Leitsatz: Die Betroffenheit von einem Datenschutzverstoß eines Plattformbetreibers unterliegt einer gestuften Darlegungslast: Auf der ersten Stufe genügt es, wenn der Betroffene sich auf einen Auszug der Seite www.haveibeenpawnd.com stützt, sofern der Datenschutzvorfall an sich sowie die Verwendung der zugrunde liegenden Daten bei der Plattformanmeldung unstreitig sind. Es obliegt dann dem Plattformbetreiber, substantiiert darzulegen, weshalb es gleichwohl an einer Betroffenheit des Nutzers fehlt. (Festhaltung Senat, Urteil vom 28. Januar 2025 - 4 U 157/24 -, juris) OLG Dresden, 4. Zivilsenat, Beschluss vom 3. März 2025, Az.: 4 U 1229/24

Oberlandesgericht Dresden Zivilsenat Aktenzeichen: 4 U 1229/24 Landgericht Leipzig, 04 O 202/24 BESCHLUSS In dem Rechtsstreit M...... F......, ...... - Kläger und Berufungskläger - Prozessbevollmächtigte: M...... Rechtsanwaltsgesellschaft mbH, ...... gegen ...... vertreten durch den Direktor ...... - Beklagte und Berufungsbeklagte - Prozessbevollmächtigte: R...... S...... M...... Wirtschaftsprüfer Steuerberater Rechtsanwälte Partnerschaft mbB, ...... wegen Datenschutzverstoß hat der 4. Zivilsenat des Oberlandesgerichts Dresden durch Vorsitzenden Richter am Oberlandesgericht S......, Richterin am Oberlandesgericht P...... und Richterin am Oberlandesgericht Z...... ohne mündliche Verhandlung am 03.03.2025 beschlossen: 1. Der Senat beabsichtigt, die Berufung des Klägers ohne mündliche Verhandlung durch Beschluss zurückzuweisen. 2. Der Kläger hat Gelegenheit, innerhalb von zwei Wochen Stellung zu nehmen. Er sollte allerdings auch die Rücknahme der Berufung in Erwägung ziehen. 3. Der Streitwert des Berufungsverfahrens soll auf 5500,- festgesetzt werden.

Gründe: I. Der Senat beabsichtigt, die zulässige Berufung nach § 522 Abs. 2 ZPO ohne mündliche Verhandlung durch - einstimmig gefassten - Beschluss zurückzuweisen. Die zulässige Berufung der Klägerin bietet in der Sache offensichtlich keine Aussicht auf Erfolg. Die Rechtssache hat auch weder grundsätzliche Bedeutung noch erfordert die Fortbildung des Rechts oder die Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Berufungsgerichts durch Urteil. Auch andere Gründe gebieten eine mündliche Verhandlung nicht. Die Berufung der Klagepartei ist nicht begründet. Der Klagepartei steht kein Anspruch auf immateriellen Schadensersatz gemäß Art. 82 DSGVO zu. 1. Zwar hat die Beklagte selbst gegen ihre aus der DSGVO resultierenden Pflichten zur Überwachung ihres externen Dienstleisters verstoßen. Zur Begründung und zur Vermeidung von Wiederholungen wird insoweit auf die Urteile des Senats vom 17.09.2024, - 4 U 506/24; vom 15.10.2024 - 4 U 940/24 und 4 U 433/24 sowie vom 29.10.2024 - 4 U 935/24 Bezug genommen, auch soweit der Senat den geltend gemachten Ansprüche auf Unterlassung als unzulässig und den geltend gemachten Auskunftsanspruch sowie den Anspruch auf immateriellen Schadensersatz wegen der Verletzung der Auskunftspflicht als unbegründet zurückgewiesen hat. 2. Allen geltend gemachten Ansprüchen steht jedoch entgegen, dass der Kläger nicht substantiiert vorgetragen und unter Beweis gestellt hat, dass er sich bei der bei der Beklagten registriert, zwischen ihm und der Beklagten ein Nutzungsvertragsverhältnis im relevanten Zeitraum bestanden hat und er von einem der Beklagten anzulastenden Datenschutzvorfall persönlich betroffen ist. Denn die Beklagte hat das Bestehen eines Nutzungsvertragsverhältnisses zwischen ihr und dem Kläger hinreichend konkret bestritten. Nachdem die Prozessbevollmächtigten der Klägerin die streitgegenständlichen Ansprüche vorgerichtlich geltend gemacht haben, hat die Beklagte mit E-Mail vom 17.11.2023 mitgeteilt, unter dem angegebenen Namen und der E-Mail Anschrift sei ein Account nicht aufzufinden. Mit Klageerwiderung vom 11.6.2024 (dort S. 6) hat sie erneut darauf hingewiesen, sie könne keine zugehörigen Datensätze in ihren Datenbanken zu der Person der Klagepartei finden und daher auch keine über diese Negativauskunft hinausgehende Auskunft erteilen (Bl. 62 eA LG Leipzig). Dem ist der Kläger weder erstinstanzlich noch mit der Berufungsbegründung vom 26.9.2024 substantiiert entgegengetreten. Er hat die Behauptung, dass auch seine personenbezogenen Daten aufgrund des Datenlecks bei der Beklagten veröffentlicht worden seien, allein durch Vorlage eines Screenshots aus der Webseite "haveibeenpwned.com" untesetzt. Die Bezugnahme auf eine Abfrage bei dieser Webseite belegt für sich genommen jedoch noch nicht, dass der Kläger sich mit der angegebenen Email-Anschrift bei der Beklagten registriert, ein Nutzerkonto - zumal im relevanten Zeitraum - unterhalten hat und - bezogen darauf - von einem Datenhacking im Jahr 2022 betroffen gewesen ist, das auf Datenschutzverstöße bei der Beklagten zurückzuführen ist. Der Senat hat zur Verteilung der Darlegungslast in diesen Fällen im Urteil vom 28.1.2025 (4 U 157/24 z.V. vorgesehen) folgendes ausgeführt:

