Datenleckklage: OLG beanstandet ungeklärte Zuordnung von E-Mail-Adresse und Plattformkonto

Redaktionelle Zusammenfassung · 800 Wörter

Die Entscheidung erklärt

Portalnachweis allein belegte den behaupteten eigenen Account nicht

Betreiber hatte die Verbindung zur zuerst angegebenen Adresse bestritten

Zunächst erklärte der Kläger, er habe sich mit einer bestimmten Googlemail-Adresse bei der Plattform angemeldet. Eine Abfrage dieser Adresse bei einem Datenleck-Prüfportal habe einen Treffer für Twitter ergeben. Der Betreiber hatte jedoch schon in einem Schreiben vom April 2023 mitgeteilt, dass mit dieser Adresse kein entsprechender Account verknüpft sei und die betroffene Person deshalb nicht identifiziert werden könne. Auf dieses konkrete Bestreiten ging der Kläger nach Auffassung des Senats nicht ausreichend ein. Der Verweis auf den Portalabruf zeigte für sich genommen weder die Registrierung des Klägers mit dieser Adresse noch ein bestehendes Nutzerkonto im relevanten Zeitraum.

Später vorgelegter Screenshot ließ die persönliche Zuordnung weiterhin offen

Im Januar 2024 trug der Kläger ergänzend vor, zum Zeitpunkt des Datenlecks einen Account unter einem Aliasnamen genutzt zu haben. Dazu nannte er eine andere, auf Gmail endende Adresse und legte einen Screenshot vor. Dieser zeigte ein bereits 2009 angelegtes Konto mit einem Pseudonym und der angegebenen Adresse. Zugleich ergab sich aus der Abbildung, dass die Accountinformationen nicht verifiziert waren. Der Senat verlangte deshalb zusätzliche Erläuterungen oder geeignete Nachweise dazu, dass gerade der Kläger die Adresse und das Konto tatsächlich genutzt hatte. Die bloße Existenz einer abgebildeten Kontoseite löste die offene Frage der persönlichen Zuordnung nicht.

Verschiedene tatsächliche Verknüpfungen mussten nachvollziehbar werden

Die gerichtliche Prüfung betraf damit mehrere aufeinander aufbauende Umstände: die Nutzung einer Adresse durch den Kläger, ihre Hinterlegung bei einem Konto, dessen Bestand im maßgeblichen Zeitraum und den Bezug der abgeflossenen Informationen zu seiner Person. Ein externer Treffer konnte diese Verknüpfungen nach dem konkreten Bestreiten nicht sämtlich ersetzen. Der Senat legte dem Kläger die Darlegungs- und Beweislast für seine individuelle Betroffenheit auf. Bereits mit der Berufungsbegründung hätte er die bereits erkennbaren Lücken seines bisherigen Vortrags bearbeiten müssen. Der erneute allgemeine Hinweis auf das Prüfportal beantwortete weder das konkrete Bestreiten des Betreibers noch die Fragen zur Verwendung der zweiten Adresse. Darin liegt keine allgemeine Voraussetzung, dass datenschutzrechtliche Ansprüche stets einen Vertrag mit dem Verantwortlichen erfordern. Im vorgetragenen Sachverhalt leitete der Kläger die behauptete Betroffenheit gerade aus seinem eigenen Plattformkonto ab; diese tatsächliche Grundlage blieb ungeklärt.

Auch ein unterstellter Account ließ den Schadensnachweis nicht entfallen

Unabhängig von der offenen Zuordnung prüfte der Senat die Angaben zum immateriellen Schaden. Dabei unterstellte er zugunsten des Klägers zunächst, dass die erste Adresse zu einem von ihm geführten Account gehört hatte. Der Portalabruf nannte jedoch nicht nur den streitigen Twitter-Vorfall, sondern auch ein früheres Datenleck bei einem anderen Dienst. Der Kläger hatte nicht erläutert, dass er vor der hier beanstandeten Schnittstellenschwachstelle noch Kontrolle über genau diese Adresse gehabt und sie erst dadurch verloren hatte. Die bloße Anzeige eines weiteren Lecks bewies daher nicht, dass gerade dieses Ereignis den geltend gemachten Kontrollverlust verursacht hatte.

Zweite Adresse war ebenfalls bei zahlreichen anderen Vorfällen verzeichnet

Für die später genannte Gmail-Adresse ergab die vom Senat vorgenommene Abfrage insgesamt achtzehn verzeichnete Datenlecks aus den Jahren 2013 bis 2024. Darunter waren mehrere Vorfälle, die zeitlich vor dem hier beanstandeten Ereignis lagen. Auch insoweit vermisste das Gericht eine konkrete Darstellung der zuvor noch bestehenden Kontrolle und des zusätzlichen Verlusts durch den Plattformvorfall. Es behandelte die Portalangaben damit auf zwei verschiedenen Ebenen: Sie ersetzten nicht ohne Weiteres die Zuordnung eines Accounts zum Kläger, zeigten aber zugleich frühere Offenlegungen derselben behaupteten Adresse. Ein nachvollziehbar beschriebener zusätzlicher immaterieller Nachteil durch das konkrete Ereignis war aus dem Klagevortrag nicht ersichtlich.

Geplanter Streitwert spiegelte die konkrete Darlegung wider

Der Senat kündigte an, den Streitwert für beide Instanzen auf 6.500 Euro festzusetzen. Die bezifferten Zahlungsanträge machten zusammen 5.000 Euro aus. Für die Auskunft und die Feststellung sollten jeweils 500 Euro hinzukommen; ebenso für den Unterlassungsantrag. Dessen niedrigen Wert begründete das Gericht mit den im konkreten Vortrag nur gering erkennbaren Auswirkungen. Es blieb ungeklärt, welche weiteren persönlichen Daten tatsächlich abhandengekommen sein sollten. Außerdem wurden nach der beschriebenen Funktionsweise die Adressen in die Schnittstelle eingegeben, um damit eine Nutzerkennung aufzufinden. Der Senat unterschied deshalb die Verwendung einer schon bekannten Adresse als Suchmerkmal vom behaupteten neuen Abfluss weiterer personenbezogener Informationen.

Hinweis eröffnete eine Stellungnahme und nahm das Berufungsergebnis nicht vorweg

Die beabsichtigte Zurückweisung sollte einstimmig nach § 522 Absatz 2 ZPO ohne mündliche Verhandlung erfolgen. Der Kläger erhielt zwei Wochen zur Stellungnahme, während der bereits für den 14. Januar bestimmte Verhandlungstermin aufgehoben wurde. Der Senat regte eine Rücknahme an, durch die sich zwei Gerichtsgebühren ersparen ließen. Der veröffentlichte Beschluss dokumentiert damit eine angekündigte Entscheidung auf Grundlage des damaligen Vortrags, keine bereits vollzogene endgültige Zurückweisung. Seine tragenden Erwägungen betreffen die fehlende individuelle Zuordnung und den fehlenden ursächlichen Schaden. Ob ein genauer belegter anderer Nutzerfall desselben Plattformereignisses Ansprüche begründen könnte, wurde damit nicht entschieden.