Source: https://www.kanzlei.biz/datenmissbrauch-aufgrund-einer-sicherheitsluecke-des-treueprogramms-priceless-specials-07-11-2019-lg-muenchen-i-34-o-13123-19/
Timestamp: 2020-02-24 18:38:09
Document Index: 255305278

Matched Legal Cases: ['Art. 17', '§ 253', 'BGH', 'BGH', 'BGH', '§ 308', '§ 322', '§ 890', '§ 253', '§ 890', '§ 253', 'BGH', '§ 1004', '§ 53', '§ 3', '§ 3']

Datenmissbrauch aufgrund einer Sicherheitslücke bei Treueprogramm › kanzlei.biz
Sie befinden sich hier: kanzlei.biz > Urteile > Allgemein > Datenmissbrauch aufgrund einer Sicherheitslücke des Treueprogramms „Priceless Specials“
Az.: 34 O 13123/19
Der Streitwert wird auf 1.500,– Euro festgesetzt.
Daraufhin kursierte im Internet eine Datei mit sensiblen Datensätzen von 90.000 Nutzern der „Priceless Specials“-Plattform. Dieser Datensatz beinhaltete eine teilweise verdeckte Version der Kreditkartennummer, Name, Anschrift, Geburtsdatum, Telefonnummer und E-Mail-Adresse der jeweiligen Kartenbesitzer. Wenig später wurde – nach einem Bericht der … Zeitung (Anlage ASt 5) – eine zweite Datei mit den vollständigen Kreditkartennummern von 80.000 betroffenen Nutzern veröffentlicht. Als Reaktion hierauf hat die Verfügungsbeklagte die Internetseite zum Programm „Priceless Specials“ abgeschaltet, über die Internetseite der „…“ war ein Login zur „Priceless Specials“-Plattform bis zum 28.08.2019 möglich.
Die Eilbedürftigkeit ergebe sich daraus, dass sich der Verfügungskläger – wie jeder Internet-Nutzer – vor Identitätsdiebstählen schützen müsse. Es müsse davon ausgegangen werden, dass seine personenbezogenen Daten bei der Verfügungsbeklagten nicht sicher seien. Die Verfügungsbeklagte verfüge über zahlreiche weitere Informationen über den Verfügungskläger, wie etwa seine Einkaufsgewohnheiten. Selbst wenn die Daten des Verfügungsklägers in den bisher veröffentlichten Dateien noch nicht enthalten und die Daten nicht entwendet worden sein sollten, bestünde eine Erstbegehungsgefahr, da die Verfügungsbeklagte die Plattform „Priceless Specials“ über eine Woche nicht abgeschaltet habe, nachdem das Bestehen einer Sicherheitslücke bekannt gewesen sei. Es bestehe die Gefahr, zu weiteren Betroffenen zu gehören.
Die Verfügungsbeklagte habe sich wegen der besonderen Sensibilität der von ihr verwalteten Daten – wie alle anderen Kreditkartenunternehmen – dazu verpflichtet, den sogenannten „Payment Card Industry Data Securitiy Standard“ (kurz: PCI DSS) einzuhalten, also einen Branchenstandard, der für die personenbezogenen Daten der Kreditkartenunternehmen höchstmögliche Sicherheitsmaßnahmen vorsehe (Anlage ASt 9).
Eine Wiederholungsgefahr werde nicht bereits durch Einstellung des rechtswidrigen Verhaltens beseitigt, sondern durch Abgabe einer strafbewehrten Unterlassungserklärung oder durch ein gerichtliches Unterlassungsgebot. Zudem sei die „Priceless Specials“-Plattform mittlerweile schon wieder – unter einer anderen URL (https://….aspx) – erreichbar (Anlage ASt 10).
