Oberlandesgericht Köln, 15. Zivilsenat — 15 U 159/21

I.

Der Kläger hatte viele Jahre Konten-/Vertragsbeziehungen zur Beklagten, einer Sparkasse. Nach Beendigung der Kontenbeziehungen streiten die Parteien nunmehr im Wege einer Stufenklage darüber, ob dem Kläger ein weitergehender Anspruch auf Auskunft aus Art. 15 Abs. 1 DSGVO bzw. § 242 BGB zusteht. Auf der nächsten Stufe möchte der Kläger möglicherweise Ansprüche auf eidesstattliche Versicherung und auf der letzten Stufe möglicherweise auf Herausgabe von Kopien i.S.d. Art. 15 Abs. 3 DSGVO bzw. dann jedenfalls auf immateriellen Schadensersatz i.S.d. Art. 82 Abs. 1 DSGVO in Höhe von zumindest 3.500 EUR durchsetzen. Wegen der weiteren Einzelheiten des Sach- und Streitstandes sowie wegen der erstinstanzlichen Schlussanträge wird auf den Tatbestand des angefochtenen Urteils vom 17.05.2021 (Bl. 556 ff. d.A.) Bezug genommen.

Mit diesem Urteil hat das Landgericht - an welches das Amtsgericht mit Beschluss vom 27.11.2020 nach mündlicher Verhandlung die zunächst dort anhängig gemachte Sache verwiesen hat (Bl. 443 ff. d.A.) - die Klage insgesamt abgewiesen. Ungeachtet der Frage, ob dem Kläger die „erwartbaren und ihm zustehenden“ Auskünfte erteilt worden seien, sei das Begehren in Ansehung der die Zwecke der DSGVO pervertierenden Motivlage des Klägers im Schreiben vom 12.02.2020 – die durch seine persönliche Anhörung im Termin vom 13.04.2021 (Bl. 541 ff. d.A.) nicht maßgeblich relativiert worden sei – rechtsmissbräuchlich. Die mögliche Verletzung des Persönlichkeitsrechts des Klägers, die im Hinblick auf BGH v. 27.04.2021 – XI ZR 26/20, juris, zumindest in der unstreitig erfolgten Weitergabe der Daten an die X. GmbH zu sehen sei, stehe in keinem Verhältnis zu seinen Forderungen. Dem Kläger gehe es vergleichbar einem aktienrechtlichen „Berufskläger“ nur um eine „Kommerzialisierung“. Ein Vorabentscheidungsverfahren (Art. 267 AEUV) sei nicht einzuleiten; die DSGVO biete eindeutig keine Rechtfertigung für erpresserische Handlungen. Wegen der weiteren Einzelheiten der Begründung des Landgerichts wird auf die Entscheidungsgründe der angefochtenen Entscheidung (Bl. 556 ff d.A.) verwiesen.

Dagegen wendet sich der Kläger mit seiner Berufung, mit der er zunächst sein erstinstanzliches Klagebegehren weiterverfolgt hat. Nachdem die Beklagte dem Kläger und dem Senat nach der mündlichen Verhandlung vom 17.02.2022 jeweils eine CD-ROM mit elektronischen Dokumenten nebst einem Begleitschreiben (Bl. 800 ff. d.A.) zum Zwecke der weiteren Auskunftserteilung übermittelt hat, hat der Kläger - welcher in dieser Übermittlung einer CD-ROM mit personenbezogenen Daten auch an den Senat eine weitere Rechtsverletzung sieht und mit Nichtwissen bestreitet, dass die ihm zugegangene CD-ROM mit der dem Senat zugesandten CD-ROM inhaltlich übereinstimmt - seine Klageanträge erweitert. Er hat nach fruchtlos gebliebenen außergerichtlichen Aufforderungen kumulativ weitere Auskünfte nach Art. 33, 34 DSGVO wegen der aus seiner Sicht rechtswidrigen Datenübermittlung an die X. GmbH verlangt sowie zudem Auskunft nebst Herausgabe von Kopien (hilfsweise in Textform) über die (interne) Korrespondenz zum Vorgang, die dem Kläger nach dessen Auffassung auch mit dem Schreiben der Beklagten vom 28.04.2022 (Anlagenkonvolut Bl. 874 ff. d.A.) nur unvollständig übermittelt worden sei.

Nachdem die Beklagte in der mündlichen Verhandlung vom 15.09.2022 zu Protokoll erklärt hat, dass es zu der im Jahr 2017 vor Inkrafttreten der DSGVO erfolgten Datenübermittlung an die X. GmbH keine gesonderte Mitteilung an die Aufsichtsbehörde i.S.d. Art. 33 DSGVO gegeben habe (Protokoll, Bl. 797 d.A.), haben die Parteien die Klageanträge teilweise übereinstimmend für erledigt erklärt und der Kläger hat sein Klagebegehren auf Hinweis des Senats im Übrigen neu gefasst. Er hat das Herausgabebegehren wegen der Kopien unter Verweis auf die Möglichkeiten der Stufenklage dann (stillschweigend) zurückgestellt und zur Vorbereitung desselben auf Hinweis des Senats nur weitere Auskunft zu den Dokumenten verlangt.

In der Sache rügt der Kläger mit seiner Berufung, dass das Landgericht unter Missachtung der europarechtlichen Vorgaben und unter Verletzung des Rechts auf den gesetzlichen Richter (Art. 101 Abs. 2 GG, Art. 267 AEUV) mit seinem Verweis auf den „Rettungsanker“ bzw. die „Krücke“ des § 242 BGB verfahrensfehlerhaft insgesamt über seine Stufenklage entschieden habe. Die Zuordnung des Klägers zur Gruppe der „Berufskläger“ bzw. “räuberischen Aktionäre“ läge angesichts der Verfolgung tatsächlich bestehender subjektiver Rechte auf der Stufe des Art. 15 Abs. 1 DSGVO und der monatelangen Vorkorrespondenz ebenso neben der Sache wie die Einordnung seines Vorgehens als erpresserische Handlung. Im Gegenteil sei die Beklagte die „Urquelle rechtswidrigen Handelns“ und der Kläger habe nur - sei es emotional berührt - seine Rechte zum Schutz seiner personenbezogenen Daten wahrgenommen. Tatsächlich sei der Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO - der u.a. mit Blick auf BGH v. 15.06.2021 – VI ZR 576/19, NJW 2021, 2726 weit auszulegen sei – von der Beklagten verschleppt worden. Es habe erstinstanzlich u.a. an „einer Negativauskunft, der Herausgabe der Kontoauszüge und insbesondere der Verarbeitungsdaten bei den Dienstleistern X. GmbH und H. GmbH“ gefehlt. Mit der zu Art. 15 Abs. 3 DSGVO von starken Stimmen vertretenen Lesart sei von Anfang an eine Herausgabe der gesamten Unterlagen (inkl. Emailverkehr, internen Vermerken, Kontoauszügen etc.) geschuldet gewesen. Die Beklagte habe sich bei ihrer Auskunftserteilung zudem nicht nur - wie seinerzeit geschehen - auf die Benennung von Kategorien von Empfängern beschränken dürfen, sondern hätte konkret über die tatsächlichen Empfänger Auskunft erteilen müssen. Konkrete Löschfristen seien nicht benannt/zugeordnet, sondern nur vage Standardinformationen mitgeteilt worden; ferner habe es an einer Auskunft gegenüber dem Kläger über die Herkunft seiner Daten, über etwaiges Scoring und seine Folgen sowie über die vollständigen Verarbeitungszwecke gefehlt. Unklar geblieben sei auch – weil es angeblich weder eine Auftragsdatenverarbeitung (Art. 28 DSGVO) noch eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) gebe -, was die Rahmenbedingungen der Weitergabe der Daten an die X. GmbH gewesen seien.

