Das Oberlandesgericht (OLG) Schleswig hat mit Beschluss vom 16. Oktober 2024 (Az.: 5 U 56/24) die Berufung einer Klägerin zurückgewiesen, die Schadensersatzansprüche wegen vermeintlicher Datenschutzverstöße geltend gemacht hatte. Im Zentrum des Verfahrens stand ein Scraping-Vorfall bei Twitter, bei dem öffentliche Nutzerdaten durch eine API-Schnittstelle abgegriffen worden sein sollen. Das Gericht entschied, dass die Klägerin keinen ausreichenden Nachweis für ihre Betroffenheit erbracht habe – eine wesentliche Voraussetzung für Ansprüche nach der Datenschutz-Grundverordnung (DSGVO).
Hintergrund des Falls
Die Klägerin machte verschiedene Ansprüche gegen Twitter geltend, darunter:
- Schadensersatz für den mutmaßlichen Missbrauch ihrer personenbezogenen Daten (Art. 82 Abs. 1 DSGVO)
- Unterlassung, zukünftige Datenabgriffe ohne angemessene Sicherheitsmaßnahmen zu ermöglichen
- Auskunft über die Verarbeitung ihrer Daten
- Ersatz immateriellen Schadens aufgrund verzögerter Auskunftserteilung
Das Landgericht Lübeck hatte die Klage in erster Instanz abgewiesen, insbesondere weil die Klägerin nicht beweisen konnte, dass ihr Account tatsächlich von dem Scraping betroffen war. Dagegen legte sie Berufung ein.
OLG Schleswig: Kein Schadensersatz ohne Nachweis der Betroffenheit
Das OLG Schleswig bestätigte die Entscheidung des Landgerichts und hielt die Berufung für offensichtlich unbegründet. Entscheidend war dabei die fehlende Beweisführung der Klägerin:
- Keine ausreichenden Nachweise für die Betroffenheit: Die Klägerin hatte sich auf die Website „Have I Been Pwned“ berufen, die auf Basis nicht verifizierbarer Daten Sicherheitsverletzungen anzeigt. Das Gericht hielt diesen Nachweis für unzureichend.
- Erhöhtes Spam-Aufkommen als Indiz unzureichend: Die Klägerin führte an, nach dem Vorfall vermehrt Spam-Mails erhalten zu haben. Das Gericht sah darin jedoch keinen Beleg dafür, dass ihre Daten aus dem Scraping-Vorfall stammten.
- Keine Umkehr der Beweislast: Die Klägerin argumentierte, Twitter müsse nachweisen, dass sie nicht betroffen sei. Das Gericht wies dies zurück und sah die Klägerin in der Beweispflicht.
Weitere abgelehnte Ansprüche
Neben dem Schadensersatzanspruch scheiterten auch die weiteren Klagepunkte:
- Feststellung künftiger materieller Schäden: Das Gericht sah keine ausreichenden Anhaltspunkte dafür, dass der Klägerin in Zukunft ein konkreter Schaden entstehen könnte.
- Unterlassungsanspruch: Das Gericht verneinte eine Wiederholungsgefahr, da die Klägerin nicht nachweisen konnte, dass sie überhaupt betroffen war.
- Auskunftsanspruch: Twitter hatte bereits eine Negativauskunft erteilt („Ihr Account war nicht betroffen“), womit der Anspruch als erfüllt galt.
Fazit: Strenge Anforderungen an Schadensersatz nach DSGVO
Das Urteil zeigt erneut, dass Gerichte hohe Anforderungen an den Nachweis eines Datenschutzverstoßes und eines daraus resultierenden Schadens stellen. Die bloße Möglichkeit, dass personenbezogene Daten betroffen sein könnten, reicht nicht aus – es bedarf konkreter Beweise.
Für Unternehmen bedeutet das Urteil eine gewisse Erleichterung: Eine sekundäre Darlegungslast trifft sie nur, wenn eine ernsthafte Betroffenheit der Klägerseite dargelegt wird. Für betroffene Personen verdeutlicht die Entscheidung hingegen, dass Schadensersatzansprüche nach der DSGVO ohne klare Nachweise schwer durchzusetzen sind.