OLG Hamm, Urteil vom 28.09.2026 – 22 U 77/25

Der Kläger nutzt den von der Beklagten bereitgestellten Dienst „K.“ seit dem 23.09.2020 ausschließlich privat. Er wendet sich gegen die Erhebung und Verarbeitung von Daten, die bei dem Besuch der Internetseiten Dritter mittels der sogenannten „Business Tools“ der Beklagten in einer ihm und seinem Nutzerprofil bei „K.“ zuordenbaren Weise anfallen.

Das Landgericht hat die auf Feststellung der Vertragswidrigkeit des Vorgehens, Unterlassung, Einschränkung der Datenverarbeitung und Löschung sowie immateriellen Schadensersatz nebst Nebenforderungen gerichtete Klage teils als unzulässig, teils als unbegründet abgewiesen, wogegen sich der Kläger mit seiner Berufung wendet und eine abändernde Verurteilung der Beklagten anstrebt.

Der Senat hat den Kläger persönlich angehört.

Wegen des Inhalts des erstinstanzlichen Parteivortrags einschließlich der gestellten Anträge sowie des Inhalts der angefochtenen Entscheidung einschließlich der Begründung wird auf das angefochtene Urteil verwiesen. Wegen der im Berufungsrechtszug gestellten Anträge und das Ergebnis der Anhörung des Klägers wird auf das Protokoll der mündlichen Verhandlung vom 07.09.2026 einschließlich der dortigen Bezugnahmen und dem zugehörigen Berichterstattervermerk verwiesen.

Im Übrigen wird von der Darstellung der tatsächlichen Feststellungen gemäß §§ 540 Abs. 2, 313a Abs. 1 S. 1 ZPO abgesehen.

Die zulässige Berufung erweist sich nur teilweise als begründet und führt in dem aus dem Tenor ersichtlichen Umfang zur Abänderung der angefochtenen Entscheidung. Während die Klageanträge zu 1. bis 4. im Wesentlichen begründet sind, kann der Kläger immateriellen Schadensersatz nicht in der beantragten Höhe von 5.000,- € sondern nur in Höhe von 750,- € beanspruchen; ein Anspruch auf Ersatz vorgerichtlicher Rechtsanwalts­kosten besteht nicht.

Die Klage ist hinsichtlich sämtlicher Anträge in der zuletzt gestellten Fassung zulässig.

Die auch im Berufungsrechtszug von Amts wegen zu prüfende internationale Zuständigkeit deutscher Gerichte folgt aus Art. 82 Abs. 6 i. V. m. Art. 79 Abs. 2 S. 2 DSGVO. Hierfür genügt es, dass der Kläger seinen gewöhnlichen Aufenthalt in Deutschland hat und geltend macht, von einem Verstoß gegen die Bestimmungen der DSGVO durch die Beklagte als Verantwortliche betroffen zu sein. Das tatsächliche Vorliegen dieser doppelrelevanten Tatsache ist demgegenüber eine ausschließliche Frage der Begründetheit der Klage (vgl. BGH, Urteil vom 29. Juni 2010 - VI ZR 122/09 -, Rn. 8, juris, vgl. EuGH, Urteil vom 16. April 2026 - C-672/23 und C-673/23 -, Rn. 85-86, juris).

Der Antrag zu 1. ist als Zwischenfeststellungsklage im Sinne von § 256 Abs. 2 ZPO zulässig.

Anstelle eines Feststellungsinteresses bedarf es für die Zulässigkeit einer Zwischenfeststellungsklage lediglich der Präjudizialität für die Hauptentscheidung (vgl. MüKoZPO/Becker-Eberhard, 7. Aufl. 2025, ZPO § 256 Rn. 81, beck-online), wobei ein Rechtsschutz­bedürfnis schon dann besteht, wenn das zu klärende Rechtsverhältnis zwischen den Parteien über den gegenwärtigen Streitgegenstand hinaus Bedeutung hat oder gewinnen kann (vgl. OLG München, Urteil vom 18. Dezember 2025 - 14 U 881/25 e -, Rn. 109, juris). Insoweit ist ein berechtigtes Interesse anzuerkennen, die - ansonsten nicht in Rechtkraft erwachsenden - Vorfragen in einer der Rechtskraft fähigen Weise feststellen zu lassen.

Diese Voraussetzungen sind zu bejahen, da sich der Antrag zu 1. in der zuletzt gestellten Fassung auf den gegenwärtigen Vertragstand zum Zeitpunkt der mündlichen Verhandlung bezieht. Die Frage, ob der Nutzungsvertrag die vom Kläger beanstandeten Datenverarbeitungsvorgänge gestattet oder nicht, ist für die Begründetheit eines vertraglichen Unterlassungsanspruchs und eines Anspruchs auf immateriellen Schadensersatz präjudiziell. Dies gilt sowohl im Hinblick auf die Anträge zu 2. und 5. als auch für etwaige künftige Ansprüche im weiteren Vertragsverlauf.

Auf die von der Beklagten aufgeworfene und nach deren Ansicht zu verneinende Frage der möglichen Umdeutung eines Antrags gemäß § 256 Abs. 1 ZPO in einen solchen gemäß § 256 Abs. 2 ZPO kommt es vorliegend nicht an. Denn der Kläger hat jedenfalls auf den Hinweis in der Terminsverfügung im Berufungsrechtszug explizit klargestellt, der Klageantrag zu 1. solle als Zwischenfeststellungsklage verstanden werden, weshalb für eine Umdeutung weder Raum noch Bedürfnis besteht.

Es fehlt den Anträgen auch nicht an der nötigen Bestimmtheit.

Der Antrag zu 1. zielt sinngemäß auf die Feststellung, dass der Nutzungsvertrag die Verarbeitung solcher Daten des Klägers nicht gestattet, die Drittanbieter an G. übermitteln. Die umfangreiche Darstellung der einzelnen Daten, deren Übermittlung als unzulässig festgestellt werden soll, präzisiert dies und ist - jedenfalls in Verbindung mit den hierzu erfolgten Ausführungen im schriftsätzlichen Vortrag - verständlich. Der Umstand, dass der Antrag keine einzelnen Drittseiten namentlich bezeichnet, hindert nicht dessen Bestimmtheit, da evident ist, dass die festzustellende Unzulässigkeit der Datenübermittlung (und nachfolgenden Verarbeitung) nicht auf einzelne Drittseiten beschränkt sein, sondern diese generell erfassen soll.

Der Antrag zu 2. steht im Einklang mit dem Gebot, Gegenstand und Umfang der Entscheidungsbefugnis des Gerichts klar und fallbezogen zu begrenzen, eine zielgerichtete Verteidigung zu ermöglichen und die Entscheidung darüber, was im Einzelnen verboten sein soll, nicht in das Vollstreckungsverfahren zu verlagern (vgl. BGH, Urteil vom 30. April 2015 - I ZR 196/13 -, Rn. 10, juris). Der Antrag erschöpft sich nicht in einer Wiederholung des Gesetzeswortlauts, sondern orientiert sich an konkreten Verletzungshandlungen in Gestalt der Datenerhebung auf Drittwebseiten. Dass sich die Beschreibung der zu unterlassenden Verarbeitungsvorgänge an den - durch Rechtsprechung und Literatur klar konturierten - Begriffen des Art. 4 Nr. 2 DSGVO orientiert, dient in zulässiger Weise der genauen Beschreibung des Begehrens. In Verbindung mit den exakt bezeichneten Daten (etwa E-Mail und Telefonnummer der Klagepartei, etc.) ergibt sich eine präzise und einlassungsfähige Eingrenzung des Begehrens. Der Umstand, dass die Beklagte zur Erfüllung des Unterlassungsanspruchs ggf. aktiv tätig werden muss, etwa durch Umgestaltung der Tools oder weitere Einwirkung auf Dritte, macht den Unterlassungsantrag nicht unzulässig (vgl. BGH, Urteil vom 14. März 2017 - VI ZR 721/15 -, BGHZ 214, 204-219, Rn. 35).

