Die Geltendmachung eines Schadenersatzanspruches nach der Datenschutz-Grundverordnung (verankert in Art. 82 DS-GVO) durch betroffene Personen ist für datenschutzrechtlich Verantwortliche stets ein Schadenszenario mit welchem sie sich bereits in der Vergangenheit, insbesondere in den Fällen von Datenschutzverletzungen vertieft auseinandersetzen mussten. Zu Tage treten derartige Fallkonstellation z.B. bei Datenschutzverstößen in Form von IT-Sicherheitsvorfällen bzw. Cyberangriffen, bei welchen es zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten kommt. Mit seinem Urteil vom 4. Mai 2023 (Az.: 3 Ca 150/21) hat der Europäische Gerichtshof (EuGH) nunmehr unter anderem klargestellt, dass ein reiner Verstoß gegen die Datenschutz-Grundverordnung noch keinen Schaden im Sinne des Art. 82 DSGVO begründet. Andererseits ist der Schadenersatzanspruch nicht davon abhängig, dass der entstandene immaterielle Schaden eine gewisse Erheblichkeitsschwelle erreichen muss. Hierdurch wird von Großteilen der Literatur ein Wandel im Datenschutzschadenersatzrecht erwartet. Was das Urteil im Einzelnen bedeutet und welche Auswirkungen für die Praxis zu erwarten sind, soll nachfolgend näher betrachtet werden.

Der Schadenersatzanspruch der DS-GVO

Werfen wir jedoch zunächst einen Blick auf den Schadenersatzanspruch der Datenschutz-Grundverordnung, Art. 82 Abs. 1 DS-GVO: „Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“ Die Datenschutz-Grundverordnung eröffnet demnach die Möglichkeit auf den Ersatz eines immateriellen Schadens, also auf ein Schmerzensgeld, zu klagen. Erforderlich ist hierfür ein Verstoß gegen die Datenschutz-Grundverordnung. Die weiteren bzw. exakten Voraussetzungen (z.B. Kausalität und Schaden) waren (und sind es zum Teil weiterhin) in Rechtsprechung und Literatur umstritten.

Im Datenschutzrecht war die Durchsetzung von Schadenersatzansprüchen bisher alles andere als ein Selbstläufer. Bei vielen Verfahren war der Ausgang oft ungewiss, da die nationalen Gerichte die Voraussetzungen für den Schadenersatzanspruch zuweilen sehr unterschiedlich beurteilt haben. Nicht unüblich war insbesondere, dass nationale Gerichte – wie im Rahmen der Daten-Scraping-Fälle offenkundig wurde – Schadenersatzklagen an einer Erheblichkeitsschwelle „haben scheitern lassen“.

Teilweise – soweit kann dies bereits zum derzeitigen Stand festgehalten werden – schafft nun der EuGH durch sein Urteil Rechtsklarheit. Zumindest erscheint dies auf den ersten Blick so. Schafft der EuGH aber auch Rechtssicherheit? Die übergreifende Frage, die jedoch im Raum steht ist, ob nunmehr ein neues (Datenschutz-)Schadenersatzrecht entsteht?

Was sagt nun der EuGH?

Dem Urteil liegt das Verfahren der Österreichischen Post AG zu Grunde. Hier begehrte ein Betroffener Schadensersatz für erlittene Unannehmlichkeiten, nachdem die Österreichische Post AG ab dem Jahr 2017 Informationen über die politischen Affinitäten der Bevölkerung gesammelt hatte und diese an verschiedene Organisationen verkaufte, um ihnen den zielgerichteten Versand von Werbung zu ermöglichen. Sie leitete aus den gesammelten Daten eine hohe – aber unzutreffende – Affinität des Klägers zu einer bestimmten österreichischen Partei ab. Das Verhalten der Österreichischen Post bereitete dem Kläger „großes Ärgernis und einen Vertrauensverlust sowie das Gefühl der Bloßstellung“, weshalb er einen Schadenersatzanspruch in Höhe von EUR 1.000,00 geltend machte. Das Erstgericht wies die Klage ab, was ebenfalls durch das Oberlandesgericht Wien in der Berufung bestätigt wurde. Nachdem gegen das Urteil Revision eingelegt wurde, setzte der Oberste Gerichtshof in Österreich das aus und legte dem EuGH drei Vorlagefragen zur Vorabentscheidung vor.

