LG Nürnberg-Fürth, Endurteil v. 20.02.2025 – 6 O 1485/24
Titel:
Auskunfts- und Löschungsansprüche im Zusammenhang mit der Verarbeitung personenbezogener Daten
Normenketten:
DSGVO Art. 15 Abs. 1, Art. 17 Abs. 1 lit. d, Art. 82 Abs. 1
ZPO § 259
BGB § 823 Abs. 1
GG Art. 1, Art. 2
Leitsätze:
1. Es besteht ein weitreichender Auskunftsanspruch bei der Verarbeitung von personenbezogenen Daten, die ein Onlinenetzwerk auf Dritt- Webseiten und - Apps erlangt, Art. 15 Abs. 1 DSGVO.
2. Die unrechtmäßige Verarbeitung personenbezogener Daten in Onlinenetzwerken führt zu einem Löschungsanspruch nach Art. 17 Abs. 1 d) DSGVO. Es stellt eine zulässige prozessuale Bedingung des Klageantrags nach § 259 ZPO dar, wenn zur Löschung dieser Daten "nach vollständiger Auskunftserteilung" verurteilt werden soll.
3. Der Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO ist abschließend. Ein Verstoß gegen die DSGVO kann daneben nicht mit einem nationalen Schadensersatzanspruch verfolgt werden, auch nicht gemäß § 823 Abs. 1 BGB i.V.m. Art. 1, 2 GG. Für die Schadensbemessung und - schätzung gilt, unter Beachtung der unionsrechtlichen Äquivalenz- und Effektivitätsgebote, das innerstaatliche Recht. Es ist grundsätzlich geboten, die Partei persönlich anzuhören, wenn der immaterielle Schaden über den abstrakten Kontrollverlust hinaus kompensiert werden soll, der durch eine unrechtmäßige Datenverarbeitung entstanden ist.
Schlagworte:
Zulässigkeit der Klage, Auskunftsanspruch, Löschungsanspruch, Anonymisierung von Daten, Schadensersatz, Kontrollverlust, Interessenabwägung
Fundstelle:
GRUR-RS 2025, 14063
 
Tenor
1. Die Beklagte wird verurteilt, Auskunft nach Art. 15 Abs. 1 lit. a., c., g. und h. DGSVO darüber zu erteilen, welche personenbezogenen Daten die Beklagte seit dem … verarbeitet und im Zuge dessen mit dem Nutzeraccount des Netzwerks ”…” unter der Telefonnummer „…“ der Klagepartei verknüpft hat, dies insbesondere, aber nicht ausschließlich durch die „… Tools“,
a. auf Dritt- Webseiten und - Apps die personenbezogenen Daten, die der Identifizierung der Klagepartei dienen, ob direkt oder in gehashter Form übertragen, d.h.
- E- Mail der Klagepartei
- Telefonnummer der Klagepartei
- Vorname der Klagepartei
- Nachname der Klagepartei
- Geburtsdatum der Klagepartei
- Geschlecht der Klagepartei
- Ort der Klagepartei
- Externe IDs anderer Werbetreibender (von der … “…” genannt)
- IP- Adresse des Clients
- User-Agent des Clients (d.h. gesammelte Browserinformationen)
- interne Klick- ID der …
- interne Browser- ID der …
- Abonnement - ID
- Lead- ID
- anon_id
sowie bezogen auf sämtliche so verarbeiteten personenbezogenen Daten der Klagepartei
b. auf Dritt-Webseiten
- die URLs der Webseiten samt ihrer Unterseiten
- der Zeitpunkt des Besuchs
- der Referrer (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist), – die auf der Webseite angeklickten Buttons sowie
- weitere von der … „…“ genannte Daten, die die Interaktionen auf der jeweiligen Webseite dokumentieren
c. in mobilen Dritt- Apps
- der Name der App sowie
- der Zeitpunkt des Besuchs
- die in der App angeklickten Buttons sowie
- die von der … „…“ genannte Daten, die die Interaktionen in der jeweiligen App dokumentieren
außerdem für jedes erhobene Datum,
ob, und wenn ja welche konkreten personenbezogenen Daten der Klagepartei die Beklagte seit dem … zu welchem Zeitpunkt an Dritte (Werbepartner, sonstige Partner, im Konzern verbundene Unternehmen oder sonstige Dritte) weitergegeben hat, unter Benennung dieser Dritten,
ob, und wenn ja welche konkreten Daten der Klagepartei die Beklagte seit dem … zu welchem Zeitpunkt (Beginn, Dauer, Ende) in welchem Drittstaat gespeichert hat; inwieweit die Daten der Klagepartei für eine automatisierten Entscheidungsfindung einschließlich Profiling verwendet wurden und werden. Die Beklagte hat hierfür aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebte Auswirkung einer solchen Verarbeitung für die betroffene Person zu erteilen.
2. Die Beklagte wird verurteilt, nach vollständiger Auskunftserteilung gemäß Ziffer 1. sämtliche gemäß der Ziffer 1 a. seit dem … bereits gespeicherten personenbezogenen Daten vollständig zu löschen.
3. Die Beklagte wird verurteilt, an die Klagepartei 500,00 € zuzüglich Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit … zu zahlen.
4. Im Übrigen wird die Klage abgewiesen.
5. Von den Kosten des Rechtsstreits haben der Kläger 80 % und die Beklagte 20 % zu tragen.
6. Das Urteil ist in Ziffer 1 gegen Sicherheitsleistung in Höhe von 500 €, in Ziffer 2 gegen Sicherheitsleistung in Höhe von 500 € vorläufig vollstreckbar. Im Übrigen ist das Urteil vorläufig vollstreckbar, die Parteien dürfen die Vollstreckung durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die jeweils andere Partei vor der Vollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrags leistet.
7. Der Streitwert wird auf 6.000,00 € festgesetzt.
Tatbestand
1
Die Klagepartei macht Ansprüche im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten geltend.
2
Die Klagepartei nutzt ausschließlich privat das Netzwerk „…“ unter der Telefonnummer „…“ seit dem … Hierzu bedarf es einer Anmeldung, mit der der Nutzer ein persönliches Konto und ein Nutzerprofil anlegt, in dem er Angaben zu seiner Person und weiteren persönlichen Umständen macht. Betreiberin des Netzwerks ist die Beklagte, bis zum … als “ …” firmierend, nachfolgend “ …”.
3
Als Gegenleistung für die Nutzung des Netzwerks fordert die Beklagte kein Geld. Der Klagepartei wird bei Nutzung des Netzwerks Werbung angezeigt, die auf ihren Interessen basiert, welche die Algorithmen der Beklagten aus den Tätigkeiten der Klagepartei in dem Netzwerk sowie den … Kontakten, die sie dort pflegt, extrahieren können. In diesem Kontext hat die Beklagte verschiedene sog. „… Tools“ entwickelt, die Unternehmen wie Webseitenbetreibern und AppEntwicklern Werbeeinnahmen verschaffen können und aus diesem Grund von diesen auf ihren Webseiten und in ihren Apps eingebunden werden. Dies geschieht durch Einfügen eines einfachen Skripts im Code der Webseiten und Apps („…“ für Webseiten und „…“ für Apps) und seit 2021 wahlweise durch Einbindung eines Skripts auf den Servern der Webseiten- und AppBetreiber („…“ und „…“), wodurch die Erfassung der Daten nicht mehr auf dem Rechner des Nutzers durchgeführt und somit vom Nutzer nicht mehr bemerkt werden kann. Über die analytischen und statistischen Funktionen der Beklagten erhalten die Unternehmen Daten darüber, wie Nutzer über verschiedene Geräte, Plattformen und Internetseiten mit den von ihnen angebotenen Diensten interagieren.
4
Auf zahlreichen reichweitenstarken Webseiten und Apps in Deutschland läuft “ …” oder “ …“ im Hintergrund, z.B. Nachrichtenseiten und - Apps (z.B. …de, …de, …de, …net, …de), Reiseseiten und - Apps (z.B. …de, …de, …de, …de, …de), Seiten und Apps, die medizinische Hilfe bieten (z.B. …de, …de, …de, …de, …de, …de), Datingund Erotikseiten (…de, …de, …de, …de), aber auch Seiten mit Inhalten aus der innersten Intimsphäre (…de, …com (…), …de, …nl (…, …). Diesbezüglich wird auf die Anlage K2 verwiesen.
5
Bei … gibt es mehrschichtige Datenschutzinformationen. In den Einstellungen des jeweiligen Nutzerkontos werden unter verschiedenen Menüpunkten Informationen zur Verarbeitung der personenbezogenen Daten des Nutzers und Einstellungsmöglichkeiten angeboten. Dabei setzt zunächst die Einrichtung des Nutzer- Kontos bei dem Netzwerk voraus, dass der Nutzer den Nutzungsbedingungen zustimmt (Anlage B2). Diese sehen unter anderem vor, dass die Beklagte jedem Nutzer ein „personalisiertes Erlebnis“ bereitstellt, für das seine zur Verfügung stehenden personenbezogenen Daten – einschließlich solcher, die sich aus der Nutzung anderer konzerneigener Dienste sowie aus sonstigen Internetaktivitäten des Nutzers außerhalb des Netzwerks ergeben – verwendet werden. Die Nutzungsbedingungen nehmen auf eine Datenschutzrichtlinie Bezug (Datenschutzrichtlinie von … vom …, Anlage K1), in der unter anderem erläutert wird, dass die vom Nutzer bereitgestellten Informationen und Geräteinformationen für alle benutzten …- Produkte, einschließlich der über die … Tools übersandten Informationen der Drittunternehmen erfasst und miteinander verbunden werden. Es wird mitgeteilt, dass die Beklagte seitenbezogene Textinformationen (Cookies) auf dem Nutzergerät platziert und so Informationen erhalten kann, die dort gespeichert werden, wenn der Nutzer Seiten des Netzwerks oder Internetseiten von den Drittunternehmen, die … Tools nutzen, aufruft. Diesbezüglich wird wiederum auf eine Cookie- Richtlinie der Beklagten verwiesen.
6
Die Beklagte hat eine förmliche Vereinbarung mit Drittunternehmen hinsichtlich der Nutzungsbedingungen für die … Tools und die Datenverarbeitungsbedingungen geschlossen (Anlagen B5).
7
Die Beklagte hat mit Schreiben an die Klagepartei vom … und … (Anlage B8, B8a) nähere Ausführungen zur erfolgten Datenverarbeitung gemacht. Auf den Inhalt des Schreibens wird vollumfänglich Bezug genommen.
