Datenschutzrechtliche Ansprüche wegen Datenerhebung und -verarbeitung mittels der "Meta Business Tools" Leitsatz 1. Ein Rechtsschutzbedürfnis für eine Zwischenfeststellungsklage gemäß § 256 Abs. 2 ZPO

. Zudem verarbeite die Beklagte, die als verantwortliche Verarbeiterin auch der von den Drittseiten verarbeiteten Daten anzusehen sei, sensible Daten der Klagepartei i.S.v. Art. 9 DSGVO ohne die hierfür erforderliche Einwilligung nach Art. 7 DSGVO. Die Beklagte sei Verantwortliche i.S.d. Art. 28 DSGVO auch für die Drittwebseiten, weil diese die von der Beklagten bereitgestellten Tools anwendeten. Randnummer 55 Sie hat zur Funktionsweise der ConversionsAPI behauptet, die Cookies _fbp und _fbc enthielten eine vom Meta-Pixel generierte ID, die den jeweiligen Browser identifiziert, der einen ggf. blockierten Third Party Cookie umgehen kann und die Daten von Webseitenbesuchen an die Beklagte übermitteln kann. Randnummer 56 Die Klagepartei hat die Auffassung vertreten, die Datenverarbeitung durch die Beklagte verstoße auch gegen § 42 Abs. 2 BDSG. Randnummer 57 Sie, die Klagepartei, habe mangels entsprechender Aufklärung nicht freiwillig und wirksam in die streitgegenständliche Datenverarbeitung eingewilligt, weder auf den Seiten der Beklagten noch auf den Seiten der Drittanbieter. Jedenfalls aber habe sie mit der Einreichung dieser Klage ihre Zustimmung zur Verarbeitung ihrer Business Tool-Daten durch die Beklagte widerrufen. Zudem habe die Beklagte nicht ihren gesetzlichen Informationspflichten mit dem Hinweis auf optionale Cookies genügt, weil jedenfalls nicht auf das streitgegenständliche Fingerprinting hingewiesen werde. Zumindest habe die Beklagte gegen das Kopplungsverbot in Art. 7 Abs. 4 DSGVO verstoßen, weil die Einwilligung nicht den Exzess der Datenverarbeitung durch die Beklagte decke. Ihrer Ansicht nach erfüllte das Tool „ Informationen unserer Werbepartner zu deinen Aktivitäten “ nicht die Anforderungen an Art. 15 DSGVO. Randnummer 58 Ihrer Ansicht nach sei die streitgegenständliche Datenerhebung für die Erfüllung der Hauptleistung, d.h. die Zurverfügungstellung des Netzwerkes der Beklagten, nicht erforderlich. Auch mit der Abonnement-Variante habe die Beklagte die Nutzung der Daten nicht ausgeschlossen, sondern zeige die entsprechende Werbung lediglich nicht mehr an. Randnummer 59 Aus Anlage K 11 ergebe sich, dass die Beklagte auch sensible Daten i.S.d. Art. 9 DSGVO erhebe. Sie, die Klagepartei, beschäftige sich im Internet ca. 42 h/Monat mit sensiblen Daten, u.a. finanziellen Themen, Steuern, Altersvorsorge und Vermögensmehrung. Ca. 2 h je Monat recherchiere sie zu Gesundheitsthemen wie Schwangerschaft und Familienplanung, 30 h je Monat zu politischen Themen wie Migration, Klimawandel, Genderthemen und Kriege. Wegen des Ausmaßes der Verwendung der Business Tools auf diesen Webseiten nehme sie Bezug auf die am 30. April 2023 veröffentlichte Studie „ The Hitchhiker‘s Guide to Facebook Web Tracking with Invisible Pixels and Click IDs“ (Anlage K 7). Randnummer 60 Ihrer Ansicht nach sei die Datenübermittlung in die USA vom 25. Mai 2018 bis zum Angemessenheitsbeschluss der Europäischen Kommission am 9. Juli 2023 rechtswidrig gewesen, nachdem der EuGH das Abkommen zur Datenübermittlung „Privacy Shield“ zwischen der EU und den USA für ungültig erklärt habe. Randnummer 61 Ihr Anspruch auf künftige Löschung folge aus Art. 17 DSGVO i.V.m. § 259 ZPO. Derzeit würden die Daten lediglich über das Off-Activity-Tool pseudonymisiert, was ihrer Ansicht nach gemäß EWG 26 DSGVO nicht mit einer Mischung aller Nutzerdaten gleichzusetzen sei. Randnummer 62 Der Anspruch aus dem Klagantrag zu Ziff. 3 ergebe sich aus Art. 18 Abs. 1 lit.

