Spam-Anrufe, unerwünschte Werbung – die eigene Handynummer kursiert plötzlich im Netz. Der Grund: Ein Facebook-Scraping hatte die öffentliche Nummer abgegriffen. Eine Betroffene verlangt Schmerzensgeld – nicht für Spam, sondern allein für den Kontrollverlust – reicht das?
Ein Anspruch auf Schadensersatz setzt gemäß Art. 82 Abs. 1 und Abs. 2 DSGVO zwingend einen Verstoß gegen die Datenschutz-Grundverordnung sowie einen dadurch verursachten Schaden voraus. Für einen immateriellen Schaden — also einen nicht finanziellen Nachteil wie seelisches Leid, Ängste oder den Verlust der Kontrolle über die eigenen Daten — genügt nach der ständigen Rechtsprechung des Europäischen Gerichtshofs und des Bundesgerichtshofs der bloße Pflichtverstoß jedoch nicht, es muss ein eigenständiger, spürbarer Schaden hinzutreten. Kommt es zu Datenschutzverstößen, liegt die Beweislast für die Einhaltung der gesetzlichen Verarbeitungsgrundsätze gemäß Art. 5 Abs. 2 DSGVO bei dem Verantwortlichen.
Wer nach einem Datenleck Schadensersatz fordern will, muss deshalb mehr als nur den DSGVO-Verstoß belegen: Konkret nachweisbare Schäden sind etwa finanzielle Verluste durch Identitätsdiebstahl, dokumentierte Belästigungswellen die sich zweifelsfrei auf den Datenabfluss zurückführen lassen, oder nachweisbare berufliche Nachteile durch den Missbrauch abgeflossener Daten.
Ein immaterieller Schaden kann im Datenschutzrecht durch den Verlust der Kontrolle über personenbezogene Informationen entstehen. Die betroffene Person muss in einem Prozess allerdings darlegen, dass vor dem Datenleck überhaupt ein exklusiver Kontrollzustand über die Daten existierte. Die bloße Verbreitung von Daten, die typischerweise der alltäglichen Kontaktaufnahme dienen, belegt nach den gesetzlichen Maßstäben keinesfalls automatisch einen Verlust der persönlichen Datenhoheit.
Dass die eigene Lebensrealität der Nutzerin einen erfolgreichen Anspruch vereitelte, offenbarte die persönliche Anhörung vor Gericht schonungslos. Die Frau klagte über einen Kontrollverlust und Ängste, schilderte aber wenig später selbst, ihre Handynummer regelmäßig auf Visitenkarten, Handelsplattformen und in weiteren sozialen Netzwerken zu streuen. Der Senat zog daraus den pragmatischen Schluss, dass bei ihr nie ein vorheriger exklusiver Kontrollzustand vorlag, der durch die Angreifer hätte zerstört werden können. Dass sie ihre Rufnummer auch nach dem Bekanntwerden des Datenlecks einfach behielt, werteten die Richter als starkes Indiz gegen behauptete Ängste vor Identitätsdiebstahl. Auch eine angeführte Welle an Spam-Kurznachrichten reichte nicht als Nachweis aus, da sich solche anonymen Kontakte nach Ansicht des Gerichts nicht zweifelsfrei auf den konkreten Vorfall zurückführen ließen, sondern typischerweise durch wahllose Nummerncomputer erzeugt werden.
Betroffene Personen haben nach Art. 15 DSGVO ein umfassendes Recht auf Auskunft über die sie betreffenden Daten und deren genaue Verarbeitung durch ein Unternehmen. Ein derartiger rechtlicher Anspruch erlischt allerdings gemäß § 362 Abs. 1 BGB durch Erfüllung, sobald der Verantwortliche die erforderlichen Informationen zur Verfügung gestellt hat.
Auch mit dem Versuch, weitere Details über den Verbleib der abgegriffenen Datensätze einzufordern, lief die betroffene Frau vor dem Oberlandesgericht ins Leere. Sie wollte gerichtlich erzwingen, dass das Netzwerk offenlegt, welche genauen Empfänger ihre Profilinformationen durch das Scraping oder andere Kontaktimport-Werkzeuge erlangt hatten. Der Auskunftsanspruch war laut Urteil jedoch längst erfüllt, da das Unternehmen der Frau am 21. Juli 2023 ein entsprechendes Antwortschreiben zugesandt hatte. In diesem Dokument betonte der Plattformbetreiber, dass keine Kopien der Rohdaten vorlägen und man über die unbekannten Datendiebe schlicht keine weiteren Kenntnisse besitze. Da die Nutzerin in der Verhandlung nicht erklären konnte, welche Informationen konkret noch fehlten oder lieferbar wären, wies das Gericht diesen Teil der Klage ebenfalls ab.
Wer nach einem Datenleck Auskunft vom Plattformbetreiber fordert und nur eine oberflächliche Antwort erhält, muss dem Unternehmen konkret und schriftlich darlegen, welche spezifischen Informationen noch fehlen und warum die bisherige Auskunft unvollständig ist. Ohne diese Präzisierung gehen Gerichte davon aus, dass der Auskunftsanspruch bereits erfüllt ist.
Kosten für die außergerichtliche Vertretung können in Zivilprozessen als Teil eines Schadensersatzes geltend gemacht und vom Verursacher eingefordert werden. Das Gesetz schließt eine Erstattung jedoch streng aus, wenn ein Dritter diese Kosten bereits vollständig beglichen hat. Nach § 86 Abs. 1 Satz 1 VVG geht ein rechtlicher Anspruch kraft Gesetzes auf die Versicherung über, sobald diese die Rechnungen des Rechtsanwalts bezahlt.
Wer eine Rechtsschutzversicherung nutzt, sollte wissen: Sobald die Versicherung die Anwaltsrechnung bezahlt hat, geht dieser Erstattungsanspruch automatisch auf den Versicherer über. Der Betroffene kann diese Kosten dann nicht mehr selbst vom Plattformbetreiber einfordern — der Anspruch steht ausschließlich der Versicherung zu.
Ersatzansprüche nach § 823 Abs. 1 BGB in Verbindung mit dem allgemeinen Persönlichkeitsrecht aus Art. 2 Abs. 1 und Art. 1 Abs. 1 GG verlangen eine schwerwiegende Beeinträchtigung der Rechte des Individuums. Geringe Störungen, die lediglich die grundlegende Sozialsphäre einer Person berühren — also den Bereich von Informationen, die für soziale Interaktion und Kommunikation nach außen bestimmt sind, wie etwa Kontaktdaten —, rechtfertigen im Zivilrecht in der Regel keine finanzielle Entschädigung. Das Persönlichkeitsrecht schützt diesen äußeren Bereich deutlich schwächer als etwa die Privat- oder Intimsphäre.
