Gegenstand
Kein Schadensersatz aus Art. 82 DSGVO wegen "Scraping" von öffentlich zugänglichen Nutzerdaten
Tenor
1. Die Klage wird abgewiesen.
2. Die Kosten des Rechtsstreits hat der Kläger zu tragen.
3. Das Urteil ist vorläufig vollstreckbar. Der Kläger darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110% des aufgrund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110% des jeweils zu vollstreckenden Betrages leistet.
Tatbestand
Der Kläger macht Ansprüche wegen behaupteter Verstöße gegen die Datenschutzgrundverordnung ([X.]) geltend. Er ist Nutzer der [X.]; die Beklagte ist Anbieterin der selbigen auf dem Gebiet der [X.].
Im Rahmen der Registrierung gab der Kläger seinen Vornamen, Nachnamen, sein Geburtsdatum und Geschlecht an. Die Mitteilung einer Handynummer ist fakultativ, gleichwohl gab der Kläger auch diese an. Auf der Registrierungsseite fand sich noch folgender Passus: „Indem du auf Registrieren klickst, [...] stimmst du unseren Nutzungsbedingungen zu. In unserer Datenrichtlinie erfährst du, wie wir deine Daten erfassen, verwenden und teilen“. Für die weiteren Einzelheiten wird auf die Registrierungsabbildung ([X.]. 8 d.A.) Bezug genommen.
Die Datenverwendungsrichtlinien enthalten u.a. Angaben dazu, welche der vom Nutzer erteilten Informationen immer öffentlich zugänglich sind - nämlich Name, Profil- und Titelbilder, Netzwerke, Geschlecht, Nutzername und [X.] - und die Angabe, dass öffentlich zugängliche Informationen jeder, also auch Personen außerhalb von der Plattform der [X.], sehen kann.
Die Beklagte stellt ihren Nutzern der Plattform Erklärungen, was öffentliche Informationen sind und welche Informationen öffentlich sind, wie der Nutzer festlegen kann, wer die von ihm über die öffentlichen Informationen hinaus bereitgestellten Informationen sehen kann (sog. Zielgruppenauswahl) und wer ihn anhand seiner E-Mail-Adresse oder seiner Telefonnummer, sofern er E-Mail-Adresse bzw. Telefonnummer auf der Plattform bereitgestellt hat, finden kann (sog. [X.]), zur Verfügung. Trifft der Nutzer keine Zielgruppenauswahl, richtet sich die Zugänglichkeit seiner über die öffentlichen Informationen hinausgehenden Informationen nach der Standardeinstellung, wonach Freunde des Nutzers die weiteren Informationen einsehen können. Passt der Nutzer die [X.] nicht an, sieht die Standardeinstellung vor, dass alle Personen, die über die E-Mail-Adresse oder die Telefonnummer des Nutzers verfügen, das Profil des Nutzers, sofern dieser E-Mail-Adresse bzw. Telefonnummer bereitgestellt hat, finden. Der Kläger hatte zum [X.]punkt des [X.] bei den [X.]en keine Änderung vorgenommen, sodass die Standardeinstellung aktiv war.
In der [X.] von Januar 2018 bis September 2019 sammelten Dritte unter Nutzung automatisierter Verfahren eine Vielzahl der auf der Plattform der [X.] verfügbaren öffentlichen Informationen (sog. Scraping). Darüber hinaus erstellten die [X.] Listen mit möglichen Telefonnummern und luden diese in den [X.] der Plattform hoch, um festzustellen, ob die hochgeladenen Telefonnummern mit einem Konto eines Nutzers verbunden sind. Der [X.] gab, sofern eine der hochgeladenen Telefonnummern mit dem Konto eines Nutzers, der seine Telefonnummer bereitgestellt und die Standard-[X.] nicht geändert hatte, verknüpft war, diese Information, also den Umstand der Verknüpfung von Telefonnummer und Konto, an die [X.]. Die [X.] fügten sodann den öffentlich zugänglichen Informationen aus dem betreffenden Profil des Nutzers die mit dem Konto verknüpfte Telefonnummer hinzu.