Soweit das Landgericht im Rahmen seines Vorwurfs eines Rechtsmissbrauchs u.a. an das Unterlassen der Darlegung konkreter Beeinträchtigungen zu einem Schaden angeknüpft habe, sei dies mit Blick auf die zutreffende Auslegung des Art. 82 Abs. 1 DSGVO fehlerhaft. Schon die schlichte Nichterfüllung der Auskunftspflicht in den Fristen des Art. 12 Abs. 3 DSGVO und der damit einhergehende „Kontrollverlust“ auf Klägerseite seien als Schaden im Sinne der Norm ausreichend. Es seien ungeachtet dessen auch weitere Schädigungen feststellbar: Neben der verspäteten Auskunft sei die jahrelange Speicherung der Daten des Klägers ohne Rechtsgrundlage in einem „Datenfriedhof“ sowie jedenfalls die rechtswidrige Weitergabe der Daten an Dienstleister mit der Folge eines weiteren Kontrollverlustes zu konstatieren. Angesichts dieses Kontrollverlustes, des „exzessive(n) Ausverkauf(s)“ der personenbezogenen Daten, der “Mauertaktik“ der Beklagten sei das „Empfinden von Wut, Hilflosigkeit und Ohnmacht angemessen und nachvollziehbar.“

Mit Blick auf die in zweiter Instanz erfolgte Übersendung einer CD-ROM an den Senat ist der Kläger der Ansicht, dass darin eine weitere rechtswidrige Datenübermittlung an den Senat als Dritten liege, da im Zeitpunkt der Übermittlung für die Beklagte nicht absehbar gewesen sei, ob - und wenn ja, hinsichtlich welcher Punkte - ein Bestreiten der Erfüllung (§ 362 Abs. 1 BGB) erfolgen werde. Daher könne die Beklagte sich nicht auf Art. 6 Abs. 1 lit. f) DSGVO berufen; sie habe zudem gegen das Bankgeheimnis und § 203 StGB verstoßen. Die Auskunft sei darüber hinaus mit der CD-ROM und dem Begleitschreiben gegenüber dem Kläger unzureichend erfolgt. Es fehlten weiterhin Negativauskünfte. In der Sache belege der Inhalt der erteilten Auskunft, dass man trotz des Status als öffentlich-rechtliche Anstalt massiv gegen datenschutzrechtliche Bestimmungen verstoßen habe, rechtswidrig strukturierte und unstrukturierte Altbestände von Daten ohne tragfähige Löschkonzepte bzw. deren zielführende Umsetzung vorhalte (wie im Detail auf S. 12 f. des Schriftsatzes vom 04.04.2022 = Bl. 831 f. d.A. ausgeführt) und man sich gegenüber den Pflichten aus der DSGVO ignorant zeige bzw. strukturell überfordert sei.

Aus den Gesamtumständen ergäben sich Anhaltspunkte für einen Anspruch auf Abgabe einer eidesstattlichen Versicherung in Form von berechtigten Zweifeln, dass man nicht alle Empfänger ordnungsgemäß mitgeteilt habe und nicht die notwendige Sorgfalt habe walten lassen.

Mit der (sachdienlichen) Klageerweiterung im Berufungsverfahren seien ferner ungeschriebene bzw. durch Vorabentscheidungsverfahren nach Art. 267 AEUV zu klärende Auskunftsansprüche über das „Ob“ einer Meldung nach Art. 33 DSGVO bzw. auf ordnungsgemäße Benachrichtigung i.S.d. § 34 Abs. 2 DSGVO einzufordern, zumal der Kontrollverlust über die Daten durch Weitergabe an die X. GmbH ein „hohes Risiko“ im Sinne dieser Norm darstelle. Die Erklärung der Beklagten zu Protokoll im Termin vom 15.09.2022 habe den zweiten Anspruch auch nicht erfüllt und/oder erledigt.

Im Übrigen stehe dem Kläger ohnehin noch ein Anspruch auf weitere Auskunft bzw. später auf Herausgabe von Kopien zu und dies konkret mit Blick auf die in der internen Kommunikation zwischen dem externen Datenschutzbeauftragten und der Beklagten und weiteren internen Unterlagen zumindest mittelbar verarbeiteten personenbezogenen Daten des Klägers. Sofern die Beklagte behaupte, es sei schon die gesamte Korrespondenz mit Bezug zu personenbezogenen Daten übersandt worden, sei dies schon deswegen zu bestreiten, weil Unterlagen nur bis zum 20.04.2020 überreicht worden seien. Es werden auf S. 4 f. des Schriftsatzes vom 03.05.2022 (Bl. 870 f. d.A.) und S. 3 f. des Schriftsatzes vom 29.08.2022 (Bl. 986 f. d.A.) Zeugen zur klägerseits insofern behaupteten Unvollständigkeit der bisher überreichten Unterlagen zu personenbezogenen Daten des Klägers und zu im Übrigen fehlenden schutzwürdigen Belangen der Beklagten (als potentielles Argument gegen eine Herausgabe von Kopien) benannt. Dieser Beweisantritt sei – andere Möglichkeiten habe der Kläger nicht – prozessual zulässig. Sofern die Beklagte Drittschutz- und Geheimnisinteressen geltend mache, müsse sie dies jeweils individuell zu konkreten Datensätzen/Unterlagen vortragen und könne nicht pauschal jedwede Auskunft bzw. Herausgabe verweigern.

Wegen der weiteren Einzelheiten des Berufungsvorbringens des Klägers wird auf die Berufungsbegründung (Bl. 679 ff. d. A.) und die Schriftsätze vom 09.02.2022 (Bl. 744 ff. d.A.), vom 04.04.2022 (Bl. 812 ff. d.A.), vom 04.04.2022 (Bl. 819 ff. d.A.), vom 25.04.2022 (Bl. 849 ff. d.A.), vom 03.05.2022 (Bl. 866 ff. d.A.) und vom 29.08.2022 (Bl. 983 ff. d.A.) Bezug genommen.

Die Parteien haben im Termin vom 15.09.2022 unter wechselseitigen Kostenanträgen übereinstimmende Teilerledigungserklärungen abgegeben, soweit (1) im Termin vom 17.02.2022 (sinngemäß) noch zusätzlich beantragt worden ist, die Beklagte zu verurteilen, (a) Auskunft über alle bei ihr verarbeiteten personenbezogenen Daten des Klägers und über folgende Informationen zu erteilen: - die Verarbeitungszwecke, - die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, - falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer und - wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden - alle verfügbaren Informationen über die Herkunft der Daten sowie (b) Auskunft darüber zu erteilen, welche Auswirkung die Bonitätsbewertung auf mögliche Kreditvergaben oder sonstige Finanzierungshilfen sowie Bewerbung von Finanzprodukten der Beklagten hat, insbesondere welche Nachteile für den Kläger aus einer fehlerhaften Bonitätsbewertung entstanden sind und (2) ferner, soweit mit Schriftsatz vom 25.04.2022 (S. 4 = Bl. 853 d.A.) klageerweiternd beantragt worden ist, die Beklagte auch zu verurteilen, dem Kläger Auskunft darüber zu erteilen, ob die Beklage an die zuständige Auskunftsbehörde die rechtswidrigen Verarbeitung der personenbezogenen Daten an die X. GmbH und die massenhaften Offenlegung der Kundendaten an die X. GmbH gemeldet hat.

Im Übrigen beantragt der Kläger dann zuletzt sinngemäß,

das Urteil des Landgerichts Köln vom 17.05.2021 - 21 O 392/20 - abzuändern und unter Zurückverweisung des Rechtsstreits im Übrigen (eidesstattliche Versicherung, Herausgabe- und Zahlungsstufe) auf der ersten Stufe die Beklagte zu verurteilen,

1. den Kläger gemäß Art. 34 Abs. 2 i.V.m. Art. 33 Abs. 3 b, c, d, DSGVO zu benachrichtigen;

2. dem Kläger Auskunft zu seinen personenbezogenen Daten zu erteilen mit Blick auf die vollständige Korrespondenz zwischen dem Datenschutzbeauftragten Herrn C. und der Beklagten (E-Mail, postalische Korrespondenz) und der Protokolle von Abstimmungsgesprächen, Vermerken zu etwaigen rechtlichen Ausführungen sowie Stellungnahmen an die Beklagte.

Die Beklagte beantragt sinngemäß,

die Berufung zurückzuweisen, hilfsweise den Rechtsstreit an das Landgericht zurückzuverweisen.

Die Beklagte verteidigt die angefochtene Entscheidung unter Vertiefung ihres erstinstanzlichen Vorbringens und ist der Ansicht, jedenfalls zuletzt erschöpfend Auskunft erteilt zu haben. Die erst nach Schluss der ersten mündlichen Verhandlung vor dem Senat gestellten weiteren Klageanträge seien prozessual unzulässig und jedenfalls nicht sachdienlich. In den Fällen des Art. 33 DSGVO bestehe kein individueller Auskunftsanspruch. Ein Fall des Art. 34 Abs. 2 DSGVO läge schon wegen des langen Zeitablaufs und des fehlenden „hohen Risikos“ nicht vor; zudem begründe auch diese Norm keinen klagbaren Auskunftsanspruch.

