4 U 132/23

Leitsatz: 1. Unterlassungsanträge, die lediglich den Wortlaut eines Gesetzes wiederholen, sind grundsätzlich zu unbestimmt und damit unzulässig.(Rn.48) 2. Ein Antrag unter Verwendung auslegungsbedürftiger (Rechts-)Begriffe ist nur dann hinreichend bestimmt, wenn über den Sinngehalt zwischen den Parteien kein Streit besteht oder wenn der Sinngehalt entsprechender Begriffe durch den Bezug auf eine konkrete Verletzungshandlung oder die gegebene Klagebegründung hinreichend deutlich wird.(Rn.49) 3. Ein Unterlassungsanspruch ist nicht erforderlich, wenn einem Begehren – einfacher – mit einem vorsorglichen Widerruf einer für unwirksam erachteten Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit Rechnung getragen werden kann.(Rn.60) 4. Eine auf Verstöße gegen die DSGVO gestützte Klage ist unbegründet, wenn nicht mit der notwendigen Sicherheit festgestellt werden kann, dass es zu einem Abgriff der Daten während der zeitlichen Geltung der DSGVO ab dem 25.05.2018 gekommen ist.(Rn.66) 1. Auf die Berufung der Beklagten wird das Urteil des Landgerichts Ravensburg vom 26.07.2023 - Az. 5 O 100/22 - abgeändert: Die Klage wird abgewiesen. 2. Die Anschlussberufung des Klägers gegen das Urteil des Landgerichts Ravensburg vom 26.07.2023 - Az. 5 O 100/22 - wird zurückgewiesen. 3. Der Kläger trägt die Kosten des Rechtsstreits in beiden Instanzen. 4. Das Urteil des Senats und – soweit die Berufung zurückgewiesen wurde – das in Ziffer 1 genannte Urteil des Landgerichts Ravensburg sind vorläufig vollstreckbar. 5. Die Revision wird nicht zugelassen. 6. Der Streitwert für das Berufungsverfahren wird auf 6.750,00 € festgesetzt. I. Die Parteien streiten um Schadenersatz-, Feststellungs-, Unterlassungs- und Auskunftsansprüche nach der Datenschutzgrundverordnung (künftig: DSGVO) aus einem Scraping-Vorfall auf der Plattform der Beklagten (dem Abgreifen von personenbezogenen Daten aus dem Contact-Importer-Tool der Beklagten), der im April 2021 bekannt geworden ist. Der Kläger unterhält ein Nutzerkonto bei der Beklagten, die das soziale Netzwerk Fxxx betreibt. Es kam laut Kläger zu einem Abgreifen seiner persönlichen Daten, wobei das Vorgehen im Detail zwischen den Parteien streitig ist. In einer im April 2021 veröffentlichten und öffentlich abrufbaren Leak-Datei sind nach dem Kläger folgende Daten mitgeteilt: "xxx" Dabei handelt es sich um die Telefonnummer, die Fxxx-ID, den Namen und das Geschlecht, den Wohnort und (wohl) den Arbeitgeber des Klägers. Der Kläger macht eine Vielzahl von Datenschutzverstößen durch die Beklagte geltend, die sich sowohl auf die Erstregistrierung, auf die Weiterverarbeitung der Daten nach Inkrafttreten der Datenschutzgrundverordnung sowie die Behandlung des Scraping-Vorfalls nach dessen Bekanntwerden erstrecken. Insbesondere habe die Beklagte keine ausreichenden Sicherheitsmaßnahmen vorgehalten, um eine Ausnutzung des Contact-Importer-Tools (künftig: CIT) zu verhindern. Zwischen den Parteien besteht dabei im Wesentlichen Streit, ob - eine Pflichtverletzung als Grundlage für einen Schadensersatzanspruch nach Art. 82 DSGVO vorliegt, weil der Kläger einen kausalen Schaden erlitten hat, - der Kläger deshalb Feststellung einer weiteren Ersatzpflicht, Unterlassung und Auskunft verlangen kann. Mit dem angefochtenen Urteil hat das Landgericht die Beklagte unter Abweisung der Klage im Übrigen zur Zahlung eines Betrages in Höhe von 500,00 € und vorgerichtlich angefallener Rechtsanwaltskosten aus einen Streitwert von 3.500,00 €, auf Feststellung der Ersatzpflicht hinsichtlich aller künftiger materieller Schäden sowie dazu verurteilt, es zu unterlassen, personenbezogene Daten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern. Hinsichtlich des Zeitpunkts des Datenabgriffs wurde im unstreitigen Tatbestand des landgerichtlichen Urteils der erstinstanzliche Vortrag der Beklagten übernommen, wonach Dritte im Zeitraum von Januar 2018 bis September 2019 die Daten gesammelt hätten. Ohne Auseinandersetzung mit der zeitlichen Anwendbarkeit der DSGVO wird ausgeführt, die Beklagte habe - ihren Informations- und Aufklärungspflichten nicht