11.07.2022 · IWW-Abrufnummer 230167
Oberlandesgericht Frankfurt a. M.: Urteil vom 14.04.2022 – 3 U 21/20
1. Die Durchsetzung eines Anspruchs auf Unterlassung bei einer rechtswidrigen Verarbeitung personenbezogener Daten im Sinne der Datenschutzgrundverordnung kann entweder auf §§ 823, 1004 BGB i.V.m. Art. 6 Abs. 1 DSGVO oder auf Artt. 6 und 17 DSGVO i.V.m. Art. 79 DSGVO gestützt werden.
2. Zu einer über die bloße Verletzung der Datenschutzgrundverordnung hinausgehenden spürbaren Beeinträchtigung des Rechts aus Art. 6 DSGVO bei fehlerhafter Versendung eines Kontoabschlusses
3. Zur Bestimmung des Streitwerts für ein auf Art. 6 DSGVO gestütztes Unterlassungsbegehren
Tenor
Auf die Berufung des Klägers wird unter Zurückweisung seines weitergehenden Rechtsmittels das am 13. Dezember 2019 verkündete Urteil der 25. Zivilkammer des Landgerichts Frankfurt Main, Az. 2 25 O 136/19, zum Teil abgeändert und wie folgt neu gefasst:
1. Die Beklagte wird verurteilt, es zu unterlassen, personenbezogene Daten, die der Beklagten aus der Kontoverbindung … bekannt sind, insbesondere Vor- und Nachname sowie Kontoauszüge des Klägers, ohne dessen Einwilligung an dritte Verbraucher wie geschehen mit dem Kontoabschluss vom 28. September 2018 zu übermitteln und/oder auf sonstige Weise dritten Verbrauchern zugänglich zu machen und gegenüber der SCHUFA-Bonitäts-Auskunft personenbezogene Daten zur SCHUFA-Datensatznummer „…“ zu übermitteln, die nicht den Kläger und seine Kontoverbindung zur Beklagten betreffen.
2. Die Beklagte wird verurteilt, 500,00 € Schmerzensgeld an den Kläger zu zahlen.
3. Die Beklagte wird verurteilt, weitere 159,94 € an den Kläger zu zahlen.
4. Im Übrigen wird die Klage abgewiesen.
Die Kosten des Verfahrens erster und zweiter Instanz haben der Kläger zu 4/5, die Beklagte zu 1/5 zu tragen.
Dieses und das angefochtene Urteil sind vorläufig vollstreckbar. Die Beklagte kann die Vollstreckung gegen Sicherheitsleistung in Höhe von 2.000,00 € abwenden, wenn nicht der Kläger vor der Vollstreckung Sicherheit in gleicher Höhe leistet. Der Kläger kann die Vollstreckung durch Sicherheitsleistung in Höhe von 110% des gegen ihn zu vollstreckenden Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110% des jeweils zu vollstreckenden Betrages leistet.
Die Revision wird zugelassen.
Der Gebührenstreitwert für die erste und zweite Instanz wird auf bis zu 5.500,00 € festgesetzt.
Gründe
I.
Die Parteien streiten im Wesentlichen um Ansprüche aufgrund der Datenschutzgrundverordnung wegen der Versendung eines Kontoabschlusses des Klägers an einen unbeteiligten Dritten.
Das Verfahren hat sich zunächst gegen die Beklagte als bisherige Beklagte zu 1) und die Bank1 … AG als ehemalige Beklagte zu 2) gerichtet. Die Beklagte ist mittlerweile Gesamtrechtsnachfolgerin der ehemaligen Beklagten zu 2). Die ehemalige Beklagte zu 2) wurde im Wege der Verschmelzung durch Aufnahme auf die Beklagte (bisherige Beklagte zu 1)) verschmolzen, was am 15.05.2020 im Handelsregister der Beklagten (AG Stadt3 HRB …) eingetragen wurde.
Im Zeitpunkt des hier streitgegenständlichen Geschehens waren die Beklagte und die ehemalige Beklagte zu 2) konzernverbundene Kreditinstitute mit gemeinsamem Internetauftritt. Hinsichtlich der Gestaltung des von der ehemaligen Beklagten zu 2) verwendeten Briefkopfs wird auf Anlage K6 (Bl. 51 d. A.) verwiesen.
Der Kläger, Vorname1 A, unterhielt bei der ehemaligen Beklagten zu 2) ein Konto mit der IBAN ….
Im Herbst 2018 versendete die ehemalige Beklagte zu 2) einen Kontoabschluss vom 28. September 2018 zur IBAN … an „Vorname1 A“ in Stadt1 (im Folgenden „der Dritte“). Bei der Kontonummer handelt es sich um die des Klägers, bei der Adresse handelt es sich um die Anschrift des Dritten, der Kunde der ehemaligen Bank2 AG ist und dessen erster Vorname, Nachname sowie Geburtstag mit denen des Klägers übereinstimmen. Aus dem zweiseitigen Kontoabschluss waren an individualisierten Daten neben der Adresse des Dritten in Stadt1 die oben genannte IBAN, der Kontosaldo per 30.09.2018 mit 4.200,99 € und näher aufgeschlüsselte Abschlussposten (Sollzinsen, Kosten AktivKonto, Porto) in Höhe von insgesamt 29,28 € ersichtlich, die den Kläger betrafen. Hinsichtlich der konkreten Ausgestaltung des übersandten Kontoabschlusses wird auf Anlage K1 (Bl. 5 d. A.) verwiesen (im Folgenden „der Kontoabschluss“). Der Dritte und dessen Vermögensberater nahmen den Kontoabschluss zur Kenntnis, bevor er vom Dritten vernichtet wurde.
Der Dritte meldete sich am 9. Oktober 2018 telefonisch bei der ehemaligen Beklagten zu 2), teilte mit, dass er den Kontoabschluss erhalten, aber auch bereits vernichtet habe.
Der Kläger erhielt daraufhin ein auf den 19. Oktober 2018 datiertes Schreiben, in welchem die „Bank1“ unter der weiterlautenden Adresse „Bank1 … AG“ den Kläger über einen „fehlerhaften Postversand“ informierte, um Entschuldigung bat und darauf hinwies, dass es sich um einen einmaligen individuellen Bearbeitungsfehler gehandelt habe (auf K2 wird verwiesen/Bl. 7 d. A.).
Unter dem 31. Januar 2019 konnte der Kläger in seinem Online-Zugang bei der ehemaligen Beklagten zu 2) einen Kontoauszug zu seiner IBAN einsehen, der an den Dritten in Stadt1 adressiert war (auf K6, Bl. 51 d. A. wird verwiesen). Er befürchtete daher, dass dem Dritte abermals Einsicht in seine Bankinformationen gewährt worden sei.
Mit Schreiben vom 21. Februar 2019 forderte der Kläger die Beklagte unter anderem auf, aufgrund der falschen Übersendung des Kontoabschlusses eine strafbewehrte Unterlassungserklärung abzugeben sowie an ihn ein Schmerzensgeld in Höhe von mindestens 10.000,00 € und Rechtsanwaltskosten in Höhe von 1.029,35 € zu zahlen. Mit Schreiben vom 30. April 2019 wendete sich die ehemalige Beklagte zu 2) an den Kläger und lehnte es ab, eine Unterlassungserklärung abzugeben sowie materiellen wie immateriellen Schadensersatz zu leisten
In der vom Kläger eingeholten Bonitätsauskunft bei der Schutzgemeinschaft für allgemeine Kreditsicherung (SCHUFA) vom 22. Dezember 2020 zu seiner Person („Vorname1 Vorname2 A, geboren am XX.XX.1978, Straße1, Stadt2, DEU, Datensatznummer …“), die nur positive Vertragsinformationen enthält, ist unter „frühere Adressen“ des Klägers auch die von der Beklagen gemeldete Stadt1er Adresse des Dritten aufgeführt (S.4 d. Auszugs/Bl. 211 d. A.). Des Weiteren sind unter anderem drei vergangene SCHUFA-Bonitätsauskünfte vermerkt, nämlich der „Bank2“, der „Bank3 AG“ und der „X GmbH“, die keine Konten oder Verträge des Klägers betreffen. Die nicht den Kläger betreffenden Einträge wurden zwischenzeitlich in der SCHUFA-Datenbank gelöscht.
Der rechtschutzversicherte Kläger (Bl. II d. A.) hat behauptet, aufgrund der Übersendung des Kontoabschlusses seien ihm vorgerichtliche Anwaltskosten in Höhe von 1.029,35 € entstanden.
Der Kläger hat die Rechtsauffassung vertreten, ihm stehe gegen die Beklagte und die ehemalige Beklagte zu 2) ein Unterlassungsanspruch sowie ein Anspruch auf Schmerzensgeld zu. Die Beklagte habe sich (auch vor der Verschmelzung) das Verhalten der ehemaligen Beklagten zu 2) zurechnen lassen müssen, da beide als unternehmerische Einheit aufgetreten seien.
Vor dem Landgericht hat er beantragt:
I. Die Beklagten werden verurteilt, es zu unterlassen, personenbezogene Daten, insbesondere Vor-und Nachname sowie Kontoauszüge des Klägers ohne dessen Einwilligung an Dritte zu übermitteln und/oder auf sonstige Weise Dritten zugänglich zu machen.
II. Die Beklagten werden verurteilt, einen Betrag in Höhe von mindestens 5.000,00 € als Schadensersatz an den Kläger zu zahlen.
III. Die Beklagten werden verurteilt, vorgerichtlich entstandene Rechtsanwaltskosten in Höhe von 1.029,35 € als Schadensersatz an den Kläger zu zahlen.
Die Beklagte zu 1) hat die Auffassung vertreten, dass sie nicht passivlegitimiert (gewesen) sei.
Die Beklagten haben behauptet, dass im Zuge der Verschmelzung des Filialgeschäfts der Bank2 AG mit der ehemaligen Beklagten zu 2) die Daten der Filialkunden der Bank2 AG in das System der ehemaligen Beklagten zu 2) migriert worden seien. Bei dieser automatisierten Datenmigration sei es zu einer fehlerhaften Verknüpfung des klägerischen Kundenkontos bei der Beklagten zu 2) mit dem Kundenprofil eines Kunden der Bank2 AG gekommen. Da der Kläger und der weitere Kunde beide „Vorname1 A“ geheißen hätten und ein weiteres zum Datenabgleich von der ehemaligen Beklagten zu 2) verwendetes Merkmal bei beiden Kunden übereinstimmt habe, sei es zu einer fehlerhaften Verknüpfung der beiden Kundenkonten gekommen.
Das Landgericht hat die Klage abgewiesen.
Zur Begründung hat es ausgeführt, dem Kläger stehe kein Unterlassungsanspruch zu. Das Recht auf Unterlassung rechtswidriger Datenverarbeitung sei nicht als solches in der Datenschutzgrundverordnung verankert. Die bloße verordnungswidrige Datenverarbeitung stelle keine Rechtsverletzung dar. Dem Kläger stehe auch kein Anspruch auf Unterlassen gemäß §§ 1004 Abs. 1, Satz 2 (analog), 823 Abs. 1 BGB i. V. m. Art. 2 Abs. 1, 1 Abs. 1 GG zu. Die ehemalige Beklagte zu 2) habe durch die Übersendung des streitgegenständlichen Kontoabschlusses den Kläger nicht in seinen allgemeinen Persönlichkeitsrechten verletzt. Folglich könne dahingestellt bleiben, ob sich die Beklagte in irgendeiner Form ein Verhalten der Beklagten zu 2) zurechnen lassen müsse. Dem Kläger stehe gegen die Beklagte zu 2) auch kein Anspruch auf Schadensersatz zu. Ihm sei durch die Übersendung des Kontoabschlusses an einen Dritten kein immaterieller Schaden entstanden. Die Nebenforderung scheitere jedenfalls daran, dass keine Hauptforderung bestehe.
Hiergegen wendet sich die Berufung des Klägers.
Er rügt insbesondere die aus seiner Sicht rechtsfehlerhafte Annahme, eine verordnungswidrige Datenverarbeitung stelle keine Rechtsverletzung dar. Er ist der Auffassung, dass ihm gegen die Beklagte wegen verordnungswidriger Datenverarbeitung ein Unterlassungsanspruch zustehe, weil die Beklagte der von ihm behaupteten Wiederholungsgefahr nach den Grundsätzen der sekundären Darlegungs- und Beweislast nicht hinreichend substantiiert entgegengetreten sei.
Der Senat hat mit der Ladungsverfügung darauf hingewiesen, dass die Berufungsanträge anzupassen sein dürften. Hierauf hat der Kläger mit Schriftsatz vom 9. März 2022 Stellung genommen und seine Anträge auf die weiteren Hinweise des Senats in der mündlichen Verhandlung vom 31. März 2022 neu gefasst.
Der Kläger beantragt nunmehr:
Das am 13.12.2019 verkündete Urteil des Landgerichts Frankfurt am Main, Az. 225 O 136/19, wird wie folgt abgeändert:
I. Die Beklagte wird verurteilt, es zu unterlassen, personenbezogene Daten, die der Beklagten aus der Kontoverbindung … bekannt sind, insbesondere Vor- und Nachname sowie Kontoauszüge des Klägers, ohne dessen Einwilligung an Dritte Verbraucher wie geschehen mit dem Kontoabschluss vom 28. September 2018 zu übermitteln und/oder auf sonstige Weise dritten Verbrauchern zugänglich zu machen und gegenüber der SCHUFA-Bonitäts-Auskunft personenbezogene Daten zur SCHUFA-Datensatznummer „…“ zu übermitteln, die nicht den Kläger und seine Kontoverbindung zur Beklagten betreffen.
II. Die Beklagte wird verurteilt, einen Betrag in Höhe von mindestens 5.000,00 € als Schadensersatz an den Kläger zu zahlen.
