Tenor Der Verfügungsbeklagten wird es bei Meidung eines Ordnungsgelds von bis zu 50.000,00 €, ersatzweise Ordnungshaft, zu vollziehen an den Mitgliedern des Verwaltungsrates, bis zum rechtskräftigen A

Art. 82Rn.

20; Kühling/Buchner/Bergt, 2. Aufl. 2018,

Art. 79Rn.

1). Hiergegen greifen nach dem Dafürhalten der Kammer auch nicht die etwa von Kreße in Sydow, Europäische Datenschutzgrundverordnung (DSGVO Art. 79 Rn. 10 f.,

1. Aufl. 2018), geäußerten Argumente mit Blick auf die Entstehungsgeschichte der DSGVO bzw. das Fehlen eines sich unmittelbar aus der DSGVO ergebenden Unterlassungsanspruchs durch. Im vorliegenden Fall kann insoweit dahinstehen, ob ein genereller Unterlassungsanspruch bezüglich eines jeden Falls verordnungswidriger Verarbeitung personenbezogener Daten über die Zielsetzung der DSGVO hinausginge. Im vorliegenden Fall geht es maßgeblich darum, dass personenbezogene Daten unter anderem der Verfügungsklägerin unbefugt veröffentlicht wurden, und mithin um die Frage eines hinreichenden Schutzes personenbezogener Daten. Gerade diesbezüglich trifft Art. 1 Abs. 2 DSGVO eine Wertung dahingehend, dass natürlichen Personen "insbesondere" ein Recht auf einen solchen Schutz zuerkannt wird. Insoweit nimmt die DSGVO in Art. 1 zudem eine Differenzierung zwischen dem Schutz personenbezogener Daten von natürlichen Personen (Abs. 2) und dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Abs. 1) vor. Mit Blick auf diese herausgehobene Stellung des Rechts auf Schutz ihrer personenbezogenen Daten erscheint es daher aus Sicht der Kammer im Sinne des im Übrigen vorgeschriebenen Schutzes durch wirksame gerichtliche Rechtsbehelfe angezeigt und gerechtfertigt, einer natürlichen Person auch einen Unterlassungsanspruch nach den insoweit anerkannten, nationalen Rechtsinstituten i.V.m. den Vorschriften der DSGVO jedenfalls für diesen Bereich des Schutzes im Sinne von Art. 1 Abs. 2 DSGVO zuzuerkennen.
2. Es ist vorliegend nach dem sich aus dem wechselseitigen Vortrag und den vorgelegten Unterlagen, insbesondere den eidesstattlichen Versicherungen, ergebenden Sachstand ein von der Verfügungsbeklagten zu verantwortender Verstoß gegen Art. 1 Abs. 2, 5 Abs. 1 lit. f), 32 Abs. 2 DSGVO anzunehmen. a) Nach den Art. 5 Abs. 1 lit. f), 32 Abs. 2 DSGVO müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen. Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch - ob unbeabsichtigt oder unrechtmäßig - Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden. Zudem kommt bereits nach der Wertung des Art. 1 Abs. 2 DSGVO den dortigen Regelungen Schutzcharakter zu (vgl. Gola

/Gola/Piltz, 2. Aufl. 2018,

Art. 82Rn.

26), so dass auch insoweit der nach §§ 823 Abs. 2, 1004 Abs. 1 BGB anerkannte Unterlassungsanspruch im Falle einer Schutzgesetzverletzung greift. b) Ein Verstoß gegen die vorgenannten Vorschriften ist nach Auffassung der Kammer im vorliegenden Fall dadurch indiziert, dass es unstreitig zu einer "Datenpanne" gekommen ist, infolge derer unter anderem personenbezogene Daten der Verfügungsklägerin wie Name, Adresse, E-Mail-Adresse unbefugt öffentlich zugänglich gemacht wurden. Insoweit ist zu berücksichtigen, dass der für die Datenverarbeitung Verantwortliche nach Art. 5 Abs. 2 DSGVO die Einhaltung der Datenverarbeitungsgrundsätze nachweisen können muss, was die Vorschrift als Rechenschaftspflicht bezeichnet. Hierzu ist streitig, ob die vorgenannte Regelung zu einer Beweislastumkehr zulasten des Verantwortlichen führt (bejahend: BeckOK DatenschutzR/Schantz, 29. Ed. 1.2.2019,

Art. 5Rn.

