Urteil vom Landgericht Bonn - 13 O 189/23

Tenor

1. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 €, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten der Klägerin wie nachstehend aufgelistet mit Hilfe der A-Business-Tools zu verarbeiten:

a) auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klägerin, ob direkt oder in gehashter Form übertragen, d. h.

E-Mail der Klägerin

Telefonnummer der Klägerin

Vorname der Klägerin

Nachname der Klägerin

Geburtsdatum der Klägerin

Geschlecht der Klägerin

Ort der Klägerin

Externe IDs anderer Werbetreibender (von der A "external_ID" genannt)

IP-Adresse des Clients

User-Agent des Clients (d. h. gesammelte Browserinformationen)

interne Klick-ID der A

interne Browser-ID der A

Abonnement-ID

Lead-ID

anon_id

die Advertising ID des Betriebssystems Android (von der A "madid" genannt)

sowie folgende personenbezogene Daten der Klägerin

b) auf Webseiten

die URLs der Webseiten samt ihrer Unterseiten

der Zeitpunkt des Besuchs der "Referrer" (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist),

die von der Klägerin auf der Webseite angeklickten Buttons sowie

weitere von der A "Events" genannte Daten, die die Interaktionen der Klägerin auf der jeweiligen Webseite dokumentieren

c) in mobilen Dritt-Apps

der Name der App sowie

der Zeitpunkt des Besuchs

die von der Klägerin in der App angeklickten Buttons sowie

die von der A "Events" genannte Daten, die die Interaktionen der Klägerin in der jeweiligen App dokumentieren.

2. Die Beklagte wird verurteilt, sämtliche im Tenor zu 1.a) genannten, seit dem 25.05.2018 gespeicherten personenbezogenen Daten der Klägerin einen Monat nach rechtskräftigem Abschluss des Verfahrens vollständig zu löschen und der Klägerin die Löschung zu bestätigen sowie sämtliche im Tenor zu 1.b) und 1.c) genannten, seit dem 25.05.2018 gespeicherten personenbezogenen Daten der Klägerin vollständig zu anonymisieren oder wahlweise - nach Wahl der Beklagten - zu löschen.

3. Die Beklagte wird verurteilt, an die Klägerin 498,00 € nebst Jahreszinsen in Höhe von 5 Prozentpunkten über dem jeweiligen Basiszinssatz seit dem 08.09.2023 zu zahlen.

4. Die Beklagte wird verurteilt, die Klägerin gegenüber ihren Prozessbevollmächtigten von vorgerichtlichen Rechtsverfolgungskosten in Höhe von 159,94 € freizustellen.

5. Im Übrigen wird die Klage abgewiesen.

6. Die Kosten des Rechtsstreits werden der Klägerin zu 7/10 und der Beklagten zu 3/10 auferlegt.

7. Das Urteil wird gegen Sicherheitsleistung für vorläufig vollstreckbar erklärt, und zwar:

- hinsichtlich des Tenors zu 1. in Höhe von 1.500,00 €,

- hinsichtlich des Tenors zu 3., 4. und 6. in Höhe von 110 % des jeweils zu vollstreckenden Betrags.

Der Tenor zu 2. hat wegen der dortigen Bezugnahme auf den rechtskräftigen Abschluss des Verfahrens keinen der vorläufigen Vollstreckbarkeit zugänglichen Inhalt (§ 704 Alt. 1 ZPO).

8. Der Streitwert wird auf 8.000,00 € festgesetzt.

Tatbestand:

Die Klägerin nimmt die Beklagte wegen behaupteter datenschutzrechtlicher Verstöße seit Inkrafttreten der DSGVO am 25.05.2018 in Anspruch.

Die Klägerin ist langjährige Benutzerin der von der Beklagten betriebenen Internet-Plattform "B". Auf dieser Plattform verarbeitet die Beklagte zum einen Daten ihrer Benutzer, die unmittelbar durch die bestimmungsgemäße Benutzung der Plattform anfallen (sog. On-Site-Daten). Zum anderen bietet die Beklagte im Rahmen Ihres Geschäftsmodells Dritten - i.d.R. Unternehmen, die auf der B-Plattform personalisierte Werbeanzeigen schalten wollen (im Folgenden nur: Werbekunden) - gegen Entgelt die Möglichkeit an, Daten, die durch die Benutzung ihrer eigenen Internet-Plattformen nebst zugehöriger Smartphone-Apps anfallen, an die Beklagte zu übermitteln, wo sie einem konkreten B-Benutzer zugeordnet und so zur Personalisierung der diesem Benutzer auf der B-Plattform angezeigten Werbung genutzt werden können (sog. Off-Site-Daten). Die letztgenannte Datenkategorie ist Gegenstand dieses Rechtsstreits.