Die nüchterne Kategorisierung der abgefischten Datensätze besiegelte das juristische Scheitern der Klage endgültig. Die Richter ordneten die Kombination aus Handynummer, unvollständigem Vornamen und Geschlecht alleinig der unteren Sozialsphäre zu. Da eine Rufnummer ohnehin auf schnelle Kommunikation angelegt sei, bewertete der Senat den Abfluss nicht als jene geforderte schwerwiegende Verletzung des Persönlichkeitsrechts, die für Entschädigungen nach § 823 Abs. 1 BGB nötig wäre. Selbst aus einer vertragsrechtlichen Pflichtverletzung ließ sich mangels überschrittener Bagatellschwelle kein Geld herausschlagen. Ähnlich erfolglos blieben die Forderungen, das Netzwerk dürfe die Telefonnummer nicht mehr mit dem Profil verknüpfen oder in Suchen anzeigen. Die Frau war durch ein Auskunftsschreiben und ihren eigenen Anwalt über die anhaltende Suchbarkeit informiert worden, änderte die Einstellungen in ihrem Profil aber nie ab. Das Gericht sah darin eine stillschweigende Einwilligung, wodurch jedes Rechtsschutzbedürfnis für ein gerichtliches Verbot entfiel.
Wer erfährt, dass seine Telefonnummer oder andere Kontaktdaten über ein Plattformprofil auffindbar sind, muss umgehend die Privatsphäre-Einstellungen aktiv ändern oder das Profil entsprechend anpassen. Gerichte werten ein Unterlassen nach Kenntnis als stillschweigende Einwilligung in die Datenverarbeitung — jedes Rechtsschutzbedürfnis für spätere Klagen entfällt dadurch.
Das Oberlandesgericht Hamm hat als Berufungsinstanz endgültig entschieden — die festgelegten Maßstäbe haben damit erhebliches Gewicht in der obergerichtlichen Rechtsprechung, auch wenn sie andere Gerichte formal nicht binden. Die Kernbotschaft für Betroffene: Wer nach einem Scraping-Vorfall Schadensersatz einklagen will, muss drei Hürden glaubhaft überwinden — einen vorherigen exklusiven Kontrollzustand über die eigenen Daten, einen konkreten und messbaren Schaden über den bloßen Datenabfluss hinaus, und aktives Schutzverhalten nach Kenntnis des Lecks.
Die Entscheidung zeigt zugleich eine klare Grenze auf: Kontaktdaten wie Rufnummern, Vornamen und Geschlecht zählen zur unteren Sozialsphäre und rechtfertigen bei Abfluss keine Entschädigung wegen Persönlichkeitsrechtsverletzung. Betroffene sollten vor einer Klage daher ehrlich prüfen, ob ihre abgeflossenen Daten sensibel genug waren, ob sie diese zuvor tatsächlich geschützt hielten und ob sie nach Bekanntwerden des Lecks nachweisbar reagiert haben — andernfalls droht eine teure Niederlage ohne Aussicht auf Ersatz.
→ Lesen Sie hier den vollständigen Urteilstext…
Die Berufung der Klägerin gegen das am 21.06.2024 verkündete Urteil des Einzelrichters der 2. Zivilkammer des Landgerichts Münster (2 O 256/23) wird zurückgewiesen.
Die Kosten der Berufung trägt die Klägerin.
Dieses und das angefochtene Urteil sind ohne Sicherheitsleistung vorläufig vollstreckbar. Die Klägerin darf die Zwangsvollstreckung durch Sicherheitsleistung in Höhe von 110 % des aufgrund der Urteile jeweils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Zwangsvollstreckung Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrags leistet.
Die Revision wird im Hinblick auf den Antrag zu 1 zugelassen.
Der Streitwert des Berufungsverfahrens wird auf 3.000,00 EUR festgesetzt.
Gründe
I.
Die Beklagte betreibt die Plattform Facebook, die Klägerin nutzt diese. Die Parteien streiten um die Rechtsfolgen einer von der Klägerin geltend gemachten Verletzung der Vorschriften der Datenschutzgrundverordnung. Insbesondere macht die Klägerin einen immateriellen Schaden geltend.
Im Zeitraum von Januar 2018 bis September 2019 kam es bei der Beklagten zu einem Scraping-Vorfall, bei dem Unbekannte auch die Daten der Klägerin abgriffen. Der Senat geht dabei davon aus, dass den Scrapern dies mittels Generierung von Telefonnummern gelang und sie die gescrapten Daten wie folgt zusammenstellten (Bl. 50 der erstinstanzlichen elektronischen Gerichtsakte, im Folgenden: eGA I-50):
„[Mobiltelefonummer], [Facebook-ID], [Vorname], [Nachname], [Geschlecht] 7/5/2018 12,00,00 AM“
Es handelt sich dabei um die Mobiltelefonnummer, die NutzerID, den unvollständigen Vornamen, den Nachnamen und das Geschlecht der Klägerin. Die Bedeutung der weiteren Daten ist nicht bekannt.
Wegen der Einzelheiten wird auch auf das Senatsurteil vom 15.08.2023 (Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 3-22), dem insoweit ein identischer Ablauf zugrunde liegt, verwiesen.
Wegen der weiteren Einzelheiten des Sach- und Streitstands vor dem Landgericht, insbesondere der gestellten Anträge, wird auf den Tatbestand des erstinstanzlichen Urteils vom 12.06.2024 (eGA I-778 ff.) Bezug genommen.
Das Landgericht hat die am 14.11.2023 zugestellte Klage abgewiesen. Wegen der weiteren Einzelheiten wird auf die Entscheidungsgründe des angefochtenen Urteils Bezug genommen (eGA I-786 ff.).
Hiergegen richtet sich die form- und fristgerecht eingelegte Berufung der Klägerin. Wegen der einzelnen Berufungsangriffe wird zur Vermeidung von Wiederholungen auf die Berufungsbegründung vom 17.08.2024 (eGA II-30 ff.) und den Schriftsatz vom 26.10.2024 (eGA II-568 ff.) Bezug genommen.
Die Klägerin beantragt,
unter Abänderung des angefochtenen Urteils
1. die Beklagte zu verurteilen, an sie immateriellen Schadensersatz in angemessener Höhe zu zahlen, dessen Höhe in das pflichtgemäße Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 EUR nebst Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz;
2. festzustellen, dass die Beklagte verpflichtet ist, ihr alle zukünftigen materiellen und zukünftigen derzeit noch nicht vorhersehbaren immateriellen Schäden zu ersetzen, die ihr durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden;
3. die Beklagte zu verurteilen, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,
a. bei Vorliegen einer Einwilligung der Klägerin, die es der Beklagten erlaubt, Kontakte aufgrund eines Abgleichs mittels der Telefonnummer und des Facebookprofils vorzuschlagen, keine ausreichenden Maßnahmen nach dem Stand der Technik zu ergreifen, um das Ausnutzen des Systems für andere Zwecke als die Kontaktaufnahme zu verhindern,
b. die Telefonnummer der Klägerin durch Kontaktvorschläge für Dritte, welche diese Telefonnummer abfragen, mit dem Facebookprofil der Klägerin zu verknüpfen, solange die Klägerin hierzu nicht ausdrücklich einwilligt.
