Business-Tools außerhalb eines sozialen Netzwerks: Auskunft, Löschung und 3.000 Euro wegen Kontrollverlusts

Redaktioneller Kernsatz

Business-Tools außerhalb eines sozialen Netzwerks: Auskunft, Löschung und 3.000 Euro wegen Kontrollverlusts

Redaktionelle Zusammenfassung · 805 Wörter

Die Entscheidung erklärt

Tracking außerhalb des eigenen Nutzerkontos war Streitgegenstand

Auskunft durfte nicht auf personalisierte Werbung verengt werden

Der Auskunftsanspruch ergab sich aus Art. 15 Abs. 1 DSGVO. Nach Auffassung des Senats musste der Kläger dafür weder seinen gesamten Browserverlauf offenlegen noch jeden Besuch einer mit Business-Tools ausgestatteten Seite einzeln belegen. Das Auskunftsrecht soll gerade Transparenz über die beim Verantwortlichen vorhandenen Daten schaffen. Ebenso wenig musste der Nutzer zunächst bestimmte Verarbeitungszwecke benennen, gegen die er sich wehren wollte. Technische Angaben wie IP-Adressen und interne Kennungen waren erfasst, soweit sie seinem Profil zugeordnet wurden. Das bisherige Antwortschreiben erfüllte den Anspruch nicht, weil die Betreiberin das umfassende Verlangen eigenständig auf personalisierte Werbung reduziert hatte. Auch allgemeine Datenschutzhinweise und ein entsprechend beschränktes Selbstbedienungswerkzeug genügten nicht. Die Verwendung vergleichbarer Anträge durch zahlreiche andere Nutzer wertete der Senat nicht als Rechtsmissbrauch. Der Anspruch knüpft an die jeweilige betroffene Person an; gleichartige Anträge verschiedener Personen sind nicht schon deshalb exzessiv. Auskunft musste ferner über Drittstaaten als Speicherorte und die Verwendung für automatisierte Entscheidungen einschließlich Profiling erteilt werden. Eine Ausnahme machte das Gericht bei der Identität konkreter Datenempfänger: Die Betreiberin hatte erklärt, hierzu keine Aufzeichnungen zu besitzen. Da der Kläger dies bis zum Verhandlungsschluss nicht bestritten hatte, nahm der Senat insoweit Unmöglichkeit an. Das später nachgeschobene Bestreiten war prozessual nicht mehr zu berücksichtigen.

Verantwortlichkeit und Rechtfertigung blieben bei der Betreiberin

Für die gespeicherten und dem Nutzerprofil zugeordneten Daten sah der Senat die Betreiberin selbst als Verantwortliche nach Art. 4 Nr. 7 DSGVO an. Dass Drittunternehmen über die Einbindung der Werkzeuge entschieden, beseitigte diese Stellung nicht. Vertragliche Hinweise, nach denen diese Unternehmen Einwilligungen einholen sollten, konnten die gesetzlichen Pflichten gegenüber Betroffenen ebenfalls nicht verlagern. Nach Art. 5 Abs. 2 sowie Art. 6 und 7 DSGVO musste die Betreiberin die Rechtmäßigkeit ihrer Verarbeitung darlegen. Sie konnte deshalb nicht verlangen, dass der Kläger erst sämtliche einzelnen Vorgänge rekonstruiert, bevor sie ihre Zwecke und Rechtsgrundlagen offenlegt. Für eine ausreichende Einwilligung sah das Gericht keine Grundlage. Auch Vertragserfüllung oder berechtigte Interessen rechtfertigten die festgestellte umfassende Sammlung nach seiner Würdigung nicht. Allgemeine Hinweise auf Cybersicherheit belegten nicht, weshalb gerade die detaillierte Kenntnis der außerplattformlichen Internetnutzung objektiv erforderlich war. Die bloße Nützlichkeit von Informationen genügte nicht. Der Senat beanstandete außerdem die fehlende hinreichende Zweckfestlegung, die Datensammlung auf Vorrat und unklare Speicherfristen. Seine Prüfung bezog sich auf die konkrete Ausgestaltung und den dazu gehaltenen Vortrag der Beklagten.

Löschung erfasst die Business-Tool-Daten, nicht das gesamte Konto

Aus der rechtswidrigen Verarbeitung folgte nach Art. 17 Abs. 1 Buchstabe d DSGVO ein Löschungsanspruch. Die Betreiberin durfte den Kläger nicht darauf verweisen, sein gesamtes Nutzerkonto aufzugeben. Ebenso wenig genügte das angebotene Trennen von Aktivitäten im Einstellungsmenü. Nach dem nicht ausreichend widerlegten Klägervortrag führte dies lediglich zu einer Pseudonymisierung durch Austausch einer Kennung; die Informationen blieben beim Unternehmen vorhanden und konnten mit zusätzlichen Daten wieder zugeordnet werden. Das Gericht unterschied diese Maßnahme von einer tatsächlichen Löschung. Der Kläger hatte seinen Antrag in der Berufung außerdem präzisiert: Gelöscht werden sollte sechs Monate nach rechtskräftigem Abschluss des Verfahrens. Diesen Zeitpunkt hielt der Senat für hinreichend bestimmbar. Der zugesprochene Umfang blieb aber auf Daten begrenzt, die auf Übermittlungen durch die Business-Tools beruhten. Soweit der Antrag auch Informationen aus der unmittelbaren Nutzung des sozialen Netzwerks erfasste, fehlte ein entsprechend dargelegter Löschungsgrund. Der fortbestehende Nutzungsvertrag und die datenschutzrechtlichen Pflichten waren damit miteinander zu vereinbaren, ohne sämtliche Kontodaten unterschiedslos zu beseitigen.

Langdauernder Kontrollverlust trug die Entschädigung

Den immateriellen Schaden nach Art. 82 DSGVO sah das Gericht im weitreichenden Verlust der Kontrolle über das aufgezeichnete Internetverhalten. Es berücksichtigte sensible Informationen, die lange Dauer seit 2018 und die fehlende Möglichkeit, das beim Unternehmen entstandene Bild der eigenen Person zuverlässig zu überblicken. Der Betrag von 3.000 Euro sollte diesen Nachteil ausgleichen, nicht bestrafen. Eine konkrete gewinnbringende Weitergabe sensibler Informationen an Dritte stellte der Senat nicht fest. Die begehrten vorgerichtlichen Anwaltskosten sprach er nicht zu, weil der bestrittene Zugang des Aufforderungsschreibens nicht bewiesen war. Wegen unterschiedlicher Maßstäbe zur Darlegung der Betroffenheit und zur Entschädigungshöhe ließ das Gericht die Revision der Beklagten zu. Die Zulassung belegt daher gerade keine bereits eingetretene Rechtskraft oder abschließende höchstrichterliche Bestätigung.