III. Die Beklagte wird verurteilt, vorgerichtlich entstandene Rechtsanwaltskosten in Höhe von 1.029,35 € als Schadensersatz an den Kläger zu zahlen.
Die Beklagte beantragt,
die Berufung zurückzuweisen.
Sie verteidigt das landgerichtliche Urteil unter Wiederholung und Vertiefung ihres erstinstanzlichen Vortrags. Sie ist der Auffassung, dass dem Kläger ein Unterlassungsanspruch schon deshalb nicht zustehe, weil dieser auf Art. 17 DSGVO nicht gestützt werden könne und im Übrigen eine Wiederholungsgefahr nicht bestehe. Die fehlende Wiederholungsgefahr begründet die Beklagte mit der Hinterlegung weiterer Legitimationsdaten, nämlich „zweiter Vorname“ und „Geburtsort“. Außerdem sei ein immaterieller Schaden nicht dargetan und die geltend gemachte Schadenssumme deutlich überzogen.
II.
Die Berufung ist zulässig, insbesondere form- und fristgerecht eingelegt und begründet worden. Sie ist auch teilweise begründet. Zwar hat das Landgericht die Klage gegen die Beklagte (noch) zu Recht abgewiesen. Allerdings sind die gegen die ehemalige Beklage zu 2) geltend gemachten Ansprüche, für die die Beklagte mittlerweile passivlegitimiert ist (§ 20 Abs. 1 Nr. 1 UmwG), insoweit begründet, als das Unterlassungsbegehren (in der Fassung des geänderten Klageantrags zu II) begründet ist, ein Schmerzensgeldanspruch nach Art. 82 Abs. 1 DSGVO i. V. m. Art. 6 DSGVO und den nationalen Vorschriften in Höhe von 500,00 € besteht und auch ein materieller Schadensersatzanspruch hinsichtlich der Erstattung anteiliger vorgerichtlicher Rechtsanwaltskosten bergründet ist.
1. Der Kläger hat gegen die Beklagte einen Anspruch auf Unterlassen der im Berufungsantrag zu II. genannten Handlungen aus § 823 Abs. 1, § 1004 Abs. 1 Satz 2 BGB analog i. V. m. Art. 6 Abs. 1 DSGVO oder § 17 Abs. 1 DSGVO i. V. m. Art. 6 Abs. 1 DSGVO wegen eines rechtwidrigen Eingriffs in sein allgemeines Persönlichkeitsrecht und Verletzung von Art. 6 Abs. 1 DSGVO durch die ehemalige Beklagte zu 2).
a) Die Durchsetzung eines Anspruchs auf Unterlassung bei einer rechtswidrigen Verarbeitung personenbezogener Daten im Sinne der Datenschutzgrundverordnung ist nach ganz herrschender Meinung möglich (vgl. zum Meinungsstand Leibold/Laoutoumai: Unterlassungsanspruch unter der DS-GVO? ZD-Aktuell 2021, 05583). Im Ergebnis sieht die herrschende Meinung einen Unterlassungsanspruch jedenfalls gemäß §§ 823, 1004 BGB (zum Teil i. V. m. Art. 6 Abs. 1 DSGVO) als gegeben an, da dieser nicht durch Art. 79 Abs. 1 DSGVO gesperrt ist (OLG Köln Urt. v. 14.11.2019 - 15 U 126/19, BeckRS 2019, 28523; Leibold/Laoutoumai aaO; a. A. VG Regensburg, Gerichtsbescheid vom 6.8.2020 - RN 9 K 19.1061, BeckRS 2020, 19361). Denn nur so sei ein lückenloser Schutz hinsichtlich der Verarbeitung personenbezogener Daten von natürlichen Personen gewährleistet. Aber auch aus der Datenschutzgrundverordnung ergibt sich ein Unterlassungsanspruch. Zwar sieht diese ausdrücklich einen Unterlassungsanspruch nicht vor. Allerdings wird in Art. 17 DSGVO ein Löschungsrecht normiert, aus dem in Verbindung mit Art. 79 DSGVO, der wirksame gerichtliche Rechtsbehelfe bei Verletzung der Datenschutzgrundverordnung garantiert, ein Unterlassungsanspruch hergeleitet werden kann (vgl. BGH, Urteil vom 12. Oktober 2021 - VI ZR 489/19 -, juris, Rz. 10; BSG, Urteil vom 18. Dezember 2018 - B 1 KR 31/17 R -, BSGE 127, 181-188, Rz. 13; Stollhoff in Auernhammer, DSGVO, 7. Aufl., Art. 17 Rz. 79; dies gilt auch für einen Löschungsanspruch gegenüber der SCHUFA, vgl. OLG Karlsruhe, Urteil vom 23. Februar 2021 - 14 U 3/19 -, juris).
b) Der vom Kläger geltend gemachte Unterlassungsanspruch ist auch begründet. Dies ergibt sich nicht nur unmittelbar aus der Verletzung seiner Rechte aus Art. 6 der DSGVO i. V. m. Art. 17 und Art. 79 DSGV (vgl. OLG Frankfurt, Urteil vom 02. März 2022 - 13 U 206/20 -, juris). Eine nicht von den Bestimmungen der DSGVO gedeckte Übermittlung personenbezogener Daten stellt, entgegen der vom Landgericht vertretenen Auffassung, auch eine Verletzung des allgemeinen Persönlichkeitsrechts dar, das als sonstiges Recht im Sinne des § 823 Abs. 1 BGB auch negatorischen Schutz nach allgemeinen Vorschriften genießt und im Lichte der europäischen Gesetzgebung auszulegen ist (vgl. zum negatorischen Schutz: BGH, Urteil vom 10. Juli 2018 - VI ZR 225/17 -, BGHZ 219, 233 ff. Rz. 13; zum Unterlassungsanspruch gemäß § 1004 BGB analog im Falle der Verletzung von Art. 6 Abs. 1 DSGVO vgl. LG Lüneburg, Urteil vom 14. Juli 2020 - 9 O 145/19 -, juris; LG Gießen, Urteil vom 04. Oktober 2021 - 5 O 457/20 -, juris; ebenso LG Frankfurt/M., Beschluss vom 15.10.2020 - 2-03 O 356/20; LG Darmstadt, Urteil vom 26. Mai 2020 - 13 O 244/19, juris).
c) Zwischen den Parteien ist unstreitig, dass die an den Dritten erfolgte Datenübermittlung im Wege der Übersendung des Kontoabschlusses gemäß Art. 6 Abs. 1 DSGVO rechtswidrig ist. Die Voraussetzungen des Art. 6 Abs. 1 S. 1 DSGVO für eine rechtmäßige Datenübermittlung liegen eindeutig nicht vor. Dies gilt auch für die von der Beklagten vorgenommene SCHUFA-Meldung, mit der die Stadt1er Adresse des Dritten zum SCHUFA-Datensatz des Klägers als „frühere Adresse“ gemeldet wurde.
aa) Die Versendung des Kontoabschlusses und die Meldung einer unzutreffenden „früheren Adresse“ an die SCHUFA stellen jeweils eine „Verarbeitung“ (siehe unten (2)) von „personenbezogenen Daten“ (siehe unten (1)) im Sinne von Art. 6. Abs. 1 DSGVO dar.
(1) Der im Kontoabschluss mitgeteilte Kontosaldo und die vom Kläger zu tragenden Abschlussposten betreffen nur ihn individuell und „personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (vgl. Art. 4 Nr. 1 DSGVO sowie BeckOK DatenschutzR/Schild, 38. Ed. 1.11.2021, DS-GVO Art. 4 Rn. 3). Diese Einschätzung wird auch nicht dadurch in Zweifel gezogen, wie von der Beklagten in der mündlichen Verhandlung vor dem Senat vertreten, dass es hinsichtlich dieser Daten zu einer Personenverwechslung kommen konnte. Die im Kontoabschluss enthaltenen Daten bleiben auch bei Verwechslung personenbezogen, weil sie dem Kläger zugordnet werden können. Im Übrigen bleibt der Name einer Person auch bei Namensidentität mit einem Dritten personenbezogen (vgl. OLG Dresden, Urteil vom 14. Dezember 2021 - 4 U 1278/21 -, juris Rz. 35).
Die Personenbezogenheit der Daten gilt auch für die zur SCHUFA gemeldete „frühere Adresse“, obwohl diese unzutreffend ist, weil der Kläger in Stadt1 nie gewohnt hat. Insofern gebietet der mit der Datenschutzgrundverordnung verfolgte Zweck, Individualpersonen umfassend bei der Verarbeitung und Verbreitung „ihrer“ Daten zu schützen (vgl. Art. 1 DSGVO, von Lewinski in Auernhammer, DSGVO, 7. Aufl., Art. 1 Rz. 1 ff.), auch den Schutz des Einzelnen vor der Zuordnung inhaltlich falscher Informationen. Daran, dass auch falsch zugeordnete Daten, „personenbezogen“ sind, kann kein Zweifel bestehen. „Personenbezogen“ im Sinne von Art. 4 Nr. 1 DSGVO sind alle Daten, die mit dem Zweck verwendet werden können, eine Person zu beurteilen (Eßer in Auernhammer, DSGVO, 7. Aufl., Art. 4 Rz. 10). Dass die Information „frühere Adresse“ im Rahmen des SCHUFA-Datensatzes zumindest zur Identifikation des Klägers, aber möglicherweise auch bei Ermittlung seines „Scores“ berücksichtigt wird, ergibt sich schon allein aus dem Umstand, dass diese Daten überhaupt zur Schufa zu melden sind.
(2) Diese personenbezogenen Daten des Klägers wurden von der ehemaligen Beklagten zu 2) auch im Sinne von Art. 6 Abs. 1 DSGVO verarbeitet. „Verarbeitung“ erfasst gemäß der Begriffsbestimmung in Art. 4 Nr. 2 DSGVO gerade auch die „Offenlegung durch Übermittlung“.
bb) Die von der ehemaligen Beklagten zu 2) vorgenommene Verarbeitung von personenbezogenen Daten war auch klar rechtswidrig. Weder hatte der Kläger in die Versendung des Kontoabschlusses an den Dritten eingewilligt (Art. 6 Abs. 1 S.1 a) DSGVO), noch war die (versehentliche) Übersendung an den Dritten für die Erfüllung des mit dem Kläger bestehenden Kontovertrages erforderlich (Art. 6 Abs. 1 S. 1 b) DSGVO), noch lag die Übersendung an den Dritten im berechtigten Interesse der ehemaligen Beklagten zu 2). Gleiches gilt für die Übersendung eines unrichtigen Datensatzes an die SCHUFA.
d) Die für den Unterlassungsanspruch erforderliche Wiederholungsgefahr wird durch das festgestellte rechtsverletzende Verhalten der Beklagten indiziert (vgl. BGH, Urteil vom 10. Juli 2018 - VI ZR 225/17 -, BGHZ 219, 233-242). Die Abgabe einer strafbewehrten Unterlassungserklärung haben die ehemalige Beklagte zu 2) und die Beklagte abgelehnt.
Die Überzeugung, dass die Wiederholungsgefahr aus tatsächlichen Gründen nicht mehr vorliegt, hat der Senat - entgegen der von der Beklagten geäußerten Auffassung - nicht gewinnen können. Die Beklagte hat zur Behebung der fehlerhaften Verknüpfung der beiden Kundenprofile lediglich konkretisiert, dass für den Kläger folgende „Legitimationsdaten“ hinterlegt seien: Vorname, Zweitname, Nachname, Geburtsdatum und Geburtsort. Mit dem zweiten Vornamen und dem im Vergleich zum „Namensvetter“ anderen Geburtsort seien zwei eindeutige Unterscheidungskriterien sichergestellt. Allerdings spricht bereits die bis ins Jahr 2020 fortwirkende (unrichtige) SCHUFA-Meldung für eine Wiederholungsgefahr, insbesondere auch deshalb, weil der Eintrag wohl eher auf Initiative des Klägers als der Beklagten gestrichen beziehungsweise gelöscht wurde. Bis ins Jahr 2020 enthielt der SCHUFA-Eintrag des Klägers unter „früheren Adressen“ auch die Adresse des Dritten in Stadt1. Davon, dass die beiden weiteren Abfragekriterien „zweiter Vorname“ und „Geburtsort“ nunmehr Datenpannen bei der Beklagten verhindern würden, ist der Senat auch deshalb nicht überzeugt, weil die Beklagte weder vorgetragen hat, wann die für den Kläger bei der Beklagten hinterlegten „Legitimationsdaten“ (möglicherweise) erweitert wurden. Noch hat die Beklagte dargelegt, dass die zusätzlichen Legitimationsdaten beim Datenabgleich (zukünftig) auch genutzt werden. Dass diese Unterscheidungskriterien grundsätzlich zur Verfügung stünden, reicht nicht aus, wenn bei der Datennutzung oder -migration nicht alle zu einer Person vorhandenen Datensätze verglichen oder genutzt werden.
