OLG Frankfurt, Urteil vom 03.03.2022, Az. 13 U 206/20

Der Kläger befand sich bei der [X.], einer Privatbank, in einem Bewerbungsprozess. Dieser fand über das Online-Portal [X.] statt. Das Netzwerk ermöglicht es, Personen und Unternehmen zu folgen, Reaktionen und Beiträge zu hinterlassen sowie mediale Inhalte im Text-, Bild- und Videoformat zu veröffentlichen. Der Kläger hat dort seine Kontaktdaten nebst Lebenslauf eingestellt. Im Zusammenhang mit dem Bewerbungsprozess versandte eine Mitarbeiterin der [X.] über den [X.] Messenger-Dienst am 23.10.2018 eine Nachricht, die eigentlich für den [X.] war, an eine dritte, nicht am Bewerbungsprozess beteiligte Person. Die Nachricht hatte folgenden Inhalt:

Der Empfänger der Nachricht, Herr [...], kannte den Kläger, da beide vor einiger Zeit innerhalb derselben Holding gearbeitet hatten. Herr [...] leitete die Nachricht an den Kläger weiter und fragte in diesem Zusammenhang, ob es sich um eine Nachricht für den Kläger handele ("du?") und ob dieser auf Stellensuche sei („suchst du?“). Herr [...] machte den Kläger zudem darauf aufmerksam, dass er die Versenderin auf den Fehler hingewiesen habe („ich habe sie auch [X.] das das nicht geht“, „sie hat sich sehr nett entschuldigt“, „mehr weiß ich nicht“, „suchst du?“, Screenshot des Nachrichtenverlaufs zwischen Herrn [...] und dem Kläger, Anlage [X.], [X.]. 14 [X.]).

Die Beklagte verschickte die streitgegenständliche Nachricht auch an den Kläger. Im weiteren Bewerbungsprozess, der ein persönliches Gespräch einschloss, er­wähnte der Kläger den dargestellten Sachverhalt zunächst nicht. Nachdem die Beklagte dem Kläger am 10.12.2018 mitteilte, dass der Kläger für das [X.] nicht weiter berücksichtigt werde, rügte der Kläger mit E-Mail vom 16.12.2018 die Versendung der Nachricht an Herrn [...]. Er beanstandete eine Datenschutzverletzung und fragte an, wie die Beklagte hiermit umgehen wolle und ob weitere für ihn bestimmte Nachrichten an Dritte versandt worden seien (vgl. [X.], [X.]. 57 ff. [X.]). Daraufhin meldete sich ein externer [X.] für die Beklagte bei dem Kläger. Er wies den Vorwurf eines Datenschutzver­stoßes mangels Übermittlung sensibler Daten zurück und erklärte, es habe sich um einen Einzelfall gehandelt. Die Mitarbeiter seien im Rahmen einer internen Stellungnahme auf den sorgsamen und verantwortungsbewussten Umgang in der Kommunikation in [X.] hingewiesen worden (Anlage [X.] , [X.]. 15 [X.])

Die Beklagte kontaktierte Herrn [...] nach dem Vorfall und bat ihn darum, die Nachricht zu löschen und sie nicht weiter zu verbreiten.

Mit Schreiben vom [X.] forderte die spätere Prozessbevollmächtigte des [X.] die Beklagte unter Fristsetzung zur Abgabe einer strafbewehrten Unterlassungs- und Verpflichtungserklärung, zur Auskunft über die Datenverarbeitung, zur Leistung eines Schadensersatzes in Höhe von 2.500,- € sowie zur Erstattung der Rechtsverfolgungskosten aus einem Gegenstandswert von 17.500,- € auf (Anlage [X.], [X.]. 18 ff. [X.]).

Die Beklagte wies die Ansprüche mit Schreiben vom [X.] zurück und stellte einen Datenschutzverstoß und eine Schadensentstehung in Abrede. Dem Schreiben war eine strafbewehrte Unterlassungserklärung beigefügt hinsichtlich deren Inhalts auf Anlage [X.], [X.]. 29 ff. [X.] Bezug genommen wird.

Der Kläger hat die Ansicht vertreten, bei den weitergeleiteten Daten handele es sich um personenbezogene Daten. Ihm stehe ein Unterlassungsanspruch aus § 823 Abs. 1 i.V.m. § 1004 BGB neben den Rechten der DS-GVO zu. Bei der [X.] handele es sich um eine besonders sensible Branche. Es sei zu befürchten, dass der in der gleichen Branche tätige Herr [...] die in der [X.] Nachricht enthaltenen Daten weitergegeben habe oder sich als Konkurrent auf etwaige Stellen aus der Kenntnis der übermittelten Informationen im [X.] einen Vorteil habe verschaffen können.

Der Kläger hat beantragt,

Die Beklagte hat beantragt,

Die Beklagte hat behauptet, Herrn [...] sei es allein aufgrund der Nachricht nicht möglich gewesen, den Kläger zu identifizieren, dies sei nur durch die Mithilfe des [X.] gelungen. Sie hat gemeint, ein Anspruch auf Unterlassung bestehe nicht, da die DS-GVO einen solchen nicht beinhalte und gegenüber dem [X.] Recht eine Sperrwirkung entfalte. Zudem sei die abgegebene Unterlassungserklärung ausreichend, um die [X.] zu beseitigen. Sie hat ferner behauptet, nach dem Vorfall seien ihre Mitarbeiter im Umgang mit personenbezogenen Daten sensibilisiert worden, wobei der inzwischen vergangene Zeitraum von über einem Jahr eine etwaige vermutete [X.] widerlegen würde.

