Die Beklagte betreibt u.a. das soziale Netzwerk Instagram, das die Klägerin unter dem Benutzernamen „ … “ …

I.

Die Beklagte betreibt u.a. das soziale Netzwerk Instagram, das die Klägerin unter dem Benutzernamen „ … “ nutzt. Die Klägerin nimmt die Beklagte auf Feststellung der Nichtgestattung der Erfassung, Weiterleitung, Speicherung und Verwendung von personenbezogenen Daten im Zusammenhang mit den sogenannten Meta Business-Tools durch den Nutzungsvertrag der Parteien, auf Unterlassung und Löschung bzw. Anonymisierung von Daten in Anspruch. Außerdem begehrt sie von der Beklagten Schadensersatz wegen angeblicher Verstöße gegen die DSGVO durch Verwendung der Meta Business-Tools (im Folgenden nur „Business-Tools“).

Die Klägerin hat die Auffassung vertreten, die Verarbeitung der Daten sei mangels Einwilligung ihrerseits rechtswidrig. Sie hält einen immateriellen Schadensersatz i.H.v. mindestens 5.000 € für angemessen angesichts des eingetretenen Kontrollverlustes über ihre eigenen Daten, des Gefühls des Überwachtseins und der Ungewissheit über die Datenverarbeitung, das zu einer Einschränkung ihres Surfverhaltens geführt habe.

Die Beklagte hat gegen ihre Inanspruchnahme im Wesentlichen eingewandt, der Antrag auf Feststellung sei bereits mangels Feststellungsinteresses, die Anträge auf Unterlassung und Löschung wegen Unbestimmtheit unzulässig. Jedenfalls sei die Klage unbegründet, denn die Verarbeitung der Daten sei nicht rechtswidrig, die Verantwortung, die Einwilligung zur Übermittlung von Drittwebseiten und -Apps einzuholen, liege bei deren Betreibern. Da die Klägerin - unstreitig - ihre Einwilligung in die Verarbeitung von Daten für personalisierte Werbung nicht erteilt hat, erfolge - insoweit seien die tatsächlichen Feststellungen in dem angefochtenen Urteil zu korrigieren - diese auch nicht.

Wegen des weiteren Vorbringens und der Anträge erster Instanz wird gemäß § 540 Abs. 1 Satz 1 ZPO mit der folgenden Ergänzung auf den Inhalt des angefochtenen Urteils verwiesen:

Integriert der Betreiber einer Website (Drittanbieter) die Business-Tools auf seinen Internetseiten, werden Daten eines Nutzers, der diese Website besucht, an die Beklagte automatisch übertragen. Darunter befinden sich nicht nur technische Standarddaten wie beispielsweise die IP-Adresse des Geräts des Nutzers, sondern auch - abhängig vom jeweils verwendeten Business-Tool - zusätzliche Daten wie beispielsweise Identifizierungsmerkmale und Aktivitätsdaten des Nutzers.

Sobald ein Nutzer die Webadresse eines Drittanbieters, der die Business-Tools nutzt, eingegeben hat, kommuniziert der Browser des Nutzers nicht nur mit dem Server des Drittanbieters, um dessen Inhalte zu laden, sondern darüber hinaus mit Servern der Beklagten, u.a. um eingebettete Inhalte mittels einer weiteren (automatisch erzeugten) Anfrage zu erhalten. Dabei ermöglichen die Business-Tools, die eingebetteten Inhalte (z.B. Werbung) abhängig vom jeweiligen Nutzer zu gestalten. Hierzu heißt es in den „Parametern für Kund*innen-Information an die Drittunternehmen“ der Beklagten (Anlage K 9): „Du kannst mit den Meta-Business-Tools Parameter für Kund*innen-Informationen an Meta senden. Dabei handelt es sich um eine Reihe von Identifizierungsmerkmalen wie Namen und E-Mail-Adressen von Nutzer*innen, die du zusammen mit deinen Event-Daten teilst.“

Ein kleines, in den Webseiten des Drittanbieters platziertes Programm (der „Meta Pixel“) wird auf das Gerät des Nutzers geladen und gestartet. Dieses Programm sammelt und speichert anschließend Daten des Nutzers, die an die Beklagte gesendet werden, ohne dass der Nutzer dies merkt. In der Beschreibung der Top 11 Pixel in Anlage B 4 (dort S. 2) heißt es: „This pixel is loaded when a user visits a website or opens an email and is used to track users activities… Once added to your site, these … pixel graphics gather user behavior and collect other insights that allow you to measure the impact and ROI of your ads.“

So werden verschiedene Geräteinformationen gesammelt, die es in ihrer Zusammenschau ermöglichen, den Nutzer mit sehr hoher Wahrscheinlichkeit eindeutig zu identifizieren (vgl. BKartA, Beschluss vom 6. Februar 2019, Az. B6-22/16). Dazu gehören etwa die mit dem Nutzergerät verknüpfte IP-Adresse, das Betriebssystem des Geräts, die Art des verwendeten Browsers (z. B. Chrome, Firefox, Safari, usw.), dessen Softwareversion, die vom Kunden verwendete Sprache, ob das Gerät des Kunden einen Touchscreen hat und die Parameter dieses Touchscreens. Im weiteren Verlauf kann dann das derart aktivierte Business-Tool unter im Einzelnen streitigen Umständen weitere Daten, insbesondere zu aktuellen und zurückliegenden Nutzeraktivitäten auf den Webseiten des Drittanbieters - wie etwa Klicks auf einzelne Artikel oder Buttons, Tastatureingaben, Formulareingaben etc. (sog. „event data“) - speichern und an die Beklagte übertragen, wobei Art und Umfang der übermittelten Daten davon abhängen, welches der Business-Tools das Drittunternehmen integriert hat und wie es dieses Tool im Einzelnen einsetzt.

Ist auf der von der Nutzerin oder dem Nutzer besuchten Seite hingegen das Business-Tool „Conversions API“ bzw. auf der App das Business-Tool „App Events API“ (im Folgenden: „API-Tools“) eingebunden, erfolgt keine direkte Kommunikation mit Servern der Beklagten. Vielmehr wird das Business-Tool dann - unter im Einzelnen streitigen Umständen - direkt auf dem Server des Drittanbieters aktiv und übermittelt von dort die vorgenannten Identifizierungsmerkmale und Nutzeraktivitäten an die Beklagte. Mit der Conversion API können „Marketingdaten direkt und zuverlässig von deinem Server [= dem Server des Drittunternehmens] an die Meta-Systeme übermittelt (werden), die deine Werbeanzeigen ausliefern“ (Meta Playbook, S. 4 und 23, Anlage K 11). Die Daten werden in diesem Fall auch weitergeleitet, wenn sich die Nutzer gegen die Nutzung ihrer Daten entschieden haben. Da die Conversions API nicht in den Browser des Nutzers geladen werden muss, kann der Nutzer sie nicht abschalten. Die entsprechenden Systeme nutzt die Beklagte auch bei Nutzern, die die Schaltflächen „Optionale Cookies erlauben“ und „Informationen über Aktivitäten von Werbepartnern“ nicht aktiviert haben (vgl. Beispiel einer Nutzung von spiegel.de, Replik S. 25 bis 33). Die Drittunternehmen werden ermuntert, Meta Pixel und die Conversion App zu verbinden, weil das „Optimierungsmöglichkeiten für die Kampagnen-Performance“ biete (vgl. S. 11, Anlage K 11).

Die Business-Tools sind in zahlreiche Webseiten und Apps in Deutschland im Hintergrund eingebunden, u.a. in zahlreiche große Nachrichtenseiten und -Apps (z.B. bild.de, spiegel.de, n-tv.de, faz.de, focus.de), große Reiseseiten und -Apps (z.B. booking.com, airbnb.de, bahn.de, tripadvisor.de), Seiten und Apps, die medizinische Hilfe bieten (z.B. ärzte.de, drk.de, netdoktor.de), Dating- und Erotikseiten (z.B. lovescout.de, orion.de, parship.de). Die angefallenen Daten sendet die Beklagte weltweit in Drittstaaten, insbesondere die USA, und gibt sie auch an Dritte sowie an Behörden weiter.

Das Landgericht hat dem Antrag auf Löschung und Anonymisierung vollständig, dem Antrag auf immateriellen Schadensersatz teilweise - i.H.v. 500,00 € - und dem Antrag auf Freistellung von den vorgerichtlichen Anwaltskosten i.H.v. 220,27 € stattgegeben und die Klage im Übrigen abgewiesen. Zur Begründung hat es ausgeführt, die Feststellungsklage (Klageantrag zu 1) sei mangels Feststellungsinteresse unzulässig. Der Antrag auf Unterlassung (Klageantrag zu 2) sei unbegründet. Zwar habe die Klägerin auf Hinweis des Gerichts zu den von ihr regelmäßig besuchten Websites und Apps vorgetragen. Ein Unterlassungsanspruch lasse sich aber weder auf § 17 DSGVO stützen, denn diese Norm sehe lediglich ein Löschungsrecht bezüglich personenbezogener Daten vor, räume jedoch gerade keine weitergehenden Rechte bezüglich der Datenverarbeitungsvorgänge ein, noch auf §§ 823, 1004 BGB, weil wegen des abschließend vereinheitlichen Datenschutzrechts nach der DSGVO nicht auf Vorschriften des nationalen deutschen Rechts zurückgegriffen werden könne (OLG Stuttgart, Urteil vom 22.11.2023, 4 U 20/23). Das Begehren, personenbezogenen Daten unverändert am gespeicherten Ort zu belassen und sie erst zu löschen, wenn der Kläger die Beklagte hierzu auffordert, lasse sich nicht auf § 18 Abs. 2 DSGVO stützen, weil die Tatbestandsvoraussetzungen nicht vorlägen, und die §§ 1004, 823 BGB durch die abgeschlossene Regelung in der DSGVO gesperrt seien.

Der Antrag auf Löschung und Anonymisierung (Klageantrag zu 4) sei gemäß Art. 17 Abs. 1 lit. d) DSGVO bzw. Art. 18 Abs. 1 lit b) DSGVO begründet. Die Klägerin habe mit Schriftsatz vom 19.03.2025 hinreichend substantiiert dargelegt, dass sie regelmäßig die Webseiten bild.de, spiegel.de, stern.de, immobilienscout24.de, paypal.de, klarna.de, airbnb.com, eventim.de, trivago.de, netflix.com, gala.de, etsy.com, ebay-kleinanzeigen.de, idealo.de, mediamarkt.de, otto.de, mydealz.de und vodafone.de nutze, und die Beklagte habe nicht bestritten, dass sie mittels des Business-Tools „MetaPixel“ die entsprechenden Daten erhalte und ggf. auch nutze. Konkreten Vortrag dazu, dass sie die ihr übermittelten Daten von Drittanbietern tatsächlich nicht mehr nutze, wenn der Nutzer die entsprechenden Einstellungen vornähmen, insbesondere also künftige Verknüpfungen zwischen dem Konto und den Aktivitätsinformationen ausschalte, sei auch nach dem mit Beschluss vom 26.11.2024 erteilten Hinweis nicht erfolgt. Auf welche Datenverarbeitung die Beklagte mit ihrem Vortrag, der Nutzer könne die Kontrolle über die „streitgegenständliche Datenverarbeitung“ über die verschiedenen bereitgestellten Einstellungen vornehmen, Bezug nehme, sei weiterhin unklar, was zu Lasten der Beklagten gehe. Das Geschäftsmodell, mit dem Business-Tools zur Verfügung gestellt würden, die auf Webseiten der Vertragspartner als sog. "First Party Cookies", also eigene Cookies, installiert würden, lasse darauf schließen, dass die Nutzung der Daten in jedem Fall beabsichtigt sei. Denn wenn der Nutzer in seinem Browser die sog. „Third Party Cookies“ blockiere, könnten Drittanbieter die von der Beklagten bereitgestellten Cookies dennoch setzen, weil es sich nicht um Drittanbietercookies handle. Die Beklagte sei auch Verantwortliche i.S.d. Art. 4 Nr. 7 DSGVO. Die Verarbeitung der personenbezogenen Daten der Klägerin sei unrechtmäßig; eine Einwilligung, die nach Art 4 Nr. 11 DSGVO eine freiwillig für den bestimmten Fall in informierter Weise und unmissverständlich abgegebene Willenserklärung erfordere, liege nicht vor. Dass die Speicherung der Daten der Klägerin von einer von dieser erklärten Einwilligung gedeckt sei, werde von der Beklagten nicht hinreichend substantiiert vorgetragen; eine Möglichkeit, der Sammlung und Speicherung der an die Beklagte übermittelten Daten - nicht nur für personalisierte Werbung - zu widersprechen, habe die Beklagte nicht dargelegt. Die Speicherung sei auch nicht zur Wahrung berechtigter Interessen der Beklagten (Art. 6 lit. f DSGVO) erforderlich. Es sei nicht nachvollziehbar, weshalb für die Sicherheit ihrer Server und zur Sicherstellung, dass Kriminelle die Business-Tools nicht ausnutzen, gerade die Speicherung derjenigen Daten erforderlich sei, deren missbräuchliche Verwendung bekämpft werden solle. Der Anspruch auf Anonymisierung beruhe auf Art. 18 Abs. 1 lit. b) DSGVO; aus dem Gesamtkontext heraus sei die Anonymisierung als „Veränderung“ der Daten und damit als „Verarbeitung“ der Daten i.S.d. Art. 4 Nr. 2 DSGVO zu verstehen.

