Die europ\u00e4ische Datenschutzgrundverordnung (DSGVO) geh\u00f6rt zweifelsohne zu den rechtlichen Vorschriften, die auch Nicht-Juristen ein Begriff sind. Nahezu allgegenw\u00e4rtig in Alltag und Gesch\u00e4ftsverkehr begegnet sie uns in Form von Hinweisen, Belehrungen und Einwilligungserkl\u00e4rungen, sei es das Akzeptieren von Cookies beim Besuch einer Website, die auszuf\u00fcllende Datenschutzerkl\u00e4rung beim Hotel-Check-in oder als Hinweisschild im Gesch\u00e4ft mit Video\u00fcberwachung.<\/p>\n\n\n\n
Verst\u00f6\u00dfe gegen datenschutzrechtliche Vorgaben k\u00f6nnen teuer werden und Geldbu\u00dfen in betr\u00e4chtlicher H\u00f6he nach sich ziehen. Der von einer unrechtm\u00e4\u00dfigen Datenverarbeitung Betroffene kann zudem Schadensersatz geltend machen, und zwar auch f\u00fcr rein immaterielle Beeintr\u00e4chtigungen.<\/p>\n\n\n\n
Die Voraussetzungen, unter denen Betroffene bei Verst\u00f6\u00dfen gegen die DSGVO Schadensersatz fordern k\u00f6nnen, sind umstritten. Ausgangspunkt ist der Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO, der jedem, dem wegen eines DSGVO-Versto\u00dfes ein Schaden entstanden ist, zum Ausgleich des erlittenen Schadens einen Ersatzanspruch gegen den Verantwortlichen zuspricht. <\/p>\n\n\n\n
Aber ist allein der Versto\u00df gegen die DSGVO bereits ein Schaden an sich oder muss dar\u00fcber hinaus ein nachweisbarer und unter Umst\u00e4nden sogar erheblicher Schaden entstanden sein?<\/p>\n\n\n\n
Im Detail divergieren die Ansichten dazu erheblich. Diese Uneinheitlichkeit bei der Auslegung der ma\u00dfgeblichen Schadensersatznorm des Datenschutzrechts f\u00fchrte f\u00fcr Betroffene und datenverarbeitende Unternehmen gleicherma\u00dfen zu Rechtsunsicherheiten. Mit gro\u00dfer Spannung erwartet hat nun der Europ\u00e4ische Gerichtshof (EuGH) erstmals zur Auslegung des immateriellen Schadensersatzanspruchs gem\u00e4\u00df Art. 82 Abs. 1 DSGVO Stellung genommen.<\/p>\n\n\n\n
Im \u00f6sterreichischen Ausgangsfall machte eine Privatperson immateriellen Schadensersatz wegen unrechtm\u00e4\u00dfiger Datenverarbeitung vor den \u00f6sterreichischen Gerichten geltend. Hintergrund war eine Datenerhebung durch die \u00f6sterreichische Post, die Informationen zu Parteipr\u00e4ferenzen mit Hilfe eines Algorithmus und dem zugrunde liegende soziodemografische Merkmale basierend auf der jeweiligen Wohnanschrift f\u00fcr Wahlwerbezwecke von Parteien prognostizierte. Der Kl\u00e4ger hatte einer Verarbeitung seiner personenbezogenen Daten nicht zugestimmt.<\/p>\n\n\n\n
Eine \u00dcbermittlung der gesammelten Daten an Dritte fand nicht statt. Dadurch, dass ihm im Wege einer Hochrechnung eine bestimmte Parteiaffinit\u00e4t im rechten politischen Spektrum zugeschrieben wurde, f\u00fchlte sich der Kl\u00e4ger jedoch beleidigt, ver\u00e4rgert, in seinem Vertrauen verletzt und blo\u00dfgestellt. Au\u00dfer einer vor\u00fcbergehenden gef\u00fchlsm\u00e4\u00dfigen Beeintr\u00e4chtigung konnte jedoch kein Schaden festgestellt werden. Der Kl\u00e4ger begehrte Schadensersatz gem\u00e4\u00df Art. 82 DSGVO in H\u00f6he von 1.000 Euro f\u00fcr diesen erlittenen immateriellen Schaden.<\/p>\n\n\n\n
