LG München I, Urteil vom 29.11.2022, Az. 33 O 14776/19

Tenor

I. Die Beklagte wird verurteilt, es bei Vermeidung eines vom Gericht für jeden Fall der Zuwiderhandlung festzusetzenden Ordnungsgeldes von bis zu € 250.000,00, ersatzweise Ordnungshaft oder Ordnungshaft bis zu sechs Monaten, letztere zu vollziehen an ihrem Geschäftsführer, zu unterlassen, im Rahmen geschäftlicher Handlungen gegenüber Verbrauchern in Telemedien für die domainübergreifende Aufzeichnung und Auswertung des Nutzerverhaltens zu Analyse- und Marketingzwecken Informationen auf dem Endgerät des Nutzers zu speichern oder auf Informationen zuzugreifen, die bereits im Endgerät der Nutzer hinterlegt sind, sofern die Speicherung oder der Endgerätezugriff für den Betrieb der Website nicht unbedingt notwendig ist, ohne vor Beginn des Nutzungsvorgangs eine informierte und freiwillige Einwilligung der Nutzer für den Zugriff auf deren Endgeräte oder Endgeräteinformationen einzuholen, wenn dies geschieht wie in Anlage K 58 dargestellt.

[142 Abbildungen entfernt]

II. Im Übrigen wird die Klage abgewiesen

III. Die Kosten des Rechtsstreits tragen der Kläger zu ¾ und die Beklagte zu ¼.

IV. Das Urteil ist in Ziffer. I gegen Sicherheitsleistung in Höhe von 1.000.000,- Euro und wegen der Kosten gegen Sicherheitsleistung in Höhe von 110 % des jeweils zu vollstreckenden Betrages vorläufig vollstreckbar.

Tatbestand

Die Parteien streiten über die Vereinbarkeit einzelner Dienste des Online-Angebots der Beklagten mit dem Telekommunikation- Telemedien- Datenschutzgesetz (TTDSG).

Der Kläger ist ein eingetragener Verein zur Wahrnehmung von Verbraucherinteressen. Er ist der Dachverband aller […] und 26 […] Organisationen in Deutschland. Zu seinen satzungsmäßigen Aufgaben gehört es, die Interessen der Verbraucher durch Aufklärung und Beratung wahrzunehmen. Der Kläger ist in die Liste qualifizierter Einrichtungen im Sinne von § 4 UKlaG beim Bundesamt für Justiz eingetragen.

Die Beklage ist Anbieterin und Betreiberin der Webseite www.[seite1].de. Nach unbestritten gebliebenem Vortrag der Beklagten handelt sich dabei um das [...]. Die Beklagte stellt den Nutzern die auf der Seite vorgehaltenen Inhalte kostenfrei zur Verfügung. Sie finanziert ihr Online-Angebot allein durch Werbung. Die Beklagte nutzt dabei eine Software zur Verwaltung der Nutzerpräferenzen, eine sogenannte Consent Management Platform, kurz CMP. Diese entspricht den Vorgaben eines Branchenstandards mit der Bezeichnung „[Framework]“. Das [Framework] bietet die technische Infrastruktur für Abfrage und Übermittlung der Nutzereinwilligung zwischen Publishern, Werbungstreibenden, Vermarktern, Agenturen und den jeweiligen Technologiepartnern.

Bei Aufruf der Webseite www.[seite1].de erscheint die nachfolgend abgebildete erste Seite der CMP, mittels der eine Einwilligung der Nutzenden zur Anwendung von bestimmten Diensten abgefragt wird (vgl. Anlagen K 57, K 58, K 59):

[Abbildung entfernt]

Die von der Beklagten verwendete CMP ist dabei in mehreren Schichten aufgebaut, in denen verschiedene Dienste in Gruppen zusammengefasst werden.

Bei Aufruf der Website www.[seite1].de - und auch vor Interaktion mit der dort vorgehaltenen CMP- wird eine gewisse Zahl von Cookies auf dem Rechner des Nutzers gesetzt, wobei deren Anzahl, der Zeitpunkt der Setzung und deren Funktion zwischen den Parteien im Einzelnen umstritten ist.

Nach Abfrage der Nutzereinwilligung wird jedenfalls der sogenannte […] String, eine codierte Zeichenkette, durch die CMP auf dem Rechner des Nutzers gespeichert. Der […] String enthält zumindest die relevanten Informationen im Hinblick auf die Nutzereinwilligung, wobei dessen konkreter Inhalt im Einzelnen zwischen den Parteien ebenfalls umstritten ist. Er dient als Kommunikationsmittel innerhalb des „[Frameworks]“.

Nachdem der Kläger ursprünglich zu der zum Zeitpunkt der Klageeinreichung von der Beklagten verwendeten Datenschutzerklärung („Cookie-Banner“) und den auf der Webseite der Beklagten zu diesem Zeitpunkt genutzten Technologien vorgetragen hat (vgl. insbesondere die Klageschrift vom 23.10.2019, Bl. 1/40 d.A. sowie die Replik vom 30.06.2029, Bl. 145/222 d.A.), trug der Kläger zuletzt wie folgt vor:

Die Beklagte habe nach Klageeinreichung ihre Website dahingehend umgestellt, dass beim erstmaligen Aufruf der Website ein Cookie-Banner eingeblendet werde, der eine angeblich wirksame Einwilligung abfragen solle (Anlage K 57). Dieser umfasse 142 einzelne Bildschirmansichten (vgl. Gesamtausdruck Anlage K 58). Auf der ersten Schicht („1st Layer“) befände sich bereits keine Möglichkeit für Website- Besucher, die Zustimmung abzulehnen (Anlage K 59). Es stünden lediglich die Optionen „Akzeptieren“ und „Einstellungen“ zur Verfügung sowie Verlinkungen auf die Datenschutzerklärung sowie auf das Impressum der Beklagten:

[Abbildung entfernt]

Auf der zweiten Schicht gebe die Beklagte an, dass mehr als 100 Anbieter Informationen aus Endgeräten der Nutzer wie z.B. „Cookie-Informationen“ (Cookie ID) und „Gerätekennungen“ zu den dem Nutzer angezeigten Verarbeitungszwecken auf dem Endgerät speicherten und abriefen (Anlage K 60):

[Abbildung entfernt]

Unter der Überschrift „Anbieterübersicht“ gebe die Beklagte an, dass mehr als 100 Technologieanbieter Zugriff auf Endgeräteinformationen der Website-Besucher hätten (vgl. Gesamtausdruck, Anlage K 58). Außerdem würden bereits Schaltflächen für mehr als ein Dutzend Anbieter vorausgewählt und dem Nutzer eine Einwilligung zugeordnet, obwohl er tatsächlich keine bestätigende Handlung vorgenommen habe (Anlagen K 61, K 62).

Die Beklagte gebe auf der ersten Schicht der CMP lediglich unvollständig die Verarbeitungszwecke an. So würden lediglich die Verarbeitungszwecke „Informationen auf einem Gerät speichern und/oder abrufen“, „Personalisierte Anzeigen und Inhalte“, „Anzeigen- und Inhaltsmessungen, Erkenntnisse über Zielgruppen und Produktentwicklung“ sowie „Funktional, Analytik, Werbung (nicht […]-Anbieter), Soziale Medien und strikt erforderliche Cookies“ angezeigt. Besonders invasiv in die Grundrechte der Verbraucher eingreifende Verarbeitungszwecke würden dagegen erst auf der zweiten Schicht des Cookie-Banners nach weiteren Klicks und mehrfachem Scrollen angegeben. So sei nicht nur der Aufruf der Verlinkung „Einstellungen“ auf der ersten Schicht des Cookie-Banners erforderlich. Auf der zweiten Schicht sei sodann ein Klick auf den Link „Zusatzfunktionen“ notwendig. Erst nach diesen Schritten würden die weiteren besonders eingriffsintensiven Verarbeitungszwecke eingeblendet, wie z. B. „Zusammenführen mit Offline-Datenquellen“, d.h. Nutzerdaten aus Online-Quellen mit personenbezogenen Daten aus Offline-Quellen zusammenführen; außerdem werde unter der Rubrik „Zusatzfunktionen“ auf der zweiten Schicht des Cookie-Banners der Verarbeitungszweck „Verschiedene Geräte verknüpfen“, ebenfalls durch 80 Drittanbieter auch aus Drittstaaten außerhalb der Europäischen Union angezeigt. „Verschiedene Geräte verknüpfen“ bedeute, dass personenbezogene Daten, die über verschiedene Endgeräte (Desktop PC, Laptop, Smartphone, Tablet, Smart TV etc.) eines bestimmten Nutzers gesammelt worden seien, zusammengeführt würden. Eine Zustimmung für diese - unter der Rubrik „Zusatzfunktionen“ getarnten - besonders stark in die Grundrechte eines Verbrauchers eingreifenden Zwecke sei jedoch nicht erteilt worden. Es finde sich auch keine Information zu eben diesen Verarbeitungszwecken auf der ersten Schicht des Cookie-Banners der Beklagten, auf deren Grundlage Verbraucher in der Regel ihre Nutzerentscheidung treffen würden.

