OLG Brandenburg, Urteil vom 15.07.2026 – 11 U 17/26

Die Klägerin nutzt das von der Beklagten betriebene Netzwerk „Instagram“ seit April 2020 als Privatperson unter ihrem Benutzernamen und ihrer E-Mail-Adresse (LGU 2). Die Beklagte stellt Drittunternehmen verschiedene technische Instrumente zur Verfügung, insbesondere den Meta Pixel, die Conversions API, App Events über das Facebook-SDK sowie die App Events API. Diese Technologien werden zusammenfassend als „Meta Business Tools“ bezeichnet und können von Drittunternehmen in Webseiten, Apps oder serverseitige Infrastrukturen eingebunden werden. Sie dienen unter anderem der Messung und Optimierung von Werbung, der Zuordnung von Nutzerereignissen, der Bildung von Zielgruppen sowie weiteren Analyse‑, Sicherheits‑und Produktzwecken (LGU 2, 3).

Die Klägerin hat zusammengefasst geltend gemacht, dass die Beklagte über diese Meta Business Tools personenbezogene Daten aus ihrem Nutzungs- und Surfverhalten auf Dritt-Webseiten und in Dritt‑Apps in einer gegen die Datenschutz-Grundverordnung (DSGVO) verstoßenden Weise, insbesondere ohne wirksame Einwilligung oder sonstige tragfähige Rechtsgrundlage erhebe und verarbeite. Die Beklagte erhalte und verarbeite hierbei unter anderem Identifizierungsdaten, technische Standard- und Geräteinformationen, URLs und Referrer, Zeitpunkte von Seiten- oder AppKlick- und Interaktionsdaten sowie weitere ereignisbezogene Informationen. Dies führe zu einem weitgehenden Kontrollverlust über ihre personenbezogenen Daten und ermögliche eine umfassende, für die Nutzer nicht transparente Profilbildung.

Die Beklagte ist dem klägerischen Vortrag entgegengetreten. Sie meint zusammengefasst, der klägerische Vortrag sei hinsichtlich der Verletzung datenschutzrechtlicher Bestimmungen unsubstanziiert. Die Klägerin habe nicht dargelegt, welche konkreten Dritt-Webseiten oder Dritt-Apps sie zu welchen Zeitpunkten genutzt habe, ob dort jeweils Meta Business Tools implementiert gewesen seien, ob und in welchem Umfang sie etwaigen Cookie- oder Content-Bannern zugestimmt habe und welche konkreten Daten tatsächlich an sie übermittelt worden seien. Verantwortlich für die Implementierung der Tools, die Nutzerinformation sowie die Einholung etwaiger Einwilligungen sei zudem nicht sie, sondern das jeweilige Drittunternehmen als Betreiber der Webseiten oder Apps; sie selbst stelle lediglich die technische Infrastruktur zur Verfügung. Soweit personenbezogene Daten zur Bereitstellung personalisierter Werbung verarbeitet würden, beruhe dies auf der plattformeigenen Einstellung „Informationen von Werbepartnern zu deinen Aktivitäten“, worin die Klägerin eingewilligt habe. Für andere Zwecke, insbesondere solche der Sicherheit und Systemintegrität, bestünden eigenständige Rechtsgrundlagen. Würde den klägerischen Begehren entsprochen, so stünde das gesamte wirtschaftliche Konzept hinter dem von ihr betriebenen sozialen Netzwerk in Frage. In prozessualer Hinsicht seien sowohl der Feststellungsantrag wegen der Subsidiarität gegenüber der Leistungsklage als auch die alternativen Löschungs- und Anonymisierungsbegehren sowie das Unterlassungsbegehren unzulässig.

Das Landgericht hat die Klage insgesamt abgewiesen. Hiergegen wendet sich die form- und fristgerecht eingelegte und begründete Berufung der Klägerin. Unter Wiederholung und Vertiefung ihres erstinstanzlichen Vorbringens hält sie ihre Klage in allen Anträgen - auf Seite 1-3 der Berufungsbegründung wird insoweit Bezug genommen - für zulässig und begründet. Sie wirft dem Landgericht eine fehlerhafte Sachverhaltsfeststellung sowie Rechts- und Rechtsanwendungsfehler vor. Die Beklagte, die die angefochtene Entscheidung unter Wiederholung und Vertiefung ihres erstinstanzlichen Vorbringens verteidigt, begehrt die Zurückweisung der Berufung.

Die Berufung ist zulässig und in dem tenorierten Umfang begründet; im Übrigen ist die Berufung unbegründet.

A. Die Klage ist in allen ihren Anträgen zulässig.

1. Der Feststellungsantrag ist - entgegen der vom Landgericht vertretenen Rechtsauffassung (LGU 10) - jedenfalls als Zwischenfeststellungsklage gemäß § 256 Abs. 2 ZPO zulässig.

a) Nach § 256 Abs. 2 ZPO kann nach dem Wortlaut der Norm die Feststellung eines im Laufe des Prozesses streitig gewordenen Rechtsverhältnisses begehrt werden, wenn dessen Bestehen oder Nichtbestehen für die Entscheidung des Rechtsstreits ganz oder teilweise vorgreiflich ist. Über den Wortlaut hinaus kann eine Zwischenfeststellungsklage im Sinne der Vorschrift hinsichtlich einer für den Leistungsantrag präjudiziellen streitigen Vorfrage auch bereits mit der Klage erhoben werden (BAG, Urt. v. 07.02.2019 – 6 AZR 84/18, Rn. 18 juris). Der Anwendungsbereich von § 256 Abs. 2 ZPO wird damit auf die bloße Anhängigkeit des betreffenden Hauptausspruchs ausgeweitet (Zöller/Greger, ZPO, 36. Aufl. 2026, Rn. 36). Die Vorschrift dient dazu, eine im Hauptprozess ohnehin zu beantwortende Vorfrage der Rechtskraft fähig zu machen, wenn ihr über den anhängigen Streit hinaus eigenständige rechtliche Bedeutung zukommen kann. Der Inhalt eines Feststellungsurteils und damit der Umfang seiner Rechtskraft sind in erster Linie der Urteilsformel zu entnehmen (Musielak/Voit/Wolff, ZPO, 23. Aufl. 2026, § 322 Rn. 57). Eines gesonderten Feststellungsinteresses im Sinne des § 256 Abs. 1 ZPO bedarf es demgegenüber nicht. Diese Zulässigkeitsvoraussetzungen sind von Amts wegen zu prüfen (vgl. hierzu allgemein BGH, Urt. v. 13.11.2025 – IX ZR 127/24, NZG 2025, 1633 Rn. 39).

b) Diese Voraussetzungen liegen vor. Die Klägerin begehrt mit dem Antrag zu Ziffer 1) die Feststellung eines Rechtsverhältnisses (vgl. hierzu BGH, Urt. v. 07.03.2013 – VII ZR 223/11 juris Rn. 6). Zwischen den Parteien besteht unstreitig ein Nutzungsvertrag über das von der Beklagten betriebene soziale Netzwerk „Instagram“ (im Folgenden auch als „Plattform“ bezeichnet). Aus diesem Vertrag leitet die Beklagte die Befugnis her, personenbezogene Daten der Klägerin, die beim Besuch von Dritt-Webseiten und bei der Nutzung von Dritt-Apps anfallen, mittels der Meta Business Tools zu erfassen, an ihre Server zu übermitteln, dort zu speichern und weiterzuverwenden. Die Klägerin bestreitet gerade das Bestehen dieser vertraglich vermittelten Befugnis. Streitgegenstand ist damit nicht nur die abstrakte Rechtswidrigkeit einzelner Verarbeitungsvorgänge, sondern das Nichtbestehen eines konkreten Rechtsverhältnisses, nämlich einer von der Beklagten aus dem Nutzungsvertrag hergeleiteten Handlungsberechtigung. Der Senat schließt sich insoweit der überzeugenderen Auffassung in den bereits veröffentlichten Entscheidungen u.a. der Oberlandesgerichte München (Urt. v. 18.12.2025 - 14 U 1314/25, juris Rn. 337 ff.) und Naumburg (Urt. v. 05.02.2026 - 9 U 124/24, juris Rn. 152 ff.) an.

aa) Soweit das Landgericht und u.a. auch das Oberlandesgericht Dresden (Urt. v. 03.02.2026 - 4 U 292/25) die Feststellungsfähigkeit mit der Begründung verneinen, es gehe in Wahrheit nur um die Rechtswidrigkeit einzelner Datenverarbeitungsvorgänge, folgt der Senat dem nicht. Für die Zwischenfeststellungsklage genügt die bloße Möglichkeit, dass aus dem streitigen Rechtsverhältnis zwischen den Parteien weitere Ansprüche erwachsen können (BGH, Urt. v. 23.0.2012 – III ZR 75/10, Rn. 41, juris m.w.N.). Vorliegend können sich aufgrund nicht vertragsgemäßen Vorgehens neben den geltend gemachten Ansprüchen beispielsweise Auskunftsansprüche ergeben.

Die abweichende Sichtweise löst den Antrag vom zwischen den Parteien bestehenden Vertragsverhältnis und reduziert ihn auf eine datenschutzrechtliche Vorfrage. Der Antrag betrifft jedoch die vorgreifliche und zwischen den Parteien streitige Frage, ob die Beklagte ihre Datenverarbeitung auf eine vertragliche Befugnis stützen kann. Dass dieselbe Frage zugleich Vorfrage der Unterlassungs- und Zahlungsanträge ist, steht der Feststellungsfähigkeit nach § 256 Abs. 2 ZPO nicht entgegen; für eine Zwischenfeststellungsklage ist nur dann kein Raum, wenn das Urteil über die Hauptklage die Rechtsbeziehungen der Parteien erschöpfend regelt (BGH, a.a.O., Rn. 40), was nach den vorstehenden Ausführungen nicht der Fall ist.

bb) Mit u.a. den Oberlandesgerichten München und Düsseldorf ist daher davon auszugehen, dass inhaltlich gleichgelagerte Anträge ,als zulässige Zwischenfeststellungsklage zu behandeln sind (OLG München, Urt. v. 18.12.2025 - 14 U 1314/25, juris Rn. 337 ff.; OLG Düsseldorf, Urt. v. 08.06.2026 - I-9 U 8/25; so auch OLG Koblenz, Urt. v. 30.04.2026 - 1 U 415/25). Anders als die Beklagte auf Seite 57 der Berufungserwiderung meint, liegt darin keine unzulässige „Umgehung des Feststellungsinteresses“ (vgl. BAG, Urt. v. 07.02.2019 – 6 AZR 84/18, juris, Rn. 18; BGH Urt. v. 07.03.2013 – VII ZR 223/11 juris Rn. 19). Bei interessengerechter Auslegung zielt der Antrag auf die Feststellung, dass der Beklagten aus dem zwischen den Parteien bestehenden Nutzungsvertrag kein Recht zusteht, die näher bezeichneten Offsite-Daten zu erheben, weiterzuleiten, zu speichern und zu verwenden. Durch diese fortwirkende Relevanz ist es vorliegend gerechtfertigt, die vorgreifliche Frage nach dem Bestehen einer vertraglichen Befugnis nicht nur inzident, sondern ausdrücklich zu klären. Die Zwischenfeststellungsklage erfüllt damit ihren prozessökonomischen Zweck, Folgeprozesse über denselben rechtlichen Ausgangspunkt möglichst zu vermeiden (vgl. hierzu eingehend auch OLG Naumburg, Urt. v. 05.02.2026 - 9 U 124/24, juris Rn. 162 ff.).

2. Der Feststellungsantrag der Klägerin genügt den Bestimmtheitsanforderungen des § 253 Abs. 2 Nr. 2 ZPO. Auch insoweit verfangen die anderslautenden Begründungsansätze der Beklagten nicht (vgl. hierzu Seiten 58 f. der Berufungserwiderung statt).

a) Ein Klageantrag ist hinreichend bestimmt, wenn er den Streitgegenstand sowie den Umfang der gerichtlichen Prüfungs- und Entscheidungsbefugnis so deutlich umschreibt, dass der Beklagte sein Prozessverhalten darauf einstellen kann und die Zwangsvollstreckung nicht erst klären muss, was ihm verboten oder aufgegeben ist. Das Bestimmtheitserfordernis gilt für alle Klagearten (vgl. statt vieler Anders/Gehle/Anders, ZPO, 84. Aufl. 2026, § 253 Rn. 34, 35). Bei der Feststellungsklage muss das Recht oder das Rechtsverhältnis, dessen Bestehen oder Nichtbestehen festgestellt werden soll, so genau beschrieben werden, dass über dessen Identität und damit über den Umfang der Rechtskraft des Urteils keinerlei Ungewissheit herrschen kann (MüKoZPO/Becker-Eberhard, 7. Aufl. 2025, ZPO § 253 Rn. 154). Erforderlich ist danach eine konkrete Fassung der beanstandeten Verletzungsform; nicht erforderlich ist demgegenüber, dass jede tatsächliche Einzelmodalität der Verletzungshandlung im Antrag selbst aufgeführt wird.

b) Diesen Anforderungen genügen die klägerischen Anträge. Anders als die Beklagte meint, bezeichnen diese die betroffenen Datenkategorien, die konkret beanstandeten Verarbeitungsschritte, den Einsatz der Meta Business Tools sowie den räumlich-sachlichen Bezug zu Dritt-Webseiten und Dritt-Apps außerhalb der Netzwerke der Beklagten. Damit ist der Gegenstand des umfassenden Verbotsbegehrens in tatsächlicher und rechtlicher Hinsicht hinreichend eingegrenzt. Die Beklagte kann ohne Weiteres erkennen, welches Verhalten sie künftig zu unterlassen hat; zugleich bleibt für das Vollstreckungsverfahren iSv § 890 ZPO hinreichend bestimmbar, worauf sich ein etwaiges Verbot bezieht.

