein bis zwei Stunden täglich Nachrichten- und Shoppingseiten für Waren, die Rückschlüsse auf sensible Kategorien wie ihre politische und weltanschauliche Einstellung, Gesundheit und Sexualleben zuließen. Wegen des Ausmaßes der Verwendung der Business Tools auf diesen Webseiten nehme sie Bezug auf die am

1. April 2023 veröffentlichte Studie „ The Hitchhiker‘s Guide to Facebook Web Tracking with Invisible Pixels and Click IDs“ (Anlage K 7). Randnummer 60 Ihrer Ansicht nach sei die Datenübermittlung in die USA vom
2. Mai 2018 bis zum Angemessenheitsbeschluss der Europäischen Kommission am
3. Juli 2023 rechtswidrig gewesen, nachdem der EuGH das Abkommen zur Datenübermittlung „Privacy Shield“ zwischen der EU und den USA für ungültig erklärt habe. Randnummer 61 Ihr Anspruch auf künftige Löschung folge aus Art. 17

i.V.m. § 259 ZPO. Derzeit würden die Daten lediglich über das Off-Activity-Tool pseudonymisiert, was ihrer Ansicht nach gemäß EWG 26

nicht mit einer Mischung aller Nutzerdaten gleichzusetzen sei. Randnummer 62 Der Anspruch aus dem Klagantrag zu Ziff. 3 ergebe sich aus Art. 6 und 9

sowie als Nebenpflicht des Art. 15

und als vertragliche Nebenpflicht gemäß § 242 BGB, da die Beklagte kein Recht zur weiteren Verarbeitung der streitgegenständlichen Daten habe. Randnummer 63 Es liege ein schwerer Eingriff in ihr Grundrecht auf informationelle Selbstbestimmung vor, weil sie keinerlei Zugriff auf die Verarbeitung ihrer Daten mehr habe. Randnummer 64 Die Klagepartei hat hinsichtlich der Folgen behauptet, sie habe ein vollständiges Überwachungsgefühl und fühle sich der Beklagten aufgrund ihrer Marktmacht ausgeliefert. Sie habe nicht gewusst, dass sie auch nach einem Logout aus Facebook nachverfolgt werde, auch auf anderen Webseiten und Apps. Diese Erkenntnis habe sie schockiert. Sie befürchte den Verlust sozialer Kontakte, wenn sie auf die Nutzung der Apps der Beklagten verzichte. Infolge des Fingerprintings habe sie Sorge über die Verwendung ihrer Daten, insbesondere fürchte sie eine Meinungsmanipulation durch eine Analyse ihrer Daten. Sie sei sehr verunsichert, weil sie keinerlei Kenntnis über Quantität und Qualität der Datensammlung habe. Wegen der Datenübermittlung in die USA habe sie Angst, dass sie die Kontrolle über ihre Daten nie wiedererlangen werde. Sie empfinde einen vollständigen Kontrollverlust. Diese Sorge wirke sich auf ihr Internetverhalten dahin aus, dass sie Sorge habe, sie werde beständig von der Beklagten getrackt. Sie fürchte, die Datenkontrolle für immer verloren zu haben. Sie schlafe schlecht. Ihren Schadensersatzanspruch hat sie mit mindestens 5.000,00 EUR als angemessen bezeichnet. Randnummer 65 Die Beklagte hat im ersten Rechtszuge die Unzulässigkeit des Klageantrages zu 1. mangels für den Feststellungsantrag erforderlichen Rechtsschutzinteresses gerügt. Außerdem sei der Klageantrag zu unbestimmt. Zudem habe die Klagepartei nicht dargelegt, dass sie Dritt-Webseiten oder Apps Dritter besucht oder verwendet habe. Die Bezugnahme auf Anlage K 2 sei ihrer Ansicht nach nicht ausreichend. Höchstpersönliche Daten würden ohnehin nicht offengelegt. Randnummer 66 Die Beklagte hat weiter die Auffassung vertreten, sie könne sich auf eine Einwilligung gemäß Art. 6 Abs. 1 lit. a)

stützen. Die Klagepartei habe auch ausdrücklich in die streitgegenständliche Datenverarbeitung eingewilligt. Randnummer 67 Die Beklagte hat behauptet, im Kontext des Einsatzes der Business Tools „Meta Pixel“ bzw. „App Events“ sei die Erhebung und Übertragung der technischen Standarddaten an die Beklagte per HTTP-Abfrage der zeitgemäßen Nutzung des Internets immanent. Die Drittanbieter könnten zudem die Übermittlung der technischen Standarddaten per HTTP-Anfrage an die Beklagte „pausieren“ bis die Nutzer über Cookie-Banner ihre Einwilligung hierzu erteilt hätten. Im Hinblick auf alle eingesetzten Business Tools hat die Beklagte behauptet, dass die Frage, welche Daten („ technische Standarddaten“ und „ weitere personenbezogene Daten“ ) durch die Business Tools selbst an sie übermittelt würden, davon abhänge, ob die Nutzer vorab zugestimmt hätten sowie von der Konfiguration der Einstellungen der Business Tools bei den Drittanbietern. Die Drittfirmen hätten sich verpflichtet, diese Datenübertragungsfunktionen der Business Tools nur dann zu aktivieren, wenn sie zuvor eine Zustimmung der Nutzer eingeholt hätten. Eine Kontrolle dahingehend, ob dies von den Drittfirmen auch umgesetzt worden sei, finde nicht statt. Es werde von der Beklagten jedoch überprüft, ob die übermittelten Daten besonders geschützte personenbezogene Daten enthielten. Randnummer 68 Dem Drittunternehmen obliege es, zeitnahe Offenlegungen gegenüber den Besuchern seiner eigenen Webseite oder App vorzunehmen. Sie sei weder Inhaberin noch Verwalterin oder Betreiberin der in den Anlagen der Klagepartei genannten Drittwebseiten oder -Apps und daher nicht in der Lage, den Nutzern direkt Informationen über die Datenverarbeitungsaktivitäten zur Verfügung zu stellen. Es obliege den Drittunternehmen die erforderliche Einwilligung von den Besuchern der Website einzuholen. Wie sich aus ihren Meta Business Tool Nutzungsbedingungen ergebe, sei das Drittunternehmen und nicht sie Verantwortliche i. S. d. Art. 26

(Business Tool-Bedingungen, Anlage B 5, Ziff. 5). Randnummer 69 Ihrer Ansicht nach habe die Klagepartei wie alle Nutzer über ihre Einstellungen auf Facebook eine echte Wahl und Kontrolle über die Verarbeitung von Business Tools Daten zur Bereitstellung personalisierter Werbung. Randnummer 70 Soweit die Klagepartei eine Webseite oder App besucht habe, die eines der streitgegenständlichen Business Tools verwendet habe, habe die Klagepartei über das Cookie-Banner der Webseite oder App die Einstellungen über Cookies wählen können. Die Einwilligung zur Verarbeitung von Business Tools Daten zur Bereitstellung personalisierter Werbung gemäß Art. 7

sei freiwillig und wirksam erfolgt. Die Klagepartei habe – insoweit unstreitig – „optionale Cookies“ meist erlaubt bzw. diese bei „ Informationen über Aktivitäten von Werbepartnern“ aktiviert. Randnummer 71 Hinsichtlich der Ansicht der Klagepartei, sie habe mit der Klage ihre Einwilligung widerrufen, vertritt sie die Auffassung, diese sei gemäß Art. 7 Abs. 3

unwirksam. Randnummer 72 Hinsichtlich der Datenübertragung in die USA, die für das Funktionieren des Netzwerkes unerlässlich sei, stütze sie sich auf die Angemessenheitsbeschlüsse der EU-Kommission und die Standardvertragsklauseln. Randnummer 73 Sie hat die Ansicht vertreten ein Unterlassungsanspruch folge nicht aus der

