DSGVO: Kein Schadensersatz wegen Sorgen und Ängste infolge von Scraping
LG Offenburg v. 28.2.2023 - 2 O 98/22
Der Sachverhalt:
Die Beklagte betreibt die Social-Media-Plattform F. auf dem Gebiet der EU. Der Kläger ist Nutzer der Plattform. Diese ermöglicht den Nutzern u.a. ein persönliches Nutzerprofil zu erstellen und zu teilen. Wird ein Konto eröffnet, werden zur Erstellung eines Nutzerprofils verschiedene Daten abgefragt. Der Kläger gab im Registrierungsprozess erforderlicherweise seinen Vor- und Nachnamen, sein Geschlecht und sein Geburtsdatum an. Außerdem fügte er nach der Registrierung seine Handynummer den Nutzereinstellungen hinzu. Diese Eingabe erfolgte freiwillig. Nach der Zielgruppenauswahl war die Handynummer auf dem Profil des Klägers nicht einzusehen. Nach den Suchbarkeitseinstellungen war die Suche nach dem klägerischen Profil mittels dessen Handynummer aktiviert.
Von Januar 2018 bis September 2019 sammelten Dritte mittels sog. Scraping (Vorgang des Extrahierens, Kopierens, Speicherns sowie der Wiederverwendung fremder Inhalte im Netz) automatisiert Daten aus den F.-Profilen einer Vielzahl von Nutzern. Es handelte sich dabei um Profilinformationen, die entweder "immer öffentlich" oder aber zu diesem Zeitpunkt aufgrund Profileinstellungen der Nutzer öffentlich einsehbar waren. Die durch die Scraper in diesem Zusammenhang verwendeten Telefonnummern wurden vermutlich mittels "Telefonnummernaufzählung" generiert. Dabei machten sich die Scraper die Kontakt-Import-Funktion (Contact Importer Tool (CIT)) von F. zunutze. Anfang April 2021 wurden die gescrapten Datensätze von ca. 533 Millionen F.-Nutzern inklusive der Telefonnummern, darunter Daten des Klägers, im Internet veröffentlicht.
Der Kläger machte wegen behaupteter Verstöße gegen die Datenschutzgrundverordnung (DSGVO) Unterlassungs- sowie Auskunftsansprüche geltend und verlangte die Zahlung von mind. 1.000 € Schadensersatz. Er war der Ansicht, er habe durch das Scraping einen erheblichen Kontrollverlust über seine Daten erlitten und sei in einem Zustand großen Unwohlseins und großer Sorge über möglichen Missbrauch seiner ihn betreffenden Daten verblieben. Dies manifestiere sich u.a. anderem in einem verstärkten Misstrauen bezüglich E-Mails und Anrufen von unbekannten Nummern und Adressen.
Das LG hat die Klage abgewiesen.
Die Gründe:
Der Kläger hat keinen Anspruch auf Zahlung eines immateriellen Schadensersatzes aus Art. 82 Abs. 1 DSGVO oder einer anderen denkbaren Anspruchsgrundlage. Unabhängig vom Vorliegen der Anspruchsvoraussetzungen im Übrigen, fehlte es jedenfalls am Eintritt eines immateriellen Schadens.
Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Kontrovers diskutiert wird, unter welchen Voraussetzungen ein ersatzfähiger immaterieller Schadensersatz entsteht und sodann gewährt werden kann. Das Merkmal des immateriellen Schadens ist autonom auszulegen. Dabei ist davon auszugehen, dass der Schaden i.S.v. Art. 82 Abs. 1 DSGVO nicht bereits in der Verletzung der DSGVO als solcher liegt, sondern vielmehr ein auf einem Verstoß gegen die DSGVO beruhender Schaden darzulegen ist. Eine Erheblichkeitsschwelle für das Vorliegen eines solchen Schadens ergibt sich aus der DSGVO nicht. Bagatellschäden sind daher nicht auszuschließen. Zu verlangen ist aber jedenfalls, dass ein konkreter immaterieller Schaden auch tatsächlich eingetreten ("entstanden") ist.
