Scraping: 100 Euro für Kontrollverlust und Ersatzpflicht für mögliche spätere Schäden

Redaktioneller Kernsatz

Scraping: 100 Euro für Kontrollverlust und Ersatzpflicht für mögliche spätere Schäden

Redaktionelle Zusammenfassung · 830 Wörter

Die Entscheidung erklärt

100 Euro und Haftungsfeststellung nach Datenabschöpfung

Unzulässige Voreinstellung erleichterte das Scraping

Ausgangspunkt war die Möglichkeit, Profile über Telefonnummern mithilfe eines Kontakt-Import-Werkzeugs aufzufinden. Die Betreiberin hatte die entsprechende Suchbarkeit standardmäßig für alle Nutzer geöffnet. Wer dies verhindern wollte, musste selbst eine datenschutzfreundlichere Einstellung wählen. Nach Auffassung des Senats widersprach das den Vorgaben zur Datenminimierung und zum Datenschutz durch Voreinstellungen. Ausgangspunkt hätte vielmehr eine Beschränkung auf den Nutzer selbst sein müssen, die dieser anschließend eigenständig erweitern konnte. Die Betreiberin berief sich nicht auf eine wirksame Einwilligung. Auch zur Vertragserfüllung war die allgemeine Suchbarkeit über Telefonnummern nicht unerlässlich, weil Kontakte bereits über Namen gefunden werden konnten.

Zeitliche Anwendbarkeit und Kausalität

Die Abschöpfung der Daten des Klägers war zunächst unstreitig für einen Zeitraum nach Geltungsbeginn der DSGVO vorgetragen worden. Den erstmals im Berufungsverfahren erhobenen Einwand der Betreiberin, der Vorgang habe bereits zuvor stattgefunden, berücksichtigte der Senat nicht: Voraussetzungen für die Zulassung dieses neuen Vorbringens waren nicht dargelegt. Auch der Zusammenhang zwischen der unzulässigen Voreinstellung und dem Schaden stand fest. Nach seiner glaubhaften persönlichen Darstellung hätte der Kläger eine geschützte Grundeinstellung nicht selbst für jedermann geöffnet. Dann hätte das Kontakt-Import-Werkzeug die von Dritten eingegebene Telefonnummer nicht seinem Profil mit öffentlich sichtbaren Angaben zugeordnet.

Kontrollverlust als eigenständiger Schaden

Der Senat erkannte bereits den Verlust der Kontrolle über die Mobiltelefonnummer als ersatzfähigen immateriellen Schaden an. Zusätzliche spürbare Nachteile mussten dafür nicht nachgewiesen werden. Dass die Nummer zuvor gezielt an private oder berufliche Kontakte weitergegeben worden war, stand dem nicht entgegen. Eine solche bewusste Weitergabe unterschied sich wesentlich von ihrer freien Veröffentlichung im Internet für einen unbegrenzten Empfängerkreis. Nach den persönlichen Anhörungen war das Gericht davon überzeugt, dass der Kläger seine Nummer bedacht verwendet hatte. Einen schon zuvor eingetretenen Kontrollverlust aufgrund wahlloser Veröffentlichung nahm es deshalb nicht an.

Keine nachgewiesenen zusätzlichen Beeinträchtigungen

Für einen höheren Ersatz fehlte dagegen konkreter Vortrag. Der Kläger hatte nicht nachvollziehbar erläutert, welche weiteren zuvor nichtöffentlichen Daten seines eigenen Profils betroffen waren. Allgemeine Angaben zu den bei dem gesamten Vorfall abgeschöpften Datenarten genügten dafür nicht. Auch besondere begründete Ängste oder Befürchtungen, die über die mit dem Kontrollverlust verbundene Lästigkeit hinausgingen, waren nicht feststellbar. Der Senat hielt den Kläger ausdrücklich für glaubwürdig; dennoch ergaben seine Anhörungen keine solchen zusätzlichen Schäden. Wiederkehrende pauschale Formulierungen über großes Unwohlsein und möglichen Missbrauch ersetzten die notwendige Feststellung einer individuellen emotionalen Beeinträchtigung nicht.

