I.

Der Senat beabsichtigt, die Berufung der Klagepartei gegen das Urteil des Landgerichts Ingolstadt vom 24.09.2025 gemäß § 522 Abs. 2 ZPO zurückzuweisen, weil er einstimmig der Auffassung ist, dass die Berufung offensichtlich keine Aussicht auf Erfolg hat, der Rechtssache keine grundsätzliche Bedeutung zukommt, weder die Fortbildung des Rechts noch die Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Berufungsgerichts erfordert und die Durchführung einer mündlichen Verhandlung nicht geboten ist.

Die Klagepartei verfügt über einen Account bei ..., ein von der Beklagten betriebenes soziales Netzwerk. Sie macht Ansprüche auf Schadensersatz, Unterlassung, Feststellung, Auskunft und Erstattung von Rechtsverfolgungskosten wegen Verstößen gegen die DSGVO im Zeitraum ab dem 16.07.2020 wegen unrechtmäßiger Verschickung personenbezogener Daten der Klagepartei in die USA bzw. der Zugänglichmachung solcher Daten gegenüber Dritten, insbesondere Ermittlungsbehörden in den USA, geltend. Das Landgericht hat die Klage abgewiesen. Hiergegen richtet sich die Berufung der Klagepartei.

Gemäß § 513 Abs. 1 ZPO kann die Berufung nur darauf gestützt werden, dass das angefochtene Urteil auf einer Rechtsverletzung im Sinne von § 546 ZPO beruht oder nach § 529 ZPO zugrunde zu legende Tatsachen eine andere Entscheidung rechtfertigen. Dies zeigt die Berufungsbegründung nicht auf.

Dass die Zurückweisung der Berufung teilweise auf einer anderen rechtlichen Wertung als die landgerichtliche Urteilsbegründung beruht, steht einem Beschluss nach § 522 Abs. 2 ZPO nicht entgegen (vgl. Zöller/Heßler, ZPO, 36. Auflage, § 522 Rz 36 m.w.N.). Im Einzelnen:

1. Die zutreffenden Ausführungen des Landgerichts zur internationalen Zuständigkeit werden von der Berufung nicht angegriffen.

2. Der geltend gemachte Schadensersatzanspruch setzt einen Verstoß gegen Art. 82 DS-GVO voraus, der hier nicht gegeben ist. Auch eine Verletzung des Persönlichkeitsrechts liegt nicht vor.

Die Übermittlung der personenbezogenen Daten der Klagepartei war im Zeitraum vom 16.07.2020 bis 09.07.2023 zwar nicht nach Art. 45 DSGVO rechtmäßig, nachdem der frühere Angemessenheitsbeschluss der EU-Kommission durch den EuGH (Urteil vom 16.07.2020, Schrems II, C-311/18) für ungültig erklärt worden war, jedoch stellt Art. 46 DS-GVO eine ausreichende Rechtsgrundlage für die Übermittlung der Daten dar. Die Übertragung dürfte auch nach Art. 49 DSGVO gerechtfertigt sein.

a) Datenübertragungen in Länder, in denen die DSGVO nicht gilt, sind nur unter bestimmten, zusätzlichen Voraussetzungen zulässig, Art. 44 DSGVO. Im vorgenannten Zeitraum lag ein wirksamer Beschluss der EU-Kommission nach Art. 45 DS-GVO, der dem Drittland ein angemessenes, vergleichbares Datenschutzniveau bescheinigt, nicht vor. Erst mit dem Durchführungsbeschluss der EU-Kommission 2023/1795 vom 10.07.2023 wurde festgestellt, dass in den USA ein angemessenes Schutzniveau für personenbezogene Daten vorhanden ist. Der Beschluss, für den die Vermutung der Rechtmäßigkeit gilt (EuGH, Urteil vom 06.10.2015, Schrems, C-362/14, Rn. 52), umfasst auch die Anforderung von Daten aus Gründen der nationalen Sicherheit und ist für die Mitgliedstaaten bindend, Art. 288 Abs. 4 AEUV. Ab dem 10.07.2023 ist die Datenübertragung daher nach Art. 45 DSGVO gerechtfertigt.