Infolgedessen konnte das Gericht nicht erkennen, dass der Kläger einen solchen Schaden tatsächlich erlitten hat. Die beschriebenen formelhaften Ängste und Sorgen, das Unwohlsein, die aufgewendete Zeit und der Stress haben sich in der persönlichen Anhörung nicht gezeigt. Sie sind Teil einer Klageschrift und Replik, die mit dem gleichen Inhalt in einer Vielzahl von Verfahren rechtshängig wurden. Schon deswegen war der persönliche Eindruck des erkennenden Gerichts vom Kläger in seiner Anhörung in der mündlichen Verhandlung entscheidend. In dieser hat der Kläger zunächst geschildert, er habe sich spätestens im Jahr 2001 auf F. angemeldet. Sein F.-Konto bestehe bis heute noch, wobei er dieses noch lediglich sporadisch nutze.
Es war zudem festzuhalten, dass alle Daten - bis auf die Handynummer - aus dem öffentlichen Profil des Klägers "abgelesen" wurden, die der Kläger zuvor bereitwillig dort selbst eingetragen hatte. Ein Identitätsdiebstahl hat insoweit nicht stattgefunden. Soweit diese Daten öffentlich waren, standen sie bereits bei ihrer Eingabe nicht mehr unter der ausschließlichen klägerischen Kontrolle. Das Gefühl eines Kontrollverlustes konnte sich daraus gerade nicht nachvollziehbar ergeben. Soweit die Klägerseite Ängste und Misstrauen bezüglich Spam-E-Mails und Spam-SMS dargelegt hatte, blieb unklar, ob diese E-Mails und SMS tatsächlich im Zusammenhang mit dem Scraping-Vorfall verschickt wurden. Es ist gerichtsbekannt, dass auch Inhaber von Mobilfunknummern, die niemals bei F. angemeldet waren, Spam-E-Mails und Spam-SMS enthalten.
Mehr zum Thema:
Aufsatz:
Markus Rössel
Digital Services Act: Regulierung von Big Tech
ITRB 2023, 68
Landesrechtsprechung Baden-Württemberg
Die Beklagte betreibt die Social-Media-Plattform F. auf dem Gebiet der EU. Der Kläger ist Nutzer der Plattform. Diese ermöglicht den Nutzern u.a. ein persönliches Nutzerprofil zu erstellen und zu teilen. Wird ein Konto eröffnet, werden zur Erstellung eines Nutzerprofils verschiedene Daten abgefragt. Der Kläger gab im Registrierungsprozess erforderlicherweise seinen Vor- und Nachnamen, sein Geschlecht und sein Geburtsdatum an. Außerdem fügte er nach der Registrierung seine Handynummer den Nutzereinstellungen hinzu. Diese Eingabe erfolgte freiwillig. Nach der Zielgruppenauswahl war die Handynummer auf dem Profil des Klägers nicht einzusehen. Nach den Suchbarkeitseinstellungen war die Suche nach dem klägerischen Profil mittels dessen Handynummer aktiviert.
Von Januar 2018 bis September 2019 sammelten Dritte mittels sog. Scraping (Vorgang des Extrahierens, Kopierens, Speicherns sowie der Wiederverwendung fremder Inhalte im Netz) automatisiert Daten aus den F.-Profilen einer Vielzahl von Nutzern. Es handelte sich dabei um Profilinformationen, die entweder "immer öffentlich" oder aber zu diesem Zeitpunkt aufgrund Profileinstellungen der Nutzer öffentlich einsehbar waren. Die durch die Scraper in diesem Zusammenhang verwendeten Telefonnummern wurden vermutlich mittels "Telefonnummernaufzählung" generiert. Dabei machten sich die Scraper die Kontakt-Import-Funktion (Contact Importer Tool (CIT)) von F. zunutze. Anfang April 2021 wurden die gescrapten Datensätze von ca. 533 Millionen F.-Nutzern inklusive der Telefonnummern, darunter Daten des Klägers, im Internet veröffentlicht.