Der Kläger führt weiter aus, in der aktualisierten Datenschutzerklärung der Beklagten fehle es an gesetzlichen Pflichtangaben in Bezug auf eingesetzte Dienstleister wie z.B. die Angabe der Rechtsgrundlage oder die geeigneten oder angemessenen Garantien für einen Drittstaatentransfer, z.B. in die USA wie es bei dem Drittanbieter X1 der Fall sei (Anlage K 76). So informiere die Beklagte bereits unzutreffend über die Rechtsgrundlagen der Datenverarbeitung beim Tracking. Unter dem Gliederungspunkt „Tracking und Nutzungsanalyse“ informiere die Beklagte Website- Besucher darüber, dass kein Tracking, sprich die Aufzeichnung und Auswertung des Nutzerverhaltens, stattfinde, wenn der Nutzer keine Einwilligung erteilt habe (Anlage K 77). Dies sei tatsächlich nicht der Fall. Ferner würden unter der Rubrik „berechtigtes Interesse“ Zustimmungen suggeriert (Anlage K 78). Klicke man indes auf die Rubrik „Ihre Einwilligung“, werde für das Tracking angezeigt, dass keine Einwilligung erteilt worden sei, obwohl eine Zustimmung des Nutzers unter der Rubrik „berechtigte Interessen“ als erteilt angezeigt werde (Anlage K 79):

[Abbildung entfernt]

Die Nutzer würden über die einschlägige Rechtsgrundlage im Unklaren gelassen. Die „Datenschutzoptionen“ umfassten über 500 Einzelansichten.

Der Kläger führt weiter aus, die Beklagte binde im Quellcode ihrer Website JavaScripte, iframes, und Image-Pixel ein, die von Drittanbietern zur Verfügung gestellt werden würden, Datenverbindungen zu diesen öffneten und Tracking- Technologien auslösten. Über diese JavaScript-Tags oder iframes eines Drittanbieters (ein HTML-Element, das weitere HTML-Elemente eines Dritten in die aktuelle Seite einbinden könne) und Image-Pixel (1x1große Bild-Pixel im Hintergrund der Website) würden clientseitig (Endgerät des Nutzers) mittels Cookies, Browser- Fingerprinting-Verfahren, Auslesen des Local- und Session Storage sowie der IndexedDB-Datenbank Zugriffe auf Endgeräteressourcen über den verwendeten Browser des Nutzers ermöglicht, die eine Nachverfolgung und Auswertung des Nutzerverhaltens auf unterschiedlichen Websites (domainübergreifend) unterschiedlicher Anbieter und sogar auf unterschiedlichen Endgeräten erlaubten. Die Beklagte greife aufgrund der genannten Technologien auf den Web-Speicher im Browser eines jeden Website-Besuchers zu, im Konkreten im Web-Speicher des Browsers (Cookies und Endgeräte-Ressourcen wie Local- und SessionStorage und IndexedDB-Datenbanken). Dabei ermögliche die Beklagte aufgrund der Programmierung der Website, dass eine Vielzahl von Drittanbietern auf Informationen aus Endgeräten der Nutzer (z.B. die User ID, IP-Adresse, GPS-Daten und weitere Datenparameter wie Gerätekennungen und Browser-Informationen) mittels sog. HTTP-Transaktionen, sprich Drittanbieter-Server-Anfragen zugreifen bzw. Informationen in Endgeräten ablegen und auslesen könnten.

Der Kläger verweist im Übrigen auf seine Ausführungen in der Replik vom 30.06.2020 (Bl. 145/222 d.A.). Auf diese und die dortigen Anlagen wird auch im Rahmen des Tatbestands vollumfänglich Bezug genommen.

Weiter führt der Kläger aus, es sei im Rahmen einer Echtzeitanalyse der Netzwerkverbindungen (HTTP-Transaktionen) der Website der Beklagten mit Internet-Domänen am 05.01.2021 festgestellt worden, dass die Beklagte JavaScripte und iframes im Quellcode ihrer Website implementiert habe, die von Drittanbietern zur Verfügung gestellt würden und daher unter ihrer Domäne (www.[seite1].de) aufgrund von First Party-Cookies, Third-Party-Cookies und der Nutzung LocalStorage, SessionStorage und IndexedDB Endgeräteinformationen im Webspeicher des Browsers von Nutzern speichere oder auf Endgeräteinformationen zugreife. Die Echtzeitanalyse sei mithilfe der Konsole für Webentwickler des Standard-Browsers Firefox (Version 83.0, 64 Bit) mit einem handelsüblichen Desktop PC (Windows 10) vom Standort Leipzig durchgeführt worden. Der Browser sei zuvor bereinigt worden, indem vor Aufruf der Website der Beklagten alle Cookies und Website-Daten entfernt worden seien, die den Cache des Browsers belegt hätten (vgl. Teil-Ausdrucke Webspeicher des Browsers, Anlagen K 63, K 64, K 65). Ohne dass ein Nutzer mit dem Cookie-Banner der Beklagten interagiert habe, würden bereits neben knapp einem Dutzend anderer First-Party-Cookies auch X2 Cookies mit der Bezeichnung „_[…]“, „_[…]“ und „[…]“, die über frei zugängliche Tracker- Datenbanken unter www.[...].fyi und www.[...].me eindeutig den Webservern von X1 zugeordnet werden könnten, unter der Domäne „www.[seite1].de“ im Webspeicher des Browsers des Nutzers hinterlegt werden (Anlage K 66). Ebenso erfolgten ohne jedwede Interaktion mit dem Cookie-Banner ein Zugriff auf und eine Speicherung von Informationen aus Endgeräten über den Web-Speicher LocalStorage und den SessionStorage des Browsers des Nutzers (Anlage K 67).

Die User ID (Cookie ID) – eine einmalig vergebene und dem Website-Besucher zugewiesene Nummer – werde in den Cookies im Web-Speicher des Browsers im Endgerät gespeichert und stelle eine Endgeräteinformation dar. Bei jedem weiteren Aufruf der Website der Beklagten würden aufgrund der Cookies Endgerätezugriffe auf die IP-Adresse und User ID des Nutzers sowie auf folgende Informationen durch Drittanbieter ermöglicht werden:

- Nutzerverhalten (Interaktionen, festgelegte Ereignisse wie Aufruf einer bestimmten Seite),

- besuchte Webseiten/Umfelder, Browserinformationen, Standort-Informationen, Systemdaten,

- Geräteinformationen (z. B. Betriebssystem, Grafikkarte etc.), Views, Profildaten, UserAgent, IPAdresse,

- Mobile Identifier (Gerätetyp etc.), ggf. Mobile Werbe IDs ([...]),

- Browser Informationen: CSS-Informationen; JavaScript-Objekte (z. B. Dokument, Fenster, Bildschirm, Browser, Datum und Sprache); HTTP- Kopfdaten (z. B. Zahl der Informationsbits in der Benutzeragenten- Zeichenfolge (User-Agent-String), Abfolge im HTTPHeader, Variationen des HTTP-Headers je nach Art der Abfrage); Uhrzeitinformationen (z. B. Uhrabweichung und Zeitfehler); Variation des TCP-Stapels installierte Schriftarten;

- Informationen zu installierten Plug-ins (z. B. Angaben zu Konfiguration und Version);

- Verwendung interner Programmierschnittstellen (API/SDK), die über den Benutzeragenten/das Gerät zugänglich seien;

- Verwendung externer API von Webdiensten, mit denen der User Agent/das Gerät kommuniziere.

Im Rahmen der Echtzeitanalyse habe ferner beobachtet werden können, dass allein beim Aufruf der Startseite der Website www.[seite1].de und ohne Interaktion mit dem Cookie-Banner 40 HTTP Anfragen an 13 unterschiedliche Domains von Drittparteien versendet werden würden, sodass die Drittanbieter auf Endgeräteinformationen zugreifen könnten. Diese Drittparteien ließen sich Firmengruppen zuordnen (Anlage K 69). Die genaue Unternehmensbezeichnung könne der „Anbieterübersicht“ auf der zweiten Schicht des Cookie-Banners entnommen werden (vgl. Gesamtausdruck des Cookie-Banners, Anlage K 58). Diese Transaktionen ermöglichten es den Drittparteien, vielfältige Informationen über den Nutzer in Erfahrung zu bringen sowie den Nutzer mit individuellen Identifikationscodes (User ID/Cookie ID) zu markieren und später wiederzuerkennen – sowohl beim erneuten Besuch auf der Website www.[seite1].de als auch bei Besuchen auf anderen Websites. Zudem würden manche dieser Drittparteien versuchen, den Browser des Nutzers mit bestehenden digitalen Profilen aus anderen Quellen zu verknüpfen – über Plattformen, Geräte und Lebensbereiche hinweg. Die Transaktionen fänden im Kontext des Nutzer-Browsers statt, würden jedoch durch den Abruf von www.[seite1].de initiiert werden (Anlage K 69).

Ferner behauptet der Kläger, dass nach einer vermeintlichen Zustimmung der Nutzer First-Party-Cookies sowie Third-Party-Cookies von mindestens 18 fremden Domänen im Webspeicher des Browsers von Nutzern nebst User ID von der Beklagten gespeichert würden. Bei weiteren Aufrufen der Website der Beklagten erfolge ein Zugriff auf Endgeräteinformationen wie die IP-Adresse und User ID (Cookie ID) durch Drittanbieter (vgl. Teilausdruck des Web-Speichers im Browser, Anlage K 63). Die Beklagte löse darüber hinaus Zugriffe auf und Speicherungen von Endgeräteinformationen an über 18 fremde Domänen im Webspeicher des Browsers über den LocalStorage aus (vgl. Anlage K 64). Schließlich löse die Beklagte darüber hinaus Zugriffe auf und Speicherungen von Endgeräteinformationen an über 18 fremde Domänen im Webspeicher des Browsers über den SessionStorage aus (vgl. Anlage K 65).