Die Anträge zu 3. und 4. sind in der zuletzt gestellten Fassung ebenfalls hinreichend bestimmt, insbesondere zueinander widerspruchsfrei. Sie beziehen sich auf den Umgang mit Daten, die zwar von Drittwebseiten stammen, aber inzwischen bei der Beklagten gespeichert sind. Soweit alternative Handlungen (Einschränkung der Verarbeitung und Löschung) begehrt werden, sind diese zeitlich voneinander abgegrenzt. Das Anknüpfen auf ein sich innerprozessual ergebendes, klar bestimmbares Datum (ein Monat ab Rechtskraft) setzt die Vollstreckung keinen unzulässigen Unklarheiten aus.

Soweit der Antrag zu 4. auf eine in der Zukunft liegende Leistung zielt, sind die Voraussetzungen nach § 259 ZPO gewahrt. Nach dieser Bestimmung kann auf die künftige Leistung noch nicht fälliger gesetzlicher oder vertraglicher Ansprüche beliebigen Inhalts geklagt werden, worunter auch solche auf Vornahme einer Handlung fallen. Voraussetzung ist die Besorgnis nicht rechtzeitiger Leistung, von der auszugehen ist, wenn Schuldner - wie hier - den Anspruch oder die Leistungspflicht ernstlich bestreitet (MüKoZPO/Becker-Eberhard, 7. Aufl. 2025, ZPO § 259 Rn. 1, 3, 12, 13, beck-online), wobei das Bestreiten des Löschungsanspruchs den Anspruch auf Bestätigung der - nach Ansicht der Beklagten jedenfalls nicht umfassend geschuldeten - Löschung mit umfasst.

Die Antragstellung verfolgt auch nicht in unzulässiger Weise fremde Interessen. Gegenstand der Klage ist allein der Umgang der Beklagten mit den Daten des Klägers; er macht eigene materielle Rechte geltend. Der von der Beklagten angeführte faktische Umstand, dass eine Erfüllung der klagegegenständlichen Forderung möglicherweise technisch nicht gelingen kann, ohne dass dies Folgewirkungen auf die Gestaltung der auch für andere Nutzer bereitgestellten Systeme hat, nimmt der Klage nicht das Rechtsschutzinteresse.

Die Klage ist im beschriebenen Umfang begründet.

Der Antrag zu 1. ist in der zuletzt gestellten Fassung begründet. Dieser zielt auf die Feststellung, dass der zwischen den Parteien bestehende Nutzungsvertrag den im Antrag bezeichneten Umgang mit den Daten des Klägers nicht gestattet. Diese Feststellung ist wie beantragt zu treffen, da die antragsgegenständliche Datenverarbeitung gegen mehrere in Art. 5, 6 DSGVO niedergelegte Anforderungen verstößt und daher vom Nutzungsvertrag nicht gedeckt ist.

Die DSGVO ist sachlich, räumlich und zeitlich anwendbar im Sinne von Art. 2 Abs. 1, 2; 3 Abs. 1; 99 Abs. 2 DSGVO. Denn unstreitig betrifft der Streit die Verarbeitung personenbezogener Daten des Klägers durch die Beklagte als einer Gesellschaft, die ihren Sitz in M. und damit innerhalb der Europäischen Union hat. Zudem datieren der Abschluss des Nutzungsvertrags vom 23.09.2020 und damit auch die streitgegenständliche Datenverarbeitung nach dem Inkrafttreten der DSGVO.

Bei der streitgegenständlichen Datenverarbeitung handelt es sich um die Verarbeitung personenbezogener Daten des Klägers im Sinne von Art. 5, 6 DSGVO.

Gemäß Art. 4 Abs. 1, 2 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, sei es direkt oder indirekt über Kennnummern oder dergleichen. Der Begriff der „Verarbeitung“ umfasst jeden Vorgang im Zusammenhang mit solchen Daten. Die Vorschrift nennt als Beispiele das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Dass diese Voraussetzungen im Allgemeinen auf die Funktionsweise der Business-Tools zutreffen, ist unstreitig. Diese erfassen - in einem im Einzelfall unterschiedlichen Umfang - das Klickverhalten von Nutzern und sind ihrem Einsatzzweck entsprechend dazu geeignet, diesen zu identifizieren. Die Beklagte trägt selbst vor, beim Erhalt der Daten von einem Partner zunächst einen Abgleich vorzunehmen, ob der Datensatz zu einem bei ihr angemeldeten Nutzer gehöre. Auch wenn Umfang und Zusammensetzung der Daten je nach Drittanbieter unterschiedlich sein mögen, gehören zu diesen unstreitig regelmäßig u.a. IP-Adresse, Geräteinformationen, sog. „Event-Daten“ wie Klicks und Käufe, ferner laut den G. Business Tools Nutzungsbedingungen auch Namen, E-Mail-Adressen und Telefonnummern.

Der Senat ist überzeugt davon, dass auch die Daten des Klägers Gegenstand einer solchen Verarbeitung sind. Dass die mit Anlage K 2 (Bl. 187 der erstinstanzlichen Akten, nachfolgend: d. A.) benannten Internetseiten die Businesstools nutzen, hat die Beklagte ausdrücklich unstreitig gestellt (vgl. Protokoll vom 03.04.2025, S. 3, Bl. 1676 d. A.). Die regelmäßige Nutzung einer Vielzahl dieser Internetseiten hat der Kläger insbesondere bei seiner persönlichen Anhörung vor dem Landgericht als auch im Rahmen ergänzender Angaben vor dem Senat glaubhaft bestätigt.

Unabhängig davon ist das Bestreiten des Umstands, dass der Kläger Seiten mit Business-Tools besucht und die Behauptung, dass dort keine Verarbeitung seiner Daten stattfinde, kein nach § 138 Abs. 4 ZPO zulässiger und damit erheblicher Vortrag. Denn die konkreten Namen der Seiten, die Daten an die Server der Beklagten übermitteln, sind Gegenstand ihrer eigenen Wahrnehmung im Sinne von § 138 Abs. 4 ZPO. Entsprechendes gilt für Art und Umfang der von der Beklagten verarbeiteten Daten, soweit diese dem Kläger zuordenbar sind. Denn es ist unstreitig einer der Zwecke der Tools, die personelle Zuordnung eines Nutzers zu ermöglichen, um diesem zielgerichtet Werbung anzeigen zu können. Die hiermit verbundene Gewinnerzielungsabsicht legt nahe, dass auch eine genaue Identifizierung der Werbepartner möglich sein muss, zumal die Beklagte selbst vorträgt, ihre Business-Tools den Drittunternehmen im Rahmen einzelner Vertragsverhältnisse zur Verfügung zu stellen. Das bloße Zurückziehen auf den Standpunkt, das Vorbringen des Klägers sei unsubstantiiert, wird den tatsächlichen Erklärungsmöglichkeiten der Beklagten nicht gerecht (vgl. etwa OLG München, Endurteil vom 18.12.2025 - 14 U 1068/25 e, GRUR-RS 2025, 36441, Rn. 140 ff.).

Dem steht nicht entgegen, dass die Beklagte behauptet, bei korrekter Einstellung der Business-Tools durch die Drittanbieter erfolge eine Datenübermittlung nur sofern und soweit der Nutzer dort eine Einwilligung erteilt habe. Schon die eigene Formulierung der Beklagten legt nahe, dass eine Datenübermittlung aufgrund fehlerhafter Konfiguration der Tools grundsätzlich möglich ist. Der Kläger hat in diesem Zusammenhang dargestellt, dass jedenfalls einzelne G. Business-Tools beim Aufruf einer Drittwebseite sofort geladen und aktiviert werden und infolgedessen verschiedene personenbezogene Daten an die Beklagte übermitteln, ohne dass der Besucher überhaupt eine Auswahl im dortigen „Cookie-Banner" getroffen hat (vgl. etwa den mit Screenshots belegten Sachvortrag des Klägers zur Funktionsweise des G.-Pixel auf Seite 27 f. seines Schriftsatzes vom 18.09.2024, Blatt 513 d. A.).