38; Gola

/Pötters, 2. Aufl. 2018,

Art. 5Rn.

34; Ehmann/Selmayr/Heberlein, 2. Aufl. 2018,

Art. 5Rn.

32; verneinend: Spindler/Schuster Elektron. Medien/Spindler/Dalby, 4. Aufl. 2019,

Art. 5Rn.

16; Sydow, Europäische Datenschutzgrundverordnung, DSGVO Art. 5 Rn. 53; Prof. Dr. Hoeren: Fake News? - Art. 5 DSGVO und die Umkehr der Beweislast, in MMR 2018, 637, beckonline). Im vorliegenden Fall kann eine Entscheidung hierzu dahinstehen, da unabhängig von der Frage der Beweislast sich aus dem Dafürhalten der Kammer aus der Rechenschaftspflicht des Verantwortlichen jedenfalls eine sekundäre Darlegungslast ergibt. Soweit der Betroffene, wie hier die Verfügungsklägerin, hinreichend substantiiert die Möglichkeit einer gegen die Vorschriften der DSGVO verstoßenden Datenverarbeitung darlegt, hat der betreffende Verantwortliche jedenfalls substantiiert darzulegen, dass er mit Blick auf den dargetanen Verstoß die Vorschriften der DSGVO eingehalten habe. Auch insoweit ist der insgesamt aus der DSGVO erkennbare, oben dargetane Wille des Verordnungsgebers zu berücksichtigen, den Betroffenen und insbesondere natürlichen Personen einen hinreichenden und effektiven Schutz, insbesondere einen Schutz ihrer personenbezogenen Daten zur Verfügung zu stellen. Hierbei ist das Grundproblem der Betroffenen zu beachten, welches darin besteht, dass sie als Außenstehende im Verhältnis zu den Verantwortlichen regelmäßig nicht die Möglichkeit haben, substantiiert dazu vorzutragen, wie die Datenverarbeitung bei den Verantwortlichen erfolgte und inwieweit diese konkret verordnungswidrig sei. Hiermit korrespondiert auch die Wertung des Art. 82 Abs. 3 DSGVO, der im Hinblick auf den sich unmittelbar aus der Verordnung ergebenden Schadensersatzanspruch die Vermutung aufstellt, dass der Verantwortliche - oder der Auftragsverarbeiter - für einen eingetretenen Schaden, der durch eine nicht der DSGVO entsprechende Verarbeitung verursacht wurde, haftet, sofern er nicht nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Der Verantwortliche, hier die Verfügungsbeklagte, hat mithin den Entlastungsbeweis zu führen, soweit der Betroffene, hier die Verfügungsklägerin, eine hinreichenden Anhalt für einen Verstoß gegen die Verordnung dartut (vgl. Gola

/Gola/Piltz, 2. Aufl. 2018,

Art. 82Rn.

18; Paal/Pauly/Frenzel, 2. Aufl. 2018,

Art. 82Rn.

