Datenscraping: Oldenburg verlangte zusätzliche Schäden – später stellte der BGH auf den Kontrollverlust selbst ab

Redaktionelle Zusammenfassung · 810 Wörter

Die Entscheidung erklärt

Ablehnung des Schadensersatzes beruhte auf einem später überholten Maßstab

Die Telefonnummer machte das Nutzerprofil für Dritte auffindbar

Der Senat ging davon aus, dass die Daten des Klägers 2019 abgeschöpft wurden und die Datenschutz-Grundverordnung zeitlich anwendbar war. Die Such- und Kontaktimportfunktion erlaubte es, Nutzerprofile anhand von Telefonnummern zu finden. Unbekannte Dritte konnten automatisch erzeugte Ziffernfolgen eingeben und durch Treffer eine Telefonnummer einem bestimmten Profil zuordnen. Dadurch wurden öffentliche Profildaten mit der Mobilfunknummer verbunden. Für den Senat lag bereits in dieser Bereitstellung eine Verarbeitung personenbezogener Daten. Er prüfte deshalb, auf welcher Rechtsgrundlage die Plattform die entsprechende Suchbarkeit ermöglicht hatte. Die Einstellung zur bloßen Sichtbarkeit einer Telefonnummer war dabei von der gesonderten Einstellung zur Auffindbarkeit des Profils zu unterscheiden.

Die Suchbarkeit war nach dem OLG nicht zur Vertragserfüllung erforderlich

Die Plattform berief sich darauf, dass die Vernetzung ihrer Nutzer zum Vertragszweck gehöre. Der Senat hielt die Suche über Telefonnummern hierfür jedoch nicht für unerlässlich. Nutzer konnten sich auch über Namen finden; die Telefonnummer war keine zwingende Pflichtangabe. Außerdem konnte die betreffende Einstellung verändert werden. Eine höhere Trefferwahrscheinlichkeit machte diese Art der Verarbeitung nach seiner Bewertung lediglich nützlich, nicht objektiv notwendig. Damit war die herangezogene Rechtsgrundlage aus Art. 6 Absatz 1 Buchstabe b DSGVO nicht dargelegt. Das Urteil verneinte folglich nicht die Bedeutung von Kontaktfunktionen für ein soziales Netzwerk, sondern die Erforderlichkeit gerade dieser konkreten Verarbeitung für die vertragliche Hauptleistung.

Unveränderte Voreinstellungen waren keine wirksame Einwilligung

Auch eine tragfähige Einwilligung sah der Senat nicht. Dass der Nutzer die voreingestellte Suchbarkeit für alle nicht geändert hatte, bedeutete keine aktive Zustimmung. Die akzeptierten Nutzungsbedingungen und verlinkten Informationen erläuterten die telefonnummernbezogene Suchfunktion nach seiner Prüfung nicht ausreichend transparent. Der Nutzer musste nach Auffassung des OLG zudem nicht damit rechnen, dass die Plattform datenschutzunfreundliche Voreinstellungen wählte. Sichtbarkeit und Suchbarkeit waren unterschiedliche Verarbeitungsvorgänge, deren Bedeutung nicht durch allgemeine Hinweise auf Privatsphäre-Einstellungen verständlich wurde. Auf dieser Grundlage stellte der Senat einen Verstoß fest. Weitere behauptete Datenschutzverstöße musste er für seine damalige Schadensentscheidung nicht abschließend untersuchen. Der Anspruch nach Art. 82 DSGVO sollte einen konkreten Schaden ausgleichen; eine zusätzliche Bestrafung der Plattform wegen der Zahl ihrer Verstöße war nicht sein Zweck.