Der Kläger machte wegen behaupteter Verstöße gegen die Datenschutzgrundverordnung (DSGVO) Unterlassungs- sowie Auskunftsansprüche geltend und verlangte die Zahlung von mind. 1.000 € Schadensersatz. Er war der Ansicht, er habe durch das Scraping einen erheblichen Kontrollverlust über seine Daten erlitten und sei in einem Zustand großen Unwohlseins und großer Sorge über möglichen Missbrauch seiner ihn betreffenden Daten verblieben. Dies manifestiere sich u.a. anderem in einem verstärkten Misstrauen bezüglich E-Mails und Anrufen von unbekannten Nummern und Adressen.
Das LG hat die Klage abgewiesen.
Die Gründe:
Der Kläger hat keinen Anspruch auf Zahlung eines immateriellen Schadensersatzes aus Art. 82 Abs. 1 DSGVO oder einer anderen denkbaren Anspruchsgrundlage. Unabhängig vom Vorliegen der Anspruchsvoraussetzungen im Übrigen, fehlte es jedenfalls am Eintritt eines immateriellen Schadens.
Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Kontrovers diskutiert wird, unter welchen Voraussetzungen ein ersatzfähiger immaterieller Schadensersatz entsteht und sodann gewährt werden kann. Das Merkmal des immateriellen Schadens ist autonom auszulegen. Dabei ist davon auszugehen, dass der Schaden i.S.v. Art. 82 Abs. 1 DSGVO nicht bereits in der Verletzung der DSGVO als solcher liegt, sondern vielmehr ein auf einem Verstoß gegen die DSGVO beruhender Schaden darzulegen ist. Eine Erheblichkeitsschwelle für das Vorliegen eines solchen Schadens ergibt sich aus der DSGVO nicht. Bagatellschäden sind daher nicht auszuschließen. Zu verlangen ist aber jedenfalls, dass ein konkreter immaterieller Schaden auch tatsächlich eingetreten ("entstanden") ist.
Infolgedessen konnte das Gericht nicht erkennen, dass der Kläger einen solchen Schaden tatsächlich erlitten hat. Die beschriebenen formelhaften Ängste und Sorgen, das Unwohlsein, die aufgewendete Zeit und der Stress haben sich in der persönlichen Anhörung nicht gezeigt. Sie sind Teil einer Klageschrift und Replik, die mit dem gleichen Inhalt in einer Vielzahl von Verfahren rechtshängig wurden. Schon deswegen war der persönliche Eindruck des erkennenden Gerichts vom Kläger in seiner Anhörung in der mündlichen Verhandlung entscheidend. In dieser hat der Kläger zunächst geschildert, er habe sich spätestens im Jahr 2001 auf F. angemeldet. Sein F.-Konto bestehe bis heute noch, wobei er dieses noch lediglich sporadisch nutze.
Es war zudem festzuhalten, dass alle Daten - bis auf die Handynummer - aus dem öffentlichen Profil des Klägers "abgelesen" wurden, die der Kläger zuvor bereitwillig dort selbst eingetragen hatte. Ein Identitätsdiebstahl hat insoweit nicht stattgefunden. Soweit diese Daten öffentlich waren, standen sie bereits bei ihrer Eingabe nicht mehr unter der ausschließlichen klägerischen Kontrolle. Das Gefühl eines Kontrollverlustes konnte sich daraus gerade nicht nachvollziehbar ergeben. Soweit die Klägerseite Ängste und Misstrauen bezüglich Spam-E-Mails und Spam-SMS dargelegt hatte, blieb unklar, ob diese E-Mails und SMS tatsächlich im Zusammenhang mit dem Scraping-Vorfall verschickt wurden. Es ist gerichtsbekannt, dass auch Inhaber von Mobilfunknummern, die niemals bei F. angemeldet waren, Spam-E-Mails und Spam-SMS enthalten.
Aufsatz:
Markus Rössel
Digital Services Act: Regulierung von Big Tech
ITRB 2023, 68
Aufsatz
Marco Müller-ter Jung / Lewin Rexin
Rechtliche Anforderungen an intelligentes und automatisiertes Technologiescouting
CR 2022, 169
Beratermodul Datenschutzrecht:
Die perfekte Online-Ausstattung für das Datenschutzrecht. Jetzt mit den Inhalten der aktuellen Neuauflage von Moos, Datenschutz und Datennutzung. Mit über 50 topaktuellen praxiserprobten Mustern. 4 Wochen gratis nutzen!