Kein Unterlassungsanspruch bei unzulässiger Übermittlung von Daten an Drittdienste

01. Juni 2023
[Gesamt: 0   Durchschnitt:  0/5]
332 mal gelesen
0 Shares
Würfel mit Paragraphenzeichen und DSGVO Gesetzesbezeichnung auf Tastatur Urteil des OLG Frankfurt vom 30.03.2023, Az.: 16 U 22/22

Das OLG Frankfurt entschied, dass in der Übermittlung von Daten an Dritte bei Aufruf eines Online Shops kein Unterlassungsanspruch aus Art. 17 DSGVO besteht und insoweit auch keine Verletzung gegen das Recht auf informationelle Selbstbestimmung vorliegt. Lediglich kann die Löschung solcher personenbezogenen Daten verlangt werden. Eine Ausnahme auf einen Unterlassungsanspruch aus Art. 82 DSGVO ergibt sich nur, wenn der Betroffene einen konkreten Schaden erlitten hat. Das Gericht wies aufgrund des Vorrangs der DSGVO Unterlassungsansprüche aus dem nationalen Recht ebenfalls zurück.

Oberlandesgericht Frankfurt

Urteil vom 30.03.2023

Az.: 16 U 22/22

 

Tenor

Die Berufung des Klägers gegen das am 20.1.2022 verkündete Urteil des Landgerichts Wiesbaden, 10. Zivilkammer, wird zurückgewiesen. Das Urteil des Landgerichts wird ohne Sicherheitsleistung für vorläufig vollstreckbar erklärt.

Der Kläger hat die Kosten des Berufungsverfahrens zu tragen.

Die Revision wird nicht zugelassen.

Das Urteil ist vorläufig vollstreckbar. Der Kläger kann die Vollstreckung aus dem Urteil durch Sicherheitsleistung oder Hinterlegung in Höhe von 115 % des auf Grund des Urteils vollstreckbaren Betrages abwenden, wenn nicht die Beklagte zuvor Sicherheit in Höhe von 115 % des jeweils zu vollstreckenden Betrages erbringt.

Gründe

I.

Der Kläger verlangt von der Beklagten, die einen Online-Shop betreibt, es zu unterlassen, diese Website mit bestimmten Diensten in der Weise „auszuliefern“, dass beim Seitenaufruf personenbezogene oder personenbeziehbare Daten des Klägers an den jeweiligen Betreiber der Dienste übermittelt werden, sofern dies ohne seine Einwilligung erfolgt.

Wegen des Sach- und Streitstandes in erster Instanz wird auf den Tatbestand des landgerichtlichen Urteils verwiesen, der wie folgt zu ergänzen und zu verdeutlichen ist:

Der Kläger hat mit der Replik auf die Klageerwiderung dargelegt, dass er am 18.12.2020 in dem Online-Shop der Beklagten Waren bestellt habe und eine Bestellbestätigung vorgelegt (Anlage K 20).

Bei den im Klageantrag bezeichneten 17 Diensten handelt es sich überwiegend um von der Fa. Google zur Verfügung gestellte Apps bzw. Funktionen, die den Betrieb der Online-Shop-Seite in bestimmter Weise unterstützen. So verwaltet der Google Tag Manager die Einstellungen der Website. Die Programme Google Fonts und Fonts Awesome stellen Schriftarten zur Verfügung. Die Funktionen Analytics und Trbo analysieren das Verhalten der Besucher bzw. dienen der Datenanalyse. Das Programm Cquotient generiert Empfehlungen an Kunden („Andere Kunden, die diese Ware gekauft haben, haben sich auch für folgende Waren interessiert“). Darüber hinaus sind Funktionen von Youtube und Facebook eingebunden.

Es ist unstreitig, dass diese Funktionen von Drittanbietern in die Website der Beklagten „eingebettet“ sind („embedding“), das heißt, dass sich die Daten der Programme nicht auf dem Server, auf dem die Website gespeichert ist, befindet, sondern der Nutzer (bzw. sein Browser) auf von Dritten, den Diensteanbietern, betriebene Webseiten verwiesen/gelenkt wird. Dabei wird dem Dritt-Server die aktuelle IP-Adresse des aktuellen Nutzers der Website mitgeteilt, um den Abruf von dort zu ermöglichen (sog. Cloud-Lösung). Der Kläger hält dies für unzulässig und verweist auf die Möglichkeit, die (erhobenen) Nutzerdaten auf eigenen Servern oder bei dem Dienst „Matomo“ zu speichern.

Der Kläger hat behauptet, dass neben der IP-Adresse „das Programm“ auch zahlreiche Nutzungsdaten aus dem Bestellvorgang, so Informationen über Hard- und Software seiner Endgeräte, an Google in den USA übermittle (Liste Bl. 4 d.A.). Die Empfängerin sei in der Lage sein Nutzungsverhalten zu analysieren, auch weil Google die Daten mit Daten aus anderen von ihm betriebenen Internetdiensten zusammenführen könne.

Der Kläger hält die Einbindung jener Dienste und deren seitenübergreifendes Tracking (Ausspähen von Daten) für mit den Artt. 6, 44, 26 und 32 DS-GVO für nicht vereinbar. Für die Rechtswidrigkeit dieser Weitergabe hat der Kläger unter anderem auf den Cloud Act (Anlage K 6) berufen, wonach US-Regierungsbehörden einseitig ohne Gerichtsbeschluss personenbezogene Daten anfordern können.

