4 U 172/23

Leitsatz: 1. Ein Klageantrag ist grundsätzlich hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO, wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 ZPO) absteckt und Inhalt sowie Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennen lässt, das Risiko eines Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abwälzt und eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt. (Rn.42) 2. Ein Antrag, "es zu unterlassen, personenbezogene Daten der Klägerseite, insbesondere die Telefonnummer, unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen", ist unbestimmt, weil sich aus ihm nicht mit hinreichender Deutlichkeit ergibt, welches konkrete Verhalten dem Beklagten verboten werden soll. (Rn.44) 3. Die Verwendung auslegungsbedürftiger Begriffe kann nur dann hingenommen werden, wenn über den Sinngehalt der verwendeten Begriffe kein Zweifel besteht, so dass die Reichweite von Antrag und Urteil feststeht (vgl. u.a. BGH, 11. Februar 2021, I ZR 227/19). (Rn.45) 1. Auf die Berufung der Beklagten wird das Urteil des Landgerichts Ulm vom 21.09.2023 - Az. 4 O 18/23 - abgeändert: Die Klage wird abgewiesen. 2. Die Berufung des Klägers gegen das Urteil des Landgerichts Ulm vom 21.09.2023 - Az. 4 O 18/23 - wird zurückgewiesen. 3. Der Kläger trägt die Kosten des Rechtsstreits in beiden Instanzen. 4. Das Urteil des Senats und – soweit die Berufung zurückgewiesen wurde – das in Ziffer 1 genannte Urteil des Landgerichts Ulm sind vorläufig vollstreckbar. 5. Die Revision wird nicht zugelassen. 6. Der Streitwert für das Berufungsverfahren wird auf 6.750,00 € festgesetzt. I. Die Parteien streiten um Schadenersatz-, Feststellungs-, Unterlassungs- und Auskunftsansprüche nach der Datenschutzgrundverordnung (künftig: DSGVO) aus einem Scraping-Vorfall auf der Plattform der Beklagten (dem Abgreifen von personenbezogenen Daten aus dem Contact-Importer-Tool der Beklagten), der im April 2021 bekannt geworden ist. Der Kläger unterhält ein Nutzerkonto bei der Beklagten, die das soziale Netzwerk Fxxx betreibt. Es kam laut Kläger zu einem Abgreifen seiner persönlichen Daten, wobei das Vorgehen im Detail zwischen den Parteien streitig ist. In einer im April 2021 veröffentlichten und öffentlich abrufbaren Leak-Datei wurden nach Angaben des Klägers verschiedene ihn betreffende personenbezogene Daten mitgeteilt, u.a. auch seine Telefonnummer. Der Kläger macht eine Vielzahl von Datenschutzverstößen durch die Beklagte geltend, die sich sowohl auf die Erstregistrierung, auf die Weiterverarbeitung der Daten nach Inkrafttreten der Datenschutzgrundverordnung sowie die Behandlung des Scraping-Vorfalls nach dessen Bekanntwerden erstrecken. Insbesondere habe die Beklagte keine ausreichenden Sicherheitsmaßnahmen vorgehalten, um eine Ausnutzung des Contact-Importer-Tools (künftig: CIT) zu verhindern. Zwischen den Parteien besteht dabei im Wesentlichen Streit, ob - eine Pflichtverletzung als Grundlage für einen Schadensersatzanspruch nach Art. 82 DSGVO vorliegt, weil der Kläger einen kausalen Schaden erlitten hat, - der Kläger deshalb Feststellung einer weiteren Ersatzpflicht, Unterlassung und Auskunft verlangen kann. Mit dem angefochtenen Urteil hat das Landgericht die Beklagte unter Abweisung der Klage im Übrigen zur Zahlung eines Betrages in Höhe von 350,00 € und vorgerichtlich angefallener Rechtsanwaltskosten aus einen Streitwert von bis zu 3.000,00 € sowie dazu verurteilt, es zu unterlassen, die Telefonnummer der Klägerseite durch Kontaktvorschläge für Dritte, welche diese Telefonnummer