Im April 2021 wurden die gescrapten Datensätze von über 500 Mio. Nutzern sowie die mit diesen Datensätzen verknüpften Telefonnummern frei zum Download bereitgestellt. Hierzu gehörten auch die immer öffentlich zugänglichen Informationen des Profils des [X.] und die mit seinem Konto verknüpfte Telefonnummer.
Der Kläger verlangte über seine Prozessbevollmächtigten zunächst Auskunft über die dem Kläger bei der Plattform der [X.] betreffenden Daten. Mit Schreiben vom 18.07.2022 übermittelten die Prozessbevollmächtigten der [X.] dem Prozessbevollmächtigten des [X.] eine dezidierte Anleitung zur Einsichtnahme in seine bei der Plattform der [X.] hinterlegten Informationen und deren Verwendung. Für die diesbezüglichen Einzelheiten wird auf die die Anlage [X.] Bezug genommen (Anlage [X.] zum Schriftsatz vom 21.09.2022, Schriftsatz vom 18.07.2022 dort [X.]. 7).
Der Kläger behauptet, die Beklagte habe keinerlei Sicherheitsvorkehrungen getroffen, um ein Abgreifen seiner Daten zu verhindern. Auch habe man keine Maßnahmen getroffen, die automatisierten Nummernabfragen z.B. mittels Sicherheitscaptcha zu verhindern. Dass eine automatisierte Massenabfrage möglich war, stelle eine Sicherheitslücke dar, für die die Beklagte einzustehen habe.
Der Kläger habe einen erheblichen Kontrollverlust über seine Daten erlitten. Er leide unter großem Unwohlsein und Sorgen, da er einen Missbrauch befürchte.
Der Kläger beantragt mit seiner der [X.] am 04.07.2022 zugestellten Klage:
1. die Beklagte wird verurteilt, an die [X.]eite immateriellen Schadensersatz in angemessener Höhe zu zahlen, dessen Höhe in das [X.] Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 [X.] nebst Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.
2. Nur für den Fall, dass dem Klageantrag zu 1) stattgegeben wird, wird festgestellt, dass die Beklagte dem Grunde nach verpflichtet ist, der [X.]eite auch alle künftigen Schäden zu ersetzen, die der [X.]eite durch den unbefugten Zugriff Dritter auf das Datenarchiv der [X.], der nach Aussage der [X.] erfolgte, entstanden sind und/oder noch entstehen werden.
3. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 [X.], ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckenden Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen,
a. personenbezogene Daten der [X.]eite, namentlich Telefonnummer, [...]ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern,
b. die Telefonnummer der [X.]eite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf „privat“ noch durch Verwendung des [X.] verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert und, im Falle der Nutzung der [...]-App, hier ebenfalls explizit die Berechtigung verweigert wird,
4. Die Beklagte wird verurteilt, der [X.]eite Auskunft über die [X.]eite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empfänger zu welchem [X.]punkt bei der [X.] durch Scraping oder durch Anwendung des [X.] erlangt werden konnten,
5. Die Beklagte wird verurteilt, an die [X.]eite vorgerichtliche Rechtsanwaltskosten in Höhe von 354,62 Euro zu zahlen zuzüglich Zinsen seit Rechtshängigkeit in Höhe von fünf Prozentpunkten über dem Basiszinssatz.
Die Beklagte beantragt,
die Klage abzuweisen.