Die Beklagte hat sich unter anderem darauf berufen, dass der Nutzer über das bei Aufruf der Website erscheinende Cookie-Banner (Screenshot Bl. 45 d.A.) vor einer Nutzung die Einwilligung auch für den Einsatz der Drittdienste erteile. Sie hat ferner dargelegt, dass sie mit jedenfalls sechs Diensten Verträge geschlossenen hat (Anlagen B 3 – B 6), wonach diese als Auftragsverarbeiter i.S. von Art. 28 DS-GVO für sie tätig werden.

Das Landgericht hat die Klage abgewiesen, weil sie mangels Bestimmtheit unzulässig sei. Der Begriff der IP-Adresse sei unbestimmt und auch die nähere Bestimmung, die Übermittlung welcher personenbezogenen und personenbeziehbaren Daten untersagt werden solle, könne nicht dem Vollstreckungsverfahren überlassen werden. Die Klage sei darüber hinaus auch unbegründet. Es fehle Vortrag, wann der Kläger was in welchem konkreten Online-Shop gekauft habe. Vor allem ergebe sich aus der DS-GVO kein Unterlassungsanspruch. Auf Anspruchsgrundlagen nach nationalem Recht, etwa §§ 1004, 823 BGB, könne, da es sich um vollharmonisiertes Gemeinschaftsrecht handele, nicht zurückgegriffen werden. Es fehle eine Öffnungsklausel. Art. 79 Abs. 1 DS-GVO lasse nur verwaltungsrechtlichen Rechtsschutz „unbeschadet“.

Hiergegen richtet sich die Berufung des Klägers, mit der er zunächst seine erstinstanzlichen Klageanträge gleichlautend weiterverfolgt hat.

Er rügt, dass das Landgericht seinen Vortrag zu der am 18.12.2020 erfolgten Bestellung im Online-Shop der Beklagten und dem mitgeschnittenen Datenverkehr nicht berücksichtigt habe. Er trägt vor, eine weitere Bestellung am 6.2.2022 vorgenommen zu haben (Anlage BK 4) und benennt als Zeugin seine Lebensgefährtin. Dabei habe er durch Mitprotokollierung des Datenverkehrs festgestellt, dass personenbezogene Daten an alle im Antrag bezeichneten Dienste übertragen worden seien.

Hinsichtlich der Frage der Bestimmtheit des Klageantrages trägt er vor, dass er – neben der benannten IP-Adresse – aus technischen Gründen die übertragenen Daten nur teilweise interpretieren und nicht benennen könne, welche konkreten Daten übertragen werden. Dazu sei Einblick in die Server der Drittdienste erforderlich. Deshalb sei die IP-Adresse im Antrag als „Regelbeispiel“ für personenbezogene Daten aufgeführt. Er vertritt die Auffassung, dass die Beklagte wegen der genannten Schwierigkeiten eine „sekundäre Behauptungslast“ treffe und er pauschal die Übertragung von personenbezogenen Daten vortragen dürfe. Der Begriff „personenbezogene Daten“ sei auch nicht zu unbestimmt, weil er in Art. 4 Nr. 1 DS-GVO definiert sei. Jedenfalls sei die IP-Adresse ein personenbezogenes Datum und alle anderen übertragenen Daten seien dadurch dem Kläger zuzuordnen. Sein Antrag sei deshalb dahin zu verstehen, dass alle Daten gemeint seien, die auf die beschriebene Weise an die bezeichneten Drittdienste „im Rahmen der jeweiligen IP-Adresse des Klägers“ übertragen würden. Er verweist wegen der Bestimmtheit auf einen Senatsbeschluss vom 19.8.2021 in der Sache 16 W 43/21, wo ein nahezu gleichlautender Antrag nicht für unzulässig erachtet worden sei. Er meint darüber hinaus, es sei unzumutbar, die konkret verwendete IP-Adresse zu benennen, weil ihm als Nutzer nur alle paar Tage wechselnde dynamische IP-Adressen zugewiesen seien. Er vertritt die Auffassung, dass jedenfalls das genannte Regelbeispiel (IP-Adresse) als Minus vom Antrag umfasst sei. Insoweit sei wegen der zentralen Bedeutung dieses Datums ein Unterliegen allenfalls mit 10 % zu bewerten.

In der Sache rügt der Kläger, dass das Landgericht seinen Vortrag nebst Beweisanträgen dazu übergangen habe, dass konkrete Datenübertragungen an Dritte erfolgten und dass die Beklagte mit der IP-Adresse „direkt“ seinen Namen und Adresse verknüpfen könne. Es gehe ihm auch nicht um abstrakte Rechtsfragen, wie das Landgericht meine, sondern um die Verletzung seiner persönlichen Privatsphäre. Das Landgericht habe in diesem Zusammenhang den vorgerichtlichen Schriftverkehr nicht gesehen, also offensichtlich die Akte nicht vollständig gelesen.

Der Kläger vertritt die Auffassung, dass sich „gemäß den zusammenhängend behandelten“ Artt. 6 Abs. 1 6, 44, 70 DS-GVO und aus Art. 47 GRC und §§ 823 Abs. 1 und 2 und § 1004 (analog) BGB ein Unterlassungsanspruch für ihn ergebe. Das Landgericht habe insbesondere Art. 79 Abs. 1 DS-GVO falsch angewendet. Die Bestimmung habe gerade keine Sperrwirkung, sondern regele jede gegen die DS-GVO verstoßende Verarbeitung. Mit „Rechtsbehelfen“ seien verfahrensmäßige Rechtsbehelfe gemeint, keine materiellen Rechte. Er verweist auf Rechtsprechung des BGH, teilweise unter Geltung noch der Datenschutzrichtlinie. Er vertritt die Auffassung, dass § 1004 BGB analog anzuwenden sei, weil das informationelle Selbstbestimmungsrecht Ausfluss des allgemeinen Persönlichkeitsrechts sei und deshalb als dem Eigentum vergleichbares absolutes Recht anerkannt sei. Art. 6 und 44 DS-GVO seien darüber hinaus Schutzgesetze i.S. von Art. 823 Abs. 2 BGB, was der BGH zur Vorgängernorm bejaht habe (Urteil vom 27.2.2017 – VI ZR 489/16 Rz. 42). Die Möglichkeit zur Aufsichtsbeschwerde bei den Datenaufsichtsbehörden stelle keinen adäquaten Rechtsbehelf dar.