abfragen, mit dem Fxxxprofil des Klägers zu verknüpfen, solange der Kläger hierzu nicht ausdrücklich einwilligt. Hinsichtlich des Zeitpunkts des Datenabgriffs wurde im unstreitigen Tatbestand des landgerichtlichen Urteils der erstinstanzliche Vortrag der Beklagten übernommen, wonach Dritte im Zeitraum von Januar 2018 bis September 2019 die Daten gesammelt hätten. Ohne Auseinandersetzung mit der zeitlichen Anwendbarkeit der DSGVO wird ausgeführt, die Beklagte habe - ihren Informations- und Aufklärungspflichten nicht genügt, weil der Abgleich der Mobilnummer nicht mitgeteilt worden sei (Art. 13 DSGVO), - keine ausreichenden Sicherungsmaßnahmen vorgehalten, um einen Missbrauch durch das CIT zu verhindern (Artt. 32, 24, 5 Abs. 1 lit. 1 f) DSGVO), - entgegen Art. 33 DSGVO nicht die Aufsichtsbehörde informiert, - den Kläger nicht über den Scraping-Vorfall benachrichtigt (Art. 34 DSGVO). Dem Kläger sei hierdurch ein kausaler immaterieller Schaden im Sinne des Art. 82 DSGVO entstanden. Der Unterlassungsantrag sei teilweise begründet, weil der Kläger gemäß Art. 17 DSGVO verlangen könne, dass seine Mobilfunknummer nicht weiter ohne Zustimmung in der CIT-Software verwendet wird. Wegen des Vorbringens der Parteien in erster Instanz, des Verfahrensganges und des Urteilsinhalts wird im Übrigen Bezug genommen auf den Tatbestand und die Entscheidungsgründe der angefochtenen Entscheidung (§ 540 Abs. 1 Nr. 1 ZPO). Gegen das beiden Parteien am 25.09.2023 zugestellte Urteil haben beide Seiten am 20.10.2023 Berufung eingelegt und diese jeweils innerhalb der verlängerten Berufungsbegründungsfristen begründet. Die Berufung der Beklagten will eine vollumfängliche Abweisung der Klage erreichen, da die angeblichen Verstöße nicht vom Schutzbereich des Art. 82 DSGVO erfasst seien, kein Verstoß gegen die DSGVO vorliege und es zudem an einem Verschulden und einem ersatzfähigen immateriellen Schaden fehle. Die Beklagte beantragt, das Urteil des Landgerichts Ulm vom 21. September 2023, Az. 4 O 18/23 im Umfang der Beschwer der Beklagten abzuändern und die Klage abzuweisen. Der Kläger verfolgt mit seiner Berufung dagegen die in erster Instanz gestellten Anträge in vollem Umfang weiter und beantragt: 1. Die Beklagte wird verurteilt, an die Klägerseite als Ausgleich für die Ermöglichung der unbefugten Ermittlung der Telefonnummer (0xxx) sowie der im Zusammenhang erfolgten Offenlegung weiterer personenbezogener Daten der Klägerseite wie Vorname, Nachname, Geschlecht und Geburtsdatum einen immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, aber mindestens 1.000,00 EUR betragen sollte, nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit Rechtshängigkeit zu zahlen. 2. Es wird festgestellt, dass die Beklagte verpflichtet ist, der Klägerseite sämtliche materiellen künftigen Schäden zu ersetzen, die der Klägerseite durch die Offenlegung und den folgenden unbefugten Zugriff Dritter auf die bei der Beklagten im Fxxx-Profil der Klägerseite gespeicherter Daten ("FxxxDatenleak") künftig entstehen werden. 3. Die Beklagte wird verurteilt, an die Klägerin für die Nichterteilung einer den gesetzlichen Anforderungen entsprechenden außergerichtlichen Datenauskunft i.S.d. Art. 15 DSGVO einen weiteren immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, den Betrag von 650,00 EUR aber nicht unterschreiten sollte, nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit Rechtshängigkeit zu zahlen. 