Dass die Klägerin nicht jede einzelne Dritt-Webseite oder Dritt-App bezeichnet, auf der Meta Business Tools implementiert gewesen sein mögen, führt daher nicht zur Unbestimmtheit. Eine derart kleinteilige Konkretisierung ist der Klägerin nicht zu fordern. Der Klägerin ist eine vollständige Rekonstruktion ihres früheren Surf- und Nutzungsverhaltens regelmäßig weder möglich noch zumutbar.

Die Klägerin wendet sich nicht gegen isolierte Einzelereignisse, sondern – wie sie in der Berufungsreplik vom 3. Juni 2026 (dort bereits auf Seite 1) nochmals ausdrücklich betont hat - gegen eine bestimmte, nach Art der erhobenen Daten, nach den Verarbeitungsschritten und nach dem eingesetzten technischen Instrumentarium umrissene Verarbeitungspraxis insgesamt. Eine Pflicht zur Offenlegung sämtlicher besuchter Webseiten und verwendeter Apps liefe dem Anliegen des Datenschutzrechts zuwider, den Betroffenen gerade vor einer weiteren Preisgabe seines Nutzungsverhaltens zu bewahren (vgl. hierzu auch eingehend OLG Naumburg, a.a.O., Rn. 289). Der Antrag konkretisiert die beanstandete Verletzungshandlung deshalb bereits dadurch hinreichend, dass er die unzulässige Verarbeitung von mittels Meta Business Tools an die Beklagte gelangten Daten trotz fehlender wirksamer Einwilligung oder sonstiger tragfähiger Rechtsgrundlage zum Gegenstand macht.

3. Zulässig sind auch die Unterlassungsanträge zu den Ziffern 2) und 3). Die hiergegen erhobenen Einwände der Beklagten (ab Seite 60 der Berufungserwiderung) greifen nicht durch.

a) Soweit die Beklagte meint, der Antrag lasse weder die beanstandeten Verarbeitungszwecke noch die begehrte Verbotsreichweite erkennen (Berufungserwiderung Seite 60), verkennt sie den Streitgegenstand. Die Klägerin begehrt kein am Gesetzeswortlaut orientiertes abstraktes Verbot, sondern die Untersagung einer konkret beschriebenen Datenverarbeitung mittels Meta Business Tools auf Dritt-Webseiten und in Dritt‑Apps, soweit es an einer wirksamen Einwilligung oder sonstigen tragfähigen Rechtsgrundlage fehlt. Der Antrag ist damit nicht auf eine bloße Wiederholung gesetzlicher Begriffe reduziert, sondern an der behaupteten - sehr weitreichenden - Verletzungsform ausgerichtet.

b) Abweichende Bewertungen einzelner Landgerichte (vgl. hierzu Seiten 61 ff. in der Berufungserwiderung) rechtfertigen keine andere Beurteilung. Vielmehr steht die rechtliche Bewertung des Senats zur hinreichenden Bestimmtheit der Anträge im Einklang mit der obergerichtlichen Rechtssprechung, die inhaltlich gleichgelagerte Anträge einheitlich als hinreichend bestimmt ansieht, weil Datenarten, Verarbeitungsschritte, technische Mittel und der Anwendungsbereich außerhalb der Meta-Netzwerke im Antrag selbst konkret bezeichnet sind. Zutreffend stellen die Oberlandesgerichte München, Naumburg und Dresden darauf ab, dass ein Unterlassungsantrag nicht schon deshalb unbestimmt ist, weil er zur Beschreibung der untersagten Handlung an die in Art. 4 Nr. 2 DSGVO definierten Verarbeitungsvorgänge anknüpft. Diese Begriffe sind rechtlich hinreichend konturiert und präzisieren das Begehren, wenn – wie hier – zugleich die betroffenen Datenkategorien, das technische Instrumentarium und der situative Anwendungsbereich benannt werden. Beide Unterlassungsanträge bleiben damit auf die konkrete Verletzungsform bezogen und überlassen weder dem Gericht noch dem ausführenden Organ im Vollstreckungsverfahren gem. § 890 S. 1 ZPO eine eigenständige inhaltliche Ausfüllung. Wo – wie hier – kein materiell-rechtlicher Anspruch auf ein uneingeschränktes Verbot besteht, kann effektiver negatorischer Rechtsschutz nur dadurch gewährt werden, dass die Verbotsgrenzen im Tenor abgebildet werden (vgl. etwa OLG München, a.a.O., Rn. 424).

Danach dringt die Beklagte mit ihren Bestimmtheitseinwänden auch insoweit nicht durch. Die Unterlassungsanträge bezeichnen die konkret betroffenen Datenkategorien, die untersagten Verarbeitungsschritte, den Einsatz der Meta Business Tools, den Bereich außerhalb der Meta‑Netzwerke sowie den Vorbehalt fehlender Einwilligung oder sonstiger Rechtsgrundlage. Mehr ist zur hinreichenden Individualisierung des Verbotsgegenstands unter Berücksichtigung der tenorierten Einschränkungen nicht erforderlich.

c) Ohne Erfolg beruft sich die Beklagte darauf, dass das Klagebegehren in Wahrheit auf positives Tun abziele (Berufungserwiderung Seite 62 f.).

aa) Unterlassen ist zunächst jedes Verhalten, das den Nichteintritt eines Zustands bewirkt, sodass die Unterlassungspflicht auch aktives Handeln erfordern kann, etwa zur Verhinderung einer Störung oder zur Beseitigung ihrer Folgen (vgl. BeckOK ZPO/Stürner, 60. Ed. 01.03.2026, ZPO § 890 Rn. 7 m.w.N.). Diese Handlungspflicht aus dem Unterlassen folgend besteht auch dann, wenn sie im Urteil nicht ausdrücklich ausgesprochen ist, sie aber aus den Umständen resultiert, dass der Schuldner nur durch notwendige positive Maßnahmen den rechtmäßigen Zustand herstellen kann (BeckOK ZPO/Stürner, a.a.O., § 890 Rn. 7). Nichts anderes gilt beispielsweise bei einem Näherungsverbot im familienrechtlichen Bereich. Auch dort ist dem Unterlassungsgebot durch die Wahl anderer Aufenthaltsorte zu entsprechen.

bb) Gemessen daran zielt der Antrag zu Ziffer 2) auf die erfolgsbezogene Unterlassung rechtswidriger Datenerhebung und -verarbeitung unter Androhung von Ordnungsmitteln. Dass dies technische oder organisatorische Maßnahmen erfordern kann, ist unschädlich. Die Notwendigkeit aktiven Handelns – etwa durch Ausgestaltung der Business-Tools oder Einwirkung auf Dritte – steht einer gerichtlichen Unterlassungsanordnung nicht entgegen (OLG Naumburg, a.a.O. Rn. 278-280; OLG München, a.a.O., Rn. 342).

4. Schließlich ist auch der auf Löschung der unter Ziffer 1 a) und auf Anonymisierung der unter Ziffern 1 b) und 1 c) genannten personenbezogenen Daten gerichtete Berufungsantrag zu Ziffer 4) zulässig. Der Antrag, die Daten am gespeicherten Ort zu belassen, d. h. insbesondere diese erst zu löschen, wenn die Klagepartei sie hierzu auffordert, spätestens jedoch einen Monat nach rechtskräftigem Abschluss des Verfahrens, und diese bis zu diesem Zeitpunkt nicht zu verändern, intern nicht weiterzuverwenden, und nicht an Dritte weiterzugeben (hier Antrag zu 3.), ist zulässig.

a) Der Löschungs- und Anonymisierungsantrag verlangt von der Beklagten nicht etwas Unmögliches (entgegen der Berufungserwiderung Rn. 186). Die grundsätzliche Möglichkeit eines entsprechenden Anspruchs ergibt sich aus Art. 18 DSGVO (vgl. hierzu OLG Düsseldorf, a.a.O., S. 14).

b) Durch die Einräumung einer Wahlmöglichkeit wird auch keine Unsicherheit von außen in den Prozess hineingetragen, die Beklagte wird durch das ihr eingeräumte Wahlrecht nicht beschwert. Dass es prozessual möglich sein muss, der Beklagten ein Wahlrecht einzuräumen, beweist § 264 Abs. 1 BGB, der unmittelbar den - hier nicht einschlägigen – Fall der Wahlschuld betrifft (vgl. hierzu auch OLG München, a.a.O., Rn. 346 zu einer gleichgelagerten Fallkonstellation). Es handelt sich prozessual dabei auch nicht um einen grundsätzlich unzulässigen alternativen Klageantrag. Denn es soll anders als bei einem alternativen Klageantrag nicht dem Gericht, sondern der Beklagten selbst überlassen bleiben, ob sie in Bezug auf die unter Ziffer 1 b) und c) genannten Daten löscht oder stattdessen anonymisiert, sodass sich für die Beklagte keine unzumutbare Unbestimmtheit ergäbe (OLG München, a.a.O., Rn. 347). Dies gilt auch im Hinblick auf die tenorierte Frist. Es handelt sich bei der Frist um eine aufschiebende Bedingung, deren Eintritt gemäß §§ 726, 731 ZPO bei Beginn der Vollstreckung im Klauselerteilungsverfahren zu prüfen ist (vgl. BGH, Urt. v. 14.12.1998 - II ZR 330/97 - juris). Der dort festgelegte Löschungszeitpunkt spätestens ein Monat nach rechtskräftigem Abschluss des Verfahrens lässt sich im Vollstreckungsverfahren ohne Weiteres ermitteln.

b) Es fehlt - entgegen Randnummer 188 der Berufungserwiderung - nicht an einer hinreichenden Bestimmtheit i.S.d. § 253 Abs. 2 Nr. 2 ZPO. Auf der Grundlage der bereits genannten Anforderungen der höchstrichterlichen Rechtsprechung, denen der Senat folgt, hat die Klägerin die zu löschenden und die zu anonymisierenden Daten - wie bereits dargelegt - hinreichend genau bezeichnet.

c) Dem in Bezug auf vorhandene Daten gestellten Löschungs- und Anonymisierungsantrag zu 4.) kann die Zulässigkeit auch nicht deshalb versagt werden, weil die in § 259 ZPO vorausgesetzte Besorgnis nicht rechtzeitiger Leistung fehle.

aa) Eine Klage auf künftige Leistung ist nach § 259 ZPO zulässig, wenn der geltend gemachte Anspruch bereits entstanden ist und nach den Umständen die Besorgnis gerechtfertigt ist, der Schuldner werde sich der rechtzeitigen Erfüllung entziehen. Erforderlich ist insoweit keine feststehende Erfüllungsverweigerung, wohl aber ein über die bloße Nichterfüllung hinausgehendes Verhalten, aus dem sich ergibt, dass der Schuldner den Anspruch nicht rechtzeitig erfüllen werde; eine solche Besorgnis ist namentlich dann anzunehmen, wenn der Schuldner den Anspruch dem Grunde nach ernstlich bestreitet (vgl. statt vieler Anders/Gehle/Anders, a.a.O. § 259 Rn. 6).

bb) So liegt der Fall hier. Die Beklagte hat nicht lediglich Einzelfragen zur technischen Umsetzung oder zur Reichweite des Begehrens aufgeworfen, sondern den geltend gemachten Löschungs- und Anonymisierungsanspruch sowohl erstinstanzlich als auch im Berufungsverfahren in seinem rechtlichen Ausgangspunkt ausdrücklich und vollumfänglich in Abrede gestellt. Sie bestreitet insbesondere bereits das Vorliegen einer rechtswidrigen Verarbeitung, ihre Verantwortlichkeit für die streitgegenständlichen Offsite-Verarbeitungsvorgänge sowie das Bestehen entsprechender Folgeansprüche auf Löschung oder Anonymisierung. Wer den Anspruch in dieser Weise umfassend dem Grunde nach bestreitet, gibt aus Sicht der Klägerin hinreichenden Anlass zu der Besorgnis, dass die geschuldete Leistung nicht freiwillig und nicht rechtzeitig erbracht werden wird. Gerade darin liegt der Anwendungsfall des § 259 ZPO.