1. b)DSGVO sowie als Nebenpflicht des Art. 15 DSGVO und als vertragliche Nebenpflicht gemäß § 242 BGB, da die Beklagte kein Recht zur weiteren Verarbeitung der streitgegenständlichen Daten habe. Randnummer 63 Es liege ein schwerer Eingriff in ihr Grundrecht auf informationelle Selbstbestimmung vor, weil sie keinerlei Zugriff auf die Verarbeitung ihrer Daten mehr habe. Randnummer 64 Die Klagepartei hat hinsichtlich der Folgen behauptet, sie habe ein vollständiges Überwachungsgefühl und fühle sich der Beklagten aufgrund ihrer Marktmacht ausgeliefert. Sie habe nicht gewusst, dass sie auch nach einem Logout aus Instagram nachverfolgt werde, auch auf anderen Webseiten und Apps. Diese Erkenntnis habe sie schockiert. Sie befürchte den Verlust sozialer Kontakte, wenn sie auf die Nutzung der Apps der Beklagten verzichte. Infolge des Fingerprintings habe sie Sorge über die Verwendung ihrer Daten und der Daten der Familienmitglieder. Andererseits gehöre die Internetnutzung für sie zum Leben. In der modernen Welt könne sie nicht darauf verzichten. Sie habe auch die Produkte der Beklagten geschätzt. Sie sei sehr verunsichert, weil sie keinerlei Kenntnis über Quantität und Qualität der Datensammlung habe. Normalerweise lehne sie Cookies ab und nutze den sog. Inkognito-Modus. Allerdings sei dieser für sie nicht standardmäßig darstellbar. Wegen der Datenübermittlung in die USA habe sie Angst, dass sie die Kontrolle über ihre Daten nie wiedererlangen werde. Sie empfinde einen vollständigen Kontrollverlust. Diese Sorge wirke sich auf ihr Internetverhalten dahin aus, dass sie Sorge habe, sie werde beständig von der Beklagten getrackt. Sie fürchte, die Datenkontrolle für immer verloren zu haben. Sie schlafe schlecht. Ihren Schadenersatzanspruch hat sie mit mindestens 5.000 EUR als angemessen bezeichnet. Randnummer 65 Die Beklagte hat im ersten Rechtszuge die Unzulässigkeit des Klageantrages zu 1. mangels für den Feststellungsantrag erforderlichen Rechtsschutzinteresses gerügt. Außerdem sei der Klageantrag zu unbestimmt. Zudem habe die Klagepartei nicht dargelegt, dass sie Dritt-Webseiten oder Apps Dritter besucht oder verwendet habe. Die Bezugnahme auf Anlagen K 13 und 14 sei ihrer Ansicht nach nicht ausreichend. Höchstpersönliche Daten würden ohnehin nicht offengelegt. Randnummer 66 Die Beklagte hat weiter die Auffassung vertreten, sie könne sich auf eine Einwilligung gemäß Art. 6 Abs. 1 lit.
2. a)DSGVO stützen. Die Klagepartei habe auch ausdrücklich in die streitgegenständliche Datenverarbeitung eingewilligt. Randnummer 67 Die Beklagte hat behauptet, im Kontext des Einsatzes der Business Tools „Meta Pixel“ bzw. „App Events“ sei die Erhebung und Übertragung der technischen Standarddaten an die Beklagte per HTTP-Abfrage der zeitgemäßen Nutzung des Internets immanent. Die Drittanbieter könnten zudem die Übermittlung der technischen Standarddaten per HTTP-Anfrage an die Beklagte „pausieren“ bis die Nutzer über Cookie-Banner ihre Einwilligung hierzu erteilt hätten. Im Hinblick auf alle eingesetzten Business-Tools hat die Beklagte behauptet, dass die Frage, welche Daten („ technische Standarddaten“ und „ weitere personenbezogene Daten“ ) durch die Business-Tools selbst an sie übermittelt würden, davon abhänge, ob die Nutzer vorab zugestimmt hätten sowie von der Konfiguration der Einstellungen der Business-Tools bei den Drittanbietern. Die Drittfirmen hätten sich verpflichtet, diese Datenübertragungsfunktionen der Business Tools nur dann zu aktivieren, wenn sie zuvor eine Zustimmung der Nutzer eingeholt hätten. Eine Kontrolle dahingehend, ob dies von den Drittfirmen auch umgesetzt worden sei, finde nicht statt. Es werde von der Beklagten jedoch überprüft, ob die übermittelten Daten besonders geschützte personenbezogene Daten enthielten. Randnummer 68 Dem Drittunternehmen obliege es, zeitnahe Offenlegungen gegenüber den Besuchern seiner eigenen Webseite oder App vorzunehmen. Sie sei weder Inhaberin noch Verwalterin oder Betreiberin der in den Anlagen der Klagepartei genannten Drittwebseiten oder -Apps und daher nicht in der Lage, den Nutzern direkt Informationen über die Datenverarbeitungsaktivitäten zur Verfügung zu stellen. Es obliege den Drittunternehmen die erforderliche Einwilligung von den Besuchern der Website einzuholen. Wie sich aus ihren Meta Business Tool Nutzungsbedingungen ergebe, sei das Drittunternehmen und nicht sie Verantwortliche i.S.d. Art. 26 DSGVO (Business Tool-Bedingungen, Anlage B 5, Ziff. 5). Randnummer 69 Ihrer Ansicht nach habe die Klagepartei wie alle Nutzer über ihre Einstellungen auf Instagram eine echte Wahl und Kontrolle über die Verarbeitung von Business Tools Daten zur Bereitstellung personalisierter Werbung. Randnummer 70 Soweit die Klagepartei eine Webseite oder App besucht habe, die eines der streitgegenständlichen Business Tools verwendet habe, habe die Klagepartei über das Cookie-Banner der Webseite oder App die Einstellungen über Cookies wählen können. Die Einwilligung zur Verarbeitung von Business Tools Daten zur Bereitstellung personalisierter Werbung gemäß Art. 7 DSGVO sei freiwillig und wirksam erfolgt. Die Klagepartei habe – insoweit unstreitig – „optionale Cookies“ erlaubt bzw. diese bei „ Informationen über Aktivitäten von Werbepartnern “ aktiviert. Randnummer 71 Hinsichtlich der Ansicht der Klagepartei, sie habe mit der Klage ihre Einwilligung widerrufen, vertritt sie die Auffassung, diese sei gemäß Art. 7 Abs. 3 DSGVO unwirksam. Randnummer 72 Hinsichtlich der Datenübertragung in die USA, die für das Funktionieren des Netzwerkes unerlässlich sei, stütze sie sich auf die Angemessenheitsbeschlüsse der EU-Kommission und die Standardvertragsklauseln. Randnummer 73 Sie hat die Ansicht vertreten ein Unterlassungsanspruch folge nicht aus der DSGVO, insbesondere nicht aus Art. 17 DSGVO. Randnummer 74 Der Klageantrag zu 3. sei ihrer Ansicht nach unzulässig, weil Art. 18 Abs. 1 lit.