Der Klägerin stehe gemäß Art 82 Abs. 1 DSGVO ein Anspruch auf Zahlung eines immateriellen Schadensersatzes zu, denn es stehe fest, dass im Rahmen von Business-Tools auf Drittwebseiten und Apps angefallene Daten der Klägerin an die Beklagte übermittelt worden seien und von dieser gespeichert würden, ohne dass hierfür eine Rechtfertigung vorliege. Das genüge für die Haftung für vermutetes Verschulden nach Art. 82 Abs. 1 DSGVO. Der Klägerin sei auch ein immaterieller Schaden erwachsen. Da hierfür der Nachweis eines jedenfalls kurzzeitigen Verlustes der Kontrolle über ihre personenbezogenen Daten ausreiche, genüge bereits, dass die Klägerin Webseiten besucht habe, die entsprechende Business-Tools nutzen und daher Daten an die Beklagte übermittelten. Zwar sei es der Klägerin möglich, diese Daten von ihrem Nutzerkonto zu trennen, sie könne aber nicht die Konfiguration ihres Kontos löschen und der von der Beklagten mit der Datensammlung verfolgte Zweck bleibe im Ungewissen. Die Höhe des Schadensersatzes sei mit 500,00 € angemessen. Im Rahmen ihrer persönlichen Anhörung habe die Klägerin nicht den Eindruck erweckt, als verursache die Datenverarbeitung einen größeren seelischen Schmerz, andererseits sei eine Mehrzahl von Datenübertragungen gegenständlich.

Vorgerichtliche Anwaltskosten seien auch bei Verfolgung eines Anspruchs aus Art. 82 Abs. 1 DSGVO erstattungsfähig, der Höhe nach indes auf den berechtigterweise geltend gemachten Anspruch begrenzt.

Gegen dieses der Beklagten am 22.04.2025, der Klägerin am 17.04.2025 zugestellte Urteil wenden sich beide Parteien mit ihrer jeweiligen Berufung, mit der sie ihre erstinstanzlichen Rechtsschutzziele weiter verfolgen; hiervon ausgenommen ist der Klageantrag zu 3, den die Klägerin nicht weiter verfolgt.

Die Klägerin macht im Wesentlichen geltend:

Der Feststellungsantrag sei entgegen der Auffassung des Landgerichts zulässig; die Feststellung sei insbesondere erforderlich, um eine Gewissheit über den Inhalt des aktuell bestehenden Rechtsverhältnisses zu schaffen und eine erneute gerichtliche Feststellung zu vermeiden, sollten sich künftig weitere Schäden ergeben.

Ihre Klage sei insgesamt begründet. Der Unterlassungsanspruch (Antrag zu 2) gründe primär auf Art. 17, 79 DSGVO, stütze sich indes auch auf § 1004 Abs. 1 Satz 1 BGB analog i.V.m. § 823 Abs. 1 BGB sowie auf §§ 280 Abs. 1, 241 Abs. 2 BGB. Die vom Landgericht wie auch anderen Gerichten vertretene Auffassung, dass Art. 79 Abs. 1 DSGVO weitere gerichtliche Rechtsbehelfe ausschließe, überzeuge nicht; insbesondere könne mit dem Löschungsanspruch aus Art. 17 DSGVO allenfalls reaktiv gegen Datenverarbeitungsverstöße begegnet werden, nicht hingegen präventiv. Entgegen der Sichtweise des Landgerichts sei es ihr auch nicht darum gegangen, „wie“ die Beklagte künftig Daten verarbeite, sondern um das „ob“ der streitgegenständlichen Datenverarbeitung.

Der Anspruch auf Geldentschädigung bzw. Schadensersatz sei vollumfänglich, mithin i.H.v. 5.000 €, begründet. Der von der Klägerin erlittene umfängliche Kontrollverlust hinsichtlich des Verbleibs und der Verarbeitung ihrer personenbezogenen Daten, der darin bestehe, dass sie nicht mehr wisse und wissen könne, was die Beklagte über sie wisse, aber von einem weitgehenden Wissen ausgehen müsse, weil die Beklagte vorsätzlich, dauerhaft und umfassend eine Vielzahl von personenbezogenen Daten aufzeichne, die geeignet seien, ein umfassendes Persönlichkeitsprofil zu erstellen, werde durch den zuerkannten Betrag nicht ausgeglichen. Ein Ersatzanspruch ergebe sich auch aus § 823 Abs. 1 BGB i.V.m. Art. 2 Abs. 1, Art. 1 Abs. 1 GG; nach der erstinstanzlich dargestellten Rechtsprechung des BGH sei kein über den festgestellten Grundrechtseingriff in die informelle Selbstbestimmung hinausgehender Schaden erforderlich. Der Freistellungsanspruch bestehe nach alledem in der geltend gemachten Höhe.

Die Klägerin beantragt,

das Urteil des Landgerichts Neuruppin vom 17.04.2025 (1 O 289/23) abzuändern, soweit die Anträge zu 1, zu 2, zu 4, zu 5 und zu 6 abgewiesen wurden, und wie folgt neu zu fassen: Es wird festgestellt, dass der Nutzungsvertrag der Parteien zur Nutzung des Netzwerks „Instagram“ unter dem Benutzernamen „_.._“ der Beklagten die Erhebung mit Hilfe der Meta Business Tools, die Weitergabe an die Server der Beklagten, die dortige Speicherung und anschließende Verwendung von folgenden personenbezogenen Daten nicht gestattet: auf Dritt -Webseiten und -Apps entstehende personenbezogene Daten der Klagepartei, ob direkt oder in gehashter Form übertragen, d. h.E-Mail der KlageparteiTelefonnummer der KlageparteiVorname der KlageparteiNachname der KlageparteiGeburtsdatum der KlageparteiGeschlecht der KlageparteiOrt der Klageparteiexterne IDs anderer Werbetreibender (von der Meta Ltd. „external_ID“ genannt)IP-Adresse des ClientsUser-Agent des Clients (d. h. gesammelte Browserinformationen)interne Klick-ID der Meta Ltd.interne Browser-ID der Meta Ltd.Abonnement-IDLead-IDanon_iddie Advertising ID des Betriebssystems Android (von der Meta Ltd. „madid“ genannt)sowie folgende personenbezogene Daten der Klagepartei auf Webseitendie URLs der Webseiten samt ihrer Unterseitender Zeitpunkt des Besuchsder „Referrer“ (die Webseite, über die der Benutzer zur aktuellen Webseite gekomen ist),die von der Klagepartei auf der Webseite angeklickten Buttonssowie weitere von der Meta „Events“ genannte Daten, die die Interaktionen der Klagepartei auf der jeweiligen Webseite dokumentieren in mobilen Dritt -Appsder Name der App sowieder Zeitpunkt des Besuchsdie von der Klagepartei in der App angeklickten Buttons sowiedie von der Meta „Events“ genannten Daten, die die Interaktionen der Klagepartei in der jeweiligen App dokumentieren. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 €, ersatzweise an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft oder einer an ihrem gesetzlichen Vertreter zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten der Klagepartei gem. dem Antrag zu 1. mit Hilfe der Meta Business Tools zu erheben, an die Server der Beklagten weiterzugeben, die Daten dort zu speichern und anschließend zu verwenden. Die Beklagte wird verpflichtet, sämtliche gem. dem Antrag zu 1 a. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten der Klagepartei einen Monat nach rechtskräftigem Abschluss des Verfahrens vollständig zu löschen und der Klagepartei die Löschung zu bestätigen sowie sämtliche gemäß dem Antrag zu 1 b. sowie c. seit dem 25.05.2018 bereits gespeicherten personenbezogenen Daten vollständig zu anonymisieren oder wahlweise nach Wahl der Beklagten zu löschen. Die Beklagte wird verurteilt, an die Klagepartei eine angemessene Entschädigung in Geld, deren Höhe in das Ermessen des Gerichts gestellt wird, die aber mindestens 5.000,00 € beträgt, nebst Zinsen i. H. v. 5 Prozentpunkten über dem Basiszinssatz seit dem 07.09.2023, zu zahlen. Die Beklagte wird verurteilt, die Klagepartei von vorgerichtlichen Rechtsanwaltskosten i.H.v. 1.295,43 Euro freizustellen.

Die Beklagte beantragt,

die Berufung der Klägerin zurückzuweisen, das Urteil des Landgerichts Neuruppin vom 17.04.2025 (1 O 289/23) abzuändern, soweit der Klage stattgegeben wurde, und die Klage insgesamt abzuweisen.

Die Beklagte verteidigt die angefochtene Entscheidung, soweit sie ihr günstig ist, und macht zu ihrer Berufung im Wesentlichen geltend:

Die Klägerin habe ihre Klaganträge nicht hinreichend substantiiert, insbesondere ihre individuelle Betroffenheit nicht ausreichend dargelegt. Es sei nicht ausreichend, nahezu formelhafte und nahezu identische Schriftsätze einzureichen, aus denen nicht ersichtlich sei, ob, wann und über welche Webseiten oder Apps Daten über die streitgegenständlichen Business-Tools verarbeitet worden sein könnten, inwiefern eine solche Verarbeitung rechtswidrig sein könnte, auf welcher konkreten Grundlage die Klägerin diese subjektiven Eindrücke von „Kontrollverlust“ oder „Angst vor Missbrauch“ habe, die sie angeblich empfindet oder inwiefern die Handlungen der Beklagten diese Empfindungen verursacht haben könnten. Insoweit treffe die Beklagte auch keine sekundäre Darlegungslast. Infolge der Überprüfung einiger der in der Anlage K 14 genannten Webseiten, beispielsweise Amorelie.de, Orion.de, Estheticon.de, Nie-wieder-alkohol.de, Wahl-O-Mat.de, Thorsteinar.de und Antifascismapparel.com hätten sich keine Hinweise für die Verwendung der streitgegenständlichen Business-Tools ergeben, selbst wenn die Liste Webseiten enthalte, die die streitgegenständlichen Business-Tools verwendeten, lege dies weder eine Verarbeitung der Daten der Klägerin durch die Beklagte dar noch deren Rechtswidrigkeit. Die Feststellung des Landgerichts, dass die Beklagte die Daten speichere, sei nicht nachvollziehbar angesichts ihres ausdrücklichen Bestreitens mit Nichtwissen, dass die Klägerseite Drittwebseiten und -Apps besucht habe, die die streitgegenständlichen Business-Tools verwendeten.

