Scraping – Schadensersatz – Kontrollverlust

Scraping – Schadensersatz – Kontrollverlust

RA und Notar Krau

Das Oberlandesgericht Braunschweig hat in einem Urteil vom 5. Juni 2025 (Az.: 2 U 71/24) über einen sogenannten „Scraping“-Vorfall bei einem großen sozialen Online-Netzwerk entschieden. Dabei ging es um Schadensersatzansprüche wegen Verstößen gegen die Datenschutz-Grundverordnung (DSGVO).

Worum ging es?

Eine Nutzerin (Klägerin) hatte seit 2008 ein Konto bei dem sozialen Netzwerk. Neben öffentlich sichtbaren Daten wie Name, Geschlecht und Nutzer-ID konnten Nutzer auch weitere persönliche Daten, wie ihre Telefonnummer, hinterlegen und deren Sichtbarkeit einschränken.

Standardmäßig war die Einstellung für die Suchbarkeit des Profils über die Telefonnummer jedoch auf „alle“ gesetzt. Das Netzwerk bot eine „Kontakt-Import-Funktion“ an, die es Nutzern ermöglichte, Profile anderer Nutzer anhand deren hinterlegter Telefonnummer zu finden.

Im Jahr 2019 nutzten unbekannte Dritte diese Funktion aus. Sie gaben massenhaft automatisch generierte Telefonnummern ein und konnten so Telefonnummern mit Nutzerkonten verknüpfen und persönliche Daten von etwa 533 Millionen Nutzern „abschöpfen“ (Scraping). Diese Daten, darunter auch die der Klägerin, wurden im April 2021 öffentlich im Internet verbreitet.

Die Klägerin sah darin einen Verstoß gegen die DSGVO und forderte Schadensersatz, Unterlassung und Auskunft sowie die Erstattung vorgerichtlicher Anwaltskosten. Das Landgericht Braunschweig hatte die Klage in erster Instanz vollständig abgewiesen.

Die Entscheidung des Oberlandesgerichts Braunschweig:

Das Oberlandesgericht hob das Urteil des Landgerichts teilweise auf und gab der Klägerin in einigen Punkten Recht:

Immaterieller Schadensersatz (Schmerzensgeld): 100,00 €

DSGVO-Verstoß:

Das Gericht stellte fest, dass das soziale Netzwerk gegen die DSGVO verstoßen hat. Die standardmäßige Voreinstellung der Suchbarkeit eines Nutzerprofils über die Telefonnummer auf „alle“ verstieß gegen die Grundsätze der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und des Datenschutzes durch datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO).

Scraping – Schadensersatz – Kontrollverlust

Rechtmäßigkeit der Datenverarbeitung:

Die Verarbeitung der Telefonnummer zu diesem Zweck war nicht rechtmäßig. Sie war weder für die Erfüllung des Nutzungsvertrags notwendig (Nutzer konnten sich auch über Namen finden) noch lag eine wirksame Einwilligung der Klägerin vor. Eine „Opt-Out“-Möglichkeit (man muss selbst aktiv widersprechen) reicht für eine wirksame Einwilligung nicht aus. Auch die Informationen des Netzwerks waren nicht transparent genug.

Verschulden:

Das Gericht ging von einem Verschulden des Netzwerks aus, da es seine Pflichten aus der DSGVO (z.B. geeignete technische und organisatorische Maßnahmen) zumindest fahrlässig verletzt hatte.

Schaden:

Das Gericht bejahte einen immateriellen Schaden in Form eines „Kontrollverlusts“ über die eigenen Daten. Schon der zeitlich begrenzte Verlust der Kontrolle über persönliche Daten kann einen immateriellen Schaden darstellen, auch wenn er geringfügig ist. Die öffentliche Verbreitung der Telefonnummer der Klägerin, verknüpft mit ihren öffentlichen Profildaten, führte zu einem solchen Kontrollverlust. Die von der Klägerin zusätzlich geltend gemachten Ängste oder Sorgen (z.B. vor Identitätsdiebstahl, vermehrte Spam-Anrufe/-Nachrichten) wurden vom Gericht nicht als hinreichend bewiesen oder glaubhaft angesehen, um einen höheren Schadensersatz zu rechtfertigen. Gründe hierfür waren unter anderem, dass die Klägerin ihre Betroffenheit erst Jahre später prüfte und weiterhin intensiv soziale Medien nutzte, ohne ihre Telefonnummer zu ändern.