2. Neben dem festgestellten Unterlassungsanspruch steht dem Kläger gegen die Beklagte auch ein Schmerzensgeld in Höhe von 500,00 € aus Art. 82 DSGVO i. V. m. §§ 249, 253 BGB aufgrund der Zusendung des Kontoabschlusses an den Dritten und der Meldung der unrichtigen „früheren Adresse“ zur SCHUFA zu, weil die die Beklage zu 2) ursprünglich treffende Verpflichtung auf die Beklagte durch Verschmelzung übergegangen ist (§ 20 Abs. 1 Nr. 1 UmwG). Beim Kläger liegt eine spürbare Beeinträchtigung seines durch die Datenschutzgrundverordnung geschützten Rechts an den eigenen persönlichen Daten vor.
a) Der Senat ist aufgrund der nachfolgenden Erwägung zur Überzeugung gelangt, dass dem Kläger zwar - von den vorgerichtlichen Anwaltskosten abgesehen - kein materieller Schaden, aber ein gemäß Art. 82 DSGVO ersatzfähiger immaterieller Schaden entstanden ist. Es ergibt sich bereits aus dem Wortlaut von Art. 82 Abs. 1 DSGVO, dass ein Anspruch auf Schadensersatz nur besteht, wenn ein materieller oder immaterieller Schaden entstanden ist. Der Schaden muss erlitten sein, d. h. entstanden und nicht nur befürchtet werden (vgl. Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rz. 10). Dies führt hier aber nicht dazu, dass der Senat einen vom Kläger erlittenen Schaden nicht feststellen könnte, auch wenn dieser im Wesentlichen „immaterieller“ Art ist. Zu beachten ist bei der Auslegung von Art. 82 Abs. 1 DSGVO, dass nach Erwägungsgrund 146 Satz 3 DSGVO der Begriff des Schadens im Lichte der Rechtsprechung des Gerichtshofs „weit und auf eine Art und Weise ausgelegt werden“ soll, „die den Zielen dieser Verordnung entspricht“.
b) Hier bedarf die in Rechtsprechung und Literatur umstrittene Frage, ob die nach der Verordnung selbst gebotene weite Auslegung dazu führt, dass grundsätzlich jeder DSGVO-Verstoß auch einen immateriellen Schaden begründet (so ausdrücklich BAG, Vorlagebeschl. v. 26.8.2021 - 8 AZR 253/20 - Beckonline Rz. 33; vgl. auch Hanßen, Schadensersatz wegen Datenschutzverstößen, DB 2020, 2730; Dickmann, Nach dem Datenabfluss: Schadensersatz nach Art. 82 DSGVO, r+s 2018, 345, 353 („keine besondere Schwere der Verletzung“)), nicht der Entscheidung. Nach dieser eben genannten Auffassung ist die Schwere des immateriellen Schadens für die Begründung des Anspruchs nach Art. 82 Abs. 1 DSGVO irrelevant und wirkt sich lediglich auf die Schadenshöhe aus (vgl. ArbG Düsseldorf, Urteil vom 05. März 2020 - 9 Ca 6557/18 -, juris Rn. 102 a. E.; nicht eindeutig: AG Pforzheim, Urteil vom 25. März 2020 - 13 C 160/19 -, juris Rz. 45; a. A. LG Karlsruhe, Urteil vom 02. August 2019 - 8 O 26/19 -, juris Rn. 19 „nicht jeder Verstoß gegen die DSGVO führt zur Ausgleichspflicht“).
Der OGH Österreich hat dem EuGH daher auch die Fragen zur Vorabentscheidung vorgelegt, ob der Eintritt eines Schadens beim Betroffenen eine Tatbestandsvoraussetzung ist oder eine Verletzung von Bestimmungen des DSGVO ausreicht sowie ob eine gewisse Erheblichkeit (Konsequenz von zumindest einigem Gewicht über den hervorgerufenen Ärger hinausgehend) für die Gewährung von Schadensersatz erforderlich ist (vgl. ÖOGH, Beschluss vom 15.4.2021 - 6 Ob 35/21x, ZD 2021, 631 (BeckOnline)).
c) Im hiesigen Rechtsstreit ist ein immaterieller Schaden des Klägers feststellbar. Da die Anforderungen an den (immateriellen) Schadenseintritt angesichts der in der Datenschutzgrundverordnung selbst gemachten Vorgaben und der sich entwickelnden überzeugenden Meinung in Rechtsprechung und Literatur (vgl. BVerfG, Beschluss v. 14. Januar 2021 - 1 BvR 2853/19 -, juris; diesem folgend: AG Pfaffenhofen, Urteil vom 9.9.2021 - 2 C 133/21 - BeckOnline Rz. 31 f.; vgl. auch LG Lüneburg, Urt. v. 14.7.2020 - 9 O 145/19; ArbG Düsseldorf, Urteil vom 05. März 2020 - 9 Ca 6557/18 -, juris Rz. 94 ff.; Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 17 ff.) nicht besonders streng sind, ist eine - von der bloßen Verletzung der Datenschutzgrundverordnung zu trennende Beeinträchtigung - beim Kläger eingetreten.
aa). Die bisherige deutsche Rechtsprechung, die immateriellen Schadensersatz überhaupt nur bei schwerwiegenden Persönlichkeitsrechtsverletzungen zugesprochen hat, was auch der ausdrücklichen Regelung in § 8 Abs. 2 BDSG a. F. entsprach, ist nicht mehr anwendbar (vgl. Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 18a).
bb) Der Senat ist auch nicht der Auffassung, dass hier ein Bagatellfall vorliegt, der von der Anwendbarkeit der Datenschutzgrundverordnung grundsätzlich auszuschließen wäre (vgl. in diese Richtung wohl OLG Dresden, Beschluss vom 11. Juni 2019 - 4 U 760/19 -, juris Rz. 13; LG Essen, Urteil vom 23.9.2021 - 6 O 190/21, LG Karlsruhe, Urteil vom 02. August 2019 - 8 O 26/19 -, juris; AG Hannover, Urteil vom 09. März 2020 - 531 C 10952/19 -, juris Rz. 22f.; AG Goslar, Urteil vom 27. September 2019 - 28 C 7/19 -, juris, RA Wybitul, Immaterieller Schadensersatz wegen Datenschutzverstößen, NJW 2019, 3265; Eichelberger, Ersatz immaterieller Schäden bei Datenschutzverstößen, WRP 2021, 159 ff. Rz. 29 ff.; Spittka: Die Kommerzialisierung von Schadensersatz unter der DSGVO, GRUR-Prax 2019, 475; nach derzeitiger Rechtsprechung des EuGH ohne Vorlage klar verneinend: BVerfG, Beschluss v. 14. Januar 2021 - 1 BvR 2853/19 -, juris; Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 18a m. w. N.; verneinend: Gola DS-GVO/Gola/Piltz, 2. Aufl. 2018, DS-GVO Art. 82 Rn. 13; offen gelassen: BeckOK DatenschutzR/Quaas, 38. Ed. 1.11.2021, DS-GVO Art. 82 Rn. 25c). Einen Ausschluss vermeintlicher Bagatellschäden wegen fehlender Erheblichkeit sieht weder das Gesetz vor, noch ist es (bisher) Grundlage der Rechtsprechung des Gerichtshofs der Europäischen Union (vgl. BVerfG, Beschluss v. 14. Januar 2021 - 1 BvR 2853/19 -, juris Rz. 21).
cc) Der Schadensbegriff in Art. 82 DSGVO ist, soweit dieser nicht autonom auszulegen ist (LG Düsseldorf, Urteil vom 28.10.2021 - 16 O 128/20 - BeckOnline Rz 29; Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 17; Eichelberger, WRP 2021, 159 Rz. 15; Korch: Schadensersatz für Datenschutzverstöße, NJW 2021, 978), jedenfalls im Lichte von Erwägungsgrund 146 der Datenschutzgrundverordnung und der Rechtsprechung des Europäischen Gerichtshofs weit auszulegen (vgl. Kohn: Der Schadensersatzanspruch nach Art. 82 DS-GVO, ZD 2019, 498; Wybitul/Neu/Strauch: Schadensersatzrisiken für Unternehmen bei Datenschutzverstößen, ZD 2018, 202 ff.; Spindler/Schuster/Spindler/Horváth, 4. Aufl. 2019, DS-GVO Art. 82 Rn. 8, a. A. wohl LG Frankfurt/M., Urteil vom 18.9.2020 - 2-27 O 100/20), so dass die Ziele der Datenschutzgrundverordnung in vollen Umfang erreicht werden (vgl. Rechtbank Amsterdam Urt. v. 2.9.2019 - 7560515 CV EXPL 19-4611, BeckRS 2019, 24009 Rz. 38).
dd) Danach liegt beim Kläger eine spürbare Beeinträchtigung seines durch die Datenschutzgrundverordnung geschützten Rechts an den eigenen personenbezogenen Daten durch das Zusammenspiel der folgenden Faktoren vor: (i) Weiterleitung des Kontoabschlusses an den Dritten, (ii) begründete Befürchtung des Klägers, dass es angesichts des Ende Januar/Anfang Februar 2019 im Online-Zugang des Klägers eingestellten Kontoauszugs, der die Adresse des Dritten in Stadt1 auswies, wieder zu einer Datenpanne gekommen sein könnte und (3) Meldung einer unzutreffenden „früheren Adresse“ zum SCHUFA-Profil des Klägers durch die ehemalige Beklagte zu 2).
Der beim Kläger eingetretene Schaden ist auch zu bejahen, obwohl es - abgesehen von Anwaltskosten - zu keiner bezifferbaren wirtschaftlichen Auswirkung „der Datenpanne“ zu Lasten des Klägers gekommen ist. Eine wirtschaftliche Betrachtung zur Ermittlung des immateriellen Schadens verbietet sich (vgl. Dickmann: Nach dem Datenabfluss: Schadenersatz nach Art. 82 der Datenschutz-Grundverordnung und die Rechte des Betroffenen an seinen personenbezogenen Daten, r+s 2018, 345 (352)). Zwar ist es weder zu einer „öffentlichen Bloßstellung“, einem „Identitätsdiebstahl“, einer „Weitergabe intimer Informationen“ oder einer „ernsthaften Beeinträchtigung für das Selbstbildnis oder Ansehen“ der Person des Klägers gekommen (siehe Erwägungsgründe 75 und 85 der Datenschutzgrundverordnung; Beispiele auch nach Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn 18a; Rechtbank Amsterdam Urt. v. 2.9.2019 - 7560515 CV EXPL 19-4611, BeckRS 2019, 24009 Rz. 36). Allerdings liegt der immaterielle Schaden des Klägers unter anderem in dem Verlust der Kontrolle über seine personenbezogenen Daten (vgl. LG Lüneburg, Urt. v. 14.7.2020 - 9 O 145/19 - BeckOnline Rz. 50; Kontrollverlust alleine nicht ausreichend: LG München I, Urteil vom 2.9.2021 - 23 O 10931/20 - BeckOnline). Seine Kontonummer und sein Kontostand wurden ohne seine Einwilligung einem Dritten bekanntgegeben und eine weitere Person (Anlageberater) hat aufgrund der fehlerhaften Bekanntgabe des Kontoabschlusses durch die ehemalige Beklagte zu 2) hiervon ebenfalls Kenntnis erlangt. Aus dem Kontoabschluss ist auch ersichtlich, dass der Kläger im dritten Quartal einen (Dispositions)-Kredit zu einem Zinssatz von 10,9 % (Sollzinsen) in Anspruch genommen hat.
Spätestens seitdem der Kläger Ende Januar/Anfang Februar 2019 über seinen Online Zugang bei der ehemaligen Beklagten zu 2) einen Kontoauszug einsehen konnte, der nicht an ihn adressiert war, und er deshalb nachvollziehbar befürchtete, dass der Dritte wieder die Möglichkeit zur Einsicht in seine Kontoinformationen erlangt haben könnte, kam es zu einer relevanten Beeinträchtigung seines Rechts auf Schutz der ihn betreffenden personenbezogenen Daten (vgl. hierzu auch Erwägungsgrund 1 der Datenschutzgrundverordnung). Unbefugte Datenverarbeitungen können zu einem Gefühl des Beobachtetwerdens und der Hilfslosigkeit führen (vgl. Kühling/Buchner/Bergt, 3. Aufl. 2020, DSGVO Art. 82 Rn. 18b). Dies gilt insbesondere dann, wenn, wie hier, die zweite „Datenpanne“ zu einem Zeitpunkt auftritt, zu dem die Beklagte gegenüber dem Kläger erklärt hatte, dass es sich bei der fehlerhaften Versendung des Kontoabschlusses um einen „einmaligen individuellen Bearbeitungsfehler“ gehandelt habe (K2/Bl. 7 d. A.).
Der Kläger hat auch, wie sich in der Erhebung der hiesigen Klage zeigt, Zeit und Mühe aufgewendet, um sich vor drohendem (weiteren) Missbrauch zu schützen, was ebenfalls eine relevante Beeinträchtigung im Sinne von Art. 82 Abs. 1 DSGVO darstellt. Die Verletzung von Persönlichkeitsrechten zeichnet sich gerade dadurch aus, dass nicht zwangsläufig eine bilanzierungsfähige Vermögensminderung auf Seiten des Verletzten eintritt, sondern oft ausschließlich seelischer oder moralischer Unbill und Aufwendung der Ressource Zeit (so ausdrücklich Dickmann: Nach dem Datenabfluss: Schadenersatz nach Art. 82 der Datenschutz-Grundverordnung und die Rechte des Betroffenen an seinen personenbezogenen Daten, r+s 2018, 345 (353)).
Bei der Bewertung des Eintritts des klägerischen immateriellen Schadens ist darüber hinaus zu berücksichtigen, dass es noch 2020 zu einem „falschen“ SCHUFA-Eintrag aufgrund einer Einmeldung der ehemaligen Beklagen zu 2) kam, auch wenn sich die falsche SCHUFA Meldung lediglich in der Nennung einer falschen früheren Adresse niederschlug, ohne ein „Negativmerkmal“ darzustellen.