Um die Verarbeitung von Off-Site-Daten technisch umzusetzen, stellt die Beklagte ihren Werbekunden die sog. A-Business-Tools zur Verfügung. Dabei handelt es sich um Algorithmen, die die Werbekunden in ihre eigene Internet-Plattform und Apps integrieren und die die dort anfallenden Daten über die von dem jeweiligen Benutzer durchgeführten Aktionen (sog. Event-Daten) sowie die zur Identifizierung des Benutzers dienenden technischen Daten an die Beklagte übertragen, wo sie ausgewertet und ggf. weiterverwendet werden. Wegen der technischen Einzelheiten wird auf den schriftsätzlichen Vortrag der Parteien Bezug genommen. Die Verwendung der A-Business-Tools ist im Internet weit verbreitet; sie werden wegen der hohen Reichweite, die die Internet-Plattform "B" Werbekunden bietet, von zahlreichen namhaften kommerziellen Internet-Plattformen genutzt. Auf die beispielhafte Auflistung in der Anlage K2 wird Bezug genommen.

Die Verträge zwischen der Beklagten und ihren Werbekunden sehen vor, dass sich die Werbekunden dazu verpflichten, für die durch die A-Business-Tools angestoßene Datenverarbeitung eine Einwilligung des Benutzers i.S.d. Art. 6 Abs. 1 S. 1 Nr. 1 DSGVO einzuholen und die Daten nur auf dieser Grundlage an die Beklagte zu übertragen (siehe Anlage B5, dort Ziffern 3 und 5). Die Beklagte stellt Benutzern auf der B-Plattform ihrerseits Möglichkeiten zu Verfügung, sich über ihren Willen zu einzelnen Datenverarbeitungsvorgängen im Zusammenhang mit der Anzeige personalisierter Werbung zu erklären, konkret bezügliche "optionaler Cookies", "Informationen über Aktivitäten von Werbepartnern" und "Aktivitäten außerhalb der A-Technologien". Wegen der Einzelheiten wird auf die textliche und bildliche Darstellung auf den Seiten 20 ff. der Klageerwiderung Bezug genommen. Keine dieser Einstellungen verhindert, dass Off-Site-Daten der Benutzer an die Beklagte übermittelt werden, sondern - je nach Einstellung - lediglich, dass die Daten mit dem Benutzerkonto des Benutzers verknüpft und zum Zwecke personalisierter Werbung verwendet werden.

Die Klägerin beauftragte ihre jetzigen Prozessbevollmächtigten mit der vorgerichtlichen Rechtsverfolgung und ließ die Beklagte mit Schreiben vom 10.08.2023 (Anlage K3) im Wesentlichen auf Auskunft und Schmerzensgeld in Anspruch nehmen. Hierfür ging sie eine - nicht näher erläuterte - Verbindlichkeit in Höhe von 973,66 € ein.

Die Klägerin ist der Ansicht, das Modell der A-Business-Tools verstoße gegen die Vorschriften der DSGVO, da die durch sie bewirkte Datenverarbeitung durch keinen Rechtfertigungstatbestand i.S.d. Art. 6 Abs. 1 DSGVO gedeckt sei. Die Datenverarbeitung durch die Beklagte sei derart umfassend, dass sie sie - die Klägerin - im Kernbereich ihres allgemeinen Persönlichkeitsrechts verletze.

Die Klägerin beantragt,

1. festzustellen, dass der Nutzungsvertrag der Parteien zur Nutzung des Netzwerks ”B” unter der E-Mail-Adresse „E01“ der Beklagten die Erhebung mit Hilfe der A Business Tools, die Weitergabe an die Server der Beklagten, die dortige Speicherung und anschließende Verwendung von folgenden personenbezogenen Daten nicht gestattet:

a) auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klägerin, ob direkt oder in gehashter Form übertragen, d. h.

E-Mail der Klägerin

Telefonnummer der Klägerin

Vorname der Klägerin

Nachname der Klägerin

Geburtsdatum der Klägerin

Geschlecht der Klägerin

Ort der Klägerin

Externe IDs anderer Werbetreibender (von der A „external_ID” genannt)

IP-Adresse des Clients

User-Agent des Clients (d. h. gesammelte Browserinformationen)

interne Klick-ID der A

interne Browser-ID der A

Abonnement-ID

Lead-ID

anon_id

die Advertising ID des Betriebssystems Android (von der A „madid“ genannt)

sowie folgende personenbezogene Daten der Klägerin

b) auf Webseiten

die URLs der Webseiten samt ihrer Unterseiten

der Zeitpunkt des Besuchs der „Referrer“ (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist),

die von der Klägerin auf der Webseite angeklickten Buttons sowie

weitere von der A „Events“ genannte Daten, die die Interaktionen der Klägerin auf der jeweiligen Webseite dokumentieren

c) in mobilen Dritt-Apps

der Name der App sowie

der Zeitpunkt des Besuchs

die von der Klägerin in der App angeklickten Buttons sowie

die von der A „Events“ genannte Daten, die die Interaktionen der Klägerin in der jeweiligen App dokumentieren,

2. die Beklagte zu verurteilen, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten der Klägerin gem. dem Antrag zu 1. mit Hilfe der A Business Tools zu erheben, an die Server der Beklagten weiterzugeben, die Daten dort zu speichern und anschließend zu verwenden,