Weitergehende Ansprüche des Klägers aus Art. 15 Abs. 1 und 3 DSGVO wegen der (internen) Korrespondenz usw. bestünden nicht, weil man zwischenzeitlich tatsächlich alle Bestandteile der Korrespondenz mit personenbezogenen Daten des Klägers beauskunftet/übermittelt habe und ein Anspruch auf sonstige Kommunikation bzw. weitere interne Unterlagen mit Blick auf die vom Kläger selbst zitierte Rechtsprechung des Bundesgerichtshofs v. 15.06.2021 – VI ZR 576/19, NJW 2021, 2726 bzw. zumindest mit Blick auf Art. 15 Abs. 4 DSGVO (Rechte und Freiheiten anderer Personen) nicht bestehe. Zudem verhalte sich der Kläger (erneut) rechtsmissbräuchlich i.S.d. Art. 12 Abs. 5 DSGVO, weil er nur datenschutzfremde Ziele verfolge und Direktansprüche gegen den Datenschutzbeauftragten vorzubereiten suche. Ein Anspruch auf Vorlage der internen Kommunikation – insbesondere etwa auch zwischen der Beklagten und ihren Prozessbevollmächtigten – bestehe unter dem Gesichtspunkt des Schutzes des Mandatsverhältnisses nicht; gleiches gelte für einen Anspruch hinsichtlich interner Bewertungen etc.. Soweit klägerseits Zeugen benannt würden, sei das ins Blaue hinein erfolgt und es handele sich um eine unzulässige Ausforschung.

Wegen der weiteren Einzelheiten des Berufungsvorbringens der Beklagten wird auf die Berufungserwiderung (Bl. 734 ff. d. A.) und die Schriftsätze vom 17.03.2022 (Bl. 795 f. d.A.), vom 17.03.2022 (Bl. 797 ff. d.A.), vom 31.03.2022 (Bl. 805 ff. d.A.), vom 28.04.2022 (Bl. 856 ff. d.A.) und vom 24.05.2022 (Bl. 970 ff. d.A.) Bezug genommen.

II.

Die zulässige Berufung des Klägers hat nur in tenoriertem Umfang in der Sache Erfolg und führt im Übrigen zur Aufhebung und Zurückverweisung an das Landgericht.

1. Soweit das Landgericht in der angefochtenen Entscheidung die Stufenklage (§ 254 ZPO) mit der Erwägung insgesamt abgewiesen hat, der Kläger handele vergleichbar einem aktienrechtlichen „Berufskläger“ rechtsmissbräuchlich (§ 242 BGB), ist zwar abstrakt zutreffend, dass eine Stufenklage vollumfänglich abgewiesen werden kann, wenn aus materiell-rechtlichen Gründen von Anfang an feststeht, dass der Hauptanspruch auf der letzten Stufe aus materiell-rechtlichen Gründen ohnehin nicht besteht (statt aller BGH v. 28.11.2001 – VIII ZR 37/01, juris Rn. 20). Doch ein solcher Fall liegt - entgegen dem Landgericht - hier nicht vor: Es bedarf dabei keiner, sonst ggf. an Art. 267 AEUV zu messenden Entscheidung des Senats in der u.a. zu Art. 15 Abs. 1 und 3 DSGVO diskutierten Streitfrage, ob und wie aufgrund des dem Europarecht durchaus nicht fremden Gedankens von Treu und Glauben etwaige Ansprüche aus der DSGVO inhaltlich beschränkt oder gar ausgeschlossen sein können (zum Streitstand etwa Bienemann , in: Sydow/Marsch, DSGVO/BDSG, 3. Aufl. 2022, Art 15 Rn. 74 ff. m.w.N.). Denn trotz des auch aus Sicht des Senats fragwürdigen Schreibens des Klägers vom 12.02.2020 (Anlage HLW 2, Bl. 148 ff. d.A.) liegt die Sache so, dass der Kläger im Kern zu Recht (weitere) Auskunftsansprüche aus Art. 15 Abs. 1 DSGVO gegen die Beklagte verfolgt hat; dies insbesondere in Ansehung der tatsächlich erfolgten Datenweitergabe an die X. GmbH, zu der damals noch nicht klar war, dass sie tatsächlich noch vor Inkrafttreten der DSGVO erfolgt ist und um was es genau ging. Auch ein Ersatzanspruch des Klägers aus Art. 82 Abs. 1 DSGVO erschien - wenn auch sicher nicht in der damals verlangten Höhe - zumindest nicht von Anfang an fernliegend. In Ansehung dessen erscheint der Vorwurf des Rechtsmissbrauchs für die – sei es überzogene – Verfolgung subjektiver Rechte (noch) nicht berechtigt. Es kann nicht schon von einem Rechtsmissbrauch gesprochen werden, wenn eine begehrte datenschutzrechtliche Auskunft nicht offensichtlich unbegründet ist und die Verfolgung entsprechender zivilrechtlicher Ersatzansprüche vorbereiten könnte, zumindest, wenn es – wie hier – um potentielle datenschutzrechtliche Ersatzansprüche geht. Der Anspruchsteller handelt dann sogar im Einklang mit den Zielen der DSGVO. Aus der zu Art. 12 Abs. 5 S. 2 lit. b) DSGVO erfolgten Vorlage nach Art. 267 AEUV durch den Bundesgerichtshof mit Beschluss vom 29.03.2022 – VI ZR 1352/20, ZD 2022, 497 = GRUR-RS 2022, 9584 (dazu auch Korch/Chatard , ZD 2022, 482) folgt nichts Anderes. Denn dort war der Anspruch aus Art. 15 Abs. 3 DSGVO nur zur Verfolgung arzthaftungsrechtlicher Schritte geltend gemacht worden und mithin gerade nicht zur Verfolgung der in Erwägungsgrund 63 S. 1 DSGVO genannten Zwecke. So liegt der vorliegende Fall nicht, zumal die Übermittlung der personenbezogenen Daten des Klägers an die X. GmbH – wie im Termin erörtert und auch vom Landgericht erkannt – auch nach der früheren Rechtslage rechtswidrig war und sich der Kläger – der auch nicht wusste, wann genau was übermittelt war und wie nach Inkrafttreten der DSGVO die weiteren Verantwortlichkeiten für die Datenhaltung/-verarbeitung liegen sollten – zunächst mit einem nur spärlich tröpfelnden Informationsfluss konfrontiert sah.

Für die Annahme des Landgerichts, der Kläger habe die im genannten Schreiben angedrohte Kontaktaufnahme zur Presse nur mangels eines für ihn absehbaren Vorteils unterlassen und wolle nach einem etwaigen Prozesserfolg erneut nur Kapital aus der Sache schlagen, fehlt jedweder belastbare Vortrag. Die Annahmen sind – wie die Berufung zutreffend rügt – deswegen für den Senat auch nicht gemäß § 529 Abs. 1 Nr. 1 ZPO bindend, wie in der ersten mündlichen Verhandlung vor dem Senat mit den Parteien erörtert. Die Beklagte hat dies im Folgenden nicht in Zweifel gezogen und/oder substantiiert näher zu diesen Fragen vorgetragen.

2. Dem Kläger steht im tenorierten Umfang auf der ersten Stufe ein weitergehender Anspruch auf Auskunft i.S.d. Art. 15 Abs. 1 DSGVO zu; der Senat hat dabei den Antrag ausgelegt und im Tenor nur etwas klarer formuliert.

a) Die in der letzten mündlichen Verhandlung erfolgte Konkretisierung des in erster Instanz zunächst noch umfassend anhand des Wortlauts des Art. 15 Abs. 1 DSGVO formulierten Begehrens ist verfahrens- und berufungsrechtlich unproblematisch. Sie ist – zumal man in der erstinstanzlichen Antragsfassung sonst jedenfalls bei einer hier im Raum stehenden Teilerfüllung Bedenken mit Blick auf § 253 Abs. 2 Nr. 2 ZPO und die Vollstreckbarkeit entwickeln könnte – jedenfalls sachdienlich und auch ansonsten prozessual zulässig i.S.d. § 533 ZPO.

aa) Soweit der Kläger sein Auskunftsbegehren im Schriftsatz vom 25.04.2022 (S. 4 = Bl. 853 d.A.) zunächst mit einem Herausgabebegehren auf „Kopien“ i.S.d. Art. 15 Abs. 3 DSGVO „vermischt“ hat, ist dies durch die zuletzt im Termin erfolgte Klarstellung und inhaltliche Beschränkung hinreichend „entzerrt.“ Daher bedarf es keiner Entscheidung des Senats in der Streitfrage, ob der Anspruch auf „Kopien“ aus § 15 Abs. 3 DSGVO dogmatisch Bestandteil eines einheitlich zu verstehenden Auskunftsanspruchs ist oder man von zwei unterschiedlichen Anspruchsgrundlagen auszugehen hat (zum Streitstand, den Folgen und den dazu laufenden Vorabentscheidungsverfahren i.S.d. Art. 267 AEUV BeckOK-DatenschutzR/ Schmidt-Wudy , Ed. 41, Art 15 Rn. 85 m.w.N.; siehe zudem Vorlagefrage zu Ziff. 3 bei BGH v. 29.3.2022 – VI ZR 1352/20, ZD 2022, 497 = GRUR-RS 2022, 9584 Rn.35 ff. - EuGH C-307/22).