B. Die Berufung hat hinsichtlich der verfolgten Anträge aber nur in dem zuerkannten Maße Erfolg. Die Klage ist hinsichtlich der Anträge zu den Ziffern 1) bis 4) insgesamt begründet. Der unbezifferte Zahlungsantrag zu 5) hat hingegen nur in geringem Umfang Erfolg. Der Freistellungsantrag bezogen auf vorprozessuale Rechtsverfolgungskosten ist indessen unbegründet.

1. Der Feststellungsantrag ist begründet.

Die Beklagte ist nicht berechtigt, die im Feststellungstenor zu Ziffer 1) näher bezeichneten Daten über die Meta Business Tools zu erheben und weiterzuverarbeiten.

a) Die von der Klägerin beanstandeten Kontakt-, Identifikations-, Nutzungs-, Interaktions- und technischen Standarddaten sind personenbezogene Daten; ihre Erhebung, Übermittlung, Zuordnung, Speicherung und weitere Verwendung stellen Verarbeitungsvorgänge im Sinne des Art. 4 Nr. 2 DSGVO dar (vgl. statt vieler OLG München, a.a.O., Rn. 355 ff.; OLG Dresden, Urt. v. 03.02.2026 - 4 U 292/25, juris Rn. 171; OLG Naumburg, a.a.O., Rn. 166 ff.; OLG Jena, Urt. v. 23.04.2026 – 2 U 114/25). Sie werden teils browserseitig, teils serverseitig über Meta Business Tools an die Beklagte übermittelt und die Nutzerin kann deren Eingang bei der Beklagten regelmäßig nicht verhindern (vgl. OLG Naumburg, a.a.O., Rn. 149 ff., 174 ff.).

Die hiergegen von der Beklagten vorgebrachten Einwände verfangen nicht. Hierzu gilt zusammengefasst Folgendes:

aa) Soweit die Beklagte dem entgegenhält, die Klage sei unsubstanziiert, weil die Klägerin weder konkrete Dritt-Webseiten oder Dritt-Apps noch einzelne Besuchsvorgänge oder Einwilligungssituationen dargelegt habe, greift dieser Einwand - wie bereits oben ausgeführt - nicht durch. Die Klägerin ist weder in der Lage und auch nicht gehalten, ihr gesamtes Surf- und App-Nutzungsverhalten offenzulegen, um gerade den Schutz zu erlangen, den ihr die DSGVO gewährt. Die von der Beklagten angeführten technischen Möglichkeiten - etwa die Prüfung einzelner Webseiten auf Pixel-Code oder die Dokumentation einzelner Cookie-Banner - erlauben allenfalls punktuelle Momentaufnahmen. Sie geben der Nutzerin jedoch keinen belastbaren Einblick, welche Business-Tool-Daten tatsächlich an die Beklagte gelangt sind, ob ein serverseitiger Übermittlungsweg genutzt wurde, ob ein Abgleich mit ihrem Nutzerkonto erfolgt ist, zu welchen Zwecken die Daten gespeichert wurden und welche Lösch- oder Trennungsmechanismen die Beklagte angewandt hat. Die maßgeblichen Informationen über Reichweite, Modalitäten und Zwecke der mittels Meta Business Tools vorgenommenen Datenverarbeitung liegen in der Sphäre der Beklagten. Deshalb trifft sie nach einhelliger obergerichtlicher Rechtsprechung, die der Senat teilt, eine sekundäre Darlegungslast dazu, welche Daten in welcher Weise erhoben, an sie übermittelt, dort zugeordnet, gespeichert und weiterverarbeitet werden (vgl. OLG Dresden, a.a.O., Rn. 147 ff.; OLG München, a.a.O., Rn. 365 ff.; OLG Naumburg, a.a.O., Rn. 285, 291). Die Klägerin kann und muss nicht im Einzelnen rekonstruieren, welche Seiten oder Apps sie zu welchen Zeitpunkten genutzt hat und ob dort jeweils eine Einwilligung erteilt oder verweigert wurde. Eine solche Anforderung würde den Rechtsschutz gegen verdeckte Offsite‑Verarbeitungen in einer Weise erschweren, die mit dem Schutzgehalt des Rechts auf informationelle Selbstbestimmung nicht vereinbar wäre.

Hinzu kommt, dass die Beklagte nach Art. 15 DSGVO ohnehin in der Lage sein muss, die von ihr verarbeiteten Daten zu identifizieren und Auskunft hierüber zu erteilen (vgl. OLG Naumburg, a.a.O., Rn. 291). Mit einem pauschalen Bestreiten genügt sie ihrer daher bestehenden Darlegungslast nicht (vgl. OLG München, a.a.O., Rn. 366 f.).

bb) Die Beklagte ist - entgegen der von ihr vertretenen Rechtsauffassung (Seiten 41 ff. der Berufungserwiderung) - für diese Verarbeitung auch Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.

Nach Art. 4 Nr. 7 DSGVO ist Verantwortlicher die natürliche oder juristische Person, etc., die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, wobei der Begriff des Verantwortlichen weit zu fassen ist und durch die Mitverantwortlichkeit nach Art. 26 DSGVO ergänzt wird (vgl. statt vieler OLG Jena, a.a.O., S. 26).

Dass Drittunternehmen die Tools technisch einbinden und zunächst entscheiden, welche Events sie an die Beklagte übermitteln, entlastet die Beklagte nicht. Sie stellt die Tools nicht neutral bereit, sondern entwickelt und betreibt sie, gibt deren technische Architektur und Nutzungsbedingungen vor und verfolgt mit der Erhebung und Übermittlung der Offsite-Daten eigene Zwecke. Nach den im Kern übereinstimmenden Erwägungen der Oberlandesgerichte Dresden, München und Naumburg wirkt sie damit an der Festlegung von Zwecken und Mitteln der Verarbeitung mit und ist jedenfalls gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO (vgl. OLG Dresden, a.a.O., Leitsatz 4, Rn. 169; eingehend hierzu auch OLG Jena, a.a.O., S. 26; OLG München, a.a.O., Rn. 372 ff., 22; OLG Naumburg, a.a.O., Rn. 143, 145; OLG Koblenz, a.a.O., S. 34; OLG Düsseldorf, a.a.O., S. 19 f.; vgl. auch EuGH, Urt. v. 29.07.2019 - C-40/17, Rn. 69; Urt. v. 05.12.2023 - C-683/21, Rn. 42). Maßgeblich ist nicht, wer den Programmcode auf der Drittseite implementiert, sondern wer über Zwecke und Mittel der streitgegenständlichen Verarbeitung mitentscheidet. Die Beklagte erhält die übermittelten Daten in ihren Machtbereich und nutzt sie jedenfalls für eigene Abgleich-, Mess-, Analyse-, Sicherheits-, Produkt- oder Werbezwecke. Eine vertragliche Verlagerung von Informations- und Einwilligungspflichten auf Drittunternehmen beseitigt diese Verantwortlichkeit nicht (vgl. OLG Dresden, a.a.O., Rn. 169 f.).

cc) Die Klägerin hat – entgegen Seite 14 f. der Berufungserwiderung – auch den angegriffenen Verarbeitungszweck hinreichend konkretisiert. Der Streitgegenstand ist nicht auf die Verarbeitung zu Zwecken personalisierter Werbung verengt. Der Antrag richtet sich - wie bereits angeführt - vielmehr gegen die vorgelagerten Verarbeitungsschritte der Erfassung auf Drittseiten und in Dritt‑Apps, der Weiterleitung an die Server der Beklagten, der dortigen Speicherung und der anschließenden Verwendung. Diese Schritte stellen jeweils eigenständige, rechtfertigungsbedürftige Verarbeitungsvorgänge dar; ob die Daten später auch für personalisierte Werbung genutzt werden, ist hierfür nicht entscheidend (vgl. OLG Dresden, a.a.O., Rn. 165).

Streitgegenständlich sind nach Antrag, Begründung und den ausdrücklichen Ausführungen in der Berufungsreplik die Erfassung, Übermittlung, Speicherung, Zuordnung und weitere Verwendung der näher bezeichneten Meta Business Tools. Für diese Verarbeitungsvorgänge bedarf es jeweils einer tragfähigen Rechtsgrundlage. Welche Datenkategorien zu welchen Zwecken verarbeitet werden und auf welchen Erlaubnistatbestand sich die Beklagte hierfür stützt, hat sie als Verantwortliche darzulegen. Die gerichtliche Prüfung ist daher nicht schon deshalb ausgeschlossen, weil die Beklagte mehrere Zwecke – etwa Abgleich, Messung, Analyse, Werbeoptimierung, Sicherheit oder Produktintegrität – nebeneinander behauptet.

dd) Mit ihren Datenerhebungen verstößt die Beklagte gegen den Grundsatz der Datenminimierung, der in Art. 5 Abs. 1 lit. b), lit. c), Art. 25 Abs. 2 S. 1, 3 DSGVO verankert ist (vgl. statt vieler OLG München, a.a.O., Rn. 297 ff.). Der Grundsatz der Datenminimierung sichert die Verhältnismäßigkeit der Datenverarbeitung und besagt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“ müssen (vgl. EuGH, Urt. v. 04.10.2024 – C-446/21, Rn. 49 f. und vom 04.07.2023 – C-252/21, juris, Rn. 109). Der Verantwortliche darf die Daten nicht allgemein und unterschiedslos erheben, sondern muss von der Erhebung solcher Daten absehen, die für die Zwecke der Verarbeitung nicht unbedingt notwendig sind (EuGH, Urt. v. 04.10.2024 – C-446/21, Rn. 59). In zeitlicher Hinsicht ist der Zeitraum der Datenerhebung als solcher und der Zeitraum, in dem die Möglichkeit besteht, den Betroffenen zu identifizieren, auf das im Hinblick auf den Zweck der beabsichtigten Verarbeitung absolut Notwendige zu beschränken (vgl. EuGH, a.a.O., Rn. 52 hierzu insgesamt auch OLG Düsseldorf, a.a.O., S. 20).

Demgegenüber verarbeitet die Beklagte die von den (Dritt-)Webseiten und -Apps stammenden „Kontaktinformationen“ und/oder „Event-Daten“ ihrer Nutzer schon nach ihrem pauschalen Vortrag allgemein und unterschiedslos, indem sie sämtliche über die „Meta-Business Tools“ übermittelten personenbezogenen Daten ohne Differenzierung nach dem Einzelfall empfängt, zumindest vorübergehend speichert und weiterverarbeitet. Weil ein vorheriger Abgleich mit den Nutzereinstellungen auf der Plattform der Beklagten oder auf den jeweiligen Drittseiten nicht stattfindet, ist für diese Datenverarbeitung unmaßgeblich, ob Nutzer in ihren Einstellungen die Funktion „Meta-Cookies auf anderen Apps und Websites“ deaktiviert und ihr Einverständnis zur Erhebung von Informationen über ihre außerhalb der Plattformen der Beklagten stattfindende Internetnutzung damit verweigert haben. Soweit die Beklagte vorträgt, die von Drittanbietern übermittelten Businesstool-Daten zunächst mit einem Nutzerkonto zu verknüpfen und erst auf dieser Grundlage anhand der jeweiligen Einstellungen über eine etwaige weitere Verarbeitung zu entscheiden, steht dies der Annahme einer zunächst unterschiedslosen Datenerfassung nicht entgegen. Zwar hat die Beklagte auf Seite 7 ihrer Berufungserwiderung vom 13. Mai 2026 vorgetragen, dass Nutzer, die entsprechende Cookies ganz oder teilweise ablehnen, keine oder weniger personalisierte Werbung erhalten und die Daten teilweise lediglich zu Sicherheits- und Integritätszwecken verwendet werden. Gleichwohl verfügt die Beklagte bereits im Zeitpunkt der Übermittlung über denselben Umfang an personenbezogenen Daten, die unabhängig von einer Zweckdifferenzierung erhoben und zentral verarbeitet werden. Diese anlasslose und unterschiedslose Erhebung oder sogar Bevorratung von Daten ohne vorherige Zweckbegrenzung ist mit dem Grundsatz der Zweckbindung gemäß Art. 5 Abs. 1 lit. b DSGVO nicht zu vereinbaren (vgl. zum Ganzen auch OLG Düsseldorf, a.a.O.).

b) Die Verarbeitung der personenbezogenen Daten der Klägerin durch die Beklagte ist rechtswidrig. Die Beklagte hat - entgegen den Seiten 40 ff. der Berufungserwiderung - keine Rechtfertigungsgründe für die Verarbeitung i.S.d. Art 6 Ziff. 1 DSGVO nachgewiesen, deren Nachweis ihr nach Art. 7 Ziff. 1 DSGVO obliegt. Erst recht liegen keine Rechtfertigungsgründe i.S.d. Art 9 DSGVO vor. Anders als die Beklagte meint, kann die streitgegenständliche Erhebung und Verarbeitung von Offsite-Daten der Klägerin durch sie nicht auf eine wirksame Einwilligung oder einen sonstigen tragfähigen Rechtfertigungsgrund gestützt werden (vgl. OLG München, a.a.O., Rn. 413 unter Hinweis auf Rn. 355 ff.; OLG Naumburg, a.a.O., Rn. 211 ff.; OLG Dresden, a.a.O., Rn. 172 ff.; OLG Koblenz, a.a.O., S. 35 ff.; OLG Düsseldorf, a.a.O., S. 21 ff.). Hierzu in der gebotenen Kürze:

aa) Zunächst scheidet eine Rechtfertigung nach den allgemeinen Vorschriften der DSGVO aus.

