Rubrum Amtsgericht Hamburg-Barmbek Urteil IM NAMEN DES VOLKES In dem Rechtsstreit ... - Kläger - Prozessbevollmächtigte: ... gegen ... - Beklagte - Prozessbevollmächtigte: ... erkennt das Amtsgericht Hamburg-Barmbek - Abteilung 816 - durch die Richterin am Amtsgericht ... auf Grund der mündlichen Verhandlung vom 07.07.2020 für Recht: Tenor 1. Die Klage wird abgewiesen. 2. Der Kläger hat die Kosten des Rechtsstreits zu tragen. 3. Das Urteil ist vorläufig vollstreckbar. Der Kläger kann die Vollstreckung der Beklagten durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110 % des zu vollstreckenden Betrags leistet. Beschluss: Der Streitwert wird auf 1.200,00 € festgesetzt. Tatbestand Der Kläger begehrt Ersatz immaterieller Schäden sowie die Feststellung der Ersatzpflicht künftiger materieller und immaterieller Schäden wegen einer behaupteten Datenschutzverletzung. Der Kläger war bei dem Prämienprogramm der Beklagten "MasterCard Priceless Specials" registriert. Die Plattform und Website wurde durch den Service-Provider "Brain Behind" als Auftragsverarbeiter betrieben. Im August 2019 kam es dazu, dass Daten von etwa 90.000 Teilnehmern des Prämienprogramms im Internet öffentlich zugänglich gemacht wurden (im Folgenden "Datenschutzvorfall"). Die veröffentlichten Daten enthielten nach den Berichten der "Wirtschaftswoche" vom 19.08.2019 Kreditkartennummern, bei denen jedoch ein Teil der Ziffemfolge nicht erkennbar war, Geburtsdaten, Adresse, Mail-Adresse und in einigen Fällen Handynummern, siehe Anlage K 1. Später soll eine weitere Liste mit vollständigen Kreditkartennummern im Internet kursiert haben, siehe den Bericht der "Computer Bild" vom 22.08.2019, Anlage K 2. Von der Veröffentlichung betroffen waren nach dem so genannten Identity Leak Checker des Hasso-Plattner-Instituts Vor- und Zuname, Geburtsdatum, Anschrift und Kreditkartennummer des Klägers. Nach Bekanntwerden des Datenschutzvorfalls leitete die Beklagte sofort Maßnahmen zur Wiederherstellung der Datensicherheit ein, insbesondere wurde die Plattform deaktiviert, so dass ein Zugriff auf die Plattform nicht mehr möglich war bzw. ist. Zudem ließ die Beklagte von Betreibern von Internetseiten, von denen ihr bekannt wurde, dass sie die Daten veröffentlicht haben, die veröffentlichten Daten entfernen, kennzeichnete die betroffenen Kreditkartennummern in ihrem System als potentiell betrügerisch und bot allen Programmteilnehmern ein Jahr lang kostenlos einen Dienst zum Schutz vor Identitätsdiebstählen an. Zudem ermöglichte die Beklagte jedem Programmteilnehmer die kostenlose Ausstellung einer neuen Kreditkarte über dessen Bank. Der Kläger forderte die Beklagte vorgerichtlich erfolglos zur Zahlung von immateriellem Schadensersatz in Höhe von 1.000,00 Euro auf. Hinsichtlich der Korrespondenz zwischen den Parteien wird auf die Anlagen K 3 bis K 8 verwiesen. Der Kläger meint, bei einem Hackerangriff seien typischerweise Pflichten aus Art. 32 DS-GVO verletzt. Eine Schadensersatzpflicht bestehe, da sehr sensible personenbezogene Daten betroffen seien und das informationelle Selbstbestimmungsrecht verletzt sei. Mit der Kreditkartennummer sei ein Einkauf in Online-Shops möglich; außerdem kämen Phishing-Angriffe in Betracht. Es sei derzeit nicht absehbar, welche materiellen und ggf. immateriellen Schäden entstehen könnten. Trotz getroffener Maßnahmen könne die Beklagte nicht absehen, wer die veröffentlichten Daten noch besitzt und wie oft sie möglicherweise kopiert wurden. Der Kläger beantragt, 1. die Beklagte zu verurteilen, an den Kläger einen immateriellen Schadensersatzanspruch, dessen Höhe in das Ermessen des Gerichts