Das OLG Stuttgart hat zwei Klagen auf Schadensersatz nach Art. 82 DSGVO wegen eines Datenlecks bei Facebook (Scraping) abgewiesen. Das Gericht konnte auch nach Anhörung der Kläger keinen tatsächlichen immateriellen Schaden feststellen. Die Kläger hatten lediglich Lästigkeiten und Unannehmlichkeiten geschildert und einen bloßen Kontrollverlust geltend gemacht. Dies genügte dem Gericht nicht. Es verwies insoweit auf das Grundsatzurteil des EuGH vom 04.05.2023, wonach weder der bloße Verstoß gegen die DSGVO noch "Ungemach" oder "Ärger" einen Schadensersatz nach Art. 82 DSGVO rechtfertigen.
Sachverhalt: DSGVO-Standardklage wegen Facebook-Datenleck (Scraping)
Die Kläger machen jeweils mehrere Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) gegenüber Meta (ehemals Facebook) geltend, nachdem es ab 2018 zu einem Datenabgriff gekommen war, bei dem personenbezogene Daten der Kläger ausgelesen und mit ihrer Handynummer verknüpft wurden. Insgesamt wurden im Jahr 2021 weltweit 533 Millionen entsprechende Datensätze im Darknet veröffentlicht.
Die Kläger begehren immateriellen Schadenersatz wegen Verletzung der DSGVO, die Feststellung einer zukünftigen Schadensersatzpflicht, die Unterlassung der Zugänglichmachung der Daten ohne Sicherungsmaßnahmen, die Unterlassung der Verarbeitung der Telefonnummer und (weitere) Auskunft über die abgegriffenen Daten. Zwischen den Parteien ist in diesem Zusammenhang eine Vielzahl von Positionen streitig.
Urteil: Bloße Lästigkeiten rechtfertigen keinen Schadensersatz nach Art. 82 DSGVO
Das OLG Stuttgart hat die Klagen überwiegend abgewiesen, lediglich dem Feststellungsantrag wurde stattgegeben.
Kein Schadensersatz nach Art. 82 DSGVO bei bloßen Unannehmlichkeiten und Kontrollerlust
Artikel 82 DSGVO - Haftung und Recht auf Schadenersatz:
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Hinsichtlich des Schadensersatzanspruchs aus Art. 82 Abs. 1 DSGVO konnte der Senat eine spürbare immaterielle Beeinträchtigung der jeweiligen Kläger nicht feststellen. Art. 82 Abs. 1 DSGVO gewährt einen Anspruch auf Ersatz des materiellen oder immateriellen Schadens, wenn in Bezug auf den jeweiligen Kläger ein Verstoß gegen die DSGVO vorliegt, der einen Schaden verursacht hat.
EuGH verlangt konkrete negative Folgen aufgrund eines Verstoß gegen die DSGVO
Der Begriff des konkret festzustellenden Schadens bedarf einer europarechtlich einheitlichen Definition, wobei nach den Erwägungsgründen der DSGVO der Verlust der Kontrolle über personenbezogene Daten, die Einschränkung von Rechten, Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste, die unbefugte Aufhebung der Pseudonymisierung, Rufschädigung, der Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten oder sonstige erhebliche wirtschaftliche oder soziale Nachteile für die betroffene natürliche Person ausreichen sollen.
EuGH: Ungemach und Ärger wegen DSGVO-Verstoß genügen nicht
Der Europäische Gerichtshof hat insoweit klargestellt, dass es für das Vorliegen eines Schadens keine Erheblichkeits- oder Bagatellschwelle gibt. Nach Anhörung der Kläger, die schriftsätzlich nicht ausreichend vorgetragen hatten, konnte der Senat eine tatsächliche immaterielle Beeinträchtigung nicht feststellen, weil bloße Lästigkeiten und Unannehmlichkeiten geschildert wurden und der bloße Kontrollverlust noch keine Beeinträchtigung begründet.
Kein Unterlassungsanspruch bei DSGVO-Verstoß
Der weiterhin geltend gemachte Unterlassungsanspruch hatte aus Rechtsgründen keinen Erfolg, da die bisherige Rechtsprechung des Bundesgerichtshofs (z.B. BGH, Urteil vom 12.10.2021, VI ZR 488/19 Rn. 69) davon ausgeht, dass Ansprüche aus §§ 823, 1004 BGB nach deutschem Recht durch Art. 17 DSGVO gesperrt sind.
Art. 17 DSGVO normiert jedoch nur einen Anspruch auf Löschung und (erneute) Speicherung, gewährt aber keine Rechte hinsichtlich der Datenverarbeitungsvorgänge, da dem Verantwortlichen die Verarbeitungsmethoden nicht vorgeschrieben werden können.
Artikel 17 DSGVO - Recht auf Löschung („Recht auf Vergessenwerden“)
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, per-sonenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft: …
Antrag auf Auskunft nach Art. 15 DSGVO wegen Erfüllung erfolglos
Auch der Antrag auf Auskunft nach Art. 15 DSGVO wurde abgelehnt: Die Beklagte hat Auskunft erteilt. Hinsichtlich der Frage nach den Empfängern der Daten wurde die Unmöglichkeit der Auskunftserteilung bejaht, da die Beklagte unwidersprochen vorgetragen hatte, diese nicht zu kennen und nicht ermitteln zu können.
Lediglich Verstöße gegen Art. 5 DSGVO und Art. 25 Abs. 2 DSGVO wurden bejaht
Die begehrte Feststellung einer weitergehenden Schadensersatzpflicht hatte in einem der beiden Verfahren Erfolg. Der Senat hat insbesondere Verstöße gegen Art. 5 Abs. 1 lit. f DSGVO ("Wahrung der Integrität und Vertraulichkeit") und Art. 25 Abs. 2 DSGVO ("keine datenschutzfreundlichen Voreinstellungen") festgestellt. Durch die bestehende Zugriffsmöglichkeit auf personenbezogene Daten im sogenannten Kontakt-Import-Tool wurde gegen Art. 5 Abs. 1 f) DSGVO verstoßen. Die Voreinstellung einer Zugriffsmöglichkeit, die aktiv abgewählt werden muss, verstößt gegen das Verbot eines Opt-Out-Modells.
Verfahrensfortgang
Im Hinblick auf Abweichungen von einem Urteil des OLG Hamm (Urteil vom 15.08.2023, 7 U 19/23) und den Vorlagebeschluss des Bundesgerichtshofs an den Europäischen Gerichtshof (vom 26.09.2023, VI ZR 97/22) hat der Senat in dem teilweise erfolgreichen Fall (4 U 20/23) die Revision zugelassen. Im zweiten Fall wurde die Klage aus tatsächlichen Gründen in vollem Umfang abgewiesen.
OLG Stuttgart - 4 U 17/23 (Vorinstanz: LG Stuttgart - 53 O 95/22)
OLG Stuttgart - 4 U 20/23 (Vorinstanz: LG Heilbronn - 8 O 131/22)
Quelle: Pressemitteilung des OLG Stuttgart vom 22.11.2023
Insgesamt sind beim OLG Stuttgart mehr als 100 Verfahren anhängig. Bundesweit dürften es über 6.000 sein. Bereits im Dezember 2023 sind weitere Verkündungstermine beim OLG Stuttgart angesetzt.