Die Beklagte meint, das Scraping stelle keinen Datenschutzverstoß dar. Es fehle an einer Verletzung der Sicherheit, da „lediglich“ öffentlich zugängliche Profilinformationen des [X.] abgerufen und auch keine spezifischen Sicherheitsmaßnahmen oder Zugriffsberechtigungen umgangen oder überwunden wurden. Eine unbefugte Offenlegung von oder Zugang zu den klägerischen Daten sei nicht gegeben. Der [X.] könne zudem keine Sicherheitslücke zur Last gelegt werden, da die hergestellte Verknüpfung zwischen der Telefonnummer des [X.] und seinem Nutzerkonto lediglich auf die seinerzeitige [X.] des [X.] zurückzuführen ist. Die Beklagte behauptet zudem, dass sie nicht imstande sei, die Empfänger der „gescrapten“ Daten mitzuteilen.
Entscheidungsgründe
1. Die Klage ist zulässig.
Der Klageantrag zu 1. ist - entgegen der Ansicht der Beklagten - hinreichend im Sinne des § 253 Abs. 2 Nr. 2 ZPO bestimmt. Grundsätzlich ist ein Klageantrag hinreichend bestimmt, wenn er den erhobenen Anspruch durch Bezifferung oder gegenständliche Beschreibung so konkret bezeichnet, dass der Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308) klar abgegrenzt ist, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322) erkennbar sind, das Risiko des (eventuellen teilweisen) Unterliegens des [X.] nicht durch vermeidbare Ungenauigkeit auf den Beklagten abgewälzt und eine etwaige Zwangsvollstreckung nicht mit einer Fortsetzung des Streits im Vollstreckungsverfahren belastet wird. Der Klageantrag ist der Auslegung zugänglich, wobei dafür auch die Klagebegründung heranzuziehen ist (vgl. [X.] § 253 Rn. 13 m.w.[X.]). Aus der Klagebegründung ergibt sich, dass der [X.] sich auf einen zusammenhängenden, wenngleich über einen längeren Zeitraum erstreckenden, aber in sich abgeschlossenen Lebenssachverhalt stützt. Von der Anmeldung des [X.] auf der Plattform der Beklagten bis zu dem Abgriff einiger persönlicher Daten des [X.] (Scraping) bzw. der möglicherweise nicht ausreichenden Benachrichtigung der betroffenen Nutzer.
Auch der Klageantrag zu Ziffer 3. weist die erforderliche Bestimmtheit auf. Eine auslegungsbedürftige Antragsformulierung ist dann hinzunehmen, wenn dies zur Gewährleistung eines effektiven Rechtsschutzes erforderlich ist, mithin die [X.]eite ihren Antrag nicht konkreter fassen (vgl. nur [X.], 422). Dies ist nach Auffassung des Gerichts der Fall. Selbst bei einer Benennung derzeitiger technischer Schutzvorkehrungen würde dies in Anbetracht der technischen Weiterentwicklung alsbald dazu führen, dass die aktuellen Vorkehrungen veralten, sodass der Kläger erneut klagen müsste. Dies stünde einem effektiven Rechtsschutz entgegen.
2. Die Klage ist jedoch vollumfänglich unbegründet.
a. Dem Kläger steht kein Anspruch auf Zahlung eines immateriellen Schadensersatzes gemäß Art. 82 Abs. 1 [X.] zu. Diesbezüglich ist es dem Kläger nicht gelungen, den Eintritt eines (eigenen) Schadens als überwiegend wahrscheinlich (§ 287 ZPO) nachzuweisen. Nach dem ausdrücklichen Wortlaut der Vorschrift muss der Schaden „erlitten“ werden, woraus sich ergibt, dass dieser tatsächlich entstanden sein muss und nicht lediglich befürchtet wird (so auch [X.] 2022, 4491). Zwar ist der Begriff des Schadens nach dem Erwägungsgrund 146 S. 3 weit auszulegen, sodass die Betroffenen einen wirksamen Ersatz bekommen; nach Auffassung der Kammer reicht jedoch ein bloßer Verstoß gegen Vorschriften der [X.] nicht aus, um (immateriellen) Schadensersatz verlangen zu können. Es bedarf vielmehr der Darlegung eines konkreten (auch immateriellen) Schadens (vgl. auch [X.] 2022, 4491). Allerdings ist es nicht erforderlich, dass der eingetretene Schaden erheblich ist; mithin sind auch Bagatellschäden ersatzfähig.
