EuGH zu Art. 82 DSGVO: Kein Schadensersatz ohne Schaden

Seit Geltung der DSGVO streiten Gerichte darüber, wann Betroffene nach einem Datenschutzverstoß Schadensersatz verlangen können, ob also schon der Verstoß als solcher genügt oder ein „spürbarer“ Schaden vorliegen muss. Mit seinem Urteil vom 4. Mai 2023 in der Rechtssache C-300/21 (Österreichische Post) hat der Gerichtshof der Europäischen Union erstmals grundlegende Fragen zu Art. 82 DSGVO beantwortet.

Der Fall

Die Österreichische Post hatte mithilfe eines Algorithmus Informationen über die vermeintliche Affinität von Personen zu politischen Parteien ermittelt, um Zielgruppen für Wahlwerbung zu bilden. Ein Betroffener, dem eine besondere Nähe zu einer bestimmten Partei zugeschrieben worden war, fühlte sich dadurch verärgert und bloßgestellt. Er verlangte 1.000 Euro Schadensersatz für immaterielle Schäden. Der österreichische Oberste Gerichtshof legte dem EuGH mehrere Fragen vor.

Die drei Kernaussagen

1. Der bloße Verstoß genügt nicht. Ein Anspruch auf Schadensersatz setzt drei Elemente voraus: einen Verstoß gegen die DSGVO, einen materiellen oder immateriellen Schaden und einen Kausalzusammenhang zwischen beiden. Nicht jeder Verstoß führt automatisch zu einem Anspruch.
2. Eine Erheblichkeitsschwelle gibt es nicht. Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Erheblichkeit erreicht. Eine Bagatellgrenze, wie sie manche nationalen Gerichte angewandt hatten, ist mit der DSGVO nicht vereinbar. Der Betroffene muss aber nachweisen, dass er tatsächlich einen Schaden erlitten hat.
3. Die Höhe des Schadensersatzes richtet sich nach dem Recht der Mitgliedstaaten, wobei die Grundsätze der Äquivalenz und Effektivität zu beachten sind. Der Ersatz muss den erlittenen Schaden vollständig und wirksam ausgleichen.

Was bedeutet das für die Praxis?

Für Betroffene ist das Urteil ambivalent. Einerseits ist die in Deutschland verbreitete Abweisung von Klagen wegen „Bagatellschäden“ nicht mehr haltbar. Andererseits reicht der Hinweis auf einen Verstoß nicht aus. Es kommt darauf an, konkret darzulegen, welche negativen Folgen eingetreten sind, etwa Ängste, Bloßstellung, Ärger oder ein spürbarer Verlust an Kontrolle. Wie unterschiedlich deutsche Gerichte bisher geurteilt haben, zeigt etwa das Google-Fonts-Urteil des LG München I, das einen Schaden bereits im Kontrollverlust und Unwohlsein des Klägers sah. Weitere Fragen, etwa ob schon die bloße Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann, liegen dem EuGH noch zur Entscheidung vor.

Für Unternehmen bedeutet das Urteil keine Entwarnung. Massenverfahren nach Datenlecks bleiben möglich, wenn Kläger einen individuellen Schaden darlegen. Vorbeugung bleibt der beste Schutz, angefangen bei soliden technischen und organisatorischen Maßnahmen bis zu einem sauberen Prozess für Datenpannen. Die Höhe der Ansprüche bestimmen weiterhin die nationalen Gerichte.

In künftigen Verfahren wird es auf die konkrete Darlegung der Beeinträchtigung ankommen. Wir vertreten Betroffene, die Schadensersatz wegen eines Datenschutzverstoßes verlangen, ebenso wie Unternehmen, die in Anspruch genommen werden. Kontaktieren Sie uns oder buchen Sie einen Termin.