4. Die Beklagte wird verurteilt, der Klägerseite Auskunft über die die Klägerseite betreffenden weiteren personenbezogenen Daten zu erteilen, die durch Unbefugte erlangt werden konnten, namentlich welche Daten außer der Telefonnummer der Klägerseite durch welche Empfänger zu welchem Zeitpunkt bei der Beklagten durch "Web Scraping", die Anwendung des Kontaktimporttools oder auf andere Weise unbefugt erlangt werden konnten. 5. Die Beklagte wird verurteilt, es bei Meidung eines für jeden Fall der Zuwiderhandlung vom Gericht festzusetzenden Ordnungsgeldes bis zu 250.000,00 EUR, ersatzweise an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft, oder einer an ihrem gesetzlichen Vertreter (Director) zu vollstreckender Ordnungshaft bis zu sechs Monaten, im Wiederholungsfall bis zu zwei Jahren, zu unterlassen, personenbezogene Daten der Klägerseite, insbesondere die Telefonnummer offen zu legen, insbesondere unbefugten Dritten zugänglich zu machen, wie geschehen anlässlich des sogenannten Fxxx-Datenleaks. 6. Die Beklagte wird verurteilt, die Klägerseite von vorgerichtlichen Rechtsanwaltskosten in Höhe von 800,39 EUR zuzüglich Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz gegenüber den Prozessbevollmächtigten der Klägerseite freizustellen. Der Senat hat mit Verfügung vom 15.01.2024 darauf hingewiesen, dass nach dem erstinstanzlichen Vorbringen der Parteien unklar erscheint, ob davon ausgegangen werden kann, dass der behauptete Datenabgriff zu einem Zeitpunkt erfolgt ist, in dem die DSGVO bereits in Kraft getreten war. Während die Klägerseite im Rahmen der Klageschrift vom 19.01.2023 ausgeführt hatte, "vermutlich" im Jahr 2019 sei es zu dem Datenabgriff gekommen (vgl. S. 4 und 6 der Klageschrift), hatte die Beklagte dies erstinstanzlich zwar nicht ausdrücklich in Abrede gestellt, aber auf Seite 14 der Klagerwiderung vom 04.05.2023 den Zeitraum des Scrapingvorfalls selbst auf den Zeitraum Januar 2018 bis September 2019 datiert, ohne näher zu erläutern, warum dieser Zeitraum von den Angaben abweicht, welche die Beklagte in ihrer Pressemitteilung vom 06.04.2021 gemacht hatte. Auf diese Verfügung hat der Kläger mit Schriftsatz vom 14.02.2024 klargestellt, dass ausdrücklich auf das Jahr 2019 abgestellt werden soll. Nachdem auch die Beklagte mit Schriftsatz vom 17.01.2024 ausdrücklich darauf verwiesen hatte, dass ein Abgriff der Daten des Klägers auch zu einem Zeitpunkt erfolgt sein könne, zu dem die DSGVO noch nicht anwendbar gewesen sei, hat der Senat mit Verfügung vom 15.02.2024 auf eine insoweit bestehende sekundäre Darlegungslast auf Seiten der Beklagten hingewiesen, worauf diese mit Schriftsatz vom 16.03.2024 ausgeführt hat, - die Pressemitteilung sei unmittelbar nach Bekanntwerden des Artikels des "Business-Insider" veröffentlicht worden, um zeitnah zu den entsprechenden Medienberichten Stellung zu nehmen, - die Sachlage sei zu diesem Zeitpunkt noch untersucht worden, weshalb die Informationen der Pressemitteilung auf dem damaligen Erkenntnisstand beruht hätten, - die Pressemitteilung lasse angesichts der Formulierung "vor 2019" das konkrete Datum des Abgriffs offen, - in der Pressemitteilung sei auf die Behebung des Problems im Jahr 2019 abgestellt worden, so dass daraus kein Rückschluss auf das konkrete Abgriffsdatum gezogen werden könne. Die Beklagte hat weiter ausgeführt, sie sei nicht im Besitz der Rohdaten, welche die durch das Scraping abgerufenen Daten enthielten und aufgrund der seit dem Sachverhalt vergangenen Zeit würden auch keine Log-Dateien oder Ähnliches vorgehalten, die ihr die Aufklärung ermöglichen könnten, wie der Scraping-Sachverhalt genau abgelaufen sei und wann die