genügt, weil der Abgleich der Mobilnummer nicht mitgeteilt worden sei (Art. 13 DSGVO), - keine ausreichenden Sicherungsmaßnahmen vorgehalten, um einen Missbrauch durch das CIT zu verhindern (Artt. 32, 24, 5 Abs. 1 lit. 1 f) DSGVO), - entgegen Art. 33 DSGVO nicht die Aufsichtsbehörde informiert, - den Kläger nicht über den Scraping-Vorfall benachrichtigt (Art. 34 DSGVO). Dem Kläger sei hierdurch ein kausaler immaterieller Schaden im Sinne des Art. 82 DSGVO entstanden. Wegen des Vorbringens der Parteien in erster Instanz, des Verfahrensganges und des Urteilsinhalts wird im Übrigen Bezug genommen auf Tatbestand und Entscheidungsgründe der angefochtenen Entscheidung (§ 540 Abs. 1 Nr. 1 ZPO). Gegen das der Beklagten am 26.07.2023 zugestellte Urteil hat diese am 22.08.2023 Berufung eingelegt und diese innerhalb der bis zum 27.11.2023 verlängerten Berufungsbegründungsfrist begründet. Der Kläger hat innerhalb der Berufungserwiderungsfrist Anschlussberufung eingelegt. Die Berufung der Beklagten will eine vollumfängliche Abweisung der Klage erreichen, da die angeblichen Verstöße nicht vom Schutzbereich des Art. 82 DSGVO erfasst seien, kein Verstoß gegen die DSGVO vorliege und es zudem an einem Verschulden und einem ersatzfähigen immateriellen Schaden fehle. Der Senat hat mit Verfügung vom 08.02.2024 darauf hingewiesen, dass nach dem erstinstanzlichen Vorbringen der Parteien unklar erscheint, ob davon ausgegangen werden kann, dass der behauptete Datenabgriff zu einem Zeitpunkt erfolgt ist, in dem die DSGVO bereits in Kraft getreten war. Während die Klägerseite im Rahmen der Klageschrift vom 07.04.2022 ausgeführt hatte, im Jahr 2019 sei es zu dem Datenabgriff gekommen (vgl. S. 4 und 22 der Klageschrift), hat die Beklagte dies zwar nicht ausdrücklich in Abrede gestellt, aber auf Seite 11 der Klagerwiderung vom 02.08.2022 den Zeitraum des Scrapingvorfalls selbst auf den Zeitraum Januar 2018 bis September 2019 datiert, ohne näher zu erläutern, warum dieser Zeitraum von den Angaben abweicht, welche die Beklagte in ihrer Pressemitteilung vom 06.04.2021 gemacht hatte. Auf diese Verfügung hat der Kläger im Rahmen der Berufungsbegründung vom 21.02.2024 zunächst den von der Beklagten angegebenen Zeitraum von Januar 2018 bis September 2019 übernommen, bevor mit weiterem Schriftsatz vom 19.03.2024 klargestellt wurde, dass ausdrücklich auf das Jahr 2019 abgestellt werden soll. Nachdem auch die Beklagte mit Schriftsatz vom 19.03.2024 ausdrücklich darauf verwiesen hat, dass ein Abgriff der Daten des Klägers auch zu einem Zeitpunkt erfolgt sein könne, zu dem die DSGVO noch nicht anwendbar war, hat der Senat mit Verfügung vom 19.03.2024 auf eine insoweit bestehende sekundäre Darlegungslast auf Seiten der Beklagten hingewiesen, worauf diese mit Schriftsatz vom 17.04.2024 ausgeführt hat, - die Pressemitteilung sei unmittelbar nach Bekanntwerden des Artikels des "Business-Insider" veröffentlicht worden, um zeitnah zu den entsprechenden Medienberichten Stellung zu nehmen, - die Sachlage sei zu diesem Zeitpunkt noch untersucht worden, weshalb die Informationen der Pressemitteilung auf dem damaligen Erkenntnisstand beruht hätten, - die Pressemitteilung lasse angesichts der Formulierung "vor 2019" das konkrete Datum des Abgriffs offen, - in der Pressemitteilung sei auf die Behebung des Problems im Jahr 2019 abgestellt worden, so dass daraus kein Rückschluss auf das konkrete Abgriffsdatum gezogen werden könne. Die Beklagte hat weiter ausgeführt, sie sei nicht im Besitz der Rohdaten, welche die durch das Scraping abgerufenen Daten enthielten und aufgrund der seit dem Sachverhalt vergangenen Zeit würden auch keine Log-Dateien oder Ähnliches vorgehalten, die ihr die Aufklärung ermöglichen könnten, wie der Scraping-Sachverhalt genau abgelaufen sei und wann die Daten der jeweiligen Klagepartei abgegriffen worden seien. Nach den Vorgaben der DSGVO wäre sie gar nicht berechtigt, derartige Log-Dateien vorzuhalten. Ihr sei daher nicht bekannt, wer die Scraper gewesen seien und auch nicht, welches Fxxx-Konto verwendet worden sei, um das Fxxx-Profil des Klägers einzusehen. Deshalb sei es