Schlagwort: Schadensersatz
4. Mai 2023
Der Europäische Gerichtshof (EuGH) urteilte am 04.05.2023 über eine wichtige Grundsatzfrage zum Schadensersatzanspruch (Rechtssache C-300/21). Dabei ging es insbesondere um die Frage, unter welchen Umständen es bei Verstößen gegen den Datenschutz zu Schadensersatzforderungen kommen kann.
Vorgeschichte
Im Jahr 2017 hatte die Österreichische Post begonnen, Informationen über die politischen Präferenzen der österreichischen Bevölkerung zu sammeln. Mithilfe eines Algorithmus wurden aus verschiedenen sozialen und demografischen Merkmalen “Zielgruppenadressen” definiert, die dann an verschiedene Organisationen verkauft wurden, um ihnen gezielte Werbung zu ermöglichen. Dabei wurden Kundendaten wie Name, Geschlecht und Alter mit verschiedenen Wahl-Statistiken kombiniert, um herauszufinden, welcher politischen Partei ihre Kunden nahestanden. Mehr als zwei Millionen Österreicher waren von diesem Vorfall betroffen.
Der Kläger, der nicht der Verarbeitung seiner personenbezogenen Daten zugestimmt hatte, fühlte sich beleidigt, als die Österreichische Post aufgrund ihrer Datenverarbeitung eine hohe Affinität zu einer bestimmten politischen Partei bei ihm feststellte. Er reichte Klage gegen die Österreichische Post ein, um die Verarbeitung seiner Daten zu stoppen und eine Entschädigung für den immateriellen Schaden zu erhalten, den er erlitten hatte. Das Landesgericht für Zivilrechtssachen Wien gab ihm in Bezug auf die Verarbeitung seiner Daten Recht, lehnte jedoch sein Schadenersatzbegehren ab.
Das Oberlandesgericht Wien bestätigte das erstinstanzliche Urteil und verwies auf die Vorschriften der DSGVO in Bezug auf die zivilrechtliche Haftung. Es stellte fest, dass ein Verstoß gegen die Vorschriften zum Schutz personenbezogener Daten nicht automatisch zu einem immateriellen Schaden führe und nur dann einen Schadenersatzanspruch begründete, wenn ein solcher Schaden eine “Erheblichkeitsschwelle” erreiche. In diesem Fall sah das Gericht keine Erheblichkeitsschwelle überschritten.
Vorlage an den EuGH
Der Oberste Gerichtshof Österreichs bestätigte die Entscheidung des Landesgerichts in Bezug auf die Unterlassungsverpflichtung der Österreichischen Post, gab jedoch dem Schadenersatzbegehren des Klägers vorerst nicht statt. Das Verfahren wurde ausgesetzt und der Gerichtshof bat nun den EuGH um Klärung der folgenden Fragen:
- Erfordert der Zuspruch von Schadenersatz nach Art. 82 DSGVO neben einer Verletzung von Bestimmungen der DSGVO auch, dass der Kläger einen Schaden erlitten hat oder reicht bereits die Verletzung von Bestimmungen der DSGVO als solche für die Zuerkennung von Schadenersatz aus?
- Bestehen für die Bemessung des Schadenersatzes neben den Grundsätzen der Effektivität und Äquivalenz weitere Vorgaben des Unionsrechts?
- Ist die Auffassung mit dem Unionsrecht vereinbar, dass Voraussetzung für den Zuspruch immateriellen Schadens ist, dass eine Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht vorliegt, die über den durch die Rechtsverletzung hervorgerufenen Ärger hinausgeht?
Schadenersatzanspruch setzt Verstoß, Schaden und Kausalzusammenhang voraus
Der EuGH stellte klar, dass die Begriffe der DSGVO für die Anwendung der Verordnung als autonome Begriffe des Unionsrechts anzusehen seien, die in allen Mitgliedstaaten einheitlich auszulegen sind. Der Wortlaut von Art. 82 Abs. 1 DSGVO zeige, dass das Vorliegen eines Schadens eine der Voraussetzungen für den Schadenersatzanspruch sei, zusammen mit einem Verstoß gegen die DSGVO und einem Kausalzusammenhang zwischen dem Schaden und dem Verstoß. Eine Auslegung, dass jeder Verstoß gegen die DSGVO automatisch den Schadenersatzanspruch eröffnet, würde dem Wortlaut von Art. 82 Abs. 1 DSGVO widersprechen. Dies werde auch durch den Zusammenhang bestätigt, in den sich diese Bestimmung einfüge, sowie durch die Erläuterungen in den Erwägungsgründen 75, 85 und 146 der DSGVO.
