Leitsatz: 1. Voreinstellungen eines sozialen Netzwerks sind nach dem Grundsatz der "Datenschutzfreundlichkeit" so auszugestalten, dass nur die Verarbeitung standardmäßig ausgeführt wird, die unbedingt erforderlich ist, um den vorgesehenen rechtmäßigen Zweck zu erreichen; eine Suchbarkeitsvoreinstellung aus "alle" steht hiermit nicht im Einklang (Festhaltung Senat, Urteile vom 5.12.2023, 4 U 709/23 und 4 U 1094/23). 2. Ein "Kontrollverlust" reicht allein für einen immateriellen Schaden im Sinne des Art. 82 DSGVO nicht aus, wenn die hierauf abzielende Befürchtung unter Berücksichtigung der Umstände des Einzelfalls nicht glaubhaft ist; für die eine solche Befürchtung tragenden Umstände, liegt die Beweislast beim Anspruchsteller. 3. Liegt der Datenschutzverstoß (hier "Scraping") bereits mehrere Jahre zurück, reicht die bloß theoretische Möglichkeit, dass es in Zukunft zu einem Schaden kommen könnte, für ein Feststellungsinteresse nicht aus. Auch ein Rechtsschutzinteresse für einen weitergehenden Unterlassungsanspruch besteht dann nicht. OLG Dresden, 4. Zivilsenat, Urteil vom 30. Januar 2024, Az.: 4 U 1398/23

2  Oberlandesgericht Dresden Zivilsenat Aktenzeichen: 4 U 1398/23 Landgericht Chemnitz, 1 O 1604/22 IM NAMEN DES VOLKES URTEIL In dem Rechtsstreit T...... D......, ... - Kläger, Berufungsbeklagter u. Berufungskläger - Prozessbevollmächtigte: G...... R...... Rechtsanwälte Partnerschaftsgesellschaft mbB, gegen M......, ... gesetzlich vertreten durch die Mitglieder des Board of Directors - Beklagte, Berufungsklägerin u. Berufungsbeklagte - Prozessbevollmächtigte: F...... B...... D...... Rechtsanwälte Steuerberater PartG mbB, ... wegen Verstößen gegen die Datenschutz-Grundverordnung (nachfolgend: DS-GVO), Persönlichkeitsrechtsverletzung hat der 4. Zivilsenat des Oberlandesgerichts Dresden durch Vorsitzenden Richter am Oberlandesgericht S......, Richter am Landgericht R...... und Richterin am Oberlandesgericht Z...... aufgrund der mündlichen Verhandlung vom 16.01.2024 am 30.01.2024 für Recht erkannt: I. Auf die Berufung der Beklagten wird das Urteil des Landgerichts Chemnitz - Az. 1 O 1604/22 - vom 10.07.2023 aufgehoben und die Klage abgewiesen. II. Die Berufung des Klägers wird zurückgewiesen.

3  III. Der Kläger trägt die Kosten des Rechtsstreits. IV. Das Urteil ist vorläufig vollstreckbar, bezüglich der Anträge zu 4), 5) und 6) gegen Sicherheitsleistung in Höhe von 110 % des jeweils beizutreibenden Betrages. Die Klägerin kann die Vollstreckung wegen der auf die übrigen Anträge entfallenden Kosten durch Sicherheitsleistung oder Hinterlegung in Höhe von 110 % des jeweils beizutreibenden Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in gleicher Höhe leistet. V. Die Revision wird zugelassen. Beschluss: Der Streitwert wird für beide Instanzen - die erstinstanzliche Festsetzung in dem angefochtenen Urteil wird insoweit abgeändert - auf insgesamt 6.000,00 EUR festgesetzt. (Ziffer 1: 2.000 EUR, Ziffer 2: 500 EUR, Ziffer 3: 1.000 EUR, Ziffer 4: 500 EUR, Ziffer 5: 1.000 EUR, Ziffer 6: 1.000 EUR) G r ü n d e : I. Der Kläger nimmt die Beklagte auf Schadensersatz, Unterlassung, Auskunft und Nebenforderungen im Zusammenhang mit einem sog. Scraping-Vorfall auf dem von der Beklagten betriebenen sozialen Netzwerk Facebook im Zeitraum zwischen Januar 2018 und September 2019 in Anspruch. Unter www.facebook.de stellt die Beklagte verschiedene Dienste zur Verfügung, deren Nutzung kostenfrei ist, für die ein Nutzer aber im Gegenzug seine personenbezogenen Daten zur Verfügung stellt. Den Nutzern dient das Online-Netzwerk dazu, sich untereinander zu vernetzen, Kontakt zu "Freunden" zu halten und herzustellen sowie neue Menschen, Gruppen, Unternehmen, Organisationen usw. kennenzulernen. Geregelt ist dies in einem Nutzungsvertrag, den jeder Nutzer durch Bestätigung der Schaltfläche "Registrieren" abschließt, wobei es unumgänglich ist, zugleich den für das Portal festgelegten Allgemeinen Nutzungsbedingungen zuzustimmen und die Datenrichtlinie zur Kenntnis zu nehmen. Danach erfasst die Beklagte nutzer- und gerätebezogene Daten über Nutzeraktivitäten innerhalb und außerhalb des sozialen Netzwerks und ordnet sie den Facebook-Konten der betroffenen Nutzer zu. Mit der Registrierung verbunden ist es, dass Vorname, Nachname, Benutzer-ID, Nutzername und Geschlecht im Internet als "immer öffentliche" Nutzerinformationen sichtbar sind und auch gesucht werden können. Abhängig von der sog. Zielgruppenauswahl sind ggf. weitere Nutzerinformationen auffindbar (u. a. Telefonnummern, Wohnort, Stadt, Beziehungsstatus, Geburtstag und E-Mail-Adresse); Voraussetzung hierfür ist, dass der Nutzer zuvor die Zielgruppenauswahl auf "öffentlich" festgelegt hat. Im Unterschied hierzu kann ein registrierter Nutzer nach der Mobilfunknummer, die ein anderer Nutzer eingegeben hat, auch dann suchen, wenn die Zielgruppenauswahl nicht auf öffentlich gestellt ist, soweit der Nutzer die entsprechende „Suchbarkeits-Einstellung“ entsprechend eingestellt hatte. Dies war Ausgangspunkt des streitgegenständlichen Scraping-Vorfalls. Der Kläger registrierte sich im Jahr 2011 auf der Facebook-Plattform und gab dabei die zwingend für die Registrierung erforderlichen und stets öffentlich einsehbaren Daten „Name, Vorname, Geschlecht und Nutzer-ID“ an. Sein Facebook-Konto war mit seiner E-Mail-Adresse „[email protected]" verknüpft und der Kläger gab seine Telefonnummer an.

4  Die „Suchbarkeits-Einstellung“ bezüglich dieser Telefonnummer war bei dem Kläger seit dem 15.06.2011 bis zur mündlichen Verhandlung am 16.01.2024 auf „Alle“ eingestellt. Zu einem nicht mehr näher aufklärbaren Zeitraum zwischen Januar 2018 und September 2019 kam es auf dem von der Beklagten betriebenen sozialen Netzwerk zu zahlreichen Scraping Attacken, von denen mehr als 500 Millionen Nutzer weltweit betroffen waren. Bis April 2018 erfolgten diese Attacken über die Suchfunktion der Facebook-Plattform, bei der über Anfragen fiktiver Nutzer und Telefonnummern öffentlich zugängliche Nutzerinformationen gescraped wurden, sobald eine Telefonnummer einem Nutzer zugeordnet werden konnte. Nach Deaktivierung dieser Suchmöglichkeit erfolgte das Scraping über das sog. Contact-Import-Tool (im folgenden CIT), das sich sowohl auf der Facebook-Plattform direkt als auch auf dem an diese angebundenen Facebook-Messenger befand. Dabei wurden weitere Telefonnummern als vermeintliche Kontakte fiktiver Nutzer hochgeladen, wodurch es in vielen Fällen gelang, die zu diesen Telefonnummern passenden konkret-individuell angezeigten Nutzer zu identifizieren ("one-to-one") und ihnen ihre öffentlichen Nutzerinformationen zuzuordnen. Das CIT wurde daraufhin von der Beklagten deaktiviert, auf der Plattform am 10.10.2018 und auf dem Messenger am 06.09.2019 und durch die "Personen-die-du-kennen-könntest" (People-you-may-know auch: social-connection check) Funktion ersetzt, die keine one-to-one Zuordnung mehr ermöglicht, sondern den hochgeladenen Kontakten eines Nutzers nur noch eine Liste mehrerer möglicherweise in Betracht kommender Personen anzeigt. Der Kläger, dessen Telefonnummer in der Suchbarkeits-Einstellung auch im Zeitraum des Scraping-Vorfalls auf „öffentlich“ voreingestellt war, ist hinsichtlich der nachfolgenden personenbezogenen Datenpunkte:  Telefonnummer  Facebook Nutzer ID  Vorname  Land  Geschlecht,  nicht: Email-Adresse von diesem Datenschutzvorfall unstreitig betroffen (vgl. Anl. KGR_S. 6 / B l. 340 eA LG). Der Kläger behauptet, auch der Datenpunkt „Nachname“ sei von der Facebook-Seite geleaked worden und legt insoweit dar, dass der Datensatz des Leaks wie folgt aussehe: „490000000000,10000200000000,T...,D...,male,,,,Scherdel,6/24/2018 12,00,00 AM,,“ Gestützt hierauf hat der Kläger erstinstanzlich eine Vielzahl von Datenschutzverstößen durch die Beklagte behauptet, die sich sowohl auf die Erstregistrierung, die Weiterverarbeitung seiner Daten nach Inkrafttreten der Datenschutzgrundverordnung (DSGVO) und die Behandlung des Scraping-Vorfalls nach dessen Bekanntwerden erstrecken. Er hat die Auffassung vertreten, wegen dieser Verstöße und der erlittenen Ängste und Sorgen wegen des eingetretenen Kontrollverlusts stünden ihm immaterieller Schadensersatz und weitere Folgeansprüche zu. Zur weiteren Sachdarstellung wird auf den Tatbestand des Urteils des LG Chemnitz vom 10.07.2023 Bezug genommen.