4. die Beklagte zu verurteilen, ihr Auskunft darüber zu erteilen, welche sie betreffenden personenbezogenen Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten;
5. die Beklagte zu verurteilen, an sie vorgerichtliche Rechtsanwaltskosten in Höhe von 887,03 EUR zu zahlen zuzüglich Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.
Die Beklagte beantragt,
die Berufung als teilweise unzulässig zu verwerfen, jedenfalls aber vollumfänglich zurückzuweisen.
Wegen der Einzelheiten ihres Vorbringens in der Berufungsinstanz wird auf die Berufungserwiderung vom 25.10.2024 (eGA II-189 ff.) Bezug genommen.
Der Senat hat die Klägerin in der mündlichen Verhandlung vom 05.11.2024 persönlich angehört. Wegen des Inhalts und des Ergebnisses der Anhörung wird auf Protokoll (eGA II-607 ff.) und den Berichterstattervermerk (eGA II-610 ff.) Bezug genommen.
II.
Die zulässige – die Rechtsanwaltskosten sind mangels Anspruchs in der Hauptsache abgewiesen worden, was angegriffen wird – Berufung hat keinen Erfolg, da sie unbegründet ist. Die Einwendungen der Klägerin haben im Ergebnis keinen Erfolg. Die Klage ist insgesamt abzuweisen.
1. Der zulässige Antrag zu 1 ist unbegründet. Der Klägerin steht gegen die Beklagte kein Anspruch auf Ersatz immateriellen Schadens wegen des geltend gemachten Datenverlustes zu.
a) Ein solcher Anspruch folgt insbesondere nicht aus Art. 82 Abs. 1, Abs. 2 DSGVO. Danach hat jede Person, der wegen eines Verstoßes gegen diese Verordnung oder auch nur – worauf es im vorliegenden Fall nicht ankommt, da dies im Hinblick auf die feststellbaren kausalen Verstöße gegen die DSGVO der Fall ist – wegen Verarbeitung personenbezogener Daten unter Verstoß gegen die Verordnung (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 23 f. m. w. N.) ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
aa) Die Beklagte hat als Verantwortliche (hierzu Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 82 m. w. N.) in mehrfacher Hinsicht gegen die Datenschutzgrundverordnung verstoßen.
(1) Die Datenschutzgrundverordnung ist – mit Blick auf die vom Senat im Folgenden festgestellten Verstöße – in räumlicher, zeitlicher und sachlicher Hinsicht auf den streitgegenständlichen Scraping-Vorfall anwendbar (vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 60-83; siehe auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 19 f.).
(2) Die Beklagte hat gegen Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 UnterAbs. 1, Art. 5 Abs. 1 lit. b, Art. 25 Abs. 1 und Abs. 2, Art. 5 Abs. 1 lit. f und Art. 32 DSGVO verstoßen. Hiervon muss der Senat jedenfalls ausgehen, da die Beklagte Verstöße gegen diese Vorschriften nicht konkret ausgeräumt hat, obwohl ihr das nach Art. 5 Abs. 2 DSGVO oblegen hat.
Soweit die Beklagte – unter Berufung auf Entscheidungen des Gerichtshofs der Europäischen Union (im Folgenden: Gerichtshof) – annimmt, die Beweislast für das Vorliegen eines Verstoßes liege bei dem Betroffenen, so trifft diese Ansicht nicht zu. Zwar liegt die Beweislast für die tatbestandlichen Voraussetzungen einer Anspruchsgrundlage grundsätzlich beim Anspruchsteller; allein dies besagt die von der Beklagten zitierte Entscheidung des Gerichtshofs (EuGH Urt. v. 21.12.2023 – C-667/21, GRUR-RS 2023, 36822 Rn. 99; so jetzt auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 21 m. w. N.). Art. 5 Abs. 2 DSGVO regelt nach zutreffender Ansicht aber im Rahmen seines Anwendungsbereichs – also bei Verstößen gegen Art. 5 Abs. 1 DSGVO – auch die Beweislast im zivilrechtlichen Verfahren (EuGH Urt. v. 11.7.2024 – C-757/22, GRUR-RS 2024, 16262 Rn. 52; Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 87 f. m. w. N.).
(a) Insbesondere stellte die Suchbarkeit eines Nutzerprofils über die Mobilfunktelefonnummer per Such- und Kontaktimportfunktion eine unrechtmäßige Datenverarbeitung dar, da die Beklagte keine der unter Art. 6 Abs. 1 UnterAbs. 1 lit. a bis f DSGVO genannten Rechtfertigungsgründe substantiiert dargelegt und bewiesen hat. Wegen der Einzelheiten wird zur Vermeidung von Wiederholungen auf das Senatsurteil vom 15.8.2023 Bezug genommen (Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 92-126 m. w. N.; EuGH Urt. v. 11.7.2024, – C-757/22, GRUR-RS 2024, 16262 Rn. 59 f.; siehe dazu auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 43 f., 91). Soweit sich die Beklagte auf Art. 6 Abs. 1 UnterAbs. 1 lit. b DSGVO beruft, trifft dies aus den Gründen des Senatsurteils vom 15.8.2023 (Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 94-103; so auch obiter BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 91) nicht zu. Insbesondere ist die Suchbarkeit über die Telefonnummer für die Vertragserfüllung nicht essentiell.
(b) Zudem hat die Beklagte – vom Bundesgerichtshof nur revisionsrechtlich unterstellt (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 22) – gegen Art. 5 Abs. 1 lit. b, Art. 25 Abs. 2 DSGVO verstoßen, indem sie datenunfreundliche Voreinstellungen vorgegeben hat oder – im Falle eines Beitritts der Klägerin vor dem 25.05.2018, dem Geltungsbeginn der Datenschutzgrundverordnung (Art. 99 Abs. 2 DSGVO) – nicht sichergestellt hat, dass unfreundliche Voreinstellungen zu diesem Datum unter Abkehr vom „Opt-Out“-System geändert wurden. Die gegenteilige Ansicht der Beklagten trifft nicht zu. Der Senat hält insofern an seiner Bewertung aus dem Senatsurteil vom 15.08.2023 fest (Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 127 f.; so auch obiter BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 87-90 m. w. N.).
(c) Zudem ist – vom Bundesgerichtshof nur revisionsrechtlich unterstellt (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 22) – von einem Verstoß der Beklagten gegen Art. 5 Abs. 1 lit. f, Art. 32 DSGVO auszugehen, da die Beklagte weder substantiiert dargelegt noch bewiesen hat, die angemessenen Sicherheitsvorkehrungen – insbesondere gegen das sog. Scraping – eingehalten zu haben. Das im Senatsurteil vom 15.08.2023 hierzu Ausgeführte (Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 129-145) gilt entsprechend. Damit geht einher, dass die Beklagte auch einen Verstoß im Rahmen ihrer Datenverarbeitung gegen Art. 5 Abs. 1 lit. b, Art. 25 Abs. 1 DSGVO („privacy by design“) nicht ausgeräumt hat (vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 146). Dies ist ihr auch nicht mit der Berufungserwiderung gelungen.
bb) Ein auf diese Verstöße der Beklagten gegen die Bestimmungen der Datenschutzgrundverordnung zurückzuführender immaterieller Schaden der Klägerin lässt sich jedenfalls nicht feststellen.
