und nicht lediglich Auftragsverarbeiter nach Art. 28
. Der Verantwortlichkeit kann sich der Netzwerkbetreiber nicht durch vertragliche Überantwortung der Einhaltung datenschutzrechtlicher Bestimmungen auf Webseiten- und App-Betreiber entledigen. Diese führt auch nicht zu einer Exkulpation nach Art. 82 Abs. 3
. (Rn.139) (Rn.230) 2. Nutzer sozialer Netzwerke, deren „Offsite-Daten“ durch den Betreiber des Netzwerks erfasst werden, müssen zur Geltendmachung von Rechten nach der
nicht darlegen, welche Drittwebseiten sie im Einzelnen aufgerufen und in welchem Umfang sie dort in eine Datenübermittlung an den Netzwerkbetreiber eingewilligt haben. Der Vortragslast wird genügt, wenn der Kläger darlegt und nötigenfalls beweist, dass er das Internet überhaupt nutzt, woraus sich wegen des Verbreitungsgrades der streitgegenständlichen Software bereits ergibt, dass er zwingend unzählige Male von der Übermittlung seiner personenbezogenen Daten betroffen war. (Rn.141) 3. Eine umfangreiche und anlasslose Verarbeitung von außerhalb sozialer Netzwerke anfallenden personenbezogenen Daten des Betroffenen durch den Netzwerkbetreiber kann nicht nach Art. 6 Abs. 1
gerechtfertigt werden. Insbesondere scheiden Sicherheits- und Integritätsinteressen als Rechtfertigungsgründe aus. Ein System anlassloser Sammlung von „Offsite-Daten“ zur Verknüpfung mit Nutzerprofilen in sozialen Netzwerken widerspricht Grundprinzipien des europäischen Datenschutzrechts, namentlich jenen der Transparenz, der Zweckbindung, der Datenminimierung und der Rechenschaftspflicht. (Rn.197) (Rn.198) (Rn.199) (Rn.200) 4. Dadurch besteht ein weitreichender Kontrollverlust des Betroffenen darüber, welche Informationen der Netzwerkbetreiber über sein Internet-und App-Nutzungsverhalten erhalten hat und bis zu welchem Grad er genaue Kenntnisse über ihn und seine individuellen Lebensumstände hat, die über das hinausgehen, was durch Nutzung des sozialen Netzwerks preisgegeben wird. Der Kontrollverlust betrifft auch besondere Kategorien personenbezogener Daten nach Art. 9
; der Betroffene muss hierzu keine konkrete Webseitenbesuche vortragen, sondern es genügt die Benennung der Themen, die er im Internet recherchiert und die einen Bezug zu Art. 9
haben; ein Bestreiten mit Nichtwissen ist dem Netzwerkbetreiber verwehrt. (Rn.227) 5. Ohne Vortrag des Betroffenen zu spezifischen individuellen Folgen und zu konkreten, von Art. 9
erfassten und dem Kontrollverlust unterliegenden Informationen, ist ein Schadensersatz in einer Größenordnung von 3.000 € angemessen. (Rn.231) (Rn.232) (Rn.233) 6. Nach Art. 15 Abs. 1
sind auch Informationen über den Drittstaat, in dem die betreffenden Daten gespeichert werden, zu beauskunften. Das Auskunftsrecht ist nicht wegen Art. 15 Abs. 2
auf eine Information über die geeigneten Garantien gemäß Art. 46
im Zusammenhang mit der Übermittlung beschränkt. (Rn.155) Orientierungssatz 1. Zitierung zu Leitsatz 1: Anschluss LG Stuttgart, Urteil vom 24. Oktober 2024 - 12 O 170/23. (Rn.139) 2. Zitierung zu Leitsatz 3: Anschluss EuGH, Urteil vom 4. Juli 2023 - C-252/21. (Rn.197) 3. Zitierung zu Leitsatz 5: Anschluss BGH, Urteil vom 18. November 2024 - VI ZR 10/24. (Rn.233) Verfahrensgang vorgehend LG Mühlhausen, 12. Dezember 2024, 6 O 28/24 Tenor 1. Auf die Berufung des Klägers wird das Urteil des Landgerichts Mühlhausen vom 12.12.2024, Az. 6 O 28/24, abgeändert und wie folgt neu gefasst:
. Darin heißt es, dass mangels klägerischer Einwilligung über die Einstellung "Informationen über Aktivitäten von Werbepartnern" die Beklagte keine personenbezogenen Daten im Rahmen der streitgegenständlichen Datenverarbeitung verarbeite und demzufolge die begehrten Informationen nicht bereitgestellt werden könnten. Daneben verweist das Schreiben auf die I-Funktionen "Zugriff auf deine Informationen" und "Deine Informationen herunterladen", die Nutzern den Zugang und das Herunterladen ihrer personenbezogenen Daten ermöglichen sollen. Ferner werden zum Begehren der Auskunft über personenbezogene Daten, welche Dritten übermittelt worden sind, unter deren Benennung nachfolgend Informationen zu Kategorien von Empfängern bereitgestellt, mit denen diese Daten von der Beklagten geteilt werden können. Wegen der Einzelheiten des Schreibens wird auf Anlage B 8 Bezug genommen (Bl. 125, Anlagenheft Beklagte
darüber zu erteilen, welche personenbezogenen Daten die Beklagte seit dem 25.05.2018 verarbeitet und im Zuge dessen mit dem Nutzeraccount des Netzwerks ”I” unter dem Benutzernamen "S" des Klägers verknüpft hat, dies insbesondere, aber nicht ausschließlich durch die "M Business Tools", Randnummer 26 a. auf Dritt-Webseiten und -Apps die personenbezogenen Daten, die der Identifizierung des Klägers dienen, ob direkt oder in gehashter Form übertragen, d.h. Randnummer 27 - E-Mail der Klagepartei Randnummer 28 - Telefonnummer der Klagepartei Randnummer 29 - Vorname der Klagepartei Randnummer 30 - Nachname der Klagepartei Randnummer 31 - Geburtsdatum der Klagepartei Randnummer 32 - Geschlecht der Klagepartei Randnummer 33 - Ort der Klagepartei Randnummer 34 - Externe IDs anderer Werbetreibender (von der M Ltd. "external_ID” genannt) Randnummer 35 - IP-Adresse des Clients Randnummer 36 - User-Agent des Clients (d.h. gesammelte Browserinformationen) Randnummer 37 - interne Klick-ID der M Ltd. Randnummer 38 - interne Browser-ID der M Ltd. Randnummer 39 - Abonnement-ID Randnummer 40 - Lead-ID Randnummer 41 - anon-ID Randnummer 42 sowie bezogen auf sämtliche so verarbeiteten personenbezogenen Daten des Klägers Randnummer 43 b. auf Dritt-Webseiten Randnummer 44 - die URLs der Webseiten samt ihrer Unterseiten Randnummer 45 - der Zeitpunkt des Besuchs Randnummer 46 - der Referrer (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist), Randnummer 47 - die auf der Webseite angeklickten Buttons sowie Randnummer 48 - weitere von der M "Events" genannte Daten, die die Interaktionen auf der jeweiligen Webseite dokumentieren Randnummer 49 c. in mobilen Dritt-Apps Randnummer 50 - der Name der App sowie Randnummer 51 - der Zeitpunkt des Besuchs Randnummer 52 - die in der App angeklickten Buttons sowie Randnummer 53 - die von der M "Events" genannten Daten, die die Interaktionen in der jeweiligen App dokumentieren Randnummer 54 außerdem für jedes erhobene Datum, Randnummer 55 ob, und wenn ja welche konkreten personenbezogenen Daten des Klägers die Beklagte seit dem 25.05.2018 zu welchem Zeitpunkt an Dritte (Werbepartner, sonstige Partner, im Konzern verbundene Unternehmen oder sonstige Dritte) weitergegeben hat, unter Benennung dieser Dritten, Randnummer 56 ob, und wenn ja welche konkreten Daten des Klägers die Beklagte seit dem 25.05.2018 zu welchem Zeitpunkt (Beginn, Dauer, Ende) in welchem Drittstaat gespeichert hat; Randnummer 57 inwieweit die Daten des Klägers für eine automatisierten Entscheidungsfindung einschließlich Profiling verwendet wurden und werden, wobei hierfür aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebte Auswirkung einer solchen Verarbeitung für die betroffene Person zu erteilen sind; Randnummer 58 2. die Beklagte zu verpflichten, nach vollständiger Auskunftserteilung gem. des Antrags zu 1. sämtliche gem. des Antrags zu 1 a. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten vollständig zu löschen sowie sämtliche gem. des Antrags zu 1 Randnummer 59 b. sowie c. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren; Randnummer 60 3. die Beklagte zu verurteilen, an den Kläger eine angemessene Entschädigung in Geld, deren Höhe in das Ermessen des Gerichts gestellt wird, die aber mindestens 5.000,00 Euro beträgt, nebst Zinsen i.H.v. fünf Prozentpunkten über dem Basiszinssatz seit dem 16.01.2024, zu zahlen; Randnummer 61 4. die Beklagte zu verurteilen, den Kläger von vorgerichtlichen Rechtsanwaltskosten i.H.v. 627,13 Euro freizustellen. Randnummer 62 Die Beklagte hat die Auffassung vertreten, der Kläger müsse substantiiert darlegen, dass er eine bestimmte Webseite oder App von Drittanbietern besucht habe und diese spezifische Daten des Klägers mit der Beklagten geteilt habe. Er müsse auch jeweils spezifisch darlegen, gegen welchen Verwendungszweck einer Datenerhebung und -übermittlung er sich wende, bevor die Beklagte im Einzelnen zur jeweiligen Rechtsgrundlage der Datenverarbeitung Stellung nehmen müsse. Entgegen der klägerischen Auffassung könne er im Übrigen anhand der Datenschutzrichtlinie detaillierte Informationen darüber erhalten, wie M Informationen erhebe, verwende, teile und übermittle und er könne anhand der Einstellungen in seinem I-Konto die Kontrolle über die Nutzung der mit diesem Konto verknüpften und von Drittunternehmen geteilten Informationen über Aktivitäten ausüben. Randnummer 63 Nach der von der Beklagten vertretenen Rechtsauffassung seien stets die Dritten, welche die "M Business Tools" nutzten, Verantwortliche im Sinne von Art. 4 Nr. 7