b) Vor dem 10.07.2023 ist die Datenübermittlung der Beklagten in die USA jedoch zunächst auf der Grundlage der Standardvertragsklauseln 2010 und ab dem 31.08.2021 auf der Grundlage der Standardvertragsklauseln 2021 erfolgt und damit nach Art. 46 DSGVO nicht rechtswidrig. Der EuGH hat in seiner Entscheidung „Schrems II“, Urteil vom 16.07.2020 – C-311/18, unter Leitsatz 4 ausdrücklich klargestellt, dass die Prüfung des Beschlusses 2010/87/EU der Kommission vom 05.02.2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der RL 95/46/EG des Europäischen Parlaments und des Rates in der durch den Durchführungsbeschluss (EU) 2016/2297 der Kommission vom 16.12.2016 geänderten Fassung anhand der Art. 7, 8 und 47 GRCh nichts ergeben habe, was seine Gültigkeit berühren könnte. Der Beschluss war daher weiterhin wirksam. In Rn. 133 ff. des Urteils hat der EuGH weiter ausgeführt, dass

„die von der Kommission gemäß Art. 46 Abs. 2 Buchst. c DSGVO erlassenen Standarddatenschutzklauseln nur darauf abzielen, den in der Union ansässigen Verantwortlichen bzw. ihren dort ansässigen Auftragsverarbeitern vertragliche Garantien zu bieten, die in allen Drittländern einheitlich gelten, d. h. unabhängig vom dort jeweils garantierten Schutzniveau. Da diese Standarddatenschutzklauseln naturgemäß keine Garantien bieten können, die über die vertragliche Verpflichtung hinausgehen, für die Einhaltung des unionsrechtlich verlangten Schutzniveaus zu sorgen, kann es je nach der in einem bestimmten Drittland gegebenen Lage erforderlich sein, dass der Verantwortliche zusätzliche Maßnahmen ergreift, um die Einhaltung dieses Schutzniveaus zu gewährleisten.“

Die Beklagte hat substantiiert ausgeführt, dass sie weitere Maßnahmen zur Gewährleistung der Garantien getroffen hat (siehe bereits Klageerwiderung vom 19.04.2025, Rn. 19 ff.). So habe sie etwa Verschlüsselungsalgorithmen eingesetzt und den anfragenden Behörden nur die unbedingt notwendigen Daten übermittelt sowie im halbjährlichen Transparenzbericht die Nutzer informiert. Dem ist die Klagepartei erstinstanzlich nicht entgegengetreten. Soweit die Klagepartei mit ihrer Berufung nunmehr behauptet, die Beklagte trage keine geeigneten ergänzenden Maßnahmen i.S.d. EDSA-Empfehlungen 01/2020 (Version 2.0 vom 18.06.2021) substantiiert vor, so ist dieser Vortrag schon verspätet. Im Übrigen ist anzumerken, dass in Anhang 2 der genannten EDSA-Empfehlungen beispielsweise ausdrücklich eine starke Verschlüsselung als eine Maßnahme genannt ist (vgl auch Ziffer 2.4 der Empfehlungen, Rn. 50 ff., vgl. auch BeckOK DatenschutzR/Lange/Filip, 55. Ed. 1.2.2024, DS-GVO Art. 46 Rn. 3c). Genau eine solche Verschlüsselung trägt die Beklagte aber unbestritten vor.