In seinem Urteil hat der EuGH nun zum einen festgestellt, dass der Schadenersatzanspruch nach Art. 82 DS-GVO an drei kumulative Voraussetzungen geknüpft ist: (1) Es bedarf eines Verstoßes gegen die Datenschutz-Grundverordnung, (2) aus dem Verstoß muss ein materieller oder immaterieller Schaden resultieren und (3) es bedarf eines Kausalzusammenhangs zwischen dem Verstoß und dem Schaden. So weit so gut. Nach der Entscheidung des EuGH setzt der Schadensersatzanspruch demnach neben einem Verstoß gegen die Datenschutz-Grundverordnung zusätzlich einen kausalen Schaden voraus. Somit führt nicht jeder Verstoß gegen die Datenschutz-Grundverordnung auch zu einem Schadenersatzanspruch für die betroffene Person.

Darüber hinaus wird durch den EuGH aber auch festgestellt, dass für die Geltendmachung eines Anspruchs, der auf einen immateriellen Schaden zurückzuführen ist, keine „Erheblichkeitsschwelle“ überschritten werden muss. Es gibt also keine Grenze für Bagatellschäden, wie sie beispielsweise in den oben genannten Facebook-Scraping-Fällen zum Teil von den nationalen Gerichten angenommen wurde. Dies erscheint insoweit stringent, als dass die Datenschutz-Grundverordnung selbst keine solche Tatbestandvoraussetzung für den Schadenersatzanspruch kennt. Das Gericht konstatiert, dass es dem Willen des Gesetzgebers widerspreche, den Schadensbegriff auf Beeinträchtigungen mit einer gewissen Erheblichkeit zu beschränken. Gleichzeitig gilt nach Ansicht des EuGH jedoch, dass der Betroffene nicht davon befreit ist, nachzuweisen, dass der eingetretene Schaden tatsächlich auf den Verstoß gegen die Datenschutz-Grundverordnung beziehungsweise die Datenschutzverletzung zurückzuführen ist.

Schließlich führt der EuGH zu den Regeln die Schadensbemessung betreffend aus. Diesbezüglich enthält die Datenschutz-Grundverordnung selbst keine Vorgaben und es bestehen auch keine sonstigen unionsrechtlichen Regelungen, weshalb im Ergebnis insbesondere die Festlegung der Kriterien für die Ermittlung des Umfangs des geschuldeten Schadenersatzes durch die mitgliedstaatlichen Rechte ausgefüllt werden muss.

Welche Auswirkungen sind für die Praxis zu erwarten?

Das Gesagte lässt zwar vermuten, dass die Geltendmachung des datenschutzrechtlichen Schadenersatzanspruches grundlegend an höhere Anforderungen geknüpft wird, da nicht jeder Verstoße gegen die Datenschutz-Grundverordnung auch zu einem Anspruch führt. Dennoch drängt sich die Vermutung auf, dass künftig mehr Klageverfahren geführt werden könnten. Dies ist darauf zurückzuführen, dass insbesondere die deutschen Gerichte Klagen auf Schadenersatz nach Art. 82 DS-GVO in der Vergangenheit mit Verweis auf die Erheblichkeitsschwelle (sog. Bagatellfälle) abgewiesen haben. Insbesondere bei Datenschutzverletzungen z.B. infolge von Cyberangriffen könnte dies nunmehr zu einem erhöhten Risiko für verantwortliche Stellen kommen – wenn da nicht weiterhin ungeklärte Fragen wären…

