In zwei weitgehend inhaltsgleichen Urteilen vom 13. und 14. März 2025 (Az. 16 U 135/23 und 16 U 94/24) befasst sich das Oberlandesgericht Düsseldorf mit datenschutzrechtlichen Pflichten eines weltweit agierenden Plattformbetreibers im Kontext sogenannter „Scraping“-Vorfälle. Die Entscheidungen werfen ein prägnantes Licht auf die Spannungsfelder von individueller Datensouveränität, automatisierter Datenverarbeitung und der Verantwortlichkeit für unscharfe Standardvorgaben in digitalen Infrastrukturen.

Im Zentrum steht die Frage, ob die standardmäßige Freigabe von Telefonnummern – auch bei nicht-öffentlicher Profilsichtbarkeit – eine unzulässige Verarbeitung personenbezogener Daten darstellt, wenn Dritte über Schnittstellen automatisiert auf diese Daten zugreifen konnten. Beide Kläger machten geltend, durch den Verlust der Kontrolle über ihre Daten einen immateriellen Schaden im Sinne von Art. 82 DSGVO erlitten zu haben. Zudem begehrte einer der Kläger die Unterlassung künftiger Verwendungen seiner Telefonnummer zu Zwecken jenseits der Zwei-Faktor-Authentifizierung. Die Beklagte – ein Betreiber eines globalen sozialen Netzwerks – berief sich auf die vermeintliche vertragliche Erforderlichkeit der Datenverarbeitung. Diese Argumentation überzeugte das Gericht nicht.