Zusätzlich zur Erbringung geeigneter Garantien müssen den Betroffenen gemäß Art. 46 Abs. 1 DSGVO auch durchsetzbare Rechte und wirksame Rechtsbehelfe eingeräumt werden, mithin mindestens Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie auf Schadensersatz sowie Rechtsbehelfe zur Verfügung gestellt werden (BeckOK DatenschutzR/Lange/Filip 54. Ed. 1.2.2024, DS-VO Art. 46 Rn. 2g ff., 7 ff). Die Beklagte hat vorgetragen, dass sie diese Rechte wahrt (etwa Klageerwiderung Rn. 19 ff.). Diesem Vortrag ist die Klagepartei nicht substantiiert entgegengetreten: Zwar ist für die USA als Drittland, wie von der Klagepartei vorgetragen, zu berücksichtigen, dass die amerikanischen Behörden auf die aus der Union in die USA übermittelten personenbezogenen Daten zugreifen und sie verwenden könnten, was insbesondere nach Section 702 des FI-SA, der E.O. 12333 und der PPD-28 geschehen könne (EuGH, aaO, Rn. 166 zum Angemessenheitsbeschluss), dies schließt aber das Bestehen wirksamer Rechtsbehelfe nicht aus. Vielmehr heißt es in Artikel 1 des vom EuGH ausdrücklich für gültig erklärten Beschlusses 2010/87/EU der Kommission vom 05.02.2010, dass die „Standardvertragsklauseln im Anhang […] als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten von Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte nach Artikel 26 Absatz 2 der RL 95/46/EG“ gelten. In den Standardvertragsklauseln im Anhang dieses Beschlusses sieht Klausel 3 eine Drittbegünstigung, Klausel 5 Informationspflichten, Klausel 6 eine Haftung und Klausel 7 Rechtsbehelfsmöglichkeiten vor. Die Klagepartei hat nicht substantiiert vorgetragen, dass diese Klauseln unter Berücksichtigung der von der Beklagten vorgetragenen Verschlüsselung keinen ausreichenden Schutz gewährleisten.

c) Zudem dürfte sich die Beklagte bezüglich der Datenübermittlung in die USA auch auf den Ausnahmetatbestand des Art. 49 Abs. 1 Satz 1 Buchst. b DSGVO stützen können, da die Datenübermittlungen erforderlich sind, um den Vertrag mit der Klagepartei zu erfüllen.

Die Erforderlichkeit der Übermittlung für die Erfüllung des Vertrags ist bei dem hier zugrunde zu legenden Sachvortrag der Parteien zu bejahen. Die Beklagte hat bereits in ihrer Klageerwiderung (dort Rn. 17 f.) betont, dass Facebook und Instagram globale Kommunikations- und Content-Sharing-Dienste sind und es in ihrer Natur liegt, dass EU-Nutzer und US-Nutzer von Facebook und Instagram nur dann miteinander in Verbindung treten, wenn sie ihre Inhalte und Kommunikation gegenseitig austauschen können. Darüber hinaus sei es aufgrund der Funktionsweise der Dienste nicht möglich, die personenbezogenen Daten von EU-Nutzern („EU-Nutzerdaten“) nach Jurisdiktionen oder auf sonstige Weise von den Daten anderer Face-book- oder Instagram-Nutzer zu trennen.

Technische Blockaden, die eine Kommunikation zwischen den Kontinenten unterbinden, wären nicht vereinbar mit der über Jahre entwickelten Infrastruktur dieser Dienste. All dies erfordere, dass die Beklagte routinemäßig EU-Nutzerdaten in die USA übertrage. Die Beklagte hat substantiiert und nachvollziehbar dargelegt, dass die Bereitstellung des Facebook-Dienstes mit dem Ziel der Verknüpfung von Nutzern auf der ganzen Welt sonst nicht zu erreichen sei, was erstinstanzlich von der Klagepartei nicht substantiiert bestritten wurde und damit als zugestanden und unstreitig zugrunde zu legen ist, § 138 Abs. 3 ZPO. Zu berücksichtigen ist zudem, dass der Vertrag damit auch einen deutlichen Auslandsbezug hat, zumal das Mutterunternehmen der Beklagten ihren Sitz in den USA hat (vgl. Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Auflage 2025, Art. 49 DS-GVO, Rn. 22).

3. Der Unterlassungsantrag Ziffer 2 a (Unterlassung des Verschickens von Daten in die USA und Zugänglichmachung an Dritte, insbesondere Ermittlungsbehörden) ist zulässig, jedoch nicht begründet. Für den geltend gemachten Unterlassungsanspruch fehlt es an der Wiederholungsgefahr, diese wird mangels vorangegangener rechtswidriger Beeinträchtigung nicht vermutet. Eine erstmals ernsthaft drohende Beeinträchtigung ist nicht ersichtlich. Seitdem am 10.7.2023 der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework in Kraft getreten ist, ist eine Datenübertragung in die USA ohnehin zulässig und rechtmäßig (vgl. Art. 45 Abs. 1 DSGVO). Die Wiederholung einer rechtswidrigen Beeinträchtigung steht also nicht zu befürchten.

