Entscheidungsgründe

Die Klage ist zulässig, jedoch unbegründet.

I.

1. Zulässigkeit

Das Landgericht Verden ist international, sachlich und örtlich zuständig gemäß Art. 79 Abs. 2 DSGVO sowie Art. 18 Abs. 1 i.V.m. Art. 17 Abs. 1 EuGVVO, §§ 23 Nr. 1, 71 Abs. 1 GVG und Art. 18 Abs. 1, 2. Alt. EuGVVO, da die klagende Partei als betroffene Person ihren Wohnsitz im Bezirk des Landgerichts Verden hat und der Streitwert insgesamt über 5.000 € liegt.

Die Klageanträge sind auch (noch) hinreichend bestimmt. Den Anforderungen des § 253 Abs. 2 Nr. 2 ZPO ist genügt, wenn der Klageantrag den erhobenen Anspruch durch Bezifferung oder gegenständliche Beschreibung konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis absteckt, Inhalt und Umfang der materiellen Rechtskraft der Entscheidung erkennen lässt, das Risiko des Unterliegens nicht durch vermeidbare Ungenauigkeiten auf den Beklagten abgewälzt und der entsprechende Titel der Zwangsvollstreckung fähig ist (vgl. BGH vom 21. November 2017 - II ZR 180/15).

Die Anträge zu Ziffern 1, 2 und 3 sind dahingehend auszulegen, dass die klagende Partei aufgrund eines zusammenhängenden, sich über einen längeren Zeitraum erstreckenden, gleichwohl in sich abgeschlossenen Lebenssachverhalts einen zulässig der Höhe nach in das Ermessen des Gerichts gestellten Schadensersatzanspruch geltend macht bzw. dessen Ersatzpflicht für die Zukunft festzustellen begehrt, sodass nicht mehrere Streitgegenstände in einem unzulässigen Alternativverhältnis stehen.

Auch das Feststellungsinteresse für den Antrag zu 3. ist zu bejahen, da künftige Schäden grundsätzlich denkbar sind.

II.

Die Klage ist jedoch in vollem Umfang unbegründet.

1. Der klagenden Partei steht weder aus Art. 82 Abs. 1 DSGVO noch aus einer anderen rechtlichen Grundlage ein Anspruch auf Zahlung eines immateriellen Schadensersatzes zu.

a) Die Klägerin hat bereits schon nicht schlüssig dargelegt, dass ihre Daten betroffen waren. Voraussetzung für die Eröffnung des sachlichen Anwendungsbereichs des Art. 82 DSGVO ist das Vorliegen von personenbezogenen Daten. Die Beklagte hat substantiiert bestritten, dass die Klägerin mit der angegebenen E-Mail-Adresse XXX oder mit ihrem Namen über ein Kundenprofil bei der Beklagten verfügte. Dies hat die Beklagte mit dem Ausdruck aus der Kundenprofil Datenbank schlüssig dargelegt, vgl. Anlage B6.

Diesem Bestreiten ist die Klagepartei wiederum nicht substantiiert entgegengetreten. Da die Klagepartei auch zur persönlichen Anhörung in der mündlichen Verhandlung nicht erschienen ist, konnten diesbezügliche Unklarheiten nicht aufgeklärt werden, sodass die Unterzeichnende davon ausgeht, dass die Klägerin bereits kein Vertragsverhältnis zur Beklagten dargelegt hat. Ein Anspruch gem. Art. 82 DSGVO scheitert daher bereits an diesem Punkt.

b) Sofern man dennoch unterstellt, dass der sachliche Anwendungsbereich des Art. 82 DSGVO wegen Bestehen eines Vertragsverhältnisses eröffnet wäre, ist keine Pflichtverletzung der Beklagten anzunehmen, da weder ein Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit, Art. 5. Abs. 1 f DSGVO noch ein Verstoß gegen technische und organisatorische Schutzpflichten gem. Art. 32 DSGVO vorliegt.

