Ein API-Fehler bei X gab Fremden Zugriff auf private Nutzerdaten – Namen, Nachrichten, Kontaktdaten. Eine Verbraucherstiftung will nun pauschal Schadenersatz für alle Betroffenen einklagen, ohne dass diese den konkreten Kontrollverlust nachweisen müssen. Das Kammergericht Berlin musste entscheiden, ob die Abhilfeklage überhaupt zulässig ist.
Die Abhilfeklage fungiert gemäß dem Verbraucherrechtedurchsetzungsgesetz (VDuG) als gesetzliche Prozessstandschaft für Verbraucher. Das bedeutet konkret: Bestimmte Verbraucherschutzorganisationen dürfen stellvertretend für viele Betroffene klagen, ohne dass jeder Einzelne selbst vor Gericht ziehen muss. Eine zentrale Zulässigkeitsvoraussetzung nach § 15 Abs. 1 VDuG ist die wesentliche Gleichartigkeit der geltend gemachten Ansprüche. Klagebefugt sind hierbei unter anderem qualifizierte Einrichtungen aus EU-Mitgliedstaaten nach § 2 Abs. 1 Nr. 2 VDuG, sofern sie im Verzeichnis der Europäischen Kommission gelistet sind. Das Verfahren zielt darauf ab, dass ein kollektiver Gesamtbetrag an einen vom Gericht zu bestellenden Sachwalter gezahlt wird. Ein Sachwalter ist ein vom Gericht eingesetzter Treuhänder, der die eingesammelten Gelder verwaltet und später an die berechtigten Verbraucher verteilt.
Dass die Hürden für dieses kollektive Instrument hoch sind, zeigt eine milliardenschwere juristische Auseinandersetzung aus dem Jahr 2026. Eine niederländische Verbraucherschutz-Stiftung verlangte kollektiven Schadensersatz für in Deutschland registrierte Nutzer der Plattform X (ehemals T). Die Verbraucherschützer stützten ihre Forderungen auf behauptete schwerwiegende DSGVO-Verstöße durch weitreichende Datenverarbeitung sowie auf einen technischen API-Bug im Login-Bereich des Netzwerks. Für die angebliche illegale Nutzung von Cookies, Tracking und das Ausspielen personalisierter Inhalte forderte die Stiftung mindestens 750,00 Euro pro Person, zuzüglich weiterer 250,00 Euro für die Opfer des behaupteten Datenlecks. Auf Seiten der Plattform forderte das amerikanische Unternehmen die vollständige Abweisung, sah internationale Gerichte in Irland zuständig und warf der Stiftung vor, unzulässig über Investoren und Genussscheine finanziert zu sein. Genussscheine sind finanzielle Beteiligungen, die dem Inhaber Gewinnrechte einräumen, ohne dass er Gesellschafter wird. Das Kammergericht Berlin bejahte zwar die Zuständigkeit deutscher Gerichte nach Art. 7 Nr. 2 EuGVVO – einer EU-Verordnung, die regelt, welches nationale Gericht bei grenzüberschreitenden Streitigkeiten zuständig ist –, wies die Klage aber dennoch unter dem Aktenzeichen 20 VKl 1/25 vollständig ab.
Damit eine kollektive Rechtsdurchsetzung funktioniert, müssen die Ansprüche nach § 15 Abs. 1 VDuG im Kern auf denselben Rechts- und Tatsachenfragen beruhen. Sie müssen sich anhand abstrakter Kriterien in einem späteren Umsetzungsverfahren prüfen lassen. Zudem schreibt § 16 Abs. 2 Satz 1 Nr. 2 VDuG vor, dass standardisierte Berechtigungsnachweise in der gerichtlichen Praxis handhabbar sein müssen. Individuelle, von Fall zu Fall stark abweichende Umstände der Betroffenen dürfen einer solchen einheitlichen Kategorisierung nicht im Weg stehen.
Als das Kammergericht Berlin prüfen musste, ob sich die weitreichenden Forderungen gegen das soziale Netzwerk tatsächlich pauschal bündeln ließen, verneinte es diese entscheidende Gleichartigkeit. Die Richter stellten fest, dass mögliche immaterielle Schäden untrennbar mit völlig unterschiedlichen Faktoren der jeweiligen Nutzer zusammenhängen, etwa mit der konkreten Nutzungsdauer sowie Art und Umfang der verarbeiteten Daten.
Das Gericht betonte, dass Aspekte wie subjektive Ängste vor Identitätsdiebstahl, das Alter und der Reifegrad der Account-Inhaber sowie die unterschiedlich wahrgenommene Intensität einer Beeinflussung durch personalisierte Werbung eine abstrakte Begutachtung unmöglich machen. Jeder Betroffene geht individuell mit seinen Informationen um oder hat diese möglicherweise schon bei früheren Gelegenheiten freiwillig preisgegeben. An diesem entscheidenden Punkt half der Stiftung auch ihr Verweis auf ein Urteil des Gerichtshofs Amsterdam (vom 07.10.2025) nicht weiter. Das Berliner Gericht ließ sich davon nicht überzeugen, da in den Niederlanden vor allem identische Normverstöße gebündelt wurden, die nach dem europäischen Recht für sich allein aber noch keine Haftung auslösen.
Um die Schadensbetroffenheit zu belegen, schlug die Stiftung vor, Registrierungsunterlagen einzureichen, auf Zugriffsprotokolle zuzugreifen oder eidesstattliche Versicherungen der Betroffenen einzuholen. Eidesstattliche Versicherungen sind schriftliche Erklärungen, bei denen der Unterzeichner die Richtigkeit seiner Angaben unter Androhung einer Strafe für Falschaussagen bestätigt. Die Richter verwarfen all diese Nachweise als unzureichend. Sie begründeten dies unter anderem damit, dass der im Verfahren tätige Sachwalter keine Behörde im Sinne des Strafgesetzbuches sei und eidesstattliche Versicherungen somit juristisch ins Leere liefen. Eine einheitlich handhabbare Schadenszuordnung sah der Senat damit abermals als gescheitert an.
Ein finanzieller Anspruch nach Art. 82 Abs. 1 DSGVO setzt neben einem reinen Regelverstoß zwingend einen konkret nachweisbaren individuellen Schaden sowie den ursächlichen Zusammenhang voraus. Ein bloßer Bruch datenschutzrechtlicher Vorschriften allein begründet aus juristischer Sicht keinen Entschädigungsanspruch. Für die Bemessung des Schadens müssen individuelle Aspekte wie ein tatsächlicher Kontrollverlust, negative Gefühle sowie die spezifische Qualität der entwendeten Daten detailliert untersucht werden. Die Konstruktion eines fiktiven und pauschalen „Durchschnittsbetroffenen“ reicht für ein juristisches Verfahren nicht aus.
Wer Schadensersatz nach Art. 82 DSGVO einklagen will, muss deshalb mehr vorlegen als den Hinweis auf einen Datenschutzverstoß. Konkret bedeutet das: Dokumentieren Sie den konkreten Schaden – etwa Screenshots von Phishing-Mails nach einem Datenleck, Nachweise über Identitätsmissbrauch oder den Zeitpunkt, ab dem Sie die Kontrolle über Ihre Daten verloren haben. Pauschale Verweise auf „Tracking“ oder „heimliche Profilbildung“ allein reichen vor Gericht nicht aus.
In der Argumentation der Stiftung spiegelte sich jedoch genau diese pauschale Sichtweise wider. Die Verbraucherschützer warfen dem Netzwerk weitreichende Verstöße unter anderem gegen Art. 9, Art. 22, Art. 5 und Art. 6 DSGVO sowie gegen das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (§ 25 TDDDG) vor. Das betraf insbesondere die heimliche Profilbildung, In-App- und Off-Site-Tracking sowie das Ausspielen von Werbung ohne echte vorherige Zustimmung.
Die Organisation argumentierte, dass allein der generelle Kontrollverlust oder die reine Ungewissheit der Nutzer über das Schicksal ihrer Daten genüge, um eine kollektive Zahlung pro Kopf zu rechtfertigen. Das Berliner Gericht wies diese Sichtweise entschieden zurück und erklärte eine pauschale Mindestentschädigung für unzulässig. Eine solche starre finanzielle Untergrenze würde dem zwingenden Erfordernis einer differenzierten Einzelfallprüfung gravierend widersprechen. Das Gericht warnte davor, dass ein solches Vorgehen das Rechtsschutzbedürfnis für Abhilfeverfahren zerstören und am Ende trotzdem zahllose, mühsame Individualklagen nach sich ziehen würde, da sich die Schadenswerte mangels tragfähiger Kategorisierung nicht verallgemeinern ließen. Das Rechtsschutzbedürfnis ist die Voraussetzung, dass ein Kläger ein berechtigtes Interesse an der gerichtlichen Entscheidung haben muss, damit das Verfahren überhaupt zulässig ist.
Um Schadensersatz für eine fehlerhafte Schnittstelle zu erhalten, muss dargelegt werden, dass genau diese spezifische Programmierlücke die direkte und eigentliche Ursache für eine unberechtigte Datenoffenlegung war. Kausalität bedeutet hier: Der Schaden muss unmittelbar auf den API-Bug zurückgehen, nicht auf andere Ursachen. Wenn unklar bleibt, ob ein finanzieller oder immaterieller Schaden durch den Fehler selbst oder vielmehr durch ein bereits vorhandenes bösgläubiges Vorwissen von Hackern entstand, fehlt es an der notwendigen Gleichartigkeit der Fälle. Bösgläubiges Vorwissen liegt vor, wenn Hacker die Daten bereits vor der Ausnutzung der Schwachstelle kannten, etwa aus früheren Leaks. Auch generelle Ängste vor künftigem Missbrauch oder Betrugshandlungen müssen sich nachweisbar auf dieses eine Systemversagen stützen können.
Bei der gerichtlichen Bewertung des angeblichen Datenlecks verdeutlichte der Senat diese strengen Anforderungen an die technische Kausalität. Die klagende Einrichtung behauptete, ein fehlerhafter Login-Prozess habe es unberechtigten Angreifern ab Juni 2021 ermöglicht, ansonsten durch Pseudonyme verschleierte Nutzerkonten mit deren privaten Telefonnummern und E-Mail-Adressen zu verknüpfen.
Das Plattformunternehmen wehrte sich gegen diesen Vorwurf mit dem Argument, die besagte Schwachstelle habe allenfalls eine interne und unkritische Identifikationsnummer (User-ID) offengelegt, keinesfalls aber komplette Kontaktdaten ausgespäht. Das Gericht analysierte den Hergang intensiv und stützte sich dabei auf die detaillierten Beschreibungen der Klägerseite. Aus dem eigenen Vortrag der Stiftung ergab sich die Tatsache, dass der Programmfehler nur dann technisch angesprochen und ausgelöst werden konnte, wenn die Angreifer die Telefonnummer oder E-Mail-Adresse der späteren Opfer bereits im Vorfeld kannten. Folglich hielten es die Richter für nicht erwiesen, dass der API-Bug für die Erlangung der sensiblen Informationen ursächlich war, da das Datenmaterial den Tätern offensichtlich schon aus anderen Quellen vorlag. Ohne den Beweis, der die Schwachstelle als den entscheidenden Türöffner für den Schaden identifizierte, mangelte es auch bei diesem Komplex an der notwendigen Gleichartigkeit für ein kollektives Vorgehen.
Für Nutzer, die von einem Datenleck bei X betroffen sein könnten, heißt das: Prüfen Sie, ob Ihre Daten bereits vor dem bekannt gewordenen API-Bug anderswo öffentlich zugänglich waren – etwa durch frühere Leaks bei anderen Diensten oder durch eigene Preisgabe. Nur wenn Sie nachweisen können, dass Ihre Kontaktdaten erst durch diese spezifische Schwachstelle in die Hände Dritter gelangten, besteht eine realistische Chance auf Schadensersatz.
Das Kammergericht Berlin hat als Oberlandesgericht entschieden – das Urteil (Az. 20 VKl 1/25) ist damit für nachgeordnete Instanzen in Berlin bindend und hat Signalwirkung für andere Oberlandesgerichte. Ein Oberlandesgericht ist ein höheres Regionalgericht, dessen Urteile für die nachgeordneten Amts- und Landgerichte in seinem Bezirk bindend sind. Signalwirkung bedeutet, dass andere Gerichte diese Entscheidung oft als Orientierungshilfe für ähnliche Fälle heranziehen. Die Grundaussage ist übertragbar: Kollektive Schadensersatzklagen wegen DSGVO-Verstößen scheitern regelmäßig, wenn der Schaden von individuellen Faktoren wie Nutzungsdauer, persönlichem Umgang mit Daten oder subjektivem Empfinden abhängt. Für einzelne Nutzer bedeutet das aber keine Verschlechterung – im Gegenteil: Das Gericht hat ausdrücklich bestätigt, dass individuelle Schadensersatzansprüche nach Art. 82 DSGVO weiterhin bestehen.
Wer als X-Nutzer Schadensersatz fordern will, muss jetzt einzeln klagen und dabei einen konkreten, nachweisbaren Schaden darlegen – nicht nur abstrakte Angst oder Ungewissheit. Der erste Schritt sollte eine DSGVO-Auskunftsanfrage nach Art. 15 bei X sein, um zu dokumentieren, welche Daten wann verarbeitet wurden. Art. 15 DSGVO gibt jedem das Recht, von einem Unternehmen Auskunft darüber zu verlangen, welche personenbezogenen Daten über ihn gespeichert wurden und wie sie verarbeitet werden. Parallel sollten Betroffene prüfen, ob sie konkrete negative Folgen (Identitätsmissbrauch, Phishing-Angriffe, Rufschädigung) zeitlich auf den API-Bug oder die Datenverarbeitung zurückführen können.
→ Lesen Sie hier den vollständigen Urteilstext…
KG Berlin
I. Die Klage wird abgewiesen.
II. Die Klägerin hat die Kosten des Abhilfeverfahrens zu tragen.
III. Das Urteil ist gegen Sicherheitsleistung in Höhe von 110% des jeweils zu vollstreckenden Betrages vorläufig vollstreckbar.
Tatbestand
Die Klägerin begehrt mit am 17.04.2025 zugestellter Klage von der Beklagten als Betreiberin des sozialen Netzwerkes X (ursprünglich T) an einen für das Umsetzungsverfahren zu bestimmenden Sachwalter zu zahlende immaterielle Entschädigungen für in Deutschland registrierte Nutzer von X in Form kollektiver Gesamtbeträge, gestützt auf die Datenverarbeitung durch die Beklagte einerseits und einen API-Bug andererseits.
Zur Klägerin:
Die Klägerin ist eine Stiftung nach niederländischem Recht und seit dem 03.06.2016 im niederländischen Handelsregister eingetragen. Sie ist seit Juni 2024 auch als qualifizierte Einrichtung aus einem anderen Mitgliedstaat der Europäischen Union im Sinne von § 2 Abs. 1 Nr. 2 VDuG in das Verzeichnis der Europäischen Kommission nach Art. 5 Abs. 1 Satz 4 der Richtlinie (EU) 2020/1828 des Europäischen Parlaments und des Rates vom 25.11.2020 über Verbandsklagen zum Schutz der Kollektivinteressen der Verbraucher und zur Aufhebung der Richtlinie 2009/22/EG aufgenommen. Seit Mai 2021 lautet der Zweck der Stiftung in der Satzung wie folgt: „Die Stiftung verfolgt bei der Ausübung ihrer Tätigkeiten keinen erwerbswirtschaftlichen Zweck.“
Zur Beklagten:
Die Beklagte bietet das soziale Netzwerk X über die Domäne https://x.com („X-Website“) sowie als App auf Endgeräten wie Smartphones und Tablets über die Betriebssysteme i0S und Android an („X- App“). In Deutschland nutzen mehrere Millionen Personen die Dienste der Beklagten. Dabei kann gegebenenfalls die Anlage eines X-Accounts notwendig sein.
Zur Datenverarbeitung der Beklagten:
Auf der Plattform können sich die Nutzer über das aktuelle Tagesgeschehen informieren. Im Mittelpunkt der Plattformnutzung stehen Beiträge der Nutzer („Posts“), die Texte, Links, Bilder oder Videos enthalten können. Die Länge der Beiträge der Nutzer ist durch eine maximale Zeichenanzahl begrenzt. Durch Nutzung eines kostenpflichtigen Accounts können die Nutzer die Möglichkeit erwerben, auch längere Beiträge zu posten. Im Zentrum der Nutzung steht zum einen die Liste „Für dich“, wo die Beklagte für die Nutzer Beiträge auswählt und sortiert. Der Inhalt des „Für dich“- Feeds wird von einem Algorithmus („X-Algorithmus“) generiert. Der von der Beklagten verwendete Algorithmus erfasst über das System namens Unified User Actions (UUA) Nutzeraktionen in Echtzeit und führt sie in einem zentralen Datenstrom zusammen. Neben öffentlich sichtbaren Interaktionen verarbeitet UUA auch passive Aktionen. Hierzu zählen unter anderem das bloße Ansehen von aufgerufenen Beiträgen, Videoaufrufe, Profilbesuche, das Setzen von Lesezeichen, das Öffnen oder Kopieren von Links, das Teilen von Inhalten über private Direktnachrichten sowie das Anfertigen von Screenshots. Diese Daten werden sodann gespeichert. Sie werden anschließend im User Signal Service (USS) weiterverarbeitet. USS erzeugt aus ihnen standardisierte Verhaltenssignale, die das Nutzungsverhalten interpretieren und quantifizieren. Implizite Signale wie Klicks, Verweildauer, Videoaufrufe oder Profilbesuche werden für die Auswahl und das Ranking von Inhalten herangezogen und fließen in maschinelle Lernmodelle ein. Deshalb ist der Inhalt des Feeds auf den jeweiligen Nutzer zugeschnitten. Je länger die App genutzt wird, desto mehr Daten stehen dem Algorithmus zur Verfügung und desto persönlicher gestaltet sich der Inhalt. Beiträge werden auch zu Werbezwecken verwendet. Zum anderen gibt es die Liste „Folge ich“. Jeder Nutzer kann hier auswählen, Beiträge anderer Accounts zu abonnieren (zu „folgen“). Dort werden Beiträge von Accounts, denen der jeweilige Nutzer folgt, angezeigt. In beiden Listen können die Nutzer auf Beiträge durch Absetzen von Antworten und Kommentaren reagieren. Sie können den Beitrag zudem – ohne oder mit Kommentierung – an andere verbreiten. Weiterhin ist es möglich, Links aus den Beiträgen über einen Browser aufzurufen.