, insbesondere nicht aus Art. 17

. Randnummer 74 Der Klageantrag zu 3. sei ihrer Ansicht nach unzulässig, weil sie nach den Prinzipien der Zweckbindung, Datenminimierung und Speicherbegrenzung gemäß Art. 5

und EWG 39

zur Löschung verpflichtet sei. Sie habe auch keine vertragliche Nebenpflicht gemäß § 242 BGB die personenbezogenen Daten der Klagepartei am gespeicherten Ort zu belassen. Randnummer 75 Der Klagantrag zu 4 (künftige Löschung und Anonymisierung) sei unzulässig, weil er unter einer unzulässigen außerprozessualen Bedingung stehe. Jedenfalls sei er unbestimmt. Entgegen der Auffassung der Klageseite sehe die

außerdem kein Recht auf Anonymisierung vor. Randnummer 76 Hinsichtlich des Schadensersatzanspruches hat die Beklagte die Ansicht vertreten, weder sei ein solcher schlüssig vorgetragen, noch nachgewiesen. Randnummer 77 Wegen des weiteren Sach- und Streitstandes im ersten Rechtszug einschließlich der dort ergangenen Entscheidung wird auf das angefochtene Urteil (Leseabschrift Bl. 65 bis 82 Bd. III d. A.) Bezug genommen (§ 540 Abs. 1 Nr. 1 ZPO). Randnummer 78 Das Landgericht hat die Klage abgewiesen und zur Begründung ausgeführt, der Feststellungsantrag (Klageantrag zu 1) sei mangels Feststellungsinteresse und fehlenden Rechtsschutzinteresses unzulässig. Im Übrigen wäre der Antrag auch unbegründet, weil nicht ersichtlich sei, wie die Beklagte die Klagepartei ausgeforscht habe. Der Unterlassungsantrag (Klageantrag zu 2) sei mangels Bestimmtheit unzulässig, weil keine konkreten Daten aufgeführt würden. Außerdem sei der Antrag nicht mehr vom Schutzumfang des Art. 17

umfasst. Gemäß Art. 17

könne auch kein Unterlassungsanspruch, sondern nur Löschungsansprüche geltend gemacht werden. Hinsichtlich des Löschungsantrages (Klageantrag zu 3) fehle es am Rechtsschutzinteresse, weil die Klagepartei jederzeit ihr Konto selbst löschen könne. Mit der Einstellung „ deine Aktivitäten außerhalb der Meta-Technologien“ bestehe die Möglichkeit, frühere Daten, die mit dem Account verknüpft gewesen seien, zu trennen, sodass eine Verknüpfung mit Aktivitätsdaten von Drittanbietern unterbleibe. Auf Art. 18

könne sich die Klagepartei insoweit nicht stützen. Eine Anspruchsgrundlage für den Klageantrag zu 4 (Anonymisierung und Löschung der Daten) ergebe sich nicht aus Art. 17

weil die Anonymisierung kein Minus zum Löschungsantrag darstelle. Die Klagepartei habe auch keinen Anspruch auf Schadensersatz gemäß Art. 82

(Klageantrag zu 5). Die Klagepartei habe ihren Anspruch schon deshalb nicht schlüssig dargelegt, weil es an der genauen Angabe der verarbeiteten Daten fehle. Dass die Beklagte einer rechtswidrigen geheimdienstlichen Spionagepraxis nachgehe, die auf sie erhebliche Auswirkungen habe, habe die Klagepartei nicht schlüssig dargelegt oder bewiesen. Anhaltspunkte für einen Schaden gesundheitlicher Art fehlten zudem. Im Übrigen verhalte sich die Klagepartei widersprüchlich, weil sie die von der Beklagten ab

1. November 2023 genutzte Einwilligungsoption nicht gewählt habe. Randnummer 79 Mit der hiergegen gerichteten Berufung verfolgt die Klagepartei ihr erstinstanzliches Klagebegehren weiter. Sie vertritt die Auffassung, sie habe ein schutzwürdiges Interesse an der Feststellung des streitigen Rechtsverhältnisses, hilfsweise jedenfalls als Zwischenfeststellungsantrag gemäß § 256 Abs. 2 ZPO. Der Unterlassungsantrag sei hinreichend bestimmt. Entgegen der Auffassung des Landgerichts sei es unerheblich, welche Daten sie hinterlegt habe, weil es ausschließlich um die Unterlassung der Verarbeitung durch die Software Business Tools über Drittseiten und Apps, wie sie es am Beispiel der User-ID, des User Agent, der Klick-ID und der Browser-ID dargestellt habe, gehe. Der Antrag sei auch begründet, weil eine Einwilligung und damit ein Rechtfertigungsgrund nicht vorliege. Der Verpflichtungsantrag zu
2. sei zulässig gemäß Art. 18 Abs. 1

. Folge der Einschränkung nach Art. 18 Abs. 1

sei, dass nur die Speicherung der jeweiligen Daten erfolgen könne, jedoch keine Weiterverarbeitung. Das Rechtsschutzbedürfnis entfalle auch nicht durch die Selbstlöschungsmöglichkeit. Randnummer 80 Dem Klageantrag zu 4 (Verpflichtung zur Löschung) fehle nicht das Rechtsschutzbedürfnis. Vielmehr verletze das Verhalten der Beklagten ihr Recht auf informationelle Selbstbestimmung, weil die Daten bei der Beklagten trotz getrennter Systeme mit kontrolliertem Zugang weiterhin zuordenbar vorlägen. Außerdem stelle die Anonymisierung eine anteilige Löschung im Sinne des Art. 17

dar. Randnummer 81 Sie habe auch einen Anspruch auf Schadenersatz, der im umfassenden Kontrollverlust aufgrund des Verstoßes gegen Art. 5 Abs. 1, 25

bestehe. Randnummer 82 Sie verhalte sich auch nicht widersprüchlich, wenn sie das seit dem 3. November 2023 mögliche Abomodell nicht annehme, weil die Datenverarbeitung nicht wesentlich verändert werde und die Erfassung, Weiterleitung, Speicherung und Weiterverarbeitung unverändert stattfinde. Randnummer 83 Die Klagepartei beantragt, Randnummer 84 das erstinstanzliche Urteil des Landgerichts Magdeburg vom 7. November 2024 abzuändern und wie folgt neu zu fassen: Randnummer 85 1. Es wird festgestellt, dass der Nutzungsvertrag der Parteien zur Nutzung des Netzwerks „Facebook“ unter der E-Mail-Adresse „E. ... “ die Verarbeitung von folgenden personenbezogenen Daten in folgendem Umfang seit dem 25. Mai 2018 nicht gestattet: Randnummer 86

1. a)auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klagepartei, ob direkt oder in gehashter Form übertragen, d. h. Randnummer 87 - E-Mail der Klagepartei Randnummer 88 - Telefonnummer der Klagepartei Randnummer 89 - Vorname der Klagepartei Randnummer 90 - Nachname der Klagepartei Randnummer 91 - Geburtsdatum der Klagepartei Randnummer 92 - Geschlecht der Klagepartei Randnummer 93 - Ort der Klagepartei Randnummer 94 - externe IDs anderer Werbetreibender (von der Beklagten. „external_ID” genannt) Randnummer 95 - IP-Adresse des Clients Randnummer 96 - User-Agent des Clients (d. h. gesammelte Browserinformationen) Randnummer 97 - interne Klick-ID der Beklagten Randnummer 98 - interne Browser-ID der Beklagten Randnummer 99 - Abonnement-ID Randnummer 100 - Lead-ID Randnummer 101 - anon_id Randnummer 102 sowie folgende personenbezogene Daten der Klagepartei Randnummer 103
2. b)auf Webseiten Randnummer 104 - die URLs der Webseiten samt ihrer Unterseiten Randnummer 105 - der Zeitpunkt des Besuchs Randnummer 106 - der „Referrer“ (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist), Randnummer 107 - die von der Klagepartei auf der Webseite angeklickten Buttons Randnummer 108 sowie Randnummer 109 - weitere von der Meta „Events“ genannte Daten, die die Interaktionen der Klagepartei auf der jeweiligen Webseite dokumentieren Randnummer 110
3. c)in mobilen Dritt-Apps Randnummer 111 - der Name der App sowie Randnummer 112 - der Zeitpunkt des Besuchs Randnummer 113 - die von der Klagepartei in der App angeklickten Buttons sowie Randnummer 114 - die von der Meta „Events“ genannte Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren. Randnummer 115 2. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten gemäß des Antrags zu 1. zu verarbeiten. Randnummer 116 3. Die Beklagte wird verpflichtet, sämtliche unter dem Antrag zu 1 a., b. und c. aufgeführten, seit dem 25. Mai 2018 bereits verarbeiteten personenbezogenen Daten ab sofort unverändert am gespeicherten Ort zu belassen, d. h. insbesondere diese erst zu löschen, wenn die Klagepartei sie hierzu auffordert, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, und diese bis zu diesem Zeitpunkt nicht zu verändern, intern nicht weiter zu verwenden, und nicht an Dritte weiterzugeben. Randnummer 117 4. Die Beklagte wird verpflichtet, sämtliche gemäß dem Antrag zu 1 a. seit dem 25. Mai 2018 bereits gespeicherten personenbezogenen Daten der Klagepartei auf ihre Aufforderung hin, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, vollständig zu löschen und der Klagepartei die Löschung zu bestätigen sowie sämtliche gemäß dem Antrag zu 1 b. sowie c. seit dem 25. Mai 2018 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren. Randnummer 118 5. Die Beklagte wird verurteilt, an die Klagepartei immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, der aber mindestens 5.000,00 Euro beträgt, nebst Zinsen i. H. v. fünf Prozentpunkten über dem Basiszinssatz seit dem 22. September 2023, zu zahlen. Randnummer 119 6. Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten i. H. v. 1.134,55 Euro freizustellen. Randnummer 120 Die Beklagte beantragt, Randnummer 121 die Berufung zurückzuweisen. Randnummer 122 Die Beklagte verteidigt unter Wiederholung und Vertiefung ihres erstinstanzlichen Vortrages die angegriffene Entscheidung. Ihrer Ansicht nach scheitere der Anspruch daran, dass die Klagepartei nicht vorgetragen habe, welche Websites oder Apps von Drittanbietern und wann sie diese besucht habe, ob diese Website oder App zum Zeitpunkt des Besuchs der Klagepartei eines der streitgegenständlichen Business Tools verwendet habe; ob die Klagepartei ihre Zustimmung über das Cookie-Banner auf dieser Website oder App erteilt habe und welche Daten die Website oder App über die streitgegenständlichen Business Tools an die Beklagte übermittelt habe. Die Verarbeitung dieser Daten diene gezielt der Erkennung und Prävention von Sicherheitsbedrohungen sowie der Aufrechterhaltung der Integrität der Plattform. Randnummer 123 Unter Bezugnahme auf Anlage B 13 macht sie geltend, bei Meta Pixel würde vor einer Einwilligung des Nutzers keine http-Anfrage gestellt. Bei der Integration von Conversions API könne ein Drittunternehmen eine serverseitige Einwilligungslogik implementieren, um sicherzustellen, dass Daten nur dann über die Conversions API an die Beklagte gesendet würden, wenn der Nutzer seine Einwilligung erteilt habe (Anlagen B 14 und B 15). Randnummer 124 Hinsichtlich des Unterlassungsantrages macht die Beklagte geltend, ihr Grundrecht auf Berufsfreiheit gemäß Art. 12 GG überwiege das Interesse der Nutzer an einer Unterlassung der Verarbeitung über Business Tool Daten. Mit den Klageanträgen würden sie und die Drittunternehmen ihrer Ansicht nach daran gehindert, die streitgegenständlichen Business Tools im Allgemeinen zu nutzen. Dies sei unzulässig. Sofern die Klagepartei ihre Einwilligung widerrufe, bestehe keine Wiederholungsgefahr der Datennutzung. Randnummer 125 Der Senat hat am 13. Januar 2026 mündlich verhandelt und die Klagepartei informatorisch angehört. Auf die Schriftsätze der Parteien samt Anlagen, auch die der ersten Instanz, das landgerichtliche Urteil sowie das Protokoll der mündlichen Verhandlung auch in erster Instanz wird ergänzend Bezug genommen. II. Randnummer 126 Die Berufung der Klagepartei ist form- und fristgerecht eingelegt (§§ 517, 519 ZPO) und begründet (§ 520 ZPO) worden und auch im Übrigen zulässig. Der Klagepartei stehen gegen die Beklagte die tenorierten Ansprüche auf Feststellung, Unterlassung, Löschung und Schadensersatz in dem Umfang zu. A. Randnummer 127 Die deutschen Gerichte sind, wie das Landgericht rechtsfehlerfrei festgestellt hat, international zuständig. 1. Randnummer 128 Die Klagepartei hat ihren gewöhnlichen Aufenthalt in der Bundesrepublik Deutschland, so dass die – auch unter der Geltung von § 513 Abs. 2 ZPO zu prüfende (vgl. z. B. BGH, Urteil vom 17. März 2025, VI ZR 11/14, Rn. 14, juris) – internationale Zuständigkeit deutscher Gerichte aus Art. 82 Abs. 6 i. V. m. Art. 79 Abs. 2 S. 2

