Landgericht Essen, 3. Zivilkammer — 3 O 298/23

Der Kläger macht gegen die Beklagte unter Verweis auf Verstöße gegen die DSGVO Schadensersatzansprüche sowie Ansprüche auf Unterlassung, Auskunft und Feststellung der Ersatzpflicht für künftige materielle Schäden geltend.

Die Kläger nutzt die von der Beklagten betriebene Social Media Plattform N..com zum Kommunizieren mit Freunden, Teilen privater Fotos und Diskussionen mit anderen, wobei er im Zusammenhang mit der Registrierung seine E-Mail-Adresse E-Mail01 und Handynummer Tel01 hinterlegte. Im Rahmen der Website und der Inanspruchnahme von N. können die Nutzer Profile erstellen und diese mit Freunden teilen.

Sie – die Nutzer – können hierbei verschiedene Daten zu ihrer Person eingeben und entscheiden, welche anderen Gruppen von Nutzern Zugriff auf ihre Daten haben. Hierbei trägt der potentielle Nutzer Vor- und Zunahme, Handynummer oder E-Mail-Adresse, Geschlecht und Geburtsdatum in die Registrierungsmaske ein. Stets öffentlich einsehbar sind der Name des Nutzers, das Geschlecht sowie die Nutzer-ID, das Profil- und Titelbild sowie die Netzwerke. Im unteren Teil der Anmeldemaske befinden sich Verlinkungen zu Nutzungsbedingungen, Datenschutz sowie Cookie-Richtlinien. Darunter befindet sich der Button „Registrieren“, wobei der Nutzer mit Anwählen dieses auf die Datenrichtlinie und die Cookie-Richtlinie hingewiesen wird.

Nach der Registrierung gelangt der Nutzer auf die Startseite, im Rahmen derer er u.a. Einstellungen zu seiner Privatsphäre und Kontosicherheit vornehmen kann. Teilweise handelt es sich dabei um Voreinstellungen seitens der Beklagten. Standardmäßig öffentlich eingestellt ist, dass andere Nutzer sehen können, welche Seiten der „neue“ Nutzer abonniert hat und mit wem er befreundet ist. Ebenso können alle Nutzer mittels E-Mail-Adresse oder Telefonnummer den „neuen“ Nutzer finden. Jede dieser Voreinstellungen kann der „neue“ Nutzer bearbeiten und zwar einmal im Rahmen der Zielgruppenauswahl und daneben unter dem Punkt „Suchbarkeits-Einstellungen“ (zum Zwecke einer Freundschaftsanfrage). Hierbei kann der Nutzer bestimmen, dass die Angaben auf seinem Profil beispielsweise nur von „Freunde“ oder von „Freunden von Freunden“ eingesehen werden können.

Unter dem Punkt „Informationen zu Verwendung der Telefonnummer“ – überschrieben mit „Möglicherweise verwenden wir deine Mobilnummer für diese Zwecke“ heißt es u.a.: Wir verkaufen jedoch keinesfalls personenbezogene Informationen an Dritte, auch nicht deine Mobilnummer. Beachte: Du kannst festlegen, wer deine Telefonnummer sehen kann und wer auf N. nach dir suchen kann. In unserer Datenrichtlinie erfährst du mehr darüber, wie N. deine Telefonnummer verwendet.

Für andere Nutzer ist es bei entsprechender Einstellung auf dem eigenen Profil möglich, dieses anhand der Telefonnummer bei der Beklagten zu finden. Für den Fall, dass ein Nutzer nicht anhand der Telefonnummer gefunden werden möchte, kann er dies mittels Einstellung ändern und angeben, dass er eben nicht über diese „gefunden“ werden möchte. Die Voreinstellung im Rahmen der „Suchbarkeits-Einstellung“ lautet auf „alle“, wohingegen im Bereich der Zielgruppenauswahl die Voreinstellung hinsichtlich der Telefonnummer auf „Freunde“ eingestellt ist. Eine Änderung der Suchbarkeit im Bereich der „Suchbarkeits-Einstellung“ ist sowohl auf „Freunde“ als auch auf „Freunde von Freunden“ und ab Mai 2019 auf „nur ich“ möglich gewesen. In dem Hilfebereich auf der Website der Beklagten ist u.a. die Bedeutung „öffentlicher“ Informationen erläutert und darüber hinaus aufgeführt, wie der Nutzer welche Einstellungen vornehmen kann.

Jedenfalls ab dem 23.07.2014 war auf dem Profil des Klägers hinsichtlich der Suchbarkeit über die Telefonnummer die Einstellung „everyone“ aktiviert (B17, Bl. 312 d.A.).

Daneben bietet die Beklagte über eine Messenger-App eine weitere Kommunikation zwischen den Nutzern an, wobei die Anmeldung über das bestehende N.-Konto erfolgt. Nach dem Anmelden bei dem Messenger-Dienst erhält der Nutzer eine Anfrage hinsichtlich der Synchronisation seiner eigenen Kontakte mit den bestehenden Nutzern bei der Beklagten und unter dem Punkt „mehr dazu“ folgenden Hinweise: „Weshalb Kontakte hochladen? N. und Messenger machen mit Freunden und Familie einfach mehr Spaß. Wenn du das Hochladen von Kontakten aktivierst, werden die Daten deiner Telefonkontakte fortlaufend synchronisiert. Dadurch kannst du Personen, die du bereits kennst, einfacher finden und sie dich ebenso.“

Anfang April 2021 berichteten Medien öffentlich über den Scraping-Sachverhalt, wonach die Daten von ca. 553 Millionen N.-Nutzern aus 106 Ländern im Internet öffentlich verbreitet worden seien; insbesondere Telefonnummer, N.-ID, Name, Vorname, Geschlecht, Land sowie Stadt. Dem Vorausgegangen war ein Datenscraping im Zeitraum Januar 2018 bis September 2019, im Rahmen dessen mithilfe eines automatisierten Verfahrens unter Nutzung einer an sich ordnungsgemäßen Funktion (hier: das Kontakttool der Beklagten) in großem Umfang Daten zu unterschiedlichen Zwecken gesammelt werden. Dies ist laut den Nutzungsbedingungen der Beklagten verboten.

Am 28.11.2022 verhängte die irische Datenschutzbehörde gegen die Beklagte ein Bußgeld in Höhe von 265 Mio. € unter Verweis darauf, dass die Beklagte nicht ausreichend verhindert habe, dass etwa 553 Mio. Datensätze mit persönlichen Informationen von N.-Nutzern und –Nutzerinnen abgegriffen und veröffentlicht wurden.