3. b)DSGVO den betroffenen Personen kein Recht auf Unterlassung gewähre. Randnummer 75 Der Klagantrag zu 4 (künftige Löschung und Anonymisierung) sei unzulässig, weil er unter einer unzulässigen außerprozessualen Bedingung stehe. Jedenfalls sei er unbestimmt. Entgegen der Auffassung der Klageseite sehe die DSGVO außerdem kein Recht auf Anonymisierung vor. Randnummer 76 Hinsichtlich des Schadensersatzanspruches hat die Beklagte die Ansicht vertreten, weder sei ein solcher schlüssig vorgetragen, noch nachgewiesen. Randnummer 77 Wegen des weiteren Sach- und Streitstandes im ersten Rechtszug einschließlich der dort ergangenen Entscheidung wird auf das angefochtene Urteil (Leseabschrift Bl. 65 bis 82 Bd. III d. A.) Bezug genommen (§ 540 Abs. 1 Nr. 1 ZPO). Randnummer 78 Das Landgericht hat die Klage abgewiesen und zur Begründung ausgeführt, der Feststellungsantrag (Klageantrag zu 1) sei mangels Feststellungsinteresses und fehlenden Rechtsschutzinteresses unzulässig. Im Übrigen wäre der Antrag auch unbegründet, weil nicht ersichtlich sei, wie die Beklagte die Klagepartei ausgeforscht habe. Der Unterlassungsantrag (Klageantrag zu 2) sei mangels Bestimmtheit unzulässig, weil keine konkreten Daten aufgeführt würden. Außerdem sei der Antrag nicht mehr vom Schutzumfang des Art. 17 DSGVO umfasst. Gemäß Art. 17 DSGVO könne auch kein Unterlassungsanspruch, sondern nur Löschungsansprüche geltend gemacht werden. Gleiches gelte für den Klageantrag zu 3). Eine Anspruchsgrundlage für den Klageantrag zu 4 (Anonymisierung und Löschung der Daten) ergebe sich nicht aus Art. 17 DSGVO, weil die Anonymisierung kein Minus zum Löschungsantrag darstelle. Die Klagepartei habe auch keinen Anspruch auf Schadenersatz gemäß Art. 82 DSGVO (Klageantrag zu 5). Die Klagepartei habe ihren Anspruch schon deshalb nicht schlüssig dargelegt, weil es an der genauen Angabe der verarbeiteten Daten fehle. Dass die Beklagte einer rechtswidrigen geheimdienstlichen Spionagepraxis nachgehe, die auf sie erhebliche Auswirkungen habe, habe die Klagepartei nicht schlüssig dargelegt oder bewiesen. Anhaltspunkte für einen Schaden gesundheitlicher Art fehlten zudem. Im Übrigen verhalte sich die Klagepartei widersprüchlich, weil sie die von der Beklagten ab 3. November 2023 genutzte Einwilligungsoption nicht gewählt habe. Randnummer 79 Mit der hiergegen gerichteten Berufung verfolgt die Klagepartei ihr erstinstanzliches Klagebegehren weiter. Sie vertritt die Auffassung, sie habe ein schutzwürdiges Interesse an der Feststellung des streitigen Rechtsverhältnisses, hilfsweise jedenfalls als Zwischenfeststellungsantrag gemäß § 256 Abs. 2 ZPO. Der Unterlassungsantrag in Ziff. 2 sei hinreichend bestimmt. Entgegen der Auffassung des Landgerichts sei es unerheblich, welche Daten sie hinterlegt habe, weil es ausschließlich um die Unterlassung der Verarbeitung durch die Software Business Tools über Drittseiten und Apps, wie sie es am Beispiel der User-ID, des User Agent, der Klick-ID und der Browser-ID dargestellt habe, gehe. Der Antrag sei auch begründet, weil eine Einwilligung und damit ein Rechtfertigungsgrund nicht vorliege. Der Unterlassungsantrag zu 3. sei zulässig gemäß Art. 18 Abs. 1 DSGVO. Folge der Einschränkung nach Art. 18 Abs. 1 DSGVO sei, dass nur die Speicherung der jeweiligen Daten erfolgen könne, jedoch keine Weiterverarbeitung. Das Rechtsschutzbedürfnis entfalle auch nicht durch die Selbstlöschungsmöglichkeit. Entgegen der landgerichtlichen Auffassung folge ein Anspruch auf Unterlassung der weiteren Verarbeitung u. a. aus Art. 18 Abs. 1 lit.
4. b)DSGVO. Der Anspruch könne im Rahmen einer Unterlassungsklage geltend gemacht werden. Randnummer 80 Dem Klageantrag zu 4 (Verpflichtung zur Löschung) fehle nicht das Rechtsschutzbedürfnis. Vielmehr verletze das Verhalten der Beklagten ihr Recht auf informationelle Selbstbestimmung, weil die Daten bei der Beklagten trotz getrennter Systeme mit kontrolliertem Zugang weiterhin zuordenbar vorlägen. Außerdem stelle die Anonymisierung eine anteilige Löschung im Sinne des Art. 17 DSGVO dar. Randnummer 81 Sie habe auch einen Anspruch auf Schadenersatz, der im umfassenden Kontrollverlust aufgrund des Verstoßes gegen Art. 5 Abs. 1, 25 DSGVO bestehe. Randnummer 82 Sie verhalte sich auch nicht widersprüchlich, wenn sie das Abomodell nicht annehme, weil durch dieses die Datenverarbeitung nicht wesentlich verändert werde und die Erfassung, Weiterleitung, Speicherung und Weiterverarbeitung unverändert stattfinde. Randnummer 83 Die Klagepartei beantragt, Randnummer 84 das erstinstanzliche Urteil des Landgericht Magdeburg vom 27.02.2025 abzuändern und neu zu fassen wie folgt: Randnummer 85 1. Es wird festgestellt, dass der Nutzungsvertrag der Parteien zur Nutzung des Netzwerks ”Instagram” unter dem Benutzernamen „A. … “ der Beklagten die Erfassung mit Hilfe der Meta Business Tools, die Weiterleitung an die Server der Beklagten, die dortige Speicherung und anschließende Verwendung von folgenden personenbezogenen Daten nicht gestattet: Randnummer 86 Randnummer 87
5. a)auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klagepartei, ob direkt oder in gehashter Form übertragen, d. h. Randnummer 88 - E-Mail der Klagepartei Randnummer 89 - Telefonnummer der Klagepartei Randnummer 90 - Vorname der Klagepartei Randnummer 91 - Nachname der Klagepartei Randnummer 92 - Geburtsdatum der Klagepartei Randnummer 93 - Geschlecht der Klagepartei Randnummer 94 - Ort der Klagepartei Randnummer 95 - Externe IDs anderer Werbetreibender (von der Meta Ltd. „external_ID” genannt) Randnummer 96 - IP-Adresse des Clients Randnummer 97 - User-Agent des Clients (d. h. gesammelte Browserinformationen) Randnummer 98 - interne Klick-ID der Beklagten Randnummer 99 - interne Browser-ID der Beklagten Randnummer 100 - Abonnement-ID Randnummer 101 - Lead-ID Randnummer 102 - anon_id Randnummer 103 - die Advertising ID des Betriebssystems Android (von der Meta Ltd. „D. “ genannt) Randnummer 104 sowie folgende personenbezogene Daten der Klagepartei Randnummer 105
6. b)auf Webseiten Randnummer 106 - die URLs der Webseiten samt ihrer Unterseiten Randnummer 107 - der Zeitpunkt des Besuchs Randnummer 108 - der „Referrer“ (die Webseite, über die der Benutzer zur aktuellen Randnummer 109 Webseite gekommen ist), Randnummer 110 - die von der Klagepartei auf der Webseite angeklickten Buttons sowie Randnummer 111 - weitere von der Meta „Events“ genannte Daten, die die Interaktionen der Klagepartei auf der jeweiligen Webseite dokumentieren Randnummer 112
