OLG Dresden: Kontrollverlust zu personenbezogenen Daten als Grundlage von Schadensersatzanspruch nach Art. 82 DSGVO nicht gegeben, wenn diese bereits Bestandteil vorhergehender Datenverluste waren und zudem durch betroffene Person selbst auf Internetseite veröffentlicht wurden

So unter anderem das Gericht in seinem Urteil vom 11. Februar 2025 (Az.: 4 U 1283/24) in einem Rechtsstreit zu dem Scraping von personenbezogenen Daten aus einem Sozialen Netzwerk. Es führt in den Entscheidungsgründen unter anderem zu dem fehlenden Kontrollverlust wie folgt aus:

„…Soweit die Klägerin in ihrer Anhörung vor dem Senat angegeben hat, dass sie seit dem Datenschutzvorfall bei der Beklagten nach ihrer Einschätzung seit etwa fünf Jahren – in erhöhtem Maße Spam-Mails, -SMS und -Anrufe erhalte, führt dies zu keinem anderen Ergebnis. Denn die Daten der Klägerin sind nicht nur vor dem streitgegenständlichen Scraping-Ereignis mehrfach von Datenschutzvorfällen bei anderen Diensteanbietern betroffen gewesen, sondern die Klägerin hat auch angegeben, seit etwa zehn bis 15 Jahren eine Webseite www……com zu betreiben, auf der ihre Anschrift, Telefonnummer und E-Mail-Adresse öffentlich einsehbar ist. Den Beweis dafür, dass der Kontrollverlust – wie die Klägerin meint – gerade dadurch eingetreten ist, dass man über ihre bei der Beklagten gehackten E-Mail-Adresse zu ihren Daten auf ihrer Homepage gelangt sei, konnte die Klägerin jedoch nicht erbringen. Es ist vielmehr allgemeinkundig und senatsbekannt, dass auch Personen ohne Twitter-Account von Spam betroffen sind, wie ihn die Klägerin geschildert hat. Hinzu kommt, dass sie von solchen Anrufen bzw. Kontaktaufnahmen seit etwa fünf Jahren berichtet. Nach dem von der Klägerin selbst vorgelegten Ausdruck der Webseite www.haveibeenpwnd.com erschienen die 2021 durch den Missbrauch einer API erlangten Datensätze der Beklagten aber erst Anfang 2023 in einem Hackerforum. Soweit ausweislich der Webseite www.haveibeenpwnd.com auch das Social-Media-Profil und der Benutzername der Klägerin in Verbindung mit ihrem Klarnamen bei der Beklagten gescraped worden war, so hat die Klägerin hierzu nicht substantiiert vorgetragen, da sie lediglich behauptet hat, „u. a.“ ihre E-Mail-Adresse hinterlegt zu haben. Auch insoweit ist die Klägerin für einen Kontrollverlust beweisfällig geblieben. Zu einer ausreichenden Darlegung hätte wegen der zahlreichen vorausgegangenen Datenschutzvorfälle insbesondere auch Vortrag gehört, welche weiteren Daten außer der E-Mail-Adresse nur bei Twitter und nicht auch bei MySpace, Dropbox, tumblr, LinkedIn, MyHeritage, Houzz, Epik sowie SHEIN hinterlegt worden waren, um einen kausalen Kontrollverlust nachweisen zu können…“