Jedenfalls zuletzt steht fest, dass zunächst nur weitere ergänzende Auskunft zu den Details der Verarbeitung der personenbezogenen Daten des Klägers (auch) in der Korrespondenz der Beklagten mit dem Datenschutzbeauftragten und in sonstigen internen Unterlagen usw. verlangt wird (§ 308 Abs. 1 ZPO), auf deren Basis man ggf. später über die Verpflichtung zur Herausgabe von einzelnen „Kopien“ (ggf. mit Schwärzungen) konkreter Dokumente i.S.d. Art. 15 Abs. 3 DSGVO streiten mag. Der Klageantrag folgt insofern – auf Hinweis des Senats i.S.d. § 139 Abs. 1 S. 2 ZPO – dem vom Bundesarbeitsgericht im Urt. v. 16.12.2021 – 2 AZR 235/21, NZA 2022, 362 Rn. 33 und im Urt. v. 27.04.2021 – 2 AZR 342/20, BeckRS 2021, 11575 Rn. 20 f., 25 f. für solch Konstellationen verfahrensrechtlich vorgezeichneten Weg und erlaubt der Beklagten so eine Auskunft zu einzelnen Unterlagen und groben Inhalten, womit im Folgenden ggf. eine möglichst konkrete Prüfung der genauen Herausgabepflichten der Beklagten erfolgen kann (siehe auch LAG Köln v. 11.03.2022 – 10 Sa 769/20, juris Rn. 49 ff.). Dass teilweise in Rechtsprechung und Schrifttum auch eher pauschale Herausgabeanträge i.S.d. Art. 15 Abs. 3 DSGVO zugelassen worden sind (siehe nur BGH v. 16.06.2021 – VI ZR 576/19, NJW 2021, 2726 Rn. 32; OLG München v. 04.10.2021 – 3 U 2906/20, BeckRS 2021, 29747 Rn. 13 [zZt.: BGH - VI ZR 330/21]; Lembke/Fischeis , NZA 2022, 513, 519 f.; BeckOK-DatenschutzR/ Schmidt.Wudy , Ed. 41, Art. 15 Rn. 85, 85.1; ebenfalls weit auch LG Köln v. 16.02.2022 – 28 O 303/20, GRUR-RS 2022, 3541 Rn. 26 ff.), kann dahinstehen. Denn auch eine solche Möglichkeit unterstellt - die mitunter erhebliche Probleme in das Zwangsvollstreckungsverfahren tragen mag, wenn (wie hier) Streit über die Grenzen des Anspruchs aus Art. 15 Abs. 3 DSGVO bei einzelnen Dokumenten (etwa wegen der drohenden Verletzung von Interessen Dritter) besteht –, lässt dies nicht ohne weiteres das Rechtschutzbedürfnis für ein nur „stufenweises“ Vorgehen gerade zur Meidung oder Minimierung von etwaigen Vollstreckungsproblemen und zur Ermöglichung einer strukturierteren Prüfung der Herausgabepflichten zu einzelnen Unterlagen (im Sinne einer sog. „Punktesache“) entfallen. Vorteil des vom Kläger gewählten Weges ist, dass man – wie im Termin mit den Parteien erörtert - mittels der tenorierten Verpflichtung zur Auskunft über die personenbezogene Daten des Klägers in einzelnen Dokumenten, um deren Herausgabe in Kopie i.S.d. Art. 15 Abs. 3 DSGVO es später theoretisch gehen könnte, zu diesen Unterlagen und den wesentlichen verarbeiteten personenbezogenen Inhalten bzw. Punkten i.S.d. Art. 15 Abs. 1 DSGVO zunächst „nur“ Auskunft erteilen muss. Mit einer solchen Auskunft (ggf. in Listenform) kann man sich – ggf. nach einer eidesstattlichen Versicherung – dann später auf der sog. Herausgabestufe zu jedem einzelnen Dokument konkreter über die genauen Voraussetzungen des Art. 15 Abs. 3 DSGVO und insbesondere die Grenzen aus Art. 15 Abs. 4 DSGVO im Einzelfall auseinandersetzen, was bei einem pauschalen Herausgabetenor u.U. abgeschnitten wäre. Mit einem solcherart gestuften Vorgehen erspart man sich insbesondere dann auch die Beantwortung der Frage, warum bei einem „pauschalen“ Herausgabetitel (berechtigte) Fragen rund um Art. 15 Abs. 4 DSGVO (trotz des eigentlich eingreifenden § 767 Abs. 2 ZPO) später im Zwangsvollstreckungsverfahren nach § 888 ZPO überhaupt noch eine Rolle spielen sollten.

bb) Mit dieser zuletzt erfolgten Beschränkung nur auf ein konkret gefasstes weiteres Auskunftsbegehren (unter gleichzeitiger stillschweigender Verlagerung des Herausgabeverlangens auf eine spätere Stufe) kommt es im Übrigen nicht mehr darauf an, ob mit der übersandten CD-ROM und dem Begleitschreiben eine im Kern ansonsten abschließende Auskunftserteilung erfolgt ist und damit(Teil-)Erfüllung des Auskunftsanspruchs i.S.d. § 362 Abs. 2 BGB eingetreten ist. Der Kläger hat – trotz der entsprechenden Aufforderung der Beklagten - zuletzt ohnehin nicht mehr konkret vorgetragen, welche genauen Auskünfte aus seiner Sicht (neben den im Tenor genannten Unterlagen) sonst noch fehlen sollen. Sofern er mit den ihm ansonsten zuletzt in der Sache erteilten Auskünften inhaltlich unzufrieden zu sein scheint (etwa zu Löschfristen und deren praktischer Handhabung), ist das keine Frage der Auskunftserteilung, sondern allenfalls eines Ersatzanspruchs aus Art. 82 Abs. 1 DSGVO.

b) Der konkretisierte Auskunftsanspruch folgt aus Art. 15 Abs. 1 DSGVO.

aa) Soweit die Beklagte andeutet, auch insofern bereits abschließend Auskunft erteilt zu haben, so dass auch hier Erfüllung eingetreten wäre, während die Beweisantritte des Klägers nur auf eine prozessual unzulässige Ausforschung gerichtet seien, trägt das im tenorierten Umfang nicht. Denn insofern war die bisher erteilte Auskunft (und bereits erfolgte Herausgabe von Kopien) wegen der fehlerhaften Rechtsauslegung durch die Beklagte offensichtlich lückenhaft, so dass dieser Teil des Auskunftsanspruchs denklogisch nicht durch Angabe einer abschließenden Beauskunftung erfüllt ist und somit ein weiterer (ergänzender) Auskunftsanspruch besteht (vgl. etwa auch BGH v. 15.06.2021 – VI ZR 576/19, NJW 2021, 2726 Rn. 20 m.w.N.). Wie in der letzten mündlichen Verhandlung mit den Parteien erörtert, zeigt auch das Berufen der Beklagten auf Art. 15 Abs. 4 DSGVO und/oder die angebliche Vertraulichkeit des internen Schriftverkehrs, dass der Auskunftsanspruch mit der Übersendung der CD-ROM, dem Begleitschreiben sowie dem bisherigen Prozessvorbringen noch nicht erfüllt sein kann, zumal nach den vorgelegten Unterlagen offenbar den Kläger und seine personenbezogenen Daten betreffende Unterlagen in einen „Impuls“ eingestellt worden sein sollen und etwa Fragen an einen Herrn M. gestellt wurden (Email v. 01.04.2020, Bl. 891 d.A.), es Besprechungen in einem JF-Termin gab und eine Einbindung des Beschwerdemanagements angesprochen ist (Email v. 14.02.2020, Bl. 899 d.A.). Dass keine weiteren „internen“ Unterlagen beauskunftet/herausgegeben werden sollen, war zudem schon auf S. 8 f. der Klageerwiderung (Bl. 129 f. d.A.) Thema; auch das zeigt, dass es offenbar tatsächlich weitere Unterlagen mit zumindest mittelbarem Bezug zu den personenbezogenen Daten des Klägers geben muss, zu denen bisher keine Auskunft erteilt worden ist.