Nach der Rechtsprechung des Gerichtshofs muss ein Schaden neben den Verstoß gegen die Datenschutzgrundverordnung treten, um einen Anspruch auf Schadensersatz auszulösen; der immaterielle Schaden besteht nicht schon in der Verletzung der Vorschriften der Datenschutzgrundverordnung (vgl. nur zuletzt EuGH Urt. v. 20.6.2024 – C-182/22, C-189/22, BeckRS 2024, 13981 Rn. 41 m. w. N sowie entsprechend schon BGH Beschl. v. 12.12.2023 – VI ZR 277/22, BeckRS 2023, 40381 Rn. 5 sowie nunmehr erneut BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 21, 28).
Ein solcher Schaden ergibt sich vorliegend weder aus einem Kontrollverlust (unter (1)) noch vertiefend oder allein aus sonstigen Befürchtungen, Sorgen oder Ähnlichem (unter (2)) oder aus Spam-Kontakten und ihren Folgen (unter (3)).
(1) Ein Schaden allein aufgrund eines Kontrollverlustes ist nicht feststellbar. Allerdings stellte der von der Klägerin geltend gemachte Kontrollverlust für sich gesehen einen immateriellen Schaden dar (hierzu unter (a)). Jedoch liegt ein Kontrollverlust bei der Klägerin nicht vor (hierzu unter (b)).
(a) Wie der Bundesgerichtshof nach Verkündung des vorliegenden Urteils entschieden hat, stellt der – selbst kurzzeitige – Verlust der Kontrolle über Daten einen „immateriellen Schaden“ im Sinne von Art. 82 Abs. 1 DSGVO dar, ohne dass es sich daraus entwickelnder besonderer Befürchtungen oder Ängste der betroffenen Person bedarf; solche zusätzlichen spürbaren negativen Folgen wären lediglich geeignet, den eingetretenen immateriellen Schaden noch zu vertiefen oder zu vergrößern (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 30 f. m. w. N.). Ebensowenig ist erforderlich, dass es im konkreten Einzelfall zu einer missbräuchlichen Verwendung der betreffenden Daten gekommen ist (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 30 m. w. N.). Der Senat schließt sich dieser Auslegung der DSGVO und der Rechtsprechung des EuGH unter Aufgabe seiner bisherigen Rechtsprechung an.
(b) Ein Anspruch scheitert im vorliegenden Einzelfall – im Hinblick auf den betroffenen Namen, das Geschlecht und die Mobilfunknummer – daran, dass die Klägerin einen Kontrollverlust – wenn auch pauschal – zwar ausreichend dargelegt (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 41; dazu auch näher sogleich), aber nicht bewiesen hat.
Wie bereits dem Wortlaut des Begriffs „Kontrollverlust“ zu entnehmen ist, setzt dieser voraus, dass der Betroffene zunächst die Kontrolle über das konkrete personenbezogene Datum – der Gerichtshof spricht insoweit von Datenhoheit (EuGH, Urt. v. 14.12.2023 – C-456/22, GRUR-RS 2023, 35767 Rn. 22) – hatte und diese Kontrolle später gegen seinen Willen durch den (streitgegenständlichen) Datenschutzverstoß verloren hat. Folglich muss der potentiell Geschädigte, eben weil ihn die Darlegungslast für durch den Verstoß gegen die DSGVO erlittene negative Folgen trifft (so BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 33, 37), darlegen, dass er die Hoheit über die Daten nicht schon zuvor verloren hatte. Dies gilt insbesondere bei Daten, bei denen es sich – wie etwa bei dem Namen, dem jedenfalls im europäischen Kulturkreis fast immer aus dem Vornamen ableitbaren Geschlecht und der Telefonnummer – nicht um ein per se sensibles oder der Geheimhaltung unterliegendes personenbezogenes Datum handelt, sondern im Gegenteil um ein Identifizierungsmerkmal. Im Hinblick auf die Telefonnummer ist dabei von Bedeutung, dass es sich um ein solches Datum handelt, das nach seiner Zweckbestimmung dem Betroffenen ermöglichen soll, in Kontakt mit anderen, identifizierbaren Personen zu treten und das daher im täglichen Leben auch solchen anderen Personen oft in großem Umfang zugänglich gemacht wird. In solchen Fällen ist der Betroffene gehalten, dazu vorzutragen, wie er im Allgemeinen im privaten, geschäftlichen und/oder beruflichen Umfeld mit diesen Daten vor dem streitgegenständlichen Scraping-Vorfall umgegangen ist (vgl. hierzu BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 34 ff., insbesondere Rn. 39 a. E., und Rn. 41 f.).
Die Klägerin ist dieser Darlegungslast zwar schriftsätzlich zunächst nachgekommen, indem sie hat vortragen lassen, „die Klägerseite [gebe] die Telefonnummer stets bewusst und zielgerichtet weiter, und [mache] diese nicht wahl- und grundlos der Öffentlichkeit zugänglich, wie etwa im Internet“ (zuletzt Berufungsbegründung vom 19.08.2024, eGA II-111). Die persönliche Anhörung der Klägerin gemäß § 141 ZPO hat allerdings diesen schriftsätzlichen Vortrag weder präzisiert, geschweige denn bestätigt, sondern vielmehr ergeben, dass die Klägerin die streitgegenständliche Mobilfunknummer nach eigenen Angaben eigentlich an alle weitergibt, wenn sie auch manchmal die Rufnummernanzeige bei Anrufen ausschaltet, auf Nachfrage aber ihre Nummer doch herausgibt (Berichterstattervermerk vom 05.11.2024 Seite 2 Abs. 8, eGA II-611). Zudem nutzt sie – wie es allgemein üblich sein dürfte, eben weil es sich regelmäßig um kein geheimes Datum, sondern um eines zur Kontaktaufnahme handelt – ihre Rufnummer in sozialen Netzwerken und auf Handelsplattformen, wenn auch nicht sonst öffentlich sichtbar, und damit im Internet (Berichterstattervermerk vom 05.11.2024 Seite 2 Abs. 9 f., eGA II-611). Zudem gibt sie in privaten Angelegenheiten auf ihrer Visitenkarte ihre Handynummer an (Berichterstattervermerk vom 05.11.2024 Seite 2 Abs. 11, eGA II-611). Damit hat die Klägerin den schriftsätzlichen Vortrag zum sensiblen und gezielten Einsatz gerade nicht bestätigt.