Da jedenfalls die im SCHUFA-Eintrag des Klägers von 2020 falsch aufgeführte „frühere Adresse“ auf eine Meldung der ehemaligen Beklagten zu 2) zurückgeht, kommt es nicht darauf an, ob noch weitere nicht den Kläger betreffende frühere Bonitätsauskünfte auf die ehemalige Beklagte zu 2) zurückzuführen sind.
gg) Die ehemalige Beklagte zu 2) war auch Verantwortliche im Sinne der Datenschutzgrundverordnung, bis deren Verpflichtung im Wege der Verschmelzung auf die Beklagte übergegangen ist. Es besteht auch kein Zweifel, dass der Verstoß der Beklagten zu 2) gegen Art. 6 DSGVO kausal für den beim Kläger eingetretenen Schaden war und die ehemalige Beklagte zu 2) schuldhaft handelte, weil sie den Entlastungsbeweis gemäß Art. 82 Abs. 3 DSGVO nicht zu führen vermocht hat. Hierfür hätte sie nachweisen müssen, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich (im Sinne eines Verschuldens) ist (vgl. Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 49). Dies hat sie selbst nicht vorgetragen.
c) Der Kläger hat aufgrund des oben Gesagten aus Art. 82 Abs. 1 DSGVO auch einen Anspruch auf Ersatz seines immateriellen Schadens: Allerdings hat sich hinsichtlich der Bemessung des aufgrund von Art. 82 Abs. 1 DSGVO zu gewährenden immateriellen Schadensersatzes noch keine gefestigte Rechtsprechung oder einhellige Meinung herausgebildet, auch wenn die zu § 253 BGB entwickelten Grundsätze herangezogen werden können (Nemitz in Ehmann/Selmayr, Datenschutzgrundverordnung, 2. Aufl, 2018, Art. 82 Rz. 28).
aa) Die Geschädigten sollen gemäß Erwägungsgrund Nummer 146 Satz 6 der Datenschutzgrundverordnung einen „vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten“. Diese Stoßrichtung wird mit Blick auf die einschlägige Rechtsprechung des Gerichtshofs der Europäischen Union dahingehend interpretiert, dass die Schadensersatzhöhe unter Berücksichtigung des unionsrechtlichen Effektivitätsgrundsatzes so zu bemessen sei, dass eine Abschreckungswirkung entfaltet werde (vgl. Paal: Schadensersatzansprüche bei Datenschutzverstößen, MMR 2020, 14 ff.; Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rn. 10; Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 65).
bb) Unstreitig sind für die Bemessung des Schmerzensgeldes auch die Kriterien des Artikel 83 Abs. 2 DSGVO, der für die Verhängung von Geldbußen durch die Aufsichtsbehörden gilt, heranzuziehen, also die Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie die betroffenen Kategorien personenbezogener Daten.
cc) Das Bundesarbeitsgericht hat durch Vorlage an den Gerichtshof der Europäischen Union weiter die Frage aufgeworfen, ob es bei der Bemessung des immateriellen Schadensersatzes auf den der Grad des Verschuldens des Verantwortlichen ankommt und ob ein geringes Verschulden zu dessen Gunsten berücksichtigt werden darf (BAG, EuGH-Vorlage vom 26. August 2021 - 8 AZR 253/20 (A) -, juris).
dd) Nach alledem ist im vorliegenden Fall die Gewährung eines Schmerzensgeldes in Höhe von 500,00 € ausreichend und angemessen. Zwar ist, wie oben ausgeführt, ein immaterieller Schaden eingetreten. Der Schmerzensgeldanspruch ist aber angesichts dessen, dass der eingetretene Schaden am unteren Rand möglicher Beeinträchtigungen des Persönlichkeitsrechts des Klägers und seiner Rechte aus Art. 6 DSGVO anzusiedeln ist, grundsätzlich nicht sehr hoch zu bemessen. Die vom Kläger nach außen gedrungenen personenbezogenen Daten betreffen lediglich seine Kontonummer, einen Kontostand aus dem Jahr 2018 sowie Abschlussposten (Sollzinsen, Kosten AktivKonto, Porto) in Höhe von insgesamt 29,28 € und den Umstand, dass er im dritten Quartal einen (Dispositions-)Kredit zu 10,9% in Anspruch genommen hatte. Auch ist nur bekannt, dass lediglich zwei Personen hiervon entgegen Art. 6 DSGVO Kenntnis erlangt haben. Bei der Bemessung des Schmerzensgeldes ist weiter zu berücksichtigen, dass der Kläger zwar Anfang 2019 Einsicht in einen weiteren an den Dritten in Stadt1 adressierten Kontoauszug hatte, er aber hinsichtlich seiner Daten lediglich befürchtet hat, dass der Dritte (abermals) Einsicht hatte. Indes ist zu Lasten der Beklagten zu werten, dass dieser Vorfall sich zu einem Zeitpunkt ereignete, zu dem die ehemalige Beklagte zu 2) über die fehlerhafte Migration der Datensätze informiert war und dem Kläger mitgeteilt hatte, dass es sich um einen einmaligen Vorfall gehandelt habe. Weiter ist zu werten, dass zwar bis zur Löschung eine falsche „frühere Adresse“ des Klägers bei der SCHUFA hinterlegt war, aber nicht ersichtlich ist, dass sich dieser Umstand negativ auf seine Bonität oder seinen „Score“ ausgewirkt hat. Dass die Bonitätsauskunft unter „1. Kreditkarte“ nicht den Kläger betraf, hat er selbst nicht vorgetragen. Eine im Rahmen der Bemessung des Schadensersatzes zu berücksichtige Abschreckungswirkung wird im Übrigen in diesem Fall bereits durch den Umstand bewirkt, dass ein Schmerzensgeld zugesprochen wird.
3. Die vom Kläger geltend gemachten vorgerichtlichen Rechtsanwaltskosten sind ebenfalls im tenorierten Umfang aus Art. 82 Abs. 1 DSGVO i. V. m mit den zu § 249 Abs. 1 BGB entwickelten Grundsätzen begründet.
a) Die Inanspruchnahme eines Rechtsanwalts zur Durchsetzung etwaiger Rechte infolge des Verstoßes gegen die Datenschutzgrundverordnung war für den Kläger angesichts der oben geschilderten unübersichtlichen Rechtslage erforderlich und zweckmäßig.
b) Allerdings sind die vorgerichtlichen Rechtsanwaltsgebühren nicht aufgrund eines Wertes von 15.000,00 € zu berechnen. Dem Anspruch des Geschädigten auf Ersatz vorgerichtlicher Rechtsanwaltskosten ist im Verhältnis zum Schädiger grundsätzlich der Gegenstandswert zugrunde zu legen, der dem berechtigten Unterlassungs- und Schadensersatzanspruchs entspricht (vgl. BGH, Urteil vom 12. Dezember 2017 - VI ZR 611/16 -, juris).
Dieser liegt bei bis zu 1.000,00 €. Der Gegenstandswert für das vorgerichtliche Schreiben setzt sich zusammensetzt aus dem berechtigtem Zahlungsanspruch in Höhe von 500,00 € Schmerzenzgeld und dem mit ebenfalls 500,00 € zu bemessendem Interesse des Klägers an der Unterlassung gleichartiger Verstöße. Der Gegenstandswert für die vorgerichtliche Tätigkeit ist gemäß § 3 ZPO nach freiem Ermessen im Wege der Schätzung zu bestimmen. Hierbei ist neben dem berechtigten Zahlungsbegehren auf das Interesse des Klägers an der Unterlassung gleichartiger Verstöße abzustellen, mithin auf die Verletzungshandlung und ihre Auswirkungen, die, wie oben ausführlich begründet, mit 500,00 € zu bewerten sind und der Höhe des zugesprochenen Schmerzensgeldes entsprechen.
c) Danach hat der Kläger Anspruch auf Ersatz von vorgerichtlichen Rechtsanwaltsgebühren in Höhe von 159,94 € (1,3 Geschäftsgebühr von 114,40 €, Pauschale Nr. 7002 VV von 20,00 €, Umsatzsteuer von 25,54 €).
d) Im Übrigen wirkte sich auf den materiellen Schadensersatz nicht aus, dass der Klägervertreter den Schriftsatz vom 21. Februar 2019 (Bl. 8ff. d. A.) zunächst an die Beklagte sendete, obwohl Verantwortliche im Sinne von Art. 82 Abs. 1 DSGVO allein die ehemalige Beklagte zu 2) war. An der nach § 249 BGB von der Beklagten zu erstattenden vorgerichtlichen Tätigkeit des Klägervertreters ändert dies nichts- Hierdurch wird die Aufforderung zur Abgabe einer Unterlassungserklärung und zur Zahlung von Schadensersatz nicht entwertet, weil sie etwa an die falsche Partei gerichtet war. Der Schriftsatz ging der ehemaligen Beklagten zu 2) zu und sie hat auf die Aufforderung im eigenen Namen geantwortet, diese also als an sich gerichtet interpretiert.
ee) Die Beklagte ist auf die Nebenforderung hin auf Zahlung zu verurteilen. Es kommt nicht (mehr) darauf an, ob der Kläger die vorgerichtlichen Rechtsanwaltskosten bereits beglichen hat. Der sich aus Art. 82 Abs. 1 DSGVO i. V. m § 249 Abs. 1 BGB ergebende Anspruch auf Freistellung nach § 257 S. 1 BGB hätte sich jedenfalls gemäß § 280 Abs. 1 u. Abs. 3 sowie § 281 Abs.1 S. 1 BGB in einen Zahlungsanspruch umgewandelt. Die Beklagte hat ihre Pflicht zur Freistellung des Klägers oder zur Zahlung verletzt. Zwar hat der Kläger im Rahmen der Abmahnung vom 21. Februar 2019 nicht Freistellung verlangt (Anlage K3/Bl. 9f. d. A.), sondern „Erstattung“ und damit Zahlung. Mit der definitiven Weigerung im Schreiben vom 30. April 2019 (Anlage K4/Bl. 11 d. A.) eine Unterlassungserklärung - unabhängig von der Höhe der geltend gemachten Ansprüche - abzugeben und die Kostennote zu zahlen, hat die ehemalige Beklagte zu 2) aber zugleich auch eine Freistellung dem Grunde nach ernsthaft und endgültig verweigert. Diese Pflichtverletzung berechtigt den Kläger, gemäß §§ 249 Abs. 1, 250 S. 2 BGB statt der Freistellung Schadensersatz in Geld zu verlangen. Die an sich nach § 250 S. 1 BGB erforderliche Ablehnungsandrohung wird dabei durch die ernsthafte und endgültige Verweigerung (auch) der Freistellung entbehrlich gemacht (vgl. OLG Hamm, Urteil vom 03. September 2013 - I-4 U 58/13 -, juris).
4. Die Kostenentscheidung folgt aus §§ 97, 92 ZPO. Da aufgrund der Verschmelzung nur noch die Beklagte in Anspruch genommen wird, kam es nicht mehr darauf an, ob und im welchem Verhältnis beide Beklagte teilunterlägen wären.
5. Die Revision wird wegen grundsätzlicher Bedeutung der Rechtssache und zur Fortbildung des Rechts zugelassen (§ 543 Abs. 2 Nr. 1 u. 2 ZPO).
6. Den Streitwert für die erste und zweite Instanz beträgt 5.500,00 € und setzt sich wie folgt zusammen:
Unterlassungsbegehren: 500,00 €
Schmerzensgeldantrag: 5.000,00 €
Nebenforderung: nicht werterhöhend.
a). Da das Landgericht für das Verfahren in erster Instanz noch keinen Streitwert festgesetzt hat, kann der Senat in analoger Anwendung von § 63 Abs. 3 S. 1 GKG von seiner Befugnis Gebrauch machen, den Streitwert auch für die erste Instanz erstmalig festzusetzen (vgl. OVG Lüneburg, Beschl. v. 29.4.2015 - 1 ME 43/15; OLG Celle, Beschluss vom 24. 4. 2002 - 13 U 150/00; BDZ/Dörndorfer, 5. Aufl. 2021, GKG § 63 Rn. 5). Wenn das Rechtsmittelgericht eine erstinstanzliche Festsetzung sogar abändern kann, muss es erst recht befugt sein, eine solche Festsetzung erstmalig vorzunehmen. Für eine solche Befugnis sprechen zudem praktische Gesichtspunkte: das Erstgericht muss sich sonst nochmals mit einem für es bereits abgeschlossenen Verfahren befassen (OVG aaO).
b). Der Streitwert für das Unterlassungsbegehren ist auf 500,00 € festzusetzen. Der Streitwert ist in Übereinstimmung mit § 48 GKG entsprechend der sich aus dem Antrag des Klägers ergebenden Bedeutung der Sache zu bestimmen. Entscheidend ist bei Unterlassungsanträgen das Interesse an der Unterbindung weiterer gleichartiger Verstöße, das maßgeblich durch die Art des Verstoßes, insbesondere seine Gefährlichkeit und Schädlichkeit für den Träger des maßgeblichen Interesses bestimmt wird (OLG Frankfurt/M., Beschluss vom 7.1.2021 - 6 W 131/20). Auf die obigen Ausführungen unter 3. b) wird daher verwiesen. Die gemäß § 61 GKG vorgeschriebene Angabe des Werts in der Klagschrift (hier 5.000,00 €) stellt insoweit zwar ein gewichtiges Indiz für den wirtschaftlichen Wert des Klagebegehrens dar, allerdings ist das Gericht an die Angaben der Parteien nicht gebunden (vgl. BGH, Beschluss vom 08. Oktober 2012 - X ZR 110/11 -, juris Rz. 4).
c). Der Wert des Schmerzensgeldantrags ist für beide Instanzen auf 5.000,00 € festzusetzen. Dies gilt auch für die erste Instanz, obwohl die Klageschrift im Fließtext auch eine Schmerzensgeldvorstellung von 10.000,00 € nennt und vorgerichtlich ebenfalls 10.000,00 € Schmerzensgeld geltend gemacht wurden. Der vor dem Landgericht gestellte Antrag zu 2) ist dahingehend auszulegen, dass dort nur noch ein Schmerzensgeldbetrag von mindestens 5.000,00 € geltend gemacht werden sollte. Beim „Stehenlassen“ des Begehrs von 10.000,00 € dürfte es sich um ein Redaktionsversehen des Klägervertreters handeln. Hierfür spricht bereits das Interesse des Klägers an der Kostengeringhaltung. Im Übrigen dürfte davon auszugehen sein, dass der Klageantrag mit mehr anwaltlicher Sorgfalt und Augenmerk formuliert wird als der folgende Fließtext.