7. c)in mobilen Dritt-Apps Randnummer 113 - der Name der App sowie Randnummer 114 - der Zeitpunkt des Besuchs Randnummer 115 - die von der Klagepartei in der App angeklickten Buttons sowie Randnummer 116 - die von der Meta „Events“ genannte Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren. Randnummer 117 2. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten der Klagepartei gem. dem Antrag zu 1. mit Hilfe der Meta Business Tools zu erfassen, an die Server der Beklagten weiterzuleiten, die Daten dort zu speichern und anschließend zu verwenden. Randnummer 118 3. Die Beklagte wird verurteilt, die über die aktuelle Speicherung hinausgehende Verarbeitung i. S. d. Art. 4 Nr. 2 DSGVO sämtlicher unter dem Antrag zu 1 a., b. und c. aufgeführten, seit dem 25.05.2018 bereits von der Beklagten verarbeiteten personenbezogenen Daten bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, bis zur Erfüllung des Löschungsanspruchs nach rechtskräftigem Abschluss des Verfahrens zu unterlassen, insbesondere diese nicht an Dritte zu übermitteln. Randnummer 119 4. Die Beklagte wird verpflichtet, sämtliche gem. dem Antrag zu 1 a. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten der Klagepartei einen Monat nach rechtskräftigem Abschluss des Verfahrens vollständig zu löschen und der Klagepartei die Löschung zu bestätigen sowie sämtliche gem. dem Antrag zu 1 b. sowie c. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren oder wahlweise nach Wahl der Beklagten zu löschen. Randnummer 120 5. Die Beklagte wird verurteilt, an die Klagepartei eine angemessene Entschädigung in Geld, deren Höhe in das Ermessen des Gerichts gestellt wird, die aber mindestens 5.000,00 Euro beträgt, nebst Zinsen i. H. v. fünf Prozentpunkten über dem Basiszinssatz seit dem 07.12.2023, zu zahlen. Randnummer 121 6. Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten i.H.v. 1.295,43 Euro freizustellen. Randnummer 122 Die Beklagte beantragt, Randnummer 123 die Berufung zurückzuweisen. Randnummer 124 Die Beklagte verteidigt unter Wiederholung und Vertiefung ihres erstinstanzlichen Vortrages die angegriffene Entscheidung. Ihrer Ansicht nach scheitere der Anspruch im Wesentlichen daran, dass die Klagepartei nicht vorgetragen habe, welche Websites oder Apps von Drittanbietern und wann sie diese besucht habe, ob diese Website oder App zum Zeitpunkt des Besuchs der Klagepartei eines der streitgegenständlichen Business Tools verwendet habe; ob die Klagepartei ihre Zustimmung über das Cookie-Banner auf dieser Website oder App erteilt habe und welche Daten die Website oder App über die streitgegenständlichen Business Tools an die Beklagte übermittelt habe. Die Verarbeitung dieser Daten diene gezielt der Erkennung und Prävention von Sicherheitsbedrohungen sowie der Aufrechterhaltung der Integrität der Plattform. Randnummer 125 Unter Bezugnahme auf Anlage B 15 macht sie geltend, bei Meta Pixel würde vor einer Einwilligung des Nutzers keine http-Anfrage gestellt. Bei der Integration von Conversions API könne ein Drittunternehmen eine serverseitige Einwilligungslogik implementieren, um sicherzustellen, dass Daten nur dann über die Conversions API an die Beklagte gesendet würden, wenn der Nutzer seine Einwilligung erteilt habe (Anlagen B 16 und B 17). Randnummer 126 Hinsichtlich des Unterlassungsantrages macht die Beklagte geltend, ihr Grundrecht auf Berufsfreiheit gemäß Art. 12 GG überwiege das Interesse der Nutzer an einer Unterlassung der Verarbeitung über Business Tool-Daten. Mit den Klageanträgen würden sie und die Drittunternehmen ihrer Ansicht nach daran gehindert, die streitgegenständlichen Business Tools im Allgemeinen zu nutzen. Dies sei unzulässig. Sofern die Klagepartei ihre Einwilligung widerrufe, bestehe keine Wiederholungsgefahr der Datennutzung. Randnummer 127 Der Senat hat am 13. Januar 2026 mündlich verhandelt und die Klagepartei informatorisch angehört. Auf die Schriftsätze der Parteien samt Anlagen, auch die der ersten Instanz, das landgerichtliche Urteil sowie das Protokoll der mündlichen Verhandlung auch in erster Instanz wird ergänzend Bezug genommen. II. Randnummer 128 Die Berufung der Klagepartei ist form- und fristgerecht eingelegt (§§ 517, 519 ZPO) und begründet (§ 520 ZPO) worden und auch im Übrigen zulässig. Der Klagepartei stehen gegen die Beklagte die tenorierten Ansprüche auf Feststellung, Unterlassung, Löschung und Schadensersatz in dem Umfang zu. A. Randnummer 129 Die deutschen Gerichte sind, wie das Landgericht rechtsfehlerfrei festgestellt hat, international zuständig. 1. Randnummer 130 Die Klagepartei hat ihren gewöhnlichen Aufenthalt in der Bundesrepublik Deutschland, so dass die – auch unter der Geltung von § 513 Abs. 2 ZPO zu prüfende (vgl. z. B. BGH, Urteil vom 17. März 2025, VI ZR 11/14, Rn. 14, juris) – internationale Zuständigkeit deutscher Gerichte aus Art. 82 Abs. 6 i. V. m. Art. 79 Abs. 2 S. 2 DSGVO folgt. Randnummer 131 Ebenso ergibt sich die internationale Zuständigkeit aus Art. 17 Abs. 1 lit. c, 18 Abs. 1 Brüssel Ia-VO, da die Klagepartei als Verbraucherin gehandelt hat. Randnummer 132 Die Zuständigkeit folgt auch aus Art. 79 Abs. 2 DSGVO. Gemäß § 79 Abs. 2 DSGVO sind für Klagen gegen einen Verantwortlichen die Gerichte des Mitgliedstaats zuständig, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Nach S. 2 der Vorschrift können solche Klagen wahlweise auch bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat, es sei denn, es handelt sich – was vorliegend nicht der Fall ist – bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde eines Mitgliedstaats, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. Die Klagepartei hat ihren gewöhnlichen Aufenthalt in Deutschland (vgl. zuletzt: BGH, Urteil vom 11. November 2025, VI ZR 396/24, Rn. 12, juris). 2. Randnummer 133 Der sachliche, räumliche und zeitliche Anwendungsbereich der am 25. Mai 2018 in Kraft getretenen Datenschutzgrundverordnung ist eröffnet. Der sachliche Anwendungsbereich folgt aus Art. 2 Abs. 1 DSGVO, der für die automatisierte Verarbeitung personenbezogener Daten gilt. Dass die Beklagte personenbezogene Daten der Klagepartei verarbeitet hat, ist zwischen den Parteien unstreitig. Die Eröffnung des räumlichen Anwendungsbereichs der DSGVO beruht auf ihrem Art. 3 Abs. 1, der auf die Verarbeitung personenbezogener Daten Anwendung findet, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen in der Europäischen Union erfolgt. Bei der Beklagten handelt es sich um ein Unternehmen nach dem Recht der Irischen Republik mit Sitz in Irland. 3. Randnummer 134 Da die Beklagte das soziale Netzwerk Instagram für Nutzer in der Europäischen Union betreibt, ist sie auch Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO, und zwar auch und entgegen ihrer Ansicht, soweit über die streitgegenständlichen Business Tools die Daten auch durch die Drittanbieter verarbeitet werden. Der Begriff „Verantwortlicher“ wird in Art. 4 Nr. 7 DSGVO weit definiert als die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, die Daten für sich verarbeitet oder für sich durch andere Personen oder Stellen verarbeiten lässt (Hans-Jürgen Schaffland; Gabriele Holthaus in: Schaffland/Wiltfang, Datenschutz-Grundverordnung (

