9 U 34/21

Keine Haftung nach Art. 82 DS‑GVO ohne Nachweis von Pflichtverletzung und Kausalität • Für einen Anspruch nach Art. 82 DS‑GVO sind Pflichtverletzung und Kausalität vom Anspruchsteller darzulegen und zu beweisen; eine allgemeine Beweislastumkehr zugunsten des Betroffenen folgt aus der DS‑GVO nicht. • Bei Auskunftsbegehren nach Art. 15 DS‑GVO kann der Verantwortliche berechtigt sein, die Vorlage einer Vollmacht zu verlangen; fehlt ein entsprechender Nachweis, darf er das Begehren zurückweisen (§ 174 BGB sinngemäß). • Die Pflicht zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus nach Art. 32 DS‑GVO bedeutet keine Garantie gegen jeden Hackerangriff; das bloße Vorliegen eines erfolgreichen Angriffs begründet nicht ohne Weiteres eine Pflichtverletzung. • Das Gericht darf die sekundäre Darlegungslast anwenden; sie führt jedoch nicht zu einer generellen Beweislastumkehr und ersetzt nicht die vom Kläger erforderliche Darlegung konkreter Anhaltspunkte. • Erfolgte Auskünfte oder unverzügliche Nachbesserungen durch den Verantwortlichen können das Rechtsschutzbedürfnis entfallen lassen und für die Kostentragung entscheidend sein. Die Klägerin war Kundin eines Bonusprogramms der Beklagten; bei einem Hackerangriff am 19.08.2019 wurden personenbezogene Daten Dritter veröffentlicht, wobei auch Daten der Klägerin betroffen waren. Die Klägerin begehrte zunächst Auskunft nach Art. 15 DS‑GVO und später immateriellen Schadensersatz wegen Verletzung datenschutzrechtlicher Pflichten (Art. 82 DS‑GVO). Vorprozessual gab es Schriftverkehr; die Beklagte verweigerte anfänglich Auskünfte mangels Vorlage einer Originalvollmacht des anwaltlichen Vertreters. Die Beklagte erteilte später mehrere Auskünfte und berief sich auf Einhaltung der relevanten Sicherheitsstandards (ISO/IEC 27001, PCI‑DSS) sowie auf die Auswahl und Überwachung ihres Auftragsverarbeiters. Das Landgericht wies die Klage ab; die Klägerin legte Berufung ein und erklärte mehrere Anträge für erledigt. Die Klägerin rügte insbesondere verspätete Auskunftserteilung und mangelhafte technische/organisatorische Maßnahmen; sie forderte Schmerzensgeld. • Zulässigkeit der Berufung: Die Berufung war form‑ und fristgerecht gegen das Endurteil eingelegt und begründet. • Anspruch aus Art. 82 DS‑GVO (Pflichtverletzung): Es liegt keine nachgewiesene Pflichtverletzung vor. Die Beklagte hat das Auskunftsbegehren nicht verspätet beantwortet; maßgebliche Frist begann mit Zustellung der Klage (Art. 12 Abs. 3 DS‑GVO). Das vorprozessuale Zurückweisen von Anfragen wegen fehlender Originalvollmacht war zulässig (§ 174 BGB sinngemäß). • Anspruch aus Art. 82 DS‑GVO (Sicherheitsmaßnahmen): Die Klägerin behauptete die Nichteinhaltung des PCI‑DSS‑Standards, brachte jedoch keine beweiskräftigen Tatsachen vor; Vermutungen und Hinweise reichen nicht aus, um eine Pflichtverletzung nach Art. 32 DS‑GVO zu beweisen. • Beweislast und sekundäre Darlegungslast: Die DS‑GVO begründet keine generelle Beweislastumkehr; nach nationalem Prozessrecht obliegt dem Anspruchsteller die Darlegung und der Nachweis der Anspruchsvoraussetzungen. Die sekundäre Darlegungslast kann dem Anspruchsgegner Pflichten auferlegen, ersetzt aber nicht die Primärlast des Klägers. • Kausalität: Art. 82 DS‑GVO setzt Kausalität zwischen dem Verstoß und dem eingetretenen Schaden voraus; diese ist von der Klägerin nicht substanziiert dargelegt worden. • Auskunftsansprüche und Rechtsschutzbedürfnis: Vorprozessuelle Mitteilungen der Beklagten und spätere vollständige Auskunftserteilungen machten Teile der Klage ersatzlos bzw. erledigt; insoweit fehlte das Rechtsschutzbedürfnis. • Kostengrundsatz: Wegen überwiegender Unterliegens der Klägerin sind ihr die Kosten der Berufung aufzuerlegen; für erledigte Anträge war nach § 91a ZPO zu entscheiden. • Revision: Die Revision wurde zugelassen, weil grundsätzliche Fragen zur Beweislastverteilung nach Art. 82 DS‑GVO von Bedeutung sind. Die Berufung der Klägerin wurde zurückgewiesen; die Klage blieb erfolglos. Das Oberlandesgericht befand, dass die Klägerin weder eine Pflichtverletzung der Beklagten nach der DS‑GVO noch die für einen Anspruch nach Art. 82 DS‑GVO erforderliche Kausalität konkret und beweisbar dargelegt hat. Vorprozessuale Auskünfte und spätere Erfüllungen durch die Beklagte haben zudem das Rechtsschutzbedürfnis für Teile der Auskunftsanträge entfallen lassen. Die Klägerin trägt die Kosten der Berufung; erledigte Anträge wurden nach § 91a ZPO berücksichtigt. Die Revision wurde zugelassen wegen grundsätzlicher Bedeutung der Frage der Beweislastverteilung bei Art. 82 DS‑GVO.