5  Das Landgericht Chemnitz hat mit dem angefochtenen Urteil - auf das wegen der weiteren Einzelheiten Bezug genommen wird - die Beklagte unter Abweisung der Klage im Übrigen zur Zahlung eines Betrages in Höhe von 500,- €, außergerichtlichen Rechtsanwaltskosten in Höhe von 540,50 € aus einem Streitwert von 5.000,- €, sowie dazu verurteilt, es zu unterlassen, personenbezogene Daten der Klägerseite, insbesondere die Telefonnummer, unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, wie geschehen anlässlich des sogenannten Facebook-Datenleaks. Es hat ferner festgestellt, dass die Beklagte verpflichtet ist, dem Kläger alle zukünftigen Schäden aus dem unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten zu ersetzen. Hiergegen haben beide Parteien jeweils selbständige Berufungen eingelegt, mit denen sie ihr erstinstanzliches Vorbringen wiederholen und vertiefen. Der Kläger beantragt unter Zurückweisung der Berufung der Beklagten das Urteil des Landgerichts abzuändern und insgesamt wie folgt zu erkennen: 1. Die Beklagte wird verurteilt, an die Klägerseite als Ausgleich für Datenschutzverstöße und die Ermöglichung der unbefugten Ermittlung der Telefonnummer (00000000000) sowie weiterer personenbezogener Daten der Klägerseite wie Vorname, Nachname, E-Mail-Adresse, Geschlecht, Geburtsdatum einen immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, den Betrag von 2.000,00 EUR aber nicht unterschreiten sollte, nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit Rechtshängigkeit zu zahlen. 2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klägerseite sämtliche materiellen künftigen Schäden zu ersetzen, die der Klägerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten („Facebook-Datenleak“), der nach Aussage der Beklagten im Jahr 2019 erfolgte, künftig entstehen werden. 3. Die Beklagte wird verurteilt, an die Klägerin für die Nichterteilung einer den gesetzlichen Anforderungen entsprechenden außergerichtlichen Datenauskunft i.S.d. Art. 15 DSGVO einen weiteren immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, den Betrag von 1.000,00 EUR aber nicht unterschreiten sollte, nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit Rechtshängigkeit zu zahlen. 4. Die Beklagte wird verurteilt, der Klägerseite Auskunft über die die Klägerseite betreffenden weiteren personenbezogenen Daten zu erteilen, die durch Unbefugte erlangt werden konnten, namentlich welche Daten außer der Telefonnummer der Klägerseite durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch „Web Scraping“, die Anwendung des Kontaktimporttools oder auf andere Weise unbefugt erlangt werden konnten. 5. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im

6  Wiederholungsfall bis zu zwei Jahren, zu unterlassen, personenbezogene Daten der Klägerseite, insbesondere die Telefonnummer, unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, wie geschehen anlässlich des sogenannten Facebook-Datenleaks, das nach Aussage der Beklagten im Jahr 2019 stattfand. 6. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu EUR 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, personenbezogene Daten der Klägerseite, insbesondere die Telefonnummer, ohne Einholung einer Einwilligung oder Erfüllung sonstiger gesetzlicher Erlaubnistatbestände zu verarbeiten. 7. Die Beklagte wird verurteilt, die Klägerseite von vorgerichtlichen Rechtsanwaltskosten in Höhe von 973,66 € zuzüglich Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz gegenüber den Prozessbevollmächtigten der Klägerseite freizustellen. Die Beklagte beantragt, Die Berufung des Klägers zurückzuweisen sowie das Urteil des Landgerichts Chemnitz vom 10.07.2023, Az. 1 O 1604/22, im Umfang der Beschwer der Beklagten abzuändern und die Klage abzuweisen. Der Senat hat den Kläger in der mündlichen Verhandlung vom 16.01.2024 persönlich angehört. Wegen der Einzelheiten des Vorbringens der Parteien in der Berufungsinstanz wird auf ihre Schriftsätze nebst Anlagen sowie das Protokoll der mündlichen Verhandlung vom 16.10.2024 verwiesen. II. Die Berufung der Beklagten ist zulässig und begründet. Die Berufung des Klägers ist unzulässig, soweit er sich gegen die Zurückweisung eines Unterlassungsanspruchs (Ziffer 6) richtet. Sie ist mangels Beschwer auch bezüglich der Ziffern 2 und 5 seiner Anträge unzulässig, weil diese vom Landgericht wie erstinstanzlich beantragt zugesprochen wurden. Soweit der Kläger eine Erhöhung des vom Landgericht zugesprochenen Schmerzensgeldes wegen des Datenschutzverstoßes (Ziffer 1) beantragt bzw. sich gegen die Abweisung des Auskunftsanspruchs (Ziffer 4) wendet und eine Verurteilung zu Schmerzensgeld wegen einer mangelnden Auskunft begehrt (Ziffer 3), ist seine Berufung unbegründet. Zur Berufung der Beklagten: A.

7  Die internationale Zuständigkeit deutscher Gerichte ist gemäß Art. 18 Abs. 1 EuGVVO sowie gemäß Art. 79 Abs. 2, Satz 2 DSGVO gegeben, denn der Kläger hat seinen gewöhnlichen Aufenthalt in Deutschland. Der sachliche, räumliche und zeitliche Anwendungsbereich der am 25.05.2018 in Kraft getretenen Datenschutzgrundverordnung ist eröffnet. B. 1. Der Zahlungsantrag Ziffer 1 ist hinreichend bestimmt gemäß § 253 ZPO. Dem steht nicht entgegen, dass der geltend gemachte Schadensersatzanspruch auf mehrere behauptete Verstöße gestützt wird. Es liegt keine Häufung unzulässiger alternativer Klagegründe bzw. Streitgegenstände vor. Der Streitgegenstand wird durch den Klageantrag, in dem sich die vom Kläger in Anspruch genommene Rechtsfolge konkretisiert, und den Lebenssachverhalt bestimmt, aus dem der Kläger die begehrte Rechtsfolge herleitet (§ 253 Abs. 2 Nr. 2 ZPO). Zum Anspruchsgrund sind alle Tatsachen zu rechnen, die bei einer natürlichen, vom Standpunkt der Parteien ausgehenden und den Sachverhalt seinem Wesen nach erfassenden Betrachtung zu dem zur Entscheidung gestellten Tatsachenkomplex gehören, den der Kläger zur Stützung seines Rechtsschutzbegehrens dem Gericht vorträgt (vgl. BGH, Urteil vom 22.10.2013 – XI ZR 42/12, Rn 15). Der Kläger begehrt mit dem Klageantrag zu 1) eine Entschädigungsleistung, die sich auf mehrere behauptete Datenschutzverstöße gründet – vor und nach Inkrafttreten der DSGVO - infolge der Veröffentlichung seiner Daten wegen des Scraping-Vorfalls und auf eine angeblich fehlende Information von Nutzern bzw. Behörden, damit auf einem einheitlichen Lebenssachverhalt und einen dadurch näher bestimmten Streitgegenstand (vgl. Senat, Urteil vom 05.12.2023, 4 U 1094/23; i.E. ebenso: OLG Hamm, Urteil vom 15.08.2023 - 7 U 19/23, Rn 51; OLG Köln, Urteil vom 07.12.2023 - 15 U 108/23, Rn. 17, 18). Dieser ist dadurch gekennzeichnet, dass der Kläger zum Zeitpunkt des Scrapings auf der von der Beklagten betriebenen Facebook-Plattform angemeldet war. Maßgeblich ist, ob die Beklagte zu diesem Zeitpunkt hinreichende Datenschutzvorkehrungen getroffen hatte, mit denen sie das Abgreifen der Daten hätte verhindern können, und wie sie im Nachhinein mit dem Vorfall umgegangen ist. Miteinander verknüpft sind sämtliche Einzelaspekte dieses Vorgangs durch die Daten, welche die Klagepartei bei der Registrierung hinterlegt hat. Dies stellt bei natürlicher Betrachtung einen einheitlichen Lebenssachverhalt dar. 2. Dem Kläger steht jedoch bzgl. Antrag Ziffer 1 kein Anspruch auf immateriellen Schadensersatz zu. a) Ansprüche nach Vorschriften des deutschen Rechts kommen von vornherein nicht in Betracht. Zur Begründung und zur Vermeidung von Wiederholungen wird auf die Ausführungen des Senats in dem Urteil vom 5.12.2023, Az. 4 U 1094/23 (dort unter II. 1. b) a), Bezug genommen. b) Ansprüche aus dem insoweit allein als Anspruchsgrundlage in Frage kommenden Art. 82 DSGVO sind nicht gegeben. Zwar ist der zeitliche Anwendungsbereich der DSGVO eröffnet und hat die Beklagte auch gegen Bestimmungen der DSGVO verstoßen. Jedoch hat der