Nach erst- und zweitinstanzlicher Abweisung der Klage legte der Oberste Gerichtshof (OGH) die Sache dem EuGH vor und fragte an, ob<\/p>\n\n\n\n
Nach dem deutschen Rechtsverst\u00e4ndnis des bis 2001 geltenden Schuldrechts war immaterieller Schadensersatz die absolute Ausnahme, die stets eine gravierende, einschneidende Verletzung der eigenen Rechtsg\u00fcter verlangte. Ohne konkret nachweisbaren materiellen Schaden war nach deutschem Recht ein Schadensersatzanspruch schwer vorstellbar. Trotz zwischenzeitlich verstrichener Zeit pr\u00e4gt diese Sichtweise noch immer das nationale Rechtsverst\u00e4ndnis und verursacht St\u00f6rgef\u00fchle.<\/p>\n\n\n\n
Im EU-Recht hingegen ist der Schutz personenbezogener Daten nicht nur in der DSGVO abgesichert, sondern bereits das europ\u00e4ische Unionsrecht und die Europ\u00e4ische Menschenrechtskonvention messen dem Datenschutz Bedeutung als fundamentales Menschenrecht bei. Geltungswirksam in der Praxis sind die datenschutzrechtlichen Vorschriften der DSGVO durch Sanktionierung von Verst\u00f6\u00dfen und unrechtm\u00e4\u00dfigen Verarbeitungsvorg\u00e4ngen mit Bu\u00dfgeld (Art. 83 DSGVO) und Schadensersatz (Art. 82 DSGVO) beim Verletzenden.<\/p>\n\n\n\n
Seit Inkrafttreten der DSGVO werden immaterielle Schadensersatzanspr\u00fcche gem\u00e4\u00df Art. 82 DSGVO wegen DSGVO-Verst\u00f6\u00dfen auch vor deutschen Gerichten regelm\u00e4\u00dfig geltend gemacht; zumeist das datenschutzrechtliche Auskunftsverlangen gem\u00e4\u00df Art 15 Abs. 1, 3 DSGVO, das binnen Monatsfrist zu beantworten ist (Art. 12 Abs. 3 DSGVO) und bei Nicht-(fristgerechter) Erf\u00fcllung allein bereits immaterielle Schadensersatzanspr\u00fcche nach sich ziehen kann. Ohne weitergehende Darlegung des immateriellen Schadens durch die klagenden Besch\u00e4ftigten verurteilten so z.B. zahlreiche deutsche Arbeitsgerichte Arbeitgeber wegen versp\u00e4teter Auskunftserteilung zu immateriellen Schadensersatzzahlungen bis zu mittlerer vierstelliger H\u00f6he. Versuchen nationaler Gerichte, dies mit einer Bagatellgrenze einzuschr\u00e4nken, erteilte das Bundesverfassungsgericht 2021 eine Absage.<\/p>\n\n\n\n
Der EuGH stellt als Erstes unter Verweis auf den Wortlaut des Art. 82 Abs. 1 DSGVO fest, dass dieser Schadensersatzanspruch an drei kumulative Voraussetzungen gekn\u00fcpft ist: Einen Versto\u00df gegen die DSGVO, das Vorliegen eines aus diesem Versto\u00df resultierenden Schadens und einem urs\u00e4chlichen Zusammenhang zwischen Schaden und Versto\u00df.<\/p>\n\n\n\n
Nicht jeder blo\u00dfe Versto\u00df gegen die Bestimmungen der DSGVO er\u00f6ffnet demnach f\u00fcr sich genommen automatisch einen Anspruch auf immateriellen Schadensersatz. Vielmehr muss dem Betroffenen durch den Versto\u00df (\u201ekausal\u201c) auch tats\u00e4chlich ein nachweisbarer Schaden entstanden sein. Andernfalls handelt es sich um eine Sanktion oder Strafschadensersatz. Diese Voraussetzungen waren im Ausgangsfall nicht gegeben.<\/p>\n\n\n\n
