Risiken für Unternehmen durch neue Rechtsprechung zum DS-GVO-Schadensersatz
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
TIM WYBITUL / KEVIN LEIBOLD
Schmerzensgeld
Risiken für Unternehmen durch Haftungsbegrenzung
Erheblichkeitsschwelle
neue Rechtsprechung zum Geschäftsmodell
Verschulden
DS-GVO-Schadensersatz
Ein Überblick über die Voraussetzungen und die aktuelle Rechtsprechung zu
Art. 82 DS-GVO
c Deutsche und andere europäische Gerichte sprechen be- c German and other European courts are increasingly
troffenen Personen vermehrt immateriellen Schadensersatz awarding non-material damages to data subjects for data
wegen Datenschutzverstößen zu. Erste Entscheidungen zu protection violations. Initial decisions on Article 82 GDPR were
Art. 82 DS-GVO fielen eher zurückhaltend aus. Inzwischen rather cautious. Now, cases are piling up in which courts are
häufen sich aber die Fälle, in denen Gerichte Klägern Scha- awarding plaintiffs substantial damages. The article shows
densersatz in erheblicher Höhe zusprechen. Der vorliegende the current case law and its consequences for future proceed-
Beitrag zeigt die aktuelle Rechtsprechung und ihre Folgen für ings. It also describes business models for asserting GDPR
künftige Verfahren. Zudem beschreibt er Geschäftsmodelle damage claims. Finally, it explains possible defence strategies
zur Geltendmachung von DS-GVO-Schadensersatzforderun- and gives an outlook on further developments.
gen. Er erläutert schließlich mögliche Verteidigungsstrategien Lesedauer: 32 Minuten
und gibt einen Ausblick auf die weitere Entwicklung.
I. Einleitung 1. „Stapelbarkeit“ als Grundvoraussetzung für
Mittlerweile gibt es vor deutschen Gerichten immer mehr Ver- Massenklagen
fahren um Schadensersatz wegen vermeintlicher Verstöße ge- Aus Sicht der am Markt agierenden Anbieter ist es entscheidend,
gen die DS-GVO. Für Unternehmen bergen solche Schadenser- ob sich ein Sachverhalt für die massenhafte Geltendmachung von
satzforderungen erhebliche Risiken. Ansprüche auf immateriel- Forderungen eignet. Denn nur eine große Zahl (potenziell) von
len Schadensersatz eignen sich für Massenverfahren. Denn Feh- einem Vorfall betroffener Personen ermöglicht es, eine Vielzahl
ler bei der Umsetzung des Datenschutzrechts können oft eine von Kunden zu gewinnen, um deren Ansprüche gebündelt gel-
Vielzahl von Personen betreffen. tend zu machen. So können sich etwa Datenschutzverletzungen,
bei denen personenbezogene Daten offengelegt wurden, für
Mit einem aufsehenerregenden Vorlageersuchen nach
Massenverfahren ebenso eignen wie sonstige mögliche DS-GVO-
Art. 267 AEUV hat das BAG dem EuGH kürzlich wesentliche
Verstöße, die eine Vielzahl von Verbrauchern betreffen. Sowohl
Fragen zur Anwendung von Art. 82 DS-GVO vorgelegt.1 Ob-
außergerichtliche Forderungsschreiben als auch Klageschriften
wohl die DS-GVO bereits über drei Jahre gilt, sind Reichweite
und sonstige Schriftsätze in entsprechenden Schadensersatzpro-
und Anwendung von Art. 82 DS-GVO noch weitgehend um-
zessen sind oft weitgehend identisch.
stritten. Das Vorlageersuchen des BAG ist die erste Entschei-
dung eines deutschen Bundesgerichts, die sich ausführlich 2. Prüfung eines Vorgangs auf seine Eignung für
mit dieser Vorschrift auseinandersetzt.2 Sie gibt Anlass, den Schadensersatzklagen
aktuellen Stand der Rechtsprechung zur Auslegung und An- Werden mögliche Datenschutzverstöße bekannt, prüfen die
wendung von Art. 82 DS-GVO darzustellen und zu bewer- Anbieter, ob sich der jeweilige Vorfall für ihr Geschäftsmodell
ten. eignet. Neben der „Stapelbarkeit“ sind die Erfolgsaussichten
ausschlaggebend. Oft nehmen die Anbieter Vorgänge als Klage-
II. Geschäftsmodelle mit DS-GVO-Schadens- anlass, bei denen eine Datenschutzverletzung zu einer Offenle-
gung von Daten geführt hat. Vor Gericht argumentieren sie
ersatz dann zB, die eingetretene Datenschutzverletzung zeige, dass
Zahlreiche Anbieter haben sich auf die professionelle Geltend-
der beklagte Verantwortliche keine angemessene Datensicher-
machung von Schadensersatzforderungen nach Art. 82 DS-
heit gewährleiste und gegen Art. 32 DS-GVO verstoßen habe.
GVO spezialisiert. Der folgende Abschnitt zeigt die Rahmenbe-
dingungen solcher Geschäftsmodelle und beschreibt das Vorge- 3. Werben um Kunden
hen. Haben die Anbieter einen geeigneten Sachverhalt identifiziert,
suchen und werben sie um potenzielle Kläger. Die Anbieter
schalten zB Landing Pages auf ihren Webseiten und machen ihr
Geschäftsmodell auf sozialen Medien und anderen Kanälen öf-
fentlich. Auch über gewonnene Schadensersatzklagen infor-
1 BAG ZD 2022, 56 mAnm Leibold.
2 Vgl. auch BGH ZD 2021, 340.
mieren sie öffentlichkeitswirksam.3
3 Vgl. etwa die Presseberichte unter: https://eugd.org/schadenersatz/scalable-cap
ital/; https://www.handelsblatt.com/finanzen/banken-versicherungen/banken/urt 4. Provisionsmodell
eil-nach-datenleck-scalable-capital-soll-schadensersatz-zahlen/27916910.html?ti Manche Anbieter arbeiten auf Provisionsbasis. Sie bieten ihren
cket=ST-10991260-YfxxHksOLyrRZkcEKRsu-cas01.example.org; https://www.faz. Kunden an, deren (tatsächliche oder vermeintliche) Schadenser-
net/aktuell/wirtschaft/scalable-capital-soll-wegen-datendiebstahl-nach-dsgvo-zah satzansprüche vollständig auf eigenes finanzielles Risiko der An-
len-17695455.html oder https://www.juve.de/verfahren/scalable-soll-fuer-datenle
ck-schadensersatz-zahlen/.
bieter gerichtlich durchsetzen. Den Klägern entstehen dabei al-
4 Der Anteil liegt zB bei der Europäischen Gesellschaft für Datenschutz mbH bei so keine Kosten. Im Erfolgsfall behalten sie dann im Gegenzug
25%, vgl. https://eugd.org. einen Anteil der Schadensersatzforderung ein.4
ZD 4/2022 Wybitul/Leibold: Risiken für Unternehmen durch neue Rechtsprechung zum DS-GVO-Schadensersatz 2075. Abtretungsmodell der freie Datenverkehr ein wesentliches Ziel der Verordnung,
Auch Legal-Tech-Unternehmen spezialisieren sich vermehrt auf vgl. Art. 1 Abs. 3 DS-GVO.
die Geltendmachung von Schadensersatzforderungen nach
Art. 82 DS-GVO. Oftmals arbeiten sie dabei mit einem Abtre- III. Prozessuale Strategien und Vorfragen
tungsmodell. Die Anbieter kaufen teilweise mögliche Schadens- In Verfahren um Schadensersatzforderungen nach Art. 82 DS-
ersatzforderungen für einen (oft geringen) Betrag und lassen GVO sind oftmals auch prozessuale Fragestellungen entschei-
sich diese vom Forderungsinhaber abtreten. Dieses Modell ist dend. Dies gilt insbesondere für Fragen der Darlegungs- und Be-
rechtlich nicht unproblematisch. Die Frage, ob Schadensersatz- weislast. Gerade bei Massenverfahren um immateriellen Scha-
ansprüche gem. Art. 82 DS-GVO überhaupt nach § 398 BGB densersatz wegen möglicher Datenschutzverstöße kann eine
abgetreten werden können, ist umstritten. gut durchdachte Prozessstrategie sehr vorteilhaft sein.