gestellt wird, nebst Zinsen in Höhe von 5 Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen, 2. festzustellen, dass die Beklagte verpflichtet ist, dem Kläger allen weiteren materiellen und immateriellen Schaden zu ersetzen, der dem Kläger aufgrund des Datenschutzvorfalls bei der Beklagten im August 2019 (sog. "MasterCard Leak") noch entstehen wird. Die Beklagte beantragt, die Klage abzuweisen. Die Beklagte behauptet, Ablaufdatum und Sicherheitscodes der Kreditkarten seien von der Veröffentlichung nicht betroffen gewesen. Sie, die Beklagte, habe den Auftragsverarbeiter ordnungsgemäß ausgewählt, instruiert und während des laufenden Vertragsverhältnisses überwacht. Die Beklagte meint, es liege jedenfalls kein immaterieller Schaden vor. Es sei nicht dargetan, ob überhaupt eine konkrete Kenntnisnahme der Daten durch Dritte erfolgt sei; jedenfalls sei es zu keiner missbräuchlichen Verwendung gekommen. Die bloße Veröffentlichung verletze das allgemeine Persönlichkeitsrecht nicht. Die bloße Betroffenheit von dem Datenschutzvorfall stelle keinen Schaden dar. Für Unannehmlichkeiten oder behauptete Nachteile mit Bagatellcharakter bestehe keine Ersatzpflicht. Ein Verstoß gegen die Datenschutzgrundverordnung allein führe nicht zum Schadensersatz. Die kurzzeitige Offenlegung der Daten gehe nicht über eine subjektiv empfundene Unannehmlichkeit hinaus. Ein Feststellungsinteresse bestehe nicht. Die Wahrscheinlichkeit eines auf die Verletzungshandlung zurückzuführenden Schadens sei nicht dargelegt. Ein Risiko unautorisierter Zahlungsvorgänge bestehe nicht. Hinsichtlich des weiteren Sach- und Streitstandes wird auf die Schriftsätze der Parteien nebst Anlagen verwiesen. Gründe I. Der Klageantrag zu 1) ist zwar zulässig, aber unbegründet. Der Kläger verlangt zu Unrecht die Zahlung immateriellen Schadensersatzes, deren Höhe er in das Ermessen des Gerichts gestellt hat. 1. Der Kläger hat keinen Anspruch auf Ersatz immaterieller Schäden gemäß Art. 82 Abs. 1 DS-GVO. Gemäß Art. 82 Abs. 1 DS-GVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Es kann im vorliegenden Fall dahinstehen, ob die Beklagte gegen die Vorschriften der DS-GVO verstoßen hat. Denn ein Schadensersatzanspruch scheidet bereits deshalb aus, weil der Kläger einen immateriellen Schaden infolge eines etwaigen Verstoßes der Beklagten schon nicht hinreichend dargelegt hat.
- a)Für den Begriff des immateriellen Schadens im Sinne von Art. 82 Abs. 1 DS-GVO gilt Folgendes:
- aa)Der Erwägungsgrund 146 S. 3 DS-GVO gibt vor, dass der Begriff des Schadens in einer Art und Weise ausgelegt werden soll, die den Zielen der DS-GVO in vollem Umfang entspricht. Die Erwägungsgründe nennen beispielhaft folgende Nichtvermögensschäden: Diskriminierung, Identitätsdiebstahl oder -betrug, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, unbefugte Aufhebung der Pseudonymisierung oder andere gesellschaftliche Nachteile (siehe Erwägungsgründe 75 und 85). Zudem führt der Erwägungsgrund 75 DS-GVO auf, dass aus einer Verarbeitung personenbezogener Daten insbesondere dann physische, materielle oder immaterielle Schäden entstehen können, wenn personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Zugehörigkeit zu einer Gewerkschaft hervorgehen, und genetische Daten, Gesundheitsdaten oder das Sexualleben oder strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln betreffende Daten verarbeitet werden, wenn persönliche Aspekte bewertet werden, insbesondere wenn Aspekte, die die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel betreffen, analysiert oder prognostiziert werden, um persönliche Profile zu erstellen oder zu nutzen.