Nach dem Wortlaut der Vorschrift muss der immaterielle Schaden nicht eine gewisse Erheblichkeitsgrenze \u00fcberschreiten. Die DSGVO kennt keine Erheblichkeitsschwelle; eine solche H\u00fcrde w\u00fcrde im Widerspruch zum vom Unionsgesetzgeber gew\u00e4hlten weiten Verst\u00e4ndnis des Begriffs \u201eSchaden\u201c stehen. Ziel der DSGVO ist es dem EuGH zufolge, ein gleichm\u00e4\u00dfiges und hohes Schutzniveau nat\u00fcrlicher Personen bei der Verarbeitung personenbezogener Daten in der EU zu gew\u00e4hrleisten und f\u00fcr eine unionsweit gleichm\u00e4\u00dfige und einheitliche Anwendung der datenschutzrechtlichen Vorschriften zu sorgen. Dem l\u00e4uft eine von der Beurteilung durch die zust\u00e4ndigen Gerichte abh\u00e4ngige Erheblichkeitsschwelle zuwider, da diese je nach Gericht unterschiedlich hoch ausfallen kann. Erfasst sind damit auch \u201eBagatellsch\u00e4den\u201c.<\/p>\n\n\n\n
Weiter betont der EuGH, dass eine von einem DSGVO-Versto\u00df mit f\u00fcr sie negativen Folgen betroffene Person dann den Nachweis erbringen muss, dass diese Folgen einen immateriellen Schaden darstellen. Herauszuarbeiten, wann \u201edas subjektive Unmutsgef\u00fchl (\u2026) als immaterieller Schaden angesehen werden\u201c kann, obliegt nun aber den nationalen Gerichten.<\/p>\n\n\n\n
Liegt ein Schadensersatzanspruch gem\u00e4\u00df Art. 82 DSGVO dem Grunde nach vor, stellt sich anschlie\u00dfend die Frage nach der H\u00f6he des zu leistenden Ersatzbetrages. Die DSGVO selbst enth\u00e4lt keine Regeln f\u00fcr die Bemessung des Schadensersatzes. Die n\u00e4here Ausgestaltung insbesondere der Kriterien f\u00fcr die Ermittlung des Umfangs des in diesem Rahmen geschuldeten Schadensersatzes weist der EuGH ebenfalls den nationalen Gerichten zu, fordert aber die Grunds\u00e4tze der \u00c4quivalenz und der Effektivit\u00e4t anzuwenden.<\/p>\n\n\n\n
Der Effektivit\u00e4tsgrundsatz verlangt, dass die nationalen Modalit\u00e4ten der Anspruchsbemessung die Durchsetzung der durch das Unionsrecht verliehenen Rechte des Betroffenen nicht praktisch unm\u00f6glich machen oder \u00fcberm\u00e4\u00dfig erschweren. Dabei ist auch die Ausgleichsfunktion des in der DSGVO vorgesehenen Schadensersatzanspruchs zu beachten, die einen \u201evollst\u00e4ndigen und wirksamen Schadensersatz f\u00fcr den erlittenen Schaden\u201c sicherstellen soll. Zum Schadensausgleich ist demnach jedenfalls eine Summe zuzusprechen, die den entstandenen Schaden vollst\u00e4ndig kompensiert. Eine Erh\u00f6hung des Anspruchs zu Abschreckung oder Strafzwecken ist nicht geboten.<\/p>\n\n\n\n
Diese erste, wesentliche Grundsatzentscheidung des EuGH zum immateriellen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO hat erhebliche praktische Relevanz, da sich der EuGH erstmals mit Voraussetzungen und Umfang des DSGVO-Schadenersatzanspruchs befasst und damit mehr Rechtssicherheit geschaffen hat. Dies erleichtert und erh\u00f6ht vermutlich die Durchsetzbarkeit immaterieller Schadensersatzanspr\u00fcche.<\/p>\n\n\n\n