Die Beklagte hat die Ansicht vertreten, der Kläger verhalte sich rechtsmissbräuchlich, da er die Ansprüche aufgrund der fehlgeleiteten Nachricht erst geltend gemacht habe, nachdem er aus dem Bewerbungsprozess bei der [X.] ausgeschieden sei.

Das [X.] hat Beweis erhoben durch die Vernehmung des Zeugen [...]. Hinsichtlich des Ergebnisses der Beweisaufnahme wird auf die Niederschrift des [X.] ([X.]. 88 ff. [X.]) Bezug genommen.

Das [X.] hat der Klage teilweise stattgegeben und die Beklagte verurteilt,

Zur Begründung hat es im Wesentlichen ausgeführt, dem Kläger stehe ein Anspruch auf zukünftige Unterlassung gegenüber der [X.] gemäß §§ 823 Abs. 1 i.V.m. 1004 Abs. 1 S. 2 BGB i.V.m. Art. 6 DS-GVO zu, da ein solcher Unterlassungsanspruch mangels Sperrwirkung der DS-GVO geltend gemacht werden könne und dessen Voraussetzungen vorlägen. Die Versendung der Nachricht an Herrn [...] stelle auch eine Beeinträchtigung des allgemeinen Persönlichkeitsrechts in der Ausprägung des Rechts auf informationelle Selbstbestimmung gem. Art. 1 Abs. 1 i.V.m. Art. 2 Abs. 1 GG dar.

Die Beklagte habe die [X.] nicht auszuräumen vermocht. Ihre Unterlassungserklärung sei allein auf die konkrete Nachricht beschränkt. Zudem stehe nach dem Ergebnis der Beweisaufnahme nicht zur Überzeugung des Gerichts fest, dass Maßnahmen seitens der [X.] ergriffen worden seien, aufgrund derer mit der notwendigen Sicherheit etwaige zukünftige Rechtsverstöße nicht mehr eintreten würden. Der Zeuge [...] habe nicht zur Überzeugung des Gerichts bringen können, dass Schulungsmaßnahmen oder anderweitige Vorkehrungen seitens der [X.] getroffen worden seien.

Die Geltendmachung des Unterlassungsanspruchs durch den Kläger sei auch nicht rechtsmissbräuchlich, obwohl er den Verstoß der [X.] erst gerügt habe, nachdem er erfahren habe, dass er nicht mehr für den Bewerbungsprozess berücksichtigt werde. Durch den weiteren Kontakt habe der Kläger nicht zum Ausdruck gebracht, dass er die Weiterleitung der Nachricht an unbeteiligte Dritte dulde, sondern lediglich den Kontakt aufrechterhalten, um sich eine berufliche Möglichkeit zu wahren. Die berechtigte Befürchtung, seine [X.] zu gefährden, schließe eine Treuwidrigkeit gemäß § 242 BGB aus.

Darüber hinaus bestehe vom Grunde her auch ein Anspruch auf Schadenersatz des [X.] gemäß Art. 82 Abs. 1 DS-GVO, da Verstöße gegen Art. 6 Abs. 1 lit. a DS-GVO und Art. 34 DS-GVO vorlägen. Die Beklagte habe auch gegen die Pflicht zur unverzüglichen Benachrichtigung verstoßen, da sie den Kläger erst im Dezember über die Fehlversendung informiert habe.

Durch die Versendung der Nachricht an einen unbeteiligten [X.] habe nicht nur eine hohe Wahrscheinlichkeit eines Schadenseintritts bestanden, vielmehr sei ein Schaden bereits eingetreten, in Folge des Kontrollverlusts des [X.] über die offengelegten Informationen. Es bestehe die Gefahr der Rufschädigung, wenn z.B. der derzeitige Arbeitgeber von der Bewerbung erfahre. Sofern der Kläger konkrete Nachteile nicht vorgetragen habe, spreche dies nicht gegen einen Anspruch auf Schmerzensgeld, da personenbezogene und insbesondere private Informationen, die nur den Kläger und die von ihm insoweit einbezogenen Personen wie die Beklagte betreffen, an einen unbeteiligten [X.] durch ein der [X.] zurechenbares Fehlverhalten eines Mitarbeiters zur Kenntnis gelangt seien. Anders als bei der von der [X.] angeführten Entscheidung des [X.] sei damit eine Außenwirkung dieser Rechtsverletzung eingetreten und damit eine etwaige Bagatellgrenze jedenfalls überschritten.

Das [X.] hat einen immateriellen Schadenersatz in Höhe von 1.000,- € für angemessen erachtet. Dazu hat es ausgeführt, die Informationen hätten zwar Außenwirkung entfaltet, jedoch seien die Informationen nur einer Person zugänglich gemacht worden und der Kläger habe keine weiteren beruflichen oder persönlichen Beeinträchtigungen erlitten.