Soweit sich infolgedessen schriftsätzlicher Klage- und Berufungsvortrag zum sensiblen und zurückhaltenden Umgang mit den eigenen Kontaktdaten, namentlich der Telefonnummer, mit den Angaben der Klägerin im Rahmen ihrer persönlichen Anhörung nicht in Einklang bringen lassen, hatte der Senat dies zu würdigen (st. Rspr. BGH Beschl. v. 25.10.2022 – VI ZR 382/21, BeckRS 2022, 35153 Rn. 15; BGH Urt. v. 17.2.2010 – IV ZR 259/08, VersR 2010, 473 Rn. 17; BGH Urt. v. 26.2.2009 – I ZR 155/07, BeckRS 2009, 9695 Rn. 8; BGH Urt. v. 7.2.2006 – VI ZR 20/05, NJW-RR 2006, 672 Rn. 7; BGH Urt. v. 1.3.1957 – VIII ZR 286/56, BeckRS 1957, 31194675 Ls.). Angesichts der Pauschalität des schriftsätzlichen Vortrags hegt der Senat keinerlei vernünftige Zweifel, dass die persönlichen Angaben der Klägerin zugrundezulegen sind.
Der von der Klägerin geschilderte (übliche) Umgang mit der Telefonnummer zu Zwecken der Kontaktaufnahme/Erreichbarkeit zeigt, dass eine Kontrolle über die Verbreitung und Weitergabe bereits vor dem streitgegenständlichen Scraping-Vorfall gerade nicht behalten werden sollte und vor allem auch nicht konnte; denn zwangsläufig ist bei einem solchen (üblichen) Umgang der eigenen Kontrolle entzogen, wie die (zahlreichen und eben nicht selektiv und bewusst ausgewählten) Empfänger mit der Telefonnummer verfahren, also ob sie sie speichern oder auch ungefragt an Dritte weitergeben. Nicht zuletzt zeigt das Verfahren der Telefonnummerngenerierung, das auch unabhängig vom Scraping-Vorfall eingesetzt wird, dass es keine Kontrolle darüber gibt, wer per Anruf, SMS, WhatsApp pp. Kontakt aufnehmen kann. Allein die Existenz der Telefonnummer reicht aus, um den Kontakt herzustellen und so auch den Namen des Anschlussinhabers über einen schlichten Anruf herauszufinden.
Ein erst durch das Scraping und die dauerhafte Preisgabe der mit dem Namen der Klägerin verknüpften Telefonnummer im Internet behaupteter Kontrollverlust lässt sich vor diesem Gesamthintergrund damit im vorliegenden Einzelfall nicht feststellen.
Das Risiko, dass Dritte die streitgegenständlichen Daten der Klägerin nicht datenschutzkonform behandelten, hat sich demnach vielmehr bereits vor dem Scraping-Vorfall verwirklicht – mit der Folge, dass es zur tatrichterlichen Überzeugung des Senats nicht erst durch den Scraping-Vorfall zu einem bloßen Kontrollverlust gekommen ist. Die Klägerin konnte dies tragend trotz Nachfrage nicht hinreichend glaubhaft schildern, dass es zu Spam-Kontakten erst nach Veröffentlichung des Datensatzes gekommen ist oder diese nach diesem Zeitpunkt massiv angestiegen wären (Berichterstattervermerk vom 05.11.2024 Seite 1 Abs. 3 ff., eGA II-610).
(2) Auch Befürchtungen der missbräuchlichen Verwendung ihrer Daten seitens der Klägerin, die einen – von der Klägerin zu beweisenden – immateriellen Schaden darstellen können, wenn damit einhergehend negative Folgen vorliegen (vgl. EuGH Urt. v. 20.6.2024 – C-590/22, BeckRS 2024, 13978 Rn. 32, 35; BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 32 m. w. N.), sind nicht feststellbar.
(a) Allerdings genügt – wie der Bundesgerichtshof nach Verkündung des vorliegenden Urteils entschieden hat – die pauschale und in einer Vielzahl von Fällen gleichlautende Behauptung von Angst, Sorge und Unwohlsein wegen Spam-SMS und -Anrufen sowie von aufgewandter Zeit und Mühe in der Auseinandersetzung mit dem Scraping-Vorfall sowie dem Schutz vor künftigem Missbrauch, den prozessualen Darlegungsanforderungen (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 30-42 m. w. N.). Der Senat schließt sich dieser Auslegung der DSGVO und der Rechtsprechung des Gerichtshofs unter Aufgabe seiner bisherigen Rechtsprechung an.
(b) Ohnedies hatte der Senat die Klägerin aber auch insoweit persönlich gemäß § 141 ZPO angehört (siehe zur aus Sicht des Senats dann zwingenden Erforderlichkeit, jedenfalls soweit keine anderen Beweismittel zur Verfügung stehen oder positiv ergiebig sind: BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 101) und hat ihre Erklärungen als „Inhalt der Verhandlungen“ gemäß § 286 Abs. 1 Satz 1 ZPO in die richterliche Überzeugungsbildung einbezogen (vgl. BGH Beschl. v. 25.10.2022 – VI ZR 382/21, BeckRS 2022, 35153 Rn. 13 sowie weitere Angaben oben).
In Würdigung der (fehlenden) Angaben der Klägerin im Rahmen ihrer persönlichen Anhörung zu inneren Empfindungen in Abweichung zum schriftsätzlichen Vortrag (siehe dazu schon oben) ist der Senat davon überzeugt, dass ein immaterieller Schaden in Form der begründeten Befürchtung der missbräuchlichen Datenverwendung mit negativen Folgen bei der Klägerin nicht vorliegt. Die Klägerin hat in ihrer persönlichen Anhörung (Berichterstattervermerk vom 05.11.2024 Seite 1 ff., eGA II-610 ff.) trotz mehrfacher Nachfrage gar nicht geschildert, sich vor Datenmissbrauch zu fürchten, noch Beweisanzeichen (vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 164 f. m. w. N.) dargelegt, die auf eine Furcht schließen lassen. Vielmehr hat sie durch ihr Desinteresse am Antwortschreiben der Beklagten auf ihr Auskunftsersuchen (Berichterstattervermerk vom 05.11.2024 Seite 2 Abs. 1, eGA II-611, und Seite 3 Abs. 1 ff., eGA II-612) trotz der von ihr verfolgten Unterlassungsanträge das Gegenteil zum Ausdruck gebracht.
Unabhängig davon spricht der Umstand, dass die Klägerin trotz der vermeintlichen Sorge um einen Identitätsdiebstahl ihre Telefonnummer bislang behalten hat (Berichterstattervermerk vom 05.11.2024 Seite 3 Abs. 6, eGA II-612), indiziell gegen die Annahme von Furcht vor Datenmissbrauch, zumal die Klägerin auch die Suchbarkeitseinstellung unstreitig – wenn auch wegen vermeintlichen Unverständnisses (Berichterstattervermerk vom 05.11.2024 Seite 3 Abs. 6, eGA II-612) bei dem bereits dargelegten Desinteresse, die Informationen der Beklagten zur Kenntnis zu nehmen – nicht geändert hat.