4. Hinsichtlich des geltend gemachten Unterlassungsantrags zu Ziffer 2 b (Unterlassung der Verarbeitung von Daten ohne Einwilligung) hingegen teilt der Senat die Auffassung des Landgerichts, dass der Antrag bereits unzulässig ist, weil er zu unbestimmt ist. Ein Klageantrag ist hinreichend bestimmt, wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 I ZPO) absteckt, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennen lässt, das Risiko eines Unterliegens der Klagepartei nicht durch vermeidbare Ungenauigkeit auf die Beklagte abwälzt und schließlich eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt. Welche Anforderungen an die Konkretisierung des Streitgegenstands in einem Klageantrag zu stellen sind, hängt jedoch auch von den Besonderheiten des anzuwendenden materiellen Rechts und den Umständen des Einzelfalls ab. Die Anforderungen an die Bestimmtheit des Klageantrags sind danach in Abwägung des zu schützenden Interesses des Beklagten, sich gegen die Klage erschöpfend verteidigen zu können, sowie seines Interesses an Rechtsklarheit und Rechtssicherheit hinsichtlich der Entscheidungswirkungen mit dem ebenfalls schutzwürdigen Interesse der Klagepartei an einem wirksamen Rechtsschutz festzulegen (vgl. BGH 13.10.2015 – VI ZR 271/14, BGHZ 207, 163 Rn. 19 mwN = NJW 2016, 1094). Im vorliegenden Fall wird, auch unter Berücksichtigung des Klagevortrags, nicht klar, was die Klagepartei genau begehrt. Der Antrag richtet sich umfassend gegen jegliche Verarbeitung von personenbezogenen Daten „ohne Einwilligung“. Es ist nicht ersichtlich, welche Daten damit gemeint sind. Auch fehlt es in diesem Zusammenhang an der konkreten Darlegung oder Bezugnahme auf konkrete Verletzungsformen oder – handlungen (vgl. BGH, Urteil vom 18.11.2024 – VI ZR 10/24, Rn. 52).

Der Antrag wäre im Übrigen jedenfalls auch unbegründet: Wenn die Klagepartei nur Unterlassung der Übermittlung von Daten in die USA begehrt, für die nach dem Vortrag der Klagepartei keine hinreichende Einwilligung nach Art. 49 Abs. 1 S. 1 Buchst. a DSGVO vorliegt, ist zunächst darauf hinzuweisen, dass eine Einwilligung für die Datenübermittlung nach Art. 49 DSGVO (Ausnahmeregelung) nicht erforderlich ist, weil ein Angemessenheitsbeschluss nach Art. 45 Abs. 3 DSGVO die Übermittlung rechtfertigt. Im Übrigen hat der Antrag dann keinen über den Antrag zu a hinausgehenden Regelungsgehalt und es kann auf die Ausführungen zu oben 3. verwiesen werden. Sollte der Antrag allgemein die Verarbeitung personenbezogener oder hilfsweise sämtlicher Daten der Klagepartei ohne Bezug auf die Übermittlung in die USA umfassen, dann fehlt es an Vortrag, inwiefern es an einer wirksamen Einwilligung fehlen und welche Verarbeitung unterbunden werden soll. Es ist nicht davon auszugehen, dass die Klagepartei meint, es läge überhaupt keine wirksame Einwilligung vor, denn dies widerspräche ihrem Begehren, Facebook auch weiterhin zu nutzen.

5. Der Auskunftsantrag ist in seinen verschiedenen Varianten, anders als das Landgericht meint, zulässig, aber nicht begründet.

a) Der Antrag ist ausreichend bestimmt und es fehlt der Klagepartei nicht am Rechtsschutzbedürfnis.

Gemessen an den unter 4. dargelegten Grundsätzen für die Bestimmtheit eines Antrags genügt es in den Fällen der Geltendmachung eines Auskunftsanspruchs gem. Art. 15 Abs. Hs. 2 DSGVO grundsätzlich, wenn der Klageantrag dem Wortlaut der Vorschrift entsprechend auf Erteilung einer vollständigen Auskunft über die von der Beklagten verarbeiteten personenbezogenen Daten der Klagepartei gerichtet ist; eine Spezifizierung dieser Daten ist grundsätzlich nicht erforderlich (BGH, Urteil vom 15.6.2021 – VI ZR 576/19, Rn. 32; OLG Köln, Urteil vom 10.8.2023 – 15 U 184/22).

b) Der Auskunftsanspruch ist jedoch durch Erfüllung erloschen, § 362 Abs. 1 BGB. Auf die zutreffenden Ausführungen des Landgerichts wird insoweit verwiesen.