Dem ist die Beklagte nicht substantiiert entgegengetreten. Vielmehr hat sie im Gegenteil zunächst eingeräumt, dass es eine Reihe technischer Standarddaten gebe (wie etwa das Datum und die Uhrzeit des Webseitenbesuchs, die mit dem Endgerät verknüpfte IP-Adresse, die URL der besuchten (Dritt-)Webseite, das Betriebssystem des Endgeräts, die Art des Browsers und dessen Softwareversion), die „als Teil des normalen Internetbetriebs" automatisch vom Gerät des Nutzers über die Drittwebseite an die Beklagte gesendet würden und ohne die eine Webseitendarstellung auf dem Endgerät des Nutzers schon nicht möglich sei (vgl. Schriftsatz vom 23.10.2024, S. 17-23, Bl. 887-893 d. A.). Sie hat hierzu im weiteren Prozessverlauf zwar dargelegt, dass der Drittanbieter vor der Übermittlung solcher Standandarddaten sicherstellen müsse, dass ihm eine entsprechende Einwilligung des Nutzers vorliege (vgl. Schriftsatz vom 25.03.2026, S. 4, Bl. 873 der zweitinstanzlichen Akten, nachfolgend GA). Dies entkräftet aber nicht die Möglichkeit, dass es beispielsweise aufgrund von Fehlkonfigurationen auch ohne eine Einwilligung zu derartigen Datenübermittlungen kommt, wie sie der Kläger durch die vorgenannten Screenshots belegt hat. Darüber hinaus könnten Drittunternehmen, die die streitgegenständlichen Business-Tools in ihre Webseiten oder Apps integrieren, wählen, zusätzliche Daten (auch Kundendaten wie etwa Aktivitätsdaten) mit G. zu teilen, wobei die einschlägigen Nutzungsbedingungen vorsähen, dass Drittunternehmen solche zusätzlichen Daten nur übermitteln dürfen, nachdem sie die erforderlichen Angaben und Datenschutzbelehrungen erteilt und die notwendige Einwilligung eingeholt haben (vgl. Seite 23 ff. des Schriftsatzes der Beklagten vom 23.10.2024, Blatt 893 ff. d. A.).

Der im Berufungsrechtszug schriftsätzlich gehaltene (vgl. Schriftsatz vom 13.07.2026, S. 2 ff., Bl. 1092 ff. GA) und in der mündlichen Verhandlung vor dem Senat nochmals vertiefte Vortrag, wonach bei der Beklagten nach einem initialen Datenabgleich ein zügiges „Dropping“ stattfinde, ändert zwar Umfang und Qualität der in Rede stehenden Datenverarbeitung, stellt diese aber nicht dem Grunde nach infrage. Zum einen ist bereits die Entgegennahme der Daten und deren automatischer Abgleich mit der Datenbank der Beklagten nach der Legaldefinition in Art. 4 Abs. 2 DSGVO eine Datenverarbeitung. Entsprechendes gilt für die Aufbewahrung der Daten bis zum „Dropping“. Darüber hinaus trägt die Beklagte selbst vor, dass gar nicht sichergestellt ist, dass Daten eines Nutzers, der nicht eingewilligt hat, ausnahmslos verworfen werden. Denn in einer geringen Zahl von Fällen würden diese Daten aus Sicherheitsgründen weiter gespeichert (vgl. Schriftsatz vom 13.07.2026, S. 4, Bl. 1094 GA ff.), wobei die Auslöser solcher Speichervorgänge ausdrücklich nur beispielhaft genannt werden. Daher bleibt offen, wann genau eine weitere Speicherung unabhängig vom Willen des Nutzers erfolgt.

Die Beklagte ist für die Erhebung, Übermittlung, Speicherung und Verwertung dieser Daten verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO. Nach dieser Bestimmung ist unter anderem Verantwortlicher, wer als juristische Person allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Somit kann jeder, der aus Eigeninteresse auf die Verarbeitung solcher Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als ein für diese Verarbeitung (Mit-)Verantwortlicher angesehen werden (EuGH, Urteil vom 5. Dezember 2023, C-683/21, juris, Rn. 30).

Daran gemessen kommt der Beklagten auf Basis des unstreitigen Sachvortrags die Eigenschaft des Verantwortlichen zu, ohne dass es darauf ankommt, wie die jeweils ausgeübten Gestaltungsmöglichkeiten in der Zusammenarbeit zwischen ihr und den Drittunternehmen im Einzelnen austariert sind. Entscheidend ist, dass die Beklagte sowohl technisch durch Programmierung und Weiterentwicklung der Businesstools als auch unternehmerisch aufgrund ihrer mittels Marktmacht durchsetzbaren Gestaltung der Nutzungsbedingungen entscheidenden Einfluss ausübt. Zwar mag sie dem Werbepartner die Entscheidung darüber überlassen, welche Daten dieser im Einzelnen erheben und teilen möchte. Hierfür nimmt sie jedoch durch die Entscheidung, welche Daten sie über ihre Schnittstellen überhaupt entgegennimmt, eine wichtige Mitwirkungshandlung vor, zumal sich auch die technische Umsetzung durch Einbettung in die Seiten der Partner mit „dynamischer Verweisung“ auf die jeweils aktuelle Version der F. Business-Tools nicht mit der Sichtweise vereinbaren lässt, die Beklagte gebe mit den Tools eine Software gleichsam aus der Hand und habe auf deren Verwendung durch Dritte keinen eigenen Einfluss. Hinzu kommt, dass sie auch aktiv gestaltet, wie sie mit den an sie übermittelten Daten weiter verfährt, insbesondere durch den Abgleich und die Entscheidung über die Verknüpfung mit Nutzerdaten im eigenen Netzwerk. Erst recht gilt das für die von ihr getroffene Entscheidung, wann und in welchem Umfang eine Speicherung aus von ihr als solchen erkannten Sicherheitsanforderungen erfolgen soll. Daher ändert auch der weitere Sachvortrag über Einzelheiten des „Dropping“ nichts an der von zahlreichen weiteren Obergerichten geteilten Einschätzung, wonach die Beklagte insbesondere aufgrund der Programmierung ihrer Tools über den Umfang der Möglichkeiten Dritter bestimmt und damit Herrin über das Mittel der Datenverarbeitung ist, was ihrem eigennützigen Zweck dient, die Attraktivität dieser Plattformen als Werbemedium und damit die eigene Profitabilität zu fördern (vgl. etwa Thüringer Oberlandesgericht, Urteil vom 2. März 2026 - 3 U 31/25 -, juris, Rn. 183 f., vgl. auch OLG Hamm, Urteil vom 24. Juni 2026 - I-8 U 56/25 -, juris, Rn. 106, OLG München Endurteil v. 18.12.2025 - 14 U 1068/25 e, GRUR-RS 2025, 36441, Rn. 148, OLG Stuttgart Urt. v. 29.4.2026 - 4 U 353/24, GRUR-RS 2026, 8589, Rn. 76).

Aus dieser Stellung als Verantwortlicher resultiert die Verpflichtung der Beklagten, für einen Umgang mit den Daten des Klägers Sorge zu tragen, der den in Art. 5, 6 DSGVO niedergelegten Anforderungen entspricht. Dem ist sie in mehrfacher Hinsicht nicht gerecht geworden, und zwar auch unter Berücksichtigung ihres ergänzenden Vortrags in der mündlichen Verhandlung vor dem Senat.

(1.)