Hierbei ist grundsätzlich zwischen materiellem und immateriel-
lem Schadensersatz zu unterscheiden. In Bezug auf materielle 1. Darlegungs- und Beweislast
Schadensersatzansprüche nach Art. 82 Abs. 1 DS-GVO geht die Oftmals argumentieren Kläger in Schadensersatzverfahren nach
überwiegende Ansicht davon aus, dass diese von der betroffe- Art. 82 DS-GVO, dass der Verantwortliche darlegen und bewei-
nen Person wirksam abgetreten werden können.5 Die Recht- sen müsse, dass weder ein Verstoß noch ein Schaden oder ein
sprechung zur Abtretung immaterieller Schadensersatzansprü- Verschulden vorliegt. Diesen Ansatz begründen sie mit dem Re-
che ist hingegen uneinheitlich. Das AG Hannover hatte eine sol- chenschaftsgrundsatz des Art. 5 Abs. 2 DS-GVO. Im deutschen
che Abtretbarkeit verneint. Ansprüche nach Art. 82 DS-GVO Zivilprozessrecht gilt hingegen der Grundsatz, dass jede Partei
seien höchstpersönlich und damit nicht abtretbar.6 In einer aktu- vortragen und beweisen muss, was für sie günstig ist.14 Nach
elleren Entscheidung vertrat das LG Essen eine gegenteilige Auf- den allgemeinen Beweislastregeln ist somit die betroffene Per-
fassung. Danach sei grundsätzlich jede Forderung abtretbar. son hinsichtlich der anspruchsbegründenden Tatsachen darle-
Auch in Bezug auf die notwendige Bestimmtheit der Forderung gungs- und beweisbelastet.15
hatte das Gericht keine Bedenken. Es reiche aus, wenn im Zeit- Die deutsche Rechtsprechung geht überwiegend davon aus,
punkt des Entstehens der Forderung bestimmbar sei, ob sie von dass dieser nationale prozessuale Grundsatz auf Art. 82 DS-
der Abtretung erfasst werde. In dem zu beurteilenden Abtre- GVO übertragen werden müsse. So urteilte das LG Düsseldorf,
tungsvertrag hieß es, dass dem Zedenten aus einer datenschutz- dass im Grundsatz derjenige, der einen Anspruch aus Art. 82
rechtlichen Verletzung Schadensersatzansprüche gegen die Be- DS-GVO geltend macht, die volle Darlegungslast für die an-
klagte – in einer noch durch ein Gericht festzulegenden Höhe – spruchsbegründenden Tatsachen trage.16 Auch das LG Frank-
zustehen.7 furt/M. hat entschieden, dass der Kläger darlegen und beweisen
Ein Teil der datenschutzrechtlichen Literatur geht ebenfalls da- muss, dass der Verstoß gegen die DS-GVO auf einer Pflichtver-
von aus, dass Ansprüche aus Art. 82 Abs. 1 DS-GVO abtretbar letzung des Beklagten beruht und ein Schaden besteht.17 Das
seien.8 Hierfür wird angeführt, dass eine Persönlichkeitsverlet- LG Karlsruhe hat hierzu ausgeführt, dass der Nachweis der Kau-
zung gerade keine Anspruchsvoraussetzung sei. Art. 82 DS- salität und des Eintritts eines Schadens als haftungsbegründen-
GVO komme auch eine objektive Aufgabe zu, die für die Mög- der Umstand der betroffenen Person obliege. Die Exkulpations-
lichkeit der Abtretung sprechen würde. Art. 82 DS-GVO habe möglichkeit nach Art. 82 Abs. 3 DS-GVO beziehe sich aus-
gerade keinen rein höchstpersönlichen Charakter. Der Anspruch schließlich auf das Verschulden hinsichtlich des schadensauslö-
diene nicht allein der Genugtuung, sondern auch der Vermei- senden Ereignisses. Auch bei einem bloßen Verdacht unzurei-
dung von zukünftigen Verstößen – er habe also einen spezial- chender Datenschutzvorkehrungen und einem damit abstrakt
präventiven Charakter. Die DS-GVO verfolge das Ziel, einen
„vollständigen und wirksamen Schadensersatz“ zu gewährleis- 5 Ettig/Herbrich K&R-Beilage 1 zu 6/2021, 27 (31 f.); Laoutoumai, Privacy Litiga-
ten, sodass auch die Notwendigkeit der tatsächlichen Durch- tion, 2021, S. 90.
6 AG Hannover ZD 2021, 176 (Ls.).
setzbarkeit dieses Anspruchs im Vordergrund stehe. Die Recht-
7 LG Essen ZD 2022, 50; dazu Leibold/Wybitul ZD-Aktuell 2021, 05520.
sprechung des BGH zu schweren Persönlichkeitsverletzungen 8 Kühling/Buchner, DS-GVO BDSG/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 65;
sei auf Art. 82 DS-GVO nicht übertragbar.9 Bernauer DSB 2021, 116 (119); Simitis/Hornung/Spiecker gen. Döhmann, Daten-
schutzrecht/Boehm, 1. Aufl. 2019, Art. 82 Rn. 7; Ettig/Herbrich K&R-Beilage 1 zu
Die Gegenmeinung in der Literatur befindet sich auf der Linie 6/2021, 27 (31 f.); Heinzke/Storkenmaier CR 2021, 299 (304); Kohn ZD 2019, 498
des AG Hannover und hält immaterielle Schadensersatzansprü- (499); Laoutoumai, Privacy Litigation, 2021, S. 90 ff.; Taeger/Gabel, DSGVO –
che für nicht abtretbar. Solche Forderungen könnten wegen ih- BDSG – TTDSG/Moos/Schefzig, 4. Aufl. 2022, DSGVO Art. 82 Rn. 62; Brink/Wolff,
BeckOK DatenschutzR/Quaas, 38. Ed. 1.11.2021, DS-GVO Art. 82 Rn. 11; Moos/
res höchstpersönlichen Charakters nicht abgetreten werden.10
Schefzig/Arning, Praxishandbuch DS-GVO/Schefzig/Rothkegel/Cornelius, 2. Aufl.
Bei Art. 82 DS-GVO stehe die Genugtuung sowie Kompensa- 2021, Kap. 16 Rn. 196; Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/
tion durch Entschädigung für die Persönlichkeitsrechtsverlet- BDSG/Schwartmann/Keppeler/Jacquemain, 2. Aufl. 2020, DS-GVO Art. 82 Rn. 42;
zung im Vordergrund, die nur gegenüber der betroffenen Per- wohl auch Kremer/Conrady/Penners ZD 2021, 128 (133); Paal MMR 2020, 14 (19).
9 BGH Urt. v. 29.4.2014 – VI ZR 246/12.
son zur Linderung führen könne. Mache ein Dritter diesen An-
10 Plath, DSGVO/BDSG/Becker, 3. Aufl. 2018, DSGVO Art. 82 Rn. 10; Dickmann
spruch im Wege der Abtretung geltend, fehle die nötige Aktivle- r+s 2018, 345 (346); Klein GRUR-Prax 2020, 433; Spittka GRUR-Prax 2019, 475
gitimation. (476); offenlassend Hanßen DB 2020, 2730.
11 BGH Beschl. v. 18.6.2020 – IX ZB 11/19.
Der BGH entschied 2020 in einer ähnlichen Fallkonstellation, 12 RL 2000/78/EG des Rates v. 27.11.2000 zur Festlegung eines allgemeinen Rah-
dass der Anspruch auf Entschädigung wegen eines immateriel- mens für die Verwirklichung der Gleichbehandlung in Beschäftigung und Beruf
len Schadens nach § 15 Abs. 2 AGG nach einem Verstoß gegen (sog. Gleichbehandlungsrahmenrichtlinie); dazu BeckOK BGB/Horcher, 60. Ed.
das Benachteiligungsverbot abgetreten und gepfändet werden 1.11.2021, AGG § 15 Rn. 1 ff.
13 Ebenso Bernauer DSB 2021, 116 (119); wohl auch Ettig/Herbrich K&R-Beilage
könne.11 Da das AGG auf europäischem Gemeinschaftsrecht 1 zu 6/2021, 27 (32).
beruht,12 ist es durchaus denkbar, dass Gerichte diesen Ansatz 14 Stein JuS 2016, 896 (897).
künftig auch auf Art. 82 DS-GVO übertragen werden.13 Ande- 15 Münchener HdB zum Arbeitsrecht I: Individualarbeitsrecht I/Wybitul, 5. Aufl.
rerseits wohnt Datenverarbeitungen nach der DS-GVO kein 2021, § 96 Rn. 287.
16 LG Düsseldorf Urt. v. 13.7.2021 – 7 O 63/20.
„Unrechtswert“ wie dem AGG inne. Während der Zweck des 17 LG Frankfurt/M. ZD 2021, 653; LG Frankfurt/M. ZD 2020, 639; LG Frankfurt/M.
AGG in der Sanktionierung von Ungleichbehandlung liegt, hat ZD 2020, 639 Rn. 42; ebenso OLG Dresden ZD 2022, 159 Rn. 13; LG Köln ZD 2021,
die DS-GVO gerade keine einseitige Zielrichtung. Vielmehr ist 47 Rn. 14; LG Hamburg ZD 2021, 99.