Auf die Berufung des Klägers wird unter Zurückweisung seines weitergehenden Rechtsmittels das am 13. Dezember 2019 verkündete Urteil der 25. Zivilkammer des Landgerichts Frankfurt Main, Az. 2 25 O 136/19, zum Teil abgeändert und wie folgt neu gefasst:
1. Die Beklagte wird verurteilt, es zu unterlassen, personenbezogene Daten, die der Beklagten aus der Kontoverbindung … bekannt sind, insbesondere Vor- und Nachname sowie Kontoauszüge des Klägers, ohne dessen Einwilligung an dritte Verbraucher wie geschehen mit dem Kontoabschluss vom 28. September 2018 zu übermitteln und/oder auf sonstige Weise dritten Verbrauchern zugänglich zu machen und gegenüber der SCHUFA-Bonitäts-Auskunft personenbezogene Daten zur SCHUFA-Datensatznummer „…“ zu übermitteln, die nicht den Kläger und seine Kontoverbindung zur Beklagten betreffen.
2. Die Beklagte wird verurteilt, 500,00 € Schmerzensgeld an den Kläger zu zahlen.
3. Die Beklagte wird verurteilt, weitere 159,94 € an den Kläger zu zahlen.
4. Im Übrigen wird die Klage abgewiesen.
Die Kosten des Verfahrens erster und zweiter Instanz haben der Kläger zu 4/5, die Beklagte zu 1/5 zu tragen.
Dieses und das angefochtene Urteil sind vorläufig vollstreckbar. Die Beklagte kann die Vollstreckung gegen Sicherheitsleistung in Höhe von 2.000,00 € abwenden, wenn nicht der Kläger vor der Vollstreckung Sicherheit in gleicher Höhe leistet. Der Kläger kann die Vollstreckung durch Sicherheitsleistung in Höhe von 110% des gegen ihn zu vollstreckenden Betrages abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110% des jeweils zu vollstreckenden Betrages leistet.
Die Revision wird zugelassen.
Der Gebührenstreitwert für die erste und zweite Instanz wird auf bis zu 5.500,00 € festgesetzt.
Gründe
I.
Die Parteien streiten im Wesentlichen um Ansprüche aufgrund der Datenschutzgrundverordnung wegen der Versendung eines Kontoabschlusses des Klägers an einen unbeteiligten Dritten.
Das Verfahren hat sich zunächst gegen die Beklagte als bisherige Beklagte zu 1) und die Bank1 … AG als ehemalige Beklagte zu 2) gerichtet. Die Beklagte ist mittlerweile Gesamtrechtsnachfolgerin der ehemaligen Beklagten zu 2). Die ehemalige Beklagte zu 2) wurde im Wege der Verschmelzung durch Aufnahme auf die Beklagte (bisherige Beklagte zu 1)) verschmolzen, was am 15.05.2020 im Handelsregister der Beklagten (AG Stadt3 HRB …) eingetragen wurde.
Im Zeitpunkt des hier streitgegenständlichen Geschehens waren die Beklagte und die ehemalige Beklagte zu 2) konzernverbundene Kreditinstitute mit gemeinsamem Internetauftritt. Hinsichtlich der Gestaltung des von der ehemaligen Beklagten zu 2) verwendeten Briefkopfs wird auf Anlage K6 (Bl. 51 d. A.) verwiesen.
Der Kläger, Vorname1 A, unterhielt bei der ehemaligen Beklagten zu 2) ein Konto mit der IBAN ….
Im Herbst 2018 versendete die ehemalige Beklagte zu 2) einen Kontoabschluss vom 28. September 2018 zur IBAN … an „Vorname1 A“ in Stadt1 (im Folgenden „der Dritte“). Bei der Kontonummer handelt es sich um die des Klägers, bei der Adresse handelt es sich um die Anschrift des Dritten, der Kunde der ehemaligen Bank2 AG ist und dessen erster Vorname, Nachname sowie Geburtstag mit denen des Klägers übereinstimmen. Aus dem zweiseitigen Kontoabschluss waren an individualisierten Daten neben der Adresse des Dritten in Stadt1 die oben genannte IBAN, der Kontosaldo per 30.09.2018 mit 4.200,99 € und näher aufgeschlüsselte Abschlussposten (Sollzinsen, Kosten AktivKonto, Porto) in Höhe von insgesamt 29,28 € ersichtlich, die den Kläger betrafen. Hinsichtlich der konkreten Ausgestaltung des übersandten Kontoabschlusses wird auf Anlage K1 (Bl. 5 d. A.) verwiesen (im Folgenden „der Kontoabschluss“). Der Dritte und dessen Vermögensberater nahmen den Kontoabschluss zur Kenntnis, bevor er vom Dritten vernichtet wurde.
Der Dritte meldete sich am 9. Oktober 2018 telefonisch bei der ehemaligen Beklagten zu 2), teilte mit, dass er den Kontoabschluss erhalten, aber auch bereits vernichtet habe.
Der Kläger erhielt daraufhin ein auf den 19. Oktober 2018 datiertes Schreiben, in welchem die „Bank1“ unter der weiterlautenden Adresse „Bank1 … AG“ den Kläger über einen „fehlerhaften Postversand“ informierte, um Entschuldigung bat und darauf hinwies, dass es sich um einen einmaligen individuellen Bearbeitungsfehler gehandelt habe (auf K2 wird verwiesen/Bl. 7 d. A.).
Unter dem 31. Januar 2019 konnte der Kläger in seinem Online-Zugang bei der ehemaligen Beklagten zu 2) einen Kontoauszug zu seiner IBAN einsehen, der an den Dritten in Stadt1 adressiert war (auf K6, Bl. 51 d. A. wird verwiesen). Er befürchtete daher, dass dem Dritte abermals Einsicht in seine Bankinformationen gewährt worden sei.
Mit Schreiben vom 21. Februar 2019 forderte der Kläger die Beklagte unter anderem auf, aufgrund der falschen Übersendung des Kontoabschlusses eine strafbewehrte Unterlassungserklärung abzugeben sowie an ihn ein Schmerzensgeld in Höhe von mindestens 10.000,00 € und Rechtsanwaltskosten in Höhe von 1.029,35 € zu zahlen. Mit Schreiben vom 30. April 2019 wendete sich die ehemalige Beklagte zu 2) an den Kläger und lehnte es ab, eine Unterlassungserklärung abzugeben sowie materiellen wie immateriellen Schadensersatz zu leisten
In der vom Kläger eingeholten Bonitätsauskunft bei der Schutzgemeinschaft für allgemeine Kreditsicherung (SCHUFA) vom 22. Dezember 2020 zu seiner Person („Vorname1 Vorname2 A, geboren am XX.XX.1978, Straße1, Stadt2, DEU, Datensatznummer …“), die nur positive Vertragsinformationen enthält, ist unter „frühere Adressen“ des Klägers auch die von der Beklagen gemeldete Stadt1er Adresse des Dritten aufgeführt (S.4 d. Auszugs/Bl. 211 d. A.). Des Weiteren sind unter anderem drei vergangene SCHUFA-Bonitätsauskünfte vermerkt, nämlich der „Bank2“, der „Bank3 AG“ und der „X GmbH“, die keine Konten oder Verträge des Klägers betreffen. Die nicht den Kläger betreffenden Einträge wurden zwischenzeitlich in der SCHUFA-Datenbank gelöscht.
Der rechtschutzversicherte Kläger (Bl. II d. A.) hat behauptet, aufgrund der Übersendung des Kontoabschlusses seien ihm vorgerichtliche Anwaltskosten in Höhe von 1.029,35 € entstanden.
Der Kläger hat die Rechtsauffassung vertreten, ihm stehe gegen die Beklagte und die ehemalige Beklagte zu 2) ein Unterlassungsanspruch sowie ein Anspruch auf Schmerzensgeld zu. Die Beklagte habe sich (auch vor der Verschmelzung) das Verhalten der ehemaligen Beklagten zu 2) zurechnen lassen müssen, da beide als unternehmerische Einheit aufgetreten seien.
Vor dem Landgericht hat er beantragt:
I. Die Beklagten werden verurteilt, es zu unterlassen, personenbezogene Daten, insbesondere Vor-und Nachname sowie Kontoauszüge des Klägers ohne dessen Einwilligung an Dritte zu übermitteln und/oder auf sonstige Weise Dritten zugänglich zu machen.
II. Die Beklagten werden verurteilt, einen Betrag in Höhe von mindestens 5.000,00 € als Schadensersatz an den Kläger zu zahlen.
III. Die Beklagten werden verurteilt, vorgerichtlich entstandene Rechtsanwaltskosten in Höhe von 1.029,35 € als Schadensersatz an den Kläger zu zahlen.
Die Beklagte zu 1) hat die Auffassung vertreten, dass sie nicht passivlegitimiert (gewesen) sei.
Die Beklagten haben behauptet, dass im Zuge der Verschmelzung des Filialgeschäfts der Bank2 AG mit der ehemaligen Beklagten zu 2) die Daten der Filialkunden der Bank2 AG in das System der ehemaligen Beklagten zu 2) migriert worden seien. Bei dieser automatisierten Datenmigration sei es zu einer fehlerhaften Verknüpfung des klägerischen Kundenkontos bei der Beklagten zu 2) mit dem Kundenprofil eines Kunden der Bank2 AG gekommen. Da der Kläger und der weitere Kunde beide „Vorname1 A“ geheißen hätten und ein weiteres zum Datenabgleich von der ehemaligen Beklagten zu 2) verwendetes Merkmal bei beiden Kunden übereinstimmt habe, sei es zu einer fehlerhaften Verknüpfung der beiden Kundenkonten gekommen.
Das Landgericht hat die Klage abgewiesen.
Zur Begründung hat es ausgeführt, dem Kläger stehe kein Unterlassungsanspruch zu. Das Recht auf Unterlassung rechtswidriger Datenverarbeitung sei nicht als solches in der Datenschutzgrundverordnung verankert. Die bloße verordnungswidrige Datenverarbeitung stelle keine Rechtsverletzung dar. Dem Kläger stehe auch kein Anspruch auf Unterlassen gemäß §§ 1004 Abs. 1, Satz 2 (analog), 823 Abs. 1 BGB i. V. m. Art. 2 Abs. 1, 1 Abs. 1 GG zu. Die ehemalige Beklagte zu 2) habe durch die Übersendung des streitgegenständlichen Kontoabschlusses den Kläger nicht in seinen allgemeinen Persönlichkeitsrechten verletzt. Folglich könne dahingestellt bleiben, ob sich die Beklagte in irgendeiner Form ein Verhalten der Beklagten zu 2) zurechnen lassen müsse. Dem Kläger stehe gegen die Beklagte zu 2) auch kein Anspruch auf Schadensersatz zu. Ihm sei durch die Übersendung des Kontoabschlusses an einen Dritten kein immaterieller Schaden entstanden. Die Nebenforderung scheitere jedenfalls daran, dass keine Hauptforderung bestehe.
Hiergegen wendet sich die Berufung des Klägers.
Er rügt insbesondere die aus seiner Sicht rechtsfehlerhafte Annahme, eine verordnungswidrige Datenverarbeitung stelle keine Rechtsverletzung dar. Er ist der Auffassung, dass ihm gegen die Beklagte wegen verordnungswidriger Datenverarbeitung ein Unterlassungsanspruch zustehe, weil die Beklagte der von ihm behaupteten Wiederholungsgefahr nach den Grundsätzen der sekundären Darlegungs- und Beweislast nicht hinreichend substantiiert entgegengetreten sei.
Der Senat hat mit der Ladungsverfügung darauf hingewiesen, dass die Berufungsanträge anzupassen sein dürften. Hierauf hat der Kläger mit Schriftsatz vom 9. März 2022 Stellung genommen und seine Anträge auf die weiteren Hinweise des Senats in der mündlichen Verhandlung vom 31. März 2022 neu gefasst.
Der Kläger beantragt nunmehr:
Das am 13.12.2019 verkündete Urteil des Landgerichts Frankfurt am Main, Az. 225 O 136/19, wird wie folgt abgeändert:
I. Die Beklagte wird verurteilt, es zu unterlassen, personenbezogene Daten, die der Beklagten aus der Kontoverbindung … bekannt sind, insbesondere Vor- und Nachname sowie Kontoauszüge des Klägers, ohne dessen Einwilligung an Dritte Verbraucher wie geschehen mit dem Kontoabschluss vom 28. September 2018 zu übermitteln und/oder auf sonstige Weise dritten Verbrauchern zugänglich zu machen und gegenüber der SCHUFA-Bonitäts-Auskunft personenbezogene Daten zur SCHUFA-Datensatznummer „…“ zu übermitteln, die nicht den Kläger und seine Kontoverbindung zur Beklagten betreffen.
II. Die Beklagte wird verurteilt, einen Betrag in Höhe von mindestens 5.000,00 € als Schadensersatz an den Kläger zu zahlen.
III. Die Beklagte wird verurteilt, vorgerichtlich entstandene Rechtsanwaltskosten in Höhe von 1.029,35 € als Schadensersatz an den Kläger zu zahlen.
Die Beklagte beantragt,
die Berufung zurückzuweisen.