Wenn auch die Erheblichkeit des Schadens kein anspruchsausschlie\u00dfender Umstand mehr sein darf, geht damit allerdings nicht eine Absenkung der Anspruchsvoraussetzungen einher, denn der EuGH stellt im gleichen Zusammenhang ausdr\u00fccklich klar, dass ein Schadensersatzanspruch nicht bereits automatisch bei jedem DSGVO-Versto\u00df gegeben ist und nicht jede negative Folge aus einem DSGVO-Versto\u00df auch einen immateriellen Schaden darstellt.<\/p>\n\n\n\n
Insoweit offenbart sich dann auch das wohl gr\u00f6\u00dfte Vers\u00e4umnis der Entscheidung: Es bleibt offen, wann und unter welchen Umst\u00e4nden negative Beeintr\u00e4chtigungen vorliegen, die einen immateriellen Schaden im Sinne des Art. 82 DSGVO darstellen. Dabei wollte der vorlegende OGH ausdr\u00fccklich wissen, ob beispielsweise der \u00c4rger \u00fcber die Datenschutzverletzung ein ersatzf\u00e4higer Schaden ist. Lediglich indirekt gibt der EuGH den nationalen Gerichten Auslegungshinweise insoweit, dass der Begriff \u201eSchaden\u201c weit und autonom unionsrechtlich auszulegen ist. Danach d\u00fcrfte ein immaterieller Schaden nur gegeben sein, wenn negative Gef\u00fchle \u00fcber das Ma\u00df von blo\u00dfem \u00c4rger wegen der Pflichtverletzung hinausgehen. Die Frage, was nur als blo\u00dfe, negativ empfundene Gef\u00fchlsregung und was tats\u00e4chlich als immaterieller Schaden zu verstehen ist, bleibt insoweit weiter relevant. <\/p>\n\n\n\n
Mit Spannung darf erwartet werden, welche Kriterien die nationalen Gerichte hierf\u00fcr herausarbeiten werden, damit die Darlegung des Schadens nicht in blo\u00dfen Leerformeln wie \u201eUnsicherheit \u00fcber die Folgen der Datenverarbeitung\u201c oder \u201eschlechten Gef\u00fchlen\u201c des Betroffenen erw\u00e4chst. Das w\u00e4re nicht vielmehr als der \u201eblo\u00dfe \u00c4rger\u201c, den der Generalanwalt noch in seinem Schlussantrag ausschlie\u00dfen wollte und w\u00fcrde in der Praxis kaum eine sinnvolle Abgrenzung zwischen ersatzf\u00e4higem Schaden und reiner DSGVO-Verletzung erm\u00f6glichen. Darlegungen des Betroffenen zum aufgrund eines DSGVO-Versto\u00dfes entstandenen (immateriellen) Schadens sind damit notwendig, d\u00fcrfen aber nicht zu hohen Anforderungen unterliegen.<\/p>\n\n\n\n
Auch zur wichtigen Frage der Schadensh\u00f6he m\u00f6glicher Ersatzanspr\u00fcche macht die Entscheidung keine klaren Vorgaben und \u00fcberl\u00e4sst es den nationalen Gerichten, Fallgruppen herauszuarbeiten, in denen DSGVO-Verst\u00f6\u00dfe auch zu einem Schaden f\u00fchren und fundierte Aussagen zur Bemessung der jeweiligen Schadenersatzh\u00f6he zu treffen. An dieser Stelle w\u00e4ren ausdr\u00fcckliche Hinweise auf die Bemessungsgrundlagen w\u00fcnschenswert gewesen; die DSGVO h\u00e4lt solche f\u00fcr den Schadensersatz nun mal nicht bereit und die Regelungen der Bemessungsgrunds\u00e4tze f\u00fcr die H\u00f6he bei Bu\u00dfgeldern sind – mangels planwidriger Regelungsl\u00fccke – nicht analog anwendbar. Entscheidungen, die etwa die Bemessung der Schadensersatzh\u00f6he am Umsatz des Beklagten orientieren oder lediglich pauschal auf die Bu\u00dfgeldbemessung (Art. 83 Abs. 2 DSGVO) verweisen, d\u00fcrften somit der Vergangenheit angeh\u00f6ren. Es wird k\u00fcnftig darauf ankommen, welche Praxis sich in der nationalen Rechtsprechung f\u00fcr \u00e4hnlich gelagerte Sachverhaltskomplexe einspielt.<\/p>\n\n\n\n
