Schadensersatzanspruch nach Verstoß gegen die Datenschutzgrundverordnung (DSGVO) – der Gerichtshof der Europäischen Union (EuGH) entschied mit Urteil vom 25.01.2024, Az. C-687/21: : Für einen Schadensersatz nach Art. 82 DSGVO reicht es nicht aus, dass die betroffene Person nur einen Verstoß gegen die DSGVO nachweist. Vielmehr muss der betroffenen Person tatsächlich ein Schaden entstanden sein und dieser nachgewiesen werden.

Sachverhalt: Worum geht es?

Der spätere Kläger hatte beim Elektronikhändler Saturn ein Haushaltsgerät gekauft. Dieses wollte er an der Warenausgabe in Empfang nehmen. Ein anderer Kunde hatte sich aber unbemerkt vorgedrängelt. Diesem war das Gerät bereits ausgehändigt worden – und zwar mitsamt der Kauf- und Kreditvertragsunterlagen, also sämtlicher persönlicher Daten wie Name, Anschrift, Arbeitgeber und Verdienst des Käufers, also des späteren Klägers. Etwa eine halbe Stunde später fiel die Verwechslung einem Mitarbeiter von Saturn auf. Anschließend wurden dem Käufer sowohl das Gerät als auch die Unterlagen ausgehändigt.

Der Käufer forderte nun von Saturn Schadensersatz nach der DSGVO. Er machte er einen immateriellen Schaden aufgrund des Irrtums des Saturn-Mitarbeiters geltend. Diesen Schaden sah er in dem Risiko, aufgrund der Verwechslung die Kontrolle über die eigenen personenbezogenen Daten verloren zu haben.

Saturn verweigerte den Schadensersatz. Daraufhin erhob der Käufer Klage zum Amtsgericht Hagen. Das Amtsgericht setzte das Verfahren mit Vorabentscheidungsersuchen vom 11.10.2021, beim EuGH eingegangen am 16.11.2021, aus und legte zahlreiche Fragen zur Auslegung der DSGVO vor.

Ergebnis: Wie entschied der EuGH?

In seinem Urteil stellt der EuGH unter anderem fest, dass die betroffene Person für einen Schaden zweierlei nachweisen muss,

• dass es zu einem Verstoß gegen die DSGVO gekommen ist,
• und dass ihr deswegen tatsächlich ein Schaden entstanden ist.

Aber:

„Gleichwohl obliegt es demjenigen, der eine auf Art. 82 DSGVO gestützte Schadensersatzklage erhebt, das Vorliegen eines solchen Schadens nachzuweisen. Insbesondere kann ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten nicht zu einer Entschädigung führen. Dies ist der Fall, wenn kein Dritter die fraglichen personenbezogenen Daten zur Kenntnis genommen hat.“

Art. 82 Abs. 1 DSGVO ist dahin auszulegen,

„dass in einem Fall, in dem ein Dokument, das personenbezogene Daten enthält, an einen unbefugten Dritten weitergegeben wurde, der diese Daten erwiesenermaßen nicht zur Kenntnis genommen hat, nicht schon deshalb ein ‚immaterieller Schaden‘ im Sinne dieser Bestimmung vorliegt, weil die betroffene Person befürchtet, dass im Anschluss an die Weitergabe, die es ermöglichte, vor der Rückgabe des Dokuments eine Kopie von ihm anzufertigen, in der Zukunft eine Weiterverbreitung oder gar ein Missbrauch ihrer Daten stattfindet.“

Zusammengefasst: Alleine die Sorge, die eigenen Daten könnten missbräuchlich verwendet werden, genügt nicht für einen immateriellen Schaden. Das gilt jedenfalls dann, wenn ausgeschlossen werden kann, dass jemand von den Daten Kenntnis genommen hat.

Auswirkung auf die Praxis

Einige Zeit erschien es, als sei der der Schadensersatz nach Art. 82 DSGVO – in Nachfolge zum AGG-Hopping – das neue bedingungslose Grundeinkommen. Die Massenabmahnungen des Jahres 2022 mit dem Vorwurf, Google-Fonts unter Verstoß gegen Datenschutzrecht in die eigene Website eingebunden zu haben, waren wohl der unrühmliche Höhepunkt dieser Bestrebungen, ohne Arbeit zu Geld zu kommen.

Das Urteil des EuGH vom 25.01.2024 reiht sich ein in diejenigen Entscheidungen der jüngeren Zeit, die eine restriktivere Handhabung von DSGVO-Schadensersatzansprüchen wegen (angeblicher) immaterieller Schäden vorsehen. Erfreulich jedenfalls aus Sicht der verantwortlichen Unternehmen ist nicht zuletzt die Beweislastverteilung: Die betroffene Person als Anspruchstellerin muss sowohl den Rechtsverstoß wie auch den Eintritt des Schadens nachweisen – und nicht etwa umgekehrt der Verantwortliche als Anspruchsgegner einen Entlastungsbeweis erbringen.

© RA Stefan Loebisch | Kontakt