LG Hagen, Urteil vom 27.05.2025 – 9 O 246/23

Der Kläger macht gegen die Beklagte Ansprüche wegen angeblich unrechtmäßiger Datenverarbeitung geltend.

Die Beklagte betreibt das soziale Netzwerk Instagram, welches der Kläger seit dem 23.09.2020 unter dem Nutzernamen „XXX“ ausschließlich privat nutzt. Für die Nutzung des Netzwerks fordert die Beklagte kein Geld. Den Nutzern wird bei der Nutzung der Plattform interessenbasierte Werbung angezeigt, wenn sie nicht das im November 2023 eingeführte Abo-Modell wählen, bei dem sie gegen Zahlung einer monatlichen Gebühr die Anzeige von Werbung abschalten können. Bei Registrierung auf der Plattform hat der Nutzer den Nutzungsbedingungen zuzustimmen. Diese enthalten einen Hinweis auf eine „Datenschutzrichtlinie“ der Beklagten, wegen deren Einzelheiten auf die Anlage K1 zur Klageschrift (Bl. 37 ff. d. A.) verwiesen wird.

Zur Umsatzgenerierung bietet die Beklagte sogenannte „XXX Business Tools“ an. Dabei handelt es sich namentlich um „XXX Pixel“, „Conversions API“, „XXX SDK“ und „App Events API“. Diese Tools wurden von zahlreichen Drittunternehmen auf ihren Webseiten, Servern oder Apps eingebunden, unter anderem auf den in der Anlage K 2 (Bl. 187 ff. d.A.) genannten Seiten. Drittunternehmen, die die „XXX Business Tools“ verwenden, müssen den „Nutzungsbedingungen für XXX-Business-Tools“ zustimmen. Wegen deren Inhalt wird auf die Anlage B5 zur Klageerwiderung (Bl. 400 ff. d. A.) Bezug genommen.

Sobald ein Nutzer des Netzwerkes Instagram die Homepage eines Unternehmens, welches Business Tools nutzt, besucht, übermitteln die Drittunternehmen Daten an die Beklagte, darunter immer die http-Standarddaten, welche von der Beklagten auf Seite 23 des Schriftsatzes vom 23.10.2024 (Bl. 892 d.A.) aufgeführt sind. Diese werden von der Beklagten gespeichert. Unter im einzelnen streitigen Umständen werden zudem von der Beklagten als „Aktivitätsdaten“ bezeichnete Daten an diese übermittelt.

Der Kläger behauptet, nicht nur die http-Standarddaten, sondern auch umfangreiche weitere personenbezogene Daten würden über die XXX Business Tools immer und unabhängig von einer Einwilligung der Besucher an die Beklagte übermittelt.

Er selbst besuche regelmäßig Webseiten der Anlage K 2, aus deren Besuch und konkreter Verwendung insbesondere ein direkter Rückschluss auf besonders sensible personenbezogene Daten gezogen werde könne.

Er fühle sich von der Beklagten überwacht und das Gefühl, nicht zu wissen, welcher Klick und welche Texteingabe im Internet heimlich mitgelesen und weiterverarbeitet werde, verursache bei ihm eine alltägliche, permanente Unsicherheit.

Nach zwischenzeitlicher Klageänderung beantragt der Kläger zuletzt,

festzustellen, dass der Nutzungsvertrag der Parteien zur Nutzung des Netzwerks ”Instagram” unter dem Benutzernamen „XXX“ die Verarbeitung von folgenden personenbezogenen Daten in folgendem Umfang seit dem 23.09.2020 nicht gestattet:

a) auf Dritt-Webseiten und -Apps entstehende personenbezogene Daten der Klagepartei, ob direkt oder in gehashter Form übertragen, d. h.

14E-Mail der Klagepartei

15Telefonnummer der Klagepartei

16Vorname der Klagepartei

17Nachname der Klagepartei

18Geburtsdatum der Klagepartei

19Geschlecht der Klagepartei

20Ort der Klagepartei

21

22Externe IDs anderer Werbetreibender (von der XXX Ltd.

„external_ID” genannt)

25IP-Adresse des Clients

26User-Agent des Clients (d. h. gesammelte Browserinformationen)

27interne Klick-ID der XXX Ltd.