, nicht hingegen die Beklagte. Die Dritten seien insbesondere hauptverantwortlich für die Erfüllung der Auskunftspflicht über die Nutzung von "M Business Tools" gegenüber ihren Webseiten- und App-Besuchern sowie für die Gewährleistung, dass alle notwendigen Rechte, Erlaubnisse vorliegen und eine rechtliche Grundlage bestehe, um Daten über die "M Business Tools" in Übereinstimmung mit allen Gesetzen, Regulatorien und Branchenrichtlinien an die Beklagte zu übermitteln. Entgegen der klägerischen Behauptung würden Nutzerdaten nicht unabhängig von einer Einwilligung automatisch erhoben und an die Beklagte übermittelt. Denn es sei ohne weiteres möglich, dass Dritte ihren Code so ausgestalten, dass der Browser etwa die HTTP-Anfrage mit den entsprechenden zur Individualisierung führenden Datenpunkten erst dann stelle, nachdem die Person über das Cookie-Banner des Dritten oder dessen Datenschutzeinstellungen ihre Einwilligungen gegeben habe. Es sei Dritten bei allen Formen der "M Business Tools" möglich, die Datenübertragung zu pausieren bis eine Einwilligungsentscheidung über Cookie- oder Datenschutzeinstellungen vom Nutzer vorgenommen und diese durchgehend zu blockieren, wenn die Einwilligung verweigert worden sei. Randnummer 64 Zudem liege der jeweiligen Datenverarbeitung eine wirksame Einwilligung der Nutzer auf den M-Plattformen vor. Nutzer könnten der Nutzung von "Cookies in Apps und auf Websites von anderen Unternehmen, die M Technologie nutzen" widersprechen und Werbeanzeigen auf I über die Einstellung "Informationen über Aktivitäten von Werbepartnern" sowie die Verknüpfung der Konten mit von Dritten an die Beklagte übermittelte Daten über die Einstellung "Deine Aktivitäten außerhalb der M-Technologien" kontrollieren. Die Beklagte nehme insoweit "keine streitgegenständliche" Datenverarbeitung vor, wenn nicht über diese Einstellungen eine Einwilligung erteilt worden sei. Randnummer 65 Abgesehen davon seien die "M Business Tools" ein allgegenwärtiger und integraler Bestandteil der alltäglichen Internetnutzung und ihrer Funktion, da Millionen von Organisationen, ob groß oder klein, diese auf ihren Webseiten und in ihren Apps nutzten. Es sei notwendig, dass die Beklagte die derart übermittelten Daten verarbeite, um die Funktionalität und Sicherheit des Internets zu verbessern. Den "M Business Tools" vergleichbare Technologien würden von einer Vielzahl verschiedener Anbieter zur Verfügung gestellt und so zur grundlegenden Architektur des Internets gehören. Neben dem Zweck der Bereitstellung personalisierter Werbung der Dritten diene deren Datenübermittlung an die Beklagte auch dazu, die Sicherheit und Integrität der Server der Beklagten vor Cyberattacken wie etwa Scraping zu schützen. Randnummer 66 Den Auskunftsanspruch des Klägers habe die Beklagte mit dem aus Anlage B 8 ersichtlichen Schreiben erfüllt, weshalb der Antrag zu 1. gegenstandslos sei. Ein Anspruch auf Anonymisierung kenne die
nicht. Im übrigen sei der dahingehende Antrag mangels Vorliegen der Voraussetzungen des § 259 ZPO unzulässig. Ein Löschungsanspruch bestehe insofern nicht als der Kläger über die Einstellungen in I die Verwendung der durch Drittunternehmen geteilten Informationen über Aktivitäten kontrollieren, sein Konto löschen oder zu einem Werbefrei-Abo wechseln könne. Randnummer 67 Mangels Erfüllung der Darlegungsanforderungen zu den genutzten Webseiten und Apps durch den Kläger könne dieser auch keinen erlittenen Schaden im Sinne des Art. 82
belegen. Gleiches gelte für Schadensersatz nach nationalem Recht; der Vortrag gebe nichts her, um eine vorsätzliche oder schwerwiegende Verletzung der Persönlichkeitsrechte nachzuweisen. Randnummer 68 Das Landgericht hat den Kläger informatorisch angehört. Wegen der Inhalte wird auf das Protokoll der mündlichen Verhandlung vom 26.09.2024 Bezug genommen (Bl. 357 d.A. 1. Inst.). Randnummer 69 Mit dem dem Kläger am 16.12.2024 zugestellten Urteil vom 12.12.2024 hat das Landgericht die Klage abgewiesen. Sie sei zwar zulässig, aber unbegründet. Randnummer 70 Den Auskunftsanspruch des Klägers habe die Beklagte erfüllt. Entscheidend sei hierfür allein die Erklärung des Auskunftsschuldners, dass die Auskunft das berechtigte Auskunftsbegehren vollständig abdecken solle, wohingegen eine etwaige Unrichtigkeit unschädlich für die Erfüllungswirkung sei. Hier komme in dem Antwortschreiben der Beklagten zum Ausdruck, dass diese selbst davon ausgehe, ihrer Auskunftspflicht bereits umfassend nachgekommen zu sein. Für einen Anspruch auf Ergänzung der Auskunft sei damit kein Raum. Randnummer 71 Ein Anspruch auf Löschung gem. Art. 17 Abs. 1
stehe dem Kläger nicht zu, weil er keinen dafür nötigen Verstoß der Beklagten gegen die
dargelegt und bewiesen habe. Ein Verstoß gegen Art. 6 Abs. 1
sei nicht ersichtlich. Es fehle bereits an einem Nachweis darüber, welche Webseiten und Apps der hiesige Kläger in welchem Umfang und wann genutzt habe und inwiefern die Einbindung der streitgegenständlichen "M Business Tools" gerade bezogen auf ihn erfolgt sei. Art. 9 Abs. 1
, der die Verarbeitung besonders sensibler Daten untersage, sei ebenfalls nicht verletzt. Auch hier fehle es an einem Nachweis, dass die "M Business Tools" beim Kläger derart angewandt würden, dass die in Art. 9 Abs. 1
genannten Bereiche tangiert sind. Ein solcher Nachweis sei auch nicht darin zu sehen, dass der Kläger allgemein beschreibe, wie viele Stunden am Tag er sich mit welchen, mitunter sensiblen, Themen im Internet beschäftige, da auch hier die Herstellung eines individuellen Bezugs zu den "M Business Tools" fehle. Randnummer 72 Der Kläger habe auch keinen Anspruch auf Anonymisierung. Art. 17 Abs. 1
vermittle einen solchen Anspruch schon gar nicht. Jedenfalls fehle es aber an der Verletzung von Vorschriften nach der
seitens der Beklagten. Randnummer 73 Immaterieller Schadensersatz stehe dem Beklagten weder nach Art. 82 Abs. 1
noch nach § 823 Abs. 1 BGB i.V.m. seinem allgemeinen Persönlichkeitsrecht zu. Betreffend den unionsrechtlichen Anspruch sei es dem Kläger selbst unter Zugrundelegung eines weiten Verständnisses des immateriellen Schadens, der Bagatellschäden einschließe, nicht gelungen, das Entstehen eines Schadens darzulegen. Spürbare persönliche Einbußen, die auch kausal auf die Einbindung der streitgegenständlichen "M Business Tools" zurückzuführen seien, habe er weder dargelegt noch bewiesen. Ein Anspruch aus § 823 Abs. 1 BGB scheitere am fehlenden Nachweis von Datenschutzverstößen, so dass schwerwiegende Beeinträchtigungen der Persönlichkeitsrechte des Klägers nicht zu erblicken seien. Randnummer 74 Mit seiner Berufung vom 16.01.2025 verfolgt der Kläger sein Klagebegehren weiter, wobei er als Mindesthöhe des geforderten Schmerzensgeldes nunmehr 1.500,00 € angibt. Randnummer 75 Das Landgericht verkenne hinsichtlich des geltend gemachten Auskunftsanspruchs, dass keine Erfüllung eingetreten sei. Die Beklagte habe schon nicht behauptet, dass die über ihr Tool abrufbare Auskunft dem klägerischen Auskunftsbegehren entspreche. Stattdessen behaupte sie, sie verstehe das klägerische Begehren so, dass insoweit nur relevant sei, welche über die "M Business Tools" erlangten Daten sie zum Zwecke der Bereitstellung personalisierter Werbung weiter verarbeitet habe. Ferner seien über das Auskunftstool allenfalls rudimentäre Informationen abrufbar, die hinsichtlich des Umfangs nicht im Ansatz dem Auskunftsbegehren entsprächen. Randnummer 76 Ein Löschungs- und Anonymisierungsanspruch bestehe auch ohne dass der Kläger einzelne Webseiten nenne. Dies sei zudem nicht möglich, da er nicht wisse, auf welchen Seiten er wann von der Beklagten ausspioniert werde. Das Landgericht habe sich von der zweifelhaften Verfahrenstaktik der Beklagten in die Irre leiten lassen und verkannt, dass die Beklagte unstreitig personenbezogene Daten des Klägers auf die geschilderte Weise verarbeite, da sie lediglich die Weiterverarbeitung zu Zwecken der Bereitstellung personalisierter Werbung bestritten habe. Randnummer 77 Der Antrag auf Geldentschädigung sei entgegen der Auffassung des Landgerichts begründet. Es liege substantiierter Vortrag des Klägers zum immateriellen Schaden nach Art. 82
vor. Das Landgericht verkenne insoweit, dass sich der Kläger nicht gegen einzelne, konkrete Datenverarbeitungen richte, sondern gegen die generelle Anwendung der Business Tools auf seine Person und die Unmöglichkeit diese abzustellen, was einen Verstoß gegen Art. 5 Abs. 1 u. Art. 25
darstelle, der zugleich ein tiefgreifender Eingriff in das Recht auf informationelle Selbstbestimmung sei. Denn die Tools brächten die beständige Gefahr der Nachverfolgung und Protokollierung seines digitalen Privatlebens mit sich. Insoweit sei nicht nachvollziehbar, weshalb das erstinstanzliche Gericht den eingetretenen Kontrollverlust und die erheblichen persönlichen Beeinträchtigungen nicht als ausreichend erachtet habe, zumal nach Art. 82
schon keine Erheblichkeitsschwelle zu überschreiten sei. Randnummer 78 Auch bestehe ein Anspruch nach § 823 BGB i. V. m. Art. 2 Abs. 1, Art. 1 Abs. 1 GG. Ohne nachvollziehbare Begründung meine das Landgericht, dass in der Schaffung der gegenständlichen Bedrohungslage kein Zustand zu erblicken sei, der eine Geldentschädigung rechtfertige. Denn es liege eine erhebliche Beeinträchtigung des Persönlichkeitsrechts des Klägers vor, da aufgrund der Verbreitung und der Wirkungsweise der Business Tools jederzeit mit einer Aufzeichnung seines Surfverhaltens gerechnet werden müsse und er nicht wissen könne, was die Beklagte über ihn wisse. Die im Hintergrund stattfindende Verarbeitung umfassender Datenmengen ermögliche insbesondere die Erstellung eines Persönlichkeitsprofils. Randnummer 79 Der Kläger hat zunächst die Wiederholung der erstinstanzlich gestellten Anträge unter Reduzierung des Antrags zu 3. auf einen Mindestbetrag von 1.500,00 € angekündigt. Zuletzt hat er - nach Hinweis des Senats in der mündlichen Verhandlung vom 12.01.2026 den Antrag zu 2. teilweise abändernd - beantragt, 1. Randnummer 80 die Beklagte zu verurteilen, Auskunft nach Art. 15 Abs. 1 lit. a., c., g. und h.