„Fraglos kann mit einem Auszug aus dieser Seite ein tauglicher Beweis nicht geführt werden, weil es sich hierbei lediglich um ein Augenscheinsobjekt handelt, das keine Beweiskraft für seinen Inhalt hat. Dies ändert jedoch nichts daran, dass die Aufnahme einer E-Mail-Anschrift in den Datenbestand dieser Seite ein Indiz für deren Einbeziehung in einen Datenschutzvorfall ist, auch weil der Betroffene regelmäßig keine Möglichkeit hat, die Aufnahme seiner E-Mail-Anschrift in den Datenbestand dieser Seite zu beeinflussen und - gerichtsbekannt- nach einem größeren Datenschutzvorfall nicht automatisch alle E-Mail Anschriften, die bei einem Plattformbetreiber hinterlegt sind, auch bei www.haveibeenpwand.com zu einem Treffer führen. Die daraus folgende Eingrenzung führt daher dazu, dass der Betroffene auf der ersten Stufe seiner Darlegungslast genügt, was wiederum dazu führt, dass nunmehr der Betreiber im Rahmen seiner sekundären Darlegungslast substantiiert und einzelfallbezogen darlegen muss, weshalb gerade die jeweilige Klagepartei von einem von einem Datenschutzvorfall nicht betroffen sein soll. Diese Verteilung erscheint auch deswegen angemessen, weil der Nutzer in der Regel keinen Einblick in die Einzelheiten der Verarbeitung seiner Daten bei dem Plattformbetreiber und in den Umfang des Datenschutzvorfalls hat und es ihm in der Regel auch nicht möglich ist, deren Verbleib im Darknet im Einzelnen nachzuweisen. Jedenfalls in den Fällen, in denen - wie hier - ein Datenschutzvorfall mit mehreren Millionen abhanden gekommenen Nutzerdaten unstreitig ist und der Plattformbetreiber aufgrund einer eigenen Untersuchung einzelne Nutzer als Betroffene individualisiert und angeschrieben hat, spricht auch eine tatsächliche Vermutung dafür, dass er tatsächlich in der Lage ist mitzuteilen, welche seiner Nutzer im Einzelfall von einem Datenabfluss betroffen waren und welche nicht und dies durch Bezugnahme auf seine Untersuchungsergebnisse und die zugrunde liegende Methodik auch zu belegen. Der Senat hält es daher in diesen Fällen für angemessen, ihm eine sekundäre Darlegungslast aufzuerlegen. Erfolgt ein solcher Vortrag nicht, ist eine Betroffenheit mit den aus dem Auszug ersichtlichen Daten für das weitere Verfahren zu unterstellen; legt die Beklagte hingegen dar, was ihre Untersuchung ergeben hat und wieso diese die Annahme rechtfertigen, dass die Daten der jeweiligen Klagepartei nicht betroffen sind, ist hierüber ggf. Beweis zu erheben. Diese Verteilung der Darlegungslast gilt allerdings dann nicht, wenn der betroffene Nutzer bereits die Verwendung der bei www.haveibeenpwnd.com hinterlegten E-Mail-Anschrift bei der Anmeldung zur Plattform nicht nachgewiesen hat oder die Beklagte bezogen auf die jeweilige Klagepartei darstellt, aufgrund welcher konkreten Umstände sie davon ausgeht, dass die Treffermitteilung bei www.haveibeenpwnd.com im Einzelfall keine verlässliche Grundlage sein kann, etwa weil mit der jeweiligen Klagepartei im Zeitpunkt des Datenschutzvorfalls kein Nutzungsverhältnis bestand (Senat, Urteil vom 15.10.2024 - 4 U 422/24 - juris, Rn. 52).“ So liegt es hier. Der Senat rät daher zur Berufungsrücknahme, die zwei Gerichtsgebühren spart. S...... P...... Z......