aaa) Eine wirksame Einwilligung nach Art. 6 Abs. 1 lit. a, Art. 4 Nr. 11, Art. 7 DSGVO setzt voraus, dass die betroffene Person freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich in die bestimmte Verarbeitung für einen oder mehrere festgelegte Zwecke einwilligt; die Darlegungs- und Beweislast hierfür trägt die Beklagte (vgl. BeckOK DatenschutzR/Albers/Veit, 55. Ed. 01.02.2026, DSGVO Art. 6 Rn. 29, 32, 35; OLG Dresden, a.a.O., Rn. 173; OLG München, a.a.O., Rn. 375 ff.; OLG Naumburg, a.a.O., Rn. 211 ff.). Daran fehlt es. Weder die allgemeinen Hinweise in Datenschutz- oder Cookie-Einstellungen noch in der Plattform wie die „Informationen von Werbepartnern zu deinen Aktivitäten“ belegen eine vollinformierte Einwilligung gerade in die hier streitige Erfassung, Weiterleitung, Speicherung, Zuordnung und weitere Verarbeitung von Offsitedaten aus Drittwebseiten und Drittapps.

bbb) Eine etwaige Einwilligung auf der Drittseite erstreckt sich - entgegen Seite 41 der Berufungserwiderung - nicht ohne Weiteres auf die Verarbeitungszwecke der Beklagten als Anbieterin der Technologie (vgl. OLG Dresden, a.a.O., Rn. 173; OLG Naumburg, a.a.O., Leitsatz 2). Sie bezieht sich bereits nicht auf die Beklagte.

ccc) Gleiches gilt für eine Rechtfertigung nach Art. 6 Abs. 1 lit. b DSGVO. Die Beklagte muss danach nachweisen, dass gerade die Weitergabe der Daten an sie sowie deren Speicherung, Abgleich und anschließende Verwendung durch sie selbst von einer freiwilligen, informierten, konkreten und zweckbezogenen Einwilligung gedeckt sind. Dieser Nachweis ist nicht bereits dadurch geführt, dass der Nutzer auf einer Drittseite einen Cookie-Banner bedient hat. Eine dort erteilte Einwilligung bezieht sich regelmäßig auf Datenverarbeitungszwecke des Webseiten- oder App-Betreibers; sie erfasst nicht ohne weiteres die eigenständigen Verarbeitungszwecke der Beklagten als Anbieterin der Business-Tools (vgl. zu einer gleichgelagerten Argumentation auch OLG Dresden, a.a.O., Rn. 173; OLG Naumburg, a.a.O., Rn. 232). Anders ausgedrückt: Eine datenschutzrechtliche Rechtfertigung kann nicht darauf gestützt werden, dass möglicherweise irgendein Drittanbieter möglicherweise irgendeine Einwilligung zu oder in irgendeinem Cookie-Banner eingeholt hat.

ddd) Die Bereitstellung eines sozialen Netzwerks erfordert es auch in objektiver Hinsicht nicht, dass die Beklagte das Verhalten ihrer Nutzer auf Dritt-Webseiten und in Dritt-Apps erfasst, an ihre Server übermitteln lässt, speichert und auswertet; wirtschaftliche Zweckmäßigkeit ersetzt die vertragliche Erforderlichkeit nicht (vgl. OLG München, a.a.O., Rn. 382 ff.).

eee) Ohne Erfolg verweist die Beklagte zudem darauf, die Klägerin könne über die plattformeigene Einstellung „Informationen von Werbepartnern zu deinen Aktivitäten“, über Browser- oder Cookie-Einstellungen oder durch Wahl eines werbefreien Abonnements Einfluss auf die Datenverarbeitung nehmen. Diese Möglichkeiten betreffen allenfalls einzelne nachgelagerte Nutzungs- oder Anzeigeentscheidungen. Sie verhindern aber weder, dass die streitgegenständlichen Off-Site-Daten zunächst an die Beklagte übermittelt, dort gespeichert oder mit Nutzerkennungen abgeglichen werden, noch ersetzen sie den Nachweis einer wirksamen Einwilligung in die konkrete Verarbeitung durch die Beklagte (vgl. hierzu auch OLG Naumburg, a.a.O., Rn. 273).

fff) Überdies scheidet eine Berechtigung der Vorgehensweise nach Art. 6 Abs. 1 lit. c, d und e DSGVO aus, weil weder eine konkrete Rechtspflicht zur Offsite-Verarbeitung dargetan, noch lebenswichtige Interessen betroffen sind oder der Beklagten öffentliche Aufgaben übertragen wären (vgl. zu gleichgelagertem Beklagtenvortrag u.a. OLG Naumburg, a.a.O., Rn. 249; OLG München, a.a.O., Rn. 391, 392). Dies ist nach dem Vorbringen nicht erkennbar.

ggg) Schließlich rechtfertigt auch Art. 6 Abs. 1 lit. f DSGVO die Verarbeitung der Daten nicht. Zwar können Sicherheits- und Integritätsinteressen grundsätzlich berechtigte Interessen darstellen. Der Senat verkennt in diesem Zusammenhang nicht, dass eine Plattform Sicherheitsmechanismen benötigt. Daraus folgt aber kein „Freibrief zur flächendeckenden Erfassung und Speicherung“ von Off-Site-Daten. Art. 6 Abs. 1 lit. f DSGVO verlangt eine konkrete Zweck-, Erforderlichkeits- und Abwägungsprüfung bezogen auf die jeweilige Datenkategorie und den jeweiligen Verarbeitungsschritt. Diese leistet der Vortrag der Beklagten nicht, denn sie hat nicht dargelegt, welche der streitgegenständlichen Off-Site-Daten - insbesondere URLs, Referrer, Klick- und Eventdaten, App-Namen sowie Kontakt- und Identifikationsdaten - zu welchen konkreten Sicherheitszwecken erforderlich sein sollen, in welcher Verarbeitungstiefe sie hierfür benötigt werden und für welche Dauer sie gespeichert werden müssen. Ein pauschaler Hinweis auf Sicherheit, Integrität oder Missbrauchsbekämpfung ersetzt weder die Erforderlichkeitsprüfung noch die nach Art. 6 Abs. 1 lit. f DSGVO gebotene Interessenabwägung (vgl. hierzu die einhellige obergerichtliche Argumentationslinie OLG München, a.a.O., Rn. 388 f.; OLG Dresden, a.a.O., Rn. 180 ff.; OLG Naumburg, a.a.O., Rn. 251 f.).

bb) Soweit durch die mit den Meta Business Tools verarbeiteten Daten besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO betroffen sind oder jedenfalls Rückschlüsse hierauf ermöglicht werden, bedarf es darüber hinaus eines Rechtfertigungstatbestands nach Art. 9 Abs. 2 DSGVO. Auch daran fehlt es im Streitfall. Die Verarbeitung über Business Tools unterscheidet technisch nicht zuverlässig zwischen einfachen und sensiblen Daten; bereits der Besuch bestimmter Seiten oder dortige Interaktionen können Rückschlüsse etwa auf Gesundheitsdaten, sexuelle Orientierung, finanzielle Verhältnisse oder weltanschauliche Überzeugungen zulassen. Der bloße Hinweis an Drittunternehmen, solche Daten nicht zu übermitteln, genügt hierfür nicht (vgl. OLG Dresden, a.a.O., Rn. 167).

Dass einzelne technische Mindestvorgänge erforderlich sein mögen, um Daten einer Person zuzuordnen, rechtfertigt keine umfassende Erfassung, Speicherung, Verknüpfung und Weiterverarbeitung u.a. des Nutzerverhaltens.

2. Darüber hinaus kann die Klägerin von der Beklagten die Unterlassung der im Antrag zu Ziffer 2) bezeichneten künftigen Datenerhebung und -verarbeitung sowie der weitergehenden Verarbeitung - insbesondere Weitergabe erhobener Daten - im Sinne des Antrags zu Ziffer 3) verlangen.

a) Soweit das Landgericht für diese Unterlassungsansprüche als Anspruchsgrundlage Art. 17 DSGVO tatbestandlich offengelassen hat (LGU 9), bedarf dies hier keiner abschließenden Vertiefung. Denn der geltend gemachte Unterlassungsanspruch ergibt sich jedenfalls aus nationalem Recht und aus dem zwischen den Parteien bestehenden Nutzungsvertrag. Der Senat folgt insoweit der obergerichtlichen Rechtsprechung, wonach sich der Unterlassungsanspruch sowohl aus §§ 280 Abs. 1, 241 Abs. 2 BGB in Verbindung mit dem zwischen den Parteien geschlossenen Nutzungsvertrag sowie daneben aus §§ 1004 Abs. 1 Satz 2 analog, 823 Abs. 1 BGB herleiten lässt (vgl. OLG Naumburg, a.a.O., Rn. 281 unter Hinweis auf BGH, Urt. v. 18.11.2024 - VI ZR 10/24, Rn. 83, m.w.N.; BGH, Urt. v. 02.05.2024 - I ZR 12/23, Rn. 14; Urt. v. 29.07.2021 - III ZR 179/20, Rn. 102 f.; Urt. v. 08.11.2022 - II ZR 91/21, Rn. 64; BeckOK DatenschutzR/Albers/Veit, 54. Ed. 01.08.2025, DSGVO Art. 6 Rn. 115; OLG Stuttgart, Urt. v. 29.04.2026 – 4 U 372/24, S. 20; OLG München, a.a.O., Rn. 447 ff.; vgl. auch OLG Dresden, a.a.O., Rn. 146, das zudem § 823 Abs. 1 BGB i.V.m. Art. 2 Abs. 1, Art. 1 Abs. 1 GG sowie auf § 823 Abs. 2 BGB i.V.m. Art. 6 DSGVO, jeweils i.V.m. § 1004 Abs. 1 Satz 2 BGB analog als Anspruchsgrundlage des inhaltsgleichen Anspruchs für einschlägig erachtet; ähnlich auch OLG Düsseldorf, a.a.O., S. 30).

Die von der Beklagten hervorgehobene Erwägung, wonach die DSGVO keinen eigenständigen Unterlassungsanspruch enthalte, führt zu keiner anderen Beurteilung. Entscheidend ist nicht, ob das Unionsrecht einen solchen Anspruch ausdrücklich normiert, sondern ob daneben nationale negatorische Ansprüche und vertragliche Unterlassungsansprüche eröffnet bleiben. Dies bejahen die Oberlandesgerichte Dresden, München und Naumburg übereinstimmend. Dieser Auffassung schließt sich der Senat an. Die DSGVO regelt die materiellen Anforderungen an die Rechtmäßigkeit der Datenverarbeitung; sie schließt es aber nicht aus, rechtswidrige Eingriffe in das Recht auf informationelle Selbstbestimmung nach Maßgabe des nationalen Zivilrechts abzuwehren, sofern dadurch die unionsrechtlichen Wertungen nicht unterlaufen, sondern ihnen Geltung verschafft wird.

b) Auf dieser Grundlage sind die Unterlassungsansprüche zu den Ziffern 2) und 3) begründet.

aa) Der Beklagten ist sowohl vertraglich als auch nach den §§ 1004 Abs. 1 S. 2, 823 Abs. 1 BGB jede nicht durch eine wirksame Einwilligung oder eine sonstige tragfähige Rechtsgrundlage gedeckte Erfassung, Übermittlung, Speicherung und Verwendung der im Antrag bezeichneten personenbezogenen Daten der Klägerin über Meta Business-Tools auf Dritt-Webseiten und in Dritt-Apps verboten. Ebenso wie die Oberlandesgerichte München, Dresden und Naumburg geht der Senat - wie bereits dargelegt - davon aus, dass die mittels der Business-Tools der Beklagten erhobenen und verarbeiteten Daten unzulässig verarbeitet werden, soweit dies ohne tragfähige Rechtfertigung erfolgt. Dies stellt sowohl eine Verletzung vertraglicher Pflichten aus dem Nutzungsvertrag als auch einen rechtswidrigen Eingriff in das Recht der Klägerin auf informationelle Selbstbestimmung dar (OLG München, a.a.O., Rn. 421 ff.; OLG Dresden, a.a.O., Rn. 146; OLG Naumburg, a.a.O., Rn. 282 ff., 295). Dies betrifft dementsprechend auch die Weitergabe der seit dem 17. April 2020 generierten Daten, die die Beklagte bei vertragsgemäßem Verhalten gar nicht hätte erheben dürfen. Anders als das Landgericht es in diesem Zusammenhang gemeint hat (LGU 9 f.), war es nach den o.g. Ausführungen auch unter diesem Gesichtspunkt nicht Aufgabe der Klägerin, ihr Surfverhalten im Einzelnen darzulegen.