)/Bundes-datenschutzgesetz (BDSG), Dezember 2025, Art. 4 EUV 2016/679, Rn. 145; EuGH, Urteil vom 2. Dezember 2025, C-492/23., Rn. 56, zuvor bereits Urteil vom 29. Juli 2019, Fashion ID, C-40/17, Rn. 74; juris).

1. a)Randnummer 135 Der EuGH führt zur Verantwortlicheneigenschaft i.S.d. Art. 4 Abs. 7 DSGVO aus: Randnummer 136 „Durch diese weite Definition soll im Einklang mit dem Ziel der DSGVO ein wirksamer Schutz der Grundfreiheiten und Grundrechte natürlicher Personen und insbesondere ein hohes Schutzniveau für das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten gewährleistet werden.“ (Urteil vom 5. Dezember 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, Rn. 29 und die dort angeführte Rechtsprechung, juris). Randnummer 137 Somit kann jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung solcher Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden (EuGH, Urteil vom 5. Dezember 2023, C-683/21, Rn. 30, juris). Randnummer 138 Zudem verweist der Begriff des „Verantwortlichen“, da er sich, wie Art. 4 Nr. 7 DSGVO ausdrücklich vorsieht, auf die Stelle bezieht, die „allein oder gemeinsam mit anderen“ über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, nicht zwingend auf eine einzige Stelle und kann mehrere an dieser Verarbeitung beteiligte Akteure betreffen, wobei dann jeder von ihnen den Datenschutzvorschriften unterliegt (vgl. in diesem Sinne EuGH, Urteil vom 29. Juli 2019, Fashion ID, C-40/17, Rn. 67, juris). Randnummer 139 Art. 26 DSGVO, der sich in den begrifflichen Rahmen des „Verantwortlichen“ nach Art. 4 Nr. 7 DSGVO einfügt, sieht im Wesentlichen vor, dass zwei oder mehr Verantwortliche, wenn sie gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen, als „gemeinsam Verantwortliche“ für diese Verarbeitung einzustufen sind. Randnummer 140 Eine solche gemeinsame Verantwortlichkeit erfordert nicht notwendigerweise das Vorliegen gemeinsamer Entscheidungen über die Festlegung der Zwecke und Mittel der Verarbeitung der betreffenden personenbezogenen Daten. Der EuGH hat nämlich entschieden, dass die Mitwirkung an der Entscheidung über diese Zwecke und Mittel verschiedene Formen annehmen und sich sowohl aus einer gemeinsamen Entscheidung von zwei oder mehr Einrichtungen als auch aus übereinstimmenden Entscheidungen ergeben kann, die sich in einer Weise ergänzen, dass sich jede von ihnen konkret auf die Festlegung der Verarbeitungszwecke und -mittel auswirkt (vgl. in diesem Sinne Urteil vom 5. Dezember 2023, C-683/21, Rn. 43, juris). Randnummer 141 Insoweit setzt die gemeinsame Verantwortlichkeit mehrerer Akteure für dieselbe Verarbeitung nach Art. 4 Nr. 7 DSGVO nicht voraus, dass jeder von ihnen Zugang zu den betreffenden personenbezogenen Daten hat (EuGH, Urteile vom 29. Juli 2019, Fashion ID, C-40/17, Rn. 69, vom 5. Dezember 2023, C-683/21, Rn. 42, juris). Randnummer 142 Im selben Sinne hat der Gerichtshof klargestellt, dass aus einer gemeinsamen Verantwortlichkeit nicht zwangsläufig folgt, dass die verschiedenen Akteure für dieselbe Verarbeitung personenbezogener Daten eine gleichwertige Verantwortlichkeit trifft. Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß in der Weise einbezogen sein, dass der Grad der Verantwortlichkeit eines jeden von ihnen unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen ist (EuGH, Urteile vom 10. Juli 2018, C-25/17, Rn. 66; vom 5. Dezember 2023, C-683/21, Rn. 42; vom 2. Dezember 2025, C-492/23, Rn. 57 - 63, juris).
2. b)Randnummer 143 Nach dieser Einschätzung ist die Beklagte als diejenige, die die Business Tools den Drittwebseiten und -Apps bereitstellt, auch als diejenige anzusehen, die über die Zwecke und Mittel der Verarbeitung dieser Daten hauptsächlich entschieden hat, und daher „Verantwortliche“ im Sinne von Art. 4 Nr. 7 DSGVO. Randnummer 144 Die Beklagte trägt hierzu selbst vor, dass Drittunternehmen die von ihr entwickelten Business Tools auf ihren Websites oder Apps integrieren und sich dazu entscheiden können, Kundendaten durch die von ihr bereitgestellte Software mit der Beklagten zu teilen, um bessere und interaktivere Inhalte und Werbeanzeigen zu erstellen und ein (größeres) Publikum für Werbekampagnen aufzubauen (z.B. Rn. 1 ff. Berufungserwiderung). Ob sich daraus für diese Unternehmen eigene Pflichten aus der DSGVO ergeben, kann hier dahinstehen, weil die von den Dritten erhobenen Daten jedenfalls zweckgerichtet mit der Beklagten in unterschiedlichem Umfang geteilt und von ihr sodann – wie sie in der mündlichen Verhandlung bestätigt hat – auch verarbeitet werden. Eine Verarbeitung liegt insbesondere auch dann vor, wenn die Beklagte die Daten, deren Nutzung durch das Setzen von Cookies untersagt wurde, sichtet, um sie zu löschen oder für weitere, von ihr definierte Verarbeitungszwecke zu behalten. Ob diese Daten dabei anonymisiert oder sonst verfremdet werden, kann dahinstehen. Im Ergebnis führt die Weitergabe zu einer Personalisierung der von den Drittanbietern gehashten Nutzerdaten bei der Beklagten und damit zu einer erneuten Nutzung dieser Daten durch die Beklagte. Die Kontrolle über die Programmierung und in der Folge über die Funktionalität des Tools verbleibt nach dem Konzept jedenfalls auch bei der Beklagten. Diese entscheidet (mit), welche Daten erhoben und übermittelt werden. Dass eine „ gemeinsame Verantwortlichkeit für die Datenverarbeitung mit dem jeweiligen Drittunternehmen gem. der DSGVO betreffend die Erhebung und Übermittlung zusätzlicher Daten an die Drittunternehmen über gewisse Business-Tools “ besteht, hat die Beklagte im Übrigen auch eingeräumt (Schriftsatz der Beklagten vom 27. Dezember 2024, Rn. 43, Bl. 29 Bd. III f. d. A.; vgl. auch die Nutzungsbedingungen für die Business Tools in Anlage B 5, dort S. 5; ebenso: EuGH, Urteil vom 13. Mai 2014, C-131/12, juris; OLG München, Endurteil vom 18. Dezember 2025, 14 U 1314/25 e, Rn. 212, beckonline). Randnummer 145 Dieser Umstand ist der Beklagten auch bewusst, da sie ihre Nutzer um eine entsprechende Einwilligung bei der Einstellung „ Informationen über Aktivitäten von Werbepartnern “ bittet und gegen Gebühr auch eine werbefreie Nutzung von Instagram als werbefreies Abonnement anbietet. 4. Randnummer 146 Auch der zeitliche Anwendungsbereich der DSGVO (Art. 99 Abs. 2 DSGVO) ist eröffnet, weil die hier in Rede stehenden Verstöße nach deren Inkrafttreten am 25. Mai 2018 erfolgt sind. Nur für diesen Zeitraum macht die Klagepartei Ansprüche geltend. 5. Randnummer 147 Neben der DSGVO ist auf das Rechtsverhältnis der Parteien gemäß Art. 3 Abs. 1, Art. 6 Abs. 2 Rom I-VO und nach den Nutzungsbedingungen der Beklagten deutsches Recht anwendbar. Die Anwendbarkeit deutschen Rechts ergibt sich im Übrigen auch aus Art. 6 Abs. 1 lit.
3. b)Rom I-VO, weil ein Verbrauchervertrag vorliegt. Randnummer 148 B. Klageantrag zu 1 (Feststellungsantrag) Randnummer 149 1. Zulässigkeit Randnummer 150 Der Klagantrag zu 1. ist als Zwischenfeststellungsklage gemäß § 256 Abs. 2 ZPO zulässig. Randnummer 151 Soweit die Klagepartei die Feststellung begehrt, wonach der zwischen den Parteien bestehende „Nutzungsvertrag“ es der Beklagten verwehrt, bestimmte – hinreichend genau bezeichnete – personenbezogene Daten von Dritt-Webseiten und Dritt-Apps zu erheben, weiterzugeben, zu speichern und zu verwenden (Antrag zu 1.), ergibt sich die Zulässigkeit der Klage aus § 256 Abs. 2 ZPO.
4. a)Randnummer 152 Allerdings folgt die Zulässigkeit nicht aus § 256 Abs. 1 ZPO, weil es am Feststellungsinteresse fehlt. Randnummer 153
5. aa)Ein Feststellungsinteresse i.S.v. § 256 Abs. 1 ZPO besteht, wenn dem subjektiven Recht der Klagepartei eine gegenwärtige Gefahr der Unsicherheit dadurch droht, dass die Beklagtenseite es ernstlich bestreitet oder sie sich eines Rechts gegen die Klagepartei berühmt, und wenn das erstrebte Urteil infolge seiner Rechtskraft geeignet ist, diese Gefahr zu beseitigen. Dieses Erfordernis beruht darauf, dass es nicht zu den Aufgaben der Gerichte gehört, einem Beteiligten zu bescheinigen, ob er im Recht war oder nicht (BGH, Urteil vom 17. Juni 2016, V ZR 272/15, Rn. 13, juris). Ist der Klagepartei eine Klage auf Leistung möglich und zumutbar und erschöpft sie das Rechtsschutzziel. Es fehlt grundsätzlich das Feststellungsinteresse, weil die Klagepartei im Sinne einer besseren Rechtsschutzmöglichkeit den Streitstoff in einem Prozess klären kann (Zöller-Greger, ZPO, 36. Auflage, § 256 ZPO, Rn. 14). Randnummer 154
6. bb)Die bereits gestellten Leistungsanträge auf Löschung, Unterlassung und Schadenersatz erschöpfen das Rechtsschutzziel der Klagepartei dadurch, dass ihr Schadenersatz aufgrund der vergangenen Datenverarbeitung gezahlt und die streitgegenständliche Datenerhebung unterlassen werden soll (zu den Anforderungen: MüKoZPO/Becker-Eberhard, 7. Aufl. 2025, ZPO § 256 Rn. 47; Stein/Roth, 24. Aufl. 2024, ZPO, § 256 Rn. 76, beck-online). Diese lassen das Feststellungsinteresse entfallen, wenn sich – wie hier – das Rechtsschutzziel hierin erschöpft. Soweit die Klagepartei sich gegen die weitere Verwendung der Daten wendet, ist ihr Rechtsschutzziel in den Anträgen zu Ziff. 2 bis 5. abgebildet (OLG München, Urteil vom 18. Februar 2020, 18 U 3465/19, Rn. 45, juris).
7. b)Randnummer 155 Der Antrag zu Ziff. 1 ist als Zwischenfeststellungsklage nach § 256 Abs. 2 ZPO zulässig, was von Amts wegen zu prüfen ist (BGH, Urteil vom 25. Oktober 2007, VII ZR 27/06, Rn. 10 mwN, juris). Randnummer 156
8. aa)Gegenstand einer Zwischenfeststellungsklage kann das Bestehen oder Nichtbestehen eines Rechtsverhältnisses sein, also die aus einem konkreten Lebenssachverhalt entstandenen Rechtsbeziehungen von Personen zu Personen oder von Personen zu Sachen. Ein Rechtsverhältnis ist eine aus dem vorgetragenen Sachverhalt abgeleitete rechtliche Beziehung von Personen untereinander oder zu einem Gegenstand, die ein subjektives Recht enthält oder aus der ein solches Recht entspringen kann (zuletzt: BGH, Urteil vom 13. November 2025, IX ZR 127/24, Rn. 27, juris). Randnummer 157 Darunter fallen auch einzelne Folgen von Rechtsbeziehungen, wozu der Senat auch die Frage zählt, ob ein Rechtsverhältnis – wie hier von der Klagepartei behauptet – rechtswidrig ausgestaltet wird (vgl. BGH, Urteil vom 6. April 2016, VIII ZR 79/15, Rn. 44, juris). Auf die Feststellung der Unzulässigkeit des Verhaltens der Beklagten zielt der Feststellungsantrag ab, mithin auf das Nichtbestehen eines Rechtsverhältnisses. Randnummer 158 Vorliegend verbindet die Parteien unstreitig ein Vertrag zur Nutzung der Social Media Plattform Instagram. Nach dem Verständnis des Senats begehrt die Klagepartei die Feststellung, dass der Beklagten ein von ihr aus diesem Vertrag hergeleitetes und in Anspruch genommenes Recht nicht zusteht. Randnummer 159
9. bb)Die begehrte Feststellung muss sich allerdings grundsätzlich auf einen Gegenstand beziehen, der über den der Rechtskraft fähigen Gegenstand des Hauptsachebegehrens hinausgeht. Die danach erforderliche Vorgreiflichkeit für die Entscheidung in der Hauptsache, also die Möglichkeit, dass das inzidenter ohnehin zu klärende Rechtsverhältnis zwischen den Parteien noch über den gegenwärtigen Streitgegenstand hinaus Bedeutung hat oder gewinnen kann (BGH, Urteil vom 5. November 2024, II ZR 35/23, Rn. 17, juris), durch die zugleich das sonst nach § 256 Abs. 1 ZPO erforderliche berechtigte Interesse an der begehrten Feststellung ersetzt wird, liegt hier vor. Randnummer 160