Die Beklagte verteidigt das angefochtene Urteil.

Hinsichtlich der Frage der Bestimmtheit des Klageantrages verweist sie auf eine Entscheidung des Bundesarbeitsgerichts betreffend einen datenschutzrechtlichen Auskunftsanspruch (Art. 15 DS-GVO), welches die Benennung „Leistungs- und Verhaltensdaten“ als nicht ausreichend bestimmt angesehen habe (NJW 2022, 960). Hier bleibe unklar, was der Kläger mit dem im Gesetz nicht genannten Begriff „personenbeziehbare Daten“ und mit „sämtlichen Daten“, die „im Rahmen der jeweiligen IP-Adresse des Klägers“ übertragen würden, meint. Bei der IP-Adresse handele es sich auch nach der Rechtsprechung des EuGH um kein personenbezogenes Datum. Ein Bezug ergebe sich allenfalls aus der Verknüpfung mit weiteren Daten, die der Kläger aber nicht benenne. Es sei nicht glaubhaft, dass der Kläger von diesen weiteren Daten keine Kenntnis habe, weil er vortrage, er habe den gesamten Datenverkehr mitgeschnitten. Jedenfalls habe sie, die Beklagte, keine Kenntnis, weil eine Identifikation erst denkbar sei, wenn die Drittdienste die IP-Adresse und die etwaig übermittelten Daten mit Daten bei ihnen (etwa über Kaufverhalten) zusammenführen. Ohnehin treffe sie nicht die Verpflichtung, dem Kläger die für den Prozesserfolg notwendigen Informationen zu verschaffen.

Die Beklagte vertritt die Auffassung, dass der Kläger kein Rechtsschutzbedürfnis für die Klage habe. Er wolle nicht sein Persönlichkeitsrecht vor Beeinträchtigungen schützen, sondern ein „Exempel statuieren“. Dies ergebe sich daraus, dass er in voller Kenntnis der angeblichen Rechtsverletzungen erneut den Online-Shop der Beklagten zur Bestellung benutzt habe. Die Nutzungen erfolgten offensichtlich aus prozesstaktischen Gründen.

Die Beklagte vertritt weiterhin die Auffassung, dass der Kläger nicht aktiv legitimiert sei, weil er eine konkrete Betroffenheit durch Übertragung seiner IP-Adresse und sonstige Daten an Drittdienste nicht belegt habe. Der neue Vortrag zur Seitennutzung am 18.12.2020 und am 6.2.2020 (Schreibfehler: 2022) sei aus prozessualen Gründen nicht zuzulassen. Wegen der Argumentation dazu wird auf S. 10 – 15 der Berufungserwiderung verwiesen.

Das Landgericht habe jedenfalls zu Recht angenommen, dass sich aus der DS-GVO kein Anspruch auf Unterlassung ergebe. Die Beklagte verweist auf eine veröffentlichte Urteilsanmerkung zum landgerichtlichen Urteil (Nink ZD 2022, 238). Sie weist darauf hin, dass in einem Vorentwurf zur Verordnung vorgesehen gewesen sei, dass die Mitgliedstaaten einstweilige Maßnahmen zur Verhinderung weiterer Schäden regeln können, was aber nicht in die Vorordnung gewordene Fassung aufgenommen worden sei. Die Möglichkeit, sich an Aufsichtsbehörden zu wenden, sei zudem sachgerechter, weil dies abgestimmtes Verhalten ermögliche und deren Anordnungen anders als zivilgerichtliche Urteile nicht nur inter partes wirkten.

Mit Schriftsatz vom 22.12.2022 stellt der Kläger neue Anträge. Der Kläger bezeichnet sie als Präzisierung seines bisherigen Unterlassungsantrag Nr. 1 und beantragt nunmehr,

dass die bisherige Formulierung „dass beim Seitenaufruf personenbezogene oder -beziehbare Daten des Klägers – wie dessen IP-Adresse -“

a. zwecks Präzisierung ersetzt wird durch (Änderungen unterstrichen): „dass beim Seitenaufruf jegliche Daten des Klägers“,

b. hilfsweise ersetzt wird durch: „dass beim Seitenaufruf personenbezogene oder -beziehbare Daten des Klägers – wie dessen statische IP-Adresse seines Festnetzanschlusses …, Zeitpunkt des Aufrufs der jeweiligen Shop-Unterseite, jetzt und zuvor vom Kläger aufgerufene Internetseiten (Referrer), das installierte Betriebssystem auf dem Rechner des Klägers, die Version des Betriebssystems auf dem Rechner des Kläger, der verwendete Browser auf dem Rechner des Klägers, die verwendete Browserversion auf dem Rechner des Klägers, Spracheinstellungen auf dem Rechner des Klägers, installierte Anwendungen auf dem Rechner des Klägers und unterstützte Programmiersprachen (z. B. Javascript) -“,

c. weiter hilfsweise ersetzt wird durch: „dass beim Seitenaufruf die IP-Adresse des Klägers, Zeitpunkt des Aufrufs der jeweiligen Shop-Unterseite, jetzt und zuvor vom Kläger aufgerufene Internetseiten (Referrer), das installierte Betriebssystem auf dem Rechner des Klägers, die Version des Betriebssystems auf dem Rechner des Kläger, der verwendete Browser auf dem Rechner des Klägers, die verwendete Browserversion auf dem Rechner des Klägers, Spracheinstellungen auf dem Rechner des Klägers, installierte Anwendungen auf dem Rechner des Klägers und unterstützte Programmiersprachen (z. B. Javascript)“

d. weiter hilfsweise ersetzt wird durch: „dass beim Seitenaufruf die statische IP-Adresse seines Festnetzanschlusses …“;

e. höchst hilfsweise bleibt der bisherige Antrag gemäß Nr. 1 des Schriftsatzes vom 08.02.2022 gestellt.