Mit Schreiben vom 15.11.2022 forderten die Prozessbevollmächtigten des Klägers die Beklagte u.a. zur Auskunft und Zahlung eines Schadensersatzes auf (Bl. 94 ff.). Die Beklagte teilte dem Kläger mit Schreiben vom 02.05.2024 u.a. mit, mithilfe welcher Links auf der Internetseite der Beklagten sie Einstellungen hinsichtlich seiner Daten vornehmen könne (Bl. 289 ff. d.A.).

Personenbezogenen Daten des Klägers – wie sein Name, sein Beruf, Ort und Arbeitgeber – sind über eine einfache O.-Suche etwa auf der Internetseite „I01“ einsehbar (vgl. Screenshots, Bl. 744 ff. d.A.). Zudem waren personenbezogene Daten des Klägers wie die E-Mail-Adresse, sein Name, Passwörter und teils die Telefonnummer ausweislich der Internetseite „I02“ bereits – auch vor dem streitgegenständlichen Datenschutzvorfall – Gegenstand weiterer (neun) Datenschutzvorfälle, so im Jahr 2013 auf „K.“ sowie aktuell bei „J.“. Der Kläger ist darüber hinaus im Internet aktiv. Er hat die streitgegenständliche E-Mail-Adresse bei C. hinterlegt, nutzt – neben I01 – auch S. sowie H..

Der Kläger behauptet, dass er von dem Scrapingvorfall betroffen sei.

Er hat zunächst behauptet, von ihm seien Daten wie die Handynummer und E-Mail-Adresse abgegriffen worden. Unter Bezugnahme auf einen Datenauszug aus einer im Darknet für jedermann abrufbaren Datenbank behauptet er schließlich, es handele sich bei den abgegriffenen Daten um seine Handynummer, die N.-ID, seinen Namen, Geschlecht, Wohnort und Beziehungsstatus.

Die veröffentlichten Daten seien aus dem Datenbestand von N. mittels des N.-Tools Kontakt-Importer „gescrapt“ – mithin aus zum Teil öffentlich zugänglichen Daten bei N. ausgelesen und persistiert worden - wegen einer Sicherheitslücke. Hiervon seien auch personenbezogene Daten des Klägers betroffen. Nur mithilfe eines virtuellen Adressbuches sei es den unbekannten Dritten unter Nutzung der Telefonnummer (s.u.) gelungen, diese einem N.-Profil zuzuordnen. Zudem seien die Daten betroffen, die als „öffentlich einsehbar“ gekennzeichnet seien. Die Beklagte habe keinerlei Sicherheitsmaßnahmen entwickelt, um eine derartige missbräuchliche Nutzung des Kontakt Import Tools auszuschließen. Demnach habe die Beklagte die Daten des Klägers nach dem damaligen Stand der Technik nicht ausreichend geschützt.

Zudem sei die Einstellung der Telefonnummer bei der Beklagten undurchsichtig und kompliziert, sodass kein Nutzer sichere Einstellungen erreichen könne. Jeder Nutzer werde an dem ersten Eintrag auf der Registrierungsmaske mit einer Informationsflut hinsichtlich Nutzungsbedingungen, Verwendung von Cookies und Datenschutzrichtlinien konfrontiert, die er über eine kleine Verlinkung im unteren Teil der Anmeldemaske erreichen könne. Unter Beachtung der DSGVO seien jedoch besonders datenschützende (privacy by default) Voreinstellungen geboten. Allein hierdurch könne der Nutzer bewusst entscheiden, welche Daten er für wen freigeben wolle. Es sei unklar, was unter dem Tool „finden“ zu verstehen sei – insbesondere mit Blick auf die Datenverarbeitung. Die Beklagte erwähne mit keinem Wort, dass die Telefonnummer zur Identifizierung des Nutzers und seines Profils verwandt werden könne. Die ausschließlich zu Sicherheitszwecken eingegebene Telefonnummer sei von der Beklagten ohne Einsatz von Sicherungsmaßnahmen unbefugten Dritten zugänglich gemacht. Die Einstellungsmöglichkeit hinsichtlich der Suchfunktion über die Telefonnummer sei nicht im Zusammenhang mit solchen für die Telefonnummer direkt aufgeführt gewesen, sondern versteckt. Hierdurch habe die Beklagte dem Kläger ein Gefühl von Sicherheit vermittelt. Bei Nutzung der Messenger-App werde der Nutzer zur Synchronisierung mit seinen N.-Kontakten gedrängt, ohne dass es Hinweise auf die Verwendung der Telefonnummer gebe. Etwaige Sicherheitseinstellungen müssen in der App separat und unabhängig von denen bei dem bei der Beklagten bestehenden N.-Profil vorgenommen werden.

Die Beklagte habe hierbei nichts unternommen, um etwa auszuschließen, dass es sich um eine maschinelle und automatisierte Anfrage handele und gerade nicht die eines Menschen oder dass die Anfrage ungewöhnlich häufig von ein- und derselben IP-Adresse erfolgt seien. Angesichts des bekannten Verfahrens (scraping) habe die Beklagte entsprechende Vorkehrungen treffen müssen.

Der Kläger behauptet, infolge des Datenlecks habe er einen erheblichen Kontrollverlust über seine Daten erlitten. Dies habe zu einem konkreten und emotional spürbaren Nachteil geführt. Dieser folge zum einen aus dem erlittenen Kontrollverlust über die abgegriffenen Daten. Zum anderen führe dies denklogisch zu einem Zustand, in dem sich die Klägerseite berechtigt wie nachvollziehbar in Sorge um den Verbleib sowie einen möglichen Missbrauch ihrer Daten befunden habe und qua ihrer fortwährenden Ungewissheit immer noch befinde. Die Sorge manifestiere sich in einem verstärkten Misstrauen gegenüber Anrufen von Unbekannten (insbesondere Anrufen mit unterdrückter Rufnummer). Hiermit einher gehe die konkrete Sorge, dass die abgegriffenen Daten für kriminelle Zwecke (Account-Hacking, Phishing-Mails, Identitätsdiebstahl) bzw. unlautere Zwecke (unlautere Werbung, Spam) einhergehen könnten. Der tatsächliche Schaden liege heruntergebrochen in dem langanhaltenden Zustand bestehender und belastender Ungewissheit, verursacht durch die Beklagte.

Weiter behauptet der Kläger, seine Rufnummer gebe er stets bewusst und ausgewählt an Adressaten heraus.

Der Kläger ist der Auffassung, die Beklagte habe ohne Rechtsgrundlage (Art. 6, 7 DSGVO) und ausreichende Informationen i.S.v. Art. 13, 14 DSGVO den Kläger betreffende Daten verarbeitet (Art. 4 Nr. 2 DSGVO); diese Daten unbefugten Dritten zugänglich gemacht und hierbei ihr Pflichten sowie Betroffenenrechte des Klägers verletzt (Art. 5, 15, 17, 18, 25, 32, 34 DSGVO). Wegen der unzureichenden insbesondere unübersichtlichen Informationen hinsichtlich der Verwendung und Verarbeitung der Daten liege keine wirksame Einwilligung des Klägers vor. Schließlich sei die erteilte Auskunft unzureichend.

