Austria. Bundesverwaltungsgericht. Bei der Verantwortlichen kam es zu einem Datenabfluss durch Web-Scraping. Der Kläger, dessen Daten ebenfalls betroffen waren, machte in diesem Zusammenhang verschiedene Ansprüche geltend.

Die Verantwortliche habe unzureichende technische und organisatorische Maßnahmen ergriffen, um den Missbrauch des von ihr bereitgestellten Kontakt-Import-Tools zu verhindern. Diese Funktion ermöglichte es Nutzern, Kontakte aus ihrem Mobiltelefon-Adressbuch mit den bei der Verantwortlichen hinterlegten Telefonnummern abzugleichen. Infolgedessen seien auch personenbezogene Daten des Klägers durch unbekannte Dritte veröffentlicht worden, wodurch er zahlreichen Betrugsversuchen und Phishing-Angriffen ausgesetzt gewesen sei. Er behauptete, durch diese unerwünschten Kontaktversuche erheblich belästigt worden zu sein und forderte daher immateriellen Schadenersatz in Höhe von mindestens EUR 3.000. Ein weiterer Streitpunkt war die Überwachung von Chat-Nachrichten, die über die von der Verantwortlichen betriebene Plattform verwendet wurden. Seine privaten Nachrichten seien systematisch und anlasslos überwacht worden, was ihn in seinem Recht auf Vertraulichkeit der Kommunikation beeinträchtigt habe. Letztlich forderte der Kläger, dass die Beklagte die Übermittlung von personenbezogenen Daten in die USA unterlasse, inbesondere die Weitergabe seiner Daten an US-amerikanische Geheimdienste, insbesondere an die CIA.

Nach Ansicht der Verantwortlichen seien alle Daten, die im Rahmen des Datenabflusses entwendet wurden, öffentlich zugänglich gewesen. So, wie es der Kläger in den Privatsphäreeinstellungen selbst ausgewählt hatte, indem er die Einstellung auf „öffentlich“ belassen habe. Hinsichtlich der Nachrichten argumentierte die Verantwortliche, dass sie keine anlasslose Überwachung der privaten Nachrichten, sondern einen zulässigen Medienabgleich im Rahmen der Bekämpfung von kinderpornografischen Inhalten durchführe. Diese Maßnahmen seien gesetzlich vorgeschrieben und dienten dem Schutz der Plattform und ihrer Nutzer. Die Übermittlung in die USA sei zulässig. Letztlich sei dem Kläger durch all das auch kein immaterieller Schaden entstanden. Der bloße Ärger über unerwünschte Nachrichten reiche hierfür nicht aus.

Die wichtigsten Aussagen betreffend Schadenersatz, die Auskunft und die Gestaltungsmöglichkeiten der betroffenen Person beim Aufbau des Geschäftsmodells eines Verantwortlichen:

• Eine etwaige Ungewissheit über die Verarbeitung der eigenen Daten durch unbekannte Dritte genügt für das Vorliegen eines Schadens iSd Art 82 EU-DSGVO nicht.
• Ein Schaden, der rein theoretischer Natur ist, vermag kein Feststellungsinteresse zu begründen.
• Steht der betroffenen Person ein einfacherer Weg zur Erreichung ihres Rechtsschutzziels zur Verfügung, fehlt einer Unterlassungsklage das Rechtsschutzbedürfnis.
• Die betroffene Person hat keinen Anspruch darauf, dass die Verantwortliche Datenverarbeitungen dergestalt betriebt, dass sämtliche Daten in Europa gespeichert und verarbeitet werden.
• Bietet die Verantwortliche eine Selbstauskunftsmöglichkeit und stellt sie Informationen zu den Verarbeitungszwecken auf eine bestimmte Seite im Hilfebereich bereit, ist die Pflicht zur Auskunft iSd § 362 Abs 1 DE-BGB erfüllt.