Zur Begründung trägt der Kläger vor, er sei Informatiker und habe im März 2022 von seinem Anbieter eine statische IP-Adresse zugeteilt erhalten, um darüber einen eigenen Server zu betreiben. Den erstinstanzlich vorgetragenen Festnetzanschluss mit dynamischer IP-Adresse verwende er aber auch weiterhin und müsse dies zeitweise. Er könne jedenfalls nun als Regelbeispiel eine konkrete IP-Adresse benennen.

Er vertritt die Auffassung, dass die IP-Adresse ein „personenbeziehbares Datum“ i.S. von Art. 4 Nr. 1 DS-GVO sei, weil er seinem Anbieter seinen Namen und Adresse habe angeben müssen (Anlage BK 5, Bl. 366 d.A.). Er meint, dass es sich um eine zulässige Antragspräzisierung handele, insbesondere, weil er sich zudem auf eine erst im Berufungsverfahren entstandene Tatsache stütze.

Im Übrigen wiederholt und vertieft er seine Auffassung, dass die von ihm gestellten Anträge hinreichend bestimmt seien. Seine Ausführung der Berufungsbegründung, dass die weiteren Daten im Rahmen der IP-Adresse übertragen würden, sei dahin zu verstehen, dass alle weiteren Daten technisch notwendig mit der jeweiligen IP-Adresse übermittelt werden. Er erläutert dies anhand des OSI-Schichtenmodells im Datenverkehr (näher Bl. 353 d.A. nebst Anlage). Ein Übertrag der Klägerdateien sei ohne die IP-Adresse nicht möglich.

Hinsichtlich der Begründetheit vertieft er durch Verweis auf Rechtsprechung seine Auffassung, dass die DS-GVO und insbesondere deren Art. 79 Abs. 1 einen Unterlassungsanspruch nach § 1004 BGB wegen Verstößen gegen Verletzungen von Datenschutzbestimmungen und damit auch des Allgemeinen Persönlichkeitsrechts nicht sperrten.

Der Kläger legt eine datenschutzrechtliche Selbstauskunft der Beklagten über die bei der Beklagten über ihn gespeicherten Daten vor, auf der mehrere Bestellungen und deren Bezahlung registriert sind (Anlage BK 9).

Mit Schriftsatz vom 13.1.2022 verweist der Kläger auf die Entscheidung des EuGH vom 12.1.2023 (C-132/21 Rz. 57), wonach die in Art. 77 Abs. 1 und Art. 78 Abs. 1 DS-GVO einerseits und Art. 79 Abs. 1 andererseits vorgesehenen Rechtsbehelfe nebeneinander und unabhängig voneinander ausgeübt werden könnten.

Mit Schriftsatz vom 24.2.2023 hat der Kläger zur vom Senat im Termin vertretenen Rechtsauffassung Stellung genommen.

Mit Schriftsatz vom 3.3.2023 hat die Beklagte aufgrund gewährten Schriftsatznachlasses auf die Schriftsätze des Klägers vom 22.12.2023, 30.12.2023 und vom 13.1.2023 erwidert. Auf Bl. 440 bis 449 d.A. wird verwiesen.

Der Kläger hat dazu mit Schriftsatz vom 10.3.2023 repliziert. Auf Bl. 453 – 458 d.A. wird verwiesen.

II.

Die zulässige, insbesondere form- und fristgerecht eingelegte und begründete Berufung des Klägers hat in der Sache keinen Erfolg.

Die Klage ist mit den in der Berufungsinstanz gestellten Anträgen zwar zulässig, jedoch nicht begründet, weil dem Kläger kein Anspruch auf die von ihm geltend gemachten Unterlassungsansprüche zusteht.

1. Zulässigkeit der Klage

a) Das Landgericht hat den erstinstanzlichen Klageantrag, wonach die Beklagte es unterlassen soll, die Dienste auf ihrem Online-Shop in der Weise „auszuliefern“ (gemeint sein dürfte: zur Inanspruchnahme bereitstellen), dass beim Seitenaufruf „personenbezogene oder -beziehbare Daten des Klägers“ an die benannten Dienste übermittelt werden, zu Recht als nicht hinreichend bestimmt i.S. von § 253 Abs. 2 Nr. 2 ZPO angesehen. Es fehlt an einem bestimmten Antrag. Bei der Bezeichnung „personenbezogene oder -beziehbare Daten des Klägers“ handelt es sich trotz der Definition in Art. 4 Nr. 1 DS-GVO um Rechtsbegriffe, deren Anwendung eine Subsumtion erfordert. Dies kann nicht dem Vollstreckungsverfahren überlassen werden. Dies gilt umso mehr, als die ihrerseits wortreiche Definition in der Verordnung schwer zu erfassen ist.

Die Unbestimmtheit wird nicht dadurch beseitigt, dass in dem Antrag die IP-Adresse als ein „Regelbeispiel“ benannt ist. Abgesehen davon, dass – wie der Rechtsstreit zeigt – schon streitig und begründungsbedürftig sein kann, ob es sich bei der IP-Adresse um ein personenbezogenes Datum handelt, wäre auch hier eine rechtliche Prüfung vonnöten, nämlich, ob das jeweilige Datum in relevanter Hinsicht mit der IP-Adresse vergleichbar ist.