Der Kläger beantragt,

die Beklagte zu verurteilen, an die Klägerseite als Ausgleich für Datenschutzverstöße und die Ermöglichung der unbefugten Ermittlung der Handynummer der Klägerseite sowie weiterer personenbezogener Daten der Klägerseite wie N.-ID, Vorname, Nachname sowie ggf. weiterer personenbezogener Daten (etwa Geschlecht, Wohnort, Geburtsort, Beziehungsstatus und/oder Berufsstätte) einen immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, den Betrag von € 3.000,00 aber nicht unterschreiten sollte, nebst Zinsen in Höhe von 5 %-Punkten über den jeweiligen Basiszinssatz der EZB ab Rechtshängigkeit zu zahlen;

die Beklagte zu verurteilen, an die Klägerseite für die Nichterteilung einer den gesetzlichen Anforderungen entsprechenden außergerichtlichen Datenauskunft i.S.d. Art. 15 DSGVO einen weiteren immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, den Betrag von € 2.000,00 aber nicht unterschreiten sollte, nebst Zinsen in Höhe von 5 %-Punkten über den jeweiligen Basiszinssatz der EZB ab Rechtshängigkeit zu zahlen;

festzustellen, dass die Beklagte verpflichtet ist, der Klägerseite alle materiellen künftigen Schäden zu ersetzen, die der Klägerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden;

die Beklagte zu verurteilen, es bei Meidung eines für jeden Fall, der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu € 250.000,00, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu 6 Monaten, im Wiederholungsfall bis zu 2 Jahren, zu unterlassen,

eine Verarbeitung personenbezogener Daten der Klägerseite, namentlich Telefonnummer, N.-ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt und Beziehungsstatus, über die Eingabe der Telefonnummer der Klägerseite in das Kontakt-Import-Tool und die darüber hergestellt Verknüpfung der eigegebenen Telefonnummer mit weiteren öffentlichen personenbezogenen Daten des Nutzerprofils der Klägerseite zu ermöglichen, ohne dass die Beklagten zum Zeitpunkt der Verwendung des Kontakt-Import-Tools unter Eingabe der Telefonnummer Sicherheitsmaßnahmen in Form einer Implementierung von Sicherheits-CAPTCHAs und der Überprüfung massenhafter IP-Abfragen oder vergleichbaren Sicherheitsmaßnahmen vorgehalten hat;

die Telefonnummer der Klägerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert wird;

die Beklagte zu verurteilen, der Klägerseite Auskunft über die personenbezogenen Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch eine „Web-Scraping“-Anwendung des Kontaktimporttools erlangt werden konnten und zudem – soweit sie erklärt, Auskünfte nicht abgeben zu können – mögliche Negativ-Auskünfte an Eides statt zu versichern;

die Beklagte zu verurteilen, die Klägerseite von den außergerichtlich entstandenen Kosten für die anwaltliche Rechtsverfolgung in Höhe von € 887,03 nebst Zinsen in Höhe von 5 %-Punkten über den jeweiligen Basiszinssatz der EZB ab Rechtshängigkeit freizuhalten.

Die Beklagte beantragt,

die Klage abzuweisen.

Die Beklagte ist der Ansicht, die Klage sei unzulässig. Hinsichtlich des Zahlungsantrags zu 1) lägen zwei unterschiedliche Streitgegenstände vor, weshalb es an der erforderlichen Bestimmtheit i.S.v. § 253 Abs. 2 Nr. 2 ZPO fehle, was auch Folgen für die Erstreckung der Rechtskraft habe. Gleiches gelte für den Antrag zu 2). Im Hinblick auf den Antrag zu 3) sei nicht ersichtlich – vielmehr widersprüchlich, ob bereits entstandene Schäden oder zukünftig entstehende ersetzt werden sollen. Hinsichtlich des erforderlichen Feststellungsinteresses fehle es schon nach klägerischem Vortrag an einer hinreichenden Wahrscheinlichkeit für einen künftigen Schadenseintritt.

Darüber hinaus behauptet die Beklagte, dass die in Rede stehenden Daten des Klägers entweder nicht im Rahmen des Scraping abgerufen worden seien, entsprechend der persönlichen Einstellungen des Klägers öffentlich einsehbar gewesen oder zu den nach den Nutzungsbedingungen der Beklagten stets öffentlich seien. Schließlich seien die Scraper auf welche Weise auch immer in den Besitz der Telefonnummer gelangt (mglw. Telefonnummernaufzählung). Im Rahmen des Scraping seien nur solche Daten erlangt worden, die ohnehin öffentlich einsehbar gewesen seien. Bei entsprechender „nicht öffentlicher“ Einstellung hinsichtlich der Daten auf dem klägerischen Profil wäre ein Scraping nicht möglich gewesen. Daten zum „Bundesland“, „Geburtsort“ seien keine, die den Profilfeldern auf der N.-Plattform entsprächen. Hinsichtlich der Datensicherheit nutze sie Übertragungsbeschränkungen, wodurch die Anzahl von Anfragen von bestimmten Daten reduziert würden, welche pro Nutzer oder von einer bestimmten IP-Adresse herrühren. Vor diesem Hintergrund scheide auch der behauptete Kontrollverlust als ersatzfähiger immaterieller Schaden aus.

Zudem habe der Kläger bereits vor dem Scraping-Sachverhalt keine Kontrolle mehr über seine Daten gehabt.

Die Beklagte ist der Ansicht, die vorgeworfenen Verstöße gegen die DSGVO fielen nicht vom Schutzbereich des § 82 DSGVO, da die behaupteten Pflichtverstöße nicht im Zusammenhang mit der „Verarbeitung“ der Daten erfolgt seien. Im Hinblick auf den behaupteten Verstoß gegen Art. 25 DSGVO sei der von der Beklagten mit dem Betrieb der Plattform N. verfolgte Zwecke maßgeblich und deshalb die Voreinstellung „alle“ im Rahmen der „Suchbarkeit“ nicht zu beanstanden. Da die Informationen des Klägers ohnehin öffentlich einsehbar gewesen seien, habe durch den Scraping-Vorfall auch keine Beeinträchtigung der Informationssicherheit vorgelegen. Es habe hierzu keiner Umgehung besonderer Sicherheitsmaßnahmen bedurft. Folglich sei die Beklagte auch nicht zur Benachrichtigung des Klägers verpflichtet gewesen.