8
Die Klagepartei führt aus, dass die Beklagte sich mit ihrer Datenschutzrichtlinie das Recht einräume, das Verhalten ihrer Nutzer nicht nur bei Nutzung von deren Produkten zu analysieren, sondern im gesamten Internet und auf einer Vielzahl der o.g. mobilen Apps. Die Klagepartei behauptet, über diese Tools zeichne die Beklagte das Nutzerverhalten jedes einzelnen Nutzers auf. Diese Erkennung erfolge durch ein sog. Digital Fingerprinting. Dadurch funktioniere die Zuordnung eines technischen Geräts zum Nutzer mit einer Genauigkeit von über 99% auch dann, wenn der Nutzer seinen Account bei der Beklagten nicht nutze bzw. nicht eingeloggt sei und Cookies der Beklagten nicht zulasse. Jeder Nutzer sei individuell erkennbar. Die Beklagte wisse, welche Seiten von den Nutzern wann besucht werden, was dort angeklickt, gesucht oder gekauft wird. Umgekehrt lasse sich für die Nutzer nachträglich nicht überprüfen oder nachverfolgen, wann die Beklagte auf welchen Seiten und in welchen Apps welche Daten verarbeitet habe.
9
Es sei anzunehmen, dass die Beklagte die Daten ausnahmslos weltweit in unsichere Drittstaaten, insbesondere die USA und gebe sie bei Bedarf an Dritte sowie an Behörden weitersende.
10
Die Klagepartei ist der Auffassung, durch die Einbindung der beklagtenseits entwickelten … Tools auf dritten Webseiten und Apps werde die Beklagte verantwortlich für sämtliche Webseiten und Apps, auf denen der Code läuft.
11
Es handele sich um eine Datenverarbeitung, die durch keine der in Art. 6 bzw 9 DSGVO normierten Rechtsgrundlagen gedeckt sei. Die Klagepartei habe nicht in die Verarbeitung von auf Dritt- Webseiten und Dritt- Apps angefallenen Daten eingewilligt. Es sei auch nicht gestattet, dass ein Webseitenbetreiber für die Datenverarbeitung durch die Beklagte aus verschiedenen Quellen eine Einwilligung im eigenen Namen einholt.
12
Die Beklagte informiere ihre Nutzer über den Umgang mit den gespeicherten Informationen nicht. Eine nachträgliche Löschung sei nicht möglich.
13
Die Klagepartei behauptet, sie besuche regelmäßig Webseiten, auf denen die … Tools der Beklagten eingebunden sind.
14
Die Klagepartei ist der Ansicht, dass sich für sie ein Entschädigungsanspruch anspruchsbegründend aus der schwerwiegenden Verletzung des Allgemeinen Persönlichkeitsrechts nach § 823 BGB i.V.m. Art. 1, 2 GG ergebe. Hierfür reiche bereits die allgegenwärtige Bedrohung, ausspioniert zu werden, aus. Eines spürbaren Leides oder eines über den Grundrechtseingriff hinausgehenden immateriellen Schadens bedürfe es nicht. Dieser Anspruch, der in einer Geldentschädigung bestehe, sei nämlich maßgeblich auf die Genugtuungsfunktion gerichtet. Er unterscheide sich hierdurch vom Anspruch des Art. 82 DSGVO, der einen Schaden voraussetze. Der von der Beklagten begangene Grundrechtseingriff erfülle die von der Rechtsprechung für den Anspruch nach § 823 BGB i.V.m. Art. 1, 2 GG aufgestellten Kriterien, mit denen das Gewicht der Rechtsverletzung festgestellt werde. Denn die streitgegenständlichen … Tools seien im Internet weit verbreitet und die Beklagte betreibe ihr Geschäftsmodell hartnäckig; ihr Beweggrund sei Geld, sie ignoriere planvoll und vorsätzlich die Vorgaben DSGVO und sie treffe ein gewichtiges Verschulden. Eine andere Genugtuung als eine Geldzahlung könne die Klagepartei nicht erreichen, da sich die Beklagte von der deutschen und europäischen höchstrichterlichen Rechtsprechung sowie von Entscheidungen der (Datenschutz) behörden nicht beeinflussen lasse.
15
Die Klage wurde am … zugestellt.
16
Die Klagepartei hat zuletzt beantragt,
1. Die Beklagte wird verurteilt, Auskunft nach Art. 15 Abs. 1 lit. a., c., g. und h. DGSVO darüber zu erteilen, welche personenbezogenen Daten die Beklagte seit dem … verarbeitet und im Zuge dessen mit dem Nutzeraccount des Netzwerks ”…” unter der Telefonnummer „…“ der Klagepartei verknüpft hat, dies insbesondere, aber nicht ausschließlich durch die „… Tools“,
a. auf Dritt- Webseiten und - Apps die personenbezogenen Daten, die der Identifizierung der Klagepartei dienen, ob direkt oder in gehashter Form übertragen, d.h.
- E- Mail der Klagepartei
- Telefonnummer der Klagepartei
- Vorname der Klagepartei
- Nachname der Klagepartei
- Geburtsdatum der Klagepartei
- Geschlecht der Klagepartei
- Ort der Klagepartei
- Externe IDs anderer Werbetreibender (von der … “…” genannt)
- IP- Adresse des Clients
- User- Agent des Clients (d.h. gesammelte Browserinformationen)
- interne Klick- ID der …
- interne Browser- ID der …
- Abonnement - ID
- Lead- ID
- anon_id 
sowie bezogen auf sämtliche so verarbeiteten personenbezogenen Daten der Klagepartei 
b. auf Dritt- Webseiten
- die URLs der Webseiten samt ihrer Unterseiten
- der Zeitpunkt des Besuchs
- der Referrer (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist), – die auf der Webseite angeklickten Buttons sowie
- weitere von der … „…“ genannte Daten, die die Interaktionen auf der jeweiligen Webseite dokumentieren
c. in mobilen Dritt- Apps
- der Name der App sowie
- der Zeitpunkt des Besuchs
- die in der App angeklickten Buttons sowie
- die von der … „…“ genannte Daten, die die Interaktionen in der jeweiligen App dokumentieren 
außerdem für jedes erhobene Datum,
ob, und wenn ja welche konkreten personenbezogenen Daten der Klagepartei die Beklagte seit dem … zu welchem Zeitpunkt an Dritte (Werbepartner, sonstige Partner, im Konzern verbundene Unternehmen oder sonstige Dritte) weitergegeben hat, unter Benennung dieser Dritten,
ob, und wenn ja welche konkreten Daten der Klagepartei die Beklagte seit dem … zu welchem Zeitpunkt (Beginn, Dauer, Ende) in welchem Drittstaat gespeichert hat;
inwieweit die Daten der Klagepartei für eine automatisierten Entscheidungsfindung einschließlich Profiling verwendet wurden und werden. Die Beklagte hat hierfür aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und angestrebte Auswirkung einer solchen Verarbeitung für die betroffene Person zu erteilen.
2. Die Beklagte wird verpflichtet, nach vollständiger Auskunftserteilung gem. des Antrags zu 1. sämtliche gem. des Antrags zu 1 a. seit dem … bereits gespeicherten personenbezogenen Daten vollständig zu löschen sowie sämtliche gem. des Antrags zu 1 b. sowie c. seit dem … bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren oder wahlweise nach der Wahl der Beklagten zu löschen.
3. Die Beklagte wird verurteilt, an die Klagepartei eine angemessene Entschädigung in Geld, deren Höhe in das Ermessen des Gerichts gestellt wird, die aber mindestens 5.000,00 Euro beträgt, nebst Zinsen i.H.v. fünf Prozentpunkten über dem Basiszinssatz seit dem …, zu zahlen.
4. Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten i.H.v. 713,76 Euro freizustellen.
17
Die Beklagte beantragt, 
die Klage abzuweisen.
18
Die Beklagte macht geltend, sie sei weder Inhaber der Drittwebseiten, welche in Anlage K2 aufgeführt seien, noch verwalte oder betreibe sie diese und habe folglich auch keine Möglichkeit, den Besuchern Informationen über die Datenverarbeitungsaktivitäten dieser Webseiten zur Verfügung zu stellen. Die Beklagte habe es aber jedenfalls Drittunternehmen vertraglich untersagt, sensible Daten mit ihr über Tools wie die … Tools zu teilen. Sofern solche Informationen trotzdem geteilt würden, würde die Beklagte die Drittunternehmen umgehend informieren, damit diese Maßnahmen ergreifen könnten, um dies in Zukunft zu verhindern.
19
Darüber hinaus habe die Klagepartei weder konkret dargelegt, welche Internet- Seiten oder Apps sie konkret besucht habe, noch dass die streitgegenständlichen Webseiten und/oder Apps, die in der Anlage K2 gelistet werden, Datenschutzvorschriften verletzt haben sollen.
20
Die Daten, welche die Beklagte aus den … Tools erhalte, würde sie nur dann für personalisierte Werbung verwenden, wenn der Nutzer ausdrücklich in „Cookies auf anderen Apps und Webseiten“ und in die Einstellung „Informationen über Aktivitäten von Werbepartnern“ eingewilligt habe. Entscheide sich ein Nutzer dafür, optionale „… Cookies auf anderen Apps und Webseiten“ nicht zu erlauben, verwende die Beklagte für „bestimmte Verarbeitungsvorgänge“ keine über Cookies und ähnliche Technologien erhobenen Daten, einschließlich der „streitgegenständlichen Datenverarbeitung“. Die Beklagte würde „nur in beschränktem Umfang“ Daten, die über die Cookies und ähnliche Technologien erhoben wurden, für „begrenzte Zwecke, wie Sicherheits- und Integritätszwecke“ nutzen (Schriftsatz vom …).
21
Die Datenverarbeitung sei durch Art. 6 Abs. 1 lit a DSGVO gedeckt.
22
Die Beklagte ist der Ansicht, der geltend gemachte Auskunftsanspruch sei erfüllt durch das außergerichtliche Anwaltsschreiben vom … und …, vorgelegt als Anlagen B8 und B8a.
23
Zudem verleihe Art. 17 DSGVO einer betroffenen Person kein Recht auf Anonymisierung. Ein solcher Anspruch sei der DSGVO insgesamt fremd.
24
Nach Ansicht der Beklagten könne zudem ein Schadensersatzanspruch nicht allein auf eine behauptete Verletzung von DSGVO- Vorschriften gestützt werden. Die reine Befürchtung, dass Daten missbraucht werden könnten, genüge nicht.
25
Eine Beweisaufnahme hat nicht stattgefunden.