Der Kläger kann sich nicht darauf berufen, dass er selbst nicht technisch in der Lage sei, festzustellen, welche Daten an die Drittdienste übertragen werden, und deshalb die Beklagte eine sekundäre Darlegungslast treffe. Die Figur der sekundären Darlegungslast erleichtert einem Kläger lediglich den Vortrag von anspruchsbegründenden Tatsachen im Rahmen der Begründetheit einer Klage, sie enthebt nicht von der Notwendigkeit, einen bestimmten Antrag zu stellen.

b) Die Klage ist jedoch mit dem vom Kläger nunmehr gestellten Hauptantrag zulässig.

Soweit der Kläger mit dem geänderten Antrag zu a) nämlich die Unterlassung verlangt, „dass beim Seitenaufruf jegliche Daten des Klägers“ an die Betreiber der Dienste übermittelt werden, ist dies hinreichend bestimmt. Denn der Beklagten würde damit untersagt, sämtliche mit dem Aufruf ihrer Webseite an sie gelangende Daten an die bezeichneten Dienste zu übermitteln. Der Begriff „Daten“ hat mit seiner Bedeutung „Information über eine Person oder eine Sache“, die ihm sowohl in Art. 4 Nr. 1 DS-GVO als auch im Alltagssprachgebrauch zukommt, einen hinreichen klaren Bedeutungskern, so dass seine Anwendung dem Vollstreckungsverfahren überlassen werden kann.

Die Angabe einer bestimmten IP-Adresse im Klageantrag ist für die Bestimmtheit des Klageantrages nicht erforderlich. Die Angabe der IP-Adresse, von der aus der Kläger die Webseite der Beklagten aufgerufen und dort (angeblich) Bestellungen vorgenommen hat, hat allein im Rahmen der Begründetheit Bedeutung, nämlich bei der Frage der Wiederholungsgefahr, ob es aufgrund rechtswidriger Weitergabe der IP-Adresse und weiterer Daten des Klägers zu einer Erstbegehung gekommen ist.

Die mit der Stellung des neuen Klageantrages verbundene Klageänderung ist nach § 533 ZPO zulässig. Es handelt sich nämlich nicht um eine echte Klageänderung, sondern um eine (quantitative) Klageerweiterung i.S. § 264 Nr. 2 ZPO. Auf Klageänderungen i.S. des § 264 ZPO findet die Beschränkung des § 533 ZPO nach der Rechtsprechung des BGH keine Anwendung. Bereits nach dem bisherigen Antrag sollte der Beklagten die Übermittlung der IP-Adresse und einer unbestimmten Zahl an weiteren personenbezogenen und -beziehbaren Daten untersagt werden. Der Kreis der zu untersagenden Übermittlungen wird – aus demselben Klagegrund – nunmehr nur erweitert. Ein aliud ist nicht deshalb gegeben, weil es nun statt „personenbezogener und -beziehbarer Daten“ Gegenstand „Daten des Klägers“ sind. Bei sachgerechter Auslegung sind in beiden Fällen personenbezogene Daten des Klägers gemeint.

c) Die gestellten Hilfsanträge sind aufgrund der Zulässigkeit des Hauptantrages nicht zu prüfen. Die Antragstellung des Klägers ist dahin auszulegen, dass diese Hilfsanträge nur für den Fall gestellt sind, dass das Gericht den Hauptantrag mangels Bestimmtheit als unzulässig ansieht. Ein Verständnis, der Hilfsantrag sei für den Fall der Unbegründetheit gestellt, erscheint auch nicht aus dem wohlverstandenen Interesse des Klägers geboten, weil auf den sehr weitreichend formulierten Hauptantrag umfassend die Rechtmäßigkeit etwaiger Datenübermittlungen zu prüfen ist und, wenn diese nur teilweise rechtswidrig sein sollten, der Klage teilweise stattgegeben werden kann.

2. Begründetheit der Klage

Das Landgericht hat im Ergebnis zu Recht angenommen, dass dem Kläger kein Anspruch auf die von ihm begehrte Verurteilung der Beklagten zur Unterlassung der Übermittlung seiner IP-Adresse und weiterer Daten von ihm an die bezeichneten Drittdienste bei Aufruf der Webseite des Online-Shops der Beklagten zusteht. Zwar können sich aus der DS-GVO unter Umständen auch Ansprüche auf Unterlassung von Handlungen oder automatisierten Vorgängen ergeben, nicht jedoch hinsichtlich der vom Kläger als zu unterlassend geltend gemachten Handlungen (dazu a) ). Auf Unterlassungsansprüche außerhalb der DS-GVO, insbesondere Anspruchsgrundlagen des deutschen nationalen Rechts, kann nicht zurückgegriffen werden (dazu b) ).

a) In der DS-GVO ist kein Individualanspruch auf Unterlassung der Übermittlung von Daten an Dritte normiert. Die DS-GVO kennt ihrem Wortlaut nach als möglicherweise einschlägige Ansprüche zugunsten der von Datenverarbeitung betroffenen Personen lediglich einen Anspruch auf Löschung von personenbezogenen Daten (Art. 17 DS-GVO), insbesondere, wenn sie unrechtmäßig verarbeitet wurden, und auf Schadensersatz aus Art. 82 für einen Schaden aufgrund eines Verstoßes gegen die DS-GVO.

aa) Der Anspruch auf die begehrte Unterlassung ergibt sich nicht aus Art. 17 DS-GVO.