Selbst in dem Fall, in dem der Nutzer ein Tracking mittels Cookies und ähnlichen Technologien ausdrücklich ablehne, würden bereits neben knapp einem Dutzend anderer First-Party-Cookies auch X2 Cookies mit der Bezeichnung „_[…]“, „_[…]“ und „[…]“, die über frei zugängliche Tracker- Datenbanken unter www.[...].fyi und www.[...].me eindeutig den Webservern von X1 zugeordnet werden könnten, unter der Domäne „www.[seite1].de“ im Webspeicher des Browsers des Nutzers hinterlegt werden (Anlage K 71). Allein beim Aufruf der Startseite der Website www.[seite1].de würden im Fall der Ablehnung einer Zustimmung auf dem Cookie-Banner 142 HTTP- Anfragen an 31 unterschiedliche Domains von Drittparteien versendet werden, sodass die Drittanbieter auf Endgeräteinformationen zugreifen könnten (vgl. Anlage K 74). Daneben würden Third-Party-Cookies des Werbenetzwerkes X3 im Webspeicher des Browsers des Nutzers abgelegt werden. Bei weiteren Aufrufen der Website der Beklagten würden etwa die User ID (Cookie ID) von X3 als Werte der Cookies neben der IP-Adresse an den Webserver von X3 mit der Domäne www. […].com übermittelt werden (vgl. Anlage K 71). Bei diesen Cookies handele es sich um persistente Cookies, die eine Nachverfolgung von Nutzern über einen ausgedehnten Zeitraum von mehreren Monaten und Jahren ermöglichten. So werde z.B. der X2-Cookie „_[…]“ auf den Endgeräten der Nutzer gespeichert und ermögliche bei jedem Aufruf der Website der Beklagten die streitgegenständliche Datenübermittlung an X1 und damit eine fortlaufende Profilbildung (vgl. Anlage K 71). Aufgrund der Einstellung zum „Cross-Domain- Tracking“ im X2-Account würden Nutzer über mehrere Websites hinweg verfolgt werden. Diese Funktion biete X1 auch für das Tracking von Nutzern mittels First-Party-Cookies an. Würden die gleichen Tracking-Codes auf beiden Websites eingebaut, könnten die Besucher auf den beiden Websites durch denselben Nutzer zu einem einzigen Besuch zusammengefügt werden. Um das Nutzungsverhalten websiteübergreifend nachzuverfolgen, müsse der Tracking-Code lediglich die Besuchererkennung aus einem URL-Parameter übernehmen: Auf der ersten Website werde die Besuchererkennung aus dem First-Party-Cookie ausgelesen und alle Links, die zur zweiten Website führten, als URL-Parameter angehängt und um den Zeitstempel des Besuchs ergänzt. Auf der zweiten Website erkenne der Tracking-Code die angehängte Besuchererkennung und übernehme diese für das Tracking-Cookie. Das Javascript von X1 „[…].js“, welches auch im Quellcode der Website der Beklagten implementiert sei, müsse dafür lediglich um die Funktion „[…]“ ergänzt werden. Die Beklagte habe das JavaScript zur Erweiterung von X2 ([…]) „[…].js“ zum domänenübergreifenden Tracking auch im Quellcode ihrer Webseite implementiert. Aufgrund dieses JavaScripts erfolge eine Serveranfrage auf jeder aufgerufenen Webseite, die einem First-Party-Cookie zugeschrieben werde und ermögliche deshalb eine domänen- und websiteübergreifende Nachverfolgung (Anlage K 84). Die Beklagte habe daneben u.a. den Tracking-Programmcode „[…]“ mit dem Zweck eines domainübergreifenden Trackings auf ihrer Seite eingebunden und konfiguriert.

Der Kläger behauptet ferner, es erfolge auch nach expliziter Ablehnung einer Einwilligung auf der zweiten Schicht des Cookie Banners ein Zugriff auf und eine Speicherung von Informationen aus Endgeräten über den Web- Speicher LocalStorage und des SessionStorage des Browsers des Nutzers.

Der Kläger trägt weiter vor, die Beklagte bediene sich bei der Vermietung von Werbeflächen der Funktion des sogenannten „Real Time Biddings“, mit der Werbeflächen auf der Webseite der Beklagten in Echtzeit an den höchstbietenden Werbetreibenden über die Werbenetzwerke von X1 und X3 automatisiert versteigert werden würden. Dabei würden die zuvor gesammelten Profilinformationen der Website-Besucher faktisch mitversteigert. Das Skript für das „Real-Time-Bidding“-System „[…]“ („[…]”) mit dem Namen “https:// […].js” mit der Domain https:// […].com von X1 sei in dem Quellcode der Website der Beklagten implementiert (Anlage K 9). Die gesammelten Informationen der Website-Besucher der Beklagten würden in eine "Gebotsanfrage" („Bid- Request“) aufgenommen, wenn ein Nutzer die Website der Beklagten besuche. Diese Informationen würden in das „Real-Time-Bidding“-Ökosystem, wie es von X1 ([…]) bereitgestellt werde, übertragen, sodass Werbetreibende auf passende Werbeanzeigen bieten könnten. Die Gebotsanfragen würden mithilfe von Cookies und ähnliche Technologien der Drittanbieter ermöglicht und enthielten personenbezogene Daten der Website- Besucher. Die Erfassung der Informationen der Website-Besucher, die Erstellung der Gebotsanfrage, die Versteigerung, das Bieten und Sichern der Werbefläche und die anschließende Präsentation der Werbung bei dem Website-Besucher erfolgten in Millisekunden. Dies ermögliche es dem meistbietenden Werbetreibenden, Einzelpersonen Anzeigen auf der Grundlage der über den Real-Time-Bidding- Prozess gesammelten Informationen zu präsentieren.

Mit jeder von der Beklagten ausgelösten Gebotsanfrage werde auch eine Kennung an Dritte versendet, die [...] genannt werde. Bei dem [...] handele es sich um eine eindeutige Kennung einer Person, die aufzeichne, welche Websites und Apps von ihr verwendet würden. Folgende Daten seien im [...] enthalten:

- eine ständige Aufzeichnung des exakten Zeitpunkts (bis auf eine Zehntelsekunde) und des Datums, zu dem der […] [...] über die betreffende Person erstmalig erstellt worden sei (dieser Zeitstempel sei mit hoher Wahrscheinlichkeit für jedes Individuum einzigartig);

- die Sprache der Person;

- das Land, in dem die betrachtete Website gehostet werde; die Optionen, die die Person in den […] Consent & Transparency Notices ausgewählt habe;

- die Version der Consent Management Plattform;

- der exakte Zeitpunkt (bis auf eine Zehntelsekunde) und das Datum, zu dem die Aufzeichnung das letzte Mal geändert worden sei. Dies ermögliche jedem, der Zugang zu dem [...] habe, neue Daten über die Person zu ergänzen.

Die endgerätebezogenen Informationen über den Nutzer in der Gebotsanfrage umfassten folgende Angaben von Nutzern: Zielgruppen- / Targeting IDs und die darin enthaltenen User-Matching IDs, IPAdresse, User ID, Standort-Informationen, Geo-ID, GPS-Daten, Browser-Informationen, Geräteinformationen (z.B. Betriebssystem und App-Name) sowie Mobile Werbe IDs ([...]) beim Aufruf mit einem Smartphone, Tablet oder SmartTV).

Der Kläger führt hierzu weiter aus, dass am 15.11.2021 um ca. 17:14 Uhr aufgrund der Integration der Tracking-Codes auf der Website der Beklagten www.[seite1].de im Rahmen einer Echtzeitanalyse mit einem handelsüblichen Desktop-PC (Windows 10, Browser: Chrome v95.0) beim Laden der URL im Hintergrund vom Browser des Klägers zwei Serveranfragen (https://[...]/v3) zur Abgabe einer Gebotsanfrage ausgesendet worden seien. Mit diesen Serveranfragen der Beklagten sei die X4, Inc. – als der von der Beklagten eingesetzte Ad „[...]“ (Online-Werbebörse) - aufgefordert worden, Gebotsanfragen an die Vielzahl von Unternehmen, die an ihren Auktionen teilnähmen, zu senden. Dabei werde mittels Cookies („Set-Cookie“) unter dem Namen „[...]“ von X4 auf Endgerätinformationen zugegriffen (vgl. Anlage K 81).

Die von der Beklagten am 15.11.2021 um 17:14 Uhr initiierte Serveranfrage (https:// [...]/v3) zur Aufforderung der Abgabe einer Gebotsanfrage durch die X4 Inc. habe alle für die Durchführung einer Real Time Bidding-Auktion erforderlichen Datenparameter des Klägers wie die User ID („[...]“), Cookie- Informationen zum Abgleich mit Drittanbieter- Plattformen (Matching ID), Angaben zu Browser-Einstellungen von Nutzern, Parameter für die Auktion sowie Serverinformationen enthalten. Die Serverantworten der X4 Inc. auf die von der Beklagten initiierte Serveranfrage (https:// [...]/ut) enthielten mehrfach klare Referenzen auf Real Time Bidding ([...])und Angaben zur Auktion („[...]“, „[...] ID“, d. h. Gewinner der Auktion), Creative-ID, zum gezahlten Entgelt (CMP = Cost per Mile), sowie zur gezahlten Währung („[...]“,“€“), vgl. Anlage K 82.