Sie verteidigt das landgerichtliche Urteil unter Wiederholung und Vertiefung ihres erstinstanzlichen Vortrags. Sie ist der Auffassung, dass dem Kläger ein Unterlassungsanspruch schon deshalb nicht zustehe, weil dieser auf Art. 17 DSGVO nicht gestützt werden könne und im Übrigen eine Wiederholungsgefahr nicht bestehe. Die fehlende Wiederholungsgefahr begründet die Beklagte mit der Hinterlegung weiterer Legitimationsdaten, nämlich „zweiter Vorname“ und „Geburtsort“. Außerdem sei ein immaterieller Schaden nicht dargetan und die geltend gemachte Schadenssumme deutlich überzogen.
II.
Die Berufung ist zulässig, insbesondere form- und fristgerecht eingelegt und begründet worden. Sie ist auch teilweise begründet. Zwar hat das Landgericht die Klage gegen die Beklagte (noch) zu Recht abgewiesen. Allerdings sind die gegen die ehemalige Beklage zu 2) geltend gemachten Ansprüche, für die die Beklagte mittlerweile passivlegitimiert ist (§ 20 Abs. 1 Nr. 1 UmwG), insoweit begründet, als das Unterlassungsbegehren (in der Fassung des geänderten Klageantrags zu II) begründet ist, ein Schmerzensgeldanspruch nach Art. 82 Abs. 1 DSGVO i. V. m. Art. 6 DSGVO und den nationalen Vorschriften in Höhe von 500,00 € besteht und auch ein materieller Schadensersatzanspruch hinsichtlich der Erstattung anteiliger vorgerichtlicher Rechtsanwaltskosten bergründet ist.
1. Der Kläger hat gegen die Beklagte einen Anspruch auf Unterlassen der im Berufungsantrag zu II. genannten Handlungen aus § 823 Abs. 1, § 1004 Abs. 1 Satz 2 BGB analog i. V. m. Art. 6 Abs. 1 DSGVO oder § 17 Abs. 1 DSGVO i. V. m. Art. 6 Abs. 1 DSGVO wegen eines rechtwidrigen Eingriffs in sein allgemeines Persönlichkeitsrecht und Verletzung von Art. 6 Abs. 1 DSGVO durch die ehemalige Beklagte zu 2).
a) Die Durchsetzung eines Anspruchs auf Unterlassung bei einer rechtswidrigen Verarbeitung personenbezogener Daten im Sinne der Datenschutzgrundverordnung ist nach ganz herrschender Meinung möglich (vgl. zum Meinungsstand Leibold/Laoutoumai: Unterlassungsanspruch unter der DS-GVO? ZD-Aktuell 2021, 05583). Im Ergebnis sieht die herrschende Meinung einen Unterlassungsanspruch jedenfalls gemäß §§ 823, 1004 BGB (zum Teil i. V. m. Art. 6 Abs. 1 DSGVO) als gegeben an, da dieser nicht durch Art. 79 Abs. 1 DSGVO gesperrt ist (OLG Köln Urt. v. 14.11.2019 - 15 U 126/19, BeckRS 2019, 28523; Leibold/Laoutoumai aaO; a. A. VG Regensburg, Gerichtsbescheid vom 6.8.2020 - RN 9 K 19.1061, BeckRS 2020, 19361). Denn nur so sei ein lückenloser Schutz hinsichtlich der Verarbeitung personenbezogener Daten von natürlichen Personen gewährleistet. Aber auch aus der Datenschutzgrundverordnung ergibt sich ein Unterlassungsanspruch. Zwar sieht diese ausdrücklich einen Unterlassungsanspruch nicht vor. Allerdings wird in Art. 17 DSGVO ein Löschungsrecht normiert, aus dem in Verbindung mit Art. 79 DSGVO, der wirksame gerichtliche Rechtsbehelfe bei Verletzung der Datenschutzgrundverordnung garantiert, ein Unterlassungsanspruch hergeleitet werden kann (vgl. BGH, Urteil vom 12. Oktober 2021 - VI ZR 489/19 -, juris, Rz. 10; BSG, Urteil vom 18. Dezember 2018 - B 1 KR 31/17 R -, BSGE 127, 181-188, Rz. 13; Stollhoff in Auernhammer, DSGVO, 7. Aufl., Art. 17 Rz. 79; dies gilt auch für einen Löschungsanspruch gegenüber der SCHUFA, vgl. OLG Karlsruhe, Urteil vom 23. Februar 2021 - 14 U 3/19 -, juris).
b) Der vom Kläger geltend gemachte Unterlassungsanspruch ist auch begründet. Dies ergibt sich nicht nur unmittelbar aus der Verletzung seiner Rechte aus Art. 6 der DSGVO i. V. m. Art. 17 und Art. 79 DSGV (vgl. OLG Frankfurt, Urteil vom 02. März 2022 - 13 U 206/20 -, juris). Eine nicht von den Bestimmungen der DSGVO gedeckte Übermittlung personenbezogener Daten stellt, entgegen der vom Landgericht vertretenen Auffassung, auch eine Verletzung des allgemeinen Persönlichkeitsrechts dar, das als sonstiges Recht im Sinne des § 823 Abs. 1 BGB auch negatorischen Schutz nach allgemeinen Vorschriften genießt und im Lichte der europäischen Gesetzgebung auszulegen ist (vgl. zum negatorischen Schutz: BGH, Urteil vom 10. Juli 2018 - VI ZR 225/17 -, BGHZ 219, 233 ff. Rz. 13; zum Unterlassungsanspruch gemäß § 1004 BGB analog im Falle der Verletzung von Art. 6 Abs. 1 DSGVO vgl. LG Lüneburg, Urteil vom 14. Juli 2020 - 9 O 145/19 -, juris; LG Gießen, Urteil vom 04. Oktober 2021 - 5 O 457/20 -, juris; ebenso LG Frankfurt/M., Beschluss vom 15.10.2020 - 2-03 O 356/20; LG Darmstadt, Urteil vom 26. Mai 2020 - 13 O 244/19, juris).
c) Zwischen den Parteien ist unstreitig, dass die an den Dritten erfolgte Datenübermittlung im Wege der Übersendung des Kontoabschlusses gemäß Art. 6 Abs. 1 DSGVO rechtswidrig ist. Die Voraussetzungen des Art. 6 Abs. 1 S. 1 DSGVO für eine rechtmäßige Datenübermittlung liegen eindeutig nicht vor. Dies gilt auch für die von der Beklagten vorgenommene SCHUFA-Meldung, mit der die Stadt1er Adresse des Dritten zum SCHUFA-Datensatz des Klägers als „frühere Adresse“ gemeldet wurde.
aa) Die Versendung des Kontoabschlusses und die Meldung einer unzutreffenden „früheren Adresse“ an die SCHUFA stellen jeweils eine „Verarbeitung“ (siehe unten (2)) von „personenbezogenen Daten“ (siehe unten (1)) im Sinne von Art. 6. Abs. 1 DSGVO dar.
(1) Der im Kontoabschluss mitgeteilte Kontosaldo und die vom Kläger zu tragenden Abschlussposten betreffen nur ihn individuell und „personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (vgl. Art. 4 Nr. 1 DSGVO sowie BeckOK DatenschutzR/Schild, 38. Ed. 1.11.2021, DS-GVO Art. 4 Rn. 3). Diese Einschätzung wird auch nicht dadurch in Zweifel gezogen, wie von der Beklagten in der mündlichen Verhandlung vor dem Senat vertreten, dass es hinsichtlich dieser Daten zu einer Personenverwechslung kommen konnte. Die im Kontoabschluss enthaltenen Daten bleiben auch bei Verwechslung personenbezogen, weil sie dem Kläger zugordnet werden können. Im Übrigen bleibt der Name einer Person auch bei Namensidentität mit einem Dritten personenbezogen (vgl. OLG Dresden, Urteil vom 14. Dezember 2021 - 4 U 1278/21 -, juris Rz. 35).
Die Personenbezogenheit der Daten gilt auch für die zur SCHUFA gemeldete „frühere Adresse“, obwohl diese unzutreffend ist, weil der Kläger in Stadt1 nie gewohnt hat. Insofern gebietet der mit der Datenschutzgrundverordnung verfolgte Zweck, Individualpersonen umfassend bei der Verarbeitung und Verbreitung „ihrer“ Daten zu schützen (vgl. Art. 1 DSGVO, von Lewinski in Auernhammer, DSGVO, 7. Aufl., Art. 1 Rz. 1 ff.), auch den Schutz des Einzelnen vor der Zuordnung inhaltlich falscher Informationen. Daran, dass auch falsch zugeordnete Daten, „personenbezogen“ sind, kann kein Zweifel bestehen. „Personenbezogen“ im Sinne von Art. 4 Nr. 1 DSGVO sind alle Daten, die mit dem Zweck verwendet werden können, eine Person zu beurteilen (Eßer in Auernhammer, DSGVO, 7. Aufl., Art. 4 Rz. 10). Dass die Information „frühere Adresse“ im Rahmen des SCHUFA-Datensatzes zumindest zur Identifikation des Klägers, aber möglicherweise auch bei Ermittlung seines „Scores“ berücksichtigt wird, ergibt sich schon allein aus dem Umstand, dass diese Daten überhaupt zur Schufa zu melden sind.
(2) Diese personenbezogenen Daten des Klägers wurden von der ehemaligen Beklagten zu 2) auch im Sinne von Art. 6 Abs. 1 DSGVO verarbeitet. „Verarbeitung“ erfasst gemäß der Begriffsbestimmung in Art. 4 Nr. 2 DSGVO gerade auch die „Offenlegung durch Übermittlung“.
bb) Die von der ehemaligen Beklagten zu 2) vorgenommene Verarbeitung von personenbezogenen Daten war auch klar rechtswidrig. Weder hatte der Kläger in die Versendung des Kontoabschlusses an den Dritten eingewilligt (Art. 6 Abs. 1 S.1 a) DSGVO), noch war die (versehentliche) Übersendung an den Dritten für die Erfüllung des mit dem Kläger bestehenden Kontovertrages erforderlich (Art. 6 Abs. 1 S. 1 b) DSGVO), noch lag die Übersendung an den Dritten im berechtigten Interesse der ehemaligen Beklagten zu 2). Gleiches gilt für die Übersendung eines unrichtigen Datensatzes an die SCHUFA.
d) Die für den Unterlassungsanspruch erforderliche Wiederholungsgefahr wird durch das festgestellte rechtsverletzende Verhalten der Beklagten indiziert (vgl. BGH, Urteil vom 10. Juli 2018 - VI ZR 225/17 -, BGHZ 219, 233-242). Die Abgabe einer strafbewehrten Unterlassungserklärung haben die ehemalige Beklagte zu 2) und die Beklagte abgelehnt.
Die Überzeugung, dass die Wiederholungsgefahr aus tatsächlichen Gründen nicht mehr vorliegt, hat der Senat - entgegen der von der Beklagten geäußerten Auffassung - nicht gewinnen können. Die Beklagte hat zur Behebung der fehlerhaften Verknüpfung der beiden Kundenprofile lediglich konkretisiert, dass für den Kläger folgende „Legitimationsdaten“ hinterlegt seien: Vorname, Zweitname, Nachname, Geburtsdatum und Geburtsort. Mit dem zweiten Vornamen und dem im Vergleich zum „Namensvetter“ anderen Geburtsort seien zwei eindeutige Unterscheidungskriterien sichergestellt. Allerdings spricht bereits die bis ins Jahr 2020 fortwirkende (unrichtige) SCHUFA-Meldung für eine Wiederholungsgefahr, insbesondere auch deshalb, weil der Eintrag wohl eher auf Initiative des Klägers als der Beklagten gestrichen beziehungsweise gelöscht wurde. Bis ins Jahr 2020 enthielt der SCHUFA-Eintrag des Klägers unter „früheren Adressen“ auch die Adresse des Dritten in Stadt1. Davon, dass die beiden weiteren Abfragekriterien „zweiter Vorname“ und „Geburtsort“ nunmehr Datenpannen bei der Beklagten verhindern würden, ist der Senat auch deshalb nicht überzeugt, weil die Beklagte weder vorgetragen hat, wann die für den Kläger bei der Beklagten hinterlegten „Legitimationsdaten“ (möglicherweise) erweitert wurden. Noch hat die Beklagte dargelegt, dass die zusätzlichen Legitimationsdaten beim Datenabgleich (zukünftig) auch genutzt werden. Dass diese Unterscheidungskriterien grundsätzlich zur Verfügung stünden, reicht nicht aus, wenn bei der Datennutzung oder -migration nicht alle zu einer Person vorhandenen Datensätze verglichen oder genutzt werden.
