Nachweis der Betroffenheit vom API-Datenvorfall ersetzte keinen konkreten Schadensnachweis

Redaktionelle Zusammenfassung · 806 Wörter

Die Entscheidung erklärt

Betroffenheit vom Datenleck genügte im konkreten Fall nicht für Schadensersatz

Kläger verlangte zwei Entschädigungen sowie Auskunft und Unterlassung

Der Nutzer hatte mindestens 1.000 Euro immateriellen Schadensersatz wegen der behaupteten unbefugten Ermittlung seiner Kontakt- und weiteren personenbezogenen Daten verlangt. Weitere mindestens 1.000 Euro forderte er wegen einer aus seiner Sicht unzureichenden außergerichtlichen Datenauskunft. Daneben beantragte er die gerichtliche Feststellung der Ersatzpflicht der Betreiberin für künftige materielle Schäden. Außerdem sollte sie ergänzend Auskunft zu den betroffenen Daten und Empfängern erteilen und die beanstandete Zugänglichmachung über eine technische Schnittstelle unterlassen. Hinzu kamen vorgerichtliche Rechtsverfolgungskosten. Das Landgericht Dresden hatte die Klage abgewiesen. Der Senat prüfte die einzelnen Ansprüche getrennt und ließ dabei ausdrücklich offen, ob die Datenverarbeitung der Beklagten gegen die DSGVO verstieß.

Abfrageergebnis löste eine nähere Erklärungspflicht der Betreiberin aus

Für die individuelle Betroffenheit legte der Kläger einen Treffer der Webseite Have I Been Pwned vor. Nach Auffassung des Senats reichte dies zunächst aus, weil sowohl der Datenschutzvorfall selbst als auch die Verwendung der betreffenden E-Mail-Adresse bei der Plattformanmeldung unstreitig waren. In dieser Situation galt eine gestufte Darlegungslast: Nach dem konkreten Hinweis des Nutzers musste die Plattform nachvollziehbar erläutern, weshalb er gleichwohl nicht betroffen sein sollte. Der Senat nahm die Betroffenheit nur für die E-Mail-Adresse an, nicht für die ebenfalls geltend gemachte Mobilfunknummer. Die verschiedenen behaupteten Datenarten wurden also nicht allein aufgrund des allgemeinen Vorfalls oder eines einzelnen Abfrageergebnisses unterschiedslos als erfasst behandelt.

Pauschaler Hinweis auf eigene Untersuchungen genügte nicht

Die Beklagte hatte erklärt, ihre Untersuchungen zeigten weniger betroffene Datensätze als die genannte Webseite; der Account des Klägers sei nicht Teil des Hackingvorfalls gewesen. Dem Senat fehlte jedoch die Darstellung, aufgrund welcher konkreten Erkenntnisse sie ihn ausschließen konnte. Einen behaupteten vollständigen Datensatz betroffener Nutzer hatte sie weder vorgelegt noch inhaltlich so erläutert, dass ihre Schlussfolgerung überprüfbar wurde. Auch die vorgerichtliche Antwort hatte lediglich mitgeteilt, es gebe keine Beweise für die Herkunft online verkaufter Daten aus einer Sicherheitslücke ihrer Systeme. Damit konnte der Kläger nach Ansicht des Gerichts seinen Vortrag nicht weiter präzisieren. Das pauschale Bestreiten erfüllte deshalb die sekundäre Darlegungslast der Betreiberin nicht.

Früherer Kontrollverlust und zeitlicher Verlauf standen dem Schadensvortrag entgegen

Trotz dieser für den Kläger günstigen Beurteilung verneinte der Senat einen hinreichend dargelegten kausalen Schaden. Er erkannte an, dass bereits ein Kontrollverlust über personenbezogene Daten einen immateriellen Schaden bilden kann, auch ohne nachgewiesene missbräuchliche Verwendung. Ein solcher Verlust musste aber gerade auf den geltend gemachten Vorfall zurückzuführen sein. Nach dem vorgelegten Screenshot und einer ergänzenden eigenen Einsicht des Senats war dieselbe Adresse bereits 2016 bei einer anderen Plattform von einem Datenleck betroffen gewesen. Es ging somit nicht bloß um das abstrakte Risiko eines früheren Abflusses. Der Senat betrachtete dieses Risiko vielmehr als bereits vor dem streitigen Vorfall verwirklicht.

Persönliche Anhörung ergab keinen zusätzlich nachvollziehbaren Schaden

Der Kläger hatte vor dem Landgericht erklärt, das erhöhte Aufkommen unerwünschter E-Mails, Telefonanrufe und SMS habe gegen Ende 2020 begonnen. Vor diesem Hintergrund hielt der Senat es nicht für plausibel, seine Befürchtungen eines Datenmissbrauchs gerade dem späteren Vorfall bei der Beklagten zuzuordnen. Einen darüber hinausgehenden immateriellen Nachteil hatte der Kläger nach der gerichtlichen Bewertung nicht dargelegt. Die Entscheidung verneinte damit den konkreten Schadensnachweis; sie erklärte nicht jeden späteren Umgang mit bereits abgeflossenen Daten automatisch für schadenslos. Auch für die beantragte Feststellung künftiger materieller Ersatzpflicht fehlte dem Gericht eine ausreichende Grundlage. Ohne kausal zugeordneten andauernden Kontrollverlust blieb eine entsprechende künftige Schadensentwicklung hier rein theoretisch.

Technisch und rechtlich unbestimmte Unterlassungsanträge

Der Hauptantrag sollte der Betreiberin untersagen, Daten über eine API-Schnittstelle zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen. Gerade welche Maßnahmen diesem Maßstab entsprachen, war zwischen den Parteien streitig. Der Senat hielt den Antrag deshalb nicht für vollstreckungsfähig; auch aus dem ergänzenden Vortrag ließ sich das Verbot nicht eindeutig bestimmen. Der Hilfsantrag beschrieb eine Schnittstelle, bei der Dritte mit einer bereits bekannten E-Mail-Adresse oder Mobilfunknummer die Nutzerkennung erhalten konnten. Auch daraus entnahm der Senat keine hinreichend konkreten Vorgaben für die verlangte Änderung. Beide Anträge wurden somit wegen ihrer Fassung beanstandet, ohne dass daraus eine generelle Billigung der technischen Datenzugänglichkeit folgte.

Auskunft war erfüllt, zweiwöchige Stellungnahme blieb möglich

Den Auskunftsanspruch aus Artikel 15 DSGVO sah der Senat als erfüllt an. Deshalb kam auch der daran anknüpfende weitere Schadensersatz nicht in Betracht; die allgemeine Frage, ob eine Auskunftspflichtverletzung überhaupt einen Anspruch aus Artikel 82 DSGVO tragen kann, ließ er offen. Ebenso verneinte er nach dem bisherigen Ergebnis vorgerichtliche Rechtsverfolgungskosten. Der Kläger erhielt zwei Wochen zur Stellungnahme zur beabsichtigten Zurückweisung nach § 522 Absatz 2 ZPO. Der Verhandlungstermin wurde aufgehoben und ein Berufungsstreitwert von 4.500 Euro angekündigt. Damit blieb Raum zur Reaktion auf die gerichtlichen Bedenken; eine bereits endgültige Abweisung der Berufung enthält der Hinweis nicht.