Leitsatz (amtlich)
1. Der Verantwortliche für die Datenverarbeitung im Sinne des Art. 4 Nr. 7 DSGVO muss generell - und damit auch im Zivilprozess - nach dem in Art. 5 Abs. 2 DSGVO verankerten Grundsatz der Rechenschaftspflicht nachweisen können, dass er die in Art. 5 Abs. 1 DSGVO festgelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten hat (im Anschluss an EuGH Urt. v. 4.7.2023 - C-252/21, GRUR 2023, 1131 Rn. 95, 152, 154).
2. Die automatisierte Ausführung eines Datenabrufs über eine Such- oder Kontaktimportfunktion durch einen Dritten in einem sozialen Netzwerk ist eine Datenverarbeitung des Netzwerkbetreibers als Verantwortlichem in Form der Offenlegung durch Übermittlung im Sinne des Art. 4 Nr. 2 DSGVO (in Anwendung von EuGH Urt. v. 22.6.2023 - C-579/21, BeckRS 2023, 14515 Rn. 46 ff.; EuGH Urt. v. 4.5.2023 - C-487/21, NJW 2023, 2253 Rn. 27)
3. Die Verarbeitung auch der Mobilfunktelefonnummer eines Nutzers im Rahmen einer Such- und Kontaktimportfunktion durch das soziale Netzwerk Facebook kann nicht auf den Rechtfertigungsgrund der Vertragszweckerfüllung im Sinne von Art. 6 Abs. 1 Unterabs. 1 lit. b DSGVO gestützt werden (in Anwendung von EuGH Urt. v. 4.7.2023 - C-252/21, GRUR-RS 2023, 15772 Rn. 98 ff.).
4. Für die Verarbeitung der Mobilfunktelefonnummer eines Nutzers durch das soziale Netzwerk Facebook im Rahmen einer Such- und Kontaktimportfunktion ist eine Einwilligung im Sinne von Art. 6 Abs. 1 Unterabs. 1 lit. a, Art. 7 DSGVO erforderlich, die - wie hier - bei unzulässiger Voreinstellung ("opt-out") und unzureichender sowie intransparenter Information über die konkrete Funktionsweise der Such- und Kontaktimportfunktion nicht vorliegen kann (in Anwendung von EuGH Urt. v. 4.7.2023 - C-252/21, GRUR-RS 2023, 15772 Rn. 91 f. und EuGH Urt. v. 11.11.2020 - C-61/19, NJW 2021, 841 Rn. 35 f.).
5. Der für die Datenverarbeitung Verantwortliche verletzt seine Pflichten aus Art. 32 und Art. 25 Abs. 1 DSGVO, wenn er - wie hier - bereits konkrete Kenntnis von einem Datenabgriff durch unbefugte Dritte hat und trotzdem - im Einzelfall - bei ex-ante-Betrachtung naheliegende Maßnahmen zur Verhinderung des weiteren unbefugten Datenabgriffs nicht ergreift (im Ergebnis wie Irish Data Protection Commission Entsch. v. 25.11.2022 - IN-21-4-2; siehe auch GA Pitruzzella Schlussanträge v. 27.4.2023 - C-340/21, BeckRS 2023, 8707 Rn. 20, 29 ff., 38 ff.).
6. Ein Schadensersatzanspruch wegen einer solchen der DSGVO nicht entsprechenden Datenverarbeitung scheidet gleichwohl aus, wenn - wie hier - bei der betroffenen Person ein konkreter (tatsächlicher), über den durch die unrechtmäßige Datenverarbeitung ohnehin eintretenden Kontrollverlust hinausgehender (immaterieller) Schaden nicht eingetreten ist (in Anwendung von EuGH Urt. v. 4.5.2023 - C-300/21, GRUR-RS 2023, 8972 Rn. 29 ff.; EuGH Urt. v. 16.3.2023 - C-522/21, GRUR 2023, 713 Rn. 38; EuGH Urt. v. 25.3.2021 - C-501/18, BeckRS 2021, 5310 Rn. 112; EuGH Urt. v. 13.12.2018 - C-150/17 P, BeckRS 2018, 31923 Rn. 86; im Nachgang zu BVerfG Beschl. v. 14.1.2021 - 1 BvR 2853/19, NJW 2021, 1005 Rn. 19 ff.).
7. Die Darlegungslast für den Eintritt des konkreten immateriellen Schadens liegt beim Betroffenen und kann bei behaupteten persönlichen / psychologischen Beeinträchtigungen nur durch die Darlegung konkret-individueller - und nicht wie hier in einer Vielzahl von Fällen gleichartiger -, dem Beweis zugänglicher Indizien erfüllt werden (im Anschluss an BGH Urt. v. 3.3.2022 - IX ZR 53/19, NJW 2022, 1457 Rn. 9; BGH Urt. v. 12.5.1995 - V ZR 34/94, NJW 1995, 2361 = juris Rn. 17; EuG Urt. v. 1.2.2017 - T-479/14, BeckRS 2017, 102499 Rn. 118, EuGH Urt. v. 13.12.2018 - C-150/17 P, IWRZ 2019, 82 Rn. 111, 121).
8. Die Beweislast für den Eintritt des konkreten immateriellen Schadens liegt beim Betroffenen. Der Beweis ist nach dem Maßstab des § 286 ZPO (in Anwendung von EuGH Urt. v. 4.5.2023 - C-300/21, GRUR-RS 2023, 8972 Rn. 53; EuGH Urt. v. 16.3.2023 - C-522/21, GRUR 2023, 713 Rn. 38, 46, 49, EuGH Urt. v. 25.3.2021 - C-501/18, BeckRS 2021, 5310 Rn. 112, 122, 127; im Anschluss an BGH Urt. v. 6.12.2022 - VI ZR 168/21, r+s 2023, 130 Rn. 14, 17, 19), gegebenenfalls allein durch eine Parteianhörung nach § 141 ZPO zu führen (im Anschluss an BGH Urt. v. 6.12.2022 - VI ZR 168/21, r+s 2023, 130 Rn. 19).
9. Für die Zulässigkeit einer Klage auf Feststellung der Ersatzpflicht hinsichtlich materieller oder immaterieller Schäden im Sinne des Art. 82 DSGVO genügt - solange nicht reine Vermögensschäden geltend gemacht werden - die Möglichkeit eines Schadenseintritts, die nur zu verneinen ist, wenn bei verständiger Würdigung - wie im vorliegenden Einzelfall - kein Grund besteht, mit dem Eintritt eines derartigen Schadens wenigstens zu rechnen (in Anwendung von EuGH Urt. v. 4.5.2023 - C-300/21, NZA 2023, 621 Rn. 53, 54; EuGH Urt. v. 25.3.2021 - C-501/18, BeckRS 2021, 5310 Rn. 126; im Anschluss an BGH Urt. v. 5.10.2021 - VI ZR 136/20, NJW-RR 2022, 23 Rn. 28; BGH Urt. v. 29.6.2021 - VI ZR 52/18, NJW 2021, 31...