Oberlandesgericht Düsseldorf, 16 U 157/24

G r ü n d e:

Die Klägerin verfolgt in der Berufungsinstanz gegen die Beklagte zuletzt noch Ansprüche gerichtet auf Schadensersatz, die Feststellung zukünftiger Ersatzpflicht auf Unterlassung sowie auf Freistellung von vorgerichtlichen Rechtsanwaltskosten aufgrund angenommener Datenschutzverstöße der Beklagten im Zusammenhang mit einem sogenannten Datenabgriff („Scraping“) in dem von der Beklagten betriebenen sozialen Netzwerk B.

Die Klägerin nutzt seit vielen Jahren einen B.-Account. Bei ihrer Anmeldung bei B. machte sie von der fakultativen Möglichkeit Gebrauch, dort auch ihre Mobilfunknummer zu hinterlegen. Eine solchermaßen zum Profil hinzugefügte Mobilfunknummer ließ sich von allen auf B. registrierten Nutzern auch dann suchen, wenn sie von dem die Telefonnummer einstellenden B.-Nutzer in der für andere Nutzer eröffneten Zielgruppenauswahl nicht als „öffentlich“ und damit als für andere im Grundsatz nicht sichtbar eingestellt war. Die Standardeinstellungen auf der B.-Plattform der Beklagten sahen in der sogenannten Suchbarkeitseinstellung bis zu einer späteren Änderung durch die Beklagte eine Suchbarkeit durch „alle“ vor. Des Weiteren bestand für B.-Nutzer über die sogenannte „Kontakt-Import-Funktion“, mit der es möglich war, Telefonkontakte vom Smartphone in den sogenannten Messenger von B. hochzuladen, die Möglichkeit, diejenigen Kontakte zu finden und mit ihnen auf B. in Verbindung zu treten, die auf der B.-Plattform unter Angabe ihrer Rufnummer ebenfalls registriert waren. Um eine Suchbarkeit über die Suchfunktion auf der Plattform und über die Kontakt-Import-Funktion auszuschließen oder einzuschränken, war es ursprünglich erforderlich, die B.-Standardeinstellungen zu ändern.

Aus der Suchfunktion auf der Plattform sowie aus der Kontakt-Import-Funktion ergab sich die technische Möglichkeit, eine Vielzahl von Ziffernfolgen nach Art gängiger Rufnummernformate zu nutzen, um auf der B.-Plattform nach dazu passenden Nutzern zu suchen. Stimmte eine generierte Nummer mit der hinterlegten Mobilfunknummer eines Nutzers überein, so wurden dessen öffentliche Nutzerinformationen der eingegebenen Nummer zugeordnet und abgerufen. Ab Januar 2018 kam es durch Unbekannte unter Nutzung dieser Möglichkeit zu einem massenhaften Abgriff von Daten von B.-Accounts, von dem auch die Klägerin betroffen war. Im Jahr 2021 tauchten abgegriffene Daten im Internet auf. Die Beklagte bestätigte der Klägerin mit einem Schreiben vom 18. Dezember 2023 (Anlage B16, Bl. 49-71 Anlagenband Beklagte), dass nach ihren Informationen durch das Scraping von den Einzeldaten der Klägerin die „Nutzer ID“, der Vorname, der Nachname und das Geschlecht abgeschöpft worden seien.

Von einer weitergehenden Darstellung des Tatbestands wird gemäß § 540 Abs. 2, § 313a Abs. 1 Satz 1 ZPO abgesehen, weil ein Rechtsmittel gegen die Entscheidung gemäß § 543, § 544 Abs. 2 Nr. 1 ZPO nicht zulässig ist.

II.

Die Berufung der Klägerin ist – entgegen der Ansicht der Beklagten insgesamt – zulässig und hat in dem in dem aus dem Tenor ersichtlichen Umfang teilweise Erfolg.

Die auch in der Berufungsinstanz von Amts wegen zu prüfende internationale Zuständigkeit der deutschen Gerichte folgt aus Art. 82 Abs. 6 i.V.m. Art. 79 Abs. 2 Satz 1 DSGVO, weil die Klägerin als betroffene Person ihren gewöhnlichen Aufenthalt in Deutschland hat und die Datenschutz-Grundverordnung nach dem hier zugrunde zu legenden Vorbringen der Parteien in zeitlicher, sachlicher und räumlicher Hinsicht anwendbar ist.

Der zeitliche Anwendungsbereich der gemäß Art. 99 Abs. 2 DSGVO am 25. Mai 2018 in Geltung getretenen Datenschutz-Grundverordnung ist eröffnet. Es ist davon auszugehen, dass das Scraping konkret bezüglich der Daten der Klägerin nach dem 24. Mai 2018 erfolgt ist, worauf der Senat im Rahmen der mündlichen Verhandlung vom 10. Januar 2025 ausdrücklich hingewiesen hat. So hat die Beklagte in ihrer als Anlage B10 (Bl. 26-31 Anlagenband Beklagte) zur Gerichtsakte gereichten Pressemitteilung vom 6. April 2021 den Scraping-Vorfall noch selbst auf das Jahr 2019 datiert. Soweit sie den Zeitpunkt der Betroffenheit der Klägerin erstmals zum Ende der Berufungsinstanz in Abrede stellt und den in Betracht kommenden Zeitraum auf denjenigen vor dem 25. Mai 2018 ausdehnt, ist dies – jedenfalls ohne nähere substantiierte Darlegung, worauf diese abweichenden neuen Erkenntnisse beruhen sollen – in Bezug auf den zuvor gehaltenen Vortrag widersprüchlich und damit unbeachtlich. Vor diesem Hintergrund bedarf es an dieser Stelle keiner weitergehenden Erörterung einer etwaigen sekundären Darlegungslast der Beklagten zu diesem Punkt (vgl. dazu OLG Hamm, Urteil vom 15. August 2023 – 7 U 19/23, juris, Rn. 63 ff.). Auch Ausführungen zu einer möglichen Präklusion des Vorbringens nach § 531 Abs. 2 Satz 1 Nr. 3 ZPO erübrigen sich.

Der sachliche Anwendungsbereich der Datenschutz-Grundverordnung ist ebenfalls eröffnet. Gemäß Art. 2 Abs. 1 DSGVO gilt die Datenschutz-Grundverordnung unter anderem für die automatisierte Verarbeitung personenbezogener Daten. Bei den hier im Fokus stehenden Daten der Klägerin, deren Betroffenheit angesichts des im Verfahren vorgelegten Schreibens der Beklagten vom 18. Dezember 2023 in Verbindung mit einem als Anlage B15 vorgelegten Screenshot des Nutzerprofils der Klägerin (Bl. 48 Anlagenband Beklagte) zwischen den Parteien unstreitig ist, handelt es sich um solche personenbezogenen Daten, weil sie sich gemäß der Definition in Art. 4 Nr. 1 DSGVO auf eine identifizierte – betroffene – Person beziehen. Diese Daten wurden, jedenfalls soweit es um die Angaben der Mobilfunknummer, der B.-ID, des Namens und des Geschlechts ging, von der Beklagten im Rahmen des von ihr betriebenen sozialen Netzwerks B. automatisiert verarbeitet.