, Art. 15 Rn. 34, beck-online; EuGH, Urteil vom

1. Mai 2023, C 487/21, Rn. 26, juris). Randnummer 166 bb) Unzweifelhaft sind danach die E-Mail der Klagepartei, ihre Telefonnummer, ihr Vor- und Nachname, ihr Geburtsdatum, ihr Geschlecht und der Ort, an dem sie sich befindet, personenbezogene Daten. Ebenso handelt es sich bei der IP-Adresse des genutzten Clients um ein personenbezogenes Datum (Ehmann/Selmayr/Klabunde/Horváth,
2. Aufl. 2024,

Art. 4Rn.

18, beck-online). Randnummer 167 Ferner handelt es sich auch bei der internen Klick-ID sowie der internen Browser-ID der Beklagten um personenbezogene Daten. Mit diesen Daten können die Aufrufe der Drittwebseite und die Aktionen darauf eindeutig einem bestimmten Instagram-Konto zugeordnet werden, in diesem Fall dem Konto der Klagepartei. Randnummer 168 Auch die URLs der besuchten Webseiten samt ihrer Unterseiten, der Zeitpunkt des Besuchs, der „Referrer“ (d.h. die Webseite, über die der Nutzer zur aktuellen Webseite gekommen ist), die von der Klagepartei angeklickten Buttons sowie die weiteren, von der Beklagten „Events“ genannten Daten, die die Interaktion der Klagepartei auf der jeweiligen Webseite dokumentieren sind personenbezogene Daten, da sie jeweils in Verbindung mit weiteren Informationen der Klagepartei zugeordnet werden können und dadurch Informationen über diese beinhalten. So kann dadurch ermittelt werden, welche Webseiten die Klagepartei besuchte, wann dies geschah, von welcher Webseite sie dort hingelangte, sowie welche Aktionen sie dort durchgeführt hat, beispielsweise, ob sie bestimmte Artikel gekauft hat. Randnummer 169 Aus den gleichen Gründen handelt es sich schließlich bei dem Namen der App, sowie dem Zeitpunkt des Besuchs, den von der Klagepartei in der App angeklickten Buttons, sowie den von der Beklagten „Events“ genannten Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren, um personenbezogene Daten. Randnummer 170 Die Daten zum User-Agent des Clients, welche ausweislich des klägerischen Vortrags, welchem die Beklagte nicht entgegengetreten ist, die für das Digital Fingerprinting nutzbaren Daten darstellen, stellen somit ebenfalls personenbezogene Daten dar. Randnummer 171 Schließlich sind auch die Lead-ID, die Abonnement-ID, die anon_id sowie die externe ID besuchter Webseiten (external ID) personenbezogene Daten. Denn als „ID“ stellen sie Identitätsdokumente bzw. Kennungen der Klagepartei bezüglich ihrer Aktionen/Kontakte im Internet als potenzieller Kunde („Lead“), als Abonnent sowie die Kennung der Klagepartei bei anderen Werbetreibenden dar (Ehmann/Selmayr/Klabunde/Horváth, 3. Aufl. 2024,

