EuGH zu immateriellen Schadenersatz nach Verstoß gegen DSGVO

Schadenersatzansprüche wegen Verstoßes gegen die DSGVO bestehen nur dann, wenn tatsächlich ein Schaden entstanden ist. Das hat der EuGH mit Urteil vom 4. Mai 2023 entschieden (Az. C-300/21).

Unternehmen verwalten große Mengen an sensiblen personenbezogenen Daten. Das stellt hohe Anforderungen an den Datenschutz und Verstöße gegen die Datenschutzgrundverordnung (DSGVO) können zu hohen Bußgeldern und Schadenersatzforderungen führen, erklärt die Wirtschaftskanzlei MTR Legal Rechtsanwälte , die ihre Mandantschaft auch im IT-Recht und Datenschutz berät.

Der Europäische Gerichtshof hat nun entschieden, dass Schadenersatzansprüche wegen Verstößen gegen die DSGVO erst dann bestehen, wenn tatsächlich ein Schaden entstanden ist. Die Richter in Luxemburg legten die Messlatte für einen Schadenseintritt allerdings nicht allzu hoch. Eine Erheblichkeit des Schadens ist keine Voraussetzung.

Vor dem EuGH ging es um einen Fall aus Österreich. Hier hatte ein Mann auf immateriellen Schadenersatz gegen die österreichische Post geklagt. Grund war, dass die Post mit Hilfe eines Algorithmus und zu Grunde liegender sozialer und demografischer Merkmale Informationen zu Parteipräferenzen gesammelt hat. Diese Daten wurden nicht veröffentlicht, waren aber für Wahlwerbezwecke der Parteien gedacht. Für den Mann ergab sich dadurch eine Affinität zu einer bestimmten Partei. Das gefiel dem Mann nicht. Er klagte gemäß Art. 82 DSGVO auf immateriellen Schadenersatz.

Der österreichische oberste Gerichtshof legte den Fall dem EuGH vor und der entschied, dass ein bloßer Verstoß gegen die DSGVO noch keinen Schadenersatzanspruch begründe. Der Anspruch auf Schadenersatz sei an drei Voraussetzungen geknüpft: Zunächst müsse ein Verstoß gegen die DSGVO vorliegen. Zudem müsse ein materieller oder immaterieller Schaden entstanden und der Verstoß gegen die DSGVO dafür ursächlich sein. Somit führe nicht jeder Verstoß gegen die DSGVO automatisch zu Schadenersatzansprüchen.

Allerdings bestehe der immaterielle Schadenersatzanspruch nicht erst bei einer gewissen Erheblichkeit. Bagatellfälle gebe es nicht. Kriterien für die Bemessung des Schadens lege die DSGVO nicht fest, dies sei Sache der EU-Mitgliedsstaaten. Diese müssten aber beachten, dass ein vollständiger und wirksamer Schadenersatz für den erlittenen Schaden sichergestellt wird, so der EuGH.

Beim Umgang mit personenbezogenen Daten ist nach dem EU-Urteil hohe Sorgfalt erforderlich. Im IT-Recht erfahrene Anwälte beraten bei MTR Legal Rechtanwälte in Fragen des Datenschutzes.

https://www.mtrlegal.com/rechtsberatung/it-recht/datenschutz-dsgvo.html