Vor dem Hintergrund, dass eine Befürchtung schon nicht vorliegt, erklärt sich auch plausibel, dass die Klägerin – obwohl es erforderlich gewesen wäre (so EuGH Urt. v. 20.6.2024 – C-590/22, BeckRS 2024, 13978 Rn. 36 explizit) – keinerlei Angaben zu negativen Folgen einer vermeintlichen Befürchtung machen konnte.
Entsprechend lassen sich die hier wie in allen Verfahren pauschal behaupteten Umstände von Komforteinbußen, Mühewaltung und Gefühlen des Beobachtetwerdens sowie der Hilflosigkeit, so sie denn überhaupt relevant wären (dazu unten), nicht feststellen.
Denn die Klägerin konnte die Belastungen durch das Scraping selbst schlicht nicht beschreiben (Berichterstattervermerk vom 05.11.2024 Seite 3 Abs. 6, eGA II-612).
Demnach verbleibt in Würdigung der eigenen Angaben der Klägerin die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen, die aber ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten einen immateriellen Schaden begründen kann (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 32 m. w. N.).
(3) Soweit die Klägerin den Erhalt von Spam-Anrufen und -SMS im Rahmen des immateriellen Schadens geltend macht, steht nicht fest, dass die Spam-Anrufe und -SMS zumindest mitursächlich auf den Datenschutzverstößen der Beklagten, die zu 533 Millionen generierter Datensätze geführt haben, beruhen. Die Klägerin hat weder hinreichend dargelegt noch – selbst gemessen am Maßstab des § 287 ZPO – bewiesen, dass diese auf den streitgegenständlichen Scraping-Vorfall zurückzuführen sind. Es ist dem Senat aus eigener Anschauung hinreichend bekannt, dass es auch, ohne vom streitgegenständlichen Scraping-Vorfall betroffen zu sein, regelmäßig zu Spam-Kontakten (durch Einsatz schlichter Telefonnummerngenerierung) kommen kann bzw. kommt. Die Klägerin konnte trotz Nachfrage auch nicht hinreichend glaubhaft schildern, dass es zu den Kontakten erst nach Veröffentlichung des Datensatzes gekommen ist oder diese nach diesem Zeitpunkt massiv angestiegen wären (Berichterstattervermerk vom 05.11.2024 Seite 1 Abs. 3 ff., eGA II-610). Den notwendigen Kausalitätsnachweis kann die Klägerin daher mit ihrem diesbezüglichen unter Beweis gestellten Vortrag nicht führen (vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 189-200).
Zudem ist der Vortrag der Klägerin auch insoweit schon nicht schlüssig, als der Empfang von Spam als solcher – ohne weitere negativen Folgen – bereits keinen immateriellen Schaden darstellt (vgl. hierzu EuGH Urt. v. 20.6.2024 – C-590/22, BeckRS 2024, 13978 Rn. 34-36; BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 32).
Das nachvollziehbare und glaubhafte Ärgern über Spam-Kontakte stellt – wie allgemein Beunruhigung, Ärger, Unmut und Zorn – zwar nach Auffassung des Bundesgerichtshofs aufgrund der Vorgaben des EuGH einen immateriellen Schaden dar (vgl. obiter BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 84 m. w. N.). Dasselbe gilt für die nicht glaubhaft geschilderten Sorge, bei Annahme von Anrufen durch ihre Namensnennung bereits einen Vertrag abzuschließen (Berichterstattervermerk vom 05.11.2024 Seite 2 letzter Abs., eGA II-611).
Insoweit fehlt es aber an der schriftlichen und mündlichen Darlegung durch die Klägerin, warum das Ärgern und die Unannehmlichkeit jedenfalls mitursächlich auf die Datenschutzverstöße – und nicht nur auf die Spam-Anrufe und -Nachrichten, von denen nicht feststeht, dass sie ihrerseits auf Datenschutzverstößen beruhen – zurückzuführen sind.
cc) Ein weiterer immaterieller Schaden ist von der Klägerin nicht geltend gemacht worden noch sonst ersichtlich. Dies gilt vor allem im Hinblick auf solche immateriellen Schäden, die auf etwaigen Verletzungen der Pflichten der Beklagten aus Art. 15, 17, 33 und 34 DSGVO beruhen könnten (vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 147-149; siehe auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 26).
dd) Sollte an den in Rede stehenden Daten – entgegen der Ansicht des Senats – ein Kontrollverlust anzunehmen sein, so stünde zur Überzeugung des Senats fest, dass dieser Kontrollverlust auf Datenschutzverstößen der Beklagten beruhte. Ein angemessener Anspruch auf Ersatz dieses immateriellen Schadens nach Art. 82 Abs. 1 DSGVO beliefe sich unter Abwägung aller Umstände des Einzelfalls auf 100,00 EUR (vgl. dies abstrakt für einen reinen Kontrollverlust für angemessen haltend BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 100). Dieser Betrag ist zum Ausgleich eines etwaigen Schadens erforderlich, aber auch ausreichend und entspricht der Billigkeit (vgl. § 253 Abs. 2 BGB).
Die Bemessung des Schadensersatzes richtet sich entsprechen dem Grundsatz der Verfahrensautonomie nach den innerstaatlichen Vorschriften über den Umfang der finanziellen Entschädigung, in Deutschland also nach § 287 ZPO unter Berücksichtigung mehrerer unionsrechtlicher Einschränkungen insbesondere nach der Ausgleichsfunktion des Art. 82 DSGVO (vgl. ausführlich BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 92-100 m. w. N.; siehe schon Senat Urt. v. 21.6.2024 – 7 U 154/23, GRUR-RS 2024, 16856 = juris Rn. 55 ff. m. w. N.).
Vor diesem Hintergrund ist in die zur Bemessung des Schadensersatzes vorzunehmende Abwägung einzustellen, dass der Klägerin ein – unterstellter -immaterieller Schaden entstanden ist, der in einem Kontrollverlust – aber auch nur in diesem – besteht. Insbesondere ist nach dem Gesagten nicht die Befürchtung vor Datenmissbrauch zu kompensieren, da eine solche Befürchtung nach den Feststellungen des Senats nicht festzustellen ist. Der Kontrollverlust beschränkt sich dabei auf nicht sonderlich sensible Daten, sondern solche der Sozialsphäre der Klägerin. Der Name der Klägerin als solcher ist auch anderweitig im Internet auffindbar, wie sie selbst bekundet hat. Dies gilt auch für ihren Arbeitgeber und ihren Wohnort über die Profile von xing und linkedin (eGA II-192). Der Name dient gerade der Identifikation. Die Mobiltelefonnummer ist – solange die Nummer nicht (fast vollständig) geheim gehalten wird – auf Kontaktaufnahme gerichtet. Gelangt sie in die Hand von Dritten, die nach dem Willen der Klägerin nicht in ihren Besitz gelangen sollen, wiegt dies entsprechend nicht so schwer wie der Kontrollverlust über Daten, die von vornherein auf Geheimhaltung – wie etwa Arztdaten – angelegt sind. Dennoch ist zu berücksichtigen, dass die in Rede stehenden Daten der Klägerin auf einer insgesamt ca. 533 Millionen Datensätze umfassenden Liste im Darknet veröffentlicht worden sind, was einen Missbrauch durch Kriminelle wahrscheinlicher als bei zusammenhangloser Erwähnung auf einer Homepage im Internet erscheinen ließ – wobei das persönliche Risiko, auf diesem Weg für einen Missbrauchsversuch ausgewählt zu werden, wiederum durch die Vielzahl der Datensätze sowie die Methode der Rufnummerngenerierung relativiert wird.