folgt. Randnummer 129 Ebenso ergibt sich die internationale Zuständigkeit aus Art. 17 Abs. 1 lit. c, 18 Abs. 1 Brüssel Ia-VO, da die Klagepartei als Verbraucherin gehandelt hat. Randnummer 130 Die Zuständigkeit folgt auch aus Art. 79 Abs. 2

. Gemäß § 79 Abs. 2

sind für Klagen gegen einen Verantwortlichen die Gerichte des Mitgliedstaats zuständig, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Nach S. 2 der Vorschrift können solche Klagen wahlweise auch bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat, es sei denn, es handelt sich – was vorliegend nicht der Fall ist – bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde eines Mitgliedstaats, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. Die Klagepartei hat ihren gewöhnlichen Aufenthalt in Deutschland (vgl. zuletzt: BGH, Urteil vom 11. November 2025, VI ZR 396/24, Rn. 12, juris). 2. Randnummer 131 Der sachliche, räumliche und zeitliche Anwendungsbereich der am 25. Mai 2018 in Kraft getretenen Datenschutzgrundverordnung ist eröffnet. Der sachliche Anwendungsbereich folgt aus Art. 2 Abs. 1

, der für die automatisierte Verarbeitung personenbezogener Daten gilt. Dass die Beklagte personenbezogene Daten der Klagepartei verarbeitet hat, ist zwischen den Parteien unstreitig. Die Eröffnung des räumlichen Anwendungsbereichs der

beruht auf ihrem Art. 3 Abs. 1, der auf die Verarbeitung personenbezogener Daten Anwendung findet, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen in der Europäischen Union erfolgt. Bei der Beklagten handelt es sich um ein Unternehmen nach dem Recht der Irischen Republik mit Sitz in Irland. 3. Randnummer 132 Da die Beklagte das soziale Netzwerk Facebook für Nutzer in der Europäischen Union betreibt, ist sie auch Verantwortliche im Sinne von Art. 4 Nr. 7

, und zwar auch und entgegen ihrer Ansicht, soweit über die streitgegenständlichen Business Tools die Daten auch durch die Drittanbieter verarbeitet werden. Der Begriff „Verantwortlicher“ wird in Art. 4 Nr. 7

weit definiert als die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, die Daten für sich verarbeitet oder für sich durch andere Personen oder Stellen verarbeiten lässt (Hans-Jürgen Schaffland; Gabriele Holthaus in: Schaffland/Wiltfang, Datenschutz-Grundverordnung (

)/Bundesdatenschutzgesetz (BDSG), Dezember 2025, Art. 4 EUV 2016/679, Rn. 145; EuGH, Urteil vom

1. Dezember 2025, C-492/23, Rn. 56; zuvor bereits Urteil vom
2. Juli 2019, Fashion ID, C-40/17, Rn. 74; juris). a) Randnummer 133 Der EuGH führt zur Verantwortlicheneigenschaft i. S. d. Art. 4 Abs. 7

aus: Randnummer 134 „Durch diese weite Definition soll im Einklang mit dem Ziel der

ein wirksamer Schutz der Grundfreiheiten und Grundrechte natürlicher Personen und insbesondere ein hohes Schutzniveau für das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten gewährleistet werden.“ (Urteil vom

1. Dezember 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, Rn. 29 und die dort angeführte Rechtsprechung, juris). Randnummer 135 Somit kann jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung solcher Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden (EuGH, Urteil vom
2. Dezember 2023, C-683/21, Rn. 30, juris). Randnummer 136 Zudem verweist der Begriff des „Verantwortlichen“, da er sich, wie Art. 4 Nr. 7

ausdrücklich vorsieht, auf die Stelle bezieht, die „allein oder gemeinsam mit anderen“ über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, nicht zwingend auf eine einzige Stelle und kann mehrere an dieser Verarbeitung beteiligte Akteure betreffen, wobei dann jeder von ihnen den Datenschutzvorschriften unterliegt (vgl. in diesem Sinne EuGH, Urteil vom 29. Juli 2019, Fashion ID, C-40/17, Rn. 67, juris). Randnummer 137 Art. 26

, der sich in den begrifflichen Rahmen des „Verantwortlichen“ nach Art. 4 Nr. 7

einfügt, sieht im Wesentlichen vor, dass zwei oder mehr Verantwortliche, wenn sie gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen, als „gemeinsam Verantwortliche“ für diese Verarbeitung einzustufen sind. Randnummer 138 Eine solche gemeinsame Verantwortlichkeit erfordert nicht notwendigerweise das Vorliegen gemeinsamer Entscheidungen über die Festlegung der Zwecke und Mittel der Verarbeitung der betreffenden personenbezogenen Daten. Der EuGH hat nämlich entschieden, dass die Mitwirkung an der Entscheidung über diese Zwecke und Mittel verschiedene Formen annehmen und sich sowohl aus einer gemeinsamen Entscheidung von zwei oder mehr Einrichtungen als auch aus übereinstimmenden Entscheidungen ergeben kann, die sich in einer Weise ergänzen, dass sich jede von ihnen konkret auf die Festlegung der Verarbeitungszwecke und -mittel auswirkt (vgl. in diesem Sinne Urteil vom 5. Dezember 2023, C-683/21, Rn. 43, juris). Randnummer 139 Insoweit setzt die gemeinsame Verantwortlichkeit mehrerer Akteure für dieselbe Verarbeitung nach Art. 4 Nr. 7

nicht voraus, dass jeder von ihnen Zugang zu den betreffenden personenbezogenen Daten hat (EuGH, Urteile vom

1. Juli 2019, Fashion ID, C-40/17, Rn. 69; vom
2. Dezember 2023, C-683/21, Rn. 42; juris). Randnummer 140 Im selben Sinne hat der Gerichtshof klargestellt, dass aus einer gemeinsamen Verantwortlichkeit nicht zwangsläufig folgt, dass die verschiedenen Akteure für dieselbe Verarbeitung personenbezogener Daten eine gleichwertige Verantwortlichkeit trifft. Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß in der Weise einbezogen sein, dass der Grad der Verantwortlichkeit eines jeden von ihnen unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen ist (EuGH, Urteile vom
3. Juli 2018, C-25/17, Rn. 66; vom
4. Dezember 2023, C-683/21, Rn. 42; vom
5. Dezember 2025, C-492/23, Rn. 57 – 63; juris). b) Randnummer 141 Nach dieser Einschätzung ist die Beklagte als diejenige, die die Business Tools den Drittwebseiten und Apps bereitstellt, auch als diejenige anzusehen, die über die Zwecke und Mittel der Verarbeitung dieser Daten hauptsächlich entschieden hat, und daher „Verantwortliche“ im Sinne von Art. 4 Nr. 7