Hiergegen hat die Beklagte mit Schriftsatz vom 27.7.2020 ([X.]. 178 f. [X.]), eingegangen bei Gericht am gleichen Tag, Berufung eingelegt, die sie innerhalb der verlängerten - Berufungsbegründungsfrist mit Schriftsatz vom 20.10.2020 ([X.]. 243 ff. [X.]) begründet hat. Darin wendet sich die Beklagte gegen die Verurteilung. Sie rügt die Annahme des [X.]s, in der Nachricht seien personenbezogene Daten im Sinne von Art. 4 DS-GVO enthalten gewesen. Es fehle bereits an der notwendigen Identifizierbarkeit des [X.]. Auch eine unrechtmäßige Verarbeitung personenbezogener Daten liege nicht vor. Die DS-GVO sperre als höherrangiges Recht jegliche Anwendung des [X.] Rechts, sofern nicht eine Öffnungsklausel vorliege, was im Bereich der DS-GVO nicht der Fall sei. Folglich scheide ein Unterlassungsanspruch aus den §§ 823 Abs. 1 i.V.m. 1004 Abs. 1 S. 2 BGB aus. Die Entscheidung könne auch nicht auf Art. 6 Abs. 1 lit. a DS-GVO gestützt werden. [X.] sei auch die Zuerkennung eines Schadensersatzes i.H.v. 1.000,- €, da ein solcher einen Schaden voraussetze. Das Gericht habe aber ausdrücklich festgestellt, dass dem Kläger weder persönlich noch beruflich ein Nachteil entstanden sei. Insoweit sei die Entscheidung widersprüchlich und verstoße gegen Denkgesetze. Die Inanspruchnahme eines Anwalts sei nicht erforderlich gewesen und stehe auch nicht im mutmaßlichen Interesse der [X.]. Schließlich sei das gesamte Verhalten des [X.] rechts-missbräuchlich. Es sei offensichtlich, dass er das Datenschutzrecht lediglich als Mittel anwende, um der [X.] nach seinem Misserfolg im Bewerbungsverfahren einen Schaden zuzufügen.

Die Beklagte regt an, das Verfahren auszusetzen und die diesem Verfahren zu­grunde liegenden Rechtsfragen dem [X.] zur Vorabentscheidung vorzulegen.

Wegen weiterer Einzelheiten der Berufungsbegründung wird auf den Schriftsatz vom 20.10.2020 ([X.]. 243 ff. [X.]) Bezug genommen. Die Beklagte beantragt,

Der Kläger beantragt,

Im Wege der [X.]berufung beantragt er,

Die Beklagte beantragt,

Der Kläger verteidigt das landgerichtliche [X.]eil, soweit es eine Verletzung der Vorgaben der DS-GVO sowie des Rechts auf informationelle Selbstbestimmung des [X.] angenommen und aufgrund dessen einen Unterlassungsanspruch des [X.] bejaht hat. Auch die Zuerkennung des von der DS-GVO voraussetzungslos gewährten Schadensersatzanspruchs sowie die Erstattung der Rechtsverfolgungskosten seien nicht zu beanstanden. Allein die Höhe des [X.] beanstandet der Kläger im Rahmen seiner [X.]berufung als zu niedrig.

Wegen weiterer Einzelheiten der Berufungserwiderung wird auf den Schriftsatz vom [X.] ([X.]. 288 ff. [X.]) Bezug genommen.

Die zulässige, insbesondere form- und fristgerecht eingelegte Berufung hat Erfolg, sofern sie sich gegen die Verurteilung zu einem immateriellen Schadenersatzanspruch richtet.

Hinsichtlich der Verurteilung im Hinblick auf den Unterlassungsanspruch ist die Berufung der [X.] hingegen unbegründet.

Dem Kläger steht ein Anspruch gegen die Beklagte auf Unterlassung der Verarbeitung seiner personenbezogenen Daten zu, sofern diese in der Form erfolgt wie mit der Nachricht vom 23.10.2018 an einen [X.]. Dies ergibt sich aus Art. 17 Abs. 1 der Verordnung ([X.]) 2016/679 des [X.] und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung dir Richtlinie 95/46/[X.] ([X.], [X.]. 2016 L 119 S. 1, berichtigt in [X.]. 2016 L 314 [X.] und [X.]. 2018 L 127 S. 2; im Folgenden: DS-GVO [Art. 17 [X.] d.Red.]), wie zwischenzeitlich höchstrichterlich geklärt wurde (vgl. [X.], [X.]eile vom 12.10.2021 - [X.]/19 -,[X.]/19 -, jeweils Rn. 10, juris; [X.], [X.]eil vom 27. Juli 2020 - [X.], [X.]Z 226, 285 Rn. 20, 23 [zur Auslistung]; [X.], 18 Rn. 13), so dass ein Rückgriff auf §§ 823 Abs. 1 i.V.m. 1004 BGB nicht erforderlich ist, um einen lückenlosen Individualrechtsschutz hinsichtlich der Verarbeitung personenbezogener Daten von natürlichen Personen zu gewährleisten (so noch: [X.], [X.]eil vom 14. Dezember 2021 - 4 U 1278/21 -, Rn. 47, juris; [X.], [X.]eil vom 19. Januar 2021 - 18 U 7243/19 Pre -, Rn. 62, 65, juris).

Die Voraussetzungen des sich aus Art. 17 Abs. 1 DS-GVO (auch) ergebenden Unterlassungsanspruchs sind erfüllt.

Die DS-GVO ist vorliegend anwendbar, da sie seit dem 25.5.2018 (Art.; 99 Abs. 2 DS-GVO) unmittelbar in jedem Mitgliedstaat der [X.] Geltung erlangt hat ([X.], [X.]eil vom 27. Juli 2020 -[X.] -, [X.]Z 226, 2ß*5-310, Rn. 110-13).