Da der Klägervortrag unbestimmt, verworren und völlig unsubstantiiert sei, habe die Beklagte ihn auslegen müssen, um überhaupt zu verstehen, wogegen sich die Klägerin wende. Nach eingehender Analyse konzentrierten sich die Vorwürfe auf das in der Schaltung personalisierter Werbung bestehende Geschäftsmodell der Beklagten, weshalb sie schriftsätzlich zum Verarbeitungszweck der „Verarbeitung von Daten von Drittwebseiten und -apps zur Bereitstellung personalisierter Werbung“ ausgeführt habe. Demgegenüber versäume es die Klägerin unter Verkennung ihrer Darlegungslast darzustellen, welchen konkreten Verarbeitungszweck sie angreife und warum ein solcher aus ihrer Sicht rechtswidrig sein solle.

Der Löschungs- und Anonymisierungsantrag sei bereits unzulässig, da er zu unbestimmt sei und die nach § 259 ZPO erforderliche „Besorgnis nicht rechtzeitiger Leistung“ fehle im Hinblick auf die Möglichkeit der Trennung der Daten vom Konto sowie der vollständigen Löschung der Konten. Der Löschungsantrag sei auch unbegründet, denn die Verarbeitung der Business-Tools Daten zur Bereitstellung von personalisierter Werbung werde nur nach Einwilligung des Nutzers vorgenommen und sei daher rechtmäßig. Anspruch auf Anonymisierung bestehe nicht, denn der eindeutige Wortlaut des § 18 DSGVO räume keinesfalls das Recht ein, weitere Verarbeitungsvorgänge - um einen solchen handle es sich - bezüglich personalisierter Daten zu verlangen.

Ein Anspruch auf immateriellen Schadenersatz scheitere bereits daran, dass die Beklagte nicht gegen die DSGVO verstoßen und zudem es die Klägerin versäumt habe, überhaupt darzulegen, dass sie einen tatsächlichen Schaden erlitten habe. Die vom Bundesgerichtshof in der Entscheidung vom 18.11.2024 (VI ZR 10/24) aufgestellten Anforderungen seien auf den vorliegenden Fall nicht übertragbar, da es hier nicht um mit der Scraping-Thematik vergleichbare Datenschutzverstöße gehe. Das Landgericht habe zu Unrecht einen Verstoß gegen die DSGVO mit einem „Kontrollverlust“ gleichgesetzt. Die vom Landgericht angenommenen Schäden beruhten, da nicht hinreichend dargetan sei, welche Daten die Beklagte angeblich verarbeite, auf bloßen Spekulationen; ein „Kontrollverlust“ sei nicht hinreichend dargetan, vielmehr habe die Klägerin mit den von der Beklagten ihren Nutzern zur Verfügung gestellten Einstellungen stets die Kontrolle darüber, ob die Business-Tools Daten zur Bereitstellung von personalisierter Werbung nutzten, und über die Datenschutzerklärung die Information darüber, wie die Beklagte Informationen sammle, verwende, teile und übertrage. Auch der Höhe nach sei der zuerkannte Anspruch nicht angemessen.

Die Klägerin beantragt,

die Berufung der Beklagten zurückzuweisen.

Sie verteidigt insoweit das angefochtene Urteil.

Hinsichtlich der weiteren Einzelheiten des Sach- und Streitstandes wird auf die gewechselten Schriftsätze nebst Anlagen Bezug genommen.

II.

Die Berufungen sind zulässig, insbesondere form- und fristgerecht eingelegt (§§ 517, 519 ZPO) und begründet (§ 520 ZPO) worden.

In der Sache hat die Berufung der Klägerin insoweit Erfolg, als es den nicht zuerkannten Unterlassungsantrag betrifft, und teilweise in Bezug auf den Schadensersatzanspruch; die Berufung der Beklagten ist lediglich hinsichtlich der vorgerichtlichen Rechtsanwaltskosten erfolgreich.

A.

Die - ungeachtet des Wortlauts des § 513 Abs. 2 ZPO in jeder Instanz zu prüfende - internationale Zuständigkeit deutscher Gerichte resultiert aus Art. 82 Abs. 6 i. V. m. Art. 79 Abs. 2 Satz 2 DSGVO. Die Klägerin hat ihren gewöhnlichen Aufenthalt in der Bundesrepublik Deutschland.

Dahinstehen kann, ob Art. 79 Abs. 2 DSGVO auch für konkurrierende Schadensersatz- und Unterlassungsansprüche nach nationalem Recht gilt (so Auernhammer/v. Lewinski, DSGVO/BDSG, 8. Aufl. 2024, DSGVO, Art. 79, Rn. 6), da sich die internationale Zuständigkeit bzgl. dieser Ansprüche andernfalls aus Art. 17 Abs. 1 Buchst. c, Art. 18 Abs. 1 EuGVVO ergibt.

B.

Die Anwendung deutschen Rechts zwischen den Parteien für die Beurteilung der Zulässigkeit und Begründetheit der Klage folgt aus der Rechtswahl der Parteien in der Zustimmung zu den Nutzungsbedingungen der Beklagten (vgl. Anlage B 2, dort S. 10, Anlagenheft Beklagte) gemäß Art. 3 Abs. 1, 6 Abs. 2 Rom I-VO, weil die Klägerin ihren gewöhnlichen Aufenthalt in Deutschland hat und Verbraucherin ist.

C.

Die Feststellungsklage (Klage- und Berufungsantrag zu 1) ist unzulässig; im Übrigen ist die Klage zulässig.

1. Den Antrag auf Feststellung, dass der Nutzungsvertrag der Parteien die Verarbeitung von im Einzelnen aufgeführten diversen personenbezogenen Daten nicht gestattet (Klageantrag zu 1), hat das Landgericht zu Recht als unzulässig angesehen.

a) Der Feststellungsklage fehlt das erforderliche Feststellungsinteresse (§ 256 Abs. 1 ZPO).

Gemäß § 256 Abs. 1 ZPO kann auf Feststellung des Bestehens oder Nichtbestehens eines Rechtsverhältnisses Klage erhoben werden, wenn der Kläger ein rechtliches Interesse daran hat, dass das Rechtsverhältnis alsbald festgestellt wird.

Dabei kann dahingestellt bleiben, ob ein feststellungsfähiges Rechtsverhältnis vorliegt, d.h. eine aus einem konkreten Lebenssachverhalt resultierende Beziehung einer Person zu einer anderen Person oder einer Sache, die ein mit materieller Rechtskraftwirkung feststellbares subjektives Recht enthält oder aus der ein solches Recht entspringen kann (Greger in: Zöller, ZPO, 36. Auflage 2026, § 256 ZPO, Rn. 4). Dies wird von einem Teil der obergerichtlichen Rechtsprechung mit der Begründung bejaht, dass zwischen den Parteien ein Nutzungsvertrag bezüglich des sozialen Netzwerks Instagram besteht und Gegenstand der Feststellungsklage ist, ob sich aus diesem Nutzungsvertrag ein Recht der Beklagten ergibt, personenbezogene Daten der Klägerin, die die Beklagte über die Business-Tools von Drittunternehmern erhalten hat, zu verarbeiten (so OLG Stuttgart, Urteile vom 29.04.2026 - 4 U 372/24 - Rn 107, und 4 U 353/24 - Rn 110; OLG Naumburg, Urteile vom 05.02.2026 - 9 U 44/25 - Rn 157, und 4 U 124/24 - Rn 151f; OLG München, Urteil vom 18.12.2025 - 14 U 881/25 - Rn. 51, sämtlich juris), wohingegen die andere Auffassung (OLG Dresden, Urteil vom 03.02.2026 - 4 U 292/25 - Rn 136f, juris) vertritt, dass der Feststellungsantrag gerade nicht auf die Feststellung des Bestehens oder Nichtbestehens des zugrundeliegenden Vertrags über die Nutzung des sozialen Netzwerks der Beklagten gerichtet sei, sondern sich auf die Feststellung der Rechtswidrigkeit („... nicht gestattet“) eines Verhaltens der Beklagten, nämlich der im Einzelnen aufgeführten Datenverarbeitungsvorgänge, beschränke.

Es spricht viel dafür, den auf Nichtgestattung gerichteten Feststellungsantrag als auf die Feststellung des Bestehens oder Nichtbestehens eines Rechtsverhältnisses abzielend anzusehen (ebenso OLG Naumburg, Urteil vom 05.02.2026 - 9 U 124/24). Diese Frage kann indes vorliegend offenbleiben, denn es liegt jedenfalls kein Feststellungsinteresse i.S.d. § 256 Abs. 1 ZPO vor. Voraussetzung hierfür ist, dass dem subjektiven Recht der Klägerseite eine gegenwärtige Gefahr der Unsicherheit dadurch droht, dass die Beklagtenseite es ernstlich bestreitet oder sie sich eines Rechts gegen die Klägerseite berühmt, und dass das erstrebte Urteil infolge seiner Rechtskraft geeignet ist, diese Gefahr zu beseitigen. Ist der Klägerseite eine Klage auf Leistung möglich und zumutbar und erschöpft sie das Rechtsschutzziel, fehlt grundsätzlich das Feststellungsinteresse, weil die Klägerseite im Sinne einer besseren Rechtsschutzmöglichkeit den Streitstoff in einem Prozess klären kann (vgl. Greger in: Zöller, ZPO, 36. Auflage 2026, § 256 ZPO, Rn 14). Dies ist hier der Fall.

Für die Vergangenheit fordert die Klägerin bezifferten Schadensersatz und Löschung bzw. Anonymisierung der erhobenen Daten; soweit es der Klägerin darum geht, für künftige Ansprüche Klarheit über die Pflichtverletzungen der Beklagten zu schaffen, erschöpft sich ihr Rechtsschutzziel in dem ebenfalls gestellten Antrag auf Unterlassung der Verarbeitung. Gewissheit über das aktuell bestehende Rechtsverhältnis kann die Klägerin auch mit einer Unterlassungsklage erlangen, bei deren Erfolg sie zudem gegen die Beklagte vollstrecken kann, falls sich diese nicht an das Unterlassungsgebot halten sollte.

Das Feststellungsinteresse lässt sich auch nicht damit begründen, dass - wie die Klägerin mit ihrer Berufung ausführt - bei künftig entstehenden Schäden eine erneute gerichtliche Feststellung vermieden würde. Denn im Rahmen einer Klage auf Schadensersatz wegen künftig entstehender Schäden stellt die Feststellung, dass der Nutzungsvertrag die Verarbeitung personenbezogener Daten nicht gestattet, lediglich eine Vorfrage dar. Auf die Feststellung einer Schadensersatzpflicht der Beklagten zielt das Feststellungsbegehren nicht ab.

b) Das Feststellungsbegehren ist - wie im Senatstermin ebenfalls erörtert - auch als Zwischenfeststellungsklage (§ 256 Abs. 2 ZPO) nicht zulässig.

Die Zwischenfeststellungsklage ist nur zulässig, wenn ein Urteilsverfahren weder über die Hauptklage in der Tatsacheninstanz noch hinsichtlich des Anspruchsgrundes anhängig ist und das Urteil über die Hauptklage die Rechtsbeziehungen der Parteien nicht bereits erschöpfend regelt. Die begehrte Feststellung muss sich auf einen Gegenstand beziehen, der über den der Rechtskraft fähigen Gegenstand des Rechtsstreits hinausgeht. Die Erhebung einer Zwischenfeststellungsklage ist daher nach ständiger Rechtsprechung unzulässig, wenn die zu klärenden Rechtsbeziehungen bereits durch die Entscheidung in der Hauptsache erschöpfend geregelt werden (BGH, Urteile vom 07.03.2013 - VII ZR 223/11 - Rn 19 mwN und vom 28.01.2020 - Kartellsenat EnZR 99/18 - Rn 16).