Daneben habe die Beklagte die Funktion „[...]" von X1 implementiert, durch die X1 während des „Real-Time-Bidding“-Prozesses mehrere Unternehmen einlade, weitere Profilbezeichnungen über eine Person auszutauschen, wenn sie eine Webseite laden würden. Die Beklagte habe das entsprechende X1-Skript auf ihrer Website implementiert und wirke an dem Datenaustausch auch über die X1 Domain für die Funktion [...] (https:// [...].com) mit (Anlage K 9). X1 [...] würden von einer X1-Domain (https:// [...].com) aus bedient und hätten alle den gleichen Namen, "[...].html". Jede Push-Seite sei durch einen Code von fast zweitausend Zeichen gekennzeichnet, den X1 am Ende hinzufüge, um die Person, über die X1 Informationen weitergebe, eindeutig zu identifizieren. Dies, in Kombination mit anderen von X1 bereitgestellten Cookies, ermögliche es Unternehmen, die Person pseudonym zu identifizieren, wenn dies sonst nicht möglich wäre. Alle Unternehmen, die von X1 zum Zugriff auf eine Push Page eingeladen werden würden, erhielten die gleiche Kennung für die zu profilierende Person. Dieser "[...]"-Identifikator ermögliche es ihnen, ihre Profile der Person zu vergleichen und sie könnten dann Profildaten miteinander austauschen (vgl. Anlage K 13).

Der Kläger ist der Auffassung,

er sei klagebefugt. Der Europäische Gerichtshof habe mit Urteil vom 28.04.2022 (C- 319/20 – App Zentrum = ZD 2022, 384 ff.) die Klagebefugnis des Klägers sowohl nach UKlaG als auch nach UWG bejaht.

Der Kläger meint, sämtliche von der Beklagten genutzten Tracking Technologien würden einem Einwilligungsvorbehalt unterliegen. Die Nutzung dieser Technologien ohne informierte und freiwillige Entscheidung des Nutzers sei daher rechtswidrig. Dies sei nach der EuGH-Entscheidung „Planet49“ zwischenzeitlich auch vom BGH mit Urteil vom 28.05.2020 (Az.: I ZR 7/16 – „Cookie-Einwilligung II“) bestätigt worden. Vorliegend finde aber eine Speicherung von und ein Zugriff auf Informationen aus Endgeräten durch die Beklagte und Drittanbieter zur domainübergreifenden Aufzeichnung und Auswertung des Nutzerverhaltens zu Analyse- und Marketingzwecken bereits dann statt, wenn der Nutzer entweder nicht mit dem Cookie-Banner der Beklagten interagiere oder explizit eine Zustimmung ablehne.

Im Übrigen sei der von der Beklagten vorgehaltene Einwilligungsmechanismus unwirksam, weil

- es an der Freiwilligkeit der Einwilligung fehle,

- keine Einwilligung „für den bestimmten Fall“ iSd Art. 4 Nr. 1 DSGVO gegeben

sei;

- keine unmissverständlich abgegebene Willensbekundung vorliege. Die von

der Beklagten gewählte Gestaltung sei eine faktische Voreinstellung des Einverständnisses.

So sei der von der Beklagten genutzte Standard „[...]“ der [...] ([…]) von der belgischen Datenschutzaufsichtsbehörde (Autorité de protection des donnée –Gegevensbeschermingsautoriteit, „APD-GBA“) für rechtswidrig erklärt und die Löschung der auf Basis dieses „Frameworks“ gewonnenen Daten angeordnet worden (vgl. [...]). Mit Verfügung vom Februar 2022 sei gegenüber der für den Standard mitverantwortlichen [...] entschieden worden, dass Verarbeitungen mittels des [...]-Strings gegen grundlegende Pflichten aus der DSGVO verstießen, insbesondere aufgrund der Komplexität der Verarbeitung nicht den Transparenzforderungen entsprächen, und entsprechende Verarbeitungen deshalb rechtswidrig seien.

Die APD-GBA habe entschieden,

- dass der [...]-String die Kriterien von Art. 4 Abs. 1 DSGVO erfülle und damit ein personenbezogenes Datum darstellt;

- alle an [...] teilnehmenden Organisationen als Joint Controller nach Art. 26 DSGVO für die durchgeführten Verarbeitungen des [...]-Strings sowie der auf Basis des [...]-Strings übermittelten personenbezogenen Daten verantwortlich seien,

- und damit gesamtschuldnerisch nach Art. 26 Abs. 3 DSGVO haften würden sowie

- dass der […]-Standard aufgrund der Komplexität der Verarbeitungen nicht mit den Transparenzforderungen der DSGVO in Einklang stehe.

Aufgrund der Abfrage einer Zustimmung und die gleichzeitige Berufung der Beklagten auf „berechtigte Interessen“ in Bezug auf ein und dieselben Tracking- Dienste liege auch eine Irreführung über die Rechte der Verbraucher nach § 5 Abs. 1 Nr. 7 UWG vor. Außerdem folge die Irreführung der Verbraucher bereits aus der Einholung einer unzureichenden Einwilligung.

§ 2 Abs. 1 S. 2 UKlaG erweitere den Adressatenkreis von Unterlassungsansprüchen bei der Zuwiderhandlung gegen Verbraucherschutzgesetze wie die DSGVO auf Mitarbeiter und Beauftragte. Vor dem Hintergrund der Entscheidung BGH GRUR 2009, 1167 ff. – Partnerprogramm sei ein Unterlassungsanspruch gegenüber der Beklagten nach § 2 Abs. 1, Abs. 2 Nr. 11 UKlaG sowie nach § 8 UWG bereits deshalb begründet, weil die von der Beklagten eingeschalteten Dritten selbst rechtswidrig handelten, denn die Beklagte habe diese Dritten zur Erweiterung ihrer Geschäftstätigkeit eingesetzt und die Ergebnisse der Datenverarbeitung dieser Dritten kämen der Beklagten zugute.

Der Kläger meint, die Beweislast für die Einhaltung der DSGVO liege bei der Beklagten als Verantwortliche. Denn aufgrund der ausdrücklichen Verweisung in § 25 Abs. 1 S. 2 TTDSG auf die Modalitäten der Einwilligung nach der DSGVO als lex generalis unterlägen Datenverarbeitungen nach TTDSG dem Rechenschaftsprinzip von Art. 5 Abs. 2 DSGVO. Demnach trage die Beklagte die volle Beweislast für die Rechtmäßigkeit ihrer Datenverarbeitung. Die Beklagte trage als Verantwortliche für das Setzen, Auslesen von bzw. Zugreifen auf Cookies sowie für andere Tracking-Technologien, die personenbezogene Daten an Dritte übermittelten, aufgrund der gesetzlich normierten Nachweispflichten die Darlegungs- und Beweislast in Bezug auf die gerügten Normen. Aufgrund der Rechtsfolgenverweisung gemäß Art. 5 Abs. 3 S. 1 ePrivacy-RL für die Anforderungen an eine wirksame Einwilligung sei somit nach wie vor auf die Beweislastregel in Art. 7 Abs. 1 DSGVO abzustellen. Im Übrigen werde die Beweislast für die Beklagte als (gemeinsam) Verantwortliche explizit in der Überschrift von Erwägungsgrund 42 DSGVO „Beweislast und Erfordernisse einer Einwilligung“ betont. Es sei für die Beklagte auch ohne Weiteres möglich, darzulegen und zu beweisen, dass keine Endgeräteinformationen von Website-Besuchern (Nutzern) zu Analyse- und Werbezwecken erfasst würden. Denn der Endgerätezugriff auf GPS-Daten, IP- Adressen, Cookie ID (User ID), Geräte und Browserinformationen des jeweiligen Nutzers durch die benannten Drittanbieter erfolge nur, weil die Beklagte aktiv und eigenständig Tracking-Codes und andere von den Drittanbietern bereitgestellte Tracking-Technologien in ihre Website einfüge. Es handele sich dabei um tatsächliche Umstände, die dem Einblick des Klägers entzogen seien. Nur die Beklagte wisse, welche Tracking-Codes von welchen Drittanbietern sie selbst in den Quellcode ihrer Website eingefügt habe.

Informationen über das Wesentliche einer Vereinbarung über die gemeinsame Verantwortlichkeit für die streitgegenständliche Verarbeitung i.S.d. Art. 26 Abs. 2 S. 2 DSGVO seien weder in der „Datenschutzerklärung“ noch in den dort verlinkten „Datenschutzoptionen“ zu finden (vgl. Anlage K 80). Es liege eine gemeinsame Verantwortlichkeit nach Art. 26 Abs. 1 S. 1 DSGVO vor, für die die besonderen Informationspflichten aus Art. 26 Abs. 2 S. 2 DSGVO zu erfüllen seien. Es liege eine gemeinsame Verantwortlichkeit zwischen einem Website-Betreiber und Tracking-Anbieter vor, wenn der Website-Betreiber den vom Tracking-Anbieter zur Verfügung gestellten Tracking Code (z. B. Image-Pixel, JavaScript oder iFrame) aktiv und eigenständig in seinen Quellcode der Website implementiere. Bereits die Ermöglichung, dass ein Dritter Cookies auf Endgeräten von Nutzern setze, begründe eine gemeinsame Verantwortlichkeit.