darüber zu erteilen, welche personenbezogenen Daten die Beklagte seit dem 25.05.2018 verarbeitet und im Zuge dessen mit dem Nutzeraccount des Netzwerks ”I” unter dem Benutzernamen "S" des Klägers verknüpft hat, dies insbesondere, aber nicht ausschließlich durch die "M Business Tools", Randnummer 81 a. auf Dritt-Webseiten und -Apps die personenbezogenen Daten, die der Identifizierung des Klägers dienen, ob direkt oder in gehashter Form übertragen, d.h. Randnummer 82 - E-Mail der Klagepartei Randnummer 83 - Telefonnummer der Klagepartei Randnummer 84 - Vorname der Klagepartei Randnummer 85 - Nachname der Klagepartei Randnummer 86 - Geburtsdatum der Klagepartei Randnummer 87 - Geschlecht der Klagepartei Randnummer 88 - Ort der Klagepartei Randnummer 89 - Externe IDs anderer Werbetreibender (von der M Ltd. "external_ID” genannt) Randnummer 90 - IP-Adresse des Clients Randnummer 91 - User-Agent des Clients (d.h. gesammelte Browserinformationen) Randnummer 92 - interne Klick-ID der M Ltd. Randnummer 93 - interne Browser-ID der M Ltd. Randnummer 94 - Abonnement-ID Randnummer 95 - Lead-ID Randnummer 96 - anon-ID Randnummer 97 sowie bezogen auf sämtliche so verarbeiteten personenbezogenen Daten des Klägers Randnummer 98 b. auf Dritt-Webseiten Randnummer 99 - die URLs der Webseiten samt ihrer Unterseiten Randnummer 100 - der Zeitpunkt des Besuchs Randnummer 101 - der Referrer (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist), Randnummer 102 - die auf der Webseite angeklickten Buttons sowie Randnummer 103 - weitere von der M "Events" genannte Daten, die die Interaktionen auf der jeweiligen Webseite dokumentieren Randnummer 104 c. in mobilen Dritt-Apps Randnummer 105 - der Name der App sowie Randnummer 106 - der Zeitpunkt des Besuchs Randnummer 107 - die in der App angeklickten Buttons sowie Randnummer 108 - die von der M "Events" genannten Daten, die die Interaktionen in der jeweiligen App dokumentieren Randnummer 109 außerdem für jedes erhobene Datum, Randnummer 110 ob, und wenn ja welche konkreten personenbezogenen Daten des Klägers die Beklagte seit dem 25.05.2018 zu welchem Zeitpunkt an Dritte (Werbepartner, sonstige Partner, im Konzern verbundene Unternehmen oder sonstige Dritte) weitergegeben hat, unter Benennung dieser Dritten, Randnummer 111 ob, und wenn ja welche konkreten Daten des Klägers die Beklagte seit dem 25.05.2018 zu welchem Zeitpunkt (Beginn, Dauer, Ende) in welchem Drittstaat gespeichert hat; Randnummer 112 inwieweit die Daten des Klägers für eine automatisierten Entscheidungsfindung einschließlich Profiling verwendet wurden und werden, wobei hierfür aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebte Auswirkung einer solchen Verarbeitung für die betroffene Person zu erteilen sind; Randnummer 113
wegen vertraglicher Notwendigkeit, wegen eines berechtigten Interesses der Beklagten und wegen eines öffentlichen Interesses. Randnummer 121 Abgesehen davon verkenne der Kläger zudem weiterhin, dass die Dritten die Hauptverantwortlichen für die Erhebung und Übermittlung von "M Business Tools"- Daten seien. Bevor sie Daten an die Beklagte weitergeben, müssten diese alle nötigen Offenlegungen vornehmen sowie Rechte und Genehmigungen einholen. Dies legten die "Business Tool Nutzungsbedingungen" und der Vertragszusatz, an die Dritte gebunden seien, fest und technisch sei dies auch ohne weiteres möglich. Es seien demzufolge die Dritten, die kontrollieren, wann und welche "Event-Daten" an die Beklagte übermittelt würden. Die Beklagte stelle Dritten zudem umfassende Informationen und Funktionen zur Verfügung, wie diese im Einzelnen bei sämtlichen der Tools eine Datenübermittlung an die Beklagte solange unterbinden könnten, wie noch keine Einwilligung seitens des Webseitenbesuchers bzw. App-Nutzers vorliege. Randnummer 122 Der Auskunftsanspruch sei zurecht verneint worden, da er im bestehenden Umfang durch das Antwortschreiben der Beklagten erfüllt sei. Soweit darüber hinausgehende Informationen verlangt würden, seien die Anträge zu weit gefasst und über das erkennbare Interesse des Klägers hinausgehend. Der Auskunftsantrag sei wortwörtlich oder nahezu identisch mit jenen in Tausenden anderer Parallelverfahren, was zeige, dass es sich lediglich um eine Prozessstrategie handele um die Beklagte zu schikanieren, nicht dagegen um eine echte Anfrage der betroffenen Person. Der Löschungsantrag sei wegen fehlender Bestimmtheit unzulässig. Ein Anspruch auf Löschung bestehe auch nicht, da die Verarbeitung der über "M Business Tools" empfangenen Daten rechtmäßig sei. Die Voraussetzungen des Art. 6 Abs. 1
seien erfüllt. Randnummer 123 Soweit ein Löschungsanspruch überhaupt bestehen könnte, sei ihm durch die Einstellung "Deine Aktivitäten außerhalb von M-Technologien" genügt, die es ermögliche, die von Drittunternehmen geteilten Informationen über Aktivitäten, die mit ihrem I-Konto verknüpft sind, zu trennen und für die Zukunft auszuschalten. Im Übrigen stehe es dem Kläger jederzeit frei, sein Konto bei I zu löschen. Randnummer 124 Das Landgericht habe auch den Entschädigungsanspruch zurecht verneint. Die Beklagte habe nicht gegen die
verstoßen und zudem habe es der Kläger versäumt, überhaupt darzulegen, dass er einen tatsächlichen Schaden erlitten habe. Die vom Bundesgerichtshof in der Entscheidung vom 18. November 2024 (Az. VI ZR 10/24) aufgestellten Anforderungen seien auf den vorliegenden Fall nicht übertragbar, da es hier nicht um mit der Scraping-Thematik vergleichbare Datenschutzverstöße gehe. Jedenfalls habe der Kläger einen Kontrollverlust schon nicht hinreichend dargelegt. Einem Schadensersatzanspruch nach § 823 Abs. 1 BGB i.V.m. mit dem Recht auf informationelle Selbstbestimmung stehe insbesondere entgegen, dass Schadensersatz nach nationalem Recht nicht mit EU-rechtlichen Vorschriften begründet werden könne, da dies die Schadensersatzvoraussetzungen der
umgehen würde. Randnummer 125 Nach alledem bestehe auch kein Freistellungsanspruch von vorgerichtlichen Rechtsanwaltskosten. Außerdem habe das Landgericht fehlerhaft festgestellt, dass der Beklagten eine vorgerichtliche Aufforderung zugegangen sei. Dies habe sie durchgehend bestritten. Im Übrigen sei der Ersatzanspruch gemäß § 86 Abs. 1 VVG auf den Rechtsschutzversicherer übergegangen, so dass jedenfalls der Kläger keinen dahingehenden Anspruch auf Freistellung mehr haben könne. Randnummer 126 Der Senat hat am 12.01.2026 mündlich verhandelt. Insoweit wird Bezug genommen auf das Sitzungsprotokoll (Bl. 231 - 234 d.A.). Randnummer 127 Mit nach Schluss der mündlichen Verhandlung in nicht nachgelassener Frist eingereichtem Schriftsatz vom 27.01.2026 hat der Kläger zu einer möglichen Verneinung eines Auskunftsanspruchs in Bezug auf die Benennung dritter Empfänger von personenbezogenen Daten Stellung genommen (Bl. 236 f. d.A.). Randnummer 128 Die Beklagte hat in nachgelassener Frist mit Schriftsatz vom 30.01.2026 zum Schriftsatz des Klägers vom 09.01.2026 Stellung genommen und insbesondere weiter zu einer Verarbeitung personenbezogener Daten aus Sicherheits- und Integritätszwecken sowie zu möglichen technischen Einschränkungen des Empfangs der von Dritten übermittelten Daten vorgetragen. Wegen der Einzelheiten wird auf S. 2 bis 7 des Schriftsatzes Bezug genommen (Bl. 255 - 260 d.A.). Des Weiteren hat sie auf ein neuerliches Auskunftsschreiben vom selben Tag, gerichtet an die Prozessbevollmächtigten des Klägers verwiesen. II. Randnummer 129 Die Berufung ist zulässig und überwiegend begründet. Randnummer 130 Sie wurde form- und fristgemäß nach §§ 517, 519 ZPO eingelegt und den Anforderungen des § 520 Abs. 3 ZPO entsprechend innerhalb der verlängerten Fristen ordnungsgemäß begründet. Randnummer 131 Auf die Berufung ist das landgerichtliche Urteil im tenorierten Umfang betreffend die Hauptforderungen Auskunft, Löschung und Schadensersatz abzuändern und die Berufung im Übrigen - betreffend einen Teil des Auskunfts- und Löschungsbegehrens sowie die Kosten vorgerichtlicher Rechtsverfolgung - zurückzuweisen. Randnummer 132 Die Klage ist zulässig. Randnummer 133 Die unbeschadet von § 513 Abs. 2 ZPO auch in der Berufungsinstanz von Amts wegen zu prüfende internationale Zuständigkeit der deutschen Gerichtsbarkeit (vgl. BGH, Urteil vom 28.11.2002 - III ZR 102/02, Rn. 9, juris) ist gegeben. Sie folgt aus Art. 79 Abs. 2
, nach dem die Gerichte des Mitgliedstaats, in dem wahlweise eine Niederlassung des Verantwortlichen bzw. Auftragsverarbeiters besteht oder in dem die betroffene Person ihren Aufenthaltsort hat, zuständig sind. Randnummer 134 Sämtliche vom Kläger gestellte Anträge sind zulässig. Soweit betreffend den Antrag zu
. Der Anspruch ist nicht infolge des Antwortschreibens der Beklagten erfüllt. Lediglich betreffend die Benennung der an Dritte übermittelten Daten ist der Anspruch wegen Unmöglichkeit nach § 275 Abs. 1 BGB erloschen. a) Randnummer 138 Der Kläger hat dem Grunde nach ein Auskunftsrecht gegen die Beklagte nach Art. 15 Abs. 1
. Randnummer 139 Ein solches hat die von einer Datenverarbeitung betroffene Person gegenüber dem Verantwortlichen. Verantwortlicher ist nach Art. 4 Nr. 7 1. Hs
die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Hier hat die Beklagte unbeschadet einer zwischen ihr und den Dritten im Einzelnen vorzunehmenden Differenzierung der Zurechnung für etwaige Datenschutzverstöße aufgrund der Konzeption und Bereitstellung der "M Business Tools" die Entscheidungshoheit über Gegenstand und Umfang der mit Hilfe der Tools erfassbaren personenbezogenen Daten. Dass sie nicht darüber entscheidet, ob und wenn ja in welchem Umfang die Dritten von den Möglichkeiten der Tools Gebrauch machen, ist für die Eigenschaft als Verantwortliche mit Blick auf die Auskunft nicht von Bedeutung. Für die personenbezogenen Daten, die ihr von Dritten übermittelt werden und die sie sodann unter Verknüpfung mit einem in einem ihrer sozialen Netzwerke hinterlegten Profil speichert und für weitere Zwecke, namentlich zur Personalisierung von Werbung, verwendet, ist allein sie verantwortlich (vgl. die Parallelentscheidung LG Stuttgart, Urteil vom 24. Oktober 2024 – 12 O 170/23 –, Rn. 55, juris). Randnummer 140 Bei den vom Kläger in seinem Antrag zu 1.a) benannten Datenpunkten handelt sich jeweils um personenbezogene Daten im Sinne von Art. 4 Nr. 1
. Hierunter fallen alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (vgl. EuGH, Urt. v. 4. 5. 2023, österreichische Datenschutzbehörde und CRIF, C 487/21, Rn. 23 und die dort angeführte Rechtsprechung; Schreiber in: Plath,
/BDSG/TTDSG,