8  Kläger einen darauf beruhenden Schaden nicht hinreichend dargelegt und nachgewiesen. Der Anwendungsbereich von Art. 82 Abs. 1 DSGVO ist in zeitlicher und sachlicher Hinsicht eröffnet. Denn auch wenn sich der Kläger bereits vor dem 24.05.2018, dem Inkrafttreten der DS-GVO, auf der Plattform der Beklagten angemeldet hat, war die Beklagte jedenfalls ab diesem Zeitpunkt verpflichtet, den dort statuierten Vorschriften gerecht zu werden. Die Beklagte hat auch als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO gehandelt, da sie Inhaberin des sozialen Netzwerkes ist, von dem die Daten des Klägers „gescrapt“ wurden und da sie innerhalb dieses Netzwerks selbst auch den entsprechenden Suchautomatismus durch das CIT zur Verfügung gestellt hat, der im Rahmen des streitgegenständlichen Datenschutzvorfalls benutzt wurde. aa) Vorliegend waren daher nur Datenschutzverstöße nach Inkrafttreten der DSGVO am 25.05.2018 zu berücksichtigen (Art. 99 Abs. 2 DSGVO). Verstöße im Rahmen des Anmeldeprozesses, der beim Kläger im Jahr 2011 erfolgt ist, sind von Art. 82 DSGVO nicht erfasst. Dies betrifft den Vorwurf der unzureichenden Information bei erstmaliger Erhebung seiner Daten im Rahmen der Registrierung (Art. 13 DSGVO) und den Verstoß gegen die Pflicht zu einer Datenschutzfolgenabschätzung (Art. 35 DSGVO) vor Festlegung der Kriterien für die Suchbarkeitsfunktion und die Einführung des CIT. bb) Zugunsten des Klägers ist zu unterstellen, dass der streitgegenständliche Scraping-Vorfall sich entsprechend seinem Vorbringen im Jahr 2019 und damit nach Inkrafttreten der DSGVO ereignet hat, denn die Beklagte hat diese Behauptung jedenfalls nicht substantiiert in Abrede gestellt. Soweit sie mit Nichtwissen bestreitet, dass seine Telefonnummer aus dem Facebook-Profil abgerufen worden sei, ist dies nicht ausreichend. Dabei geht es im Wesentlichen um die Frage, wie die Scraper - unter Nutzung des CIT - an die Telefonnummer des Klägers gelangt sind. Dabei kann dahinstehen, wie die Scraper das Tool benutzt haben, denn es steht zweifelsfrei fest, dass es benutzt wurde, um die Verknüpfung von Name und Telefonnummer zu erhalten. Der Kläger hatte im relevanten Zeitraum die Suchbarkeit seiner Telefonnummer auf „alle“ gestellt und seine Telefonnummer wurde mit seiner Facebook-ID im Darknet veröffentlicht. Die Beklagte hat auch in ihrem vorgerichtlichen Antwortschreiben (Anlage KGR_5) eingeräumt, dass das Nutzerkonto des Klägers von dem vom Kläger behaupteten Scraping-Vorfall betroffen gewesen ist. Vor diesem Hintergrund genügt ein einfaches Bestreiten nicht. cc) Die Beklagte hat jedenfalls mit der Belassung der Voreinstellung "alle" in den Suchbarkeitseinstellungen gegen Art. 5 Abs. 1 lit. a, b, Art. 6 Abs. 1 Unterabs. 1 DSGVO, Art. 25 Abs. 1 und Abs. 2 DSGVO verstoßen. Insoweit wird zur Begründung auf das bereits vorerwähnte Urteil des Senats vom 15.12.2023, Az. 4 U 1094/23, Bezug genommen (dort unter II. 1. b) b. iii, iv). dd) Ob der Beklagten Verstöße gegen Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO zur Last fallen, kann hier dahinstehen. Es braucht auch hier nicht entschieden zu werden, ob ein solcher Verstoß überhaupt Grundlage für einen Schadensersatzanspruch nach Art. 82 DSGVO sein könnte. In Rechtsprechung und Literatur wird insofern zwar die Auffassung vertreten, die Formulierung in Art. 82 Abs. 1 DSGVO „wegen eines Verstoßes

9  gegen diese Verordnung“ sei vor dem Hintergrund des Erwägungsgrundes 146 weit auszulegen. Art. 82 Abs. 2 S. 1 DSGVO erfasse jede nicht mit der Verordnung in Einklang stehende Verarbeitung (Paal/Pauly, DS-GVO/Frenzel, 3. Aufl. 2021, DSGVO Art. 82 Rn. 8 f.; LG Stuttgart ZD 2023, 278 Rn. 43 f.; LG Aachen v. 10.02.2023 – 8 O 177/22 Rn. 47; LG Paderborn ZD 2023, 290 Rn. 48; BeckOK DatenschutzR/Quaas, 42. Ed. 01.08.2022, DSGVO Art. 82 Rn. 14; Ebner, ZD 2023, 282, beck-online). Zumindest für Verstöße gegen die Melde- und Benachrichtigungspflichten legt jedoch bereits deren Wortlaut nahe, dass diese als rein objektivrechtliche Pflichten zu verstehen sein sollen, die keinen individualschützenden Charakter haben und daher als Schadensersatzgrundlage nicht in Betracht kommen (Becker in: Plath, DSGVO/BDSG /TTDSG, 4. Aufl. 2023, Art. 82 EUV 2016/679, Rn. 3). Dies entspricht auch der Rechtsprechung des EuGH, der zu Art. 17, 18 DSGVO bereits entschieden hat, dass nicht jeder Verstoß gegen Vorschriften der DSGVO die Datenverarbeitung mit der Folge von Ansprüchen auf Löschen oder Einschränkung der Verarbeitung unrechtmäßig macht (EuGH, Urteil vom 04.05. 2023 – C-60/22 –, - juris, Orientierungssatz; vgl. Lapp, jurisPR-ITR 15/2023 Anm. 4). Eine Entscheidung zu diesen Fragen kann dahinstehen, weil sich weder dem Klage- noch dem Berufungsvorbringen entnehmen lässt, dass der behauptete Schaden durch eine rechtzeitige Erfüllung dieser Pflichten noch hätte verhindert werden können (vgl. Senat a.a.O.; ebenso OLG Hamm, Urteil vom 15.08.2023 - 7 U 19/23, Rn 148; OLG Köln, Urteil vom 07.12.2023 - 15 U 108/23, Rn. 44). Auch ist nicht dargelegt, wie der Kläger wirkungsvoller einer mutmaßlichen Bedrohung hätte begegnen können, wenn er frühzeitiger informiert worden wäre. Dies auch angesichts der aus der Anhörung ersichtlich gewordenen Tatsache, dass er weder seine Telefonnummer noch seine Einstellung bei Facebook nach Bekanntwerden änderte. c. Genauso dahinstehen können die Fragen, ob der Kläger zu Recht weitere Verstöße gegen die DSGVO geltend macht und ob die Beklagte ihrer Pflicht zur Schaffung eines angemessenen Schutzniveaus durch geeignete technische und organisatorische Schutzmaßnahmen unter Berücksichtigung des Standes der Technik (Art. 32 DSGVO) nachgekommen ist (vgl. EuGH, Urteil vom 14.12.2023, C-340/21). Denn der Kläger hat einen kausal auf diesen Verstößen beruhenden Schaden schon nicht nachweisen können. Nach Art. 82 der DSGVO ist Schadensersatz zu leisten, wenn der Nachweis eines Verstoßes gegen die DSGVO, eines tatsächlich erlittenen materiellen oder immateriellen Schadens und eines Kausalzusammenhangs zwischen dem Verstoß und dem Schaden erbracht wird; der bloße Verstoß gegen Bestimmungen der DSGVO reicht demnach nicht aus (EuGH, Urteil vom 04.05.2023, C-300/21, Rn. 42; Urteil vom 14.12.2023, C-456/22, Rn. 21). Die Darlegungs- und Beweislast obliegt insoweit der betroffenen Person (vgl. EuGH, Urteil vom 04.05.2023, C-300/21, Rn. 50; Urteile vom 14.12.2023, C-340/21, Rn. 84 und C-456/22, Tenor, S.2, GRUR-RS 2023, 35767; OLG Hamm, Urteil vom 15.08.2023, 7 U 19/23, Rn. 151). aa) Dass er infolge von Verstößen gegen die DSGVO materielle Schäden erlitten hat, wird vom Kläger bereits nicht behauptet. Aus der tatsächlich erfolgten Weitergabe seiner Kreditkartendaten im Rahmen eines SMS - Phishings bei ihm im Jahre 2023 sind ihm keine