Schließlich ist auch der räumliche Anwendungsbereich der Datenschutz-Grundverordnung eröffnet. Gemäß Art. 3 Abs. 1 DSGVO findet die Datenschutz-Grundverordnung auf die Verarbeitung personenbezogener Daten Anwendung, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen in der Europäischen Union erfolgt. Bei der Beklagten handelt es sich um ein Unternehmen nach dem Recht der irischen Republik mit Sitz in Irland, mithin mit einer Niederlassung innerhalb der Europäischen Union. Da die Beklagte das soziale Netzwerk B. für Nutzer in der Europäischen Union betreibt, ist sie auch Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.

Neben der DSGVO ist auf das Rechtsverhältnis der Parteien gemäß Art. 3 Abs. 1, Art. 6 Abs. 2 Rom I-VO deutsches Recht anwendbar, weil die Parteien dies mit den Nutzungsbedingungen der Beklagten so vereinbart haben.

Der auf Ersatz eines immateriellen Schadens gerichtete Klageantrag zu 1. ist zulässig und auch teilweise begründet. Der Klägerin steht gegen die Beklagte ein Anspruch auf Schadensersatz nach Art. 82 Abs. 1 DSGVO in Höhe von 100 € nebst Zinsen ab Rechtshängigkeit zu.

Entgegen der Ansicht der Beklagten begegnet der Antrag nicht schon Bestimmtheitsbedenken. Wie die Klägerin klargestellt hat, stützt sie ihr Klagebegehren nicht auf eine unzulässige Häufung alternativer Klagegründe oder Streitgegenstände. Vielmehr geht es ihm um den Ersatz eines immateriellen Schadens, der sich aus mehreren Datenschutzverstößen der Beklagten ergeben haben soll. Insoweit nimmt die Klägerin auf den einen von ihr beschriebenen Scraping-Vorfall Bezug, von dem sie im Jahr 2019 betroffen war. Damit liegt dem geltend gemachten Schadensersatzanspruch aber ein eindeutig abgrenzbarer, einheitlicher Lebenssachverhalt und damit ein einheitlicher Streitgegenstand zugrunde (siehe BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 18).

Da es bei Klagen, die auf Ersatz immaterieller Schäden gerichtet sind, keiner Bezifferung des Anspruchs bedarf, sondern vielmehr ausreicht, wenn vom Kläger eine Mindestvorstellung mitgeteilt wird, auf die sich der Ersatzbetrag belaufen soll, konnte die Klägerin ihren Antrag auch wie geschehen unter Nennung eines Mindestbetrags formulieren.

Der zulässige Antrag ist in der Hauptsache auch teilweise begründet. Gemäß Art. 82 Abs. 1 DSGVO setzt ein Schadensersatzanspruch nach dieser Vorschrift einen Verstoß des Verantwortlichen gegen die Datenschutz-Grundverordnung, den Eintritt eines Schadens sowie einen Kausalzusammenhang zwischen dem Verstoß und dem Schaden voraus (vgl. auch EuGH, Urteile vom 4. Mai 2023 – C-300/21, ZIP 2023, 1244, 1246, Rn. 32, und vom 25. Januar 2024 – C-687/21, DB 2024, 519, 523, Rn. 58). Die Beklagte hat nicht nur gegen die Datenschutz-Grundverordnung verstoßen, sondern die Klägerin hat dadurch auch einen ersatzfähigen immateriellen Schaden erlitten. Einen ihr durch Datenschutzverstöße der Beklagten entstandenen materiellen Schaden macht die Klägerin nicht geltend.

aa)

Der von Art. 82 Abs. 1 DSGVO für einen Schadensersatzanspruch verlangte Verstoß gegen die Datenschutz-Grundverordnung liegt vor. Dabei kann hier dahinstehen, ob jeder Verstoß gegen materielle oder formelle Bestimmungen der Datenschutz-Grundverordnung oder erst eine verordnungswidrige Datenverarbeitung im Sinne von Art. 82 Abs. 2 Satz 1 DSGVO einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO begründen kann (siehe zum Meinungsstreit OLG Stuttgart, Urteil vom 22. November 2023 – 4 U 20/23, juris, Rn. 381 ff.). Da die Beklagte – wie noch auszuführen ist – personenbezogene Daten der Klägerin ohne die nach Art. 6 Abs. 1 DSGVO erforderliche Rechtsgrundlage verarbeitet hat, liegt nicht nur ein Verstoß gegen die Datenschutz-Grundverordnung, sondern auch eine verordnungswidrige Datenverarbeitung vor.

(1)

Gemäß Art. 4 Nr. 2 DSGVO fällt unter den Begriff der Datenverarbeitung neben der Offenlegung durch Übermittlung und Verbreitung auch jede andere Form der Bereitstellung personenbezogener Daten. Die auf der B.-Plattform der Beklagten vormals technisch mögliche Suche des Nutzerprofils der Klägerin anhand ihrer Mobilfunknummer – die ungeachtet der Ungewissheiten über den exakten Ablauf des Scraping-Vorfalls zwischen den Parteien unstreitig ist – stellte eine von der Beklagten ermöglichte Form der Bereitstellung von personenbezogenen Daten der Klägerin dar. Die Suchfunktionalität oder Suchbarkeit ermöglichte es anderen Nutzern, das Nutzerprofil der Klägerin mit deren öffentlichen Profildaten mittels Such- oder Kontakt-Import-Funktion anhand ihrer Mobilfunknummer zu finden. Den unbekannten „Scrapern“ ermöglichte diese Funktionalität, das Nutzerprofil der Klägerin anhand von Nummernfolgen nach Art von Telefonnummern, bei denen es sich mangels Kenntnis von der Telefonnummerneigenschaft einer bestimmten Person zunächst noch nicht um personenbezogene Daten handelte, zu finden und die den Suchtreffer auslösende Ziffernfolge als Mobilfunknummer zu identifizieren und der Klägerin zuzuordnen sowie mit ihren weiteren öffentlichen Nutzerprofildaten nach Art des Leak-Datensatzes zu verknüpfen.

(2)

Gemäß Art. 6 Abs. 1 Unterabs. 1 DSGVO ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn eine der dort genannten Voraussetzungen beziehungsweise Rechtsgrundlagen für die Verarbeitung vorliegt. Die Darlegungs- und Beweislast für eine rechtmäßige Datenverarbeitung trägt nach Art. 5 DSGVO der Verantwortliche (EuGH, Urteil vom 4. Juli 2023 – C-252/21, juris, Rn. 95), hier also die Beklagte. Danach war die Datenverarbeitung rechtswidrig. Für die Funktionalität, welche die Suchbarkeit des Nutzerprofils der Klägerin anhand der Mobilfunknummer ermöglichte, hat die Beklagte keine der Rechtmäßigkeitsbedingungen nach Art. 6 Abs. 1 Unterabs. 1 DSGVO dargelegt.