Gemäß Art. 5 Abs. 1 lit. a) DSGVO müssen personenbezogene Daten zunächst auf rechtmäßige Weise verarbeitet werden. Dies setzt insbesondere voraus, dass die Verarbeitung auf eine einschlägige Rechtsgrundlage nach Art. 6 DSGVO gestützt werden kann, worin eine notwendige, nicht aber per se hinreichende Bedingung einer rechtskonformen Datenverarbeitung liegt. Denn nach der ständigen Rechtsprechung des EuGH, der der Senat folgt, stellen auch anderweitige Verstöße gegen die Vorgaben von Art. 5 Abs. 1 DSGVO eine ausreichende Grundlage für den Schadenersatzanspruch gem. Art. 82 DSGVO dar (vgl. etwa EuGH, Urteil vom 20. Oktober 2022 - C-77/21 -, Rn. 49; Urteil vom 4. Mai 2023 - V-60/22 -, Rn. 54 f.; Urteil vom 25. Januar 2024 - C-687/21-, Rn. 42 f., jeweils juris). Art. 6 Abs. 1 Uabs. 1 DSGVO regelt lediglich, unter welchen Voraussetzungen eine Datenverarbeitung rechtmäßig im Sinne von Art. 5 Abs. 1 lit. a) ist (vgl. EuGH, Urteil vom 18. Juni 2026 - C-484/24 Rn. 82 f., juris). Schon diese sind nicht gewahrt.

(aa)

Auf eine Einwilligung nach Art. 6 Abs. 1 Unterabs. 1 lit. a DSGVO kann sich die Beklagte schon deshalb nicht umfassend stützen, weil eine solche nach ihrem eigenen Vortrag (vgl. Schriftsatz vom 11.06.2026, S. 15, Bl. 956 GA) nur für den Zweck der Bereitstellung personalisierter Werbung eingeholt wurde und daher insbesondere die Verarbeitung zu Sicherheits- und Integritätszwecken nicht abdeckt.

Darüber hinaus ist der nach Art. 7 Abs. 3 S. 1 DSGVO jederzeit mögliche Widerruf der Einwilligung konkludent mit Klagerhebung und nochmals ausdrücklich mit Schriftsatz vom 28.10.2024 (dort S. 4, Bl. 1246 d. A.) erfolgt, so dass sich die Beklagte hinsichtlich der streitgegenständlichen Datenverarbeitung im Zusammenhang mit ihren Businesstools inzwischen für keinen Verarbeitungszweck auf eine Einwilligung des Klägers stützen kann.

(bb)

Es kann auch nicht festgestellt werden, dass die antragsgegenständliche Datenverarbeitung im Sinne von Art. 6 Abs. 1 Unterabs. 1 lit. b) DSGVO zur Vertragserfüllung erforderlich ist. Hierfür müsste diese objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für den Nutzer bestimmten Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte (vgl. EuGH, Urteil vom 4. Juli 2023 - C-252/21 -, Rn. 125, juris). Es genügt nicht, dass die Datenverarbeitung im Vertrag oder der Datenschutzrichtlinie erwähnt wird oder für dessen Erfüllung von Nutzen ist. Entscheidend ist, dass die Datenverarbeitung für die ordnungsgemäße Erfüllung des mit dem Betroffenen geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (vgl. OLG Hamm, Urteil vom 24. Juni 2026 - I-8 U 56/25 -,Rn. 20, juris).

Das tatsächliche Vorliegen dieser Voraussetzungen ist nicht feststellbar. Für den von der Beklagten vorgetragenen Zweck, den Nutzern die Möglichkeit zu geben, nahtlos Verbindungen herzustellen, zu kommunizieren und Inhalte mit anderen Nutzern auf der ganzen Welt auszutauschen, ist das Sammeln von „Event-Daten“ bei Nachrichtenportalen, Onlineshops etc. ersichtlich nicht nötig. Vielmehr geht es insoweit unstreitig darum, die Werbepartner der Beklagten bei der Integration ihrer Produkte zu unterstützen und die Effektivität der Werbeanzeigen zu messen. Dies dient der Gewinnerzielung der Beklagten, was für die Bereitstellung ihrer Dienstleistungen zwar im Allgemeinen notwendig ist, jedoch keine hinreichend konkrete und zuordenbare Voraussetzung für die Vertragserfüllung gerade gegenüber dem Kläger darstellt.

(cc)

Zu der Datenerhebung ist die Beklagte auch weder rechtlich verpflichtet im Sinne von Art. 6 Abs. 1 Unterabs. 1 lit. c) DSGVO noch rechtfertigen lebenswichtige oder öffentliche Interessen gemäß Art. 6 Abs. 1 Unterabs. 1 lit. d) oder e) DSGVO die Datenverarbeitung. Die tatsächlichen Voraussetzungen dieser Bestimmungen sind weder dargetan noch ist für deren Vorliegen etwas ersichtlich (vgl. auch OLG Hamm, Urteil vom 24. Juni 2026 - I-8 U 56/25 -, Rn. 131 ff., juris).

(dd)

Auf das Vorliegen berechtigter Interessen im Sinne von Art. 6 Abs. 1 Unterabs. 1 lit. f) DSGVO hat sich die Beklagte gegenüber dem Kläger nicht berufen. Im Schriftsatz vom 13.07.2026 (S. 19/20, Bl. 1109/1110 GA) wird hierzu ausgeführt, Sicherheits- und Integritätszwecke als berechtigtes Interesse mache die Beklagte gegenüber minderjährigen, beschränkt geschäftsfähigen Nutzern geltend sowie in bestimmten Fällen für Nutzer außerhalb der vertraglichen Erfüllung oder bei fehlender Zuordenbarkeit der Daten. Den Kläger als erwachsenen, geschäftsfähigen und als Nutzer registrierten Kunden betrifft dies nicht.

(2.)

Darüber hinaus fehlt es auch an einer hinreichenden Transparenz im Sinne von Art. 5 Abs. 1 lit a) DSGVO.

Nach dieser Bestimmung müssen Daten in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.

Dass die Funktionsweise der Business-Tools und ihre Auswirkung auf den Umgang der Beklagten mit den Daten des einzelnen Nutzers - und so auch des Klägers - wenig nachvollziehbar und transparent ist, wird schon aus dem Umfang der hierzu gehaltenen Ausführungen im vorliegenden Rechtsstreit deutlich. Zudem hat die Beklagte auch durch die Weiterentwicklung und fortlaufende Präzisierung ihres Vortrags, den sie zweitinstanzlich nochmals um wesentliche Aspekte - insbesondere hinsichtlich des Droppings - erweitert hat, gezeigt, dass es ihr selbst in einem gerichtlichen Verfahren nicht möglich war, von vorneherein gebündelten und vollständigen Sachvortrag zu halten. Vielmehr stellen sich die Funktionsweise der Business Tools und das Zusammenwirken der Beklagten mit ihren Partnerunternehmen hinsichtlich des Umgangs mit den Nutzerdaten aus Sicht des Senats als eine technisch komplexe Materie dar, deren Verständnis im Laufe des Rechtsstreits - auch durch sich stetig konkretisierenden Vortrag der Beklagten - Stück für Stück erarbeitet werden musste. Es ist daher ausgeschlossen, dass ein durchschnittlicher Nutzer wie der Kläger mit den ihm zur Verfügung gestellten Unterlagen die für die Verarbeitung seiner Daten maßgeblichen Aspekte in einer Weise verstehen kann, die den aus Art. 5 Abs. 1 lit a) DSGVO folgenden Transparenzanforderungen genügt. Auch der Umfang der vorgelegten Datenschutzrichtlinie der Beklagten mit etwa 150 Seiten (vgl. Anl. K 1, Bl. 37 - 186 d. A.; Anl. B 10, Bl. 1010 - 1155 d. A.) steht einer hinreichenden Verständlichkeit klar entgegen. Von einem durchschnittlichen Nutzer kann nicht erwartet werden, eine derartige Informationsfülle überhaupt zur Kenntnis zu nehmen.

