Titel:
Kein Schadensersatzanspruch wegen "Unwohlseins" nach Daten-Scraping
Normenketten:
DSGVO Art. 15, Art. 82
BGB § 254, § 280 Abs. 1, § 362 Abs. 1, § 1004
ZPO § 141, § 286, § 287
Leitsatz:
Vom Eintritt eines nach der DSGVO grundsätzlich ersatzfähigen immateriellen Schadens ist nicht schon deshalb auszugehen, weil den von Daten-Scraping Betroffenen ein allgemeines und nicht weiter greifbares Unwohlsein wegen eines möglichen Missbrauchs seiner Daten befällt (Anschluss an LG Kassel GRUR-RS 2022, 30480 Rn. 18 f.; LG Essen GRUR-RS 2022, 34818 Rn. 72 ff.; s. auch LG Bielefeld GRUR-RS 2022, 38375). (Rn. 25) (redaktioneller Leitsatz)
Schlagworte:
Facebook, Daten, Mobilnummer, Scraping, Auskunft, Schadensersatz, Kausalität
Fundstellen:
RDV 2023, 202
LSK 2023, 2115
BeckRS 2023, 2115
ZD 2023, 635
Tenor
1. Die Klage wird abgewiesen.
2. Der Kläger hat die Kosten des Rechtsstreits zu tragen.
3. Das Urteil ist vorläufig vollstreckbar. Der Kläger kann die Vollstreckung der Beklagten durch Sicherheitsleistung in Höhe von 110% des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110% des zu vollstreckenden Betrags leistet.
Tatbestand
1
Die Parteien streiten um Ansprüche im Zusammenhang mit der Datenschutzgrundverordnung (DSGVO).
2
Die Beklagte betreibt die Plattform Facebook auf dem Gebiet der Europäischen Union, der Kläger nutzt die Facebook-Plattform seit mehreren Jahren, wie auch andere soziale Medien. Der Kläger nutzte auch die Facebook-Messanger-App, jedoch seit 2019 nicht mehr. Im Rahmen der Registrierung auf der Facebook-Plattform gab der Kläger verschiedene Daten, d.h. sein Geburtsdatum, die Stadt und den Beziehungsstatus an, wobei jedenfalls die letzten beiden über die Zielgruppenauswahl des Klägers öffentlich im Facebook-Profil des Klägers einsehbar waren. Zudem hinterlegte der Kläger die heute noch genutzte Nummer seines Mobiltelefons, was zum Nutzen der Plattform nicht notwendig ist und wählte als Einstellung, dass über die Zielgruppenauswahl – also die Einstellungen, die festlegen, wer einzelne Informationen im Facebook-Profil eines Nutzers sehen kann – die Mobilfunknummer nicht auf dem Profil des Klägers zu sehen war. In den Suchbarkeitskriterien – d.h. die Einstellung, die festlegt, wer das Profil eines Nutzers anhand einer Telefonnummer finden kann – war die Suche nach dem klägerischen Profil mittels Mobilfunknummer aktiviert, konkret: die Privatsphäre-Einstellungen („privacy_setting“) wiesen zur Auffindbarkeit durch jedermann („Everyone“) die Telefonnummer („SEARCH_BY_PHONE“) auf, sodass jeder, der die Nummer des Klägers kannte, sein Facebook-Profil auffinden konnte, um etwa eine „Freundschaftsanfrage“ stellen zu können. Auf Anlage B 17 wird Bezug genommen.