Der Kläger hat ursprünglich von der Beklagten Unterlassung begehrt,

gegenüber Verbrauchern in Telemedien für das Tracking von Nutzern zu Analyse- und Marketingzwecken Technologien einzusetzen, die personenbezogene Daten von Nutzern an Dritte übermitteln und dadurch das Verhalten von Nutzern websiteübergreifend nachverfolgen, ohne vor Beginn des Nutzungsvorgangs eine informierte und freiwillige Einwilligung der Nutzer für diese Verarbeitung einzuholen, wenn dies geschieht, wie in Anlagen K 14 und K 15 dargestellt und gegenüber Verbrauchern Telemedien anzubieten, ohne Nutzern zu Beginn des Nutzungsvorgangs Informationen, die sich auf die Verarbeitung personenbezogener Daten nach Antrag zu 1) beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, wenn dies geschieht, wie in Anlagen K 15 – K 21 dargestellt sowie im Falle gemeinsamer Verantwortlichkeit für die Verarbeitung personenbezogener Daten entgegen Art. 26 Abs. 2 S. 2 DSGVO das Wesentliche der Vereinbarung zwischen den gemeinsam für die Verarbeitung Verantwortlichen den Nutzern nicht zur Verfügung zu stellen, wenn dies geschieht, wie in Anlage K 21 dargestellt.

Der Kläger hat mit Schriftsätzen vom 25.09.2020 (Bl. 253/264 d.A.) und vom 11.01.2021 (Bl. 298/366 d.A.) die Klageanträge abgeändert und in der mündlichen Verhandlung am 23.11.2021 zudem den ursprünglich gestellten Antrag auf Kostenerstattung zurückgenommen.

Nachdem der Kläger die ursprünglich angekündigten Klageanträge auf Verstöße gegen die Datenschutzgrundverordnung gestützt hat (vgl. Schriftsatz vom 23.09.2020, Bl. 253/264 d.A.), hat er zuletzt in der mündlichen Verhandlung vom 12.07.2022 klargestellt, dass die zwischenzeitlich geänderten Klageanträge nunmehr ausschließlich auf § 25 TTDSG gestützt werden würden (vgl. Bl. 632 d.A.).

Der Kläger beantragt zuletzt:

Die Beklagte wird verurteilt, es bei Vermeidung eines vom Gericht für den Fall der Zuwiderhandlung festzusetzenden Ordnungsgeldes – ersatzweise Ordnungshaft- oder einer Ordnungshaft bis zu sechs Monaten, (Ordnungsgeld im Einzelfall höchstens 250.000,00 EUR, Ordnungshaft insgesamt höchstens zwei Jahre), zu vollziehen an ihrem gesetzlichen Vertreter, zu unterlassen, im Rahmen geschäftlicher Handlungen gegenüber Verbrauchern in Telemedien für die domainübergreifende Aufzeichnung und Auswertung des Nutzerverhaltens zu Analyse- und Marketingzwecken Informationen auf dem Endgerät des Nutzers zu speichern oder auf Informationen zuzugreifen, die bereits im Endgerät der Nutzer hinterlegt sind, sofern die Speicherung oder der Endgerätezugriff für den Betrieb der Website nicht unbedingt notwendig ist,

1. ohne vor Beginn des Nutzungsvorgangs eine informierte und freiwillige Einwilligung der Nutzer für den Zugriff auf deren Endgeräte oder Endgeräteinformationen einzuholen, wenn dies geschieht wie in Anlage K 58 dargestellt.

2. ohne den Nutzern zu Beginn des Nutzungsvorgangs Informationen über die Speicherung von Informationen oder über den Zugriff auf Informationen, die bereits im Endgerät der Nutzer hinterlegt sind, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, wenn dies geschieht wie in Anlagen K 76 und K 80 dargestellt.

3. im Falle gemeinsamer Verantwortlichkeit für die Speicherung von Informationen oder für den Zugriff auf Informationen, die bereits im Endgerät der Nutzer hinterlegt sind, entgegen Art. 26 Abs. 2 S. 2 DSGVO das Wesentliche der Vereinbarung zwischen gemeinsam für die Verarbeitung Verantwortlichen den Nutzern nicht zur Verfügung zu stellen, wenn dies geschieht wie in Anlagen K 76 und K 80 dargestellt.

Die Beklagte beantragt:

Klageabweisung.

Vorsorglich beantragt die Beklagte ferner (Bl. 496/499 d.A.), die Höhe einer etwaigen Sicherheit gem. § 709 S. 1 ZPO auf nicht unter eine Millionen Euro festzusetzen und der Beklagten nachzulassen, die Vollstreckung durch Sicherheitsleistung oder Hinterlegung ohne Rücksicht auf eine Sicherheitsleistung des Gläubigers abzuwenden, § 712 Abs. 1 S. 1 ZPO.

Die Beklagte trägt vor,

sie stelle mit der CMP ihren Nutzern eine Plattform zur Verwaltung ihrer Präferenzen zur Verfügung, die nach dem Branchenstandard [...] zertifiziert sei. Die hiergegen gerichteten Angriffe des Klägers seien unberechtigt. Die Aussage des Klägers, wonach der „vollständige Cookie-Banner“ auf der Website der Beklagten 142 einzelne Bildschirmansichten umfasse, sei irreführend. Es sei keineswegs so, dass die Nutzer 142 Bildschirmansichten zur Kenntnis nehmen müssten, um ihre Präferenzen einstellen zu können. Die CMP sei vielmehr nach dem allgemein anerkannten „layered approach“ so aufgebaut, dass die verschiedenen Dienste zu Gruppen zusammengefasst seien und lange Listen von Dienstleistern/Vendoren nur derjenige Nutzer durchscrollen müsse, der eine differenzierte Einzelentscheidung über die Zulassung treffen wolle. Es liege auf der Hand, dass dies nur sehr wenige seien. Bereits auf der ersten Ebene befände sich die explizite Angabe „Unter ‚Einstellungen‘ können Sie Ihre Einstellungen ändern oder die Datenverarbeitung ablehnen.“ Daher wüssten die Nutzer unmittelbar, dass unter „Einstellungen“ auch eine vollständige Ablehnung möglich sei. Wer davon Gebrauch machen wolle, könne ganz einfach auf „Einstellungen“ klicken. Weder die DSGVO noch die ePrivacy- Richtlinie enthielten eine Regelung dahingehend, dass ein „Ablehnen“ schon auf der ersten Ebene der CMP mittels eines eigenen Buttons möglich sein müsse. Einen entsprechenden Regelungsvorschlag des Bundesrats im Gesetzgebungsverfahrens für ein TTDSG (vgl. BT-Drs. 19/28396 S. 6) habe die Bundesregierung in ihrer Gegenäußerung abgelehnt Diese Zweistufigkeit sei inzwischen von den Internetnutzern „gelernt“. Mitnichten hätten auch alle aufgelisteten Technologieanbieter Zugriff auf Endgeräteinformationen der Website-Besucher. Vielmehr handele es sich hierbei nur um eine Auflistung derjenigen Anbieter, mit denen die Beklagte direkt oder indirekt zusammenarbeite und die daher potenziell Technologien auf der Website der Beklagten einsetzten. Bei jedem Seitenbesuch finde ein tatsächlicher Zugriff nur durch einen kleinen Teil der Anbieter statt. Dies werde in den bereitgestellten FAQs (vgl. Anlage B 17) ausführlich erklärt. Die Formulierung des Klägers, die aufgelisteten Technologieanbieter erhielten Zugriff auf „Endgeräteinformationen“ der Website-Besucher, erscheine ebenfalls irreführend. Es sei bei weitem nicht so, dass jeder Anbieter auf „alle möglichen“ Informationen zugreifen könne, die auf dem Endgerät des Nutzers gespeichert seien. Im Wesentlichen gehe es darum, dass der betreffende Anbieter auf ein von ihm selbst auf dem Nutzerrechner gesetztes Cookie oder – soweit vorhanden – eine Geräte-ID zugreifen könne. Dies ermögliche dem Anbieter ggf. eine Wiedererkennung – und kein Ausspionieren - des betreffenden Geräts. Die Behauptung des Klägers, in der „Anbieterübersicht“ (Anlage K 61) seien die Schaltflächen für mehr als ein Dutzend Anbieter vorausgewählt und dem Nutzer werde eine Einwilligung zugeordnet, obwohl er tatsächlich keine bestätigende Handlung vorgenommen habe, sei unwahr. In der von der Beklagten verwendeten CMP werde keinem Nutzer eine Einwilligung zugeordnet, obwohl er tatsächlich keine bestätigende Handlung vorgenommen habe. Die „Anbieterübersicht“ zeige nicht die erteilten Einwilligungen an, sondern alle über die CMP verwalteten Befugnisse. Dazu gehöre auch die Verarbeitung von Daten aufgrund berechtigter Interessen. Diese könne aktiv sein, ohne dass der Nutzer eingewilligt habe. Der Schieber stehe dann in der Regel auf einer Mittelstellung und zeige die Farbe gelb, um anzuzeigen, dass hier eine Entscheidung des Nutzers in Richtung „alles erlauben“ (= Einwilligung) ebenso möglich sei wie in Richtung „alles verbieten“ (= Widerspruch gegen Verarbeitung auf Basis berechtigten Interesses). Stehe der Schieber schon rechts (blau = alles erlaubt), dann liege dies daran, dass der betreffende Anbieter überhaupt keine einwilligungspflichtigen Handlungen vornehme.