(3.)

Weiterhin ist auch nicht feststellbar, dass die Datenverarbeitung der Beklagten die aus Art. 5 Abs. 1 lit b) und c) DSGVO folgenden Gebote der Zweckbindung und Datenminimierung einhält. Danach müssen Daten für festgelegte, eindeutige Zwecke erhoben werden und ihre Verarbeitung muss auf das hierfür notwendige Maß beschränkt sein.

Insbesondere ist hinsichtlich der von der Beklagten ausdrücklich eingeräumten Datennutzung zu Sicherheitszwecken keine hinreichend konkrete Zweckbindung und Verarbeitungsbeschränkung zu erkennen.

Die Beklagte trägt hierzu vor, bei den ihr von Dritten zugelieferten Daten zunächst einen Abgleich vorzunehmen, ob diese von einem Nutzer stammen, der einer Verknüpfung mit seinem K.-Profil zugestimmt hat. Liege keine Einwilligung vor, würden die Daten im Regelfall verworfen, es sei denn, die Beklagte entscheide sich dafür, diese zu Sicherheits- und Integritätszwecken zu behalten, und zwar meist für bis zu 90 Tage, ohne starr auf diese zeitliche Grenze festgelegt zu sein. Welche Sicherheitsanliegen dies sind, wird allerdings nicht hinreichend deutlich, da der Prozessvortrag hierzu (vgl. Schriftsatz vom 13.07.2026, Bl. 1092 ff. GA) lediglich einige - ausdrücklich nicht abschließende - Beispiele nennt. Erst recht bleibt offen, welche konkreten Daten aufgrund welcher genauen Sicherheitsanliegen auch ohne eine Zustimmung des Nutzers gespeichert bleiben und in welchen Fällen die regelmäßige Speicherdauer überschritten wird. Eine Darlegung hierzu ist jedoch gerade deshalb im Einzelnen erforderlich, weil die Erhebung der Daten auf den Drittwebseiten unstreitig primär zum Zwecke der Generierung gezielter Werbung erfolgt, so dass sich nicht ohne weiteres erschließt, inwiefern die Nutzung dieser Daten (oder eines Teils hiervon, der indes nicht dargelegt ist) zu Sicherheits- und Integritätszwecken im Einzelnen notwendig sein soll.

Der entsprechende Passus in den Nutzungsbedingungen

„G. kann auf jegliche Informationen, die es über dich erfasst, zugreifen, sie aufbewahren, verwenden und teilen, wenn es in gutem Glauben der Ansicht ist, dass dies gesetzlich vorgeschrieben oder zulässig ist.“ (vgl. Schriftsatz vom 11.06.2026, S. 46, Bl. 987 GA)

stellt das Gegenteil einer klaren, verständlichen Festlegung und Begrenzung der Befugnisse dar, die sich die Beklagte vorzubehalten sucht. Danach soll alleine der gute Glaube an eine aus Sicht der Beklagten bestehende Berechtigung die Grundlage bieten, die Nutzerdaten in dem von ihr für nötig befundenen Umfang aufzubewahren, zu verwenden und zu teilen. Dies verdeutlicht nicht nur eine potenzielle Uferlosigkeit der von der Beklagten beanspruchten Datenverarbeitung, sondern unterstreicht nochmals, dass es auch insoweit an der gebotenen Transparenz fehlt.

(4.)

Schließlich ist auch nicht feststellbar, dass das Vorgehen der Beklagten das aus Art. 5 Abs. 1 lit e) DSGVO folgende Gebot der Speicherbegrenzung wahrt. Danach dürfen die Daten nur so lange in einer die Identifizierung ermöglichenden Weise gespeichert werden, als das für den konkreten Zweck erforderlich ist.

Laut der im Schriftsatz vom 11.06.2026 (dort S. 58/59, 71; Bl. 998/999, 1012 GA) zitierten Nutzungsbedingungen und der in Bezug genommenen Datenschutzrichtline beansprucht die Beklagte, Nutzerdaten bis zu zwei Jahre auch noch nach einer Kontolöschung zu speichern sowie - unabhängig davon - Nutzerdaten „bei Bedarf“ aufzubewahren.

Eine solche - wiederum auch nicht transparent eingegrenzte - Aufbewahrungsdauer überschreitet das für Werbezwecke notwendige Maß bei weitem.

Unabhängig davon ist auch hinsichtlich der von der Beklagten für Sicherheitszwecke beanspruchten Datenspeicherung keine Beschränkung auf die erforderliche Dauer erkennbar, was sowohl der Anforderung der Speicherbegrenzung als auch - erneut - dem Transparenzgebot widerspricht. Hierzu trägt die Beklagte vor, wenn sie eine konkrete Bedrohung oder ein Problem im operativen Betrieb identifiziere, beschränke sich die weitere Datenverarbeitung und Datenspeicherung für die Untersuchung auf diejenigen Daten, die für den Zweck der jeweiligen Untersuchung erforderlich seien; dieser Prozess dauere in der Regel bis zu 90 Tage (Schriftsatz vom 13.07.2026, S. 8, Bl. 1098 GA). Hierbei bleibt offen, nach welchen Kriterien sich die nach dem eigenen Prozessvortrag mögliche Überschreitung der Regelaufbewahrungszeit richtet.

Weiterhin ist auch der auf Unterlassung der vertragswidrigen Datenverarbeitung gerichtete Klageantrag zu 2. begründet. Hierbei kann sich der Kläger auf das für sein Vertragsverhältnis geltende nationale Recht stützen, dem unionsrechtliche Vorgaben insoweit nicht entgegenstehen (vgl. EuGH, Urteil vom 4. September 2025 - C-655/23 -, Rn. 43-46, juris; BGH, Urteil vom 21. Juli 2026 - VI ZR 144/23, GRUR-RS 2026, 22347 Rn. 15, beck-online).

Der Unterlassungsanspruch des Klägers ergibt sich zum einen unmittelbar aus dem zwischen den Parteien bestehenden Nutzungsvertrag. Steht - wie vorliegend unter II. 2. a) ausgeführt - fest, dass bereits einmal Pflichten aus dem fortbestehenden Vertragsverhältnis verletzt wurden und dauert die Vertragsverletzung noch an, folgt daraus ein entsprechender Unterlassungsanspruch (vgl. BGH, Urteil vom 29. Juli 2021 - III ZR 179/20 -, BGHZ 230, 347-389, Rn. 100). Denn über einen aus § 280 Abs. 1 BGB folgenden Schadensersatzanspruch hinaus sind die Parteien aufgrund der aus § 241 Abs. 2 BGB folgenden Rücksichtnahmepflicht gehalten, Vertragsverletzungen von vorneherein zu unterlassen. Dies gilt gerade auch in einer Vertragssituation wie der streitgegenständlichen (vgl. z. B. OLG Hamm, Urteil vom 24. Juni 2026 - I-8 U 56/25 -, juris Rn. 157, OLG München Endurteil v. 18.12.2025 - 14 U 1068/25 e, GRUR-RS 2025, 36441, Rn. 183; Oberlandesgericht des Landes Sachsen-Anhalt, Urteil vom 5. Februar 2026 - 9 U 44/25 -, Rn. 279, juris).

Darüber hinaus folgt der Unterlassungsanspruch auch aus §§ 1004 Abs. 1 Satz 2, 823 Abs. 1 BGB, da in der gegen Art. 5 DSGVO verstoßende Datenverarbeitung zugleich eine Verletzung des allgemeinen Persönlichkeitsrechts des Klägers liegt (vgl. z. B. OLG München Endurteil v. 18.12.2025 - 14 U 1068/25 e, GRUR-RS 2025, 36441, Rn. 184; OLG Hamm, Urteil vom 24. Juni 2026 - I-8 U 56/25 -, juris Rn. 157).