Wegen des weiteren Sach- und Streitstandes wird auf die zwischen den Parteien gewechselten Schriftsätze und das Protokoll der mündlichen Verhandlung vom 13.03.2025 verwiesen. Die Kammer hat den Kläger im Termin persönlich angehört. Insoweit wird auf das Protokoll der mündlichen Verhandlung vom 13.03.2025 Bezug genommen (Bl. 1120 ff. d.A.).

Die Klage ist zum Teil unzulässig, im Übrigen unbegründet.

I.

1.

Das Landgericht ist international, sachlich und örtlich zuständig.

Die internationale Zuständigkeit deutscher Gerichte folgt aus Art. 6 Abs. 1, Art. 18 Abs. 1, 2. Alt. EuGVVO.

Gemäß Art. 1 Abs. 1 EuGVVO ist die EuGVVO sachlich anwendbar auf Zivil- und Handelssachen. Vorliegend handelt es sich um eine Zivilsache.

Die deutsche Gerichtsbarkeit folgt aus Art. 6 Abs. 1, Art. 18 Abs. 1, 2. Alt EuGVVO. Gemäß Art. 18 Abs. 1 2. Alt EuGVVO kann die Klage eines Verbrauchers gegen den anderen Vertragspartner entweder vor den Gerichten des Mitgliedstaats erhoben werden, in dessen Hoheitsgebiet dieser Vertragspartner seinen Wohnsitz hat, oder ohne Rücksicht auf den Wohnsitz des anderen Vertragspartners vor dem Gericht des Ortes, an dem der Verbraucher seinen Wohnsitz hat.

Der Kläger ist gemäß Art. 17 Abs. 1 EuGVVO Verbraucher. Er gibt an, einen Nutzungsvertrag mit der Beklagten geschlossen zu haben über die Nutzung der Social-Media-Plattform N. mittels eines Benutzerkontos zu privaten Zwecken. Der Kläger hat seinen Wohnort in Y. /Deutschland.

Die internationale Zuständigkeit deutscher Gerichte ergibt sich ferner aus Art. 79 Abs. 2 DSGVO. Danach können Klagen gegen einen Verantwortlichen oder gegen einen Auftragsverarbeitenden bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthaltsort hat, es sei denn, es handelt sich bei dem Verantwortlichen oder dem Auftragsverarbeitenen um eine Behörde eines Mitgliedstaats, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist. Gemäß Art. 4 Nr. 7, 8 DSGVO sind Verantwortliche natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden. Auftragsverarbeitende sind natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten. Unstreitig ist die Beklagte Verantwortliche i.S. der oben genannten Vorschriften.

Das Landgericht Essen ist gemäß rügeloser Einlassung der Beklagten sachlich zuständig.

Die örtliche Zuständigkeit des Landgerichts Essen ergibt sich aus Art. 18 Abs. 1, 2. Alt. EuGVVO. Danach kann die Klage eines Verbrauchers gegen den anderen Vertragspartner entweder vor den Gerichten des Mitgliedstaats erhoben werden, in dessen Hoheitsgebiet dieser Vertragspartner seinen Wohnsitz hat, oder ohne Rücksicht auf den Wohnsitz des anderen Vertragspartners vor dem Gericht des Ortes, an dem der Verbraucher seinen Wohnsitz hat. Der Kläger hat seinen Wohnsitz in Y. und damit im Bezirk des angerufenen Gerichts. Das Landgericht Essen ist unabhängig davon nach Art. 79 Abs. 2 S. 2 DSGVO, § 44 Abs. 1 S. 2 BDSG örtlich zuständig (besonderer Gerichtsstand).

2.

Der Zulässigkeit der Klage steht nicht die Unbestimmtheit des Klageantrags zu 1) i.S.v. § 253 Abs. 2 ZPO entgegen. Da die Bemessung der Höhe des Schmerzensgeldes in das Ermessen des Gerichts gestellt ist, ist die Stellung eines unbezifferten Zahlungsantrags ausnahmsweise zulässig. Ein Verstoß gegen den in § 253 Abs. 2 Nr. 2 ZPO normierten Bestimmtheitsgrundsatz liegt dann nicht vor, wenn die Bestimmung des Betrages von einer gerichtlichen Schätzung nach § 287 ZPO oder vom billigen Ermessen des Gerichts abhängig ist. Die nötige Bestimmtheit soll hier dadurch erreicht werden, dass der Kläger in der Klagebegründung die Berechnungs- bzw. Schätzgrundlagen umfassend darzulegen und die Größenordnung seiner Vorstellungen anzugeben hat (vgl. Greger in: Zöller, 35. Aufl. 2024, § 253 ZPO Rn. 14). Diese Voraussetzungen liegen hier vor. Der Kläger hat sowohl in der Klagebegründung als auch bereits in dem Klageantrag zu 1) einen Mindestbetrag angegeben. Soweit die Beklagte meint, der Antrag zu 1) sei deshalb unbestimmt, weil er auf zwei Lebenssachverhalten fuße und damit zwei Streitgegenstände betreffe, deren Verhältnis zueinander nicht hinreichend bestimmt sei, so ist dem entgegenzuhalten, dass tatsächlich nur ein Lebenssachverhalt zu beurteilen ist, nämlich derjenige, ob die Beklagte vor dem Scraping durch Dritte im Zeitraum von Januar 2018 bis September 2019 hinreichende Datenschutzvorkehrungen getroffen hatte und danach etwaige Lücken geschlossen hat bzw. ihre Nutzer unzureichend bzw. intransparent informiert hat. Gleiches gilt für den Klageantrag zu 2).

3.

Der Klageantrag zu Ziffer 3) ist unzulässig.

Hinsichtlich des Feststellungsantrags zum Ersatz künftiger Schäden fehlt es am Feststellungsinteresse (§ 256 ZPO).

Erforderlich hierfür ist das Vorliegen der Möglichkeit zukünftiger (materieller oder immaterieller) Schäden (BGH, NJW 2021, 3130; OLG Hamm, Urt. vom 15.08.2023, Az.: 7 U 19/23). Demensprechend ist das Feststellungsinteresse zu verneinen, wenn bei verständiger Würdigung kein Grund besteht, mit dem Eintritt eines solchen Schadens wenigstens zu rechnen (OLG Hamm a.a.O., juris Rn. 208 ff mit zahlreichen weiteren Nachweisen). Ein solcher Schaden ist vor dem Hintergrund, dass der Kläger offenbar bisher kein konkreter materieller oder immaterieller Schaden entstanden ist und dementsprechend hierzu auch jegliche konkreten Darlegungen fehlen, rein theoretischer Natur, zumal das monierte Scraping- Ereignis selbst bereits mehrere Jahre zurückliegt. Da mit einem Schadenseintritt also nicht zu rechnen ist, fehlt es am Feststellungsinteresse (vgl. OLG Hamm a.a.O.).