Zum Hintergrund des […] String führt die Beklagte aus, dass - nachdem der „Consent“ abgefragt worden sei - sichergestellt werden müsse, dass Publisher, Werbetreibende und jede der angeschlossenen Technologieplattformen die Wünsche des Nutzers respektierten. Dazu diene der [...] String. Dieser werde durch die CMP auf dem Rechner des Nutzers gespeichert und bei erneutem Aufruf der Seite an sämtliche Anbieter in der Advertising-Wertschöpfungskette weitergereicht. Damit diene er als Kommunikationsmittel innerhalb des [...] Frameworks. Das […] biete eine technische Standard-Infrastruktur für die Abfrage und Übermittlung der Nutzereinwilligung zwischen Publishern, Werbungtreibenden, Vermarktern, Agenturen und ihren jeweiligen Technologiepartnern. Ziel dieses Frameworks sei es, zu standardisieren, wie Unternehmen weiterhin programmatische Werbung ausspielen könnten, ohne dabei gegen die DSGVO oder ePrivacy- Anforderungen zu verstoßen. Deshalb habe das [...] als Betreiber des […] eine Reihe von Standardzwecken definiert und führe eine Liste der registrierten Drittanbieter (sogenannte „Vendoren”) wie auch eine Liste der registrierten CMPs. Die Registrierung als Vendor erfolge über ein Bewerbungsverfahren. Diese müssten dabei die Zwecke der Datenverarbeitung und weitere Merkmale angeben. Diese müssten dabei auch den Link zu ihrer Datenschutzerklärung hinterlegen, welche wiederum DSGVO-konform sein müsse. CMPs müssten einen Validationstest durchlaufen, bevor ihnen ermöglicht werde, innerhalb des […] anerkannte Einwilligungssignale durch den […] String zu setzen. Alle Beteiligten an dieser komplexen Struktur müssten sich zur Einhaltung der […] Policies verpflichten. Dadurch seien u.a. die Formulierungen der möglichen Nutzereinwilligungen in Gestalt einzelner „Purposes“ (Zwecke) oder „Stacks“ (Zusammenfassungen mehrerer Zwecke) vorgegeben. Kein einzelner Beteiligter könne Änderungen an den vorgegebenen Abläufen oder Einwilligungsformulierungen vornehmen, ohne die wechselseitige Kommunikation und Anerkennung der Signale zu zerstören. Das Layout einer CMP, insbesondere deren Einteilung in unterschiedliche „Layer“, werde durch den CMP-Anbieter bestimmt.

Der [...] enthalte auch keinerlei Informationen darüber, welche Apps oder Websites ein Nutzer besucht habe. Deshalb ermögliche er entgegen der Behauptung des Klägers auch keinen Überblick über das Internetnutzungsverhalten der Betroffenen und keine sehr intimen Einsichten. In Wahrheit enthalte der [...] lediglich die Informationen, die erforderlich seien, um entsprechend den gesetzlichen Anforderungen die Erteilung und den Inhalt der vom Nutzer gegebenen Einwilligung feststellen und nachweisen zu können. Es sei auch klarzustellen, dass ein […] String erst dann im Speicher des Nutzerrechners abgelegt werde, wenn der Nutzer mit der CMP interagiere, also eine der Schaltflächen betätigt habe.

Es treffe schließlich nicht zu, dass „die streitgegenständlichen Datenübermittlungen“ auch erfolgten, wenn der Nutzer nicht mit der CMP interagiere und/oder keine bestätigende Handlung vorgenommen habe. Wichtig sei, dass an jede Domäne nur die Daten herausgegeben würden, deren Ablage in diesen Speicherbereichen sie ausgelöst habe. Es sei daher falsch, wenn der Kläger den Eindruck erwecke, es werde hier gewissermaßen das Scheunentor geöffnet, durch das Außenstehende plötzlich alle denkbaren Daten aus dem Browser des Nutzers abziehen könnten. Vorsorglich sei darauf hinzuweisen, dass im Fall von Drittinhalten bzw. Drittanbietertechnologien der Informationsaustausch unmittelbar zwischen dem Nutzerrechner und dem Server des Dritten stattfinde und die Beklagte insoweit auch nicht an der Speicherung oder dem Auslesen von Informationen auf dem Endgerät des Nutzers teilnehme. Die Behauptung des Klägers, wonach die Beklagte aufgrund von Third-Party-Cookies Endgeräteinformationen im Webspeicher des Browsers von Nutzern speichere, sei daher unsinnig und falsch. Es werde zudem mit Nichtwissen bestritten, dass der Browser, mit dem die als Anlagen K 63 bis K 65 vorgelegten Bildschirmdarstellungen erzeugt worden sei, zuvor bereinigt worden sei, indem vor Aufruf der Website der Beklagten alle Cookies und Website-Daten entfernt worden seien, die den Cache des Browsers belegen würden. Diese Aussage zeuge bereits vom technischen Unverständnis des Klägers. Denn Cookies, der Browserverlauf oder auch der Downloadverlauf würden nicht im sog. Cache des Browsers (also dem Zwischenspeicher) gespeichert. Der Cache spielt hier keine Rolle. Die Beklagte gehe davon aus, dass der auf den Screenshots angezeigte Speicher vor Aufruf der Website www.[seite1].de nicht (ordnungsgemäß) bereinigt bzw. geleert worden sei. Ein Bildschirmfoto des bereinigten Speichers werde nicht vorgelegt. Schon deshalb hätten die Ausdrucke keinerlei Beweiswert bezüglich des Inhalts des Web-Speichers. Richtigkeit und Aussagekraft der vorgelegten Bildschirmausdrucke würden vor dem Hintergrund der zahlreichen Interaktionen des Klägers mit www.[seite1].de bestritten. Es sei der Beklagten auch nicht möglich, nachträglich diese Rahmenbedingungen nachzustellen. Daher bestreite sie vorsorglich mit Nichtwissen, dass ein neu aufgesetzter Browser nach dem Besuch der Seite www. [seite1].de zu dem vom Kläger angegebenen Zeitpunkt den Web-Speicher-Inhalt gehabt hätte, den die von ihm vorgelegten Screenshots zeigten. Falsch sei auch die Behauptung des Klägers, durch die Beklagte werde bei First Party-Cookies domainübergreifend das Nutzerverhalten nachvollzogen und ausgewertet. Drittanbieter könnten bei First Party-Cookies nicht – wie der Kläger meine – auf Informationen aus Endgeräten von Nutzern zugreifen. An dem Beispiel der vom Kläger bemängelten First Party-Cookies mit den Bezeichnungen „_[…]“ und „_[…]“ könne man der Anlage K 66 entnehmen, dass den Cookies „_[…]“ und „_[...]“ nur eine Lebensdauer von max. 30 Minuten und bei „_[…]“ 24 Stunden zugemessen seien. Derart kurzlebige First Party-Cookies seien von vornherein ungeeignet, um die vom Kläger als Gefahr ausgemalte „Nachverfolgung über einen ausgedehnten Zeitraum und mehrere Domänen hinweg“ zu ermöglichen. Diese Cookies unterfielen auch bereits nicht dem Klageantrag.

Im Übrigen nutze die Beklagte über einen sog. Reseller als technisch notwendigen Dienst das Tool „[…]“ in einer modifizierten und eingeschränkten Version, wobei keine Daten mit X1 geteilt und auch keine Daten in die USA übermittelt werden würden. Die Beklagte übermittele insbesondere keinerlei Cookie- Daten wie die Cookie-ID an X1. Die Beklagte habe […] bewusst so aufgesetzt. So seien in der Version von […], die die Beklagte nutze, alle X1-Zusatzdienste wie […], […] etc. deaktiviert. Ein Cookie werde hierbei lediglich als eine Art Session-Cookie für die Analyse des Nutzverhaltens auf der eigenen Webseite der Beklagten verwendet. Dieses Cookie werde 30 Minuten nach Ende der Session/des Webseitenbesuchs gelöscht. Der Webserver der Beklagten kommuniziere lediglich mit X1-Servern, um die Datei […].js von dort zu beziehen. Daneben nutze die Beklagte die Funktion [...] und könne daher keine Daten zusammenführen.

Entgegen den Ausführungen des Klägers diene auch das JavaScript „[…].js“ in […] nicht zum domainübergreifenden Tracking. Tatsächlich sei „[…].js“ lediglich ein sog. Plugin (Zusatzprogramm), das die sog. [...] ermögliche. [...] verbessere die Genauigkeit der Nutzungsanalyse innerhalb einer Domäne durch die automatische Unterscheidung zwischen mehreren Links zur gleichen URL auf einer einzelnen Seite unter Verwendung von Linkelement-IDs. Hingegen ermögliche "[…].js“ kein domänen- oder websiteübergreifendes Tracking.

Hinsichtlich der vom Kläger weiter erwähnten Speicherinhalte der „Local Storage“ und „Session Storage“ werde von dem Kläger nicht einmal behauptet, dass es einen Zusammenhang mit der „domainübergreifenden Aufzeichnung und Auswertung des Nutzerverhaltens zu Analyse- und Marketingzwecken“ gebe. Bei den vom Kläger vorgetragenen http-Anfragen an Domains von Drittparteien gehe es noch nicht einmal um Cookies, sondern nur um den Aufruf etwa eines Dutzend Domains, von denen z.B. Inhalte über ein sog. Content Delivery Network bezogen würden ([…]), die die [...]-Reichweitenmessung ermöglichten ([…]), die Wetterinformationen beisteuerten ([…]) oder Ähnliches.

Dies falle auch bereits nicht unter den Antrag, da es schon am Element der domainübergreifenden Aufzeichnung und Auswertung des Nutzerverhaltens fehle.