Inwieweit dieses Ergebnis f\u00fcr die geforderte, unionsweit gleichm\u00e4\u00dfige und einheitliche Anwendung der datenschutzrechtlichen Vorschriften zutr\u00e4glich ist, bleibt offen, denn in der Praxis d\u00fcrften f\u00fcr \u00e4hnliche Sachverhalte Schadensersatzanspr\u00fcche durch nationale Gerichte verschiedener Mitgliedstaaten in erheblich unterschiedlicher H\u00f6he ausgeurteilt werden.<\/p>\n\n\n\n
In Deutschland haben Gerichte gem\u00e4\u00df \u00a7 287 Abs. 1 S. 1 ZPO unter W\u00fcrdigung aller Umst\u00e4nde nach freier \u00dcberzeugung \u00fcber die H\u00f6he des Schadensersatzanspruchs zu entscheiden. Die Entscheidung \u00fcber einen zum vollst\u00e4ndigen Ausgleich des erlittenen immateriellen Schadens angemessenen Betrages liegt also im Ermessen des Gerichts. Praktisch werden sich deutsche Gerichte vermutlich h\u00e4ufig an bereits ergangenen Urteilen orientieren.<\/p>\n\n\n\n
Weiter ausdr\u00fccklich zu begr\u00fc\u00dfen ist die Feststellung des EuGH, dass der entstandene Schaden vollst\u00e4ndig auszugleichen, jedoch kein Strafschadenersatz mit Sanktionscharakter nach amerikanischem Vorbild vorgesehen ist. Wenngleich ein einzelner Schadensersatzanspruch nicht aus Sanktionsgr\u00fcnden erh\u00f6ht werden darf, so k\u00f6nnen Schadensersatzanspr\u00fcche aufgrund eines Datenschutzvorfalls, der bei einer Vielzahl von Betroffenen zu Schadensersatzanspr\u00fcchen f\u00fchrt, insgesamt eine H\u00f6he erreichen, die weit \u00fcber das hinausgeht, was zur Sanktionierung des Unternehmens erforderlich w\u00e4re. Rechtspolitisch ist dieses Ergebnis durchaus fragw\u00fcrdig, da die Europ\u00e4ische Union neben einem hohen Datenschutzniveau auch einen attraktiven Standort f\u00fcr Unternehmen mit digitalen Gesch\u00e4ftsmodellen bieten will.<\/p>\n\n\n\n
Nach der Entscheidung aus Luxemburg sind nunmehr die nationalen Gerichte aufgerufen, praxistaugliche Kriterien zur Festsetzung immaterieller Schadensersatzzahlungen dem Grunde nach und bei der Bemessung der Anspruchsh\u00f6he zu entwickeln. Die Auslegung des Art. 82 Abs. 1 DSGVO wird somit voraussichtlich noch l\u00e4ngere Zeit sowohl deutsche Gerichte als auch den EuGH besch\u00e4ftigen.<\/p>\n\n\n\n
Nationale Gerichte werden eingeklagte Schadensersatzforderungen nach Art. 82 DSGVO nun nicht mehr unter Verweis auf den zu ersetzenden Schaden als Bagatelle ablehnen k\u00f6nnen, sondern feststellen, dass \u201ekeine negative Folge\u201c vorliegt oder diese Folge keinen Schaden begr\u00fcndet. In k\u00fcnftigen Auseinandersetzungen \u00fcber immateriellen Schadensersatz wird es also darauf ankommen, ob \u00fcberhaupt ein Schaden vorliegt. Dadurch werden Massenklagen erschwert, insbesondere auch automatisierte Verfahren, die kaum auf Besonderheiten des Einzelfalls abstellen.<\/p>\n\n\n\n