Die Beklagte hat durch die Übermittlung der Nachricht vom 23.10.2018 „personenbezogene Daten“ des [X.] im Sinne von Art. 4 Nr. 1 DS-GVO an einen [X.] offenbart. Insoweit sind der Name, das Geschlecht, die Tatsache des laufenden Bewerbungsverfahrens und die Gehaltsvorstellung des [X.] als personenbezogene Daten anzusehen.

Sofern die Beklagte dies hinsichtlich der Anrede „Herr [...]“ verneint, vermag der Senat dem nicht zu folgen, da der Name in der Legaldefinition sogar ausdrücklich erwähnt wird. Art. 4 Nr. 1 DS-GVO benennt beispielhaft Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, der Name wird im Rahmen der alternativen Aufzählung an erster Stelle aufgeführt.

Nach der Definition sind „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen; zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder [X.] Identität dieser natürlichen Person sind, identifiziert werden kann. Der Begriff der "personenbezogenen Daten" nach Art. 4 DS-GVO ist damit weit gefasst und umfasst nach der Legaldefinition alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen.

Unter die Vorschrift fallen damit neben [X.] und äußeren Merkmalen auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu [X.] und ihrer Umwelt (Klar/[X.] in [X.]/[X.], DS-GVO/[X.], Art. 4 DS-GVO Rn. 8; [X.]/[X.], DS-GVO/[X.], 3. Auflage 2021, Art. 4 Rn. 14; [X.], [X.]eil vom [X.] Juli 2019 - -20 U 75/18 -, Rn. 304, juris).

Die hier offenbarten Informationen, nämlich der Nachname des [X.] und sein der Anrede zu entnehmendes Geschlecht, sowie die aus der Nachricht herauslesbaren Angaben, insbesondere die Tatsache eines laufenden [X.] bei der [X.], stellen persönliche Informationen dar. Auch die Gehaltsvorstellung des [X.], die sich aus der angegebenen Gehaltsobergrenze der [X.] rückschließen lässt, stellt eine sachliche Information dar. Dabei kann die Angabe „80k + variable Vergütung“ nicht mit Angaben in einer Stellenanzeige gleichgesetzt werden, wie es die Berufung meint. Eine dahingehende Interpretation lässt den Kontext der Nachricht außer [X.]. Dort wird ausdrücklich erwähnt, dass die Gehaltsvorstellungen des [X.] nicht erfüllt werden können und im [X.] äußert die Beklagte ihrerseits eine Gehaltsobergrenze. Aus diesen beiden Angaben lassen sich Rückschlüsse auf die Gehaltsvorstellungen des [X.] ziehen.

Auch die Identifizierbarkeit ist zu bejahen. Dies gilt auch dann, wenn der Nachname häufig vorkommen sollte. Sofern die Beklagte einwendet, das [X.] habe die Anlage [X.] und die darin aufgeführten weiteren Nutzer der Plattform [X.] mit gleichem Nachnamen nicht hinreichend gewürdigt, verhilft dies der Berufung nicht zum Erfolg. Insoweit kann als zutreffend unterstellt werden, dass auf der Plattform [X.] mehrere Personen den Nachnamen des [X.] tragen, dies hindert jedoch die Identifizierbarkeit nicht. Es ist insbesondere nicht erforderlich, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden (vgl. [X.], [X.]eil vom 20. Dezember 2017 - [X.]. [X.], NJW 2018, 767, [X.]). Der Nachname ist ein gängiges Identifikationsmerkmal, es ist nicht erforderlich, dass die Identifikation „zweifelsfrei“ ermöglicht wird, eine dahingehende Voraussetzung, die die Beklagte postulieren will, besteht nicht, da eine solche Einschränkung dem Text der Verordnung nicht zu entnehmen ist. Zudem ist es vorliegend dem [X.] unmittelbar gelungen, den Kläger zu identifizieren, da er sich nach Erhalt der Nachricht direkt an diesen gewandt hat. Auf die Frage, ob dem Adressaten der Nachricht die Identifikation des [X.] aufgrund der übermittelten Angaben möglich war, oder ob er, wie es die Berufung meint, auf dessen Antwort angewiesen war, kommt es für die Qualifikation als „personenbezogene Daten“ i.S. d. Art. 4 Nr. 1 DS-GVO nicht an (zu Namensangaben: [X.], [X.]eil vom Oktober 2021 - [X.]/19 -, Rn. 26, juris; zu Name, Geschlecht, Religion und Sprache: [X.], [X.]eil vom 17.07.2014 - [X.]. [X.]/12; [X.]. [X.]/12, CR 2015
103, 104).

Die Versendung einer Nachricht, fällt, sofern sie - wie hier - personenbezogene Daten enthält, in den sachlichen Anwendungsbereich der [X.] (Art. 2 Abs. 1 DS-GVO).

Die Beklagte ist verantwortliche Stelle für die Verarbeitung von Daten und damit "Verantwortlicher" im Sinne von Art. 4 Nr. 7 DS-GVO ([X.] in: [X.]/[X.], a.a.[X.], Art. 4 Rn. 55).