Die Klagepartei behauptet einen Verstoß gegen die vorgenannten Schutzvorschriften allein damit, dass es einen unbefugten Datenabgriff gegeben habe. Es sind allerdings keine Anhaltspunkte dafür ersichtlich, dass die Beklagte mangelhafte Sicherheitsvorkehrungen bei ihrer Website vorgehalten habe. Es ist nämlich entsprechend dem Vorbringen der Beklagten zu unterstellen, dass der Cyberangriff bei einem IT Dienstleister der Beklagten stattgefunden hat. Hierbei ist es möglich, dass der Cyberangriff trotz ausreichender Sicherheitsvorkehrungen stattgefunden hat, sodass aus den bloßen Behauptungen der Klagepartei nicht zu schlussfolgern ist, dass die Beklagte Sicherheitsvorkehrungen verletzt hat.

Konkrete Anhaltspunkte für die Verletzung von Sicherheitsvorkehrungen bei dem Betrieb der streitgegenständlichen Website hat die Klägerin gerade nicht schlüssig dargelegt.

c) Auch selbst wenn man den Anwendungsbereich des Art. 82 DSGVO bei den hier behaupteten Verstößen eröffnet sähe, scheitert ein Schadensersatzanspruch zudem auch daran, dass auch weitere Pflichtenverstöße der Beklagten nicht vorliegen.

Die Beklagte hat nicht gegen Art. 15 DSGVO verstoßen. Die Beklagte hat die Auskunftspflicht gem. Art 15 DSGVO erfüllt, in dem sie mit ihrem Schreiben vom 09.05.2023 (Anlage B14) den Anspruch der Klagepartei auf Auskunft, sofern er bestehen sollte, beantwortet hat.

Darüber hinaus besteht dieser Anspruch allerdings schon bereits dem Grunde nach nicht. Denn Art. 82 DSGVO umfasst nur solche Verstöße, welche durch eine nicht der Verordnung der DSGVO entsprechende Verarbeitung von Daten entstanden sind. Danach ist Anknüpfungspunkt für eine Haftung eine der Verordnung nicht entsprechende "Verarbeitung" i.S.d. Art. 4 Nr. 2 DSGVO. Eine verspätete Erteilung einer Datenauskunft stellt jedoch in keinem Fall eine Verarbeitung personenbezogener Daten i.S.d. Art 4 Nr. 2 DSGVO dar. Die Verletzung von Benachrichtigungs- und Informationspflichten ist nicht umfasst (vgl. OLG München a.a.O.; LG Essen GRUR-RS 2022,348158; AG Strausberg BeckRS 2022, 27811; LG Heilbronn - Urt. vom 13. Januar 2023 - 8 O 131/22). Ein behaupteter Schadensersatzanspruch scheitert daher auch bereits schon an diesem Grund.

d) Auch bei einer unterstellten Eröffnung des vorgenannten Schutzbereiches ist ein Verstoß der Beklagten gegen Melde- und Benachrichtigungspflichten gem. Art. 33, 34 DSGVO zu verneinen.

Denn es handelt sich zum Einem weder um einen Verstoß in Hinblick auf die Verarbeitung von Daten, hierzu wird auf die vorstehenden entsprechenden Ausführungen unter c) verwiesen.

Zudem hat die Beklagte ihre Meldepflichten gegenüber der zuständigen CNIL bereits mit der ersten Meldung vom 10.11.2022, 18 Uhr, vorgelegt als Anlage B1, unmittelbar nach Erlangung der Kenntnis von dem Hacker Angriff am 08.11.2022,15:33 Uhr, in kurzen zeitlichen Zusammenhang erfüllt.

Die Klägerin hat nicht substantiiert dargelegt, dass die Beklagte schon erheblich früher, bereits im Jahr 2019, Kenntnis von dem Hackerangriff gehabt habe. Vielmehr sind die von der Beklagten substantiiert dargelegten Daten zu unterstellen.

Verstöße gegen Melde- und Benachrichtigungspflichten sind daher nicht ersichtlich.

e) Weiterhin hat die Klagepartei keinen kausalen Schaden dargelegt.

Der mit den Anträgen zu Ziffern 1. und 2. geltend gemachte Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO bzw. Art. 15 DSGVO scheitert zudem an einem ersatzfähigen Schaden. Soweit die klagende Partei den Rechtsstandpunkt vertritt, dass zulasten der Beklagten eine vollständige Darlegungs- und Beweislastumkehr eingetreten sei, teilt das Gericht diese Auffassung nicht.