208 Wybitul/Leibold: Risiken für Unternehmen durch neue Rechtsprechung zum DS-GVO-Schadensersatz ZD 4/2022drohenden Schaden sei keine umfassende Entlastung durch den trifft. Die dann in Betracht kommende gesamtschuldnerische
Verantwortlichen nötig, um Unterlassungsansprüche zu vernei- Haftung führt vor allem für Kläger zu wichtigen prozessualen
nen. Dem haben sich das OLG Brandenburg18 und in einem ak- Folgefragen. Sie müssen zB je nach Fallkonstellation entschei-
tuellen Urteil auch das LG München I19 angeschlossen. Die allge- den, ob sie nur einzelne oder sämtliche in Betracht kommende
meine Rechenschaftspflicht der Art. 5 Abs. 2, 24 Abs. 1 DS- passivlegitimierte Beteiligte verklagen oder auch einzelnen Ge-
GVO beziehe sich auf eine Verantwortlichkeit gegenüber der samtschuldnern den Streit verkünden.
Datenschutzbehörde. Hierauf könne jedoch eine Beweislastum-
kehr oder Beweiserleichterung nicht gestützt werden. Auch der 3. Typische Prozessstrategie von Klägern
9. Zivilsenat des OLG Stuttgart lehnte eine Beweislastumkehr Die Verfahrensstrategie der Kläger zielt oft darauf ab, möglichst
oder -erleichterung ab. Hingegen scheint der 12. Zivilsenat des viele Informationen über den Vorfall, seinen Umfang und seine
OLG Stuttgart dahin zu tendieren, aus Art. 5 Abs. 2 DS-GVO so- Ursachen zu erlangen. Vermehrt nutzen sie hierfür Auskunfts-
wie Art. 24 Abs. 1 DS-GVO eine allgemeine Beweislast beim anträge nach Art. 15 DS-GVO – nicht ganz selten wohl auch in
Verantwortlichen herzuleiten.20 der Hoffnung, weitere Schadensersatzansprüche auf mögliche
Fehler des Verantwortlichen bei der Erteilung der geforderten
Der Rechtsauffassung des LG München I ist im Ergebnis zuzu-
Auskünfte zu stützen. Oft argumentieren sie auf der Grundlage
stimmen. Erwägungsgrund 82 S. 2 DS-GVO macht deutlich,
von nach Art. 15 DS-GVO erteilten Auskünften sowie von Pres-
dass die Nachweispflicht nur gegenüber den Datenschutzauf-
seberichten oder anderen öffentlich zugänglichen Informatio-
sichtsbehörden besteht, nicht jedoch gegenüber Anspruchsin-
nen.
habern im Zivilverfahren. Auch die EU-Kommission vertritt die
Auffassung, dass die betroffene Person den Schaden darlegen Viele Klageschriften führen dementsprechend aus, dass ein Ver-
und beweisen müsse.21 stoß iSv Art. 82 DS-GVO bereits durch die öffentliche Berichter-
stattung indiziert sei. Daher müsse nun das beklagte Unterneh-
Damit ist festzuhalten, dass für einen Schadensersatzanspruch
men darlegen und im Bestreitensfalle auch beweisen, dass es die
nach Art. 82 Abs. 1 DS-GVO die betroffene Person grundsätz-
Vorgaben der DS-GVO vollständig und richtig umgesetzt habe.
lich die Darlegungs- und Beweislast trägt. Auch stellt Art. 82
Oft stützen sie ihre Argumente zu einem (tatsächlichen oder ver-
Abs. 3 DS-GVO keine Beweislastumkehr für das Vorliegen eines
meintlichen) Verstoß gegen die DS-GVO auch auf extensive Aus-
Schadens dar. Nach dieser Vorschrift wird allein die Verantwort-
legungen der einschlägigen datenschutzrechtlichen Vorgaben.
lichkeit des Verantwortlichen oder Auftragsverarbeiters vermu-
Hierbei profitieren sie von der bislang sehr uneinheitlichen
tet.
Rechtsprechung. Insbesondere die Arbeitsgerichte haben bis-
Das bulgarische Oberste Verwaltungsgericht (Varhoven admi- lang verbraucherfreundliche Wertungen getroffen, welche Klä-
nistrativen sad – VAS) hat dem EuGH in der Rs. mittlerweile ger gerne auch außerhalb der Arbeitsgerichtsbarkeit heranzie-
umfassende Fragen zur Beweislast iRd Art. 82 DS-GVO vorge- hen.
legt. So fragt das Gericht u.a., ob der Grundsatz der Rechen-
schaftspflicht nach Art. 5 Abs. 2, 24 DS-GVO iVm Erwägungs- 4. Prozessuale Strategien für beklagte
grund 74 DS-GVO dahin auszulegen ist, dass im Klageverfah- Unternehmen
ren nach Art. 82 Abs. 1 DS-GVO der Verantwortliche die Be- Für datenschutzrechtlich Verantwortliche bergen massenhaft
weislast dafür trägt, dass die getroffenen technischen und or- geltend gemachte Schadensersatzforderungen erhebliche Risi-
ganisatorischen Maßnahmen nach Art. 32 DS-GVO geeignet ken. Aus Beklagtensicht sind mögliche Vergleiche zur Beilegung
sind.22 Es bleibt abzuwarten, wie der EuGH diese Frage ent- geltend gemachter Schadensersatzforderungen schon deshalb
scheidet. problematisch, weil Vergleichszahlungen auch andere betroffe-
ne Personen dazu veranlassen könnten, selbst Forderungen gel-
2. Folgeprobleme aus gesamtschuldnerischer tend zu machen. Schon aus diesem Grund empfiehlt es sich, gel-
Haftung tend gemachte Schadensersatzansprüche und Klageschriften
Nach Art. 82 Abs. 2 S. 1 DS-GVO haftet jeder an einer Verarbei- genau zu analysieren. Zudem beruhen solche Forderungen häu-
tung beteiligte Verantwortliche für den Schaden, der durch eine fig auf extensiven (und nicht zwingend sachgerechten) Ausle-
nicht den datenschutzrechtlichen Vorgaben entsprechende Ver- gungen der DS-GVO. Hier kann es hilfreich sein, dem mit dem
arbeitung verursacht wurde. In der Praxis sind dies vor allem Fall- Verfahren befassten Gericht die Rechtslage und die bisherige
konstellationen, in denen ein Vorgang mehrere – ggf. gemein- Rechtsprechung in klaren und nachvollziehbaren Schriftsätzen
sam23 – Verantwortliche bzw. beteiligte Auftragsverarbeiter be- zu schildern. Auch bei prozessualen Fragestellungen lohnt es
sich für Beklagtenvertreter, genau hinzuschauen. Gerade bei
18 OLG Brandenburg ZD 2021, 693 Rn. 3, 4. Fragen der Darlegungs- und Beweislast kann eine präzise pro-
19 LG München I ZD 2022, 242 Rn. 6 – in diesem Heft; ebenso LG Karlsruhe ZD
2019, 511 Rn. 13; Hoeren MMR 2018, 637 ff.; Münchener HdB zum Arbeitsrecht I:
zessuale Argumentation entscheidend sein.
Individualarbeitsrecht I/Wybitul, 5. Aufl. 2021, § 96 Rn. 287; aA wohl Geissler/Strö-
bel NJW 2019, 3414 (3415).
20 OLG Stuttgart ZD 2022, 105 Rn. 22, 23; ähnl. wohl ArbG Dresden ZD 2021, 54.
IV. Materiell-rechtliche Voraussetzungen
21 „Be asked whether a violation of the principles of the Regulation was enough to von Ansprüchen nach Art. 82 Abs. 1 DS-GVO
constitute a damage or whether the data subject had to prove a specific damage
(obligation de moyens ou de résultat). COM said that the data subject had to prove 1. Aktiv- und Passivlegitimation
the damage“; vgl. https://data.consilium.europa.eu/doc/document/ST-9083-2015 Ein materieller bzw. immaterieller Schadensersatzanspruch
-INIT/en/pdf, S. 18 Fußn. 44. steht nach dem Wortlaut des Art. 82 Abs. 1 DS-GVO grundsätz-
22 EuGH C-340/21 – VB v Natsionalna agentsia za prihodite, Vorabentscheidungs-
ersuchen des Varhoven administrativen sad (Bulgarien), eingereicht am 2.6.2021;
lich „jeder“ Person zu, der wegen eines Verstoßes gegen diese
zu weiteren Vorlagefragen zur DS-GVO Leibold ZD-Aktuell 2021, 05544. Verordnung ein materieller oder immaterieller Schaden entstan-
23 Vgl. Art. 26 DS-GVO. den ist. Der Gesetzestext spricht ausdrücklich nicht von der „be-
24 Vgl. den Überblick zum Meinungsstand bei Ettig/Herbrich K&R-Beilage 1 zu troffenen Person“ iSd Definition in Art. 4 Nr. 1 DS-GVO. Es ist
6/2021, 27 (31 ff.); Taeger/Gabel, DSGVO – BDSG – TTDSG/Moos/Schefzig, 4. Aufl.
umstritten, ob nur die betroffene Person oder auch Dritte als An-
2022, DSGVO Art. 82 Rn. 15 ff.