Die für diesen Anspruch notwendige Störereigenschaft ist bereits begründet, wenn der Anspruchsgegner die in Rede stehende Rechtsgutsbeeinträchtigung durch sein Verhalten adäquat kausal verursacht; dieses kann in einem Tun oder pflichtwidrigem Unterlassen liegen (vgl. MüKoBGB/Rapatz, 10. Aufl. 2026, BGB § 1004 Rn. 170, beck-online). Entsprechendes ist auch mittelbar möglich, indem Handlungen Dritter veranlasst, gestattet oder ermöglicht werden (vgl. MüKoBGB/Rapatz, a. a. O., Rn. 172). Unabhängig davon können auch mehrere Personen als Störer nebeneinander verantwortlich sein mit der Folge, dass gegen jeden ein gesonderter Anspruch besteht. So kann etwa ein Betrieb Störer für Beeinträchtigungen sein, die von seinen Kunden, Lieferanten und sonstigen Besuchern ausgehen (vgl. MüKoBGB/Rapatz, a. a. O., Rn. 187-189).

Eine in diesem Sinne gegebene Mitverantwortlichkeit der Beklagten für die eingetretenen und zu unterlassenden Störungen folgt bereits daraus, dass sie aufgrund vertraglicher Bindungen mit den Betreibern der Drittwebseiten auf deren Verwendung der Business-Tools Einfluss nehmen kann und durch die Programmierung und Pflege der Software auch faktisch entsprechende Handlungsmöglichkeiten hat. Dies gilt erst recht, soweit - wie es unstreitig jedenfalls für Teile der Business-Tools geschieht - eine Einbindung der Tools in die Webseiten der Betreiber durch aktive Verweisung auf einen Bereich stattfindet, der im unmittelbaren Einflussbereich der Beklagten liegt.

Der Unterlassungsanspruch ist auch nicht dahin einschränkend zu tenorieren, dass dieser nur insoweit besteht, als die Beklagte ihre Datenverarbeitung nicht auf eine informierte Einwilligung i .S. d. Art. 6 Abs. 1 Satz 1 lit. a) DSGVO oder einen Rechtfertigungsgrund nach Art. 6 Abs. 1 Satz 1 lit. b) bis f) oder Art. 9 Abs. 2 DSGVO stützen kann. Der Senat hat das Vorliegen solcher Gründe für den Zeitraum bis zum Schluss der letzten mündlichen Verhandlung geprüft und - wie bereits dargelegt - verneint.

Die Möglichkeit, dass sich künftig eine Veränderung dieser Tatsachenlage ergeben kann, rechtfertigt es nicht, die entsprechende Prüfung durch einen zu tenorierenden Vorbehalt in das Vollstreckungsverfahren zu verlagern. Dies widerspräche dem Grundsatz der Formalisierung des Vollstreckungsverfahrens. Sollten nach Schluss der mündlichen Verhandlung Einwendungen im Sinne von Art. 6 Abs. 1 Satz 1 lit. a) bis f) DSGVO entstehen, wären diese richtigerweise im Wege einer Vollstreckungsgegenklage zur Geltung zu bringen (vgl. MüKoZPO/Karsten Schmidt/Brinkmann, 7. Aufl. 2025, ZPO § 767 Rn. 1, beck-online; OLG Dresden, Urt. v. 3.2.2026, 4 U 292/25, GRUR-RS 2026, 1138, Rn. 67).

Der Klageantrag zu 3. ist begründet, soweit er bis zum Zeitpunkt der Löschung sinngemäß auf eine Untersagung der Veränderung, Verwendung und Weitergabe der im Antrag bezeichneten Daten abzielt.

Art. 18 Abs. 1 lit. b) DSGVO gibt einer betroffenen Person das Recht, im Falle einer - wie hier - unrechtmäßigen Datenverarbeitung von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen (vgl. BeckOK DatenschutzR/Worms, 54. Ed. 1.11.2024, DS-GVO Art. 18 Rn. 39 ff., beck-online). Eine solche besteht gemäß Art. 4 Nr. 3 DSGVO in einer Markierung der gespeicherten personenbezogenen Daten, mit der die künftige Verarbeitung eingeschränkt wird. Dies betrifft etwa eine Veränderung, Verwendung und Weitergabe der in Rede stehenden Daten (vgl. OLG Stuttgart Urt. v. 29.4.2026 - 4 U 353/24, GRUR-RS 2026, 8589, Tenor und Rn. 115 m. w. N.).

Da Ausnahmetatbestände im Sinne von Art. 18 Abs. 2 DSGVO sind weder geltend gemacht noch ersichtlich sind, kann der Kläger daher eine entsprechende Einschränkung der Datenverarbeitung verlangen. Dabei steht es ihm auch frei, dies von vorneherein für einen klar begrenzten Zeitraum zu fordern, nach deren Ablauf er die Löschung der Daten begehrt (vgl. OLG München, Urteil vom 18. Dezember 2025 - 14 U 1314/25 e -, Rn. 435, juris, m. w. N.).

Der Kläger hat jedoch kein Anspruch darauf, dass die Daten „am gespeicherten Ort“ verbleiben. Der Anspruch auf Unterlassen von Veränderungen setzt zwar denklogisch das Belassen der Daten als solcher voraus, jedoch nicht notwendigerweise am selben Ort. Erwägungsgrund 67 zur DSGVO sieht hierbei ausdrücklich vor, dass die Daten vorübergehend auf ein anderes Verarbeitungssystem übertragen werden können. (vgl. OLG Stuttgart, Urt. v. 29.4.2026 - 4 U 353/24, GRUR-RS 2026, 8589, Rn. 113).

Der dem Kläger zuerkannte Anspruch auf Löschung seiner Daten und Bestätigung der Löschung folgt aus Art. 17 Abs. 1 lit d), 12 Abs. 3, 15 DSGVO.

Gemäß Art. 17 Abs. 1 lit d) DSGVO sind Daten auf Verlangen des Betroffenen unverzüglich zu löschen, wenn sie unrechtmäßig verarbeitet wurden. Diesen Anspruch kann der Betroffene auch dann noch geltend machen, wenn er für einen vorangehenden Zeitraum bis zur Vornahme der Löschung eine Einschränkung der Verarbeitung geltend macht (vgl. OLG München, Urteil vom 18. Dezember 2025 - 14 U 1314/25 e -, Rn. 435, juris, m. w. N.). Denn eine Beschränkung des Wahlrechts in dem Sinne, dass dieses nur einmalig und auf Dauer bindend ausgeübt werden könnte, ist dem Gesetz nicht zu entnehmen. Eine Bindung ergibt sich allein insoweit, als eine einmal vollzogene Löschung nicht ungeschehen gemacht werden kann. Dies berührt nicht die Möglichkeit, erst die Einschränkung der Veränderung und davon abgegrenzt nachfolgend die Löschung zu verlangen.

Eine der Löschung nachfolgende Bestätigung kann der Kläger zum einen kraft seines aus Art. 15 Abs. 1 DSGVO folgenden Auskunftsrechts verlangen, das sich auf alle Verarbeitungsvorgänge bezieht, zu denen gemäß Art. 4 Nr. 2 DSGVO sind auch die Löschung oder die Vernichtung von Daten gehören. Zudem umfasst der Anspruch aus Art. 15 DSGVO auch die Negativauskunft, dass keine personenbezogenen Daten (mehr) verarbeitet werden (vgl. BeckOK DatenschutzR/Worms, 56. Ed. 1.11.2024, DS-GVO Art. 17 Rn. 89, beck-online).

Zum anderen hat der Verantwortliche auch gemäß Art. 12 Abs. 3 DSGVO über die auf Antrag nach den Artikeln 15 bis 22 DSGVO ergriffenen Maßnahmen unverzüglich zu informieren; hierzu gehört auch also auch eine Löschung nach Art. 17 DSGVO.

Der Zahlungsantrag zu Ziffer 5. ist lediglich in Höhe von 750,- € begründet.