Im Streitfall macht die Klägerin nicht geltend, dass die Entscheidung in der Hauptsache die zwischen ihr und der Beklagten zu klärenden Rechtsbeziehungen nicht erschöpfend regelt. Eine Bedeutung der von ihr begehrten Feststellung über den Rechtsstreit hinaus ist nicht ersichtlich. Zwar hat die Rechtsprechung eine positive Zwischenfeststellungsklage des Klägers als zulässig angesehen, wenn mit der Hauptklage mehrere selbständige Ansprüche aus einem streitigen Rechtsverhältnis verfolgt werden, auch wenn sie in ihrer Gesamtheit die Ansprüche erschöpfen, die sich aus diesem ergeben können. Dies gilt etwa für die Zwischenfeststellungsklage des Klägers bei einer Stufenklage (vgl. BGH, Urteil vom 27.11.1998 - V ZR 180/97) oder wenn mit Klage und Widerklage mehrere selbständige Ansprüche verfolgt werden, für die das streitige Rechtsverhältnis vorgreiflich ist (vgl. BGH, Urteile vom 13.10.1967 - V ZR 83/66 - und vom 07.03.2013 - VII ZR 223/11 - Rn 19), was allerdings darauf beruht, dass in diesen Fällen Teilurteile ergehen können und deshalb die Entscheidungen für das zugrundeliegende Rechtsverhältnis für nachfolgende Teilurteile und das Schlussurteil von Bedeutung sein können (BGH Kartellsenat, Urteil vom 28.01.2020 - EnZR 99/18 - Rn 18; BGH, Urteil vom 28.09.2006 - VII ZR 247/05 - Rn 16). Eine solche Sachlage liegt hier nicht vor; sämtliche mit der Klage im Berufungsverfahren noch geltend gemachten Ansprüche sind zur Entscheidung reif.

2. Die weiteren Klageanträge sind zulässig, haben insbesondere entgegen der auch mit der Berufung erhobenen Rüge hinreichend bestimmte Streitgegenstände i.S.d. § 253 Abs. 2 Nr. 2 ZPO.

Nach dieser Norm muss die Klageschrift die bestimmte Angabe des Gegenstandes und des Grundes des erhobenen Anspruchs sowie einen bestimmten Antrag enthalten. Unter Gegenstand ist nicht das gegenständliche Objekt der Klage (häufig fehlt ein solches), unter Grund nicht die rechtliche Anspruchsgrundlage zu verstehen. Gemeint ist vielmehr der Sachverhalt, aus dem der Kläger den Klageanspruch herleitet. Der Sachverhalt ist so konkret darzulegen, dass er den Anspruch individualisiert, d.h. von anderen Ansprüchen abgrenzt. Allerdings ist für die Ordnungsmäßigkeit und damit Zulässigkeit der Klage nur so viel vorzutragen, dass der Klageanspruch eindeutig identifizierbar ist; eine vollständige Beschreibung des Lebenssachverhalts, wie sie zur substantiierten Darlegung des Klageanspruchs (und damit für die Begründetheit der Klage) erforderlich sein kann (vgl. Greger, in: Zöller, ZPO, 36. Aufl., vor § 253 Rn 23 f.), wird nicht verlangt (BGH, Urteil vom 17.03.2016 - III ZR 200/15; Greger, in: Zöller, ZPO 36. Aufl. § 253 Rn 10/11). Der Klageantrag bestimmt Art und Umfang des Rechtsschutzbegehrens (Streitgegenstand, vgl. Vollkommer, in: Zöller, ZPO, 36. Aufl., Einl. Rn 63). Er bindet das Gericht (§ 308 ZPO) und bestimmt durch Erfolg oder Nichterfolg die Kostenfolge (§§ 91, 92 ZPO). Daher muss er eindeutig sein. Grundsätzlich ist ein Klageantrag hinreichend bestimmt, wenn er den erhobenen Anspruch durch Bezifferung oder gegenständliche Beschreibung so konkret bezeichnet, dass der Rahmen der gerichtlichen Entscheidungsbefugnis klar abgegrenzt ist, Inhalt und Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennbar sind, das Risiko des (eventuell teilweisen) Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abgewälzt und eine etwaige Zwangsvollstreckung nicht mit einer Fortsetzung des Streits im Vollstreckungsverfahren belastet wird (BGH, Urteil vom 28.112.2002 - I ZR 168/00 - Rn 46, juris; Urteil vom 21.11.2017 - II ZR 180/15). Nicht jede mögliche Unsicherheit bei der Zwangsvollstreckung führt aber zur Unbestimmtheit des Klageantrags; die Anforderungen sind unter Berücksichtigung von Besonderheiten des materiellen Rechts und des Einzelfalls durch Abwägung der Parteiinteressen an wirksamem Rechtsschutz und Rechtssicherheit festzulegen (BGH, Urteil vom 05.03.2024 - VI ZR 330/21 - Rn 8, juris). Die Verwendung auslegungsbedürftiger Begriffe kommt nur in Betracht, wenn eine weitere Konkretisierung dem Kläger nicht möglich oder zumutbar ist und für die Parteien kein Zweifel am Inhalt besteht (BGH, Urteil vom 02.12.2015 - IV ZR 28/15 - Rn 8). Bei der Auslegung ist auch die Klagebegründung heranzuziehen (Greger, in: Zöller, ZPO 36. Aufl. § 253 Rn 13 mwN). In der Berufungsinstanz kann dem Bestimmtheitserfordernis auch dadurch Rechnung getragen sein, dass der Kläger das erstinstanzliche Urteil, soweit es zu seinen Gunsten ergangen ist, verteidigt (BGH, Urteil vom 11.05.1995 - I ZR 86/93).

Gemessen an diesen Anforderungen bestehen an der Bestimmtheit der Anträge hier keine Zweifel. Die von der Beklagten geltend gemachten Bedenken könnten allein die im Rahmen der Begründetheit relevanten Substantiierungsanforderungen des Klägervortrags betreffen, machen die Klage aber jedenfalls nicht unzulässig. Insbesondere muss die Klägerin für die Zulässigkeit der Anträge weder im Sachverhalt noch in den Klageanträgen „einzelne konkrete Datenverarbeitungsvorgänge“ auflisten oder vortragen, welche ihrer Daten die Beklagte angeblich verarbeitet habe, von welchen Websites oder Apps diese stammten und wann dies geschehen sei.

Die Klägerin hat die personenbezogenen Daten, die gelöscht bzw. anonymisiert werden sollen und hinsichtlich deren Verarbeitung sie Unterlassung begehrt, hinreichend genau bezeichnet (vgl. OLG Hamm, Urteil vom 08.03.2026 - 8 U 21/25 - Rn 39ff; OLG Dresden, Urteil vom 03.02.2026 - 4 U 292/25 - Rn 188, OLG Stuttgart, Urteil vom 29.04.2026 - 4 U 353/24 - Rn 209, sämtlich zit. nach juris). Die Bezugnahme auf Dritt-Webseiten und Dritt-Apps steht der Bestimmtheit nicht entgegen. Ersichtlich sollen alle Dritt-Webseiten und Dritt-Apps, auf denen ein Business-Tool der Beklagten integriert ist, erfasst sein. Daher ist eine Aufzählung einzelner Dritt-Webseiten und Dritt-Apps nicht erforderlich. In zeitlicher Hinsicht soll der Zeitraum ab dem 25.05.2018 (Inkrafttreten der DSGVO) erfasst werden, bei der gebotenen Auslegung analog §§ 133, 157 BGB bis zum Schluss der letzten mündlichen Verhandlung. Auch dass sich die Klägerin an den Begriffen des Art. 4 Nr. 1 u. 2 DSGVO orientiert, sorgt für mehr und nicht für weniger Klarheit. Nach dieser Regelung bezeichnet "Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Auch soweit die Klägerin von der Beklagten verlangt, bestimmte Daten „vollständig zu anonymisieren oder wahlweise nach Wahl der Beklagten zu löschen“, erweist sich der Klageantrag zu 4. als hinreichend bestimmt i.S.v. § 253 Abs. 2 Nr. 2 a.E. ZPO. Durch die Einräumung einer Wahlmöglichkeit wird keine Unsicherheit von außen in den Prozess hineingetragen, die Beklagte wird durch das ihr eingeräumte Wahlrecht nicht beschwert (vgl. OLG Düsseldorf, Urteil vom 21.09.2023, VI-5 U 4/22 (Kart), Rn. 68, juris). Dass es prozessual möglich sein muss, der Beklagten ein Wahlrecht einzuräumen, ergibt sich aus § 264 Abs. 1 BGB, der den Fall der – hier nicht einschlägigen – Wahlschuld betrifft. Es handelt sich prozessual dabei auch nicht um einen grundsätzlich unzulässigen, weil zu unbestimmten alternativen Klageantrag. Denn es soll anders als bei einem alternativen Klageantrag nicht dem Gericht, sondern der Beklagten überlassen bleiben, ob sie löscht oder stattdessen anonymisiert, so dass sich für die Beklagte keine unzumutbare Unbestimmtheit ergibt (zu der Unterscheidung: MüKoZPO/Becker-Eberhard, 7. Aufl. 2025, ZPO § 260 Rn. 23).

Die Klageanträge zu 2 und 4 sind auch nicht deshalb zu unbestimmt, weil Rechtfertigungsgründe i.S.v. Art. 6 Abs. 1 Unterabsatz 1 lit. a - f DSGVO nicht aufgenommen sind, denn auch diese Frage betrifft jedenfalls nicht die Zulässigkeit, sondern die Begründetheit.

b) Es fehlt auch nicht an einem Rechtschutzbedürfnis für die Klageanträge zu 2 und 4.

Zwar kann die Klägerin ihr Konto bei der Beklagten ohne weiteres selbst löschen, indem sie die Löschung ihres Kontos initiiert. Allerdings ist das Rechtsschutzziel – die Untersagung einer unrechtmäßigen Verarbeitung ihrer Daten (unter Aufrechterhaltung ihres Kontos bei der Beklagten) – mit dem dann erreichten Ergebnis ersichtlich nicht identisch.

Auch der Verweis auf die Möglichkeit der Klägerin, über die Schaltfläche „Deine Aktivitäten außerhalb der Meta Technologien“ könne die mit dem Nutzerkonto verknüpften, von Drittwebseiten oder Apps stammenden Informationen „getrennt“ und so die Speicherung der über die Business-Tools von Dritten übermittelten Daten unter Verknüpfung mit dem Nutzerkonto für die Zukunft unterbunden und für die Vergangenheit entfernt werden, steht dem Rechtschutzbedürfnis der Klägerin auf Löschung nicht entgegen. Zum einen ist Art. 17 Abs. 1 DSGVO als Recht des Betroffenen und damit korrespondierende Pflicht des Verantwortlichen konzipiert, dass letzterer die personenbezogenen Daten löscht. Eine Delegation der Verpflichtung auf den Betroffenen selbst ist damit nicht vereinbar. Zum anderen lässt sich nicht feststellen, dass dieses „Trennen“ einer Löschung im Sinne des Art. 17 Abs. 1 DSGVO gleichsteht, die nur dann vorliegt, wenn es faktisch jedem, einschließlich dem Verantwortlichen selbst, nicht ohne unverhältnismäßigen Aufwand möglich ist, die zuvor in den zu löschenden Daten verkörperte Information wahrzunehmen (Kühling/Buchner/Herbst, 4. Aufl. 2024, DSGVO Art. 17 Rn. 37 mwN). Denn nicht nur bleiben die Daten bei einem „Trennen“ von dem Nutzerkonto bestehen. Vielmehr wird ausweislich der von der Klägerin (u.a.) im Schriftsatz vom 08.10.2024 in Bezug genommenen „Technische Information der Beklagten zum Umgang mit Nutzerdaten bei Wunsch nach Löschung“ (Anlage K 21) bei einer Trennung durch die Generierung eines neuen zufälligen „Identifier“ namens MID zwar verhindert, dass die Aktivitätsdaten durch die Systeme dem Nutzer zugeordnet werden können, die Beklagte behält sich aber bei bestimmten Aktivitäten vor, „eine limitierte Menge an markierten Daten für längere Zeit zu erhalten“ (Anlage K 19, deutsche Übersetzung Bl. 252f d.A.-LG). Auf dieses Vorbringen ist die Beklagte nicht näher eingegangen.

c) Die Klage auf Löschung erst einen Monat nach Rechtskraft ist als Klage auf künftige Leistung nach § 259 ZPO zulässig.