Bei der Entscheidung bedarf es (noch) nicht der Klärung der – dem EuGH zwischenzeitlich i.S.d. Art. 267 AEUV vorliegenden – Frage nach der Reichweite und Auslegung des Begriffs der „Kopie“ i.S.d. Art. 15 Abs. 3 DSGVO (vgl. BGH v. 29.03.2022 – VI ZR 1352/20, ZD 2022, 497 = GRUR-RS 2022, 9584; öBVerwG v. 09.08.2021 – W211 2222613-2). Denn auf der hier derzeit allein maßgeblichen Ebene der Auskunftserteilung (Art. 15 Abs. 1 DSGVO) muss mit der überzeugenden Rechtsprechung des Bundesgerichtshofes (BGH v. 15.06.2021 – VI ZR 576/19, BeckRS 2021, 16831 Rn. 29) diese Streitfrage gerade noch nicht geklärt werden, wenn und soweit es um einen Bereich geht, zu dem sich der Auskunftspflichtige - wie hier - irrigerweise deshalb nicht im Detail erklärt hat, weil er meint, er sei dazu rechtlich nicht verpflichtet. Es genügt daher, wenn interne Vermerke und interne Kommunikation jedenfalls „nicht kategorisch vom Anwendungsbereich des Art. 15 Abs. 1 DSGVO ausgeschlossen werden“ können (BGH a.a.O.; siehe zudem auch OLG Köln v. 13.05.2022 – 20 U 295/21, BeckRS 2022, 12203 Rn. 40 m.w.N. – nicht r.kr.). In Ansehung dessen besteht für den Senat auch kein Anlass zur Aussetzung des Verfahrens analog § 148 ZPO mit Blick auf die laufenden Vorabentscheidungsverfahren zur Auslegung des Art. 15 Abs. 1 und 3 DSGVO.

bb) Soweit die Beklagte die zum Gegenstand des Auskunftsbegehrens gemachten Unterlagen unter Verweis auf die Rechtsprechung des BGH (a.a.O. Rn. 28) offenbar generell vom Auskunfts- und (erst recht) Herausgabeanspruch ausklammern will, weil etwa nüchterne rechtliche Analysen zwar personenbezogene Daten enthalten können, die auf der Grundlage dieser personenbezogenen Daten vorgenommene eigentliche Beurteilung der Rechtslage aber keine Information über den Betroffenen und damit kein personenbezogenes Datum darstellt (so auch EuGH v. 1 07.2014 - Rs. C-141/12 und C-372/12, CR 2015, 103 Rn. 39 ff.), greift das vorliegend nicht durch: Richtigerweise müssen zumindest solche Vermerke etc. im Grundsatz von Art. 15 Abs. 1 und 3 DSGVO erfasst werden, bei denen sich ein Personenbezug zumindest mittelbar daraus ergibt, dass die Information aufgrund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (siehe auch EuGH v. 20.12.2017 – C-434/16, NJW 2018, 767 Rn. 35). Es gibt damit im Ausgangspunkt also einen Anspruch auf Auskunft und auch auf potentiellen Zugang zu jedem Dokument, das sich in einem zu einer konkreten Person geführten Vorgang befindet (so überzeugend auch Koreng , NJW 2021, 2692, 2694).

cc) Hier eingreifende Grenzen des so verstandenen weiten Auskunftsanspruchs hat die Beklagte bis zuletzt nicht dargetan.

(1) Ein Fall des Rechtsmissbrauchs nach Art. 12 Abs. 5 S. 2 lit. b) DSGVO liegt mit dem eingangs Gesagten (noch) nicht vor. Dass der Kläger im vorliegenden Verfahren u.U. Informationen für ein Ersatzbegehren und/oder ein Vorgehen gegen den externen Datenschutzbeauftragten zu erlangen versuchen mag, steht den Zwecken der DSGVO nicht entgegen. Der Verweis u.a. auf LG Heidelberg v. 21.02.2020 - 4 O 6/19, ZD 2020, 313, wo bei Art. 15 Abs. 1 und 3 DSGVO die Sichtung und Schwärzung von mehreren tausend E-Mails im Raum stand, trägt schon allein deswegen nicht, weil eine solche extreme Belastung von der Beklagten hier nicht konkret geltend gemacht wird und auch im Übrigen nicht ersichtlich ist. Ob diese Entscheidung im Übrigen überzeugt (kritisch BeckOK-DatenschutzR/ Schmidt-Wudy , Ed. 41, Art. 15 Rn. 85 m.w.N.), kann damit offen bleiben.

(2) Art. 15 Abs. 4 DSGVO greift nach seinem Wortlaut nur für den Anspruch aus Art. 15 Abs. 3 DSGVO ein, wobei die Rechte anderer Personen dann u.U. auch den Verantwortlichen selbst einschließen können (so jedenfalls Kühling/Buchner/ Bäcker , DSGVO-BDSG, 3. Aufl. 2020, Art 15 Rn. 42. AA BeckOK-DatenschutzR/ Schmidt-Wudy , Ed. 41, Art. 15 Rn. 96), was hier jedoch nicht näher zu vertiefen ist.

(3) Dahinstehen mag, ob eine analoge Anwendung des Art. 15 Abs. 4 DSGVO auch auf Art. 15 Abs. 1 und 2 DSGVO möglich ist (dazu Gola/Heckmann/ Franck , DSGVO, 3. Aufl. 2022, Art. 15 Rn. 48 m.w.N.), ob unionsrechtlich zumindest eine allgemeine Abwägung widerstreitender Grundrechtspositionen als ungeschriebene Grenze des Auskunftsanspruchs einzuziehen ist und/oder diese Frage nur eine solche der unter Ausnutzung der sog. Öffnungsklausel in Art. 23 DSGVO erlassenen nationalen Regelung in § 29 Abs. 1 S. 2 BDSG ist (diese Fragen offen lassend BGH v. 22.02.2022 – VI ZR 14/21, GRUR-RS 2022, 5496 Rn. 14 f., 22 ff.). Denn trotz der entsprechenden und nur versehentlich nicht protokollierten Erörterungen mit den Parteien im Termin fehlt dazu bis zuletzt ausreichend konkreter Sachvortrag der Beklagten z.B. zu Geschäftsgeheimnissen (Erwägungsgrund 63 S. 5 DSGVO) und/oder sonstigen berechtigten Eigen- oder Drittinteressen, die schon auf der Auskunftsstufe der begehrten Auskunft zu dem internen Schriftgut und darin enthaltenen persönlichen Daten des Klägers möglicherweise entgegenstehen könnten. Dass die Darlegungs- und Beweislast allein auf Seiten der datenschutzrechtlich verantwortlichen Person liegt, steht außer Frage (statt aller LAG Baden-Württemberg v. 20.12.2018, NZA-RR 2019, 242 Rn. 181 f.; Kühling/Buchner/ Bäcker , DSGVO, 3. Aufl. 2020, Art. 15 Rn. 42a zu Art. 15 Abs. 3 DSGVO). Auch soweit der Verwaltungsvorgang der Beklagten offenbar auch Schriftverkehr zum laufenden Verfahren zu enthalten scheint und insofern mit dem potentiellen Schutz von Mandantenbeziehungen argumentiert wird, kommt es im Zweifel jeweils nur auf die konkrete Geheimhaltungsbedürftigkeit von einzelnen Dokumenten an (so BeckOK-DatenschutzR/ Schmidt-Wudy , Ed.41, Art, 15 Rn. 96 m.w.N.); auch dazu fehlt jedweder konkrete Sachvortrag. In Ansehung dessen vermag der Senat das Auskunftsbegehren auch nicht inhaltlich zu beschränken, womit auch dahinstehen kann und soll, ob etwaigen Drittinteressen nicht ohnehin nur durch vertragsstrafebewehrte Vertraulichkeitsverpflichtungen Rechnung zu tragen wäre (dazu BeckOK-DatenschutzR/ Schmidt-Wudy , Ed.41, Art, 15 Rn. 99.3. m.w.N.) und wie dies in einem Fall wie dem Vorliegenden praktisch umzusetzen wäre.

3. Keinen Erfolg hat die Berufung des Klägers hingegen mit Blick auf die begehrte (zusätzliche) Benachrichtigung i.S.d. Art. 34 Abs. 2 DSGVO i.V.m. Art. 33 Abs. 3 lit. b), c) und d) DSGVO.

a) Zwar war auch dieser weitere Klageantrag prozessual zuzulassen. Die Voraussetzungen des § 533 ZPO liegen angesichts der zuletzt unstreitigen und deswegen trotz § 531 Abs. 2 ZPO berücksichtigungsfähigen Tatsachengrundlagen und des Umstandes, dass wegen der inhaltlichen Verwobenheit auch mit Art. 15 Abs. 1 DSGVO eine Sachdienlichkeit außer Frage steht, vor. Soweit die Beklagte prozessuale Bedenken mit Blick auf § 128 Abs. 2 ZPO vorgebracht hat, waren diese sachlich nicht berechtigt und haben sich jedenfalls durch die Wiedereröffnung der mündlichen Verhandlung (§§ 525 S. 1, 156 Abs. 1 und 2 ZPO) erledigt; es wird auf die Hinweise des Senats vom 12.04.2022 (Bl. 845 f. d.A.) und den Beschluss vom 04.05.2022 (Bl.863 f. d.A.) Bezug genommen.

b) Indes besteht der eingeklagte weitere Anspruch des Klägers in der Sache nicht.