Indem die Beklagte die Daten im Rahmen des Bewerbungsverfahrens erhebt, erfasst, ordnet, speichert und gegenüber [X.] offenlegt, "verarbeitet" sie diese Daten im Sinne von Art. 4 Nr. 2 DS-GVO. Danach ist eine „Verarbeitung“ jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben,
das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Die Übermittlung der Nachricht mit den enthaltenen personenbezogenen Daten des [X.] an einen unbeteiligten [X.] stellt eine Verarbeitung seiner Daten in Form der beispielhaft genannten „Offenlegung durch Übermittlung“ dar.

[X.] wendet ein, es handele sich vorliegend nicht um eine Verarbeitung, da mit dem versehentlichen „Klick“, mit dem die Nachricht an den falschen Empfänger geschickt wurde, eine manuelle Handlung vorgenommen worden sei. Ein solches manuelles Verklicken stelle bereits keinen „Vorgang“ im Sinne des Art. 4 Nr. 2DS-GVO dar. Dies ist abzulehnen, da die Legaldefinition auch Vorgänge ohne Hilfe automatisierter Verfahren benennt und damit das manuelle Handeln ausdrücklich einschließt.

Auch die Versendung an einen zufälligen Adressaten schadet dabei nicht. Insoweit hat der [X.] mit [X.]eil vom 25.11.2021 zu [X.] klargestellt, dass eine Verwendung … elektronischer Post für die Zwecke der Direktwerbung“ im Sinne der Richtlinie 2002/58/[X.] des [X.] und des Rats vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) darstellt, ohne dass die Bestimmung der Empfänger dieser Nachrichten nach dem Zufallsprinzip von Bedeutung ist ([X.], [X.]eil vom 25. November 2021 - [X.]/20 -, juris). Dies gilt für die hier maßgebliche Nachricht in gleicher Weise.

Die Verarbeitung der personenbezogenen Daten des [X.] durch Versendung an einen in das Bewerbungsverfahren nicht eingebundene [X.] war unrechtmäßig und insbesondere nicht von einer Einwilligung des [X.] erfasst. Durch den Umstand des Bewerbungsverfahrens hat der Kläger weder in die Verarbeitung seiner personenbezogenen Daten durch Offenlegung gegenüber [X.] gemäß Art. 6 Abs. 1 a) DS-GVO eingewilligt noch sind die in Art. 6 b) bis f) genannten Voraussetzungen, etwa die Notwendigkeit der Weitergabe im Bewerbungsverfahren, diesbezüglich gegeben.

Auch die für eine Begründetheit des Unterlassungsanspruchs erforderliche [X.] ist gegeben. Im Umfang des vorliegenden Datenschutzverstoßes besteht insofern eine tatsächliche Vermutung ([X.]/[X.], [X.]., § 1004, Rn. 32), welche die Beklagte nicht widerlegt hat. Denn insofern vertritt sie weiterhin die Auffassung, dass es sich nicht um einen Datenschutzverstoß handelte, keine persönlichen Daten offenbart und eine Unterlassungserklärung im Umfang des [X.] von ihr nicht geschuldet ist (ebenso: [X.], [X.]eil vom 14. Dezember 2021 – 4 U 1278/21 -, Rn. 47, juris).

Soweit der Klageantrag auch Daten erfasst, die nicht Gegenstand der Nachricht vom 23.10.2018 waren, ergibt sich die insofern erforderliche Erstbegehungsgefahr aus dem unstreitigen bzw. bewiesenen Sachverhalt. Denn die Beklagte beruft sich auf ein fahrlässiges „Verklicken“ einer Mitarbeiterin im Rahmen der Kommunikation über [X.]. Eine bewusste Auswahl hinsichtlich der weitergegebenen Daten erfolgte hierbei nicht, da die Weiterleitung an Herrn [...] ja unbeabsichtigt geschah und die Mitarbeiterin, Frau [...], meinte, die Nachricht an den Kläger zu senden, was datenschutzrechtlich unbedenklich gewesen wäre. Solange die Beklagte nichts unternimmt, Fehler dieser Art künftig zu vermeiden, besteht daher die Gefahr entsprechender Datenschutzverstöße. Soweit hierbei andere von dem Kläger mitgeteilte Daten betroffen sind, besteht eine erstmals ernsthaft drohende Beeinträchtigung, was für eine Unterlassungsanspruch ausreichend ist ([X.]/[X.], a.a.[X.]).

Mangels hinreichender Unterlassungserklärung, der es im Regelfall zur Widerlegung der Wiederholungs- bzw. der Erstbegehungsgefahr bedarf ([X.], [X.]eil vom [X.] -18 U 7243/19, Rn. 63 juris), besteht diese fort. Zwar läßt eine (ordnungsgemäße) Unterlassungsverpflichtungserklärung auch ohne Annahme durch den Gläubiger die [X.] grundsätzlich entfallen; hierzu muss die Erklärung den Unterlassungsanspruch nach Inhalt und Umfang aber voll abdecken ([X.], [X.]eil vom 21.6.2005. [X.], Rn. 6, juris m.w.[X.]). Dies ist jedoch nicht der Fall, denn die strafbewehrte Unterlassungserklärung vom [X.] (Anlage [X.], [X.]. [X.]) beschränkte sich auf den genauen Wortlaut der streitgegenständlichen Nachricht. Vor neuen Verletzungshandlungen schützt sie daher nicht in ausreichender Weise.