10  Nachteile erwachsen, weil der Kläger die Karte zeitnah sperren ließ. Weitere, vom Kläger behauptete, konkrete Schäden (Bl. 54 d. Berufungsakte) wegen einer Vielzahl von Betrugs- oder Spam-Anrufen, welche laut Kläger zum Zeitpunkt der mündlichen Verhandlung in einem Umfang von 2 Anrufen/Woche erfolgen sollen, hat der Kläger schon nicht im Einzelnen dargelegt. Dabei ist davon auszugehen, dass auch der Nachname des Klägers von der Facebook - Plattform gescraped wurde. Dieser erscheint in dem von dem Kläger angegebenen Datensatz mit seiner Facebook - ID und ist vollständig auf der Facebook - Seite lesbar, wie sich aus dem Auszug des öffentlichen Teils der Seite, den die Beklagte eingereicht hat, ergibt. Insoweit erklärt sich die Beklagte auch nicht substantiiert dazu, wie sie zu der Erkenntnis gelangt sein will, dass der Nachname gerade kein betroffener Datenpunkt sein soll. bb) Ein Schadenersatzanspruch ist aber auch nicht gegeben, soweit der Kläger als Folge von der Beklagten anzulastenden bzw. zu ihren Lasten unterstellten Datenschutzverstößen immaterielle Schäden in Form eines Verlusts der Kontrolle über die ihn betreffenden personenbezogenen Daten verbunden mit dem Gefühl des Kontrollverlusts, des Beobachtetwerdens, der Hilflosigkeit und der Angst erlitten haben will. Daneben habe er eine Komfort- und Zeiteinbuße erlitten, weil er sich mit den Folgen des Datenlecks habe auseinandersetzen müssen und er habe Zeit und Mühe aufgewendet, um sich vor drohendem (weiteren) Missbrauch zu schützen. Da der Erwägungsgrund 146 S. 3 DSGVO für eine weite Auslegung des Begriffs des Schadens in Art. 82 Abs. 1 DSGVO spricht, braucht ein immaterieller Schaden, den die betroffene Person erlitten hat, zwar keinen bestimmten Grad an Erheblichkeit zu erreichen und sind auch immaterielle „Bagatellschäden“ dem Grunde nach nicht ausgeschlossen (EuGH, a.a.O.). So kann auch die Veröffentlichung personenbezogener Daten im Internet und der daraus resultierende kurzzeitige Verlust der Hoheit über diese Daten einen immateriellen Schaden darstellen, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil dieser Personen erfolgt sein sollte (vgl. EuGH, Urteil vom 14.12.2023 - C - 340/21, Rn. 82). Allerdings muss gleichwohl geprüft werden, ob die Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann (vgl. EuGH a.a.O., Rn 85). Die betroffene Person muss auch in einem solchen Fall den Nachweis erbringen, dass sie tatsächlich einen über die bloße Verletzung der Bestimmungen dieser Verordnung hinausgehenden Schaden – so geringfügig er auch sein mag - erlitten hat (vgl. EuGH, a.a.O., C 456/22, Rn. 22). Hiervon ist im Streitfall auch nach Anhörung des Klägers nicht auszugehen. (a) Soweit der Kläger seinen geltend gemachten immateriellen Schaden auf die Veröffentlichung der Daten stützt, die auf seinem Profil bei der Beklagten als „immer öffentlich“ eingestellt waren (Name, Geschlecht und Facebook-ID), scheidet die Annahme eines immateriellen Schadens schon deswegen aus, weil sich der Kläger durch seine im Zuge der Registrierung auf der Plattform der Beklagten erklärte Zustimmung mit den dabei geltenden Nutzungsbedingungen damit einverstanden erklärt hat, dass diese Daten von der Öffentlichkeit wahrgenommen werden können. Hier bestand schon keine Verpflichtung der Beklagten, diese Daten des Klägers durch datenschutzkonforme Voreinstellungen oder technische Sicherheitsmaßnahmen vor einer Kenntnisnahme durch Dritte weitergehend zu

11  schützen. Im Ergebnis können sich die vom Kläger vermeintlich verspürten Gefühle wie Angst, Unwohlsein oder Misstrauen nicht darauf beziehen, dass gerade solche personenbezogenen Daten von den Scrapern im sog. Darknet veröffentlicht worden sind, die er selbst auf der Plattform der Beklagten der Öffentlichkeit zugänglich gemacht hat (vgl. OLG Köln, Urteil vom 07.12.2023 – 15 U 108/23, Rn. 26). (b) Der Kläger hat auch einen immateriellen Schaden hinsichtlich der Eröffnung der Möglichkeit der Verknüpfung seines Namens mit seiner Mobilfunknummer nicht nachweisen können, auch wenn man zu seinen Gunsten unterstellt, dass er für die Suchbarkeit seiner Telefonnummer bei seiner Anmeldung nicht bewusst und auf Basis zureichender Informationen durch die Beklagte die Kategorie „alle“ gewählt hat, sondern dies allein auf der von der Beklagten gewählten Voreinstellung beruht. (aa) Zunächst kann nicht mit der erforderlichen Überzeugung festgestellt werden, ob bei dem Kläger überhaupt der behauptete Kontrollverlust hinsichtlich dieser konkreten Verknüpfung der Daten eingetreten ist. Dies kann nur durch einen Vergleich des Zustandes vor und nach dem Scraping-Vorfall ermittelt werden. Einerseits erschöpft sich hier der Sachvortrag des Klägers insoweit aber in der Wiedergabe der erkennbar für eine Vielzahl von Fällen wortgleich formulierten pauschalen Behauptung, „die Klägerseite gibt die Telefonnummer stets bewusst und zielgerichtet weiter und macht diese nicht wahl- und grundlos der Öffentlichkeit zugänglich, wie etwa im Internet.“. Diese Darstellung steht andererseits im Widerspruch zu seinen Angaben in der mündlichen Verhandlung vor dem Landgericht, er schätze, dass seine Telefonnummer, die er auch beruflich nutze, mindestens 150 Teilnehmern im In- und Ausland bekannt sei. Er habe auch deshalb von einem Wechsel der Nummer abgesehen, weil die Bekanntheit seiner Nummer auch für seinen Beruf von Vorteil sei, ohne dass er indes diesen Vorteil beziffern oder konkret darzulegen vermochte, weswegen der Wechsel der Nummer nicht einfach mitgeteilt werden könne. Hier scheint schon Annahme nicht fernliegend, aufgrund der Bekanntheit der Nummer in beruflichen Kreisen „diese mit Wissen und Wollen des Klägers“ an bisher unbekannte Dritte weitergereicht wird, um neue berufliche Kontakte anzubahnen, was zu einem unabhängig von dem Scraping-Vorfall eingetretenem „Kontrollverlust“ führt, der jedoch keine Entschädigungspflicht auslöst und Zweifel an der Behauptung einer auf den Scraping-Vorfall gestützten berechtigten Sorge begründet. Hiergegen spricht auch, dass unstreitig noch zum Zeitpunkt der mündlichen Verhandlung vor dem Senat seine Festnetznummer und vollständige Adresse mit Vor- und Nachnamen mit seinem Einverständnis bei www.dasoertliche.de eingestellt und für jedermann öffentlich abrufbar war. Wie der Kläger konkret mit seiner Mobilfunknummer umgeht und an wen er diese auf welchem Weg weitergibt, ist für die Beurteilung eines für die Prüfung des immateriellen Schadensersatzes maßgeblichen Kontrollverlusts schon deshalb nicht entbehrlich, weil es sich dabei dem Grunde nach um Daten handelt, die ihrer Zweckbestimmung nach auf Kommunikation mit Dritten und Offenlegung gegenüber diesen ausgerichtet sind und die im täglichen Leben auch regelmäßig anderen zugänglich gemacht werden. Hinzu kommt, dass die Weitergabe der Mobilfunknummer an Dritte, sei es im privaten oder beruflichen Umfeld, regelmäßig Risiken mit sich bringt, da auch in diesen Fällen Dritte über personenbezogene Daten verfügen und es damit eben nicht mehr der alleinigen Kontrolle des Betroffenen unterliegt, ob diese Personen unbefugt, unabsichtlich oder im Rahmen technischer Vorfälle die Nummer anderen Personen zugänglich machen (vgl. OLG Köln, Urteil vom 07.12.2023 - 15 U 108/23, Rn. 30). Mit der Veröffentlichung der Mobilfunknummer einer benannten Person im Internet