Nach dieser Norm kann eine Klage auf künftige Leistung erhoben werden, wenn den Umständen nach die Besorgnis gerechtfertigt ist, dass der Schuldner sich der rechtzeitigen Leistung entziehen werde. Für die Besorgnis genügt, dass der Schuldner den Anspruch oder die Leistungspflicht ernstlich bestreitet. Bösgläubigkeit oder gar Böswilligkeit ist nicht erforderlich (Becker-Eberhard in MüKo/ZPO, aaO., § 259, Rn. 13). Die Beklagte hat vorliegend ernstlich bestritten, dass sie zur Löschung der personenbezogenen Daten verpflichtet ist, und insoweit darauf verwiesen, dass sie befugt ist, die Daten aus Sicherheits- und Integritätsgründen weiterhin zu speichern.

d) Auch die beantragte Verurteilung zur Bestätigung der Löschung ist als Klage auf künftige Leistung (§ 259 ZPO) zulässig.

Der Annahme der Besorgnis der Nichterfüllung i.S.d. § 259 ZPO steht in Anbetracht ihres Beharrens darauf, überhaupt nicht zu einer Löschung und damit auch nicht zur Bestätigung derselben verpflichtet zu sein, nicht entgegen, dass die Beklagte ihre Verpflichtung, der Klägerin die Löschung der Daten zu bestätigen, nicht explizit in Abrede gestellt hat.

D.

Die Klage ist mit den Anträgen zu 2 und zu 4 in vollem Umfang, mit dem Klageantrag zu 5 im tenorierten Umfang begründet; ein Anspruch auf Freistellung von den vorgerichtlichen Rechtsanwaltskosten besteht demgegenüber nicht.

1. Entgegen der Auffassung des Landgerichts ist der Klageantrag zu 2, es zu unterlassen, auf Drittseiten und -Apps außerhalb der Netzwerke der Beklagten personenbezogene Daten gemäß Ziff. 1 der Klage zu verarbeiten, aus den nachfolgenden Gründen, die sämtlich im Senatstermin vom 03.06.2026 erörtert worden sind, begründet.

Das Unterlassungsbegehren ist - wie sich dem klägerischen Schriftsatz vom 08.10.2024 entnehmen lässt - darauf gerichtet, die künftige Verarbeitung personenbezogener Daten der Klägerin, die sich auf Dritt-Webseiten und Dritt-Apps befinden, zu untersagen. Gemeint sind damit nicht die Daten, die von den Drittunternehmen bereits an die Beklagte übermittelt worden sind, sondern die davor stattfindende Datenverarbeitung durch die Business-Tools auf den Webseiten und Apps Dritter.

Ein Unterlassungsanspruch ergibt sich zwar nicht aus Art. 17 DSGVO, denn Art. 17 DSGVO gibt ein Recht auf Löschung, aber kein Recht auf Unterlassung (EuGH, Urteil vom 04.09.2025 - C-655/23 -, Rn. 43), aber aus §§ 280 Abs. 1, 241 Abs. 2, 823, 1004 BGB wegen Verletzung des allgemeinen Persönlichkeitsrechts. Die Datenschutz-Grundverordnung steht - anders als das Landgericht gemeint hat - Bestimmungen des nationalen Rechts, aus denen sich Ansprüche auf Unterlassung ergeben können, nicht entgegen (EuGH, aaO., Rn. 46 ff.; BGH, Urteil vom 23.06.2026 - VI ZR 97/22 - Rn 26, juris).

Der nicht erforderliche und auch nicht durch eine Einwilligung gedeckte Verstoß gegen den Grundsatz der Datenminimierung und die rechtswidrige Datenverarbeitung mangels Rechtsfertigungsgrundes hat die Klägerin in ihrem allgemeinen Persönlichkeitsrecht verletzt, das sie gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe ihrer persönlichen Daten schützt (Recht auf informationelle Selbstbestimmung, vgl. hierzu Art. 7, 8 GRCh; Art. 8 EMRK; BVerfG, Urteil vom 15.12.1983 - 1 BvR 209/83, Rn 148, juris). Die Beklagte darf, anders als in ihren AGB aufgeführt, „App-, Browser- und Geräteinformationen“ und „Informationen von Partnern, Anbietern und Dritten“ nicht dauerhaft und uneingeschränkt ohne eine gesonderte Einwilligung verarbeiten, wenn hierfür keine Einwilligung vorliegt.

Hierzu im Einzelnen:

a) Die Klägerin ist durch die Verarbeitung der mittels Business-Tools erworbenen Daten in ihrem allgemeinen Persönlichkeitsrecht betroffen. Im Rahmen des allgemeinen Persönlichkeitsrechts gehören auch die persönlichen Daten zu den geschützten Rechtsgütern (Grüneberg/Sprau, BGB, 85. Aufl. 2026, vor § 823, Rn. 33).

Die Beklagte verarbeitet die aufgrund der Nutzung ihrer Business-Tools durch Dritte anfallenden und von diesen an die Beklagte übermittelten Daten. Die Beklagte hat nicht wirksam bestritten, dass sie - u. a. auch in Bezug auf personenbezogene Daten der Klägerin - eine Datenverarbeitung vorgenommen hat; sie hält diese lediglich - zu Unrecht - für rechtmäßig.

aa) Sie erhebt mit den Business-Tools umfassend - also allgemein und unterschiedslos - personenbezogene Daten der Nutzer über deren Tätigkeiten außerhalb ihres Netzwerks, darunter u.a. Daten über den Abruf von Webseiten und Apps Dritter. Bestimmte technische Standarddaten gelangen dabei automatisch an die Beklagte, wenn der Nutzer eine Dritt-Webseite oder eine Dritt-App aufruft. Zwischen den Parteien ist auch unstreitig, dass die Beklagte über die Business-Tools Kontaktinformationen und/oder Event-Daten der Nutzer auf den Dritt-Webseiten und Dritt-Apps erhält, wenn der Partner bei Einbettung der Business-Tools in seine Webseite bzw. App eine entsprechende Einstellung vorgenommen hat. Dabei handelt es sich um personenbezogene Daten i.S.v. Art. 4 Nr. 1 DSGVO, weil die Beklagte unstreitig in der Lage ist, diese Daten dem jeweiligen Nutzer zuzuordnen.

Von dieser umfassenden Datenerhebung ist auch die Klägerin betroffen. Dem steht nicht entgegen, dass die Beklagte geltend macht, wegen der von der Klägerin nicht erteilten Einwilligung über die Einstellung „Informationen über Aktivitäten von Werbepartnern“ verarbeite sie keine personenbezogenen Daten der Klägerin „im Rahmen der streitgegenständlichen Datenverarbeitung“. Damit bestreitet die Beklagte nicht, dass sie mit den von der Klägerin mitgeteilten Daten Verarbeitungsvorgänge im Sinne des Art. 4 Nr. 2 DSGVO durchgeführt hat, sie missversteht das Anliegen der Klägerin über den gesamten Rechtsstreit hinweg dahin, dass die Klägerin die Verarbeitung von Business-Tools Daten zur Bereitstellung von personalisierter Werbung beanstande - obgleich der Klägervortrag keinen Anlass für ein solches Missverständnis bietet und die Klägerin mehrfach betont hat, dass es ihr um einen umfassenden Schutz gegen die massenhafte Erhebung der Daten über die Business-Tools und die anschließende Verarbeitung geht - unabhängig davon, zu welchem Zweck die Beklagte die Daten verwendet.

Die Klägerin kann und muss nicht wissen, auf welchen konkreten Dritt-Webseiten und Dritt-Apps die Business-Tools Verwendung finden. Zwar ist ein Kläger insoweit grundsätzlich darlegungs- und beweispflichtig. Nach der Rechtsprechung des Bundesgerichtshofs - der auch der Senat folgt - ist die Partei jedoch berechtigt, Behauptungen zu Vorgängen, die sich ihrer unmittelbaren Kenntnis entziehen, auch ohne eine dahingehende positive Kenntnis und nur auf eine Vermutung gestützt aufzustellen. Die auf eine solche Vermutung gestützte Behauptung der Klägerin über ihre Betroffenheit von den Business-Tools ist angesichts ihrer unbestrittenen Nutzung des Internets und der Verbreitung bzw. Reichweite der Business-Tools naheliegend. Die Beklagte hat selbst vorgetragen, dass die Business-Tools „von Millionen von kleineren und größeren Organisationen auf der ganzen Welt“ genutzt würden und ein „allgegenwärtiger und integraler Bestandteil der alltäglichen Internetnutzung und ihrer Funktionen“ seien (vgl. u.a. S. 5 der Klageerwiderung). Die Betroffenheit der Klägerin ist vor diesem - von der Beklagten selbst vorgetragenen - Hintergrund so wahrscheinlich, dass an ihr für den Senat keine vernünftigen Zweifel bestehen. Die Beklagte kann sich bei einer solchen Sachlage nicht auf ein Bestreiten mit Nichtwissen zurückziehen, dass die Klägerin Dritt-Webseiten bzw. Dritt-Apps mit Business-Tools besucht hat. Denn sie allein weiß genau, von welchen konkreten Dritt-Webseiten und Dritt-Apps sie Informationen über die Klägerin erhalten hat (ebenso OLG Hamm, Urteil vom 09.03.2026 - 8 U 13/25 - und OLG Stuttgart, urteil vom 29.04.2026 - 4 U 372/24 - Rn 132, juris). Daher muss die Beklagte den Vortrag der Klägerin konkret bestreiten (§ 138 Abs. 1, Abs. 2 ZPO), was sie nicht getan hat.

Die Klägerin hat jedenfalls mit Schriftsatz vom 19.03.2025 vorgetragen, dass sie regelmäßig die Webseiten bild.de, spiegel.de, stern.de, immobilienscout24.de, paypal.de, klarna.de, airbnb.com, eventim.de, trivago.de, netflix.com, gala.de, etsy.com, ebay-kleinanzeigen.de, idealo.de, mediamarkt.de, otto.de, mydealz.de und vodafone.de regelmäßig besucht, die sämtlich unstreitig das Business Tool „Meta Pixel“ implementiert haben.

Soweit die Beklagte mit ihrem Schriftsatz vom 07.04.2025 mit Nichtwissen bestritten hat, dass die Klägerin diese Webseiten besucht hat, erfolgte ihr Bestreiten nach Schluss der mündlichen Verhandlung (§ 296a ZPO), in der sie ausweislich des Sitzungsprotokolls vom 01.04.2025 auch keine Schriftsatzfrist beantragt hatte, und ist als neues Vorbringen im Berufungsrechtszug mangels Zulassungsgründen gemäß § 531 Abs. 2 ZPO nicht zuzulassen.

Überdies ist ein Bestreiten mit Nichtwissen unzulässig. Die Erklärung mit Nichtwissen ist gemäß § 138 Abs. 4 ZPO nur über Tatsachen zulässig, die weder eigene Handlungen der Partei noch Gegenstand ihrer eigenen Wahrnehmung gewesen sind. Da es sich bei den genannten Webseiten unstreitig um solche mit Business-Tools der Beklagten handelt und die Beklagte aus ihren Systemen erkennen kann, woraus sie welche Daten verarbeitet und ob und in welcher Weise dies personenbezogene Daten der Klägerin betrifft, hätte es ihr oblegen, den Vortrag der Klägerin zu bestreiten, welche der genannten Webseiten die Klägerin nach ihren Erkenntnissen nicht besucht hat, bzw. vorzutragen, dass sie aus derartigen Besuchen keine personenbezogenen Daten der Klägerin übermittelt bekommen hat.