Die Verfügungsbeklagte macht geltend, dass der Verfügungskläger, der zwar Nutzer der betroffenen Plattform sei, von dem streitgegenständlichen Datenschutzvorfall nicht betroffen sei. Die E-Mail vom 22.08.2019 habe der Verfügungskläger nur erhalten, weil diese als Vorsichtsmaßnahme an sämtliche Nutzer der Plattform übersandt worden sei. Es liege daher keine (drohende) Rechtsverletzung des Verfügungsklägers vor. Daten des Verfügungsklägers seien nie öffentlich gemacht worden und drohten auch nie veröffentlicht zu werden. Es fehle es bereits an einer Anspruchsgrundlage. Des Weiteren sei der Antrag zu unbestimmt, insbesondere dürfe der Antrag nicht so unbestimmt formuliert sein, dass es dem Vollstreckungsgericht überlassen bleibe, was der Verfügungsbeklagten aufzugeben sei. Weiter fehle es am Rechtsschutzbedürfnis, da der Verfügungskläger sein Begehren im Wege eines Löschungsantrags nach Art. 17 DS-GVO durchsetzen könne. Zudem habe der Verfügungskläger keine konkrete Gefahr und keine Wiederholungsgefahr dargelegt. Die Verfügungsbeklagte trägt vor, dass die Plattform und das Programm „Priceless Specials“ abgestellt worden seien. Ferner habe sie die „…“ angewiesen, die Internetseite des Programms aus dem Internet zu nehmen. Die Plattform sei derzeit offline und werde weiter offline bleiben, bis sichergestellt sei, dass kein vergleichbarer Zwischenfall auftreten könne. Die Plattform sei durch die „…“ kurzzeitig allein aus dem Grund wieder geöffnet worden, um im Zusammenhang mit der forensischen Untersuchung des Datenschutzvorfalls zusätzliche Informationen zu sammeln und diesbezügliche IT-Checks durchzuführen. Als Folge sei die Internetseite – wie vom Verfügungskläger beschrieben – für einen begrenzten Zeitraum erreichbar gewesen. Seit dem 29.09.2019 sei der Zugang beseitigt. Die Gefahr eines Betrugs sei ohnehin bereits weitestgehend ausgeschlossen, weil die Ablaufdaten der Kreditkarten und ihre Sicherheitscodes (sog. CVC-Code) nicht veröffentlicht worden seien.
I. Der Antrag des Verfügungsklägers erfüllt nicht die Anforderungen des in § 253 Abs. 2 Nr. 2 ZPO verankerten Bestimmtheitserfordernisses. Erforderlich ist ein bestimmter Antrag. Er muss -aus sich heraus verständlich – Art (Leistung, Feststellung, Gestaltung) und Umfang des begehrten Rechtsschutzes nennen und ist damit ein wesentliches Element zur Bestimmung des Streitgegenstandes. Nach der Rechtsprechung des Bundesgerichtshofs (vgl. BGH NJW 1999, 954; NJW 2003, 668, 669; BGH NJW 2013, 1367 Rn. 12; NJW 2016, 317 Rn. 8ff.; NJW 2016, 708 Rn. 8ff.; s. a. BGH NJW 2008, 1384, 1385) ist ein Klageantrag im Allgemeinen dann hinreichend bestimmt, wenn er den erhobenen Antrag konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 ZPO) absteckt, Inhalt und Umfang der begehrten Entscheidung (§ 322 ZPO) erkennen lässt, das Risiko eines Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeiten auf den Beklagten abwälzt und schließlich eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt. Prüfungsmaßstab für die hinreichende Bestimmtheit ist demnach immer die Eignung des Urteils für die Vollstreckung. Der Verfügungskläger beantragt, es „zu unterlassen, die Plattform Priceless Specials zu betreiben, ohne die Sicherheitsmaßnahmen des PCI DSS-Standards einzuhalten, insbesondere die Plattform beim Bekanntwerden von Sicherheitslücken weiter zu betreiben.“
Dieser Antrag ist – auch nach Abänderung des Antrags in der mündlichen Verhandlung – nicht hinreichend bestimmt, da es an einem vollstreckungsfähigen Inhalt mangelt. Das zu unterlassende Verhalten ist nicht so konkret bezeichnet, dass die Verfügungsbeklagte ihr Risiko erkennen und ihr Verhalten darauf einrichten könnte. Die Verfügungsbeklagte müsste absehen können, wann eine Vollstreckungshandlung aufgrund einer Zuwiderhandlung droht. Dies ist vorliegend nicht der Fall. Die Problematik ausreichender Bestimmtheit ist bei Unterlassungsanträgen parallel zu der Frage der Vollstreckbarkeit des jeweils geschaffenen Titels nach § 890 ZPO zu beantworten. Sowohl hinsichtlich des Antrags nach § 253 Abs. 2 Nr. 2 ZPO als auch bezogen auf § 890 Abs. 1 ZPO muss die Verfügungsbeklagte erkennen können, welche Leistung sie zu erbringen hat.