3. die Beklagte zu verpflichten, sämtliche unter dem Antrag zu 1 a., b. und c. aufgeführten, seit dem 25.05.2018 bereits verarbeiteten personenbezogenen Daten der Klägerin ab sofort unverändert am gespeicherten Ort zu belassen, d. h. insbesondere diese erst einen Monat nach rechtskräftigem Abschluss des Verfahrens zu löschen, und diese bis zu diesem Zeitpunkt nicht zu verändern, intern nicht weiter zu verwenden, und nicht an Dritte zu übermitteln,

4. die Beklagte zu verpflichten, sämtliche gem. dem Antrag zu 1 a. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten der Klägerin einen Monat nach rechtskräftigem Abschluss des Verfahrens vollständig zu löschen und der Klägerin die Löschung zu bestätigen sowie sämtliche gem. dem Antrag zu 1 b. sowie c. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren oder wahlweise nach Wahl der Beklagten zu löschen,

5. die Beklagte zu verurteilen, an sie eine angemessene Entschädigung in Geld, deren Höhe in das Ermessen des Gerichts gestellt wird, die aber mindestens 5.000,00 Euro beträgt, nebst Zinsen i.H.v. fünf Prozentpunkten über dem Basiszinssatz seit dem 08.09.2023, zu zahlen,

6. die Beklagte zu verurteilen, sie von vorgerichtlichen Rechtsanwaltskosten i.H.v. 973,66 Euro freizustellen.

Die Beklagte beantragt,

die Klage abzuweisen.

Sie hält die Klageanträge für unzulässig; wegen der Einzelheiten wird auf den schriftsätzlichen Vortrag Bezug genommen. Sie ist der Ansicht, für die Verarbeitung der Daten durch die Werbekunden nicht verantwortlich i.S.d. Art. 4 Nr. 7, 24 DSGVO zu sein. Soweit ihre Verantwortlichkeit reiche, sei die Datenverarbeitung durch Einwilligungserklärungen der Klägerin i.S.d. Art. 6 Abs. 1 S. 1 Nr. 1 DSGVO gedeckt, die sich zudem - insoweit unstreitig - jederzeit dafür entscheiden könne, der Nutzung ihrer Daten zu Zwecken der personalisierten Werbung zu widersprechen.

Entscheidungsgründe:

Die Klage ist teilweise unzulässig und, soweit sie zulässig ist, nur teilweise begründet.

Die Klage ist nach Maßgabe der nachstehenden Ausführungen zulässig bzw. unzulässig.

Klageantrag zu Ziffer 1:

Der Feststellungsantrag ist wegen des Vorrangs der Leistungsklage mangels Feststellungsinteresses unzulässig. Die Klägerin kann ihr Rechtsschutzziel ebenso gut durch einen Unterlassungsantrag verfolgen, den sie sogar tatsächlich stellt (siehe sogleich). Ein weitergehendes Feststellungsinteresse hat sie nicht dargelegt. Der Antrag ist auch nicht als Zwischenfeststellungsklage i.S.d. § 256 Abs. 2 ZPO zulässig, da Gegenstand des Antrags keine Rechtsverhältnisse, sondern abstrakte Rechtsfragen sind.

Klageantrag zu Ziffer 2:

Der Unterlassungsantrag ist zulässig, er ist insbesondere hinreichend bestimmt, da er auf den Inhalt des Feststellungsantrags Bezug nimmt und dadurch die begehrte Unterlassung in vollstreckungsfähiger Form konkretisiert.

Klageantrag zu Ziffer 3:

Der Antrag ist mangels hinreichender Bestimmtheit unzulässig. Die Klägerin vermischt hier in diffuser Weise mehrere mögliche Klageziele. Dem primären Wortlaut nach verlangt die Klägerin in der Sache, dass die Beklagte die bei ihr über sie gespeicherten personenbezogenen Daten i.S.d. Klageantrags zu Ziffer 1 "unverändert am gespeicherten Ort [belässt]". Obwohl dieser Antrag im Sinne einer (positiven) Leistung formuliert ist, stellt sich die Frage, ob nicht tatsächlich eine Unterlassung gewollt ist, nämlich die Unterlassung der Datenveränderung bzw. -löschung. Sprachlich unklar und damit einer Vollstreckung nicht zugänglich bleibt dabei allerdings, was mit dem "gespeicherten Ort" gemeint sein soll. Der physische Datenträger? Wo soll ein solcher Anspruch herkommen? Noch unklarer wird es, wenn man den zweiten Satz mit in den Blick nimmt, denn dort verlangt die Klägerin, dass die Beklagte die Daten nicht weiter "verwendet"; was die Klägerin mit diesem Begriff, der kein terminus technicus der DSGVO ist, meint, bleibt unklar. Es erfolgt auch keine Abgrenzung zu dem Klageantrag zu Ziffer 2, der sich ebenfalls darauf bezieht, dass die Beklagte die Verarbeitung von Daten unterlassen soll.

Klageantrag zu Ziffer 4:

Der Antrag ist als - materiell-rechtlich in zeitlicher Hinsicht beschränkter - Leistungsantrag zulässig.

Klageantrag zu Ziffer 5:

Der Antrag ist als regulärer Leistungsantrag zulässig.

Klageantrag zu Ziffer 6:

Der Antrag ist als regulärer Leistungsantrag zulässig.