25 OLG Hamburg ZD 2019, 33; ähnl. Laoutoumai, Privacy Litigation, 2021, S. 88, spruchsberechtigte in Betracht kommen.24 Das OLG Hamburg25
wonach dies diskutabel sei. hatte auch Dritten die Aktivlegitimation zugesprochen, wäh-
26 LG Magdeburg MMR 2019, 402 Rn. 15 ff. rend das LG Magdeburg26 dies verneinte.
ZD 4/2022 Wybitul/Leibold: Risiken für Unternehmen durch neue Rechtsprechung zum DS-GVO-Schadensersatz 209Nach Ansicht des BAG sehe Art. 82 Abs. 1 DS-GVO ein Recht von Bestimmungen der vorliegenden Verordnung im Einklang
auf Schadensersatz nur für Personen vor, die selbst wegen der steht. Dies hat erst kürzlich auch das LG Mainz bestätigt.39 Es ge-
Verletzung einer oder mehrerer Bestimmungen der DS-GVO bei nügt demnach grundsätzlich jeglicher Verstoß gegen eine Vor-
der Verarbeitung „ihrer“ personenbezogenen Daten in ihren schrift der DS-GVO bzw. eine der o.g. Vorschriften auf Grund
(subjektiven) Rechten verletzt worden sind.27 Dabei bezieht sich der DS-GVO, wobei dieser Vorschrift kein Drittschutz zukom-
das Gericht auf Erwägungsgrund 2 DS-GVO. Hiernach sollen die men muss.40 Das LAG Hessen sah in einer unzulässigen Obser-
Grundsätze und Vorschriften zum Schutz natürlicher Personen vierung durch eine Detektei einen Verstoß gegen § 26 Abs. 1
bei der Verarbeitung „ihrer“ personenbezogenen Daten ge- S. 2 BDSG, der einen immateriellen Schadensersatzanspruch
währleisten, dass ihre Grundrechte, Grundfreiheiten und insbe- nach Art. 82 Abs. 1 DS-GVO rechtfertigte.41 Der Frage, ob
sondere ihr Recht auf Schutz personenbezogener Daten ge- Art. 82 Abs. 1 DS-GVO auch dann zur Anwendung gelangt,
wahrt bleiben. wenn gerade keine ganz oder teilweise automatisierte Verarbei-
Die besseren Argumente sprechen dafür, dass der europäische tung personenbezogener Daten sowie eine nicht-automatisier-
Gesetzgeber lediglich die betroffene Person adressieren woll- te Verarbeitung personenbezogener Daten iSd Art. 2 Abs. 1 DS-
te.28 Dafür spricht, dass in Art. 82 Abs. 4 DS-GVO die „betroffe- GVO vorliegt, ist das Gericht dabei nicht nachgegangen. § 26
ne Person“ erwähnt wird. Es ist nur konsequent, dass auch in BDSG findet nämlich nach seinem Absatz 7 auch dann Anwen-
Art. 82 Abs. 1 DS-GVO einzig die betroffene Person gemeint dung, wenn personenbezogene Daten verarbeitet werden, oh-
ist.29 Zudem wird in Erwägungsgrund 146 S. 6 DS-GVO aus- ne dass sie in einem Dateisystem gespeichert sind oder gespei-
drücklich auf die betroffene Person abgestellt. Hiernach sollten chert werden sollen. Zum Auskunftsrecht nach Art. 15 DS-GVO
„die betroffenen Personen“ einen vollständigen und wirksamen wird in der Literatur vertreten, dass handschriftliche Notizen
Schadensersatz für den erlittenen Schaden erhalten. Ebenso nicht vom Anspruch erfasst seien, da zwar der Anwendungsbe-
werden in Satz 8 die „betroffenen Personen“ erwähnt. Die DS- reich des § 26 Abs. 7 BDSG, jedoch nicht der des Art. 2 Abs. 1
GVO stellt diese ausdrücklich in den Vordergrund. Mithin kön- DS-GVO eröffnet sei.42 Diese Argumentation könnte grundsätz-
nen nur betroffene Personen und nicht Dritte den Schadenser- lich auch auf Art. 82 DS-GVO übertragen werden. Verstöße, die
satzanspruch nach Art. 82 DS-GVO geltend machen. Auch nicht im Anwendungsbereich des Art. 2 Abs. 1 DS-GVO liegen,
wenn das BAG nicht ausdrücklich die „betroffene Person“ er- könnten dann nicht über Art. 82 DS-GVO geltend gemacht wer-
wähnt, kann auf Grund der Bezugnahme von Erwägungsgrund 2 den.
DS-GVO davon ausgegangen werden, dass auch das BAG die Weitere Fragen, etwa ob die irrtümliche Weitergabe von Perso-
betroffene Person als Adressaten dieser Vorschrift versteht. Ei- nendaten einer betroffenen Person (Name, Anschrift, Beruf, Ein-
nigkeit besteht jedoch grundsätzlich dahingehend, dass keine kommen, Arbeitgeber) durch ein Versehen von Mitarbeitern des
juristischen Personen erfasst sind.30 tätigen Unternehmens in ausgedruckter Form an einen Dritten
Anspruchsgegner ist der Verantwortliche oder in Einzelfällen als Verstoß gegen die DS-GVO zu betrachten ist, wird der EuGH
auch der Auftragsverarbeiter. Letzterer haftet nur unter den spe- auf Vorlage des AG Hagen zu entscheiden haben.43
zifischen Voraussetzungen des Art. 82 Abs. 2 S. 2 DS-GVO. Zu-
dem ist die Inanspruchnahme von gemeinsam Verantwortlichen b) Verschulden
nach Art. 26 DS-GVO denkbar.31 Eine Haftung von Mitarbeitern Wollen sich Verantwortliche oder Auftragsverarbeiter von der
oder Datenschutzbeauftragten auf Grund von Art. 82 DS-GVO Haftung nach Art. 82 DS-GVO befreien, müssen sie nach dem
scheidet aus.32
2. Haftungsbegründender Tatbestand 27 BAG ZD 2022, 56 Rn. 33 mAnm Leibold.
28 Ebenso Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht/Boehm,
Ein Anspruch nach Art. 82 Abs. 1 DS-GVO setzt voraus, dass ein 1. Aufl. 2019, DS-GVO Art. 82 Rn. 8; Paal/Pauly, DS-GVO BDSG/Frenzel, 3. Aufl.
Verstoß des oder der Anspruchsgegner gegen datenschutz- 2021, DS-GVO Art. 82 Rn. 7.
rechtliche Pflichten für einen materiellen oder immateriellen 29 Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht/Boehm, 1. Aufl.
Schaden des Anspruchstellers kausal war. 2019, DS-GVO Art. 82 Rn. 8.
30 Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht/Boehm, 1. Aufl.
2019, DS-GVO Art. 82 Rn. 8; Kohn ZD 2019, 498 (502); Laoutoumai, Privacy Litiga-
a) Pflichtverletzung tion, 2021, S. 89; Paal MMR 2020, 14; Piltz/Zwerschke GRUR-Prax 2021, 11 (12).
Erste Voraussetzung für einen möglichen Schadensersatzan- 31 Taeger/Gabel, DSGVO – BDSG – TTDSG/Moos/Schefzig, 4. Aufl. 2022, DSGVO
spruch ist, dass ein „Verstoß gegen diese Verordnung“ gegeben Art. 82 Rn. 19.
ist. Diese Formulierung ist sehr weit gefasst.33 Erwägungsgrund 32 Laoutoumai, Privacy Litigation, 2021, S. 92; Taeger/Gabel, DSGVO – BDSG –
TTDSG/Moos/Schefzig, 4. Aufl. 2022, DSGVO Art. 82 Rn. 20.
146 S. 1 DS-GVO und Art. 82 Abs. 2 S. 1 DS-GVO konkretisie- 33 LG Düsseldorf ZD 2022, 48 Rn. 27.
ren dies dahingehend, dass der Verstoß gegen die DS-GVO 34 LG Düsseldorf Urt. v. 28.10.2021 – 16 O 128/20 Rn. 27.
„aufgrund einer Verarbeitung“ iSd Art. 4 Nr. 2 DS-GVO er- 35 Dies bezieht sich auch auf die Verletzung datenschutzrechtlicher Ausführungs-
folgt.34 Nach dem LG Bonn kommt nur ein Verstoß durch die gesetze der Mitgliedstaaten, vgl. Erwägungsgrund 146 S. 4 DS-GVO.
36 LG Bonn ZD 2021, 586; ähnl. Sander PinG 2022, 37 (38), wonach Verstöße ge-
Verarbeitung selbst in Betracht, die verordnungswidrig35 sein
gen objektive Rechtspflichten, wie zB solche zur Dokumentation gem. Art. 30 DS-
muss. Verletzungen von Informationsrechten nach Art. 12 bis GVO, keinen Schaden begründen.
