Datenscraping: Nicht bewiesener Abrufzeitpunkt ließ DSGVO-Schadensersatzanspruch scheitern

Redaktioneller Kernsatz

Datenscraping: Nicht bewiesener Abrufzeitpunkt ließ DSGVO-Schadensersatzanspruch scheitern

Redaktionelle Zusammenfassung · 843 Wörter

Die Entscheidung erklärt

Berufung blieb trotz späterer höchstrichterlicher Scraping-Rechtsprechung erfolglos

Telefonnummer wurde mit vorhandenen Profildaten verknüpft

Der Vorfall betraf einen sozialen Netzwerkdienst. Dritte hatten zufällig erzeugte Telefonnummern in ein Kontaktimportwerkzeug eingegeben. Bei einem Treffer konnten sie die Nummer einem Nutzerprofil und dort vorhandenen weiteren Daten zuordnen. Die Telefonnummer wurde daher nicht schlicht als öffentlich sichtbares Feld abgeschrieben; entscheidend war die automatisierte Verknüpfung mit einer identifizierbaren Person.
Der Kläger berief sich auf einen veröffentlichten Datensatz mit Telefonnummer, Nutzerkennung, Namen, Geschlecht, Wohnort und Arbeitgeber. Seine zunächst ebenfalls behauptete Betroffenheit einer E-Mail-Adresse ergab sich dagegen nicht aus der später konkret benannten Datenzeile. Die Suchbarkeit seines Profils anhand der Mobilnummer war nach der unstreitigen Tatsachengrundlage bis Juli 2019 auf den Personenkreis aller Nutzer eingestellt.
Der gesamte Scraping-Komplex wurde zeitlich zwischen Januar 2018 und September 2019 verortet und 2021 öffentlich bekannt. Der Kläger behauptete einen Abruf gerade 2019 sowie einen späteren Anstieg unerwünschter Nachrichten und Anrufe. Er schilderte außerdem Unsicherheit und Kontrollverlust. Der Betreiber bestritt unter anderem den individuellen Abrufzeitpunkt und die geltend gemachten Folgen.

Für materiellen DSGVO-Anspruch war der einzelne Abruf maßgeblich

Der Senat unterschied das Inkrafttreten der DSGVO von ihrer zeitlichen Anwendbarkeit. Materielle Rechte aus der Verordnung können grundsätzlich erst für die Zeit ab dem 25. Mai 2018 hergeleitet werden. Verfahrensrechte, etwa ein später gestelltes Auskunftsersuchen über frühere Verarbeitungen, können dagegen anders zu beurteilen sein.
Für den verlangten Schadensersatz kam es hier auf den Zeitpunkt des konkreten Datenabrufs an. Weder die frühere Registrierung auf der Plattform noch die spätere Veröffentlichung des Datenbestands im Jahr 2021 ersetzten diese zeitliche Zuordnung. Der Senat behandelte den einzelnen Abruf auch nicht als fortdauernden Vorgang, der allein durch spätere Folgen in den Anwendungszeitraum hineinwüchse.
Die neu formulierte Schadensersatzforderung hielt er als einheitlichen prozessualen Anspruch für verständlich. Verschiedene behauptete Verstöße vor und nach demselben Vorfall mussten nicht in getrennte Geldbeträge aufgeteilt werden. Diese prozessuale Einordnung löste jedoch das eigenständige Problem des unbewiesenen zeitlichen Anwendungsbereichs nicht.