II.

Soweit die Klage zulässig ist, ist sie nur zum Teil begründet.

(Klageantrag zu Ziffer 2)

Die Klägerin hat gegen die Beklagte einen Anspruch auf Unterlassung der streitgegenständlichen Datenverarbeitung wie - in Kombination mit dem Klageantrag zu Ziffer 1 - beantragt und tenoriert gemäß §§ 1004 Abs. 1 S. 2, 823 Abs. 2 BGB i.V.m. Art. 6 Abs. 1 DSGVO oder gemäß Art. 17 DSGVO, da die Beklagte insoweit personenbezogene Daten der Klägerin rechtswidrig verarbeitet. Dabei kann offenbleiben, ob Art. 17 DSGVO einen - ggf. inhaltsgleichen - eigenständigen Unterlassungsanspruch normiert. Falls dies nicht der Falls sein sollte, sperrt Art. 17 DSGVO jedenfalls nicht den Rückgriff auf den allgemeinen Anspruch aus §§ 1004 Abs. 1 S. 2, 823 Abs. 2 BGB. Die DSGVO ist nach der Rechtsprechung ein Schutzgesetz i.S.v. § 823 Abs. 2 BGB (vgl. z.B. OLG Köln, Urteil vom 14.11.2019, 15 U 126/19).

Durch die Verwendung der A-Business-Tools liegt eine Datenverarbeitung der Beklagten i.S.d. Art. 4 Nr. 1 und 2 DSGVO vor. Zwar "erhebt" die Beklagte die Daten unstreitig nicht selbst, sondern ihre Werbepartner; die Beklagte "erfasst" die Daten jedoch (nach Übermittlung), "speichert" sie, "verwendet" sie (zur Identifizierung des Benutzers), "verknüpft" sie (mit den bereits erfassten Daten desselben Benutzers), und "verwendet" sie sodann abermals zur Anzeige personalisierter Werbung. Für all diese Vorgänge ist sie i.S.d. Art. 4 Nr. 7, 24 und 26 DSGVO "verantwortlich".

Die Datenverarbeitung betrifft auch die Klägerin. Zwar hat sie nicht im Einzelnen vorgetragen, welche Internetseiten genau sie im streitgegenständlichen Zeitraum besucht haben will, auf denen die A-Business-Tools zur Anwendung gekommen seien. Sie hat jedoch vorgetragen, dass die A-Business-Tools weit verbreitet seien und den Vortrag durch Vorlage der Anlage K2 substantiiert, deren Inhalt die Beklagte nicht bestritten hat und aus der sich ergibt, dass eine erhebliche Anzahl an namhaften kommerziellen Internetportalen die A-Business-Tools verwenden. Da es bei einer hierzulande üblichen, langjährigen Nutzung des Internets nach der Lebenserfahrung nicht zu erwarten steht, dass keine dieser Seiten jemals angesteuert werden, hätte es der Beklagten im Wege einer sekundären Darlegungslast oblegen, ihrerseits darzulegen, dass sie tatsächlich keine Daten der Klägerin durch die A-Business-Tools verarbeitet hat, was ihr als unmittelbare Inhaberin der entsprechenden Daten unschwer möglich gewesen wäre. An einer solchen Darlegung fehlt es, weshalb das Gericht diesem Urteil zugrunde zu legen hat, dass auch Daten der Klägerin durch die A-Business-Tools verarbeitet worden sind.

Für die Datenverarbeitung steht der Beklagten kein Rechtfertigungstatbestand zur Seite. Schon nach ihrem eigenen Vortrag beruft sich die Beklagte insoweit allein auf eine Einwilligung der Klägerin i.S.d. Art. 6 Abs. 1 lit. a, Art. 7, Art. 4 Nr. 11 DSGVO, für deren Vorliegen die Beklagte die Darlegungslast trifft (Art. 7 Abs. 1 DSGVO). Nach dem eigenen Vortrag der Beklagten, wenngleich nicht nach ihrer abweichenden Rechtsansicht, gibt es eine solche Einwilligung indes nicht bzw. ist diese unwirksam.