15 DS-GVO reichten demnach nicht aus.36 Hingegen seien nach 37 LAG Niedersachsen ZD 2022, 61; ebenso ArbG Neumünster ZD 2021, 171;
dem LAG Niedersachsen jegliche Verstöße gegen die DS-GVO ArbG Düsseldorf ZD 2020, 649; OLG Wien ZD 2021, 635; Ettig/Herbrich K&R-Beila-
einschließlich der Formvorschriften ausreichend, um einen ge 1 zu 6/2021, 27 (28).
38 ArbG Herne Urt. v. 4.9.2020 – 5 Ca 178/20; aA LG Bonn ZD 2021, 586.
Schadensersatzanspruch zu begründen.37 Auch das ArbG Her- 39 Ebenso LG Mainz ZD 2022, 163 Rn. 84.
ne ist der Ansicht, dass etwa ein Verstoß gegen Art. 15 DS-GVO 40 Ettig/Herbrich K&R-Beilage 1 zu 6/2021, 27 (28); Brink/Wolff, BeckOK Daten-
in Form einer Nichterteilung einer Auskunft innerhalb der Fristen schutzrecht/Quaas, 38. Ed. 1.11.2021, DS-GVO Art. 82 Rn. 14; Wybitul/Haß/Alb-
nach Art. 12 Abs. 3, Abs. 4 DS-GVO liegen kann.38 recht NJW 2018, 113 (114); beachte aber Laoutoumai, Privacy Litigation, 2021,
S. 96, der darauf hinweist, dass es kaum vorstellbar sei, wie zB eine fehlende Bestel-
Zu einer Verarbeitung, die mit der DS-GVO nicht im Einklang lung eines Datenschutzbeauftragten kausal für einen Schaden sein soll.
steht, zählt nach Erwägungsgrund 146 S. 5 DS-GVO auch eine 41 LAG Hessen Urt. v. 18.10.2021 – 16 Sa 380/20 Rn. 70.
42 Tschöpe, Arbeitsrecht HdB/Grimm, 12. Aufl. 2021, 6. Teil, F. Rn. 163, 185; Kö-
Verarbeitung, die nicht mit den nach Maßgabe der DS-GVO er- nig CR 2019, 295 (299 f.); vgl. auch zum BDSG aF BAG NZA 2011, 453; LAG Sach-
lassenen delegierten Rechtsakten und Durchführungsrechtsak- sen ZD 2014, 482.
ten und Rechtsvorschriften der Mitgliedstaaten zur Präzisierung 43 Das Verfahren wird beim EuGH unter dem Az. C-687/21 geführt.
210 Wybitul/Leibold: Risiken für Unternehmen durch neue Rechtsprechung zum DS-GVO-Schadensersatz ZD 4/2022Wortlaut des Art. 82 Abs. 3 DS-GVO nachweisen, dass sie in kei- und „negligence“ verwendet (vgl. Art. 83 Abs. 2 S. 2 lit. a DS-
nerlei Hinsicht für den Umstand verantwortlich sind, durch den GVO: „intentional or negligent character“; Art. 83 Abs. 3 DS-
der Schaden eingetreten ist. Nach dem LG Mainz meint „Verant- GVO: „intentionally or negligently“; Erwägungsgrund 148 S. 3
wortung“ in Art. 82 Abs. 3 DS-GVO das Verschulden iSd deut- DS-GVO: „intentional character“). Hieraus könnte der Schluss
schen Rechtsterminologie, und gerade nicht die datenschutz- gezogen werden, dass der europäische Gesetzgeber mit dem
rechtliche Verantwortung nach Art. 4 Nr. 7 DS-GVO. Ausrei- Begriff „verantwortlich“ in Art. 82 Abs. 3 DS-GVO nicht auf das
chend sei Vorsatz oder Fahrlässigkeit gem. § 276 Abs. 1 S. 1 deutsche Verständnis von „Verschulden“ abstellen wollte. Es
BGB. Das Verschulden werde nach dem insoweit eindeutigen bleibt abzuwarten, welcher Auslegung sich der EuGH letztlich
Wortlaut des Art. 82 Abs. 3 DS-GVO vermutet (sog. Beweislast- anschließt.
umkehr).44
3. Haftungsausfüllender Tatbestand
Das BAG ist jedoch der Auffassung, dass die Haftung des Ver-
Auch wenn die Anspruchsvorrausetzungen für einen Schadens-
antwortlichen (bzw. Auftragsverarbeiters) nach Art. 82 Abs. 1
ersatz nach Art. 82 Abs. 1 DS-GVO vorliegen, sind viele Fragen
DS-GVO verschuldensunabhängig sei. Art. 82 Abs. 1 DS-GVO
rund um die Festlegung des zu ersetzenden Schadens umstrit-
mache die Haftung des Urhebers eines Verstoßes keineswegs
ten.
vom Vorliegen oder dem Nachweis eines Verschuldens abhän-
gig. Aus der Vorschrift des Art. 82 Abs. 3 DS-GVO ergebe sich
a) Schaden
insoweit nichts Gegenteiliges. Die darin enthaltene Bestimmung
Während die Bemessung materieller Schäden in der Praxis oft
betreffe nach Auffassung des Gerichts nicht das Verschulden iSe
weitgehend unproblematisch ist, stellt sich in Bezug auf imma-
„Vertretenmüssens“. Art. 82 Abs. 3 DS-GVO regele vielmehr le-
terielle Schäden eine Reihe von Fragen.
diglich die Frage nach einer „Beteiligung“ bzw. die Frage nach
der Urheberschaft iRe Kausalität. Letzteres könne dann anzu-
Schwere des Schadens
nehmen sein, wenn der haftungsbegründende Umstand auf
Der bloße Verstoß gegen die DS-GVO reicht nach der überwie-
einem unzulässigen Zugriff eines Dritten beruht, der trotz aller
genden Rechtsprechung nicht aus, um einen immateriellen
gebotenen Sicherheitsmaßnahmen Erfolg hatte.45
Schadensersatzanspruch zu begründen. Vielmehr müsse ein
Der Wortlaut des Art. 82 Abs. 3 DS-GVO spricht von „verant- Schaden auch eingetreten sein und nicht bloß befürchtet wer-
wortlich“. Der Begriff müsse europarechtlich autonom ausge- den.47 Ein Rechtsgut der betroffenen Person muss nach Ansicht
legt werden, sodass sich ein Rückgriff auf die deutsche Termino- des LG Frankfurt/M. infolge der Verletzung einer Norm der DS-
logie verbietet. In der englischen Rechtsterminologie wird der GVO im Vergleich zum vorherigen Zustand nachteilig verändert
Begriff „responsible“ verwendet. Damit ist die Kontrolle über et- worden sein.48 Nach dem OLG Dresden müsse zunächst der Ein-
was oder jemanden und die Pflicht, sich um ihn oder sie zu küm- tritt eines Schadens festgestellt werden, und dann in einem
mern, gemeint.46 Der Begriff wird u.a. auch beim Nachweis der zweiten Schritt entschieden werden, ob ein erheblicher Schaden
Datenschutzgrundsätze in Art. 5 Abs. 2 DS-GVO verwendet. oder ein Bagatellschaden vorliege.49
Wenn der europäische Gesetzgeber von „Vorsatz“ oder „Fahr-
Der Begriff des Schadens soll nach Erwägungsgrund 146 S. 3
lässigkeit“ spricht, werden die englischen Begriffe „intention“
DS-GVO im Lichte der Rechtsprechung des EuGH weit auf eine
44 LG Mainz ZD 2022, 163; ebenso OLG Stuttgart ZD 2021, 375 (Revision beim
Art und Weise ausgelegt werden, die den Zielen dieser Verord-
BGH eingelegt – VI ZR 111/21); Geissler/Ströbel NJW 2019, 3414 (3415); Gola, DS- nung in vollem Umfang entspricht. Bei der Bemessung des im-
GVO/Gola/Piltz, 2. Aufl. 2018, Art. 82 Rn. 18; Taeger/Gabel, DSGVO – BDSG – materiellen Schadensersatzes sei nach teilweiser Auffassung
TTDSG/Moos/Schefzig, 4. Aufl. 2022, DSGVO Art. 82 Rn. 44; Brink/Wolff, BeckOK eine schwerwiegende Persönlichkeitsverletzung erforderlich.50
Datenschutzrecht/Quaas, 38. Ed. 1.11.2021, DS-GVO Art. 82 Rn. 17.2, wonach die
Überwiegend geht die Rechtsprechung jedoch davon aus, dass
englische Sprachfassung ebenfalls darauf hindeute, dass „verantwortlich“ nicht im
datenschutzrechtlichen Sinne zu verstehen sei; aA Sydow, Europäische Daten- gerade keine solche Persönlichkeitsverletzung mehr erforderlich
schutzgrundverordnung/Kreße, 2. Aufl. 2018, Art. 82 Rn. 18 ff. („Entlastung ins- ist.51 So führt etwa das LG München I sogar aus, dass im Vorder-
besondere bei eigenem Fehlverhalten der betroffenen Person sowie in Fällen höhe- grund eine abschreckende Wirkung des Schadensersatzes ste-
rer Gewalt“). he, die insbesondere durch dessen Höhe erreicht werden solle.
