EuGH zu Art. 82 DSGVO: Kein Schadensersatz ohne Schaden, aber auch keine Bagatellgrenze

Mit Urteil vom 4. Mai 2023 (Rs. C-300/21, Österreichische Post) hat der Gerichtshof der Europäischen Union erstmals Grundsatzfragen zum immateriellen Schadensersatz nach Art. 82 DSGVO entschieden. Die Entscheidung war mit Spannung erwartet worden, weil deutsche Gerichte bislang sehr unterschiedlich urteilten: Manche sprachen schon für den bloßen Verstoß Geld zu, andere verlangten einen spürbaren Nachteil von einigem Gewicht.

Der Fall

Die Österreichische Post hatte als Adresshändlerin Informationen über die vermutete Parteiaffinität österreichischer Bürger gesammelt. Mithilfe eines Algorithmus ordnete sie den Kläger einer bestimmten politischen Partei zu. Weitergegeben wurden die Daten nicht. Der Kläger fühlte sich durch die Zuordnung bloßgestellt und verlangte immateriellen Schadensersatz. Die österreichischen Instanzgerichte wiesen die Klage ab, weil ein bloßer Verstoß und ein Gefühl des Kontrollverlusts keinen Schaden darstellten. Der österreichische Oberste Gerichtshof legte dem EuGH drei Fragen vor.

Die drei Kernaussagen des EuGH

• Der bloße Verstoß gegen die DSGVO begründet noch keinen Schadensersatzanspruch. Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang zwischen beiden.
• Eine Erheblichkeitsschwelle gibt es nicht. Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Erheblichkeit erreicht.
• Die Bemessung des Schadensersatzes richtet sich nach dem innerstaatlichen Recht der Mitgliedstaaten. Dabei sind der Äquivalenz- und der Effektivitätsgrundsatz zu wahren. Der Schadensersatz soll den erlittenen Schaden vollständig ausgleichen, einen Strafcharakter hat er nicht.

Was das für die Praxis bedeutet

Beide Seiten können dem Urteil etwas abgewinnen. Für Unternehmen ist wichtig, dass Kläger einen Schaden darlegen und beweisen müssen. Pauschale Behauptungen, man sei verunsichert oder verärgert, reichen nicht ohne Weiteres. Die deutschen Gerichte werden genauer prüfen müssen, worin der Schaden konkret besteht.

Für Betroffene ist entscheidend, dass die Bagatellgrenze fällt. Auch geringe immaterielle Schäden sind ersatzfähig. Das spricht für viele Verfahren mit eher niedrigen Beträgen, die in der Summe für Unternehmen dennoch teuer werden können, etwa nach Datenlecks mit tausenden Betroffenen.

Offen bleibt, welche Anforderungen an den Nachweis eines immateriellen Schadens zu stellen sind, etwa ob die begründete Befürchtung eines Datenmissbrauchs genügt. Dazu sind weitere Verfahren beim EuGH anhängig.

Wie Unternehmen sich aufstellen sollten

Nach unserer Erfahrung entstehen die meisten Schadensersatzklagen aus drei Konstellationen: Datenpannen, verspätete oder unvollständige Auskünfte nach Art. 15 DSGVO und unzulässige Weitergaben an Dritte. Wir empfehlen:

• Auskunftsersuchen fristgerecht und vollständig beantworten, Prozesse dafür dokumentieren
• Datenpannen sauber nach Art. 33 und 34 DSGVO behandeln und die Kommunikation mit Betroffenen abstimmen
• im Prozess konsequent bestreiten, dass ein konkreter Schaden eingetreten ist, und Kausalität prüfen
• bei Massenverfahren früh eine Verteidigungsstrategie und Textbausteine entwickeln

Wer auf Klägerseite steht, sollte die eigenen Beeinträchtigungen frühzeitig und konkret festhalten.

Fragen dazu? Wir vertreten Unternehmen und Betroffene in Verfahren nach Art. 82 DSGVO. Nutzen Sie unsere Onlineberatung. Mehr unter Bußgeld und Schadensersatz, Datenpanne und Datenschutz.