26
Das Gericht hat die Klagepartei informatorisch angehört. Zur Ergänzung des Sach- und Streitstandes wird auf die wechselseitigen Schriftsätze der Parteien nebst Anlagen sowie das Protokoll der mündlichen Verhandlung vom 27.11.2024 Bezug genommen.
27
Die Beklagte hat mit nicht nachgelassenem Schriftsatz vom … nochmals zur Sache und mit nachgelassenem, aber nicht fristgemäß eingegangenem Schriftsatz vom … nochmals vorgetragen.
Entscheidungsgründe
28
Die Klage hat teilweise Erfolg.
A. Zulässigkeit
29
Die Klage ist zulässig.
30
1. Das Landgericht Nürnberg- Fürth ist international, sachlich und örtlich zuständig.
31
Die internationale Zuständigkeit der deutschen Gerichte folgt aus Art. 79 Abs. 2 Satz 2 DSGVO, weil der Kläger als betroffene Person seinen gewöhnlichen Aufenthalt in Deutschland hat (vgl. BGH, Urteil vom 23.05.2023 – VI ZR 476/18, Rn. 27, juris; BGH, Urteil vom 27.07.2020 – VI ZR 405/18, juris Rn. 16).
32
Die örtliche Zuständigkeit ergibt sich nach § 44 Abs. 1 BDSG. Ferner handelt es sich um ein streitwertabhängiges Verfahren, das sachlich den Landgerichten zugewiesen ist, §§ 71 Abs. 1 i.V.m. 23 Nr. 1 GVG.
33
2. Die Klageanträge, sind mit Ausnahme eines Teils des Klageantrags zu Ziff. 2, zulässig.
34
2.1 Der erste Teil des Klageantrags zu 2., mit dem eine Löschung begehrt wird, steht unter der Bedingung, dass die Beklagte zuvor vollständig Auskunft erteilt hat. Hierbei handelt es sich um eine im Rahmen des § 259 ZPO zulässige Bedingung, die im Sinne des § 253 Abs. 2 Nr. 2 ZPO hier auch genau bezeichnet ist (zur Zulässigkeit vgl. Zöller, ZPO, 35. Auflage 2024, § 259 Rn. 2; Musielak / Voit, ZPO, 21. Auflage 2024, § 259 Rn. 2). Die Kategorie der „vollständigen Auskunftserteilung“ ist zwar kein feststehender Rechtsbegriff. Im Rahmen der Vollstreckung wäre hier aber lediglich die Frage zu klären, ob Erfüllung im Sinne von § 362 BGB eingetreten ist. Mit dieser Frage hat sich das Gericht aufgrund des Antrags zu 1) ohnehin auseinanderzusetzen (vgl. dazu auch weiter unten unter B. I. 2).
35
2.2 Hingegen ist der zweite Teil des Klageantrags zu 2. unzulässig.
36
Soweit die Klagepartei von der Beklagten wahlweise Anonymisierung oder Löschung der gem. dem Antrag zu 1 b sowie c seit dem … bereits gespeicherten Daten begehrt, handelt es sich um eine alternative Klagehäufung, die wegen fehlender Bestimmtheit gemäß § 253 Abs. 2 Nr. 2 ZPO unzulässig ist, da weder eine Wahlschuld im Sinne von § 262 BGB noch ein Fall der elektiven Konkurrenz vorliegt (vgl. OLG München vom 02.09.2021 – 8 U 1796/18; Reichold, in: Thomas/Putzo, ZPO, 44. Auflage, § 260 Rn. 7).
37
a) Gemäß § 262 BGB steht dem Schuldner im Zweifel ein Wahlrecht zu, wenn mehrere Leistungen in der Weise geschuldet sind, dass nur die eine oder die andere zu bewirken ist. Es besteht insoweit nur ein einheitlicher Anspruch mit alternativem Inhalt, durch die Wahl auf eine bestimmte Leistung konkretisiert wird. Ein Fall der elektiven Konkurrenz liegt vor, wenn dem Gläubiger wahlweise mehrere, inhaltlich verschiedene Rechte zur Auswahl gestellt werden, die einander nach bindender Auswahl eines Anspruchs ausschließen.
38
b) Die im Antrag genannten Ansprüche auf Anonymisierung bzw. Löschung der gespeicherten Daten stehen indes nicht auf solche Weise nebeneinander. Denn die Klagepartei hat gegen die Beklagte keinen Anspruch auf Anonymisierung:
39
Die DSGVO kennt einen Anspruch auf Anonymisierung nicht. Ein solcher Anspruch folgt entgegen der Ansicht der Klagepartei auch nicht aus Art. 17 Abs. 1 DSGVO. Bei der Anonymisierung handelt es sich nicht um ein „Minus“ zur Löschung, sondern um ein aliud. Denn Löschen bedeutet das physische Beseitigen der Daten so, dass sie nicht weiterverarbeitet werden können. Dagegen beseitigt Anonymisieren nur den Personenbezug und ermöglicht, dass Daten weiterverarbeitet werden können. In der DSGVO gibt es keine Hinweise, dass eine Anonymisierung von Daten eine Datenlöschung ersetzen kann. Vielmehr verändert diese Gleichsetzung die Risikosituation der betroffenen Person: Die Daten sind nicht beseitigt, sondern werden durch ihre Verstreuung und durch die Fortentwicklung von Analysetechniken dem Risiko der Re- Identifikation ausgesetzt (Roßnagel, ZD 2021, 188). Auch kann in dem gestellten Antrag auf Anonymisierung keine wirksame Einwilligung der betroffenen Person in die Ersetzung der Löschung durch Anonymisierung gesehen werden (dazu Stürmer ZD 2020, 626), da dann für den Datenverantwortlichen unklar bliebe, welcher Umfang der Veränderung und Weiterverarbeitung der Daten von der Einwilligung der betroffenen Person gedeckt sein soll.
40
2.3 Der Antrag auf Löschung ist, obwohl einheitlich im Klageantrag zu 2. gestellt, vom restlichen Klageantrag abtrennbar und als solcher zulässig.
B. Begründetheit
41
Die Klage ist im tenorierten Umfang begründet.
42
1. Die Klagepartei hat gegen die Beklagte einen Anspruch auf die begehrte Auskunftserteilung aus Art. 15 Abs. 1 DSGVO.
43
Grundsätzlich besteht nach Art. 15 Abs. 1 DSGVO ein Anspruch auf Auskunft der betroffenen Person gegen den Verantwortlichen in dem in Art. 15 Abs. 1 lit. a) – lit. h) bezeichneten Umfang, wenn der Verantwortliche personenbezogene Daten verarbeitet (vgl. BGH vom 15.06.2021 – VI ZR 576/19 = NJW 2021, 1381).
44
1.1 Der sachliche Anwendungsbereich ist vorliegend gemäß Art. 2 DSGVO eröffnet, da die Beklagte personenbezogene Daten der Klagepartei über das Netzwerk verarbeitet, insbesondere durch die Einbindung der ihrerseits entwickelten … Tools auf dritten Webseiten und in Apps von ihr oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entschieden wird. Ein Ausschlussgrund nach Art. 2 Abs. 2, 3 DSGVO liegt nicht vor. Auch der räumliche Anwendungsbereich nach Art. 3 Abs. 1 DSGVO ist eröffnet. Die Beklagte ist als Betreiberin des Netzwerks Verantwortliche i.S.d. Art. 4 Nr. 7 DSGVO. Sie hat ihren Sitz in Irland und damit eine Niederlassung innerhalb der Europäischen Union.
45
1.2 Das Gericht ist davon überzeugt, dass die im Antrag zu 1 genannten personenbezogenen Daten der Klagepartei von der Beklagten verarbeitet werden. Nach Art. 4 Nr. 2 DSGVO ist jeder Vorgang, der personenbezogene Daten verwendet, als Verarbeitung zu verstehen, unabhängig davon, ob er mit oder ohne automatisierte Verfahren durchgeführt wird. Bereits das Erheben und Erfassen von Daten ist als Verarbeitung zu verstehen (Klabunde/Horváth, in: Ehmann/Selmayr, Datenschutz- Grundverordnung, 3. Auflage, Art. 4 Rn. 23). Die Klagepartei hat nachvollziehbar vorgetragen, dass die Beklagte mittels … Tools Informationen über die Bewegungen des Klägers auf Dritt- Webseiten erlangt und verarbeitet und sich durch ihre Datenschutzrichtlinie auch vorbehält, dies zu tun. Das Vorbringen der Klagepartei zu Aktionen auf hiervon betroffenen DrittWebseiten ist entgegen der Auffassung der Beklagten auch hinreichend substantiiert. Es genügt, dass die Klagepartei sich hierfür auf allgemeine Informationen zum Geschäftsmodell der Beklagten und zum Vorgehen in technischer Hinsicht gestützt hat. Kenntnisse dazu, auf welchen Dritt- Webseiten die Beklagte die … Tools konkret weltweit einsetzt, und mithin Vortrag dazu, welche dieser Seiten die Klagepartei im Einzelnen genutzt hat, kann von ihr nicht erwartet werden. Der dahingehende Vortrag der Klagepartei ist von der Beklagten auch gar nicht wirksam bestritten worden. Zwar hat die Beklagte eine „streitgegenständliche Datenverarbeitung“ mehrfach negiert. Das Vorbringen ist jedoch uneindeutig und damit unsubstantiiert. Die Beklagte hat den wiederholt von ihr verwendeten Begriff der „streitgegenständlichen Datenverarbeitung“ dahin gehend bestimmt, es handele sich um die Verarbeitung der personenbezogenen Daten der Klagepartei, welche die Beklagte aus den … Tools erhalten hat, „um der Klageseite personalisierte Werbung anzuzeigen“ (Klageerwiderung vom …). Die Beklagte hat weiter vorgetragen, der Nutzer müsse ausdrücklich in die Einstellung „Informationen über Aktivitäten von Werbepartnern“ einwilligen; tue er das nicht, nehme die Beklagte keine „streitgegenständliche Datenverarbeitung“ vor (Klageerwiderung vom …). Damit geht die Beklagte aber in keiner Weise auf den Vortrag der Klagepartei ein, dass sie, selbst wenn ein Nutzer nicht eingewilligt hat, sehr wohl Daten über die Nutzung von Dritt- Webseiten via ihrer … Tools erhält und speichert. Sie behauptet lediglich, dies nicht zu dem Zweck zu tun, um der Klagepartei personalisierte Werbung anzuzeigen. Die Beklagte hat den Vortrag der Klagepartei auch teilweise ausdrücklich bestätigt, indem sie zugegeben hat, dass zwar einerseits keine über Cookies erhobenen Daten verwendet, andererseits aber eingeschränkt Daten, die über Cookies erhoben wurden, für eingeschränkte Zwecke genutzt würden
46
1.3 Die Beklagte schuldet die Auskunft in dem Umfang, wie von der Klagepartei beantragt.
47
Insbesondere ist der Verantwortliche, wenn personenbezogene Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet, der betroffenen Person gem. Art. 15 Abs. 1 Hs. 2 lit c die Identität der konkreten Empfänger zu benennen (EuGH EuZW 2023, 226; Schmidt- Wudy, in: BeckOK Datenschutzrecht, Stand 01.08.2024, Art. 15 Rn. 58). Es besteht auch ein Anspruch auf Offenlegung des konkreten Zeitpunkts. Denn der Zeitpunkt der Verarbeitung ermöglicht es erst, die Rechtmäßigkeit der Verarbeitung überprüfen zu können, da zum Zeitpunkt der Verarbeitung die in den Art. 5 und 6 DSGVO vorgesehenen Voraussetzungen für die Rechtmäßigkeit erfüllt sein müssen (EuGH vom 22.6.2023 – C- 579/21 = NZA 2023, 889).