b) Ein Anspruch auf Ersatz immateriellen Schadens aus § 823 Abs. 1 BGB, Art. 2 Abs. 1, Art. 1 Abs. 1 GG wegen der Verletzung des allgemeinen Persönlichkeitsrechts scheidet aus. Zwar kann die schwerwiegende Verletzung des allgemeinen Persönlichkeitsrechts die Zahlung von Schmerzensgeld zur Folge haben; dies scheidet aber im vorliegenden Fall jedenfalls mangels Schwere der Verletzung aus.
Nach der ständigen Rechtsprechung des Bundesgerichtshofs begründet die schuldhafte Verletzung des allgemeinen Persönlichkeitsrechts einen Anspruch auf eine Geldentschädigung, wenn es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Ob eine so schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, dass die Zahlung einer Geldentschädigung erforderlich ist, kann nur aufgrund der gesamten Umstände des Einzelfalls beurteilt werden. Hierbei sind insbesondere die Bedeutung und Tragweite des Eingriffs, ferner Anlass und Beweggrund des Handelnden sowie der Grad seines Verschuldens zu berücksichtigen. Die Zubilligung einer Geldentschädigung unter den genannten Voraussetzungen findet ihre sachliche Berechtigung in dem Gedanken, dass das Persönlichkeitsrecht gegenüber schwerwiegenden Beeinträchtigungen anderenfalls ohne ausreichenden Schutz bliebe mit der Folge, dass der Rechtsschutz der Persönlichkeit verkümmern würde (BGH Urt. v. 12.3.2024 – VI ZR 1370/20, BeckRS 2024, 14074 Rn. 70 m. w. N.; vgl. auch BGH Urt. v. 5.10.2004 – VI ZR 255/03, NJW 2005, 215, 216 m. w. N.).
Nach diesen Grundsätzen ist die Zahlung einer Geldentschädigung nicht erforderlich (vgl. auch Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 204). Offenbleiben kann in diesem Zusammenhang, ob der Kontrollverlust an den im vorliegenden Fall in Rede stehenden Daten überhaupt eine Verletzung des allgemeinen Persönlichkeitsrechts der Klägerin darstellt. Jedenfalls wiegt die Beeinträchtigung nicht schwer. Die Daten betreffen nicht die Privat- oder Intimsphäre der Klägerin, sondern lediglich deren Sozialsphäre. Die Telefonnummer ist ein Datum, das auf Kommunikation und deshalb auf Weitergabe angelegt ist.
c) Ein Anspruch auf Schadensersatz folgt auch nicht aus § 280 Abs. 1, § 241 Abs. 2 BGB (vgl. zum Nutzungsvertrag auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 83 m. w. N., Rn. 50), da es bereits an einem immateriellen Schaden der Klägerin mangelt und insoweit im Rahmen von § 253 Abs. 2 BGB die Erheblichkeits- / Bagatellgrenze für den Ersatz immateriellen Schadens nicht überschritten ist (vgl. zur Gesundheitsverletzung BGH Urt. v. 6.12.2022 – VI ZR 168/21, r+s 2023, 130 Rn. 18).
2. Im Hinblick auf den Klageantrag zu 2 fehlt – anders als im vom Bundesgerichtshof entschiedenen Fall und den dort revisionsrechtlich zu unterstellenden Tatsachen (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 48 f. m. w. N.) – im vorliegenden Einzelfall im Hinblick auf den nicht gegebenen Kontrollverlust und die nicht gegebenen Befürchtungen etc. bereits die – praktische und nicht nur theoretische – Möglichkeit des Eintritts eines zukünftigen materiellen oder immateriellen Schadens (vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 207-218; siehe zur rein theoretischen Natur für den Fall fehlenden Kontrollverlustes auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 49 a. E.).
Nach dem bisherigen Vortrag der Klägerin ist bisher auch kein konkreter materieller Schaden entstanden (Berichterstattervermerk vom 05.11.2024 Seite 3 Abs. 6, eGA II-612); Rechtsanwaltskosten werden gesondert geltend gemacht. Es ist im Hinblick auf die Kenntnis der Klägerin von drohenden Phishing-Anrufen und -SMS auch nicht mit dem Eintritt eines Schadens zu rechnen. Das gilt erst recht vor dem Hintergrund, dass die Klägerin hinreichend alarmiert und daher für solche Fragen sensibilisiert ist, mit Spam-Kontakten sowie Betrugsversuchen rechnet und darauf routiniert reagieren kann.
Einen Schaden durch einen – vorgenommenen oder beabsichtigten – Rufnummernwechsel hat die Klägerin schon nicht geltend gemacht; die Rufnummer hätte sie mittlerweile bereits kostenlos wechseln können.
3. Der Antrag zu 3.a, der anders als in sonstigen gleichgelagerte Fällen nicht darauf gerichtet ist, eine Kontaktimportfunktion ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen zu unterbinden, sondern sich – ohne jede Begründung der Klägerin – auf die People-You-May-Know-Funktion bezieht, ist, wenn nicht schon im Hinblick auf § 890 Abs. 2 ZPO und § 259 ZPO unzulässig (vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 219-226; die Ausführungen des BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 70 beziehen sich nur auf den Antrag zu 3.b), jedenfalls wegen fehlender Bestimmtheit im Sinne des § 253 Abs. 2 Nr. 2 ZPO unzulässig (Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 228-231; so jetzt auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 51-58). Dies gilt im vorliegenden Einzelfall umso mehr, da in keiner Weise vorgetragen oder ersichtlich ist, dass hier eine Erstbegehungsgefahr bestünde.
Der Antrag zu 3.b – ebenfalls ohne jede Begründung anders als in sonstigen Fällen – ist, wenn auch nicht im Hinblick auf § 890 Abs. 2 ZPO und § 259 ZPO (vgl. BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 70; so noch Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 238-240), so doch weiterhin im Hinblick auf das fehlende Rechtsschutzbedürfnis unzulässig.