12  ist daher jedenfalls nicht zwingend ein auch nur kurzzeitiger Verlust der Hoheit über diese Daten im Sinne einer zusätzlichen und merklichen Einbuße einer vormals bestehenden - angeblich vollständigen - Kontrolle verbunden. (bb) Entgegen der Ansicht des Klägers handelt es sich bei dem Mobilfunkanschluss einer benannten Person auch nicht um hochsensible Daten, bei denen ein besonders hohes Schutzniveau zu gewährleisten ist. Nach Art. 9 DSGVO i.V.m. Erwägungsgrund 51 sind dies vielmehr nur solche Daten, bei denen im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für Grundrechte und Grundfreiheiten auftreten können, d. h. genetische oder biometrische Daten, Gesundheitsdaten, Daten zum Sexualleben oder der sexuellen Orientierung, sowie Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen. Im Vergleich mit den in Art. 9 DSGVO benannten sensiblen Daten werden bei der Verarbeitung von Mobilfunknummern keine derartigen grundrechtsrelevanten Eingriffsmöglichkeiten eröffnet. (c) Ohnehin folgt aus einem - hier zu Gunsten des Klägers unterstellten - Kontrollverlust, der auf der Veröffentlichung der mit seinem Namen verknüpften Mobilfunknummer im Internet beruht, ein immaterieller Schaden erst dann, wenn sich hieraus die konkrete Befürchtung ableiten lässt, dass ein Datenmissbrauch durch Dritte droht. (aa) Dass bereits ein bloßer Kontrollverlust ohne eine solche aus den gegebenen Umständen ableitbare Befürchtung ausreichend wäre, um daraus einen immateriellen Schaden abzuleiten, lässt sich entgegen dem Berufungsvorbringen den 75. und 85. Erwägungsgründen nicht entnehmen (vgl. OLG Köln, Urteil vom 07.12.2023 - 15 U 108/23, Rn. 33, 34). In beiden Erwägungsgründen werden Fallbeispiele für Schäden genannt. Diese Aufzählung zeigt, dass der Schaden vergleichbar sein muss u. a. mit einer Diskriminierung, Rufschädigung, finanziellem Verlust, Identitätsdiebstahl, Verlust der Vertraulichkeit von Berufsgeheimnissen oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen. Im 85. Erwägungsgrund wird der Verlust der Kontrolle der Daten als Schaden zwar genannt, jedoch betrifft dieser Erwägungsgrund die Verpflichtung des Verantwortlichen zur Benachrichtigung. Im Erwägungsgrund Nr. 75, der den Schadensersatzanspruch betrifft, wird u. a. ausgeführt, dass es einen Schaden darstellen kann, wenn z. B. die betroffene Person daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren, „wenn aus personenbezogenen Daten die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen“ hervorgehen und wenn „genetische Daten, Gesundheitsdaten oder das Sexualleben oder strafrechtliche Verurteilung und Straftaten“ und persönliche Aspekte bewertet werden, insbesondere solche, die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen [betreffen]..“, verarbeitet werden. Daraus ergibt sich ebenfalls, dass bestimmte „negative Folgen“ für die konkret betroffene Person eintreten müssen, die im Hinblick auf diese Person eine Missbrauchsbefürchtung rechtfertigen (vgl. EuGH, Urteil vom 14.12.2023, C -340/21 Rn. 85). (bb) Eine solche konkrete Befürchtung kann auch bei einer psychischen Beeinträchtigung unterhalb der Schwelle zu einer Angststörung gegeben sein, sofern diese hinreichend

13  konkret dargelegt und glaubhaft gemacht wird. Erforderlich ist hierfür, dass der Betroffene Umstände darlegt, in denen sich seine erlebten Empfindungen widerspiegeln, und dass nach der Lebenserfahrung der Datenschutzverstoß mit seinen Folgen Einfluss auf das subjektive Empfinden hat (OLG Hamm, a.a.O., Rn. 164 - 165). Dies folgt daraus, dass es sich bei solchen Umständen um innere, dem Beweis nur eingeschränkt zugängliche Tatsachen handelt, auf die mittelbar aus äußeren Tatsachen geschlossen werden muss. Hierfür trägt der Anspruchssteller die Darlegungs- und Beweislast mit dem für § 286 ZPO erforderlichen Beweismaß, so dass erst eine Wahrscheinlichkeit ausreicht, die Zweifeln Schweigen gebietet, ohne dieses indes endgültig auszuschließen. Diesen Anforderungen genügt der schriftsätzliche Vortrag des Klägers, ergänzt um die informatorische Anhörung in der mündlichen Verhandlung vom 16.10.2024, nicht. Vorliegend sind gesundheitliche oder psychische Beeinträchtigungen bereits nicht substantiiert behauptet worden. Dass bloße negative Gefühle wie Unmut, Unzufriedenheit, Sorge und Angst, die an sich Teil des allgemeinen Lebensrisikos und oft des täglichen Erlebens sind, Grundlage für einen Schadensersatzanspruch sein können, hält der Senat jedenfalls dann für nicht gerechtfertigt, wenn – wie hier – die Veröffentlichung der Mobilfunknummer im Darknet ersichtlich keinerlei Einfluss auf die Lebensführung nach sich gezogen hat und damit ein konkreter Rückschluss von äußeren Umständen auf diese inneren Tatsachen nicht möglich ist (vgl. Senat, a.a.O., OLG Hamm, a.a.O., OLG Stuttgart, a.a.O., OLG Köln, a.a.O.). Dass der Kläger „zusätzlich Zeit und Mühe aufgewendet“ hat, um sich vor drohendem (weiteren) Missbrauch zu schützen, lässt sich nicht feststellen. Aus der Anhörung des Klägers in der mündlichen Verhandlung vor dem Landgericht ergibt sich vielmehr, dass er nach Kenntnisnahme von dem Scraping-Vorfall keine weiteren Konsequenzen aus dem Bekanntwerden seiner Telefonnummer im Darknet gezogen hat. Er hat insbesondere eine Änderung seiner Telefonnummer - zur Vorbeugung gegen den angeblich befürchteten Missbrauch und auch vor dem Hintergrund der geschilderten Schwierigkeiten und Befürchtungen - nicht in Betracht gezogen. Sein schriftsätzlicher, lediglich pauschal gehaltener Vortrag, er habe sich beobachtet gefühlt, sei hilflos gewesen und sich in Sorge und Angst befunden, lässt sich mit dieser Erklärung nicht in Übereinstimmung bringen. Auch hat der Kläger sich nicht von Facebook abgemeldet, was wegen der dort für ihn vorhandenen Informationen in verschiedenen Foren in Teilen nachvollziehbar erscheint, oder zumindest die Suchbarkeitseinstellungen geändert bzw. die - nicht verpflichtend - auf seinem Profil hinterlegte Telefonnummer gelöscht. Eine derartige Reaktion hätte aber umso mehr nahegelegen, als er in Bezug auf ihn belästigende Anrufe behauptet hat, dass er infolge einer Spam - SMS, die er auf den Scraping-Vorfall zurückführt, seine Kreditkartendaten angegeben habe und hier nur deshalb frei von Schäden geblieben sei, weil er die Karte zeitnah habe sperren lassen. Der Senat hat sich daher keine ausreichende Überzeugung im Sinne des § 286 ZPO davon verschaffen können, dass vom Kläger behauptete negativen Gefühle oder psychische Beeinträchtigungen im Zusammenhang mit dem streitgegenständlichen Scraping-Vorfall stehen. Einen Zusammenhang zu einer psychischen Beeinträchtigung konnte der Senat auch nicht zwischen der Krebserkrankung seiner Frau und den vermehrten Anrufen unbekannter Personen herstellen. Darüber ist eine Beeinträchtigung seiner Person zweifelhaft, weil der Kläger angegeben hat, dass er auch auf dem Festnetztelefon Spam-Anrufe erhalte, was ihn aber nicht weiter störe, weil „man da ja nicht rangehen müsse“. Dies ist indes beim Mobilfunkanschluss nicht anders.