(a)

Die Beklagte beruft sich als Rechtsgrundlage für die Suchbarkeit des Nutzerprofils der Klägerin anhand ihrer Mobilfunknummer auf Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO. Danach ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Erfüllung eines Vertrags erforderlich ist. Die Beklagte vertritt insofern die Auffassung, dass die Suchbarkeit des Nutzerprofils der Klägerin anhand ihrer Mobilfunknummer für die Erfüllung des Hauptzwecks des mit der Klägerin geschlossenen Nutzungsvertrags, die gegenseitige Auffindbarkeit der Nutzer untereinander zwecks Vernetzung miteinander zu ermöglichen, erforderlich gewesen sei. Wörtlich führt sie hierzu in der Berufungserwiderung aus (Bl. 173 GA OLG):

„Der zwischen den Parteien geschlossene Nutzervertrag bezieht sich auf die Bereitstellung der B.-Plattform als soziales Netzwerk. Einem solchen sozialen Netzwerk ist es immanent, dass die einzelnen Nutzer (so auch die Klagepartei) Freunde und generell ihnen bekannte Personen finden und sich miteinander vernetzen können. Solche Verknüpfungen werden durch die Verwendung von Funktionen, wie der Kontakt-Importer-Funktion, hergestellt, die, wie im Hilfebereich und in der Datenrichtlinie erläutert, die Telefonnummern von Nutzern erfordern. Die Kontakt-Importer-Funktion ist deswegen ein für Nutzer der B.-Plattform wesentliches Tool. Die Daten werden mithin für die Erfüllung des Nutzervertrags auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b) DSGVO erhoben. Eine Einwilligung i.S.v. Art. 6 Abs. 1 S. 1 lit. a) DSGVO ist in diesem Fall weder relevant noch eine Voraussetzung für die rechtmäßige Datenverarbeitung.“

Entgegen der Ansicht der Beklagten lagen die Voraussetzungen von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO jedoch nicht vor (siehe OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris, Rn. 94 ff.). Die in Art. 6 Abs. 1 Unterabs. 1 Buchst. a bis f DSGVO vorgesehenen Rechtfertigungsgründe sind eng auszulegen (EuGH, Urteil vom 4. Juli 2023 – C-252/21, juris, Rn. 93). Die Verarbeitung personenbezogener Daten ist zur Erfüllung eines Vertrags im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO erforderlich, wenn die Datenverarbeitung objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne die Datenverarbeitung nicht erfüllt werden könnte. Der Umstand, dass die Datenverarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, genügt nicht. Entscheidend ist, dass die Datenverarbeitung des Verantwortlichen für die ordnungsgemäße Erfüllung des mit dem Betroffenen geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (EuGH, Urteil vom 4. Juli 2023 – C-252/21, juris, Rn. 98 f. und 125).

Nach diesen Maßgaben war die Suchbarkeit des Nutzerprofils der Klägerin anhand ihrer Mobilfunknummer nicht erforderlich im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO (so auch OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris, Rn. 94 ff., OLG Stuttgart, Urteil vom 22. November 2023 – 4 U 20/23, juris, Rn. 502 ff.). Die Suchbarkeit der Nutzerprofile anhand der Mobilfunknummer war zur Erfüllung des von der Beklagten angeführten Hauptzwecks des Nutzervertrags – die gegenseitige Auffindbarkeit zwecks Vernetzung – nicht unerlässlich. Vielmehr konnten sich die Nutzer gegenseitig zum Beispiel auch über ihre Namen finden (siehe OLG Dresden, Urteil vom 5. Dezember 2023 – 4 U 1094/23, juris, Rn. 34; OLG Oldenburg, Urteil vom 21. Mai 2024 – 13 U 100/23, juris, Rn. 29). Gerade um der entsprechenden Suchmöglichkeit willen ist der Nutzername auf der Plattform B. stets öffentlich einsehbar. Dass die Suchbarkeit über die Mobilfunknummer nach der eigenen Bewertung der Beklagten daneben nicht erforderlich war, zeigt sich daran, dass eine Telefonnummer nicht zu den Pflichtangaben zählte, die im Rahmen der Erstanmeldung bei B. anzugeben waren. Vielmehr war die Angabe einer Telefonnummer durch die B.-Nutzer fakultativ. Darüber hinaus konnte die standardmäßige Voreinstellung der Suchbarkeit auch nach der Telefonnummer der Nutzer von diesen abgewählt werden. Die Beklagte hat jene die Telefonnummern betreffende Suchfunktionalität später auch eingeschränkt.

(b)

Das Vorliegen anderer Rechtsgrundlagen für die Suchbarkeit des Nutzerprofils der Klägerin anhand ihrer Mobilfunknummer führt die Beklagte nicht an. Sie sind hier auch nicht ersichtlich (siehe OLG Hamm, Urteil vom 15. August 2023 – I-7 U 19/23, juris, Rn. 104 ff.). Insbesondere hat die Klägerin nicht in informierter Weise und unmissverständlich gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO seine Einwilligung in die betreffende Datenverarbeitung erteilt. Das hätte vorausgesetzt, dass die Beklagte die Klägerin transparent über die Suchbarkeit des Nutzerprofils anhand der Mobilfunknummer informiert hätte. Das ist jedoch weder dargelegt noch ersichtlich. Die geänderten Nutzungsbedingungen der Beklagten vom 19. April 2018, denen die Klägerin zustimmen musste, enthielten ebenso wenig Informationen über die Suchbarkeit des Nutzerprofils anhand der Mobilfunknummer wie die Datenrichtlinie, auf welche die Nutzungsbedingungen Bezug nahmen. Schließlich folgte auch aus der Verlinkung der Privatsphäre-Einstellungen in den Nutzungsbedingungen sowie den Privatsphäre-Tools und Hilfebereichsseiten der Plattform keine transparente Information über die Suchbarkeit anhand der Mobilfunknummer. Die Klägerin musste sich mit diesen Informationsmöglichkeiten nicht befassen, sondern durfte wegen Art. 25 Abs. 2 Satz 1 und 3 DSGVO darauf vertrauen, dass die Beklagte die jeweils datenschutzfreundlichsten Voreinstellungen gewählt hatte, die gewährleisteten, dass ihre Telefonnummer ohne ihr Zutun nur dem kleinstmöglichen Empfängerkreis zugänglich gemacht werden würde (siehe OLG Oldenburg, Urteil vom 14. Mai 2024 – 13 U 114/23, juris, Rn. 22 ff.).

bb)

Es kommt in diesem Zusammenhang für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO auch nicht darauf an, ob der Beklagten wegen des die Mobilfunknummer erfassenden Datenverarbeitungsvorgangs über den einen festgestellten Datenschutzverstoß hinaus noch weitere Datenschutzverstöße anzulasten sind. Das Vorliegen mehrerer Datenschutzverstöße durch ein und denselben Verarbeitungsvorgang bleibt auf die Höhe eines etwaigen Schadensersatzanspruchs ohne Auswirkungen (siehe EuGH, Urteil vom 11. April 2024 – C-741/21, juris, Rn. 64 f.).

cc)

Der Klägerin ist infolge des Datenschutzverstoßes der Beklagten auch ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO entstanden.

