EuGH MediaMarktSaturn: Kein Schadensersatz bei bloß hypothetischem Risiko

Kurz nach seinem Urteil zur Befürchtung eines Datenmissbrauchs als Schaden hat der Gerichtshof der Europäischen Union die Grenzen des Schadensersatzanspruchs nach Art. 82 DSGVO weiter konturiert. Mit Urteil vom 25. Januar 2024 (Rs. C-687/21, MediaMarktSaturn) stellte er klar: Ein rein hypothetisches Risiko eines Missbrauchs genügt nicht.

Der Fall

Ein Kunde hatte in einem Elektronikmarkt ein Haushaltsgerät gekauft und dafür einen Kredit- und Kaufvertrag mit seinen persönlichen Daten unterschrieben. Durch ein Versehen der Mitarbeitenden wurden das Gerät und die Unterlagen einem anderen Kunden ausgehändigt, der sich vorgedrängelt hatte. Der Fehler fiel nach etwa einer halben Stunde auf; Gerät und Dokumente wurden zurückgegeben. Es gab keine Anhaltspunkte dafür, dass der andere Kunde die Unterlagen gelesen hatte. Der Käufer verlangte dennoch Schadensersatz für den immateriellen Schaden, der ihm durch das Risiko eines Kontrollverlusts entstanden sei.

Die Kernaussagen

• Verantwortliche müssen ihre technischen und organisatorischen Maßnahmen nicht so gestalten, dass jeder Datenschutzverstoß ausgeschlossen ist. Ein einzelner Fehler von Beschäftigten führt deshalb nicht automatisch zur Haftung.
• Der Schadensersatzanspruch nach Art. 82 DSGVO hat keine Straffunktion, sondern eine reine Ausgleichsfunktion. Ersetzt wird nur der tatsächlich erlittene Schaden.
• Hat ein Dritter von den personenbezogenen Daten nachweislich keine Kenntnis genommen, begründet das rein hypothetische Risiko einer missbräuchlichen Verwendung keinen ersatzfähigen immateriellen Schaden. Ein Kontrollverlust, auch ein nur kurzzeitiger, kann zwar grundsätzlich ein Schaden sein, setzt aber eine begründete Befürchtung voraus.

Abgrenzung zu C-340/21

Auf den ersten Blick scheinen die beiden Urteile in Spannung zu stehen. Tatsächlich ergänzen sie sich: Im bulgarischen Fall waren die Daten tatsächlich von Kriminellen erbeutet und veröffentlicht worden, die Befürchtung eines Missbrauchs war daher begründet. Im MediaMarktSaturn-Fall hatte dagegen niemand die Daten zur Kenntnis genommen; ein Missbrauch war praktisch ausgeschlossen. Maßgeblich ist also, ob die Befürchtung objektiv nachvollziehbar ist.

Folgen für die Praxis

Für Unternehmen heißt das: Schnelles Handeln nach einer Fehlleitung von Daten kann Schäden verhindern. Wer den Fehler früh bemerkt, die Unterlagen zurückholt und dokumentiert, dass keine Kenntnisnahme erfolgt ist, kann Schadensersatzforderungen wirksam entgegentreten. Ob der Vorfall der Aufsichtsbehörde zu melden ist, hängt vom Risiko ab; Details in unserem Leitfaden „Datenpanne melden“.

Für Betroffene heißt es: Wer Schadensersatz verlangt, muss konkret darlegen, worin der Schaden besteht. Allgemeine Unmutsbekundungen genügen nicht. Grundlagen dazu finden Sie in unserem Beitrag zum Urteil Österreichische Post.

Nach einem Vorfall kommt es damit auf beiden Seiten auf die genaue Aufklärung des Sachverhalts an. Streiten Sie über Schadensersatz nach einer Datenschutzverletzung, sprechen Sie uns an: Kontaktformular oder Terminbuchung.