Der Kläger muss nämlich insgesamt vor der rechtswidrigen Weitergabe seiner personenbezogenen Diese Gefahr besteht nicht nur im Hinblick auf die konkrete Nachricht, sondern auch hinsichtlich der Weitergabe seiner Angaben an Dritte in vergleichbarer Weise. Da die Begrenzung der Unterlassungserklärung auf den konkreten Wortlaut der Nachricht zu eng gefasst ist, ist die Berufung hinsichtlich des Unterlassungsanspruchs unbegründet.

Dass der konkrete Verstoß mit gleichem Wortlaut erneut erfolgen könnte, liegt angesichts der Individualität der Nachricht fern. Vergleichbare Verstöße hingegen, die bei nicht ausreichend sorgsamen Umgang mit persönlichen Daten drohen könnten sind nicht ausgeschlossen. Sofern die Berufung einwendet, eine Wiederholung sei ausgeschlossen, da es sich um ein Augenblicksversagen einer Mitarbeiterin gehandelt habe, ist dies für die Bewertung der [X.] nach Auffassung des Senats nicht der entscheidende Gesichtspunkt. Es obliegt der [X.] als Verantwortliche für die von ihr verarbeiteten personenbezogenen Daten, ihre Mitarbeiter im Umgang ausreichend zu schulen (so auch: [X.], [X.] 2020[ 286-288; Gündel, Grundeigentum 2021, 1109-1111 ) sowie ggf. durchtechnische Maßnahmen vorhersehbare Fehlanwendungen zu vermeiden.

Insoweit hat das [X.] richtigerweise Beweis erhoben durch Vernehmung des Zeugen [...] zu den seitens der [X.] im Zusammenhang mit dem Rechtsverstoß ergriffenen Maßnahmen. Es ist dabei zu der Überzeugung gelangt, dass keine Schulungsmaßnahmen oder anderweitige Vorkehrungen von der [X.] hinsichtlich der betreffenden Mitarbeiterin oder deren Kollegen veranlasst worden sind, die mit der notwendigen Sicherheit etwaige künftige Rechtsverstöße vermeiden und damit die Vermutung widerlegen könnten. Das [X.] hat festgestellt, dass der Zeuge nicht bestätigen konnte, dass alle relevanten Mitarbeiter hinsichtlich des Umgangs mit personenbezogenen Daten geschult worden seien. Zwischen der streitgegenständlichen Nachricht und der Benachrichtigung des Zeugen lag ein Zeitraum von mehr als sechs Wochen, so dass auch eine unverzügliche Reaktion auf den Datenschutzverstoß seitens der [X.] nicht festgestellt werden konnte. Zudem hat die Beweisaufnahme ergeben, dass neue Mitarbeiter der [X.] nicht im Hinblick auf die Problematik geschult werden, sondern lediglich eine Erklärung abgeben müssen, dass sie die Datenschutzbestimmungen einhalten werden.

Der Senat teilt die Einschätzung des [X.]s, wonach diese Maßnahmen nicht ausreichen, um eine [X.] auszuschließen, Denkbar wären Schulungsmaßnahmen zwecks Sensibilisierung der [X.] hinsichtlich konkreter Fehlerquellen oder die Vorgabe anderer Kommunikationswege als die direkt über das Portal [X.] zugeleitete Nachricht, die ein hohes Risiko der Falschadressierung birgt. [X.] greift die Feststellungen des [X.]s zum Ergebnis der durchgeführten Beweisaufnahme nicht an.

Die [X.] entfällt schließlich auch nicht teilweise im Umfang der abgegebenen Erklärung. Zwar sind - im Falle einer sachlich teilbaren [X.] - Teilunterwerfungserklärungserklärungen möglich ([X.], [X.]eil vom 21.6.2005, a.a.O). Dies ist vorliegend jedoch nicht in relevanter Weise gegeben. Denn ein nochmaliges Versenden der gleichen Nachricht, was allein Gegenstand der abgegebenen Unterlassungserklärung ist, steht nicht in Rede. Zwar sind Unterlassungserklärungen der Auslegung zugänglich. Eine Auslegung dahingehend, dass die Beklagte sich strafbewehrt zur Unterlassung jeder künftigen Verletzung der in der Nachricht vom 23.10.2018 gegenständlichen Daten (Nachname, Geschlecht, Umstand der Bewerbung, Gehaltsvorstellung) verpflichtet hat, lässt sich dieser aufgrund des ausdrücklich eng beschränkten Wortlauts jedoch nicht entnehmen. Hiergegen spricht zudem die von der [X.] nach wie vor vertretenen Auffassung, es liege überhaupt kein Datenschutzverstoß vor und sie dürfe die genannten Daten daher weiterverarbeiten.

Die Geltendmachung des Anspruchs innerhalb eines angemessenen Zeitraums nach dem Verstoß ist nicht zu beanstanden. Das Abwarten des [X.] ist nicht rechtsmissbräuchlich. Der Anspruchsinhaber darf die Durchsetzung seines Rechts zunächst zurückstellen, ohne dass die sich anschließende Geltendmachung als missbräuchlich darstellt. Die Enttäuschung über die Nichtberücksichtigung im Bewerbungsverfahren mag für die Geltendmachung des Unterlassungsanspruchs mitursächlich sein, den Einwand des Rechtsmissbrauchs vermag sie nicht auszulösen.

Im Hinblick auf den zugesprochenen Schadenersatzanspruch hat die Berufung der [X.] Erfolg, zugleich ist der [X.]berufung des [X.] der Erfolg zu versagen, da die Zahlungsklage unbegründet ist.