4.

Die Unterlassungsanträge zu Ziffer 4) sind unzulässig.

Eine verständige Auslegung des Antrages zu Ziffer 4. a) ergibt, dass der Kläger mit ihrem Klageantrag entgegen der Formulierung in erster Linie eine Freischaltung von Kontaktimportfunktionen in Einklang mit Sicherheitsstandards (vgl. OLG Hamm, a.a.O., Rn. 222) und nicht eine Unterlassung begehrt.

Soweit man hierin einen Antrag auf Verurteilung zu einer zukünftigen Leistung i.S. von § 259 ZPO sieht, ist auch dieser unzulässig, denn die Voraussetzungen des § 259 ZPO liegen nicht vor. Die Klage auf künftige Leistung setzt nämlich die Besorgnis voraus, dass eine Nichterfüllung dieses zukünftigen aktiven Tuns nicht rechtzeitig erfolgen wird. Die streitgegenständliche Funktion des monierten CIT ist nach dem Scraping-Vorfall unstreitig nicht mehr existent. Anhaltspunkte dafür, die notwendigen Sicherheitsmaßnahme würden in Zukunft nicht eingehalten werden, sind weder dargelegt noch ersichtlich. Weitere derartige Vorfälle hat es offenbar nicht mehr gegeben (vgl. OLG Hamm a.a.O., Rn. 225ff .) .

Schließlich ist der Antrag auch unbestimmt, denn das Klagebegehren muss im Rahmen des dem Kläger Möglichen hinlänglich eindeutig formuliert und vollstreckbar sein (s. OLG Hamm a.a.O., Rn. 230). Vorliegend enthält die verdeckte Leistungsklage keinerlei Konkretisierung des verlangten Handelns.

Für den Antrag zu Ziffer 4. b) fehlt das Rechtsschutzbedürfnis.

Der Kläger hat nämlich spätestens mit dem vorgerichtlichen Schreiben der Beklagten vom 02.05.2024 die Bedeutung und die Konsequenzen der vorgenommenen Einstellungen gekannt. Wenn er dies gleichwohl nicht zum Anlass genommen hat, diese Einstellungen in der Folgezeit zu ändern, ist in diesem Verhalten eine Einwilligung zu sehen, was das Unterlassungsbegehren trotz erteilter Einwilligung unzulässig macht. Soweit man auch diesen Antrag als verdeckten Antrag auf zukünftige Leistung sehen wollte, gilt das bereits zum Antrag zu 4. a) Ausgeführte (im Übrigen wird auch diesbezüglich auf die zitierte Rechtsprechung des OLG Hamm verwiesen, der das Gericht insgesamt folgt).

II.

Im Übrigen ist die Klage unbegründet.

Der Kläger hat gegen die Beklagte unter keinem rechtlichen Gesichtspunkt Ansprüche auf immateriellen Schadensersatz oder Auskunft.

1.

Der Kläger hat gegen die Beklagte keinen Anspruch auf immateriellen Schadenersatz in der geltend gemachten Höhe von 3.000 EUR. Ein Anspruch gegen die Beklagte ergibt sich weder aus nationalen Vorschriften noch aus Art. 82 DSGVO.

Es fehlt jedenfalls an der Kausalität zwischen den behaupteten Pflichtverletzungen der Beklagten und dem hier geltend gemachten immateriellen Schadensersatz nach Art. 82 DSGVO. Zudem ist auch ein konkreter Schaden des Klägers nicht ausreichend dargelegt und bewiesen.

Die Kammer folgt in der rechtlichen Bewertung des Sachverhalts zunächst insgesamt der Auffassung des OLG Hamm gemäß Urteil vom 15.08.2023, Az.: 7 U 19/23.

Demnach ist die Beklagte im zeitlichen Anwendungsbereich der DSGVO (Geltung seit dem 25.05.2018 gemäß Art 99 Abs.2 DSGVO) als Betreiberin der N.-Plattform, was in den sachlichen und hier auch räumlichen Anwendungsbereich der DSGVO fällt, als Datenverantwortliche im Sinne der Vorschriften anzusehen.

In dieser Funktion hat sie Daten der Klagepartei den Vorschriften von Art 5 DSGVO zuwider in nicht gerechtfertigter Weise im Sinne von Art 6 DSGVO verarbeitet. Das gilt entsprechend der vorgenannten Rechtsprechung, auf deren Begründung im Einzelnen verwiesen wird (Abdruck in juris, Rn. 94 ff) für die Datenverarbeitung hinsichtlich der Suchbarkeit der Nutzerprofile über die Mobilfunknummer über die Such- und Kontaktimportfunktion und vor allem die diesbezügliche Voreinstellung der Suchbarkeit für „alle“.

Des Weiteren liegt ein Verstoß gegen das Gebot des Art. 25 DSGVO vor, wonach der Grundsatz der datenschutzfreundlichen Grundeinstellungen nicht eingehalten wurde (OLG Hamm a.a.O., Rn. 127 f.).

Zudem entsprach die Datenverarbeitung auch nicht den Grundsätzen der Sicherheit der Verarbeitung i.S.v. Art 32 DSGVO (OLG Hamm, a.a.O., Rn. 129 ff.). Demnach erreichten die getroffenen Maßnahmen zur Sicherung der Informationssysteme in technischer und qualitativer Hinsicht ein nicht ausreichend akzeptables Niveau. Dagegen fallen etwaige Verstöße der Beklagten gegen die Vorschrift des Art 13 DSGVO (Informationspflicht) bereits nicht in den zeitlichen Anwendungsbereich der Norm, denn es ist auf den Zeitpunkt der Datenerhebung abzustellen; diese lag hier zeitlich vor der Geltung der DSGVO (vgl. OLG Hamm a.a.O, Rn. 71 ). Gleiche Überlegungen gelten für etwaige Verstöße gegen Art 35 DSGVO (vgl. OLG Hamm, a.a.O., Rn. 75 f.).

Hinsichtlich des geltend gemachten Schadensersatzanspruchs hat der Kläger aber sowohl die Kausalität der Pflichtverletzungen für den behaupteten Schadenseintritt als auch einen konkreten Schaden an sich nicht hinreichend dargelegt und zur Überzeugung des Gerichts bewiesen.

Im Einzelnen:

a)

Soweit der Kläger behauptet, sein Name, die N.-ID und sein Geschlecht , seien abgegriffen und veröffentlicht worden, fehlt es an einem Kontrollverlust hinsichtlich dieser Daten.