Soweit die Beklagte im Berufungsrechtszug vortragen lässt, bei Überprüfung einiger der in der Anlage K 14 genannten Webseiten, beispielsweise Amorelie.de, Orion.de, Estheticon.de, Nie-wieder-alkohol.de, Wahl-O-Mat.de, Thorsteinar.de, Antifascismapparel.com, hätten sich keine Hinweise für die Verwendung der streitgegenständlichen Business-Tools ergeben, sind die von der Klägerin als regelmäßig besucht aufgeführte Webseiten andere als die nunmehr von der Beklagten genannten, zudem handelte sich auch insoweit um neuen Vortrag im Berufungsrechtszug, der mangels Zulassungsgründen gemäß § 531 Abs. 2 ZPO nicht zuzulassen ist.

bb) Die Beklagte nimmt auch eine Verarbeitung der von Dritten erlangten Daten vor, indem sie diese Daten - zumindest - speichert. Die diesbezügliche Feststellung im erstinstanzlichen Urteil, dass die an die Beklagte übermittelten Daten - zumindest - gespeichert und damit verarbeitet i.S.v. Art. 4 Nr. 2 DSGVO werden, ist für den Senat nach § 529 Abs. 1 Nr. 1 ZPO bindend, weil die Beklagte sie nicht erheblich angegriffen hat. Dass die Beklagte eine Verarbeitung der über die Business-Tools von Dritten erlangten Daten vornimmt, hat sie selbst eingeräumt. Entgegen der von ihr wiederholt geäußerten Ansicht ist es gerade nicht Sache der Klägerin, dazu vorzutragen und zu konkretisieren, welche Form der Datenverarbeitung die Beklagte selbst vornimmt.

Wie die Beklagte mit den bei ihr erhobenen Informationen weiter verfährt, hängt zwar teilweise von den Datenschutz-Einstellungen des jeweiligen Nutzers ab. Entscheidet sich der Nutzer dafür, Werbung mithilfe der Informationen von Werbepartnern zu seinen Aktivitäten relevanter zu machen, erhält er stärker personalisierte Werbung. Erlaubt der Nutzer der Beklagten nicht, Cookies und vergleichbare Technologien in anderen Apps und auf anderen Webseiten zu nutzen, so werden die dort erhobenen Daten nicht verwendet, um personalisierte Werbung zu erzeugen und anzuzeigen. Gleichwohl erhält und verwendet die Beklagte die Daten. So kann es sein, dass die Beklagte weiterhin „aggregierte Informationen zu Aktivitäten“ des Nutzers erhält (S. 41 der Anlage B 7), es werden lediglich „weniger Informationen“ über den Nutzer verwendet (vgl. S. 43, Abbildung 66, der Anlage B 7). Die Daten werden dennoch auch nach Vortrag der Beklagten - für „andere Zwecke“ - verarbeitet (siehe Schriftsatz vom 03.05.2024 Rn. 174).

cc) Die Beklagte ist Verantwortliche i.S.v. Art. 4 Nr. 7 DSGVO. Dies ist nach Art. 4 Nr. 7 DSGVO jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Hierfür ist nach dem zugrunde zu legenden weiten Verständnis nicht erforderlich, dass die betreffende Person selbst personenbezogene Daten betreffende Verarbeitungsvorgänge durchgeführt hat; es genügt, dass sie an der Entscheidung über die Zwecke und Mittel der über eine Anwendung vorgenommenen Verarbeitung personenbezogener Daten mitgewirkt hat (EuGH, Urteil vom 05.12.2023 - C-683/21 - Rn 38; siehe auch EuGH, Urteil vom 07.03.2024 - C-604/22 - Rn. 61).

Die Verantwortlichkeit für die von der Beklagten vorgenommenen Speicherung liegt auf der Hand, besteht nach dem im Wesentlichen unstreitigen Grundsachverhalt allerdings generell für die Verarbeitung der mittels Business-Tools erworbenen personengebundenen Daten der Klägerin. Die Beklagte ist gemeinsam mit ihren Partnern auch für die Erfassung und Weiterleitung dieser Daten an ihre Server verantwortlich (vgl. EuGH, Urteil vom 29.07.2019 - C-40/17, Rn. 79 und 96, juris). Die Kontrolle über die Programmierung der Business-Tools und damit den Umfang der Erfassung und Weiterleitung der Daten verbleibt nach dem Konzept der Business-Tools bei der Beklagten. Sie entscheidet mit, welche Daten erhoben und übersandt werden (OLG Hamm, Urteil vom 09.03.2026 - 8 U 21/25 - Rn 70; OLG München, Urteile vom 18.12.2025 - 14 U 1314/25 e - Rn. 374; vom 18.12.2025 - 14 U 2300/25 e - Rn. 250; vom 18.12.2025 - 14 U 881/25 e - Rn. 144, sämtlich zitiert nach juris); ihre Entscheidungsbefugnis kommt nicht zuletzt dadurch zum Ausdruck, dass die Beklagte sich gegenüber Dritten auch das Recht vorbehält, jederzeit deren Zugriff auf die Business-Tools zu ändern, auszusetzen oder zu beenden (Ziff. 4 lit. a der „Nutzungsbedingungen für Business Tools“, Anlage B 5). Diese Verantwortlichkeit kann die Beklagte weder durch vertragliche Vereinbarungen mit den Drittanbietern auf diese abwälzen noch kann sie sich durch etwaige Belehrungen der Drittanbieter im Hinblick auf deren datenschutzrechtlichen Pflichten von der eigenen Verantwortlichkeit freizeichnen, schon weil sie selbst gegenüber ihren Business-Tools-Kunden die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO feststellt (OLG Hamm, Urteil vom 09.03.2026 - 8 U 21/25 - Rn 70; vgl. OLG Dresden, Urteil vom 03.02.2026 - 4 U 292/25 - Rn 170, zit. nach juris). Dementsprechend hat die Beklagte in den Nutzungsbedingungen der Business-Tools die gemeinsame Verantwortlichkeit für die Erhebung und Übermittlung der Daten übernommen (vgl. Anlage B 5) und im hiesigen Rechtsstreit auch eingeräumt (Schriftsatz vom 15.11.2025, S. 26, Bl. 315 d.A.).

dd) Die Beklagte hat gegen die in Art. 5 DSGVO enthaltenen Grundsätze über die Verarbeitung personenbezogener Daten verstoßen.

Nach Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten auf rechtmäßige und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Des Weiteren dürfen sie gemäß Art. 5 Abs. 1 lit. b DSGVO nur für festgelegte, eindeutige und legitime Zwecke erhoben werden, d.h. nicht zu noch unbekannten Zwecken "auf Vorrat". Schließlich müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Grundsatz der Datenminimierung), Art. 5 Abs. 1 lit. c DSGVO. Der Grundsatz der Datenminimierung sichert die Verhältnismäßigkeit der Datenverarbeitung und besagt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen (vgl. EuGH, Urteile vom 04.10.2024 - C-446/21 - Rn. 49 ff.; und vom 04.07.2023 - C-252/21 - Rn 109, jeweils mwN, zit. nach juris). Der Verantwortliche ist unter Berücksichtigung des Grundsatzes der Datenminimierung verpflichtet, den Zeitraum der Erhebung der betreffenden personenbezogenen Daten auf das im Hinblick auf den Zweck der beabsichtigten Verarbeitung absolut Notwendige zu beschränken. Somit ist Art. 25 DSGVO eindeutig zu entnehmen, dass der in ihm verankerte Grundsatz der Speicherbegrenzung verlangt, dass der Verantwortliche in der Lage ist, nachzuweisen, dass die personenbezogenen Daten nur so lange gespeichert werden, wie es für die Erreichung der Zwecke, für die sie erhoben oder weiterverarbeitet wurden, erforderlich ist (vgl. EuGH, Urteil vom 04.10.2024 - C-446/21 - Rn. 55, juris). Der Verantwortliche darf die Daten nicht allgemein und unterschiedslos erheben, sondern muss von der Erhebung solcher Daten absehen, die für die Zwecke der Verarbeitung nicht unbedingt notwendig sind (vgl. EuGH, Urteile vom 04.10.2024 - C-446/21 - Rn. 59; und vom 24.02.2022 - C-175/20 - Rn 74).

Gegen diese Grundsätze verstößt die Beklagte, indem sie eine potentiell unbegrenzte Menge an personenbezogenen Daten der Klägerin verarbeitet. Sie erhebt mit den Business-Tools umfassend - also allgemein und unterschiedslos - personenbezogene Daten der Nutzer, darunter der Klägerin, über deren Tätigkeiten außerhalb ihres Netzwerks, darunter u.a. Daten über den Abruf von Webseiten und Apps Dritter. Bestimmte technische Standarddaten gelangen dabei automatisch an die Beklagte, wenn der Nutzer eine Dritt-Webseite oder eine Dritt-App aufruft.

ee) Die Verarbeitung der vom Antrag zu 4 umfassten personenbezogenen Daten durch die Beklagte ist nicht nach Art. 6 Abs. 1 und Art. 9 DSGVO gerechtfertigt.

Die Beklagte hat weder vorgetragen, welche Daten sie zu welchem konkreten Zweck verwendet, noch kann sie sich auf die einzelnen Rechtfertigungsgründe der DSGVO stützen. Insbesondere fehlt es an einer Einwilligung der Klägerin in die Datenverarbeitung. Die Darlegungs- und Beweislast (auch) für diese Rechtfertigung obliegt allein der Beklagten; dies gilt umfassend und entgegen der Auffassung der Beklagten nicht in Abhängigkeit vom klägerischen Vorbringen zu spezifischen Verarbeitungszwecken, gegen die diese sich wenden will.

(1) Konkreten Vortrag dazu, dass die Klägerin eine - den Anforderungen der Art. 4 Nr. 11 DSGVO und Art. 7 DSGVO genügende - Einwilligung nach Art. 6 Abs. 1 lit. a) und Art. 9 Abs. 2 DSGVO in die streitgegenständliche Datenverarbeitung durch die Beklagte erteilt hat, legt diese nicht dar. Dass sich die Einwilligung aus dem Nutzungsvertrag ergeben würde, behauptet auch die Beklagte nicht. Ungeachtet dessen hätte die Klägerin eine etwaige Einwilligung in die Datenverarbeitung jedenfalls mit Erhebung der vorliegenden Klage - konkludent - widerrufen. Eine etwaig von der Klägerin gegenüber Drittunternehmen erteilte Einwilligung zur Datenverarbeitung durch diese umfasst - dies liegt auf der Hand - nicht eine nachfolgend in der Sphäre der Beklagten und von dieser vorgenommenen Datenverarbeitung.

(2) Die Datenverarbeitung ist nicht nach Art. 6 Abs. 1 lit. f) DSGVO gerechtfertigt. Danach ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Diese Voraussetzungen sind – wie das Landgericht zu Recht angenommen hat – nicht dargetan. In erster Instanz hat die Beklagte lediglich vorgetragen, dass die Speicherung der Daten zu Sicherheits- und Integritätszwecken einschließlich der Überwachung von versuchten Angriffen auf die Systeme der Beklagten wie z.B. der forcierten Überlastung der Website erforderlich sei, und führt des Weiteren erstmals in der Berufungserwiderung aus, dass sie die über die Business-Tools gesammelten Daten nutze zur Erkennung anomaler Aktivitäten, die möglicherweise darauf abzielten, die Dienste der Beklagten zu stören, zur Fehlerbehebung und Betriebsdatenerfassung sowie zur Erkennung von feindlichen Akteuren, deren Handlungen gegen die Richtlinien der Beklagten verstoßen könnten, wie beispielsweise Hacking-Aktivitäten, Daten aus verbotenen Quellen, Sicherheitsrisiken insbesondere für Minderjährige, mögliche kriminelle Aktivitäten gefährlicher Organisationen und Beeinflussungsmaßnahmen, einschließlich koordinierter unechter Verhaltensweisen.