In den Datenschutzrichtlinien der Beklagten (Anlage K3 zur Klageschrift) informiert diese unter anderem darüber, welche Daten sie über die Nutzer erhebt und weitergibt, mit welchen Unternehmen sie verbunden ist, wie die Daten genutzt werden und wie Einstellungen aktualisiert werden können. In den Datenschutzrichtlinien der Beklagten heißt es auszugsweise wie folgt:
„1. Daten, die wir erheben
Die Daten, die wir erheben, wenn Sie X nutzen, lassen sich in drei Kategorien unterteilen.
1.1 Daten, die Sie uns zur Verfügung stellen.
Zur Nutzung einiger unserer Produkte und Dienste benötigen Sie einen Account, und zur Erstellung eines Accounts müssen Sie uns bestimmte Daten zur Verfügung stellen. Gleichfalls können wir, wenn Sie unsere kostenpflichtigen Produkte und Dienste nutzen, Ihnen diese nicht zur Verfügung stellen, wenn wir Ihre Zahlungsdaten nicht erhalten. …
• Persönliche Accounts. Wenn Sie einen Account erstellen, müssen Sie uns einige Daten zur Verfügung stellen, damit wir Ihnen unsere Dienste bereitstellen können. Dazu gehören ein Anzeigename (zum Beispiel „Gestalter*innen“); ein Nutzername (zum Beispiel @XGestalter*innen); ein Passwort; eine E-Mail-Adresse oder Telefonnummer; ein Geburtsdatum, Ihre Anzeigesprache und Daten zur einmaligen Anmeldung bei Dritten (wenn Sie diese Anmeldemethode wählen). Sie können sich auch dafür entscheiden, Ihren Standort in Ihrem Profil und in Ihren Posts zu teilen und Ihr Adressbuch auf X hochzuladen, damit Sie leichter nach Personen suchen können, die Sie kennen. Ihre Profildaten, einschließlich Ihres Anzeigenamens und ihres Nutzernamens, sind immer öffentlich, aber Sie können entweder Ihren echten Namen oder ein Pseudonym verwenden. Denken Sie auch daran, dass Sie mehrere X Accounts einrichten können, zum Beispiel wenn Sie verschiedene Aspekte Ihrer Identität zum Ausdruck bringen möchten, sei es beruflich oder anderweitig.
• Professionelle Accounts. Wenn Sie einen professionellen Account einrichten, müssen Sie uns auch eine professionelle Kategorie angeben und können uns weitere Daten zur Verfügung stellen, einschließlich Postanschrift, Kontakt-E-Mail-Adresse und Kontakt-Telefonnummer. Alle diese Daten sind immer öffentlich.
• Zahlungsdaten. Wenn Sie Werbeanzeigen oder andere Angebote kaufen möchten, die im Rahmen unserer kostenpflichtigen Produkte und Dienste zur Verfügung gestellt werden, müssen Sie uns Zahlungsdaten zur Verfügung stellen, einschließlich Ihrer Kredit- oder Debitkartennummer, des Ablaufdatums der Karte, des CVV-Codes und der Rechnungsadresse.
• Bevorzugte Einstellungen. Wenn Sie in Ihren Einstellungen bestimmte Präferenzen angeben, erheben wir diese Daten, damit wir Ihre Wünsche berücksichtigen können.
• Biometrische Informationen. Wenn Sie dazu Ihre Einwilligung gegeben haben, können wir Ihre biometrischen Daten zu Sicherheits- und Identifikationszwecken erfassen und verwenden.
• Stellenbewerbungen/Empfehlungen. Wir können Ihre personenbezogenen Daten (z. B. Informationen aus Ihrer Biografie, Ihren beruflichen Werdegang, Ihren Bildungsgang, Ihre Beschäftigungspräferenzen, Fähigkeiten und Fertigkeiten oder Ihre Aktivität und Interaktionen bei der Stellensuche, zusätzlich zu den Informationen, die wir bereits gemäß dem Abschnitt „Daten, die wir erheben, wenn Sie X nutzen“ unserer Datenschutzerklärung weiter unten erfassen) dafür erfassen und heranziehen, Ihnen potenzielle Jobs zu empfehlen, sie an potenzielle Arbeitgeber weiterzuleiten, wenn Sie sich auf eine Stelle bewerben, sodass Arbeitgeber potenzielle Kandidat*innen finden können, und Ihnen relevantere Werbung zu zeigen.
1.2 Daten, die wir erheben, wenn Sie X nutzen.
Wenn Sie unsere Dienste nutzen, erheben wir Daten darüber, wie Sie unsere Produkte und Dienste nutzen. Mithilfe dieser Daten stellen wir Ihnen Produkte und Dienste zur Verfügung und tragen dazu bei, dass X sicherer und respektvoller für alle und relevanter für Sie ist.
Nutzungsinformationen. Wir erfassen Informationen über Ihre Aktivitäten auf X, darunter:
• Von Ihnen gepostete Beiträge und andere Inhalte (einschließlich Datum, Anwendung und Version von X) sowie Informationen zu Ihrer Broadcast-Aktivität (z. B. Spaces), einschließlich von Ihnen erstellter Broadcasts und deren Erstellungszeitpunkt, Ihrer Listen, Lesezeichen und Communities, denen Sie angehören.
• Ihre Interaktionen mit den Inhalten anderer Nutzer*innen, wie z. B. Reposts, „Gefällt mir“-Angaben, Lesezeichen, geteilten Inhalten, Downloads, Antworten, wenn andere Nutzer*innen Sie in Inhalten erwähnen oder markieren oder wenn Sie sie erwähnen oder markieren, und Broadcasts, an denen Sie teilgenommen haben (einschließlich Ihres Verlaufs in Bezug auf angesehene/angehörte Inhalte, Kommentare, Sprechbeiträge und Reaktionen).
• Wie Sie mit anderen auf der Plattform interagieren, beispielsweise mit Personen, denen Sie folgen, und Personen, die Ihnen folgen, Metadaten in Bezug auf verschlüsselte Nachrichten und, wenn Sie Direktnachrichten verwenden, auch den Inhalt der Nachrichten, die Empfänger*innen sowie Datum und Uhrzeit der Nachrichten.
• Wenn Sie mit uns kommunizieren, beispielsweise per E-Mail, erheben wir Daten über die Kommunikation und deren Inhalt.
• Wir erheben Daten über Links, mit denen Sie in unseren Diensten interagieren (auch in den E-Mails, die wir Ihnen schicken).
Käufe und Zahlungen. Damit Sie unter Verwendung von X-Funktionen oder -Diensten eine Zahlung tätigen oder Geld senden können, auch über einen Vermittler, erhalten wir möglicherweise Informationen zu Ihrer Transaktion, etwa wann sie getätigt wurde, wann ein Abonnement abläuft oder automatisch verlängert wird und welche Beträge gezahlt oder erhalten wurden.
Gerätedaten. Wir erfassen Informationen von und über die Geräte, die Sie für den Zugriff auf X verwenden, darunter:
• Daten über Ihre Verbindung, wie beispielsweise Ihre IP-Adresse, den Browsertyp und verwandte Informationen.
• Daten über Ihr Gerät und seine Einstellungen, wie beispielsweise Geräte- und Werbe-ID, Betriebssystem, Anbieter, Sprache, Speicher, installierte Apps und Akkustand.
• Das Adressbuch Ihres Geräts, wenn Sie sich dazu entschieden haben, es mit uns zu teilen.
Standortinformationen. Wenn Sie X verwenden, erfassen wir einige Informationen zu Ihrem ungefähren Standort, um Ihnen den erwarteten Dienst bereitzustellen, einschließlich der Anzeige relevanter Werbung. Sie können auch wählen, ob Sie Ihren aktuellen genauen Standort oder Orte, an denen Sie X zuvor genutzt haben, teilen möchten, indem Sie diese Einstellungen in Ihrem Account aktivieren.
Abgeleitete Identität. Wir können Informationen sammeln oder erhalten, die wir verwenden, um auf Ihre Identität zu schließen, wie unten beschrieben:
• Wenn Sie sich mit einem Browser oder Gerät bei X anmelden, verknüpfen wir diesen Browser oder dieses Gerät mit Ihrem Account. Vorbehaltlich Ihrer Einstellungen können wir Ihren Account auch mit anderen Browsern oder Geräten verknüpfen als mit denen, die Sie für die Anmeldung bei X nutzen (oder Ihr abgemeldetes Gerät oder Ihren Browser mit anderen Browsern oder Geräten oder von X generierten Identifikatoren verknüpfen).
• Wenn Sie X andere Daten zur Verfügung stellen, einschließlich einer E-Mail-Adresse oder Telefonnummer, verknüpfen wir diese Daten mit Ihrem X Account. Vorbehaltlich Ihrer Einstellungen können wir anhand dieser Daten auch andere Daten über Ihre Identität ableiten, zum Beispiel indem wir Ihren Account mit Hashes von E-Mail-Adressen verknüpfen, die gemeinsame Komponenten mit der E-Mail-Adresse haben, die Sie X zur Verfügung gestellt haben.
• Wenn Sie auf X zugreifen und nicht angemeldet sind, können wir anhand der von uns erhobenen Daten Rückschlüsse auf Ihre Identität ziehen.
Protokollinformationen. Wenn Sie Inhalte auf unseren Produkten und Diensten ansehen oder auf andere Weise mit ihnen interagieren, erhalten wir möglicherweise Informationen, auch wenn Sie keinen Account erstellt haben oder abgemeldet sind, beispielsweise:
• IP-Adresse und zugehörige Informationen; Browsertyp und -sprache; Betriebssystem; die verweisende Webseite; Zugriffszeiten; besuchte Seiten; Standort; Ihr Mobilfunkanbieter; Geräteinformationen (einschließlich Geräte- und Anwendungs-IDs); Suchbegriffe und IDs (einschließlich derjenigen, die nicht als Abfragen übermittelt wurden); Ihnen auf X angezeigte Anzeigen; von X generierte Kennungen; und mit Cookies verknüpfte Kennungen. Wir erhalten Protokolldaten auch, wenn Sie auf Links in unseren Diensten klicken, sich diese ansehen oder mit ihnen interagieren, u. a. wenn Sie eine andere Applikation über X installieren.
Werbung. Wenn Sie Werbung ansehen oder mit ihr interagieren, die wir auf oder außerhalb von X bereitstellen, erfassen wir möglicherweise Informationen zu diesen Ansichten oder Interaktionen (z. B. Ansehen einer Videoanzeige oder eines Prerolls, Anklicken einer Anzeige, Interagieren mit Reposts oder Antworten auf eine Anzeige).
Cookies und ähnliche Technologien. Wie viele Websites verwenden wir Cookies und ähnliche Technologien, um zusätzliche Daten zur Website-Nutzung zu sammeln und unsere Dienste zu betreiben. Für viele Teile unserer Produkte und Dienste, wie etwa die Suche und Anzeige öffentlicher Profile, sind Cookies nicht erforderlich. Weitere Informationen zur Verwendung von Cookies und ähnlichen Technologien finden Sie hier.
Interaktionen mit unseren Inhalten auf Websites Dritter. Wenn Sie sich unsere Inhalte auf Websites von Dritten ansehen, die X Inhalte wie eingebettete Timelines oder Buttons zum Posten integrieren, können wir Protokolldaten erhalten, einschließlich der von Ihnen besuchten Webseite.
1.3 Daten, die wir von Dritten erhalten.
Wenn Sie andere Online-Produkte und -Dienste nutzen, können sie Daten über diese Nutzung an uns weitergeben.
Werbepartner, Entwickler, Verleger. Unsere Werbe- und Geschäftspartner geben Daten wie Browser-Cookie-IDs, von X generierte Identifikatoren, IDs von Mobilgeräten, gehashte Nutzerdaten wie E-Mail-Adressen, demografische Daten oder Interessensdaten sowie auf einer Website oder App angesehene Inhalte oder durchgeführte Aktionen an uns weiter. Einige unserer Werbepartner, insbesondere unsere Werbekunden, ermöglichen es uns auch, ähnliche Daten direkt von ihrer Website oder App zu erheben, indem sie unsere Werbetechnologie integrieren. Daten, die von Werbepartnern und verbundenen Unternehmen weitergegeben oder von X von den Websites und Apps der Werbepartner und verbundenen Unternehmen erhoben werden, können mit den anderen Daten kombiniert werden, die Sie mit X teilen und die X erhält, generiert oder über Sie ableitet, wie an anderer Stelle in diesen Datenschutzrichtlinien beschrieben.
Andere Dritte, Account-Verbindungen und Integrationen. Wir können Daten über Sie von Dritten erhalten, die nicht unsere Werbepartner sind, wie beispielsweise von anderen X Nutzer*innen, Entwickler*innen und Partner*innen, die uns helfen, die Sicherheit und Qualität von Inhalten auf unserer Plattform zu bewerten, von unseren verbundenen Unternehmen und von anderen Diensten, die Sie mit Ihrem X Account verknüpfen. Sie können sich entscheiden, Ihren X Account mit Ihrem Account bei einem anderen Dienst zu verbinden und dieser andere Dienst kann uns Daten über Ihren Account bei diesem Dienst senden.
2. Wie wir Daten verwenden
…
2.1 Betreiben, Verbessern und Personalisieren unserer Dienste.
Die von uns erhobenen Daten nutzen wir zur Bereitstellung und zum Betrieb der X Produkte und Dienste. Außerdem verbessern und personalisieren wir mit den erhobenen Daten unsere Produkte und Dienste, damit Sie ein besseres Erlebnis auf X haben, u. a. indem wir Ihnen relevantere Inhalte und Werbung zeigen, Ihnen Personen und Themen vorschlagen, denen Sie folgen können, und Ihnen helfen, verbundene Unternehmen, Apps von Dritten und Dienste zu entdecken. Wir können die Daten, die wir erheben, und öffentlich verfügbare Daten zum Training unserer Modelle für Maschinenlernen oder künstliche Intelligenz für die in dieser Richtlinie dargelegten Zwecke heranziehen.
Wir können die Daten, die wir von Accounts anderer Dienste erheben, bei denen Sie sich zur Verknüpfung mit Ihrem X Accounts entschieden haben, heranziehen, damit wir Ihnen Funktionen wie dienstübergreifendes Posting oder dienstübergreifende Authentifizierung bieten und unsere Dienste betreiben können.
Anhand Ihrer Kontaktdaten helfen wir anderen, Ihren Account zu finden, wenn Ihre Einstellungen dies zulassen, u. a. über Dienste von Dritten und Client-Applikationen.
Vorbehaltlich Ihrer Einstellungen stellen wir mithilfe Ihrer Daten unsere Dienste für Werbung und gesponserte Inhalte bereit, was dabei hilft, die Werbeanzeigen auf X für Sie relevanter zu gestalten. Anhand dieser Daten messen wir auch die Effektivität von Werbeanzeigen und helfen, Ihre Geräte zu erkennen, damit wir Werbeanzeigen auf und außerhalb von X für Sie schalten können. Einige unserer Werbepartner ermöglichen es uns auch, ähnliche Daten direkt von ihrer Website oder App zu erheben, indem sie unsere Werbetechnologie integrieren. Daten, die von Werbepartnern und verbundenen Unternehmen weitergegeben oder von X von den Websites und Apps der Werbepartner und verbundenen Unternehmen erhoben werden, können mit den anderen Daten kombiniert werden, die Sie mit X teilen und die X erhält, generiert oder über Sie ableitet, wie an anderer Stelle in unseren Datenschutzrichtlinien beschrieben.
2.2 …
3. Weitergabe von Daten
Sie sollten wissen, auf welche Weise wir Ihre Daten weitergeben, warum wir sie weitergeben und wie Sie dies beeinflussen können. Es gibt fünf grundsätzliche Möglichkeiten, wie wir Ihre Daten weitergeben.
3.1 Wenn Sie posten und teilen.
An die breite Öffentlichkeit. Sie weisen uns an, diese Daten so weit wie möglich offenzulegen. Die Inhalte von X, einschließlich Ihrer Profildaten (z. B. Name/Pseudonym, Nutzername, Profilbilder), sind für die breite Öffentlichkeit zur Ansicht zugänglich. Die Öffentlichkeit muss sich nicht anmelden, um einen Teil der Inhalte auf X zu sehen. X Inhalte sind auch außerhalb von X auffindbar, zum Beispiel über die Ergebnisse von Suchanfragen in Internet-Suchmaschinen oder in Videos, die heruntergeladen und anderswo geteilt wurden (abhängig von Ihren Einstellungen).