Dem Kläger steht kein Anspruch aus Art. 82 DS-GVO gegen die Beklagte auf Ersatz des von ihm geltend gemachten immateriellen Schadens im Zusammenhang mit der rechtswidrigen Datenverarbeitung zu.

Nach Art. 82 Abs. 1 [X.] hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, Art. 82 Abs. 2 Satz 1 [X.]. Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist, Art. 82 Abs. 3 [X.].

Die Voraussetzungen für einen Geldentschädigungsanspruch in Bezug auf einen dem Kläger zugefügten immateriellen Schaden liegen nach Auffassung des Senats nicht vor, da es jedenfalls an der Darlegung des Eintritts eines Schadens bei dem Kläger fehlt.

Zwar liegt, wie ausgeführt, ein Verstoß durch Übermittlung von personenbezogenen Daten an einen unbeteiligten [X.] vor. Zudem ist das [X.] auch richtigerweise zusätzlich von einem Verstoß gegen Art. 34 Abs. 1 DS-GVO ausgegangen und hat ein durch die Verletzung des Schutzes personenbezogener Daten voraus-sichtlich hohes Risiko für die persönlichen Rechte und Freiheiten angenommen. Die Information des [X.] über den Datenschutzverstoß erfolgte nicht unverzüglich, sondern erst auf dessen Nachfrage.

Die Frage, ob bereits der Datenschutzverstoß als solcher für das Entstehen eines Schadensersatzanspruchs ausreicht oder es darüber hinaus der Darlegung und des Nachweises eines konkreten (auch: immateriellen) Schadens bedarf, ist in Rechtsprechung und Literatur umstritten (für ein Ausreichen des Eingriffs in das allgemeine Persönlichkeitsrecht: z.B. [X.], [X.]eil vom [X.] -15 U 3688/18
-, juris, Rn. 19 ff., [X.]/[X.], [X.], 2. Aufl., Art. 82 DS-GVO Rn. 11-13; für das Erfordernis feines nachgewiesenen Schadens z.B. [X.], [X.]. v. 25.02.2021,17 Sa 37/20, zit. nach juris, Rn. 96, [X.], [X.]. v. 02.08.2019, 8 O 26/19, zit. nach juris,Rn. 19, [X.] jurisPR-ITR 1/2021 [X.]. 6 in einer [X.]erkung zu dem vorliegend angefochtenen [X.]eil des [X.]s Darmstadt v. 26.05.2020, 13 0 244/19, m.w.[X.]). Insbesondere von den Verfechtern eines Anspruchs ohne Nachweis eines konkreten Schadens wird zudem vertreten, dass die Beeinträchtigung über eine bloße Bagatellverletzung hinausgehen muss (vgl. hierzu die Quellenangaben bei [X.], a.a.[X.]).

Sowohl der [X.] Oberste Gerichtshof (Vorabentscheidungsersuchen vom 12.05.2021, [X.], [X.], wobei der Gerichtshof die Auffassung vertritt, es sei der Nachweis eines Schadens erforderlich) als auch das [X.] (Vorabentscheidungsersuchen vom 26.08.2021, 8 [X.]/20-A, wobei das [X.] den Nachweis eines Schadens nicht für notwendig hält) haben die hiermit zusammenhängenden Fragen dem [X.] zur Vorabentscheidung vorgelegt.

Der Senat folgt im Ergebnis der Auffassung, wonach über den festgestellten Verstoß gegen die Vorschriften des DS-GVO hinaus Voraussetzung für eine Entschädigung in Geld der Nachweis eines konkreten (auch immateriellen) Schadens ist. Hierfür spricht zunächst bereits der Wortlaut von Art. 82 Abs. 1 DS-GVO, der über den Verstoß hinaus ausdrücklich die Entstehung eins Schadens („...Schaden ent-
standen ist“) voraussetzt (Eichelberger, [X.], 159-167; [X.]/[X.], [X.], 644-646). Hätte der Verordnungsgeber eine nur an den Rechtsverstoß anknüpfende, vom Nachweis eines konkreten Schadens unabhängige Zahlungspflicht anordnen wollen, hätte es demgegenüber nahegelegen, dies - wie z.B. im Luftverkehrsrecht gem. Art. 7 Abs. 1 [X.] ([X.]) 261/2004 - durch Pauschalen
zu regeln (Eichelberger, aa[X.] Rn. 24). In dem Erwägungsgrund 146 S. 3 zu der DS-GVO heißt es zwar, dass der Begriff des Schadens im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden soll, die den Zielen der Verordnung in vollem Umfang entspricht. Der Anspruch soll nach Erwägungsgrund 146 S. 6 sicherstellen, dass die betroffenen Personen einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden enthalten. Das schließt ein, dass Schadensersatzforderungen abschrecken und weitere Verstöße unattraktiv machen sollen. Der Begriff des Schadens in Art. 82 [X.] ist autonom auszulegen, mithin kommt es nicht darauf an, ob ein bestimmter Schaden nach nationalem Recht als Schaden angesehen werden könnte (Bergt in: [X.]/[X.], DS-GVO [X.], 3. Aufl. 2020, Art. 82 Rn. 17; vgl. in diesem Zusammenhang auch: [X.] 14.1.2021 -1 BvR 2853/19 - Rn. 20, juris).