45 BAG ZD 2022, 56 Rn. 38 f. mAnm Leibold; ähnl. OLG Köln Urt. v. 26.3.2020 –
15 U 193/19; offenlassend AG Pfaffenhofen Endurteil v. 9.9.2021 – 2 C 133/21;
Dieser Gedanke lasse sich auch aus Art. 4 Abs. 3 EUV ableiten.
vgl. auch Sander PinG 2022, 37 (38), wonach Art. 82 Abs. 1 DS-GVO „als eine ver- Danach seien die Mitgliedstaaten angehalten, Verstöße wirk-
schuldensunabhängige Haftung zu sehen [sei], die einer rechtsvernichtenden Ein- sam zu sanktionieren. Denn nur so wäre eine effektive Durchset-
wendung gem. Art. 82 Abs. 3 DS-GVO begegnet“. zung des EU-Rechts – und damit auch der DS-GVO – gewährleis-
46 Bedeutung des Begriffs „responsible“ nach dem Cambridge Dictionary, abruf-
tet.52 Diese Ansicht hat das LAG Hessen in einem kürzlich veröf-
bar unter: https://dictionary.cambridge.org/de/worterbuch/englisch/responsible.
47 OLG Dresden ZD 2022, 235 – in diesem Heft; OLG Brandenburg ZD 2021, 693 fentlichten Urteil noch einmal bekräftigt. Immaterieller Scha-
Rn. 3; OLG Bremen ZD 2021, 652; LAG Baden-Württemberg ZD 2021, 436 Rn. 82; densersatz nach Art. 82 Abs. 1 DS-GVO setze keine schwerwie-
OLG Nürnberg MMR 2020, 873 (Ls.); LG Düsseldorf ZD 2022, 48 Rn. 29; LG Köln ZD gende Persönlichkeitsrechtsverletzung (mehr) voraus. Einen
2022, 52; LG Karlsruhe ZD 2022, 55; LG Hamburg ZD 2021, 99; AG Hamburg-Ber-
Ausschluss vermeintlicher Bagatellschäden sehe die Verordnung
gedorf ZD 2021, 587; AG Frankfurt/M. Urt. v. 16.10.2020 – 30 C 2705/19 (47)
Rn. 19; ebenso Laoutoumai, Privacy Litigation, 2021, S. 97. insoweit nicht vor.53
48 LG Frankfurt/M. ZD 2020, 639 Rn. 42.
Nach dem AG Frankfurt/M. müsse jedoch die Schwelle von blo-
49 OLG Dresden ZD 2022, 235 – in diesem Heft.
50 Vgl. etwa OLG Dresden MMR 2021, 575; OLG Dresden ZD 2021, 93; AG Frank- ßer Unannehmlichkeit zu ernsthafter Beeinträchtigung über-
furt/M. ZD 2021, 47. wunden werden. Es bedürfe einer benennbaren und tatsäch-
51 OLG Köln Urt. v. 26.3.2020 – 15 U 193/19; LG München I ZD 2022, 242 Rn. 15 lichen Persönlichkeitsverletzung. Ein immaterieller Schaden
– in diesem Heft; LG Mainz ZD 2022, 163; LG Essen ZD 2022, 50; LG Karlsruhe ZD könne insbesondere in einer „öffentlichen Bloßstellung“ liegen,
2022, 55; LG Landshut ZD 2021, 161; LG Hamburg ZD 2021, 99; LG Lüneburg ZD
2021, 275 mAnm Wybitul/Wuermeling/Ganz; LG Karlsruhe ZD 2019, 511; AG
die dann durch den Schadensersatzanspruch kompensiert wer-
Frankfurt/M. Urt. v. 16.10.2020 – 30 C 2705/19 (47) Rn. 21; AG Pfaffenhofen MMR den kann. Die entfernte Möglichkeit einer Rufschädigung genü-
2021, 1005; AG Hannover ZD 2021, 176; AG Diez ZD 2019, 85; ebenso Korch NJW ge den Substanziierungsanforderungen iRv Art. 82 Abs. 1 DS-
2021, 978 (979). GVO hingegen nicht.54 Auch das LG Essen ist der Ansicht, dass
52 LG München I ZD 2022, 242 Rn. 16 – in diesem Heft; ebenso AG Frankfurt/M.
Urt. v. 16.10.2020 – 30 C 2705/19 (47) Rn. 20.
ein Bagatellverstoß nicht ausreichend sei. Vielmehr müsse der
53 LAG Hessen Urt. v. 18.10.2021 – 16 Sa 380/20 Rn. 67. betroffenen Person ein spürbarer Nachteil entstanden sein und
54 AG Frankfurt/M. Urt. v. 16.10.2020 – 30 C 2705/19 (47) Rn. 25, 27. eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte
ZD 4/2022 Wybitul/Leibold: Risiken für Unternehmen durch neue Rechtsprechung zum DS-GVO-Schadensersatz 211Beeinträchtigung von persönlichkeitsbezogenen Belangen vor- gen fragt sich, ob unter dem Ersatz für immateriellen Schaden
liegen.55 Nach dem OLG Dresden habe etwa die dreißigtägige die Zuerkennung einer Strafe wie bei einer Vertragsstrafe zu ver-
Sperrung eines Nutzerkontos auf einem sozialen Netzwerk nur stehen sei, und hat aus diesem Grund die Frage iRe Vorabent-
Bagatellcharakter, was die Zuerkennung eines immateriellen scheidungsersuchens dem EuGH vorgelegt.66
Schadensersatzes nicht rechtfertige.56 Das LG Frankfurt/M.
Für die Heranziehung der Bemessungskriterien des Art. 83 Abs. 2
spricht sogar davon, dass eine weite Auslegung des Schadens-
DS-GVO spricht, dass auf diese Weise eine autonome und einheit-
begriffs nach Art. 82 DS-GVO, nach der mit jedem Verstoß ein
liche europäische Bemessungsgrundlage bestehen würde. Der
Schaden begründet werde, der Systematik des deutschen
EuGH wird auch zu dieser Fragestellung Stellung beziehen: Das LG
Rechts widerspreche.57
Saarbrücken hat die Frage vorgelegt, ob bei der Bemessung des
Dem tritt nun jedoch das BAG entgegen. Es ist der Auffassung, immateriellen Schadensersatzes eine Orientierung an den in
dass bereits die Verletzung der DS-GVO selbst zu einem auszu- Art. 83 DS-GVO, insbesondere Art. 83 Abs. 2, Abs. 5 DS-GVO,
gleichenden immateriellen Schaden führe. Der Rechtsanspruch genannten Zumessungskriterien erlaubt bzw. geboten ist.67
auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DS-GVO
Fraglich ist, welche sonstigen Bemessungskriterien bei der Höhe
erfordere über eine Verletzung der DS-GVO hinaus nicht zusätz-
des immateriellen Schadensersatzes berücksichtigt werden
lich, dass die verletzte Person einen (weiteren) von ihr erlittenen
müssen. Nach Ansicht des LG München I muss bei der Bemes-
immateriellen Schaden darlege. Sie müsse also aus Sicht des
sung der Höhe des immateriellen Schadensersatzes berücksich-
BAG keine „Konsequenz oder Folge der Rechtsverletzung von
tigt werden, ob es zu einem Datenmissbrauch gekommen ist
zumindest einigem Gewicht“ sein.58 Das Gericht fordert dem-
und eine mehr oder weniger hohe Gefährdung angenommen
nach auch keine Überschreitung einer Erheblichkeitsschwelle.59
werden kann. Zudem müsse die gesetzgeberisch beabsichtigte
Auch das LG Saarbrücken hat in einem kürzlich veröffentlichten
abschreckende Wirkung des Schadensersatzes berücksichtigt
Beschluss dem EuGH die Frage vorgelegt, ob der Begriff des im-
werden.68
materiellen Schadens in Art. 82 Abs. 1 DS-GVO im Hinblick auf
Erwägungsgrund 85 DS-GVO und Erwägungsgrund 146 S. 3 Auch das BAG hat dem EuGH die Frage vorgelegt, ob Art. 82
DS-GVO in dem Sinne zu verstehen sei, dass er jede Beeinträchti- Abs. 1 DS-GVO spezial- bzw. generalpräventiven Charakter ha-
gung der geschützten Rechtsposition erfasst, unabhängig von be und ob dies bei der Bemessung der Höhe des zu ersetzenden
deren sonstigen Auswirkungen und deren Erheblichkeit.60 immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1
Ebenso möchte das AG Hagen vom EuGH erfahren, ob es für DS-GVO zu Lasten des Verantwortlichen bzw. Auftragsverarbei-
einen Schadensersatzanspruch erforderlich ist, dass außer dem ters berücksichtigt werden muss. Das BAG nimmt hierbei auf Er-
unberechtigten Bekanntgeben der zu schützenden Daten an wägungsgrund 146 DS-GVO Bezug. Dabei geht das Gericht da-
einen unberechtigten Dritten zudem ein vom Anspruchsteller von aus, dass bei der Bemessung des immateriellen Schadenser-
darzulegender immaterieller Schaden festzustellen sei.61 Letzt- satzes alle Umstände des Einzelfalls zu berücksichtigen seien.