An andere X Nutzer*innen. Abhängig von Ihren Einstellungen und basierend auf den X Produkten und Diensten, die Sie nutzen, geben wir Folgendes weiter:
• Ihre Interaktionen mit X-Inhalten anderer Benutzer, z. B. Antworten und Personen, denen Sie folgen.
• Inhalte, die Sie an bestimmte X Nutzer*innen senden, wie beispielsweise über Direktnachrichten. Zur Beachtung: Wenn Sie Daten wie Direktnachrichten oder geschützte Posts mit einer Person geteilt haben, die über einen Dienst eines Dritten auf X zugreift, können die Daten an den Dienst des Dritten weitergegeben werden.
An Partner. Abhängig von Ihren Einstellungen stellen wir auch bestimmten Dritten Daten zur Verfügung, damit sie uns beim Angebot oder Betrieb unserer Produkte und Dienste unterstützen. In unserem Hilfe-Center erfahren Sie mehr über diese Partnerschaften. Ob X Ihre personenbezogenen Daten an diese Partner weitergibt, steuern Sie über die Option „Datenaustausch mit Geschäftspartnern“ in Ihren Einstellungen für Datenschutz und Sicherheit. (Diese Einstellung steuert nicht die Weitergabe, die an anderer Stelle in diesen Datenschutzrichtlinien beschrieben wird, wie beispielsweise wenn wir Daten mit unseren Dienstleistern oder durch andere als die in diesem Hilfe-Center-Artikel beschriebenen Partnerschaften teilen.)
3.2 Mit Drittanbietern und Drittanbieterintegrationen.
An Dienstleister. Wir können Ihre Daten an unsere Dienstleister weitergeben, die in unserem Auftrag Funktionen und Dienste erbringen, u.a. Zahlungsdienstleister, die Zahlungen ermöglichen; Servicepartner, die unsere verschiedenen Blogs und Wikis hosten; Servicepartner, die uns helfen, die Nutzung unserer Dienste zu verstehen, Anbieter von Bewerberverfolgungssystemen, die Bewerber- und Stellendaten an mögliche Arbeitgeber versenden und von ihnen enthalten, und solche, die Betrugserkennungsdienste anbieten.
An Werbekunden. Werbeeinnahmen ermöglichen es uns, unsere Produkte und Dienste zur Verfügung zu stellen. Werbekunden können Daten aus Ihrer Interaktion mit ihren Werbeanzeigen auf oder außerhalb von X erhalten. Wenn Sie beispielsweise in unseren Diensten auf einen externen Link oder eine Werbeanzeige klicken, kann der Werbekunde oder der Betreiber der Website herausfinden, dass Sie von X gekommen sind, zusammen mit anderen Daten, die mit der Werbeanzeige, auf die Sie geklickt haben, verknüpft sind, wie beispielsweise Merkmale der Zielgruppe, die damit erreicht werden sollte, und andere von X generierte Identifikatoren für diese Werbeanzeige. Sie können auch andere personenbezogene Daten von Ihnen erheben, wie beispielsweise Cookie-Identifikatoren oder Ihre IP-Adresse.
Inhalte und Integrationen von Dritten. Wir geben Ihre Daten mit Ihrer Einwilligung oder auf Ihre Anweisung hin weiter oder legen diese offen, beispielsweise wenn Sie einen Web-Client oder eine Applikation eines Dritten autorisieren, auf Ihren Account zuzugreifen, oder uns anweisen, Ihr Feedback an ein Unternehmen weiterzugeben. Gleichfalls arbeiten wir zur Verbesserung Ihrer Nutzung mit Dritten zusammen, damit ihre Videoinhalte auf X angezeigt oder Inhalte plattformübergreifend geteilt werden können. Wenn Sie sich Inhalte unserer Videopartner oder plattformübergreifenden Partner ansehen oder anderweitig mit diesen interagieren, können diese Ihre personenbezogenen Daten erhalten und verarbeiten, wie in ihren Datenschutzerklärungen beschrieben. Für Videoinhalte können Sie Ihre Autoplay-Einstellungen anpassen, wenn Sie möchten, dass die Inhalte nicht automatisch abgespielt werden.
Kooperation mit Dritten. Wenn Sie die entsprechenden Einstellungen vorgenommen haben oder sich dazu entschließen, Ihre Daten weiterzugeben, können wir Ihre Informationen an Dritte weitergeben oder offenlegen. Wenn Sie sich nicht abmelden, können die Empfänger der Informationen diese in einigen Fällen zusätzlich zu den in der Datenschutzrichtlinie von X genannten Zwecken auch für ihre eigenen unabhängigen Zwecke verwenden, darunter beispielsweise zum Trainieren ihrer Modelle künstlicher Intelligenz, ob generativ oder anderweitig.
Durch unsere APIs. Wir verwenden Technologien wie APIs und Einbettungen zur Bereitstellung öffentlicher X Daten für Websites, Apps und andere zu ihrer Nutzung, zum Beispiel damit Posts auf einer Nachrichten-Website angezeigt werden können oder damit analysiert werden kann, was Personen auf X äußern. Wir stellen diese Inhalte in der Regel in begrenztem Umfang kostenlos zur Verfügung und erheben Lizenzgebühren für den Zugriff in großem Umfang. Wir haben Standard-Geschäftsbedingungen, die regeln, wie diese Daten verwendet werden können, und ein Compliance-Programm zur Durchsetzung dieser Bedingungen. Diese Personen und Unternehmen sind jedoch nicht mit X verbunden und ihre Angebote spiegeln möglicherweise nicht die Aktualisierungen wider, die Sie auf X vornehmen. Weitere Informationen darüber, wie wir der Welt öffentliche Daten auf X zur Verfügung stellen, finden Sie unter https://developer.x.com.
3.3 In Fällen, in denen es gesetzlich vorgeschrieben ist, zur Verhinderung von Schaden oder im öffentlichen Interesse.
Wir können Ihre Daten aufbewahren, verwenden, weitergeben oder offenlegen, wenn wir glauben, dass es für einen der folgenden Zwecke vernünftigerweise notwendig ist:
• zur Einhaltung eines Gesetzes, einer Verordnung oder zur Erfüllung eines rechtsgültigen Verfahrens oder einer behördlichen Anfrage
• zum Schutz der Sicherheit einer Person, zum Schutz der Sicherheit oder Integrität unserer Plattform, u. a. zur Verhinderung von Spam, Missbrauch oder böswilligen Akteuren auf unseren Diensten
• Erklären, warum wir Inhalte oder Konten aus unseren Diensten entfernt haben (z. B. wegen eines Verstoßes gegen unsere Regeln)
• zur Lösung von Problemen mit Betrug und Sicherheit oder technischen Problemen
• zum Schutz unserer Rechte oder unseres Eigentums oder der Rechte oder des Eigentums der Personen, die unsere Dienste nutzen
Wir können außerdem verschiedene Signale und Ihre Daten zur Ableitung, Aufbewahrung, Nutzung, Weiterleitung oder Offenlegung Ihres Alters und Ihrer Identitätsinformationen heranziehen, damit wir gesetzliche Vorschriften einhalten können sowie je nach Sachlage im Interesse von Sicherheit, Schutz, Betrugsbekämpfung, Sorgfaltspflichten in Bezug auf Kund*innen und Unternehmen sowie zur Identitätsprüfung. Zu diesen Zwecken können wir Ihre Alters- und Identitätsinformationen auch an unsere Partner, Dienstanbieter und andere weitergeben oder offenlegen.
3.4 An unsere verbundenen Unternehmen.
Wir können Daten an unsere verbundenen Unternehmen weitergeben, damit unsere Produkte und Dienste zur Verfügung gestellt werden können. …
7. Die Zielgruppe von X
Unsere Dienste richten sich nicht an Kinder und Sie dürfen unsere Dienste nicht nutzen, wenn Sie unter 13 Jahre alt sind. Sie müssen außerdem alt genug sein, um der Verarbeitung Ihrer personenbezogenen Daten in Ihrem Land zuzustimmen (in manchen Ländern gestatten wir möglicherweise Ihren Eltern oder Erziehungsberechtigten, dies in Ihrem Namen zu tun). Wir erfassen wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren. Wenn Sie feststellen, dass Ihr Kind uns ohne Ihr Einverständnis personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte hier. Wenn wir feststellen, dass ein Kind unter 13 Jahren uns personenbezogene Daten übermittelt hat, ergreifen wir Maßnahmen, um diese Daten zu entfernen und das Konto des Kindes zu kündigen. Weitere Ressourcen für Eltern und Jugendliche finden Sie hier.
8. …
Gültig ab 15. November 2024″
In den Allgemeinen Geschäftsbedingungen der Beklagten (Anlage B58 zur Klageerwiderung) heißt es vorab unter anderem als Zusammenfassung:
„Sie sehen Werbung auf der Plattform: Als Gegenleistung für den Zugriff auf die Dienste können X und unsere Drittanbieter und Partner Ihnen Werbung anzeigen.“
Die Allgemeinen Geschäftsbedingungen für in der Europäischen Union wohnende Nutzer enthalten unter anderem die folgenden Regelungen:
„1. Wer die Dienste nutzen kann
Sie dürfen die Dienste nur dann nutzen, wenn Sie zustimmen, einen verbindlichen Vertrag mit uns abzuschließen, und Sie nicht eine Person sind, die vom Erhalt der Dienste gemäß den Gesetzen der zuständigen Gerichtsbarkeit ausgeschlossen ist. In jedem Fall müssen Sie mindestens 13 Jahre alt sein, um die Dienste nutzen zu dürfen. …
3. Im Rahmen der Dienste bereitgestellte Inhalte
Sie sind für Ihre Nutzung der Dienste und für Inhalte, die Sie bereitstellen, verantwortlich, u. a. für die Einhaltung der geltenden Gesetze, Regelungen und Verordnungen. Sie sollten ausschließlich Inhalte einstellen, die Sie tatsächlich auch mit anderen teilen möchten.
Die Nutzung und das Vertrauen in Inhalte oder Materialien, die über die Dienste veröffentlicht werden oder die Sie über die Dienste erhalten, erfolgt auf eigene Gefahr. Wir billigen, unterstützen, vertreten oder garantieren nicht die Vollständigkeit, Wahrhaftigkeit, Genauigkeit oder Zuverlässigkeit von Inhalten oder Mitteilungen, die über die Dienste gepostet werden, und befürworten auch keine angeblichen Tatsachen oder Meinungen, die über die Dienste zum Ausdruck gebracht werden. Sie sind sich bewusst, dass Sie durch die Nutzung der Dienste gegebenenfalls anstößigen, schädlichen, falschen oder anderweitig unangebrachten Inhalten ausgesetzt sein können und in einigen Fällen Beiträge falsch bezeichnet oder anderweitig irreführend sein können. Inhaltsempfehlungen basieren auf einer Kombination von Faktoren: wie Sie mit den Diensten interagieren, für welche Themen Sie Interesse bekundet haben und was anderen Nutzer*innen mit ähnlichen Interessen gefällt. Anpassungen können in Ihren Einstellungen vorgenommen werden und weitere Informationen finden Sie in unserem Hilfe-Center (https://help.x.com/resources/recommender-systems). Sämtliche Inhalte hat einzig und allein die Person zu verantworten, von der diese Inhalte stammen. Wir können die über die Dienste veröffentlichten Inhalte nicht überwachen oder kontrollieren und wir können die Verantwortung für diese Inhalte nicht übernehmen. …
Ihr Account
Zur Nutzung der Dienste müssen Sie gegebenenfalls einen Account einrichten. Sie sind für den Schutz Ihres Kontos verantwortlich. Verwenden Sie daher ein sicheres Kennwort, beschränken Sie dessen Verwendung auf dieses Konto und nutzen Sie die Zwei-Faktor-Authentifizierung über eine Authentifizierungs-App oder einen Sicherheitsschlüssel. Wir können und werden nicht für jegliche Verluste oder Schäden haften, die aus der Nichteinhaltung des Vorgenannten entstehen.
Sie können die meisten Mitteilungen von den Diensten aus kontrollieren. Wir müssen Ihnen gegebenenfalls bestimmte Mitteilungen wie Service-Ankündigungen und administrative Meldungen zukommen lassen. Diese Mitteilungen sind Bestandteil der Dienste und Ihres Accounts und Sie können den Erhalt dieser Mitteilungen möglicherweise nicht abbestellen.
…
Gültig ab 15. November 2024″
Bevor ein in Deutschland lebender Nutzer die Plattform vollumfänglich nutzen kann, muss dieser den Registrierungsvorgang erfolgreich durchlaufen. Die Registrierung eines X-Accounts erfolgt hierbei in mehreren Schritten. Ein Nutzer kann sich mittels einer E-Mail-Adresse oder einer Telefonnummer für einen Account registrieren. Eine E-Mail-Adresse, die für die Registrierung verwendet wird, kann jeweils nur mit einem einzigen Account auf der Plattform verknüpft werden. In den einzelnen Registrierungsschritten hat der Nutzer unter anderem seine E-Mail-Adresse bzw. Telefonnummer anzugeben. Innerhalb des Registrierungsvorgangs muss der Nutzer außerdem den geltenden Allgemeinen Geschäftsbedingungen zustimmen und bestätigen, dass er die Datenschutzrichtlinien und die Richtlinien für die Nutzung von Cookies, die „Cookies-Richtlinien“, zur Kenntnis genommen hat. Der Nutzer legt innerhalb des Registrierungsvorgangs für seinen Account einen Nutzernamen und einen Anzeigenamen fest. Der Nutzername (auch „Handle“ genannt) beginnt mit dem Symbol „@“. Anhand dieses Nutzernamens können andere Nutzer nach dem Account suchen. Der Anzeigename (auch bezeichnet als „Name“) ist dagegen eine persönliche Kennung auf der Plattform und etwas anderes als der Nutzername. Es kann sich bei dem Anzeigenamen um einen Firmennamen oder einen echten Namen handeln, aber auch zum Beispiel um ein Wortspiel. Er wird neben dem Nutzernamen angezeigt. Nutzer- und Anzeigename können jederzeit geändert werden. Ein Nutzername muss – anders als der Anzeigename – jeweils individuell sein und kann nur einmal auf dem gesamten X-Dienst in Gebrauch sein.
Nutzer können auf der Plattform Einstellungen vornehmen. Sie können beispielsweise festlegen, wer ihnen Direktnachrichten senden, wer ihre Posts und Interaktionen sehen und wer ihnen folgen kann. Insbesondere können Nutzer über den Reiter „Zielgruppe, Medien und Marketing“ die Einstellung „Deine Posts schützen“ wählen. Wird diese Einstellung von einem Nutzer angeklickt, hat dies zur Folge, dass die Posts, aber auch Antworten auf Posts und „Reposts“ dieses Nutzers nur noch für die Nutzer sichtbar sind, die diesem Nutzer folgen. Die Nutzer können zudem verschiedene Anpassungen hinsichtlich ihrer Auffindbarkeit für andere Nutzer vornehmen. Sofern ein Nutzer eingeloggt ist, findet er unter den „Einstellungen für Datenschutz und Sicherheit“ im Abschnitt „Auffindbarkeit und Kontakte“ die Auswahlmöglichkeit „Personen, die deine E-Mail-Adresse haben, erlauben, dich auf X zu finden“. Die Auffindbarkeit über E-Mail-Adresse bzw. Telefonnummer ist für in Deutschland lebende Nutzer grundsätzlich standardmäßig deaktiviert und muss durch den entsprechenden Nutzer selbst in den Einstellungen aktiviert werden.
Die Kontoeinstellungen enthalten weiterhin verschiedene Einstellungsmöglichkeiten, durch die Nutzer festlegen können, in welchem Umfang personenbezogene Daten für den Zweck der Personalisierung von Werbung und Inhalten verarbeitet werden. Im Menü von X können Nutzer unter der Rubrik „Einstellungen und Datenschutz“, Unterrubrik „Datenschutz und Sicherheit“, auswählen, wie Werbeanzeigen anhand ihrer Nutzungsaktivität personalisiert werden. Nutzer können dabei wählen, ob die Anzeigen, die sie sehen, basierend auf ihrer X-Nutzung personalisiert werden oder ob die Anzeigen, die sie innerhalb und außerhalb von X sehen, durch Kombination der Daten über die Nutzung von X mit „weiteren Online-Aktivitäten“ „noch stärker“ personalisiert werden. So können die Anzeigen von X-Werbekunden innerhalb und außerhalb von X durch Kombination der X-Aktivität des Nutzers mit weiteren Online-Aktivitäten und den Informationen der Partner der Beklagten noch stärker als ohne die Option personalisiert werden, falls die Option „Werbeeinstellungen“ aktiviert wird. Eine Option, bei der Anzeigen nicht personalisiert werden, steht nicht zur Verfügung. Es erfolgt immer eine Personalisierung anhand von Informationen, die der Nutzer selbst zur Verfügung gestellt hat, und anhand der Geräte, auf denen er sich angemeldet hat, es sei denn, er stimmt einer Heranziehung anderer Quellen zu.