14  cc) Schließlich lässt sich aufgrund seines Sachvortrags auch der erforderliche Kausalzusammenhang zwischen dem Scraping-Vorfall und den vom Kläger behaupteten Unannehmlichkeiten - vermehrte Anrufe / SMS seit Beginn 2022 und derzeit in einem Umfang von zwei Belästigungen/Woche - nicht sicher feststellen. Die Beklagte hat diesen Vortrag einerseits bestritten, andererseits kann ein zeitlicher Zusammenhang zwischen dem vermehrten Auftreten von belästigenden Anrufen und dem streitgegenständlichen Scraping-Vorfall wegen fehlenden Sachvortrags nicht mit der notwendigen Sicherheit festgestellt werden. Dass unerbetene, belästigende oder betrügerische Anrufe von Nummern mit Auslandsvorwahlen, angeblichen Bankmitarbeitern, mit automatischen Ansagen oder die Mitteilung von angeblichen Sendungsbenachrichtigungen erfolgen, kann grundsätzlich schon deshalb nicht allein und zwingend auf den Scraping-Vorfall bei Facebook zurückgeführt werden, weil davon regelmäßig auch Personen, deren Daten nicht gescrapt wurden, in vergleichbarer Weise betroffen sind. Es ist allgemein - und auch den Senatsmitgliedern aus eigener Erfahrung - bekannt, dass auch Personen, die keine sozialen Netzwerke nutzen, ebenfalls derartige Anrufe und Mitteilungen erhalten. Ein Zusammenhang zwischen den gehäuften Kontaktaufnahmen ab dem Jahr 2022 mit dem Scraping-Ereignis aus dem Jahr 2019, ist daher nicht belegt oder offensichtlich. Dagegen spricht auch, dass in dem Datensatz aus dem behaupteten Leak auch der Arbeitgeber (“Scherdel“) des Klägers hervorgeht, was die Annahme zulässt, dass die Scraper auch anderweitige Informationsquellen abgegriffen haben. Die Befürchtung eines Missbrauchs gründet sich damit nach Ansicht des Senats allein auf der allgemeinen - nicht der Beklagten anzulastenden - Gefahr, die mit der Nutzung eines internetfähigen Mobiltelefons einhergeht und die alle Nutzer in ähnlicher Weise trifft. 3. Die vom Landgericht zugesprochene Feststellungsklage ist unzulässig, weil für den Klageantrag Ziffer 2 das nach § 256 Abs. 1 ZPO erforderliche Feststellungsinteresse fehlt. Ein Feststellungsantrag ist bereits dann zulässig, wenn die Schadensentwicklung noch nicht gänzlich abgeschlossen und der Kläger aus diesem Grund nicht im Stande ist, seinen Anspruch deshalb ganz oder teilweise zu beziffern (OLG Hamm, Urteil vom 21.05.2019 – 9 U 56/18). Das Feststellungsinteresse ist daher nur dann zu verneinen, wenn aus der Sicht des Geschädigten keinerlei Besorgnis besteht, zumindest mit dem Eintritt eines Schadens zu rechnen (BGH, Beschluss vom 09.01.2007 – VI ZR 133/06). Vorliegend sind zwar die Daten des Klägers noch im Internet abrufbar; wer bereits in der Vergangenheit darauf zugegriffen hat und dies ggfs. in Zukunft noch in missbräuchlicher Weise tun wird, ist unklar. Dabei kann auch nicht ausgeschlossen werden, dass dem Kläger bereits ein Schaden zugefügt wurde, von dem er bislang nur noch keine Kenntnis hat. Andererseits ist die von ihm behauptete Wahrscheinlichkeit eines Schadenseintritts infolge des Scraping-Vorfalls umso unwahrscheinlicher, je länger der Vorfall zurückliegt, denn der Kausalzusammenhang lässt sich nicht mehr beweisen. Im Hinblick darauf, dass vier Jahre nach dem Scraping-Vorfall und dem unbefugten Zugriff Dritter auf die Daten ein kausaler materieller Schaden nicht entstanden ist und auch keine konkreten Anhaltspunkte dafür bestehen, dass dem Kläger eine Gefährdung seines Vermögens drohen könnte, bleibt die Möglichkeit eines Schadenseintritts rein theoretisch (OLG Köln, Urteil vom 07.12.20223 - 15 U 108/23, Rn. 50 ff.). Der Befürchtung, es könnten materielle Schäden infolge einer - nach dem Scraping-Vorfall - notwendigen Änderung der Telefonnummer eintreten, steht entgegen, dass der Kläger seine

15  Mobilfunknummer bislang nicht gewechselt hat und dies - seinen Bekundungen zufolge - auch zukünftig nicht beabsichtigt. Infolge des Scraping-Vorfalls sind auch keine Daten an die Öffentlichkeit gelangt, die Kriminellen ein betrügerisches Vorgehen bei Telefonanrufen erleichtern würden. Der Kläger selber ist durch den SMS - Vorfall aus dem Jahre 2023, bei dem er seine Kreditkartendaten weitergegeben hatte, und die Auskunft des (Daten-)Sicherheitsbeauftragten seines Arbeitgebers im Jahr 2022, dass er von dem Scraping-Vorfall betroffen sein könnte und deshalb vermehrt Anrufe unbekannter Nummern erhalte, besonders sensibilisiert. Es kann daher nach alldem davon ausgegangen werden, dass mit dem Eintritt eines materiellen Schadens nicht mehr zu rechnen ist (vgl. OLG Hamm, Urteil vom 15.08.2023 - 7 U 19/23, Rn. 215; OLG Köln, Urteil vom 07.12.2023 - 15 U 108/23, Rn. 50 ff), unabhängig davon, dass ein Feststellungsantrag auch nicht begründet wäre. Der Auffassung des OLG Stuttgart (Urteil vom 22.11.2023 – 4 U 20/23, Rn. 92 ff.), ein Feststellungsinteresse sei infolge des Kontrollverlusts über die Daten gegeben, folgt der Senat nicht. Dem Vortrag des Klägers lassen sich keine Anhaltspunkte dafür entnehmen, dass im Hinblick auf die konkret betroffenen Daten und das Verhalten des Klägers noch ein materieller Schaden drohen könnte (vgl. auch OLG Hamm, Urteil vom 15 2823 – 7 U 19/23, Rn. 214 ff., OLG Köln, Urteil vom 07.12.2023 - 15 U 108/23, Rn. 58). 4. Der Kläger hat zudem auch keinen Anspruch auf Unterlassung gemäß Ziffer 5 seines Antrags. Es kann vorliegend dahinstehen, ob im Anwendungsbereich der Datenschutzgrundverordnung ein Unterlassungsanspruch aus Art. 17 DSGVO analog oder §§ 823, 1004 BGB auch dann in Betracht kommt, wenn ein Löschungsanspruch nicht geltend gemacht wird und ob – wie das OLG Hamm aaO. Rn 219 angenommen hat – der Unterlassungsantrag auch deswegen unzulässig ist, weil es sich hierbei um eine verdeckte Leistungsklage handelt, die überdies auf ein zukünftiges Tun gerichtet ist, ohne dass insoweit die Voraussetzungen des § 259 ZPO gegeben sind. Denn der Antrag ist mangels Rechtsschutzbedürfnis unzulässig. a) Angesichts des Umstandes, dass der Unterlassungsanspruch ausdrücklich mit der möglichen Verwendung der Telefonnummer über das CIT begründet wird, dieses Tool aber unstreitig spätestens seit Oktober 2019 nicht mehr besteht, ist jedenfalls ein Rechtsschutzbedürfnis für einen in die Zukunft gerichteten Unterlassungsantrag nicht mehr zu erkennen, unbeschadet der durch den Vorlagebeschluss des BGH (a.a.O.) aufgeworfenen Frage, ob dieser nicht ohnehin von einer Wiederholungsgefahr abhängt. Eine solche Wiederholungsgefahr wäre jedenfalls zu verneinen. Dabei begründet ein einmal erfolgter Vertragsverstoß die tatsächliche Vermutung für seine Wiederholung. Die Verletzung einer Unterlassungsverpflichtung begründet zwar die Vermutung der Wiederholungsgefahr nicht nur für identische Verletzungsformen, sondern auch für andere Vertragspflichtverletzungen, soweit die Verletzungshandlungen im Kern gleichartig sind (BGH, Urteil vom 29.07.2021 – III ZR 192/20 –, Rn. 115 - 116; Urteil vom 20.06.2013 - I ZR 55/12, NJW 2014, 775 Rn. 18; Beschluss vom 03.04.2014 - I ZB 42/11, NJW 2014, 2870 Rn.