Art. 4Rn.

17, beck-online).

1. b)Randnummer 172 Die Datenverarbeitung der Beklagten ist in drei Perioden einzuteilen: die Zeit vom 25. Mai 2018 bis zur Implementierung des Bezahl-Abonnements und der Cookie-Implementierung ab 3. November 2023 (lit. aa)), die Zeit vom 16. Juli 2020 bis 7. Oktober 2022 (lit. bb)), und der danach liegenden Zeit bis heute (lit. cc)). Randnummer 173
2. aa)Zwischen den Parteien ist unstreitig, dass vor dem 3. November 2023 die von den (Dritt-) Webseiten und Apps stammenden „Kontaktinformationen“ und/oder „Event-Daten“ ungefiltert und damit allgemein und unterschiedslos von der Beklagten verarbeitet wurden. Insoweit wird auf die Feststellungen des Bundeskartellamts, Beschluss vom 6. Februar 2019, B6-22/16, Bezug genommen. Hiergegen wendet sich die Beklagte auch nicht substantiiert. Randnummer 174
3. bb)Die Datenübermittlung in die USA war darüber hinaus jedenfalls vom 16. Juli 2020 bis zum 7. Oktober 2022 nicht durch einen Erlaubnistatbestand der DSGVO gedeckt. Mit Urteil vom 16. Juli 2020, Facebook Ireland und Schrems (C-311/18, im Folgenden: Urteil Schrems II), erklärte der EuGH den Angemessenheitsbeschluss der EU-Kommission vom 12. Juli 2016 (ABl. 2016, L 207, S. 1, im Folgenden: Angemessenheitsbeschluss 2016) gemäß der Richtlinie 95/46 über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes für ungültig. Der EuGH stellte fest, dass die bisher verwendeten Standardvertragsklauseln (SCC) in Bezug auf den Zugang der Geheimdienste zu Daten aufgrund von Bedenken gegenüber der massenhaften US-Datenüberwachung und fehlender Rechtsschutzmöglichkeiten für EU-Bürger nicht den EU-Datenschutzvorschriften entspreche. Randnummer 175 Die Beklagte hat für diesen Zeitraum die Hürde des Verbots von Datenübermittlungen in Drittstaaten gem. Art. 44 ff.

schuldhaft nicht überwunden. Gründe, die die Übermittlung der personenbezogenen Daten der Klagepartei in die USA im Zeitraum vom

1. Juli 2020 bis zum
2. Oktober 2022 rechtfertigen könnten und die sich aus den Erlaubnistatbeständen der Art. 45 bis 47 DSGVO ergeben könnten, hat die Beklagte nicht hinreichend dargetan. Sie hat hierzu gar keinen weiteren detaillierten Vortrag gehalten und lediglich auf ihre Standardvertragsklauseln verwiesen. Die Übermittlung war jedoch weder nach Art. 46 Abs. 1 DSGVO aufgrund geeigneter Garantien für ein angemessenes Datenschutzniveau in den USA als Drittland noch aufgrund einer Einwilligung nach Art. 49 Abs. 1 S. 1 lit. a) DSGVO zulässig oder gemäß Art. 49 Abs. 1 lit. b) DSGVO erforderlich. Randnummer 176

Art. 49Rn.

6, beck-online). Randnummer 178 (1.2.) Nach Art. 49 Abs. 1 lit. a) DSGVO ist eine Einwilligung zudem nur gültig, wenn die betroffene Person ausdrücklich und in Kenntnis der Sachlage zugestimmt hat. Die Beklagte kann nicht nachweisen, dass eine transparente Information über die Risiken der Drittstaatenübermittlung stattfand. Hierzu fehlt jeglicher Vortrag. Randnummer 179 (1.3.) Daraus folgt zugleich, dass die behauptete Einwilligung nicht freiwillig war (vgl. EWG 43 DSGVO; Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht,

Art. 49Rn. 16, beck-online). Randnummer 180

Art. 49Rn.

8, beck-online). Ein solcher Fall liegt hier nicht vor. Randnummer 185 (2.4.) Auch die übrigen Voraussetzungen des Art. 49 Abs. 1 lit.

1. d)bis
2. g)DSGVO liegen ersichtlich nicht vor. Randnummer 186 (2.5.) Die Beklagte kann sich auch nicht auf Art. 49 DSGVO i.V.m. Art. 6 DSGVO berufen, insbesondere unter dem Argument, dass die Übermittlung zur Vertragsdurchführung erforderlich war, da sie andernfalls ihre Dienste nicht hätte anbieten können. Denn diese Vorschriften sind Ausnahmevorschriften und nur im Einzelfall anwendbar, dienen aber ganz bestimmt nicht als Grundlage „massenhafter“ Übermittlungen (vgl. EWG 111 DSGVO). Randnummer 187

, Rn. 14_105). Damit steht auch außer Frage, dass Standardvertragsklauseln die Behörden eines Drittlands nicht binden können, da diese nicht Vertragspartei sind (EuGH, Urteil vom

