Kein Schadensersatz für Nutzer einer Musik-Streaming-Plattform nach Datenleck durch Hackerangriff

Die Beklagte betreibt in Europa einen Musik-Streaming-Dienst. Unbekannte Dritte hatten perso­nen­be­zogene Daten der Nutzer der Beklagten in der Vergangenheit unberechtigt entwendet und boten die Datensätze zunächst zum Verkauf im Darknet und später für jedermann frei zugänglich zum Herunterladen an.

Der von dem Datenabgriff betroffene Kläger machte mit seiner Klage als Ausgleich für einen behaupteten Daten­schutz­verstoß die Zahlung eines Schmerzengeldes in Höhe von mindestens 1.000 EUR sowie weitere Ansprüche geltend. Er habe aufgrund des Vorfalls einen Kontrollverlust über seine perso­nen­be­zogenen Daten erlitten und sei wegen der möglichen Missbrauchs­gefahr in großer Sorge. Auch erhalte er seit dem Vorfall Spamnachrichten an seine E-Mail-Adresse. Zwischen den Parteien war streitig, ob die Beklagte hinreichende technische und organi­sa­to­rische Maßnahmen zur Verhinderung von Datenabgriffen vorgehalten hatte.

Landgericht: Keinen Kausa­l­zu­sam­menhang nachgewiesen

Das Landgericht hat mit Urteil vom 15. Mai 2024 die Klage abgewiesen, weil der Kläger einen Kausa­l­zu­sam­menhang zwischen dem behaupteten Daten­schutz­verstoß und einem Schaden nicht nachweisen konnte. Das Gericht führte aus, dass die Beklagte lediglich für Schäden haftet, die durch eine rechtswidrige Daten­ver­a­r­beitung verursacht wurden. Eine unbefugte Offenlegung von perso­nen­be­zogenen Daten durch Dritte allein genügt nicht, um auf einen Daten­schutz­verstoß der Beklagten zu schließen. Vorliegend habe der Kläger nicht ausreichend vorgetragen, dass der spätere Datenabgriff gerade auf unzureichende Schutzmaßnahmen der Beklagten zurückzuführen ist. Auf eine Vermu­tungs­wirkung könne sich der Kläger in diesem Zusammenhang nicht berufen. Bezüglich der Spam-Mails konnten die Richter ebenfalls keinen kausalen Schaden feststellen. Es bestünde die Möglichkeit, dass der Kläger seine perso­nen­be­zogenen Daten an anderer Stelle weitergegeben habe oder diese an anderer Stelle abgegriffen wurden. In seiner Entscheidung konnte das Gericht daher offenlassen, ob die Beklagte zurechenbar gegen die Datenschutz-Grundverordnung verstoßen hat oder nicht.

Gegen das klageabweisende Urteil des Landgerichts Nürnberg-Fürth vom 15. Mai 2024 hatte der Kläger Berufung zum Oberlan­des­gericht Nürnberg eingelegt. Auf den Hinweis des Oberlan­des­ge­richts zur Erfolgs­lo­sigkeit der Berufung hat der Kläger sein Rechtsmittel zurückgenommen.

Das Urteil des Landgerichts Nürnberg-Fürth ist damit rechtskräftig.