. Randnummer 142 Die Beklagte trägt hierzu selbst vor, dass Drittunternehmen die von ihr entwickelten Business Tools auf ihren Websites oder Apps integrieren und sich dazu entscheiden können, Kundendaten durch die von ihr bereitgestellte Software mit der Beklagten zu teilen, um bessere und interaktivere Inhalte und Werbeanzeigen zu erstellen und ein (größeres) Publikum für Werbekampagnen aufzubauen (z. B. Rn. 1 ff. Berufungserwiderung). Ob sich daraus für diese Unternehmen eigene Pflichten aus der

ergeben, kann hier dahinstehen, weil die von den Dritten erhobenen Daten jedenfalls zweckgerichtet mit der Beklagten in unterschiedlichem Umfang geteilt und von ihr sodann – wie sie in der mündlichen Verhandlung bestätigt hat – auch verarbeitet werden. Eine Verarbeitung liegt insbesondere auch dann vor, wenn die Beklagte die Daten, deren Nutzung durch das Setzen von Cookies untersagt wurde, sichtet, um sie zu löschen oder für weitere, von ihr definierte Verarbeitungszwecke zu behalten. Ob diese Daten dabei anonymisiert oder sonst verfremdet werden, kann dahinstehen. Im Ergebnis führt die Weitergabe zu einer Personalisierung der von den Drittanbietern gehashten Nutzerdaten bei der Beklagten und damit zu einer erneuten Nutzung dieser Daten durch die Beklagte. Die Kontrolle über die Programmierung und in der Folge über die Funktionalität des Tools verbleibt nach dem Konzept jedenfalls auch bei der Beklagten. Diese entscheidet (mit), welche Daten erhoben und übermittelt werden. Dass eine „ gemeinsame Verantwortlichkeit für die Datenverarbeitung mit dem jeweiligen Drittunternehmen gem. der

betreffend die Erhebung und Übermittlung zusätzlicher Daten an die Drittunternehmen über gewisse Business-Tools “ besteht, hat die Beklagte im Übrigen auch eingeräumt (Schriftsatz der Beklagten vom

1. Juli 2024, Rn. 42, Bl. 125 f. Bd. II d. A.; vgl. auch die Nutzungsbedingungen für die Business Tools in Anlage B 5, dort S. 5; ebenso: EuGH, Urteil vom
2. Mai 2014, C-131/12, juris; OLG München, Endurteil vom
3. Dezember 2025, 14 U 1314/25 e, Rn. 212, beck-online). Randnummer 143 Dieser Umstand ist der Beklagten auch bewusst, da sie ihre Nutzer um eine entsprechende Einwilligung bei der Einstellung „ Informationen über Aktivitäten von Werbepartnern “ bittet und gegen Gebühr auch eine werbefreie Nutzung von Facebook als werbefreies Abonnement anbietet.
4. Randnummer 144 Auch der zeitliche Anwendungsbereich der

(Art. 99 Abs. 2

) ist eröffnet, weil die hier in Rede stehenden Verstöße nach deren Inkrafttreten am

1. Mai 2018 erfolgt sind. Nur für diesen Zeitraum macht die Klagepartei Ansprüche geltend.
2. Randnummer 145 Neben der

ist auf das Rechtsverhältnis der Parteien gemäß Art. 3 Abs. 1, Art. 6 Abs. 2 Rom I-VO und nach den Nutzungsbedingungen der Beklagten deutsches Recht anwendbar. Die Anwendbarkeit deutschen Rechts ergibt sich im Übrigen auch aus Art. 6 Abs. 1 lit.

1. b)Rom I-VO, weil ein Verbrauchervertrag vorliegt. Randnummer 146 B. Klageantrag zu 1 (Feststellungsantrag) Randnummer 147 1. Zulässigkeit Randnummer 148 Der Klagantrag zu 1. ist als Zwischenfeststellungsklage gemäß § 256 Abs. 2 ZPO zulässig. Randnummer 149 Soweit die Klagepartei die Feststellung begehrt, wonach der zwischen den Parteien bestehende „Nutzungsvertrag“ es der Beklagten verwehrt, bestimmte – hinreichend genau bezeichnete – personenbezogene Daten von Dritt-Webseiten und Dritt-Apps zu erheben, weiterzugeben, zu speichern und zu verwenden (Antrag zu 1.), ergibt sich die Zulässigkeit der Klage aus § 256 Abs. 2 ZPO.
2. a)Randnummer 150 Allerdings folgt die Zulässigkeit nicht aus § 256 Abs. 1 ZPO, weil es am Feststellungsinteresse fehlt. Randnummer 151
3. aa)Ein Feststellungsinteresse i. S. v. § 256 Abs. 1 ZPO besteht, wenn dem subjektiven Recht der Klagepartei eine gegenwärtige Gefahr der Unsicherheit dadurch droht, dass die Beklagtenseite es ernstlich bestreitet oder sie sich eines Rechts gegen die Klagepartei berühmt, und wenn das erstrebte Urteil infolge seiner Rechtskraft geeignet ist, diese Gefahr zu beseitigen. Dieses Erfordernis beruht darauf, dass es nicht zu den Aufgaben der Gerichte gehört, einem Beteiligten zu bescheinigen, ob er im Recht war oder nicht (BGH, Urteil vom 17. Juni 2016, V ZR 272/15, Rn. 13, juris). Ist der Klagepartei eine Klage auf Leistung möglich und zumutbar und erschöpft sie das Rechtsschutzziel. Es fehlt grundsätzlich das Feststellungsinteresse, weil die Klagepartei im Sinne einer besseren Rechtsschutzmöglichkeit den Streitstoff in einem Prozess klären kann (Zöller-Greger, ZPO, 36. Auflage, § 256 ZPO, Rn. 14). Randnummer 152
4. bb)Die bereits gestellten Leistungsanträge auf Löschung, Unterlassung und Schadensersatz erschöpfen das Rechtsschutzziel der Klagepartei dadurch, dass ihr Schadensersatz aufgrund der vergangenen Datenverarbeitung gezahlt und die streitgegenständliche Datenerhebung unterlassen werden soll (zu den Anforderungen: MüKoZPO/Becker-Eberhard, 7. Aufl. 2025, ZPO § 256 Rn. 47; Stein/Roth, 24. Aufl. 2024, ZPO, § 256 Rn. 76, beck-online). Diese lassen das Feststellungsinteresse entfallen, wenn sich – wie hier - das Rechtsschutzziel hierin erschöpft. Soweit die Klagepartei sich gegen die weitere Verwendung der Daten wendet, ist ihr Rechtsschutzziel in den Anträgen zu Ziff. 2 bis 5. abgebildet (OLG München, Urteil vom 18. Februar 2020, 18 U 3465/19, Rn. 45, juris).
5. b)Randnummer 153 Der Antrag zu Ziff. 1 ist als Zwischenfeststellungsklage nach § 256 Abs. 2 ZPO zulässig, was von Amts wegen zu prüfen ist (BGH, Urteil vom 25. Oktober 2007, VII ZR 27/06, Rn. 10 m. w. N., juris). Randnummer 154
6. aa)Gegenstand einer Zwischenfeststellungsklage kann das Bestehen oder Nichtbestehen eines Rechtsverhältnisses sein, also die aus einem konkreten Lebenssachverhalt entstandenen Rechtsbeziehungen von Personen zu Personen oder von Personen zu Sachen. Ein Rechtsverhältnis ist eine aus dem vorgetragenen Sachverhalt abgeleitete rechtliche Beziehung von Personen untereinander oder zu einem Gegenstand, die ein subjektives Recht enthält oder aus der ein solches Recht entspringen kann (zuletzt: BGH, Urteil vom 13. November 2025, IX ZR 127/24, Rn. 27, juris). Randnummer 155 Darunter fallen auch einzelne Folgen von Rechtsbeziehungen, wozu der Senat auch die Frage zählt, ob ein Rechtsverhältnis – wie hier von der Klagepartei behauptet – rechtswidrig ausgestaltet wird (vgl. BGH, Urteil vom 6. April 2016, VIII ZR 79/15, Rn. 44, juris). Auf die Feststellung der Unzulässigkeit des Verhaltens der Beklagten zielt der Feststellungsantrag ab, mithin auf das Nichtbestehen eines Rechtsverhältnisses. Randnummer 156 Vorliegend verbindet die Parteien unstreitig ein Vertrag zur Nutzung der Social Media Plattform Facebook. Nach dem Verständnis des Senats begehrt die Klagepartei die Feststellung, dass der Beklagten ein von ihr aus diesem Vertrag hergeleitetes und in Anspruch genommenes Recht nicht zusteht. Randnummer 157
7. bb)Die begehrte Feststellung muss sich allerdings grundsätzlich auf einen Gegenstand beziehen, der über den der Rechtskraft fähigen Gegenstand des Hauptsachebegehrens hinausgeht. Die danach erforderliche Vorgreiflichkeit für die Entscheidung in der Hauptsache, also die Möglichkeit, dass das inzidenter ohnehin zu klärende Rechtsverhältnis zwischen den Parteien noch über den gegenwärtigen Streitgegenstand hinaus Bedeutung hat oder gewinnen kann (BGH, Urteil vom 5. November 2024, II ZR 35/23, Rn. 17, juris), durch die zugleich das sonst nach § 256 Abs. 1 ZPO erforderliche berechtigte Interesse an der begehrten Feststellung ersetzt wird, liegt hier vor. Randnummer 158

bezeichnet der Ausdruck „ personenbezogene Daten“ im Sinne der

. Hierunter sind nach der Begriffsbestimmung dieser Vorschrift alle Informationen zu verstehen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei klargestellt wird, dass „als identifizierbar eine natürliche Person angesehen wird, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (zuletzt: EuGH, Urteil vom 2. Dezember 2025, C-492/23, Rn. 48 m. w. N.; BGH, EuGH-Vorlage vom 28. August 2025, VI ZR 258/24, Rn. 23; Karg in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Aufl., Art. 4 Nr. 1