Beim erstmaligen Aufruf der Plattform durch einen Nutzer wird diesem ein Cookie-Banner angezeigt, welcher über die Cookies und die Auswahlmöglichkeiten der Nutzer der Plattform informiert. Zur Auswahl stehen die Möglichkeiten, „Alle Cookies akzeptieren“ oder „Unwesentliche Cookies ablehnen“. Klickt der Nutzer aktiv die Option „Alle Cookies akzeptieren“ an, werden Cookies genutzt, um dem Nutzer interessenbasierte Werbung und Kommunikation anzuzeigen. Ist diese Einstellung nicht aktiviert, werden ebenfalls Cookies eingesetzt, aber im reduzierten Umfang. Zur Erläuterung, was die im Rahmen der Bereitstellung der Plattform verwendeten Cookies eigentlich sind und welche Funktion sie erfüllen und wie sie eingesetzt werden, führen die Cookies-Richtlinien (Anlage K15 zur Klageschrift) aus:
„Cookies sind kleine Dateien, die auf deinem Computer abgelegt werden, während du im Internet surfst oder eine Web-fähige App nutzt. Wir verwenden Cookies, damit wir unsere Dienste betreiben können, damit wir herausfinden können, wie Menschen unsere Dienste nutzen, damit wir verstehen können, wie sie besser funktionieren, und vieles mehr. Weitere Beispiele für die Verwendung von Cookies findest du weiter oben. …
Wo verwendet X diese Technologien?
Wir nutzen diese Technologien (zusammen mit Dritten) in unseren Websites auf X Diensten, wozu unsere Websites, Applikationen und Dienste zählen, sowie in anderen Websites, Applikationen und Diensten, in denen X Dienste integriert sind, einschließlich Drittanbieterprodukten mit unserer Werbetechnologie. Darunter fallen die Websites unserer Werbepartner und Websites mit unseren eingebetteten Inhalten, wie Timelines. Auch Drittanbieter verwenden möglicherweise diese Technologien, z. B. dann, wenn du auf Links von X Diensten klickst, dir Drittanbieter-Inhalte innerhalb X Diensten ansiehst oder damit interagierst, oder Drittanbieter-Websites besuchst, die unsere Werbetechnologie enthalten.“
Zum API-Bug:
Im Juni 2021 führte ein Update des Anmelde-Flows („Login-Flows“) der Beklagten zu einer unbeabsichtigten Funktionalität (sogenannter API-Bug), von welcher die Beklagte im Januar 2022 erfuhr. Die Beklagte informierte am 08.01.2022 die zuständige Datenschutzbehörde, die I D P C, über den API-Bug. Im Juli 2022 erschienen im Zusammenhang mit dem API-Bug Berichte über den angeblichen Versuch einer Person, einen Datensatz mit Informationen zu cirka 5,4 Millionen Nutzerkonten der Beklagten („5,4 M-Datensatz“) zu verkaufen. Die Beklagte untersuchte diese Meldungen und stellte fest, dass der 5,4 M-Datensatz wahrscheinlich auf einen Missbrauch des API-Bugs zurückzuführen sei. Auch insoweit wurde die Datenschutzbehörde informiert. Die Beklagte äußerte sich am 05.08.2022 in einem Blogbeitrag (Anlage K24 zur Klageschrift) auszugsweise wie folgt:
„Wir möchten dich über eine Schwachstelle informieren, durch die Folgendes möglich war: Anhand einer Telefonnummer oder E-Mail-Adresse konnte im Rahmen des Anmeldevorganges herausgefunden werden, ob diese Angaben mit einem vorhandenen T Account verbunden waren, und wenn ja, mit welchem. …
Das ist passiert
Im Januar 2022 wurde über unser Bug-Bounty-Programm eine Schwachstelle in den Systemen von T gemeldet. … Dieser Bug entstand nach einem Update unserer Codes im Juni 2021. Als wir davon erfuhren, untersuchten wir die Angelegenheit umgehend und behoben das Problem. Zu diesem Zeitpunkt gab es keine Hinweise darauf, dass diese Schwachstelle ausgenutzt worden war.
Im Juli 2022 gab es eine Pressemeldung, dass möglicherweise jemand davon Gebrauch gemacht hatte und die so zusammengetragenen Informationen zum Verkauf anbot. Nachdem wir eine Stichprobe der zum Verkauf angebotenen Daten geprüft hatten, konnten wir bestätigen, dass eine böswillig handelnde Person das Problem ausgenutzt hatte, bevor es behoben wurde.
Wir werden die Account-Inhaber*innen, bei denen wir bestätigen können, dass sie betroffen sind, umgehend benachrichtigen. Wir veröffentlichen dieses Update, da wir nicht bei allen möglicherweise betroffenen Accounts bestätigen können, ob sie tatsächlich betroffen waren oder nicht. Ganz besonders im Blick haben wir dabei Menschen, die Accounts unter Pseudonymen nutzen und Zielscheibe von staatlichen oder böswilligen Akteur*innen werden können.
So kannst du deinen Account schützen
Wir sind uns bewusst, welche Risiken mit einem solchen Vorfall für dich verbunden sind, wenn du einen T Account unter einem Pseudonym nutzt, und wir bedauern zutiefst, dass es dazu gekommen ist. Damit du deine Identität weiter so gut wie möglich schützen kannst, empfehlen wir dir, keine öffentlich bekannte Telefonnummer oder E-Mail-Adresse mit deinem T Account zu verknüpfen.
Zwar wurden keine Passwörter kompromittiert, doch wir möchten allen Nutzer*innen von T empfehlen, mithilfe von Authentifizierungs-Apps oder Hardware-Sicherheitsschlüsseln die Zwei-Faktor-Authentifizierung einzurichten und ihre Accounts so vor unbefugtem Zugriff zu schützen. Wenn du dir Sorgen bezüglich der Sicherheit deines Accounts machst oder Fragen dazu hast, wie wir deine personenbezogenen Daten schützen, kannst du dich über dieses Formular an unseren Datenschutzbeauftragten wenden. …“
Zwischen dem 11. und 25.08.2022 richtete die Beklagte sich im Zusammenhang mit dem API-Bug an individuelle Nutzer gemäß der mit der Klageerwiderung eingereichten Anlage B78, wo die Beklagte das Folgende sinngemäß niederlegte:
Hallo, wir kontaktieren dich, weil dein T Konto von einer Sicherheitslücke betroffen war, die Anfang des Jahres auftrat. Damals wurden private Kontaktinformationen wie Telefonnummer oder E-Mail-Adresse verwendet, um deine T Konto-ID zu erfahren. Das bedeutet, dass dein Konto möglicherweise nicht mehr anonym ist, wenn du ein pseudonymes T Konto nutzt und anhand deiner Telefonnummer oder E-Mail-Adresse identifiziert werden kann. In deinem Fall wurde eine mit deinem Konto verknüpfte E-Mail-Adresse (alternativ: Telefonnummer oder aber, je nach Fall, beides) mit deinem T Konto in Verbindung gebracht. Wir haben den Vorfall gründlich untersucht, um herauszufinden, wie es dazu kam, und das Problem behoben. T ist dem Schutz der Privatsphäre seiner Nutzer verpflichtet und wird neue Informationen weiterhin prüfen, sobald wir sie erhalten. Wir sind uns der Risiken bewusst, die ein solcher Vorfall für ein pseudonymes T -Konto mit sich bringen kann, und bedauern dies zutiefst. Weitere Details zu diesem Vorfall findest du in unserem Blog. Um deine Identität so gut wie möglich zu schützen, empfehlen wir dir, keine öffentlich bekannte Telefonnummer oder E-Mail-Adresse zu deinem T -Konto hinzuzufügen. Für zusätzliche Sicherheit raten wir dir, deine E-Mail-Adresse zu ändern oder die Zwei-Faktor-Authentifizierung für dein Konto zu aktivieren, falls du es noch nicht getan hast. Wir werden dich weiterhin auf unserem Blog informieren, sobald weitere Informationen verfügbar sind. Vielen Dank, T
Neue Berichte über Datenlecks wurden Ende 2022 und Anfang 2023 öffentlich bekannt. Kriminelle Akteure behaupteten, unter Ausnutzung desselben API-Bugs zusätzliche Datensätze zusammengestellt zu haben, die angeblich Nutzerdaten von cirka 400 Millionen bzw. 200 Millionen Nutzern der Beklagten enthalten sollten.
Die Klägerin trägt zur Zulässigkeit der Klage wie folgt vor:
Sie sei eine gemeinnützige Stiftung nach niederländischem Recht. Sie verfolge ihre satzungsmäßigen Aufgaben, die Interessen natürlicher Personen, insbesondere von Verbrauchern einschließlich von Minderjährigen, bei der Nutzung von Online-Diensten wahrzunehmen und im Rahmen einer Art Prozessstandschaft durchzusetzen. Da den hiesigen Gerichten aus der europarechtlichen Verpflichtung zur gegenseitigen Anerkennung administrativer Entscheidungen auf Grundlage des gegenseitigen Vertrauens in die Rechtsstaatlichkeit der jeweiligen Mitgliedstaaten keine Überprüfungskompetenz hinsichtlich der Benennung einer Einrichtung für die Erhebung grenzüberschreitender Verbandsklagen durch einen anderen souveränen Mitgliedstaats verbleibe (Art. 4 Abs. 3 EUV), sei ihre Eintragung im Verzeichnis der Europäischen Kommission nach Art. 5 Abs.1 Satz 4 der Richtlinie (EU) 2020/1828 nicht zu überprüfen, sondern zu akzeptieren.
Von den hier eingeklagten Schadensersatzansprüchen würden weder sie (die Klägerin) noch irgendein Dritter einen Anteil erhalten. Erstrittene Entschädigungen würden ausschließlich an die Nutzer ausgekehrt nach Durchführung des Umsetzungsverfahrens.
Sie betreibe dieses Verfahren auch ohne Einwirkung von Dritten. Für das hiesige Verfahren heiße es ausdrücklich auf ihren Websites: „Welche Kosten entstehen durch die Teilnahme? Mit der Registrierung bei S müssen Sie 7,50 € Teilnahmekosten bezahlen. Über diesen Link können Sie sich auch direkt beim Bundesamt für Justiz kostenlos anmelden.“ Nur wenn die betroffenen Verbraucher das so wünschten, zahlten sie mithin eine Gebühr für die freiwillige Inanspruchnahme des von ihr angebotenen Anmelde-Services für das hiesige Verfahren beim Bundesamt der Justiz in Höhe von 7,50 €, ohne dass diese mit einer Entschädigungszahlung in einem Zusammenhang stehe. Soweit das Unternehmen R V ihr finanzielle Mittel zur Verfügung gestellt habe, sei dies in Gestalt einer Spende bzw. Schenkung auf der Grundlage einer Vereinbarung, nämlich der als Anlage K31 zur Replik vorgelegten Schenkungsvereinbarung vom 12.12.2022, ohne Gegenleistung geschehen mit dem Ziel, soziale Veränderungen herbeizuführen. In dieser Vereinbarung sei gleichzeitig geregelt worden, dass ihre gegenüber R V am 01.12.2022 bestehenden Verbindlichkeiten erlassen worden seien. Sie versuche, zusätzlich zu ihrem Eigenkapital benötigte Mittel für die Prozessführung über direkte Beteiligungen zu akquirieren, anstatt sich von Prozessfinanzierern abhängig zu machen. Vor diesem Hintergrund biete sie Genussscheine an. Dass es ihr ausschließlich darum gehe, die Interessen der betroffenen Verbraucher durchzusetzen und die rechtsverletzende Praxis der Beklagten abzustellen, belege der Umstand, dass sie parallel zu der Abhilfeklage gegen die Beklagte eine Unterlassungsklage nach dem UKlaG am erkennenden Gericht anhängig gemacht habe (Aktenzeichen 5 UKl 7/25).
Die geltend gemachten immateriellen Ansprüche seien gleichartig. In der Bundestagsdrucksache 20/7631 heiße es dazu auf Seite 109: „Einzelne Unterschiede zwischen den von einer Abhilfeklage betroffenen Ansprüchen sollen deren Durchsetzung in einem einheitlichen Verfahren nicht entgegenstehen, solange eine effektive Prozessführung gewahrt und die Bündelung daher prozessökonomisch sinnvoll bleibt. Die Formulierung „im Wesentlichen“ ist hinreichend offen, um zu im Einzelfall sachgerechten Ergebnissen zu gelangen.“ Entscheidend für die Feststellung der wesentlichen Gleichartigkeit der geltend gemachten Ansprüche im Sinne von § 15 Abs. 1 VDuG sei, dass über sie im Abhilfeverfahren abstrakt entschieden werden könne, sie im Abhilfegrundurteil tenoriert und im Umsetzungsverfahren anhand der vom Gericht festzulegenden Berechtigungsnachweise geprüft werden könnten. Der Gerichtshof Amsterdam habe als Berufungsgericht in einer vergleichbaren Fallkonstellation gegen den Betreiber von T mit Entscheidung vom 07.10.2025 (Anlage K36 zur Replik) das noch anderslautende Urteil des Bezirksgerichts aufgehoben und ausdrücklich festgestellt, dass immaterielle Schadensersatzansprüche nach Art. 82 DSGVO nicht etwa deshalb nicht gleichartig im Sinne des Art. 305a Abs. 1 BW, der inhaltlich § 15 Abs. 1 VDuG entspreche, wären, weil bei der Anspruchsprüfung unter Umständen auch subjektive Komponenten zu berücksichtigen seien, die zu unterschiedlichen Schadenshöhen führen könnten. Die hier geltend gemachten Ansprüche betreffend die Datenverarbeitung beruhten auf einem vergleichbaren Lebenssachverhalt, hinsichtlich derer im Wesentlichen die gleichen Tatsachen- und Rechtsfragen entscheidungserheblich seien. Von ihrem Antrag zu 1. lit. a) umfasst sei ein eindeutig abgrenzbarer Kreis an Anspruchsberechtigten, nämlich registrierte Nutzer der Plattform X der Beklagten. Sämtlichen der Beklagten vorzuwerfenden Rechtsverstößen liege die durchschnittliche Nutzung dieser Plattform zugrunde bzw. hänge untrennbar mit dieser durchschnittlichen Nutzung zusammen:
– Der rechtswidrigen Verarbeitung besonders sensibler Informationen der Nutzer, um Inhalte und Werbeanzeigen auf deren Grundlage zu personalisieren.
– Der rechtswidrigen extensiven Nachverfolgung der Nutzeraktivitäten zur Werbevermarktung innerhalb der X-App („In-App-Tracking“) und der Zusammenführung mit website- und plattformübergreifenden erhobenen Trackingdaten zu umfassenden Nutzerprofilen („Off-Site-Tracking“), um personalisierte Werbung zu schalten.
– Dem rechtswidrigen Entzug der Kontrolle darüber, inwiefern die Informationen über das Nutzungsverhalten verwendet würden, um Nutzer zu überwachen und/oder zu manipulieren, sowie über die Weitergabe dieser Daten an Dritte.
– Dem rechtswidrigen Entzug der Kontrolle darüber, wie die sensiblen Informationen – insbesondere politische Ansichten – der Nutzer von der Beklagten genutzt würden, um bestimmte politische Positionen zu begünstigen und um sie unbewusst zu beeinflussen.
Auch die geltend gemachten Ansprüche im Zusammenhang mit dem API-Bug seien gleichartig.
Die Klägerin behauptet und meint in der Sache zu der von ihr gerügten Datenverarbeitung:
Die Beklagte missbrauche besonders sensible Daten. Viele Beiträge sprächen beispielsweise Personen an, die von Gesundheitsproblemen betroffen seien oder die eine bestimmte sexuelle Orientierung hätten. Andere Beiträge richteten sich an Angehörige oder Interessierte von verschiedenen Religionen und sprächen diese emotional-spirituell an oder sie wendeten sich an Menschen mit bestimmten politischen Meinungen. Über den Einsatz von Cookies bediene sich die Beklagte verschiedener Technologien, um gerade auf diese Weise bewusst Informationen über Nutzer und ihre Endgeräte zu erlangen und zu verwenden. Beim Aufruf von Drittwebsites speichere die Beklagte ohne Einwilligung Cookies zu Zwecken der Personalisierung von Inhalten und zu Werbezwecken in dem Browser der Endeinrichtung ihrer Nutzer und rufe diese ab. Die Tracking-Tools der Beklagten ermöglichten eine nahezu lückenlose Überwachung des Internetverkehrs der Nutzer, indem sie das Verhalten der Besucher systematisch erfassten und an ihre externen Server übertrügen. Betroffen seien insbesondere zahlreiche reichweitenstarke Webseiten in Deutschland, wie etwa große Nachrichtenseiten (z.B. n—-.ch, s—-.de, b—-.de, f—-.net) und Seiten mit politischem und gewerkschaftlichem Bezug (z.B. a—–d—-.de, a—-h—–.de, s—–o—-.de, g—- -l—-berlin.de, w— -h—–n.de), ferner Seiten mit Finanzbezug (z.B. f—-.de, a—-24.de), Seiten, die medizinische Hilfe anböten (z.B. a—-m—–s—–.de, s—-h—-.de, b—-.de, p—-g—-carits-t—-.de), Dating- und Erotikseiten (z.B. li—-.de, l—-.de, s—-.de, e—–.de), aber auch Seiten mit Inhalten aus der innersten Intimsphäre (z.B. k—-.de, f—–.com, a—–.de). Die Dunkelziffer der betroffenen Apps und Webseiten sei hoch. Sie dürfe sich insoweit zulässigerweise auf Vermutungen stützen, wie erst unlängst das Oberlandesgericht München hinsichtlich der „M—- -Business-Tools“ festgestellt habe. Die Beklagte betreibe mit dem Einsatz ihrer Tracking-Technologien ohne Einwilligung, also heimlich, primär eine personalisierte Werbeplattform, was das Sammeln so vieler Nutzerinformationen wie irgend möglich erfordere und aus den Datenschutzrichtlinien der mit der Klageschrift eingereichten Anlage K3 hervorgehe.