möglich, dass der Abgriff auch vor dem Inkrafttreten der DSGVO stattgefunden habe. Die Beklagte beantragt, das Urteil des Landgerichts Ravensburg vom 26. Juli 2023 Az. 5 O 100/22 im Umfang der Beschwer der Beklagten abzuändern und die Klage abzuweisen. Der Kläger beantragt: Die Berufung des Klägers zurückzuweisen und im Wege der Anschlussberufung unter Aufhebung des Urteils des Landgerichts Ravensburg (Az.: 5 O 100/22), das angefochtene Urteil teilweise abzuändern und die Beklagte insgesamt wie folgt zu verurteilen: 1. Die Beklagte wird verurteilt, an die Klägerseite immateriellen Schadenersatz in angemessener Höhe zu zahlen, dessen Höhe in das pflichtgemäße Ermessen des Gerichts gestellt wird, mindestens jedoch 1.000,00 € nebst Zinsen seit Rechtshängigkeit i.H.v. 5 Prozentpunkten über dem Basiszinssatz. 2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klägerseite alle künftigen Schäden zu ersetzen, die der Klägerseite durch den unbefugten Zugriff Dritter auf das Datenarchiv der Beklagten, der nach Aussage der Beklagten im Jahr 2019 erfolgte, entstanden sind und/oder noch entstehen werden. 3. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, a. Personenbezogenen Daten der Klägerseite, namentlich Telefonnummer, Fxxx ID, Familiennamen, Vornamen, Geschlecht, Bundesland, Land, Stadt, Beziehungsstatus unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern, b. die Telefonnummer der Klägerseite auf Grundlage einer Einwilligung zu verarbeiten, die wegen der unübersichtlichen und unvollständigen Informationen durch die Beklagte erlangt wurde, namentlich ohne eindeutige Informationen darüber, dass die Telefonnummer auch bei Einstellung auf "privat" noch durch Verwendung des Kontaktimporttools verwendet werden kann, wenn nicht explizit hierfür die Berechtigung verweigert und, im Falle der Nutzung der Fxxx-Messenger App, hier ebenfalls explizit die Berechtigung verweigert wird. 4. Die Beklagte wird verurteilt, der Klägerseite Auskunft über die Klägerseite betreffende personenbezogene Daten, welche die Beklagte verarbeitet, zu erteilen, namentlich welche Daten durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch Scraping oder durch Anwendung des Kontaktimporttools erlangt werden konnten. 5. Die Beklagte wird verurteilt, an die Klägerseite vorgerichtliche Rechtsanwaltskosten i.H.v. 887,03 € zu zahlen zuzüglich Zinsen seit Rechtshängigkeit i.H.v. 5 Prozentpunkten über dem Basiszinssatz. Der Kläger verteidigt das landgerichtliche Urteil soweit es der Klage stattgegeben hat. Ansonsten wird weitgehend der erstinstanzliche Vortrag wiederholt. Als Zeitpunkt des Datenabgriffs werde weiterhin auf das Jahr 2019 abgestellt, wie dies auch das OLG Oldenburg in einem Parallelverfahren - Az.: 13 U 9/24 - jüngst entschieden habe. Er selbst habe keine genaue Kenntnis, wann die Daten abgegriffen worden seien, der Abgriff könne aber nur über einen längeren Zeitpunkt stattgefunden haben. Nach der Pressemitteilung der Beklagten vom 06.04.2021 sei von einem Abgriff im Jahr 2019 auszugehen. Die Beklagte treffe insoweit die sekundäre Darlegungslast, welcher sie nicht nachgekommen sei. Die Beklagte beantragt, die Zurückweisung der Anschlussberufung. Wegen des weiteren Vortrags der Parteien wird auf die gewechselten Schriftsätze nebst Anlagen sowie auf das Protokoll der mündlichen Verhandlung vom 24.04.2024 Bezug genommen. II. Die Berufung der Beklagten als auch die (unselbständige) Anschlussberufung des Klägers sind zulässig. Sie wurden form- und fristgerecht eingelegt und begründet. Die Berufung der Beklagten hat in vollem Umfang Erfolg. Der vom Landgericht zugesprochene Unterlassungsanspruch ist schon nicht zulässig. Daneben kann nicht ausreichend sicher festgestellt werden, dass der Abgriff der Daten des Klägers erst nach dem Inkrafttreten der DSGVO (am 25.05.2018) stattgefunden hat. Die Anschlussberufung des Klägers ist daher unbegründet. 