(1)

Der Begriff des „immateriellen Schadens“ in Art. 82 Abs. 1 DSGVO ist in Ermangelung eines in der Vorschrift enthaltenen Verweises auf das innerstaatliche Recht der Mitgliedstaaten autonom unionsrechtlich zu bestimmen. Maßgeblich ist danach das Begriffsverständnis, wie es in der Rechtsprechung des Gerichtshofs der Europäischen Union ausgeformt worden ist. Zwar soll nach Erwägungsgrund 146 Satz 3 DSGVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen der Verordnung in vollem Umfang entspricht. Der bloße Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung reicht nach der Rechtsprechung des Gerichtshofs jedoch nicht aus, um einen Schadensersatzanspruch zu begründen. Vielmehr ist darüber hinaus der Eintritt eines Schadens durch diesen Verstoß erforderlich.

Ein haftungsbegründender immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO kann jedoch nach der Rechtsprechung des Gerichtshofs schon in dem – selbst kurzzeitigen – Verlust der Kontrolle über personenbezogene Daten liegen, ohne dass der Begriff des „immateriellen Schadens“ den Nachweis zusätzlicher spürbarer negativer Folgen erfordert. Insofern schließt sich der Senat nach nochmaliger eigener Prüfung der Rechtsprechung des Gerichtshofs dem vom Bundesgerichtshof hierzu vertretenen Verständnis an (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 30). Unter einem Verlust der Kontrolle versteht der Senat dabei eine Situation, in der der Betroffene seine personenbezogenen Daten nicht mehr beherrschen kann, weil sie etwa an ihm unbekannte Dritte gelangt oder ohne nennenswerte Eingrenzung preisgegeben sind. Das ist der Fall bei einem Scraping und bei einer Veröffentlichung der Daten im Internet, aber noch nicht – beispielsweise – bei einer Weitergabe der Telefonnummer an bestimmte Empfänger oder ihre Verwendung zur Zwei-Faktor-Authentifizierung bei Nutzung von Benutzerkonten (Accounts). In einem solchen Fall sind die Daten noch nicht allgemein veröffentlicht (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 41).

(2)

Eine Situation des Kontrollverlusts hat die Klägerin im Hinblick auf ihre Mobilfunknummer und ihre Verknüpfung mit ihrer B.-ID, ihrem Namen und ihrem Geschlecht dargelegt. Insofern reicht es aus, wenn ein Betroffener eine Veröffentlichung seiner Daten im Internet vorträgt und angibt, diese Daten nicht zuvor in einer vergleichbaren Weise allgemein veröffentlicht zu haben (siehe BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 39 ff.). Einen solchen Vortrag hat die Klägerin gehalten. Ein bereits zuvor eingetretener Kontrollverlust ergibt sich nicht daraus, dass die Klägerin im Rahmen ihrer informatorischen Anhörung in erster Instanz angegeben hat, ihre Mobilfunknummer im Freundeskreis sowie bei weiteren Internetplattformen wie etwa Parship – dort allerdings nicht in Verbindung mit ihrem Klarnamen – hinterlegt zu haben. Die Hinterlegung der Mobilfunknummer zur Nutzung weiterer Social-Media-Plattformen ist nicht mit einer allgemeinen Veröffentlichung verbunden oder vergleichbar. Der Abgriff der Daten war in erster Instanz zudem ebenso unstreitig wie eine Veröffentlichung im Internet im Jahr 2021.

Zwar hat die Klägerin ihren Namen und ihr Geschlecht auf ihrem für jedermann sichtbaren B.-Profil eingestellt. Auch war auf der betreffenden Profilseite die B.-ID der Klägerin zu finden. Für die Mobilfunknummer galt dies nach ihrem Vortrag jedoch nicht. Auch war diese nach ihrem Vorbringen nicht schon zuvor im Internet für jedermann sichtbar mit den übrigen genannten Daten verknüpft. Daraus folgt, dass nur für die erstgenannten Daten ein Kontrollverlust durch den Datenabgriff und die Veröffentlichung sowohl singulär als auch in ihrer Verknüpfung ausscheidet. Denn diese Daten waren schon zuvor – bei B. – allgemein zugänglich im Internet veröffentlicht. Das war der Klägerin bei lebensnaher Betrachtung nicht nur klar, sondern damit war sie im Sinne einer Einwilligung gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO auch ersichtlich einverstanden, weil sie – so ist ihr Verhalten zu verstehen – eine Veröffentlichung in Form des von ihr gestalteten B.-Profils gerade wollte.

Die Beklagte hat zwar bestritten, dass die Klägerin die Kontrolle über ihre Mobilfunknummer und ihre Verknüpfung mit den weiteren von ihr als abgegriffen eingeräumten Daten erst mit dem Datenabgriff verloren hat. Dieser Vortrag genügte jedoch nicht den Anforderungen an ein in diesem Fall zu forderndes qualifiziertes Bestreiten. Die von der Klägerin behauptete negative Tatsache, die Kontrolle über die Daten nicht schon zuvor verloren zu haben, sie insbesondere nicht bereits allgemein veröffentlicht zu haben, hätte die Beklagte mit der konkreten Angabe bestreiten müssen, wodurch ein Kontrollverlust schon zuvor eingetreten sein soll (vgl. zu dieser sekundären Darlegungslast BGH, Urteile vom 11. Oktober 2007 – IX ZR 105/06, juris, Rn. 12, und vom 8. Januar 2019 – II ZR 139/17, juris, Rn. 31; auch BAG, Urteil vom 16. Dezember 2021 – 2 AZR 356/21, juris, Rn. 31 ff.). Einen solchen Vortrag hat sie nicht gehalten. Die Internet-Veröffentlichung allein des Namens und der Wohnanschrift genügt insoweit nicht, um den hier bejahten Kontrollverlust, der sich auf die Mobilfunknummer und ihre Verknüpfung mit den weiteren genannten Daten bezieht, auszuschließen.