Zusammenfassend verstoße die Beklagte gegen das Verbot der Verarbeitung besonderer Kategorien von Daten aus Art. 9 Abs.1 DSGVO, gegen das Verbot gemäß Art. 22 Abs.1 DSGVO, betroffene Personen einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung zu unterwerfen, die sie erheblich beeinträchtige, sowie gegen Art. 5 Abs. 1 a), Art. 6 Abs. 1 DSGVO bzw. § 25 TDDDG, indem die Beklagte personenbezogene Daten zu Werbezwecken ohne Rechtsgrundlage verarbeite.
Eine wirksame Einwilligung in die Verarbeitung von besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO habe die Beklagte zu keinem Zeitpunkt von ihren Nutzenden eingeholt. Soweit die Beklagte behaupte, die Personalisierung von Werbeanzeigen sei für die Durchführung des Nutzungsvertrags im Sinne von Art. 22 Abs. 2 a) DSGVO erforderlich, sei sie an die eindeutige Rechtsprechung des Europäischen Gerichtshofes zur Erforderlichkeit der Datenverarbeitung zur Vertragserfüllung im Rahmen von Art. 6 Abs. 1 Satz 1 b) DSGVO erinnert, die auf den Erforderlichkeitsbegriff des Art. 22 Abs. 2 a) DSGVO Anwendung finde. Der Europäische Gerichtshof habe betont, dass die Personalisierung von Inhalten keine für den Betrieb eines sozialen Netzwerks notwendige Voraussetzung sei. Auch in Bezug auf den dritten Verstoß liege keine Einwilligung vor. Gemäß Art. 6 Abs. 1 Satz 1 a) DSGVO, Art. 4 Nr. 11 DSGVO sowie Art. 7 Abs. 3 Satz 3 DSGVO sei eine Einwilligung nur wirksam, wenn sie informiert, freiwillig, für den bestimmten Fall und unmissverständlich erfolgt sei. Soweit die Beklagte von den Nutzern die Einwilligung erfrage, ob sie allen Cookies zustimmten, fehle es zum Beispiel an den erforderlichen Angaben, an wen konkret die Daten übermittelt werden sollen und zu welchem Zweck die Verarbeitung erfolge. Auch gebe es keine Möglichkeit, die Einwilligung zu widerrufen, wie es Art. 7 Abs. 3 Satz 2 DSGVO verlange.
Die Beklagte verstoße auch gegen den Grundsatz der Datenminimierung.
Folge dieser Verletzungshandlungen der Beklagten sei der zu entschädigende Verlust der Kontrolle über ihre Daten. Der Unionsgesetzgeber habe unter dem Begriff des Schadens den bloßen Verlust der Kontrolle über die eigenen Daten infolge eines Verstoßes gegen die DSGVO fassen wollen. Ein schadenersatzfähiger Kontrollverlust bestehe bereits in der reinen Unsicherheit über die Verarbeitung der personenbezogenen Daten. Für Nutzer sei weder nachvollziehbar noch kontrollierbar oder gar begrenzbar, auf welche Weise die Beklagte personenbezogene Daten, darunter besonders sensible Daten, verarbeite. Gleiches gelte für Drittunternehmen, an welche die Beklagte personenbezogene Daten der Verbraucher übermittele.
Durch die Verstöße der Beklagten gegen die DSGVO würden die betroffenen Verbraucher im Sinne von Durchschnittsbetroffenen obendrein massiv in Grundrechten, nicht nur dem Recht auf den Schutz ihrer personenbezogenen Daten aus Art. 8 GrCH und dem Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 GG, Art. 1 Abs. 1 GG, sondern auch dem Recht auf den Schutz der Privat- und Intimsphäre nach Art. 7 GrCH sowie dem Recht auf ihre geistige Unversehrtheit nach Art. 3 GrCH verletzt. Die der Beklagten zur Verfügung stehenden Daten, insbesondere zu Nutzerinteraktionen, ermöglichten ihr durch die von ihr vorgenommenen Ableitungen und die Kombination mit Geräte- und Standortdaten einen noch tieferen Einblick in die Privat- und Intimsphäre ihrer Nutzer, indem sie auf genaue Vorlieben, Interessen und andere Lebensumstände schließen könne. Den Verbrauchern sei die Kontrolle über ihr Privatleben und die Intimsphäre dadurch entzogen. Durch die Verletzung des Schutzes personenbezogener Daten seien die Nutzer der Beklagten auch massiv in ihrem Recht auf freie Meinungsbildung aus Art. 11 Abs. 1 Satz 2 GrCH beeinträchtigt. Auch die Informationsfreiheit sei beeinträchtigt. Das renommierte Wissenschaftsmagazin „N—–“ habe am 18.02.2026 eine Feldstudie veröffentlicht, die belege, dass der Empfehlungsalgorithmus der Beklagten die politische Einstellung von Nutzern durch manipulative Gestaltung des standardmäßig eingestellten „for you feeds“ dauerhaft beeinflusse. Er zeige mehr rechtsgerichtete politische Inhalte, bevorzugt Beiträge rechter Aktivisten, und blende Inhalte klassischer Nachrichtenquellen aus. Nutzern würden politische Inhalte selbst dann angezeigt, wenn sie der Beklagten keinerlei entsprechende Interessen mitgeteilt hätten. Die Beklagte nutze den Empfehlungsalgorithmus des Dienstes X unter anderem, um die politischen Ansichten des Eigentümers E—- M—- zu fördern. Die Beklagte sei auch mit dem Vorwurf konfrontiert gewesen, über das auf der Plattform X zur Verfügung gestellte KI-Modell „—-“ die Holocaustleugnung gezielt zu verbreiten. Derzeit dominierten weltweit im Zusammenhang mit diesem KI-Modell sexistische Nachrichten, die Frauen und sogar Kinder auf Befehl nackt oder in Reizwäsche darstellten. Dass die Beklagte solche Inhalte auf ihrer Plattform ermögliche und nicht durch wirksame technische und organisatorische Maßnahmen verhindere, belege eindrücklich, dass der Schutz der (Grund-) Rechte Betroffener für die Beklagte offenkundig keine hinreichende Priorität besitze. Die Europäische Kommission habe am 26.01.2026 aufgrund des Kl-Modells der Beklagten auf ihrer Plattform X ein Prüfverfahren gegen die Beklagte eingeleitet wegen der Verbreitung illegaler Inhalte einschließlich Darstellungen von Kindesmissbrauch. Die Plattform X der Beklagten diene immer wieder ausländischen (staatlichen) Akteuren zur Verbreitung von falschen Informationen und Propaganda. Die algorithmische Steuerung der Inhalte durch die Beklagte erhöhe das Risiko, dass ausländische Akteure durch koordinierte Kampagnen gezielt Einfluss auf die politischen Ansichten der Nutzer nähmen. Auch werde die Sicherheit personenbezogener Daten verletzt. Durch die von der Beklagten betriebene Desinformationen und Manipulation etwa durch die Verbreitung von Falschinformationen, politischer Propaganda und Verschwörungstheorien sei dem Einzelnen die Fähigkeit zur freien und informierten Meinungsbildung genommen. Wer solchen gezielten Fehlinformationen ausgesetzt sei, eigne sich ein falsches Weltbild an und verliere seine Urteilsfähigkeit. In der Folge entwickele der Einzelne Unsicherheit, Angst und Misstrauen gegenüber wichtigen Institutionen aus Wissenschaft, Medien und Politik. Die Verletzung der Grundrechtsgüter sei die direkte Folge der Verarbeitungspraxis der Beklagten.
Bei der begehrten Höhe des immateriellen Schadens, der in allen angemeldeten Fällen einen Mindestschaden darstelle, müsse Berücksichtigung finden, dass ungewiss sei, auf welche Weise die Beklagte diese Datensätze in Zukunft nutzen werde. Auch müsse das Ausmaß der schädigenden Handlung der Beklagten in Gestalt der millionenfachen Datenverarbeitungen berücksichtigt werden. Fernerhin stelle die Einschränkung der freien Meinungsbildung als zentrales Demokratiegrundrecht mündiger Bürger vor dem Hintergrund der Gefahren, die manipulierte Wähler für sämtliche Demokratien und damit für das tägliche Leben jedes Einzelnen innerhalb dieses Gefüges bedeuteten, einen besonders erheblichen immateriellen Schaden dar. Der Kontrollverlust bzw. die Einschränkung der Rechte dauere so lange an, wie die Verbraucher X nutzten.
Die Klägerin behauptet und meint zum API-Bug:
Die Erbeutung der Daten sei aufgrund der von der Beklagten zu verantwortenden Sicherheitslücke auf der damals noch T—- genannten Plattform gelungen. Die im Jahr 2022 bekannt gewordene technische Schwachstelle habe Unbefugten ermöglicht, Telefonnummern und E-Mail-Adressen von Nutzern zu erlangen und mit dem jeweiligen Nutzungsprofil zu verknüpfen. Über eine offene Programmierschnittstelle des Dienstes Application Programming Interface (API) hätten Unbefugte eine Anfrage an die Systeme der Beklagten senden können, die eine Telefonnummer oder eine E-Mail-Adresse enthalten habe. Wenn unter der Telefonnummer oder E-Mail-Adresse ein X-Nutzerkonto hinterlegt worden sei, sei das zugehörige Nutzerkonto als Antwort ausgegeben worden. Dies sei auch dann der Fall gewesen, wenn der betreffende Nutzer in seinen Privatsphäre-Einstellungen angegeben habe, dass er nicht anhand der Telefonnummer oder E-Mail-Adresse von anderen gefunden werden wolle. Nach der Zusammenführung, also der Zuordnung der X-Accounts, hätten die dort öffentlich abrufbaren Informationen massenhaft automatisch ausgelesen („gescrapet“) werden können. Hiervon seien selbst Konten betroffen gewesen, die unter einem Pseudonym geführt worden seien sowie Konten von Personen des öffentlichen Lebens; dies gehe aus der mit der Klageschrift eingereichten Mitteilung der Beklagten vom 05.08.2022 (Anlage K24) hervor. Die Beklagte habe zugestanden, dass in dem betreffenden Datensatz Daten von 5,4 Millionen Nutzern im Darknet veröffentlicht worden seien, d.h. betroffen gewesen seien. Im September 2022 und am 24.11.2022 sei aufgrund dessen zusätzlich der Basisdatensatz von mehreren Millionen Nutzern öffentlich zugänglich gemacht worden. Dabei habe es sich um Accountdaten mit E-Mail-Adressen und Telefonnummern gehandelt, die mit öffentlichen Informationen angereichert worden seien, welche auf dem betreffenden Account eines Nutzers verfügbar gewesen seien. Um die Authentizität des Datensatzes zu demonstrieren, sei ein Teil des Datensatzes als „Sample“ veröffentlicht worden. Anhand des Samples hätten potenzielle Käufer der Daten – sowie die Beklagte – überprüfen können, ob es sich tatsächlich um gehackte Daten von X-Nutzern handele. Die Nachrichtenplattform C—- habe über den Vorfall berichtet und das Datensample untersucht. C—- habe bestätigt, dass die untersuchten Daten realen Personen hätten zugeordnet werden können. Ein weiterer Datensatz, der Daten von cirka 17 Millionen Nutzern umfasse, sei von Unbekannten über dieselbe Schwachstelle entwendet worden und befinde sich ebenfalls in Händen Unbefugter. Im Dezember 2022 sei ein weiterer Datensatz von mehr als 400 Millionen E-Mail-Adressen bzw. Telefonnummern sowie weiteren Profilinformationen zum Verkauf angeboten worden, der abermals auf Grundlage dieser Sicherheitslücke entwendet worden sei (siehe Bericht vom 24.12.2022 der Anlage K27 zur Klageschrift). Am 04.01.2023 sei ein Datensatz mit Daten von mehr als 200 Millionen X-Nutzern im Hackerforum B—- nahezu kostenlos angeboten worden. Gerade weil der Datensatz so günstig habe erlangt werden können, sei davon auszugehen, dass er an zahlreiche Kriminelle weitergegeben worden sei. Als Berechtigungsnachweise insoweit könnten die von der Beklagten versendeten Benachrichtigungen aus August 2022 herangezogen werden.
Zusammenfassend verstoße die Beklagte diesbezüglich gegen Art. 5 Abs. 1 f) DSGVO i. V. m. Art. 32 DSGVO, Art. 6 DSGVO sowie Art. 25 Abs. 2 DSGVO. Dass über die fragliche Programmierschnittstelle Daten auch solcher Nutzer hätten abgefragt werden können, die eingestellt hätten, dass ihre Telefonnummer bzw. E-Mail-Adresse für andere nicht sichtbar sein sollten, stelle einen Verstoß gegen die Verpflichtung zu Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen aus Art. 25 DSGVO dar. Verantwortliche seien verpflichtet, ihre Systeme so zu gestalten, dass sie den Grundsätzen der Verarbeitung, insbesondere dem Recht auf Datenminimierung, entsprächen. Andererseits müssten Voreinstellungen so getroffen werden, dass personenbezogene Daten nur für den Zweck verarbeitet würden, für den sie erforderlich seien. Die Beklagte habe sicherzustellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht würden. Nach Art. 5 Abs. 1 f) DSGVO i. V. m. Art. 32 Abs. 1 b) DSGVO habe der Verantwortliche die Sicherheit der Verarbeitung personenbezogener Daten zu gewährleisten und deren Vertraulichkeit sicherzustellen. Die Beklagte habe gegen Art. 32 DSGVO verstoßen, da sie die Datensätze der Betroffenen – insbesondere ihre Handynummern und E-Mail-Adressen sowie deren Verknüpfung mit einem bestimmten X-Account und den dort öffentlich abrufbaren Informationen – nicht gegen unbefugte Zugriffe geschützt habe.
Folge der Verletzungshandlungen der Beklagten sei, dass die betroffenen Nutzer durch den von der Beklagten zu verantwortenden Datendiebstahl erhebliche Nachteile erlitten hätten. Sie könnten weder wissen noch kontrollieren, welche Unbefugten Zugriff auf ihre Daten hätten und wie diese ihre Daten in Zukunft verwenden würden und ob sie weitergereicht würden. Die Datensätze könnten für eine ganze Reihe von kriminellen Angriffen auf die Betroffenen genutzt werden (z.B. Pishing oder zum Eindringen in die von den Betroffenen genutzten IT-Systeme, um Schadsoftware zu versenden). Die von den Datendiebstählen Betroffenen hätten die Kontrolle über ihre Telefonnummer sowie ihre E-Mail-Adresse verloren, und zwar schon mit dem durch die API-Schwachstelle ermöglichten Zugriff der Dritten. Durch die Veröffentlichung der Daten sei der immaterielle Schaden vertieft worden. Der Europäische Gerichtshof habe klargestellt, dass der Begriff des immateriellen Schadens neben dem bloßen Kontrollverlust ebenfalls negative Gefühle umfasse, die der betroffenen Person infolge einer rechtswidrigen Verarbeitung entstehen könnten, wie zum Beispiel Sorge oder Ärger, und zwar selbst dann, wenn es sich hierbei um einen Teil des allgemeinen Lebensrisikos handele. Die betroffenen Nutzer seien fortwährend der Gefahr ausgesetzt, Opfer von betrügerischen Angriffen durch Kriminelle oder sogar der Überwachung durch ausländische Geheimdienste zu werden. Wer unter einem Pseudonym poste, rechne nicht damit, dass jemand allein aufgrund einer bekannten Telefonnummer oder E-Mail-Adresse seine tatsächliche (Online-) Identität ermitteln könne.
Die Klägerin beantragt,
die Beklagte zu verurteilen,
1. an nicht namentlich benannte Verbraucher in Deutschland, die wirksam zum Klageregister angemeldet sind und die als registrierte Nutzer „X“, vormals „T—-„, nutzen oder genutzt haben,
a) jeweils einen angemessenen Betrag als Schadensersatz zu zahlen, dessen Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag von 750,00 € jedoch nicht unterschreiten soll, nebst Zinsen in Höhe von fünf Prozentpunkten über dem Basiszinssatz seit dem 17.04.2025, und
b) sofern sie von einem der Datenlecks bei „X“, vormals „T—-„, betroffen sind, zusätzlich jeweils einen angemessenen Betrag als Schadensersatz zu zahlen, dessen Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag von 250,00 € jedoch nicht unterschreiten soll, nebst Zinsen in Höhe von fünf Prozentpunkten über dem Basiszinssatz seit dem 17.04.2025;
2. die Zahlung der unter Ziffer 1. zuzusprechenden Beträge zu Händen des vom Gericht für das Umsetzungsverfahren zu bestellenden Sachwalters in Form eines kollektiven Gesamtbetrages zu leisten.
Die Beklagte beantragt,
die Klage abzuweisen.
Die Beklagte erwidert unter anderem das Folgende:
Zuständig für das Verfahren sei der High Court in Irland. Die Klägerin verfolge ein eigenes, originär kollektives Recht, bei dem es sich nicht um einen deliktischen Anspruch handele.