Dieser Vortrag genügt erkennbar nicht. Er lässt nicht im Ansatz erkennen, welche Daten der Klägerin die Beklagte zu Sicherheits- und Integritätszwecken verarbeitet, auf welche Weise dies geschieht, warum die Verarbeitung der Daten für die angegebenen Sicherheits- und Integritätszwecke überhaupt notwendig ist und wie lange die Beklagte die Daten zu Sicherheits- und Integritätszwecken speichert. Vortrag hierzu ist erforderlich, weil nur so geprüft werden kann, ob die Verarbeitung der personenbezogenen Daten zur Wahrung des von der Beklagten behaupteten berechtigten Interesses erforderlich ist und ob dieses Verarbeitungsinteresse in der Abwägung gegenüber den Interessen und den Grundrechten und Grundfreiheiten der Klägerin den Vorrang genießt.

Auch soweit die Beklagte unter Verweis auf ihre Datenschutzrichtlinie meint, die Verarbeitung der Daten sei durch Art. 6 Abs. 1 lit. f DSGVO gedeckt, weil sie die von Dritten erhaltenen Daten nutze, um Risiken von Spam-, Scraping- oder anderen Cyberangriffen zu minimieren, ist nicht ansatzweise nachvollziehbar dargelegt, inwiefern die Business-Tools tatsächlich ein Instrument zur Erhöhung der Cybersicherheit auf Seiten der Server- und sonstigen Infrastruktur der Beklagten sind. Zweck der Business-Tools ist - wie die Beklagte selbst in ihrer Beschreibung der Tools (Anlage B 3) zum Ausdruck bringt - die zur Steigerung von Reichweite und Werbeerfolg erfolgende Verbindung zwischen ihren Systemen und Webseiten und Apps Dritter. Um überhaupt denkbar unter diesen Rechtfertigungsgrund fallen zu können, müsste die Gewährleistung von Cybersicherheit schon zum Zeitpunkt der Datenübermittlung Dritter an die Beklagte der maßgebliche Zweck dieser Datenverarbeitung sein. Eine Datenbevorratung ohne Vorabfestlegung des Zwecks ist nach Art. 5 Abs. 1 lit b DSGVO mit dem Grundsatz der Zweckbindung unvereinbar.

(3) Die Datenverarbeitung über die Business-Tools war auch nicht erforderlich für die Vertragserfüllung (Art. 6 Abs. 1 UAbs. 1 lit. b) DSGVO).

Nach der Rechtsprechung des EuGH in dem Vorlageverfahren Meta vs. Bundeskartellamt, das auch und gerade die Business-Tools betraf, ist Art. 6 Abs. 1 lit. b DSGVO dahin auszulegen, dass die Verarbeitung personenbezogener Daten nur dann als für die Erfüllung eines Vertrags erforderlich angesehen werden, wenn sie objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist, d.h. der Verantwortliche muss nachweisen, dass der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte (EuGH, Urteil vom 04.07.2023 - C-252/21, Rn. 98f; vgl. auch EDSA, Leitlinien 2/2019, Version 2.0, Rn. 27 ff.).

Der Beklagtenvortrag lässt jedwede Erläuterung vermissen, warum es für die Bereitstellung der Funktionen von Instagram erforderlich sein könnte, die über die Business-Tools erhobenen Daten zu erfassen und zu verarbeiten.

(3) Auch eine Rechtfertigung nach Art. 6 Abs. 1 UAbs. 1 lit. c DSGVO scheidet aus. Nach der Rechtsprechung des EuGH setzt dieser Rechtfertigungsgrund voraus, dass die Beklagte gesetzlich verpflichtet wäre, personenbezogene Daten präventiv zu erheben und zu speichern, um jegliche Anfrage einer nationalen Behörde, die darauf abzielt, bestimmte Daten über ihre Nutzer zu erlangen, beantworten zu können (vgl. EuGH, Urteil vom 04.07.2023 - C-252/21 - Rn. 132, juris). Die Beklagte hat solche Umstände nicht vorgetragen. Sonstige Anhaltspunkte für eine gesetzliche Verpflichtung bestehen ebenfalls nicht

(4) Die Datenverarbeitung ist auch nicht nach Art. 6 Abs. 1 UAbs. 1 lit. d DSGVO gerechtfertigt. Eine Rechtfertigung nach dieser Regelung kommt nur in Betracht, wenn lebenswichtige Interessen zu schützen sind, wie z.B. die Verarbeitung für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung oder in humanitären Notfällen insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen (vgl. 46. Erwägungsgrund der DSGVO und EuGH, Urteil vom 04.07.2023 - C-252/21 - Rn. 136, juris).

Das ist hier nicht der Fall. Der Betreiber eines sozialen Online-Netzwerks, dessen Tätigkeit im Wesentlichen wirtschaftlicher und kommerzieller Natur ist, kann in Anbetracht der Art der von ihm erbrachten Dienste nicht den Schutz eines lebenswichtigen Interesses seiner Nutzer oder einer anderen Person geltend machen, um die Rechtmäßigkeit einer Datenverarbeitung wie der im Ausgangsverfahren in Rede stehenden pauschal in abstrakter und präventiver Weise zu rechtfertigen (vgl. EuGH, a.a.O., Rn. 137, juris).

b) Die für den Unterlassungsanspruch erforderliche Wiederholungsgefahr wird aufgrund der begangenen Pflichtverletzungen tatsächlich vermutet (st. Rspr des BGH, siehe zuletzt Urteil vom 23.06.2026 - VI ZR 97/22 - Rn 28; vgl. auch BGH, Urteil vom 29.07.2021 - III ZR 179/20, Rn 103, juris). Für eine Widerlegung dieser Vermutung ausreichende Anhaltspunkte, an die ohnehin strenge Anforderungen zu stellen sind, hat die Beklagte nicht vorgetragen. Es ist nach den Erklärungen der Beklagten vielmehr davon auszugehen, dass sie ihr System der Business-Tools aufrechterhält, denn sie verteidigt über beide Instanzen ihr System und meint, ihr sei die Nutzung ihrer Business-Tools erlaubt.

2. Wie im Senatstermin vom 03.06.2026 ausgeführt, hat das Landgericht zu Recht und mit zutreffenden Erwägungen den Klageantrag zu 4, gerichtet auf Löschung sämtlicher im Klageantrag zu 1 a) bezeichneten Daten spätestens einen Monat nach rechtskräftigem Abschluss des Verfahrens, Bestätigung der Löschung sowie Löschung, wahlweise Anonymisierung der im Antrag zu 1. b) und c) seit dem 25.05.2018 gespeicherten personenbezogenen Daten, für begründet erachtet.

a) Der Anspruch auf Löschung beruht auf Art. 17 Abs. 1 lit. d) DSGVO; die Einräumung eines Wahlrechts für die Beklagte in Bezug auf die im Antrag zu 1 b) und c) bereits gespeicherten Daten (Anonymisierung oder Löschung) stellt eine Privilegierung der Beklagten dar. Nach Art. 17 Abs. 1 lit. d) DSGVO muss der Verantwortliche personenbezogene Daten, die unrechtmäßig verarbeitet wurden, unverzüglich löschen, wenn die betroffene Person dies verlangt.

Diese Anspruchsvoraussetzungen liegen vor. Die Beklagte verarbeitet die aufgrund der Nutzung ihrer Business-Tools durch Dritte anfallenden und von diesen an die Beklagte übermittelten personenbezogenen Daten unrechtmäßig; insofern wird auf die Ausführungen zu Ziffer 1. Bezug genommen.

b) Der Anspruch auf Löschung ist selbst dann nicht bereits durch die Zurverfügungstellung des Self-Service-Tools der Beklagten erfüllt, wenn der Beklagten die Verwendung von automatisierten Verfahrensweisen zur Löschung bzw. Anonymisierung der Nutzerdaten grundsätzlich zuzubilligen wäre (vgl. Paal/Pauly/Paal, 3. Aufl. 2021, DSGVO Art. 17 Rn. 29), weil durch Auswahl der Optionen „Frühere Aktivitäten Löschen“ bzw. „Künftige Aktivitäten trennen“ die Off-Site-Daten lediglich vom Account der Klagepartei getrennt, nicht hingegen gelöscht werden (ebenso OLG Naumburg, Urteil vom 05.02.2026 - 9 U 124/24, Rn 327, juris).

c) Die Beklagte ist gemäß Art. 12 Abs. 3 Satz 1 DSGVO zur Bestätigung der Löschung verpflichtet. Denn danach hat der Verantwortliche der betroffenen Person unverzüglich, spätestens innerhalb eines Monats, Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 DSGVO – also auch auf den Antrag auf Löschung gem. Art. 17 DSGVO – ergriffenen Maßnahmen zur Verfügung zu stellen.

3. Der Klägerin steht gemäß Art. 82 Abs. 1 DSGVO ein Anspruch auf Schadensersatz (Klageantrag zu 5) in zuerkannter Höhe zu.

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen im Sinne von § 4 Nr. 7 DSGVO. Voraussetzungen dieses Anspruchs sind also ein Verstoß des Verantwortlichen gegen die DSGVO und ein kausal auf diese Pflichtverletzung zurückzuführender materieller oder immaterieller Schaden des Betroffenen (EuGH, Urteil vom 04.05.2023, C-300/21, Rn. 32, juris), der für diese Anspruchsvoraussetzungen die Beweislast trägt (EuGH, Urteil vom 24.01.2024, C-687/21, Rn. 61, juris).

a) Der Klägerin ist ein Schaden i.S.d. Art. 82 Abs. 1 DSGVO entstanden.

Die Auslegung des Schadensbegriffs erfolgt unionsrechtlich, so dass in der Regel für die Haftungsbegründung nicht auf das nationale Verständnis des immateriellen Schadens zurückgegriffen werden kann (EuGH, Urteil vom 25.01.2024, C-687/21, Rn 64, juris). Die Anforderungen für immaterielle Schäden sind niedrig. Sie müssen nicht einen gewissen Schweregrad erreichen (EuGH, Urteil vom 20.01.2024, C-590/22, Rn. 26, juris). Ein bloßer und kurzzeitiger Verlust der Kontrolle über die personenbezogenen Daten als Verlust der Datenhoheit oder eine begründete Befürchtung einer missbräuchlichen Verwendung reicht aus (BGH, Urteile vom 23.06.2026 - VI ZR 97/22 - Rn 19, und vom 18.11.2024 - VI ZR 10/24, Rn 30, juris). Der Schaden kann damit in negativen Gefühlen wie Befürchtungen oder Ängsten bestehen, auch wenn diese Teil des allgemeinen Lebensrisikos sein können (BGH, Urteil vom 23.06.2026 - VI ZR 97/22 - Rn 20).