28interne Browser-ID der XXX Ltd. Abonnement-ID

29Abonnement-ID

30Lead-ID

31anon_id

sowie folgende personenbezogene Daten der Klagepartei

b) auf Webseiten

35die URLs der Webseiten samt ihrer Unterseiten

36der Zeitpunkt des Besuchs

37der „Referrer“ (die Webseite, über die der Benutzer zur aktuellen Webseite gekommen ist),

38die von der Klagepartei auf der Webseite angeklickten Buttons sowie

39weitere von der XXX „Events“ genannte Daten, die die Interaktionen der Klagepartei auf der jeweiligen Webseite dokumentieren

c) in mobilen Dritt-Apps

42der Name der App sowie

43der Zeitpunkt des Besuchs

44die von der Klagepartei in der App angeklickten Buttons

45sowie die von der XXX „Events“ genannte Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren.

die Beklagte zu verurteilen, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 Euro, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten der Klagepartei gem. dem Antrag zu 1. zu verarbeiten.

die Beklagte zu verpflichten, sämtliche unter dem Antrag zu 1a., b. und c. aufgeführten, seit dem 23.09.2020 bereits verarbeiteten Daten ab sofort unverändert am gespeicherten Ort zu belassen, d.h. insbesondere diese erst zu löschen, wenn die Klagepartei sei hierzu auffordert, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, und diese bis zu diesem Zeitpunkt nicht zu verändern, intern nicht weiter zu verwenden, und nicht an Dritte weiterzugeben.

die Beklagte zu verpflichten, sämtliche gem. dem Antrag zu 1 a. seit dem 23.09.2020 bereits gespeicherten personenbezogenen Daten der Klagepartei auf ihre Aufforderung hin, spätestens jedoch sechs Monate nach rechtskräftigem Abschluss des Verfahrens, vollständig zu löschen und der Klagepartei die Löschung zu bestätigen sowie sämtliche gem. dem Antrag zu 1 b. sowie c. seit dem 23.09.2020 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren.

die Beklagte zu verurteilen, an die Klagepartei eine angemessene Entschädigung in Geld, deren Höhe in das Ermessen des Gerichts gestellt wird, die aber mindestens 5.000,00 Euro beträgt, nebst Zinsen i. H. v. fünf Prozentpunkten über dem Basiszinssatz seit dem 27.10.2023, zu zahlen.

die Beklagte zu verurteilen, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten i.H.v. 800,39 Euro freizustellen.

Die Beklagte beantragt,

die Klage abzuweisen.

Sie behauptet, die Übermittlung weiterer personenbezogener Daten („Aktivitätsdaten“) erfolge nicht stets, sondern nur, wenn der Drittanbieter die von ihm zu prüfenden rechtlichen Voraussetzungen für gegeben halte, was ihrer eigenen Überprüfung nicht zugänglich sei.

Unabhängig hiervon würden jedenfalls keine sensiblen Daten an sie - die Beklagte - übermittelt, da dies von den Nutzungsbedingungen für XXX Business Tools untersagt werde. Sie nutze die streitgegenständlichen Business Tools auch nicht zur Überwachung des Privatlebens der Nutzer. Entscheide sich ein Nutzer dafür, optionale „XXX Cookies auf anderen Webseiten“ nicht zu erlauben, so verwende sie keine über Cookies und ähnliche Technologien erhobenen Daten. Sie verwende lediglich Daten in begrenztem Umfang zu Sicherheits- und Integritätszwecken.

Die Beklagte meint, der Klageantrag zu 1) sei aus mehreren Gründen bereits unzulässig. Zum einen sei er nicht hinreichend bestimmt, zum anderen verfolge er das Anliegen, eine abstrakte Rechtsfrage zu klären, ohne dabei eine Verbindung zu einer konkreten rechtlichen Beziehung aufzuweisen. Letztlich sei die Leistungsklage vorrangig.

Ebenso seien die Klageanträge zu 2), 3) und 4) unzulässig. Der Antrag zu 2) sei zu unbestimmt. Der Antrag zu 3) sei einerseits unverständlich und enthalte darüber hinaus eine unzulässige außerprozessuale Bedingung. Dem Antrag zu 4) fehle das Rechtsschutzbedürfnis, weil er sich mit dem Klageantrag zu 3) überschneide. Auch seien die Voraussetzungen des § 259 ZPO nicht gegeben. Zudem seien die Anträge widersprüchlich.