Die klagende Partei muss darlegen und beweisen, dass bei ihr ein kausal auf einen Verstoß gegen die DSGVO zurückzuführender Schaden materieller oder immaterieller Art eingetreten ist und sie einen solchen nicht lediglich befürchtet (vgl. OLG Hamm, a.a.O.; OLG Frankfurt, Urteil vom 02. März 2022 - 13 U 206/20). Zwar ist der Begriff des Schadens weit auszulegen. Nach Auffassung des Gerichts reicht jedoch ein bloßer - hier nicht vorliegender - Verstoß gegen die Vorschriften der DSGVO nicht aus, sondern es bedarf der Darlegung eines konkreten, darauf zurückzuführenden (auch immateriellen) Schadens. Dies hat auch der Europäische Gerichtshof in seiner Entscheidung vom 24.02.2022 (C-175/20) ausdrücklich bestätigt. Der Datenschutzverstoß darf nicht mit dem Erfordernis eines tatsächlich eingetretenen Schadens gleichgesetzt werden (vgl. auch OLG Hamm, a.a.O. und OLG München a.a.O.).

Auch wenn die Klagepartei in der mündlichen Verhandlung nicht angehört wurde, steht zur Überzeugung der Kammer fest, dass sowohl der in einer Vielzahl von Fällen gleichlautende Textbaustein-Sachvortrag zu Beeinträchtigungen/Schäden der Klagepartei als auch die vorgenommenen Bekundungen der Klagepartei zu etwaigen Beeinträchtigungen bloße Schutzbehauptungen sind, um das begehrte Schmerzensgeld zu begründen.

Es kann zudem kein kausaler Zusammenhang zu den Spam-Nachrichten, die die Klagepartei erhalten haben will, hergestellt werden. Denn die Beklagte hat dargelegt, dass die Eintragung der E-Mail-Adresse der Beklagten auf der Website www.haveibeenpwned.com nicht nur dazu führt, dass eine datenschutzrelevante Eintragung hinsichtlich der Website der Beklagten anzunehmen ist. Ausweislich des als Blatt 121 d.A. vorgelegten Screenshots wird von der Website XXX angegeben, dass die Daten der Klägerin auch bei den Webseiten XXX, XXX und XXX abgegriffen worden sein sollen. Selbst wenn man es daher als wahr unterstellen sollte, dass die Klägerin ein erhebliches Spamaufkommen feststellen kann, so kann nicht nachgewiesen werden, dass dieser Verstoß auf dem Hackerangriff bei der Beklagten bzw. deren IT Dienstleister beruht. Denn die unzulässiger Weise erlangten Daten könnten auch von den drei anderen Webseiten herrühren, sodass es jedenfalls auch an dem Nachweis einer kausalen Verursachung mangelt.

2.

Damit scheitern auch sämtliche weiteren Klageanträge (Feststellungsanspruch zur Tragung zukünftiger Schäden, Unterlassungsanspruch gem. §§ 1004 analog, 823 Abs. 1, 2 BGB i.V.m. Art. 6 Abs. 1, 17 DSGVO sowie der Auskunftsanspruch Art. 15 DSGVO) mangels Verstoßes gegen die DSGVO. Andere Anspruchsgrundlagen hierfür, etwa §§ 280, 823 Abs. 2, 1004 BGB, kommen ebenfalls nicht in Betracht.

3.

Für einen Anspruch auf Erstattung der vorprozessualen Rechtsanwaltskosten (Antrag zu 6.) als Nebenforderung war danach ebenfalls kein Raum.

II.

Die prozessualen Nebenentscheidungen beruhen auf §§ 91 Abs. 1, 709 ZPO. Der Streitwert ist gemäß § 48 Abs. 1, 2 GKG, § 3 ZPO auf insgesamt 11.500 € festzusetzen, wobei

• auf das Schadensersatzbegehren zu 1.) 3.000 €, auf das zu 2.) 2.000 €

• auf das Feststellungsbegehren 1.000 €,

• auf die Unterlassungsbegehren insgesamt 5.000 € (wirtschaftliche Einheit, vgl. insoweit OLG Celle, Beschluss vom 25. April 2023, 5 W 14/23 m.N.),

• sowie auf das Auskunftsbegehren 500 €

entfallen.