Der Name des Nutzers, das Geschlecht sowie die Nutzer-ID, das Profil- und Titelbild sowie die Netzwerke auf der Plattform der Beklagten sind stets öffentlich einsehbar. Dies gilt selbstverständlich auch für das Profil des Klägers. Im Übrigen sind personenbezogenen Daten des Klägers – wie sein Name, sein Beruf, Arbeitsort und Arbeitgeber – über eine einfache O.-Suche etwa auf der Internetseite „I01“ einsehbar (vgl. Screenshots, Bl. 744 ff. d.A.). Hinsichtlich dieser Daten lässt sich mithin nicht feststellen, dass er zum Zeitpunkt des streitgegenständlichen Scraping-Vorfalls überhaupt noch die Kontrolle über diese Daten hatte.

b)

Ein Anspruch scheitert – im Hinblick auf die betroffene E-Mail-Adresse undHandynummer sowie dem Wohnort und Beziehungsstatus – daran, dass der Kläger einen Kontrollverlust – wenn auch pauschal – zwar schriftsätzlich wohl ausreichend dargelegt (vgl. BGH, Urt. v. 18.11.2024 – VI ZR 10/24, juris Rn. 41), aber nicht bewiesen hat.

Denn insbesondere aufgrund der durch die Beklagte erteilten Informationen zu Einstellungsmöglichkeiten im Zusammenhang mit der Telefonnummer, die der Kläger nicht genutzt hat, fehlt es an dem erforderlichen Kausalzusammenhang zwischen dem nicht gerechtfertigten Verhalten der Beklagten und dem eingetretenen Schaden. Die Möglichkeit, die unstreitigen Voreinstellungen der Beklagten zu ändern, hat der Kläger offensichtlich nicht genutzt. Seit dem 23.07.2014 ist auf seinem Profil hinsichtlich der Suchbarkeit desselben über die Telefonnummer die Einstellung „everyone“ aktiviert.

Angesichts des Umstandes, dass der Kläger sich selbst dazu entschlossen hat, sich öffentlich durch jedermann über seine Telefonnummer suchen zu lassen, auch wenn diese nur ihr selbst angezeigt wird, kann nicht festgestellt werden, dass die dargelegten Verstöße der Beklagten den behaupteten Schaden kausal verursacht haben . Die Telefonnummer als solche ist eben grundsätzlich nicht einsehbar, sondern wird nur dem Kläger angezeigt. Dennoch ist es technisch möglich, bei Kenntnis der Telefonnummer oder künstlichem Generieren von Nummern – auch mit der zufälligen Generierung der Mobilfunknummer des Klägers – ihn so auf N. zu finden. Der Kläger hat sich damit über die Suchbarkeitsfunktion durch „alle“ über die Mobilfunknummer selbst gegen eine entsprechende Vertraulichkeit ausgesprochen. Dass sie sich möglicherweise trotz der Hilfestellungen und Hinweise, die nach Inaugenscheinnahme durch die Kammer über die zur Akte gereichten Screenshots über den Unterschied zwischen der (Nicht-) Anzeige der Telefonnummer und der Suchbarkeit über ihre Mobilfunknummer nicht hinreichend informiert hat, geht indes nicht zu Lasten der Beklagten, die Informationsmöglichkeiten und Hilfestellungen zur Verfügung gestellt hat. Die genannten Einstellungen waren von dem Kläger zum Zeitpunkt des Scrapings bereits gewählt, wie sich aus dem von der Beklagten zur Akte gereichten Screenshot ergibt.

Auch wegen eines etwaigen Verstoßes der Beklagten gegen Art. 33 DSGVO, nämlich einer unterlassenen Anzeige der Beklagten an die Datenschutzbehörde, ist kein kausaler Schaden entstanden. Zu dem Zeitpunkt, als die Daten gescrapt wurden (2018/2019) und der Beklagten in der Folge durch die Veröffentlichung bekannt geworden sind, ist der von dem Kläger behauptete Schaden – Veröffentlichung der Daten verbunden mit einem unguten Gefühl/Kontrollverlust – bereits entstanden gewesen. Die Meldung gegenüber der Aufsichtsbehörde ermöglicht es dieser, über Maßnahmen zur Eindämmung und Ahndung der Rechtsverletzung zu entscheiden (vgl. LG Essen, Urteil vom 23.9.2021, AZ.: 6 O 190/21, ZD 2022, 50, m.w.N.). Der Beklagten wurde der Datenschutzvorfall spätestens am 03.04.2021 bekannt, denn zu diesem Zeitpunkt schilderte sie ihr Vorgehen zu dem Scraping-Vorfall auf Ihrer Webseite. Dass eine Eindämmung der Rechtsgutsverletzung zu diesem Zeitpunkt noch möglich gewesen ist, ist unabhängig von den sonstigen Voraussetzungen nicht ansatzweise ersichtlich und auch von dem Kläger nicht vorgetragen.

Schließlich ist der Kläger selbst bei unterstellter Verletzung der für die Beklagte bestehenden Auskunftspflicht nach Art. 15 DSGVO kein kausaler Schaden i.S.v. Art. 82 DSGVO entstanden. Es ist schon nicht ersichtlich, wie eine nach (den vagen) Angaben der Kläger zu erfolgende Auskunft der Beklagten den in Rede stehenden Schadenseintritt hätte verhindern sollen.

Letztlich fehlt es vorliegend auch an einer ausreichenden Darlegung der Kausalität im Allgemeinen.

Soweit der Kläger schriftsätzlich behauptet, er erhalte Spam-Anrufe, Spam-SMS und Spam-E-Mails, so handelt es sich insoweit zum einen um eine Erscheinung, die bereits mit der Nutzung des Internets als solcher zusammenhängt.

Dem Gericht ist insoweit aus eigener Anschauung bekannt, dass auch Personen ohne N.-Account unerwünschte Anrufe unter der vermeintlichen Behauptung, es sei „Interpol“ oder SMS-Nachrichten erhalten. Selbst wenn bei dem Kläger tatsächlich derartige Anrufe seit dem Scraping-Vorfall zugenommen haben mögen, so kann dies vielerlei Ursachen haben. Es ist völlig unklar und unbekannt, ob und welche Daten der Kläger an anderer Stelle freigegeben hat und ob ein unberechtigter Datenzugriff an anderer Stelle zu diesem – zu Gunsten des Klägers als wahr unterstellten vermehrten unerwünschten Anruf-Aufkommens – geführt hat.

Darüber hinaus hat der Kläger einen konkreten Schadenseintritt nicht ansatzweise dargelegt und bewiesen.

Auch wenn ein bestimmter Grad der Erheblichkeit eines (immateriellen) Schadens nicht vorausgesetzt wird, so stellen die aus einem Datenschutzverstoß resultierenden negativen Folgen nicht per se einen haftungsbegründenden Schaden dar. Die Darlegung eines konkreten Schadens setzt vielmehr voraus, dass dieser konkret und individuell dargestellt wird. Der reine – so vom Kläger vorgetragenen Kontrollverlust durch das stattgefundenen Scraping –betrifft das generelle Risiko der nicht gesetzeskonformen Datenverarbeitung . Realisiert sich dieses generelle Risiko, kommt es zwangsläufig zum Kontrollverlust.