Zwar muss der Verfügungsbeklagten als potentielle Störerin grundsätzlich die Wahl zwischen mehreren Möglichkeiten der Beseitigung offen bleiben, jedoch muss durch den Antrag weiterhin dem Bestimmtheitserfordernis des § 253 Abs. 2 Nr. 2 ZPO Rechnung getragen werden. Ein unbestimmter Tenor wäre nicht vollstreckbar. Diesem Erfordernis ist der Antragsteller nicht hinreichend nachgekommen. Aus dem Antrag ist nicht hinreichend ersichtlich, welche Maßnahmen die Verfügungsbeklagte konkret zur Erfüllung ihrer Pflicht zu ergreifen hat. Ohne eine solche Konkretisierung ist für die Verfügungsbeklagte aber nicht klar, wann sie ihrer Pflicht Genüge getan hat und wann sie sich einer Haftung bzw. einer Vollstreckung aussetzen würde. Die Grenzen sind für sie in keiner Weise ersichtlich. Die ausreichende Bestimmtheit des Antrags ergibt sich auch nicht aus dem PCI DSS-Standard. Der PCI DSS enthält durchaus Anforderungen an die Sicherheitsstandards für Kreditkartendaten. Gegenstand des Antrags sind jedoch nicht bestimmte Anforderungen des PCI DSS, gegen die die Verfügungsbeklagte verstoßen haben soll und die zu dem Sicherheitsvorfall geführt haben sollen. Demzufolge fehlt es an der erforderlichen und zumutbaren Konkretisierung. Darüber hinaus ist für das Vollstreckungsgericht – auch angesichts des umfassenden Regelwerks des PCI DSS-Standards – nicht hinreichend deutlich, welche Maßnahmen zu welchem Zeitpunkt von der Verfügungsbeklagten veranlasst werden müssten.
Des Weiteren fehlt vorliegendem Antrag das Rechtsschutzbedürfnis, da der Verfügungskläger die Möglichkeit hat, der maschinellen Verarbeitung seiner Daten durch die Verfügungsbeklagte zu widersprechen und die Vertragsbindung hinsichtlich seiner Kreditkarte zu beenden. Nach Ansicht des Gerichts kann der Verfügungskläger mit den Ausführungen, dass die „Hau doch ab, wenn’s dir nicht passt!“-Argumentation der Verfügungsbeklagten der Tatsache nicht gerecht werde, dass der Verfügungskläger ein Interesse daran haben dürfe, die Vorzüge des Bonusprogramms der Verfügungsbeklagten weiterhin zu nutzen und dass es allein Aufgabe der Verfügungsbeklagten sei, die gesetzlich vorgesehenen Maßnahmen zu ergreifen, um eine sichere Verarbeitung der Daten des Verfügungsklägers zu gewährleisten, nicht durchdringen. Seitens des Gerichts kann schon nicht nachvollzogen werden, weshalb der Verfügungskläger, der der Verfügungsbeklagten als seiner Vertragspartnerin offensichtlich nicht mehr das nötige Vertrauen entgegenbringt, dass diese die hohen Sicherheitsstandards einhält, trotzdem die Vertragsbeziehungen aufrechterhalten will. Unabhängig davon ist zwingende Prozessvoraussetzung ein allgemeines Rechtsschutzinteresse oder Rechtsschutzbedürfnis, d.h. ein schutzwürdiges Interesse an der gerichtlichen Geltendmachung des eingeklagten Rechts. Das Rechtsschutzbedürfnis kann fehlen, wenn das verfolgte Begehren auf einem einfacheren Weg zu erlangen ist (BGH NJW-RR 2010, 19). Dies ist vorliegend der Fall: Die Möglichkeit, der maschinellen Verarbeitung seiner Daten zu widersprechen und die Vertragsbindung hinsichtlich seiner Kreditkarte zu beenden, wäre der einfachere Weg für den Verfügungskläger, seine Bedenken im Hinblick auf die Verarbeitung seiner personenbezogenen Daten auszuräumen. Mit diesem schnelleren und billigeren Mittel des Rechtsschutzes lässt sich vergleichbar sicher oder wirkungsvoll das erforderliche Rechtsschutzziel – der Schutz der Daten des Verfügungsklägers – herbeiführen.