1. Die auf Unterlassung gerichteten Anträge (Klaganträge Ziffer 3 a und 3 b) sind unzulässig (andere Auffassung noch Urteile des Senats vom 22.11.2023 - 4 U 20/23 und vom 13.12.2023 – 4 U 51/23). a. § 253 Abs. 2 Nr. 2 ZPO verlangt einen bestimmten Antrag, der aus sich heraus verständlich ist. Ein Klageantrag ist grundsätzlich hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO, wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 ZPO) absteckt und Inhalt sowie Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennen lässt, das Risiko eines Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abwälzt und eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt. Ein Unterlassungsantrag ist in diesem Sinne regelmäßig dann hinreichend bestimmt, wenn die konkret angegriffene Verletzungsform Antragsgegenstand ist (BGH Urt. v. 9.3.2021 – VI ZR 73/20, GRUR-RS 2021, 8861 Rn. 15, BGH GRUR 2019, 314 Rn. 12). Bezieht sich der Klageantrag nicht auf eine konkrete Verletzungsform, etwa weil der Kläger einen auf Erstbegehungsgefahr gestützten Unterlassungsanspruch vorbeugend geltend macht und die konkret erwartete Verletzungsform im Einzelfall ungewiss bleibt oder weil es sein Bestreben ist, ein möglichst weitgefasstes Verbot der beanstandeten Handlungen des Beklagten zu erlangen, muss der Kläger auf andere Weise sicherstellen, dass sein Antrag im Rahmen des Möglichen und zur Gewährleistung effektiven Rechtsschutzes für beide Seiten Gebotenen hinlänglich eindeutig formuliert ist und als Urteilstenor vollstreckbar wäre (BGH NJW 2021, 1756 Rn. 15). Ein nicht auf die konkrete Verletzungsform bezogener Antrag ist jedenfalls dann gleichwohl hinreichend bestimmt, wenn der Kläger ein umfassendes Verbot erstrebt ("Schlechthinverbot"; Cepl/Voß/Zigann/Werner, Prozesskommentar Gewerblicher Rechtsschutz nd Urheberrecht, 3. Aufl. 2022, ZPO § 253 Rn. 200; BGH, Urteil vom 11. Februar 2021 – I ZR 227/19 –, juris, Rn. 19). Erfasst ein solcher, sehr weit gefasster Antrag auch erlaubte Verhaltensweisen, dann schadet dies der Bestimmtheit nicht. Ein entsprechender Antrag wäre daher zulässig, aber gegebenenfalls (teilweise) unbegründet. Nimmt der nicht auf die konkrete Verletzungsform beschränkte und verallgemeinernd abstrakt gefasste Antrag hingegen bestimmte erlaubte Verhaltensweisen aus, so müssen diese Ausnahmen ihrerseits hinreichend bestimmt beschrieben sein (BGH, Urteil vom 11. Februar 2021 – I ZR 227/19 –, juris, Rn. 20 mwN). Aus diesem Grund sind Unterlassungsanträge, die lediglich den Wortlaut eines Gesetzes wiederholen, grundsätzlich zu unbestimmt und damit unzulässig (vgl. BGH NJW 2021, 1756 [1757 Rn. 15]; BGH NJW-RR 2019, 399 [400 Rn. 13]; BGH BeckRS 2018, 6447 Rn. 15). Abweichendes kann gelten, wenn der gesetzliche Verbotstatbestand eindeutig und konkret gefasst ist, sein Anwendungsbereich durch eine gefestigte Auslegung geklärt ist oder der Kläger hinreichend deutlich macht, dass er kein Verbot im Umfang des Gesetzeswortlauts beansprucht, sondern sich mit seinem Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert (vgl. BGH, Urteil vom 26.01.2017 – I ZR 207/14 –, Rn. 18 m.w.N., juris). Ähnlich verhält es sich mit auslegungsbedürftigen (Rechts-)Begriffen. Hinreichend bestimmt ist ein Antrag unter Verwendung solcher Begriffe nur dann, wenn über den Sinngehalt zwischen den Parteien kein Streit besteht oder wenn der Sinngehalt entsprechender Begriffe durch den Bezug auf eine konkrete Verletzungshandlung oder die gegebene Klagebegründung hinreichend deutlich wird. Streiten die Parteien hingegen gerade darüber, ob ein bestimmtes Verhalten unter einen auslegungsbedürftigen Begriff fällt, muss der Kläger die angegriffenen Handlungen im Antrag näher konkretisieren (BeckOK ZPO/Bacher, 52. Ed. 1.3.2024, ZPO § 253 Rn. 63.1 mNw). b. Diesen Bestimmtheitsanforderungen genügt der Unterlassungsantrag Ziffer 3 a des Klägers nicht, denn er ist derart allgemein gefasst, dass sich aus ihm nicht mit hinreichender Deutlichkeit ergibt, welches konkrete Verhalten der Beklagten vorliegend verboten werden soll. (1.) Der Kläger bezieht sich mit seinem Antrag nicht auf den konkreten Vorfall aus der Vergangenheit mit dem unkontrollierten Zugriff auf das nicht hinreichend abgesicherte CIT, dessen Wiederholung auf der Plattform der Beklagten er für die Zukunft verhindern will, was etwa – wie auch