Rn. 6; Klar/Kühling in Kühling/Buchner,

BDSG, 4. Aufl., Art. 4 Nr. 1

Rn. 2; Klabunde/Horváth in Ehmann/Selmayr, Datenschutz-Grundverordnung, 3. Aufl., Art. 4 Rn. 8; Ziebarth in Sydow/Marsch,

/BDSG, 3. Aufl., Art. 4

Rn. 7). Er umfasst auch alle Informationen, die erst aus einer Verarbeitung zuvor vorhandener personenbezogener Daten resultieren (Ehmann/Selmayr/Ehmann, 3. Aufl. 2024,

, Art. 15 Rn. 34, beck-online; EuGH, Urteil vom

1. Mai 2023, C 487/21, Rn. 26, juris). Randnummer 164 bb) Unzweifelhaft sind danach die E-Mail der Klagepartei, ihre Telefonnummer, ihr Vor- und Nachname, ihr Geburtsdatum, ihr Geschlecht und der Ort, an dem sie sich befindet, personenbezogene Daten. Ebenso handelt es sich bei der IP-Adresse des genutzten Clients um ein personenbezogenes Datum (Ehmann/Selmayr/Klabunde/Horváth,
2. Aufl. 2024,

Art. 4Rn.

18, beck-online). Randnummer 165 Ferner handelt es sich auch bei der internen Klick-ID sowie der internen Browser-ID der Beklagten um personenbezogene Daten. Mit diesen Daten können die Aufrufe der Drittwebseite und die Aktionen darauf eindeutig einem bestimmten Facebook-Konto zugeordnet werden, in diesem Fall dem Konto der Klagepartei. Randnummer 166 Auch die URLs der besuchten Webseiten samt ihrer Unterseiten, der Zeitpunkt des Besuchs, der „Referrer“ (d. h. die Webseite, über die der Nutzer zur aktuellen Webseite gekommen ist), die von der Klagepartei angeklickten Buttons sowie die weiteren, von der Beklagten „Events“ genannten Daten, die die Interaktion der Klagepartei auf der jeweiligen Webseite dokumentieren sind personenbezogene Daten, da sie jeweils in Verbindung mit weiteren Informationen der Klagepartei zugeordnet werden können und dadurch Informationen über diese beinhalten. So kann dadurch ermittelt werden, welche Webseiten die Klagepartei besuchte, wann dies geschah, von welcher Webseite sie dort hingelangte, sowie welche Aktionen sie dort durchgeführt hat, beispielsweise, ob sie bestimmte Artikel gekauft hat. Randnummer 167 Aus den gleichen Gründen handelt es sich schließlich bei dem Namen der App, sowie dem Zeitpunkt des Besuchs, den von der Klagepartei in der App angeklickten Buttons, sowie den von der Beklagten „Events“ genannten Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren, um personenbezogene Daten. Randnummer 168 Die Daten zum User-Agent des Clients, welche ausweislich des klägerischen Vortrags, welchem die Beklagte nicht entgegengetreten ist, die für das Digital Fingerprinting nutzbaren Daten darstellen, stellen somit ebenfalls personenbezogene Daten dar. Randnummer 169 Schließlich sind auch die Lead-ID, die Abonnement-ID, die anon_id sowie die externe ID besuchter Webseiten (external ID) personenbezogene Daten. Denn als „ID“ stellen sie Identitätsdokumente bzw. Kennungen der Klagepartei bezüglich ihrer Aktionen/Kontakte im Internet als potenzieller Kunde („Lead“), als Abonnent sowie die Kennung der Klagepartei bei anderen Werbetreibenden dar (Ehmann/Selmayr/Klabunde/Horváth, 3. Aufl. 2024, DS-GVO Art. 4 Rn. 17, beck-online).

1. b)Randnummer 170 Die Datenverarbeitung der Beklagten ist in drei Perioden einzuteilen: die Zeit vom 25. Mai 2018 bis zur Implementierung des Bezahl-Abonnements und der Cookie-Implementierung ab 3. November 2023 (lit. aa)), die Zeit vom 16. Juli 2020 bis 7. Oktober 2022 (lit. bb)), und der danach liegenden Zeit bis heute (lit. cc)). Randnummer 171
2. aa)Zwischen den Parteien ist unstreitig, dass vor dem 3. November 2023 die von den (Dritt-) Webseiten und Apps stammenden „Kontaktinformationen“ und/oder „Event-Daten“ ungefiltert und damit allgemein und unterschiedslos von der Beklagten verarbeitet wurden. Insoweit wird auf die Feststellungen des Bundeskartellamts, Beschluss vom 6. Februar 2019, B6-22/16, Bezug genommen. Hiergegen wendet sich die Beklagte auch nicht substantiiert. Randnummer 172
3. bb)Die Datenübermittlung in die USA war darüber hinaus jedenfalls vom 16. Juli 2020 bis zum 7. Oktober 2022 nicht durch einen Erlaubnistatbestand der DGSVO gedeckt. Mit Urteil vom 16. Juli 2020, Facebook Ireland und Schrems (C-311/18, im Folgenden: Urteil Schrems II), erklärte der EuGH den Angemessenheitsbeschluss der EU-Kommission vom 12. Juli 2016 (ABl. 2016, L 207, S. 1, im Folgenden: Angemessenheitsbeschluss 2016) gemäß der Richtlinie 95/46 über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes für ungültig. Der EuGH stellte fest, dass die bisher verwendeten Standardvertragsklauseln (SCC) in Bezug auf den Zugang der Geheimdienste zu Daten aufgrund von Bedenken gegenüber der massenhaften US-Datenüberwachung und fehlender Rechtsschutzmöglichkeiten für EU-Bürger nicht den EU-Datenschutzvorschriften entspreche. Randnummer 173 Die Beklagte hat für diesen Zeitraum die Hürde des Verbots von Datenübermittlungen in Drittstaaten gem. Art. 44 ff.

schuldhaft nicht überwunden. Gründe, die die Übermittlung der personenbezogenen Daten der Klagepartei in die USA im Zeitraum vom

1. Juli 2020 bis zum
2. Oktober 2022 rechtfertigen könnten und die sich aus den Erlaubnistatbeständen der Art. 45 bis 47

ergeben könnten, hat die Beklagte nicht hinreichend dargetan. Sie hat hierzu gar keinen weiteren detaillierten Vortrag gehalten und lediglich auf ihre Standardvertragsklauseln verwiesen. Die Übermittlung war jedoch weder nach Art. 46 Abs. 1 DGSVO aufgrund geeigneter Garantien für ein angemessenes Datenschutzniveau in den USA als Drittland noch aufgrund einer Einwilligung nach Art. 49 Abs. 1 S. 1 lit. a) DGSVO zulässig oder gemäß Art. 49 Abs. 1 lit. b)

erforderlich. Randnummer 174

zwingend (Art. 7 und 4 Nr. 11

). Der Betroffene muss über das konkrete Risiko der Datenübermittlung in ein Drittland ohne adäquates Schutzniveau aufgeklärt werden (Gola/Heckmann/Klug, 3. Aufl. 2022,

Art. 49Rn.