aufgelisteten Informationen verlangt die Norm nicht mehr als die schlüssige Behauptung des Anspruchsstellers, dass er selbst betroffene Person und der Anspruchsgegner Verantwortlicher ist, der - nur allgemein und nicht spezifisch - personenbezogene Daten über ihn verarbeitet. Es ist schließlich gerade Sinn und Zweck des Auskunftsrechts, dem Betroffenen Einblick in das Ob und Wie der Verarbeitung personenbezogener Daten zu geben und so eine informierte und umfassende Überprüfung der Rechtmäßigkeit der Verarbeitung zu ermöglichen (Paal/Pauly/Paal, 4. Aufl. 2026, VO (EU) 2016/679 Art. 15 Rn. 3). Zur wirksamen Ausübung dieses Rechts die umfassende spezifische Darstellung des eigenen Nutzungsverhaltens im Internet zu fordern, würde dessen Wirksamkeit konterkarieren. Randnummer 142 Entgegen der Auffassung der Beklagten steht der prozessualen Geltendmachung auch nicht entgegen, dass der Kläger es vermeintlich versäumt, den oder die Verarbeitungszwecke zu benennen, gegen die er sich wehren will. Eine solche Anforderung ist dem Auskunftsrecht fremd und würde ebenfalls seine Wirksamkeit grundlegend infrage stellen. Für die Ausübung des Auskunftsrechts muss sich die betroffene Person gegen nichts wenden. Sie kann es allein schon aufgrund des Bestehens einer Verarbeitung personenbezogener Daten durch den Verantwortlichen ausüben. Soweit die Beklagte - wohl auch in Bezug auf den Auskunftsanspruch - grundlegend mit der Architektur des Internets argumentiert, ausweislich derer Funktionen wie die streitgegenständlichen ein allgegenwärtiger und integraler Bestandteil der alltäglichen Internetnutzung sein sollen, vermag dies - jenseits der fragwürdigen Einordnung der "Tools" als der Natur des Internets immanente Bestandteile - das Recht aus Art. 15 Abs. 1
weder grundsätzlich noch in Bezug auf einzelne, namentlich technische Datenpunkte in Frage zu stellen. Eine einschränkende Auslegung der Norm dahingehend, dass Informationen, die einem technischen Erfordernis geschuldet sind, von der Auskunft ausgenommen sind, wäre ebenfalls mit dem Zweck der
, die Datenhoheit des Einzelnen zu stärken und Transparenz zu schaffen, wozu Art. 15
einen wesentlichen Beitrag leistet, nicht vereinbar. Im Übrigen zeigt Erwägungsgrund Nr. 30 zur Verordnung ausdrücklich, dass sich der EU-Gesetzgeber bewusst war, dass auch und gerade technische Informationen dazu benutzt werden können, Profile der natürlichen Personen zu erstellen und sie zu identifizieren (vgl. insoweit die Parallelentscheidung LG Leipzig, Urteil vom 15. August 2025 – 05 O 1939/24 –, Rn. 87, juris). Randnummer 143 Die Beklagte kann den Anspruch schließlich auch nicht dadurch zu Fall bringen, dass sie aus dem Umstand einer gleichlautenden Antragsstellung in Tausenden von Parallelverfahren ein rechtsmissbräuchliches, die Beklagte schikanierendes Verhalten ableitet. Auch hier verkennt die Beklagte, dass das Auskunftsrecht im Ausgangspunkt überhaupt nicht an ein irgendwie geartetes rechtliches Interesse geknüpft ist, sondern sich allein aus dem Umstand ergibt, dass der Verantwortliche personenbezogene Daten über die betroffene Person verarbeitet. Dass der Antrag gleichlautend mit zahlreichen parallelen Klagen lautet, ist offensichtlich weder missbräuchlich noch schikanös. Die Geltendmachung des Auskunftsrechts hat erkennbar von vornherein keinen individuellen Einschlag, der sich auf die betroffene Person bezieht, sondern sie dient letztlich der Offenlegung weitgehend sämtlicher Informationen, die zu einer natürlichen Person verarbeitet worden sind. Mit anderen Worten ist die in einer Vielzahl von Fällen gleichlautende abstrakt auf bestimmte Datenkategorien abstellende Geltendmachung Ausfluss der Natur des Auskunftsrechts selbst, nicht aber einer auf Rechtsmissbrauch zielenden Behandlung der Beklagten. Dies folgt auch aus Art. 12 Abs. 5
, der das Weigerungsrecht des Verantwortlichen bei exzessiven Anträgen an die Antragstellung einer betroffenen Person koppelt und damit die gleichlautende Antragsstellung einer Vielzahl unterschiedlicher Personen gerade nicht erfasst. Randnummer 144 Soweit der Kläger seinen Antrag auch auf die aus anderer Datenverarbeitung als jener mittels "M Business Tools" stammenden Informationen bezieht, ist der Anspruch ebenfalls dem Grunde nach gegeben. Eine Beschränkung auf bestimmte Datenverarbeitungsvorgänge besteht nach Art. 15
nicht. Vielmehr handelt es sich um ein allgemeines Auskunftsrecht, das sich auf die von dem Verantwortlichen verarbeiteten Daten und bestimmte M-informationen der Datenverarbeitung erstreckt (Kühling/Buchner/Bäcker, 4. Aufl. 2024,
1). b) Randnummer 145 Entgegen der Auffassung des Landgerichts hat die Beklagte den Anspruch des Klägers auf Auskunft mit ihrem Antwortschreiben nicht nach § 362 BGB erfüllt. Randnummer 146 Erfüllt im Sinne des § 362 Abs. 1 BGB ist ein Auskunftsanspruch grundsätzlich dann, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erfüllung nicht entgegen. Der Verdacht, dass die erteilte Auskunft unvollständig oder unrichtig ist, kann einen Anspruch auf Auskunft in weitergehendem Umfang nicht begründen. Wesentlich für die Erfüllung des Auskunftsanspruchs ist daher die - gegebenenfalls konkludente - Erklärung des Auskunftsschuldners, dass die Auskunft vollständig ist. Die Annahme eines derartigen Erklärungsinhalts setzt demnach voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig abdecken soll. Daran fehlt es beispielsweise dann, wenn sich der Auskunftspflichtige hinsichtlich einer bestimmten Kategorie von Auskunftsgegenständen nicht erklärt hat, etwa weil er irrigerweise davon ausgeht, er sei hinsichtlich dieser Gegenstände nicht zur Auskunft verpflichtet. Dann kann der Auskunftsberechtigte eine Ergänzung der Auskunft verlangen (BGH, Urteil vom
beziehe Informationen über den Drittstaat, in dem die betreffenden Daten gespeichert werden, nicht ein, geht sie fehl. Zum Teil wird zwar vertreten, dass aus Art. 15 Abs. 2
eine solche Einschränkung folgt, da dieser bei Übermittlung personenbezogener Daten an ein Drittland lediglich das Recht vorsieht, über die geeigneten Garantien gemäß Art. 46
im Zusammenhang mit der Übermittlung unterrichtet zu werden (so in einem Parallelfall LG Kiel, Urteil vom 10. Oktober 2024 – 6 O 274/23 –, Rn. 77, juris mwN zu der in der Literatur vertretenen Auffassung). Randnummer 155 Dem ist aus Sicht des Senats jedoch nicht zu folgen. Eine Lesart, wonach Art. 15 Abs. 2
eine Sperrwirkung dergestalt entfaltet, dass der Betroffene bei der Drittstaatenübermittlung zwar über geeignete Garantien im Sinne von Art. 46
unterrichtet werden muss, indes kein Anspruch auf Information darüber bestehen soll, in welche Drittstaaten überhaupt personenbezogene Daten übermittelt werden, schränkt die Transparenz für den Betroffenen entgegen des Regelungszwecks erheblich ein. Der Betroffene soll mit dem Anspruch aus Art. 15
Einblick in das Ob und Wie der Verarbeitung personenbezogener Daten bekommen und ihm soll so eine informierte und umfassende Überprüfung der Rechtmäßigkeit der Verarbeitung ermöglicht werden. Dies schließt notwendigerweise die Frage ein, welche Art personenbezogener Daten in welchen Drittstaat übermittelt werden. Nur wenn dies bekannt ist, macht die weitere Information des Art. 15 Abs. 2
über geeignete Garantien im Sinne von Art. 46
überhaupt Sinn. Denn wie sich aus der Lektüre der einzelnen Bestimmungen über hinreichende Garantien entnehmen lässt, stehen diese - naheliegenderweise - in Abhängigkeit vom Datenschutzniveau und dem Vorhandensein geeigneter Rechtsbehelfe für Betroffene im spezifischen Drittland. Entsprechend hat der EuGH in seiner Rechtsprechung festgehalten, dass für die betroffenen Personen bei Übermittlungen auf Basis von Artikel 46
ein Schutzniveau gewährleistet sein muss, das mit dem in der Europäischen Union gewährleisteten der Sache nach gleichwertig ist, was namentlich auch von der Rechtsordnung des betreffenden Landes abhängt (EuGH, Urteil vom 16. Juli 2020 – C-311/18 –, Rn. 105, juris). Mithin ist dem Anspruch aus Art. 15 Abs. 2
die Information darüber, welche Art Daten in welchem Drittland gespeichert werden, immanent. Der Betroffene kann daher auch unabhängig von einem Informationsbegehren über Garantien nur die Information über die Benennung spezifischer Drittländer als Speicherorte verlangen (so auch LG Leipzig, Urteil vom
ausdrücklich geregelt ist, äußert (so auch in Parallelentscheidungen LG Leipzig, Urteil vom
fällt." Randnummer 158 Diese Auskunftserteilung ist einerseits insoweit unklar, als die Beklagte sich hier nicht dazu äußert, ob sie - wie sonst teilweise auch - eine Beschränkung auf eine Auskunft zum Verarbeitungszweck der Bereitstellung personalisierter Werbung vornimmt. Zum anderen ist die Auskunft jedenfalls unvollständig, denn sie informiert nur darüber, dass es in der Vergangenheit eine solche Verwendung nicht gegeben haben soll. Art. 15 Abs. 1 lit. h
und ausdrücklich auch das Auskunftsbegehren des Klägers beschränken sich indes nicht auf die Vergangenheit, sondern verlangen - zukunftsgerichtet - Informationen darüber, ob die eine automatisierte Entscheidungsfindung "besteht" bzw. im Fall des klägerischen Antrags, ob die personenbezogenen Daten für eine solche "verwendet werden". Die Beklagte muss daher Auskunft erteilen, ob derartige Systeme grundsätzlich vorhanden sind und zur Anwendung kommen können einschließlich der weiteren in Art. 15 Abs. 1 lit. h genannten Informationen hierzu. Schließlich ist die Auskunft auch insoweit - zu Lasten der verpflichteten Beklagten - unvollständig als sie durch Begrenzung auf die Nicht-Feststellung einer solchen Verarbeitung nichts darüber sagt, ob nicht gleichwohl (ohne dass dies zwingend nachträglich feststellbar sein muss) eine solche Entscheidungsfindung zur Anwendung gekommen sein kann. Randnummer 159 Keinen Auskunftsanspruch hat der Kläger indessen zu der unter "Begehren 2" von der Beklagten zusammengefassten Benennung Dritter, an die sie Daten übermittelt hat. Dem Anspruch steht Unmöglichkeit nach § 275 Abs. 1 BGB entgegen. Randnummer 160 Zwar hat die Beklagte sich auch hier wie vorstehend zunächst zu Unrecht auf den Verarbeitungszweck der Bereitstellung von personalisierter Werbung beschränkt. Im Weiteren gibt sie aber - insoweit ausdrücklich anerkennend, dass das Begehren über die "streitgegenständliche Datenverarbeitung" hinausgeht - Auszüge ihrer Datenschutzrichtlinie wieder um damit zu beschreiben, welche Kategorien Dritter welche Arten von Daten erhalten können. Zu der - nach inzwischen erfolgter Klärung durch den EuGH (vgl. EuGH, Urteil vom 12. Januar 2023 – C-154/21 –, Rn. 51, juris) - vom Auskunftsanspruch nach Art. 15 lit c.