Spannend bleibt insoweit auch, wie im Lichte dieser Entscheidung die Vielzahl potentieller Schadensersatzantr\u00e4ge wegen (vermeintlich) unzureichender bzw. versp\u00e4teter Beantwortung des Auskunftsverlangens gem\u00e4\u00df Art. 15 DSGVO zuk\u00fcnftig behandelt werden. Insbesondere bei den im Arbeitsrecht mittlerweile oftmals standardm\u00e4\u00dfig im Rahmen von K\u00fcndigungsschutzklagen gestellten Auskunftsverlangen gem\u00e4\u00df Art. 15 DSGVO geht es allein um die Vorbereitung sp\u00e4terer Schadensersatzanspr\u00fcche. Solche Auskunftsverlangen werden in vielen F\u00e4llen gestellt, in denen kein materieller Datenschutzversto\u00df im Raum steht. Teilweise werden sie instrumentalisiert, um Verhandlungspositionen in Aufhebungsverhandlungen aufzubauen und m\u00f6glichst hohe Abfindungszahlungen nahezulegen, mit denen die L\u00e4stigkeit der Beantwortung des Auskunftsverlangens abgekauft werden soll. In diesem F\u00e4llen ist stets fraglich, ob der Versto\u00df gegen Informations- oder Auskunftspflichten selbst ersatzf\u00e4hige Sch\u00e4den begr\u00fcnden kann oder nur dann, wenn die Auskunft eine nicht gesetzm\u00e4\u00dfige Datenverarbeitung zutage f\u00f6rdert.<\/p>\n\n\n\n
Die EuGH-Entscheidung l\u00e4sst jedenfalls erkennen, dass allein die unzureichende oder versp\u00e4tete Beantwortung eines Auskunftsverlangens Schadensersatzanspr\u00fcche nicht begr\u00fcndet, allenfalls, wenn gerade diese formellen Aspekte urs\u00e4chlich f\u00fcr einen Schaden waren, k\u00e4me dies noch in Betracht. Es ist nicht ersichtlich, wie solche F\u00e4lle liegen sollten, da typische Schadensf\u00e4lle davon gepr\u00e4gt sind, dass der materielle Datenschutzversto\u00df Nachteile verursacht, nicht die evtl. formal angreifbare Auskunft. Das Vorliegen eines Schadens ist im Hinblick auf Verletzungen bestimmter Pflichten der DSGVO, u.a. Informationspflichten oder Erteilung von Ausk\u00fcnften, nach dieser Entscheidung nur schwer vorstellbar. Zwar ist der Nachweis eines berechtigten oder anerkennenswerten Interesses f\u00fcr die Geltendmachung von Auskunftsanspr\u00fcchen weiterhin nicht notwendig; f\u00fcr die Beanspruchung einer sp\u00e4teren Zahlung muss k\u00fcnftig jedoch ein Schaden dargelegt werden. Die praktische Bedeutung des Schadensersatzes bei solchen Verfahren wird in Zukunft davon abh\u00e4ngen, wie die Gerichte die Stellschrauben an den Darlegungsaufwand justieren werden. Ob die aktuelle Entscheidung damit ein Gewinn f\u00fcr den Datenschutz ist, bleibt abzuwarten.<\/p>\n\n\n\n
Die aktuelle Entscheidung des EuGH h\u00e4tte daher gut daran getan, hier noch klarere Grenzen aufzuzeigen, um berechtigte Anspr\u00fcche geltend zu machen und zweckentfremdete Klagen zu begrenzen. Zu hoffen bleibt, dass der EuGH insofern bei n\u00e4chster Gelegenheit konkreter wird.<\/p>\n\n\n\n