bb) Die hiergegen gerichteten Einwände der Beklagten (vgl. etwa die Ausführungen auf Seite 65 f. der Berufungserwiderung) greifen nicht durch.

aaa) Soweit sie geltend macht, die DSGVO harmonisiere das Datenschutzrecht abschließend und lasse für weitergehende nationale Ansprüche keinen Raum (Seite 67 der Berufungserwiderung), vermag der Senat dem aus den dargelegten Gründen nicht zu folgen.

bbb) Ebenso wenig steht dem Anspruch entgegen, dass die Klägerseite den Schutz ihres allgemeinen Persönlichkeitsrechts und die vertragliche Rücksichtnahmepflichtverletzung auf denselben Lebenssachverhalt stützt. Gerade darin liegt kein unzulässiges Überschreiten prozessualer Grenzen, sondern die zulässige Herleitung eines einheitlichen Unterlassungsbegehrens aus mehreren sich ergänzenden Anspruchsgrundlagen. Auch die Einwände gegen eine vertragliche Grundlage verfangen nicht, weil die Beklagte die streitgegenständliche Datenverarbeitung aus dem zwischen den Parteien bestehenden Nutzungsvertrag heraus rechtfertigt und sich deshalb an dessen Schutz- und Rücksichtnahmepflichten festhalten lassen muss.

ccc) Die für den Unterlassungsanspruch erforderliche Wiederholungsgefahr ist - entgegen der auf Seite 69 der Berufungserwiderung geäußerten Auffassung der Beklagten - gegeben. Eine bereits begangene Vertragspflicht- oder Rechtsverletzung begründet die tatsächliche Vermutung ihrer Wiederholung; dies gilt nicht nur für identische Verletzungsformen, sondern auch für im Kern gleichartige weitere Pflichtverletzungen (OLG Naumburg, a.a.O., Rn. 296 unter Hinweis auf BGH, Urt. v. 29.07.2021 - III ZR 179/20, Rn. 103; vgl. auch OLG München, a.a.O., Rn. 418). Die rechtswidrige Datenverarbeitung der Beklagten begründet daher einen fortdauernden Verstoß gegen Haupt- oder Nebenpflichten des Nutzungsvertrags und vermittelt zugleich einen nicht von einer Einwilligung gedeckten Eingriff in das allgemeine Persönlichkeitsrecht der Klägerin (vgl. OLG München, a.a.O.). Der Schutz der Klägerin vor unbegrenzter Erhebung, Speicherung, Verwendung und Weitergabe ihrer personenbezogenen Daten findet seine verfassungs- und unionsrechtliche Grundlage im Recht auf informationelle Selbstbestimmung sowie in Art. 7 und 8 GRCh, Art. 8 EMRK und der hierzu entwickelten Rechtsprechung des Gerichtshofs der Europäischen Union und des Bundesverfassungsgerichts (vgl. hierzu eingehend OLG Naumburg, a.a.O., Rn. 282 m.w.N.).

ddd) Das von der Klägerin formulierte Unterlassungsbegehren greift überdies weder unverhältnismäßig in die Rechte der Beklagten ein, noch überschreitet dieses in prozessual unzulässiger Weise den Rahmen des deutschen Zivilprozesses (entgegen Seite 42 f. der Berufungserwiderung). Der tenorierte Unterlassungsausspruch verbietet der Beklagten nicht den Einsatz der Meta Business-Tools als solchen, sondern beschränkt sich auf das Verbot der Erhebung und Verarbeitung personenbezogenen Daten der Klägerin, soweit hierfür keine informierte Einwilligung oder sonstige tragfähige Rechtfertigung besteht. Ein etwaiger Eingriff in die Berufsausübungsfreiheit der Beklagten bleibt damit auf das zur Sicherung der Rechte der Klägerin Erforderliche begrenzt. Ein datengetriebenes Geschäftsmodell kann keinen Vorrang vor den Grundrechten der Betroffenen aus Art. 7 und 8 GRCh und dem allgemeinen Persönlichkeitsrecht beanspruchen, soweit die konkrete Datenverarbeitung nicht rechtmäßig legitimiert ist.

Zwar mag der Ansatz der Beklagten noch nachvollziehbar sein, dass der Zivilprozess an sich nicht das geeignete Mittel ist, um sich in „allgemeiner Weise“ gegen ihre Geschäftsmodelle zu wenden (vgl. hierzu die Berufungserwiderung Rn. 117). Allerdings überschreitet der Unterlassungsantrag nicht in unzulässiger Weise den Rahmen eines deutschen Zivilprozesses. Der Senat hat hier nicht zu entscheiden, ob die Verarbeitung von Daten über die Business-Tools generell rechtswidrig ist, sondern ob sich aus einer Anspruchsgrundlage im deutschen Zivilrecht oder im Unionsrecht ein Anspruch der jeweiligen Klagepartei auf Unterlassung der Datenverarbeitung ihrer personenbezogenen Daten ergibt.

eee) Soweit die Datenverarbeitungsvorgänge betreffend die hiesige Klägerin mit weiteren Datenverarbeitungsvorgängen anderer Nutzer so verknüpft sind, dass eine individuelle Trennung der Datenverarbeitungsvorgänge technisch nicht möglich sein sollte, steht dieser Umstand dem individuellen Rechtsschutz für die Klägerin nicht entgegen. Gegebenenfalls muss die Beklagte ihre Datenverarbeitung dann diesen rechtlichen Erfordernissen anpassen, wenn sie die Datenverarbeitung über die Business-Tools für die weiteren Nutzer weiter bereitstellen möchte (vgl. hierzu auch OLG Naumburg, a.a.O., Rn. 299).

3. Begründet ist zudem der Löschungsantrag zu Ziffer 4).

a) Der Klägerin steht auf der Grundlage der vorangegangenen Ausführungen ein Anspruch auf Löschung ihrer in Ziffer 1a) des Antrages aufgeführten personengebundenen Daten gemäß Art. 17 Abs. 1 lit. b und d DSGVO zu. Der Senat schließt sich auch insoweit der einhelligen obergerichtlichen Rechtsprechung an (vgl. statt vieler OLG Jena, a.a.O., S. 32 ff.; OLG Stuttgart, a.a.O., S. 35). Die personenbezogenen Daten der Klägerin werden unrechtmäßig verarbeitet gemäß Art. 17 Abs. 1 lit. d DSGVO. Die Beklagte hat - wie bereits dargelegt - keine ausreichenden Rechtfertigungsgründe gem. Art. 6 Ziff. 1 Unterabs. 1 DSGVO dargelegt und bewiesen. Des Weiteren hat die Beklagte nicht nachvollziehbar dargelegt, wie sie mit von Drittwebseiten übermittelten sensiblen Daten im Sinne von Art. 9 Abs. 1 DSGVO verfährt. Die Verarbeitung dieser personenbezogenen Daten ist grundsätzlich untersagt.

b) Dementsprechend steht der Klägerin auch ein Anspruch auf Anonymisierung der im Antrag unter Ziffer 1b) und c) aufgeführten Daten zu, Art. 17 DSGVO (OLG Dresden, a.a.O., Rn. 190).

Die DSGVO sieht zwar kein ausdrückliches Recht auf Anonymisierung vor, jedoch ist dies ein Minus zur Löschung und damit von Art. 17 DSGVO umfasst. Dem mit der Löschung verfolgten Interesse an der fehlenden Verarbeitung personenbezogener Daten kann auch durch entsprechende Anonymisierung der Daten und damit Lösung vom Personenbezug entsprochen werden, wenn die betroffene Person die Anonymisierung verlangt. Schließlich kann die betroffene Person den Umfang ihres Löschungsrechts selbst bestimmen, zum Beispiel durch Beschränkung ihres Antrags auf bestimmte Daten, Datenarten aber auch auf bestimmte Formen, Zwecke oder Teile der Verarbeitung (vgl. OLG Dresden, a.a.O., Rn. 191; vgl. auch BGH, Beschl. v. 04.06.2024 - II ZB 10/23, Rn 19, juris).

c) Der Anspruch der Klägerin ist auch nicht durch die Zurverfügungstellung des Self-Service-Tools der Beklagten erfüllt worden (entgegen Seite 79 der Berufungserwiderung). Zwar kann die Klägerin eine Löschung von Daten durch entsprechende Auswahl vornehmen. Hierdurch werden jedoch die Offsite-Daten lediglich vom Account der Klägerin getrennt und nicht im eigentlichen Sinne gelöscht (vgl. hierzu OLG Jena, a.a.O., S. 34; OLG Naumburg, a.a.O., Rn. 331).

d) Schließlich muss sich die Klägerin aufgrund der überragenden marktübergreifenden Stellung der Beklagten nach einhelliger obergerichtlicher Rechtsprechung in vergleichbaren Konstellationen, der der Senat folgt, entgegen der von der Beklagten vertretenen Rechtsauffassung (vgl. Seite 79 f. der Berufungserwiderung), nicht auf eine Löschung ihres Nutzerprofils verweisen lassen (vgl. etwa OLG Jena, a.a.O., S. 34).

4. Die Klägerin hat gegen die Beklagte einen Anspruch auf Ersatz eines nach § 287 ZPO zu schätzenden immateriellen Schadens in Höhe von 500,00 € nebst Zinsen aus Art. 82 Abs. 1 DSGVO (so im Ergebnis auch OLG Stuttgart, a.a.O.).

a) Der Anspruch folgt aus Art. 82 Abs. 1 DSGVO. Diese Vorschrift setzt einen Verstoß gegen die Verordnung, einen kausalen materiellen oder immateriellen Schaden und einen Kausalzusammenhang zwischen Verstoß und Schaden voraus.

Diese Voraussetzungen liegen im Streitfall vor (vgl. zu einer gleichgelagerten Konstellation bereits OLG Naumburg, a.a.O., Rn. 335, 339-342; EuGH, Urt. v. 04.10.2024 - C-507/23, Rn. 24, juris). Nach den vorstehenden Ausführungen hat die Beklagte personenbezogene Daten der Klägerin im Zusammenhang mit ihrem Nutzungs- und Surfverhalten auf Dritt-Webseiten und in Dritt-Apps ohne wirksame Einwilligung oder sonstige tragfähige Rechtsgrundlage verarbeitet. Der hierdurch bewirkte Verlust der Kontrolle über die eigenen personenbezogenen Daten stellt einen immateriellen Schaden der Klägerin dar. Das Überschreiten einer bestimmten Erheblichkeitsschwelle und eines Nachweises zusätzlicher spürbarer Nachteile bedarf es nicht; ausreichend ist, dass die betroffene Person einen tatsächlichen, wenn auch geringfügigen immateriellen Nachteil erlitten hat (vgl. BGH, Urt. v. 18.11.2024 - VI ZR 10/24, juris; EuGH, Urt. v. 04.09.2025 - C-655/23, Rn. 60, juris; jeweils für inhaltsgleiche Sachverhalte vgl. OLG Naumburg, a.a.O., Rn. 343; OLG München, a.a.O., Rn. 395-397; OLG Dresden, a.a.O., Rn. 194, 196, 197).

b) Ein solcher Schaden, der nichts mit dem von der Beklagten vorgebrachten „Strafschadensersatz“ (vgl. S. 89 Berufungserwiderung) zu tun hat, den die zuständige Aufsichtsbehörde in Form einer Geldbuße im Falle eines Verstoßes gem. Art. 83 DSGVO neben einem etwaigen individuellen Anspruch auf Schadenersatz nach Art. 82 Abs. 1 DSGVO verhängen kann (vgl. hierzu OLG Hamm, Urt. v. 20.01.2023 – I-11 U 88/22, Rn. 152, juris), ist unter Beachtung der genannten Maßstäbe hier gegeben.

aa) Zwar hat die Klägerin im Rahmen ihrer persönlichen Anhörung im Senatstermin am 17. Juni 2026 keine über den allgemeinen Kontrollverlust hinausgehende konkrete Belastung geschildert. Maßgeblich ist jedoch nicht, ob die Klägerin ihre Beeinträchtigung in juristisch oder datenschutztheoretisch hervorgehobener Weise beschreiben kann, sondern ob ihr infolge des Verstoßes tatsächlich die Kontrolle über personenbezogene Daten entzogen worden ist, die Rückschlüsse auf ihr Verhalten im Internet erlauben. Das ist der Fall. Gegenstand der rechtswidrigen Verarbeitung sind nicht lediglich isolierte Stammdaten, sondern Informationen über die Nutzung von Dritt-Webseiten und Dritt-Apps über Zeitpunkte, Interaktionen, aufgerufene Inhalte und technische Zuordnungsmerkmale. Gerade diese Daten betreffen das persönliche Nutzungsverhalten im Internet und ermöglichen Einblicke in Interessen, Gewohnheiten, Vorlieben und Lebensführung. Wer nicht überblicken kann, auf welchen Seiten und in welchen Apps solche Daten erfasst, an die Beklagte übermittelt, dort gespeichert, aggregiert und weiterverwendet werden, erleidet einen realen Verlust an Kontrolle über die Darstellung und Verfügbarkeit seiner Persönlichkeit im digitalen Raum. Dieser Nachteil ist keine bloß abstrakte Rechtsverletzung, sondern eine konkrete immaterielle Einbuße, weil der Betroffenen die Herrschaft darüber entzogen wird, welche Spuren ihres Verhaltens außerhalb der Plattform bei der Beklagten zusammengeführt werden (vgl. OLG Dresden, a.a.O., Rn. 196, 197; OLG München, a.a.O., Rn. 395-397; OLG Naumburg, a.a.O., Rn. 343).

bb) Die persönliche Anhörung der Klägerin rechtfertigt es indes, den Kontrollverlust nicht lediglich als formale oder nur geringfügige Beeinträchtigung zu bewerten. Die Klägerin hat nachvollziehbar geschildert, dass sie zahlreiche digitale Dienste nutzt, darunter die drei Meta-Dienste Facebook, Instagram und WhatsApp, daneben Netflix, Spotify, Apps, digitale Kundenkarten sowie Bonus- und Payback-Programme. Ihre digitale Alltagsnutzung ist damit nicht auf einzelne Randbereiche beschränkt, sondern in Einkäufe, Kommunikation, Unterhaltung, Gesundheits- und Alltagsorganisation eingebunden. Zugleich hat sie deutlich gemacht, dass sie nicht sorglos mit personenbezogenen Daten umgeht, sondern regelmäßig nur notwendige Angaben macht, persönliche Präferenzen möglichst nicht offenlegt, Cookie-Einstellungen reduziert und die Funktion „alle akzeptieren“ gerade nicht routinemäßig nutzt. Diese Angaben belegen, dass der Eingriff eine Nutzerin betrifft, die Datenschutzentscheidungen bewusst trifft und deren berechtigtes Vertrauen in die eigene Steuerbarkeit der Datenpreisgabe durch die intransparente Offsite-Verarbeitung in besonderer Weise beeinträchtigt worden ist.

