Zusammenfassung:
- Verstöße gegen die DSGVO können auch zu immateriellen Schadensersatzansprüchen führen.
- Der Verstoß allein reicht aber nicht aus – der Betroffene muss einen nachweisbaren Schaden erlitten haben.
- Der Schaden muss gleichwohl nicht erheblich sein.
Die Datenschutz-Grundverordnung (DSGVO) ist bereits seit einigen Jahren in aller Munde. Mit der Nutzung des Internets sind persönliche Daten sensibler denn je. Denn jeder User gibt mit Google-Suchen, Webseiten-Aufrufen und Co. Informationen von sich preis. Wie viele Daten Webseitenbetreiber erhalten, speichern oder sogar weitergeben können, ist den meisten dabei nicht einmal bewusst.
Deshalb hat der Gesetzgeber mit der DSGVO eine Reihe von Vorschriften aufgestellt, die Unternehmen befolgen müssen. Wenn sie dies nicht tun, kann es schnell teuer werden – das zeigen zumindest brisante Fälle, in denen Opfer zum Teil Schadensersatzforderungen in Millionenhöhe geltend machen.
Aber wann genau können Betroffene eigentlich Schadensersatz geltend machen? Reicht es dafür aus, dass ein Verstoß gegen die DSGVO vorliegt? Oder müssen weitere Voraussetzungen erfüllt sein und wenn ja: Wie lauten sie?
Schadensersatz ja – aber nur mit nachweisbarem Schaden
Eine Schadensersatzzahlung soll – so sagt es bereits der Name – dem Betroffenen einen Ausgleich für einen erlittenen Schaden geben. Im Hinblick auf Verstöße gegen die Datenschutzgrundverordnung könnte man sich auf den Standpunkt stellen, dass jede Zuwiderhandlung automatisch einen sogenannten immateriellen Schaden darstellt. Das wäre zum Beispiel dann der Fall, wenn persönliche Daten anders als angegeben gespeichert oder verarbeitet werden.
Ganz so einfach ist es aber nicht – das entschied der Europäische Gerichtshof (EuGH) in einem wegweisenden Urteil (Urt. v. 4.5.2023, Az.: C-300/21). Wer Schadensersatz geltend macht, muss einen tatsächlichen Schaden nachweisen, der über den bloßen Verstoß gegen die DSGVO hinausgeht. Der Schaden muss weder erheblich noch materiell sein – aber eben nachweisbar. Ein “subjektives Unmutsgefühl” allein reiche dafür nicht aus.
Der Ausgangsfall – österreichische Post hat Daten unrechtmäßig verarbeitet
Das EuGH-Urteil bezieht sich auf einen Fall, in dem die österreichische Post AG Informationen zu Parteipräferenzen mit Hilfe eines Algorithmus ermittelte, ohne dass der Betroffene dem zugestimmt hatte. Die Daten waren für Wahlwerbezwecke gedacht, wurden aber gleichwohl bisher nicht an Dritte weitergegeben. Der Mann war über die bei ihm vermutete Parteiaffinität “erbost und beleidigt” und klagte Schadensersatz in Höhe von 1.000 Euro nach Art. 82 DSGVO ein.
Damit war er in der ersten und zweiten Instanz nicht erfolgreich. Der Oberste Gerichthof, der sich nunmehr mit dem Fall auseinandersetzen musste, legte dem EuGH die zentrale Frage vor: Steht einem Kläger bereits deshalb Schadensersatz zu, weil ein Verstoß gegen die DSGVO vorliegt? Oder muss der geltend gemachte immaterielle Schaden näher dargelegt werden?
Bloßer Verstoß gegen DSGVO begründet noch keinen Schadensersatzanspruch
Der EuGH entschied, dass ein bloßer Verstoß gegen die DSGVO noch keinen Anspruch auf Schadensersatz begründet. Stattdessen müsse zu dem Verstoß gegen die DSGVO ein materieller oder immaterieller Schaden hinzukommen, der auf den Rechtsverstoß zurückzuführen ist. Für den Nachweis des Schadens ist der Kläger zuständig.
In dem Rahmen führte der EuGH allerdings auch an, dass der Schaden keineswegs von einer besonderen Erheblichkeit sein müsse. Sobald ein (noch so kleiner) Schaden vorliegt und nachgewiesen werden kann, steht dem Kläger ein entsprechender Schadensersatz zu. Dies sei darauf zurückzuführen, dass die DSGVO keine sogenannte “Erheblichkeitsschwelle” vorsehe. Der Begriff des Schadens sei im Unionsrecht bewusst weit gewählt, sodass auch kleinere Schädigungen zu Ersatzansprüchen führen.