Die Klägerin, auch wenn sie die Bedeutung der Suchbarkeitseinstellung für das Scraping erst im Senatstermin verstanden haben will (Berichterstattervermerk vom 05.11.2024 Seite 3 Abs. 2 und Abs. 4, eGA I-612), war jedenfalls über die ihr zurechenbare Kenntnis ihrer Prozessbevollmächtigten bereits seit der Mandatierung oder spätestens seit Zugang des Auskunftsschreibens der Beklagten vom 21.07.2023 (Anl. B16, eGA I-366 ff.) über die Sichtbarkeits- und Suchbarkeitsfunktion informiert (oder hätte von ihren Prozessbevollmächtigten informiert werden müssen); nach ihren Angaben im Senatstermin hat sie das Auskunftsschreiben zwar erhalten, wenn auch nicht gelesen (Berichterstattervermerk vom 05.11.2024 Seite 2 Abs. 2, eGA II-611). Spätestens damit war sie über die Suchbarkeit ihres Profils über die Mobilfunktelefonnummer vollständig informiert und hat von der Beklagten wegen der damit einhergehenden Unrechtmäßigkeit der Datenverarbeitung eine Entschädigung verlangt. Dann hätte sie die Suchbarkeit tatsächlich umstellen können. Soweit sie gleichwohl die Funktion ihrer Suchbarkeit trotz ausreichender Information mangels Änderung der Suchbarkeitseinstellung „alle“ weitergenutzt hat, hat sie objektiv betrachtet aktiv unter Berücksichtigung von Erwägungsgrund 62 Satz 1 Var. 1 DSGVO bereits vor Klageerhebung eine Einwilligung erteilt (vgl. entsprechend bereits Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 236 f.; wozu sich der BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 68 f. nicht verhalten musste).
Das gilt umso mehr, als die Klägerin ausweislich ihrer Ausführungen im Senatstermin weiß und will, dass andere Personen, die sie im Telefonbuch haben, sie suchen können (Berichterstattervermerk vom 05.11.2024 Seite 3 Abs. 2, eGA II-612).
Damit kommt es vorliegend nicht darauf an, wie die Klägerin ohne ihre hier tatsächlich vorliegende Einwilligung selbstständig Abhilfe gegen sämtliche in Anl. B6 „Möglicherweise verwenden wir deine Mobilnummer für diese Zwecke“ (eGA I-325) genannten Verwendungsarten der Mobilfunktelefonnummer schaffen kann (vgl. dazu BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 69).
4. Der dem Antrag zu 4 zugrundeliegende Auskunftsanspruch ist durch Erfüllung erloschen (§ 362 Abs. 1 BGB; vgl. Senat Urt. v. 15.8.2023 – 7 U 19/23, GRUR-RS 2023, 22505 = juris Rn. 249-254; so jetzt auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 72-77), konkret durch das Schreiben der Beklagten vom 21.07.2023 (Anlage B16, eGA I-366 ff.). Durch die Auskunft, Facebook Irland halte keine Kopien der Rohdaten, welche die durch Scraping abgerufenen Daten enthielten, hat die Beklagte auch erklärt, dass weitere Kenntnisse zum Auskunftsverlangen der Klägerin nicht vorlägen. Dies hat die Beklagte zudem ausdrücklich in der mündlichen Verhandlung vor dem Senat bestätigt (Berichterstattervermerk vom 05.11.2024 Seite 4 Abs. 4, eGA II-612). Die Klägerin hat insoweit auch nicht erklären können, welche Auskunft ihr noch fehlt (Berichterstattervermerk vom 05.11.2024 Seite 3 Abs. 10, eGA II-612).
5. Bezüglich des Antrags zu 5 ist die Klage unbegründet. Ein solcher Anspruch ergibt sich insbesondere nicht aus Art. 82 Abs. 1 DSGVO.
Ein Anspruch der Klägerin scheidet schon deswegen aus, weil die Klägerin bestätigt hat, dass ihr Rechtsschutzversicherer sämtliche Kosten getragen hat (Berichterstattervermerk vom 05.11.2024 Seite 3 Abs. 13, eGA II-612) und ein etwaiger Anspruch auf Erstattung vorgerichtlicher Rechtsanwaltskosten damit nach § 86 Abs. 1 Satz 1 VVG auf den Rechtsschutzversicherer übergegangen ist und es daher an der Aktivlegitimation mangelt.
III.
Die Kostenentscheidung beruht auf § 97 Abs. 1 ZPO, der Ausspruch der vorläufigen Vollstreckbarkeit auf § 708 Nr. 10, § 711 ZPO.
IV.
1. Die Revision war im Hinblick auf den Klageantrag zu 1 zuzulassen, da die Rechtssache im Zeitpunkt der Senatsentscheidung grundsätzliche Bedeutung hatte (§ 543 Abs. 2 Satz 1 Nr. 1 und 2 ZPO; vgl. OLG Celle Urt. v. 4.4.2024 – 5 U 31/23, GRUR-RS 2024, 6435 = juris Rn. 112; OLG Oldenburg Urt. v. 21.5.2024 – 13 U 100/23, BeckRS 2024, 12013 = juris Rn. 65; OLG München Urt. v. 24.4.2024 – 34 U 2306/23e, GRUR-RS 2024, 8563 = beck Rn. 38). Grund für eine weitergehende Zulassung der Revision bestand nicht, da die übrigen im vorliegenden Rechtsstreit entscheidungserheblichen Rechtsfragen durch die Rechtsprechung des Bundesgerichtshofs hinreichend geklärt und im Übrigen solche des Einzelfalls sind.
2. Der Senat war nach Maßgabe der Vorgaben des Bundesverfassungsgerichts (vgl. Beschl. v. 14.1.2021 – 1 BvR 2853/19, NJW 2021, 1005) nicht gehalten, das Verfahren nach § 148 Abs. 1 ZPO auszusetzen und dem Gerichtshof durch Vorlagebeschluss die von der Klägerin formulierten Fragen nach Art. 19 Abs. 3 lit. b EUV, Art. 267 Abs. 3 EUV vorzulegen. Unabhängig davon, dass der Gerichtshof alle entscheidungserheblichen Fragen – wie vorstehend dargestellt und i. Ü. bereits vom Senat entschieden (vgl. Senat Urt. v. 17.11.2023 – 7 U 71/23, GRUR-RS 2023, 32739 = juris Rn. 7 ff.; so jetzt auch BGH Urt. v. 18.11.2024 – VI ZR 10/24, Rn. 81 ff.) – hinreichend geklärt hat, besteht nunmehr eine Vorlagepflicht auch insoweit nicht, als mit Blick auf die begrenzte Revisionszulassung der Senat nicht das letzte innerstaatliche Gericht zur Entscheidung des vorliegenden Falls ist.
3. Der Senat war auch nicht befugt, das vorliegende Verfahren vor dem Hintergrund anderer, ähnlich gelagerter Verfahren, die vor dem Bundesgerichtshof oder dem Gerichtshof anhängig sind, analog § 148 Abs. 1 ZPO auszusetzen (vgl. BGH Beschl. v. 4.6.2024 – VIII ZB 40/23, BeckRS 2024, 16516 Rn. 12 ff.).
V.
Der Streitwert ist auf 3.000,00 EUR festzusetzen (vgl. insgesamt Senat Urt. v. 15.8.2023 – 7 U 19/23, BeckRS 2023, 22505 = juris Rn. 271 ff. m. w. N.).