Daten der jeweiligen Klagepartei abgegriffen worden seien. Nach den Vorgaben der DSGVO wäre sie gar nicht berechtigt, derartige Log-Dateien vorzuhalten. Ihr sei daher nicht bekannt, wer die Scraper gewesen seien und auch nicht, welches Fxxx-Konto verwendet worden sei, um das Fxxx-Profil des Klägers einzusehen. Deshalb sei es möglich, dass der Abgriff auch vor dem Inkrafttreten der DSGVO stattgefunden habe. Von Seiten des Klägers ist daraufhin in der mündlichen Verhandlung vom 10.04.2024 erklärt worden, dass auch er nicht sagen könne, von wem die Daten gescraped wurden. Wegen des weiteren Vortrags der Parteien wird auf die gewechselten Schriftsätze nebst Anlagen sowie auf das Protokoll der mündlichen Verhandlung vom 10.04.2024 Bezug genommen. II. Die Berufungen der Beklagten als auch des Klägers sind zulässig. Sie wurden form- und fristgerecht eingelegt und begründet. Die Berufung der Beklagten hat in vollem Umfang Erfolg. Der vom Landgericht zugesprochene Unterlassungsantrag ist schon nicht zulässig. Daneben kann nicht ausreichend sicher festgestellt werden, dass der Abgriff der Daten des Klägers erst nach dem Inkrafttreten der DSGVO (am 25.05.2018) stattgefunden hat. Die Berufung des Klägers ist daher unbegründet. 1. Soweit sich die Beklagte gegen die vom Landgericht zugesprochenen Unterlassungsansprüche richtet, ist die Berufung erfolgreich, weil der Antrag nicht zulässig ist. a. Das Landgericht hat sich mit der Zulässigkeit des vom Kläger gestellten Unterlassungsantrags nicht auseinandergesetzt, diesen in der gestellten Version aber für unbegründet erklärt, dann jedoch in einer selbst formulierten Fassung zugesprochen. Dabei bleibt unklar, ob dies ein noch von der Vorschrift des § 308 ZPO gedecktes "Weniger" gegenüber der vom Kläger beantragten Fassung darstellen soll oder etwas anderes zugesprochen wurde, als der Kläger begehrt. Dies kann letztlich dahinstehen, denn die Beklagte rügt zu Recht die Zulässigkeit des vom Kläger gestellten Unterlassungsantrags. Maßstab der Prüfung bleibt für die Frage der Zulässigkeit des Antrags dabei die Formulierung, die der Kläger bei seiner ursprünglichen Antragstellung gewählt hat, nachdem er sich auch im Rahmen des Berufungsverfahrens nicht etwa die vom Landgericht gewählte Formulierung zu eigen gemacht hat, sondern den erstinstanzlich gestellten Antrag wiederholt haben. b. Der auf Unterlassung gerichtete Klagantrag Ziffer 4 ist nicht hinreichend bestimmt und damit unzulässig. (1.) § 253 Abs. 2 Nr. 2 ZPO verlangt einen bestimmten Antrag, der aus sich heraus verständlich ist. Ein Klageantrag ist grundsätzlich hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO, wenn er den erhobenen Anspruch konkret bezeichnet, dadurch den Rahmen der gerichtlichen Entscheidungsbefugnis (§ 308 ZPO) absteckt und Inhalt sowie Umfang der materiellen Rechtskraft der begehrten Entscheidung (§ 322 ZPO) erkennen lässt, das Risiko eines Unterliegens des Klägers nicht durch vermeidbare Ungenauigkeit auf den Beklagten abwälzt und eine Zwangsvollstreckung aus dem Urteil ohne eine Fortsetzung des Streits im Vollstreckungsverfahren erwarten lässt. (2.) Diesen Bestimmtheitsanforderungen genügt der Unterlassungsantrag des Klägers nicht. (a.) Der erste abstrakt formulierte Teil des Unterlassungsantrags, "es zu unterlassen, personenbezogene Daten der Klägerseite, insbesondere die Telefonnummer, unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen", ist unbestimmt, weil sich aus ihm nicht mit hinreichender Deutlichkeit ergibt, welches konkrete Verhalten der