Soweit die Beklagte erstmals zum Ende der Berufungsinstanz eine Kausalität zwischen dem Datenabgriff und dem Kontrollverlust bestreitet, kann sie hiermit nicht mehr gehört werden. Das Vorbringen ist nach § 138 Abs. 1 ZPO unbeachtlich. Es steht in einem von der Beklagten nicht aufgelösten Widerspruch zu ihrem erstinstanzlichen Vorbringen und dem Inhalt des von ihr in erster Instanz vorgelegten Schreibens vom 18. Dezember 2023. Dessen ungeachtet ist das Vorbringen auch nach § 531 Abs. 2 Satz 1 Nr. 3 ZPO nicht mehr zuzulassen, weil erstinstanzlich zwischen den Parteien unstreitig gewesen ist, dass – jedenfalls – die im Schreiben der Beklagten vom 18. Dezember 2023 mitgeteilten Daten der Klägerin vom Datenabgriff betroffen waren, und die Beklagte nicht dargelegt hat, warum sie Gegenteiliges nicht schon in erster Instanz vorgetragen hat.

dd)

Die Höhe des der Klägerin gemäß Art. 82 Abs. 1 DSGVO für den ihr entstandenen immateriellen Schaden zustehenden Schadensersatzes bemisst sich nach den schadensersatzrechtlichen Grundsätzen des deutschen Rechts.

(1)

Die Datenschutz-Grundverordnung enthält keine Bestimmung über die Bemessung des aus Art. 82 Abs. 1 DSGVO geschuldeten Schadensersatzes. Insbesondere können aufgrund des unterschiedlichen Zwecks der Vorschriften nicht die in Art. 83 DSGVO genannten Kriterien herangezogen werden. Die Bemessung richtet sich vielmehr entsprechend dem Grundsatz der Verfahrensautonomie nach den innerstaatlichen Vorschriften über den Umfang der finanziellen Entschädigung (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 93). In Deutschland ist damit insbesondere die Verfahrensvorschrift des § 287 ZPO anzuwenden.

Bei der Ermittlung des nach Art. 82 Abs. 1 DSGVO zu ersetzenden Schadens unterliegt die innerstaatliche Verfahrensausautonomie allerdings den sich aus dem unionsrechtlichen Äquivalenz- und Effektivitätsgrundsatz ergebenden Einschränkungen (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 94). Eine auf Art. 82 Abs. 1 DSGVO gestützte Entschädigung in Geld ist in Anbetracht der Ausgleichsfunktion des in dieser Vorschrift vorgesehenen Schadensersatzanspruchs als „vollständig und wirksam“ im Sinne von Erwägungsgrund 146 Satz 6 DSGVO anzusehen, wenn sie es ermöglicht, den aufgrund des Verstoßes gegen die Datenschutz-Grundverordnung konkret erlittenen Schaden in vollem Umfang auszugleichen. Eine Abschreckungs- oder Straffunktion soll der Anspruch aus Art. 82 Abs. 1 DSGVO nicht erfüllen. Infolgedessen darf bei der Bemessung einer Geldentschädigung weder die Schwere des Verstoßes gegen die Datenschutz-Grundverordnung, durch den der betreffende Schaden entstanden ist, berücksichtigt werden, noch – wie bereits ausgeführt – der Umstand, ob ein Verantwortlicher mehrere Verstöße gegenüber derselben Person begangen hat oder ob er vorsätzlich oder fahrlässig gehandelt hat (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 96).

Im Ergebnis soll die zuzusprechende Entschädigung zwar nicht hinter dem vollständigen Ausgleich des Schadens zurückbleiben, sie darf aber auch nicht in einer Höhe bemessen werden, die über den vollständigen Ersatz des Schadens hinausgeht. Ist der Schaden gering, ist daher auch ein Schadensersatz in nur geringer Höhe zuzusprechen (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 97). Dies gilt auch unter Berücksichtigung des Umstands, dass der durch eine Verletzung des Schutzes personenbezogener Daten verursachte immaterielle Schaden seiner Natur nach nicht weniger gewichtig ist als eine Körperverletzung (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 97).

(2)

Bei der auf § 287 ZPO gestützten Bemessung des Entschädigungsbetrags sind dann, wenn ein Schaden nur in Form eines Kontrollverlusts an personenbezogenen Daten eingetreten ist, weil weitere Schäden nicht nachgewiesen sind, bei der Schätzung des Schadens insbesondere die etwaige Sensibilität der konkret betroffenen personenbezogenen Daten und deren typischerweise zweckmäßige Verwendung zu berücksichtigen. Zudem sind die Art des Kontrollverlusts, die Dauer des Kontrollverlusts und die Möglichkeit der Wiedererlangung der Kontrolle etwa durch Entfernung einer Veröffentlichung aus dem Internet oder Änderung des personenbezogenen Datums in den Blick zu nehmen. In Fällen, in denen die Wiedererlangung der Kontrolle mit verhältnismäßigem Aufwand möglich ist, kann auch der hypothetische – insbesondere finanzielle – Aufwand für die Wiedererlangung der Kontrolle als Anhalt für einen effektiven Schadensausgleich dienen (siehe zum Ganzen BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 99).

(3)

Nach diesen Maßgaben wird der der Klägerin mit dem Kontrollverlust entstandene Schaden mit einem Betrag von 100 € effektiv ausgeglichen. Das ergibt eine Gesamtwürdigung der im Fall der Klägerin maßgeblichen Umstände.

Ein Kontrollverlust steht nur hinsichtlich der Mobilfunknummer und ihrer Verknüpfung mit B.-ID, Vor- und Nachnamen und Geschlecht der Klägerin fest. Den Abgriff weiterer Daten ihres Nutzerprofils behauptet die Klägerin schriftsätzlich bereits nicht. Auch wird kein zumindest vermeintlicher Leak-Datensatz vorgelegt, auf dessen Grundlage der Abgriff weiterer Daten behauptet würde.