Die Klägerin hat im Rahmen ihrer Anhörung am 17. Juni 2026 darüber hinaus plausibel dargelegt, dass die Kenntnis von der streitgegenständlichen Datenverarbeitung zu einer fortwirkenden Verhaltensanpassung geführt hat. Sie hat ihre Konten überprüft, Newsletter und Einstellungen nach ihrer Erinnerung reduziert, Passwörter geändert und nunmehr technisch generieren lassen sowie ihre Cookie-Einstellungen restriktiver gehandhabt. Zwar hat sie diese Maßnahmen selbst eher als einen Ausdruck allgemeiner Sensibilisierung beschrieben und nicht jede einzelne Änderung ausschließlich auf den hier streitigen Vorgang zurückgeführt. Entscheidend ist jedoch, dass der Vorfall nach ihrer glaubhaften Darstellung Anlass und Verstärker einer nachhaltigen Vorsicht im digitalen Alltag war. Der Schaden liegt gerade nicht nur in einem einmaligen Ärgernis, sondern in der auch heute noch für sie bestehenden Unsicherheit, welche Daten bei welchen Anbietern zusammengeführt, ausgewertet und zurückgespiegelt werden.

c) Die Höhe des nach § 287 ZPO zu schätzenden Schadensersatzes unterliegt einer tatrichterlichen Würdigung (vgl. statt vieler OLG Naumburg, a.a.O., Rn. 343; OLG Dresden, a.a.O.). Maßgeblich sind für den hier zu bemessenden immateriellen Schaden die Umstände des Einzelfalls. Nach der persönlichen Anhörung der Klägerin ist zwar von einem tatsächlichen Kontrollverlust über ihr Offsite-Nutzungsverhalten auszugehen; besondere individuelle Belastungsfolgen, intensive Besorgnisse oder weitergehende psychische Beeinträchtigungen hat der Senat hingegen nicht feststellen können. Unter Berücksichtigung des Umfangs der rechtswidrigen Verarbeitung einerseits und der nur gering konkretisierten persönlichen Betroffenheit andererseits hält der Senat deshalb einen Betrag von 500,00 € für erforderlich, aber auch ausreichend, um den erlittenen, immateriellen Schaden vollständig auszugleichen.

Im Einzelnen:

aa) Besonderes Gewicht erhält die Beeinträchtigung dadurch, dass die Klägerin konkrete sensible Lebensbereiche benannt hat. Sie hat auf Nachfrage des Senats ausgeführt, sich in ihrer derzeitigen Schwangerschaftssituation mit Informationen zu Schwangerschaft, Gesundheit, medizinischen Verfahren, Nahrungsergänzungsmitteln, Doctolib-Terminen, Elterngeld, Kinderkleidung und damit mit Lebenssachverhalten zu befassen, die typischerweise Rückschlüsse auf Gesundheit, Familienplanung, wirtschaftliche und persönliche Lebensumstände zulassen. Gerade bei solchen Themen ist das Interesse an unbeobachteter Informationssuche besonders schutzwürdig. Die Klägerin hat dies lebensnah dahin beschrieben, dass ihr Körper vor allem sie und nicht „alle anderen“ etwas angehe.

Diese Aussage bringt keinen bloß abstrakten Datenschutzvorbehalt, sondern eine persönlich empfundene Beeinträchtigung der Privatheit zum Ausdruck. Dass sie sich gleichwohl nicht vollständig aus der digitalen Informationsbeschaffung zurückzieht, spricht nicht gegen, sondern für die Realitätsnähe ihrer Betroffenheit: Sie empfindet sich als auf digitale Informationen angewiesen, möchte deren Nutzung aber nicht mit der Ungewissheit bezahlen, dass ihr Verhalten außerhalb der Plattform durch die Beklagte erfasst und mit Profilen verknüpft wird.

bb) Hinzu kommt, dass die Klägerin die Auswirkungen nicht dramatisiert hat. Sie hat weder Schlafstörungen noch ärztliche Behandlungen oder konkrete Kontomissbrauchsereignisse behauptet, sondern ihre Beeinträchtigung im Kern als Kontrollverlust, Verunsicherung, erhöhte Vorsicht und Ärger über die fehlende Übersicht beschrieben. Gerade diese zurückhaltende Darstellung spricht für ihre Glaubwürdigkeit. Der Senat bewertet daher nicht eine spekulative Gefahrenlage oder eine generalpräventive Sanktion, sondern einen konkret feststellbaren immateriellen Nachteil: Die Klägerin kann nicht mehr verlässlich überblicken, welche Offsite über sie bei der Beklagten vorhanden sind, wie diese gebündelt werden und in welchen Alltagssituationen — etwa bei Produkt-, Gesundheits- oder familienbezogenen Recherchen — ihr Verhalten in personalisierten Anzeigen oder Empfehlungen erneut sichtbar wird.

cc) Bei der Bemessung des immateriellen Schadens ist schließlich zu berücksichtigen, dass die Verarbeitung nicht punktuell blieb, sondern potenziell eine Vielzahl von Nutzungssituationen außerhalb der hier in Rede stehenden Plattform erfassen könnte. Nach den Angaben der Klägerin betrifft dies etwa folgende, von ihr genutzten Webseiten: DocMorris, Doctolib, Elterngeldrechner, Veranstaltungs- und Vereinsseiten, Musikbereich, Kinderkleidung sowie gelegentliche Nachrichtenseiten, was die Breite der betroffenen Lebensbereiche verdeutlicht. Ein auf der niedrigsten Stufe angesiedelter Betrag würde diesem Zuschnitt des Eingriffs nicht gerecht. Andererseits hat die Klägerin keine gravierenden psychischen Folgeschäden, keine konkreten finanziellen Nachteile und keine individualisierbaren Missbrauchshandlungen dargetan. In der Gesamtschau erscheint deshalb ein Ausgleich von 500,00 € angemessen. Er trägt der Breite und Sensibilität der betroffenen Offsite-Daten, der fortwirkenden Unsicherheit und der nachvollziehbaren Verhaltensanpassung Rechnung, bleibt aber deutlich unter Beträgen, die bei zusätzlichen schwerwiegenden Belastungsfolgen in Betracht kämen.

Über diesen Betrag hinaus ist ein immaterieller Schadensersatz nicht gerechtfertigt. Die Anhörung der Klägerin hat ebenso deutlich ergeben, dass sie personenbezogene Daten im digitalen Alltag nicht generell zurückhält, sondern – situations- und nutzungsbezogen – durchaus preisgibt. Sie nutzt nicht nur Dienste der Beklagten, sondern auch andere datengetriebene Angebote wie Google-Dienste, Streaming- und Musikdienste, digitale Kundenkarten, Bonusprogramme und Payback-Funktionen. Auch hat sie eingeräumt, bei Cookie-Bannern mit Zahlungsoptionen den Cookies zuzustimmen, wenn sie einen Text lesen möchte, ohne hierfür bezahlen zu müssen. Diese Angaben zeigen, dass die Klägerin den Einsatz personenbezogener Daten als Gegenleistung für digitale Inhalte, Komfort, Rabatte oder günstigere Nutzungsmöglichkeiten nicht grundsätzlich ablehnt, sondern im Alltag abwägend hinnimmt, wenn ihr der jeweilige Vorteil ausreichend erscheint.

Das relativiert nicht die Rechtswidrigkeit der hier beanstandeten Verarbeitung und lässt den eingetretenen Kontrollverlust nicht entfallen. Es begrenzt aber das Gewicht der individuellen Beeinträchtigung. Wer – wie die Klägerin – digitale Dienste breit nutzt, Bonus- und Kundenbindungsprogramme verwendet, personalisierte oder komfortsteigernde Funktionen in Anspruch nimmt und bei wirtschaftlichem oder praktischem Vorteil auch Cookies akzeptiert, kann einen rechtswidrigen Offsite‑Kontrollverlust nicht in gleicher Weise als existenziell einschneidende oder besonders tiefgreifende Erschütterung seiner gesamten digitalen Lebensführung geltend machen wie eine Person, die digitale Datenpreisgabe nahezu vollständig vermeidet und durch den Vorfall erstmals mit einer solchen Verarbeitung konfrontiert wird. Die Klägerin hat vielmehr ein differenziertes, aber nicht abstinentes Nutzungsverhalten beschrieben.

Gegen eine höhere Entschädigung spricht ferner, dass die Klägerin auf mehrfache Nachfrage des Senats keine konkreten Missbrauchsfolgen, keine betrügerischen Nachrichten, keine auffälligen Kontobewegungen, keine Anrufe, keine ärztlich behandlungsbedürftigen Belastungen, keine Schlafstörungen und keine sonstigen greifbaren Folgeereignisse mit dem Vorgang in Verbindung bringen konnte. Auch hat sie keine Auskunfts- oder Abwehrrechte gegenüber anderen Anbietern geltend gemacht. Ihre Maßnahmen – insbesondere Passwortgenerierung, Kontenüberprüfung und restriktivere Cookiestellungen – sind zwar als Reaktion auf eine gesteigerte Sensibilisierung zu würdigen, bleiben aber allgemeine Sicherungsmaßnahmen und nicht Ausdruck einer außergewöhnlichen, den Alltag beherrschenden Belastung.

Der klägerseits in diesem Rechtsstreit geltend gemachte Betrag von 5.000,00 € steht deshalb deutlich außer Verhältnis zu dem feststellbaren immateriellen Nachteil. Die Klägerin hat nachvollziehbar Unbehagen, Ärger, Unsicherheit und erhöhte Vorsicht geschildert; sie hat aber zugleich ihr digitales Nutzungsverhalten im Kern fortgeführt und personenbezogene Daten weiterhin in verschiedenen Zusammenhängen preisgegeben, wenn sie hierfür Kommunikation, Information, Komfort, Rabatte oder kostenfreien Zugang zu Inhalten erhält.