Es ist dabei anzunehmen, dass die von der Beklagten im Zusammenhang mit der streitgegenständlichen Datenverarbeitung angebotenen Einstellungsmöglichkeiten im Falle der Klägerin sinngemäß auf "Zustimmung" eingestellt gewesen sind. Die Klägerin vermochte sich zwar nach ihrer Anhörung nicht mehr daran zu erinnern, wie es dazu gekommen ist, dass die drei nachfolgend thematisierten Punkte, welche die Einwilligung betreffen (können) - "optionale Cookies", "Informationen über Aktivitäten von Werbepartnern" und "Aktivitäten außerhalb der A-Technologien" - auf "Zustimmung" gestellt waren. Es ist indes gerichtsbekannt, dass die Abfrage zu "optionale Cookies" automatisch bei Nutzung der Webseite bzw. App "aufpoppt" und damit vom Benutzer - also auch der Klägerin - beantwortet werden muss, bevor die Dienste der Beklagten (weiter) genutzt werden können. Daher ist mangels substantiiert gegenteiligen Vortrags der Klägerin davon auszugehen, dass auch sie die Abfrage zu den "optionalen Cookies" beantworten musste. Da die betreffenden Einstellungen unstreitig (bis heute) auf "Zustimmung" stehen, muss die Kammer davon ausgehen, dass die Klägerin diese - durchaus grundsätzlich nach dem Opt-In-Verfahren (Art. 7 Abs. 1 und Abs. 3 S. 3 DSGVO) erfolgte - Abfrage mit "Zustimmung" beantwortet hat. Daneben ist mangels gegenteiligen substantiierten Vortrags der Beklagten davon auszugehen, dass die Einstellungen unter "Informationen über Aktivitäten von Werbepartnern" und "Aktivitäten außerhalb der A-Technologien" automatisch - seitens der Beklagten infolge der Zustimmung zu den optionalen Cookies - auf "Zustimmung" gestellt worden sind, wobei es hierauf nicht entscheidend ankommt mangels Wahrung des Opt-In-Grundsatzes zu diesen beiden Punkten. Hieraus ergibt sich insgesamt keine wirksame Einwilligung, weil die "Zustimmung" zu "optionale Cookies" nicht in einer hinreichend informierenden Weise i.S.v. Art. 4 Nr. 11 DSGVO eingeholt worden ist und die Einstellungen zu "Informationen über Aktivitäten von Werbepartnern" und "Aktivitäten außerhalb der A-Technologien" keine Einwilligung nach dem sogenannten Opt-In-Verfahren (Art. 7 Abs. 1 und Abs. 3 S. 3 DSGVO) darstellen - ungeachtet dessen, ob diese Einstellungen Art. 4 Nr. 11 DSGVO genügen würden, woran durchaus Zweifel bestehen. Nach dem eigenen Vortrag der Beklagten wurden die Punkte "Informationen über Aktivitäten von Werbepartnern" und "Aktivitäten außerhalb der A-Technologien" nicht automatisch bei Nutzern abgefragt, sondern sind lediglich abänderbare Einstellungen in der App bzw. auf der Webseite der Beklagten. Folglich entsprechen diese unstreitig nicht dem Opt-In-Verfahren, sondern allenfalls die Abfrage zu den "optionalen Cookies". Aber auch diese Abfrage begründet aus den nachfolgenden Gründen keine wirksame Einwilligung.

ii.

Der Begriff der Einwilligung beschreibt "jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist" (Art. 4 Nr. 11 DSGVO).

Von einer "informierten Weise" kann angesichts der der Klägerin von der Beklagten zur Verfügung gestellten Einstellungsmöglichkeiten keine Rede sein. Die Einstellungsmöglichkeiten zu "optionale Cookies" sind für einen durchschnittlichen Benutzer verwirrend und bringen die streitgegenständliche Form der Datengewinnung und -verarbeitung nicht hinreichend deutlich zum Ausdruck. Die Einstellungsmöglichkeit zu "optionalen Cookies" informiert zwar allgemein darüber, dass die Beklagte Cookies in Apps und auf Websites von anderen Unternehmen, die A-Technologien nutzen, nutzen wird und dass mithilfe dieser Cookies andere Unternehmen Informationen über die Aktivitäten des Kunden der Beklagten in den Apps der anderen Unternehmen und auf ihren Websites mit der Beklagten teilen können, falls den "optionalen Cookies" zugestimmt wird. Dabei wird aber nicht mitgeteilt, dass diese Datenerhebung und -übermittlung (an die Beklagte) auf externen Apps und Webseiten anderer Unternehmen immer stattfindet, also auch wenn man nicht parallel bei den Apps oder Webseiten der Beklagten eingeloggt ist. Der Durchschnittsverbraucher geht angesichts dieser spärlichen Informationen nicht davon aus, dass auch ohne Login bei der Beklagten eine solche Datenübertragung von anderen Apps und Webseiten möglich ist und stattfindet. Auch wird nicht mitgeteilt, welcher Art die Daten sind, die auf externen Apps und Webseiten anderer Unternehmen erhoben und an die Beklagte übermittelt werden sollen. Dass hiervon jegliches „Off-Site-Event“ bei den anderen Unternehmen betroffen sein kann (wie es auch tatsächlich der Fall ist), wird nicht erwähnt und liegt für einen durchschnittlichen Verbraucher auch nicht auf der Hand. Rechtlich fragwürdig ist zudem die Verknüpfung dieser etwaigen Zustimmung zur Übersendung von "Off-Site-Daten" mit der Möglichkeit für den Benutzer, sich mit dem Konto bei der Beklagten bei anderen Seiten anzumelden. Zudem teilt die Beklagte sogar (am Ende des Textes zu den "optionalen Cookies") mit, dass sie selbst bei Ablehnung der "optionalen Cookies" Off-Site-Daten von den anderen Unternehmen "zu Aktivitäten in diesen Apps auf diesen Webseiten" erhalten werde und dass (nur) die "persönlichen Cookie-Informationen" darin nicht enthalten seien. Dadurch teilt die Beklagte im Ergebnis mit, dass sie ungeachtet einer Zustimmung des Benutzers nach Art. 6 Abs. 1 lit. a DSGVO beabsichtigt, Off-Site-Daten des Benutzers zu erhalten. Darüber, was die Beklagte mit diesen Daten machen wird, wird nicht informiert. Was die Beklagte damit meint, dass die "persönlichen Cookie-Informationen" nicht in diesen Daten enthalten seien, ist jedenfalls für einen durchschnittlichen Verbraucher (aber auch das erkennenden Gericht) unverständlich.