Beklagten vorliegend verboten werden soll. So ist dem Antrag bereits nicht eindeutig zu entnehmen, ob der Beklagten die Verwendung einer Software zum Importieren von Kontakten gänzlich verboten werden soll oder ob lediglich die Verwendung einer derartigen Software nicht dazu führen darf, dass "unbefugte Dritte" Zugriff auf personenbezogene Daten erlangen können. Außerdem bedarf der Begriff der "unbefugten Dritten" der Auslegung. Letzteres ist zwar auch im Rahmen von Unterlassungsanträgen nicht schlechthin unzulässig. Die Verwendung auslegungsbedürftiger Begriffe kann allerdings nur dann hingenommen werden, wenn über den Sinngehalt der verwendeten Begriffe kein Zweifel besteht, so dass die Reichweite von Antrag und Urteil feststeht (vgl. BGH Urteil vom 11.02.2021, WM 2022, 1348; BGH, Urt. v. 1.12.1999 – I ZR 49/97, BGHZ 143, 214). Das ist hier nicht der Fall. So bleibt insbesondere offen, ob etwa unter "unbefugten Dritten" lediglich sogenannte Scraper zu verstehen sind oder ob mit diesem Begriff auch bestimmte reguläre Fxxx-Nutzer gemeint sein sollen, etwa solche, die nicht der Zielgruppenauswahl des Klägers entsprechen (also z.B. keine "Freunde" oder "Freunde von Freunden" sind). (b.) Die Bestimmtheit des Unterlassungsantrags wird auch nicht dadurch hergestellt, dass der Antrag mit dem Zusatz versehen ist "wie geschehen anlässlich des sog. Fxxx-Datenleaks, das nach Aussage der Beklagten im Jahr 2019 stattfand". Zwar ist ein Unterlassungsantrag regelmäßig hinreichend bestimmt, wenn die konkret angegriffene Verletzungsform Antragsgegenstand ist. Auch kann eine – wie vorliegend – im Klageantrag enthaltene abstrakte Umschreibung durch einen Hinweis auf die konkret beanstandete Verletzungshandlung (etwa einen "wie geschehen…"-Zusatz) näher bestimmt werden, indem die konkrete Verletzungsform zum Gegenstand des mit der Klage geltend gemacht Unterlassungsantrags wird (BGH GRUR 2011, 742 Rn. 17 - Leistungspakete im Preisvergleich; Köhler/Bornkamm/Feddersen/Köhler/Feddersen, 42. Aufl. 2024, UWG § 12 Rn. 1.43). Im vorliegenden Fall vermag indes die Bezugnahme auf die "konkrete Verletzungsform" dem Antrag nicht zu der gebotenen Bestimmtheit zu verhelfen. Zunächst steht nicht einmal fest, wie das streitgegenständliche "Abschöpfen" der Daten des Klägers von der Plattform der Beklagten konkret abgelaufen ist. Selbst wenn die Einzelheiten feststünden, hätte der Klageantrag die stattgefundene Verletzungsform zu beschreiben und zwar so genau wie eben möglich. Die vorliegende Bezugnahme "wie geschehen anlässlich des sogenannten Fxxx-Datenleaks, das nach Aussage der Beklagten im Jahr 2019 stattfand" nimmt zwar auf einen konkreten Vorfall aus der Vergangenheit Bezug, lässt jedoch jegliche Beschreibung desselben vermissen. Es liegt auf der Hand, dass das zuständige Vollstreckungsorgan daher eine Zuwiderhandlung gegen das begehrte Unterlassungsgebot nicht feststellen könnte, selbst wenn sich derselbe Vorfall wiederholen würde. Erst recht könnte ein Verstoß gegen andere, ähnliche (kerngleiche) Verletzungshandlungen nicht festgestellt werden. 