Cyber-Security.academy · Urteils-Aufbereitung

Self-Service-Portal erfüllt Art. 15 DSGVO, Schadensersatz scheitert an fehlendem Vortrag zur eigenen Betroffenheit

Landgericht Bamberg · 42 O 126/24 · 13. Mai 2025

Datenschutz / DSGVO

Auskunfts-, Verpflichtungs- und Entschädigungsansprüche wegen des Einsatzes der Meta Business Tools — Meta Pixel, App Events über das SDK, Conversions API und App Events API — durch die auf Drittwebseiten und in Dritt-Apps Daten von Netzwerknutzern erhoben und mit dem Nutzerkonto verknüpft werden.

Orientierungssatz

  1. Der Auskunftsanspruch nach Art. 15 DSGVO ist erfüllt, wenn der Verantwortliche schriftlich Auskunft erteilt und der betroffenen Person nachvollziehbar erläutert, wie sie ihre Daten elektronisch abrufen kann. Erwägungsgrund 63 Satz 4 DSGVO stützt diesen Weg ausdrücklich; ein Self-Service-Portal genügt den Anforderungen.
  2. Für einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO reicht der Vortrag zu einer abstrakt rechtswidrigen Verarbeitung nicht aus. Die betroffene Person muss konkret darlegen, welche Drittwebseiten oder Apps sie genutzt hat und ob dort die beanstandeten Werkzeuge eingebunden waren.
  3. Ohne diese individuelle Betroffenheit fehlt es an der Anspruchsvoraussetzung; ein immaterieller Schaden ist zusätzlich nachvollziehbar darzulegen und folgt nicht bereits aus dem behaupteten Verstoß.

Die Entscheidung im Überblick

Die Klägerin nutzt seit Ende 2015 privat ein soziales Netzwerk und wandte sich gegen die sogenannten Meta Business Tools — Meta Pixel für Webseiten, App Events über das SDK für Anwendungen, dazu Conversions API und App Events API. Diese Werkzeuge binden Webseitenbetreiber und App-Entwickler in ihre Angebote ein, um Werbeeinnahmen zu erzielen; dabei fließen Daten von Netzwerknutzern an den Netzwerkbetreiber, ein Teil davon — die technischen Standarddaten — in jedem Fall. Die Klägerin sah darin eine umfassende Überwachung ihres digitalen Verhaltens, die mit ihrem Nutzerkonto verknüpft werde, und verlangte Auskunft, Unterlassung und immateriellen Schadensersatz von mindestens 5.000 Euro. Das Gericht wies die Klage vollständig ab und setzte den Streitwert auf 7.000 Euro fest.

Für den Auskunftsanspruch stellt das Gericht auf den tatsächlichen Erfüllungsvorgang ab. Der Netzwerkbetreiber hatte schriftlich geantwortet und der Klägerin erläutert, wie sie ihre Daten elektronisch abrufen kann. Das genügt: Unter Bezugnahme auf Erwägungsgrund 63 Satz 4 DSGVO — der ausdrücklich vorsieht, dass Verantwortliche einen Fernzugang zu einem sicheren System bereitstellen können, über den die betroffene Person unmittelbar auf ihre Daten zugreift — hält das Gericht diesen Weg für geeignet und ausreichend. Damit ist eine praktisch bedeutsame Frage beantwortet: Ein Self-Service-Portal ist kein Ausweichmanöver, sondern eine anerkannte Erfüllungsform, sofern die betroffene Person verständlich zum Abruf angeleitet wird.

Beim Schadensersatz scheitert die Klage an der Darlegungslast. Das Gericht verlangt nicht den Nachweis eines bezifferbaren Schadens, wohl aber substantiierten Vortrag zur individuellen Betroffenheit: Welche Drittwebseiten und Apps hat die Klägerin tatsächlich genutzt, und waren dort die beanstandeten Werkzeuge eingebunden? Ohne diese Verknüpfung bleibt der Vorwurf abstrakt — die Verarbeitung mag stattfinden, aber ob sie gerade diese Person traf, ist offen. Auch ein immaterieller Schaden war nach Auffassung des Gerichts nicht nachvollziehbar dargelegt.


Hintergrund und Einordnung

Die Entscheidung gehört in die Serie der Massenverfahren gegen Meta, in denen standardisierte Klagen die Verwendung der Business Tools angreifen. Ihr Wert liegt weniger in der Bewertung der Werkzeuge — dazu äußert sich das Gericht nicht abschließend — als in zwei prozessualen Weichenstellungen, die für Verantwortliche jeder Branche gelten.

Die erste betrifft die Erfüllung des Auskunftsanspruchs. In der Beratungspraxis besteht Unsicherheit, ob ein Download-Bereich oder Datenschutz-Cockpit die Pflicht aus Art. 15 DSGVO erfüllt oder ob zusätzlich eine individuell zusammengestellte Auskunft geschuldet ist. Das Gericht bestätigt die Portallösung — allerdings in einer Kombination: schriftliche Auskunft und Erläuterung des elektronischen Abrufs. Wer nur auf ein Portal verweist, ohne zu antworten, kann sich auf diese Entscheidung nicht ohne Weiteres berufen. Das ist eine eigene Einschätzung; der Wortlaut der Gründe nennt beide Elemente nebeneinander.

Die zweite betrifft die Substantiierung. Nachdem der BGH den bloßen Kontrollverlust als ersatzfähigen Schaden anerkannt hat, war offen, wie viel Vortrag noch nötig ist. Die Bamberger Antwort lautet: genug, um die eigene Betroffenheit von der allgemeinen Praxis zu unterscheiden. Wer nicht sagen kann, wo er dem beanstandeten Tracking begegnet ist, hat keinen Anspruch. Für Beklagte in Massenverfahren ist das die ergiebigste Verteidigungslinie, weil sie unabhängig von der materiellen Bewertung der Verarbeitung greift.

Interessant ist der Kontrast zur Entscheidung des OLG Köln vom 30.07.2026 (19 U 153/25): Dort wird der Auskunftsanspruch als zweckunabhängig und kaum beschränkbar bestätigt — er lässt sich also nicht mit dem Hinweis abwehren, der Antragsteller wolle nur Zahlungsansprüche vorbereiten. Beide Entscheidungen zusammen ergeben ein stimmiges Bild: Der Anspruch besteht weitgehend voraussetzungslos, aber seine Erfüllung ist auch mit vertretbarem Aufwand möglich — und wer ihn erfüllt und dokumentiert, entzieht dem nachgelagerten Schadensersatzbegehren die Grundlage.


Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://openjur.de/u/2548515.html


Quellen

  1. openJur — Volltext LG Bamberg 42 O 126/24 · original · abgerufen 2026-09-10
  2. Dr. Datenschutz — Auskunftsprozess als Schutz vor Entschädigungsansprüchen · Friederike Keil · 2026-09-08 · kommentar · abgerufen 2026-09-10