2. Neben dem festgestellten Unterlassungsanspruch steht dem Kläger gegen die Beklagte auch ein Schmerzensgeld in Höhe von 500,00 € aus Art. 82 DSGVO i. V. m. §§ 249, 253 BGB aufgrund der Zusendung des Kontoabschlusses an den Dritten und der Meldung der unrichtigen „früheren Adresse“ zur SCHUFA zu, weil die die Beklage zu 2) ursprünglich treffende Verpflichtung auf die Beklagte durch Verschmelzung übergegangen ist (§ 20 Abs. 1 Nr. 1 UmwG). Beim Kläger liegt eine spürbare Beeinträchtigung seines durch die Datenschutzgrundverordnung geschützten Rechts an den eigenen persönlichen Daten vor.
a) Der Senat ist aufgrund der nachfolgenden Erwägung zur Überzeugung gelangt, dass dem Kläger zwar - von den vorgerichtlichen Anwaltskosten abgesehen - kein materieller Schaden, aber ein gemäß Art. 82 DSGVO ersatzfähiger immaterieller Schaden entstanden ist. Es ergibt sich bereits aus dem Wortlaut von Art. 82 Abs. 1 DSGVO, dass ein Anspruch auf Schadensersatz nur besteht, wenn ein materieller oder immaterieller Schaden entstanden ist. Der Schaden muss erlitten sein, d. h. entstanden und nicht nur befürchtet werden (vgl. Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rz. 10). Dies führt hier aber nicht dazu, dass der Senat einen vom Kläger erlittenen Schaden nicht feststellen könnte, auch wenn dieser im Wesentlichen „immaterieller“ Art ist. Zu beachten ist bei der Auslegung von Art. 82 Abs. 1 DSGVO, dass nach Erwägungsgrund 146 Satz 3 DSGVO der Begriff des Schadens im Lichte der Rechtsprechung des Gerichtshofs „weit und auf eine Art und Weise ausgelegt werden“ soll, „die den Zielen dieser Verordnung entspricht“.
b) Hier bedarf die in Rechtsprechung und Literatur umstrittene Frage, ob die nach der Verordnung selbst gebotene weite Auslegung dazu führt, dass grundsätzlich jeder DSGVO-Verstoß auch einen immateriellen Schaden begründet (so ausdrücklich BAG, Vorlagebeschl. v. 26.8.2021 - 8 AZR 253/20 - Beckonline Rz. 33; vgl. auch Hanßen, Schadensersatz wegen Datenschutzverstößen, DB 2020, 2730; Dickmann, Nach dem Datenabfluss: Schadensersatz nach Art. 82 DSGVO, r+s 2018, 345, 353 („keine besondere Schwere der Verletzung“)), nicht der Entscheidung. Nach dieser eben genannten Auffassung ist die Schwere des immateriellen Schadens für die Begründung des Anspruchs nach Art. 82 Abs. 1 DSGVO irrelevant und wirkt sich lediglich auf die Schadenshöhe aus (vgl. ArbG Düsseldorf, Urteil vom 05. März 2020 - 9 Ca 6557/18 -, juris Rn. 102 a. E.; nicht eindeutig: AG Pforzheim, Urteil vom 25. März 2020 - 13 C 160/19 -, juris Rz. 45; a. A. LG Karlsruhe, Urteil vom 02. August 2019 - 8 O 26/19 -, juris Rn. 19 „nicht jeder Verstoß gegen die DSGVO führt zur Ausgleichspflicht“).
Der OGH Österreich hat dem EuGH daher auch die Fragen zur Vorabentscheidung vorgelegt, ob der Eintritt eines Schadens beim Betroffenen eine Tatbestandsvoraussetzung ist oder eine Verletzung von Bestimmungen des DSGVO ausreicht sowie ob eine gewisse Erheblichkeit (Konsequenz von zumindest einigem Gewicht über den hervorgerufenen Ärger hinausgehend) für die Gewährung von Schadensersatz erforderlich ist (vgl. ÖOGH, Beschluss vom 15.4.2021 - 6 Ob 35/21x, ZD 2021, 631 (BeckOnline)).
c) Im hiesigen Rechtsstreit ist ein immaterieller Schaden des Klägers feststellbar. Da die Anforderungen an den (immateriellen) Schadenseintritt angesichts der in der Datenschutzgrundverordnung selbst gemachten Vorgaben und der sich entwickelnden überzeugenden Meinung in Rechtsprechung und Literatur (vgl. BVerfG, Beschluss v. 14. Januar 2021 - 1 BvR 2853/19 -, juris; diesem folgend: AG Pfaffenhofen, Urteil vom 9.9.2021 - 2 C 133/21 - BeckOnline Rz. 31 f.; vgl. auch LG Lüneburg, Urt. v. 14.7.2020 - 9 O 145/19; ArbG Düsseldorf, Urteil vom 05. März 2020 - 9 Ca 6557/18 -, juris Rz. 94 ff.; Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 17 ff.) nicht besonders streng sind, ist eine - von der bloßen Verletzung der Datenschutzgrundverordnung zu trennende Beeinträchtigung - beim Kläger eingetreten.
aa). Die bisherige deutsche Rechtsprechung, die immateriellen Schadensersatz überhaupt nur bei schwerwiegenden Persönlichkeitsrechtsverletzungen zugesprochen hat, was auch der ausdrücklichen Regelung in § 8 Abs. 2 BDSG a. F. entsprach, ist nicht mehr anwendbar (vgl. Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 18a).
bb) Der Senat ist auch nicht der Auffassung, dass hier ein Bagatellfall vorliegt, der von der Anwendbarkeit der Datenschutzgrundverordnung grundsätzlich auszuschließen wäre (vgl. in diese Richtung wohl OLG Dresden, Beschluss vom 11. Juni 2019 - 4 U 760/19 -, juris Rz. 13; LG Essen, Urteil vom 23.9.2021 - 6 O 190/21, LG Karlsruhe, Urteil vom 02. August 2019 - 8 O 26/19 -, juris; AG Hannover, Urteil vom 09. März 2020 - 531 C 10952/19 -, juris Rz. 22f.; AG Goslar, Urteil vom 27. September 2019 - 28 C 7/19 -, juris, RA Wybitul, Immaterieller Schadensersatz wegen Datenschutzverstößen, NJW 2019, 3265; Eichelberger, Ersatz immaterieller Schäden bei Datenschutzverstößen, WRP 2021, 159 ff. Rz. 29 ff.; Spittka: Die Kommerzialisierung von Schadensersatz unter der DSGVO, GRUR-Prax 2019, 475; nach derzeitiger Rechtsprechung des EuGH ohne Vorlage klar verneinend: BVerfG, Beschluss v. 14. Januar 2021 - 1 BvR 2853/19 -, juris; Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 18a m. w. N.; verneinend: Gola DS-GVO/Gola/Piltz, 2. Aufl. 2018, DS-GVO Art. 82 Rn. 13; offen gelassen: BeckOK DatenschutzR/Quaas, 38. Ed. 1.11.2021, DS-GVO Art. 82 Rn. 25c). Einen Ausschluss vermeintlicher Bagatellschäden wegen fehlender Erheblichkeit sieht weder das Gesetz vor, noch ist es (bisher) Grundlage der Rechtsprechung des Gerichtshofs der Europäischen Union (vgl. BVerfG, Beschluss v. 14. Januar 2021 - 1 BvR 2853/19 -, juris Rz. 21).
cc) Der Schadensbegriff in Art. 82 DSGVO ist, soweit dieser nicht autonom auszulegen ist (LG Düsseldorf, Urteil vom 28.10.2021 - 16 O 128/20 - BeckOnline Rz 29; Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 17; Eichelberger, WRP 2021, 159 Rz. 15; Korch: Schadensersatz für Datenschutzverstöße, NJW 2021, 978), jedenfalls im Lichte von Erwägungsgrund 146 der Datenschutzgrundverordnung und der Rechtsprechung des Europäischen Gerichtshofs weit auszulegen (vgl. Kohn: Der Schadensersatzanspruch nach Art. 82 DS-GVO, ZD 2019, 498; Wybitul/Neu/Strauch: Schadensersatzrisiken für Unternehmen bei Datenschutzverstößen, ZD 2018, 202 ff.; Spindler/Schuster/Spindler/Horváth, 4. Aufl. 2019, DS-GVO Art. 82 Rn. 8, a. A. wohl LG Frankfurt/M., Urteil vom 18.9.2020 - 2-27 O 100/20), so dass die Ziele der Datenschutzgrundverordnung in vollen Umfang erreicht werden (vgl. Rechtbank Amsterdam Urt. v. 2.9.2019 - 7560515 CV EXPL 19-4611, BeckRS 2019, 24009 Rz. 38).
dd) Danach liegt beim Kläger eine spürbare Beeinträchtigung seines durch die Datenschutzgrundverordnung geschützten Rechts an den eigenen personenbezogenen Daten durch das Zusammenspiel der folgenden Faktoren vor: (i) Weiterleitung des Kontoabschlusses an den Dritten, (ii) begründete Befürchtung des Klägers, dass es angesichts des Ende Januar/Anfang Februar 2019 im Online-Zugang des Klägers eingestellten Kontoauszugs, der die Adresse des Dritten in Stadt1 auswies, wieder zu einer Datenpanne gekommen sein könnte und (3) Meldung einer unzutreffenden „früheren Adresse“ zum SCHUFA-Profil des Klägers durch die ehemalige Beklagte zu 2).
Der beim Kläger eingetretene Schaden ist auch zu bejahen, obwohl es - abgesehen von Anwaltskosten - zu keiner bezifferbaren wirtschaftlichen Auswirkung „der Datenpanne“ zu Lasten des Klägers gekommen ist. Eine wirtschaftliche Betrachtung zur Ermittlung des immateriellen Schadens verbietet sich (vgl. Dickmann: Nach dem Datenabfluss: Schadenersatz nach Art. 82 der Datenschutz-Grundverordnung und die Rechte des Betroffenen an seinen personenbezogenen Daten, r+s 2018, 345 (352)). Zwar ist es weder zu einer „öffentlichen Bloßstellung“, einem „Identitätsdiebstahl“, einer „Weitergabe intimer Informationen“ oder einer „ernsthaften Beeinträchtigung für das Selbstbildnis oder Ansehen“ der Person des Klägers gekommen (siehe Erwägungsgründe 75 und 85 der Datenschutzgrundverordnung; Beispiele auch nach Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn 18a; Rechtbank Amsterdam Urt. v. 2.9.2019 - 7560515 CV EXPL 19-4611, BeckRS 2019, 24009 Rz. 36). Allerdings liegt der immaterielle Schaden des Klägers unter anderem in dem Verlust der Kontrolle über seine personenbezogenen Daten (vgl. LG Lüneburg, Urt. v. 14.7.2020 - 9 O 145/19 - BeckOnline Rz. 50; Kontrollverlust alleine nicht ausreichend: LG München I, Urteil vom 2.9.2021 - 23 O 10931/20 - BeckOnline). Seine Kontonummer und sein Kontostand wurden ohne seine Einwilligung einem Dritten bekanntgegeben und eine weitere Person (Anlageberater) hat aufgrund der fehlerhaften Bekanntgabe des Kontoabschlusses durch die ehemalige Beklagte zu 2) hiervon ebenfalls Kenntnis erlangt. Aus dem Kontoabschluss ist auch ersichtlich, dass der Kläger im dritten Quartal einen (Dispositions)-Kredit zu einem Zinssatz von 10,9 % (Sollzinsen) in Anspruch genommen hat.
Spätestens seitdem der Kläger Ende Januar/Anfang Februar 2019 über seinen Online Zugang bei der ehemaligen Beklagten zu 2) einen Kontoauszug einsehen konnte, der nicht an ihn adressiert war, und er deshalb nachvollziehbar befürchtete, dass der Dritte wieder die Möglichkeit zur Einsicht in seine Kontoinformationen erlangt haben könnte, kam es zu einer relevanten Beeinträchtigung seines Rechts auf Schutz der ihn betreffenden personenbezogenen Daten (vgl. hierzu auch Erwägungsgrund 1 der Datenschutzgrundverordnung). Unbefugte Datenverarbeitungen können zu einem Gefühl des Beobachtetwerdens und der Hilfslosigkeit führen (vgl. Kühling/Buchner/Bergt, 3. Aufl. 2020, DSGVO Art. 82 Rn. 18b). Dies gilt insbesondere dann, wenn, wie hier, die zweite „Datenpanne“ zu einem Zeitpunkt auftritt, zu dem die Beklagte gegenüber dem Kläger erklärt hatte, dass es sich bei der fehlerhaften Versendung des Kontoabschlusses um einen „einmaligen individuellen Bearbeitungsfehler“ gehandelt habe (K2/Bl. 7 d. A.).
Der Kläger hat auch, wie sich in der Erhebung der hiesigen Klage zeigt, Zeit und Mühe aufgewendet, um sich vor drohendem (weiteren) Missbrauch zu schützen, was ebenfalls eine relevante Beeinträchtigung im Sinne von Art. 82 Abs. 1 DSGVO darstellt. Die Verletzung von Persönlichkeitsrechten zeichnet sich gerade dadurch aus, dass nicht zwangsläufig eine bilanzierungsfähige Vermögensminderung auf Seiten des Verletzten eintritt, sondern oft ausschließlich seelischer oder moralischer Unbill und Aufwendung der Ressource Zeit (so ausdrücklich Dickmann: Nach dem Datenabfluss: Schadenersatz nach Art. 82 der Datenschutz-Grundverordnung und die Rechte des Betroffenen an seinen personenbezogenen Daten, r+s 2018, 345 (353)).
Bei der Bewertung des Eintritts des klägerischen immateriellen Schadens ist darüber hinaus zu berücksichtigen, dass es noch 2020 zu einem „falschen“ SCHUFA-Eintrag aufgrund einer Einmeldung der ehemaligen Beklagen zu 2) kam, auch wenn sich die falsche SCHUFA Meldung lediglich in der Nennung einer falschen früheren Adresse niederschlug, ohne ein „Negativmerkmal“ darzustellen.