aa) Ein individuell einklagbarer Anspruch des Betroffenen aus Art. 34 Abs. 2 i.V.m. Art. 33 Abs. 3 lit. b), c), d) DSGVO auf „Benachrichtigung“ kommt nach Auffassung des Senats wohl schon aus Rechtsgründen nicht in Betracht: Die Norm bildet mit der Meldepflicht aus Art. 33 DSGVO einen „Normenkomplex“ (statt aller Gola/Heckmann/ Reif , DSGVO, 3. Aufl. 2022, Art. 34 Rn. 1), den Erwägungsgrund 86 S. 3 herausstellt, weil dort nur von Absprachen mit den Aufsichtsbehörden die Rede ist, die nach § 34 Abs. 4 DSGVO die Benachrichtigung der Betroffenen auch einfordern und bei fehlender Bereitschaft des datenschutzrechtlich Verantwortlichen sanktionieren können (Art. 83 Abs. 4 lit. a) DSGVO). Spricht schon das Fehlen einer behördlichen Meldung gegen eine damit korrespondierende Meldepflicht, sieht die DSGVO einen einklagbaren individuellen Anspruch des Betroffenen auf Benachrichtigung nicht vor. Ein solcher Anspruch wird auch im Schrifttum nicht thematisiert. Vielmehr kann der Betroffene Individualansprüche aus Art. 15 Abs. 1 und 3 GSGVO geltend machen, soweit es um seine personenbezogenen Daten geht (so auch BeckOK/DatenschutzR/ Brink , Ed. 41, Art. 33 Rn. 21; Art. 34 Rn. 18). Bei einem Schaden infolge des Ausbleibens einer Benachrichtigung soll der Betroffene zudem Ersatzansprüche aus Art. 82 Abs. 1 DSGVO verfolgen können (so Jandt , in: Kühling/Buchner, DSGVO/BDSG, 3. Aufl. 2020, Art. 33 Rn. 27 f.; Art 34 Rn. 17) bzw. aus § 823 Abs.2 BGB i.V.m. Art. 34 DSGVO (mangels Eingreifen des Art. 82 Abs. 1 DSGVO Gola/Heckmann/ Reif , DSGVO, 3. Aufl. 2022, Art. 34 Rn. 32; siehe auch Laue , in: Spindler/Schuster, Recht der elektronischen Medien, 4. Aufl. 2019, Art. 34 Rn. 24).

bb) Das zu aa) Gesagte kann aber dahinstehen, weil dem Kläger die in Art. 34 DSGVO angesprochenen Informationen nach dem Prozessvorbringen der Beklagten mittlerweile allesamt bekannt sind und daher das Rechtschutzbedürfnis für eine Verurteilung zu einer weiteren Beauskunftung fehlt bzw. Erfüllung (§ 362 Abs. 1 BGB) eingetreten ist. So hat die Beklagte in der letzten mündlichen Verhandlung bestätigt, dass es keine Meldung an die Aufsichtsbehörde wegen der Weitergabe der Daten an die X. GmbH gegeben hat. Die in Art. 33 Abs. 3 lit. b), c) und d) DSGVO genannten weiteren Informationen liegen dem Kläger zuletzt ebenfalls allesamt vor: Er hat Namen und Kontaktdaten des Datenschutzbeauftragten, der Sachverhalt (als „eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten“) ist jedenfalls zuletzt unstreitig und eine „Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen“ ist ebenfalls erfolgt, da die Beklagte deutlich kundgetan hat, gar nichts mehr veranlasst zu haben außer alle Daten des Klägers zum 14.12.2020 zu löschen (Begleitschreiben zur CD-ROM, S. 2 = Bl. 801 d.A.).

cc) Soweit der Kläger in der letzten mündlichen Verhandlung trotz des auch insofern erfolgten Anratens des Senats – anders als bei dem auf Auskunft zum sachlich verwandten Art. 33 DSGVO gerichteten Antrag (dazu unten) - keine Erledigungssituation hat erkennen wollen, geht das hier damit zu seinen Lasten.

4. Im Übrigen hat die Berufung des Klägers insofern noch Erfolg, als wegen der – vom Senat nicht abschließend zu bescheidenden - Ansprüche auf etwaige Abgabe einer eidesstattlichen Versicherung, auf etwaige Herausgabe von konkreten Kopien (Art. 15 Abs. 3 DSGVO) und jedenfalls dann auf Schadensersatz der Rechtsstreit unter Aufhebung des Urteils und des Verfahrens entsprechend § 538 Abs. 2 S. 1 Nr. 4 ZPO zurückzuverweisen war. Da ein entsprechender Antrag beider Parteien gestellt worden ist, kann offen bleiben, ob ein solcher Antrag in Fällen wie dem Vorliegenden überhaupt erforderlich wäre (so BGH v. 03.05.2006 - VIII ZR 168/05, NJW 2006, 2626 Rn. 14 f.; Rieländer, ZZP 2021, 137 (161 ff.); dagegen BGH v. 21.01.2011 − V ZR 243/09, NJW 2011, 1436 Rn. 19; Nissen/Elzer , MDR 2019, 1099 (1103)).

a) Der Senat musste nicht entscheiden, ob - wie die Beklagte fortlaufend gerügt hat (etwa S. 6 f. der Klageerwiderung = Bl. 127 f. d.A., S. 2 f. des Schriftsatzes vom 17.11.2020 = Bl. 401 f. d.A., S. 1 f. des Schriftsatzes vom 23.03.2021 = Bl. 515 f. d.A.) - die Stufenklage mit Blick auf Art. 15 Abs. 1, 3 DSGVO i.V.m. 82 Abs. 1 DSGVO deswegen prozessual unzulässig ist, weil jedenfalls in Bezug auf eine potentiell unzureichende/verzögerte Auskunft die Bemessung eines datenschutzrechtlichen Ersatzanspruchs nicht zwingend vom Inhalt einer Auskunft abhängig sein dürfte und daher kein „klassischer Fall“ der Stufenklage i.S.d. § 254 ZPO vorliegt, weil man sich u.U. mit der eingeklagten Auskunft nur weitergehende Informationen beschaffen möchte (dazu allg. BGH v. 29.03.2011 − VI ZR 117/10, NJW 2011, 1815 Rn. 8 m.w.N.). Selbst wenn die Stufenklage jedoch insofern unzulässig sein sollte, müsste man zum einen bedenken (bzw. jedenfalls nach § 139 Abs. 1 S. 2 ZPO klären), ob die Zahlungsklage nicht dahingehend auszulegen wäre, dass sie im Wege der kumulativen Klagehäufung (§ 260 ZPO) weiterverfolgt wird, was prozessual dann unproblematisch wäre (statt aller Bienemann , in: Sydow/Marsch, DSGVO/BDSG, 3. Aufl. 2022, Art 15 Rn. 82 m.w.N.; zu solchen Fällen etwa allg. auch BGH v. 18.04.2002 - VII ZR 260/01, NJW 2002, 2952, 2953; v. 02.03.2000 - III ZR 65/99, NJW 2000, 1645, 1646 und speziell zu Art. 15 Abs. 1 DSGVO auch LG Wuppertal v. 29.07.2021 – 4 O 409/20, r+s 2021, 696 Rn. 25). Zudem können jedenfalls ein Auskunftsbegehren und etwaige Ansprüche auf eidesstattliche Versicherung prozessual unstreitig als eine nur „zweistufige“ Stufenklage verfolgt werden (vgl. etwa KG v. 12.07.1996 – 18 UF 2577/96, BeckRS 1996, 9990 Rn. 1; BeckOK-ZPO/ Bacher , Ed. 46, § 254 Rn. 11; siehe auch Bienemann , a.a.O.). Schon allein dies trägt hier aber jedenfalls die Bescheidung nur auf der ersten Stufe zur Auskunft unter Aufhebung und Zurückverweisung im Übrigen, zumal derzeit gerade nicht sicher ist, ob ein Anspruch aus §§ 259 Abs. 2, 260 Abs. 2 BGB nach weiterer Auskunft besteht. Für einen etwaigen Herausgabeantrag i.S.d. § 15 Abs. 3 DSGVO gilt nichts Anderes.

b) Das Landgericht wird im weiteren Verfahrensverlauf folgende Punkte zu beachten haben:

aa) Sollte auf der zweiten Stufe sodann eine eidesstattliche Versicherung verlangt werden, wird u.U. zu entscheiden sein, ob – wie noch bei § 34 BDSG a.F. (dazu OLG Köln v. 26.07.2018 - 9 W 15/18, BeckRS 2018, 17378; LG Ulm v. 01.12.2004 - 1 S 89/04, MMR 2005, 265) – auch in Fällen des Art. 15 Abs. 1 DSGVO ein Anspruch auf eidesstattliche Versicherung in den Grenzen der §§ 259 Abs. 2, 260 Abs. 2 BGB aus Rechtsgründen denkbar ist (dazu Bienemann , in: Sydow/Marsch, DSGVO/BDSG, 3. Aufl. 2022, Art 15 Rn.82 m.w.N.); rechtfertigen ließe sich dies u.U. mit Blick auf Art. 79 Abs. 1 DSGVO trotz der materiell-rechtlich abschließenden Natur der DSGVO ggf. durch eine Einordnung als bloßen prozessualen Hilfsanspruch. Der Bundesgerichtshof hat diese Frage ausdrücklich offen gelassen (BGH v. 15.06.2021 – VI ZR 576/19, NJW 2021, 2726 Rn. 34), während das BAG die Möglichkeit im Zusammenhang mit Art. 15 Abs.3 DSGVO – allerdings ohne nähere Begründung und Auseinandersetzung damit - bejaht hat, weil über die Auskunftsklage (ggf. mit eidesstattlicher Versicherung) auf der letzten Stufe als Klage auf Herausgabe von Kopien nur so die ausreichende Bestimmtheit i.S.d. § 253 Abs. 2 Nr. 2 ZPO sichergestellt werden könne (BAG v. 16.12.2021 – 2 AZR 235/21, NZA 2022, 362 Rn. 33).