48
Auskunft über alle verfügbaren Informationen über die Herkunft der Daten ist gem. Art. 15 Abs. 1 Hs. 2 lit. g geschuldet. Einzige Voraussetzung für die Pflicht zur Auskunft über die Herkunft der Daten ist, dass diese Daten nicht beim Betroffenen erhoben wurden (vgl. BGH, BeckRS 2022, 5496). Ob der Verantwortliche die Daten selbst aktiv beschafft hat oder von einem Dritten mitgeteilt erhalten hat, ist ohne Belang (a.a.O.).
49
Findet ein Verfahren nach Art. 22 DSGVO statt, so ist dies schließlich im Rahmen des Abs. 1 Hs. 2 lit. h zu beauskunften.
50
1.4 Die Beklagte hat den Anspruch nicht erfüllt.
51
Erfüllt im Sinne des § 362 Abs. 1 BGB ist ein Auskunftsanspruch grundsätzlich dann, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erfüllung nicht entgegen. Vielmehr führt der Verdacht, dass eine erteilte Auskunft unvollständig oder unrichtig ist, grundsätzlich zu einem Anspruch auf eidesstattliche Versicherung der Vollständigkeit der erteilten Auskunft (BGH, Urteil vom 15.06.2021, Az. VI ZR 576/19, NJW 2021, 2726f.).
52
Vorliegend hat die Beklagte den Anspruch mit den als Anlage B 8 und B8a vorgelegten Schreiben an die Klagepartei vom … bzw. … nicht erfüllt. Die dort erteilte Auskunft enthält so erhebliche Lücken, dass sie nicht nur als unvollständig, sondern als schlichtweg nicht erteilt anzusehen ist.
53
Dies liegt zum einen darin begründet, dass die Beklagte den Umfang der von der Klagepartei gewünschten Auskunft abweichend definiert hat (s. oben). Die Aussagen der Beklagten in ihrem Schreiben an die Klagepartei in Anlagen B 8 und B8a sind insofern nichtssagend und steht im Widerspruch zu der Aussage der Beklagten, dass zwar einerseits keine über Cookies erhobenen Daten verwendet, andererseits aber eingeschränkt Daten, die über Cookies erhoben wurden, für eingeschränkte Zwecke genutzt würden (Klageerwiderung vom …).
54
Soweit die Beklagte in der genannten Anlage vorgetragen hat, sie habe „keine Verarbeitung in Bezug auf die personenbezogenen Daten der Klageseite festgestellt, die in den Anwendungsbereich von Art. 22 Abs. 1 DSGVO“ fallen, kommt auch dieser Aussage schon kein Auskunftscharakter zu, weil unklar ist, was mit Daten „im Anwendungsbereich von Art. 22 Abs. 1 DSGVO“ gemeint sein soll. Findet ein Verfahren nach Art. 22 DSGVO statt, so hat der Verantwortliche gem. Art. 15 Abs. 2 lit. h der betroffenen Person das Bestehen der automatisierten Entscheidungsfindung sowie deren Folgen mitzuteilen (Schmidt- Wudy, in: BeckOK Datenschutzrecht, Stand 01.08.2024, Art. 15 Rn. 77; Paal, in: Paal/Pauly, DSGVO, 3. Auflage 2021, Art. 15 Rn. 31).
55
Zum anderen beschränkt sich das Schreiben größtenteils auf Informationen über die Möglichkeit, über die Webseite der Beklagten Auskünfte zu erlangen, dies über mehrseitige Klick- Anleitungen.
56
Konkrete Auskünfte enthält das Schreiben dagegen nicht.
57
Daher war der Klageantrag zu Ziff. 1 zuzusprechen.
58
2. Die Klagepartei hat aus den unter Ziffer 1. ausgeführten Gründen einen Anspruch gegen die Beklagte auf Löschung der unter Antrag 1a genannten Daten gem. Art. 17 Abs. 1 d) DSGVO.
59
2.1 Es liegt eine unrechtmäßige Datenverarbeitung vor, die zum Löschungsanspruch führt.
60
Die Beklagte kann sich nicht auf die geltend gemachte Einwilligung der Nutzer nach Art. 6 Abs. 1 a), Art. 9 Abs. 2 a) DSGVO ihr gegenüber (hierzu unter a.) oder Drittunternehmern gegenüber (hierzu unter d.) berufen. Die Datenverarbeitung ist auch nicht für die Vertragserfüllung nach Art. 6 Abs. 1 b), Art. 9 Abs. 2 b) DSGVO erforderlich (hierzu unter b.). Die Verarbeitung ist schließlich nicht durch überwiegende Interessen der Beklagten oder der Drittanbieter gegenüber den Interessen und Rechten der betroffenen Personen nach Art. 6 Abs. 1 f) DSGVO gerechtfertigt (hierzu unter c.).
61
a) Die für die Nutzung des … Netzwerks verlangte Zustimmung in die Datenverarbeitungskonditionen stellt keine freiwillige Einwilligung gemäß Art. 6 Abs. 1 a), Art. 9 Abs. 2 a) DSGVO dar.
62
aa) Art. 6 Abs. 1 a) und Art. 9 Abs. 2 a DSGVO verlangen die Einwilligung der betroffenen Person im Hinblick auf die Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke bzw. die Verarbeitung besonderer Kategorien von Daten.
63
Die Beklagte behauptet, die Einwilligung werde dadurch erteilt, dass die Nutzer den Schalter „Optionale Cookies erlauben“ bzw. einen solchen bei „Informationen über Aktivitäten von Werbepartnern“ aktivieren.
64
Selbst bei erteilter Einwilligung ist eine solche jedoch nicht als freiwillig i.S.d. Art. 4 Nr. 11 DSGVO anzusehen.
65
Der Ausdruck „Einwilligung“ bedeutet „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“ (EuGH vom 04.07- 2023 – C- 252/21 = GRUR 2023, 1131; Schild, in: BeckOK Datenschutzrecht, Stand 01.08.2024, Art. 4 DSGVO Rn. 122). Eine betroffene Person hat eine Einwilligung nur dann freiwillig gegeben, wenn sie eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden (vgl. Erwägungsgrund 42 DSGVO).
66
Nach der Intention des Gesetzgebers kann eine Einwilligung zudem mangels Freiwilligkeit unwirksam sein, wenn zwischen den Vertragsparteien ein Ungleichgewicht vorliegt (vgl. Erwägungsgrund 43 der DSGVO). Ist dieses indiziert, ist eine Abwägung anhand der Umstände des Einzelfalls vorzunehmen, wobei insbesondere die Erforderlichkeit der Datenfreigabe für den jeweiligen Vertrag, das Vorliegen zumutbarer Alternativen und die Beantwortung der Frage entscheidend ist, ob ein angemessener Interessenausgleich stattgefunden hat (EuGH vom 04.072023 – C- 252/21 = GRUR 2023, 1131).
67
bb) Die Klagepartei wurde vorliegend schon nicht im erforderlichen Umfang über die Datenverarbeitung durch die Beklagte in Kenntnis gesetzt.
68
Der unter der Schaltfläche „Optionale Cookies erlauben” aufgeführte Text (siehe die unstreitig gebliebene bildliche Darstellung S. … der Replik vom …) stellt keine umfassende Erläuterung der Datenverarbeitung der Beklagten dar.
69
Der jeweilige Nutzer kann durch diese insbesondere Dauer, Umfang und Zweck der Datenverarbeitung nicht vollständig erfassen. So spricht die Beklagte ausschließlich von „optionalen Cookies”. Welche Cookies sie als „optional” und welche sie als „nicht optional” betrachtet, wird aus dem Text der Beklagten nicht deutlich. Ebenso bleibt unklar, inwieweit das streitgegenständliche Digital Fingerprinting mit umfasst ist. Nach dem Wortlaut geht es ausschließlich um Cookies. Es wird nicht ersichtlich, wie und für welche Zwecke diese Cookies genutzt werden. Die Beklagte führt aus: „Mithilfe dieser Cookies können andere Unternehmen Informationen über deine Aktivitäten in ihren Apps und auf ihren Websites mit uns teilen”. Weder führt die Beklagte aus, um welche Art von Informationen es geht, noch wird klar, was für einen Unterschied die „Einwilligung” machen soll. Denn auch ohne Einwilligung werden die Daten augenscheinlich verwendet: „Wenn Du diese Cookies nicht erlaubst, verwenden wir Informationen in eingeschränkten Umfang…”, „Wenn Du diese Cookies nicht erlaubst, kann es sein, dass wir weiterhin aggregierte Informationen zu Aktivitäten in diesen Apps und auf diesen Websites erhalten. Deine persönlichen Cookie- Informationen sind darin jedoch nicht enthalten.” Für den Nutzer ist zudem nicht klar, auf welchen Webseiten bzw. in welchen Apps „von anderen Unternehmen“ die Datenerfassung erfolgt. Die Beklagte stellt eine entsprechende Datenbank nicht zur Verfügung.
70
Auch der unter der Schaltfläche „Informationen über Aktivitäten von Werbepartnern” aufgeführte Text (Abbildung 3 der Klageerwiderung vom …) stellt keine ausreichende Erläuterung der Datenverarbeitung der Beklagten dar. Aus Sicht des Nutzers besteht nur eine Einstellmöglichkeit dahingehend, welche Werbung diesem angezeigt wird. So heißt es hier „Ja, meine Werbung mithilfe dieser Informationen relevanter machen“ und „Wir zeigen dir Anzeigen, die - basierend darauf, was dir bereits gefällt – relevanter für dich sind“. Aus der Schaltfläche ergibt sich folglich nicht, dass durch die Einwilligung bzw. die Verweigerung Einfluss auf die Datenverarbeitung genommen werden kann, die nicht die bloße Darstellung von Werbung betrifft.