Offen bleibt, insbesondere welche Verstöße gegen die Datenschutz-Grundverordnung einen Schadenersatz auslösen können. Im Raum steht hier allem voran die Frage, ob Verstöße gegen die Informationspflichten nach Art. 12 bis Art. 14 DS-GVO ausreichend sein können. Diesbezüglich lohnt gegebenenfalls ein Blick auf das Urteil des EuGH ebenfalls vom 4. Mai 2023 (Az.: C-60/22), in welchem der EuGH wiederrum konstatiert, dass ein Verstoß gegen Art. 26 DS-GVO (Gemeinsame Verantwortlichkeit) und Art. 30 DS-GVO (Verzeichnis der Verarbeitungstätigkeiten) nicht zur Unrechtmäßigkeit einer Datenverarbeitung führt.

Auch die Frage nach dem konkreten Schaden wird durch den EuGH nicht abschließend beantwortet. Offen bleibt, was konkret unter einem Schaden zu verstehen ist. Ungeklärt ist mithin weiterhin was unter den immateriellen Schadensbegriff gefasst werden muss. Da drängt sich die Frage auf: Soll Schmerzensgeld z.B. wehtun? Diese Frage ist auch deshalb nicht trivial, da die datenschutzrechtliche Schadenersatzpraxis, durch die ab Juni 2023 in nationales Recht umzusetzende EU-Verbandsklage neuen Sphären erreichen könnte.

Fazit

Verantwortliche Stellen könnten sich künftig vermutlich mehr mit Schadenersatzforderungen in großer Zahl in Folge von Datenschutzverstößen, insbesondere nach Datenschutzverletzungen bzw. IT-Sicherheitsvorfällen ausgesetzt sehen. Ander als bei den Verstößen gegen „formelle“ Anforderungen liegt z.B. bei einer Datenschutzverletzung in Form einer Datenexfiltration ein Kontrollverlust der betroffenen Person über die eigenen personenbezogenen Daten vor. Hier wird insbesondere auch auf das kommende Urteil des EuGH in der Rechtssache C-340/21 zu blicken sein. In dieser Sache hat der Generalstaatsanwalt am 27. April 2023 seine Schlussanträge vorgelegt, mit denen er sich mit der Frage auseinandersetzt, ob ein Cyberangriff auf einen Verantwortlichen stets in eine Schadensersatzhaftung nach Art. 82 DS-GVO führt. Es bleibt also mit Spannung abzuwarten, wie sich das (Datenschutz-)Schadenersatzrecht weiterentwickelt.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Die wichtige Entscheidung des Europäischen Gerichtshofs (EuGH) vom 04.05.2023 (Rs. C-300/21) zum „Schmerzensgeld“ (Ersatz immaterieller Schäden) bei Verletzung von Auskunftspflichten nach Art. 15 DS-GVO wurde hier schon besprochen. Bereits einige Wochen zuvor hat das Arbeitsgericht Duisburg (Urt. v. 23.03.2023, Az. 3 Ca 44/23) für verspätete und unvollständige Auskunft EUR 10.000 Schmerzensgeld festgesetzt. Vorab: Das Urteil ist in mehrfacher Hinsicht ein negativer „Ausreißer“. Ein Berufungsverfahren mit deutlicher Reduzierung des „Schmerzensgeldes“ wäre erfreulich. Auf telefonische Nachfrage erhielten wir keine Auskunft, ob Berufung eingelegt wurde – trotz Veröffentlichung des Urteils angeblich aus Datenschutzgründen.

Worum ging es?