Diese Fragen werden u.U. aber nur entscheidungserheblich, wenn die tatbestandlichen Voraussetzungen der §§ 259 Abs.2, 260 Ab. 2 BGB ansonsten überhaupt vorliegen. Mit Blick auf Art. 15 Abs. 1 DSGVO wird dabei u.a. zu würdigen sein, dass allein die – hier gegebene – dilatorische Erledigung nicht zwingend den Schluss auf eine unsorgfältige Auskunft tragen muss (vgl. nur BeckOGK-BGB/ Röver , Stand: 01.02.2022, § 259 Rn. 53) und auch die Probleme der Beklagten bei der Umsetzung von Löschkonzepten ( „Datenfriedhof“ ) nicht zwingend auf die Qualität der zuletzt ganz bewussten Auskunftserteilung mittels CD-ROM und Begleitschreiben durchschlagen, zumal man damit bemüht gründlich Auskunft auch zu Positionen und Fragen erteilt hat, die vorher noch gar nicht im Streit standen (z.B. weitere Drittdatenübermittlungen). Dass man dabei zu den „internen“ Dokumenten noch nicht vollständig Auskunft erteilt hat, basierte eher auf der irrigen Einschätzung der Rechtslage und trägt daher allein keinen Schluss darauf, dass man jetzt u.U. – motiviert durch die vorliegende Entscheidung – nicht umfassend zu allen Unterlagen, die zumindest mittelbar personenbezogene Daten des Klägers betreffen, umfassend und nachvollziehbar Auskunft erteilen wird, etwa in Listenform mit Angaben zu Art der jeweiligen Dokumente, zu Absendern/Empfängern und zumindest zu den wesentlichen Inhaltsangaben und dies jeweils bezogen auf die in Art. 15 Abs.1 DSGVO genannten Positionen.

bb) Im Rahmen des Anspruchs aus Art. 82 Abs. 1 DSGVO werden für die vorgebrachten angeblichen Verletzungshandlungen (dazu S. 14 des Schriftsatzes vom 09.02.2022, Bl. 758 d.A. sowie das weitere Vorbringen zur CD-ROM) die zahlreichen laufenden Vorabentscheidungsverfahren i.S.d. Art. 267 AEUV zu den Voraussetzungen dieses Ersatzanspruchs zu beachten sein (ggf. nach Aussetzung analog § 148 ZPO; siehe nur den Überblick der Vorlagefragen bei Leibold , ZD-Aktuell 2022, 10018). Dass die vom Kläger geäußerten betragsmäßigen Mindestvorstellungen nach derzeitigem Sach- und Streitstand überzogen sind, steht für den Senat – wie im Termin erörtert – außer Frage. Ob etwa durch das Nichteinhalten der Löschungszusagen für die älteren Datenbestände ( „Datenfriedhof“ ) u.a. im Schreiben vom 29.11.2019 (Bl. 49 d.A.; siehe auch S. 11 ff. des Schriftsatzes vom 04.04.2022 = Bl. 830 ff. d.A. und die Dokumentation weiterer Beschwerden im „Impuls T.“ in der Email v. 27.11.2019, Bl. 942 d.A.) überhaupt greifbare Beeinträchtigungen des Klägers eingetreten sind, wird man nach Klärung der europarechtlichen Anforderungen zu würdigen haben; ein weitergehender „Kontrollverlust“ dürfte schwerlich eingetreten sein. Es dürfte nicht ausreichend bestritten sein, dass es keine konkreten Auswirkungen auf Bonitätsprüfungen/Scoring gab; zudem hat der Kläger nicht vorgebracht, dass es tatsächlich zu Problemen bei einer Kreditvergabe etc. gekommen ist. Das alles gilt entsprechend – ungeachtet der Frage nach der Anwendbarkeit des Art. 9 DSGVO – für die Speicherung der „Muttersprache.“ Soweit der Kläger gerügt hat, es habe – anders als verzeichnet – keine Einwilligung zur werblichen Ansprache gegeben, ist nicht ersichtlich, dass es überhaupt zu unerwünschter werblicher Nutzung und/oder Ansprache kam (S. 15 f. der Klageerwiderung = Bl. 136 f. d.A.).

Auch Schäden durch die Übersendung der CD-ROM an den Senat dürften – selbst eine Rechtswidrigkeit der Übermittlung unterstellt – fraglich sein; soweit eine Einsichtnahme durch Servicekräfte befürchtet worden ist, dürfte dies schon allein deswegen eher fernliegend sein, weil die technische Ausstattung der Serviceeinheiten im Oberlandesgericht – wie im Termin erörtert – typischerweise keine CD-ROM/DVD-Laufwerke umfasst. Zudem wird zu bedenken sein, ob die Datenübermittlung nicht deswegen als nach Art. 6 Abs. 1 lit. f) DSGVO gerechtfertigt angesehen werden könnte, weil ein antizipiertes Bestreiten durchaus auch nur in früherem Prozessvortrag liegen kann (BGH v. 21.06.2022 – VIII ZR 285/21, NJW-RR 2022, 1144) und das Prozessvorbringen des Klägers zumindest keinen zwingenden Schluss darauf zuließ, dass dieser seine Rüge der nur unzureichenden Auskunftserteilung ohne weiteres fallenlassen würde.

Soweit die Beklagte in der letzten mündlichen Verhandlung darauf hingewiesen hat, dass die Datenübermittlung an die X. GmbH noch vor Inkrafttreten der DSGVO erfolgt sein soll, ändert dies aus Sicht des Senats nichts daran, dass die auch nach § 4a BDSG aF erforderliche Einwilligung nicht durch die auf S. 15 der Klageerwiderung (Bl. 136 d.A.) bzw. S. 4 f. des Schriftsatzes vom 23.03.2021 = Bl. 518 f. d.A.) beschriebene „Widerspruchslösung“ zu ersetzen war. Immaterielle Schäden durch die Erstübermittlung waren indes im Jahr 2017 nicht von Art. 7 BDSG aF erfasst; zu prüfen wären aber jedenfalls potentielle Ansprüche auf Geldentschädigung wegen Verletzung des allgemeinen Persönlichkeitsrechts als „sonstiges Recht“ i.S.d. § 823 Abs. 1 BGB nach den dazu anerkannten – allerdings tatbestandlich sehr engen – Grundsätzen. Ob ansonsten nach dem Inkrafttreten der DSGVO noch eigenständige Haftungsansprüche aus der DSGVO (wegen der vor Inkrafttreten der DSGVO übermittelten Daten und ihrer weiteren Vorhaltung und ggf. Verarbeitung bei der X. GmbH) rechtlich wie tatsächlich zu Lasten der Beklagten als zumindest ursprünglich datenschutzrechtlich Verantwortliche begründbar sind, wird dann ebenfalls noch zu würdigen sein.