Soweit der bloße Verlust der Kontrolle über die Daten zur Begründung eines ersatzfähigen Schadens nach einer Entscheidung des EuGH vom 14.12.2023 (Az. C-340/21, vgl. OLG Hamm, Urt. v. 21.06.2024 – Az. 7 U 154/23) und zuletzt durch die Entscheidung des BGH vom 18.11.2024 (Az. VI ZR 10/24) ausreichend sein sollte, hat der Kläger aus Sicht des Gerichts gerade nicht dargelegt, dass dieser durch den hier streitgegenständlichen Scraping-Sachverhalt eingetreten und somit kausal auf diesen zurückzuführen ist.

Wie bereits dem Wortlaut des Begriffs „Kontrollverlust" zu entnehmen ist, setzt dieser voraus, dass der Betroffene zunächst die Kontrolle über das konkrete personenbezogene Datum - der Gerichtshof spricht insoweit von Datenhoheit (EuGH, Urt. v. 14.12.2023 - C-456/22, GRUR-RS 2023, 35767 Rn. 22) - hatte und diese Kontrolle später gegen seinen Willen durch den streitgegenständlichen Datenschutzverstoß verloren hat. Dabei muss der potentiell Geschädigte darlegen, dass er die Hoheit über die Daten nicht schon zuvor verloren hatte. Dies gilt jedenfalls bei Daten, bei denen es sich - wie etwa bei dem Namen, dem jedenfalls im europäischen Kulturkreis fast immer aus dem Vornamen ableitbaren Geschlecht und der Telefonnummer - nicht um ein per se sensibles oder der Geheimhaltung unterliegendes personenbezogenes Datum handelt, sondern im Gegenteil um ein Identifizierungsmerkmal. Im Hinblick auf die Telefonnummer ist dabei von Bedeutung, dass es sich um ein solches Datum handelt, das nach seiner Zweckbestimmung dem Betroffenen ermöglichen soll, in Kontakt mit anderen, identifizierbaren Personen zu treten und das daher im täglichen Leben auch solchen anderen Personen oft in großem Umfang zugänglich gemacht wird. In solchen Fällen ist der Betroffene gehalten, dazu vorzutragen, wie er im privaten, geschäftlichen und/oder beruflichen Umfeld mit diesen Daten vor dem streitgegenständlichen Scraping-Vorfall umgegangen ist, ob und unter welchen Bedingungen er sie an wen weitergegeben hat und dass insofern durch die Veröffentlichung nach dem Scraping-Vorfall tatsächlich ein Verlust der zuvor über diese Daten durch ihn noch ausgeübten Kontrolle eingetreten ist (vgl. OLG Köln, Urt. vom 7.12.2023, I-15 U 33/23, GRUR-RS 2023, 36757 = juris Rn. 37; OLG Hamm, Urt. vom 18.12.2024, I-11 U 168/23).

Ein hinreichender schriftsätzlicher Vortrag dazu, wie der Kläger im privaten, geschäftlichen und/oder beruflichen Umfeld mit ihrer Handynummer und seiner E-Mail-Adresse vor dem streitgegenständlichen Scraping-Vorfall umgegangen ist, ob und unter welchen Bedingungen sie diese an wen weitergegeben hat und dass insofern durch die Veröffentlichung nach dem Scraping-Vorfall tatsächlich ein Verlust der zuvor über diese Daten durch ihr noch ausgeübten Kontrolle eingetreten ist, fehlt.

Personenbezogene Daten des Klägers wie die E-Mail-Adresse, sein Name, Passwörter und teils die Telefonnummer waren ausweislich der Internetseite „I02“ bereits – vor dem streitgegenständlichen Datenschutzvorfall – Gegenstand weiterer (neun) Datenschutzvorfälle, so im Jahr 2013 auf „K.“ sowie aktuell bei „J.“. Das behauptete Datenleck der Beklagten wird bei der dortigen Eingabe der streitgegenständlichen E-Mail-Adresse hingegen – wie auch die entsprechende Inaugenscheinnahme der Webseite im Termin zur mündlichen Verhandlung am 13.03.2025 belegt – nicht angezeigt.

Die Kammer vermag mithin auf Grundlage der klägerseitig herangezogenen Konkretisierung des behaupteten Datenverlustes über die Webseite „I02“ keine Feststellung dahingehend zu treffen, dass die streitgegenständliche E-Mail-Adresse durch den Scraping-Vorfall Im Zusammenhang mit der Plattform der Beklagten abgegriffen und veröffentlicht wurde. Der vorgelegte Datensatz weist wiederum die E-Mail-Adresse nicht aus.

Im Übrigen dürfte ein Kontrollverlust hinsichtlich der klägerischen E-Mail-Adresse ausscheiden, da – sofern die Bezugnahme auf die Webseite „I02“ als ausreichend erachtet werden sollte – gerade nicht festgestellt werden kann, dass der Kläger zum Zeitpunkt des streitgegenständlichen Scraping-Vorfalls in Anbetracht der sonstigen in Betracht kommenden Datenlecks überhaupt noch die Kontrolle über diese Daten hatte.

Auch im Hinblick auf die streitgegenständliche Handynummer kann die Kammer nicht feststellen, dass der Kläger die entsprechende Datenhoheit noch innehatte. So hat der Kläger im Rahmen seiner persönlichen Anhörung angegeben, die streitgegenständliche Handynummer bereits seit etwa 20 Jahren zu nutzen. Selbst bei einer unterstellten überwiegenden Nutzung im privaten Bereich ergibt sich allein aufgrund der zeitlichen Dauer der Nutzung der Handynummer die Weitergabe an eine Vielzahl von Kontakten. So gibt auch der Kläger selbst die Anzahl seiner aktuellen Kontakte jedenfalls mit 300 bis 400 an. Ferner nutzt er die streitgegenständliche Handynummer für Organisatorisches im privaten Bereich z.B. bei Versicherungen und Banken. Im Übrigen nutzt der Kläger eine Vielzahl sozialer Netzwerke bzw. Dienste wie I01, S. sowie H.. Ferner nutzt er D.. Ein besonders vorsichtiger Umgang mit der Handynummer liegt aus Sicht der Kammer nicht vor. Ein erst durch den streitgegenständlichen Scrapingvorfall stattgefundener Kontrollverlust lässt sich vor diesem Hintergrund folglich zur tatrichterlichen Überzeugung nicht feststellen.

