Datenleck-Screenshot genügte bei konkret bestrittenem Nutzerkonto nicht für persönliche Betroffenheit

Redaktionelle Zusammenfassung · 808 Wörter

Die Entscheidung erklärt

Treffer einer Datenleckseite ersetzte den Nachweis des eigenen Plattformkontos nicht

Allgemeiner Datenschutzverstoß und persönliche Betroffenheit waren getrennt zu prüfen

Der Senat ging davon aus, dass die Betreiberin selbst gegen datenschutzrechtliche Pflichten zur Überwachung eines externen Dienstleisters verstoßen hatte. Hierzu verwies er auf frühere Entscheidungen zu dem Vorfall. Damit stand für ihn jedoch nicht zugleich fest, dass gerade die Daten des Klägers betroffen waren. Dieser verlangte unter anderem immateriellen Schadensersatz nach Artikel 82 DSGVO sowie weitere datenschutzrechtliche Leistungen. Die tragende Schwierigkeit seines Falles lag nach dem Hinweis bereits vor der Bemessung eines Schadens: Es fehlte eine hinreichend konkrete Darlegung der eigenen Registrierung, des Nutzungsverhältnisses im maßgeblichen Zeitraum und der darauf bezogenen Teilnahme seiner Daten an dem geltend gemachten Abfluss.

Betreiberin hatte schon vor der Klage eine individuelle Negativauskunft erteilt

Nachdem die anwaltliche Vertretung des Klägers die Ansprüche außergerichtlich angemeldet hatte, teilte die Betreiberin im November 2023 mit, unter seinem Namen und der angegebenen E-Mail-Adresse keinen Account finden zu können. In der Klageerwiderung vom Juni 2024 wiederholte sie, in ihren Datenbanken ließen sich keine zu seiner Person gehörenden Datensätze feststellen. Deshalb könne sie über die Negativauskunft hinaus keine weiteren Angaben machen. Der Senat bewertete dies als hinreichend konkretes Bestreiten eines Nutzungsvertragsverhältnisses. Es ging also nicht lediglich um eine allgemeine Erklärung, die Plattform habe keine Datenschutzfehler begangen oder alle Nutzer seien vom Vorfall unberührt geblieben. Die Antwort bezog sich auf die individuellen Anmeldedaten des Klägers.

Kläger blieb eine konkrete Erklärung zu seiner Registrierung schuldig

Der Kläger trat diesem Vortrag weder in erster Instanz noch in seiner Berufungsbegründung substantiiert entgegen. Er legte lediglich einen Screenshot vor, aus dem sich nach seiner Auffassung die Veröffentlichung seiner Daten im Zusammenhang mit dem Datenleck ergab. Nach dem Senat belegte dieser Auszug für sich genommen jedoch nicht, dass er sich gerade mit der angegebenen Adresse bei der Beklagten angemeldet und im relevanten Zeitraum ein Nutzerkonto unterhalten hatte. Ebenso wenig ergab sich daraus ohne diese Verbindung die behauptete Betroffenheit von dem der Beklagten zugerechneten Hackinggeschehen im Jahr 2022. Ein Hinweis auf einen Datenfund und der Nachweis der hierfür behaupteten konkreten Plattformbeziehung blieben damit unterschiedliche Tatsachenfragen.

Datenbanktreffer kann unter passenden Voraussetzungen ein gewichtiges Indiz sein

Der Senat verwarf solche Abfrageergebnisse keineswegs generell als wertlos. Er erläuterte seine bereits in einer früheren Entscheidung entwickelten Grundsätze: Ein Screenshot belegt nicht automatisch die Wahrheit der darin wiedergegebenen Angaben. Die Aufnahme einer E-Mail-Adresse in eine Leckdatenbank kann aber ein Indiz für deren Beteiligung an einem Datenschutzvorfall darstellen. Nutzer haben gewöhnlich keinen Einfluss darauf, ob ihre Adresse dort verzeichnet wird. Zudem führt nach der vom Senat angeführten Erfahrung nicht jede beim betroffenen Anbieter hinterlegte Adresse zu einem Treffer. Diese Eingrenzung kann ausreichend sein, um auf einer ersten Stufe konkrete Anforderungen an die Erklärung des Plattformbetreibers auszulösen.

Sekundäre Darlegungslast trägt dem Wissensunterschied Rechnung

Die gestufte Verteilung berücksichtigt, dass ein Nutzer regelmäßig keinen Einblick in die interne Datenverarbeitung und die Untersuchung des Vorfalls hat. Auch der genaue Verbleib seiner Daten in veröffentlichten oder illegal weitergegebenen Datensätzen lässt sich für ihn kaum aufklären. Demgegenüber kann eine Plattform, die selbst Untersuchungen durchgeführt und betroffene Nutzer ermittelt hat, vielfach erläutern, welche Daten abgeflossen sind. Sind der Vorfall und die Verwendung der betreffenden Angaben bei der Anmeldung unstreitig, muss sie deshalb nach einem passenden Treffer substantiiert erklären, weshalb gerade dieser Nutzer dennoch nicht betroffen sein soll. Dazu können die Ergebnisse und die Methodik ihrer Untersuchung gehören. Ein bloß pauschales Bestreiten würde dieser sekundären Darlegungslast nicht genügen.

Hier fehlte bereits die Grundlage für die gestufte Darlegungslast

Diese Grundsätze setzte der Senat aber nicht mit einer voraussetzungslosen Vermutung zugunsten jeder Person gleich, die einen Datenbanktreffer vorlegt. Die gestufte Darlegung greift nach dem Hinweis nicht in gleicher Weise, wenn die Verwendung der angegebenen E-Mail-Adresse bei der Plattformanmeldung selbst ungeklärt bleibt. Gleiches gilt, wenn konkrete fallbezogene Umstände die Verlässlichkeit der Zuordnung infrage stellen, etwa ein fehlendes Nutzungsverhältnis zum Zeitpunkt des Vorfalls. Genau an diesem Ausgangspunkt scheiterte der Kläger. Die Beklagte hatte konkret mitgeteilt, das individuelle Konto unter den angegebenen Daten nicht auffinden zu können. Ohne nähere Reaktion des Klägers ließ sich die erforderliche Verbindung zwischen ihm, seinen Anmeldedaten und dem behaupteten Vorfall nicht zugrunde legen.

Hinweis eröffnete eine letzte Stellungnahme vor der vorgesehenen Zurückweisung

Der Senat kündigte deshalb eine einstimmige Zurückweisung der Berufung nach § 522 Absatz 2 ZPO ohne mündliche Verhandlung an. Den Berufungsstreitwert wollte er auf 5.500 Euro festsetzen und regte eine Rücknahme des Rechtsmittels an. Der Kläger konnte binnen zwei Wochen auf die mitgeteilten Bedenken reagieren. Der Beschluss sprach ihm noch nicht durch eine abschließende Rechtsmittelentscheidung sämtliche Ansprüche ab. Er machte aber deutlich, dass selbst ein festgestellter Pflichtverstoß der Plattform nicht die konkrete Zuordnung zum einzelnen Anspruchsteller ersetzt. Die zentrale Lücke betraf dessen eigene Betroffenheit und nicht allein den Umfang eines möglichen immateriellen Schadens.