Soweit der Kläger behaupte, die Beklagte würde nach „vermeintlicher“ Zustimmung der Nutzer Third Party-Cookies von mindestens 18 fremden Domänen im Webspeicher der Browser von Nutzern „nebst User-ID“ speichern, sei dies falsch und werde bestritten. Eine Speicherung von „Third Party-Cookies“ erfolge nicht durch die Beklagte als Inhaberin der Domäne www.[seite1].de, sondern durch die jeweilige Drittpartei. Die „Third Party Cookies“ im Browser des Nutzers seien für die Beklagte genauso fremd wie für jeden Außenstehenden. Sie könne diese weder setzen noch auslesen. Schließlich werde aber auch schon die Behauptung (mit Nichtwissen) bestritten, dass von allen in der Liste auf der linken Seite der Anlage K 63 aufgeführten Domänen ein Cookie gesetzt worden sei.

Zudem sei klarzustellen, dass allein die Abspeicherung eines „Cookies“ nicht auf eine Aufzeichnung oder Auswertung des Nutzerverhaltens zu Analyse- oder Marketingzwecken schließen lasse.

Der Kläger konkretisiere bereits nicht, welche (angebliche) Verletzungshandlung der Beklagten er eigentlich angreifen möchte. Insbesondere fehle jegliche Darlegung einer Speicherung von Informationen auf dem Endgerät des Nutzers oder eines Zugriffs auf Informationen, die bereits im Endgerät des Nutzers hinterlegt seien, zum Zweck der domainübergreifenden Aufzeichnung und Auswertung des Nutzerverhaltens zu Analyse- und Marketingzwecken durch die Beklagte. Der Kläger trage lediglich zu angeblichen Informationsspeicherungen auf Nutzerrechnern durch die Beklagte vor und erkläre „websiteübergreifendes ‚Cross-Domain-Tracking‘“ zum Gegenstand seines Antrags, aber er zeige nicht auf, dass die Beklagte solches betreibe.

Soweit der Kläger behaupte, bei der Versteigerung von Werbeflächen würden zuvor gesammelte Profilinformationen faktisch mit versteigert, sei dies unzutreffend. Bei dem sogenannten „Cookie-Matching“ bringe der Ersteigerer selbst die Profilinformationen mit und die Werbetechnologie ermögliche es lediglich dem Ersteigerer, eine diesem Nutzer zuzuordnende Adimpression zu erwerben. Die vom Kläger geschilderten Abläufe zum System der Echtzeitversteigerung („Real Time Bidding“ oder „RTB“) seien fehlerhaft. Jedenfalls würden sich alle dort geschilderten Abläufe außerhalb des Verantwortungs- und Einflussbereichs der Beklagten abspielen.

Bezüglich des vom Kläger dargestellten Beispiels einer Echtzeitversteigerung auf der Webseite der Beklagten führt die Beklagte u.a. aus, dass die Formulierung des Klägers, es werde „mittels Cookies („Set-Cookie“) unter dem Namen „[...]“ von […] auf Endgeräteinformationen zugegriffen“ insofern wenig Sinn ergebe, als Cookies hier als Instrument eines Endgerätezugriffs dargestellt würden, so als handele es sich bei ihnen um Software-Werkzeuge. In Wahrheit seien Cookies selbst die Information, die ggf. auf einem Endgerät gespeichert würden. Der allgemeinsprachlich verständliche Befehl „Set-Cookie“ (zu Deutsch: Setze Cookie) weise auch – entgegen der Darstellung des Klägers – gerade nicht auf einen Zugriff auf Endgeräteinformationen hin, sondern auf die Abspeicherung von Informationen auf dem Endgerät des Nutzers. Der Kläger erkläre auch in keiner Weise, welche Endgeräteinformationen angeblich an eine Vielzahl von Einkaufsplattformen „preisgegeben“ worden sein sollen. Der Kläger gebe auch nicht an, ob es sich um einen „bereinigten“ Browser gehandelt und/oder welche Cookie-Einstellungen er beim angeblichen Besuch der Website der Beklagten (oder zu einem früheren Zeitpunkt auf anderen besuchten Websites) vorgenommen habe.

Die Beklagte führt weiter aus, die Vorlage von Prüfprotokollen, in denen undifferenziert alle Cookies, Third Party Requests usw. aufgeführt würden, könne einen geordneten, auf den gestellten Antrag bezogenen Sachvortrag des Klägers nicht ersetzen. Es bleibe gänzlich im Unklaren, welche Prozesse nach Auffassung des Klägers unter den Klageantrag fielen. Die aufgeführten „First Party Cookies“ schieden bereits beim Kriterium „domainübergreifend“ aus. Bei den „Third Party Cookies“ fehle es definitionsgemäß an einer Speicherung von Informationen auf dem Endgerät des Nutzers durch die Beklagte. Die Beklagte lese diese Cookies auch nicht aus, greife also nicht auf Informationen zu. Auch bei den aufgelisteten „Drittanfragen“ fehle es an Vortrag, dass Informationen auf dem Endgerät des Nutzers gespeichert bzw. dass auf solche bereits gespeicherten Informationen durch die Beklagte zugegriffen würde. Falsch sei auch, dass bei Besuch der Webseite www.[...].de von der Beklagten Anfragen an die Anbieter von Tracking-Diensten nebst IP-Adressen versendet würden. Diese Anfragen sende der Nutzerrechner direkt, ohne Einschaltung des Webservers der Beklagten, und auch eine etwaige Cookie-Setzung oder andere Informationshinterlegung auf dem Nutzerrechner nach der Verbindungsherstellung erfolge durch den Drittanbieter direkt, ohne Beteiligung der Beklagten.

Bezüglich der von dem Kläger behaupteten Vorgänge am 15.11.2021 bestreitet die Beklagte u.a. mit Nichtwissen, dass in der angeblichen Serveranfrage „Cookie- Informationen zum Abgleich mit Drittanbieter-Plattformen (Matching ID)“ und/oder „Parameter für die Auktion“ und/oder „Serverinformationen“ enthalten gewesen seien. Der Wert des Cookies „[...]“ würde nach der allgemeinen Funktionsweise des HTTP-Protokolls mit einer Serveranfrage an den Server, der es zuvor gesetzt hat, zurückgegeben werden. Der Anlage K 81 sei allerdings nicht zu entnehmen, ob es eine solche vorangegangene Cookie-Setzung gegeben habe. „Angaben zu Browser- Einstellungen des Nutzers“ seien in gewissem Umfang Gegenstand jeder Kommunikation auf Basis des HTTP-Protokolls.

Die Beklagte habe auch nicht gezielt eine Funktion „[…]“ von X1 implementiert. Die von dem Kläger angegebene URL https:// […].com werde Seitenbetreibern von X1 schon seit langer Zeit zur Einbindung der sog. […]-Werbung vorgegeben. Diese URL habe - nach Kenntnis der Beklagten – mit der Funktion „[…]“ von X1 nichts zu tun. Die weiteren Schilderungen zu „[…]“ bestreitet die Beklagte: Hinter dieser Technik stehe das sog. „Cookie Matching“, das einem potenziellen Käufer von Werberaum ermögliche, die Informationen, die er bereits über einen Nutzer (Client) besitze, auch für Transaktionen über die Werbetechnologie von X1 zu verwenden (vgl. Beschreibung seitens X1, Anlage B 3). Der Parameter „[…]“ könne nicht zur Identifikation verwendet werden, weil er unter anderem einen Zeitstempel enthalte und daher jedes Mal anders laute, wenn ein Nutzer eine Webseite besuche. Jeder Parameter sei einzigartig. Hierdurch habe X1 die Möglichkeit ausgeschlossen, dass „[…]“ dazu verwendet werde, Daten von mehreren Käufern zusammenzuführen.

Die Beklagte wende auch kein Browser-Fingerprinting an, d.h. die Beklagte speichere keine „endgerätebezogenen Browserinformationen“ zur Erfassung des Nutzerverhaltens.

Bei […] ([…]) handele es sich um ein speziell für die Erstellung von Websites für mobile Endgeräte (v. a. Smartphones) entwickeltes Derivat von HTML (vgl. Anlage B 24). Auch die […]-Seite unter […].[seite1].de liege auf der Domain der Beklagten, nicht auf der Domain eines Dritten. Das Content Delivery Network „[…] Cache“ nutze die Beklagte nicht. Entgegen der Auffassung des Klägers sage das Format einer Seite ([…]oder non-[…]) nichts darüber aus, unter welcher Domain die Seite abrufbar sei.

Die Beklagte ist der Auffassung,

die vom Kläger vorgenommene Klageänderung sei unzulässig. Der Kläger stütze seinen Antrag nunmehr auf einen völlig neuen Klagegrund. Die fehlende Sachdienlichkeit der Klageänderung ergebe sich vorliegend insbesondere aus dem Umstand, dass durch die geänderte Klage im Ergebnis die „alte Sachlage“ anhand der „neuen Rechtslage“ erstrebt werden würde. Denn der bis zur Klageänderung von dem Kläger vorgebrachte Tatsachenstoff beziehe sich auf den Zeitraum vor der Entscheidung des BGH „Cookie-Einwilligung II“. Hieran sei aus prozessökonomischen Gründen kein legitimes Interesse anzuerkennen. Die Beklagte habe sich nunmehr auf die Änderungen der Sachlage eingestellt und verwende keines der früher üblichen „Cookie-Banner“ mehr.