Sie meint, die Klägerin sei ohnehin nicht klagebefugt. Sie behauptet, die Klägerin werde unter Verstoß gegen § 4 Abs. 2 VDuG von Dritten finanziert. Es handele sich um eine Schutzbehauptung, dass sie keinen erwerbswirtschaftlichen Zweck verfolge. Sie sei Teil eines vielschichtigen Geflechts niederländischer Gesellschaften, die voneinander profitierten. Die Entscheidungsgewalt liege vollständig in den Händen des Vorstandsmitglieds F—-, der im Zentrum des Netzwerkes der Gesellschaften stehe, die er – einschließlich der Klägerin – (mit)kontrolliere. Über seine zentrale Holdinggesellschaft R—– V—- fungiere er als Hauptfinanzierer und maßgeblich steuernder Akteur hinter der Klägerin, die seiner persönlichen Bereicherung diene. Darüber hinaus betätige sich die Klägerin kommerziell und vertreibe die Produkte von Unternehmen, an denen das Vorstandsmitglied F—- beteiligt sei. Durch die global ausgegebenen Genussscheine zu dem Zweck, die Tätigkeit der Klägerin in Bezug auf einzelne Klagen zu finanzieren, habe diese sich in ganz erheblicher Höhe von ihren Investoren abhängig gemacht, wodurch die Rechte der Verbraucher untergraben würden. Die Klägerin betrachte Verbandsklagen nicht als Instrumente des Verbraucherschutzes, sondern vor allem als Anlageprodukte für Investoren. Ein erheblicher Teil der erstrittenen Ansprüche fließe nicht in den Schadensausgleich, sondern in die Finanzierung der Renditeversprechen. Die Klägerin verknüpfe ihre Klagekampagnen nicht nur explizit mit dem Vertrieb von Genussscheinen, sondern werbe darüber hinaus auch aktiv mit den attraktiven Renditemöglichkeiten der Genussscheine. Die Klägerin betreibe dabei rund um die von ihr veranlassten Klagekampagnen gemäß den Anlagen B42 und B43 zur Klageerwiderung ein strukturiertes Empfehlungsmarketingprogramm, bei dem Teilnehmer für das Werben weiterer Teilnehmer mit Genussscheinen vergütet würden. Mit E-Mail vom 30.07.2025 (Anlage B46 zur Klageerwiderung) habe die BaFin bestätigt, Ermittlungen im Hinblick auf die Klägerin und ihre Geschäftsaktivitäten in Deutschland aufzunehmen. Die Benennung als qualifizierte Einrichtung zur Erhebung grenzüberschreitender Verbandsklagen im Sinne von Art. 5 Abs. 1 Satz 4 der Verbandsklage-Richtlinie durch den zuständigen niederländischen Minister für Rechtsschutz sei in eklatanter Verletzung zwingender unionsrechtlicher Anforderungen erfolgt und müsse widerrufen werden; zumindest bestünden derartige Bedenken. Auch mit dem niederländischen Recht sei die Benennung der Klägerin unvereinbar.
Jedenfalls seien die behaupteten Verbraucheransprüche nicht gleichartig i.S.v. § 15 Abs. 1 VDuG. Der kollektive Rechtsschutz gewinne seine Effizienz durch die Abstraktheit und Typizität des dem Gericht vorgelegten Lebenssachverhalts. Dies sei hier nicht gegeben. Für eine Klagestattgabe bedürfe es vorliegend zwingend einer mindestens überwiegend individuellen Einzelfallprüfung relevanter Umstände, und zwar sowohl den behaupteten Verstoß als auch einen darauf zurückzuführenden Schaden beim Nutzer betreffend. Eine solche Prüfung dürfe nicht in das Umsetzungsverfahren verlagert werden.
In der Sache lägen die behaupteten Verstöße nicht vor. Bei der Vielzahl der Nutzer der Plattform und der damit verbundenen unzähligen Inhalte (mit über 400 Millionen Posts pro Tag) wäre es für Nutzer der Plattform schwierig bis unmöglich, ohne Unterstützung die Inhalte zu finden, für die sie sich interessierten. Nutzer stünden vor dem Problem, dass ihnen unzählige Inhalte angezeigt würden, für die sie gar kein Interesse aufwiesen, was die Nutzung der Plattform für sie unattraktiv und unbenutzbar machen würde. Zur Schaffung eines positiven Nutzungserlebnisses und um die Nutzung ihres (der Beklagten) Dienstes in sinnvoller Art und Weise zu ermöglichen, insbesondere um den Nutzern das Navigieren durch die unzähligen Inhalte zu erleichtern, sei eine Personalisierung der Inhalte, die ein Nutzer auf der Plattform sehe, unerlässlich. Die Nutzer entschieden sich bewusst für die Plattform, um in den Genuss dieser Vorteile zu kommen. Auch stelle es die Gegenleistung für die Finanzierung der kostenlosen Nutzung der Plattform dar, dass dem Nutzer personalisierte Werbung angezeigt werden dürfe. Dies sei ein wesentlicher Hauptleistungsgegenstand des Nutzungsvertrages.
Keinen Erfolg könne auch das Vorbringen zum API-Bug haben. Im Juni 2021 habe zwar ein von ihr zu verantwortendes Update des Login-Flows zu einer unbeabsichtigten Funktionalität geführt, die es einem Dritten habe ermöglichen können, die User-ID eines Kontos, das mit einer E-Mail-Adresse oder Telefonnummer verknüpft gewesen sei, einzusehen, sofern diese E-Mail-Adresse oder Telefonnummer der Person bereits bekannt gewesen sei. Bei der User-ID handele es sich jedoch bloß um eine individuelle Zahlenfolge, die jedem Konto zugewiesen werde. Es seien keine weiteren Informationen offengelegt worden. Der API-Bug habe insbesondere nicht zur Offenlegung von E-Mail-Adressen oder Telefonnummern der Nutzer geführt. Dritte hätten anschließend die User-ID auf einer Website eines Drittanbieters eingeben können, um die User-ID mit einem X-Handle zu verknüpfen. Es werde bestritten, dass mehr als 5,4 Millionen Nutzer betroffen gewesen seien. Gemäß der Anlage B78 zur Klageerwiderung habe sie rein vorsorglich die einzelnen Nutzer, deren User-IDs in dem 5,4 M-Datensatz enthalten gewesen seien, informiert, obwohl sie gerade nicht festgestellt habe, ob die betreffenden Konten tatsächlich von dem API-Bug betroffen gewesen seien. Ihre Benachrichtigung der einzelnen Nutzer bedeute nicht, dass sie positiv eine Betroffenheit erkannt habe. Weitere Datenlecks habe es entgegen den öffentlichen Berichten nicht gegeben.
Zumindest fehle es an einem Schaden. Ein bloßer Verstoß gegen die DSGVO begründe keinen Anspruch.
Wegen der Einzelheiten des Vortrages der Parteien wird auf die gewechselten Schriftsätze Bezug genommen.
Der Klägerin ist nachgelassen worden, zu den in der mündlichen Verhandlung problematisierten Fragen der Gleichartigkeit der Ansprüche und etwaiger aussagekräftiger Berechtigungsnachweise bis zum 31.03.2026 vorzutragen.
Entscheidungsgründe
I. Die Klage ist unzulässig und deshalb abzuweisen.
1. Die internationale Zuständigkeit ist allerdings nach Auffassung des Senats gegeben. Der Anwendungsbereich der Klage bezieht sich auf Ansprüche von Verbrauchern gegen Unternehmer (vgl. OLG Koblenz, Teilurteil vom 18.11.2025 – 9 VKl 1/24 – juris Rn. 88). Die Klägerin geht nicht aus einem eigenen Anspruch vor. Es erscheint die Ansicht vorzugswürdig, dass es sich um eine gesetzliche Prozessstandschaft für die betroffenen Verbraucher handelt (vgl. Stadler in: Musielak/Voit, ZPO, 22. Auflage 2025, Vorbemerkungen VDuG Rn. 21; Paulus in: Skauradszun, VDuG, 2024, § 14 Rn. 13 m.w.N.).
Die nach Art. 4 der Verordnung Nr. 1215/2012 vorgesehene Zuständigkeit, d. h. die Zuständigkeit der Gerichte des Mitgliedstaats, in dessen Hoheitsgebiet die beklagte Partei ihren Wohnsitz hat, stellt zwar die allgemeine Regel dar (vgl. EuGH, Urteil vom 12.05.2021 – C-709/19 – juris Rn. 25); dies wäre Irland. Hier greift jedoch Art. 7 Nr. 2 EuGVVO. Die in Art. 7 Nr. 1 und Nr. 2 EuGVVO festgelegten besonderen Zuständigkeitsregeln sind autonom unter Berücksichtigung der Systematik und der Ziele der Verordnung Nr. 1215/2012 auszulegen, um ihre einheitliche Anwendung in allen Mitgliedstaaten zu sichern (vgl. EuGH Große Kammer, Urteil vom 24.11.2020 – C-59/19 – juris Rn. 25).
Nach ständiger Rechtsprechung des Europäischen Gerichtshofs bezieht sich die in Art. 7 Nr. 2 EuGVVO enthaltene Wendung „unerlaubte Handlung oder … Handlung, die einer unerlaubten Handlung gleichgestellt ist, oder … Ansprüche aus einer solchen Handlung“ auf jede Klage, mit der eine Schadenshaftung der beklagten Partei geltend gemacht werden soll und die nicht an einen „Vertrag oder Ansprüche aus einem Vertrag“ anknüpft, d.h. nicht auf eine rechtliche Verpflichtung gestützt ist, die eine Person gegenüber einer anderen freiwillig eingegangen ist (vgl. EuGH Große Kammer Urteil vom 24.11.2020 – C-59/19 – juris Rn. 23). Die Zuständigkeit hängt nicht davon ab, dass tatsächlich eine Verletzung des nationalen Rechts erfolgt ist; es reicht aus, dass eine Verletzung behauptet wird und diese nicht von vornherein ausgeschlossen ist (vgl. BGH, Urteil vom 30.03.2006 – I ZR 24/03 – juris Rn. 21). Der Ort, an dem das schädigende Ereignis im Sinne von Art. 7 Nr. 2 EuGVVO eingetreten ist, kann sowohl der Ort der Verwirklichung des behaupteten Schadenserfolgs als auch der Ort des für den Schaden ursächlichen Geschehens sein (vgl. EuGH, Urteil vom 10.07.2025 – C-99/24 – juris Rn. 66).
Eine Klage hat einen „Vertrag oder Ansprüche aus einem Vertrag“ im Sinne von Art. 7 Nr. 1 a) der Verordnung Nr. 1215/2012 zum Gegenstand, wenn eine Auslegung des Vertrags zwischen der klagenden Partei (bzw. dem Inhaber des behaupteten Rechts) und der beklagten Partei unerlässlich erscheint, um zu klären, ob das Verhalten, welches der Beklagtenseite vorgeworfen wird, rechtmäßig oder widerrechtlich ist. Dies ist unter anderem der Fall bei einer Klage, die auf den Bestimmungen eines Vertrags oder auf Rechtsvorschriften beruht, die aufgrund dieses Vertrags anwendbar sind. Beruft sich die klagende Partei in der Klageschrift hingegen auf die Regeln über die Haftung aus unerlaubter Handlung oder einer Handlung, die einer unerlaubten Handlung gleichgestellt ist, d. h. auf einen Verstoß gegen eine gesetzliche Verpflichtung, und erscheint es nicht unerlässlich, den Inhalt des mit der beklagten Partei geschlossenen Vertrags zu prüfen, um zu beurteilen, ob das dieser vorgeworfene Verhalten rechtmäßig oder rechtswidrig ist, da diese Verpflichtung unabhängig von diesem Vertrag besteht, so bilden eine unerlaubte Handlung oder eine Handlung, die einer unerlaubten Handlung gleichgestellt ist, oder Ansprüche aus einer solchen Handlung den Gegenstand der Klage im Sinne von Art. 7 Nr. 2 der Verordnung Nr. 1215/2012. Ist es für die Feststellung, ob die der Beklagtenseite vorgeworfenen Praktiken rechtmäßig oder rechtswidrig sind, nicht unerlässlich, den Vertrag zwischen den Parteien auszulegen, sondern bedarf es einer solchen Vertragsauslegung nur, um das Vorliegen dieser Praktiken festzustellen, ist Art. 7 Nr. 2 EuGVVO anwendbar (vgl. EuGH Große Kammer, Urteil vom 24.11.2020 – C-59/19 – juris Rn. 30 ff.). So liegt es hier, da der Vorwurf der Klägerin dahin geht, die Beklagte beachte als Datenverantwortliche die entsprechenden gesetzlichen Vorschriften der DSGVO nicht.
Anwendbar ist dabei deutsches Recht. Abzustellen ist auf Art. 40 Abs. 1 Satz 2 EGBGB; der Erfolgsort ist Deutschland, da dort der gewöhnliche Aufenthalt der nach dem Vorbringen der Klägerin Geschädigten liegt und auch die Datenverarbeitung dort stattfindet.
2. Das Kammergericht ist für die Entscheidung sachlich und örtlich zuständig.
2.1. Sachlich ist die Zuständigkeit eines Oberlandesgerichts nach § 3 Abs. 1 VDuG begründet.
2.2. Örtlich richtet sich die Zuständigkeit abermals nach Art. 7 Nr. 2 EuGVVO, da die Norm nicht nur die internationale Zuständigkeit regelt, sondern auch die örtliche (vgl. OLG Karlsruhe, Beschluss vom 12.12.2025 – 6 W 50/25 – juris Rn. 61; Hau in: Zöller, ZPO, 36. Auflage 2026, Art. 7 Brüssel Ia-VO Rn. 1).
Die von der Klägerin beanstandete Datenverarbeitung innerhalb der durch die Beklagte betriebenen Plattform betrifft bestimmungsgemäß in Deutschland einschließlich in Berlin wohnende Nutzer. Maßgeblich für die Bestimmung der Zuständigkeit sind die Schäden, die im Staat des Erfolgsortes eingetreten sind (vgl. EuGH Große Kammer, Urteil vom 21.12.2021 – C-251/20 – juris Rn. 30; Schmidt in: Anders/Gehle, ZPO, 84. Auflage 2026, Art. 7 Brüssel Ia-VO Rn. 23). Dies gilt auch für das behauptete Abgreifen von auf der Plattform gespeicherten Daten in Deutschland einschließlich in Berlin wohnender und durch das Abgreifen geschädigter Nutzer wie hier.
3. Unterdessen scheitert die Zulässigkeit der Klage jedenfalls an der in § 15 Abs. 1 VDuG geforderten Gleichartigkeit der von der Klägerin geltend gemachten Ansprüche der Verbraucher, so dass die weitergehenden zwischen den Parteien streitig behandelten Zulässigkeitsfragen nicht entschieden werden müssen.
3.1. Gerade weil sich an das hiesige Erkenntnisverfahren ein Umsetzungsverfahren anschließen soll, hat die Gleichartigkeit besondere Bedeutung, da dem Sachwalter keine weitere Prüfungskompetenz zukommt (vgl. Paulus in: Skauradszun, VDuG, 2024, § 15 Rn. 22) und er nicht von der Vorschrift des § 141 ZPO Gebrauch machen darf, eine Anhörung einzelner Verbraucher damit ausscheidet. Sobald sich für den Einzelfall individuelle Besonderheiten des konkreten Verbrauchers stellen, sei es dem Grunde oder der Höhe nach (vgl. Paulus in: Skauradszun, VDuG, 2024, § 15 Rn. 23 f.), und diese komplex sind, ist das Abhilfeverfahren nicht geeignet, da der konkrete Verbraucher bis zum Erlass des Abhilfegrundurteils im Verfahren keine Rolle spielt. Eine strenge Gleichförmigkeit ist aber nicht erforderlich, weswegen durchaus Fälle infrage kommen, in denen es vereinzelt auf individuelle Fragen ankommt, wobei in diesen Fällen Untergruppen zu bilden sind (vgl. Stadler in: Musielak/Voit, ZPO, 22. Auflage 2025, § 15 VDuG Rn.3).
3.2. Nicht ausreichend für eine Haftung wäre, einen Verstoß der Beklagten gegen die DSGVO festzustellen, was die Klägerin auf den Seiten 17 ff. des ihr nachgelassenen Schriftsatzes vom 31.03.2026 unberücksichtigt lässt. Denn ein Verstoß gegen die Bestimmungen der DSGVO begründet für sich genommen einen Schadensersatzanspruch der betroffenen Person nicht. Nach Art. 82 Abs. 1 DSGVO bedarf es des Vorliegens eines Schadens, der entstanden ist, und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ vorliegen müssen. Hierbei muss die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO Ersatz eines immateriellen Schadens fordert, sowohl den Verstoß gegen Bestimmungen der DSGVO nachweisen als auch, dass ihr durch diesen Verstoß ein solcher Schaden, so geringfügig er auch sein mag, entstanden ist. Ein entsprechender Schaden kann nicht deshalb zugrunde gelegt werden, weil sich der Verstoß ereignet hat, sondern es ist zwischen einer Verletzung der Bestimmungen der DSGVO einerseits und deren Folgen andererseits zu unterscheiden (vgl. EuGH, Urteil vom 19.03.2026 – C-526/24 – juris Rn. 59 ff.), wobei das Vorliegen mehrerer Verstöße gegen die DSGVO auch nicht etwa zu einer Erhöhung der zusprechenden Entschädigung führte, weil Art. 82 Abs. 1 DSGVO ausschließlich eine Ausgleichsfunktion zukommt; um den Betrag der als Ausgleich geschuldeten finanziellen Entschädigung festzulegen, ist nur der von dieser Person infolge des Verstoßes oder der Verstöße konkret erlittene Schaden zu berücksichtigen (vgl. EuGH, Urteil vom 11.04.2024 – C-741/21 – juris Rn. 64). Bereits diese Ausführungen indizieren, dass es bei der Bestimmung des eingetretenen Schadens maßgeblich auf die betroffene Person ankommt. Dabei genügt es abweichend von der Ansicht der Klägerin auf Seite 23 des nachgelassenen Schriftsatzes vom 31.03.2026 nicht, dass ein Schaden „nicht ausgeschlossen“ werden kann; dieser muss im Gegenteil positiv feststellbar sein.