Im vorliegenden Fall besteht ein weitreichender Kontrollverlust der Klägerin darüber, welche Informationen die Beklagte über ihr Internet- und App-Nutzungsverhalten bislang erhalten und bis zu welchem Grad sie genaue Kenntnisse über die Klägerin und ihre individuellen Lebensumstände hat, die über das hinausgehen, was sie durch die Nutzung des sozialen Netzwerks Instagram über ihr Privatleben preisgibt. Da die Erhebung und Übermittlung personenbezogener Daten durch die Business-Tools bei Nutzung des Internets und von Apps im Hintergrund läuft und die Beklagte weder von sich aus, noch auf vorprozessuales Verlangen näher beauskunftet, welche Informationen sie von der Klägerin jenseits der durch Nutzung der sozialen Netzwerke anfallenden Informationen hat, fehlt ihr jedwede Kenntnis und erst recht die Kontrolle darüber, bis zu welchem Grad die Beklagte ohne ihren Willen über ein Persönlichkeitsprofil sie betreffend - oder jedenfalls die dafür benötigten Informationen - verfügt. Dies stellt einen immateriellen Schaden im vorstehenden Sinne dar.

b) Die Verwendung der Business-Tools ist auch kausal für den von der Klägerin empfundenen Kontrollverlust und der Befürchtung eines solchen. Hierfür ist es ausreichend, dass feststeht, dass die Beklagte ständig personenbezogene, auch sensible Daten über das Internetnutzungsverhalten innerhalb oder außerhalb ihres Netzwerkes erhoben hat und erheben kann und sich daraus das Wissen und die Befürchtung der Klägerin ergibt, bei der Nutzung des Internets und damit bei einem großen Teil seines Lebens in dystopischer Weise – weil sowohl das Ausmaß als auch die Art und Weise der Verarbeitung nebst den damit verbundenen Folgen nicht mehr nachverfolgbar oder auch nur ansatzweise nachvollziehbar ist – überwacht zu werden.

c) Die Beklagte handelte auch schuldhaft. Sie hat bereits den ihr nach Art. 82 Abs. 3 DSGVO obliegenden Entlastungsnachweis, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist, nicht geführt. Überdies ist der Beklagten vorzuwerfen, seit dem Jahr 2016 vorsätzlich gegen die DSGVO verstoßen zu haben. Das Bundeskartellamt hat auf ein im März 2016 eingeleitetes Verfahren mit Beschluss vom 06.02.2019 der Beklagten auf der Grundlage von § 19 Abs. 1 GWB untersagt, Konditionen zu verwenden, die die Nutzung von Instagram durch private Nutzer davon abhängig machen, dass die Beklagte Daten, die bei dem Besuch von Webseiten oder bei der Nutzung mobiler Apps dritter Anbieter über Programmierstellen (Business-Tools) erfasst werden, ohne Einwilligung der Nutzer mit den unter den Instagram-Konten gespeicherten Daten verknüpfen und verwenden kann und eine wirksame Einwilligung nur dann vorliegt, wenn die Bereitstellung des Dienstes Instagram nicht von der Erteilung der Einwilligung abhängig gemacht wird (Bundeskartellamt, Beschluss vom 06.02.2019, B6-22/16, juris). Der EuGH hat mit Urteil vom 16.07.2020 (Facebook Ireland und Schrems - C-3111/18) die Datenübermittlung in die USA als rechtswidrig erkannt. Spätestens seit diesem Zeitpunkt, für die USA-Datenübermittlung bis Oktober 2022, hat die Beklagte nach alledem vorsätzlich, wenigstens mit dolus eventualis gehandelt.

d) Ein Schadensersatz i.H.v. 2.000 € erscheint geboten, aber auch ausreichend (§ 287 ZPO).

Die DSGVO enthält keine Bestimmung über die Bemessung des nach Art. 82 DSGVO geschuldeten Schadensersatzes. Nach der Rechtsprechung des EuGH kommt dem immateriellen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO allein eine Ausgleichsfunktion zu, während die Vorschrift keinen Strafzweck verfolgt sowie keine Abschreckungsfunktion gegenüber dem Schädiger und keine Genugtuungsfunktion für den Geschädigten erfüllen soll (EuGH, Urteile vom 04.05.2023, C-300/21, Rn. 58; und vom 20.01.2024, C-182/22 und C-189/22, Rn 21 ff., juris). Der Grad des Verschuldens des Schädigers ist ebenfalls kein relevanter Bemessungsfaktor (EuGH, Urteil vom 04.09.2025, C-655/23). Auf Grundlage der Maßstäbe, die der BGH anlässlich des sog. Scraping-Falls zur Schadensbemessung bei Datenschutzverstößen entwickelt hat (Urteil vom 18.11.2024 - VI ZR 10/24 - Rn 99), sind die etwaige Sensibilität der konkret betroffenen personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO, der Verwendungszweck, die Art des Kontrollverlusts etwa mit Blick auf den Empfängerkreis, dessen Dauer sowie die Möglichkeit der Wiedererlangung der Kontrolle als maßgebliche Faktoren für die Bemessung des Schadensersatzanspruches zu nennen.

Ausgehend davon bewertet der Senat den durch den Kontrollverlust entstandenen Schaden mit 2.000 €. Der Verstoß gegen die DSGVO betrifft den persönlichen Lebensbereich der Klägerin. Sie weiß nicht und kann auch nicht wissen, welche und wie viele Daten die Beklagte aus ihrer Privat- und Intimsphäre über sie gesammelt hat und was die Beklagte mit diesen Daten macht. Das Vorgehen der Beklagten ist geeignet, das Gefühl einer kontinuierlichen Überwachung ihres Verhaltens nicht nur im Internet auszulösen, ohne dass sie hierauf durchgreifend Einfluss nehmen kann. Dabei ist auch nicht ausgeschlossen, dass die unrechtmäßige Datenverarbeitung, die über mehrere Jahre hinweg erfolgte, auch sensible Informationen (E-Mail-Adressen, IP-Adressen, Name, Gesundheitsdaten etc.) umfasste, die für die Vertragszwecke nicht im Ansatz erforderlich waren.

Der Senat hält die vom OLG München (Urteil vom 18.12.2025 - 14 U 2300/25) zuerkannten 750 € und die vom OLG Stuttgart (Urteile vom 29.04.2026 - 4 U 353/24 - und - 4 U 372/24) zugesprochenen 500 € für untersetzt und orientiert sich an den Entscheidungen des OLG Hamm (Urteile vom 09.03.2026 - 8 U 13/25 - und vom 24.06.2026 - 8 U 56/25: jeweils 1.500 €), OLG Dresden (Urteil vom 03.02.2026 - 4 U 292/25: 1.500 €), OLG Sachsen-Anhalt (Urteil vom 05.02.2026 - 9 U 44/25: 1.200 €), OLG München (Urteil vom 26.06.2026 – 36 U 1054/25e: 1.500 €) und OLG Jena (Urteil vom 02.03.2026 - 3 U 31/25: 3.000 €) und hält einen Schadensersatz in diesem Bereich auch für den vorliegenden Fall für angemessen.

e) Einen weitergehenden Schadensersatzanspruch wegen Verletzung des allgemeinen Persönlichkeitsrechts nach § 823 Abs. 1 BGB i. V. m. Art. 2 Abs. 1, 1 Abs. 1 GG hat die Klägerin auch in Ansehung ihrer Ausführungen im Senatstermin und ihrer Schriftsätze vom 29.06.2026 und 23.07.2026 nicht.

Die schuldhafte Verletzung des allgemeinen Persönlichkeitsrechts kann zwar einen Anspruch auf eine Geldentschädigung begründen, wenn es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Ob eine so schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, dass die Zahlung einer Geldentschädigung erforderlich ist, kann nur aufgrund der gesamten Umstände des Einzelfalls beurteilt werden. Hierbei sind insbesondere die Bedeutung und Tragweite des Eingriffs, ferner Anlass und Beweggrund des Handelnden sowie der Grad seines Verschuldens zu berücksichtigen. Die Zubilligung einer Geldentschädigung unter den genannten Voraussetzungen findet ihre sachliche Berechtigung in dem Gedanken, dass das Persönlichkeitsrecht gegenüber schwerwiegenden Beeinträchtigungen anderenfalls ohne ausreichenden Schutz bliebe mit der Folge, dass der Rechtsschutz der Persönlichkeit verkümmern würde (BGH, Urteil vom 12.03.2024 - VI ZR 1370/20).

Der Senat ist allerdings der Auffassung, dass die Beeinträchtigung der Klägerin schon durch den Zuspruch eines angemessenen Betrages gemäß Art. 82 DSGVO befriedigend aufgefangen werden kann.

4. Ein Anspruch auf Freistellung von vorgerichtlichen Rechtsanwaltskosten gemäß §§ 280, 286, 257 BGB steht der Klägerin nicht zu.

Voraussetzung für einen Erstattungsanspruch ist grundsätzlich, dass der Geschädigte im Innenverhältnis zur Zahlung der in Rechnung gestellten Kosten verpflichtet ist und die konkrete anwaltliche Tätigkeit im Außenverhältnis aus der maßgeblichen Sicht des Geschädigten mit Rücksicht auf seine spezielle Situation zur Wahrnehmung seiner Rechte erforderlich und zweckmäßig war (BGH, Beschl. v. 23.06.2022, - VII ZR 394/21 - juris).

Das außergerichtliche Aufforderungsschreiben vom 09.08.2023 stellt bereits keine zweckmäßige Rechtsverfolgungsmaßnahme dar, weil bei vernünftiger Betrachtung der Sachlage nicht zu erwarten war, dass die Beklagte sich bei dem zu erwartenden Massenverfahren zu den Business-Tools mit mehreren Tausend Klageparteien und zahlreichen Anträgen, die letztendlich ihr Geschäftsmodell in Frage stellen, auf die Forderungen einlassen würde.

Hinzu kommt, dass die rechtsschutzversicherte Klägerin keinen Schaden erlitten hat. Es ist davon auszugehen, dass die Rechtsschutzversicherung, die auch den Gerichtskostenvorschuss gezahlt hat, entsprechend dem Zweck des Rechtsschutzversicherungsvertrags auch die vorgerichtlichen Rechtsanwaltskosten getragen hat, so dass ein gesetzlicher Forderungsübergang nach § 86 Abs. 1 Satz 1 VVG erfolgt ist. Soweit die Klägerin einen Forderungsübergang mit Schriftsatz vom 19.05.2026 unter Beifügung der Deckungszusage der Allianz Versicherung-AG vom 03.11.2023 in Abrede gestellt hat, lässt sich - wie im Termin vom 03.06.2026 ausgeführt - dem in Bezug genommenen Schreiben nicht entnehmen, dass die außergerichtlichen Anwaltskosten nicht übernommen worden sind, zumal darin auf ein vorangegangenes, nicht vorgelegtes Schreiben verwiesen wird. Für eine Rückabtretung des Schadensersatzanspruchs bestehen keine Anhaltspunkte.

E.

1. Die nicht nachgelassenen Schriftsätze der Klägerin (vom 29.06.2026 und 23.07.2026) und der Beklagten (vom 30.07.2026) bieten keine Veranlassung, die verfahrensfehlerfrei geschlossene mündliche Verhandlung wiederzueröffnen.

2. Die Kostenentscheidung beruht auf §§ 92 Abs. 1, 97 Abs. 1 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit findet ihre Rechtsgrundlage in §§ 708 Nr. 10, 713 ZPO.

3. Für die Zulassung der Revision besteht kein Anlass, da die Voraussetzungen des § 543 Abs. 2 ZPO nicht vorliegen. Insbesondere beruht die Divergenz der vorliegenden Entscheidung zu derjenigen des OLG Naumburg (Urteil vom 05.02.2026 - 9 U 44/25) nicht darauf, dass unterschiedliche höchstrichterlich klärungsbedürftige Rechtssätze in Bezug auf die Zulässigkeit eines gleichlautenden Feststellungsbegehrens als Zwischenfeststellungsklage aufgestellt werden. Auch sind die hier zugrunde liegenden Rechtsfragen, insbesondere die Frage, ob sich die Beklagte für die einwilligungslose Verarbeitung von Daten aus den Business-Tools auf Art. 6 lit. f) DSGV berufen kann und unter welchen Voraussetzungen ein Kontrollverlust einen immateriellen Schaden im Sinne des Art. 82 DSGVO begründet, durch die Rechtsprechung des EuGH geklärt. Die Zumessung des Schadenersatzes ist gemäß § 287 ZPO anhand der festgestellten Tatsachen vorzunehmen und eine - anhand der Umstände des Einzelfalls vorzunehmende - Tatsachen- und keine Rechtsfrage.

4. Der Berufungsstreitwert wird auf 11.000 € festgesetzt, §§ 39 Abs. 1, 47 Abs. 1, 48 Abs. 1 GKG i.V.m. § 3 ZPO. Der Feststellungsantrag ist mit 1.000 € bemessen, für den Unterlassungsantrag ist ein Wert von 3.000 € und für den Antrag auf Löschung und Anonymisierung ein Wert von 2.000 € anzusetzen. Das bezifferte Schadenersatzverlangen bemisst sich nach dem Zahlbetrag (5.000 €). Der Streitwert für die 1. Instanz wird gemäß § 63 Abs. 3 Nr. 2 GKG abgeändert und auf 12.000 € festgesetzt.