Die Beklagte geht auch offenbar selbst nicht davon aus, dass die spärlichen Informationen, die sich im Text zu den "optionalen Cookies" befinden, für eine hinreichend informierte Entscheidung i.S.v. Art. 4 Nr. 11 DSGVO i.V.m. Art. 6 Abs. 1 lit. a DSGVO ausreichen, da sie selbst vorträgt, dass die Einwilligung (erst) durch die beiden nachfolgend noch näher thematisierten Punkte "Informationen über Aktivitäten von Werbepartnern" und "Aktivitäten außerhalb der A-Technologien" erfolgt, die tatsächlich schon etwas mehr Informationen enthalten. Auf diese weiteren Informationen kommt es indes, wie bereits erwähnt worden ist, nicht an, weil diese Informationen nach dem eigenen Vortrag der Beklagten nicht bei der Einholung der Einwilligung nach dem Opt-In-Verfahren mitgeteilt worden sind.

Vorsorglich merkt die Kammer zu diesen beiden Punkten der Einstellungen, die ein Benutzer unstreitig proaktiv in den Einstellungen suchen muss (wobei diese gerichtsbekannt nicht leicht zu finden sind, nicht einmal im "Privacy Center" angesiedelt sind, wo man sie am ehesten erwarten würde), folgendes an:

Die Einstellungsmöglichkeit zu "Informationen über Aktivitäten von Werbepartnern" betrifft ebenfalls nur die Frage, ob Daten zur Anzeige personalisierter Werbung verwendet werden. Eine hinreichende Information, welchen Umfang die Verarbeitung hat, also insbesondere auch darüber, dass die Off-Site-Daten auch bei fehlendem parallelen Login bei der Beklagten erhoben und übertragen werden, fehlt auch hier (s.o.).

Die Einstellungsmöglichkeiten zu "Aktivitäten außerhalb der A-Technologien" sind bereits sprachlich irreführend, da die A-Business-Tools nach dem eigenen Vortrag der Beklagten faktisch eine A-Technologie sind, die lediglich außerhalb der von der Beklagten betriebenen Plattformen zur Anwendung kommt. Die dortigen Einstellungsmöglichkeiten sehen kein einfaches Opt-In/Opt-Out Verfahren vor, sondern es können dort im Einzelnen "bestimmte Aktivitäten getrennt", "frühere Aktivitäten gelöscht" und "künftige Aktivitäten verwaltet" werden, und zwar durch "Verknüpfung". Keine dieser Einstellungen ist für sich gesehen in all ihren Konsequenzen selbsterklärend bzw. lässt zu, die Datenverarbeitung - auch für die Zukunft - generell zu unterbinden.

Der demgemäß - unstreitige - Umstand, dass die Übertragung von Off-Site-Daten an die Beklagte unabhängig von den vorgenannten Einstellungen erfolgt, wäre gemäß Art. 4 Nr. 11 DSGVO (weitaus transparenter bzw. verständlicher) offenbarungspflichtig gewesen, zumal die Beklagte damit im Ergebnis sogar einräumt, dass sie die Ablehnung der Einwilligung ihrer Nutzer insoweit missachtet. Sie ist offenbar der - unzutreffenden - Ansicht, dass sie für die Übertragung der (wenngleich möglicherweise inhaltlich sehr eingeschränkten) Off-Site-Daten gar keine Einwilligung des Benutzers benötige, sondern erst für die Verwendung/Verknüpfung der Daten. Bei Übertragung von Daten werden Daten aber denknotwendig gespeichert - wofür es auch nach dem eigenen Vortrag der Beklagten, wenngleich nicht nach ihrer fehlgehenden Rechtsansicht - keine Einwilligung gibt, wenn ein Benutzer die optionalen Cookies abgelehnt (bzw. nicht wirksam eingewilligt) hat. Letztlich kommt es auf diesen Punkt indes nicht entscheidend an.

iii.

Unabhängig von den vorstehenden Ausführungen liegen auch die Voraussetzungen des Art. 9 Abs. 2 Buchst. a) DSGVO nicht vor. Die Vorschrift regelt die Einwilligung in die "Verarbeitung besonderer Kategorien personenbezogener Daten" wie namentlich ethnische Herkunft, sexuelle Orientierung, politische Ausrichtung, u.a. (Art. 9 Abs. 1 DSGVO). Diesbezüglich legt die Beklagte eine Datenschutzerklärung vom 26.06.2024 (!) vor, in der es heißt:

Informationen mit besonderem Schutz

Möglicherweise entscheidest du dich dafür, Informationen über deine religiösen Ansichten, deine sexuelle Orientierung, deine politischen Einstellungen, deinen Gesundheitszustand, deine ethnische Herkunft oder Zugehörigkeit, deine philosophischen Ansichten oder deine Mitgliedschaft in einer Gewerkschaft zur Verfügung zu stellen. Diese Arten von Informationen unterliegen nach dem Recht deines Landes einem besonderen Schutz.