Ein Anspruch aus § 1004 BGB ist nicht hinreichend glaubhaft gemacht. Voraussetzung des Unterlassungsanspruchs ist das Vorliegen einer Beeinträchtigungsgefahr. Diese ist entweder Wiederholungsgefahr, wenn es in der Vergangenheit bereits zu einer Beeinträchtigung gekommen ist, oder Erstbegehungsgefahr, wenn aufgrund objektiver Umstände eine erstmalige Beeinträchtigung unmittelbar bevorsteht. Nach dem Vortrag des Verfügungsklägers lässt sich vorliegend eine Glaubhaftmachung weder im Hinblick auf eine Wiederholungs- noch auf eine Erstbegehungsgefahr ableiten. Bereits nach dem Vortrag des Verfügungsklägers ist es in der Vergangenheit nicht zu einer vollendeten Beeinträchtigung gekommen, demzufolge eine Vermutung der Wiederholungsgefahr schon nicht in Betracht kommt. Des Weiteren hat die Verfügungsbeklagte hinreichend dargelegt und glaubhaft gemacht, welche Maßnahmen sie nach Bekanntwerden des Vorfalls ergriffen hat. Dass diese Maßnahmen unzureichend wären, zeigt der Verfügungkläger nicht auf – insbesondere auch nicht, was seitens der Verfügungsbeklagten noch veranlasst wäre. Die Verfügungsbeklagte hat glaubhaft gemacht, dass die streitgegenständliche Plattform nicht mehr in Betrieb ist (Anlage AG 22). Daran ändert auch der Umstand nicht, dass sie unstreitig zwischenzeitlich wieder kurzfristig über die Internetseite der „…“ online war. Die Verfügungsbeklagte hat diese für einen begrenzten Zeitraum bestehende Erreichbarkeit mit der forensischen Untersuchung und diesbezüglichen IT-Checks erklärt. Eine Wiederholung des streitgegenständlichen Datenlecks würde voraussetzen, dass sich die Verfügungsbeklagte nicht nur entscheidet, dass die Plattform wieder online gestellt wird, sondern auch, dass die Plattform unverändert wieder online stellt, ohne irgendwelchen weiteren Sicherheitsmaßnahmen zu ergreifen. Das Vorliegen einer Wiederholungsgefahr ergibt sich auch nicht aus dem Vortrag des Verfügungsklägers, dass die Internetseite „Priceless Specials“ bereits unter einer anderen URL wieder erreichbar sei. Die Verfügungsbeklagte hat in diesem Zusammenhang glaubhaft gemacht, dass es sich hierbei um eine reine Testumgebung ohne Zugriff auf personenbezogene Daten von „Priceless Specials“-Nutzern handelt. Der Verfügungskläger konnte auf Nachfrage des Gerichts im Rahmen der mündlichen Verhandlung insbesondere schon keine Angaben dazu machen, ob unter der von ihm genannten URL eine Anmeldung mit seinen bisherigen Login-Daten möglich ist.
Die Festsetzung des Streitwertes folgt aus § 53 Abs. 1 Nr. 1 GKG i.V.m. § 3 ZPO. Der Hauptsachewert beträgt 4.500,– Euro. Von diesem ist grundsätzlich ein Drittel anzusetzen (vgl. Zöller, ZPO § 3 Rn. 16).
Aktenzeichen: 34 O 13123/19
Verfügungskläger: Teilnehmer am Bonusprogramm
Verfügungsbeklagte: Kreditkartenunternehmen
1. Instanz: LG München I, Az.: 34 O 13123/19 am 07.11.2019
Datenverarbeitung einstweilige Verfügung personenbezogene Daten Unterlassungsantrag Wiederholungsgefahr