3.3. Soweit die Klägerin die Problematik der Erforderlichkeit der Gleichartigkeit der Ansprüche der Verbraucher und die damit im Zusammenhang stehenden individuellen Besonderheiten, welche die Sachverhalte in Bezug auf die einzelnen Verbraucher signifikant unterscheiden, damit lösen möchte, dass sie auf einen „Durchschnittsbetroffenen“ abstellt, den sie – trotz ausführlicher Erörterung in der mündlichen Verhandlung – ohnehin nicht nachvollziehbar erläutern konnte, ist dieser Begriff dem anzuwendenden Recht fremd, auch wenn das Landgericht Leipzig nach den Ausführungen der Klägerin auf Seite 22 des nachgelassenen Schriftsatzes vom 31.03.2026 damit arbeiten mag. Entsprechend unbehelflich ist der auf Seite 14 des nachgelassenen Schriftsatzes vom 31.03.2026 verwendete Begriff des „durchschnittlichen Internetnutzers“. Standardmäßige Praktiken von Verbrauchern insoweit sind nicht bekannt. Der auf den Seiten 22 und 23 des nachgelassenen Schriftsatzes vom 31.03.2026 gezogene Vergleich mit der Prüfung der Transparenz einer Vertragsklausel eines Unternehmers in einer Verbandsklage unter Heranziehung eines normal informierten, angemessen aufmerksamen und verständigen Durchschnittsverbrauchers trägt nicht mangels vergleichbarer Konstellationen.
3.4. Speziell in Bezug auf einen Kontrollverlust über die eigenen personenbezogenen Daten, der ohne Hinzutreten weiterer Umstände einen immateriellen Schaden nach Art. 82 Abs. 1 DSGVO darstellen kann (vgl. EuGH, Urteil vom 19.03.2026 – C-526/24 – juris Rn. 67) und von den Anträgen der Klägerin zu 1. lit. a) und lit. b) nach deren Vorbringen erfasst ist, ist zur Frage der (hier fehlenden) Gleichartigkeit das Folgende anzuführen:
a) Zur Feststellung des Umfangs des Schadens auf der Grundlage von § 13 Abs. 1 VDuG i.V.m. § 287 ZPO ist unter anderem die Dauer des Kontrollverlustes in den Blick zu nehmen (vgl. BGH, Urteil vom 18.11.2024 – VI ZR 10/24 – juris Rn. 99), die sich nur an dem Verhalten des einzelnen Betroffenen orientieren kann. Die Klägerin hat diese Rechtsprechung des Bundesgerichtshofs selbst auf Seite 75 ihrer Klageschrift hervorgehoben und auf deren Seite 76 in Bezug auf die gerügte Datenverarbeitung betont, dass die Dauer des Kontrollverlustes so lange andauere, wie die Verbraucher X nutzten. Eine solche Nutzungsdauer lässt sich nicht abstrakt feststellen.
b) Ferner trägt die Klägerin selbst vor, dass ein den Schaden in Form eines Kontrollverlustes vertiefender Gesichtspunkt die Entwicklung negativer Gefühle der betroffenen Person wie Ängste und Ärger wäre, welche mit einem Kontrollverlust über die eigenen Daten einhergehen können. Dies entspricht der Rechtsprechung des Europäischen Gerichtshofs und des Bundesgerichtshofs. Danach wird der in einem bloßen Kontrollverlust bestehende immaterielle Schaden vergrößert, wenn sich daraus besondere Befürchtungen oder Ängste der betroffenen Person entwickeln; die Befürchtung muss unter den gegebenen besonderen Umständen und gerade im Hinblick auf die betroffene Person als begründet angesehen werden können (vgl. EuGH, Urteil vom 19.03.2026 – C-526/24 – juris Rn. 63; BGH, Urteil vom 11.11.2025 – VI ZR 396/24 – juris Rn. 27 und 37). Demgegenüber genügt die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen nicht (vgl. BGH, Urteil vom 11.11.2025 – VI ZR 396/24 – juris Rn. 37). Insoweit bedürfte es erneut Feststellungen zum konkreten Verbraucher, der hier nicht bekannt ist.
Nichts anderes gilt, soweit schon die reine Ungewissheit, ob personenbezogene Daten verarbeitet wurden, einen immateriellen Schaden darstellen kann (vgl. hierzu EuGH, Urteil vom 19.03.2026 – C-526/24 – juris Rn. 67). Auch dann kommt es darauf an, ob bei dem einzelnen Verbraucher eine solche Ungewissheit festzustellen ist. Soweit die Klägerin auf den Seiten 8 und 9 des ihr nachgelassenen Schriftsatzes vom 31.03.2026 meint, es könne insoweit auf aufgestellte Erfahrungssätze und eine typisierende Betrachtung zurückgegriffen werden, steht dies der Rechtsprechung des Europäischen Gerichtshofs entgegen. Soweit die Klägerin auf Seite 9 des Schriftsatzes vom 31.03.2026 eine stichprobenweise Beweisaufnahme (ohne Benennung eines Beweismittels) oder Umfragen in Betracht zieht, die Rückschlüsse auf den „Normalfall“ zulassen, verhält es sich nicht anders.
c) Der Schaden vergrößerte sich, wenn es tatsächlich zu einer missbräuchlichen Verwendung der konkreten Daten gekommen ist (vgl. BGH, Urteil vom 11.11.2025 – VI ZR 396/24 – juris Rn. 32). Insoweit bedürfte es gleichfalls Feststellungen zum konkreten Verbraucher.
d) Des Weiteren kommt es für den Umfang des Schadens darauf an, welche Daten außer Kontrolle geraten sind, insbesondere ob sensible, gar geheimhaltungsbedürftige Daten betroffen sind (vgl. BGH, Urteil vom 18.11.2024 – VI ZR 10/24 – juris Rn. 99). Die Intensität des Schadens kann nicht losgelöst davon beantwortet werden, um welche Daten des betroffenen Nutzers es geht. Wie schon ausgeführt, hat die Klägerin diese Rechtsprechung des Bundesgerichtshofs auf Seite 75 ihrer Klageschrift zitiert und für richtig befunden. Auch auf Seite 25 des nachgelassenen Schriftsatzes vom 31.03.2026 unterstreicht die Klägerin, dass es auf die Dimension des Datenschutzverstoßes ankommt. Welche Daten eines Nutzers außer Kontrolle geraten sind, kann nur individuell in Bezug auf die betroffene Person bestimmt werden.
Dies gilt auch für den API-Bug. Zwar behauptet die Klägerin diesbezüglich auf Seite 48 der Klageschrift, dass der API-Bug Unbefugten ermöglicht habe, gerade die Telefonnummern und E-Mail-Adressen von Nutzern zu erlangen. Aus dem weiteren Vortrag auf derselben Seite der Klageschrift geht hingegen hervor, dass die Unbefugten eine Anfrage an die Systeme der Beklagten hatten senden können, die eine Telefonnummer oder eine E-Mail-Adresse schon enthalten hatte. Dies stimmt mit dem Vortrag der Beklagten überein, dass die Telefonnummer und/oder die E-Mail-Anschrift den Unbefugten bereits vorher bekannt war, also schon vor dem API-Bug entweder außer Kontrolle geraten war oder bewusst durch den Nutzer öffentlich bekannt gemacht worden war, weswegen nicht der API-Bug hierfür verantwortlich ist.
e) Gleichermaßen beeinflusst das Ausmaß der betroffenen Daten den Schaden. Hierzu hat die Klägerin auf Seite 76 ihrer Klageschrift vorgetragen: „In Anbetracht des Vorstehenden ist der Orientierungsbetrag in Höhe von 750,00 € in diesem Mindestmaß angemessen. Dies gilt umso mehr, als das EuG erst zu Beginn des Jahres die Europäische Kommission für den durch die rechtswidrige Übermittlung nur einer einzigen IP-Adresse in ein Drittland entstandenen Kontrollverlust zur Zahlung eines immateriellen Schadenersatzes nach Art. 82 DSGVO in Höhe von 400,00 € verurteilt hat …“ Allein der Umstand, dass die Beklagte zum Beispiel personenbezogene Daten ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung erhebt, analysiert und verarbeitet, enthält noch keine Aussage zu der Menge der erhobenen personenbezogenen Daten. Dies richtet sich nach dem individuellen Nutzungsverhalten.
f) Weiterhin kann es für die Bestimmung des Umfangs des Schadens eine Rolle spielen, ob der Betroffene in Bezug auf dieselben persönlichen Daten schon einmal ungewollt einen Kontrollverlust erlitten hatte (vgl. BGH, Urteil vom 11.11.2025 – VI ZR 396/24 – juris Rn. 35). Diesbezüglich muss der potenziell Geschädigte darlegen, dass er die Hoheit über die Daten nicht schon zuvor verloren hatte, da dem Begriff des „Kontrollverlusts“ immanent ist, dass der Betroffene zunächst die Kontrolle über die konkreten personenbezogenen Daten hatte (vgl. OLG Hamm, Urteil vom 22.11.2024 – 25 U 33/24 – juris Rn. 172). Insoweit bedürfte es abermals Feststellungen zum konkreten Verbraucher.
g) Sogar die Frage, ob es überhaupt zu einem Schaden in Gestalt eines Kontrollverlustes und damit zu einem haftungsbegründenden Schaden gekommen ist, kann davon abhängig sein, ob der konkrete Betroffene seine Daten freiwillig wahl- und grundlos der Öffentlichkeit (vor allem über das Internet) zugänglich macht (vgl. BGH, Urteil vom 18.11.2024 – VI ZR 10/24 – juris Rn. 39). In diesem Zusammenhang hat der Europäische Gerichtshof ausgeführt, Art. 82 Abs. 1 DSGVO muss dahin ausgelegt werden, dass der immaterielle Schaden der betroffenen Person den Verlust der Kontrolle über ihre personenbezogenen Daten umfasst, sofern insbesondere nachgewiesen wird, dass dieser Person tatsächlich ein solcher Schaden entstanden ist und ihr Verhalten nicht die entscheidende Ursache für diesen Schaden war (Urteil vom 19.03.2026 – C-526/24 – juris Rn. 67).
Dies gilt auch für die Offenlegung des Pseudonyms beim API-Bug. Denn auch bei diesem besteht die Möglichkeit, dass das Pseudonym schon vor dem API-Bug dem Nutzer zugeordnet werden konnte, sollte der Nutzer damit völlig offen umgegangen sein.
3.5. In Bezug auf die von der Klägerin behauptete und (nur) vom Antrag zu 1. lit. a) – neben dem Kontrollverlust – erfasste Beeinflussung der Verbraucher durch Inhalte und Werbung im Rahmen der Datenverarbeitung ist bezüglich der Gleichartigkeit der Ansprüche das Folgende anzuführen:
a) Nach dem eigenen Vortrag der Klägerin kommt es auch hier auf das Ausmaß der Schädigung des konkreten Verbrauchers durch die Beklagte an; die Klägerin trägt vor, dass es sowohl um Verbraucher geht, die in der Vergangenheit die Plattform der Beklagten genutzt haben, als auch um solche, die dauerhaft die Plattform nutzen, wobei die Personalisierung bei längerer Nutzung und gesteigerter Häufigkeit zunehmen soll, so dass die Intensität des jeweiligen Eingriffs bezogen auf den einzelnen Verbraucher festzumachen ist.
b) Soweit es die Beeinflussung der Nutzer unter Verletzung der Meinungs- und Informationsfreiheit und weiterer Grundrechte oder grundrechtsgleicher Rechte betrifft, was die Klägerin auf Seite 76 ihre Klageschrift als besonders erheblichen immateriellen Schaden gewürdigt hat, kann erst recht ohne Kenntnis von der Art und Weise der Betroffenheit des konkreten Verbrauchers keine angemessene Entschädigung zugesprochen werden. Für den Senat ist nicht verständlich, wie beispielsweise die von der Klägerin vorgetragene Beeinträchtigung der freien Meinungsbildung aufgrund der algorithmisch gesteuerten Verbreitung von Falschinformationen, politischer Propaganda und Verschwörungstheorien losgelöst vom einzelnen Verbraucher abstrakt festgestellt werden könnte. Nichts anderes gilt für den behaupteten Entzug der Kontrolle über das Privatleben und die Intimsphäre.
c) Bei der Beeinflussung durch Inhalte spielt zudem das Alter der Nutzer eine Rolle, welche von der Beklagten ab einem Alter von 13 Jahren akzeptiert werden, insbesondere die Frage, ob der betroffene Nutzer noch Kind (Personen unter 14 Jahren, § 7 Abs. 1 SGB VIII, oder unter 15 Jahren, § 2 Abs. 1 JArbSchG) oder zumindest minderjährig ist und welchen geistigen Reifegrad er aufweist.
d) Aber auch bei der Verarbeitung von sensiblen Daten kommt es auf den Umgang des einzelnen Verbrauchers mit seinen Daten an. Diesbezüglich enthält die Datenschutzgrundverordnung in Art. 9 Abs. 2 die Regelung, dass die Untersagung nach Absatz 1 nicht zur Anwendung kommt, wenn die betroffene Person selbst ihre personenbezogenen Daten offensichtlich öffentlich gemacht hat. Der Europäische Gerichtshof hat im Urteil vom 04.10.2024 – C-21/23 – hierzu ausgeführt (juris Rn. 77): „Folglich ist für die Zwecke der Anwendung der in Art. 9 Abs. 2 Buchst. e) DSGVO vorgesehenen Ausnahme zu prüfen, ob die betroffene Person die Absicht hatte, die fraglichen personenbezogenen Daten ausdrücklich und durch eine eindeutige bestätigende Handlung der breiten Öffentlichkeit zugänglich zu machen.“
3.6. Der Senat kann im Zusammenhang mit dem behaupteten Kontrollverlust und schon gar nicht im Zusammenhang mit der von der Klägerin monierten Personalisierung mittels der Art und Weise der Datenverarbeitung und Beeinflussung der Nutzer durch zur Verfügung gestellte Inhalte die Möglichkeit einer für den Sachwalter handhabbaren Bündelung von Ansprüchen in Form der Unterteilung in bestimmte Kategorien erkennen, nachdem für die Feststellung des Schadens eine Vielzahl maßgeblicher besonderer Umstände bezogen auf die Eigenarten des individuellen Nutzers und seines Verhaltens denkbar ist (wie Dauer des Kontrollverlustes, Entwicklung negativer Gefühle, missbräuchliche Verwendung der Daten, Qualität der betroffenen Daten, bereits erlittener Kontrollverlust in der Vergangenheit sowie Umgang mit den eigenen Daten bei einer Entschädigung im Zusammenhang mit einem Kontrollverlust einerseits, Dauer der Nutzung der Plattform, Art und Weise der Beeinflussung des Nutzers, Alter des Nutzers sowie Umgang mit den eigenen Daten bei einer Entschädigung im Zusammenhang mit der Erfassung der Person des Nutzers und seiner Beeinflussung andererseits), für welche keine hinreichend einheitlichen Schablonen/Vorlagen gebildet werden können.
Zwar ist in Bezug auf die Frage der Dauer des Kontrollverlustes noch die Bildung von Kategorien durch eine Vorgabe unterschiedlicher Zeitabschnitte (Dauer bis zu …) denkbar. Jedoch scheitert eine solche Kategorisierung beispielsweise bei den Fragen der Entwicklung negativer innerer Einstellungen, der Art und Weise einer missbräuchlichen Verwendung, der Qualität und Häufung der betroffenen Daten, der Art und Weise der Beeinflussung des jeweiligen Nutzers sowie des geistigen Reifegrades minderjähriger Nutzer, zumal hinzutritt, dass die Kombinationsmöglichkeiten derjenigen Umstände, die für die Bestimmung der Beeinträchtigung eines Nutzers und damit des Schadens ausschlaggebend sind, mannigfaltig sein können.