71
Auch die Datenschutzrichtlinie der Beklagten kann dieses Informationsdefizit nicht kompensieren. Auf diese wird in der in Rede stehenden Schaltfläche „optionale Cookies“ schon nicht erkennbar Bezug genommen, sodass ein durchschnittlich aufmerksamer und verständiger Nutzer auf die relevanten Informationen schon gar nicht zu stoßen vermag. Zudem ist die Datenschutzrichtlinie derart offen formuliert, dass der Umfang der Datenverarbeitung wiederum im Unklaren bleibt. So heißt es im Abschnitt „Informationen von Partnern, Anbietern und sonstigen Dritten“ (S. … der Anlage K 1): „Wir erheben und erhalten Informationen von Partnern, Anbietern für Messlösungen, Anbietern von Marketinglösungen und sonstigen Dritten zu vielen deiner Informationen und Aktivitäten auf und außerhalb von unseren Produkten. Hier sind einige Beispiele für Informationen, die wir über dich erhalten: Deine Geräteinformationen, Websites, die du besuchst, und CookieDaten, etwa durch soziale Plugins oder das …, Apps, die du nutzt, Spiele, die du spielst, Käufe und Transaktionen, die du über unsere Produkte tätigst und bei denen du eine CheckoutFunktion nutzt, die nicht von … ist, Werbeanzeigen, die du dir ansiehst, und wie du mit ihnen interagierst, Wie du die Produkte und Dienste bzw. Dienstleistungen unserer Partner online oder persönlich nutzt“. Aus diesem nicht abschließenden Beispielskatalog kann der Nutzer nichts Konkretes ableiten. Er kann nicht wissen, in welchen Konstellationen welche Daten verarbeitet werden. Möglich ist, dass er annimmt, es werde ab dem Zeitpunkt der Einwilligung schlicht seine gesamte Aktivität bei Dritten registriert, ebenso kann er aber davon ausgehen, dass die Beklagte die Datengewinnung entsprechend der erstgenannten Beispiele eher restriktiv betreibt. Auch die einzelnen genannten Beispiele sind für sich betrachtet mehrdeutig. Dass der Betreiber einer Drittwebseite bzw. einer Drittanbieter- App Informationen übermittelt, welche Webseite bzw. App der Nutzer nutzt, ist für sich genommen noch nachvollziehbar. Inwieweit allerdings welche Informationen darüber geteilt werden, welche Werbeanzeigen sich der Nutzer ansieht und wie mit diesen intergargiert wird, ist intransparent. Wieder kann der Nutzer sowohl von einer Erfassung aller irgendwie erfassbaren Interaktionen als auch von einem restriktiveren Vorgehen ausgehen. Ebenfalls unklar ist die Ausführung zum zuletzt aufgeführten Beispiel, nach welchem die Beklagte Informationen des Nutzers darüber erhält, wie dieser „die Produkte und Dienste bzw. Dienstleistungen unserer Partner online oder persönlich nutzt“. Hierunter kann dem Wortlaut nach schlicht die Kontrolle der gesamten Nutzung von Drittwebseiten und Drittanbieter- Apps fallen. Auch kann der Datenschutzrichtlinie nicht entnommen werden, bei bzw. von welchen Dritten Informationen erhoben und erhalten werden. Dies ist schon deshalb nicht möglich, weil die Beklagte an dieser Stelle weder eine Liste zur Verfügung stellt, auf der diese Dritten aufgeführt sind noch die Dritten in sonstiger Weise kenntlich macht.
72
In Anbetracht des Umfangs der fraglichen Datenverarbeitung und ihrer erheblichen Auswirkungen auf die Nutzer des Netzwerks sowie angesichts des Umstands, dass diese Nutzer vernünftigerweise nicht damit rechnen können, dass andere Daten als die, die ihr Verhalten innerhalb des … Netzwerks betreffen, von der Beklagten verarbeitet werden, wäre es, um die nötige Transparenz im Sinne des 43. Erwägungsgrunds der DSGVO zu gewährleisten insofern erforderlich, dass eine Einwilligung gesondert für die Verarbeitung der netzwerkinternen Daten einerseits und der netzwerkexternen Daten andererseits erteilt werden kann (so auch EuGH vom 04.07- 2023 – C- 252/21 = GRUR 2023, 1131). Eine derartige Möglichkeit hat die Beklagte jedoch nicht dargetan.
73
cc) Die Klagepartei ist durch die Verarbeitung der personenbezogenen Daten auch unangemessen benachteiligt. Die streitgegenständliche Datenverarbeitung betrifft solche Vorgänge, die auf Drittwebseiten bzw. bei der Nutzung von Drittanbieter- Apps stattfinden. Die Erfassung ist keinesfalls notwendig, um die Funktionen des … Netzwerks zur Verfügung stellen zu können. Vielmehr dient sie vorwiegend den wirtschaftlichen Interessen der Beklagten, welcher eine enorme Marktmacht zukommt und der gegenüber sich der einzelne private Nutzer in einer erheblich unterlegenen Position befindet (vgl. auch BKartA vom …). Dem Nutzer, der sich zur Nutzung eines … Netzwerkes entschließt und auch seinem Hauptinteresse, nämlich mit möglichst vielen Bekannten in Kontakt treten bzw. bleiben zu können, entsprechen möchte, bleibt nach lebensnaher Betrachtung in vielen Fällen nur die Wahl eines Netzwerkes der Beklagten. Dem jeweiligen Nutzer, der an der Nutzung eines … Netzwerkes gelegen ist, stehen auch keine geeigneten Alternativen zur Verfügung. So führt es insbesondere auch nicht zu einem angemessenen Interessenausgleich, dass die Beklagte ihren Nutzern seit … anbietet, ihre Dienste gegen Entrichtungen eines monatlichen Entgeltes werbefrei nutzen zu können. Denn es spielt für die Datenverarbeitung auf Drittwebseiten und in Drittanbieter- Apps keine Rolle, ob sich der jeweilige Nutzer für eine kostenpflichtige Nutzung entschließt. Dem Nutzer wird durch das Abonnement bei der Beklagten nur die Möglichkeit verschafft, sein Konto „werbefrei“ nutzen zu können.
74
b) Der Vollständigkeit halber bleibt festzuhalten, dass die Beklagte sich auch nicht auf Art. 6 Abs. 1 b) DSGVO, die Erfüllung eines Vertrags, stützen kann. Die Beklagte hat mitgeteilt, dass sie sich auf diesen Rechtfertigungsgrund nicht (mehr) ausdrücklich beruft. Die Voraussetzungen sind auch nicht erfüllt: Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Norm angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil, der für die betroffene Person bestimmten Vertragsleistung ist. Die Beklagte hat hier nicht nachgewiesen, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte.
75
Was die auf die Personalisierung der Inhalte gestützte Rechtfertigung betrifft, so ist eine solche Personalisierung für den Nutzer zwar insofern von Nutzen, als sie es u.a. ermöglicht, dass ihm ein Inhalt angezeigt wird, der weitgehend seinen Interessen entspricht. Gleichwohl erscheint die Personalisierung der Inhalte nicht erforderlich, um dem Nutzer die Dienste des … OnlineNetzwerks anzubieten. Diese Dienste können gegebenenfalls in Form einer gleichwertigen Alternative an ihn erbracht werden, die nicht mit einer derartigen Personalisierung verbunden ist, so dass diese nicht objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der Dienste ist. Eine Verarbeitung personenbezogener Daten, die von Drittanbietern stammen, scheint jedenfalls nicht erforderlich zu sein, um die Erbringung des Netzwerk- Dienstes zu ermöglichen (siehe auch EuGH vom 04.07- 2023 – C- 252/21 = GRUR 2023, 1131 zur …).
76
c) Von den übrigen Rechtfertigungsgründen des Art. 6 Abs. 1 DSGVO kommen lit c) – e) nicht in Betracht, dies schon deshalb, weil eine Datenverarbeitung nicht auf Vorrat erfolgen darf, für den Fall, dass eine der in Art. 6 Abs. 1 c) – e) DSGVO geregelten Situationen oder Aufgaben eintritt oder übertragen wird. Einer der dort besonders normierten Zwecke wird durch die Beklagte derzeit nicht erfüllt. Die streitgegenständliche Datenverarbeitung aus konzerneigenen Diensten und über die … Tools sind schließlich auch nicht nach der gemäß Art. 6 Abs. 1 f) DSGVO gebotenen Interessenabwägung gerechtfertigt.
77
Art. 6 Abs. 1 f) erklärt die Verarbeitung personenbezogener Daten dann für rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die datenschutzbezogenen Interessen, Grundrechte und Grundfreiheiten des Betroffenen nicht überwiegen.
78
Eine Erforderlichkeit der streitgegenständlichen Datenverarbeitung ist von der Beklagten weder hinreichend vorgetragen worden noch sonst ersichtlich.
79
aa) Die Beklagte geht davon aus, die Datenverarbeitung von „App- , Browser- und Geräteinformationen“, hier insbesondere die der „Informationen von Cookies und ähnlichen Technologien“, sowie die von „Informationen von Partnern, Anbietern und Dritten“ sei nach S. … der Datenschutzrichtlinie gerechtfertigt, wenn die Beklagte „zur Offenlegung von Informationen verpflichtet ist“. Ebenfalls würden Informationen in Fällen verarbeitet, in denen dies dem Schutz des Nutzers oder dazu dient, Schäden zu verhindern („Wesentliches Interesse“), vgl. S. … der Datenschutzrichtlinie der Beklagten. Die Datenverarbeitung von „App- , Browser- und Geräteinformationen“, hier insbesondere die der „Informationen von Cookies und ähnlichen Technologien“, sowie die von „Informationen von Partnern, Anbietern und Dritten“ sei gem. S. … der Datenschutzrichtlinie zum „Schutz […] wesentlicher Interessen“ des Nutzers oder einer anderen Person gerechtfertigt. Zudem würden Informationen so verarbeitet, wie es im öffentlichen Interesse erforderlich sei („Öffentliches Interesse“), vgl. S. … der Datenschutzrichtlinie der Beklagten. Die Datenverarbeitung von „App- , Browser- und Geräteinformationen“, hier insbesondere die der „Informationen von Cookies und ähnlichen Technologien“, sowie die von „Informationen von Partnern, Anbietern und Dritten“ soll nach S. … der Datenschutzrichtlinie der „Forschung für soziale Zwecke“ und der „Förderung von Schutz, Integrität und Sicherheit“ dienen.