3
Im Jahr 2019 sammelten unbekannte Dritte unter Nutzung automatisierter Verfahren eine Vielzahl der auf der Plattform der Beklagten verfügbaren öffentlichen Informationen (sogenanntes „Scraping“) und korrelierten diese Daten mit Telefonnummern der betroffenen Nutzer. Das genaue Vorgehen ist nicht bekannt. Es wird vermutet, dass eine Vielzahl von möglichen Telefonnummern von Dritten automatisiert kombiniert wurden und mit den Facebook Profilen abgeglichen wurden, wobei sich jedenfalls bei entsprechender Suchbarkeitseinstellung Auffindungstreffer beim jeweiligen Profil ergaben und so die Telefonnummer dem jeweiligen Profil mit seinen öffentlich einsehbaren Daten zugeordnet werden konnte, auch wenn der Nutzer die Telefonnummer auf seinem Profil nicht öffentlich einsehbar gemacht hatte. Im April 2021 wurden so die Datensätze von etwa 533 Millionen Nutzern aus 106 Ländern auf Seiten im Internet zum Abrufen bereit gestellt. Auch die Mobiltelefonnummer des Klägers war im Internet auffindbar. Wie die unbekannten Dritten an die Telefonnummer gelangt sind, ist ungeklärt. Der Kläger hatte nach Bekanntwerden des Vorfalls und bis zum Schluss der mündlichen Verhandlung seine Einstellungen bei Facebook nicht geändert.
4
Der Kläger verlangte über seine Prozessbevollmächtigten vorprozessual u.a. Auskunft über die den Kläger bei der Plattform der Beklagten betreffenden Daten. Auf Anlage K 1 wird Bezug genommen. Die Prozessbevollmächtigten der Beklagten übermittelten ein Antwortschreiben vom 11.11.2021. Auf Anlage B 16 wird Bezug genommen.
5
Der Kläger behauptet, er leidet unter Unwohlsein, da er einen Missbrauch seiner Telefonnummer in Zukunft befürchtet. Seit dem Vorfall habe er vermehrt Spam Nachrichten und anonyme Anrufe bekommen – was die Beklagte mit Nichtwissen bestreitet.
6
Der Kläger meint, die Beklagte habe mehrfach gegen die Rechte des Klägers aus der DSGVO verstoßen. Wegen Details zum tatsächlichen Vorbringen wird auf den schriftsätzlichen Vortrag verwiesen.
- 1.
-
Die Beklagte wird verurteilt, an die Klägerseite immateriellen Schadensersatz in angemessener Höhe zu zahlen, dessen Höhe in das pflichtgemäße Ermessen des Gerichtes gestellt wird, mindestens jedoch 1.000,00 Euro nebst Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.
- 2.
-
Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klägerseite auch alle künftigen Schäden zu ersetzen, die der Klägerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden.
- 3.
-
Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckende Ordnungshaft, oder einer an ihren gesetzlichen Vertreter (Director) zu vollstreckende Ordnungshaft bis zu 6 Monaten, im Wiederholungsfall bis zu 2 Jahren, zu unterlassen,
a. personenbezogene Daten der Klägerseite, namentlich Telefonnummer, Facebook-ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten über eine Software zum Importieren von Kontakten zugängig zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern,
b. die Telefonnummer der Klägerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Information durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimport-Tools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert wird und, im Fall der Nutzung der Facebook-Messenger-App, hier ebenfalls explizit die Berechtigung verweigert wird,
- 4.
-
Die Beklagte wird verurteilt, der Klägerseite Auskunft über die Klägerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welchen Empfänger zu welchem Zweck bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimport-Tools erlangt werden konnten.
- 5.
-
Die Beklagte wird verurteilt, an die Klägerseite vorgerichtliche Rechtsanwaltskosten in Höhe von 887,03 Euro zu zahlen, zuzüglich Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.
8
Die Beklagte beantragt,
Die Klage wird abgewiesen.
9
Die Beklagte meint, das Scraping – das kein Hacking sei – stelle ihrerseits keinen Datenschutzverstoß dar. Es fehle an einer Verletzung der Sicherheit, da lediglich öffentlich zugängige Profilinformationen des Klägers abgerufen und auch keine spezifischen Sicherungsmaßnahmen oder Zugriffsberechtigungen umgangen oder überwunden wurden. Unbefugte Offenlegung von oder Zugang zu den klägerischen Daten sei nicht gegeben.