Abgesehen davon, dass die Erklärung (erst) aus dem Jahr 2024 stammt, betrifft sie nicht die im Rahmen der A-Business-Tools von der Beklagten verarbeiteten Daten, sondern die sog. On-Site-Daten der Benutzer selbst. Dass es aber auch im Rahmen der sog. Off-Site-Daten zur Verarbeitung besonderer Kategorien personenbezogener Daten kommen kann, räumt die Beklagte indirekt selbst ein, indem sie vorträgt, die diesbezügliche Prüfung ihren Werbekunden zu überlassen. Doch selbst wenn die Werbekunden hier zuverlässig arbeiten würden, d.h. keine Daten besonderer Kategorien übertragen werden würden, mögen zwar diese Daten für sich betrachtet im Hinblick auf die besonderen Kategorien harmlos sein; da die Beklagte aber sämtliche übermittelten Daten sämtlicher Werbekunden verarbeitet, können sich durch Verknüpfung dieser - als erheblich anzusehenden - Datenmenge Rückschlüsse auf besondere Kategorien ziehen lassen mit der Folge, dass es einer entsprechenden Information der Benutzer bedurft hätte. Z.B. könnte aus dem Umstand, dass sich ein Benutzer vielfach über bestimmte Themen auf externen Apps und Webseiten informiert, ein Rückschluss auf die sexuelle Orientierung, politische Ansichten oder den Gesundheitszustand (etwa auf eine bestimmte Erkrankung) gezogen werden. Dass die konkrete Datenverarbeitung der Beklagten dies ausschließen würde, trägt sie nicht nachvollziehbar vor. Das Gegenteil erscheint lebensnah betrachtet vielmehr äußerst wahrscheinlich, da diese Daten besonders werthaltig für zielgerichtete Werbung sein dürften.

Da die Beklagte - wie ausgeführt - die streitgegenständlichen Off-Site-Daten nicht selbst erhebt, sondern lediglich weiterverarbeitet, hat das Gericht den Unterlassungsausspruch im Tenor gegenüber dem Wortlaut des Antrags sprachlich geringfügig angepasst.

(Klageantrag zu Ziffer 4)

Die Klägerin hat gegen die Beklagte einen Anspruch auf Löschung der gemäß den obenstehenden Ausführungen unzulässig verarbeiteten Daten (Art. 17 Abs. 1 Lit. d DSGVO). Dass die Klägerin diese Löschung erst "einen Monat nach rechtskräftigem Abschluss des Verfahrens" verlangt, ist prozessrechtlich zulässig; insoweit handelt es sich um eine - im Belieben der Klägerin stehende - materiell-rechtliche Beschränkung des im Zeitpunkt der mündlichen Verhandlung bereits fälligen Anspruchs.

(Klageantrag zu Ziffer 5)

Die Klägerin hat gegen die Beklagte wegen der vorstehend festgestellten unzulässigen Datenverarbeitung einen Anspruch auf Zahlung eines Schmerzensgeldes in Höhe von 498,00 € (Art. 82 Abs. 1 DSGVO).

Der Klägerin ist ein Schaden in Form einer Beeinträchtigung der Kontrolle über ihre Daten entstanden, da es zu - aus Sicht der Klägerin - unkontrollierten Transfers zwischen den Werbekunden und der Beklagten gekommen ist, die zu einer nicht zulässigen und - aus Sicht der Klägerin - auch nicht gewollten Aggregation unterschiedlicher Daten aus unterschiedlichen Quellen gekommen ist (siehe allgemein zu den Anforderungen an den datenschutzrechtlichen immateriellen Schadensbegriff EuGH, Urteil vom 14.12.2023, Az: C-340/21, Rz. 75 ff.).

Als Rechtsfolge kann die Klägerin ein angemessenes Schmerzensgeld verlangen, welches das Gericht mit dem zugesprochenen Betrag bemisst.

Das Schmerzensgeld muss nach Sinn und Zweck der DSGVO abschreckend sein und sich an Ausgleichs- und Genugtuungsfunktion orientieren, wobei es auf die konkreten Umstände des Einzelfalls ankommt und der Katalog des Art. 83 Abs. 2 DSGVO Berücksichtigung finden kann.

100

Hierbei ist schmerzensgelderhöhend zu berücksichtigen, dass die streitgegenständlichen Datenverarbeitung Daten in potentiell ganz erheblichem Umfang umfasst, die nicht lediglich aus der Sozialsphäre, sondern zumindest auch der Privatsphäre der Klägerin stammen müssen, und welche - durch Verknüpfung - eine Persönlichkeitsprofilierung auch im Hinblick auf besondere Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DSGVO ermöglicht.