Gemäß Art. 82 Abs. 1 DSGVO hat jeder, dem wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen. Hierbei begründen mehrere Datenschutzverstöße, die in einem einheitlichen Geschehen - wie hier der Verwendung der G. Business-Tools - wurzeln, einen einheitlichen Anspruch (vgl. BGH, Urteil vom 18.11.2024, VI ZR 10/24, juris, Rn. 16).

Voraussetzung eines solchen Anspruchs sind ein oder mehrere Verstöße gegen die DSGVO und das Vorliegen eines hierdurch kausal verursachten materiellen oder immateriellen Schadens (vgl. BGH, Urteil vom 18. November 2024 - VI ZR 10/24 -, BGHZ 242, 180-216, Rn. 21, m. w. N.). Ein solcher kann bereits in einem Kontrollverlust der betroffenen Person über ihre personenbezogenen Daten liegen, ohne dass der Nachweis zusätzlicher negativer Folgen erforderlich ist (vgl. EuGH, Urteil vom 4. Oktober 2024 - C-200/23 -, Rn. 145, juris).

Soweit die Beklagte unter Hinweis auf die Rechtsprechung des EuGH ausführt, allein die Verletzung von Bestimmungen der DSGVO und eine daraus hergeleitete, objektiv nicht begründete Befürchtung des künftigen Datenmissbrauchs genüge zur Begründung eines Schadens nicht (vgl. EuGH, Urteil vom 19.03.2026, C-526/24, Celex-Nr. 62024CJ0526, Rn. 62, 63), betrifft dies eine andere Fallgestaltung, in welcher anstelle eines Kontrollverlusts das tatsächliche Risiko eines Datenmissbrauch als Schaden geltend gemacht wird. Ist hingegen ein Kontrollverlust belegt, stellt dieser selbst den immateriellen Schaden dar und es bedarf keiner sich daraus entwickelnden besonderen Befürchtungen oder Ängste der betroffenen Person; diese wären lediglich geeignet, den eingetretenen immateriellen Schaden noch zu vertiefen oder zu vergrößern (vgl. BGH, Urteil vom 18. November 2024 - VI ZR 10/24 -, BGHZ 242, 180-216, Rn. 31).

Nach diesen Maßstäben ist ein immaterieller Schaden des Klägers in Gestalt eines Kontrollverlusts zur Überzeugung des Senats gegeben und kausal auf die dargelegten Verstöße der Beklagten gegen die Datenverarbeitungsgrundsätze nach Art. 5 DSGVO zurückzuführen. Denn der streitgegenständliche Umgang der Beklagten mit den Daten des Klägers hat dazu geführt, dass personenbezogene Daten des Klägers in einer nicht transparent bestimmbaren Menge zwischen Dritten und der Beklagten geteilt und von der Beklagten in einer vom Kläger nicht kontrollierbaren Weise verarbeitet wurden.

Der Höhe nach orientiert sich der in Ausübung tatrichterlichen Ermessens (§ 287 ZPO) zuzusprechende Schadensersatz an der Schwere des zu Lasten des Klägers eingetretenen Kontrollverlusts. Dabei spielen die Sensibilität der konkret betroffenen personenbezogenen Daten ebenso eine Rolle wie die Art und Weise ihrer unrechtmäßigen Verwendung. Auch eine etwaige Unbegrenztheit des Empfängerkreises, die Dauer des Kontrollverlusts und die Möglichkeit der Wiedererlangung der Kontrolle sind zu berücksichtigen (vgl. BGH, Urteil vom 18. November 2024 - VI ZR 10/24 -, BGHZ 242, 180-216, Rn. 99). Demgegenüber wirken sich die Schwere des Verstoßes im Sinne eines höheren oder niedrigeren Verschuldensgrades der Beklagten nicht auf die Höhe des Schadenersatzes aus, da dieser eine Ausgleichs- und keine Straffunktion hat (EuGH, Urteil vom 11. April 2024 - C-741/21 -, Rn. 60, juris).

Gemessen daran und insbesondere unter Berücksichtigung des in der mündlichen Verhandlung gewonnenen persönlichen Eindrucks erachtet der Senat die zuerkannte Summe als erforderlich und zugleich ausreichend, um den eingetretenen immateriellen Schaden des Klägers angemessen auszugleichen.

Hierbei ist zunächst zu berücksichtigen, dass die in der Klageschrift zum Ausdruck gebrachte Sorge, die Beklagte erstelle ein umfassendes Verhaltensprofil des Klägers, das möglicherweise in einer ihm nachteiligen Weise Verwendung finden könne, nach den inzwischen gegebenen technischen Erläuterungen nicht mehr in der ursprünglichen Schärfe begründet ist. Vielmehr hat die Beklagte - insoweit auch in Weiterentwicklung des Vortrags, der anderweitig ergangener Rechtsprechung zugrunde lag - in einer den Senat überzeugenden Weise dargestellt, dass eine Fehlkonfiguration der Business-Tools zwar möglich ist, aber nicht den Regelfall darstellt und dass eine Datenübermittlung an sie aus diesem Grund und auch aufgrund der bereits in den Business-Tools implementierten Schutzvorkehrungen bei einer - in den meisten Fällen gegebenen - ordnungsgemäßen Funktion nur stattfindet, wenn dazu auf der Drittwebseite eine Einwilligung des Nutzers erteilt wurde. Zudem hat sie überzeugend den Vorgang des „Droppings“ dargestellt, wonach Daten, zu deren Weiterverwendung sie keine Einwilligung habe, nach einem initialen Abgleich verworfen würden, soweit diese nicht ausnahmsweise aus Sicherheits- und Integritätsgründen aufbewahrt würden. Diese Sachlage lässt die dargelegten Verstöße gegen Verarbeitungsgrundsätze im Sinne von Art. 5 DSGVO zwar nicht entfallen, verdeutlicht aber, dass der dem Kläger als Kontrollverlust entstandene Schaden in seinem Ausmaß überschaubar ist. Zudem ist der Kontrollverlust auch zeitlich begrenzt, da der Kläger - nicht zuletzt durch die in diesem Rechtsstreit durchgesetzte Löschung seiner Daten und die Unterlassung entsprechender Datenverarbeitung in der Zukunft - seine Kontrolle wiedererlangt.

Darüber hinaus hat sich der Senat im Rahmen der persönlichen Anhörung des Klägers einen Eindruck von der Bedeutung des eingetretenen Kontrollverlust für ihn verschafft. Hierbei war zum einen zu berücksichtigen, dass sich der Kläger an der Auswertung seines Nutzerverhaltens auf K. als solcher ausdrücklich nicht gestört, sondern bewusst seine Einwilligung dazu erteilt hat. Lediglich die Auswertung der von Drittanbietern übermittelten Daten hat er als nicht mit seinen Vorstellungen übereinstimmend beschrieben. Dass sich der damit zusammenhängende Kontrollverlust für ihn in einer relevanten Weise ausgewirkt hat, hat er zur Überzeugung des Senats dadurch plausibel gemacht, indem er sinngemäß eine dem üblichen Alltagsgebrauch entsprechende Internetnutzung geschildert hat, wobei er zeitweise auch zu beruflichen Themen als Beamter einer Ordnungsbehörde recherchiert und dadurch begründet die Sorge gewonnen hat, die berufliche Nutzung werde mit seinem privaten Nutzerprofil verknüpft. Dem Umstand, dass der Kläger der Übermittlung von Cookie-Informationen durch Drittanbieter an die Beklagte - wenn auch seiner Darstellung nach unbewusst - bis zum schriftsätzlichen Widerruf zugestimmt hat, misst der Senat angesichts der fehlenden Transparenz der Datenverarbeitung nur eine mäßige Bedeutung zu. Gleichwohl hat der Senat aus dem Gesamteindruck der persönlichen Anhörung die Überzeugung gewonnen, dass der Kläger durch den Kontrollverlust in seinem persönlichen Empfinden zwar feststellbar, aber nicht so schwerwiegend getroffen wurde, dass eine höhere Entschädigung gerechtfertigt wäre.