Danach hat die betroffene Person unter bestimmten Voraussetzungen gegen den Verantwortlichen einer Datenverarbeitung einen Anspruch, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden. Eine Löschung von Daten verlangt der Kläger hier nicht.

Allerdings kann sich aus Art. 17 DS-GVO über den Wortlaut hinaus auch ein Anspruch auf Unterlassung ergeben. Zwar wird in Art. 17 DSGVO nur ein Löschungsrecht normiert; aus diesem in Verbindung mit Art. 79 DSGVO, der wirksame gerichtliche Rechtsbehelfe bei einer Verletzung der Datenschutzgrundverordnung garantiert, kann jedoch zugleich ein Unterlassungsanspruch hergeleitet werden (vgl. BGH, Urteil vom 12. Oktober 2021 – VI ZR 489/19 -, juris, Rz. 10; BSG, Urteil vom 18. Dezember 2018 – B 1 KR 31/17 R -, BSGE 127, 181-188, Rz. 13). Denn aus der Verpflichtung zur Löschung von Daten ergibt sich implizit zugleich die Verpflichtung, diese künftig nicht (wieder) zu speichern. So sieht der Bundesgerichtshof in der erstgenannten Entscheidung vom 12.10.2021 im Löschungsanspruch des Art. 17 DS-GVO zugleich einen Unterlassungsanspruch (BGH a.a.O. Rz. 10 und 23).

Dieser aus der inneren Logik des Anspruchs auf Löschung hergeleitete Unterlassungsanspruch richtet sich jedoch nur auf die Unterlassung der Speicherung von Daten. Das Gegenstück der Löschung von Daten ist die Speicherung von Daten. Denn unter Löschen versteht man die Unkenntlichmachung gespeicherter Informationen, so dass es niemand mehr ohne unverhältnismäßigen Aufwand möglich ist, die Information wahrzunehmen (vgl. etwa Kühling/Buchner, DS-GVO/BDSG, 3. Aufl., Art. 17 DS-GVO Rz. 37). Der Kläger verlangt hier nicht die Unterlassung der Speicherung von Daten über ihn durch die Beklagte, sondern die Unterlassung der Übermittlung von Daten durch die Beklagte an Dritte. Wie insbesondere die Definition der Datenverarbeitung in Art. 4 Nr. 1 DS-GVO und die Überschriften der Artt. 44 – 46 DS-GVO zeigen, unterscheidet die DS-GVO klar zwischen der Speicherung von Daten und der Übermittlung von Daten (an Dritte).

bb) Der vom Kläger geltend gemacht Unterlassungsanspruch ergibt sich auch nicht aus Art. 82 DS-GVO.

Zwar kann sich unter Umständen – jedenfalls nach deutschem Verständnis der Schadensrestitution im Sinne von § 249 Abs. 1 BGB – aus einem Schadensersatzanspruch auch ein Unterlassungsanspruch ergeben. Allerdings sind die Voraussetzungen dafür hier nicht gegeben. Der Kläger hat schon einen konkreten Schaden, der ihm durch die Weiterleitung der Daten als Folge der von ihm vorgetragenen dreimaligen Aufrufe der Webseite der Beklagten entstanden sein soll, nicht dargelegt. Ein Anspruch setzt aber die Entstehung eines – unter Umständen auch immateriellen – Schadens voraus. Der Generalanwalt führt in seinen Schlussanträgen vom 6.10.2022 zu dem beim Europäischen Gerichtshof anhängigen Verfahren C-300/21 Tz. 117 dementsprechend aus: „Für die Anerkennung eines Anspruchs auf Ersatz des Schadens, den eine Person infolge eines Verstoßes gegen die genannte Verordnung erlitten hat, reicht die bloße Verletzung der Norm als solche nicht aus, wenn mit ihr keine entsprechenden materiellen oder immateriellen Schäden einhergehen. Der in der Verordnung 2016/679 geregelte Ersatz immaterieller Schäden erstreckt sich nicht auf bloßen Ärger, zu dem die Verletzung ihrer Vorschriften bei der betroffenen Person geführt haben mag.“

Zum anderen, und das ist entscheidend, kann sich aus dem Gesichtspunkt des Schadensersatzes nur dann ein Unterlassungsanspruch ergeben, wenn die erfolgte Verletzungshandlung noch andauert oder der pflichtwidrig geschaffene Zustand fortdauert (vgl. Grüneberg/Grüneberg, BGB, 82. Aufl., § 280 Rz. 31). Der Kläger verlangt hier jedoch nicht die Beseitigung von Datenweitergaben, welche anlässlich der drei behaupteten Nutzungen der Website erfolgt sind, oder die Beseitigung von deren Folgen, sondern die Unterlassung von Datenübermittlungen bei einer künftigen Nutzung der Online-Shop-Seite der Beklagten. Es handelt es insofern um einen vorbeugenden Unterlassungsanspruch.

b) Dem Kläger steht ein Anspruch auf Unterlassung auch nicht aus den §§ 1004 Abs. 1 S. 2 BGB i.V.m. § 823 Abs. 2 BGB i.V.m. mit den nach Auffassung des Klägers durch die Datenübermittlung an die Drittdienste verletzten Art. 5, 6 DS-GVO oder Art. 44 DS-GVO oder Art. 32 DS-GVO zu.