Sekundäre Darlegungslast des Betreibers kehrte die Beweislast nicht um

Grundsätzlich musste der Kläger den anspruchsbegründenden Zeitpunkt darlegen und beweisen. Weil er außerhalb des technischen Ablaufs stand, traf den Betreiber nach der Begründung eine sekundäre Darlegungslast. Dieser durfte die Behauptung eines Abrufs 2019 nicht lediglich pauschal zurückweisen, sondern musste im Rahmen des Zumutbaren nähere Angaben machen.
Der Betreiber erklärte, er verfüge weder über die Rohdaten des abgegriffenen Bestands noch über inzwischen nicht mehr vorgehaltene Protokolldateien, aus denen sich der Abruf dieses Nutzers rekonstruieren ließe. Identität und verwendete Konten der Scraper seien ebenfalls nicht bekannt. Der Senat hielt dieses Vorbringen im konkreten Verfahren für ausreichend.
Auch die Pressemitteilung von 2021 bewies keinen ausschließlich 2019 erfolgten Abruf. Die Angaben, das Scraping habe vor September 2019 stattgefunden und die Lücke sei 2019 behoben worden, ließen einen früheren Zugriff offen. Die auf 2019 bezogene Behauptung des Klägers behandelte der Senat zwar letztlich als schlüssigen Vortrag, sah sie aber nach dem qualifizierten Bestreiten als unbewiesen an. Eine vollständige Umkehr der Beweislast lehnte er ab.

Nationale Ersatzgrundlagen führten ebenfalls nicht zu einer Geldentschädigung

Mangels nachgewiesener zeitlicher Anwendbarkeit prüfte der Senat andere Grundlagen. Die frühere datenschutzrechtliche Schadensersatzregelung für nichtöffentliche Stellen gewährte nach seiner Auslegung keinen Ersatz immaterieller Schäden. Auch aus dem allgemeinen Persönlichkeitsrecht leitete er im vorliegenden Fall keinen Geldentschädigungsanspruch ab.
Dafür wäre eine hinreichend schwere Beeinträchtigung erforderlich gewesen, die nicht anders angemessen ausgeglichen werden könnte. Der Senat ordnete die konkret betroffenen Daten der Sozialsphäre zu und berücksichtigte, dass verschiedene Grundangaben des Netzwerkprofils ohnehin öffentlich waren. Eine vorsätzliche Weitergabe durch den Betreiber zu fremden Zwecken stellte er nicht fest. In der Gesamtwürdigung erreichte der Fall nach seiner Bewertung nicht die erforderliche Schwere.
Der Antrag auf Feststellung künftiger Ersatzpflichten war zwar zulässig, aber mangels tragfähiger Haftungsgrundlage unbegründet. Für das Feststellungsinteresse genügte dem Gericht grundsätzlich die Möglichkeit künftiger Schäden. Daraus folgte jedoch noch kein materieller Ersatzanspruch. Auch die verlangten vorgerichtlichen Anwaltskosten wurden nicht zugesprochen.

Unterlassung bezog sich auf ein abgeschafftes Werkzeug

Beide Unterlassungsanträge knüpften an das frühere Kontaktimportwerkzeug an. Dieses existierte nach der unstreitigen Grundlage nicht mehr in der beanstandeten Form. Die verbliebene Funktion erzeugte lediglich Vorschlagslisten möglicher Bekannter anhand mehrerer Kriterien und erlaubte keine entsprechende eindeutige Zuordnung allein durch Eingabe einer Telefonnummer.
Weitere Missbrauchsvorfälle mit dieser alten Methode waren nicht vorgetragen. Angesichts der vorgenommenen Änderungen sah der Senat auch keine ernsthafte Erwartung einer Wiedereinführung. Deshalb fehlte den auf dieses Werkzeug bezogenen Anträgen das Rechtsschutzbedürfnis. Ob der Kläger zusätzlich durch eigene Profileinstellungen Abhilfe schaffen konnte, ließ das Gericht offen.
Eine Aussetzung wegen eines europäischen Verfahrens zum immateriellen Schadensbegriff hielt der Senat nicht für erforderlich. Diese Frage war nach seiner zeitlichen Einordnung nicht entscheidungserheblich. Die Revision wurde nicht zugelassen; die Berufungskosten trägt der Kläger. Das Urteil verwirft damit nicht allgemein die Möglichkeit eines ersatzfähigen Kontrollverlusts, sondern entscheidet den konkret geführten Prozess aufgrund anderer Voraussetzungen.