Der Kläger des Verfahrens war vor etlichen Jahren für sehr kurze Zeit (einige Tage) „bei der Rechtsvorgängerin der Beklagten am Standort Duisburg beschäftigt“. Er hatte bereits 2020 einmal Auskunft von der Beklagten verlangt und erhalten. Am 01.10.2022 forderte er von der Beklagten erneut Auskunft und Datenkopie (bis 16.10.2022), erinnerte nochmals mit Schreiben vom 21.10.2022 und setzte eine weitere Frist bis 31.10.2022. Am 27.10.2022 übermittelte die Beklagte die Auskunft und eine Kopie noch gespeicherter Daten. Es folgten dann Schreiben vom 04.11. (Kläger), 11.11. (Beklagte), 18.11. (Kläger), 01.12. (Beklagte) und 09. sowie 30.12. (Kläger). Man stritt sich über die Angaben zur Speicherdauer und Datenempfängern sowie über die Vollständigkeit der Datenkopien. Am 07.01.2023 traf die Klage beim Arbeitsgericht ein. Der Kläger forderte Schmerzensgeld von mindestens EUR 2.000.

Die Entscheidung des Gerichts

Das Gericht hatte ungewöhnlicherweise den fünffachen (!) Betrag zugesprochen und den beklagten Arbeitgeber in der Urteilsbegründung geradezu „abgekanzelt“. Der Arbeitgeber hatte unter anderem die EuGH-Entscheidung im Rechtsstreit C-300/21 abwarten wollen. Die wurde vom Arbeitsgericht – nachvollziehbar – abgelehnt.

Zur Erinnerung: Der EuGH hat dann am 04.05.2023 drei Aussagen zum „Schmerzensgeld“ bei Art. 15 DS-GVO getroffen: (1) Ein Schadensersatzanspruch besteht nicht bei jedem Auskunftsfehler. Es muss auch tatsächlich ein Schaden entstanden sein. (2) Jeder Schaden ist zu ersetzen. Es gibt keine „Bagatellgrenze“. (3) Die Höhe des Schmerzensgeldes (Ersatzes für immaterielle Schäden) müssen und dürfen die Gerichte nach nationalen Regeln festlegen, solange sie damit wirksamen Schutz gewährleisten.

Das Arbeitsgericht Duisburg zählt mehrere Fehler und Pflichtverletzungen des verklagten Arbeitgebers auf: Dieser habe sich nicht einen Monat Zeit lassen dürfen, sondern in der vom Kläger gesetzten Zweiwochenfrist reagieren müssen, weil die Auskunft „unverzüglich“ geschuldet sei und die Monatsfrist nur eine Maximalgrenze darstelle. Die Auskunftsforderung sei auch nicht missbräuchlich oder exzessiv: Dass der Kläger nur wenige Tage beschäftigt war, das Arbeitsverhältnis Jahre zurücklag und 2020 bereits eine Auskunft erfolgte, ändere nichts an den Auskunftspflichten. Die Auskünfte zur Speicherdauer und zu den Datenempfängern hätte der Arbeitgeber sofort geben können und müssen; seine Nachfragen dazu seien unnötig gewesen.

Rechtliche Wertung

All dies ist zunächst nachvollziehbar. Bei dem angemessenen Auskunftszeitraum (zwei Wochen oder ein Monat im konkreten Fall) und beim „Rückfrage-Verbot“ sind die Positionen des Arbeitsgerichts allerdings „grenzwertig“ streng. Auch die DS-GVO sieht ja Rückfragen z.B. in Erwägungsgrund 63 Satz 7 ausdrücklich vor. Und Verantwortliche genügen ihren datenschutzrechtlichen Pflichten, wenn sie betriebliche Abläufe so organisieren, dass Auskunftsverlangen jedenfalls innerhalb der Monatsfrist nach Art. 12 Abs. 3 Satz 1 DS-GVO erfüllt werden können.