Die Beklagte meint, der Kläger sei auch nicht aktivlegitimiert. Da er im vorliegenden Verfahren keine Verletzung datenschutzrechtlicher Vorschriften rüge, könne er seine Klagebefugnis auf § 2 Abs. 2 S. 1 Nr. 11 UKlaG stützen. Aus den ePrivacy- rechtlichen Bestimmungen (§ 15 Abs. 3 TMG in richtlinienkonformer Auslegung, § 25 TTDSG) lasse sich nicht ableiten, dass bei jeder Cookie-Setzung alle Informationspflichten der DSGVO (Art. 13, Art. 26 Abs. 2 Satz 2) erfüllt sein müssten. Es müssten lediglich die Informationen gegeben werden, die für eine informierte Einwilligung erforderlich seien. Der Kläger könne seine Klagebefugnis auch nicht auf § 25 TTDSG i.V.m. §§ 3a, 8 Abs. 1, Abs. 3 UWG stützen. § 25 TTDSG sei nicht als Marktverhaltensvorschrift einzuordnen. Eine Klagebefugnis lasse sich auch nicht aus § 5 Abs. 1 Satz 2 Nr. 7 UWG i.V.m. §§ 3, 8 Abs. 1, Abs. 3 UWG ableiten. Zunächst überzeuge bereits die Auffassung nicht, in jeder (vermeintlich) unzureichenden Einwilligungseinholung sei zugleich eine zur Täuschung geeignete Angabe i.S.d. § 5 Abs. 1 Nr. 7 UWG zu sehen. Dies könne jedoch dahinstehen, da bereits keiner der gestellten Anträge sich auf die Art und Weise der Einwilligungseinholung beziehe.

Die Klage erweise sich auch nach der Klageänderung aufgrund unbestimmter Klageanträge als unzulässig. Abstrakt-generelle Regelungen könnten nicht Grundlage eines gerichtlichen Verbots sein. Der Antrag sei auch deswegen zu weitgehend, da es nicht zwingend sei, dass bei einem domainübergreifenden Vorgehen ein Dritter beteiligt sei. Dies lasse unberücksichtigt, dass die Beklagte eine Mehrzahl von Informationsangeboten unter verschiedenen Domains betreibe. Der Antrag zu 1) lasse bereits nicht erkennen, aufgrund welcher technischen Vorgänge der Kläger die Tatbestandsvoraussetzungen der streitgegenständlichen Norm als erfüllt ansehe. Der Kläger wiederhole weitestgehend den Gesetzeswortlaut. Der Kläger habe sich auch nicht auf eine konkrete Verletzungsform bezogen, sondern lediglich auf eine sehr abstrakte Zweckbeschreibung. Auch die Angabe „zu Analyse- und Marketingzwecken“ sei unscharf.

Die Beklagte meint, die Klage sei im Übrigen auch nicht begründet. Es liege ein Fehlverständnis des Rechtsinstituts der sekundären Darlegungslast zugrunde, wenn der Kläger meine, er könne die von ihm beklagten Schwierigkeiten bei der Ermittlung des Sachverhalts, auf den er seine Ansprüche stützen möchte, auf die Beklagte abwälzen. Das Problem des Klägers liege in Wahrheit auch nicht darin, dass er keinen Einblick habe, was bei Besuch der Website der Beklagten passiere, sondern in seiner Weigerung, den Gegenstand seines Antrags zu konkretisieren. Allein schon deshalb sei es aber der Beklagten keinesfalls zumutbar, seine pauschalen Vorwürfe und Behauptungen durch detaillierte Darlegungen zu beantworten. Es sei für den Kläger auch kein Problem, die Cookie-Setzungen, die bei Besuch der Website der Beklagten zu einem bestimmten Zeitpunkt erfolgten, zu ermitteln und zu benennen. Es sei der Beklagten überdies technisch gar nicht möglich, abstrakt mitzuteilen, welche Cookies auf ihren Seiten zu welchen Zeitpunkten und zu welchen Zwecken tatsächlich gesetzt werden würden. Denn dies hänge von mehreren Faktoren ab, die weder vorhersehbar noch reproduzierbar seien. Die vom BGH für die sekundäre Darlegungslast aufgestellte Voraussetzung, dass „der Bestreitende alle wesentlichen Tatsachen kennt und es ihm unschwer möglich und zumutbar ist, nähere Angaben zu machen“, sei im Ergebnis nicht erfüllt. Der Nutzer einer Website könne Cookie- Setzungen feststellen – der Seitenbetreiber könne dies hingegen bei Third Party- Cookies nicht. Im Übrigen fehle es an dieser Zumutbarkeit auch deshalb, weil die Beklagte bei den „von den Drittanbietern bereitgestellten Tracking-Technologien“ gar nicht diejenige sei, die Informationen „auf dem Endgerät des Nutzers speichere oder auf Informationen zugreife, die bereits im Endgerät des Nutzers hinterlegt seien“.

Die Beklagte ist ferner der Auffassung, es sei falsch, dass die Beklagte Tracking- Technologien „unstreitig“ nutze, ohne dafür eine entsprechende Einwilligung einzuholen. Soweit eine Einwilligung erforderlich sei, werde diese auf der Seite der Beklagten auch wirksam eingeholt. Die Einwilligung erfolge freiwillig. Die Nutzer hätten die uneingeschränkte Möglichkeit, ihre Einwilligung zu verweigern. Die Einwilligung erfolge auch für den bestimmten Fall. So könnten Nutzer auch einfach alle Sponsoren ablehnen. Die Beklagte gebe ihren Nutzern sowohl die ausführliche Auswahlmöglichkeit als auch die einfache Zustimmungs- oder Ablehnungsmöglichkeit. Aus den gleichen Gründen liege auch eine „unmissverständlich abgegebene Willenserklärung“ vor. Die Wirksamkeit der Einwilligung werde auch nicht durch eine vermeintliche Irreführung der Nutzer in Frage gestellt. Der Kläger könne seine Argumente nicht aus der DSGVO ableiten, wenn er sich auf diese nicht mehr stütze. § 25 TTDSG statuiere keine eigenständigen Informationspflichten. § 25 Abs. 1 S. 2 TTDSG beziehe sich nur auf die Fälle des voranstehenden Satzes 1, also die Fälle in denen eine Einwilligung erforderlich sei. Bei den „unbedingt erforderlichen Cookies“ i.S.d. § 25 Abs. 2 Nr. 2 TTDSG bestünden dagegen keinerlei Informationspflichten. Die Übermittlung der für jede Kontaktaufnahme im Internet technisch notwendige Informationen stelle keinen Informationszugriff dar (unter Hinweis auf die „Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien ab dem 01.Dezember 2021, OH Telemedien 2021, vom 20.12.2021, Anlage B 23). In Bezug auf die IP-Adresse und die Browserinformationen fehle es an einem Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert seien.

Die Ausführungen des Klägers zum Verfahren der belgischen Aufsichtsbehörde (APD) über das […] und das […] seien nicht entscheidungserheblich für das vorliegende Verfahren. Dieses Verfahren habe für den vorliegenden Rechtsstreit schon aufgrund seines Gegenstands keine Relevanz. Es befasse sich nur mit datenschutzrechtlichen Fragen und insoweit auch spezifisch mit der Verantwortlichkeit des […] als Initiator des […]. Das Verfahren beziehe sich auch nur auf einen kleinen Ausschnitt aus den technischen Vorgängen, die vom Klageantrag des vorliegenden Verfahrens erfasst sein würden. Selbst wenn feststünde, dass das […] gegen Datenschutzbestimmungen verstoßen habe, ließe sich daraus nicht ableiten, dass die hiesige Beklagte unzulässige Informationsspeicherungen/-abrufe auf/aus Nutzerrechnern vorgenommen habe. Zwischen den in den beiden Verfahren entscheidungserheblichen Fragen bestehe auch keine Deckungsgleichheit. Insbesondere lasse sich der APD-Entscheidung nicht entnehmen, wie die große Bandbreite der vom Klageantrag erfassten Informationsspeicherungen/-abrufe unter dem Blickwinkel der ePrivacy-Richtlinie zu bewerten sei und ob die mittels der CMP der Beklagten eingeholten Einwilligungen wirksam seien. Im Übrigen sei die Entscheidung nicht rechtskräftig. Die Informationsverarbeitung in dem [...] sei jedenfalls zwingend zur Einwilligungsverwaltung erforderlich ist und daher jedenfalls – soweit überhaupt eine Verarbeitung personenbezogener Daten bzw. eine Informationsspeicherung in/Informationsauslesung aus dem Nutzerendgerät vorliege – gem. Art 6 Abs. 1 Buchst. f) bzw. § 25 Abs. 2 Nr. 2 TTDSG als zulässig anzusehen.

Wegen der weiteren Einzelheiten des Parteivorbringens wird auf die wechselseitigen Schriftsätze samt Anlagen sowie die Sitzungsniederschriften vom 23.11.2021 (Bl. 501/503 d.A.) und 12.07.2022 (Bl. 661/633 d.A.) Bezug genommen.

Mit Beschluss vom 23.11.2021 wurde das Passivrubrum von […] hin zu […] berichtigt (Bl. 501/503 d.A.). Aufgrund Beschlusses vom 12.07.2022 (Bl. 631/633 d.A.) wurden die Akten dem zuständigen […] Landesamt für Datenschutzaufsicht ([...]) zum Zwecke der Anhörung gem. § 12 a UKlaG zugeleitet. Dieses hat mit Schreiben vom 09.09.2022 Stellung genommen (Bl. 646/663 d.A.). Hierauf gingen nicht nachgelassene Schriftsätze der Beklagten vom 30.09.2022 (Bl. 665/666), vom 10.11.2022 (Bl. 672/693 d.A.) und vom 21.11.2022 (Bl. 694/698 d.A.) sowie des Klägers vom 06.10.2022 (Bl. 667/668 d.A.) ein.

Entscheidungsgründe