80
Diese geltend gemachten Ziele der Personalisierung einschließlich der zielgerichteten Werbung, die Mess- und Analysezwecke, die Nutzer- und Netzwerksicherheit sowie die erwähnten Forschungszwecke und Reaktionen auf rechtliche Anfragen, können grundsätzlich berechtigte Interessen nach Art. 6 Abs. 1 f) DSGVO darstellen. Entscheidend ist dabei allerdings, ob das rechtmäßige Interesse für die Prüfung der Ausgewogenheit hinreichend klar artikuliert ist und tatsächlich sowie gegenwärtig existiert.
81
bb) Die berechtigten Interessen sind auf dieser Grundlage schon nicht hinreichend klar artikuliert worden. Denn die beweisbelastete Beklagte (zur Beweislast für das Bestehen berechtigter Interessen i.S.v. Art. 6 Abs. 1 f) DSGVO siehe LG Kassel GRUR- RS 2024, 25765) trägt im vorliegenden Verfahren berechtigte Interessen lediglich in allgemeiner Form vor und wiederholt lediglich die Ausführungen zu den berechtigten Interessen in den Rechtsgrundlagen, auf die die Datenrichtlinie verweist. Der Vortrag stellt keine hinreichend verständliche Spezifizierung der berechtigten Interessen dar, die der Abwägungsprüfung mit den Interessen und Rechten der betroffenen Personen zugänglich wäre. Denn er substantiiert weder im Einzelnen die eigenen Interessen, wie etwa die Sicherheitsinteressen, noch ist eine differenzierte Darstellung ersichtlich, aus der sich die Erforderlichkeit, der im Einzelnen erfassten und erfassbaren Daten sowie ihrer Zuordnung zu dem Nutzerkonto ergibt. Auch erklärt sich die Beklagte nicht zur Art der Datenverarbeitung, insbesondere zu dem für die Personalisierung des Dienstes und die Werbung eingesetzten Profiling und dem Beitrag der betroffenen Daten hierzu.
82
cc) Nach Art. 6 Abs. 1 f) DSGVO sind in der Interessenabwägung nicht nur die berechtigten Interessen der Beklagten, sondern auch die berechtigten Interessen Dritter zu berücksichtigen.
83
Dies können im vorliegenden Fall grundsätzlich nicht nur die Interessen der kommerziellen Partner, sondern auch diejenigen der breiteren Gemeinschaft der Netzwerk- Nutzer sein. Letztere sind dabei allerdings nur schwerlich als Dritte anzusehen, da sie als solche gemeinschaftlich von der Datenverarbeitung betroffen sind. Diese können daher allenfalls bei der Bewertung der Interessen und Rechte der betroffenen Personen zu berücksichtigen sein (siehe unter dd.). Insgesamt dürften sich die hier geltend gemachten Interessen Dritter mit denjenigen decken, welche die Beklagte auch für sich selbst in Anspruch nimmt. Dies gilt schließlich auch für ein öffentliches Interesse an der von der Beklagten erwähnten Verhinderung von rechtswidrigen oder strafbaren Handlungen. Unterstellt die Beklagte ginge über die – von ihr nicht näher vorgetragenen und belegten besonderen rechtlichen Verpflichtungen – hinaus, um zur Rechtsdurchsetzung beizutragen oder private Akteure bei ihren Bemühungen zur Bekämpfung rechtswidriger Handlungen zu unterstützen, so wäre auch in solchen Fällen besonders wichtig, dafür zu sorgen, dass die Grenzen von Art. 6 Abs. 1 f) DSGVO voll respektiert werden. Denn einem privaten Wirtschaftsteilnehmer wie der Beklagten kommt gerade kein schutzwürdiges Interesse daran zu, Strafverfolgungs- und Strafvollstreckungsbehörden zu informieren, um Straftaten zu verhindern, aufzudecken und zu verfolgen, da ein solches Interesse mit ihrer wirtschaftlichen und kommerziellen Tätigkeit nichts zu tun hat (EuGH vom 04.07- 2023 – C- 252/21 = GRUR 2023, 1131; Buchner/Petri, in: Kühling/Buchner- DSGVO, 4. Auflage, Art. 6 Rn. 147a).
84
dd) Zu berücksichtigen und abzuwägen sind schließlich die Interessen und Rechte der betroffenen Personen, in diesem Fall der Nutzer. Dazu gehören insbesondere das Interesse und Recht der Nutzer an der Wahrung der informationellen Selbstbestimmung und ihrer Privatsphäre. Die streitgegenständliche Datenverarbeitung der personenbezogenen Daten umfasst in hohem Umfang sensible Daten. Dies betrifft sämtliche Kommunikationsdaten und - inhalte der Nutzer, Kontakte, Geräteinformationen, Standortinformationen, Signalinformationen und nach dem unbestrittenen Vortrag der Klagepartei auch das umfassende Verhalten auf Seiten von Drittanbietern. Der erhebliche Umfang an Daten macht den Nutzer identifizierbar und stellt eine Verfolgbarkeit im Internet sicher, ohne dass Steuerungsmöglichkeiten für die betroffenen Nutzer bestehen. Besonders kritisch ist, dass die Daten zu einem ganz überwiegenden Teil für die Zwecke der Personalisierung und Individualisierung des Dienstes der Beklagten erfasst sind und geeignet sind, ein detailliertes Profiling durchzuführen.
85
d) Die Klagepartei hat auch auf Dritt- Webseiten und in Dritt- Apps keine wirksame Einwilligung zur Verarbeitung der dort angefallenen Daten erteilt. Die Beklagte trägt hier gem. Art. 7 Abs. 1 DSGVO die Beweislast für eine Rechtfertigung nach Art. 6 Abs. 1 lit. a DSGVO. Eine “Auslagerung” dieser Verantwortung an die Webseitenbetreiber, die die entsprechenden Einwilligungen einholen sollen, ist zudem nicht möglich. Die Beklagte ist alleinige “Verantwortliche” für die durch sie selbst vorgenommene Verarbeitung der Daten durch die eigenen … Tools (vgl. auch EuGH vom 29.07.2019 – C- 40/17 = MMR 2019, 579).
86
Daher war der Klageantrag zu 2., insoweit er zulässig war, zuzusprechen.
87
3. Ein Schadensersatzanspruch ist gegeben, allerdings nur in Höhe von 500,00 €, Art. 82 Abs. 1 DSGVO.
88
3.1 Ein Anspruch besteht dem Grunde nach gemäß Art. 82 Abs. 1 DSGVO.
89
Demnach hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen.
90
Es handelt sich hierbei um drei kumulativ erforderliche Anspruchsvoraussetzungen. Es muss ein Verstoß gegen die DSGVO vorlegen, ein Schaden entstanden sein und ein Kausalzusammenhang zwischen dem Schaden und dem Verstoß bestehen (EuGH vom 14.12.2023, C- 456/22, juris, Rn. 14). Hierfür ist der Anspruchsteller beweisbelastet (BeckOK DatenschutzR, Stand 01.08.2024, Art. 82 DSGVO Rn. 16, 27).
91
Für die Bejahung eines immateriellen Schadens bedarf es keiner Erheblichkeitsschwelle („Bagatellgrenze“). Insbesondere kann im Hinblick auf die in ErwGr. 146 S. 3 DSGVO beabsichtigte weite Auslegung des Schadensbegriffes nicht verlangt werden, dass der Anspruchsteller einen spürbaren Nachteil erfahren oder die Beeinträchtigung objektiv sein muss. Auch bedarf es keiner bestimmten Dauer des Schadens, um den Anspruch zu bejahen (EuGH vom 14.12.2023, C- 456/22, juris, Rn. 16 – 19). Andererseits reicht ein bloßer Verstoß gegen die DSGVO noch nicht aus. Der Anspruchsteller muss vielmehr beweisen, dass als Folge eines Verstoßes ein Schaden – so geringfügig er auch sein mag – eingetreten ist (EuGH, vom 14.12.2023, C- 456/22, juris, Rn. 22). Ferner ergibt sich aus ErwGr. 85 S. 1 DSGVO, dass eine Verletzung des Schutzes personenbezogener Daten zu einem Schaden führen kann, der im Kontrollverlust über die eigenen personenbezogenen Daten liegen kann. Einer konkreten missbräuchlichen Verwendung dieser Daten zum Nachteil des Anspruchsstellers bedarf es hierfür nicht (EuGH vom 14.12.2023, C- 340/21, juris, Rn. 82). Dementsprechend reicht es für einen Schaden etwa aus, dass ein von einem Verstoß betroffener Anspruchsteller lediglich befürchtet, dass seine personenbezogenen Daten durch Dritte in der Zukunft missbräuchlich verwendet werden könnten, wobei das nationale Gericht prüfen muss, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann (EuGH vom 14.12.2023, C- 340/21, juris, Rn. 75 – 86). Folglich reicht für die Bejahung des immateriellen Schadens bei einem Verstoß gegen die DSGVO bereits ein Kontrollverlust aus, darüber hinausgehende psychische – und bloße Unannehmlichkeiten übersteigende – Beeinträchtigungen können aber einen höheren Ausgleichsbetrag als Schadensersatz rechtfertigen (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, juris, Rn. 45, 101). Der reine Kontrollverlust ist also bereits ein haftungsbegründender Schaden, psychische Nachteile betreffen dann nur noch die haftungsausfüllende Kausalität der Schadenshöhe (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, juris, Rn. 84).
92
a) Wie unter 2.1 ausgeführt, verarbeitet die Beklagte die personenbezogenen Daten der Klagepartei auf unrechtmäßige Weise. Insbesondere ist die Datenverarbeitung weder durch eine Einwilligung der Klagepartei noch durch einen anderen Zulässigkeitstatbestand der Art. 6, 9 DSGVO gestattet.
93
b) Hierdurch hat die Klagepartei auch einen Schaden erlitten.
94
Hinsichtlich des geltend gemachten Schadens hat sich das Gericht auf der Grundlage des gesamten Inhalts der Verhandlungen, § 286 Abs. 1 ZPO, von einem – kompensationsfähigen – Kontrollverlust überzeugen können; zusätzlich auch hinsichtlich eines weiteren individuellen Schadens.
95
c) Der Schaden ist vorliegend auch kausal auf die Datenschutzverletzung der Beklagten zurückzuführen.