Kausalität:

Der Verstoß des Netzwerks gegen die DSGVO war ursächlich für den Kontrollverlust.

Feststellung künftiger Schäden:

Das Gericht stellte fest, dass das soziale Netzwerk verpflichtet ist, der Klägerin alle zukünftigen materiellen und derzeit noch nicht vorhersehbaren immateriellen Schäden zu ersetzen, die durch den unbefugten Zugriff auf ihre Daten entstehen könnten. Dies ist gerechtfertigt, da das Risiko eines Missbrauchs der Daten (z.B. für Betrug) fortbesteht.

Unterlassungsanträge:

Die Anträge der Klägerin auf Unterlassung (z.B. die Kontakt-Import-Funktion nur mit bestimmten Sicherheitsmaßnahmen zu ermöglichen oder Telefonnummern nicht auf Grundlage einer unwirksamen Einwilligung zu verarbeiten) wies das Gericht ab.

Unzulässigkeit:

Ein Antrag war als verdeckter Leistungsantrag unzulässig, da er ein aktives Tun des Netzwerks forderte. Zudem fehlte das Rechtsschutzbedürfnis, da die Klägerin die Verarbeitung ihrer Daten durch einfache Änderung ihrer Datenschutzeinstellungen selbst hätte verhindern können.

Unbegründetheit:

Es bestand keine „Wiederholungsgefahr“. Das soziale Netzwerk hatte die problematische Kontakt-Import-Funktion bereits 2018/2019 deaktiviert und durch eine andere Funktion ersetzt, die das direkte Verknüpfen von Telefonnummern mit Profilen verhindert. Da seit dem Vorfall mehr als fünf Jahre vergangen waren und das Netzwerk Maßnahmen ergriffen hatte, sah das Gericht keine ernsthafte Gefahr einer Wiederholung eines vergleichbaren Datenzugriffs.

Auskunftsanspruch:

Die Parteien erklärten den Auskunftsanspruch in der Berufungsinstanz für erledigt. Das Gericht stellte fest, dass der Anspruch der Klägerin auf Auskunft über die von ihr betroffenen, durch Scraping erlangten Daten ursprünglich berechtigt war und das soziale Netzwerk diesen Anspruch im Laufe des Rechtsstreits erfüllt hatte.

Vorgerichtliche Rechtsanwaltskosten:

Die Klägerin hatte Anspruch auf Freistellung von vorgerichtlichen Rechtsanwaltskosten in Höhe von 90,96 € (statt der geforderten 1.134,55 €). Nur die Kosten, die im Zusammenhang mit den erfolgreichen Ansprüchen (Schadensersatz und Feststellung künftiger Schäden) standen, wurden als notwendig und zweckmäßig erachtet. Die Auskunft über die Daten hätte die Klägerin auch selbst anfordern können.

Fazit:

Das Oberlandesgericht Braunschweig bestätigte, dass der unbefugte Zugriff auf persönliche Daten, der zu einem Kontrollverlust führt, einen immateriellen Schaden nach der DSGVO darstellt und zu Schadensersatz führen kann, auch wenn der Betrag gering ist.

Es betonte die Pflichten von Unternehmen, datenschutzfreundliche Voreinstellungen zu wählen und transparente Informationen zur Datenverarbeitung zu geben. Gleichzeitig wies es darauf hin, dass Unterlassungsansprüche nur bei einer tatsächlichen Wiederholungsgefahr bestehen und Nutzer auch eigene Möglichkeiten zur Datenkontrolle nutzen sollten.