Darüberhinausgehende immaterielle Schäden, etwa in Form einer persönlichen/psychologischen Beeinträchtigung hat der Kläger nicht schlüssig dargelegt, weder ausdrücklich, noch durch Darstellung von Indizien, durch welche auf das Vorliegen innerer Tatsachen geschlossen werden könnte. Der Vortrag hierzu erfolgt vielmehr in der Vielzahl der dem Gericht bekannten Verfahren nahezu wortgleich und allgemein gehalten. So hätte es nahegelegen, konkret die Missbrauchsversuche aufgrund der gescrapten Daten und die Reaktionen der Kläger hierauf darzustellen. Zudem entspricht es auch nicht der allgemeinen Lebenserfahrung, dass das öffentliche Bekanntwerden der eigenen Mobilfunknummer und / oder E-Mail-Adresse regelmäßig oder erfahrungsgemäß zu persönlichen Beeinträchtigungen führt (vgl. zur Schadensproblematik und die Anforderungen der Darstellung im Einzelnen: OLG Hamm, juris, Rn. 150 ff.).

Auch unter Berücksichtigung der Angaben des Klägers im Rahmen seiner persönlichen Anhörung vermag die Kammer derartige Schäden nicht mit der erforderlichen Sicherheit festzustellen. Die persönlichen Angaben des Klägers stellen sich aus Sicht der Kammer im Hinblick auf die geschilderten Belastungen als pauschal dar. Eine konkrete zeitliche Einordnung des Beginns und der Häufung der Spam-Nachrichten war dem Kläger nicht möglich. Dass eine unbestimmte Anzahl von Anrufen und / oder Nachrichten zu persönlichen/psychologischen Beeinträchtigungen geführt haben sollen, erscheint ferner nicht stimmig oder nachvollziehbar. Dies gilt insbesondere nach dem persönlichen Eindruck, den die Kammer von dem als Informatiker tätigen Kläger gewonnen hat, der das berichtete Spam-Aufkommen allenfalls als Lästigkeit, nicht aber als persönliche oder gar psychologische Beeinträchtigung darstellte. In Anbetracht des Zeitpunktes des Datenscraping bereits zwischen Januar 2018 bis September 2019 wäre bei einer Betroffenheit der klägerischen Daten ferner mit einer zeitnahen Belästigung durch Werbeanrufe und Mails zu rechnen gewesen. Im Übrigen ist für die Kammer – selbst bei einer als wahr unterstellten derartigen Belastung durch Webeanrufe – keinesfalls nachvollziehbar, dass ein Wechsel der Telefonnummer und / oder E-Mail-Adresse seitens des Klägers nicht in Betracht gezogen und / oder tatsächlich erfolgt ist.

Demnach verbleibt in Würdigung der eigenen Angaben des Klägers die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen, die aber ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten einen immateriellen Schaden begründen kann (vgl. BGH, Urt. v. 18.11.2024 – VI ZR 10/24, juris Rn. 32 m. w. N.; OLG Hamm, Urt. vom 18.12.2024, I-11 U 168/23). Entsprechend lassen sich die hier wie in allen Verfahren schriftsätzlich pauschal behaupteten Umstände von Komforteinbußen, Mühewaltung und Gefühlen des Beobachtetwerdens sowie der Hilflosigkeit, so sie denn überhaupt relevant wären, nicht feststellen.

2.

Aus den gleichen Gründen besteht auch kein Anspruch auf Ersatz weiterer immaterieller Schäden. Hinzu kommt, dass nicht ersichtlich ist, wie allein aus dem Umstand der Nichterfüllung einer Auskunft ein immaterieller Schaden entstehen kann.

3.

Ein Anspruch auf immateriellen Schadensersatz kommt auch nicht nach anderen nationalen Vorschriften in Betracht. Selbst wenn die DSGVO gegenüber nationalen Vorschriften keine Sperrwirkung entfalten sollte, fehlt es für andere Schadensersatzansprüche ebenfalls an der Kausalität zwischen der möglichen Pflichtverletzung/einem Verstoß der Beklagten und dem behaupteten Schaden (s.o.).

4.

Schließlich hat der Kläger gegen die Beklagte keinen weiteren Auskunftsanspruch gemäß Art. 15 DSGVO.

Soweit der Anspruch besteht, ist er erfüllt (§ 362 BGB).

Die Beklagte hat im Rahmen der außergerichtlichen Korrespondenz die geforderten Auskünfte erteilt, soweit es ihr überhaupt möglich war – insbesondere mitgeteilt, dass sie keine Kopie der Rohdaten vorhalte, zumal der Kläger selbst im Rahmen der Klageschrift nicht ausführt, welche konkreten Daten er bei N. angegeben hat und dementsprechend abgegriffen worden sein sollen. Eine andere Beurteilung ergibt sich auch nicht aufgrund dessen, dass die Beklagte im Rahmen des außergerichtlichen Schreibens nicht beantwortet hat, welchen Empfängern die Daten des Klägers durch Ausnutzung des Kontakt-Import-Tools im Sinne des Art. 15 Abs. 1 c) DSGVO zugänglich gemacht wurden. Denn das Scraping ist unstreitig von außen erfolgt und es nicht erkennbar, wer diese Daten gescraped hat. Die begehrte Auskunftserteilung ist aufgrund des Vorganges des Scrapings unter Ausnutzung von Daten, die auf „öffentlich“ gestellt sind, unmöglich. Ebenso ist im Rechtssinne unmöglich (und es wird auch nicht näher dargelegt, wie die Beklagte dies mitteilen können soll), zu informieren, wann die Daten gescraped wurden. Die Beklagte hat dem Kläger im Ergebnis also alle Informationen mitgeteilt, die ihr im Zuge des Scraping-Vorfalls zur Verfügung standen. Weitere Angaben kann sie nicht machen. Sie ist folglich hierzu auch nicht verpflichtet. Zudem ist zu berücksichtigen, dass ein Auskunftsanspruch grundsätzlich dann erfüllt ist, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Umfang darstellen soll (vgl. OLG Hamm, a.a.O., Rn 249 ff.). Das ist vorliegend der Fall, denn das vorgenannte Schreiben soll erkennbar das gestellte Auskunftsbegehren abdecken.

5.

Mangels Anspruchs in der Hauptsache besteht auch kein Anspruch auf Zahlung von Rechtshängigkeitszinsen gemäß § 291 ZPO oder Freistellung von außergerichtlichen Rechtsanwaltskosten gemäß § 280 Abs. 1 BGB oder aus Art. 82 Abs. 1 DSGVO.

6.

Die Entscheidungen über die Kosten und die vorläufige Vollstreckbarkeit ergeben sich aus §§ 91 Abs. 1, 708 Nr. 11, 711 ZPO.

Der Streitwert wird auf 3.500,00 EUR festgesetzt.