lich wird der EuGH diese Fragen entscheiden müssen. Das Zudem solle ein tatsächlicher und wirksamer rechtlicher Schutz
BVerfG sah es als gegenwärtig mit dem Recht auf den gesetz- der aus der DS-GVO hergeleiteten Rechte gewährleistet wer-
lichen Richter (Art. 101 Abs. 1 S. 2 GG) unvereinbar an, wenn den. Deshalb könnte es darauf ankommen, dass die Höhe eines
ein Gericht (konkret: AG Goslar) iSd Art. 257 Abs. 3 AEUV die immateriellen Schadensersatzes der Schwere des mit ihm ge-
auf Art. 82 DS-GVO gestützte Klage auf Zahlung von Schadens- ahndeten Verstoßes gegen die DS-GVO entspreche. Hierbei wä-
ersatz wegen einmaliger Zusendung einer Werbe-E-Mail ohne re nach Ansicht des BAG vermutlich eine wirklich abschrecken-
Zustimmung wegen Fehlens eines erheblichen Schadens ab- de Wirkung – ggf. mit spezial- bzw. generalpräventivem Cha-
weist, ohne zuvor eine Entscheidung des EuGH zur Auslegung rakter – zu gewährleisten, zugleich aber der allgemeine Grund-
des Schadensbegriffs in Art. 82 Abs. 1 DS-GVO einzuholen.62 satz der Verhältnismäßigkeit zu wahren. Zudem könnte bei der
Höhe eines immateriellen Schadensersatzes der Grundsatz der
Die Rechtsauffassung des BAG widerspricht dem Wortlaut von
Äquivalenz zu berücksichtigen sein. Das BAG geht zwar davon
Art. 82 Abs. 1 DS-GVO („wegen eines Verstoßes gegen diese Ver-
aus, dass Art. 82 DS-GVO keinen Verweis auf das Recht der Mit-
ordnung ein materieller oder immaterieller Schaden entstan-
gliedstaaten der EU enthalte und in der gesamten Union eine
den“). Der eindeutige Wortlaut der Norm lässt darauf schließen,
autonome und einheitliche Auslegung erfahren müsse. Gleich-
dass der „Verstoß“ und der „Schaden“ zwei getrennte Tatbe-
standsmerkmale darstellen. Beide Merkmale müssen erfüllt sein,
um einen Schadensersatzanspruch zu begründen. Zudem zeigt 55 LG Essen ZD 2022, 50; ebenso LG Karlsruhe ZD 2022, 55 Rn. 30; AG Hannover
der Wortlaut von Erwägungsgrund 75 S. 1 DS-GVO und Erwä- ZD 2021, 176 (Ls.); AG Diez ZD 2019, 85.
gungsgrund 85 S. 1 DS-GVO, dass ein immaterieller Schaden nur 56 OLG Dresden ZD 2021, 93; OLG Dresden ZD 2020, 413; OLG Dresden ZD 2019,
beim Überschreiten einer Erheblichkeitsschwelle anzunehmen ist. 567.
57 LG Frankfurt/M. ZD 2020, 639 Rn. 45.
Dort ist der Begriff der Erheblichkeit ausdrücklich vorausgesetzt. 58 BAG ZD 2022, 56 Rn. 33 mAnm Leibold; ebenso LAG Hamm ZD 2021, 710.
59 Leibold/Meurer ZD-Aktuell 2021, 05543.
Kriterien für die Bemessung immaterieller Schäden 60 LG Saarbrücken ZD 2022, 162 (das Verfahren wird beim EuGH unter dem Az.
In der Rechtsprechung werden für die Bemessung des Schadens C-741/21 geführt); vgl. dazu den Kommentar von Laoutoumai K&R 2022, 25 ff. so-
wie Sander PinG 2022, 37 ff.
teilweise die Kriterien des Art. 83 Abs. 2 DS-GVO herangezo-
61 Das Verfahren wird beim EuGH unter dem Az. C-687/21 geführt.
gen, zB die Art, Schwere und Dauer des Verstoßes unter Berück- 62 BVerfG ZD 2021, 266 mAnm Blasek.
sichtigung der Art, des Umfangs oder des Zwecks der betreffen- 63 Bei genauer Betrachtung fällt auf, dass lediglich Art. 83 Abs. 1 DS-GVO Bußgel-
den Verarbeitung, die betroffenen Kategorien personenbezo- dern eine Abschreckungsfunktion zuweist. Art. 82 DS-GVO trifft eine solche Vorga-
gener Daten. Zu berücksichtigen sei auch, dass die (vermeint- be in Bezug auf den Schadensersatz hingegen nicht.
64 OLG Dresden ZD 2022, 159 Rn. 13; LAG Hessen Urt. v. 18.10.2021 – 16 Sa
lich)63 beabsichtigte abschreckende Wirkung nur durch für den 380/20 Rn. 67; LG München I ZD 2022, 242 Rn. 19 – in diesem Heft; LG Köln ZD
Anspruchsgegner empfindliche Schmerzensgelder erreicht wer- 2022, 52; ebenso LG Köln ZD 2021, 47; LG Essen ZD 2022, 50; ArbG Neumünster
de, insbesondere wenn eine Kommerzialisierung fehle.64 Nach ZD 2021, 171; wohl auch LAG Hamm ZD 2021, 710.
dem OLG Dresden bedeutet dies aber nicht, dass die Geldent- 65 OLG Dresden ZD 2022, 159 Rn. 13.
66 Das Verfahren wird beim EuGH unter dem Az. C-687/21 geführt.
schädigung zwingend „Strafcharakter“ haben muss, sondern 67 LG Saarbrücken ZD 2022, 162 (dritte Vorlagefrage); dazu Laoutoumai K&R
dass die Höhe des Anspruchs auf der Basis des Effektivitätsprin- 2022, 25 (28); Sander PinG 2022, 37.
zips eine abschreckende Wirkung entfaltet.65 Auch das AG Ha- 68 LG München I ZD 2022, 242 Rn. 20 – in diesem Heft.
212 Wybitul/Leibold: Risiken für Unternehmen durch neue Rechtsprechung zum DS-GVO-Schadensersatz ZD 4/2022wohl könnten angesichts womöglich in der Praxis unterschied- auszugleichenden immateriellen Schaden zu begründen. Ein er-
lich hoher Entschädigungsbeträge in den Mitgliedstaaten in ver- littener immaterieller Schaden müsse nicht dargelegt werden.75
gleichbaren Fällen bei der Höhe eines immateriellen Schadenser-
Hinsichtlich der haftungsausfüllenden Kausalität ist umstritten,
satzes Gesichtspunkte der Äquivalenz zu berücksichtigen sein.69
ob die betroffene Person nach den allgemeinen Regeln die volle
Welche konkreten Aspekte das BAG vor Augen hat, bleibt offen.
Darlegungs- und Beweislast trägt.76 Nach teilweise vertretener
Ferner hat das BAG auch die Frage gestellt, ob es bei der Bemes- Auffassung bleibt es bei der allgemeinen Darlegungs- und Be-
sung der Höhe des Schadensersatzes auf den Grad des Verschul- weislast für die betroffene Person.77 Die Gegenansicht möchte
dens des Verantwortlichen bzw. Auftragsverarbeiters ankom- eine Beweislastumkehr78 bzw. eine Beweiserleichterung bis zum
me. Insbesondere, ob ein nicht vorliegendes oder geringes Ver- Anscheinsbeweis79 hinsichtlich der Kausalität einführen. Das AG
schulden auf Seiten des Verantwortlichen bzw. des Auftragsver- Frankfurt/M. meint, dass beim Nachweis der Kausalität zwi-
arbeiters zu dessen Gunsten berücksichtigt werden könne.70 schen der Verletzung des Datenschutzes und dem Schaden die
Das AG Goslar ging bei der Bemessung des Schadens vom Grad betroffene Person von Beweiserleichterungen gem. Art. 5, 24
des Verschuldens aus.71 DS-GVO profitieren soll.80
b) Kausalität 4. Haftungsbegrenzung
Für den haftungsausfüllenden Tatbestand ist zudem erforderlich, Ungeklärt ist bisher, ob der Anspruch aus Art. 82 DS-GVO nach
dass der Verstoß gegen die DS-GVO auch kausal für einen ent- allgemeinen zivilrechtlichen Grundsätzen begrenzt bzw. gekürzt
standenen Schaden gewesen ist. Dies ergibt sich aus dem Wort- werden kann. So könnte u.a. ein Mitverschulden der betroffenen
laut des Art. 82 Abs. 1 DS-GVO („wegen eines Verstoßes ... ein Person in entsprechender Anwendung des § 254 BGB ange-
materieller oder immaterieller Schaden entstanden ist“), des dacht werden. Die DS-GVO verhält sich zu dieser Frage nicht.