- bb)Der Wortlaut von Art. 82 DS-GVO enthält keine Beschränkung auf schwerwiegende Persönlichkeitsverletzungen. Das bedeutet aber nicht, dass Art. 82 DS-GVO bereits bei jeder individuell empfundenen Unannehmlichkeit oder bei Bagatellverstößen ohne ernsthafte Beeinträchtigungen für das Selbstbild oder Ansehen der Parteien einen Schadensersatzanspruch begründet (Becker, in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Art. 82 DSGVO Rn. 4 c; siehe auch OLG Dresden, Hinweisbeschluss vom 11.06.2019, 4 U 76/19 , BeckRS 2019,12941 ; zum Ganzen auch Wybitul, NJW 2019, 3265). Erforderlich ist eine objektiv nachvollziehbare Beeinträchtigung von persönlichkeitsbezogenen Belangen, die zwar nicht besonders schwerwiegend sein muss, aber trotzdem für den oder die Betroffenen ein gewisses Gewicht haben muss (Becker, in: Plath, DSGVO, 3. Aufl. 2018, Art. 82 DSGVO Rn. 4 c; siehe auch EuArbRKIFranzen, 3. Aufl. 2020, DS-GVO, Art. 82 Rn. 22: "nicht unerhebliche" Verletzung des allgemeinen Persönlichkeitsrechts der betroffenen Person). Das setzt voraus, dass für den Betroffenen ein spürbarer Nachteil entstanden sein muss. Gegen eine Ausdehnung des immateriellen Schadensersatzes auf Bagatellschäden spricht auch das erhebliche Missbrauchsrisiko, das mit der Schaffung eines auf Rechtsfolgenseite nahezu voraussetzungslosen Schmerzensgeldanspruchs gerade im Bereich des Datenschutzrechts einherginge (so OLG Dresden, Hinweisbeschluss vom 11.06.2019, 4 U 760/19 , BeckRS 2019, 12941 ). Die Geltendmachung von Bagatellschäden ist zwar grundsätzlich abzulehnen, Ausnahmen können aber dann vorliegen, wenn diese Schäden Ausdruck einer bewussten, rechtswidrigen und in großem Stil betriebenen Kommerzialisierung von Datenschutzverstößen sind (so zu Recht OLG Dresden, Hinweisbeschluss vom 11.06.2019, 4 U 760/19 , BeckRS 2019, 12941 ). Unternehmen sollen keine Geschäftsmodelle entwickeln, mit denen sie gezielt und flächendeckend Verstöße im Bagatellbereich begehen könnten (Wybitul, NJW 2019, 3265, 3267).
- cc)Ein Verstoß gegen Vorschriften der Datenschutzgrundverordnung allein führt nicht direkt zum Schadensersatz (Becker, a.a.O., Rn. 4 d; so auch AG Diez, Urteil vom 07.11.2018, 8 C 130/18 , BeckRS 2018, 28667 ; AG Hannover, Urteil vom 09.03.2019, 531 C 10952/19 , BeckRS 2019, 43221 ). Die Rechtsverletzung ist also nicht per se ein immaterieller Schaden, sondern es ist eine Konsequenz erforderlich, die über den an sich durch die Rechtsverletzung hervorgerufenen Ärger oder Gefühlsschaden hinausgeht (so OLG Innsbruck, Urteil vom 13.02.2020, 1 R 182/19b, ZD 2020, 304). Im objektiven Sinne spürbare Schäden sind z.B. öffentliche Bloßstellung, die Weitergabe intimer Informationen, soziale Diskriminierung, Identitätsdiebstahl, Spionieren im Privatleben oder die Veröffentlichung großer Mengen Daten des Einzelnen (Becker, a.a.O. Rn. 4 d; vgl. auch LG Karlsruhe, Urteil vom 02.08.2019, 8 O 26/19 , ZD 2019, 511 : "Der Verpflichtung zum Ausgleich eines immateriellen Schadens muss eine benennbar und insoweit tatsächliche Persönlichkeitsverletzung gegenüberstehen, die z.B. in der mit einer unrechtmäßigen Zugänglichmachung von Daten liegenden "Bloßstellung" liegen kann."). Nach Erwägungsgrund 146 S. 6 DS-GVO sollten die betroffenen Personen einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten. Auch daraus ergibt sich, dass nur ein "erlittener" Schaden zum Schadensersatz führen soll und ein bloßer Verstoß gegen Datenschutzvorschriften an sich noch nicht genügt.
- dd)Beeinträchtigungen können auch in Form von psychischen Auswirkungen durch den Datenschutzverstoß vorliegen (Gola, DS-GVO/Gola/Piltz, 2. Aufl. 2018, Art. 82 Rn. 12).