Das Vorliegen eines konkreten, immateriellen Schadens, wozu auch Ängste, Sorgen, Stress sowie Komfort- und Zeiteinbußen zählen, hat der Kläger nicht hinreichend dargetan. Er hat zwar im Rahmen der Klageschrift ausführen lassen, dass er einen erheblichen Kontrollverlust über seine Daten erlitten habe und deshalb unter großem Unwohlsein und Sorgen leide sowie einen Missbrauch befürchte; der Anordnung zum persönlichen Erscheinen (zur Sachverhaltsaufklärung) ist er gleichwohl nicht nachgekommen, was das Gericht frei zu würdigen hatte. Letztlich kann die Kammer nicht mit hinreichender Wahrscheinlichkeit davonausgehen, dass der Kläger unter den in der Klageschrift beschriebenen Ängsten und Sorgen tatsächlich leidet. Dagegen spricht bereits der Umstand, dass es sich bei den „gescrapten“ Daten des [X.] mit - Ausnahme der Mobilfunknummer - um Daten handelt, die immer (!) öffentlich sind. Es ist diesen Daten gerade immanent, dass sie jedem und jederzeit zugänglich zu sind. Auf diesen Umstand weist die Beklagte ihre Nutzer auch ausdrücklich hin, sodass es für die Kammer nicht nachvollziehbar ist, weshalb eine „weitere Veröffentlichung“ dieser Daten, bei dem Kläger zu einem unguten Gefühl geführt haben sollte. Dagegen spricht weiterhin der Umstand, dass es sich offensichtlich um eine standardisierte Klageschrift handelt, die für eine Vielzahl von betroffenen Nutzern eingereicht wird. So ist beispielsweise vorgetragen, dass sich der hiesige Kläger aufgrund des Vorfalles mit betrügerischen E-Mails auseinandersetzen müsse, obwohl die E-Mailadresse - nach dem Vortrag der [X.]eite (Schriftsatz vom 05.10.2022 Bl. 11) - gar nicht „gescrapt“ worden ist; sprich seine E-Mailadresse durch den Vorfall überhaupt nicht öffentlich verbreitet worden ist. Ebenso kann die Kammer keinen konkreten immateriellen Schaden aus der Veröffentlichung der Mobilfunknummer ersehen. Erhebliche Zweifel an dem in der Klageschrift vorgetragenem Gemütszustand des [X.] ergeben sich für das Gericht diesbezüglich bereits aus dem Umstand, dass die Eingabe der Mobilfunknummer freiwillig erfolgte, mithin für die Registrierung nicht erforderlich ist. Dass der Kläger diese gleichwohl trotzdem angab, spricht eher dafür, dass er kein besonderes Interesse daran hatte, die Möglichkeit einer Verbreitung seiner Mobilfunknummer zu kontrollieren; zumal auch diesbezüglich die Beklagte in ihren Einstellungen entsprechende Einschränkungsmöglichkeiten bereithält. Ein anderes Bild hätte sich lediglich im Rahmen seiner persönlichen Anhörung ergeben können.
Aufgrund der vorgenannten Ausführungen kam es auf die Frage, ob und inwieweit die Beklagte gegen die [X.] verstoßen hat, nicht an.
b. Über den Klageantrag zu Ziffer 2. hatte das Gericht nicht zu entscheiden, da die innerprozessuale Bedingung nicht eingetreten ist.
c. Der Kläger hat auch keinen Unterlassungsanspruch gegen die Beklagte gemäß §§ 1004 analog, 823 Abs. 2 BGB i.V.m. Art. 6 Abs. 1 sowie Art. 17 [X.]. Eine Zuwiderhandlung der Beklagten ist weder zu erkennen, noch für die Zukunft zu befürchten.