Art. 82 Abs. 2 DS-GVO („durch ... verursacht“) sowie des Erwä- Teilweise wird davon ausgegangen, dass ein Mitverschulden den
gungsgrunds 146 S. 1 DS-GVO („aufgrund ... entstehen“).72 Anspruch nicht kürzen könne.81 Dies ergebe sich daraus, dass ein
Nach dem LG Köln genügt eine Mitursächlichkeit.73 Dabei reiche Haftungsausschluss nach Art. 82 Abs. 3 DS-GVO nur dann mög-
es nach dem LG München I nicht aus, dass ein Schaden bloß auf lich sei, wenn dem Verantwortlichen oder Auftragsverarbeiter
eine Verarbeitung personenbezogener Daten zurückzuführen ist, der Schaden „in keinerlei Hinsicht“ zur Last gelegt werden kön-
in deren Rahmen es zu einem Rechtsverstoß gekommen ist.74 ne. Die Gegenauffassung hält eine analoge Anwendung von
§ 254 BGB für sachgerecht, da die Frage nach der Mitverant-
Hingegen scheint das BAG davon auszugehen, dass das Tatbe-
wortlichkeit des Geschädigten nicht in Art. 82 DS-GVO geregelt
standsmerkmal der Kausalität für das Vorliegen des Schadenser-
sei. Zudem handele es sich bei dem Mitverschulden gerade nicht
satzanspruchs nach Art. 82 DS-GVO nicht gefordert sei. Viel-
um einen Ausschluss der Verantwortlichkeit, sondern um eine
mehr solle der Verstoß gegen die DS-GVO ausreichen, um einen
Minderung des Anspruchs der Höhe nach. Auch der EuGH wür-
69 Vierte Vorlagefrage; BAG ZD 2022, 56 Rn. 35 f. mAnm Leibold.
de nach EU-Recht ein Mitverschulden prinzipiell mitberücksichti-
70 Fünfte Vorlagefrage; BAG ZD 2022, 56 Rn. 38 f. mAnm Leibold. gen.82 Letzterer Auffassung hat sich auch das LAG Köln ange-
71 AG Goslar Urt. v. 27.9.2019 – 28 C 7/19; ebenso LAG Hamm ZD 2021, 710 (Re- schlossen.83 Hingegen wird in der Literatur auch vertreten, dass
vision beim BAG eingelegt – 2 AZR 363/21); ArbG Neumünster ZD 2021, 171. haftungsbeschränkende Vereinbarungen als unzulässig zu be-
72 LAG Baden-Württemberg ZD 2021, 436; Taeger/Gabel, DSGVO – BDSG –
TTDSG/Moos/Schefzig, 4. Aufl. 2022, DSGVO Art. 82 Rn. 40.
werten seien.84 Auch hier wäre eine möglichst baldige Klarstel-
73 LG Köln ZD 2022, 52; wohl auch LG München I ZD 2022, 242 Rn. 6 – in diesem lung durch die Rechtsprechung für die Praxis wichtig.
Heft; vgl. auch Wybitul/Haß/Albrecht NJW 2018, 113 (115 f.).
74 LG München I ZD 2022, 242 Rn. 14 – in diesem Heft; ebenso Paal MMR 2020, 5. Rechtsfolge: Ersatz eingetretener Schäden
14 (17).
Liegen die materiellen Voraussetzungen des Art. 82 DS-GVO
75 BAG ZD 2022, 56 Rn. 33 mAnm Leibold.
76 Korch NJW 2021, 978 (979). vor, hat die betroffene Person gegen den Verantwortlichen oder
77 ÖOGH ZD 2020, 302 Rn. 22 ff. mAnm Messner/Mosing; Paal/Pauly, DS-GVO Auftragsverarbeiter einen Anspruch auf Schadensersatz. Die be-
BDSG/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rn. 19; Geissler/Ströbel NJW 2019, troffenen Personen sollen nach Erwägungsgrund 146 S. 6 DS-
3414 (3415); Kohn ZD 2019, 498 (502); Piltz/Zwerschke GRUR-Prax 2021, 11 (13); GVO vollständigen und wirksamen Schadensersatz für den erlit-
Brink/Wolff, BeckOK Datenschutzrecht/Quaas, 38. Ed. 1.11.2021, DS-GVO Art. 82
Rn. 27.
tenen Schaden erhalten.
78 Kühling/Buchner, DS-GVO BDSG/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 47;
Das Vorliegen eines materiellen Schadens spielt in der bisherigen
wohl auch Jandt/Steidle, Datenschutz im Internet/Geminn, B. VI. Rn. 58.
79 Taeger/Gabel, DSGVO – BDSG – TTDSG/Moos/Schefzig, 4. Aufl. 2022, DSGVO Praxis bisher eine untergeordnete Rolle. In Betracht kommt etwa
Art. 82 Rn. 55. der Ersatz der vorgerichtlichen Rechtsanwaltskosten.85 So hatte
80 AG Frankfurt/M. ZD 2021, 47 Rn. 32. etwa das OLG Schleswig einem Kläger einen Anspruch auf Er-
81 Kühling/Buchner, DS-GVO BDSG/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 59; satz der von ihm geltend gemachten vorgerichtlichen Rechtsan-
Sydow, Europäische Datenschutzgrundverordnung/Kreße, 2. Aufl. 2018, Art. 82
Rn. 20; nach Korch NJW 2021, 978 (981) wäre dies eine Frage, die dem EuGH vor-
waltskosten iHv 887,03 EUR auf der Grundlage von Art. 82
gelegt werden müsse. Abs. 1 DS-GVO iVm § 249 BGB zugesprochen.86 Das LG Mün-
82 Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht/Boehm, 1. Aufl. chen I hat festgestellt, dass die Beklagte verpflichtet ist, dem Klä-
2019, DS-GVO Art. 82 Rn. 30 unter Verweis auf EuGH C-472/00 P Rn. 122 ff.; ger alle künftigen materiellen Schäden zu ersetzen, die dem Klä-
C-308/87 Rn. 16 f.; C-145/83 Rn. 53 ff. – Adams/Kommission; Dickmann r+s 2018,
ger entstanden sind.87 Dies führt dazu, dass der materielle Scha-
345 (347); Paal/Pauly, DS-GVO BDSG/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82
Rn. 19; Kohn ZD 2019, 498 (501); Taeger/Gabel, DSGVO – BDSG TTDSG/Moos/ den um ein Vielfaches höher sein kann als der immaterielle Scha-
Schefzig, 4. Aufl. 2022, DSGVO Art. 82 Rn. 36 ff. mit einem ausführlichen Mei- den. Die derzeitige Gerichtspraxis befasst sich jedoch in erster Li-
nungsstand; Paal MMR 2020, 14 (18); Wybitul/Neu/Strauch ZD 2018, 202 (207). nie mit dem Zusprechen von immateriellem Schadensersatz.
83 LAG Köln ZD 2021, 168 Rn. 35; wohl auch AG Hildesheim ZD 2021, 384
Rn. 45; zur Möglichkeit des Mitverschuldens nach österreichischer Rechtslage
ÖOGH ZD 2020, 302 Rn. 15 mAnm Messner/Mosing. 6. Übersicht über Schadensersatz zusprechende
84 Laoutoumai, Privacy Litigation, 2021, S. 105 mit weiteren Hinweisen zur Lit.; Entscheidungen
Paal MMR 2020, 14 (18). Im Folgenden sind Entscheidungen deutscher und europäischer
85 OLG Schleswig ZD 2021, 584; vgl. hierzu auch umfassend Laoutoumai, Privacy Gerichte aufgeführt, in denen Klägern ein materieller bzw. im-
Litigation, 2021, S. 97.
86 OLG Schleswig ZD 2021, 584 (Revision zugelassen); vgl. auch Sander PinG 2022,
materieller Schadensersatz nach Art. 82 Abs. 1 DS-GVO zuge-
37 (39), wonach die §§ 249 ff. BGB auf Rechtsfolgenseite heranzuziehen seien. sprochen wurde. Auch die jeweiligen Schadensbeträge sind hier
87 LG München I ZD 2022, 242 – in diesem Heft. aufgelistet.
ZD 4/2022 Wybitul/Leibold: Risiken für Unternehmen durch neue Rechtsprechung zum DS-GVO-Schadensersatz 213Sie können auch lesen
