LG Nürnberg-Fürth: 250 EUR Schmerzensgeld als Schadensersatz nach Art. 82 DSGVO bei Datenerhebung per Scraping

Dies hat das Gericht in seinem Endurteil vom 20.Oktober 2023 (Az.: 10 O 1510/22) in einem Rechtsstreit rund um einen Datenschutzvorfall im Jahr 2019 bei einem bekannten Social-Media-Netzwerk entschieden.

Das Gericht führt in den Entscheidungsgründen unter anderem zur zugesprochenen Höhe des zugesprochenen Anspruchs aus:

„…Dabei hält es diesen Betrag für angemessen und ausreichend, um den immateriellen Schaden auszugleichen. Gleichzeitig trägt es der Abschreckungswirkung des Schadensersatzes nach Art. 82 DSGVO und den besonderen Umständen des Falles Rechnung. Dem Gericht steht insoweit ein Ermessen zu (§ 287 ZPO).

Bei der Bemessung der Höhe des Schadensersatzes kann § 253 BGB herangezogen werden, sofern die unionsrechtlichen Grundsätze der Äquivalenz und Effektivität beachtet werden (EuGH Urteil vom 04.05.2023 – C-300/21 = GRUR-RS 2023, 8972 Rn. 59; BeckOK DatenschutzR/Quaas, 44. Ed. 1.5.2023, DS-GVO Art. 82 Rn. 31). Dabei können die Kriterien des Art. 83 Abs. 2 DSGVO herangezogen werden. Dazu zählen die Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung, der Grad des Verschuldens, Maßnahmen zur Minderung des entstandenen Schadens, frühere Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten, die betroffenen Kategorien personenbezogener Daten zur Ermittlung (BeckOK DatenschutzR/Quaas, 44. Ed. 1.5.2023, DS-GVO Art. 82 Rn. 31; so auch LG Essen, Urteil vom 23.9.2021 – 6 O 190/21 = ZD 2022, 50 (Rn. 48); LG Lübeck, Urteil vom 25. Mai 2023 – 15 O 74/22 –, Rn. 115, juris).

Vorliegend war einerseits zu berücksichtigen, dass die Beklagte mehrfach gegen die DSGVO verstoßen hat und die Veröffentlichung der personenbezogenen Daten der Klagepartei erst aufgrund dieser Verstöße möglich war. Zudem beläuft sich der weltweite Jahresumsatz der Beklagten im Jahr 2021 auf 118 Milliarden €.

Andererseits ist in die Bewertung der Höhe des Schadensersatzanspruches einzufließen, dass die Beklagte im Nachgang weitere Sicherheitsmaßnahmen gegen Scraping getroffen hat, keine besonders sensiblen Daten i.S.d. Art. 9 Abs. 1 DSGVO gescrapt wurden und es vorliegend zu keiner Vermögensgefährdung oder einem Vermögensschaden gekommen ist. Des Weiteren ist zu berücksichtigen, dass die Beklagte die Daten nicht selbst veröffentlicht hat, sondern dies durch unbefugte Dritte geschehen ist und sie nur eine Mitursächlichkeit trifft. Außerdem hat die Klagepartei im Anspruchsschreiben an die Beklagte selbst einen Betrag von 500 € als ausreichende Kompensation für die Datenschutzverstöße und die Veröffentlichung angesehen.

Da nur der Kontrollverlust als Schaden vorliegend gegeben und keine weitere subjektive Beeinträchtigung durch die Klagepartei dargelegt ist, reduziert das Gericht diesen Betrag unter Berücksichtigung der Gesamtumstände um 50%. Das Gericht hält wegen der ausgeführten Erwägungen einen Betrag von 250,00 € zum Ausgleich des eingetretenen immateriellen Schadens für angemessen.

Auf eine vergleichbare Entscheidung des OLG Frankfurt vom 14.04.2022, Az. 3 U 21/20 zum Verlust sensibler Daten hinsichtlich der Schadenshöhe kann verwiesen werden. Das OLG Frankfurt sah einen angemessenen Schadensersatz in Höhe von 500 € für eine Beeinträchtigung wegen eines versehentlichen Versendens von Kontodaten einer Bank als angemessen an (OLG Frankfurt am Main, Urteil vom 14.04.2022, 3 U 21/20 = ZD 2022, 621). Da es sich vorliegend nicht um ähnlich sensible personenbezogene Daten (Bankdaten), sondern um die Telefonnummer der Klagepartei handelt, ist ein Abschlag von 50% zu 500 € unter Berücksichtigung des Einzelfalls angemessen. Insoweit die Klägerseite einwendet, andere Gerichte hätten für weniger gravierende Verstöße 5000 € (ArbG Düsseldorf Urteil vom 06.02.2020 – 3 SaGa 7 öD/19 = NZA-RR 2020, 409 Rn. 85) oder 1500 € (ArbG Neumünster Urteil vom 11.8.2020 – 1 Ca 247 c/20 = ZD 2021, 171 Rn. 37) zugesprochen, ist dies auf den vorliegenden Fall nicht übertragbar. So wurde wegen mangelhafter Auskunft in den benannten Verfahren ein Schaden festgestellt und nicht wegen eines Kontrollverlusts. Überdies ging es im dortigen Sachverhalt jeweils um ein nicht erfülltes Auskunftsverlangen sowie um ein Verfahren in der Zuständigkeit der Arbeitsgerichtsbarkeit, welche für das vorliegend entscheidende Gericht nicht bindend ist…“