2. Im Übrigen ist die allein auf Verstöße gegen die DSGVO gestützte Klage unbegründet, weil nicht mit der notwendigen Sicherheit festgestellt werden kann, dass es zu einem Abgriff der Daten des Klägers während der zeitlichen Geltung der DSGVO ab dem 25.05.2018 gekommen ist. a. Die Schlüssigkeit einer Klage – dazu gehört auch, ob eine Anspruchsnorm zeitlich überhaupt anwendbar ist – beurteilt sich nach dem klägerischen Vorbringen im Zeitpunkt der letzten mündlichen Tatsachenverhandlung (Zöller/Vollkommer, ZPO, 35. Aufl. 2024, § 300 Rn. 3). Eine Partei ist nicht gehindert, ihr Vorbringen im Laufe des Rechtsstreits zu ändern, insbesondere zu präzisieren, zu ergänzen oder zu berichtigen (BGH, Beschluss vom 24.07.2018, VI ZR 599/16 Rn. 12, WM 2018, 1833 [1834]; BGH, Beschluss vom 21.07.2011, IV ZR 216/09 Rn. 6). Sie ist auch in der Berufungsinstanz nicht an ihr erstinstanzliches Vorbringen gebunden. Eine Partei darf auch nur vermutete Tatsachen vortragen und unter Beweis stellen, wenn sie darüber keine genaueren Kenntnisse hat oder haben kann, sofern sie die Tatsachen nach Lage der Dinge für wahrscheinlich hält (BGH NJW 2021, 1759 [1761 Rn. 18]; BGHZ 216, 245 [257 Rn. 33]). Unzulässig wird ein solches Vorgehen erst dort, wo die Partei ohne greifbare Anhaltspunkte für das Vorliegen eines bestimmten Sachverhalts willkürlich Behauptungen "aufs Geratewohl" oder "ins Blaue hinein" aufstellt. Bei der Annahme von Willkür in diesem Sinne ist Zurückhaltung geboten; in der Regel wird sie nur beim Fehlen jeglicher tatsächlichen Anhaltspunkte gerechtfertigt werden können (BGH NJW-RR 2015, 829 [830 Rn. 13]). Erforderlich ist insgesamt, dass klargestellt wird, welche Behauptungen gelten sollen. Ausgehend davon ist der Vortrag des Klägers zum Zeitpunkt des Abgriffs seiner Daten (noch) als schlüssig anzusehen, da zum Zeitpunkt der letzten mündlichen Verhandlung klargestellt war, dass von einem Datenabgriff im Jahr 2019 und damit nach Inkrafttreten der DSGVO ausgegangen werden soll. b. Der deswegen als schlüssig zu behandelnde Vortrag des Klägers führt für sich allein gesehen jedoch nicht dazu, dass von einem Datenabgriff während der zeitlichen Geltung der DSGVO auszugehen ist, denn der Kläger trägt für diesen Umstand die Beweislast und er hat – nach dem nun gehaltenen sekundären Vortrag der Beklagten - diesen Beweis nicht geführt. (1.) Grundsätzlich trifft den Kläger die Darlegungs- und Beweislast dafür, dass der zeitliche Anwendungsbereich der DSGVO eröffnet ist. Dieser Grundsatz bedarf der Einschränkung, da der Kläger als primär darlegungsbelastete Partei außerhalb des maßgeblichen Geschehensablaufs steht und keine Kenntnisse von den maßgeblichen Tatsachen besitzt und den Sachverhalt von sich aus nicht ermitteln kann, während dem Prozessgegner die erforderliche tatsächliche Aufklärung ohne weiteres möglich und auch zuzumuten ist. Dabei obliegt es dem Bestreitenden im Rahmen der sekundären Darlegungslast auch, zumutbare Nachforschungen zu unternehmen (BGH, Urteil vom 05.10.2023, III ZR 216/22 Rn. 31; BGH, Urteil vom 04.02.2021, III ZR 7/20 Rn. 19, NJW 2021, 1759; BGH BeckRS 2020, 36575 Rn. 26; BGH NJW 2016, 3244 [3245 Rn. 18]; vergleiche auch BGH NJW 1997, 128 [129]; BGH NJW 1996, 315 [317]). Die "Last" besteht in der Pflicht, das pauschale Vorbringen des darlegungsbelasteten Gegners (ausnahmsweise) mit weiteren Einzelheiten bestreiten zu müssen. Es ist also am Gegner - hier also der Beklagten-, Einzelheiten zu der Behauptung des Datenabgriffs im Jahr 2019 darzustellen und sich zumindest substantiiert zu den Behauptungen zu äußern. Der Umfang der sekundären Darlegungslast richtet sich nach den Umständen des Einzelfalls. Die Darlegungen müssen so konkret sein, dass der beweisbelasteten Partei eine Widerlegung möglich ist (BGH, Urteil vom 04.02.2021, III ZR 7/20 Rn. 19, NJW 2021, 1759). (2.) Die Beklagte hat der sie treffenden sekundären Darlegungslast mit ihrem Vorbringen in der mündlichen Verhandlung vom 10.04.2024 genügt. Der Kläger bleibt danach