- ee)Zu berücksichtigen ist auch, dass Art. 82 DS-GVO nicht das einzige Instrument zur Sanktionierung von Datenschutzverletzungen ist. Die Aufsichtsbehörden können nach Art. 83 DS-GVO auch Geldbußen in erheblichem Umfang verhängen. Die Effektivität des Unionsrechts gebietet daher keine scharfe Sanktionierung von Verstößen mit Hilfe eines extensiven Ersatzes auch des immateriellen Schadens (EuArbRK/Franzen, 3. Aufl. 2020, DS-GVO, Art. 82 Rn. 22). Ein weit verstandener immaterieller Schadensbegriff birgt zudem ein nicht unerhebliches Missbrauchspotential (Wybitul, NJW 2019, 3265, 3266: Prozessfinanzierer und Verbraucheranwälte können den Schadensersatzanspruch vermehrt für eigene kommerzielle Zwecke nutzen).
- b)In Anwendung dieser Maßstäbe hat der Kläger einen immateriellen Schaden als Folge einer möglichen Datenschutzverletzung nicht hinreichend dargetan. Nach dem unstreitigen Vortrag des Klägers waren sein Name, seine Anschrift, sein Geburtsdatum und seine Kreditkartennummer für kurze Zeit im Internet veröffentlicht worden. Allein darin, dass diese Daten veröffentlicht waren, liegt nach dem unter 1. Ausgeführten aber noch kein immaterieller Schaden. Einen konkreten Schaden, der über die Veröffentlichung der Daten hinausgeht, hat der Kläger nicht vorgetragen. Angesichts der Art der veröffentlichten Daten ist es weder zu einer Bloßstellung noch zu einer sozialen Diskriminierung gekommen, die Intimsphäre ist nicht betroffen und auch ein Identitätsdiebstahl ist nicht ersichtlich. Es trifft zwar zu, dass gerade Kreditkartennummern sensible Daten sind. Soweit der Kläger aber behauptet, dass mit seiner Kreditkartennummer ein Einkauf in Online-Shops möglich sei, spricht dagegen, dass der Kläger schon nicht behauptet hat, dass auch Ablaufdatum und Sicherheitscode von der Veröffentlichung betroffen gewesen seien. Zudem hat die Beklagte angeboten, kostenlos eine neue Kreditkarte ausstellen zu lassen. Soweit der Kläger vorträgt, die Daten seien für Phishing-Angriffe nutzbar, ist auch eine etwaige Angst vor solchen Angriffen nicht hinreichend konkret dargelegt, denn nach seinem Vortrag waren nach dem durchgeführten Identity Leak Check des Hasso-Plattner-Instituts weder seine E-Mail-Adresse noch seine Handynummer von der Veröffentlichung betroffen. Denkbar wäre allenfalls die unerlaubte Zusendung von Postsendungen wegen der Veröffentlichung der Anschrift. Dass er derartige Belästigungen befürchtet, hat der Kläger aber nicht dargelegt, tatsächlich eingetretene derartige Nachteile schon gar nicht. Weitere psychische Auswirkungen oder ähnliche Konsequenzen, die über den an sich durch die Veröffentlichung hervorgerufenen Ärger oder Gefühlsschaden hinausgehen, hat der Kläger ebenfalls nicht dargetan. Es ist auch noch nicht einmal vorgetragen oder erkennbar, dass tatsächlich jemand konkret von den veröffentlichten Daten des Klägers Kenntnis genommen hat. 2. Weitere Anspruchsgrundlagen sind nicht ersichtlich. Der aus Art. 1 , 2 Abs. 1 GG hergeleitete Anspruch auf eine immaterielle Geldentschädigung liegt nicht bei jeder Verletzung des allgemeinen Persönlichkeitsrechts vor. Er setzt vielmehr einen schwerwiegenden Eingriff in das allgemeine Persönlichkeitsrecht voraus, dessen Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Dabei hängt die Entscheidung, ob eine hinreichend schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, insbesondere von der Bedeutung und Tragweite des Eingriffs, ferner auch von Anlass und Beweggrund des Handelnden sowie von dem Grad seines Verschuldens ab (siehe OLG Dresden, Hinweisbeschluss vom 11.06.2019, 4 U 760/19 , BeckRS 2019, 12941 m.w.N.). Dass der Kläger durch die kurzzeitige Veröffentlichung seiner genannten Daten eine solche Beeinträchtigung erlitten haben soll, hat er nicht plausibel dargestellt und dies erscheint auch nicht vorstellbar. II. Der Klageantrag zu 2) ist bereits unzulässig, denn der Kläger hat - selbst für den Fall, dass ein Verstoß gegen Vorschriften der DS-GVO vorliegt - ein für die Zulässigkeit des Feststellungsantrags erforderliches Feststellungsinteresse gemäß § 256 Abs. 1 ZPO nicht hinreichend dargetan. 1. Soweit es um die Ersatzfähigkeit künftiger Schäden geht, reicht es bei Verletzung eines absoluten Rechtsguts aus, wenn künftige Schadensfolgen wenn auch nur entfernt möglich, ihre Art und ihr Umfang, sogar ihr Eintritt aber noch ungewiss sind. Bei Verletzung einer Norm zum Schutz des Vermögens fehlt es dagegen schon an einem feststellbaren Rechtsverhältnis, solange der Eintritt irgendeines Schadens noch ungewiss ist; hier muss der Kläger schon für die Zulässigkeit der Klage eine Vermögensgefährdung, d.h. die Wahrscheinlichkeit eines auf die Verletzungshandlung zurückzuführenden Schadens, substantiiert dartun (Zöller/Greger, ZPO, 33. Aufl. 2020, § 256 Rn. 9 m.w.N.). 2. Nach diesen Maßstäben hat der Kläger weder hinsichtlich materieller noch hinsichtlich immaterieller Schäden mögliche künftige Schadensfolgen dargelegt, die zu einem Schadensersatzanspruch berechtigen können.