sonst bei Unterlassungsbegehren – durch Aufnahme der konkreten Verletzungsform in den Antrag hätte deutlich gemacht werden können. Dies ist nachvollziehbar, denn den vom Kläger beanstandeten Zwischenfall in Form des massenhaften Zugriffs auf das CIT sowie die dabei erfolgte Verbindung zwischen Telefonnummer und Nutzerprofil kann es nicht mehr geben, weil es das CIT in seiner damaligen (technischen) Form nicht mehr gibt und die Beklagte ersichtlich kein Interesse daran haben kann, es erneut zu implementieren. Der Kläger erstrebt vielmehr ganz allgemein und pauschal eine zukünftige datenschutzkonforme Ausgestaltung der Contact-Importer-Funktion und damit letztlich, dass die Beklagte ihre im sozialen Netzwerk erfolgende Datenverarbeitung künftig an den Regelungen der DSGVO, insbesondere den Anforderungen an die Sicherheit der Verarbeitung nach Art. 32 DSGVO ausrichtet und damit den Zugriff durch "unbefugte Dritte" zu "anderen Zwecken als der Kontaktaufnahme" verhindert. Unabhängig von der Frage, ob es sich insoweit überhaupt um ein Unterlassungsbegehren oder nicht doch um das Verlangen eines positives Tuns und somit um eine verdeckte Leistungsklage handelt (so mit beachtlichen Argumenten OLG München Beschluss vom 11.03.2024 – 21 U 2766/23), ist dieses Begehren jedenfalls nicht hinreichend bestimmt formuliert, denn der Unterlassungsantrag bezieht sich in seiner konkret gestellten Form letztlich auf eine unübersehbare Zahl unterschiedlicher Verletzungsformen wegen künftiger möglicher Verstöße der Beklagten gegen die DSGVO oder sonstige für sie geltende gesetzliche Bestimmungen. Aus einem derart pauschal gefassten Unterlassungstitel kann damit keine hinreichend deutliche Unterlassungsverpflichtung der Beklagten abgeleitet werden. (2.) Auch in der konkreten Formulierung bleibt der Antrag Ziffer 3 a zu unbestimmt. Der Verbotsantrag beschränkt sich hinsichtlich der begehrten Unterlassung zwar nicht auf die wörtliche Wiedergabe des gesetzlichen Verbotstatbestandes des Art. 32 Abs. 1 DSGVO. Dies führt jedoch keineswegs zu einer Konkretisierung des Verlangten, denn letztlich werden lediglich einzelne Elemente aus der gesetzlichen Vorschrift aufgegriffen und im Ergebnis wird damit allein der Wortlaut der Vorschrift – verkürzt und ungenau – wiedergegeben und bleibt somit inhaltsleer (so auch OLG Dresden, Urteil vom 05.12.2023 Az.: 14 U 3359/23e). (3.) Zudem enthält der Verbotsantrag Ziffer 3 a gleich eine ganze Reihe auslegungsbedürftiger Begriffe, die bereits für sich gesehen ebenfalls dazu führen, dass nicht ersichtlich wird, was der Beklagten konkret verboten werden soll. So soll es "unbefugten Dritten" unmöglich gemacht werden, Zugang zu personenbezogenen Daten der Nutzer zu erhalten, ohne "die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen" vorzusehen, um die "Ausnutzung des Systems" zu "anderen Zwecken als der Kontaktaufnahme" zu verhindern. Zwar sind auslegungsbedürftige Begriffe im Rahmen von § 253 Abs. 2 Nr. 2 ZPO bei Unterlassungsanträgen nicht schlechthin unzulässig. Sie können hingenommen werden, wenn über den Sinngehalt der verwendeten Begriffe oder Bezeichnungen kein Zweifel besteht, so dass die Reichweite von Antrag und Urteil feststeht (vgl. BGH Urteil vom 11.02.2021, WM 2022, 1348; BGH, Urt. v. 1.12.1999 – I ZR 49/97, BGHZ 143, 214). Dies ist hier allerdings nicht der Fall. Sowohl der Begriff eines "unbefugten Dritten" und erst recht die aufgeführten "anderen Zwecke als der Kontaktaufnahme" hinterlassen erhebliche Auslegungsspielräume und vor allem lassen sie für die Beklagte nicht erkennen, was von ihr konkret verlangt wird. Insbesondere aber das Verlangen von "nach dem Stand der Technik möglichen Sicherheitsmaßnahmen" verlagert den Streit, welche Maßnahmen nach dem jeweils aktuellen Stand der Technik erforderlich sind und damit auf welche Art und Weise die Datenverarbeitung auf der Plattform der Beklagten abzusichern ist, in unzulässiger Weise in das Vollstreckungsverfahren. (4.) Da sich diese auslegungsbedürftige und nicht hinreichend bestimmte Antragsformulierung schließlich auch durch Auslegung unter Heranziehung des