Ein Ausgleich von 500,00 € bildet diese gegenläufigen Gesichtspunkte angemessen ab: Er ist deutlich mehr als ein bloß symbolischer Betrag, weil die rechtswidrige Verarbeitung verhaltensbezogene Offsite-Daten und damit einen sensiblen Bereich digitaler Selbstbestimmung betrifft. Er überschreitet aber die gebotene Ausgleichsfunktion des Art. 82 DSGVO nicht, weil die konkrete persönliche Betroffenheit der Klägerin trotz ihrer nachvollziehbaren Sensibilisierung begrenzt geblieben ist. Eine darüberhinausgehende Entschädigung würde den Schadensersatz in die Nähe einer abschreckenden Sanktion rücken; eine solche Funktion kommt Art. 82 DSGVO indes nicht zu.

dd) Der Einwand der Beklagten, die zum sogenannten Scraping entwickelten Grundsätze seien auf den vorliegenden Sachverhalt nicht übertragbar, greift nicht durch. Zwar beruht der Schaden hier nicht auf einer öffentlichen Preisgabe von Daten im Internet, sondern auf ihrer rechtswidrigen, intransparenten und plattformübergreifenden Erhebung und Nutzung durch die Beklagte. Wertungsmäßig besteht jedoch kein wesentlicher Unterschied. In beiden Konstellationen liegt die Beeinträchtigung darin, dass personenbezogene Daten dem Herrschaftsbereich des Betroffenen und seiner eigenständigen Kontrolle entzogen werden. Der Umstand, dass die Daten hier nicht öffentlich sichtbar gemacht, sondern im Hintergrund erhoben, verknüpft und für eigene Zwecke der Beklagten verwendet werden, mindert den Kontrollverlust nicht, sondern verstärkt die Intransparenz des Eingriffs, weshalb auch die moderate Anhebung des Schmerzensgeldes in Betracht kommt.

d) Ein über 500,00 € hinausgehender immaterieller Anspruch ergibt sich entgegen der Auffassung der Klägerin, die insbesondere nochmals im Schriftsatz vom 11. Juni 2026 vorgebracht wurde, auch nicht aus § 823 Abs. 1 BGB in Verbindung mit Art. 1 Abs. 1, Art. 2 Abs. 1 GG und dem allgemeinen Persönlichkeitsrecht, auch wenn ein Schadensersatzanspruch nach Art. 82 DSGVO einen Schadensersatzanspruch nach § 823 Abs. 1 BGB nicht ausschließt (vgl. OLG Stuttgart, Urt. v. 29.04.2026 4 U 372/24 – 29 O 117/24). Die dort genannten Bezugsentscheidungen sind auf den vorliegenden Rechtsstreit nicht ohne Weiteres zu übertragen.

aa) Zwar schützt das allgemeine Persönlichkeitsrecht in seiner Ausprägung als Recht auf informationelle Selbstbestimmung davor, dass personenbezogene Daten ohne hinreichende gesetzliche Grundlage oder wirksame Einwilligung erhoben, gespeichert, verknüpft und verwendet werden. Die rechtswidrige Offsite-Verarbeitung mittels Meta Business Tools stellt deshalb, wie bereits im Zusammenhang mit den Unterlassungsansprüchen ausgeführt, auch einen Eingriff in das allgemeine Persönlichkeitsrecht der Klägerin dar. Daraus folgt jedoch nicht, dass neben dem nach Art. 82 DSGVO zugesprochenen Ausgleich ein höheres immaterielles Schmerzensgeld nach nationalem Deliktsrecht in Verbindung mit § 253 Abs. 2 BGB geschuldet wäre.

Dabei verkennt der Senat nicht den von der Klägerin hervorgehobenen verfassungsrechtlichen Ausgangspunkt. Das Recht auf informationelle Selbstbestimmung bezweckt nach der Rechtsprechung des Bundesverfassungsgerichts den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe persönlicher Daten. Es gewinnt im Verhältnis zwischen Privaten gerade dort besondere Bedeutung, wo private, marktmächtige Unternehmen durch umfangreiche personenbezogene Datensammlungen und algorithmengestützte Verarbeitungsprozesse Rahmenbedingungen öffentlicher Kommunikation, sozialer Teilhabe und alltäglicher Dienstleistungen prägen. Der Senat stellt deshalb nicht in Abrede, dass die hier beanstandete intransparente, website- und appübergreifende Erfassung verhaltensbezogener Daten grundrechtlich erheblich ist und bei der zivilrechtlichen Auslegung von § 823 Abs. 1 BGB, § 1004 BGB analog sowie den vertraglichen Rücksichtsnahmepflichten maßgeblich zu berücksichtigen ist.

Ebenso ist der Klägerin darin zu folgen, dass es bei der informationellen Selbstbestimmung nicht allein um äußerungsrechtlichen Persönlichkeitsschutz, öffentliche Bloßstellung oder die sichtbare Verbreitung bestimmter Informationen geht. Der Schutz richtet sich gerade auch gegen die intransparente Zuweisung von Persönlichkeitsmerkmalen, Profilen und Verhaltensmustern durch Dritte. Deshalb kann die fehlende öffentliche Bekanntgabe der Daten den Eingriff nicht entfallen lassen. Diese Erwägung trägt im vorliegenden Urteil die Annahme eines rechtswidrigen Eingriffs, die Zuerkennung der Unterlassungs-, Löschungs- und Anonymisierungsansprüche sowie den immateriellen Ausgleich nach Art. 82 DSGVO.

bb) Soweit derselbe Lebenssachverhalt aber zugleich als Eingriff in das allgemeine Persönlichkeitsrecht beschrieben wird, darf dies nicht zu einer doppelten oder wertungsmäßig erhöhten Entschädigung für denselben Kontrollverlust führen. Der Anspruch aus Art. 82 DSGVO dient bereits dem vollständigen Ausgleich gerade des immateriellen Nachteils, der aus einer unionsrechtswidrigen Verarbeitung personenbezogener Daten folgt. Das nationale Deliktsrecht kann den unionsrechtlichen Ausgleichsanspruch flankieren, insbesondere Unterlassungs- und Abwehransprüche tragen; es eröffnet aber keine zusätzliche Anspruchsstufe, wenn die geltend gemachte Beeinträchtigung inhaltlich vollständig in dem bereits berücksichtigten Verlust der Kontrolle über personenbezogene Daten, der hieraus folgenden Unsicherheit und den hierdurch ausgelösten Verhaltensanpassungen aufgeht. Dies ist hier der Fall.

cc) Auch nach den Maßstäben des allgemeinen Persönlichkeitsrechts rechtfertigt der festgestellte Eingriff keine höhere Geldentschädigung. Eine Geldentschädigung wegen Verletzung des allgemeinen Persönlichkeitsrechts setzt nach nationalem Recht regelmäßig eine schwerwiegende Beeinträchtigung voraus, deren Folgen nicht in anderer Weise befriedigend ausgeglichen werden können. Maßgeblich sind insbesondere Bedeutung und Tragweite des Eingriffs, Anlass und Beweggrund des Handelnden, Grad des Verschuldens, Verbreitungsgrad, Nachhaltigkeit der Beeinträchtigung sowie Art und Intensität der Auswirkungen auf die betroffene Person. Der Senat teilt die hierzu von der Klägerin im Schriftsatz vom 11. Juni 2026 (dort Seite 8) nicht, wonach ein „schwerwiegenderer Eingriff zwischen Privaten kaum denkbar“ erscheine. Etwas anderes ergibt sich auch nicht aus den von der Klägerin herangezogenen Entscheidungen des Bundesverfassungsgerichts (vgl. hierzu Seite 2 ff. im Schriftsatz vom 11. Juni 2026):

Die von der Klägerin herangezogenen Entscheidungen zur Vorratsdatenspeicherung, zur strategischen Fernmeldeaufklärung und zu staatlichen Ermittlungs- oder Überwachungsmaßnahmen belegen zwar, dass Streubreite, Intransparenz, Profilbildungsmöglichkeiten und ein diffuses Gefühl des Beobachtetseins das Eingriffsgewicht vertiefen können. Sie führen aber nicht dazu, dass die zivilrechtliche Geldentschädigung im Verhältnis zwischen Privaten unabhängig von den konkret festgestellten Folgen allein nach der objektiven Gefährlichkeit eines datengetriebenen Geschäftsmodells zu bemessen wäre. Die genannten Entscheidungen betreffen staatliche oder staatsnahe Eingriffsarchitekturen mit eigenen verfassungsrechtlichen Rechtfertigungsanforderungen. Für den vorliegenden Zivilrechtsstreit folgt daraus eine strenge Prüfung der Rechtmäßigkeit der Datenverarbeitung und ein effektiver Abwehrrechtsschutz; daraus folgt jedoch nicht automatisch ein deliktischer Geldanspruch in der von der Klägerin begehrten Höhe.

Soweit die Klägerin geltend macht, dass eine massenhafte oder systematische Erfassung der Daten einen höheren Entschädigungsbetrag rechtfertige, verkennt sie, dass bei der Bemessung einer individuellen Geldentschädigung zu fragen ist, welcher konkrete immaterielle Nachteil der einzelnen Klägerin entstanden ist und ob über die bereits zugesprochenen Abwehr- und Beseitigungsansprüche hinaus eine höhere Zahlung erforderlich ist. Streubreite erhöht das objektive Eingriffsgewicht; sie ersetzt aber nicht die tatrichterliche Feststellung einer über den Kontrollverlust hinausgehenden, individuell schwerwiegenden Persönlichkeitsbeeinträchtigung.

dd) Zwar ist der Klägerin zuzugeben, dass die Verarbeitung intransparent erfolgte, sich potenziell auf eine Vielzahl von Drittseiten und Apps erstreckte und verhaltensbezogene Daten betraf, aus denen sich Rückschlüsse auf Interessen, Lebensführung und teilweise auch sensible Lebensbereiche ergeben können. Gerade deshalb hat der Senat die Beeinträchtigung nicht als Verstoß von geringerem Gewicht behandelt, sondern einen spürbaren Ausgleich zugesprochen. Diese Gesichtspunkte tragen aber bereits die Bemessung nach Art. 82 DSGVO und sind dort vollständig eingestellt worden. Ein darüberhinausgehender Betrag ließe sich auch nach Deliktsrecht nur rechtfertigen, wenn zusätzliche, über den datenschutzrechtlichen Kontrollverlust hinausgehende (kausale) Persönlichkeitsfolgen feststellbar wären, was nicht der Fall ist.

Dies gilt auch unter Berücksichtigung des klägerischen Hinweises, dass die Geldentschädigung wegen Verletzung des allgemeinen Persönlichkeitsrechts ein eigenständiges, aus Art. 1 Abs. 1 und Art. 2 Abs. 1 GG entwickeltes Rechtsinstitut ist und nicht mit dem Schmerzensgeld nach § 253 Abs. 2 BGB gleichgesetzt werden darf. Der Senat stellt diese dogmatische Eigenständigkeit nicht infrage. Sie bedeutet jedoch nicht, dass die Geldentschädigung ihre Ausgleichsfunktion verliert oder zu einem allgemeinen zivilrechtlichen Sanktionsinstrument gegen datengetriebene Geschäftsmodelle wird. Auch die Geldentschädigung wegen Persönlichkeitsrechtsverletzung setzt eine schwerwiegende Verletzung und die Erforderlichkeit einer Zahlung voraus, weil Genugtuung und Prävention nur im Rahmen des konkreten Persönlichkeitsverstoßes und seiner Folgen Berücksichtigung finden können.

ee) Solche zusätzlichen Folgen liegen nicht vor: Die Klägerin hat keine öffentliche Bloßstellung, keine Preisgabe intimer Inhalte an einen bestimmten Empfängerkreis, keine soziale Stigmatisierung, keine konkrete Profilverwendung gegenüber Dritten, keine Rufbeeinträchtigung und keinen konkreten Missbrauch ihrer Daten dargelegt. Ebenso wenig hat sie Schlafstörungen, ärztliche Behandlungen, anhaltende Angstzustände oder eine erhebliche Einschränkung ihrer digitalen oder sozialen Teilhabe geschildert. Ihre Betroffenheit besteht nach der persönlichen Anhörung vielmehr in Ärger, Verunsicherung, erhöhter Vorsicht, restriktiveren Cookiegeänderten Passwörtern und dem Gefühl, nicht mehr vollständig überblicken zu können, welche Daten bei der Beklagten vorhanden sind und wie sie gebündelt werden. Diese Beeinträchtigungen sind real und ausgleichsfähig, erreichen aber auch unter dem Blickwinkel des allgemeinen Persönlichkeitsrechts nicht das Gewicht, das eine Entschädigung in der von der Klägerin geltend gemachten Größenordnung tragen könnte.

ff) Gegen eine höhere deliktische Entschädigung spricht in diesem Zusammenhang zudem das von der Klägerin selbst beschriebene Nutzungsverhalten. Sie nutzt - wie bereits dargelegt - zahlreiche digitale Dienste, darunter Dienste der Beklagten, Google-Dienste, Streaming- und Musikangebote, digitale Kundenkarten, Bonusprogramme und Payback-Funktionen. Sie gibt personenbezogene Daten generell nicht preis, sondern entscheidet situationsbezogen, welche Angaben sie macht und welche Vorteile – etwa Komfort, Rabatte, Zahlungsfunktionen, Informationszugang oder das Lesen eines Textes ohne Zahlung – ihr die Preisgabe oder Hinnahme bestimmter Datenverarbeitungen wert sind. Sie hat insbesondere eingeräumt, bei Cookie‑Bannern mit Zahlungsoptionen Cookies zu akzeptieren, wenn sie den Inhalt andernfalls nur gegen Zahlung lesen könnte. Diese Umstände schließen die Rechtswidrigkeit des hier beanstandeten Verhaltens nicht aus. Sie zeigen aber, dass die Klägerin nicht in einer Weise betroffen ist, die einer umfassenden Zerstörung ihrer digitalen Selbstbestimmung oder einer tiefgreifenden Erschütterung ihres Persönlichkeitsbildes gleichkäme.