10
Zudem sei dem Kläger kein kausaler Schaden entstanden.
11
Die Klage vom 07.04.2022 wurde rechtshängig beim LG München I. Das LG München I hat den Rechtsstreit mit Beschluss vom 20.09.2022 an das aus seiner Sicht sachlich zuständige Amtsgericht München verwiesen, da der Zuständigkeitsstreitwert 4.500,- € betrage.
12
Im Übrigen wird Bezug genommen auf das schriftliche Vorbringen der Parteien und das Protokoll der mündlichen Verhandlung vom 01.02.2023 sowie den übrigen Akteninhalt.
Entscheidungsgründe
13
Die zulässige Klage ist unbegründet.
14
I. Die Klage ist zulässig.
15
1. Die internationale Zuständigkeit deutscher Gerichte folgt aus Art. 18 Abs. 1 Alt. 2 EuGVVO und Art. 79 Abs. 2 S. 2 DSGVO, der Kläger ist Verbraucher aus München.
16
2. Das Amtsgericht München ist örtlich zuständig gemäß Art. 18 Abs. 1, Alt. 2 EuGVVO, da der Kläger seinen Wohnsitz in München hat.
17
3. Die sachliche Zuständigkeit des Amtsgerichts ergibt sich aus § 281 Abs. 2 S. 4 ZPO infolge des für das Amtsgericht bindenden Verweisungsbeschlusses des LG München I.
18
4. Der Klageantrag zu 1) ist hinreichend bestimmt i.S.v. § 253 Abs. 2 Nr. 2 ZPO, da das Gericht nach wertender Betrachtung von einem einheitlichen Lebenssachverhalt ausgeht, d.h. es wird nicht ein Antrag gestellt, der sich alternativ auf mehrere Klagegründe stützt und dem Gericht wahlweise überlässt, welchen es seiner Entscheidung über den Antrag zugrunde legt – es liegt nur ein Klagegrund vor.
19
5. Ebenso hält das Gericht den Feststellungsantrag Ziffer 2) für zulässig und geht von einem Feststellungsinteresse nach § 256 Abs. 1 ZPO aus, das allerdings nur für ein stattgebendes Urteil echte Prozessvoraussetzung ist, vgl. BGH NJW 2018, 227 Rn 16.
20
6. Der Unterlassungsantrag Ziffer 3) ist hinreichend bestimmt. Eine auslegungsbedürftige Antragsformulierung wie vorliegend „Stand der Technik“ ist dann hinzunehmen, wenn dies zur Gewährleistung eines effektiven Rechtsschutzes erforderlich ist, mithin, die Klägerseite ihren Antrag nicht konkreter fassen kann. So liegt es nach Auffassung des Gerichtes hier (ebenso LG Bielefeld Rn 21f.)
21
II. Die Klage ist insgesamt unbegründet.
22
1. Kein Schadensersatzanspruch
23
Dem Kläger steht kein Anspruch auf Zahlung eines immateriellen Schadensersatzes gemäß Art. 82 DSGVO bzw. § 280 Abs. 1 BGB i.V.m. dem Nutzungsvertrag oder einer anderen Anspruchsgrundlage zu.
