OLG Hamm: Datenerhebung durch bestimmte „Meta Business Tools“ ist mangels vorliegender Rechtsgrundlage nach der DSGVO rechtswidrig und daher besteht auch ein Anspruch auf Schadensersatz in Höhe von 750 EUR

So unter anderem das Gericht in seinem Urteil vom 28. September 2026 (Az.: 22 U 77/25) in einem Rechtsstreit, in dem unter anderem auch ein Anspruch auf Schadensersatz nach Art. 82 DSGVO geltend gemacht worden war. Das Gericht sprach diesen Anspruch wegen des Kontrollverlustes über personenbezogene Daten zu und begründet unter anderem wie folgt in den Entscheidungsgründen des Urteils:

„…Gemäß Art. 82 Abs. 1 DSGVO hat jeder, dem wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen. Hierbei begründen mehrere Datenschutzverstöße, die in einem einheitlichen Geschehen – wie hier der Verwendung der G. Business-Tools – wurzeln, einen einheitlichen Anspruch (vgl. BGH, Urteil vom 18.11.2024, VI ZR 10/24, juris, Rn. 16).

Voraussetzung eines solchen Anspruchs sind ein oder mehrere Verstöße gegen die DSGVO und das Vorliegen eines hierdurch kausal verursachten materiellen oder immateriellen Schadens (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24 -, BGHZ 242, 180-216, Rn. 21, m. w. N.). Ein solcher kann bereits in einem Kontrollverlust der betroffenen Person über ihre personenbezogenen Daten liegen, ohne dass der Nachweis zusätzlicher negativer Folgen erforderlich ist (vgl. EuGH, Urteil vom 4. Oktober 2024 – C-200/23 -, Rn. 145, juris).

Soweit die Beklagte unter Hinweis auf die Rechtsprechung des EuGH ausführt, allein die Verletzung von Bestimmungen der DSGVO und eine daraus hergeleitete, objektiv nicht begründete Befürchtung des künftigen Datenmissbrauchs genüge zur Begründung eines Schadens nicht (vgl. EuGH, Urteil vom 19.03.2026, C-526/24, Celex-Nr. 62024CJ0526, Rn. 62, 63), betrifft dies eine andere Fallgestaltung, in welcher anstelle eines Kontrollverlusts das tatsächliche Risiko eines Datenmissbrauch als Schaden geltend gemacht wird. Ist hingegen ein Kontrollverlust belegt, stellt dieser selbst den immateriellen Schaden dar und es bedarf keiner sich daraus entwickelnden besonderen Befürchtungen oder Ängste der betroffenen Person; diese wären lediglich geeignet, den eingetretenen immateriellen Schaden noch zu vertiefen oder zu vergrößern (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24 -, BGHZ 242, 180-216, Rn. 31).

Nach diesen Maßstäben ist ein immaterieller Schaden des Klägers in Gestalt eines Kontrollverlusts zur Überzeugung des Senats gegeben und kausal auf die dargelegten Verstöße der Beklagten gegen die Datenverarbeitungsgrundsätze nach Art. 5 DSGVO zurückzuführen. Denn der streitgegenständliche Umgang der Beklagten mit den Daten des Klägers hat dazu geführt, dass personenbezogene Daten des Klägers in einer nicht transparent bestimmbaren Menge zwischen Dritten und der Beklagten geteilt und von der Beklagten in einer vom Kläger nicht kontrollierbaren Weise verarbeitet wurden.

Der Höhe nach orientiert sich der in Ausübung tatrichterlichen Ermessens (§ 287 ZPO) zuzusprechende Schadensersatz an der Schwere des zu Lasten des Klägers eingetretenen Kontrollverlusts. Dabei spielen die Sensibilität der konkret betroffenen personenbezogenen Daten ebenso eine Rolle wie die Art und Weise ihrer unrechtmäßigen Verwendung. Auch eine etwaige Unbegrenztheit des Empfängerkreises, die Dauer des Kontrollverlusts und die Möglichkeit der Wiedererlangung der Kontrolle sind zu berücksichtigen (vgl. BGH, Urteil vom 18. November 2024 – VI ZR 10/24 -, BGHZ 242, 180-216, Rn. 99). Demgegenüber wirken sich die Schwere des Verstoßes im Sinne eines höheren oder niedrigeren Verschuldensgrades der Beklagten nicht auf die Höhe des Schadenersatzes aus, da dieser eine Ausgleichs- und keine Straffunktion hat (EuGH, Urteil vom 11. April 2024 – C-741/21 -, Rn. 60, juris).

