Wiederholtes Datenleck: Früherer Verlust derselben E-Mail-Adresse war für die Schadensursache entscheidend

Redaktionelle Zusammenfassung · 802 Wörter

Die Entscheidung erklärt

Datenleck führte im konkreten Fall zu keinem zusätzlichen ersatzfähigen Kontrollverlust

Programmierschnittstelle ermöglichte die Zuordnung zu Nutzerkonten

Die Nutzerin behauptete, Dritte hätten eine fehlerhafte Programmierschnittstelle genutzt, um eingegebene E-Mail-Adressen oder Telefonnummern mit Konten auf der Plattform zu verknüpfen und anschließend öffentlich zugängliche Profildaten zu erfassen. Der Betreiber räumte eine entsprechende Schwachstelle seiner Software ein, bestritt jedoch einen Verstoß gegen seine datenschutzrechtlichen Sicherheitsverpflichtungen. Der Senat ließ die abschließende Bewertung dieses Pflichtverstoßes offen. Die Klägerin legte unter anderem einen Screenshot einer angeblichen Quelldatei vor. Ihr Klarname war darin nicht enthalten; auch die behauptete Betroffenheit einer Nutzerkennung war nach dem Prozessstoff nicht ausreichend erläutert. Für die weitere Prüfung konzentrierte sich der Senat deshalb auf die E-Mail-Adresse.

Treffer bei einem Prüfportal konnte die erste Darlegungslast erfüllen

Bei der individuellen Betroffenheit erläuterte das Gericht eine abgestufte Verteilung der Darlegungslast. Ein Auszug eines bekannten Prüfportals für Datenlecks kann zunächst genügen, wenn das Sicherheitsereignis selbst und die Verwendung der betreffenden Adresse bei der Plattformanmeldung feststehen. Der Auszug beweist seinen Inhalt damit noch nicht abschließend. Er kann aber ein hinreichendes Indiz sein, weil Nutzer regelmäßig keinen Einblick in interne Verarbeitungsvorgänge oder den gesamten Umfang eines Abflusses haben. In dieser Lage muss der Betreiber konkret erklären, weshalb gerade diese Person trotzdem nicht betroffen sein soll. Allgemeine Zweifel an der Methodik des Portals genügten nach Auffassung des Senats dafür hier nicht.

Gestufte Darlegung ersetzte nicht jede Voraussetzung der Betroffenheit

Die sekundäre Darlegungslast sollte insbesondere dann beim Betreiber liegen, wenn dieser einen massenhaften Vorfall untersucht und bereits einzelne Betroffene identifiziert hatte. Eine einzelfallbezogene Beschreibung seiner Untersuchung und ihrer Ergebnisse hätte weiteren Beweisbedarf auslösen können. Ohne solche Angaben durfte die aus dem Portal ersichtliche Betroffenheit dagegen für die weitere Prüfung zugrunde gelegt werden. Der Senat begrenzte diese Erleichterung ausdrücklich: War die Verwendung der Adresse bei der Anmeldung nicht nachgewiesen oder gab es konkrete Gründe gegen die Verlässlichkeit des Treffers, galt sie nicht unverändert. Ein Screenshot war damit weder bedeutungslos noch ein automatischer Vollbeweis. Die unterschiedliche Informationsnähe beider Seiten bestimmte seine prozessuale Wirkung.

Elf frühere Vorfälle waren für die Schadensursache entscheidend

Nach dem von der Klägerin selbst vorgelegten Material und der gerichtlichen Einsichtnahme war ihre E-Mail-Adresse bereits zwischen 2008 und 2020 bei elf anderen Anbietern von Datenverlusten betroffen gewesen. Diese Ereignisse lagen vor dem hier beanstandeten Vorfall. Die Kontrolle über genau diese Adresse war daher nach der Bewertung des Senats bereits vorher verloren gegangen. Er unterschied ein lediglich abstraktes Risiko unsicherer Verarbeitung bei Dritten von einer tatsächlich schon eingetretenen Offenlegung. Nur Letztere war im Fall belegt. Die Klägerin konnte deshalb nicht allein aus dem erneuten Bekanntwerden derselben Adresse ableiten, gerade der verklagte Betreiber habe den von ihr behaupteten Kontrollverlust verursacht.

Weitere Ängste oder künftige Schäden waren nicht hinreichend angebunden

Auch eine Missbrauchsbefürchtung kann nach den herangezogenen datenschutzrechtlichen Maßstäben einen Schaden bilden, muss aber angesichts der konkreten Umstände begründet und durch den betreffenden Verstoß verursacht sein. Nach dem Vortrag der Klägerin war nicht plausibel, weshalb erst dieser Vorfall die behauptete Befürchtung ausgelöst haben sollte. Einen darüber hinausgehenden immateriellen Nachteil hatte sie nicht dargelegt. Eine persönliche Anhörung war deshalb nach Auffassung des Senats nicht erforderlich. Ebenso fehlte eine hinreichende Grundlage für die Feststellung weiterer Ersatzpflichten. Eine künftige materielle Schadensentwicklung durfte nicht nur theoretisch möglich sein; ein gerade diesem Ereignis zurechenbarer andauernder Kontrollverlust war hier nicht festgestellt.

Sicherheitsbezogener Unterlassungsantrag war nicht vollstreckbar bestimmt

Der Antrag, Sicherheitsmaßnahmen nach dem Stand der Technik vorzusehen, scheiterte an seiner fehlenden Bestimmtheit. Die Formulierung ließ nicht erkennen, welche konkreten Maßnahmen der Betreiber ergreifen sollte. Zudem griff sie nur einen der bei Artikel 32 DSGVO relevanten Gesichtspunkte heraus. Ob die verlangten Pflichten erfüllt wären, hätte damit erst im Vollstreckungsverfahren geklärt werden müssen. Auch unter Berücksichtigung des übrigen Vortrags ließ sich das Begehren nicht eindeutig eingrenzen. Das Gericht wies den Antrag deshalb als unzulässig zurück. Daraus folgt keine Befreiung des Betreibers von Sicherheitsanforderungen, sondern die Notwendigkeit, den konkreten Streitgegenstand und die begehrte gerichtliche Verpflichtung hinreichend festzulegen.

Auskunft war erfüllt, zusätzliche Zahlungsansprüche blieben ohne Grundlage

Die verlangte Datenauskunft hielt der Senat bereits durch die Klageerwiderung für erfüllt. Der Betreiber hatte seine vorhandenen Datensätze bezeichnet und erklärt, weitergehende Informationen zu unbekannten Empfängern nicht geben zu können. Die Klägerin hatte keine Anhaltspunkte dafür vorgetragen, dass entsprechende Empfängeridentitäten bekannt waren. Ein bloßer Verdacht inhaltlicher Unrichtigkeit begründete keinen erneuten Anspruch auf dieselbe Auskunft. Anders wäre eine erkennbar ausgelassene auskunftspflichtige Datenkategorie zu beurteilen gewesen. Ohne festgestellte Auskunftspflichtverletzung entfiel auch der daran geknüpfte weitere Schadensersatz. Die beiden Zahlungsanträge betrafen 3.000 Euro wegen des Datenvorfalls und weitere 2.000 Euro im Zusammenhang mit der Auskunft. Keiner dieser konkret beantragten Beträge wurde zugesprochen. Vorgerichtliche Rechtsverfolgungskosten wurden ebenfalls nicht zugesprochen. Die Klägerin trägt die Berufungskosten; bei einem Streitwert von 7.500 Euro ließ der Senat die Revision nicht zu.