Scraping: 100 Euro für Kontrollverlust, unterschiedliche Ergebnisse bei Unterlassungsanträgen

Redaktioneller Kernsatz

Scraping: 100 Euro für Kontrollverlust, unterschiedliche Ergebnisse bei Unterlassungsanträgen

Redaktionelle Zusammenfassung · 814 Wörter

Die Entscheidung erklärt

Teilweiser Erfolg nach Datenabgriff

Maßgeblicher Datenabgriff im Jahr 2019

Der Vorfall war im April 2021 bekannt geworden. Für den Zugriff auf die Daten dieses Nutzers legte das Gericht jedoch das Jahr 2019 zugrunde. Das war nach den bindenden Feststellungen des landgerichtlichen Urteils in erster Instanz unstreitig gewesen. Die Beklagte konnte im Berufungsverfahren nicht erstmals mit dem bloßen Hinweis durchdringen, der gesamte Scraping-Sachverhalt könnte schon Anfang 2018 begonnen haben. Beim damaligen Kontaktimport konnten massenhaft eingegebene Telefonnummern mit Nutzerprofilen und deren öffentlichen Angaben verknüpft werden. Dass das Konto des Klägers betroffen war, blieb unstreitig. Der Streit über einzelne Inhalte seines vorgelegten Datensatzes, insbesondere den Arbeitgebernamen, änderte daran nichts.

Fehlende Sicherheit und datenschutzwidrige Voreinstellung

Der Senat sah mehrere Datenschutzpflichten verletzt. Zum einen hatte die Plattform keine hinreichenden Maßnahmen gegen den massenhaften Abgriff der Nutzerdaten getroffen. Zum anderen widersprach die standardmäßige Suchbarkeit eines Profils anhand der Telefonnummer durch alle Nutzer dem Grundsatz der Datenminimierung. Eine tragfähige Rechtsgrundlage für diese Verarbeitung hatte die Beklagte nicht dargelegt. Eine informierte, eindeutige Einwilligung in die betreffende Suchbarkeit lag nicht vor. Auch zur Vertragserfüllung war diese Funktion nicht objektiv unerlässlich. Nutzer konnten ihre Telefonnummer nach der Registrierung wieder entfernen und das Netzwerk trotzdem verwenden. Die Beklagte hatte außerdem nicht nachgewiesen, dass sie für die zum Schaden führenden Umstände in keinerlei Hinsicht verantwortlich war.

Kontrollverlust gerade an der Telefonnummer

Für den Schaden unterschied das Gericht zwischen der Mobilfunknummer und anderen Angaben. Name, Beruf und Arbeitgeber waren teilweise bereits öffentlich einsehbar, unter anderem in einem weiteren beruflichen Profil. Daraus folgte aber nicht, dass auch die Telefonnummer schon zuvor allgemein zugänglich gewesen war. Die Beklagte benannte keine konkrete frühere Veröffentlichung oder einen anderen vorausgegangenen Abgriff dieser Nummer. Ihr pauschales Bestreiten reichte deshalb nicht. Durch die Verknüpfung und Veröffentlichung hatte der Kläger die Kontrolle über die Nummer verloren. Diesen festgestellten Kontrollverlust wertete der Senat bereits für sich als immateriellen Schaden. Besondere Ängste oder psychische Beeinträchtigungen waren dafür keine zusätzliche Voraussetzung, hätten den Schaden aber vertiefen können.

Warum es bei 100 Euro blieb

Bei der Höhe berücksichtigte der Senat einerseits, dass eine Telefonnummer kein besonders sensibles Datum wie etwa eine Gesundheitsangabe ist und im Alltag regelmäßig weitergegeben wird. Andererseits war sie nun zusammen mit dem Namen einem unbegrenzten Personenkreis zugänglich; eine dauerhafte vollständige Entfernung aus dem Internet war nicht zu erwarten. Für diesen Kontrollverlust hielt er 100 Euro für einen vollständigen Ausgleich. Einen darüber hinausgehenden Schaden konnte er nicht sicher feststellen. In den Anhörungen hatte der Kläger keine besonderen Ängste oder Sorgen geschildert. Gehäufte Werbe- oder Betrugsanrufe und Nachrichten waren dem Vorfall nicht ausreichend zuzuordnen. Der Kläger datierte deren Beginn zudem auf 2019, während die Veröffentlichung erst 2021 erfolgt war.

Künftige Schäden und weggefallene technische Gefahr

Die Möglichkeit späterer missbräuchlicher oder betrügerischer Nutzung war gleichwohl nicht nur theoretisch. Deshalb hatte der Feststellungsantrag für künftige Schäden Erfolg, ohne dass bereits ein bestimmter weiterer Geldbetrag zugesprochen wurde. Anders entschied das Gericht über den auf konkrete technische Sicherheitsmaßnahmen bezogenen Unterlassungsantrag. Dessen neue Formulierung mit Hinweisen auf CAPTCHA-Abfragen, die Kontrolle massenhafter Zugriffe oder vergleichbare Vorkehrungen hielt es für ausreichend bestimmt. Es fehlte aber an Wiederholungsgefahr. Das Kontaktimportwerkzeug war so überarbeitet worden, dass es in seiner damaligen technischen Form nicht mehr bestand. Ein künftiger Datenabgriff auf anderem Weg wäre nach der Bewertung des Senats nicht ohne Weiteres eine im Kern gleiche Verletzung.

Weitergehende Verarbeitung der Nummer untersagt

Der zweite Unterlassungsantrag betraf die Nutzung der Telefonnummer auf Grundlage einer wegen unübersichtlicher und unvollständiger Information unwirksamen Einwilligung. Unter Einbeziehung des Klagevorbringens verstand der Senat ihn als Verbot einer Verarbeitung, die über die erforderliche Zwei-Faktor-Authentifizierung hinausging. Hier bestand die Wiederholungsgefahr fort. Informationen der Plattform deuteten weiterhin auf mögliche andere Verwendungen hin, etwa personalisierte Werbung; eine Rechtsgrundlage dafür war nicht ausreichend erläutert. Der Nutzer musste seine Nummer auch nicht einfach löschen und dadurch auf die zusätzliche Anmeldesicherung verzichten. Die Einstellung einer eingeschränkten Suchbarkeit genügte ebenfalls nicht, weil sie mögliche weitere Verarbeitungen nicht ausschloss. Der Anspruch folgte nach dem Urteil aus den Nebenpflichten des Nutzungsvertrags.

Weitere Anträge und Kosten

Die Berufung hinsichtlich eines ursprünglich verlangten Auskunftsanspruchs hatte der Kläger zurückgenommen. Vorgerichtliche Anwaltskosten wurden nicht erstattet. Zum einen fehlte ausreichender Vortrag dazu, ob ein gesonderter außergerichtlicher Auftrag und nicht bereits ein unbedingter Prozessauftrag erteilt worden war. Zum anderen erschienen weitere außergerichtliche Einigungsversuche angesichts der bekannten Ablehnung vergleichbarer Forderungen nicht erforderlich. Die Kosten beider Instanzen verteilte das Gericht zu 61 Prozent auf den Kläger und zu 39 Prozent auf die Beklagte. Die Revision ließ es nicht zu. Die zugesprochenen 100 Euro bilden eine konkrete Schadensbemessung dieses Falls; sie sind weder ein allgemeiner Mindestbetrag noch ein Beleg dafür, dass jeder Datenschutzverstoß ohne festgestellten Schaden entschädigt wird.