Scraping und konkrete Missbrauchssorgen: Nutzerin erhielt 250 Euro, musste aber die Prozesskosten tragen

Redaktionelle Zusammenfassung · 863 Wörter

Die Entscheidung erklärt

Nachvollziehbare Missbrauchssorgen begründeten 250 Euro Schadensersatz

Über die Suchfunktion wurden Telefonnummer und Profil miteinander verbunden

Die Plattform ermöglichte, Nutzerprofile anhand hinterlegter Mobilfunknummern zu finden. Dritte konnten automatisch erzeugte Nummernfolgen über die Such- und Kontaktimportfunktion mit vorhandenen Profilen abgleichen. Bei einem Treffer ließ sich die Nummer einer bestimmten Person zuordnen und mit deren öffentlichen Profildaten verbinden. Nach den zugrunde gelegten Umständen wurden die Daten der Klägerin 2019 abgeschöpft. Der Senat behandelte bereits das Bereitstellen über diese Funktion als Verarbeitung personenbezogener Daten. Dass eine Telefonnummer im Profil nicht öffentlich angezeigt werden sollte, bedeutete somit nicht zwangsläufig, dass das Profil über diese Nummer auch nicht gefunden werden konnte. Diese beiden Einstellungen erfüllten unterschiedliche Funktionen.

Vertragliche Nützlichkeit ersetzte keine datenschutzrechtliche Erforderlichkeit

Die Plattform rechtfertigte die Suchbarkeit mit dem Vertragszweck, Nutzer miteinander zu vernetzen. Nach Auffassung des OLG war die Verarbeitung der Telefonnummer dafür aber nicht objektiv unerlässlich. Eine Suche über Namen stand ebenfalls zur Verfügung. Die Telefonnummer gehörte nicht zu den notwendigen Registrierungsangaben, und die Nutzer konnten die Suchbarkeit einschränken. Eine bessere Trefferwahrscheinlichkeit genügte deshalb nicht für die behauptete Erforderlichkeit zur Vertragserfüllung. Die Beklagte hatte damit keine tragfähige Grundlage nach Art. 6 Absatz 1 Buchstabe b DSGVO dargelegt. Der Senat musste nicht entscheiden, ob sämtliche weiteren erhobenen Datenschutzvorwürfe ebenfalls zutrafen, weil die festgestellte rechtswidrige Verarbeitung den Anspruch bereits tragen konnte.

Eine Einwilligung ließ sich nicht aus unveränderten Einstellungen ableiten

Auch eine wirksame Zustimmung der Klägerin sah das Gericht nicht. Das Belassen der Voreinstellung auf Suchbarkeit für alle war keine aktive, eindeutige Einwilligung. Die allgemeinen Nutzungsbedingungen, die Datenrichtlinie und deren Verlinkungen machten die Bedeutung der telefonnummernbezogenen Suche nach Prüfung des Senats nicht hinreichend transparent. Zudem durfte die Klägerin auf datenschutzfreundliche Voreinstellungen vertrauen. Sie musste nicht ohne ausreichende Erläuterung erkennen, dass neben der Sichtbarkeit ihrer Nummer eine weitere Einstellung für die Auffindbarkeit ihres Profils maßgeblich war. Aus demselben Grund verneinte das OLG später auch ein anspruchsminderndes Mitverschulden wegen unterbliebener Änderungen dieser Voreinstellung.

Die persönliche Anhörung zeigte konkrete Belastungen im Alltag

Die Klägerin schilderte, dass sie das Abgreifen ihrer Nummer als unangenehm empfand und Angst vor einem Missbrauch hatte. Sie befürchtete insbesondere, versehentlich eine betrügerische Nachricht anzuklicken. Nach ihrer Darstellung war sie aufgrund eingenommener Medikamente zeitweise nicht vollständig konzentriert. Hinzu kam die Sorge, ihre Kinder könnten beim Benutzen ihres Telefons für Gespräche mit den Großeltern unabsichtlich Nachrichten öffnen. Sie beschrieb sich als generell ängstlich und berichtete von ADS. Der Senat würdigte diese Angaben zusammen mit seinem persönlichen Eindruck und war überzeugt, dass seit Kenntnis des Datenabgriffs tatsächlich entsprechende Sorgen bestanden. Er traf damit eine individuelle Beweiswürdigung, keine allgemeine medizinische Aussage.