Das Landgericht hat zu Recht angenommen, dass Schadensersatzansprüche und Unterlassungsansprüche des nationalen Rechts, soweit dies auf Verstöße gegen Regeln zur Verarbeitung personenbezogener Daten und anderer Regelungen der DS-GVO gestützt sind, keine Anwendung finden, weil Vorschriften des DS-GVO eine abschließende, weil voll harmonisierende europäische Regelung bilden (BeckOK Datenschutzrecht/Wolf/Brink, Einleitung DS-GVO Rz. 19). Wegen dieses Anwendungsvorrangs des unionsweit abschließend vereinheitlichten Datenschutzrechts kann ein Anspruch nicht auf Vorschriften des nationalen deutschen Rechts gestützt werden (BVerfG NJW 2020, 314 Rz. 34 + 41; BGH NJW 2020, 3436 Rz. 64 m.w.N.). Auf nationales Recht kann nur zurückgegriffen werden, wenn sich aus der DS-GVO eine entsprechende Öffnungsklausel ergibt.

Eine solche Öffnung ergibt sich entgegen der Meinung des Klägers nach Wortlaut und Regelungszweck nicht aus Art. 79 Abs. 1 DS-GVO. Danach hat jede betroffene Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

Zu Unrecht hat das Landgericht allerdings gemeint, dass bereits die Passage, wonach das Recht auf einen wirksamen gerichtlichen Rechtsbehelf „unbeschadet“ verwaltungsgerichtlichen Rechtsschutzes, außergerichtlichem Rechtsschutzes und des Rechts auf Beschwerde nach Art. 77 DS-GVO gewährt werden müsse, einem Unterlassungsanspruch nach nationalem Recht entgegenstehe. Mit dem Wort „unbeschadet“ wird allein ausgedrückt, dass jene Rechtsbehelfe, die zuvor in der DS-GVO erwähnt sind, unberührt bleiben. Dies bedeutet noch nicht, dass andere Rechtsbehelfe als die unbeschadet bleibenden nicht in Betracht kommen.

Der Grund dafür, dass die Regelung des Art. 79 Abs. 1 DS-GVO keine Öffnung für die Anwendbarkeit nationaler Anspruchsnormen bewirkt, hat seinen Grund vielmehr darin, dass der Begriff „gerichtlicher Rechtsbehelf“ in Art. 79 Abs. 1 DS-GVO nur verfahrensmäßige Rechtsbehelfe i.S. von Klagen und Anträgen und nicht materielle Ansprüche meint (vgl. BeckOK-Datenschutzrecht/Mundil, 42. Ed., Art. 79 DS-GVO Rz. 10, vgl. ferner VG Regensburg ZD 2020, 601). Hinzu kommt, dass der Rechtsbehelf der betroffenen Person die Durchsetzung der ihr „aufgrund dieser Verordnung“ zustehenden Rechte ermöglichen soll. Da die Regelung mithin nur die Durchsetzung und den Rechtsschutz für die „aufgrund dieser Verordnung“ der betreffenden Person „zustehenden Rechte“ sichert, kann die Bestimmung nicht Grundlage für die Einräumung materieller Ansprüche sein, die die DS-GVO selbst nicht einräumt bzw. kennt. Verfassungsrechtlicher Hintergrund der Regelung ist die Rechtsschutzgarantie des Art. 47 GRC.

Insoweit ergibt sich entgegen der Meinung des Klägers auch nichts Abweichendes aus dem Urteil des Europäischen Gerichtshofs vom 12.1.2023 (C-132/21), weil mit diesem allein festgestellt wird, dass die in Art. 77 Abs. 1 und Art. 78 Abs. 1 einerseits und in Art. 79 Abs. 1 andererseits vorgesehenen Rechtsbehelfe nebeneinander und unabhängig voneinander ausgeübt werden können.

Soweit vereinzelt die Auffassung vertreten wird, auf der Basis von Art. 79 DS-GVO könnten auch Unterlassungsansprüche gegen Verantwortliche und Auftragsverarbeiter geltend gemacht werden, betrifft dies meist die (erweiternde) Auslegung von Ansprüchen nach der DS-GVO (so wohl: Kühling/Buchner/Bergt, DS-GVO, 3. Aufl. Art. 79 Rz. 1 und 13;), die oben unter a) erörtert wurden. Soweit daraus abgeleitet wird, es könne auf Unterlassungsansprüche des nationalen Rechts zurückgegriffen werden, vermag der Senat dem aus den vorstehenden Gründen nicht zu folgen (so auch: Leibold/Laoutounai, ZD Aktuell 2021, 05583). Entgegen der Meinung des Klägers wird auch in der obergerichtlichen Rechtsprechung nicht die Auffassung vertreten, wegen Verstößen gegen die DS-GVO könne aufgrund nationalen Rechts – aus §§ 1004 Abs. 1 S. 2, 823 Abs. 1 oder 2 BGB – auf Unterlassung geklagt werden (näher unten III.). Soweit der Kläger sich für seine Rechtsauffassung auf Urteile des Bundesgerichtshofs und von Oberlandesgerichten beruft, betreffen diese Veröffentlichungen in der Presse, bei denen nach Art. 85 Abs. 1 und 2 DS-GVO ergänzende und abweichende nationale Regelungen zur DS-GVO getroffen werden können (so insbesondere die angeführte Entscheidung BGH, Urteil vom 21.1.2021 – I ZR 207/19 Rz. 36 – 44: Bildnisveröffentlichung).