6, beck-online). Randnummer 176 (1.2.) Nach Art. 49 Abs. 1 lit. a)

ist eine Einwilligung zudem nur gültig, wenn die betroffene Person ausdrücklich und in Kenntnis der Sachlage zugestimmt hat. Die Beklagte kann nicht nachweisen, dass eine transparente Information über die Risiken der Drittstaatenübermittlung stattfand. Hierzu fehlt jeglicher Vortrag. Randnummer 177 (1.3.) Daraus folgt zugleich, dass die behauptete Einwilligung nicht freiwillig war (vgl. EWG 43

; Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht,

Art. 49Rn. 16, beck-online). Randnummer 178

(Erforderlichkeit der Datenübermittlung) kann die Beklagte die Datenübermittlung nicht stützen. Danach ist eine Datenübermittlung an ein Drittland zulässig, auch wenn weder ein Angemessenheitsbeschluss nach Art. 45 Abs. 3

noch geeignete Garantien nach Art. 46

bestehen, wenn die Übermittlung für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich ist. Randnummer 179 (2.1.) Wie EWG 111

erhellt, setzt Art. 49 Abs. 1 lit. b)

dabei voraus, dass es sich lediglich um gelegentliche, also nicht um regelmäßige Datenübermittlungen handelt (vgl. auch Klug in: Gola/Heckmann,

,

1. Aufl., Art. 49, Rn. 7). Randnummer 180 Die Beklagte führt jedoch selbst aus, dass die Übermittlung der Daten in die USA zum Funktionieren des sozialen Netzwerkes erforderlich sei, was keine bloß „gelegentliche“ Übermittlung darstellt. Randnummer 181 (2.2.) Die gilt hier umso mehr als die Beklagte nicht darlegt, weshalb der Datentransfer in die USA erforderlich für die Vertragserfüllung und die gesamte Datenverarbeitung war. Denn es wäre ebenso gut möglich gewesen, den gesamten weltweiten Datenverkehr von Facebook oder Instagram in einem Staat zu verarbeiten, welcher über einen Angemessenheitsbeschluss mit der EU-Kommission verfügte oder auch in einem Mitgliedstaat der Europäischen Union. Anderenfalls hätte die Datenübertragung gänzlich unterbleiben müssen (EuGH, Urteil vom
2. Juli 2020, C-311/18, Rn. 135, juris; Borges/Keil, Big Data/Duisberg,
3. Aufl. 2024, § 6 Rn. 315, beck-online). Dieser Schluss ergibt sich auch aus EWG 101 S. 6

, wonach die Datenübermittlung nur stattfinden kann, wenn die Bestimmungen der

erfüllt werden. Randnummer 182 (2.3.) Auch Art. 49 Abs. 1 lit. c)

betrifft lediglich Fälle, in denen gelegentlich stattfindende Übermittlungen zum Abschluss oder zur Erfüllung eines Vertrags, der im Interesse des Betroffenen von der verantwortlichen Stelle mit einem Dritten geschlossen wurde bzw. geschlossen werden soll, erforderlich sind. Der Betroffene selbst ist hierbei nicht Vertragspartner. In Betracht kommen etwa Verträge zugunsten Dritter i. S. v. § 328 BGB (Gola/Heckmann/Klug, 3. Aufl. 2022,

Art. 49Rn.

8, beck-online). Ein solcher Fall liegt hier nicht vor. Randnummer 183 (2.4.) Auch die übrigen Voraussetzungen des Art. 49 Abs. 1 lit. d) bis g)

liegen ersichtlich nicht vor. Randnummer 184 (2.5.) Die Beklagte kann sich auch nicht auf Art. 49

i. V. m. Art. 6 DGSVO berufen, insbesondere unter dem Argument, dass die Übermittlung zur Vertragsdurchführung erforderlich war, da sie andernfalls ihre Dienste nicht hätte anbieten können. Denn diese Vorschriften sind Ausnahmevorschriften und nur im Einzelfall anwendbar, dienen aber ganz bestimmt nicht als Grundlage „massenhafter“ Übermittlungen (vgl. EWG 111

). Randnummer 185

berufen, weil der EuGH den Angemessenheitsbeschluss der EU-Kommission vom

1. Juli 2016 für unwirksam erklärt hat (EuGH, Urteil vom
2. Juli 2020, C-311/18, juris). Randnummer 186

und EWG 108

berufen. Ausführungen hierzu fehlen gänzlich. Art. 46

bildet ebenfalls keine Grundlage für die Datenübermittlung in die USA. Randnummer 187 Ohnehin können durch die Standardvertragsklauseln nationale Gesetze nicht geändert werden (Thüsing in: Lutter/Bayer, Holding-Handbuch, 7. Auflage 2024, c) Verbindliche Unternehmensregelungen als Rechtfertigungsgrundlage, Art. 46 Abs. 2 lit. b, 47

, Rn. 14_105). Damit steht auch außer Frage, dass Standardvertragsklauseln die Behörden eines Drittlands nicht binden können, da diese nicht Vertragspartei sind (EuGH, Urteil vom

1. Juli 2020, C-311/18, Rn. 125, juris; Dehmel/Ossmann-Magiera/Weiss: Drittstaatentransfers nach Schrems II, MMR 2023, 17). Randnummer 188 Daher ist für das gegebene Datenschutzniveau nicht allein auf die Standardvertragsklauseln, sondern auf die Rechtslage in den USA abzustellen. Randnummer 189 Das einschlägige US-Recht und die einschlägigen US-amerikanischen Praktiken boten kein Schutzniveau, das dem im EU-Recht vorgesehenen gleichwertig ist. Dass die Standardvertragsklauseln eine ausreichende Lösung für einen derartigen Datentransfer geboten hätten, hat die Beklagte schon nicht näher dargelegt. Denn jedenfalls bestand für die Beklagte in den USA eine direkte Verpflichtung, den Zugriff auf die importierten Daten zu gewähren oder diese herauszugeben, die sich auch auf die kryptographischen Schlüssel erstrecken konnte (EDSA, Empfehlungen 01/2020, Rn. 81). Randnummer 190 EU-Bürgern standen keine wirksamen Rechtsbehelfe gemäß Art. 47 GrCh zur Verfügung. Randnummer 191 Der EuGH hat festgestellt, dass die Standardklauseln ihrer Wirksamkeit beraubt sind durch die Möglichkeit, dass US-amerikanische Behörden wegen Erfordernissen der nationalen Sicherheit, des öffentlichen Interesses oder von Rechtsvorschriften der Vereinigten Staaten in die Grundrechte der Personen eingreifen können, deren personenbezogene Daten aus der Union in die Vereinigten Staaten übermittelt werden oder werden könnten, insbesondere nach § 702 FISA (§ 702 FISA - Foreign Intelligence Suveillance Act), der EO 12333 (Executive Order 12333, https://www.archives.gov/federal-register/codification/executive-order/12333.html) und der PPD-28 (Presidential Policy Directive 28 vom
2. Januar 2014), weil insoweit keinerlei Einschränkungen oder Garantien für Nicht-US-Bürger bestünden (EuGH, Urteil vom
3. Juli 2020, C-311/18, Rn. 165 und Rn. 180, juris). Insbesondere verleihe die EO 12333 keine Rechte, die gegenüber den amerikanischen Behörden gerichtlich durchgesetzt werden könnten (EuGH, Urteil vom
4. Juli 2020, C-311/18, Rn. 182, juris). Es fehlte damit sowohl an der Rechtsschutzmöglichkeit (Rn. 192) als auch an der Verhältnismäßigkeit der Maßnahmen. Randnummer 192 Der EuGH hat zusammenfassend in Rn. 184 ausgeführt: Randnummer 193 „Folglich ist davon auszugehen, dass weder Section 702 des FISA noch die EO 12333 in Verbindung mit der PPD-28 den im Unionsrecht nach dem Grundsatz der Verhältnismäßigkeit bestehenden Mindestanforderungen genügen, so dass nicht angenommen werden kann, dass die auf diese Vorschriften gestützten Überwachungsprogramme auf das zwingend erforderliche Maß beschränkt sind.“ Randnummer 194 Dieser Würdigung schließt sich der Senat nach eigener Prüfung der zugrunde liegenden Rechtsvorschriften an. Randnummer 195

, Rn. 14_105). Damit steht auch außer Frage, dass Standardvertragsklauseln die Behörden eines Drittlands nicht binden können, da diese nicht Vertragspartei sind (EuGH, Urteil vom

1. Juli 2020, C-311/18, Rn. 125, juris; Dehmel/Ossmann-Magiera/Weiss: Drittstaatentransfers nach Schrems II, MMR 2023, 17). Daher ist für das gegebene Datenschutzniveau nicht allein auf die Standardvertragsklauseln, sondern auf die Rechtslage in den USA abzustellen. Das EU-Datenschutzniveau ist frühestens mit der Executive Order EO 14086 und der damit verbundenen Beschränkung der Überwachungsbefugnisse der US-Nachrichtendienste und der Schaffung eines neuen Rechtsschutzmechanismus für EU-Bürger am
2. Oktober 2022 erreicht worden. Die EU-Kommission hat zu den mit der EO 14086 geschaffenen Mechanismen in dem Überprüfungsbericht vom
3. Oktober 2024 Com

(vgl. Ziff. 4) rechtswidrig. Randnummer 205

klarstellt, auch eine Pseudonymisierung (Abs. 5) keine Wirkung auf den Personenbezug der Daten hat, da es sich letztendlich lediglich um eine andere Form der Speicherung handelt, dem Verantwortlichen aber weiterhin der vollständige Informationsgehalt der Daten zur Verfügung steht und der individuelle Bezug jedes Informationselements ohne großen Aufwand hergestellt werden kann. Selbstverständlich beeinflusst auch eine Verschlüsselung von Daten deren Personenbezug in keiner Weise. Verschlüsselte Speicherung oder Übertragung ist eine Sicherheitsmaßnahme, die insbesondere unbefugte Kenntnisnahme der Daten erschwert, aber berechtigten Personen weiterhin Zugang und Verarbeitungsmöglichkeit bietet (Ehmann/Selmayr/Klabunde/Horváth, 3. Aufl. 2024,

Art. 4Rn.