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf die zwischen den Parteien gewechselten Schriftsätze nebst deren Anlagen sowie auf das Sitzungsprotokoll vom 03.04.2025 Bezug genommen.

Die Klage ist teilweise bereits unzulässig. Im Übrigen ist sie zwar zulässig, aber lediglich in dem aus dem Tenor ersichtlichen Umfang begründet.

Das Landgericht Hagen ist zuständig. Die internationale Zuständigkeit folgt aus Art. 82 Abs. 6, 79 Abs. 2 DSGVO. Die sachliche Zuständigkeit ergibt sich aus § 1 ZPO i. V. m. §§ 71 Abs. 1, 23 GVG. Die örtliche Zuständigkeit des Landgerichts Hagen folgt aus § 44 Abs. 1 S. 2 BDSG.

Der Antrag zu 1) ist unzulässig. Dabei kann dahinstehen, ob es bereits an einem feststellungsfähigen Rechtsverhältnis fehlt. Jedenfalls ist angesichts der mit dem Antrag zu 2) erhobenen und auf das gleiche Ziel gerichteten Unterlassungsklage das gemäß § 256 Abs. 1 ZPO erforderliche Feststellungsinteresse nicht gegeben.

Der Antrag zu 2) ist, so wie formuliert, nicht hinreichend bestimmt und aus diesem Grund ebenfalls unzulässig.

Im Rahmen einer Unterlassungsklage ist für die hinreichende Bestimmtheit des Klageantrags erforderlich, dass die Verletzungshandlung, gegen die sich der Kläger wendet und dessen künftige Unterlassung er erreichen will, genau beschrieben wird.

Die Entscheidung darüber, was der Beklagten verboten ist, darf nicht in das Vollstreckungsverfahren verlagert werden. Dem trägt der vom Kläger im Antrag genutzte unbestimmte Rechtsbegriff „verarbeiten“ nicht Rechnung. Er lässt nicht erkennen, konkret welche Handlung von der Beklagten unterlassen werden soll.

Die Anträge zu 3) und 4) sind unzulässig, da sie in sich widersprüchlich sind. Der Antrag zu 3) ist zwar primär darauf gerichtet, die Beklagte zu verurteilen, Daten im Sinne der Anträge zu 1a) bis 1c) unverändert am gespeicherten Ort zu belassen. Durch die Formulierung „spätestens sechs Monate nach rechtskräftigem Abschluss des Verfahrens zu löschen“ enthält er jedoch zusätzlich das Begehren, die Beklagte nach Ablauf von sechs Monaten zur Löschung zu verpflichten. Damit widerspricht er dem Antrag zu 4), mit dem der Kläger ausschließlich für die im Antrag zu 1a) enthaltenen und gespeicherten Daten eine Löschung begehrt, im Übrigen deren Anonymisierung.

Der Antrag zu 5) ist zulässig, aber unbegründet. Ein Anspruch auf Zahlung einer Entschädigung in Geld gemäß Art. 82 Abs. 1 DSGVO steht dem Kläger nicht zu.

Nach dem Ergebnis der Parteianhörung steht zwar zur Überzeugung des Gerichts fest, dass die Beklagte http-Standarddaten (auch) des Klägers gespeichert hat.

Der Kläger hat hierzu im Rahmen seiner Anhörung plausibel geschildert, regelmäßig Internetseiten zu besuchen, von denen die Beklagte in ihrer Klageerwiderung selbst einräumt, dass dort Business Tools eingesetzt wurden. Ebenso hat die Beklagte eingeräumt, dass die http-Standarddaten, wie sie im Schriftsatz vom 23.10.2024 auf Seite 23 aufgeführt sind, im Falle der Nutzung von Business Tools immer an sie übermittelt und gespeichert werden. Selbst wenn letztlich nicht mehr im Einzelnen festgestellt werden kann, wann der Kläger konkret welche Internetseite besucht hat und dass (auch) zu diesem Zeitpunkt Business Tools der Beklagten dort aktiv waren, spricht für eine Betroffenheit des Klägers von einer Übermittlung der http-Standarddaten eine derart hohe Wahrscheinlichkeit, dass vernünftigerweise hiervon ausgegangen werden muss.