Die vom Gerichtshof Amsterdam in seiner das Berufungsverfahren nicht abschließenden Entscheidung vom 07.10.2025 (Anlage K36 zur Replik) angeführten Gründe für die Bejahung der Gleichartigkeit der dort streitgegenständlichen Ansprüche vermag angesichts des in erster Linie erfolgten Abstellens auf dieselben Normverstöße, die aber als solche nach der oben aufgezeigten Rechtsprechung des Europäischen Gerichtshofs keine Haftung begründen, und der lediglich allgemeinen Ausführungen zu einer möglichen Kategorisierung individueller Umstände nicht zu überzeugen. Unter .29. ff. seiner Entscheidung hat der Gerichtshof Amsterdam auszugsweise das Folgende ausgeführt [Fettdruck durch den Senat]:
„Die in Art. 3:305a Abs. 1 BW geforderte Gleichartigkeit bedeutet, dass die Interessen, zu deren Schutz sich die Klage erstreckt, sich für eine Bündelung eignen, sodass ein effizienter und wirksamer Rechtsschutz zugunsten der Beteiligten gefördert werden kann. Auf diese Weise kann in einem einzigen Verfahren über die durch die Klage aufgeworfenen Streitpunkte und Ansprüche entschieden werden, ohne dass dabei die besonderen Umstände der einzelnen Beteiligten berücksichtigt werden müssen … Bei der Beurteilung der Zulässigkeit geht es darum, ob die Ansprüche ausreichend bündelbar sind, um gegebenenfalls in Kategorien unterteilt in einer Sammelklage behandelt zu werden. Bei der Frage, ob Schadensersatzansprüche ausreichend ähnlich sind, ist es nicht erforderlich, dass die Ansprüche grundsätzlich begründet sind oder dass die Möglichkeit eines Schadens plausibel sein muss. … Die Stiftungen stimmen nicht mit der Beurteilung des [erstinstanzlichen] Gerichts … überein, dass eine mögliche Klage wegen immateriellen Schadens so stark von der individuellen Situation des jeweiligen Nutzers abhängt, dass keine zusammenfassbare (ausreichend ähnliche) Klage vorliegt. Die dagegen gerichteten Beschwerden der Stiftungen … sind begründet. … Genau wie die materiellen Schadensersatzansprüche basieren auch die immateriellen Schadensersatzansprüche der Stiftungen auf denselben Normverstößen und denselben Sachverhalten. Es handelt sich somit für jeden Nutzer um gleiche Rechtsfragen und gleiche Ereignisse. Es steht außer Frage, dass zwischen den Nutzern des T—- -Dienstes sehr große individuelle Unterschiede bestehen können, auch innerhalb der von den Stiftungen angegebenen Altersgruppen. Es ist auch möglich, dass einige Mitglieder der Anhängerschaft überhaupt keinen immateriellen Schaden erlitten haben, wobei zu berücksichtigen ist, dass sie keine Einwände gegen das T—- u. a. vorgeworfene Verhalten haben. Diese Variation führt für sich genommen nicht zu der Schlussfolgerung, dass die immateriellen Schadensersatzansprüche der Stiftungen nicht in einer Sammelklage beurteilt werden können. Denn es ist nicht erforderlich, dass der immaterielle Schaden für alle Beteiligten identisch ist. Der Gesetzgeber hat vorgesehen, dass nicht jedes Mitglied der Anhängerschaft den gleichen Schaden erlitten hat. … Der geltend gemachte … immaterielle Schaden pro T—- -Einheit resultiert aus einer gleichen Normverletzung und kann, soweit er zuerkannt werden kann, in seiner Höhe variieren, wobei eine Einteilung in Kategorien naheliegend ist. Die Schadensersatzansprüche der Stiftungen erfüllen damit das Erfordernis der Gleichartigkeit. … Die Unklarheit darüber, ob die Schadensersatzansprüche zuerkannt werden können, steht der Zulässigkeit nicht entgegen. Die Debatte darüber muss in der inhaltlichen Phase des Rechtsstreits vertieft werden, nachdem die Normverletzung, einschließlich ihrer Art und Schwere, festgestellt wurde. Auch die anderen Sammelklagen der Stiftungen eignen sich hervorragend für die Bündelung der Ansprüche einzelner Nutzer des T—- -Dienstes in Form einer Sammelklage. Sie stützen sich auf ungefähr denselben Sachverhalt, und für die Zulässigkeit ist entscheidend, ob die T—- -Unternehmen gegen die von den Stiftungen genannten Bestimmungen verstoßen haben. Die Beurteilung des den T—- -Unternehmen vorgeworfenen Verhaltens ist grundsätzlich unabhängig von der individuellen Position der Beteiligten. Die Stiftungen vertreten eine sehr große Anzahl von Nutzern des T—– -Dienstes. Ihre Ansprüche beziehen sich stets auf dasselbe Verhalten der T—- -Unternehmen, das gegenüber der sehr großen Gruppe von Personen gleich ist. Die geltend gemachten Gebote und Verbote zielen darauf ab, das gleiche mutmaßlich rechtswidrige Verhalten der T—- -Unternehmen zu beenden. … Die von T—– u. a. hervorgehobenen Unterschiede hinsichtlich der Vorwürfe, Rechtsgrundlagen, Nutzer und beklagten Unternehmen stehen einer Bündelung nicht entgegen. … Möglicherweise erfordern diese Unterschiede eine Einteilung in Nutzerkategorien und Zeiträume, wobei jede Kategorie und jeder Zeitraum gebündelt behandelt wird. …“
3.7. Im engen Zusammenhang mit der Zulässigkeitsvoraussetzung der Gleichartigkeit steht das Erfordernis in § 16 Abs. 2 Satz 1 Nr. 2 VDuG, in der Urteilsformel eines Abhilfegrundurteils die von jedem einzelnen Verbraucher gegenüber dem Sachwalter im Umsetzungsverfahren zu erbringenden Berechtigungsnachweise vorzugeben. Bei den Berechtigungsnachweisen handelt es sich vor allem um Urkunden, auch elektronische Dokumente und Augenscheinobjekte wie Fotos, eventuell Sachverständigengutachten (vgl. Voigt in: Skauradszun, VDuG, 2024, § 16 Rn. 16).
Zwar kommt eine Abweisung einer Abhilfeklage wegen Schwierigkeiten bei der Formulierung standardisierter Berechtigungsnachweise nicht in Betracht; jedoch kann dies ein Indiz dafür sein, dass die Ansprüche nicht gleichartig sind (vgl. Voigt in: Skauradszun, VDuG, 2024, § 16 Rn. 16) und das Abhilfeverfahren nicht praktikabel ist (vgl. Stadler in: Musielak/Voit, ZPO, 22. Auflage 2025, § 16 VDuG Rn. 4).
Standardisierte Berechtigungsnachweise für die Dauer des Kontrollverlustes, das Vorhandensein subjektiver Befürchtungen, die keinen Krankheitswert erreicht haben, den erstmaligen Kontrollverlust und die bis dahin erfolgte Geheimhaltung der eigenen Daten sowie die Verletzung von Grundrechten und vergleichbaren Rechten sind nicht ersichtlich. Die Vorlage der Registrierung bei der Beklagten durch einen Verbraucher würde keine Aussagekraft über die Dauer der Nutzung und das nachfolgende Nutzungsverhalten zulassen. Durch die Vorlage etwaiger Zugriffsprotokolle oder erteilter (gegebenenfalls von den Verbrauchern erstrittener) Auskünfte der Beklagten über das gespeicherte Nutzungsverhalten und die betroffenen Daten ließe sich nicht feststellen, ob der Nutzende personenidentisch mit dem registrierten Verbraucher ist. Die Klägerin geht auf Seite 26 des nachgelassenen Schriftsatzes vom 31.03.2026 selbst davon aus, dass abgeschlossene Internetverträge „mitgenutzt“ werden.
Die Fertigung und Vorlage einer individuellen eidesstattlichen Versicherung des Verbrauchers, wie von der Klägerin in der mündlichen Verhandlung und dann nochmals auf den Seiten 6 und 26 des nachgelassenen Schriftsatzes vom 31.03.2026 angedacht, scheidet nach Ansicht des Senats als Berechtigungsnachweis von vornherein aus (a.A. Stadler in: Musielak/Voit, ZPO, 22. Auflage 2025, § 16 VDuG Rn. 4). Voraussetzung für die Abgabe einer wirkungsvollen, d.h. im Falle der Unwahrheit strafbaren, Versicherung an Eides Statt im Sinne von § 156 StGB ist, dass die Behörde, wozu nach § 11 Abs. 1 Nr. 7 StGB auch ein Gericht gehört, grundsätzlich befugt ist, eine derartige Versicherung entgegenzunehmen, und die Versicherung in dem Verfahren, auf das sie sich bezieht, abgegeben werden darf (vgl. BGHSt 13, 154, 155). Hier fehlt es schon an einer Behörde, die für die Abnahme einer eidesstattlichen Versicherung zuständig ist. Der Sachwalter ist Partei kraft Amtes und Amtsträger (vgl. Dahl/Linnenbrink in: Skauradszun, VDuG, 2024, § 23 Rn. 11 und Rn. 13) und damit keine Behörde (bzw. Gericht) im Sinne von § 11 Abs. 1 Nr. 7 StGB, sondern Amtsträger gemäß § 11 Abs. 1 Nr. 2 StGB. Auch stellte eine zum Zwecke der Auskehrung eines Teils des erstrittenen kollektiven Gesamtbetrages erstellte eidesstattliche Versicherung des betroffenen Verbrauchers das Gegenteil eines standardisierten Berechtigungsnachweises dar. Erst recht stellen einfache schriftliche Erklärungen der Verbraucher keine Berechtigungsnachweise dar, sondern lediglich das Begehr, wegen des dem Abhilfeverfahren zugrunde liegenden Sachverhalts entschädigt zu werden. Inhaltlich ohne jede Aussagekraft wäre eine Versicherung dahin, das Internet „in durchschnittlichem Umfang“ zu nutzen, wie es die Klägerin auf Seite 26 des nachgelassenen Schriftsatzes vorschlägt. Es ist nicht die Aufgabe des Sachwalters, einen solchen durchschnittlichen Umfang zu ergründen, von dem auch gar nicht bekannt ist, ob es ihn gibt. Die von der Klägerin auf derselben Seite aufgestellte Vermutung, eine vertraglich zustehende Leistung werde realiter (wie und in welchem Umfang auch immer) in Anspruch genommen, existiert nicht und würde dem Sachwalter gegenüber dem einzelnen Verbraucher mangels Aussagekraft nicht weiterhelfen.
3.8. Soweit die Zuerkennung einer Mindestentschädigung infrage kommt, bei der offengelegt wird, dass sie nicht alle in Betracht kommenden erhöhenden Umstände berücksichtigt, weil individuelle Besonderheiten im Abhilfeverfahren nicht zu klären sind, stellte sich zwar nicht das rechtliche Problem, was von der Rechtskraft bei Zuerkennung einer immateriellen Teilentschädigung erfasst ist (vgl. hierzu BGH, Urteil vom 20.01.2004 – VI ZR 70/03 – juris Rn. 20), ebenso wenig die Gefahr widersprüchlicher Entscheidungen im Abhilfeverfahren und in einem etwaigen Individualrechtsstreit eines Verbrauchers gegen die Beklagte, da bei der Einforderung des Kollektivbetrages die Ansprüche der Verbraucher nicht rechtshängig werden (vgl. hierzu Stadler in: Musielak/Voit, ZPO, 22. Auflage 2025, Vorbemerkungen VDuG Rn. 22). Jedoch erscheint die Festlegung eines „ersten Teilbetrages“, der eine Vielzahl von Nutzern betreffen könnte, nicht sachgerecht und sinnvoll.
Die Zuerkennung einer derartigen Mindestentschädigung unter Ausklammerung der, wie ausgeführt, sich in einem erheblichen Maße stellender individueller Besonderheiten liefe darauf hinaus, dass die einem Verbraucher im Umsetzungsverfahren auszuzahlende Entschädigung dem tatsächlich bestehenden Anspruch nicht gerecht würde mit der Folge, dass eine Vielzahl von Individualklagen zu befürchten wären. Dies liefe dem Gesetzeszweck zuwider und entzöge dem Abhilfeverfahren das Rechtsschutzbedürfnis. Die Durchführung des Abhilfeverfahrens soll effizient sein, indem in einem einzigen Verfahren eine Vielzahl an Ansprüchen einer Klärung zugeführt werden soll, womit vermieden werden soll, dass die einzelnen Verbraucher klagen müssen, um ihre Rechte durchzusetzen. Wenn die einzelnen Verbraucher aber sowieso klagen müssen, weil ihre individuellen Besonderheiten mangels Klärung im Abhilfeverfahren nicht einbezogen werden können, ist es sinnfrei, zusätzlich eine Berechtigung des – noch dazu sehr aufwändigen – Abhilfeverfahrens anzunehmen, welches, da der Europäische Gerichtshof einen Bagatellschaden nicht anerkennt, mit minimalen Entschädigungszahlungen enden könnte, während die in Wahrheit erlittenen Beeinträchtigungen erst mittels von Individualklagen der Verbraucher gegen den Unternehmer zu klären wären. Auf Seite 7 des nachgelassenen Schriftsatzes vom 31.03.2026 stützt sich die Klägerin auf Ausführungen des Europäischen Gerichtshofs im Urteil vom 04.07.2024 – C-450/22 – zum Verhältnis von Individualklagen und Verbandsklagen, aus denen hervorgeht, dass ein „Entweder oder“, nicht aber ein kumulatives Vorgehen angedacht ist (juris Rn. 32):
„Was insbesondere das Verhältnis zwischen Individualklagen und Verbandsklagen betrifft, ist es mangels Harmonisierung der für dieses Verhältnis geltenden verfahrensrechtlichen Mittel in der Richtlinie 93/13 Sache der innerstaatlichen Rechtsordnung jedes Mitgliedstaats, entsprechende Regeln festzulegen, vorausgesetzt allerdings, dass sie nicht ungünstiger sind als diejenigen, die gleichartige Sachverhalte regeln, die dem innerstaatlichen Recht unterliegen (Äquivalenzgrundsatz), und dass sie die Ausübung der den Verbrauchern durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz) … Diese Regeln dürfen somit nicht die tatsächliche Ausübung der den Verbrauchern in der Richtlinie 93/13 eröffneten Wahlmöglichkeit beeinträchtigen, ihre Rechte entweder im Wege einer Individualklage geltend zu machen oder im Wege einer Verbandsklage, indem sie sich durch eine Organisation vertreten lassen, die ein berechtigtes Interesse an ihrem Schutz hat.“
3.9. Ungeachtet der grundsätzlichen Erwägungen unter Ziffer 3.8. sieht sich der Senat vorliegend aber auch außer Stande, eine für alle betroffenen Verbraucher angemessene Mindestentschädigung unabhängig von dem konkreten Nutzer zu bestimmen. Dies gilt nicht nur für die gerügte Datenverarbeitung, bei welcher die für eine Entschädigungszahlung entscheidenden Gesichtspunkte wesentlich von der Persönlichkeit des individuellen Verbrauchers und seinem Nutzungsverhalten abhängig sind, sondern auch für den Kontrollverlust. Zwar muss dieser als solcher nicht empfunden werden. Jedoch ist auch dieser Schaden nicht unabhängig davon, um welche Daten es sich handelt. Soweit der behauptete Kontrollverlust auf der von der Klägerin beanstandeten Datenverarbeitung beruht, gilt das hierzu Ausgeführte gleichermaßen angesichts der Verzahnung der Vorwürfe. Aber auch beim API-Bug lässt sich eine Mindestentschädigung nicht ohne Kenntnis der dem Kontrollverlust unterliegenden Daten festlegen. Wie oben unter Ziffer 3.4. d) ausgeführt, kann nicht davon ausgegangen werden, dass es bei den außer Kontrolle geratenen Daten zumindest um die E-Mail-Anschrift und/oder die Telefonnummer eines vom API-Bug betroffenen Nutzers geht, nachdem der Angriff der Unbefugten gerade mittels dieser – ihnen schon vorher bekannten – Daten gestartet wurde. Genauso kommt es für die Bestimmung eines Mindestschadens auf die Qualität der betroffenen Daten an, soweit infolge des API-Bugs die unter einem Pseudonym agierende Person identifiziert oder aber ein Konto entgegen dem Willen des Nutzers mittels Verbindung mit der E-Mail-Anschrift und/oder der Telefonnummer gefunden werden konnte.
Die Klägerin ihrerseits hat zu den im Sinne von § 16 Abs. 2 Satz 1 Nr. 1 VDuG kategorisierbaren Voraussetzungen für die Festlegung eines solchen Mindestschadens nichts Greifbares vorgetragen, auch nicht in dem nachgelassenen Schriftsatz vom 31.03.2026, obwohl sie dies in der mündlichen Verhandlung in Aussicht gestellt hat. Vielmehr räumt sie auf den Seiten 5 und 6 des Schriftsatzes ein, dass bei Klagen auf eine kollektive Gesamtleistung wesentliche Gleichartigkeit (lediglich) dann zu bejahen sei, wenn alle Ansprüche im Kern von denselben Voraussetzungen abhängen und sich verbleibende Unterschiede im Umsetzungsverfahren durch den Sachwalter voraussichtlich weitgehend formalisiert klären lassen. Im Übrigen zieht sie sich vornehmlich darauf zurück, dass das Abhilfeverfahren, da es normiert sei, nunmehr durchzuführen sei, weil anderenfalls die Rechte der Verbraucher unterlaufen würden. Diese Argumentation hilft bei der Prüfung der ebenfalls normierten Voraussetzungen einer zulässigen Abhilfeklage unterdessen nicht weiter, zumal sie verkennt, dass der Senat die Zulässigkeit der auf immateriellen Schadenersatz gerichteten Abhilfeklage speziell für den hiesigen Fall, nicht aber generell verneint. Die einzige Kategorisierung, welche die Klägerin im nachgelassenen Schriftsatz vom 31.03.2026 anbietet (Seite 25), ist – betreffend den Antrag zu 1. lit. a) – die Zuerkennung einer Entschädigung von 500,00 € für den objektiv feststellbaren Kontrollverlust und einer von 250,00 € für die objektiv feststellbare Grundrechtsbeeinträchtigung. Dies ist untunlich, weil eine immaterielle Entschädigung für einen einheitlichen Sachverhalt unter Einbeziehung aller Umstände des Einzelfalles zu bemessen ist und sich nicht aus der Summe von sich an den eingetretenen Folgen ausrichtender Einzelbeträgen zusammensetzt, während sich die Feststellung eine (Mindest-) Entschädigung ausreichend begründender Umstände, die unabhängig vom einzelnen Verbraucher sind, für den Senat, wie ausgeführt, in diesem Verfahren nicht erschließt.
II. Die Kostenentscheidung beruht auf § 13 Abs. 1 VDuG i.V.m. § 91 Abs. 1 ZPO.
III. Die Entscheidung über die vorläufige Vollstreckbarkeit des Urteils hat ihre Rechtsgrundlagen in § 13 Abs. 1 VDuG i.V.m. §§ 708, 709 ZPO.