Sachvortrags des Klägers nicht eindeutig präzisieren lässt, weil insoweit keinerlei Vortrag erfolgt, ist der Klagantrag Ziffer 3 a wegen Verstoß gegen das Bestimmtheitsgebot des § 253 Abs. 2 Nr. 2 ZPO unzulässig. c. Der unter Ziffer 3 b geltend gemachte Antrag, es zu unterlassen, die Telefonnummer des Klägers unter den dort genannten Einschränkungen weiterzuverarbeiten, ist unzulässig, weil es dafür am erforderlichen Rechtsschutzbedürfnis fehlt. (1.) Nach dem Wortlaut des Verbotsantrags Ziffer 3 b soll der Beklagten die Weiterverarbeitung der Telefonnummer auf der Grundlage einer für unwirksam erachteten Einwilligung untersagt werden. Dafür ist aber keine gerichtliche Geltendmachung eines Unterlassungsanspruchs erforderlich, sondern diesem Begehren könnte - einfacher - mit einem vorsorglichen Widerruf dieser für unwirksam erachteten Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit Rechnung getragen werden. (2.) Soweit sich der Kläger dagegen darauf beruft, dass eine Verarbeitung seiner Telefonnummer nicht erfolgen soll, solange ihm als Nutzer keine eindeutigen Informationen darüber vorliegen, dass die Telefonnummer auch bei Einstellung der Einsehbarkeit auf "privat" noch mögliches Suchkriterium ist ("noch durch Verwendung des CIT verwendet werden kann".), steht dem Kläger ebenfalls ein einfacherer Weg zur Verfügung. Denn dem Kläger ist spätestens durch die - unterstellt den zu stellenden Anforderungen entsprechende - Beratungstätigkeit seiner Prozessbevollmächtigten, andernfalls aber jedenfalls aufgrund des vorliegenden Verfahrens positiv bekannt, dass die Telefonnummer mittels des früheren CIT Anknüpfungsmerkmal für die Suche nach Fxxx Profilen gewesen ist. Für den Fall, dass er nunmehr mit einer Suchbarkeit seines Profils anhand der Telefonnummer einverstanden sein sollte, weiß er dies und damit wäre jedenfalls die geforderte Information obsolet. (3.) In der Sache geht es ihm letztlich darum, dass sich ein entsprechender Vorfall nicht mehr wiederholt. Abgesehen davon, dass er auch in diesem Zusammenhang in seinem Verbotsantrag wiederum gerade nicht Bezug auf die konkrete Verletzungsform nimmt und es auch diesem Antrag an der erforderlichen Bestimmtheit fehlt (etwa im Hinblick auf den Begriff der "unübersichtlichen Information"), ist ein Rechtsschutzbedürfnis für einen in die Zukunft gerichteten Unterlassungsantrag nicht zu erkennen. Soweit der Unterlassungsanspruch ausdrücklich mit der möglichen Verwendung der Telefonnummer über das CIT begründet wird, ist dies bereits durch die Systemumstellung der Beklagten bzw. durch die Umgestaltung des CIT im September 2019 obsolet geworden, weil die Suche nach einem Nutzerprofil auf Basis der Telefonnummer jetzt ausgeschlossen ist und über das CIT nur noch mit der "People-you-may-know-Funktion" gesucht werden kann. Jedenfalls ist der Kläger – und das ganz ohne gerichtliche Hilfe - selbst in der Lage, seine Telefonnummer einer Verarbeitung durch die Beklagte im Rahmen der Suchbarkeit zu entziehen, indem er die entsprechenden Einstellungen ändert. Sollte der Kläger dagegen darauf abzielen, dass auch eine Änderung der konkreten Einstellung der Suchbarkeit auf "privat" oder "only me" keinen umfassenden Schutz gegen Scraping gewährleisten können soll und es fraglich erscheine, ob Dritte seine Telefonnummer nicht dennoch auslesen könnten, handelt es sich um eine allgemeine, pauschal in den Raum gestellte "Befürchtung" des Klägers. Das Inerfahrungbringen der Telefonnummer auf andere Weise als über die Nutzung des CIT betrifft allerdings einen anderen Streitgegenstand als einen Abgriff mittels des CIT, zumal von der Beklagten schwerlich verlangt werden kann, alle möglichen künftigen technischen Angriffsmöglichkeiten auf Nutzerdaten von vornherein auszuschließen. 