umfassten Identität der Empfänger enthält das Schreiben auf S. 9 die Ausführung: "Darüber hinaus hat M ihre Aufzeichnungen überprüft und, auf Grundlage der verfügbaren Informationen, keine Aufzeichnungen über individuellen Empfänger der personenbezogenen Daten Ihrer Mandantschaft." Randnummer 161 Hinsichtlich der Identität individueller Empfänger beruft sich die Beklagte damit auf Unmöglichkeit im Sinne von § 275 Abs. 1 BGB, was nach der vorgenannten Rechtsprechung des EuGH ein anerkannter Fall ist, in welchem der Verantwortliche seine Mitteilung auf die Kategorien von Empfängern beschränken darf (EuGH, aaO, Rn. 58). Eine solche Mitteilung enthält das Schreiben durch auszugsweise Wiedergabe der Datenschutzrichtlinie. Der Kläger hat das Vorbringen der Beklagten zur Überprüfung ihrer Aufzeichnungen bis zuletzt nicht bestritten. Der Auskunftsanspruch ist damit wegen Unmöglichkeit untergegangen. Das Bestreiten erst nach Schluss der mündlichen Verhandlung im Berufungsverfahren in nicht nachgelassener Frist mit Schriftsatz vom 27.01.2026 ist unbeachtlich und gebietet die Wiedereröffnung der mündlichen Verhandlung nach § 156 Abs. 1 ZPO nicht. c) Randnummer 162 Eine von den vorstehenden Ausführungen abweichende Würdigung des Auskunftsantrags zu
, soweit diese auf der Anwendung der "M Business Tools" beruhen (nachfolgend a) bis c)). Soweit darüber hinaus durch die Verknüpfung mit dem Antrag zu 1. nach dem Wortlaut des Antrags auch eine Löschung von personenbezogenen Daten aus anderen Quellen, namentlich der Nutzung der I-Plattform selbst, begehrt wird, ist der Antrag hingegen unbegründet (nachfolgend d)). Randnummer 166 Es liegen die Anspruchsvoraussetzungen des Art. 17 Abs. 1 lit. d
vor und der daraus resultierende Löschungsanspruch ist nicht ausnahmsweise nach Art. 17 Abs. 3
ausgeschlossen. aa) Randnummer 167 Die Beklagte verarbeitet die aufgrund der Nutzung ihrer "M Business Tools" durch Dritte anfallenden und von diesen an die Beklagte übermittelten personenbezogenen Daten unrechtmäßig. Das Klägervorbringen ist schlüssig
besteht nicht
verarbeitet worden seien. Der Nachweis eines Verstoßes gegen Art. 6 Abs. 1
sei daher nicht ersichtlich. Randnummer 172 Dem ist nach Auffassung des Senats nicht zu folgen. Die Behandlung des Klägervorbringens durch das Landgericht wird den prozessualen Maßstäben des § 138 ZPO nicht gerecht, da sie einerseits praktisch Unmögliches verlangt und so die Gefahr einer Verletzung des Anspruchs auf rechtliches Gehör nach Art. 103 Abs. 1 GG begründet, andererseits auch eine spezifische Betrachtung der klägerischen Behauptungen und des darin begründeten Vorwurfs rechtswidriger Datenverarbeitung nebst der sich hieraus ergebenden Verteilung der Darlegungs- und Beweislast nach dem materiellen Datenschutzrecht vermissen lässt. Randnummer 173 Zunächst ist es einzelnen Internet-Nutzern kaum möglich, unter Einhaltung der Wahrheitspflicht und der Pflicht zu vollständigem Vortrag nach § 138 Abs. 1 ZPO ihre gesamten im streitgegenständlichen Zeitraum von gut fünf Jahren erfolgten Bewegungen im Internet darzulegen. Soweit die Beklagte darauf verweist, der Kläger sei selbst am besten in der Lage, anzugeben, welche Drittwebsites er besucht habe, da dies lediglich erfordere, dass er seinen Browserverlauf überprüfe, geht sie erkennbar fehl, da Browserverläufe, zumal bei der Nutzung unterschiedlicher Endgeräte und deren Ersetzung im Zeitverlauf, regelmäßig nicht über einen so langen Zeitraum gespeichert werden. Eine Pflicht, solche Verlaufsprotokolle vorzuhalten, besteht nicht, vielmehr erscheint ein solches Verhalten aus individueller Sicht aus Gründen der Datensparsamkeit und des Datenschutzes gerade nicht opportun. So hätten vor allem die Nutzer, die darauf achten, wenig Spuren im Internet zu hinterlassen und u.a. Browserverläufe entweder nach jeder Nutzung oder wenigstens in kürzeren Abständen zu löschen, keinen Zugang zu dieser Recherchemöglichkeit. Einem Kläger abzuverlangen, seine gesamte Internetnutzung über einen solch langen Zeitraum im Einzelnen darzulegen, erschwert damit in hohem Maße deren Möglichkeiten, die Rechtmäßigkeit der Datenverarbeitung durch die Beklagten einer gerichtlichen Überprüfung zu unterziehen (vgl. ähnlich LG Lübeck, Urteil vom 27. November 2025 – 15 O 15/24 –, Rn. 88, juris). Dies erscheint nicht nur mit Blick auf Art. 103 Abs. 1 GG, sondern spezifisch datenschutzrechtlich wegen des in Art. 79 Abs. 1
verbrieften Rechts auf einen wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche, von denen Betroffene meinen, sie verletzen ihre Pflichten bei Verarbeitung ihrer personenbezogenen Daten, äußerst bedenklich und demzufolge nicht überzeugend. Randnummer 174 Die vom Landgericht angenommenen Darlegungsanforderungen sind aber auch deshalb überspannt, weil sie am eigentlichen Sachvortrag des Klägers, den er einer rechtlichen Bewertung zuführen will, vorbeigehen. Dieser behauptet, dass die "M Business Tools" in ihrer Funktionsweise darauf angelegt seien, das Internet-Nutzungsverhalten der Nutzer von F und I außerhalb dieser sozialen Netzwerke systematisch zu erfassen, wobei die Erhebung von personenbezogenen Daten und deren Übermittlung an die Beklagte - jedenfalls auch - ohne Einwilligung in den sozialen Netzwerken der Beklagten bzw. den Dritt-Webseiten und -Apps stattfinde. Er wendet sich daher von vornherein gar nicht gegen einzelne Datenübermittlungen, sondern gegen die Anwendung der "M Business Tools" auf seine Person als solche, welche dazu führten, dass seine außerhalb der sozialen Netzwerke der Beklagten liegende Internetnutzung ohne seine Zustimmung von der Beklagten gleichsam überwacht werde. Dass eine solche zustimmungslose Datenerfassung und -übermittlung grundsätzlich möglich ist, stellt die Beklagte dabei nicht in Frage, sondern geht rechtlich davon aus, dass sie aufgrund der von ihr aufgestellten Nutzungsbedingungen für die "M Business Tools", die mit Dritten zusätzlich vereinbarten Datenverarbeitungsbedingungen sowie den Dritten bereitgestellten Informationen zur Blockierung bzw. Pausierung von Datenübermittlungen bei (noch) fehlender Einwilligung nicht verantwortlich dafür ist, wenn es zu einem solchen Vorfall kommt. Abgesehen davon nimmt sie für sich auch das Recht in Anspruch, auf unterschiedlichen rechtlichen Grundlagen des Art. 6 Abs. 1
auch unabhängig vom Vorliegen einer Einwilligung namentlich zu Sicherheits- und Integritätszwecken berechtigt zu sein, die ihr übermittelten Daten zu speichern und zu verarbeiten. Randnummer 175 Der Kläger macht also geltend, dass es überhaupt rechtswidrig sei, die "M Business Tools" Dritten zur Verfügung zu stellen und so Datenübermittlungen ohne eine gegenüber ihr oder den Dritten gegebene Einwilligung zu ermöglichen. Ob dies rechtlich zutreffend ist, muss anhand der Bestimmungen der
zur Verantwortlichkeit der Beklagten in Abgrenzung zu Dritten und zu möglichen Rechtfertigungen der Datenverarbeitung nach Art. 6 und 9
bewertet werden. Dies bedarf aber nicht der detaillierten Benennung einzelner vom Kläger besuchter Webseiten, auf denen die "M Business Tools" potentiell aktiv sind. Denn unstreitig ist auf 30 - 40 % aller Webseiten schon allein der "M Pixel" aktiv, so dass ein durchschnittlicher Internetnutzer, wie der Kläger nicht zuletzt anhand seiner Schilderungen in der persönlichen Anhörung einer ist, mit diesem im Laufe des streitgegenständlichen Zeitraums zwingend unzählige Male in Berührung kommt und dabei von Datenübermittlungen betroffen ist. Die grundsätzliche Betroffenheit des Klägers von den "M Business Tools" ist damit zweifelsfrei gegeben, was ausreicht, um die Frage der grundsätzlichen Rechtmäßigkeit der Implementierung dieser Funktionen zu beantworten und dabei die Abgrenzung der Verantwortlichkeiten rechtlich zu definieren. Randnummer 176 Die Begrenzung der Darlegungspflichten des Klägers schränkt die Verteidigungsrechte der Beklagten nicht wesentlich ein. Sie korrespondiert vielmehr damit, wie nach der Regelungssystematik der
die Darlegungs- und Beweislast überhaupt zu verteilen ist. Nach Art. 5 Abs. 2
ist der Verantwortliche für die Einhaltung der Pflichten nach Art. 5 Abs. 1
, worunter nach dessen lit. a auch die Rechtmäßigkeit der Datenverarbeitung gehört, verantwortlich und nachweispflichtig. Die Rechtmäßigkeit des "Ob" der Verarbeitung personenbezogener Daten legen Art. 6
und - für besondere Kategorien solcher Daten - Art. 9
fest. Auf welchen der dort niedergelegten einzelnen Rechtfertigungsgründe sich eine Datenverarbeitung stützt, muss der Verantwortliche belegen. Soweit dies eine Einwilligung des Betroffenen nach Art. 6 Abs. 1 lit. a
sein soll, stellt Art. 7 Abs. 1
nochmals explizit klar, dass den Verantwortlichen ebenfalls die Nachweispflicht zum Vorliegen einer wirksamen Erteilung trifft. Randnummer 177 Wegen der - im Einzelnen nachstehend begründeten - Verantwortlichkeit der Beklagten für die Rechtmäßigkeit ihrer Verarbeitung der von Dritten an sie übermittelten personenbezogene Daten muss sie für sämtliche der zum klägerischen I-Profil zugeordneten und gespeicherten personenbezogenen Daten, gleich ob sog. HTTP-Standard- oder Aktivitätsdaten, nachweisen, dass ein Rechtfertigungsgrund vorliegt. Dies ist letztlich Ausfluss der Regelungskonstruktion des Art. 6
, der ein datenschutzrechtliches Verbot mit Erlaubnisvorbehalt bzw. ein "Verbotsprinzip" etabliert (vgl. Kühling/Buchner/Buchner/Petri,
, Art. 6 Rn. 1; Paal/Pauly/Frenzel,
, Art. 6 Rn. 1; Plath/Plath,
/BDSG/TTDSG, Art. 6 Rn. 2; NK-DatenschutzR/Albrecht Einf. Art. 6 Rn. 1; BeckOK DatenschutzR/Albers/Veit, 54. Ed. 1.8.2025,
11). Würde man - wie die Beklagte und mit ihr das Landgericht meint - zunächst dem von der Datenverarbeitung Betroffenen auferlegen, seine gesamte Internet-Nutzung für den streitgegenständlichen Zeitraum offenzulegen, bevor man die Beklagte in der Pflicht sieht, im Einzelnen zu den von ihr verarbeiteten personenbezogenen Daten und möglichen Rechtfertigungsgründen vorzutragen, wäre dieses Prinzip weitgehend ins Gegenteil verkehrt. Dies gilt erst Recht für die Auffassung der Beklagten, der Kläger lasse nachvollziehbaren Sachvortrag darüber vermissen, gegen welchen Verarbeitungszweck er sich im Einzelnen überhaupt wende, was sie sodann zum Anlass nimmt, zur "streitgegenständlichen Datenverarbeitung" allein jene zu erklären, die ihren Zweck in der Bereitstellung personalisierter Werbung hat. Nach der vorstehenden Regelungskonzeption ist es gerade nicht an dem von einer Datenverarbeitung Betroffenen, mögliche Verarbeitungszwecke der Datenverarbeitung zu benennen, gegen die er sich wehren will, sondern das materielle Recht verlangt einzig vom Verantwortlichen, im Vorfeld der Verarbeitung personenbezogener Daten das Vorliegen eines Rechtfertigungsgrundes positiv festzustellen und das im Streitfall dann auch nachweisen zu können. Randnummer 178 Nach alledem ist es prozessual zulässig, dass sich der Kläger für die eigene Betroffenheit auf die stichprobenhafte Ermittlung der Verwendung von "M Business Tools" auf bekannten Webseiten und eine Verbreitung von 30 - 40 % im gesamten Internet stützt, ohne seinen Internetkonsum näher darzulegen (so auch OLG München, Urteil vom 18. Dezember 2025 – 14 U 1068/25 e –, Rn. 262, juris; OLG Dresden, Urteil vom 3. Februar 2026 – 4 U 292/25 –, Rn. 147, juris).
jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Nach der Rechtsprechung des EuGH ist hier ein weites Verständnis zugrunde zu legen. So ist es für die Annahme einer Verantwortlichkeit nicht erforderlich, dass die betreffende Person selbst personenbezogene Daten betreffende Verarbeitungsvorgänge durchgeführt hat; es genügt, dass sie an der Entscheidung über die Zwecke und Mittel der über eine Anwendung vorgenommenen Verarbeitung personenbezogener Daten mitgewirkt hat (EuGH Urt. v. 5.12.2023 – C-683/21, BeckRS 2023, 34702 Rn. 38). Ausreichend ist demnach eine aus Eigeninteresse erfolgte Einflussnahme auf die Mittel und Zwecke der Datenverarbeitung (EuGH Urt. v. 7.3.2024 – C-604/22, GRUR-RS 2024, 3638 Rn. 61). Verantwortlicher ist somit, wer über das "Warum" und "Wie" der Datenverarbeitung (mit-) entscheidet (BeckOK DatenschutzR/Spoerr, 54. Ed. 1.11.2025,
18). Randnummer 181 Unstreitig empfängt die Beklagte personenbezogene Daten des Klägers, die in von ihm genutzten Apps und Webseiten mit den "M Business Tools" der Beklagten anfallen. Sie speichert diese Daten auf ihren Servern unter Zuordnung zum Nutzerprofil des Klägers und verarbeitet sie in nicht näher spezifiziertem Umfang zu Werbe- und andere Zwecken weiter. Ihre Verantwortlichkeit ist damit zweifelsfrei gegeben, wobei es im Rahmen des Löschungsanspruchs ohnehin allein auf die Verantwortlichkeit für Speicherung und (Weiter-)Verarbeitung ankommt und nicht auf die vorgelagerten Vorgänge. Randnummer 182 Die Speicherung und (Weiter-)Verarbeitung nimmt die Beklagte auch nicht lediglich als Auftragsverarbeiter im Sinne von Art. 28
für Dritte wahr. Randnummer 183 Sie ist es selbst, die durch die Programmierung ihrer Tools allein über den Umfang der Möglichkeiten Dritter bestimmt, welche personenbezogenen Daten überhaupt erfasst werden können. Sie allein ist damit Herrin über das Mittel der Datenverarbeitung. Auch den Zweck der Datenverarbeitung bestimmt im Wesentlichen sie, indem sie ihre "M Business Tools" maßgeblich damit bewirbt, die Effizienz von Werbemaßnahmen Dritter auf ihren Plattformen steigern zu können, was zugleich dem eigennützigen Zweck dient, die Attraktivität dieser Plattformen als Werbemedium überhaupt zu fördern und damit die eigene Profitabilität. Randnummer 184 Soweit die Beklagte dem entgegenhält, sie entscheide nicht selbst, ob ihre "Business Tools" auf einer Drittwebsite oder -app installiert werden, welche Daten mit deren Hilfe übermittelt werden und ob oder wie Drittunternehmen ihre Verpflichtungen zur Einholung einer Einwilligung erfüllen, lässt dies die Verantwortlichkeit nach dem maßgeblichen weiten Normverständnis des EuGH nicht entfallen. Die Beklagte verschweigt bei ihrer Argumentation letztlich auch den entscheidenden Aspekt, dass sie sämtliche über ihre "M Business Tools" erfassten personenbezogenen Daten empfängt und mit den bei ihr hinterlegten Nutzerkonten verknüpft. Daran, dass spätestens damit ihre Verantwortlichkeit begründet wird, kann kein vernünftiger Zweifel bestehen. Randnummer 185 Soweit die Beklagte hier einen Widerspruch zum Urteil des EuGH vom
mit Wirkung für die Rechte Betroffener zu disponieren. Maßgeblich sind insoweit nicht die vertraglichen Bezeichnungen der Rollen, sondern die anhand der Regelungen der
zu bewertenden tatsächlichen Verhältnisse (Kühling/Buchner/Hartung, 4. Aufl. 2024,
27; Gerlach, CR 2020, 165, 167). Diese ergeben eine umfassende und alleinige Entscheidungsbefugnis der Beklagten darüber, ob und wenn ja welche personenbezogenen Daten mittels ihrer Tools erfasst und an sie übermittelt werden können und sodann von ihr gespeichert und weiterverarbeitet werden. Entsprechend behält sich die Beklagte gegenüber Dritten auch das Recht vor jederzeit deren Zugriff auf die "M Business Tools" zu ändern, auszusetzen oder zu beenden (Ziff. 4 lit. a der Nutzungsbedingungen, Anlage B 5, Bl. 60 Anlagenheft Beklagte 1. Inst.). Insbesondere eine solche Befugnis schließt es aus, sie lediglich als Auftragsverarbeiterin einzuordnen. Randnummer 187 Allenfalls kommt eine gemeinsame Verantwortlichkeit der Beklagten mit Dritten im Sinne von Art. 26 Abs. 1
in Betracht, ohne dass dies Auswirkungen auf den Löschungsanspruch hat. Denn wie Art. 26 Abs. 3
ausdrücklich regelt, werden durch eine gemeinsame Verantwortlichkeit nicht die Möglichkeiten Betroffener eingeschränkt, ihre Recht gegenüber jedem der so gemeinsam Verantwortlichen geltend zu machen. Randnummer 188 Im Übrigen erkennt die Beklagte in ihren Nutzungsbedingungen - anders als in ihrem prozessualen Vortrag - ihre eigene Verantwortlichkeit für in den Anwendungsbereich der
fallenden personenbezogenen Daten ab dem Zeitpunkt nach Übermittlung ausdrücklich an (Nr. 5 lit. a. ii. der Nutzungsbedingungen, Anlage B 5, Bl. 60 Anlagenheft Beklagte 1. Inst.).
, der erschöpfend und abschließend die Fälle regelt, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann (EuGH, Urteil vom 4.5.2023 – C-60/22, ZD 2023, 606 Rn. 56 f.). (aa) Randnummer 191 Die Darlegungs- und Beweislast für diese Rechtfertigung obliegt nach den vorstehenden Ausführungen allein der Beklagten. Dies gilt umfassend und entgegen der Auffassung der Beklagten nicht in Abhängigkeit vom klägerischen Vorbringen zu spezifischen Verarbeitungszwecken, gegen die dieser sich wenden will. Randnummer 192 Erstinstanzlich hat sich die Beklagte darauf gestützt, die "streitgegenständliche Datenverarbeitung" auf der Grundlage einer Einwilligung vorzunehmen, wobei "streitgegenständlich" nach ihrem - durch den vom Kläger vorgegebenen Prozessstoff nicht gedeckten - Verständnis nur die Datenverarbeitung zum Zweck der Bereitstellung personalisierter Werbung sein sollte, für die aber der Kläger unstreitig keine Einwilligung erteilt hatte. Für andere Rechtfertigungsgründe als jenen der Einwilligung sieht sich die Beklagte primär als nicht darlegungbelastet an, weil sie meint, der Kläger müsse zuvor spezifizieren, gegen welche anderen Verarbeitungszwecke er sich überhaupt wende. Randnummer 193 Ein solches Verständnis verkennt die sich aus der datenschutzrechtlichen Verpflichtung der Beklagten, Daten nur nach Maßgabe eindeutiger und im Vorfeld festgelegter Zwecke zu verarbeiten (vgl. Art. 5 Abs. 1 lit. b
), ergebende prozessuale Folge der bei ihr liegenden Darlegungs- und Beweislast. Der Kläger hat unmissverständlich zum Ausdruck gebracht, dass er die gesamte Datenverarbeitung der Beklagten in Frage stellt, welche darauf beruht, dass Dritte ihr über die "M Business Tools" die im Antrag zu 1. im Einzelnen aufgelisteten personenbezogenen Daten über den Kläger übermitteln, die die Beklagte sodann speichert und seinem Profil bei "I" zuordnet. Es trifft zwar zu, dass eine nähere Prüfung des Vorliegens eines Rechtfertigungsgrundes nach Art. 6 Abs. 1
regelmäßig die Auseinandersetzung mit dem jeweiligen Verarbeitungszweck erfordert, weil die Zweckbindung nach Art. 5 Abs. 1 lit. b
einen zentralen datenschutzrechtlichen Grundsatz darstellt, an dem sich jede Datenverarbeitung messen lassen muss (vgl. BeckOK DatenschutzR/Schantz, 54. Ed. 1.11.2021,
13). Daraus folgt aber nicht, dass der Betroffene der Datenverarbeitung eine Prüfung der Rechtmäßigkeit nur verlangen kann, wenn er selbst näher darlegt, welche Verarbeitungszwecke er im Einzelnen für unzulässig hält bzw. zu welchen Zwecken seiner Auffassung nach eine Datenverarbeitung im Einzelnen nicht erfolgen darf. Eine solche Verlagerung der Darlegungslast auf den Betroffenen wäre mit Art. 5 Abs. 2
nicht vereinbar, welcher den Grundsatz aufstellt, dass der Verantwortliche die Einhaltung der datenschutzrechtlichen Grundsätze nach Art. 5 Abs. 1
, zu dem auch die Zweckbindung gehört, nachweisen können muss. Es obliegt allein ihm, die Zwecke, zu denen er Daten verarbeitet, im Einzelnen näher zu spezifizieren, wobei dies grundsätzlich vor der Verarbeitung der Daten erfolgen muss (BeckOK DatenschutzR/Schantz, 54. Ed. 1.11.2021,
14). (bb) Randnummer 194 Soweit die Beklagte - nach ihrer Rechtsauffassung nur vorsorglich - zur Rechtfertigung jenseits der hier unstreitig nicht in Betracht kommenden Einwilligung nach Art. 6 Abs. 1 lit. a
vorträgt, lässt sich daraus die Rechtmäßigkeit ihrer Datenverarbeitung nicht ableiten. Dies gilt auch unter Einbeziehung der erstmals im Berufungsverfahren mit Schriftsätzen vom 05.