15; Sydow, Europäische Datenschutzgrundverordnung, DSGVO Art. 82 Rn. 18). Da - wie oben dargestellt - hier die "Datenpanne" in Form der unbefugten Veröffentlichung personenbezogener Daten der Verfügungsklägerin unstreitig ist und hierdurch ein unzureichender Schutz der personenbezogenen Daten im Datenverarbeitung indiziert wird, oblag es im vorliegenden Fall der Verfügungsbeklagten, substantiiert darzulegen, dass sie im Rahmen der Datenverarbeitung hinreichende Schutzmaßnahmen getroffen habe. Mit Blick auf den unstreitigen Vorfall der "Datenpanne" hätte es ihr für einen hinreichenden Vortrag und einer etwaig der Verfügungsklägerin aufzuerlegenden Beweislast oblegen, darüber hinaus substantiiert darzutun, wie es zu dem Vorfall kam und insbesondere - soweit sie gerade hierauf abstellt - auf welcher Grundlage davon auszugehen sei, dass die "Datenpanne" ausschließlich im Verantwortungsbereich des im Auftrag der Verfügungsbeklagten handelnden Auftragsverarbeiters, der Firma V., aufgetreten sei. Dem ist die Verfügungsbeklagte vorliegend nicht hinreichend nachgekommen. Sowohl aus ihrem schriftsätzlichen Vortrag wie auch aus den vorgelegten eidesstattlichen Versicherungen des Herrn P. vom 27.09.2019 und 08.10.2019 sowie von Herrn Z. vom 04.09.2019 ergeben sich insgesamt keine hinreichenden Angaben zu der Art und Weise der Datenverarbeitung auf Seiten der Verfügungsbeklagten und insbesondere den dort angewandten Schutzmaßnahmen im Sinne der Art. 5 Abs. 1 lit. f), 32 Abs. 2 DSGVO. Gleiches gilt für entsprechendes Vorgehen und Maßnahmen auf Seiten des Auftragsverarbeiters. Dies führt auch insoweit nicht zur Entlastung der Verfügungsbeklagten, als der Verantwortliche und der Auftragsverarbeiter nach den Grundsätzen der DSGVO unabhängig voneinander für die Einhaltung der Vorschriften der Verordnung haften, etwa Art. 82 Abs. 3 DSGVO. Jedenfalls hätte die Verfügungsbeklagte insoweit substantiiert darstellen müssen, weshalb sie davon ausgeht, dass die "Datenpanne" ausschließlich die Systeme des Auftragsverarbeiters betroffen hätte. Auch hierzu fehlen jedoch hinreichend substantiierte Angaben. Die Verfügungsbeklagte hat - auch in den genannten eidesstattlichen Versicherungen - lediglich pauschal vorgetragen, ihre eigenen Systeme seien nicht betroffen. Die bloße Versicherung dieser Annahme an Eides statt genügt insoweit nicht. Soweit die Verfügungsbeklagte bzw. ihr Vizepräsident P. in der eidesstattlichen Versicherung vom 08.10.2019 (Anlage AG 20, Seite 2, Ziff. 5) dargestellt hat, sie verfüge über Protokolldateien, die die "Aufrufhistorie" zwischen dem Auftragsverarbeiter und ihren eigenen Systemen zeigten, und sich hieraus keine Belege dafür ergeben hätten, dass es Eindringungsversuche in das System der Verfügungsbeklagten gegeben hätte, genügt auch dies nicht. Insoweit ist schon nicht nachvollziehbar, inwieweit derartige Protokolldateien, die nach der vorgenannten Darstellung lediglich den Datenverkehr zwischen der Verfügungsbeklagten und dem Auftragsverarbeiter betreffen, Aussagen über die Datenintegrität und insbesondere über etwaige Zugriffe Dritter auf die Datenverarbeitungssysteme zulassen würden. Auch im Übrigen bleibt der Vortrag der Verfügungsbeklagten in Zusammenschau mit den eidesstattlichen Versicherungen zu pauschal, als dass sich hieraus hinreichende Gesichtspunkte ergeben würden für eine fehlende Verantwortlichkeit der Verfügungsbeklagten. Insbesondere erschließt sich auch aus der eidesstattlichen Versicherung des Herrn P. vom 27.09.2019 (Anlage AG 16, S. 1 f.) weder, dass nur das System des Auftragsverarbeiters betroffen gewesen wäre, noch dass lediglich dieser personenbezogene Daten der Verfügungsklägerin verarbeiten würde. Vielmehr wird dort dargestellt, dass die Verfügungsbeklagte gerade im Rahmen ihres Kerngeschäfts alle personenbezogenen Daten verarbeitet, die für die Zahlungstransaktionen betreffend die ausgegebenen Kreditkarten erforderlich sind. Insoweit hat der Vizepräsident der Verfügungsbeklagten dort selbst darauf hingewiesen, dass sie diesbezüglich als Auftragsverarbeiter der die Kreditkarten ausstellenden Banken agiere. Zudem hat er selbst zum damaligen Zeitpunkt darauf hingewiesen, dass die Untersuchungen des in Rede stehenden Vorfalls noch andauerten.

