WISSENSWERTES | 17.05.2023

DSGVO – Neues zu Schadensersatz und Unterlassung bei Datenschutzverstößen

 

Von Unternehmen und im Datenschutz tätigen Juristen lang erwartet, hat der Europäische Gerichtshof (EuGH) am 4. Mai 2023 über grundsätzliche Fragen zum Anspruch auf Schadensersatz aus Art. 82 DSGVO entschieden. In Vorabentscheidungsverfahren C-300/21 zur Datensammlung durch die österreichische Post (Volltext hier) folgte er auf Vorlage des Obersten Gerichtshofs (OGH) den Schlussanträgen des Generalanwalts vom 6. Oktober 2022 und erkannte, dass für die Gewährung von Schadensersatz nach der DSGVO kumulativ drei Voraussetzungen vorliegen müssen:

 

– Verstoß gegen die DSGVO und
– materieller oder immaterieller Schaden des Betroffenen sowie
– Kausalität zwischen Schaden und Rechtsverletzung.

 

Kein automatischer Schadensersatz

 

Das bedeutet zunächst, dass nicht jede Verletzung der DSGVO quasi „automatisch“ einen Schadensersatzanspruch des Betroffenen begründet. Inzident sagt der EuGH damit, dass auch Datenschutzverletzungen denkbar sind, aus denen kein Schaden resultiert.

 

Darüber hinaus stellt der EuGH fest, dass Schadensersatz nach Art. 82 DSGVO nicht auf immaterielle Schäden beschränkt ist, die eine gewisse Erheblichkeitsschwelle überschreiten. So hatten bislang viele nationale, vor allem auch deutsche Gerichte geurteilt und mit dieser Begründung Ansprüche Betroffener zurückgewiesen.

 

Schließlich urteilt der EuGH, dass es den Rechtssystemen der Mitgliedstaaten überlassen bleibt, nach eigenen nationalen Regeln den Umfang eines Schadens festzustellen. Es muss nur sichergestellt werden, dass ein vollständiger und wirksamer Ersatz gewährleistet wird. Ein reiner Ausgleich genügt; Strafschadenersatz hingegen ist nicht nötig.

 

An diesen Vorgaben des EuGH werden sich die Prozessbeteiligten und die Gerichte in schon laufenden Rechtsstreiten um Schadensersatz aus Art. 82 DSGVO sowie in allen neuen Verfahren orientieren müssen. Das bedeutet freilich nicht automatisch, dass zukünftig leichter Schadensersatz zu erlangen sein wird. Beispielsweise könnten die Gerichte etwa über prozessuale Regeln (Stichwort: Substantiierungslast) noch immer regulierend eingreifen.

 

Neben DSGVO keine Unterlassungsansprüche mehr?

 

In engem Zusammenhang mit Schadensersatzansprüchen aus Art. 82 DSGVO steht auch ein Urteil des OLG Frankfurt vom 20. März 2023 (Az. 16 U 22/22). Im dort entschiedenen Fall hatte der von (rechtswidrigen) Datenübermittlungen bei Onlinebestellungen Betroffene vom Verkäufer die Unterlassung solcher Übermittlungen verlangt. Bereits das Landgericht hatte solche Ansprüche abgelehnt (LG Wiesbaden, Urteil vom 20.01.2022, Az. 10 O 14/21) . Nun hat auch das Berufungsgericht die Auffassung bestätigt, dass sich zwar unter bestimmten Umständen Unterlassungsansprüche aus Art. 17 DSGVO („Recht auf Vergessen“) und auch aus Art. 82 DSGVO ergeben können. Darüber hinaus – und das ist höchst praxisrelevant – gäbe es allerdings neben der DSGVO keine anwendbare Rechtsgrundlage mehr im deutschen Recht.

 

Der Kläger hatte sich althergebracht auf §§ 1004, 823 BGB i.V.m. der verletzten Norm der DSGVO berufen, also einen Unterlassungsanspruch aus einer Verletzung des informationellen Selbstbestimmungsrechts geltend gemacht, das wiederum Ausfluss des grundrechtlich geschützten Allgemeinen Persönlichkeitsrechts ist. Das soll nun nicht mehr gelten. Das OLG Frankfurt meint, die Vorschriften der DSGVO also voll harmonisierende europäische Regelung wären abschließend. Eine Öffnungsklausel fehle insoweit; Art. 79 Abs. 1 DSGVO könne hierfür nicht herhalten, weil dort keine materiell-rechtlichen Ansprüche adressiert wären.

 

Bewertung und Ausblick

 

In dieser Deutlichkeit erscheint die Auffassung des OLG Frankfurt fragwürdig. Es verweist den Betroffenen ausdrücklich auf die Aufsichtsbehörden, die auch noch heute, fünf Jahre nach erstmaliger Geltung der DSGVO, extrem lange Reaktionszeiten haben. Ein zivilrechtlicher Anspruch ist häufig „schlagkräftiger“ als Maßnahmen von Verwaltungsbehörden. Durch die Ansicht des OLG Frankfurt wird zudem der effektive Eilrechtsschutz Betroffener gefährdet. Es sind also sowohl materielle als auch Verfahrensgrundrechte negativ betroffen.

 

Das OLG Frankfurt hat die Revision zum Bundesgerichtshof (BGH) nicht zugelassen. Trotzdem wird abzuwarten sein, ob diese Rechtsprechung noch höchstgerichtlich, etwa durch das Bundesverfassungsgericht (BVerfG), korrigiert werden wird. Wie zu Art. 82 DSGVO wird auch hier final der EuGH entscheiden müssen. Aus unserer Sicht sprechen gute Gründe für einen bestehenden Spielraum der Mitgliedstaaten auch bei Unterlassungsansprüchen.


Current articles of Daniel Heymann

NEWS | 13.12.2023

Geldbußen nach DSGVO – Weitere Vorgaben des EuGH

Im Mai dieses Jahres hat der Europäische Gerichtshof (EuGH) die drei Voraussetzungen für einen Schadensersatzanspruch des von einem Datenschutz­verstoß Betroffenen nach Art. 82 DSGVO herausgearbeitet. Darüber hatten wir seinerzeit hier berichtet.   Bußgeldfestsetzung gegen juristische Personen?   In eine...

NEWS | 17.05.2023

DSGVO – Neues zu Schadensersatz und Unterlassung bei Datenschutzverstößen

Von Unternehmen und im Datenschutz tätigen Juristen lang erwartet, hat der Europäische Gerichtshof (EuGH) am 4. Mai 2023 über grundsätzliche Fragen zum Anspruch auf Schadensersatz aus Art. 82 DSGVO entschieden. In Vorabentscheidungsverfahren C-300/21 zur Date...