Datenschutz: Ohne Schaden kein Schadens­ersatz

Wer gegen die DSGVO verstößt, muss nicht automatisch Schadens­ersatz leisten. Das ist erst dann der Fall, wenn auch tatsächlich ein Schaden entstanden ist. Der Europäische Gerichtshof stellte klar, welche drei Bedingungen erfüllt sein müssen.

Dieser Artikel gehört zum Themen-Special Das aktuelle Datenschutzrecht

Ein Österreicher forderte von der Post Schadensersatz wegen der Ermittlung seiner politischen Vorlieben. Bei einem Verstoß gegen die Datenschutzgrundverordnung (DSGVO) kann Schaden­ersatz aber nur verlangt werden, wenn drei bestimmte Voraus­setzungen erfüllt sind, entschied der Europäische Gerichtshof (EuGH). Das gilt grundsäztlich auch bei einem sogenannten im­materiellen Schaden.

Der Fall

Ein Mann aus Österreich verklagte die Post auf im­materiellen Schaden­ersatz. Denn das Unternehmen hatte für zielgenaue Werbung seiner Kunden seine Adressen einer partei­politischen Präferenz zugeordnet – im Fall der Klägers zur rechten FPÖ. Das wollte der Mann nicht so stehehn lassen, denn er empfand die Zuordnung als "großes Ärgernis und einen Vertrauensverlust", er habe "ein Gefühl der Bloßstellung". Als Folge forderte er 1.000 Euro Schadens­ersatz. Die Post hatte die Daten aber nicht an Dritte weitergegeben.

Das Urteil

Der Europarichter sahen darin einen Verstoß gegen die DSGVO, erklärten aber zugleich, dass dies allein für einen Anspruch auf Schadensersatz nicht ausreicht. Vielmehr müssten für  einen Schadens­ersatz grundsätzlich drei Voraus­setzungen erfüllt sein:

1. Ein Verstoß gegen die DSGVO,
2. ein daraus resultierender materieller oder im­materieller Schaden und 
3. ein kausaler Zusammenhang zwischen beidem.

Die EU-Richter betonten, dass Schaden­ersatz auch bei einem sogenannten im­materiellen Schaden fällig werden könne. Dafür sei auch nicht nötig, dass der Schaden besonders groß ausfalle, wie es zuvor einige Gerichten gefordert hatten.

Länder müssen Kriterien für Schadensberechnung festlegen

Die Kriterien für die Berechnung dieses Schaden­ersatzes müssen die EU-Länder festlegen, so das Urteil. Denn die DSGVO enthält keine Bestimmung, die sich diesen Regeln widmet. Dabei müssen die Gesetzgeber sicher­stellen, dass Betroffene vollständig und wirksam entschädigt würden. Die Ausgleichsfunktion des in der DSGVO vorgesehenen Schadenersatzanspruchs müsse beachtet werden.

Im konkreten Fall muss nun das österr­eichische Gericht über die Höhe der Entschädigung entscheiden.

Europäischer Gerichtshof, Urteil vom 4. Mai 2023, Az. C-300/21 

DSGVO Datenschutz-Auskunft: Wer nicht reagiert, muss zahlen! > Hier mehr lesen!DHB jetzt auch digital!Einfach hier klicken und für das digitale DHB registrieren!