101

Schmerzensgeldmindernd ist zu berücksichtigen, dass es vorliegend nicht um eine Form von "Leak" geht, bei welchem die personenbezogenen Daten der Klägerin unbefugten Dritten zur Verfügung gestellt wurden, sondern die bestimmungsgemäße Verarbeitung zwischen der Beklagten und ihren Werbekunden, welche einen durchschnittlichen Benutzer der von der Beklagten betriebenen Internet-Portale aufgrund des allgemein bekannten Geschäftsmodells der Beklagten nicht wirklich überraschen sollte.

102

Nicht in die Schmerzensgeldbemessung eingeflossen sind konkrete Folgen, insbesondere auch nicht im Hinblick auf Daten i.S.v. Art. 9 DSGVO, da die Klägerin hierzu nicht ausreichend vorgetragen hat, insbesondere nicht dazu, welche Internetseiten sie mit welchen "Event-Daten" im Einzelnen angesteuert hat. Das zugesprochene Schmerzensgeld versteht sich vor diesem Hintergrund als ein Mindestschaden und berechnet sich nach folgender Ratio: Gerichtsbekannt bietet die Beklagte für die von ihr betriebenen Plattformen mittlerweile sog. Abo-Modelle zu Kosten ab 6,00 € pro Monat an, bei welchen auf personalisierte Werbung verzichtet wird. Dieser Betrag dient als Schätzgrundlage für das Gericht nach der Formel: 6,00 € x streitgegenständliche Monate ab dem Inkrafttreten der DSGVO. Im hiesigen Fall: 6,00 € x 83 Monate = 498,00 €.

103

Der Zinsanspruch folgt aus Verzug infolge des vorgerichtlichen Aufforderungsschreibens vom 10.08.2023 spätestens ab dem beantragten Zeitpunkt (§§ 286 Abs. 1, 288 Abs. 1 BGB).

104

105

(Klageantrag zu Ziffer 6)

106

Die Klägerin hat gegen die Beklagte wegen der rechtswidrigen Datenverarbeitung unter dem Gesichtspunkt des Schadensersatzes einen Anspruch auf Freistellung von ihren vorgerichtlichen Rechtsverfolgungskosten, dies - mangels näherer Erläuterung der geltend gemachten Gebühren - jedoch nur im Umfang einer 1,3 Geschäftsgebühr aus dem - soweit kongruent mit der hiesigen Klage, d.h. im Hinblick auf das Schmerzensgeld - berechtigten Gegenstandswert von 498,00 € zuzüglich 20,00 € Auslagenpauschale und 19 % Umsatzsteuer, d.h. 159,94 € gesamt. Mangels Vortrags dazu, was Gegenstand der außergerichtlichen Tätigkeit im Einzelnen gewesen sein soll, sind die weiteren im Prozess geltend gemachten Ansprüche nicht zu berücksichtigen.

107

III.

108

Die prozessualen Nebenentscheidungen folgen aus §§ 92 Abs. 1 S. 1, 709 S. 1 und 2 ZPO.

109

Der Streitwert setzt sich wie folgt zusammen:

110

- Antrag zu Ziffer 1: 500,00 €,

111

- Antrag zu Ziffer 2: 1.500,00 €,

112

- Antrag zu Ziffer 3: 500,00 €,

113

- Antrag zu Ziffer 4: 500,00 €,

114

- Antrag zu Ziffer 5: 5.000,00 €,

115

- Antrag zu Ziffer 6: (streitwertneutral).

116

Referenzen

ZPO § 704 Vollstreckbare Endurteile 1x
Art. 6 Abs. 1 S. 1 Nr. 1 DSGVO 2x (nicht zugeordnet)
Art. 6 Abs. 1 DSGVO 1x (nicht zugeordnet)
Art. 4 Nr. 7, 24 DSGVO 1x (nicht zugeordnet)
ZPO § 256 Feststellungsklage 1x
BGB § 1004 Beseitigungs- und Unterlassungsanspruch 2x
BGB § 823 Schadensersatzpflicht 2x
Art. 17 DSGVO 3x (nicht zugeordnet)
Urteil vom Oberlandesgericht Köln - 15 U 126/19 1x
Art. 4 Nr. 1 und 2 DSGVO 1x (nicht zugeordnet)
Art. 4 Nr. 7, 24 und 26 DSGVO 1x (nicht zugeordnet)
Art. 4 Nr. 11 DSGVO 6x (nicht zugeordnet)
Art. 7 Abs. 1 DSGVO 1x (nicht zugeordnet)
Art. 7 Abs. 1 und Abs. 3 S. 3 DSGVO 2x (nicht zugeordnet)
Art. 6 Abs. 1 lit. a DSGVO 2x (nicht zugeordnet)
Art. 9 Abs. 1 DSGVO 2x (nicht zugeordnet)
Art. 82 Abs. 1 DSGVO 1x (nicht zugeordnet)
Art. 83 Abs. 2 DSGVO 1x (nicht zugeordnet)
Art. 9 DSGVO 1x (nicht zugeordnet)
BGB § 286 Verzug des Schuldners 1x
BGB § 288 Verzugszinsen und sonstiger Verzugsschaden 1x
ZPO § 92 Kosten bei teilweisem Obsiegen 1x
ZPO § 709 Vorläufige Vollstreckbarkeit gegen Sicherheitsleistung 1x
ZPO § 2 Bedeutung des Wertes 1x