Anspruchsgrundlage für den Auskunftsanspruch ist Art. 15 DSGVO. Dabei kommt es zeitlich für die Anwendbarkeit von Art. 15 nicht darauf an, ob die zu beauskunftenden Daten vor Inkrafttreten oder Geltung der DSGVO verarbeitet wurden (EuGH BeckRS 2023, 14515).

Die Beklagte hat erstinstanzlich bereits in der Klageerwiderung substantiierte Ausführungen zur erteilten Auskunft (insbesondere Schreiben vom 27.02.2024, Anlage B 16) gemacht. Mit dem genannten Schreiben habe die Beklagte der Klagepartei über das Selbstbedienungstool die Pflichtangaben nach Art. 15 Abs. 1 lit. ah zur Verfügung gestellt. Unter Ziffer 13 des Schreibens hat sie mitgeteilt, dass sie Nutzer informiert, wenn sie von behördlichen Datenanfragen betroffen sind, es sei denn eine entsprechende Mitteilung sei ihr untersagt. In diesem Fall sei sie aber von der Herausgabe der Informationen nach Art. 15 Abs. 4 DSGVO befreit. Diesen Ausführungen hat die Klagepartei in erster Instanz nichts entgegengesetzt.

Die Ausführungen in der Berufung führen ebenfalls nicht weiter. Soweit die Klagepartei rügt, der Verweis auf ein Selbstbedienungstool ersetze keinen gerichtlich durchsetzbaren Anspruch, so gilt, dass ausweislich des Erwägungsgrundes 63 S. 4 zur DSGVO ein Fernzugang zu den begehrten Informationen erwünscht und daher zur Auskunftserteilung tauglich ist (OLG Frankfurt, Beschluss vom 02.07.2024 – 6 U 41/24 mwN, BeckOK IT-Recht/Steinrötter, DS-GVO, 21. Edition, Art. 15 Rn. 6). Auch reicht der Auskunftsanspruch gemäß Art. 15 DSGVO zwar grundsätzlich weit, umfasst aber nicht alle vorhandenen Informationen (BGH, Urteil vom 15.06.2021 – VI ZR 576/19).

Soweit die Klagepartei meint, sie dürfe gerichtlich klären lassen, „ob die erteilte Auskunft vollständig war“, so gilt, dass nach § 362 Abs. 1 BGB ein Auskunftsanspruch erfüllt ist, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Umfang darstellen (BGH, Urteil vom 15.6.2021 – VI ZR 576/19, NJW 2021, 2726, Rn. 19-20, BGH, Urteil vom 3.9.2020 – III ZR 136/18,NJW 2021, 765, Rn. 43, BGH, Urteil vom 04.12.1959 – I ZR 135/58). Hier hat die Beklagte die Erfüllung behauptet, die Klagepartei hat nicht präzisiert, welche Auskünfte konkret fehlen. Im Hinblick auf gegebenenfalls an US-Behörden übermittelte Daten, beruft sich die Beklagte zu Recht darauf, dass ihr eine entsprechende Auskunft rechtlich nicht erlaubt sei. Dementsprechend konnte die Beklagte eine Auskunftserteilung zu diesem Punkt unterlassen, Art. 23 DSGVO i.v.m. § 29 Abs. 1 BDSG.

6. Nachdem kein Schadensersatzanspruch besteht, ist auch der Antrag auf Feststellung der Ersatzpflicht für künftige Schäden unbegründet.

7. Mangels Hauptanspruch besteht auch kein Anspruch auf Erstattung von vorgerichtlichen Rechtsanwaltskosten.

II.

Im Hinblick auf die obigen Ausführungen wird der Klagepartei die Rücknahme ihrer offensichtlich aussichtslosen Berufung empfohlen. Auf die in Betracht kommende Ermäßigung der Gerichtsgebühren von 4,0 auf 2,0 (vgl. KV Nr. 1220, 1222) wird hingewiesen.