16  12; jew. m.w.N.). An die Entkräftung dieser Vermutung sind dabei strenge Anforderungen zu stellen. Sie ist ausnahmsweise dann als widerlegt anzusehen, wenn der Eingriff durch eine einmalige Sondersituation veranlasst war (BGH, Urteil vom 27.04.2021 – VI ZR 166/19 –, Rn. 23; Senat, Beschluss vom 4.10.2021 – 4 W 625/21 –, Rn. 5). Eine solche Sondersituation ist vorliegend mit Blick auf die Deaktivierung des CIT und dessen Ersatz durch die people-you-may-know (social-connection-check) Funktion gegeben, die nunmehr keine konkreten Nutzer mehr benennt, sondern dem Suchenden eine Liste mit möglichen Kontakten als Ergebnis der Suche auswirft. Eine solche aufwändige Umprogrammierung der Suchfunktion eines Unternehmens mit weit über einer Milliarde Nutzern erfordert einen derartigen Aufwand, dass nicht davon auszugehen ist, dass dies alsbald wieder rückgängig gemacht und die hiervon ausgehende Gefahr erneut in Kauf genommen würde. b) Ein Rechtsschutzbedürfnis fehlt zudem, weil sich der hier festgestellte Schadenshergang schon deshalb vermeiden lässt, indem der Kläger durch eine einfache Änderung der Voreinstellungen bei der Suchbarkeit seine Telefonnummer der Suche entzieht (OLG Köln, Urteil vom 07.12.2023 - 15 U 108/23, Rn. 63). Würde er die Einstellungen von „alle“ auf „nur ich“ zurücksetzen und würden seine Daten dann (erneut) gescraped, so wäre das indes ein anderer Schadenshergang. Alternativ könnte der Kläger seine Telefonnummer auch einfach lösche: Deren Angabe ist nicht zwingend für den Verbleib auf der Plattform. c) Unabhängig davon ist der Antrag jedenfalls auch zu unbestimmt und schon deshalb unzulässig. Der Begriff „unbefugte Dritte“ lässt das konkrete Rechtsschutzziel des Klägers nicht erkennen. Gemäß § 253 Abs. 2 Nr. 2 ZPO darf ein Verbotsantrag nicht derart undeutlich gefasst sein, dass Gegenstand und Umfang der Entscheidungsbefugnis des Gerichts (§ 308 S. 1 ZPO) nicht erkennbar abgegrenzt sind, sich die Beklagte deshalb nicht erschöpfend verteidigen kann und letztlich die Entscheidung darüber, was der Beklagten verboten ist, einem Nachverfahren aufgelastet würde (vgl. BGH, Urteil vom 04.10.2007 – I ZR 143/04, NJW 2008, 1384). Auslegungsbedürftige Begriffe sind im Rahmen von § 253 Abs. 2 Nr. 2 ZPO bei Unterlassungsanträgen dabei nicht schlechthin unzulässig. Sie können hingenommen werden, wenn über den Sinngehalt der verwendeten Begriffe oder Bezeichnungen kein Zweifel besteht, so dass die Reichweite von Antrag und Urteil feststeht (vgl. BGH, Urteil vom 01.12.1999 – I ZR 49/97, BGHZ 143, 214). Gerade dies ist vorliegend aber nicht der Fall, da weder durch die Klageanträge noch durch eine zur Auslegung heranzuziehende Klagebegründung (vgl. dazu BGH, Urteil vom 08.05.2014 – I ZR 217/122, BGHZ 201, 129; BGH, Urteil vom 13.09.2012 – I ZR 230/11, BGHZ 194, 314; BGH, Urteil vom 18.12.2015 – V ZR 160/14, NJW 2016, 863) zweifelsfrei festgestellt werden kann, wer als „unbefugter Dritter“ zu gelten hat. Der Streit hierüber wird dementsprechend in unzulässiger Weise in ein Nachverfahren verlagert (vgl. OLG Köln, Urteil vom 07.12.2023 – 15 U 108/23, Rn. 64). Berufung des Klägers Die selbständige Berufung des Klägers, mit der dieser über den zugesprochenen Betrag hinaus weiteren immateriellen Schadensersatz (Klageantrag Ziff. 1) auch wegen Nichterteilung einer Auskunft begehrt (Klageantrag Ziff. 3) und sich gegen die Abweisung eines weiteren Auskunftsanspruchs (Klageantrag Ziff. 4) sowie eines

17  Unterlassungsanspruchs (Klageantrag Ziff. 6) wendet, hat keinen Erfolg. 1. Die vom Senat bereits in seinem Urteil vom 15.12.2023, Az. 4 U 1094/23, geäußerten Zweifel, ob die Berufung des Klägers insofern die Anforderungen an eine wirksame Berufungsschrift erfüllt, gelten auch für die vorliegende Berufung. Insoweit wird auf das genannte Urteil unter II. 2 a) verwiesen. Das kann aber dahinstehen. 2. Denn selbst wenn man gleichwohl annähme, dass der Kläger in der Berufungsbegründung vom 16.10.2023 sich noch hinreichend mit der angefochtenen Entscheidung auseinandergesetzt hat, bliebe seine Berufung gleichwohl ohne Erfolg. Die damit verfolgten Ansprüche bestehen nicht. a) Für einen Anspruch auf einen höheren immateriellen Schadensersatz als er vom Landgericht zuerkannt wurde, gilt dies schon deshalb, weil auch insoweit kein kausaler Schaden ersichtlich ist. Auf die obigen Ausführungen wird insoweit Bezug genommen. b) Dem Kläger steht kein Anspruch auf Auskunft nach Art. 15 DSGVO (Klageantrag Ziffer 4) zu, denn der Anspruch ist durch das Schreiben der Beklagten vom 26.10.2022 (Anlage B16) erfüllt worden, § 362 BGB. Erfüllt im Sinne des § 362 Abs. 1 BGB ist ein Auskunftsanspruch grundsätzlich dann, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erfüllung nicht entgegen. Der Verdacht, dass die erteilte Auskunft unvollständig oder unrichtig ist, kann einen Anspruch auf Auskunft in weitergehendem Umfang nicht begründen. Wesentlich für die Erfüllung des Auskunftsanspruchs ist daher die - gegebenenfalls konkludente - Erklärung des Auskunftsschuldners, dass die Auskunft vollständig ist (vgl. BGH, Urteil vom 03.09.2020 - III ZR 136/18, GRUR 2021, 110 Rn. 43 m.w.N). Die Annahme eines derartigen Erklärungsinhalts setzt demnach voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig abdecken soll (BGH, Urteil vom 15.06.2021 – VI ZR 576/19, Rn. 19 - 20; Senat, Urteil vom 31.08.2021 – 4 U 324/21, Rn. 18). Dies ist auch hier der Fall. Das zur Akte gereichte anwaltliche Antwortschreiben der Beklagten enthält eine Beschreibung des Scrapings, die Mitteilung, dass die Beklagte keine Kopie der Rohdaten hält, die abgerufen worden seien und eine Auflistung der Datenpunkte, die aus ihrer Sicht gescrapt wurden. Des Weiteren enthält das Schreiben eine Erläuterung des Datenabrufs über die immer öffentlichen Daten, das Facebook-Profil und die Kontaktimportfunktion sowie den Hinweis auf das Handeln möglicherweise mehrerer Scraper. Die Beklagte hat einen Link übersandt, auf der über den individuellen Nutzer gespeicherte Daten eingesehen werden können. Ebenso ist ihrer Erklärung zu entnehmen, dass sie die Scraper namentlich nicht kennt. Damit hat die Beklagte zu erkennen gegeben, dass sie vollständig Auskunft erteilt hat.