24
Aufgrund der gemäß § 141 ZPO erfolgten persönlichen Anhörung des Klägers in der Sitzung ist das Gericht davon überzeugt, dass jedenfalls kein Schaden – der zu einer datenschutzrechtlichen Verletzung oder sonstiger Pflichtverletzung hinzukommen muss und nicht gleichgesetzt werden kann – vorliegt, sodass die anderen im Streit stehenden Rechtsfragen hier nicht entschieden werden müssen. Inwieweit der schriftsätzliche Vortrag der Klägervertreter mit der persönlichen Einlassung des Klägers in der mündlichen Verhandlung in Einklang zu bringen ist, ist hier nicht weiter zu diskutieren. Es ist damit unerheblich, ob es sich beim schriftsätzlichen klägerischen Vortrag um Textbausteine handelt, die in hunderten von Klagen – wie die Beklagtenvertreter vortragen – verwendet werden oder nicht. Für das Gericht ist die persönliche Einlassung des Klägers (§ 141 ZPO) in der mündlichen Verhandlung maßgeblich, die es gemäß §§ 286, 287 ZPO seiner rechtlichen Bewertung zugrunde legt und daraus ergibt sich Folgendes:
25
Der Kläger hat persönlich auf Nachfrage des Gerichtes erläutert, ihm habe der Vorfall keine schlaflosen Nächte bereitet, er sei noch nicht einmal aufgeregt gewesen, nachdem er von dem Vorfall Kenntnis erlangt hatte und habe auch nicht seine Einstellungen bei Facebook nachträglich geändert. Insgesamt sei ihm nur unwohl, weil er befürchte, seine Telefonnummer, die im Internet auffindbar ist, könnte für anonyme Anrufe benutzt werden. Dieser Aspekt wurde zudem vom Klägervertreter in der Sitzung an späterer Stelle nochmals aufgegriffen, der betont hat, der Vorfall sei ärgerlich, aber tue dem Kläger nicht weh, dieser habe aber ein ungutes Gefühl bzgl. künftiger Schäden. Der Kläger hat diesen Vortrag seines Prozessbevollmächtigten in der mündlichen Verhandlung auch bestätigt. Ein allgemeines und nicht weiter greifbares Unwohlsein alleine in der dargelegten Form genügt dem Gericht jedoch nicht, um von einem immateriellen Schaden ausgehen zu können, da damit die notwendige spürbare Beeinträchtigung nicht festgestellt werden kann (so auch LG Essen, GRUR-RS 2022, 34818 Rn 72 ff.; LG Gießen GRUR-RS 2022, 30480 Rn 19).
26
Im Übrigen fehlt es auch an der Kausalität zwischen behaupteten Datenschutzverstößen und einem Schaden, selbst wenn man diesen anders, etwa allein in Form von Spam Nachrichten und Anrufen und damit letztlich in einem Kontrollverlust über die eigenen Daten begründen wollte. Der Kläger hat in seiner mündlichen Anhörung erklärt, dass er auch weitere soziale Netzwerke im Internet nutzte und nutzt – er selbst hat fünf weitere aufgezählt – so dass das Gericht nicht davon überzeugt ist, der behauptete Vorfall sei ursächlich für das Auffinden der Daten des Klägers im Internet und für behauptete vermehrte Spam Nachrichten und Anrufe – bis auf die Telefonnummer, waren es bei Facebook zudem öffentlich auffindbare Daten, die so vom Kläger hinterlegt wurden. Der Kläger selbst hat hier auch glaubhaft und lebensnah in der mündlichen Verhandlung erläutert, er könne es selbst nicht sagen, ob vermehrte Spam Nachrichten und anonyme Anrufe vom „Facebook-Vorfall“ herrühren (so auch LG Essen, GRUR-RS 2022, 34818 Rn 84).
27
2. Feststellungsantrag unbegründet
28
Der Feststellungsantrag ist unbegründet, da jedenfalls für das Gericht der Eintritt künftiger kausaler materieller oder immaterieller Schäden, zu letzterem vgl. die oben unter 1. dargestellten Gründen, nicht hinreichend wahrscheinlich dargelegt ist (vgl. auch LG Bielefeld GRUR-RS 2022, 38375 Rn 36).
29
3. Kein Unterlassungsanspruch
30
Der Kläger hat auch keinen Unterlassungsanspruch aus § 1004 Abs. 1 BGB oder einer sonstigen Norm gegen die Beklagte, unabhängig von der Frage, ob die Betroffenenrechte der DSGVO abschließend sind und einen Unterlassungsanspruch aus nationalem Recht sperren.