- a)Soweit es um künftige immaterielle Schäden geht, ist nicht ersichtlich, inwieweit solche bei der Art der von der Veröffentlichung betroffenen Daten des Klägers zukünftig noch eintreten könnten. Insoweit wird inhaltlich auf die Ausführungen unter 1.1.
- b)verwiesen, wonach der Kläger bereits eingetretene immaterielle Schäden aufgrund eines möglichen Datenschutzverstoßes nicht hinreichend dargelegt hat. Dass trotz Fehlens bisher eingetretener immaterieller Schäden in Zukunft immaterielle Schäden entstehen könnten, ist nicht ersichtlich. Welcher Art diese Schäden sein sollen, trägt der Kläger nicht vor.
- b)Der Kläger hat aber auch nicht dargelegt, welche materiellen Schäden künftig möglich sein sollen. Die bloße Behauptung, es sei nicht ausgeschlossen, dass noch ein materieller Schaden entsteht, genügt insoweit nicht, ebenso wenig wie der Vortrag, die Beklagte könne nicht absehen, wer die veröffentlichten Daten noch besitzt und wie oft sie möglicherweise kopiert wurden. Dass ein Risiko unautorisierter Zahlungsvorgänge besteht, hat der Kläger nicht hinreichend dargetan. Zum einen hat er nicht dargelegt, dass auch Ablaufdatum und Sicherheitscode der Kreditkarte von der Veröffentlichung betroffen waren. Zum anderen bestand die Möglichkeit der Sperrung der betroffenen Kreditkarte sowie der beklagtenseits angebotenen kostenlosen Ausstellung einer neuen Kreditkarte. Sofern der Kläger davon keinen Gebrauch gemacht hat, würde ein Anspruch wegen Mitverschuldens des Klägers ausscheiden. Bei Feststellungsklagen über die Schadensersatzpflicht gehört das Mitverschulden des Geschädigten zum Rechtsverhältnis, denn es betrifft den Grund der Schadensersatzpflicht und nicht nur deren Höhe (Zöller/Greger, ZPO, 33. Aufl. 2020, § 256 Rn. 4 a m.w.N.). Dass ein Risiko von Phishing-Angriffen besteht, ist ebenfalls nicht hinreichend dargelegt. Der Kläger hat nicht vorgetragen, dass auch seine E-Mail-Adresse und/oder seine Mobilfunknummer von der Veröffentlichung betroffen waren. Er hat lediglich vorgetragen, dass nach dem Identity Leak Checker des Hasso-Plattner-Instituts sein Vor- und Zuname, Geburtsdatum, seine Anschrift und seine Kreditkartennummer von der Veröffentlichung betroffen waren. III. Die Kostenentscheidung beruht auf § 91 Abs. 1 ZPO, die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 708 Nr. 11, § 711 ZPO. IV. Bei der Streitwertfestsetzung wurden 1.000,00 Euro für den Antrag zu 1) und 200,00 Euro für den Antrag zu 2) berücksichtigt. Permalink: https://openjur.de/u/2397401.html ( https://oj.is/2397401 ) Volltext Druckansicht PDF Download Zitate 5 Zitiert 0 Faksimile Referenzen 0 Schlagworte Problem melden Impressum Datenschutz Nutzungsbedingungen Über openJur English openJur e.V.