5. Die Kostenentscheidung – auch wegen der Kosten des Berufungsverfahrens - bleibt dem Schlussurteil vorbehalten, bei dem das Obsiegen/Unterliegen in der vorliegenden Entscheidung dann jeweils anteilig zu berücksichtigen sein wird. Soweit in zweiter Instanz übereinstimmende Teilerledigungserklärungen durch die Parteien erfolgt sind, sind im Rahmen der nach den Grundsätzen des § 91a ZPO gebotenen Billigkeitsentscheidung die (anteiligen) Kosten für die weitere Auskunftsklage mit Blick auf Art. 33 DSGVO dem Kläger und die (anteiligen) Kosten für die umfangsmäßig weitergehende erstinstanzliche Auskunftsklage i.S.d. Art. 15 Abs. 1 DSGVO der Beklagten aufzuerlegen. Im Rahmen dieser Billigkeitsentscheidung muss im Zweifel der zu erwartende Verfahrensausgang den Ausschlag geben (statt aller Zöller/ Althammer , ZPO, 34. Aufl. 2020, § 91a Rn. 23 f. m.w.N.), sofern nicht andere Billigkeitsargumente für eine insofern abweichende Kostenbelastung sprachen.

a) Mit Blick auf den auf Auskunft betreffend der Meldung i.S.d. Art. 33 DSGVO gerichteten Klageantrag wäre der Kläger voraussichtlich unterlegen. Diese Norm enthält selbst keinen einklagbaren Individualanspruch und ein solcher Anspruch folgt – es geht nicht um personenbezogene Daten des Klägers – auch nicht etwa flankierend aus Art. 15 Abs. 1 DSGVO. Letztlich geht es nur um den Versuch, allgemeine Informationen über die datenschutzrechtliche Hintergrundarbeit der Beklagten im Verhältnis zu den Behörden zu erhalten, obwohl es dem Kläger als Betroffenen jederzeit freistand, sich an die Aufsichtsbehörde zu wenden (Art. 77 Abs. 1 DSGVO). Aus dem gleichen Grund besteht insofern auch kein nachvertraglicher Auskunftsanspruch des Klägers aus § 242 BGB als ehemaliger Kunde der Beklagten. Soweit der Klägervertreter hier eher vage angeblichen europarechtlichen Klärungsbedarf im Termin angemeldet hat, vermag der Senat zum einen keine nicht im Sinne der sog. acte-clairé-Doktrin (dazu statt aller Calliess/Ruffert/ Wegener , AEUV, 6. Aufl. 2022, Art. 267 Rn. 33 m.w.N.) geklärte Streitfrage in diesem Bereich zu erkennen. Zum anderen verkennt der Klägervertreter, dass die Vorlagepflicht aus Art. 267 AEUV anerkanntermaßen ohnehin dort ihre Grenze finden muss, wo ein Verfahren durch übereinstimmende Erledigungserklärungen - wie hier - gegenstandslos geworden ist, der EuGH daher letztlich nur mehr oder weniger hypothetische Fragen entscheiden und damit keine Sachentscheidung im Vorlageverfahren mehr treffen würde (statt aller EuGH v. 24.10.2013 - C-180/12, BeckRS 2013, 82040 Rn. 36 ff.; siehe allgemein auch Wohlfahrt , in: Dauses/Ludwigs, Handbuch des EU-Wirtschaftsrechts, 57. EL August 2022, Kap. P. IV Rn. 474). Dies gilt anerkanntermaßen auch, wenn die europarechtliche Frage nach einer Hauptsacheerledigung in dem Ausgangsverfahren nur noch für eine Kostenentscheidung von Belang wäre (deutlich EuGH v. 14.10.2010 – C-336/08, BeckRS 2010, 144330 Rn. 14 ff.; Kaufmann , in: Dauses/Ludwigs, a.a.O., P. II Rn. 149). Billigkeitsgründe, die für eine andere Verteilung der Kostenlast streiten würden, sind insofern nicht ersichtlich.

b) Hinsichtlich des weitergehenden (umfassenden) Auskunftsbegehrens aus Art. 15 Abs. 1 DSGVO hätte der Kläger hingegen allenfalls bis auf einen entsprechend § 92 Abs. 2 Nr. 1 ZPO zu vernachlässigenden Anteil im Verfahren voraussichtlich obsiegt, wenn die Beklagte nicht in zweiter Instanz weitergehende Auskünfte mittels CD-ROM sowie Begleitschreiben erteilt und somit den weit gefassten Anspruch aus Art. 15 Abs. 1 DSGVO dann schlussendlich erfüllt hätte. Zudem hat die Beklagte sich im Nachgang an die erste mündliche Verhandlung vor dem Senat vom 17.02.2022 (Bl. 790 f. d.A.) insofern auch gerade durch die Übersendung der CD-ROM mit dem Begleitschreiben „freiwillig“ in die „Rolle der Unterlegenen“ begeben, was schon für sich genommen eine Überbürdung der anteiligen Kostenlasten aus Billigkeitsgründen im Rahmen des § 91a ZPO rechtfertigen muss (zu solchen Fällen allgemein etwa Zöller/ Althammer , ZPO, 34. Aufl. 2020, § 91a Rn. 25 m.w.N.). Daher bedarf es keiner detaillierten Ausführungen des Senats mehr dazu, in welchen einzelnen Punkten der Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO bei Klageerhebung noch nicht oder nicht vollständig erfüllt war (vgl. S. 12 f. des Schriftsatzes vom 09.02.2022, Bl. 756 f. d.A.). Besonders gewichtig war aber jedenfalls, dass die genauen Einzelheiten der Datenübermittlung an die X. GmbH als tatsächlichen „Empfänger“ i.S.d. Art. 15 Abs. 1 lit c) DSGVO und Ziff. 115 der Empfehlungen des EDSA in den Guidelines 1/22 zunächst nicht konkret genug – etwa auch zu den zeitlichen Dimensionen noch vor Inkrafttreten der DSGVO und zur rechtlichen Konstruktion im Folgenden auch nach Inkrafttreten der DSGVO - beauskunftet worden sind (z.B. auch zur zunächst unklar gebliebenen weiteren Übermittlung an die H., zu der Ausgestaltung mit Blick auf Art. 26/28 DSGVO bzw. jedenfalls § 11 BDSG aF, zu den konkret damals übermittelten Datensätzen etc.), keine Detailangaben zu – nur zuletzt im Begleitschreiben mitgeteilten - weiteren Datenverarbeitungen gemacht worden sind, zu Kontoauszügen, zur Geldautomatennutzung, zu Bonitätsbewertungen und zu dem Scoring (inkl. Vergangenheitsauskünften) jedenfalls nicht ausreichende Details mitgeteilt worden ist, Speicherdauer/Löschkonzepte nur vage erläutert worden sind und keine klaren sog. Negativauskünfte erfolgt sind, dies etwa auf die entsprechenden Rügen der Replik (S. 10 = Bl. 299 d.A.).

6. Die Entscheidung über die vorläufige Vollstreckbarkeit beruht auf §§ 708 Nr. 10, 711, 713 ZPO.

7. Die Revision war nicht zuzulassen, da die vorliegende Rechtssache weder grundsätzliche Bedeutung hat noch die Fortbildung des Rechts oder die Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Revisionsgerichts erfordert, § 543 Abs. 2 S. 1 ZPO; aus den oben genannten Gründen stellen sich jedenfalls derzeit insbesondere auch noch keine klärungsbedürftigen europarechtlichen Fragen.

Streitwert des Berufungsverfahrens:

bis zum 25.04.2022: 3.500 EUR

(wegen Abweisung der gesamten Stufenklage i.V.m. § 44 GKG, dabei

- 1.500 EUR für die erstinstanzlich eingeklagte umfassende Auskunft in Abweichung von der landgerichtlichen Streitwertfestsetzung mit Blick auf die richtigerweise gebotene Gesamtbetrachtung mit Blick auf die (auch wirtschaftliche) Bedeutung des Auskunftsbegehrens, vgl. gegen „Pauschalstreitwertfestsetzung“ gemäß § 52 Abs. 2 GKG schon Senat v. 16.09.2022 – 15 U 87/22, juris; Brandenburgisches Oberlandesgericht v. 01.08.2022 – 12 W 23/22, juris m.w.N.;

- 3.500 EUR für den Schadensersatz nach den Mindestangaben in der Berufungsbegründung (S. 1 f./20 = Bl. 680 f./698 d.A. in Reduktion der Mindestbetragsangabe i.H.v. 6.000 EUR in der mündlichen Verhandlung vor dem Amtsgericht vom 27.11.2000 = Bl. 439 f. d.A.) als für die Bemessung dann maßgeblicher Betrag i.S.d. § 44 GKG;

- 750 EUR für die eV als 1/5 der Zahlungsstufe)

bis zum 17.11.2022: 4.500 EUR

(= 3.500 EUR wie oben, zzgl. zwei weitere kumulative Auskunftsanträge zu je 250 EUR und für den zunächst ebenfalls kumulativ gestellten Antrag auf Herausgabe der Kopien weitere 500 EUR)

ab dann: 3.750 EUR

(= 3.500 EUR wegen § 44 GKG abhängig vom Zahlungsbegehren, dies zzgl. des nicht erledigten Auskunftsanspruchs von 250 EUR; zurückgestellter Herausgabeantrag als weiterer Stufenantrag geht dann wiederum in § 44 GKG auf, im Übrigen nach übereinstimmender Teilerledigungserklärung partielles Kosteninteresse für die Bemessung unerheblich, vgl. BGH v. 15.03.1995 - XII ZB 29/95, NJW-RR 1995, 1089)