gg) Soweit die Klägerin auf Schwangerschafts-, Gesundheits-, Familien‑ und Alltagsthemen verweist, hat der Senat diese Sensibilität ausdrücklich zu ihren Gunsten berücksichtigt. Sie rechtfertigt den zugesprochenen Betrag, nicht aber dessen Erhöhung auf 5.000,00 €. Denn auch insoweit ist nicht festgestellt, dass konkrete Gesundheitsdaten der Klägerin individualisiert ausgewertet, gegenüber Dritten offengelegt oder in einer Weise verwendet worden wären, die zu einer besonderen persönlichen Herabsetzung, Ausgrenzung oder nachhaltigen psychischen Belastung geführt hätte. Es verbleibt bei einem gewichtigen, aber abstrakt-konkreten Kontrollverlust über verhaltensbezogene Offsite-Daten, nicht bei einer nachweisbaren Verletzung des Kernbereichs privater Lebensgestaltung.

hh) Soweit die Klägerin weiter geltend macht, Unterlassungs- und Löschungsansprüche böten keinen hinreichend effektiven Rechtsschutz, weil ihre Durchsetzung gegenüber der Beklagten praktisch schwierig sein könne, rechtfertigt dies keine andere Beurteilung des Schmerzensgeldanspruchs. Das Zivilgericht hat über die konkreten Ansprüche der Parteien zu entscheiden. Es darf nicht unterstellen, dass die Beklagte rechtskräftige gerichtliche Unterlassungs-, Löschungs- oder Anonymisierungsgebote missachten werde, um hieraus vorsorglich eine höhere Geldentschädigung abzuleiten. Für die Durchsetzung rechtskräftiger Titel stellt die Zivilprozessordnung Ordnungsmittel, Zwangsvollstreckung und gegebenenfalls weitere Rechtsschutzmöglichkeiten bereit. Praktische Vollzugsschwierigkeiten können die Reichweite des Tenors und die Anforderungen an seine Bestimmtheit beeinflussen; sie ersetzen aber nicht die Voraussetzungen einer erhöhten deliktischen Geldentschädigung.

ii) Auch der von der Klägerin geforderte „Hemmungseffekt“ führt zu keinem anderen Ergebnis. Das allgemeine Persönlichkeitsrecht kennt bei vorsätzlichen oder kommerziell motivierten Eingriffen zwar auch Genugtuungs- und Präventionsgesichtspunkte. Diese dürfen jedoch nicht dazu führen, dass die Geldentschädigung losgelöst vom individuellen Schaden als Instrument der Markt- oder Geschäftsmodellregulierung bemessen wird. Die Durchsetzung datenschutzrechtlicher Strukturpflichten, die Sanktionierung systemischer Verstöße und die Abschreckung gegenüber großen Marktteilnehmern sind primär Aufgabe der Aufsichtsbehörden, des Unionsrechts, kollektiver Rechtsschutzinstrumente und der titulierten Unterlassungs- und Beseitigungsansprüche. Der individualrechtliche Geldanspruch darf diese Funktionen nicht ersetzen, indem er nach bilanziellen Risiken, möglichen Rückstellungen oder der gewünschten Änderung des Geschäftsmodells der Beklagten bemessen wird.

jj) Der Hinweis der Klägerin auf die Entscheidung des Landesarbeitsgerichts Hamm vom 28. Mai 2025 (18 SLa 959/24, juris) führt ebenfalls nicht weiter. Unabhängig davon, ob und in welchem Umfang die dortige Bewertung einer Überwachung eines Arbeitnehmers durch den Arbeitgeber zutreffend auf andere Fallgruppen übertragbar ist, betraf sie eine andere Eingriffssituation mit einem anderen Näheverhältnis, anderen Kontrollmöglichkeiten und einer anders gelagerten Überwachungssituation. Die Bemessung einer Geldentschädigung wegen Verletzung des allgemeinen Persönlichkeitsrechts ist einzelfallbezogen. Aus einer arbeitsrechtlichen Entscheidung über eine konkrete Überwachungssituation lässt sich deshalb kein allgemeiner Maßstab ableiten, wonach die hier streitige Offsite-Datenverarbeitung regelmäßig eine Entschädigung in einer vielfach höheren Größenordnung erfordern würde.

kk) Schließlich ist zu berücksichtigen, dass die Klägerin bereits mit den tenorierten Unterlassungs-, Löschungs- und Anonymisierungsansprüchen wirksamen Individualrechtsschutz erhält. Diese Ansprüche beseitigen und begrenzen die fortdauernde Persönlichkeitsbeeinträchtigung zukunftsgerichtet. Auch dies spricht dagegen, die Geldentschädigung nach nationalem Persönlichkeitsrecht über den nach Art. 82 DSGVO für den bereits eingetretenen immateriellen Nachteil erforderlichen Betrag hinaus zu erhöhen. Die Geldentschädigung dient nicht dazu, ein rechtswidriges Geschäftsmodell abstrakt zu sanktionieren oder generalpräventiv zu bestrafen. Sie hat den konkret festgestellten persönlichen Nachteil auszugleichen.

ll) Danach bleibt es auch bei Heranziehung von § 823 Abs. 1 BGB in Verbindung mit Art. 1 Abs. 1, Art. 2 Abs. 1 GG und dem allgemeinen Persönlichkeitsrecht bei einer Gesamtentschädigung von 500,00 €. Der Senat nimmt die grundrechtliche Dimension der streitgegenständlichen Offsite-Verarbeitung, auf die der klägerische Prozessbevollmächtigte im Verhandlungstermin nochmals eindrücklich hingewiesen hat, ernst und hat sie bei der Bejahung der Rechtswidrigkeit, bei den Unterlassungs-, Löschungs- und Anonymisierungsansprüchen sowie bei der Bemessung des immateriellen Ausgleichs berücksichtigt. Der Betrag von 500,00 € trägt dem Eingriffsgewicht, der Breite der möglichen Offsite-Erfassung und der nachvollziehbaren Verunsicherung der Klägerin hinreichend Rechnung.

4. Unbegründet ist hingegen der Anspruch auf Erstattung vorprozessualer Rechtsverfolgungskosten. Die Klägerin ist rechtsschutzversichert. Den Vortrag der Beklagten, die Rechtsschutzversicherung der Klägerin habe die außergerichtlichen Kosten bereits gedeckt (BE Rn. 228), hat die Klägerin nicht bestritten, sondern im Rahmen ihrer Anhörung vielmehr eingeräumt. Damit ist vom gesetzlichen Forderungsübergang auf den Versicherer der Klägerin gemäß § 86 Abs. 1 VVG auszugehen, sodass die Klägerin jedenfalls nicht aktivlegitimiert ist (vgl. OLG München, a.a.O., Rn. 438). Dass sie aus fremdem Recht klagt und dazu berechtigt ist, hat sie nicht geltend gemacht.

A. Ein weiterer Schriftsatznachlass zugunsten der Klägerin auf den zuletzt eingereichten Schriftsatz der Beklagten vom 16. Juni 2026 war nicht zu gewähren. Der Schriftsatz enthielt keinen neuen entscheidungserheblichen Sachvortrag, auf den die Entscheidung gestützt wird. Soweit die Beklagte ihre rechtliche Bewertung vertieft, bereits gehaltenen Vortrag wiederholt oder die aus ihrer Sicht maßgeblichen Folgerungen aus der Rechtsprechung zieht, begründet dies keinen Anspruch auf Einräumung einer weiteren Stellungnahmefrist. Der Senat verwertet den Schriftsatz nicht als Grundlage einer der Klägerin nachteiligen Tatsachenfeststellung, sondern entscheidet auf der Grundlage des bis zur mündlichen Verhandlung erörterten Sach- und Streitstandes sowie der hierzu eingeführten Rechtsauffassungen. Das rechtliche Gehör der Klägerin ist deshalb gewahrt. Auch der nach Schluss der mündlichen Verhandlung eingereichte Schriftsatz der Klägerin vom 7. Juli 2026 erfordert keine Wiedereröffnung der mündlichen Verhandlung.

B. Ebenso wenig war ein weiteres Zuwarten mit der Entscheidung im Hinblick auf die anstehende Umsetzung der Rechtsprechung des Gerichtshofs der Europäischen Union in der Rechtssache Quirin durch den Bundesgerichtshof geboten. Der Senat hat die unionsrechtlichen Vorgaben, die sich aus der Entscheidung des Gerichtshofs vom 4. September 2025 in der Rechtssache C‑655/23 ergeben, seiner Entscheidung zugrunde gelegt. Danach besitzt Art. 82 DSGVO eine Ausgleichs-, nicht aber eine Straf- oder Abschreckungsfunktion; negative Gefühle wie Ärger, Sorge oder Unmut können nur dann einen immateriellen Schaden begründen, wenn sie als tatsächliche nachteilige Folge des Datenschutzverstoßes festgestellt werden; und ein Unterlassungsanspruch wirkt sich nicht anspruchsmindernd oder anspruchserhöhend auf die Höhe des Geldersatzes aus. Diese Leitlinien tragen die vorliegende Entscheidung zur Schadenshöhe. Die weitere Anwendung dieser Grundsätze durch den Bundesgerichtshof betrifft demgegenüber die konkrete Umsetzung im dortigen Einzelfall und hindert die Entscheidungsreife des hiesigen Rechtsstreits nicht.

Dies gilt umso mehr, als der vorliegende Fall in tatsächlicher und rechtlicher Hinsicht nicht von einer noch offenen höchstrichterlichen Klärung abhängt. Die Bemessung des immateriellen Schadens beruht auf einer tatrichterlichen Würdigung der persönlichen Anhörung der Klägerin, der festgestellten Reichweite der Offsite-Verarbeitung, der fehlenden gravierenden Folgebeeinträchtigungen und des fortbestehenden, situationsbezogenen „Datenpreisgabeverhaltens“ der Klägerin. Auch die Unterlassungs-, Löschungs- und Anonymisierungsansprüche lassen sich auf die im Einzelnen dargestellten nationalen und unionsrechtlichen Grundlagen stützen. Ein Abwarten allein deshalb, weil der Bundesgerichtshof die EuGH-Rechtsprechung in der Sache Quirin noch in seinem Ausgangsverfahren umzusetzen hat, ist prozessual nicht veranlasst.

C. Die Entscheidung über die Kosten des Rechtsstreits beruht auf § 92 Abs. 1 S. 1 ZPO, wobei der Senat im Rahmen der Streitwertbemessung neben dem Schadensersatzantrag i.H.v. 5.000,00 € die beiden Unterlassungsanträge mit insgesamt 3.000,00 € und den Antrag auf Feststellung sowie den Antrag auf Löschung und Anonymisierung jeweils mit 500,00 € bewertet hat (vgl. OLG München, a.a.O., Rn. 440). Sind Obsiegen und Unterliegen der Parteien - wie hier - ungefähr, wenn auch nicht notwendig genau gleichgewichtig, ist das Gericht grundsätzlich gehalten, die Kosten gegeneinander aufzuheben (vgl. BeckOK ZPO/Jaspersen, 60. Ed. 01.03.2026, § 92 Rn. 5; MüKoZPO/Schulz, 7. Aufl. 2025, ZPO § 92 Rn. 14). Mit Blick darauf war der Gebührenstreitwert für das erstinstanzliche Verfahren abzuändern und ebenso wie für die Berufungsinstanz auf 9.000,00 € festzusetzen.

D. Die Entscheidung zur vorläufigen Vollstreckbarkeit beruht auf §§ 708 Nr. 10, 711, 713 ZPO.

E. Die Revision war nicht zuzulassen. Die Voraussetzungen des § 543 Abs. 2 ZPO liegen nicht vor. Der Senat verkennt nicht, dass eine Vielzahl von Parallelverfahren anhängig ist und das andere Oberlandesgerichte in ähnlich gleichgelagerten Verfahren die Revision zugelassen haben (OLG München, a.a.O., Tenor Ziff. 6; OLG Koblenz, a.a.O., OLG Düsseldorf, a.a.O., OLG Stuttgart, a.a.O.). Allein die Zahl gleichgelagerter Verfahren begründet jedoch noch keine grundsätzliche Bedeutung, wenn die entscheidungserheblichen Fragen anhand der bestehenden höchstrichterlichen Rechtsprechung beantwortet werden können. Dies ist hier der Fall: Die Entscheidung beruht auf den anerkannten Grundsätzen zur Verantwortlichkeit nach Art. 4 Nr. 7, Art. 26 DSGVO, zur Rechtfertigungsbedürftigkeit einzelner Verarbeitungsvorgänge nach Art. 6 DSGVO, zur Darlegungs- und Beweislast für eine Einwilligung nach Art. 7 Abs. 1 DSGVO, zur sekundären Darlegungslast bei Informationsasymmetrien sowie zu nationalen vertraglichen und deliktischen Unterlassungsansprüchen. Eine entscheidungserhebliche klärungsbedürftige abstrakte Rechtsfrage stellt sich danach nicht. Soweit andere Oberlandesgerichte in Einzelpunkten - etwa zur Fassung des Feststellungs- oder Unterlassungstenors - abweichende Akzente setzen, beruht dies auf der Auslegung der jeweiligen Anträge und dem konkreten Parteivortrag, nicht auf einer entscheidungserheblichen Divergenz in einem tragenden abstrakten Rechtssatz. Im Übrigen unterliegt der Sachverhalt - auch im Hinblick auf die Schadenshöhe - einer einzelfallbezogenen tatrichterlichen Würdigung.