DSGVO und Schadenersatz: EuGH hat grundsätzliche Fragen geklärt

Die Sache mit dem Schadenersatz für Datenschutzverstöße

Art. 82 Abs. 1 der Datenschutzgrundverordnung (DSGVO) sieht vor:

„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

Klingt erst mal recht einfach. Trotzdem gab es in der Vergangenheit immer wieder Streit wegen Forderungen nach Schadenersatz aufgrund von Datenschutzverstößen. Das ging schon los bei der Frage, ob wirklich wegen jedes Verstoßes gegen datenschutzrechtliche Vorgaben ein Schaden entsteht. Es ging weiter mit der Frage, was genau eigentlich als Schaden anzuerkennen sein soll. Und erst recht ging es natürlich um die Frage, welche Beträge als Schadenersatz angemessen sind.

Für Diskussionen sorgten insbesondere massenhaft geltend gemachte Schadensersatzansprüche, die immer wieder in gleicher Weise mit dem Argument begründet worden sind, man hätte durch den Datenschutzverstoß einen Kontrollverlust erlitten oder emotionales Ungemach erfahren müssen.

Um es kurz zu machen: Schadensersatzforderungen aufgrund von Datenschutzverstößen landeten immer wieder vor Gericht. Und die Gerichte gingen mit den entsprechenden Fällen vorsichtig ausgedrückt recht unterschiedlich um. Manchen Gerichten reichte der Vortrag zu einem erlittenen Kontrollverlust nicht als Nachweis eines konkreten Schadens. Andere Gerichte verlangten das Überschreiten einer Erheblichkeitsschwelle, um auf diese Weise die Geltendmachung von Bagatellschäden auszuschließen. Kein Wunder also, dass inzwischen einige dieser Fälle vor dem Europäischen Gerichtshof gelandet sind.

Was der EuGH entschieden hat

Mit dem Urteil zur Rechtssache C-300/21 hat der Europäische Gerichtshof zunächst klargestellt, dass nicht jeder Verstoß gegen eine Vorschrift der DSGVO automatisch einen Anspruch auf Schadenersatz auslöst. Im Weiteren hat der Europäische Gerichtshof klargestellt, dass die Entstehung eines Schadenersatzanspruchs nach Art. 82 Abs. 1 DSGVO zwar nicht an eine Erheblichkeit geknüpft ist, dafür aber an die drei folgenden Voraussetzungen:

• eine Verarbeitung personenbezogener Daten unter Verstoß gegen die Bestimmungen der DSGVO,
• ein der betroffenen Person entstandener Schaden und
• ein Kausalzusammenhang zwischen der rechtswidrigen Verarbeitung und diesem Schaden

Mit dem Urteil zur Rechtssache C-667/21 hat der Europäische Gerichtshof dann noch geklärt, dass die Haftung auf Schadenersatz vom Vorliegen eines Verschuldens abhängt, das allerdings vermutet wird. Ebenfalls mit dem Urteil zur Rechtssache C-667/21 hat der Europäische Gerichtshof geklärt, dass der Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO neben einer Ausgleichsfunktion keinen abschreckenden oder Strafcharakter hat. Es gehe nur darum, einen konkret erlittenen Schaden in vollem Umfang auszugleichen.

Was die Entscheidungen des EuGH für Unternehmen bedeuten 

Wenn betroffene Personen nach einem Datenschutzverstoß Schadenersatz gegenüber Unternehmen geltend machen wollen, dann müssen sie den entstandenen Schaden konkret darlegen. Ein bloßer Verweis auf einen erlittenen Kontrollverlust oder emotionales Ungemach dürfte zukünftig nicht mehr ausreichen. Wird ein konkreter Schaden dargelegt, ist die Höhe des Schadenersatzes auf den Betrag begrenzt, der für eine vollständige und wirksame Entschädigung erforderlich ist. Es steht also zu erwarten, dass zukünftig deutlich ausführlicher zu erlittenen Schäden vorgetragen wird und dass die Höhe von Schadenersatzbeträgen auch zukünftig ein Zankapfel bleiben wird.

Unbedingt im Hinterkopf behalten:

Bei Datenschutzvorfällen drohen nicht nur Schadenersatzansprüche von Betroffenen

So unangenehm Schadenersatzansprüche von Betroffenen auch sein mögen, sie sind leider nicht das einzige Ungemach, dass bei einem Datenschutzvorfall droht. Oft wird ein datenschutzrechtlicher Anspruch auf Schadenersatz im Rahmen einer anwaltlichen Abmahnung zusammen mit weiteren Ansprüchen geltend gemacht. Gefordert werden dann üblicherweise eine Unterlassungs- und Verpflichtungserklärung, eine Auskunfterteilung und die Erstattung von Anwaltskosten. Je nach Fallkonstellation kann parallel hierzu auch noch ein Verfahren bei der zuständigen Datenschutz-Aufsichtsbehörde folgen. Gerade bei kleineren Vorfällen sind Unternehmen nach meiner Erfahrung daher gut beraten, zusammen mit den Betroffenen nach einer einvernehmlichen Lösung zu suchen, um Weiterungen zu vermeiden.

Zu mir und meiner Tätigkeit:

Ich berate als Fachanwalt für IT-Recht bei Internetrecht-Rostock.de unter anderem zu Fragen des Datenschutzes

Weitere Informationen zu mir und meiner Tätigkeit können Sie meiner Profilseite, meinen Rechtstipps und meinem Bewertungsprofil entnehmen.

Ich berate Sie bundesweit auch kurzfristig telefonisch.

Sie haben eine Abmahnung wegen eines Datenschutzverstoßes erhalten?

Wenn Sie eine Abmahnung wegen eines Datenschutzverstoßes erhalten haben und von Ihnen neben der Abgabe einer Unterlassungserklärung auch Schadenersatz gefordert wird, stehe ich Ihnen gern für eine Beratung zur Verfügung.

• Rufen Sie mich einfach an unter: 0381 260 567 30
• Schicken Sie mir eine E-Mail an: rostock@internetrecht-rostock.de
• Oder lassen Sie mir über die Funktion „Nachricht senden“ direkt unter diesem Rechtstipp eine Mitteilung zukommen.

Andreas Kempcke

Rechtsanwalt 

Fachanwalt für IT-Recht

Internetrecht-Rostock.de