Bemessung nach Ausgleichsfunktion

Der Schadensersatz nach Artikel 82 DSGVO dient dem Ausgleich, nicht der Bestrafung. Deshalb steigern weder die Zahl verletzter Datenschutzpflichten noch der Verschuldensgrad für sich genommen den Betrag. Bei einem bloßen Kontrollverlust berücksichtigte der Senat insbesondere Sensibilität und Verwendung des Datums, Reichweite und Dauer der Veröffentlichung sowie Möglichkeiten, wieder Kontrolle zu erlangen. Zwar war die Telefonnummer dauerhaft einem großen Empfängerkreis zugänglich geworden. Dem konnte jedoch durch einen Nummernwechsel begegnet werden. Den hypothetischen Aufwand hierfür bewertete das Gericht als geeigneten Anhaltspunkt und schätzte den vollständigen Ausgleich auf 100 Euro. Eine pauschale Entschädigung für sämtliche denkbaren Datenschutzverletzungen wurde damit nicht festgelegt.

Fortdauerndes Risiko rechtfertigte die Feststellung

Die Betreiberin konnte sich auch nicht vom vermuteten Verschulden entlasten. Aufgrund ihrer technischen Erfahrung musste sie erkennen, dass die breite Voreinstellung und unzureichende Aufklärung ein attraktives Ziel für massenhaftes Scraping schufen. Das behauptete Fehlen früherer gerichtlicher oder behördlicher Vorgaben genügte nicht zur Entlastung. Die bereits eingetretene Verletzung des Rechts auf informationelle Selbstbestimmung und die anhaltende Veröffentlichung begründeten außerdem eine reale Möglichkeit weiterer Schäden. Deshalb durfte der Kläger die Ersatzpflicht für spätere materielle und noch nicht vorhersehbare immaterielle Folgen feststellen lassen, obwohl gegenwärtig nur der Kontrollverlust mit 100 Euro auszugleichen war.

Unterlassungsanträge scheiterten am Rechtsschutzbedürfnis

Für die begehrten Unterlassungstitel sah das Gericht hingegen keinen schutzwürdigen zusätzlichen Nutzen. Der Kläger konnte die Suchbarkeit anhand seiner Telefonnummer selbst beschränken und hatte dies nach eigener Darstellung bereits getan. Hinweise auf eine Missachtung dieser Einstellung gab es nicht. Auch eine Beschränkung der Verarbeitung auf Zwei-Faktor-Authentifizierung und Passwortwiederherstellung konnte er nach den festgestellten technischen Möglichkeiten selbst erreichen. Ein allgemeiner Hinweis der Betreiberin auf mögliche Verwendungszwecke belegte keine Verarbeitung unabhängig von den individuellen Einstellungen. Der Senat verlangte dabei gerade keine Löschung der Telefonnummer unter Verlust der Sicherheitsfunktionen. Über die grundsätzlichen unionsrechtlichen Fragen zu Datenschutz-Unterlassungsansprüchen musste er daher nicht entscheiden.

Kosten und Streitwert

Vorgerichtliche Rechtsanwaltskosten konnte der Kläger nach dem unbestrittenen Vortrag zum Übergang einer entsprechenden Forderung auf seinen Rechtsschutzversicherer nicht im eigenen Namen verlangen. Die Kosten beider Instanzen wurden ihm zu 82,9 Prozent und der Betreiberin zu 17,1 Prozent auferlegt. Den Streitwert setzte der Senat für beide Instanzen auf 3.500 Euro fest und reduzierte damit die erstinstanzliche Wertfestsetzung. Dabei bewertete er die eng zusammenhängenden Unterlassungsanträge insgesamt nur noch mit 1.500 Euro. Maßgeblich waren unter anderem der geringe konkret festgestellte Schaden, der lange zurückliegende Vorfall und die zwischenzeitliche Deaktivierung der beanstandeten Suchbarkeitsfunktion.