1. Jedenfalls mit Blick auf den letztgenannten Umstand, wonach die Verfügungsbeklagte jedenfalls noch im Rahmen der Verarbeitung der Zahlungstransaktionen personenbezogene Daten der Verfügungsklägerin verarbeitet, ist auch von der für den Unterlassungsanspruch erforderlichen Wiederholungsgefahr auszugehen, zumal diese im Regelfall durch die Erstbegehung indiziert wird (vgl. MüKoBGB/Baldus,
2. Aufl. 2017, BGB § 1004 Rn. 290). Vor diesem Hintergrund ist die Verfügungsklägerin mit Blick auf den Fortbestand des Kreditkartenvertrages Betroffene im Sinne der DSGVO und zudem darauf angewiesen, dass die Verarbeitung ihrer personenbezogenen Daten auf Seiten der Verfügungsbeklagten unter Berücksichtigung hinreichender Schutzmaßnahmen im Sinne der Art. 5 Abs. 1 lit. f), 32 Abs. 2 DSGVO erfolgt. Unstreitig und bereits nach dem eigenen Vorbringen der Verfügungsbeklagten ist sie - insoweit jedenfalls als Auftragsverarbeiter - mit der Verarbeitung personenbezogener Daten im Rahmen der Verarbeitung der Kreditkartentransaktionen betraut. Mithin wird sie auch künftig personenbezogene Daten der Verfügungsklägerin zu verarbeiten haben. II. Der Verfügungsklägerin kommt auch ein Verfügungsgrund zugute. Mit Blick auf den durch die eingetretene "Datenpanne" indizierten unzureichenden Schutz der personenbezogenen Daten erfolgt hieraus die Gefahr eines erneuten, vergleichbaren Vorfalls. Vor dem Hintergrund, dass zu diesen Daten auch die Kreditkartendaten der Verfügungsklägerin - und dies bezogen auch auf einen nicht unerheblichen Verfügungsrahmen von 10.000,00 € - gehören, ist auch von einer nicht unerheblichen Gefahrenlage zulasten der Verfügungsklägerin auszugehen. Daher liegt auch eine hinreichende Dringlichkeit für den Erlass einer einstweiligen Verfügung vor. Hieran ändert auch der von der Verfügungsbeklagten dargetane Umstand nichts, wonach sie die Internetseite des betreffenden Bonusprogramms zwischenzeitlich "offline" geschaltet habe. Auch wenn hiernach - wie in öffentlicher Verhandlung festgestellt werden konnte - die betreffende Internetseite nicht mehr frei zugänglich angewählt werden kann, ergibt sich hieraus nicht, dass die insoweit fortbestehenden Daten insbesondere physisch für unbefugte Dritte nunmehr unzugänglich wären. Im Übrigen ginge es insoweit nach dem eigenen Vortrag der Verfügungsbeklagten um die Art und Weise der Datenverarbeitung auf Seiten des Auftragsverarbeiters. Da die Verfügungsbeklagte jedoch bereits nicht hinreichend dargetan hat, nicht selbst für die "Datenpanne" verantwortlich zu sein bzw. hiervon nicht betroffen zu sein, kommt es für den hier in Rede stehenden Anspruch nur auf die bei der Verfügungsbeklagten selbst anfallende Datenverarbeitung an. III. Entgegen der Auffassung der Verfügungsbeklagten scheitert der Antrag auch nicht an einer insbesondere mit Blick auf die Bestimmtheit unzureichenden Antragstellung. Nach dem Sinn und Zweck des einstweiligen Rechtsschutzes und insbesondere der Regelung des § 738 Abs. 1 ZPO hat das angerufene Gericht nach freiem Ermessen zu bestimmen, welche Anordnungen zur Erreichung des mit dem Antrag verfolgten Zwecks erforderlich sind. Insoweit obliegt es der Verfügungsklägerin bereits nicht, einen präzisen Antrag zu stellen und eine bestimmte Maßnahme zu beantragen. Die Angabe des Rechtsschutzzieles, der Sicherung der gegenwärtigen oder zukünftigen Prozessrechtsstellung zum Zwecke der Rechtsverwirklichung und Rechtsdurchsetzung durch den Prozess, reicht aus (vgl. MüKoZPO/Drescher,