19, beck-online). c) Randnummer 207 Die Datenverarbeitung durch die Beklagte ist durchgehend ab dem

1. Mai 2018 jedenfalls bis
2. November 2023 rechtswidrig, weil sie gegen den Grundsatz der Datenminimierung bei der Verarbeitung personenbezogener Daten, der in Art. 5 Abs. 1 lit. b), lit. c), Art. 25 Abs. 2 S. 1, 3

verankert ist, verstoßen hat. Randnummer 208 aa) Nach Art. 5 Abs. 1 lit. c), 25 Abs. 2 Satz 1 und 3

muss die Datenverarbeitung gemäß § 4 Nr. 2

dem Zweck angemessen und auf das für die Zwecke der Verarbeitung notwendige Maß begrenzt sein. Ausnahmen und Einschränkungen des Grundsatzes des Schutzes solcher Daten sind auf das absolut Notwendige zu beschränken (Grundsatz der Datenminimierung; EuGH, Urteil vom 24. Februar 2024, C-175/20, Rn. 73; BGH, Urteil vom 18. November 2024, VI ZR 10/24, Rn. 87; juris). Randnummer 209 Die Grundsätze des Art. 5

werden durch konkrete Vorgaben zur technischen Ausgestaltung und insbesondere durch Vorgaben in Bezug auf datenschutzfreundliche Voreinstellungen in Art. 25

konkretisiert (vgl. zum Verhältnis von Art. 5 und Art. 25

: Heberlein in: Ehmann/Selmayr,

,

1. Aufl., Art. 5 Rn. 6 und 31; Schantz in: BeckOK DatenschutzR,
2. Ed. [Stand:
3. November 2021], Art. 5

, Rn. 25; Herbst in: Kühling/Buchner,

- BDSG, 4. Aufl. 2024, Art. 5

, Rn. 59 und Hartung in: Kühling/Buchner,

- BDSG, 4. Aufl. 2024, Art. 25

, Rn. 25). Die daten-schutzfreundlichste Voreinstellung ist zu wählen (BGH, Urteil vom 18. November 2024, VI ZR 10/24, Rn. 88, juris). Randnummer 210

hat der Verantwortliche demnach geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Die Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden. Damit beinhaltet Art. 25 Abs. 2 Satz 3

die ausdrückliche Verpflichtung zu Voreinstellungen, die verhindern, dass die Daten ohne Weiteres, also ohne bewusste persönliche Änderung der Voreinstellung, der Öffentlichkeit oder sonst einem unbestimmten Adressatenkreis zugänglich gemacht werden (Heberlein in: Ehmann/Selmayr,

,

1. Aufl. 2024, Art. 5 Rn. 31; BGH, Urteil vom
2. November 2024, VI ZR 10/24, Rn. 86, 88; juris). Randnummer 211 Die Vorgabe, die Daten nicht „ einer unbestimmten Zahl natürlicher Personen“ zugänglich zu machen, ist nach ihrem Zweck darauf ausgelegt, dass der Personenkreis derjenigen, die Zugriff auf die Daten des Betroffenen haben können, für diesen überschaubar sein soll. Die Regelung des Art. 25 Abs. 2

hat dabei gerade die Voreinstellungen von sozialen Netzwerken im Blick (BGH, Urteil vom 18. November 2024, VI ZR 10/24, Rn. 89, juris). Randnummer 212

einzustufen sind, da ihr anhand der ihr vorliegenden Informationen insofern eine Individualisierung der Klagepartei möglich ist (vgl. EuGH, Urteil vom

1. Oktober 2016, Breyer, C-582/14, Rn. 49; EuGH, Urteil vom
2. Juni 2021, M. I. C. M., C-597/19, Rn. 102; auch BGH, Urteil vom
3. Mai 2017, VI ZR 135/13, Rn. 23; juris). Randnummer 214

liegt zugleich eine konkrete unrechtmäßige Datenverarbeitung (EuGH, Urteil vom 4. Mai 2023, C-60/22, Rn. 54 - 57, juris). d) Randnummer 219 Die Datenübermittlung an Drittanbieter und zurück an die Beklagte, gleich ob durch die Cookie-Einstellungen der Klagepartei die Weiterverarbeitung gestattet war und ist oder nicht, war und ist nicht durch einen Erlaubnistatbestand Art. 6 Abs. 1 UAbs. 1

gedeckt und daher rechtswidrig. Eine freiwillige Einwilligung zur Datenübermittlung an Drittwebseiten und -Apps i. S. d. Art. 4 Nr. 11

liegt nicht vor (vgl. zu den Voraussetzungen im Einzelnen: Paschke/Berlit/Meyer/Kröner, Hamburger Kommentar Gesamtes Medienrecht, 77. Abschnitt: Grundregeln des medienrelevanten Datenschutzrechts, Rn. 27, beck-online). Die Beklagte kann sich nicht auf die eine Einwilligung der Klagepartei nach Art. 6 Abs. 1 lit. a), Art. 9 Abs. 2 lit. a)

berufen. Randnummer 220 Nach Art. 7 Abs. 1, EWG 42

trägt die Beklagte in Fällen, in denen die Verarbeitung auf einer Einwilligung beruht, die Beweislast dafür, dass die Klagepartei in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat (EuGH, Urteil vom 4. Juli 2023, C-252/21, Rn. 152, juris). Randnummer 221 Die Datenverarbeitung ist auch nicht für die Vertragserfüllung nach Art. 6 Abs. 1 lit. b), Art. 9 Abs. 2 b)

erforderlich. Die Verarbeitung ist schließlich nicht durch überwiegende Interessen der Beklagten oder der Drittanbieter gegenüber den Interessen und Rechten der Klagepartei nach Art. 6 Abs. 1 f)

gerechtfertigt. Die Beklagte kann sich auch nicht auf die in ihrer Datenschutzrichtlinie (Anlage K 1) genannten Verarbeitungszwecke berufen. Randnummer 222 aa) Art. 6 Abs. 1 lit. a) und Art. 9 Abs. 2

Randnummer 223

und Art. 9 Abs. 2 lit. a)

verlangen die Einwilligung der betroffenen Person im Hinblick auf die Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke bzw. die Verarbeitung besonderer Kategorien von Daten gem. Art. 9 Abs. 1

. Nach Art. 4 Nr. 11

bezeichnet der Ausdruck „Einwilligung“ „ jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Randnummer 224

legitimieren (vgl. zur Einwilligung der Klagepartei Rn. 62 des Schriftsatzes vom 7. August 2024). Der EuGH geht davon aus, dass nach EWG 42

die Einwilligung nicht als freiwillig erteilt angesehen werden kann, wenn die betroffene Person nicht über eine echte Wahlfreiheit verfügt oder nicht in der Lage ist, ihre Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden. EWG 43

verweist darauf, dass ein klares Ungleichgewicht zwischen den Beteiligten gegen die Freiwilligkeit der Einwilligung spreche und nach Art. 7 Abs. 4

berücksichtigt werden müsse, ob die Einwilligung in eine Datenverarbeitung erfolge, die zur Vertragserfüllung nicht erforderlich sei (EuGH, Urteil vom

1. Juli 2023, C-252/21 (Meta Platforms Inc. u. a./Bundeskartellamt), Rn. 143, 144 und 145; BGH, Beschluss vom
2. Juni 2020, KVR 69/19, Rn. 107, juris). Die Beklagte trägt für den Zeitraum bis
3. November 2023 nicht einmal zu einer Einwilligung über Cookies vor. Denn erst für den Zeitraum danach hat die Beklagte die Alternative des werbefreien Abonnements geschaffen. Soweit die Beklagte meint, darin, dass die Klagepartei „optionale Cookies“ erlaubt bzw. diese bei „Informationen über Aktivitäten von Werbepartnern“ aktiviert habe, liege eine wirksame Einwilligung, geht diese Auffassung fehl. Randnummer 225

; EDSA, Leitlinien 5/2020, Rn. ff.). Randnummer 228

(Erforderlichkeit) Randnummer 230 Die Datenverarbeitung über die Business Tools war auch nicht erforderlich für die Vertragserfüllung. Im Grundsatz trägt die Beklagte als Verantwortliche die Darlegungs- und Beweislast für die Erforderlichkeit der von ihr vorgenommenen Datenverarbeitung (BGH, Urteil vom 18. Dezember 2025, I ZR 97/25, Rn. 45, juris). Randnummer 231

zu beachten (EuGH, Urteil vom

1. Dezember 2023, C-26/22, Rn. 77 f., juris). Randnummer 234 Im Grundsatz trägt die Beklagte als Verantwortliche die Darlegungs- und Beweislast für die Erforderlichkeit der von ihr vorgenommenen Datenverarbeitung (BGH, Urteil vom
2. Dezember 2025, I ZR 97/25, Rn. 45, juris). Randnummer 235

). Denn die Klagepartei schließt eine solche durch Ablehnung der Cookies in der Regel und soweit möglich gerade aus. Die Beklagte bietet deshalb eine werbefreie Variante gerade an. Weshalb dann weitere Daten überhaupt erhoben werden müssen, erschließt sich nicht. Randnummer 238

