Die bloße Verletzung einer DSGVO-Regelung begründet noch keinen immateriellen Schadenersatz

Ich "stolpere" immer wieder über Blogbeiträge von Kolleginnen und Kollegen, die damit werben Schadenersatzsansprüche durchzusetzen, weil bspw. personenbezogene Daten über ein Datenleck einer sozialen Plattform "versickert" sind und der EuGH entschieden habe, dass der Kontrollverlust der Daten für die Geltendmachung eines Schadensersatzanspruches genüge. Ich halte diese Werbeversprechen für unseriös, denn Betroffene sollten wissen, dass sie IMMER einen Schaden nachweisen müssen.

Ich möchte hier noch einmal kurz die Rechtslage zusammenfassen: 

=> Ja, die DSGVO sieht auch immaterielle Schadenersatzansprüche vor. 

=> Nein, der bloße Verstoß gegen eine DSGVO-Regelung führt an sich noch NICHT zu einem       Schadenersatzanspruch des  Betroffenen. 

=> Ja, der Verlust der Kontrolle über die Daten KANN einen Schaden darstellen, der einen Schadenersatzanspruch nach sich ziehen KANN, aber eben NUR, wenn der Betroffene nachweist, dass er tatsächlich einen solchen Schaden erlitten hat.

=> Ein Schadenersatzanspruch setzt nach Auffassung des EuGH nämlich grundsätzlich stets voraus:

     1. Einen Datenschutzverstoß
     2. Einen Schaden (!)
     3. Einen Kausalzusammenhang zwischen Datenschutzverstoß und Schaden. 

Der EuGH hat insoweit zwar festgestellt, dass der Schaden keinen bestimmten Schweregrad erreichen muss, er hat aber auch klargestellt, dass der Betroffene einen irgendwie gearteten Schaden nachweisen muss.

Wurden Daten also rechtswidrig (bspw. von einer sozialen Plattform) verarbeitet, liegt zwar ein Rechtsverstoß vor, der Schaden wird aber nicht als gegeben unterstellt.

Dem Betroffenen obliegt es vielmehr diesen Schaden (bspw. Kontrollverlust), so marginal er auch sein mag, durch Strengbeweis nachzuweisen. Eine Hürde, an der zahlreiche Klageverfahren scheitern werden. 

Mit einem Datenschutzverstoß lässt sich also nicht so einfach eine "schnelle Mark (Euro)" machen, wie gerne im Internet behauptet wird.