Der Kontrollverlust nahm im Jahr 2019 seinen Anfang und dauerte bis zum Rufnummernwechsel zum 30. März 2023 an. Angesichts des relativ langen Zeitablaufs zwischen der Veröffentlichung der Daten im Internet im Jahr 2021 und dem letztlich erfolgten Rufnummernwechsel erscheint nach Auffassung des Senats in der vorliegenden Einzelfallsituation ein Abschlag von dem im Fall eines reinen Kontrollverlusts vom Senat regelmäßig zugesprochenen Betrag von 100 € nicht gerechtfertigt. Denn gerade im Zeitraum, in dem die gescrapten Daten verhältnismäßig wertvoll, weil „frisch“ waren, hatte die Klägerin die Rufnummer noch nicht gewechselt. Allein der Umstand, dass das Interesse der Klägerin an den Daten nach ihrem Rufnummernwechsel im Frühjahr 2023 und damit rund zwei Jahre nach der Veröffentlichung der gescrapten Daten abgenommen haben wird, rechtfertigt einen entsprechenden Abschlag nach Auffassung des Senats nicht. Dabei verkennt der Senat ausdrücklich nicht, dass die alte Nummer der Klägerin von niemandem mehr genutzt werden kann, um mit ihr in Kontakt zu treten oder ihr Spam-SMS zu übersenden. Bei den vom ursprünglichen Kontrollverlust betroffenen Daten handelt es sich zudem nicht um höchst sensible Daten der Klägerin, etwa Gesundheits- oder vergleichbar intime Daten, deren Verbreitung in der Öffentlichkeit dem Ansehen oder dem Fortkommen der Klägerin schaden könnte (vgl. auch BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 42). Die Mobilfunknummer dient vielmehr regelmäßig der Kontaktaufnahme mit Dritten und wird – wie dies auch die Klägerin im Rahmen ihrer informatorischen Anhörung durch das Landgericht für ihre Mobilfunknummer bestätigt hat – zu diesem Zweck anderen zugänglich gemacht. Allein dadurch besteht immer die Gefahr, dass eine bis zu einem bestimmten Zeitpunkt kontrollierte Weitergabe der Telefonnummer irgendwann nicht mehr kontrollierbar ist, weil schlechterdings niemand vollumfänglichen Einfluss darauf haben kann, wie Dritte mit der Nummer umgehen.

(4)

Bei Bemessung der Schadenshöhe nicht zu berücksichtigen sind weitere von der Klägerin auf den Kontrollverlust zurückgeführte Unannehmlichkeiten.

Zwar stellen mit dem Kontrollverlust verbundene negative Gefühle wie Ängste und Befürchtungen sowie in der Auseinandersetzung mit dem Scraping-Vorfall und dem Schutz vor künftigem Datenmissbrauch aufgewandte Zeit und Mühe Umstände dar, die einen bereits mit dem reinen Kontrollverlust eingetretenen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO vertiefen oder vergrößern können (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 31, 35 und 45). Das gilt jedenfalls dann, wenn sie über die mit dem eingetretenen Kontrollverlust für jedermann unmittelbar zusammenhängenden Unannehmlichkeiten hinausgehen (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 101). Auch eine etwaige psychische Belastung durch Spam-Anrufe und Spam-SMS, die auf den Kontrollverlust zurückzuführen sind, kann den immateriellen Schaden vergrößern.

Entsprechende Beeinträchtigungen der Klägerin hat das Landgericht jedoch nicht festgestellt, obwohl es die Klägerin informatorisch angehört hat. Zwar hat die Klägerin Spam-Anrufe und Spam-SMS bekundet. Von der Kausalität zwischen den von der Klägerin geschilderten Spam-Anrufen bzw. Spam-SMS und dem Scraping-Vorfall konnte sich das Landgericht aber keine hinreichende Überzeugung bilden. Es hat zwar hinsichtlich dieser Beweisfragen infolge der Anwendung von § 286 ZPO einen zu strengen Beweismaßstab angelegt. Steht der geltend gemachte Schadensersatzanspruch dem Grunde nach fest, reicht für die richterliche Entscheidung über die Schadenshöhe gemäß § 287 ZPO eine erhebliche, auf gesicherter Grundlage beruhende Wahrscheinlichkeit für die richterliche Überzeugungsbildung aus (BGH, Urteil vom 11. März 2022 – V ZR 35/21, juris, Rn. 30). So verhält es sich hier, weil der Senat – abweichend von dem Landgericht – schon den reinen Kontrollverlust als den haftungsbegründenden Schaden ansieht. Doch auch unter Anlegung des abgesenkten Beweismaßstabs des § 287 ZPO kann der Senat im Rahmen einer eigenen Würdigung keine Beeinträchtigung der Klägerin durch den Kontrollverlust feststellen, die über die Unannehmlichkeiten hinausgeht, die jedermann durch einen solchen Kontrollverlust erleidet. Insbesondere Anhaltspunkte, die für eine besondere psychische Beeinträchtigung sprechen könnten, hat die Anhörung der Klägerin vor dem Landgericht nicht ergeben. Diese hat im Gegenteil sogar ausdrücklich geschildert, sich zunächst keinerlei Gedanken gemacht zu haben. Auch nach Feststellung ihrer eigenen Betroffenheit hat sie keine entsprechenden weitergehenden Gedanken, Sorgen oder Ängste geschildert. Angesichts der denkbar vielfältigen Ursachen für Spam-Anrufe und Spam-SMS ist auch nicht zu beanstanden, dass das Landgericht keine Kausalität zwischen dem Scraping-Vorfall und der von der Klägerin geschilderten Spam-Belästigung hat feststellen können. Aus eigener Erfahrung ist dem Senat bekannt, dass es zu Spam-Anrufen und Spam-SMS auf Mobiltelefonen auch kommen kann, wenn B. nicht genutzt wird. Hinzu kommt, dass die Klägerin im Rahmen ihrer informatorischen Anhörung eingeräumt hat, dass sie auch nach ihrem Rufnummernwechsel weiterhin Spam-SMS erhält.

Da sich eine Ursächlichkeit des Scraping-Vorfalls nicht feststellen lässt, kann dahinstehen, ob schon der Erhalt von Spam-Anrufen und Spam-SMS ohne weitere Folgen einen immateriellen Schaden darstellen oder diesen vertiefen kann (ablehnend OLG Hamm, Urteil vom 18. Dezember 2024 – I-11 U 168/23, juris, Rn. 33).

Der von der Klägerin mit dem Klageantrag zu 1. ebenfalls verfolgte Anspruch auf Zinsen aus dem Betrag der Hauptforderung ab dem Zeitpunkt der Rechtshängigkeit ergibt sich dem Grunde und der Höhe nach aus § 291 i.V.m. § 288 Abs. 1 Satz 2 BGB. Ausweislich des zur Gerichtsakte gelangten Empfangsbekenntnisses ist die Klage der Beklagten am 8. November 2023 zugestellt worden (Bl. 47/48 GA LG). Der Zinsanspruch besteht damit ab dem darauf folgenden Tag, dem 9. November 2023.

Der nach seinem ausdrücklichen Wortlaut auf die Feststellung der Ersatzpflicht für zukünftige materielle und künftige derzeit noch nicht vorhersehbare immaterielle Schäden gerichtete Klageantrag zu 2. ist mangels Feststellungsinteresses unzulässig.