Da jedenfalls die im SCHUFA-Eintrag des Klägers von 2020 falsch aufgeführte „frühere Adresse“ auf eine Meldung der ehemaligen Beklagten zu 2) zurückgeht, kommt es nicht darauf an, ob noch weitere nicht den Kläger betreffende frühere Bonitätsauskünfte auf die ehemalige Beklagte zu 2) zurückzuführen sind.
gg) Die ehemalige Beklagte zu 2) war auch Verantwortliche im Sinne der Datenschutzgrundverordnung, bis deren Verpflichtung im Wege der Verschmelzung auf die Beklagte übergegangen ist. Es besteht auch kein Zweifel, dass der Verstoß der Beklagten zu 2) gegen Art. 6 DSGVO kausal für den beim Kläger eingetretenen Schaden war und die ehemalige Beklagte zu 2) schuldhaft handelte, weil sie den Entlastungsbeweis gemäß Art. 82 Abs. 3 DSGVO nicht zu führen vermocht hat. Hierfür hätte sie nachweisen müssen, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich (im Sinne eines Verschuldens) ist (vgl. Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 49). Dies hat sie selbst nicht vorgetragen.
c) Der Kläger hat aufgrund des oben Gesagten aus Art. 82 Abs. 1 DSGVO auch einen Anspruch auf Ersatz seines immateriellen Schadens: Allerdings hat sich hinsichtlich der Bemessung des aufgrund von Art. 82 Abs. 1 DSGVO zu gewährenden immateriellen Schadensersatzes noch keine gefestigte Rechtsprechung oder einhellige Meinung herausgebildet, auch wenn die zu § 253 BGB entwickelten Grundsätze herangezogen werden können (Nemitz in Ehmann/Selmayr, Datenschutzgrundverordnung, 2. Aufl, 2018, Art. 82 Rz. 28).
aa) Die Geschädigten sollen gemäß Erwägungsgrund Nummer 146 Satz 6 der Datenschutzgrundverordnung einen „vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten“. Diese Stoßrichtung wird mit Blick auf die einschlägige Rechtsprechung des Gerichtshofs der Europäischen Union dahingehend interpretiert, dass die Schadensersatzhöhe unter Berücksichtigung des unionsrechtlichen Effektivitätsgrundsatzes so zu bemessen sei, dass eine Abschreckungswirkung entfaltet werde (vgl. Paal: Schadensersatzansprüche bei Datenschutzverstößen, MMR 2020, 14 ff.; Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rn. 10; Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 65).
bb) Unstreitig sind für die Bemessung des Schmerzensgeldes auch die Kriterien des Artikel 83 Abs. 2 DSGVO, der für die Verhängung von Geldbußen durch die Aufsichtsbehörden gilt, heranzuziehen, also die Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie die betroffenen Kategorien personenbezogener Daten.
cc) Das Bundesarbeitsgericht hat durch Vorlage an den Gerichtshof der Europäischen Union weiter die Frage aufgeworfen, ob es bei der Bemessung des immateriellen Schadensersatzes auf den der Grad des Verschuldens des Verantwortlichen ankommt und ob ein geringes Verschulden zu dessen Gunsten berücksichtigt werden darf (BAG, EuGH-Vorlage vom 26. August 2021 - 8 AZR 253/20 (A) -, juris).
dd) Nach alledem ist im vorliegenden Fall die Gewährung eines Schmerzensgeldes in Höhe von 500,00 € ausreichend und angemessen. Zwar ist, wie oben ausgeführt, ein immaterieller Schaden eingetreten. Der Schmerzensgeldanspruch ist aber angesichts dessen, dass der eingetretene Schaden am unteren Rand möglicher Beeinträchtigungen des Persönlichkeitsrechts des Klägers und seiner Rechte aus Art. 6 DSGVO anzusiedeln ist, grundsätzlich nicht sehr hoch zu bemessen. Die vom Kläger nach außen gedrungenen personenbezogenen Daten betreffen lediglich seine Kontonummer, einen Kontostand aus dem Jahr 2018 sowie Abschlussposten (Sollzinsen, Kosten AktivKonto, Porto) in Höhe von insgesamt 29,28 € und den Umstand, dass er im dritten Quartal einen (Dispositions-)Kredit zu 10,9% in Anspruch genommen hatte. Auch ist nur bekannt, dass lediglich zwei Personen hiervon entgegen Art. 6 DSGVO Kenntnis erlangt haben. Bei der Bemessung des Schmerzensgeldes ist weiter zu berücksichtigen, dass der Kläger zwar Anfang 2019 Einsicht in einen weiteren an den Dritten in Stadt1 adressierten Kontoauszug hatte, er aber hinsichtlich seiner Daten lediglich befürchtet hat, dass der Dritte (abermals) Einsicht hatte. Indes ist zu Lasten der Beklagten zu werten, dass dieser Vorfall sich zu einem Zeitpunkt ereignete, zu dem die ehemalige Beklagte zu 2) über die fehlerhafte Migration der Datensätze informiert war und dem Kläger mitgeteilt hatte, dass es sich um einen einmaligen Vorfall gehandelt habe. Weiter ist zu werten, dass zwar bis zur Löschung eine falsche „frühere Adresse“ des Klägers bei der SCHUFA hinterlegt war, aber nicht ersichtlich ist, dass sich dieser Umstand negativ auf seine Bonität oder seinen „Score“ ausgewirkt hat. Dass die Bonitätsauskunft unter „1. Kreditkarte“ nicht den Kläger betraf, hat er selbst nicht vorgetragen. Eine im Rahmen der Bemessung des Schadensersatzes zu berücksichtige Abschreckungswirkung wird im Übrigen in diesem Fall bereits durch den Umstand bewirkt, dass ein Schmerzensgeld zugesprochen wird.
3. Die vom Kläger geltend gemachten vorgerichtlichen Rechtsanwaltskosten sind ebenfalls im tenorierten Umfang aus Art. 82 Abs. 1 DSGVO i. V. m mit den zu § 249 Abs. 1 BGB entwickelten Grundsätzen begründet.
a) Die Inanspruchnahme eines Rechtsanwalts zur Durchsetzung etwaiger Rechte infolge des Verstoßes gegen die Datenschutzgrundverordnung war für den Kläger angesichts der oben geschilderten unübersichtlichen Rechtslage erforderlich und zweckmäßig.
b) Allerdings sind die vorgerichtlichen Rechtsanwaltsgebühren nicht aufgrund eines Wertes von 15.000,00 € zu berechnen. Dem Anspruch des Geschädigten auf Ersatz vorgerichtlicher Rechtsanwaltskosten ist im Verhältnis zum Schädiger grundsätzlich der Gegenstandswert zugrunde zu legen, der dem berechtigten Unterlassungs- und Schadensersatzanspruchs entspricht (vgl. BGH, Urteil vom 12. Dezember 2017 - VI ZR 611/16 -, juris).
Dieser liegt bei bis zu 1.000,00 €. Der Gegenstandswert für das vorgerichtliche Schreiben setzt sich zusammensetzt aus dem berechtigtem Zahlungsanspruch in Höhe von 500,00 € Schmerzenzgeld und dem mit ebenfalls 500,00 € zu bemessendem Interesse des Klägers an der Unterlassung gleichartiger Verstöße. Der Gegenstandswert für die vorgerichtliche Tätigkeit ist gemäß § 3 ZPO nach freiem Ermessen im Wege der Schätzung zu bestimmen. Hierbei ist neben dem berechtigten Zahlungsbegehren auf das Interesse des Klägers an der Unterlassung gleichartiger Verstöße abzustellen, mithin auf die Verletzungshandlung und ihre Auswirkungen, die, wie oben ausführlich begründet, mit 500,00 € zu bewerten sind und der Höhe des zugesprochenen Schmerzensgeldes entsprechen.
c) Danach hat der Kläger Anspruch auf Ersatz von vorgerichtlichen Rechtsanwaltsgebühren in Höhe von 159,94 € (1,3 Geschäftsgebühr von 114,40 €, Pauschale Nr. 7002 VV von 20,00 €, Umsatzsteuer von 25,54 €).
d) Im Übrigen wirkte sich auf den materiellen Schadensersatz nicht aus, dass der Klägervertreter den Schriftsatz vom 21. Februar 2019 (Bl. 8ff. d. A.) zunächst an die Beklagte sendete, obwohl Verantwortliche im Sinne von Art. 82 Abs. 1 DSGVO allein die ehemalige Beklagte zu 2) war. An der nach § 249 BGB von der Beklagten zu erstattenden vorgerichtlichen Tätigkeit des Klägervertreters ändert dies nichts- Hierdurch wird die Aufforderung zur Abgabe einer Unterlassungserklärung und zur Zahlung von Schadensersatz nicht entwertet, weil sie etwa an die falsche Partei gerichtet war. Der Schriftsatz ging der ehemaligen Beklagten zu 2) zu und sie hat auf die Aufforderung im eigenen Namen geantwortet, diese also als an sich gerichtet interpretiert.
ee) Die Beklagte ist auf die Nebenforderung hin auf Zahlung zu verurteilen. Es kommt nicht (mehr) darauf an, ob der Kläger die vorgerichtlichen Rechtsanwaltskosten bereits beglichen hat. Der sich aus Art. 82 Abs. 1 DSGVO i. V. m § 249 Abs. 1 BGB ergebende Anspruch auf Freistellung nach § 257 S. 1 BGB hätte sich jedenfalls gemäß § 280 Abs. 1 u. Abs. 3 sowie § 281 Abs.1 S. 1 BGB in einen Zahlungsanspruch umgewandelt. Die Beklagte hat ihre Pflicht zur Freistellung des Klägers oder zur Zahlung verletzt. Zwar hat der Kläger im Rahmen der Abmahnung vom 21. Februar 2019 nicht Freistellung verlangt (Anlage K3/Bl. 9f. d. A.), sondern „Erstattung“ und damit Zahlung. Mit der definitiven Weigerung im Schreiben vom 30. April 2019 (Anlage K4/Bl. 11 d. A.) eine Unterlassungserklärung - unabhängig von der Höhe der geltend gemachten Ansprüche - abzugeben und die Kostennote zu zahlen, hat die ehemalige Beklagte zu 2) aber zugleich auch eine Freistellung dem Grunde nach ernsthaft und endgültig verweigert. Diese Pflichtverletzung berechtigt den Kläger, gemäß §§ 249 Abs. 1, 250 S. 2 BGB statt der Freistellung Schadensersatz in Geld zu verlangen. Die an sich nach § 250 S. 1 BGB erforderliche Ablehnungsandrohung wird dabei durch die ernsthafte und endgültige Verweigerung (auch) der Freistellung entbehrlich gemacht (vgl. OLG Hamm, Urteil vom 03. September 2013 - I-4 U 58/13 -, juris).
4. Die Kostenentscheidung folgt aus §§ 97, 92 ZPO. Da aufgrund der Verschmelzung nur noch die Beklagte in Anspruch genommen wird, kam es nicht mehr darauf an, ob und im welchem Verhältnis beide Beklagte teilunterlägen wären.
5. Die Revision wird wegen grundsätzlicher Bedeutung der Rechtssache und zur Fortbildung des Rechts zugelassen (§ 543 Abs. 2 Nr. 1 u. 2 ZPO).
6. Den Streitwert für die erste und zweite Instanz beträgt 5.500,00 € und setzt sich wie folgt zusammen:
Unterlassungsbegehren: 500,00 €
Schmerzensgeldantrag: 5.000,00 €
Nebenforderung: nicht werterhöhend.
a). Da das Landgericht für das Verfahren in erster Instanz noch keinen Streitwert festgesetzt hat, kann der Senat in analoger Anwendung von § 63 Abs. 3 S. 1 GKG von seiner Befugnis Gebrauch machen, den Streitwert auch für die erste Instanz erstmalig festzusetzen (vgl. OVG Lüneburg, Beschl. v. 29.4.2015 - 1 ME 43/15; OLG Celle, Beschluss vom 24. 4. 2002 - 13 U 150/00; BDZ/Dörndorfer, 5. Aufl. 2021, GKG § 63 Rn. 5). Wenn das Rechtsmittelgericht eine erstinstanzliche Festsetzung sogar abändern kann, muss es erst recht befugt sein, eine solche Festsetzung erstmalig vorzunehmen. Für eine solche Befugnis sprechen zudem praktische Gesichtspunkte: das Erstgericht muss sich sonst nochmals mit einem für es bereits abgeschlossenen Verfahren befassen (OVG aaO).
b). Der Streitwert für das Unterlassungsbegehren ist auf 500,00 € festzusetzen. Der Streitwert ist in Übereinstimmung mit § 48 GKG entsprechend der sich aus dem Antrag des Klägers ergebenden Bedeutung der Sache zu bestimmen. Entscheidend ist bei Unterlassungsanträgen das Interesse an der Unterbindung weiterer gleichartiger Verstöße, das maßgeblich durch die Art des Verstoßes, insbesondere seine Gefährlichkeit und Schädlichkeit für den Träger des maßgeblichen Interesses bestimmt wird (OLG Frankfurt/M., Beschluss vom 7.1.2021 - 6 W 131/20). Auf die obigen Ausführungen unter 3. b) wird daher verwiesen. Die gemäß § 61 GKG vorgeschriebene Angabe des Werts in der Klagschrift (hier 5.000,00 €) stellt insoweit zwar ein gewichtiges Indiz für den wirtschaftlichen Wert des Klagebegehrens dar, allerdings ist das Gericht an die Angaben der Parteien nicht gebunden (vgl. BGH, Beschluss vom 08. Oktober 2012 - X ZR 110/11 -, juris Rz. 4).
c). Der Wert des Schmerzensgeldantrags ist für beide Instanzen auf 5.000,00 € festzusetzen. Dies gilt auch für die erste Instanz, obwohl die Klageschrift im Fließtext auch eine Schmerzensgeldvorstellung von 10.000,00 € nennt und vorgerichtlich ebenfalls 10.000,00 € Schmerzensgeld geltend gemacht wurden. Der vor dem Landgericht gestellte Antrag zu 2) ist dahingehend auszulegen, dass dort nur noch ein Schmerzensgeldbetrag von mindestens 5.000,00 € geltend gemacht werden sollte. Beim „Stehenlassen“ des Begehrs von 10.000,00 € dürfte es sich um ein Redaktionsversehen des Klägervertreters handeln. Hierfür spricht bereits das Interesse des Klägers an der Kostengeringhaltung. Im Übrigen dürfte davon auszugehen sein, dass der Klageantrag mit mehr anwaltlicher Sorgfalt und Augenmerk formuliert wird als der folgende Fließtext.