31
Für eine (künftige) Beeinträchtigung der Rechte des Klägers im Sinne von § 1004 Abs. 1 BGB – wollte man diese unterstellen – träfe den Kläger jedenfalls eine Mitverursachung nach dem Rechtsgedanken der § 254 BGB, § 1004 Abs. 2 BGB, die den Anspruch vollständig ausschließen würde: Der Kläger selbst hat in der mündlichen Verhandlung ausgeführt, dass er seine Dateneinstellungen bei der Facebook-Plattform nach Bekanntwerden des Vorfalls nicht verändert hat. Bis zuletzt hat der Kläger nach eigener Einlassung nichts an seinen hinterlegten Daten, Suchbarkeitseinstellungen und sonstigen Einstellungen, die die Auffindbarkeit und öffentliche Einsehbarkeit seiner hinterlegten Daten betreffen, trotz bestehender Möglichkeit – wie der Kläger selbst in der mündlichen Verhandlung erläutert hat – geändert. Daran muss er sich festhalten lassen.
32
Hinzu kommt: Die Facebook-Messanger-App, um deren Kontaktdatenabgleich es dem Kläger auch ging, benutzt der Kläger nach eigener Einlassung in der mündlichen Verhandlung seit 2019 nicht mehr. (Vgl. auch LG Gießen GRUR-RS 2022, 30480 Rn 23).
33
4. Kein weitergehender Auskunftsanspruch
34
Der Kläger hat auch keinen Anspruch auf eine weitergehende Auskunft gem. Art. 15 DSGVO oder aus einer anderen Anspruchsgrundlage. Die Beklagte hat aus Sicht des Gerichts hinreichend Auskunft über die ihr vorhandenen Daten erteilt und in angemessener Weise Informationen zur Verfügung gestellt, vgl. Schreiben vom 11.11.2021 (Anlage B 16). Damit ist der Auskunftsanspruch gemäß § 362 Abs. 1 BGB vor Rechtshängigkeit bereits erfüllt worden. Soweit der Kläger eine Auskunft über die Empfänger der Scraping-Dateien verlangt, scheitert ein weitergehender Anspruch der erteilten Auskunft der Beklagten auch daran, dass sie dazu nicht im Stande ist, weil sie diesbezüglich keine Rohdaten vorhält, wie seitens der Beklagten schriftsätzlich und für das Gericht nachvollziehbar und überzeugend dargelegt wurde. (So auch LG Gießen GRUR-RS 2022, 30480 Rn 24).
35
5. Die Nebenforderungen teilen das Schicksal der Hauptforderung.
36
6. Die Kosten des Rechtsstreits hat der Kläger zu tragen gemäß § 91 Abs. 1 ZPO, die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus §§ 708 Nr. 11, 711 ZPO.
37
7. Neues Vorbringen im Schriftsatz der Klägervertreter vom 06.02.2023 – also nach Schluss der mündlichen Verhandlung – war gemäß § 296a S. 1 ZPO nicht mehr zu beachten. Die Voraussetzungen des § 296a S. 2 ZPO liegen nicht vor. Eine Schriftsatzfrist nach § 283 ZPO hat das Gericht schon mangels Antrag der Klägervertreter (vgl. Protokoll vom 01.02.2023) nicht gewährt, im Übrigen lägen die Voraussetzungen des § 283 ZPO hier auch nicht vor. Der Schriftsatz vom 06.02.20203 enthält auch kein Vorbringen, das eine Wiedereröffnung der mündlichen Verhandlung notwendig machen würde, da die Voraussetzungen des § 156 Abs. 2 ZPO nicht gegeben sind und auch sonst ist die Wiedereröffnung nicht veranlasst (§ 156 Abs. 1 ZPO). Entscheidungsreife war eingetreten.