1. Juli 2020, C-311/18, Rn. 125, juris; Dehmel/Ossmann-Magiera/Weiss: Drittstaatentransfers nach Schrems II, MMR 2023, 17). Randnummer 190 Daher ist für das gegebene Datenschutzniveau nicht allein auf die Standardvertragsklauseln, sondern auf die Rechtslage in den USA abzustellen. Randnummer 191 Das einschlägige US-Recht und die einschlägigen US-amerikanischen Praktiken boten kein Schutzniveau, das dem im EU-Recht vorgesehenen gleichwertig ist. Dass die Standardvertragsklauseln eine ausreichende Lösung für einen derartigen Datentransfer geboten hätten, hat die Beklagte schon nicht näher dargelegt. Denn jedenfalls bestand für die Beklagte in den USA eine direkte Verpflichtung, den Zugriff auf die importierten Daten zu gewähren oder diese herauszugeben, die sich auch auf die kryptographischen Schlüssel erstrecken konnte (EDSA, Empfehlungen 01/2020, Rn. 81). Randnummer 192 EU-Bürgern standen keine wirksamen Rechtsbehelfe gemäß Art. 47 GrCh zur Verfügung. Randnummer 193 Der EuGH hat festgestellt, dass die Standardklauseln ihrer Wirksamkeit beraubt sind durch die Möglichkeit, dass us-amerikanische Behörden wegen Erfordernissen der nationalen Sicherheit, des öffentlichen Interesses oder von Rechtsvorschriften der Vereinigten Staaten in die Grundrechte der Personen eingreifen können, deren personenbezogene Daten aus der Union in die Vereinigten Staaten übermittelt werden oder werden könnten, insbesondere nach § 702 FISA (§ 702 FISA -Foreign Intelligence Suveillance Act), der EO 12333 (Executive Order 12333 (EO 12333) (https://www.archives.gov/federal-register/codification/executive-order/12333.html) und der PPD-28 (Presidential Policy Directive 28 (PPD-28) vom
2. Januar 2014), weil insoweit keinerlei Einschränkungen oder Garantien für Nicht-US-Bürger bestünden (EuGH, Urteil vom
3. Juli 2020, C-311/18, Rn. 165 und Rn. 180, juris). Insbesondere verleihe die EO 12333 keine Rechte, die gegenüber den amerikanischen Behörden gerichtlich durchgesetzt werden könnten (EuGH, Urteil vom
4. Juli 2020, C-311/18, Rn. 182, juris). Es fehlte damit sowohl an der Rechtsschutzmöglichkeit (Rn. 192) als auch an der Verhältnismäßigkeit der Maßnahmen. Randnummer 194 Der EuGH hat zusammenfassend in Rn. 184 ausgeführt: Randnummer 195 „Folglich ist davon auszugehen, dass weder Section 702 des FISA noch die EO 12333 in Verbindung mit der PPD-28 den im Unionsrecht nach dem Grundsatz der Verhältnismäßigkeit bestehenden Mindestanforderungen genügen, so dass nicht angenommen werden kann, dass die auf diese Vorschriften gestützten Überwachungsprogramme auf das zwingend erforderliche Maß beschränkt sind.“ Randnummer 196 Dieser Würdigung schließt sich der Senat nach eigener Prüfung der zugrunde liegenden Rechtsvorschriften an. Randnummer 197

, Rn. 14_105). Damit steht auch außer Frage, dass Standardvertragsklauseln die Behörden eines Drittlands nicht binden können, da diese nicht Vertragspartei sind (EuGH, Urteil vom

1. Juli 2020, C-311/18, Rn. 125, juris; Dehmel/Ossmann-Magiera/Weiss: Drittstaatentransfers nach Schrems II, MMR 2023, 17). Daher ist für das gegebene Datenschutzniveau nicht allein auf die Standardvertragsklauseln, sondern auf die Rechtslage in den USA abzustellen. Das EU-Datenschutzniveau ist frühestens mit der Executive Order EO 14086 und der damit verbundenen Beschränkung der Überwachungsbefugnisse der US-Nachrichtendienste und der Schaffung eines neuen Rechtsschutzmechanismus für EU-Bürger am
2. Oktober 2022 erreicht worden. Die EU-Kommission hat zu den mit der EO 14086 geschaffenen Mechanismen in dem Überprüfungsbericht vom
3. Oktober 2024 (Com

Art. 4Rn.

19, beck-online).

1. c)Randnummer 209 Die Datenverarbeitung durch die Beklagte ist durchgehend ab dem 25. Mai 2018 jedenfalls bis 3. November 2023 rechtswidrig, weil sie gegen den Grundsatz der Datenminimierung bei der Verarbeitung personenbezogener Daten, der in Art. 5 Abs. 1 lit. b), lit. c), Art. 25 Abs. 2 S. 1, 3 DSGVO verankert ist, verstoßen hat. Randnummer 210
2. aa)Nach Art. 5 Abs. 1 lit. c), 25 Abs. 2 Satz 1 und 3 DSGVO muss die Datenverarbeitung gemäß § 4 Nr. 2 DSGVO dem Zweck angemessen und auf das für die Zwecke der Verarbeitung notwendige Maß begrenzt sein. Ausnahmen und Einschränkungen des Grundsatzes des Schutzes solcher Daten sind auf das absolut Notwendige zu beschränken (Grundsatz der Datenminimierung; EuGH, Urteil vom 24. Februar 2024, C-175/20, Rn. 73; BGH, Urteil vom 18. November 2024, VI ZR 10/24, Rn. 87, juris). Randnummer 211 Die Grundsätze des Art. 5 DSGVO werden durch konkrete Vorgaben zur technischen Ausgestaltung und insbesondere durch Vorgaben in Bezug auf datenschutzfreundliche Voreinstellungen in Art. 25 DSGVO konkretisiert (vgl. zum Verhältnis von Art. 5 und Art. 25 DSGVO: Heberlein in: Ehmann/Selmayr, DSGVO, 3. Aufl., Art. 5, Rn. 6 und 31; Schantz in: BeckOK DatenschutzR, 49. Ed. [Stand: 1. November 2021], Art. 5 DSGVO, Rn. 25; Herbst in: Kühling/Buchner, DSGVO - BDSG, 4. Aufl. 2024, Art. 5 DSGVO, Rn. 59 und Hartung in: Kühling/Buchner, DSGVO - BDSG, 4. Aufl. 2024, Art. 25 DSGVO, Rn. 25). Die datenschutzfreundlichste Voreinstellung ist zu wählen (BGH, Urteil vom 18. November 2024, VI ZR 10/24, Rn. 88, juris). Randnummer 212

Randnummer 225

Art. 6Abs. 1 Rn. 53, beck-online; Eu

GH (Große Kammer), Urteil vom 4. Juli 2023, C-252/21 (Meta Platforms Inc. ua/BKartA), Rn. 138, juris). Hierfür ist – insbesondere vor dem Hintergrund des Art. 6 Abs. 3 DSGVO – nichts ersichtlich. Pflichten aus Rechtsvorschriften anderer Staaten können nur als rechtliche Pflichten iSd Vorschrift angesehen werden, wenn die Union oder der Mitgliedstaat sie in die eigene Rechtsordnung übernommen hat. Auch hierfür gibt es keinerlei Anhaltspunkte. Außerdem muss „diese Verarbeitung innerhalb der Grenzen des unbedingt Notwendigen“ erfolgen. Diese Grenzen hat die Beklagte nicht erläutert. Randnummer 248 dd) Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) Randnummer 249 Die Datenverarbeitung über die Business Tools ist auch nicht zur Wahrung der berechtigten Interessen der Beklagten oder Dritter erforderlich. Danach ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Die Beklagte hat sich insoweit auf ihre Berufsausübungsfreiheit als berechtigtes Interesse berufen, die sie durch die Einhaltung der Vorschriften der DSGVO bedroht sieht. Ferner diene sie Mess- und Analysezwecken, der Nutzer- und Netzwerksicherheit, Forschungszwecken sowie der Möglichkeit, auf rechtliche Anfragen antworten zu können. Randnummer 250

Art. 6Rn. 66, beck-online). Hieran fehlt es noch immer. Randnummer 251

Art. 6Rn. 68 mwN, beck-online). Ein solches überschießendes Interesse ist nicht ersichtlich. Randnummer 252