Einen die zuerkannte Summe übersteigenden Schadensersatz kann der Kläger auch nach nationalem Vertrags- oder Deliktsrecht nicht beanspruchen.

§ 253 Abs. 2 BGB sieht immateriellen Schadensersatz bei einer Verletzung des allgemeinen Persönlichkeitsrechts grundsätzlich nicht vor (vgl. MüKoBGB/Oetker, 10. Aufl. 2025, BGB § 253 Rn. 27, beck-online). Jenseits dessen kann sich ein Anspruch auf Schmerzensgeld aus § 823 Abs. 1 BGB i.V.m. Art. 1 Abs. 1, Art. 2 Abs. 1 GG ergeben, wenn eine schuldhafte Verletzung des allgemeinen Persönlichkeitsrechts vorliegt, bei der es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung in anderer Weise nicht befriedigend aufgefangen werden kann. Ob eine so schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, dass die Zahlung einer Geldentschädigung erforderlich ist, kann nur aufgrund der gesamten Umstände des Einzelfalls beurteilt werden. Hierbei sind insbesondere die Bedeutung und Tragweite des Eingriffs, ferner Anlass und Beweggrund des Handelnden sowie der Grad seines Verschuldens zu berücksichtigen (BGH, Urteil vom 12. März 2024 - VI ZR 1370/20 -, BGHZ 240, 45-79, Rn. 70).

Da diese Anspruchsvoraussetzungen und Bemessungsfaktoren mit jenen eines Anspruchs aus Art. 82 Abs. 1 DSGVO nicht vollständig deckungsgleich sind, ist ein etwaiger immaterieller Schadensersatzanspruch aus § 823 Abs. 1 BGB zwar eigenständig zu prüfen. Inhaltlich ist die Schwelle, ab welcher ein solcher Anspruch zuzuerkennen wäre (vgl. hierzu etwa BGH, Urteil vom 12. März 2024 - VI ZR 1370/20, juris Rn. 68 ff.), vorliegend aber nicht erreicht.

Darüber hinaus stellt der nach Art. 82 Abs. 1 DSGVO zuzusprechende Schadensersatz einen Umstand dar, der bei Prüfung der Frage zu berücksichtigen ist, ob die den Kläger treffende Beeinträchtigung bereits in anderer Weise befriedigend aufgefangen wird (vgl. OLG Hamm, Urteil vom 9. März 2026 - I-8 U 13/25 -, juris, Rn. 191, OLG München Endurteil v. 18.12.2025 - 14 U 1068/25 e, GRUR-RS 2025, 36441 Rn. 178), was hier der Fall ist.

Einen Anspruch auf Ersatz vorgerichtlicher Rechtsanwaltskosten hat der Kläger nicht.

Ein solcher Anspruch kann sich grundsätzlich verzugsbedingt oder als Teil eines verzugsunabhängig nach vertraglichen oder deliktischen Vorschriften zu ersetzenden Schadens ergeben. Diese Anspruchsgrundlagen setzen - unter anderem - jeweils voraus, dass die vorgerichtliche Anwaltstätigkeit aus Sicht eines vernünftigen, wirtschaftlich denkenden Geschädigten zur Wahrnehmung seiner Rechte erforderlich und zweckmäßig war (vgl. Saarländisches Oberlandesgericht Saarbrücken, Urteil vom 8. Juli 2026 - 5 U 59/25 -, Rn. 19, juris; BGH, Urteil vom 17. September 2015 - IX ZR 280/14 -, Rn. 9 ff., juris). Insbesondere im Falle einer ernsthaften und endgültigen Erfüllungsverweigerung können außergerichtliche Zahlungsauf­forderungen durch den Rechtsanwalt als nicht erfolgversprechend und daher als nicht zweckmäßig anzusehen sein (BGH, a. a. O., Rn. 11, juris). Entsprechendes gilt, wenn der die Partei in einem Massenkomplex vertretende Rechtsanwalt aus gleich gelagerten Fällen weiß, dass sich die Gegenseite auf vorgerichtliche Anwaltsschreiben durchweg nicht erfüllungsbereit zeigt, was hinsichtlich des hier streitgegenständlichen Komplexes jedenfalls ab Sommer 2023 bekannt war (vgl. OLG Hamm, Urteil vom 24. Juni 2026 - I-8 U 56/25 -, juris, Rn. 216).

Entsprechend musste der Kläger aufgrund der bei seinen anwaltlichen Vertretern bekannten Informationen sicher davon ausgehen, dass die mit Schreiben vom 28.09.2023 entfaltete vorgerichtliche Anwaltstätigkeit aussichtslos war. Dem Senat ist aus einer Vielzahl gleich gelagerter Verfahren bekannt, dass die anwaltlichen Vertreter des Klägers die Beklagte mit im Wesentlichen wortgleichen Schreiben kontaktiert hatten, ohne dass dies zu einer freiwilligen Erfüllung der geltend gemachten Ansprüche geführt hat. Dementsprechend verwundert es nicht, dass auch der Rechtsschutzversicherer des Klägers ein außergerichtliches anwaltliches Tätigwerden ausdrücklich als nicht erfolgversprechend abgelehnt und seine Deckungszusage auf die gerichtliche Anspruchsverfolgung beschränkt hat.

Die Kostenentscheidung beruht auf § 92 Abs. 1 S. 1 ZPO. Der Senat hat von der Möglichkeit, die Zuvielforderung hinsichtlich des immateriellen Schadensersatzes gemäß § 92 Abs. 2 Nr. 2 ZPO außer Betracht zu lassen, keinen Gebrauch gemacht, da die vom Kläger geäußerte Mindestvorstellung deutlich und erkennbar übersetzt war.

Die Entscheidung zur vorläufigen Vollstreckbarkeit beruht auf § 708 Nr. 10, 713 ZPO.

Die Revision ist nicht zuzulassen, da die Voraussetzungen nach § 543 Abs. 2 ZPO nicht vorliegen. Die vom Senat getroffene Entscheidung steht im Einklang mit den Vorgaben der zitierten höchstrichterlichen Rechtsprechung und es besteht keine Divergenz zu anderweitigen obergerichtlichen Entscheidungen in höchstrichterlich ungeklärten grundlegenden Rechtsfragen. Insbesondere die Frage, wann ein feststellungsfähiges Rechtsverhältnis im Sinne von § 256 Abs. 1 und 2 ZPO vorliegt, ist in der Rechtsprechung des Bundesgerichtshofs geklärt. Einzelne abweichende obergerichtliche Entscheidungen begründen für sich genommen keine Divergenz, die zur Sicherung einer einheitlichen Rechtsprechung eine Entscheidung des Revisionsgerichts erforderlich macht (vgl. BGH, Beschluss vom 27. November 2013 - VII ZR 371/12 -, Rn. 9, juris). Auch kommt es auf die in der obergerichtlichen Rechtsprechung zum Teil anders bewertete deliktische Störereigenschaft der Beklagten im Rahmen des geltend gemachten Unterlassungsanspruchs nicht entscheidend an, da sich der Unterlassungsanspruch bereits aus dem zwischen den Parteien bestehenden Nutzungsvertrag ergibt. Schließlich ist eine Revisionszulassung auch nicht hinsichtlich der Frage geboten, ob für die Bemessung eines Schadensersatzanspruchs aus § 823 Abs. 1 BGB i. V. m. Art. 1 Abs. 1, 2 Abs. 1 GG auch der Präventionsgedanke ein maßgeblicher Bemessungsgesichtspunkt ist. Denn auf diese Frage kommt es nicht an, nachdem schon die - in der Rechtsprechung des BGH geklärten - tatbestandlichen Voraussetzungen eines solchen Anspruchs nicht vorliegen.