Wie der Senat bereits in der Vergangenheit entschieden hat, ist die bloße Möglichkeit des künftigen Eintritts materieller Schäden zum Maßstab für die Annahme des gemäß § 256 Abs. 1 ZPO erforderlichen Feststellungsinteresses zu nehmen. Eine darüber hinausgehende Schadenswahrscheinlichkeit ist nicht erforderlich. Die Möglichkeit zukünftiger Schäden reicht im vorliegenden Fall aus, weil es nicht um reine Vermögensschäden geht, sondern um Schäden, die aus der vom Kläger behaupteten Verletzung seines Rechts auf informationelle Selbstbestimmung gemäß Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG, mithin seines allgemeinen Persönlichkeitsrechts als einem sonstigen absolut geschützten Rechtsgut im Sinne von § 823 Abs. 1 BGB, resultieren. Auch die hier primär herangezogene Vorschrift des Art. 82 Abs. 1 DSGVO hat, soweit – wie hier – auch eine unrechtmäßige Datenverarbeitung gerügt wird, eine Verletzung des Rechts auf Schutz der personenbezogenen Daten gemäß Art. 8 GRCh zum Inhalt. Dabei kann die Möglichkeit ersatzpflichtiger zukünftiger Schäden ohne Weiteres zu bejahen sein, wenn ein deliktsrechtlich geschütztes absolutes Rechtsgut verletzt wurde und dadurch bereits ein Schaden eingetreten ist (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 48).

Nach diesen Maßgaben fehlt es am Feststellungsinteresse, weil die Klägerin ihre Telefonnummer bereits vor etwa zwei Jahren gewechselt hat und es damit an der Möglichkeit zukünftiger materieller Schäden fehlt. Hinsichtlich etwaiger immaterieller Spätschäden ist bereits nicht dargetan worden, weshalb etwaige Spätfolgen nicht schon heute bei der Bemessung des Schadensersatzes berücksichtigt werden könnten.

Der von der Klägerin mit der Berufung weiterverfolgten Unterlassungsanträge – Klageantrag zu 3.a. und 3.b. – sind in der von der Klägerin zuletzt zur Entscheidung gestellten Form weiterhin unzulässig bzw., bei einer vom Senat insoweit abweichenden Beurteilung, jedenfalls unbegründet.

Der Klageantrag zu 3.a. ist auch nach der dem § 264 Nr. 2 ZPO unterfallenden Umformulierung weiterhin unzulässig. Der Antrag genügt nicht den Bestimmtheitsanforderungen des § 253 Abs. 2 Nr. 2 ZPO.

aa)

Ein Klageantrag ist hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO, wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis absteckt, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung erkennen lässt, das Risiko eines Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeiten auf den Beklagten abwälzt und eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt. Ein Unterlassungsantrag darf nicht derart undeutlich gefasst sein, dass die Entscheidung darüber, was dem Beklagten verboten ist, letztlich dem Vollstreckungsverfahren überlassen bleibt (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 52.

Eine hinreichende Bestimmtheit ist bei einem Unterlassungsantrag für gewöhnlich gegeben, wenn eine Bezugnahme auf die konkrete Verletzungsform erfolgt oder die konkret angegriffene Verletzungsform antragsgegenständlich ist und der Klageantrag zumindest unter Heranziehung des Klagevortrags unzweideutig erkennen lässt, in welchen Merkmalen des angegriffenen Verhaltens die Grundlage und der Anknüpfungspunkt für den Rechtsverstoß und damit das Unterlassungsgebot liegen soll (BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 53).

bb)

Gemessen hieran ist der umformulierte Antrag zu Ziffer 3.a., mit dem die Klägerin begehrt, dass die Beklagte es unterlasse, eine bestimmte Verarbeitung ihrer personenbezogenen Daten mithilfe der Telefonnummerneingabe und des Kontakt-Import-Tools zu ermöglichen, ohne dass die Beklagte zum Zeitpunkt der Verwendung des Kontakt-Import-Tools unter Eingabe der Telefonnummer Sicherheitsmaßnahmen in Form einer Implementierung von Sicherheits-CAPTCHAs und der Überprüfung massenhafter IP-Abfragen oder vergleichbaren Sicherheitsmaßnahmen vorgehalten hat, nicht hinreichend bestimmt. Er lässt sich auch unter Heranziehung des Klagevorbringens nicht in einer Weise auslegen, dass die Klägerin ein hinreichend bestimmtes Unterlassen begehrt.

Die Verletzungshandlung wird dafür nicht hinreichend eingegrenzt. Dem Antrag fehlt eine Bezugnahme auf den Scraping-Vorfall als konkrete Verletzungsform. Er lässt nicht erkennen, durch welche konkrete Maßnahme die Beklagte gegen die Datenschutz-Grundverordnung verstoßen hat. Eine entsprechende Konkretisierung des Antrags ist auch nicht deswegen entbehrlich, weil sich eine solche aus dem Klagevorbringen ergäbe. Die Klägerin hat zur Erläuterung des Rechtsschutzziels ihres ursprünglichen Antrags angegeben, sie verfolge ein Unterlassen, dass personenbezogene Daten von unberechtigten Dritten aufgefunden werden können. Mangels anderslautenden Vortrags ist nicht davon auszugehen, dass mit der Umformulierung des Antrags eine Änderung des Rechtsschutzziels bezweckt war; vielmehr ging es der Klägerin insoweit offensichtlich ausschließlich um die Präzisierung unbestimmter Rechtsbegriffe.

Der Klageantrag zu 3.b. ist zwar entgegen der Auffassung der Beklagten hinreichend bestimmt im Sinne von § 253 Abs. 2 Nr. 2 ZPO, jedoch fehlt dem Antrag im konkreten Fall das erforderliche Rechtsschutzbedürfnis. Ausweislich ihrer eigenen Angaben im Rahmen der erstinstanzlichen informatorischen Anhörung hat die Klägerin – wie ausgeführt – im Jahr 2023 ihre Rufnummer gewechselt. Es ist aber weder dargetan noch sonst ersichtlich, dass die Klägerin auch hinsichtlich dieser neuen Mobilfunknummer von der fakultativen Möglichkeit einer Hinterlegung in ihrem B.-Account Gebrauch gemacht hätte. Auf diesen Umstand hat der Senat im Rahmen der mündlichen Verhandlung vom 10. Januar 2025 ausdrücklich hingewiesen, ohne dass hierzu weitergehender Sachvortrag erfolgt wäre.

Selbst wenn man die Frage der Zulässigkeit abweichend vom Senat beurteilen wollte, wäre der Unterlassungsantrag insgesamt – also hinsichtlich seiner Teilaspekte zu 3.a. und 3.b. – aber unbegründet. In der hier bestehenden Konstellation eines Rufnummernwechsels ohne Darlegung einer Hinterlegung auch der neuen Rufnummer in dem B.-Account kann die für jegliche Unterlassungsansprüche erforderliche Erstbegehungs- beziehungsweise Wiederholungsgefahr (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24, juris, Rn. 83, mit Verweis auf BGH, Urteile vom 2. Mai 2024 – I ZR 12/23, juris, Rn. 14, vom 29. Juli 2021 – III ZR 179/20, juris, Rn. 102 f., und vom 8. November 2022 – II ZR 91/21, juris, Rn. 64) nicht festgestellt werden.