96
Der Verantwortliche haftet für kausal durch die rechtswidrige Verarbeitung verursachte Schäden (Kühling/Buchner/Bergt, DS- GVO BDSG, 4. Auflage, Art. 82 Rn. 41 zust. LG Paderborn vom 19.12.2022, Az. 3 O 99/22, GRUR- RS 2022, 39349 Rn. 128). Eine Mitursächlichkeit des Verstoßes gegen die DSGVO genügt (LG Paderborn, a.a.O., Rn. 129 mit Verweis u.a. auf LG Köln vom 03.08.2021, Az. 5 O 84/21, ZD 2022, 52, 53).
97
So liegt es auch hier. Die Beklagte hat rechtswidrig personenbezogene Daten des Klägers gespeichert und hierdurch dessen Kontrollverlust über seine entsprechenden Daten hervorgerufen.
98
d) Die Haftung der Beklagten ist auch nicht nach Art. 82 Abs. 3 DSGVO ausgeschlossen. Denn dies würde den Nachweis erfordern, dass der Verantwortliche – hier: die Beklagte – in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Es ist umstritten, ob es für den Umstand, dass jemand für den Schaden verantwortlich ist, eines Verschuldens bedarf oder, ob es sich bei Art. 82 DSGVO um eine Gefährdungshaftung handelt, die den Schädiger nur ausnahmsweise aus der Haftung entlässt (ganz ungewöhnliche Kausalverläufe, höhere Gewalt, Fehlverhalten des Geschädigten) und unabhängig von einem Verschulden ist (vgl. Sydow/Marsch, DS- GVO/BDSG, 3. Auflage, Art. 82 Rn. 18 – 20; BeckOK DatenschutzR, Stand 01.08.2024, Art. 82 DSGVO Rn. 17 – 18). Die Beweislast trifft jedenfalls, wie sich aus dem eindeutigen Wortlaut der Norm ergibt, den Schädiger.
99
Das Gericht konnte vorliegend offenlassen, welche der aufgeführten beiden Ansichten für den Entlastungsbeweis konkret gelten. Denn es ist kein Beklagtenvortrag vorhanden oder anderweitige Umstände ersichtlich, die den Voraussetzungen von einer dieser Ansichten genügen würde.
100
3.2 Der Anspruch ist der Höhe nach mit 500,00 € und damit nur teilweise gerechtfertigt.
101
Das Gericht hält diesen Betrag für angemessen und ausreichend, um den immateriellen Schaden auszugleichen und hat hierfür den Schaden nach § 287 ZPO geschätzt.
102
a) Für den Anspruch aus Art. 82 DSGVO enthält die Verordnung keine spezifischen Vorgaben zur Schadensbemessung. Vielmehr richtet sich dies nach den innerstaatlichen Vorschriften der Mitgliedstaaten zum Umfang der finanziellen Entschädigung, soweit die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität gewahrt bleiben. Zu berücksichtigen ist dabei allerdings, dass Art. 82 DSGVO nur eine Ausgleichsfunktion hat, so dass der aufgrund des Verstoßes erlittene Schaden vollständig auszugleichen ist (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, juris, Rn. 92ff.). Ist der Schaden gering, so ist auch nur Schadensersatz in geringer Höhe zuzusprechen und dabei ist zu berücksichtigen, dass der durch eine Verletzung des Schutzes personenbezogener Daten verursachte immaterielle Schaden seiner Natur nach nicht weniger schwerwiegend ist als eine Körperverletzung (BGH, a.a.O., Rn. 97). Eine Straf- oder Abschreckungsfunktion, die etwa zur Einbeziehung der Schwere des Verstoßes in die Schadensbemessung führen würde, ist allerdings nicht von Art. 82 DSGVO umfasst. Dementsprechend gilt, dass auch im Hinblick auf die in ErwGr. 146 (Schadensersatz) und ErwGr. 148 (behördliche Maßnahmen und Sanktionen) DSGVO unterschiedlichen Regelungsziele es nicht möglich ist, die Bemessungskriterien des Art. 83 DSGVO (Allgemeine Bedingungen für die Verhängung von Geldbußen) in entsprechender Anwendung auf die Schadensbemessung des Art. 82 DSGVO zu übertragen (EuGH vom 11.04.2024, C- 741/21, juris, Rn. 55 – 65). Daher ist es naheliegend für die Bemessung der Schadenshöhe auf die nationale Vorschrift des § 253 BGB zurückzugreifen (BeckOK DatenschutzR, Stand 01.08.2024, Art. 82 DSGVO Rn. 31; zust. LG Essen vom 10.11.2022, Az. 6 O 111/22, juris, Rn. 104, juris). Ein Gesichtspunkt kann dabei sein, zu welchem Grad intime, finanziell bedrohliche, potentiell ehrverletzende oder kränkende und persönlich wichtige, insbesondere in das (Familien- )Gemeinschaftsleben oder das berufliche Umfeld eingreifend, die unrechtmäßig verarbeiteten Daten betroffen sind (Vgl. LG Paderborn vom 19.12.2022, Az. 3 O 99/22, GRUR- RS 2022, 39349 Rn. 134 mit Verweis auf Dickmann, r+s 2018, 345, 353). Insofern es den reinen Kontrollverlust betrifft, so sind maßgebliche Kriterien der tatrichterlichen Schadensschätzung insbesondere die etwaige Sensibilität der konkret betroffenen personenbezogenen Daten (vgl. Art. 9 Abs. 1 DSGVO) und deren typischerweise zweckgemäße Verwendung, die Art des Kontrollverlusts (begrenzter/unbegrenzter Empfängerkreis), die Dauer des Kontrollverlusts und die Möglichkeit der Wiedererlangung der Kontrolle (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, juris, Rn. 99).
103
Innerhalb dieses abgesteckten Rahmens, der sowohl die Unter- als auch Obergrenze des zu gewährenden Schadensersatzes vorgibt, kann das Gericht eine Schadensschätzung nach § 287 ZPO vornehmen (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, juris, Rn. 98.; OLG Oldenburg vom 14.05.2024, Az. 13 U 114/23, juris, Rn. 34; BeckOK DatenschutzR, Stand 01.08.2024, Art. 82 DSGVO Rn. 31a; zust. LG Essen vom 10.11.2022, Az. 6 O 111/22, juris, Rn. 104, juris).
104
Vorliegend hat sich das Gericht maßgeblich davon leiten lassen, dass die Beklagte durch die unbestritten hohe Verbreitung ihrer … Tools im Internet ein hohes Datenaufkommen generiert und dadurch Nutzerdaten, auch der Klagepartei, in großem Umfang zusammenführt. Damit geht ein nicht unerheblicher Kontrollverlust an personenbezogenen Daten einher. Das Gericht geht bei einem bloßen Kontrollverlust davon aus, dass ein Betrag von 250,00 € für die Ausgleichsfunktion des Art. 82 DSGVO ausreichend ist und orientiert sich diesbezüglich an Entscheidungen zu den sogenannten „Scraping“ – Fällen. Insoweit es dort zu Verurteilungen kam, so wurde Schadensersatz von 100,00 € bis 500,00 € zugesprochen; dies wurde unter anderem damit begründet, dass die betroffenen Daten (u.a. Name, Telefonnummer, Geschlecht) nicht besonders sensibel – betroffen waren etwa keine Gesundheits- oder Kontodaten – seien (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, juris, Rn. 100 „Scraping – Fall “: 100,00 €; LG Paderborn vom 19.12.2022, Az. 3 O 99/22, GRUR- RS 2022, 39349 Rn. 133 – 138: 500,00 €; LG Nürnberg- Fürth vom 20.10.2023, Az. 10 O 1510/22, GRUR- RS 2023, 30671, Rn. 127 – 133: 250,00 €; LG Freiburg vom 08.02.2024, Az. 8 O 212/23, GRUR- RS 2024, 4526, Rn. 74 – 76: 100,00 €; OLG Oldenburg vom 14.05.2024, Az. 13 U 114/23, juris, Rn. 34 – 36: 250,00 €).
105
Hinsichtlich eines weitergehenden psychischen Schadens ist zunächst zu bemerken, dass der diesbezügliche Sachvortrag, unter anderem „die Klagepartei hat die Kontrolle über die Daten…vollständig verloren“ (Klageschrift vom …), nahezu wortgleich in einer Vielzahl von gleichgelagerten Fällen, die durch die Prozessbevollmächtigten der Klagepartei gegen die Beklagte geführt werden, erfolgt. Aber auch bei einem aus Textbausteinen zusammengesetzten Schriftsatz, aus dem sich ein für einen Rechtssatz schlüssiger Sachvortrag ergibt, ist es bei dessen Erheblichkeit grundsätzlich geboten, die Partei persönlich anzuhören, die dabei als Anspruchssteller weiterhin – auch in Bezug auf das konkrete Ausmaß eines etwaigen Schadens – beweisbelastet bleibt (BGH, Urteil vom 18.11.2024, Az. VI ZR 10/24, juris, Rn. 33 – 37).
106
In ihrer informatorischen Anhörung hat die Klagepartei glaubhaft vorgebracht, dass sie im Internet über diverse Lebensbereiche recherchiere (Politik, Finanzen / Kapitalanlage, Gesundheitsthemen). Durch die streitgegenständliche Datenverarbeitung fühle sie sich unwohl, dass im Hintergrund Daten über sie gesammelt werden, fühle sie sich überwacht und in der Privatsphäre beeinträchtigt. Auch gab sie glaubhaft an, dass sie besonders darüber geschockt gewesen sei, dass die … Tools auch auf der Internetseite des „…“ Anwendung gefunden haben und sie diese regelmäßig vor Wahlen genutzt habe. Zwar gab die Beklagtenvertreterin hierzu an, dass das … Tool nicht mehr auf der Webseite „…“ aktiv. Jedoch war es für das Gericht aus dem Eindruck der Anhörung nachvollziehbar, dass die Klagepartei sich auch weiterhin psychisch diversen und grundlegenden Bereichen der Internetrecherche ihrer Persönlichkeitsentfaltung, wie etwa politischer Information, Gesundheit und Finanzthemen, beeinträchtigt fühlt. Dies rechtfertigt aus Sicht des Gerichts einer weitergehenden Schadenskompensation in Höhe von 250,00 €.
107
b) Eine Anspruchsminderung scheidet vorliegend aus, § 254 BGB.