Anderes gilt für Aktivitätsdaten.

Diesbezüglich hat die Beklagte unwiderlegt vorgetragen, dass nicht in jedem Fall eine Weitergabe erfolgt, sondern nur dann, wenn sich der jeweilige Drittanbieter für eine Übermittlung entscheide. Von einer Übermittlung dieser Daten kann hiernach nicht ohne weiteres ausgegangen werden. Vielmehr bedürfte es konkreten Vortrags des darlegungs- und beweisbelasteten Klägers, dass - ggf. welche - Aktivitätsdaten aufgrund des Besuchs welcher Seite an die Beklagte übermittelt wurden. Hieran fehlt es.

Von den im Antrag zu 1) aufgeführten Daten stellen die IP-Adresse und der User-Agent des Clients, der „Referrer“ sowie der Zeitpunkt des Besuchs von der Beklagten übermittelte http-Standarddaten dar. Es handelt sich insoweit auch um personenbezogene Daten im Sinne der DSGVO. Unabhängig davon, ob es der Beklagten möglich ist, eine IP-Adresse auch ohne Hilfe einem bestimmten Nutzer zuzuordnen, ist anerkannt, dass IP-Adressen für Anbieter schon deshalb ein personenbezogenes Datum darstellen, weil das deutsche Recht ihnen unter bestimmten Voraussetzungen die Möglichkeit eröffnet, sich an Behörden zu wenden, die ihrerseits anhand der IP-Adresse Informationen vom Provider erlangen können, welche eine Bestimmung des Nutzers ermöglichen (vgl. hierzu EuGH, Urteil vom 19.10.2016, C-582/14; BGH Urteil vom 16.05.2017, VI ZR 135/13). Macht die IP-Adresse den Kläger für die Beklagte aber möglicherweise identifizierbar, sind auch die übrigen Daten personenbezogen. Denn sie lassen sich dem Nutzer mit Hilfe der IP-Adresse zumindest indirekt zuordnen.

Die Beklagte ist jedenfalls für die Speicherung verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO.

Diese war auch rechtswidrig im Sinne des Art. 17 Abs. 1 lit. d) DSGVO. Weder ist eine Einwilligung des Klägers in die Speicherung ersichtlich noch ist eine anderweitige Rechtsgrundlage für die Datenverarbeitung von der Beklagten nachvollziehbar dargelegt. Soweit sie sich pauschal und ohne nähere Erläuterung auf Sicherheits- und Integritätszwecke stützt, bleibt gänzlich unklar, was hierunter konkret zu verstehen sein soll.

Es fehlt jedoch an einem Schaden des Klägers.

Einen materiellen Schaden macht der Kläger bereits nicht geltend.

Ein immaterieller Schaden in Form eines irgend gearteten Unwohlseins lässt sich nicht feststellen. Insbesondere bestehen keinerlei Anhaltspunkte dafür, dass etwaige Sorgen des Klägers gerade auf die allein verbleibende rechtswidrige Verarbeitung technischer Standarddaten zurückgeführt werden könnten, nachdem der Kläger im Rahmen seiner persönlichen Anhörung geschilderte Bedenken gerade auf inhaltliche Recherchen gestützt hat, Buttons und Events im Rahmen der http-Standarddaten aber nicht übertragen werden.

Letztlich kann nach Auffassung des Gerichts auch nicht angenommen werden, dass ein Schaden des Klägers zumindest in Form eines Kontrollverlustes entstanden ist. Die IP-Adresse ist regelmäßig kein Datum, welches überhaupt von Internet-Nutzern kontrolliert würde. Sie wird vom Provider vergeben und beim Aufruf ein jeder Seite übermittelt, ohne dass der betreffende Nutzer hierauf irgendeinen Einfluss nehmen würde. Für die übrigen technischen Daten gilt nichts anderes.

Mangels Hauptanspruchs besteht auch kein Anspruch auf vorgerichtliche Anwaltskosten oder Zinsen.

Die Kostenentscheidung beruht auf § 91 Abs. 1 S. 1 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit hat ihre Rechtsgrundlage in §§ 708 Nr. 11, 711 ZPO.

Der Streitwert wird auf bis zu 7.000,- EUR festgesetzt.