Die Verantwortliche wird verurteilt, der betroffenen Person als Ausgleich für Datenschutzverstöße und die Ermöglichung der unbefugten Ermittlung der Handynummer einen immateriellen Schadenersatz in Höhe von EUR 100 zu zahlen.

Germany. Oberlandesgericht Dresden. Verfahrensgegenstand ist der bekannte Scraping-Vorfall bei einem international tätigen sozialen Netzwerk. Personenbezogene Daten der Nutzerin konnten durch das Ausnützen eines bereitgestellten Tools von unbekannten Dritten ausgelesen werden und wurden in der Folge im Darknet zum Verkauf angeboten.

Die Nutzerin forderte hierfür insbesondere immateriellen Schadenersatz sowie die Feststellung der Haftung für künftige Schäden. Den Anspruch stützte die Nutzerin auf den durch den Vorfall eingetretenen erheblichen Kontrollverlust über die eigenen personenbezogenen Daten. Dafür stünden ihr zumindest EUR 3.000 zu. Schließlich habe die Betreiberin des sozialen Netzwerks datenschutzunfreundliche Voreinstellungen und auch sonst keine angemessenen Sicherheitsmaßnahmen getroffen, um das Auslesen zu unterbinden. Anders argumentierte die Betreiberin, wonach die beanstandete Verarbeitung rechtmäßig gewesen sei und die Nutzerin die Voreinstellungen zur Abrufbarkeit jederzeit hätte eigenständig ändern können.

Diese Entscheidung des Oberlandesgerichts Dresden führt zu einer Abkehr von der eigenen Spruchspraxis und zum Anschluss an die Rechtsansicht des deutschen Bundesgerichtshofs, der zwischenzeitlich in einer gleichgelagerten Sache entschieden hatte.

Für die datenschutzrechtliche Praxis besonders wichtige Aussagen des Oberlandesgerichts in dieser Entscheidung:

• Einheitlicher Streitgegenstand auf Entschädigungsleistung, auch wenn dieser Anspruch aus mehreren Verstößen gegen die EU-DSGVO abgeleitet wird.
• Maßnahmen gemäß Art 25 Abs 2 EU-DSGVO müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.
• Als Voreinstellung iSd Art 25 EU-DSGVO ist der kleinstmögliche Empfängerkreis vorzusehen.
• Ein Schadenersatzanspruch nach Art 82 EU-DSGVO kann nicht auf die Verletzung von Art 33, 34 EU-DSGVO gestützt werden, weil in diesem Zusammenhang keine Verarbeitung personenbezogener Daten vorliegt.
• Für die Schadensschätzung sind insbesondere die etwaige Sensibilität der konkret betroffenen personenbezogenen Daten und deren typischerweise zweckgemäße Verwendung zu berücksichtigen. Ferner sind die Art des Kontrollverlusts, dessen Dauer und die Möglichkeit der Wiedererlangung der Kontrolle etwa durch Entfernung einer Veröffentlichung aus dem Internet (inklusive Archiven) oder Änderung des personenbezogenen Datums in den Blick zu nehmen.