prüft, kommt eine Rechtfertigung nicht in Betracht (so auch OLG München, Urteil vom 18. Dezember 2025 – 14 U 1068/25 e –, Rn. 276 ff., juris): Randnummer 197 Nach Art. 6 Abs. 1 lit. b
ist eine Datenverarbeitung rechtmäßig, die für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Die Beklagte gibt hier aus der Datenschutzrichtlinie lediglich die Leerformel wieder, dass die Verarbeitung der Informationen erfolge, die zur Erfüllung des Vertrages über die Bereitstellung ihrer Dienste für den Nutzer erforderlich sei und bei einem Klick auf "Mehr erfahren" detailliertere Informationen hierzu gegeben würden. Dies vermag die Datenverarbeitung über die "M Business Tools" nicht zu rechtfertigen, da schon im Ansatz jede Erläuterung fehlt, warum es zur Bereitstellung der Funktionen von "I" erforderlich sein könnte, Daten über die außerhalb dieses Netzwerks stattfindende Internet-Nutzung des Klägers in dem dargestellten Umfang zu erfassen und zu inventarisieren. Der EuGH hat sich in dem vorstehenden Vorlageverfahren M vs. Bundeskartellamt, welches auch und gerade die "M Business Tools" betrifft, auch zur Auslegung des Art. 6 Abs. 1 lit. b
geäußert und dabei strenge Maßstäbe an die Berufung auf die Vertragserfüllung angelegt. Eine Verarbeitung personenbezogener Daten kann nur dann als für die Erfüllung eines Vertrags erforderlich angesehen werden, wenn sie objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte (EuGH, Urt. v. 4.7.2023 – C-252/21, Rn. 98, 99, GRUR 2023, 1131). Hierzu hat die Beklagte nicht ansatzweise ausgeführt, was zur Folge hat, dass sie ihre Verarbeitung der mittels "M Business Tools" gewonnenen personenbezogenen Daten des Klägers nicht über diesen Tatbestand zu rechtfertigen vermag. Randnummer 198 Nichts anderes gilt für Art. 6 Abs. 1 lit. c
, der eine Verarbeitung erlaubt, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Gemeint ist hier eine Verpflichtung kraft Rechts der Union oder eines Mitgliedstaates, wie Art. 6 Abs. 3 UAbs. 1
ausdrücklich klarstellt. Diese aus einer Vorschrift des objektiven Rechts abzuleitende rechtliche Verpflichtung muss sich unmittelbar auf die Datenverarbeitung beziehen (BeckOK DatenschutzR/Albers/Veit, 54. Ed. 1.8.2025,
48). Hierauf kann sich die Beklagte nicht berufen, mag sie den Rechtfertigungsgrund in ihren Datenschutzbestimmungen auch heranziehen. Denn es besteht selbstredend keine Verpflichtung, personenbezogene Daten der Nutzer ihrer sozialen Netzwerke, die bei der Nutzung des Internets außerhalb dieser sozialen Netzwerke anfallen, anlassunabhängig zu sammeln und zu speichern. Eine dahingehende Norm nennt die Beklagte denn auch nicht. Dass die Beklagte im Einzelfall, etwa im Rahmen strafrechtlicher Ermittlungen, verpflichtet sein kann, Informationen, die ihr bereits vorliegen und zu denen auch solche gehören können, die sie über die "M Business Tools" erlangt hat, herauszugeben, begründet keine Rechtfertigung, solche Daten schon im Vorfeld anlasslos zu erfassen. Randnummer 199 Keiner näheren Erörterung bedarf der Rechtfertigungsgrund nach Art. 6 Abs. 1 lit. d
, der eine Datenverarbeitung erlaubt, welche erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen. Er wird zwar von der Datenschutzrichtlinie der Beklagten erwähnt, aber es ist unabhängig von dem fehlenden konkretisierenden Sachvortrag der Beklagten mehr als fernliegend, dass das anlasslose Sich-Übermitteln-Lassen personenbezogener Daten für den Schutz hochrangiger Rechtsgüter erforderlich sein könnte. Ebenfalls fernliegend ist eine Rechtfertigung nach Art. 6 Abs. 1 lit. e
, der die Wahrnehmung von Aufgaben im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt betrifft. Randnummer 200 Weiter meint die Beklagte unter Verweis auf ihre Datenschutzrichtlinie, ihre nicht durch Einwilligungen gedeckte Verarbeitung der durch die "M Business Tools" erfassten personenbezogenen Daten auf Art. 6 Abs. 1 lit. f
stützen zu können, der die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen erlaubt. Die Datenschutzrichtlinie nennt hierzu "die Bereitstellung eines innovativen, personalisierten, sicheren und profitablen Dienstes und die Reaktion auf rechtliche Anfragen". Die Beklagte erläutert diesbezüglich beispielhaft zum Thema Sicherheit, dass sie die von Dritten erhaltenen Daten nutze, um Risiken von Spam-, Scraping- oder anderen Cyberangriffen zu minimieren. Dieser Sachvortrag legt schon nicht nachvollziehbar dar, inwiefern die "M Business Tools" tatsächlich ein Instrument zur Erhöhung der Cybersicherheit auf Seiten der Server- und sonstigen Infrastruktur der Beklagten sind. Ihr Zweck ist - wie die Beklagte selbst in ihrer Beschreibung der Tools (Anlage B 3, Bl. 21 Anlagenheft Beklagte 1. Inst.) zum Ausdruck bringt - die zur Steigerung von Reichweite und Werbeerfolg erfolgende Verbindung zwischen ihren Systemen und Webseiten und Apps Dritter. Um überhaupt denkbar unter diesen Rechtfertigungsgrund fallen zu können, müsste die Gewährleistung von Cybersicherheit schon zum Zeitpunkt der Datenübermittlung Dritter an die Beklagte der maßgebliche Zweck dieser Datenverarbeitung sein. Nicht ausreichend wäre hingegen, wenn sich die Beklagte diese Daten zu zunächst anderen Zwecken übermitteln lässt und sie dann zu einem späteren Zeitpunkt auch nützlich sein könnten, um Cyberangriffe zu identifizieren und abzuwehren. Denn eine Datenbevorratung ohne Vorabfestlegung des Zwecks ist nach Art. 5 Abs. 1 lit. b
mit dem Grundsatz der Zweckbindung unvereinbar. Gleiches gilt für den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c
(so auch OLG München, Urteil vom 18. Dezember 2025 – 14 U 1068/25 e –, Rn. 275, juris). Randnummer 201 Soweit die Beklagte daneben in ihrer Datenschutzerklärung auf Innovation, Personalisierung und Profitabilität ihres Dienstes abstellt, vermag dies ebenfalls kein die Datenschutzinteressen des Klägers überwiegendes berechtigtes Interesse der Beklagten zu begründen. Der EuGH hat in der vorstehenden Entscheidung M vs. Bundeskartellamt ausgeführt, dass die Interessen und Grundrechte der Nutzer gegenüber dem Interesse des Betreibers an einer profitabilitätssteigernden Personalisierung von Werbung überwiegen und damit Art. 6 Abs. 1 lit. f
nicht herangezogen werden kann (EuGH, aaO, GRUR 2023, 1131 Rn. 117). Produktverbesserung kann nach vorstehender Entscheidung zwar denkbar ein berechtigtes Interesse sein. Es ist allerdings zweifelhaft, ob das Ziel der Produktverbesserung Vorrang vor den Interessen und Grundrechten des Nutzers haben kann (EuGH, aaO, GRUR 2023, 1131 Rn. 123). Hier lässt die Beklagte schon im Ansatz jeden Vortrag dazu vermissen, dass und wieso sie darauf angewiesen sein könnte, in dem streitgegenständlichen Umfang die Internet-Nutzung der Nutzer ihrer Netzwerke zu erfassen, um das eigene Angebot zu verbessern. Mangelt es demnach schon an der Erforderlichkeit, bedarf es keiner Abwägung zwischen ihren und den Interessen ihrer Nutzer (vgl. zur Erforderlichkeit als eigenständiges, vor der Abwägung zu prüfendes, Element BeckOK DatenschutzR/Albers/Veit, 54. Ed. 1.8.2025,
N). Randnummer 202 Schließlich kann ein überwiegendes Interesse der Beklagten auch nicht auf die ebenfalls in der Datenschutzrichtlinie erwähnte "Reaktion auf rechtliche Anfragen". Hierzu hat der EuGH ausgeführt, dass ein Ziel Strafverfolgungs- und Strafvollstreckungsbehörden zu informieren, um Straftaten zu verhindern, aufzudecken und zu verfolgen, kein berechtigtes Interesse darstellen kann, da sich ein privater Wirtschaftsteilnehmer wie M nicht auf ein berechtigtes Interesse berufen kann, das mit seiner wirtschaftlichen und kommerziellen Tätigkeit nichts zu tun hat (EuGH aaO, GRUR 2023, 1131 Rn. 124, beck-online). (cc) Randnummer 203 Eine Rechtfertigung der Datenverarbeitung scheidet im Ergebnis ebenfalls aus, soweit die Beklagte in ihren Schriftsätzen vom 05.01. und 30.01.2026 erstmalig näher dazu ausführt, dass und warum die aus "M Business Tools" übermittelten und gespeicherten personenbezogenen Daten für Zwecke der Sicherheit und Integrität der M-Plattformen genutzt würden, woraus sich eine Rechtfertigung nach Art. 6 Abs. 1 lit. b und f
, d.h. aus Gründen der Vertragserfüllung und wegen Bestehens eines überwiegenden Interesses ergeben soll. Randnummer 204 Festzuhalten ist zunächst, dass die Beklagte mit diesem Vortrag eindeutig einräumt, dass sie die Speicherung und Weiterverarbeitung der ihr über ihre "M Business Tools" übermittelten Daten durchgehend vornimmt und dabei keine Rolle spielt, ob Nutzer die Einstellung "M-Cookies auf anderen Apps und Websites" deaktivieren und damit selbst gegenüber der Beklagten gerade kein Einverständnis zum Ausdruck bringen, Informationen über ihre außerhalb der Plattformen der Beklagten stattfindende Internetnutzung preiszugeben. Die Beklagte nimmt damit unterschiedlos sämtliche übermittelten personenbezogenen Daten entgegen und speichert diese. Ein Abgleich mit den Einstellungen des Betroffenen auf der Plattform oder auf der Webseite des Dritten wird nicht vorgenommen, spielt für die Speicherung also keine Rolle. Relevant wird die Einstellung des Nutzers im I-Profil erst, soweit es um die Bereitstellung personalisierter Werbung geht. Nutzer, die "M-Cookies" erlauben, bekommen personalisierte Werbung angezeigt. Jene, die sie ablehnen, bekommen zwar keine personalisierte Werbung, die Beklagte verfügt aber über denselben Umfang an personenbezogenen Daten, mithin über dieselben Informationen, die etwa zur Erstellung eines genauen Persönlichkeitsprofils genutzt werden könnten. Randnummer 205 Dass letzteres stattfindet, verneint die Beklagte zwar und behauptet, die unterschiedlos gesammelten Daten nur zu Sicherheits- und Integritätszwecken zu verwenden, wobei es um die Kategorien einer Störung der M-Netzwerke von außen, eines Missbrauchs einzelner Nutzerkonten und die Fehlerbehebung geht. Randnummer 206 Eine dahingehende Rechtfertigung dieser anlass- und unterschiedlosen Datenverarbeitung sämtlicher Nutzerprofile kommt im Ergebnis aber nicht in Betracht. Auch die näher erläuterten Sicherheitsaspekte sind zum Zeitpunkt der Datenübermittlung Dritter an die Beklagte nicht der maßgebliche Zweck der Datenverarbeitung. Vielmehr geht es um Effizienzsteigerungen bei Werbemaßnahmen und die dadurch geförderte Profitabilität der Beklagten sowie ihrer Werbekunden. Dies zeigt sich ausdrücklich etwa in den Nutzungsbedingungen für die "M Business Tools", in denen es einleitend zum Hintergrund heißt, dass es sich bei M-Pixel, Conversions API und anderen Tools um Werbeprodukte handelt (S. 1 der Nutzungsbedingungen, Anlage B 5, Bl. 57 d.A.). Folgt man der Argumentation der Beklagten, liegt eine Datenbevorratung ohne Vorabfestlegung des Zwecks vor, die nach dem Grundsatz der Zweckbindung gem. Art. 5 Abs. 1 lit. b
jedoch unzulässig ist. Randnummer 207 Aber auch unabhängig davon fehlt die Erforderlichkeit im Sinne von Art. 6 Abs. 1 lit. b bzw. lit. f
. Nach der Rechtsprechung des EuGH ist sowohl im Rahmen des Erlaubnistatbestandes der Vertragserfüllung wie auch der berechtigten Interessen eine enge Auslegung des Begriffs der Erforderlichkeit vorzunehmen. Bei der Vertragserfüllung muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist (EuGH aaO, GRUR 2023, 1131 Rn. 126). Ähnliches gilt im Rahmen des Art. 6 Abs. 1 lit. f.