18  Soweit die Klagepartei weitergehend Auskunft darüber verlangt, wer Empfänger der Daten ist, steht ihrem Anspruch § 275 Abs. 1 BGB entgegen. Insofern weist die Beklagte unwidersprochen darauf hin, dass ihr die Identitäten der Scraper nicht bekannt seien, weswegen ihr eine Auskunftserteilung unmöglich ist. Soweit der Kläger behauptet, die Beklagte könne dies über sogenannten „Log-Dateien“ ohne weiteres nachvollziehen, ist er für diese Behauptung beweisfällig geblieben. 3. Ein Schadensersatzanspruch wegen Verletzung der Auskunftspflicht (Klageantrag Ziff. 3) steht der Klagepartei schon deshalb nicht zu, weil die Beklagte ihre Auskunftspflicht - wie unter Ziffer 2 b) ausgeführt - nicht verletzt hat. Unabhängig davon rechtfertigt die Verletzung der Auskunftspflicht nach Art. 15 DSGVO hier schon deshalb keinen Schadensersatzanspruch, weil nicht dargelegt ist, welcher Schaden der Klagepartei daraus entstanden sein soll. 4. Der unter Ziffer 6 geltend gemachte Antrag, es zu unterlassen, die Telefonnummer des Klägers unter den dort genannten Einschränkungen weiterzuverarbeiten, ist unzulässig. Zum einen ist nach der Formulierung unklar, ob es sich hierbei überhaupt um einen Unterlassungsantrag oder nicht vielmehr um einen Antrag auf zukünftige Leistung handelt, ohne dass die Voraussetzungen des § 259 ZPO vorlägen. Es fehlt aber insbesondere an einem Rechtsschutzbedürfnis. Der Antrag ist darauf gestützt, der Beklagten die Weiterverarbeitung auf der Grundlage einer für unwirksam erachteten Einwilligung zu untersagen. Diesem Begehren kann aber mit einem Widerruf dieser Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit Rechnung getragen werden, ohne dass hierfür ein Unterlassungsanspruch geltend gemacht werden müsste. Darüber hinaus fehlt auch hier das Rechtsschutzbedürfnis, weil der Kläger ohne weiteres die Suchbarkeitseinstellungen ändern oder auch seine Telefonnummer einfach löschen könnte (vgl. OLG Köln, 07.12.2023 - 15 U 108/23. Rn. 68). 5. Der Antrag Ziffer 7 ist insoweit unbegründet, als er Anwaltskosten, die auf der außergerichtlichen Geltendmachung von Unterlassungs- und Schadensersatzansprüchen beruhen, geltend macht, weil solche Ansprüche gegen die Beklagte nicht bestehen. Im Ergebnis ist auch der mit dem Antrag Ziffer 7 geltend gemachte Anspruch auf Freistellung von außergerichtlichen Anwaltskosten auch für diejenigen Kosten unbegründet, die dadurch entstanden sein sollen, dass die Prozessbevollmächtigten des Klägers sich mit Schreiben vom 04.10.2022 (Anlage KGR_4) an die Beklagte gewandt und einen Anspruch auf Auskunft geltend gemacht haben. Die Kostenerstattung kann sich hier jedenfalls nicht auf Verzug stützten. Unabhängig davon, auf welche mögliche Anspruchsgrundlage sich sodann eine solche Kostenerstattung stützten könnte (vgl. zu den möglichen Anspruchsgrundlagen: OLG Köln, Urteil vom 07.12.2023 – 15 U 108/23, Rn. 75 ff) bestanden - zumal in Ansehung der eigenen Öffentlichkeitsarbeit der Beklagten zum Scraping-Vorfall, die dem Kläger schon vor dem Schreiben vom 04.10.2022 bekannt war - zu dem konkreten Vorfall keine durchsetzbaren Hauptansprüche, zu denen der Kostenerstattungsanspruch akzessorisch sein könnte, und war die anwaltliche Beauftragung für eine erstmalige Geltendmachung eines Auskunftsanspruchs nicht erforderlich.

19  III. Die Kostenentscheidung folgt für beide Instanzen aus § 91 ZPO, die Entscheidung über die vorläufige Vollstreckbarkeit aus §§ 708 Nr. 10 für die Anträge zu 1 und 2, im Übrigen aus § 709 S. 2 ZPO. Die Streitwertfestsetzung beruht auf §§ 48 Abs. 2 GKG, 3 ZPO und orientiert sich überwiegend an den Werten, die der Senat im Beschluss vom 31.07.2023 – 4 W 396/23 – zugrunde gelegt hat. Die Revision war zuzulassen, da die Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Revisionsgerichts erfordert (§ 543 Abs. 2 Nr. 2 ZPO). Der Senat weicht von der Entscheidung des Oberlandesgerichts Stuttgart (a.a.O.) ab, was angesichts der Vielzahl an anhängigen Rechtsstreiten zu demselben Sachverhalt und mit nahezu identischem Vortrag seitens der Kläger künftig weiterhin auftreten wird. Der Senat sieht dagegen keinen Anlass für die Einleitung eines Vorabentscheidungsverfahrens nach Art. 267 AEUV oder für die Aussetzung des vorliegenden Verfahrens bis zur Entscheidung des Europäischen Gerichtshofs in den Verfahren C-189/22, C-741/21, C-687/21, C-667/21, C-340/21 und C-307/22. Zur Durchführung eines Vorabentscheidungsverfahrens besteht nach Art. 267 AEUV keine Pflicht, da das vorliegende Urteil in vollem Umfang mit Rechtsmitteln angefochten werden kann. Auch besteht auch kein Anlass für eine Aussetzung des Verfahrens analog § 148 ZPO. Eine solche Aussetzung ist zwar möglich, wenn die Entscheidung des vorliegenden Rechtsstreits von der Beantwortung einer Frage abhängt, die dem Europäischen Gerichtshof bereits in einem anderen Rechtsstreit zur Vorabentscheidung nach Art. 267 AEUV vorgelegt wurde (vgl. BGH, Beschluss vom 28.3.2023 – VI ZR 225/21). Dies ist hier aber nicht der Fall. Die Vorlagefragen im Verfahren C-189/22 und C-667/21 sind für den hier zu entscheidenden Rechtsstreit nicht erheblich, da sie sich mit Problemen bei der Bemessung der Höhe des immateriellen Schadensersatzes befassen, dem Kläger jedoch nach den obigen Ausführungen schon dem Grunde nach gar kein immaterieller Schaden entstanden ist. Gleiches gilt für die Vorlagefragen im Verfahren C-741/21, die sich damit befassen, ob Art. 82 DSGVO jede Beeinträchtigung der geschützten Rechtsposition umfasst bzw. wiederum Fragen der Bemessung und des Ausschlusses eines Ersatzanspruchs für immaterielle Schäden thematisieren. Auch die Vorlagefragen im Verfahren C-687/21 sind für die Entscheidung des hiesigen Rechtsstreits nicht erheblich, da der Senat weder von einer mangelnden Bestimmtheit des Art. 82 DSGVO ausgeht noch über eine vergleichbare Fallgestaltung zu entscheiden hat. Unerheblich für das vorliegende Verfahren sind auch die Vorlagefragen im Verfahren C-340/21, da der Anspruch des Klägers vorliegend zum einen nicht daran scheitert, dass ihm die Beweislast für das Vorliegen geeigneter technischer und organisatorischer Maßnahmen im Sinne von Art. 32 DSGVO auferlegt wird und es zum anderen auch nicht um die Haftung der Beklagten für einen sog. „Hackerangriff“ geht. Die vom Bundesgerichtshof im Verfahren VI ZR 97/22 formulierten Vorlagefragen führen hier auch nicht zu einer Pflicht des Senats, das Verfahren auszusetzen, da die in diesem Verfahren vorgelegten Fragen für den hiesigen Rechtsstreit nicht entscheidungserheblich sind. Die Vorlagefrage Nr. 4 („Ist Art. 82 Abs. 1 DSGVO dahingehend auszulegen, dass für

20  die Annahme eines immateriellen Schadens im Sinne dieser Bestimmung bloße negative Gefühle wie z. B. Ärger, Unmut, Unzufriedenheit, Sorge und Angst, die an sich Teil des allgemeinen Lebensrisikos und oft des täglichen Erlebens sind, genügen? Oder ist für die Annahme eines Schadens ein über diese Gefühle hinausgehender Nachteil für die betroffene natürliche Person erforderlich?“) soll nach dem Bundesgerichtshof eine Klärung darüber herbeiführen, ob allein alltägliche negative Gefühle des Betroffenen einen Schaden begründen können. Vorliegend scheitert der Schadensersatzanspruch des Klägers allerdings nicht daran, dass der Senat seine behaupteten Gefühle (Angst, Sorge, Ungewissheit etc.) nicht als immateriellen Schaden einstufen würde, sondern letztlich daran, dass es an hinreichendem Vortrag des Klägers dazu fehlt, dass er solche Gefühle überhaupt wahrgenommen hat. S...... R...... Z......