2. Im Übrigen ist die allein auf Verstöße gegen die DSGVO gestützte Klage unbegründet, weil nicht mit der notwendigen Sicherheit festgestellt werden kann, dass es zu einem Abgriff der Daten des Klägers während der zeitlichen Geltung der DSGVO ab dem 25.05.2018 gekommen ist. a. Die Schlüssigkeit einer Klage – dazu gehört auch, ob eine Anspruchsnorm zeitlich überhaupt anwendbar ist – beurteilt sich nach dem klägerischen Vorbringen im Zeitpunkt der letzten mündlichen Tatsachenverhandlung (Zöller/Vollkommer, ZPO, 35. Aufl. 2024, § 300 Rn. 3). Eine Partei ist nicht gehindert, ihr Vorbringen im Laufe des Rechtsstreits zu ändern, insbesondere zu präzisieren, zu ergänzen oder zu berichtigen (BGH, Beschluss vom 24.07.2018, VI ZR 599/16 Rn. 12, WM 2018, 1833 [1834]; BGH, Beschluss vom 21.07.2011, IV ZR 216/09 Rn. 6). Sie ist auch in der Berufungsinstanz nicht an ihr erstinstanzliches Vorbringen gebunden. Eine Partei darf auch nur vermutete Tatsachen vortragen und unter Beweis stellen, wenn sie darüber keine genaueren Kenntnisse hat oder haben kann, sofern sie die Tatsachen nach Lage der Dinge für wahrscheinlich hält (BGH NJW 2021, 1759 [1761 Rn. 18]; BGHZ 216, 245 [257 Rn. 33]). Unzulässig wird ein solches Vorgehen erst dort, wo die Partei ohne greifbare Anhaltspunkte für das Vorliegen eines bestimmten Sachverhalts willkürlich Behauptungen "aufs Geratewohl" oder "ins Blaue hinein" aufstellt. Bei der Annahme von Willkür in diesem Sinne ist Zurückhaltung geboten; in der Regel wird sie nur beim Fehlen jeglicher tatsächlichen Anhaltspunkte gerechtfertigt werden können (BGH NJW-RR 2015, 829 [830 Rn. 13]). Erforderlich ist insgesamt, dass klargestellt wird, welche Behauptungen gelten sollen. Ausgehend davon ist der Vortrag des Klägers zum Zeitpunkt des Abgriffs seiner Daten (noch) als schlüssig anzusehen. Dabei wird nicht verkannt, dass im Rahmen der Begründung der Anschlussberufung vom 21.02.2024 der von der Beklagten erstinstanzlich gehaltene Vortrag übernommen wurde, wonach der Datenabgriff im Zeitraum von Januar 2018 bis September 2019 stattgefunden haben soll. Damit war die Klage zumindest zwischenzeitlich nicht (mehr) schlüssig, weil damit auch ein möglicher Abgriff der Daten vor Inkrafttreten der DSGVO vorgetragen war. Soweit der Kläger mit Schriftsatz seiner Bevollmächtigten vom 19.03.2024 dieses Vorbringen damit erklärt hat, im Rahmen der Begründung der Anschlussberufung vom 21.02.2024 habe lediglich das Vorbringen der Beklagten wiedergegeben werden sollen, so ist das angesichts des gewählten Wortlauts zwar nur schwer nachvollziehbar. Allerdings ist das aber nicht entscheidend, da zum Zeitpunkt der letzten mündlichen Verhandlung klargestellt war, dass von einem Datenabgriff im Jahr 2019 und damit nach Inkrafttreten der DSGVO ausgegangen werden soll. b. Der deswegen als schlüssig zu behandelnde Vortrag des Klägers führt für sich allein gesehen jedoch nicht dazu, dass von einem Datenabgriff während der zeitlichen Geltung der DSGVO auszugehen ist, denn der Kläger trägt für diesen Umstand die Beweislast und er hat – nach dem nun gehaltenen sekundären Vortrag der Beklagten - diesen Beweis nicht geführt. (1.) Grundsätzlich trifft den Kläger die Darlegungs- und Beweislast dafür, dass der zeitliche Anwendungsbereich der DSGVO eröffnet ist. Dieser Grundsatz bedarf der Einschränkung, da der Kläger als primär darlegungsbelastete Partei außerhalb des maßgeblichen Geschehensablaufs steht und keine Kenntnisse von den maßgeblichen Tatsachen besitzt und den Sachverhalt von sich aus nicht ermitteln kann, während dem Prozessgegner die erforderliche tatsächliche Aufklärung ohne weiteres möglich und auch zuzumuten ist. Dabei obliegt es dem Bestreitenden im Rahmen der sekundären Darlegungslast auch, zumutbare Nachforschungen zu unternehmen (BGH, Urteil vom 05.10.2023, III ZR 216/22 Rn. 31; BGH, Urteil vom 04.02.2021, III ZR 7/20 Rn. 19, NJW 2021, 1759; BGH BeckRS 2020, 36575 Rn. 26; BGH NJW 2016, 3244 [3245 Rn. 18]; vergleiche auch BGH NJW 1997, 128 [129]; BGH NJW 1996, 315 [317]). Die "Last" besteht in der Pflicht, das pauschale Vorbringen des darlegungsbelasteten Gegners (ausnahmsweise) mit weiteren Einzelheiten bestreiten zu müssen. Es ist also am Gegner - hier also der Beklagten-, Einzelheiten zu der Behauptung des Datenabgriffs im Jahr 2019 darzustellen und sich zumindest substantiiert zu den Behauptungen zu äußern. Der Umfang der sekundären Darlegungslast richtet sich nach den Umständen des