3. Aufl. 2016, ZPO § 938 Rn. 5). Vor diesem Hintergrund oblag es der Kammer, dem mit dem vorgebrachten Antrag der Verfügungsklägerin deutlich gewordenen Rechtsschutzziel durch eine auch den Interessen der Verfügungsbeklagten noch entsprechenden Maßnahme Rechnung zu tragen. Hiernach erschien der Kammer die schließlich tenorierte Anordnung erforderlich, aber auch hinreichend. IV. Dem Erfolg des Antrags der Verfügungsklägerin steht auch nicht der Einwand der Vorwegnahme der Hauptsache entgegen. Insoweit war zwar eine zeitliche Beschränkung im Hinblick auf die Antragsfassung bezogen auf die rechtskräftige Entscheidung in der Hauptsache angezeigt. Im Übrigen liegt hier jedoch eine Fallkonstellation vor, in der eine anderslautende Maßnahme nicht im Sinne eines effektiven Rechtsschutzes ausreichend gewesen wäre. Grundsätzlich sind zwar nur Maßnahmen zulässig, die die Einstweiligkeit wahren, weil sie nur bis zum Abschluss des Prozesses Wirkungen in der Hauptsache entfalten, und weder die Entscheidung über das zu sichernde Recht vorweg nehmen noch als vorweg genommene Vollstreckung dessen endgültige Vollziehung bewirken. Dennoch gibt es prozessuale Fallgestaltungen, die eine Sicherung der prozessualen Rechtsstellung nur dann ermöglichen, wenn sich der Inhalt der einstweiligen Verfügung unmittelbar auf (zumindest partielle) Erfüllung des Hauptsacheanspruchs richtet. In solchen Ausnahmefällen ist eine Befriedigungsverfügung möglich (MüKoZPO/Drescher,
4. Aufl. 2016, ZPO § 938 Rn. 8). Dies ist vorliegend der Fall. Bis zur Einhaltung hinreichender Schutzmaßnahmen kann ein verordnungsgemäßer, hinreichender Schutz der personenbezogenen Daten der Verfügungsklägerin nur dadurch erzielt werden, dass eine Datenverarbeitung vollständig unterbleibt. Mildere Mittel sind nicht ersichtlich. Im Übrigen ist insoweit zu berücksichtigen, dass der Verfügungsbeklagten mit der hiesigen Verfügung nicht mehr aufgegeben wird, als ihr mit Blick auf die Vorschriften der DSGVO ohnehin obliegt. Soweit zur näheren Konkretisierung der in Rede stehenden Schutzmaßnahmen auf die Vorgaben des Sicherheitsstandards der Payment Card Industry (PCI) Version 3.2.1 Bezug genommen worden ist, handelt es sich zudem um solche Standards, die nach dem unstreitigen Sachstand unter anderen von der Verfügungsbeklagten selbst erstellt worden ist. V. Die Nebenentscheidungen folgen aus §§ 92 I, 709 S. 1 ZPO. VI. Der Streitwert wird auf 10.000,00 EUR festgesetzt. J. G. Y. Richterin am Landgericht G. ist urlaubsbedingt ortsabwesend und deshalb verhindert, ihre Unterschrift beizufügen. B., 16.10.2019 LG B.,
5. Zivilkammer Der Vors. J. VRLG Permalink: https://openjur.de/u/2476067.html ( https://oj.is/2476067 ) Volltext Druckansicht PDF Download Zitate 3 Zitiert 0 Referenzen 3 Schlagworte Problem melden Impressum Datenschutz Nutzungsbedingungen Über openJur English openJur e.V.