108
Dabei ist es grundsätzlich umstritten, ob im Rahmen des Art. 82 DSGVO ein schadensminderndes Mitverschulden des Anspruchsstellers überhaupt zu berücksichtigen ist. Dies wird mitunter abgelehnt, da bei Art. 82 DSGVO entgegen seiner Vorgängernorm keine Haftungseinschränkung bei Mitverschulden vorsehe (Kühling/Buchner/Bergt, DS- GVO BDSG, 4. Auflage, Art. 82 Rn. 59). Hingegen wird auch vertreten, dass die Rechtsprechung des EuGH gerade die Anwendbarkeit nationaler Regelung eröffnet habe und daher § 254 BGB zur Bemessung der Schadenshöhe herangezogen werden könne (BeckOK, DatenschutzR, Stand 01.08.2024, Art. 82 DSGVO Rn. 35; Schaffland/Wiltfang, Datenschutz- Grundverordnung (DS- GVO)/Bundesdatenschutzgesetz (BDSG), 11. Erglfg. 2024, Art. 82 EUV 2016/679, Rn. 32).
109
Auch bei Anwendung von § 254 BGB wäre vorliegend kein Mitverschulden gegeben. Insbesondere könnte der Klagepartei nicht angelastet werden, ob sie bislang ihre Cookie – Einstellungen auf dem Netzwerk nicht geändert hat. Denn die Erläuterungen bei diesen Einstellungen sind nicht geeignet den Nutzer darüber umfassend aufzuklären, welche Daten durch die … Tools an die Beklagte übermittelt und von ihr gespeichert werden. Dasselbe gilt hinsichtlich der Schaltfläche „Informationen über Aktivitäten von Werbepartnern” und den Inhalt der Datenschutzrichtlinie der Beklagten. Hierzu wird auf die Ausführungen unter Ziff. 2.1 Bezug genommen. Dadurch wird die Klagepartei schon nicht in die Lage versetzt, eine aufklärungsgerechte Entscheidung zu treffen, ob und welcher Datenverarbeitung sie zustimmen möchte. Demnach kann ihr nicht anspruchskürzend vorgehalten werden, dass sie zumindest teilweise wieder die Kontrolle über ihre Daten erlangt und damit auch weniger emotionale Beschwerden und sonstige Einschränkungen der Lebensführung erlitten hätte.
110
3.3 Ein weiterer Anspruch ergibt sich nicht aus der Verletzung des allgemeinen Persönlichkeitsrechts, § 823 Abs. 1 BGB i.V.m. Art. 1, 2 GG.
111
Denn der Regelung des Art. 82 DSGVO kommt insoweit eine Sperrwirkung zu.
112
Zwar ist die Kontrolle über die eigenen Daten, etwa bei Fragen der Speicherung, über das Recht auf informationelle Selbstbestimmung gewährleistet, welches eine Ausprägung des allgemeinen Persönlichkeitsrechts darstellt, und wird im Rahmen der mittelbaren Drittwirkung als sonstiges Recht vom Schadensersatzanspruch des § 823 Abs. 1 BGB geschützt (Grüneberg, BGB, 82. Auflage, § 823 Rn. 132). Jedoch ist durch Art. 82 DSGVO eine einheitliche und abschließende Anspruchsgrundlage für Schadensersatz bei personenbezogenen Daten geschaffen worden, die gegenüber dem nationalen Recht vorrangig ist (OLG Frankfurt vom 30.03.2023, Az. 16 U 22/22, juris Rn. 58f.). Dafür spricht schon ErwGr. 9 DSGVO, der von der Schaffung eines einheitlichen Schutzniveaus in der Union ausgeht. Der angestrebten Vollharmonisierung würde es entgegenlaufen, wenn in den nationalen Rechtsordnungen unterschiedliche zusätzliche Schadensersatzansprüche vorhanden wären, so dass der DSGVO insoweit eine Sperrwirkung zukommt (Laue/Nink/Kremer, Datenschutzrecht in der betrieblichen Praxis, 3. Auflage, § 13 Haftung, Sanktionen und Rechtsbehelfe Rn. 22). Dem steht auch nicht entgegen, dass ErwGr. 146 S. 3 DSGVO erklärt, dass der Schadensersatz nach DSGVO unbeschadet von Schadenersatzforderungen aufgrund von Verstößen gegen andere Vorschriften des Unionsrechts oder des Rechts der Mitgliedstaaten gilt. Demnach bleiben zwar weitere Schadensersatzansprüche grundsätzlich erhalten (Ehmann/Selmayr/Nemitz, DS- GVO, 3. Auflage, Art. 82 Rn. 11). Dazu zählt auch der allgemeine Schadenersatzanspruch des deutschen Rechts auf Grundlage von § 823 Abs. 1 BGB i.V.m. Art. 2 Abs. 1, Art. 1 Abs. 1 GG (Verletzung des allgemeinen Persönlichkeitsrechts), der weiterhin anwendbar bleibt (Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, Art. 82 DSGVO Rn. 32). Dies bedeutet aber nicht, dass Schadensersatzansprüche, die gerade mit DSGVO- Verstößen begründet werden, mit anderen Anspruchsgrundlagen als Art. 82 DSGVO verfolgt werden könnten. Dies dürfte daher im Übrigen auch der Einordnung von DSGVO – Normen als Schutzgesetz im Sinne von § 823 Abs. 2 BGB entgegenstehen (Borges/Keil, Big Data, 1. Auflage, § 7 Haftung für Daten und Analysen Rn. 267).
113
Daher kann es vorliegend dahinstehen, ob bei der Bejahung eines Anspruchs aus § 823 Abs. 1 BGB i.V.m. Art. 1, 2 GG von einem anderen und gegebenenfalls höheren Schadensumfang als bei Art. 82 DSGVO auszugehen wäre.
114
3.4 Im Ergebnis war demnach der Schadensersatzanspruch nur teilweise zuzusprechen und im Übrigen, insoweit die Klagepartei darüber hinaus eine Zahlung von mindestens weiteren 4.500,00 € begehrte, abzuweisen.
115
Der Klageanspruch in Ziff. 3 ist daher nur teilweise gerechtfertigt.
C. Nebenforderungen
116
1. Ein Anspruch auf Ersatz vorgerichtlicher Rechtsanwaltskosten besteht nicht. Zwar sind vorgerichtliche Rechtsanwaltskosten insbesondere vom Schadensersatz des Art. 82 Abs. 1 DSGVO umfasst und hierüber kompensierbar (BeckOK, Datenschutzrecht, 49. Ed. 1.8.2024, DSGVO Art. 82 Rn. 29 mit Verweis auf OLG Schleswig Urteil vom 02.07.2021, Az. 17 U 15/21, BeckRS 2021, 16986 Rn. 53). Bei dem vorgerichtlichen Vorgehen der Klägervertreter handelte es sich nicht um eine zweckentsprechende Rechtsverfolgung. Den Klägervertretern musste aus der Vielzahl der von ihnen betreuten Mandate – ebenso wie dem Gericht – bekannt sein, dass die Beklagte auf außergerichtliche Aufforderungen hin zu keinerlei Erfüllung bereit ist (vgl. für die Diesel- Masseverfahren OLG Karlsruhe NJW- RR 2024, 155). Die Klägervertreter mussten jedenfalls annehmen und die Klagepartei darüber aufklären, dass ein zunächst nur auf die außergerichtliche Geltendmachung beschränktes Mandat nicht zielführend ist und nur unnötige Kosten verursacht. Es lag der Schluss nahe, die Ansprüche des Klägers nur mittels Erhebung einer Klage realisieren zu können, so dass sich die Klägervertreter veranlasst gesehen haben mussten, sich unmittelbar ein unbedingtes Mandat zur Klageerhebung erteilen zu lassen (LG Nürnberg- Fürth, Urteil vom 02.11.2023, Az. 6 O 2382/23, BeckRS 2023, 32830, Rn. 31). Zudem ist der Zugang des vorgerichtlichen Rechtsanwaltsschreibens vom … (Anlage K 3) der Klagepartei bei der Beklagten strittig und nicht belegt.
117
2. Der Zinsanspruch folgt ab Klagezustellung aus §§ 291, 288 Abs. 1 BGB. Ein früherer Verzug durch ein außergerichtliches Schreiben der Prozessbevollmächtigten ist nicht gegeben, unter anderem da hier eine weit übersetzte Zahlung von 5.000 € verlangt wurde. Macht der Gläubiger einen weit übersetzten Leistungsumfang geltend, kann er aus einer Mahnung keine Rechte herleiten, vor allem dann nicht, wenn der Schuldner den wirklich geschuldeten Leistungsumfang nicht zuverlässig ermitteln kann (BGH NJW 1991, 1286; Lorenz, in: BeckOK- BGB, Stand 01.08.2024, § 286 Rn. 28).
D. Nebenentscheidungen
118
1. Kosten des Rechtsstreits: § 92 Abs. 1 S. 1 ZPO
119
2. Vorläufige Vollstreckbarkeit: §§ 708 Nr. 11, 711 S. 1, 2 i.V.m. 709 S. 1, 2 ZPO
120
3. Die Festsetzung des Streitwerts beruht auf § 48 Abs. 1 S. 1 GKG i.V.m. § 3 ZPO.
121
3.1 Den Streitwert für den Auskunftsantrag zu Ziff. 1 hat das Gericht gemäß § 3 ZPO in Verbindung mit § 48 Abs. 2 GKG auf 500,00 € geschätzt, da es vorliegend um das Informationsinteresse geht (Zöller, ZPO, 35. Auflage 2024, § 3 Rn. 16.53a).
122
3.2 Den Streitwert des Löschungs- und Anonymisierungsantrags der Ziff. 2 hat das Gericht gemäß § 3 ZPO in Verbindung mit § 48 Abs. 2 GKG auf 500,00 € geschätzt und hat sich dabei von der Beeinträchtigung, die von dem beanstandeten Verhalten zu besorgen ist und die beseitigt werden soll, leiten lassen (vgl. Zöller, a.a.O., § 3 Rn. 16.43, 16.172).
123
3.3 Soweit die Klagepartei mit dem Antrag zu Ziff. 3. einen immateriellen Schadensersatz geltend gemacht hat, so war dieser Antrag auf den klägerseits angegebenen Mindestbetrag, mithin auf 5.000,00 € zu bemessen (vgl. Zöller, ZPO, 35. Auflage 2024, § 3 Rn. 16.171 mit weiteren Nachweisen).
124
3.4 Dem Antrag zu Ziff. 4., der die Freistellung von vorgerichtlichen Rechtsanwaltskosten geltend macht, kam als Nebenforderung – hier: Kosten – keine eigenständige Bedeutung zu, § 4 Abs. 1 Hs. 2 ZPO.
125
3.5 Dies ergab einen zu addierenden Streitwert von insgesamt 6.000,00 €, § 39 Abs. 1 GKG.