Nach den Ausführungen des [X.] (Schriftsatz vom 05.10.2022 Bl. 11) sind - mit Ausnahme der Mobilfunknummer - lediglich Daten abgegriffen und weiter veröffentlich worden, die ohnehin immer öffentlich sind. Dass die Daten veröffentlicht werden dürfen, hat der Kläger im Rahmen seiner Registrierung zugestimmt. Dass es keinen Anspruch auf Schutz vor Veröffentlichung von bereits öffentlichen Daten gibt, versteht sich von selbst. Dass die Beklagte die Telefonnummer des [X.] Dritten zugänglich gemacht hat, behauptet der Kläger schon nicht (Antrag 3 a). Was die Unterlassung einer Verwendung der Telefonnummer anbelangt, liegt es jederzeit in der Hand des [X.], dies in den Einstellungen zu verändern. Dass die Beklagte entgegen der von einem Nutzer getroffenen Einstellungen Telefonnummern freigibt oder anderweitig nutzt, hat der Kläger schon nicht behauptet.
d. Der Kläger hat auch keinen Anspruch auf eine weitergehende Auskunft gemäß Art. 15 [X.]. Mit Schreiben vom 18.07.2022 hat die Beklagte dem Kläger Auskunft über die von ihr verarbeiteten Daten in angemessener Weise zur Verfügung gestellt. Welche Daten von dem Kläger „gescrapt“ worden sind, ist der [X.]eite - wie sich aus dem Schriftsatz vom 05.10.2022 ergibt - bereit bekannt, sodass auch diesbezüglich keine weitergehende Auskunftspflicht bestehen kann. Soweit der Kläger ferner Auskunft über die Empfänger der „[X.]“ verlangt, scheitert ein Anspruch an der erteilten Auskunft der Beklagten, sie sei zu weiteren Informationen nicht imstande.
e. Die Nebenforderungen (Ersatz vorgerichtlicher Rechtsanwaltskosten sowie Zinsen) teilen das Schicksal der Hauptforderungen.
II.
Als unterlegene [X.] hat der Kläger die Kosten des Rechtsstreits zu tragen - § 91 Abs. 1 ZPO. Die Entscheidung zur vorläufigen Vollstreckbarkeit hat ihre Grundlage in § 708 Nr. 11, 711 ZPO.
Zur besseren Lesbarkeit wurden ggf. Tippfehler entfernt oder Formatierungen angepasst.
Meta
03.11.2022
Urteil
Sachgebiet: O
Zitiervorschlag: LG Gießen, Urteil vom 03.11.2022, Az. 5 O 195/22 (REWIS RS 2022, 6128)
Papierfundstellen: REWIS RS 2022, 6128
Verfahrensgang
InformationDer Verfahrensgang wurde anhand in unserer Datenbank vorhandener Rechtsprechung automatisch erkannt. Möglicherweise ist er unvollständig.
Az. 22 U 100/23
Oberlandesgericht Düsseldorf, 22 U 100/23, 01.06.2023.
Az. 5 O 195/22
Landgericht Köln, 5 O 195/22, 24.10.2023.
LG Gießen, 5 O 195/22, 03.11.2022.
Auf Mobilgerät öffnen.
Die hier dargestellten Entscheidungen sind möglicherweise nicht rechtskräftig oder wurden bereits in höheren Instanzen abgeändert.
Scraping: Kein Schadensersatz aus Art. 82 DSGVO
7 O 113/22 (Landgericht Krefeld)
8 O 267/22 (Landgericht Aachen)
Schadensersatz, Schadensersatzanspruch, Verletzung, Schmerzensgeld, Unterlassungsanspruch, Unterlassung, Internet, Streitwert, Ersatzpflicht, Ermessen, Werbung, Einstellung, Beschwerde, Anspruch, Kosten …
8 O 154/22 (Landgericht Aachen)