Der Klägerin steht gegen die Beklagte infolge des von der Beklagten begangenen Datenschutzverstoßes aus Art. 82 Abs. 1 DSGVO ein Anspruch auf Freistellung (§ 257 BGB) von vorgerichtlichen Rechtsanwaltskosten in der aus dem Tenor ersichtlichen Höhe zu.

Die Kosten der Rechtsverfolgung und deshalb auch die Kosten eines mit der Sache befassten Rechtsanwalts gehören, soweit sie zur Wahrnehmung der Rechte erforderlich und zweckmäßig waren, grundsätzlich zu dem wegen einer unerlaubten Handlung zu ersetzenden Schaden. Dabei ist maßgeblich, wie sich die voraussichtliche Abwicklung des Schadensfalls aus der Sicht des Geschädigten darstellt. Ist die Verantwortung für den Schaden und damit die Haftung von vornherein nach Grund und Höhe derart klar, dass aus der Sicht des Geschädigten kein vernünftiger Zweifel daran bestehen kann, dass der Schädiger ohne Weiteres seiner Ersatzpflicht nachkommen werde, so wird es grundsätzlich nicht erforderlich sein, schon für die erstmalige Geltendmachung des Schadens gegenüber dem Schädiger einen Rechtsanwalt hinzuzuziehen. In derart einfach gelagerten Fällen kann der Geschädigte den Schaden grundsätzlich selbst geltend machen, so dass sich die sofortige Einschaltung eines Rechtsanwalts nur unter besonderen Voraussetzungen als erforderlich erweisen kann (BGH, Urteil vom 18. November 2014 – VI ZR 10/24, juris, Rn. 79).

Nach diesen Maßstäben stehen der Klägerin die Rechtsanwaltskosten zu, die auf die außergerichtliche Geltendmachung des begründeten Schadensersatzbetrags von 100 € sowie auf das mit dem vorgerichtlichen Schreiben der Prozessbevollmächtigten formulierte Auskunftsbegehren – dem der Senat einen Wert von 500 € zumisst – entfallen. Nach den Umständen, insbesondere wegen der für sie unübersichtlichen Rechtslage und aus Gründen des Sachzusammenhangs, durfte die Klägerin aufgrund des Datenschutzverstoßes der Beklagten eine Beauftragung ihrer Prozessbevollmächtigten auch im Umfang des auf Art. 15 DSGVO gestützten Auskunftsverlangens, das damals wegen der seinerzeit noch nicht erteilten Auskunft noch begründet war, für erforderlich und zweckmäßig halten. Zwar hat die Klägerin in dem vorgerichtlichen Schreiben ihrer Prozessbevollmächtigten vom 27. April 2023 (Anlage K18) auch bereits die Anerkennung zukünftiger Ersatzpflicht der Beklagten, die die Klägerin mit ihrem Klageantrag zu 2. verfolgt hat, verlangt. Jedoch hatte die Klägerin zum Zeitpunkt dieses anwaltlichen Aufforderungsschreibens ihre Rufnummer bereits gewechselt, weshalb der entsprechende Anspruch bereits zu diesem Zeitpunkt nicht (mehr) bestand und daher bei Berechnung der 1,3 Geschäftsgebühr nach Nr. 2300 KV RVG nicht zu berücksichtigen ist. Nicht erstattungsfähig sind aus den bereits angeführten Gründen schließlich auch die Rechtsanwaltskosten, die auf das mit dem vorgerichtlichen Schreiben formulierte Unterlassungsbegehren entfallen.

III.

Die Entscheidung über die Kosten des Rechtsstreits folgt aus §§ 91a Abs. 1 Satz 1, 92 Abs. 1, Abs. 2 Nr. 1 ZPO und entspricht dem Anteil der Parteien am Unterliegen und Obsiegen. Soweit die Parteien den Rechtsstreit hinsichtlich des Auskunftsbegehrens zweitinstanzlich übereinstimmend für erledigt erklärt haben, waren die hierauf entfallenden erstinstanzlichen Kosten der Beklagten aufzuerlegen, nachdem sie durch die Erteilung einer Auskunft mit Schreiben vom 18. Dezember 2023 das Bestehen eines entsprechenden Anspruchs dem Grunde nach und in dem letztlich erteilten Umfang ausdrücklich anerkannt hat. Dieses Schreiben der Beklagten vom 18. Dezember 2013 datiert auch deutlich nach Ablauf der mit Schreiben vom 27. April 2023 bis zum 11. Mai 2023 gesetzten Frist, weshalb die Beklagte sich zum Zeitpunkt der Auskunftserteilung jedenfalls in Verzug befunden hat. Darauf, ob die hier seitens der Klägerin gesetzte Frist angemessen oder aber zu kurz bemessen war, kommt es vorliegend nicht entscheidungserheblich an, da auch eine durch eine zu kurz bemessene Frist jedenfalls in Gang gesetzte angemessene Frist im Dezember 2023 bereits lange verstrichen war. Dagegen waren die auf das Auskunftsbegehren zweitinstanzlich entfallenden Kosten der Klägerin aufzuerlegen, da eine entsprechende Erledigungserklärung bereits erstinstanzlich hätte erfolgen können, jedenfalls aber einer zweitinstanzlichen Weiterverfolgung des Auskunftsbegehrens die Grundlage entzogen war (vgl. Schulz, in: MüKo/ZPO, 7. Auflage 2025, § 91a, Rn. 59). Da die Klägerin zweitinstanzlich mithin lediglich im Umfang von 100 € obsiegt hat, waren ihr die Kosten des Berufungsverfahrens gemäß § 92 Abs. 2 Nr. 1 ZPO in vollem Umfang aufzuerlegen.

Die Entscheidung über die vorläufige Vollstreckbarkeit beruht auf § 709 ZPO.

Ein Grund zur Zulassung der Revision besteht nicht. Die Voraussetzungen des § 543 Abs. 2 ZPO liegen nicht vor. Weder hat die Rechtssache nach dem Urteil des Bundesgerichtshofs vom 18. November 2024 – VI ZR 10/24 – noch grundsätzliche Bedeutung noch erfordern die Fortbildung des Rechts oder die Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Revisionsgerichts. Abweichungen von Entscheidungen der Oberlandesgerichte Dresden (z.B. Urteil vom 10. Dezember 2024 – 4 U 808/24, juris), Hamm (z.B. Urteil vom 18. Dezember 2024 – 11 U 168/23, juris) und Koblenz (Urteil vom 11. Februar 2025 – 3 U 145/24, juris) beruhen nach Auffassung des Senats auf unterschiedlichen tatrichterlichen Würdigungen.

Der Streitwert wird – unter Rückgriff auch auf § 63 Abs. 3 Satz 1 Nr. 2 GKG – für die erste Instanz auf 5.000 € und für das Berufungsverfahren auf 3.500 € festgesetzt (vgl. BGH, Beschluss vom 10. Dezember 2024 – VI ZR 7/24, juris).

… … …