Randnummer 240 Es besteht auch kein Rechtfertigungsgrund gemäß Art. 6 Abs. 1 lit. c) bis e)

. Randnummer 241

im öffentlichen Interesse liegenden Ziels erforderlich ist (EuGH, Urteil vom

1. Juli 2023, C-252/21 (Meta Platforms Inc. u. a./ Bundeskartellamt), Rn. 125, 133, juris; vgl. BeckOK DatenschutzR/Albers/Veit,
2. Ed., Art. 6

Rn. 34; Heberlein in Ehmann/Selmayr,

, 2. Aufl., Art. 6 Rn. 16; Buchner/Petri in Kühling/Buchner,

, 2. Aufl., Art. 6 Rn. 77; vgl. Plath/Plath,

, 3. Aufl., Art. 6 Rn. 38 m. w. N.). Solches ist nicht ersichtlich. Der EuGH führt vielmehr aus, dass es hinsichtlich der Beklagten „ angesichts der Art und des im Wesentlichen wirtschaftlichen und kommerziellen Charakters der Tätigkeit dieses privaten Wirtschaftsteilnehmers allerdings wenig wahrscheinlich erscheint, dass ihm eine solche Aufgabe (zum Wohle der Gesellschaft oder die Förderung von Schutz, Integrität und Sicherheit – Einfügung durch den Senat) übertragen worden ist.“ (EuGH, a. a. O., Rn. 133). Solches trägt die Beklagte auch nicht vor. Randnummer 242

, der die Datenverarbeitung erlaubt, um lebenswichtige Interessen der betroffenen Personen oder anderer natürlicher Personen zu schützen. Randnummer 243 Nach den Anforderungen des EuGH ist die streitgegenständliche Datenerhebung nicht erforderlich i. S. d. Art. 6 Abs. 1 lit.

1. d)und
2. e)(EuGH, Urteil vom 4. Juli 2023, C-252/21 (Meta Platforms Inc. u. a./Bundeskartellamt), Rn. 130, 137, juris). Randnummer 244 Es ist auch nicht ersichtlich, dass die Datenverarbeitung für die Systeme und deren Arbeitsfähigkeit aus technischer Sicht erforderlich wäre. Die Beklagte behauptet zwar, die Datenerhebung sei aus Sicherheits- und Integritätsgründen erforderlich, vereinzelt ihren Vortrag hierzu aber nicht. Es ist – außer Praktibilitätserwägungen der Beklagten – auch nicht nachvollziehbar, weshalb die Nutzerdaten aus Sicherheitsgründen erforderlich sein sollten. Die Beklagte verarbeitet hier Nutzerdaten, die sie gar nicht erhalten dürfte, so dass sie diese auch nicht zur Ertüchtigung ihrer eigenen Systeme verwenden kann. Randnummer 245 Die Beklagte kann die Daten auch nicht aus Gründen der Strafverfolgung verarbeiten (lit. ee)). Die Beklagte ist ein Wirtschaftsunternehmen und keine Strafverfolgungsbehörde. Die Begründung der rechtlichen Verpflichtung kann sich nur aus einer Rechtsgrundlage der Union oder eines Mitgliedstaates nach Abs. 3 S. 1 ergeben. Diese Rechtsgrundlage muss ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Ziel stehen (Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht,

Art. 6Abs. 1 Rn. 53, beck-online; Eu

GH (Große Kammer), Urteil vom 4. Juli 2023, C-252/21 (Meta Platforms Inc. u. a./BKartA), Rn. 138, juris). Hierfür ist – insbesondere vor dem Hintergrund des Art. 6 Abs. 3

– nichts ersichtlich. Pflichten aus Rechtsvorschriften anderer Staaten können nur als rechtliche Pflichten i. S. d. Vorschrift angesehen werden, wenn die Union oder der Mitgliedstaat sie in die eigene Rechtsordnung übernommen hat. Auch hierfür gibt es keinerlei Anhaltspunkte. Außerdem muss „diese Verarbeitung innerhalb der Grenzen des unbedingt Notwendigen“ erfolgen. Diese Grenzen hat die Beklagte nicht erläutert. Randnummer 246 dd) Art. 6 Abs. 1 lit. f

(berechtigte Interessen) Randnummer 247 Die Datenverarbeitung über die Business Tools ist auch nicht zur Wahrung der berechtigten Interessen der Beklagten oder Dritter erforderlich. Danach ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Die Beklagte hat sich insoweit auf ihre Berufsausübungsfreiheit als berechtigtes Interesse berufen, die sie durch die Einhaltung der Vorschriften der

bedroht sieht. Ferner diene sie Mess- und Analysezwecken, der Nutzer- und Netzwerksicherheit, Forschungszwecken sowie der Möglichkeit, auf rechtliche Anfragen antworten zu können. Randnummer 248

Art. 6Rn. 66, beck-online). Hieran fehlt es noch immer. Randnummer 249

Art. 6Rn. 68 m. w. N., beck-online). Ein solches überschießendes Interesse ist nicht ersichtlich. Randnummer 250

), gegen eine Interessenabwägung gem. Art. 6 Abs. 1 lit. f

spricht aber hier, dass die bezweckte Informationsgewinnung zur Planung weiterer Werbemaßnahmen auch für weitere, über die bloße Direktwerbung hinausgehende Werbeaktivitäten durch Anlegung eines digitalen Fingerabdrucks genutzt wird und die Direktwerbung gerade ausgeschaltet werden kann. Insofern müsste der Drittanbieter die Klagepartei bei Datenerhebung darüber informieren, dass diese Daten an die Beklagte zur Erkennung ihrer Nutzer-Eigenschaft übermittelt und dann für weitere Targetingmaßnahmen genutzt werden. Genau dieser Umstand spricht für eine eingriffsintensive Verarbeitung und überwiegende Interessen der Nutzer und damit der Klagepartei. Denn damit wird der Kunde zum Objekt der Zuordnung zu bestimmten Gruppen im rein wirtschaftlichen Interesse der Beklagten. In keinem Fall hat die Klagepartei ihre personenbezogenen Daten für derartige Zwecke angegeben, so dass ihre Interessen, Grundrechte und Grundfreiheiten gegenüber das berechtigte Interesse der Beklagten überwiegen (Boymanns/Schönbrunn: Customer-Matching mit Kundenlisten: Lösungswege für Unternehmen, ZD 2025, 674, beck-online; EDSA Leitlinien 8/2020 über die gezielte Ansprache von Nutzer:innen sozialer Medien, Version 2.0, Rn. 65). Randnummer 251 Vor diesem Hintergrund überwiegt das Interesse der Klagepartei auf informationelle Selbstbestimmung das Interesse der Beklagten auf Verarbeitung personenbezogener Daten zum Zweck des Targeting, Fingerprintings und der Eingruppierung in bestimmte Themengruppen. Es liegt fern, dass die Beklagte ihr Netzwerk nicht betreiben könnte und daher ihr Grundrecht auf Berufsausübung eingeschränkt wäre, wenn sie – wie sie durch die Nutzungsbedingungen oberflächlich gesehen vermittelt – die Daten gegen Werbung weitergeben würde oder auf diese Weitergabe im Abonnement verzichtet. Zwar steht der Wirksamkeit der Einwilligung nicht entgegen, dass die Bereitstellung der personenbezogenen Daten durch eine Vertragspartei selbst zum Gegenstand der Hauptleistungspflicht i. S. v. „ Daten gegen Leistung “ gemacht wurde (OLG Frankfurt, Urteil vom 27. Juni 2019, 6 U 6/19, juris). Allerdings ist in diesen Fällen auf einen angemessenen Interessenausgleich der Vertragsparteien zu achten, wenn für den gewünschten Vertragsschluss wegen der marktbeherrschenden Stellung der Beklagten keine zumutbaren Alternativen zur Verfügung stehen (EuGH, Urteil vom 4. Juli 2023, C-252/21, Rn. 154, juris). Diesen Interessenausgleich nimmt die Beklagte nicht ansatzweise vor, wie sich aus Anlagen K 5 und K 6 ergibt. Für sie sind vielmehr ihre eigenen wirtschaftlichen Interessen alleiniges Maß. Das Recht der Klagepartei auf informationelle Selbstbestimmung wird von ihr nicht nur nicht in ihre Überlegungen einbezogen, sie wischt dieses als störend weg, so dass sie schon vom Ansatz nicht über zumutbare Alternativen nachdenkt oder zu diesen vorträgt. Ein Grundrecht auf maximalen Profit ist mit der Berufungsausübungsfreiheit jedoch nicht verbunden, schon gar nicht schrankenlos. Randnummer 252 Entgegen der Ansicht der Beklagten handelt es sich bei den erhobenen Daten auch nicht um einen Abgleich der Nutzer mit der Kundenliste zur Informationseinholung für die Vorbereitung von Werbemaßnahmen inner- oder außerhalb der Plattform. Eine Erforderlichkeit wäre womöglich anzunehmen, wenn die Beklagte ihren Nutzern ein mit dem Tool-Einsatz verfolgtes berechtigtes Interesse mitgeteilt haben und dieser Abgleich von Nu