, bei dem eine Datenverarbeitung dann erforderlich ist, wenn sie innerhalb der Grenzen dessen erfolgt, was unbedingt notwendig ist, um die berechtigten Interessen zu verwirklichen (EuGH aaO, GRUR 2023, 1131 Rn. 126). Randnummer 208 Nach diesen Maßstäben lässt sich dem Vorbringen nicht entnehmen, warum ohne die streitgegenständliche Datenverarbeitung die beschriebenen Schad- und Angriffsszenarien nicht abgewehrt werden können bzw. die Beklagte nicht in der Lage wäre, ihren Nutzern die jeweilige Plattform im geschuldeten Umfang darzubieten. Wenn etwa herausgehoben wird, dass atypische Verhaltensmuster bei Empfangsraten und anomale Geräte-/Netzwerkaktivitäten erkannt werden müssten, um Störungen der Dienste zu vermeiden, bleibt die Beklagte eine nähere Beschreibung schuldig, warum sie hierfür Kenntnisse über das genaue Internet-Nutzungsverhalten ihrer Kunden in dem beschriebenen Umfang benötigt. Dies gilt auch für die anderen beschriebenen Sicherheits- und Bedrohungsszenarien. Die Beklagte vermag noch darzulegen, warum es für sie nützlich ist, ihre Nutzer und ihr Verhalten möglichst genau zu kennen. Dies ist aber nicht zu verwechseln mit einer objektiven Notwendigkeit. Insoweit kann die Beklagte ihr Vorgehen gerade nicht deshalb als alternativlos darstellen, weil Personen mit missbräuchlichen Absichten ohne Prüfung anhand der "M Business Tools"-Daten leichter gefälschte Konten erstellen könnten. Mit diesem Argument könnte letztlich jeder Digital-Dienstleister eine Protokollierung der Internetnutzung seiner Kunden rechtfertigen, weil dies die verlässlichste Methode darstellt, um festzustellen, ob man es mit echten Personen ohne missbräuchliche Absichten zu tun hat. Randnummer 209 Ebenso unbehelflich ist es, wenn die Beklagte meint, gar nicht präziser vortragen zu können, weil gefährliche Akteure ausgefeilte und sich ständig ändernde Techniken einsetzen würden, um ihre Ziele zu verfolgen, und kontinuierlich versuchen würden, die Methoden der Beklagten zur Aufdeckung ihrer Aktivitäten nachzuvollziehen, um einer Entdeckung zu entgehen. Denn es ist missbräuchlichen und kriminellen Verhaltensweisen im Internet immanent, dass sie sich in Abhängigkeit von Sicherheitsroutinen der angegriffenen Unternehmen stetig weiterentwickeln und neue Schwachstellen suchen. Würde man diese Argumentation genügen lassen, könnte eine Datenverarbeitung stets mit Sicherheitsinteressen begründet werden, ohne dass der Verantwortliche die Notwendigkeit im Einzelnen nachvollziehbar belegen müsste. Eine mit dem Effektivitätsgrundsatz und der Rechtsprechung des EuGH zu Art. 6 Abs. 1
nicht zu vereinbarende Aushöhlung des Erforderlichkeitskriteriums wäre die Folge. Randnummer 210 Das neue Vorbringen kann der Beklagten schließlich auch deshalb nicht zum Erfolg verhelfen, weil sie sich nicht in der Lage sieht, die Dauer der Speicherung der "M Business Tools" – Daten im Einzelnen darzulegen und die Notwendigkeit diesbezüglich zu begründen. Soweit hierzu überhaupt Vortrag erfolgt, bezieht er sich auf Fälle, in denen es zu sicherheitsbezogenen Untersuchungen eines Benutzerkontos kommt. Aufbewahrungsfristen für die "M Business Tools"-Daten in Gänze bleiben damit unklar - jenseits der Frage, warum etwa die Information, dass ein Nutzer vor mehreren Jahren eine Webseite zu problematischem Alkoholkonsum besucht hat, für Sicherheitszwecke überhaupt von Bedeutung sein könnte. Randnummer 211 Letztlich ist der gesamte - ohnehin in seinem tatsächlichen Kern nicht unter Beweis gestellte - jüngste Vortrag weder in technischer Hinsicht noch in Anbetracht der Historie und des eigentlichen Zwecks der "M Business Tools" - eine präzise Erfassung der Internetnutzung individueller Personen zu Werbezwecken - nachvollziehbar. Wäre es tatsächlich so, wie die Beklagte behauptet, könnte sie also ihren Kunden "eine sichere Plattform" nur unter der Bedingung der Aufzeichnung ihres sonstigen Internetkonsums bieten, müsste sie dies ihren Kunden bei Erstellung eines Nutzerprofils oder - soweit dieses schon länger besteht als die "M Business Tools" - mit Einführung der "M Business Tools" unter Einhaltung der Art. 12, 13
in präziser, transparenter und verständlicher Form und Sprache kommunizieren. Dies war und ist aber nicht ansatzweise der Fall, vielmehr wird gegenüber den Nutzern stets der Eindruck erweckt, diese hätten durch die bereitgestellten Einstellungsmenüs sowie neuerdings auch durch Abschluss eines kostenpflichtigen Abomodells die volle Kontrolle darüber, in welchem Umfang ihre personenbezogenen Daten durch die Beklagte verarbeitet werden. Entsprechend ist zu konstatieren, dass es sich auch bei der Argumentation zum Sicherheitszweck wie bei jenem zur "streitgegenständlichen" Datenverarbeitung um den - letztlich durchsichtigen - Versuch handelt, von der Rechtswidrigkeit eines den Grundprinzipien des europäischen Datenschutzrechts, namentlich der Transparenz, der Zweckbindung, der Datenminimierung und der Rechenschaftspflicht grundlegend widersprechenden Systems einer anlasslosen Datensammlung abzulenken. bb) Randnummer 212 Ein Ausschlussgrund nach Art. 17 Abs. 3
, welcher einem Anspruch nach Abs. 1 ausnahmsweise entgegenstehen könnte, besteht vorliegend nicht. Es wäre an der Beklagten, diesbezüglich vorzutragen, wobei ersichtlich keiner der Ausschlusstatbestände ernsthaft in Betracht kommt. b) Randnummer 213 Dem Löschungsanspruch stehen die im I-Account von der Beklagten bereitgestellten Löschungsmöglichkeiten nicht entgegen. Insbesondere muss sich der Kläger nicht auf diese verweisen lassen. Randnummer 214 Zum einen ist Art. 17 Abs. 1
als Recht des Betroffenen und damit korrespondierende Pflicht des Verantwortlichen konzipiert, dass letzterer die personenbezogenen Daten löscht. Eine Delegation der Verpflichtung auf den Betroffenen selbst ist damit nicht vereinbar. Randnummer 215 Unabhängig davon ist das sog. "Self-Service"-Tool" aber auch nicht zur Erfüllung des Löschungsanspruchs im bestehenden Umfang geeignet. Randnummer 216 Die Beklagte trägt vor, in den Einstellungen bei "Deine Aktivitäten außerhalb der M Technologien" könne man die mit dem Nutzerkonto verknüpften von Drittwebseiten oder Apps stammenden Informationen "trennen" und so die Speicherung der über die "M Business Tools" von Dritten übermittelten Daten unter Verknüpfung mit dem Nutzerkonto für die Zukunft unterbinden und für die Vergangenheit entfernen. Randnummer 217 Der Kläger hat auf diesen Einwand repliziert, dass damit nur die Möglichkeit verschaffen werde, seine personenbezogenen Daten zu pseudonymisieren, was er mit Auszügen aus einer technischen Information näher erläutert. In dieser wird beschrieben, dass bei einer Trennung durch die Generierung eines neuen zufälligen "Identifier" namens MID verhindert werde, dass die Aktivitätsdaten durch die Systeme dem Nutzer zugeordnet werden können. Dabei behalte sich die Beklagte bei bestimmten Aktivitäten indes vor, "eine limitierte Menge an markierten Daten für längere Zeit zu erhalten" (Anlage K 19, Bl. 392 d. Anlagenheft Kläger, deutsche Übersetzung Bl. 238 f. d. A. 1. Inst.). Die darlegungs- und beweisbelastete Beklagte ist hierauf nicht näher eingegangen und hat insbesondere
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.