Einzelfalls. Die Darlegungen müssen so konkret sein, dass der beweisbelasteten Partei eine Widerlegung möglich ist (BGH, Urteil vom 04.02.2021, III ZR 7/20 Rn. 19, NJW 2021, 1759). (2.) Die Beklagte hat der sie treffenden sekundären Darlegungslast mit dem Vorbringen im Schriftsatz vom 17.04.2024 genügt. Der Kläger bleibt danach für den Zeitpunkt des Abgriffs beweisfällig. So trifft die vom Kläger vertretene Auffassung schon nicht zu, dass sich aus der Pressemitteilung der Beklagten eindeutig ergebe, dass der Abgriff nur im Jahr 2019 erfolgt sein könne. Darin wird mitgeteilt, dass "böswillige Akteure die Daten vor September 2019 von der Plattform gescrapt" hätten, in dem sie "den Kontakt-Importer vor September 2019 verwendet" hätten und "das Problem im Jahr 2019 behoben" worden sei. Ein Abgriff "vor September 2019" - von dem zweimal die Rede ist - kann aber bereits im Jahr 2018 geschehen sein, wodurch diese Formulierung hinsichtlich des genauen Zeitpunkts offen bleibt. Auch kann der Beklagten nicht verwehrt werden (insbesondere nach dem Gewinn weiterer tatsächlicher Erkenntnisse) in einem Prozess einen anderen (ergänzten, geänderten, korrigierten) Vortrag zu halten, zumal wenn dies nachvollziehbar damit begründet wird, dass sich der Sachverhalt zum Zeitpunkt der Erstellung der Pressemitteilung noch in der Aufklärung befunden hat und es damals darum gegangen sei, auf verschiedene Medienberichte zeitnah zu reagieren. Entgegen der Auffassung des Klägers kann auch nicht von einem Dauerdelikt ausgegangen werden, denn der Abgriff von Daten zu einem bestimmten Profil von dem CIT kann bei einem Treffer bezüglich der Telefonnummer nur zu einem ganz bestimmten Zeitpunkt erfolgen, nämlich dann, wenn der konkrete Datensatz aus dem Tool abgerufen wird. Die Beklagte hat auf den Hinweis des Senats vom 19.03.2024 zudem ergänzend mitgeteilt, dass sie nicht im Besitz der Rohdaten sei, welche die durch das Scraping abgerufenen Daten enthielten und aufgrund der seit dem Sachverhalt vergangenen Zeit würden auch keine Log- Dateien oder Ähnliches vorgehalten, die ihr die Aufklärung ermöglichen könnten, wie der Scraping-Sachverhalt genau abgelaufen sei und wann die Daten der jeweiligen Klagepartei abgegriffen worden seien. Nach den Vorgaben der DSGVO wäre sie auch gar nicht berechtigt, derartige Log-Dateien vorzuhalten. Ihr sei daher auch nicht bekannt, wer die Scraper gewesen seien und auch nicht, welches Fxxx-Konto verwendet wurde, um das Fxxx-Profil des Klägers einzusehen. Damit hat die Beklagte der sie treffenden sekundären Darlegungslast genügt und das ihrerseits Erforderliche getan, um den Vortrag des Klägers qualifiziert zu bestreiten. (3.) Der Kläger wurde auf dieses Vorbringen der Beklagten in der mündlichen Verhandlung vom 24.04.2024 auf ihren Antrag hin ein Schriftsatzrecht gewährt, daraufhin aber keine weiteren Anknüpfungstatsachen vorgetragen und unter Beweis gestellt, an denen ein sicherer Abgriffszeitpunkt festgemacht werden könnte. Er räumt vielmehr ausdrücklich ein, dass ihm keine Erkenntnisse zum Zeitpunkt des Abgriffs vorliegen. Dies geht zu seinen Lasten und führt dazu, dass nicht hinreichend sicher festgestellt werden kann, dass der konkrete Abgriff der Daten des Klägers nach dem Inkrafttreten der DSGVO zum 25.05.2018 erfolgt ist und die Klage abzuweisen ist. Daher ist auf die Berufung der Beklagten das Urteil des Landgerichts abzuändern und die Klage abzuweisen sowie im Gegenzug die vom Kläger erhobene Anschlussberufung zurückzuweisen. III. Die Kostenentscheidung beruht auf §§ 91, 97 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit hat ihrer Grundlage in §§ 708 Nr. 10, 711, 713 ZPO und die Streitwertfestsetzung in §§ 47, 48 GKG. Die Revision ist nicht zuzulassen. Da nicht festgestellt werden kann, dass der Abgriff der Daten während der Geltung der DSGVO stattgefunden hat, hat die Sache keine grundsätzliche Bedeutung, sondern es handelt sich um einen Einzelfall. Die im Verfahren ansonsten zu klärenden Rechtsfragen – hinreichende Bestimmtheit eines Unterlassungsantrags – sind durch die Rechtsprechung des Bundesgerichtshofs hinreichend geklärt.