Spam-Nachrichten und Sorgen wurden bei der Ursächlichkeit getrennt behandelt

Die Klägerin berichtete außerdem von Spam-Nachrichten und späteren unerwünschten Anrufen. Deren Verbindung mit gerade diesem Scraping-Vorfall konnte der Senat nicht feststellen, weil die Nummer auch bei anderen Diensten verwendet worden war. Dieser fehlende Nachweis schloss den Ersatzanspruch jedoch nicht insgesamt aus. Die Sorgen über einen möglichen Missbrauch knüpfte das Gericht an das tatsächlich festgestellte Abgreifen und die Veröffentlichung der verknüpften Daten an. Dafür war nicht zusätzlich erforderlich, einen bestimmten Betrugsversuch als unmittelbare Folge nachzuweisen. Die Beklagte hatte auch keine Umstände vorgetragen, die sie von ihrer Verantwortung für die rechtswidrige Verarbeitung hätten entlasten können.

Der Betrag sollte die konkrete Beeinträchtigung ausgleichen

Bei der Bemessung berücksichtigte das OLG, dass die Mobilfunknummer kein besonders sensibles, ihrer Funktion nach strikt geheim zu haltendes Datum war. Dass die Klägerin ihre Nummer bislang nicht gewechselt hatte, wertete es als Hinweis auf eine begrenzte Intensität ihrer Sorgen. Insgesamt hielt es 250 Euro für angemessen. Eine zusätzliche Bestrafung oder Abschreckung der Plattform sollte der Anspruch nach Art. 82 DSGVO nicht bewirken. Der Senat stellte deshalb auf den konkreten Nachteil ab, nicht auf die Zahl möglicher Verstöße. Zugleich erkannte er trotz des begrenzten Umfangs einen tatsächlichen immateriellen Schaden an; eine vollständige Ablehnung wegen bloßer Geringfügigkeit erfolgte nicht.

Weitere Anträge und Kosten blieben für die Klägerin ungünstig

Die Feststellung einer Ersatzpflicht für künftige Schäden lehnte der Senat ab, weil er bei der für Spam-Risiken sensibilisierten Klägerin keine entsprechende Entwicklung erwartete. Ein allgemein auf bessere Sicherheitsmaßnahmen zielender Unterlassungsantrag war ihm zu unbestimmt. Einen weiteren Antrag gegen die Verarbeitung ohne ausreichende Information sah er wegen der inzwischen durch den Prozess vermittelten Kenntnis als nicht rechtsschutzbedürftig an. Der Auskunftsanspruch war erfüllt; der Beklagten unbekannte Scraper musste sie nicht benennen. Trotz des zugesprochenen Teilbetrags trug die Klägerin sämtliche Prozesskosten. Den erstinstanzlichen Streitwert setzte das OLG auf 2.500 Euro fest; eine Revision ließ es nicht zu.

Die spätere BGH-Rechtsprechung erweitert die Einordnung

Am 18. November 2024 stellte der BGH in VI ZR 10/24 klar, dass bereits ein nachgewiesener Kontrollverlust einen immateriellen Schaden darstellen kann. Zusätzliche Ängste können die Höhe beeinflussen, sind aber nicht stets erforderlich. Die hier vom OLG offengelassene Grundsatzfrage ist deshalb inzwischen anders zu behandeln als eine bloße Frage zusätzlicher psychischer Folgen. Der BGH würdigte in jenem eigenständigen Kölner Verfahren außerdem das fortbestehende Risiko von Zukunftsschäden und legte einen Verarbeitungsunterlassungsantrag nach seinem wirklichen Ziel aus. Das relativiert entsprechende Ablehnungsansätze älterer Urteile. Eine Aufhebung dieses Oldenburger Urteils oder eine nachträgliche Änderung seiner konkret zugesprochenen 250 Euro folgt daraus jedoch nicht.