Durch die Beschränkung auf die von der DS-GVO in den Art. 15, 17 und 82 DS-GVO eingeräumten Individualansprüche stehen die von einem Verstoß gegen die Datenverarbeitungsregeln der DS-GVO Betroffenen nicht rechtlos da. Die Aufgabe der Durchsetzung und Überwachung der DS-GVO ist – neben den Individualansprüchen – nach Art. 51 Abs. 1 und Art. 57 Abs. 1 a) DS-GVO grundsätzlich umfassend den Aufsichtsbehörden im Sinne eines „Public Enforcement“ zugewiesen. Die DS-GVO sieht dafür in den Art. 77 und 78 DS-GVO vor, dass der Betroffene sich wegen angenommener Verstöße gegen die DS-GVO mit einer Beschwerde an die Aufsichtsbehörde wenden kann. Im Fall einer ablehnenden Entscheidung steht ihm nach Art. 78 DS-GVO der Klageweg gegen die Aufsichtsbehörde offen (vgl. Kühling/Buchner/Bergt, a.a.O. Art. 78 Rz. 9 ff.). Die Entscheidung des Europäischen Gerichtshofs, auf welche sich der Kläger mit seiner Klage zentral beruft, nämlich das Urteil vom 16.7.2020 (C-311/18, NJW 2020, 559 „Schrems II“), welches die Voraussetzungen für eine Übermittlung von Daten in Drittländer nach den Artt. 45, 46 DS-GVO betrifft, beruht dementsprechend auf einem Ausgangsverfahren, bei dem der Kläger von der Aufsichtsbehörde bestimmte Maßnahmen gegen Facebook verlangt hat. Diese wurden abgelehnt und danach (zunächst) Klage gegen die Aufsichtsbehörde erhoben.

Ein sachlicher Grund für diese Rechtslage, dass Individualansprüche der Betroffenen gegen die Verantwortlichen gerade bezüglich der Einhaltung der Regelungen der Artt. 44 ff. DS-GVO nicht vorgesehen wurden, besteht darin, dass über die generelle Frage der Zulässigkeit der Übermittlung ins Ausland auf dem Beschwerdeweg über Datenschutzbehörden einheitlich entschieden werden kann (vgl. Art. 51 Abs. 2 DS-GVO: Mitarbeit der Datenschutzbehörden bei der einheitlichen Anwendung der DS-GVO). Insofern überzeugt der Hinweis, dass die Möglichkeit, sich an Aufsichtsbehörden zu wenden, sachgerechter ist, weil dies abgestimmtes Verhalten ermöglicht und deren Anordnungen – anders als zivilgerichtliche Urteile – nicht nur inter partes wirken (Nink ZD 2022, 238). Schließlich ist darauf hinzuweisen, dass der Betroffenen, dem durch eine rechtswidrige Übermittlung seiner Daten ins Ausland ein Schaden entsteht, ein Schadensersatzanspruch nach Art. 82 DS-GVO zusteht.

III.

Der Ausspruch zur vorläufigen Vollstreckbarkeit des angefochtenen Urteils beruht auf § 708 Nr. 10 S. 2 ZPO.

Die Kostenentscheidung beruht auf § 97 Abs. 1 ZPO

Eine Zulassung der Revision war nicht geboten, weil weder die Rechtssache grundsätzliche Bedeutung hat noch die Einheitlichkeit der Rechtsprechung oder die Fortbildung des Rechts eine Entscheidung des Revisionsgerichts erfordert (§ 543 Abs. 2 ZPO).

Insbesondere erscheint eine Zulassung nicht zur Sicherung einer einheitlichen Rechtsprechung geboten. In der obergerichtlichen Rechtsprechung ist ein Rückgriff auf Anspruchsgrundlagen des nationalen Rechts bei der Geltendmachung von Verstößen gegen Vorschriften der DS-GVO bislang nicht anerkannt. Die vom Kläger für seine Meinung angeführten Entscheidungen betreffend andere Fallgestaltungen. Beispielhaft seien hier aufgeführt: Die Entscheidungen OLG Dresden (MMR 2020, 180) und des Senats (16 U 193/17) betreffen Auslistungsansprüche nach Art. 17 DS-GVO. Das OLG Dresden (ZD 2022, 235) hat über Löschungs-, Schadensersatz- und Auskunftsansprüche entschieden, nicht über einen Unterlassungsanspruch. Das Urteil des OLG Frankfurt vom 14.4.2022 (3 U 21/20) hatte die Sonderkonstellation der (versehentlichen) Versendung eines Kontoauszuges an eine andere Person als zu Kontoinhaber zum Gegenstand. Das angegebene Urteil des OLG Stuttgart (ZD 2022, 105) betrifft die Zulässigkeit einer Videoüberwachung nach dem BDSG. Nur einzelne Entscheidungen von Amts- und Landgerichten haben auf §§ 1004, 823 BGB zurückgegriffen. Diese betreffen – soweit ersichtlich – aber jedenfalls nicht Verstöße gegen die Art. 44 ff. DS-GVO. Einzige Ausnahme ist eine Entscheidung des Landgerichts München (K&R 2022, 865), die die Problematik des vollharmonisierten europäischen Rechts schon nicht erkennt, eindeutig auf unrichtiger Rechtsanwendung beruht und deshalb keine Zulassung der Revision rechtfertigt. Im Übrigen betreffen viele Urteile, auf die der Kläger sich für seine Rechtsauffassung beruft, Veröffentlichungen in der Presse, bei denen nach Art. 85 DS-GVO nationale Regelungen durch die DS-GVO nicht ausgeschlossenen werden.

Die Entscheidung über die vorläufige Vollstreckbarkeit ergibt sich aus den §§ 708 Nr. 10, 711, 709 S. 2 ZPO.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Jetzt zum Newsletter anmelden!

Erlaubnis zum Versand des Newsletters: Ich möchte regelmäßig per E-Mail über aktuelle News und interessante Entwicklungen aus den Tätigkeitsfeldern der Anwaltskanzlei Hild & Kollegen informiert werden. Diese Einwilligung zur Nutzung meiner E-Mail-Adresse kann ich jederzeit für die Zukunft widerrufen, in dem ich z. B. eine E-Mail an newsletter [at] kanzlei.biz sende. Der Newsletter-Versand erfolgt entsprechend unserer Datenschutzerklärung.

n/a