Die Bemessung des Schmerzensgeldes ist dann nicht mehr nachvollziehbar: Das Arbeitsgericht begründet den Betrag von EUR 10.000 unter anderem damit, dass „der europäische Verordnungsgeber“ das Auskunftsrecht „als bedeutsam einordnet“ und es „sich eben nicht nur um ein einfaches Arbeitspapier“ handele (?), weiter damit, dass „der Verstoß einige Monate anhielt“ und der beklagte Arbeitgeber „beträchtlichen Umsatz“ erzielt (woraus das Arbeitsgericht – warum auch immer – dessen „Finanzkraft“ schlussfolgert). „Besonders schwer wog nach Auffassung der Kammer bei der Höhe der Geldentschädigung aber das vorsätzliche Verhalten“ des beklagten Arbeitgebers.

Was völlig fehlt – und in Gerichtsentscheidungen zum „Schmerzensgeld“ bei Art. 15 DS-GVO erwartet werden darf: Welchen immateriellen Schaden hat der Kläger durch die Verletzung der Auskunftspflichten (verspätet, unvollständig) erlitten? Wurde sein Ruf oder Image beschädigt? Bestanden dafür jedenfalls Risiken? War der Kläger in Sorge wegen irgendwelcher Datenverarbeitungen? Gab es sonst irgendwelche Nachteile oder Schäden?

Mit „frei schwebenden“ Schmerzensgeld-Beträgen wie vom Arbeitsgericht Duisburg ausgeurteilt, wird die DS-GVO nicht sinnvoll umgesetzt. Stattdessen entsteht (auch zum Nachteil der Arbeitsgerichte) die Gefahr, dass die Auskunft Art. 15 DS-GVO zur „Gelddruckmaschine“ verkommt. Für die Stimmigkeit von Schmerzensgeldbeträgen wäre es auch hilfreich, wenn man die Summen vergleicht (und in sinnvolle Relation bringt) mit denjenigen Summen, die Gerichte bei „echten Schmerzen“ zusprechen. Beispiele aus der „Schmerzensgeldtabelle“ des Oberlandesgerichts Celle:

• EUR 7.669,38 bei „Bruch der rechten Kniescheibe mit blutigem Kniegelenkserguss, Gehirnerschütterung, Stirnplatzwunde, Thoraxprellung, 7-tägiger stationärer Krankenhausbehandlung und einer Minderung der Erwerbsfähigkeit um 10 %“ (OLG Celle, Urt. v. 09.11.2000, Az. 14 U 25/00),

• EUR 10.000 bei „schwerer Beckenverletzung mit Trümmerfraktur, Kopfplatzwunden, Prellungen an Thorax und Kiefer, Lungen- und Nierenquetschungen, Sensibilitätsstörung des linken Beins, fast 3-monatige Krankenhaus- und Reha-Behandlung“ (OLG Celle, Urt. v. 23.05.2002, Az. 14 U 219/01),

• EUR 4.601,63 bei „Teilverrenkung des Kleinfingers, Prellungen an beiden Knien und im Rückenbereich, Riss des Innenbandes und Innenmeniskus, Einriss im rechten Kniegelenk, dadurch zwei chirurgische Behandlungen und Minderung der Erwerbsfähigkeit für viereinhalb Monate, als Dauerfolge Bewegungseinschränkung in der Streckung des rechten Kleinfingers und Ausbildung einer Arthrose im Gelenk des rechten Kleinfingers“ (OLG Celle, Az. 14 U 230/00).

Ja, Datenschutz ist wichtig. Nein, das Warten auf vollständige Auskunft über zwei oder drei Monate – ohne persönliche Nachteile – verursacht nicht Schmerzen von EUR 10.000. Urteile dieser Art sind nicht „stimmig“. Eine übersichtliche Darstellung anderer Entscheidungen bietet z.B. dsgvo-schmerzensgeld.de. Sie haben weitere Fragen zum Thema „Auskunftsrecht“? Schauen Sie sich gern unsere Blog-Beiträge „Auskunftsrecht – Fragen und Antworten“ an!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz, Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) sowie Mitglied des Ausschusses für Datenschutzrecht der Bundesrechtsanwaltskammer (BRAK). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.