Gemessen daran und insbesondere unter Berücksichtigung des in der mündlichen Verhandlung gewonnenen persönlichen Eindrucks erachtet der Senat die zuerkannte Summe als erforderlich und zugleich ausreichend, um den eingetretenen immateriellen Schaden des Klägers angemessen auszugleichen.

Hierbei ist zunächst zu berücksichtigen, dass die in der Klageschrift zum Ausdruck gebrachte Sorge, die Beklagte erstelle ein umfassendes Verhaltensprofil des Klägers, das möglicherweise in einer ihm nachteiligen Weise Verwendung finden könne, nach den inzwischen gegebenen technischen Erläuterungen nicht mehr in der ursprünglichen Schärfe begründet ist. Vielmehr hat die Beklagte – insoweit auch in Weiterentwicklung des Vortrags, der anderweitig ergangener Rechtsprechung zugrunde lag – in einer den Senat überzeugenden Weise dargestellt, dass eine Fehlkonfiguration der Business-Tools zwar möglich ist, aber nicht den Regelfall darstellt und dass eine Datenübermittlung an sie aus diesem Grund und auch aufgrund der bereits in den Business-Tools implementierten Schutzvorkehrungen bei einer – in den meisten Fällen gegebenen – ordnungsgemäßen Funktion nur stattfindet, wenn dazu auf der Drittwebseite eine Einwilligung des Nutzers erteilt wurde. Zudem hat sie überzeugend den Vorgang des „Droppings“ dargestellt, wonach Daten, zu deren Weiterverwendung sie keine Einwilligung habe, nach einem initialen Abgleich verworfen würden, soweit diese nicht ausnahmsweise aus Sicherheits- und Integritätsgründen aufbewahrt würden. Diese Sachlage lässt die dargelegten Verstöße gegen Verarbeitungsgrundsätze im Sinne von Art. 5 DSGVO zwar nicht entfallen, verdeutlicht aber, dass der dem Kläger als Kontrollverlust entstandene Schaden in seinem Ausmaß überschaubar ist. Zudem ist der Kontrollverlust auch zeitlich begrenzt, da der Kläger – nicht zuletzt durch die in diesem Rechtsstreit durchgesetzte Löschung seiner Daten und die Unterlassung entsprechender Datenverarbeitung in der Zukunft – seine Kontrolle wiedererlangt.

Darüber hinaus hat sich der Senat im Rahmen der persönlichen Anhörung des Klägers einen Eindruck von der Bedeutung des eingetretenen Kontrollverlust für ihn verschafft. Hierbei war zum einen zu berücksichtigen, dass sich der Kläger an der Auswertung seines Nutzerverhaltens auf K. als solcher ausdrücklich nicht gestört, sondern bewusst seine Einwilligung dazu erteilt hat. Lediglich die Auswertung der von Drittanbietern übermittelten Daten hat er als nicht mit seinen Vorstellungen übereinstimmend beschrieben. Dass sich der damit zusammenhängende Kontrollverlust für ihn in einer relevanten Weise ausgewirkt hat, hat er zur Überzeugung des Senats dadurch plausibel gemacht, indem er sinngemäß eine dem üblichen Alltagsgebrauch entsprechende Internetnutzung geschildert hat, wobei er zeitweise auch zu beruflichen Themen als Beamter einer Ordnungsbehörde recherchiert und dadurch begründet die Sorge gewonnen hat, die berufliche Nutzung werde mit seinem privaten Nutzerprofil verknüpft. Dem Umstand, dass der Kläger der Übermittlung von Cookie-Informationen durch Drittanbieter an die Beklagte – wenn auch seiner Darstellung nach unbewusst – bis zum schriftsätzlichen Widerruf zugestimmt hat, misst der Senat angesichts der fehlenden Transparenz der Datenverarbeitung nur eine mäßige Bedeutung zu. Gleichwohl hat der Senat aus dem Gesamteindruck der persönlichen Anhörung die Überzeugung gewonnen, dass der Kläger durch den Kontrollverlust in seinem persönlichen Empfinden zwar feststellbar, aber nicht so schwerwiegend getroffen wurde, dass eine höhere Entschädigung gerechtfertigt wäre…“

Hinweis des Autors:

Dem Autor ist zum Zeitpunkt der Erstellung des Beitrages nicht bekannt, ob gegen die Entscheidung die Nichtzulassungsbeschwerde zum BGH erhoben wurde.