für den Zeitpunkt des Abgriffs beweisfällig. So trifft die vom Kläger vertretene Auffassung schon nicht zu, dass sich aus verschiedenen (eigenen) Medien- und Presseberichten ergebe, dass von einem Datenleck im Jahr 2019 berichtet worden sei. Diese "verschiedenen" Medien- und Presseberichte werden nicht näher dargelegt. Soweit sich der Kläger konkret auf die Pressemitteilung der Beklagten vom 06.04.2021 beziehen sollte, so wird darin mitgeteilt, dass "böswillige Akteure die Daten vor September 2019 von der Plattform gescrapt" hätten, in dem sie "den Kontakt-Importer vor September 2019 verwendet" hätten und "das Problem im Jahr 2019 behoben worden sei". Ein Abgriff "vor September 2019" - von dem zweimal die Rede ist - kann aber bereits im Jahr 2018 geschehen sein, wodurch diese Formulierung hinsichtlich des genauen Zeitpunkts offen bleibt. Auch kann der Beklagten nicht verwehrt werden (insbesondere nach dem Gewinn weiterer tatsächlicher Erkenntnisse), in einem Prozess einen anderen (ergänzten, geänderten, korrigierten) Vortrag zu halten, zumal wenn dies nachvollziehbar damit begründet wird, dass sich der Sachverhalt zum Zeitpunkt der Erstellung der Pressemitteilung noch in der Aufklärung befunden hat und es damals darum gegangen sei, auf verschiedene Medienberichte zeitnah zu reagieren. Die Beklagte hat auf den Hinweis des Senats vom 26.03.2024 in der mündlichen Verhandlung vom 10.04.2024 zudem ergänzend mitgeteilt, dass sie nicht im Besitz der Rohdaten sei, welche die durch das Scraping abgerufenen Daten enthielten und aufgrund der seit dem Sachverhalt vergangenen Zeit würden auch keine Log-Dateien oder Ähnliches vorgehalten, die ihr die Aufklärung ermöglichen könnten, wie der Scraping-Sachverhalt genau abgelaufen sei und wann die Daten der jeweiligen Klagepartei abgegriffen worden seien. Nach den Vorgaben der DSGVO wäre sie auch gar nicht berechtigt, derartige Log-Dateien vorzuhalten. Ihr sei daher auch nicht bekannt, wer die Scraper gewesen seien und auch nicht, welches Fxxx-Konto verwendet wurde, um das Fxxx-Profil des Klägers einzusehen. Damit hat die Beklagte der sie treffenden sekundären Darlegungslast genügt und das ihrerseits Erforderliche getan, um den Vortrag des Klägers qualifiziert zu bestreiten. (3.) Der Kläger hat auf diesen Vortrag lediglich mitgeteilt, dass ihm die Rohdaten "natürlich auch nicht vorlägen" und eingeräumt, dass (auch) ihm keine Erkenntnisse zum Zeitpunkt des Abgriffs sowie dazu vorliegen, von wem die Daten gescraped wurden. Dies geht zu seinen Lasten und führt dazu, dass nicht hinreichend sicher festgestellt werden kann, dass der konkrete Abgriff der Daten des Klägers nach dem Inkrafttreten der DSGVO zum 25.05.2018 erfolgt ist und die Klage abzuweisen ist. Daher ist auf die Berufung der Beklagten das Urteil des Landgerichts abzuändern und die Klage abzuweisen sowie im Gegenzug die vom Kläger erhobene Berufung zurückzuweisen. III. Die Kostenentscheidung beruht auf §§ 91, 97 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit hat ihrer Grundlage in §§ 708 Nr. 10, 711, 713 ZPO und die Streitwertfestsetzung in §§ 47, 48 GKG. Die Revision ist nicht zuzulassen. Da nicht festgestellt werden kann, dass der Abgriff der Daten während der Geltung der DSGVO stattgefunden hat, hat die Sache keine grundsätzliche Bedeutung, sondern es handelt sich um einen Einzelfall. Die im Verfahren ansonsten zu entscheidenden Rechtsfragen – hinreichende Bestimmtheit eines Unterlassungsantrags – sind durch die Rechtsprechung des Bundesgerichtshofs hinreichend geklärt.