Bei den Scraping-Vorfällen auf Facebook hat der Betroffene grundsätzlich keinen DSGVO-Schadensersatzanspruch, da es an einer ersatzfähigen Beeinträchtigung fehlt (OLG Köln, Urt. v. 07.12.2023 - Az.: 15 U 33/23).
Nach dem OLG Hamm und dem OLG Stuttgart hat nun auch das OLG Köln entsprechende Schadensersatzforderungen der Betroffenen abgelehnt.
Es lägen zwar Verstöße gegen die DSGVO vor, diese führten aber nicht zu einem Schadensersatz, so die Kölner Richter. Dabei differenzieren die Juristen zwischen zwei Arten von gespeicherten Daten.
1. Daten, die ohnehin öffentlich zugänglich waren:
Handelt es sich um Daten, die der Nutzer von sich aus freiwillig veröffentlicht hat, scheitere das Begehren von vornherein aus:
"Soweit der Kläger seinen immateriellen Schaden auf die Veröffentlichung derjenigen Daten stützt, die auf seinem Profil bei der Beklagten als "immer öffentlich" eingestellt waren (Vorname, Wohnort, Geschlecht und Facebook-ID), scheidet die Annahme eines immateriellen Schadens schon deswegen aus, weil sich der Kläger durch seine im Zuge der Registrierung auf der Plattform der Beklagten erklärte Zustimmung mit den dort geltenden Nutzungsbedingungen damit einverstanden erklärt hat, dass diese Daten in die Öffentlichkeit gelangen.
Im Hinblick darauf bestand schon keine Verpflichtung der Beklagten, diese Daten des Klägers durch datenschutzkonforme Voreinstellungen oder technische Sicherheitsmaßnahmen vor einer Kenntnisnahme durch Dritte weitergehend zu schützen. Jedenfalls - und das ist maßgeblich - können sich die vom Kläger angeblich verspürten Gefühle wie Angst, Unwohlsein oder Misstrauen nicht darauf beziehen, dass gerade solche personenbezogenen Daten von den Scrapern im sog. Darknet veröffentlicht worden sind, die er selbst auf der Plattform der Beklagten der Öffentlichkeit zugänglich gemacht hat."
2. Nicht öffentliche Daten:
Bei den nicht öffentlichen Daten fehle es an dem notwendigen Kontrollverlust:
"Soweit der Kläger seinen immateriellen Schaden darauf stützt, dass seine Telefonnummer in Verbindung mit seinem Vor- und Spitznamen ("T. F.") veröffentlicht wurde, handelt es sich bei der Telefonnummer zwar um ein personenbezogenes Datum, das er nicht der Öffentlichkeit zugänglich machen wollte. Jedoch reicht sein diesbezüglicher Vortrag zu einem angeblichen Kontrollverlust nicht aus, um einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO anzunehmen.
(a) Der Senat vermag auf Basis des Vortrags des Klägers schon nicht festzustellen, dass dieser durch den streitgegenständlichen Scraping-Vorfall tatsächlich einen Kontrollverlust im Hinblick auf seine Telefonnummer erlitten hat.
Wie bereits dem Wortlaut dieses Begriffes zu entnehmen ist, setzt ein Kontrollverlust voraus, dass der Betroffene zunächst die Kontrolle über das konkrete personenbezogene Datum hatte und diese Kontrolle später gegen seinen Willen verloren hat. Der Kläger hat jedoch nicht dargelegt, dass er vor dem streitgegenständlichen Scraping-Vorfall die Kontrolle über seine Mobilfunknummer hatte und diese erst durch die streitgegenständliche Veröffentlichung der Telefonnummer im sog. Darknet verloren gegangen ist.
Er hat vielmehr zu dem angeblich erlittenen Kontrollverlust nur pauschal unter Verwendung von Textblöcken vorgetragen, die seine Prozessbevollmächtigten in einer Vielzahl von beim Senat anhängigen Verfahren in identischer Form verwendet haben. Außer der pauschalen, durch die Verwendung einer geschlechtsneutralen Parteibezeichnung in jeglichem Rechtsstreit einsetzbaren Formulierung, "die Klägerseite" habe "einen erheblichen Kontrollverlust" erlitten (…) und "die Klägerseite gibt die Telefonnummer stets bewusst und zielgerichtet weiter, und macht diese nicht wahl- und grundlos der Öffentlichkeit zugänglich, wie etwa im Internet" (…), hat der Kläger insbesondere keine Angaben zur konkreten Verwendung seiner Telefonnummer vor dem streitgegenständlichen Scraping-Vorfall gemacht. (…)"
Und weiter:
"Soweit der Prozessbevollmächtigte des Klägers in der mündlichen Verhandlung ausgeführt hat, er selbst gebe seine Telefonnummer nur sehr selten weiter und wenn, dann nur an wenige privat bekannte Personen bzw. an Unternehmen, denen er vollständig vertraue, bezieht sich dieses geschilderte Verhalten zum einen schon nicht auf die Person des Klägers. Für diesen bzw. für dessen Umgang mit der Telefonnummer wurde Entsprechendes nicht vorgetragen, sondern es wurden lediglich die oben auszugsweise zitierten Textbausteine verwendet. Zum anderen wäre auch zu berücksichtigen, dass auch die Weitergabe der Telefonnummer an persönlich nicht bekannte Dritte im Rahmen geschäftlicher Beziehungen - selbst wenn der Betroffene diesen zunächst Vertrauen entgegenbringt - mit einem Risiko verbunden ist, da auch in diesen Fällen ein Dritter über das personenbezogene Datum verfügt und es damit eben nicht mehr der alleinigen Kontrolle des Betroffenen unterliegt, ob dieser Dritte bzw. bei diesem beschäftigte Personen unbefugt, unabsichtlich oder im Rahmen technischer Vorfälle die Nummer anderen Personen zugänglich macht.
(b) Selbst wenn man vorliegend zugunsten des Klägers unterstellt, dass er durch den Scraping-Vorfall tatsächlich einen Kontrollverlust über seine Telefonnummer erlitten hat, weil diese Nummer in Verbindung mit seinem Vornamen nunmehr durch die Veröffentlichung im sog. Darknet jedenfalls auch einem Personenkreis bekannt geworden ist, dem er sie selbst gerade so nicht mitteilen wollte, liegt damit noch kein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO vor."
Anmerkung von RA Dr. Bahr:
Die Entscheidung des OLG Köln erging zeitlich vor dem Urteil des EuGH, wonach auch subjektive, immaterielle Schäden (wie z.B. Furcht vor missbräuchlicher Datenverwendung) einen DSGVO-Schaden auslösen können, vgl. unsere Kanzlei-News v. 15.12.2023.
Es bleibt abzuwarten, ob die deutschen Gerichte aufgrund dieser neuen Rechtsprechung des EuGH ihre bisherige ablehnende Haltung revidieren.