Auch hiernach ist der Schaden jedoch nicht mit der zugrunde liegenden Rechtsgutsverletzung gleichzusetzen. Denn ausdrücklich muss der Schaden „erlitten“ werden, woraus folgt, dass dieser tatsächlich entstanden sein muss und nicht lediglich befürchtet wird ([X.], [X.]e. v. 25.02.i021, 17 Sa 37/20, zit nach juris, Rn. 96 unter Bezug auf [X.] in: [X.]/[X.], a.a.[X.], Art. 82, Rn. 10 und [X.] 2020, 433). Der bloße Verstoß gegen Bestimmungen der DS-GVO reicht daher nicht aus.

Hinzu kommt schließlich, dass weder Art. 82 DS-GVO noch dessen Erwägungsgründe einen Hinweis darauf enthalten, dass geringfügige (Bagatellschäden) nicht auszugleichen wären; vielmehr sieht Erwägungsgrund 148 Satz 2 vor, dass lediglich ausnahmsweise bei geringfügigen Verstößen auf die Verhängung einer Geldbuße verzichtet werden kann ([X.], a.ai[X.] m.w.[X.]).

Das Erfordernis des Nachweises eines tatsächlich erlittenen Schadens ist daher auch der Sache nach erforderlich, um ein vom Verordnungsgeber nicht gewolltes Ausufern von Schadensersatzforderungen in allen Fällen eines - tatsächlich für den Betroffenen folgenlosen - Datenschutzverstoßes zu vermeiden (so insbesondere auch [X.], a.a.[X.]).

Das Vorliegen eines konkreten -immateriellen- Schadens, wozu auch Ängste, Stress sowie Komfort- und Zeiteinbußen zählen (Bergt in: [X.]/[X.], [X.] [X.], 3. Auflage 2020, Rn. 18 b), hat der Kläger nicht dargetan. Der Vortrag in seinem auf einen entsprechenden Hinweis des Senats eingereichten Schriftsatz vom [X.] ([X.]. 326 ff. [X.]) erschöpft sich in der - erneuten- Darlegung des Datenschutzverstoßes. Insofern führt der Kläger an, dass der Schaden nicht in dem bloßen, abstrakten Kontrollverlust über die offenbarten Daten, sondern in der Tatsache liege, dass nunmehr mindestens eine weitere Person, die den Kläger und potentielle wie ehemalige Arbeitgeber kenne, über Umstände Kenntnis habe, die der Diskretion unterlägen. Zudem empfinde der Kläger das „Unterliegen in den Gehaltsverhandlungen als Schmach, die er nicht an Dritte - vor allem nicht an potentiellen Konkurrenten - weitergegeben hätte.

Nähere Ausführungen zu einem Schaden erfolgen klägerseits nicht. Selbst bei Unterstellung einer „Schmach“, vermag der Senat diese nicht als einen immateriellen Schaden zu bewerten. Denn der Kläger hat schon nicht mitgeteilt, welche Größenordnung des Gehaltsrahmens angestrebt, ob die angebotene Summe, die durch variable Anteile ohnehin nicht die Obergrenze bildete und im noch laufenden Bewerbungsverfahren vorläufig war, mit einer Diskreditierung verbunden war.

Dem Kläger steht ein Anspruch auf Erstattung vorgerichtlicher Rechtsanwaltskosten aus dem Gegenstandswert der berechtigt geltend gemachten Unterlassungsansprüche und damit aus der [X.] bis 15.000,- € zu. Die Hinzuziehung eines Rechtsanwalts war notwendig, da es sich um schwierige Rechtsfragen handelt, für deren Klärung eine anwaltliche Beratung erforderlich ist. Der Anspruch beläuft sich gemäß §§ 2 Abs. 2, 13 RVG Nr. 2300 W RVG auf 1.029,35 €. Da die [X.]berufung den erstinstanzlich zuerkannten Betrag von 1.025,55 € nicht angreift, hat es bei diesem zu verbleiben.

Entgegen der Ansicht der [X.] ist der Senat nicht gehalten, das vorliegende Verfahren auszusetzen und die Sache dem [X.] zur Vorabentscheidung nach Art. 267 Abs. 2, 1 A[X.]V über die Auslegung von Art. 15 DS-GVO vorzulegen.

Die hier maßgeblichen Rechtsfragen liegen dem [X.] bereits in anhängigen Verfahren ([X.], [X.]-Vorlage vom 26. August 2021 - 8 [X.]/20 (A) -, Rn. 33, juris; Vorabentscheidungsersuchen des Obersten Gerichtshofs ([X.]) eingereicht am 12. Mai 2021 - juris) vor. Zudem besteht eine Pflicht zur Vorlage nach Art. 267 Abs. 3 A[X.]V im vorliegenden Verfahren schön deshalb nicht, weil das vorliegende [X.]eil hier nicht als Entscheidung eines Gerichts ergeht, dessen Entscheidungen selbst im Sinne von Art. 267 Abs. 3 A[X.]V nicht mehr mit Rechtsmitteln innerstaatlichen Rechts angefochten werden können. Dem Kläger steht es infolge der diesbezüglich zuzulassenden Revision - dazu unten - frei, die Entscheidung durch den [X.] überprüfen zu lassen (s. [X.], [X.]eil vom 26. Juli 2019 - I-20 U 75/18 -, Rn. 328, juris).

Die Kostenentscheidung folgt aus § 92 Abs. 1 ZPO.

Die Entscheidung zur vorläufigen Vollstreckbarkeit hat ihre Grundlage in §§ 708 Nr. 10, 711 ZP[X.]