Die persönliche Anhörung überzeugte den Senat nicht von zusätzlichen Ängsten

Der Kläger hatte Unwohlsein und Sorge vor einem möglichen Missbrauch seiner Daten behauptet. Das genügte nach dem OLG zunächst zur Darlegung einer denkbaren immateriellen Beeinträchtigung. Nach der persönlichen Anhörung hielt der Senat solche Ängste aber nicht für bewiesen. Er berücksichtigte insbesondere den gewonnenen Eindruck, die beibehaltene Telefonnummer und die Unsicherheit des Klägers über seine Suchbarkeitseinstellungen. Auch einen ursächlichen Zusammenhang zwischen dem Vorfall und geschilderten Spam-Anrufen oder Nachrichten sah er nicht als nachgewiesen an; die Nummer war ebenfalls bei anderen Diensten hinterlegt. Diese Würdigung erklärt die damalige Ablehnung zusätzlicher Folgen. Sie beantwortet nach dem späteren BGH-Maßstab nicht allein die Frage eines Schadens durch Kontrollverlust.

Weitere Anträge scheiterten an unterschiedlichen Voraussetzungen

Die Feststellung einer Ersatzpflicht für Zukunftsschäden lehnte das OLG mangels Feststellungsinteresses ab. Es erwartete bei dem für Betrugsnachrichten sensibilisierten Kläger keinen späteren Schaden. Einen auf allgemein ausreichende Sicherheitsmaßnahmen zielenden Unterlassungsantrag hielt es für unbestimmt, weil die konkret verlangten Maßnahmen unklar blieben. Ein weiteres Verarbeitungsverbot verneinte es wegen fehlenden Rechtsschutzbedürfnisses: Über die Suchfunktion sei der Kläger durch den Prozess inzwischen informiert. Der Auskunftsanspruch war nach seinen Feststellungen erfüllt; unbekannte Scraper konnten nicht benannt werden. Auch vorgerichtliche Anwaltskosten erhielt der Kläger nicht. Diese verschiedenen Begründungen dürfen nicht zu der pauschalen Aussage verkürzt werden, die Plattform habe insgesamt datenschutzkonform gehandelt.

Der BGH erkannte Kontrollverlust selbst als ersatzfähige Beeinträchtigung an

Die spätere BGH-Entscheidung VI ZR 10/24 betraf ein eigenständiges Revisionsverfahren aus Köln. Sie hob nicht das hier besprochene Oldenburger Urteil auf. Inhaltlich stellte der BGH jedoch klar, dass auch ein bloßer und kurzzeitiger Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann. Zusätzlicher Missbrauch, besondere Ängste oder weitere spürbare Folgen sind dafür nicht zwingend erforderlich. Der Kontrollverlust muss allerdings tatsächlich nachgewiesen werden; ein Datenschutzverstoß allein ersetzt diese Voraussetzung nicht. Weitergehende psychische Folgen können die Schadenshöhe erhöhen. Einen Betrag von etwa 100 Euro bezeichnete der BGH für einen vergleichbaren bloßen Kontrollverlust als mögliche Bemessung, nicht als garantierten Pauschalbetrag oder allgemeine Obergrenze.

Auch Zukunftsschäden und Antragsauslegung wurden später differenzierter beurteilt

Im Kölner Verfahren sah der BGH bei fortdauernder Veröffentlichung personenbezogener Daten eine ausreichende Möglichkeit künftiger Schäden. Einen Antrag gegen die Verarbeitung der Telefonnummer auf Grundlage unwirksamer Einwilligung legte er nach dem wirklichen Rechtsschutzziel aus; die Kenntnis der Funktion durch den Prozess machte ihn nicht sinnlos. Ein pauschaler Antrag auf technische Sicherheitsmaßnahmen blieb dagegen unbestimmt, und eine Auskunft über tatsächlich unbekannte Empfänger konnte nicht verlangt werden. Für Oldenburg hatte der Senat die Revision lediglich hinsichtlich des immateriellen Schadensersatzes zugelassen. Die spätere Leitentscheidung verändert somit die rechtliche Einordnung mehrerer Begründungsansätze, begründet aber keinen hier festgestellten nachträglichen Zahlungszuspruch an diesen Kläger.