Modalitäten müssen Äquivalenz- und Effektivitätsgrundsatz entsprechen
Das Urteil kommt zu dem Ergebnis, dass es mangels einschlägiger Unionsregeln nach dem Grundsatz der Verfahrensautonomie Sache der innerstaatlichen Rechtsordnung jedes Mitgliedstaats sei, die verfahrensrechtlichen Modalitäten der Rechtsbehelfe, die zum Schutz der Rechte der Bürger bestimmt sind, festzulegen. Dies setze allerdings voraus, dass diese Modalitäten bei unter das Unionsrecht fallenden Sachverhalten nicht ungünstiger sind als diejenigen, die gleichartige Sachverhalte regeln, die dem innerstaatlichen Recht unterliegen (Äquivalenzgrundsatz). Darüber hinaus dürften sie die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz). Es sei somit Sache des vorlegenden Gerichts, festzustellen, ob die im österreichischen Recht vorgesehenen Modalitäten für die gerichtliche Festsetzung des Schadenersatzes, der aufgrund des in Art. 82 DSGVO verankerten Schadenersatzanspruchs geschuldet werde, die Ausübung der durch das Unionsrecht und insbesondere durch diese Verordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren. Im Übrigen sei eine auf Artikel DSGVO gestützte finanzielle Entschädigung als „vollständig und wirksam“ anzusehen, wenn sie es ermögliche, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen.
Keine Erheblichkeitsschwelle für immaterielle Schäden
Das Gericht bejaht die Frage, ob nationale Regelungen oder Praktiken, die den Ersatz eines immateriellen Schadens von einer bestimmten Erheblichkeit abhängig machen, mit Art. 82 Abs. 1 DSGVO unvereinbar sind. Die DSGVO definiere den Begriff “Schaden” nicht und lege keine Erheblichkeitsschwelle fest. Die Definition des Begriffs “Schaden” sollte den Zielen der DSGVO in vollem Umfang entsprechen. Eine Erheblichkeitsschwelle würde die Kohärenz der DSGVO beeinträchtigen, da sie je nach Beurteilung durch die Gerichte unterschiedlich hoch ausfallen könnte. Allerdings sei eine betroffene Person weiterhin verpflichtet, nachzuweisen, dass sie einen immateriellen Schaden erlitten habe.
Fazit
Das Urteil aus Luxemburg hat mehrere wichtige Aspekte der Datenschutz-Grundverordnung (DSGVO) beleuchtet. Zunächst betont das Gericht, dass das Recht auf Entschädigung gemäß der DSGVO drei kumulative Bedingungen unterliegt: Verstoß gegen die DSGVO, materieller oder immaterieller Schaden infolge dieses Verstoßes und ein kausaler Zusammenhang zwischen dem Schaden und dem Verstoß. Daher führt ein bloßer Verstoß gegen die DSGVO nicht automatisch zu einem Entschädigungsanspruch. Diese Interpretation entspricht der Formulierung und den Erwägungsgründen der DSGVO.
Zweitens hat das Gericht klargestellt, dass keine Anforderung besteht, dass der erlittene immaterielle Schaden einen bestimmten Schweregrad erreichen muss, um ein Recht auf Entschädigung zu begründen. Dies bedeutet, dass jeder Art von immateriellem Schaden, unabhängig von seiner Schwere, potenziell zu einer Entschädigung führen kann, wenn die anderen beiden Bedingungen erfüllt sind.
Die Entscheidung des Gerichts ist bedeutend, da sie bestätigt, dass das Recht auf Entschädigung für immaterielle Schäden infolge rechtswidriger Datenverarbeitung eine wichtige Sicherung der Datenschutzrechte von Einzelpersonen darstellt. Es erkennt auch die breite Auffassung zum “Schaden” an, die von der EU-Gesetzgebung übernommen wurde, zu der jegliche Art von Schaden gehört, den eine Person erleidet. Das Gericht betonte jedoch auch, dass die DSGVO keine spezifischen Regeln zur Bewertung von Schäden enthält und es den Rechtsordnungen der einzelnen Mitgliedstaaten überlassen bleibt, den Umfang der in diesem Zusammenhang zu leistenden Entschädigung festzulegen. Solange die Grundsätze der Gleichwertigkeit und Wirksamkeit eingehalten werden, sind die Mitgliedstaaten frei, die detaillierten Regeln für Maßnahmen zur Sicherung der Rechte festzulegen, die Einzelpersonen aus der DSGVO ableiten, und insbesondere die Kriterien zur Bestimmung des Umfangs der in diesem Zusammenhang zu zahlenden Entschädigung.
Insgesamt unterstreicht dieser Gerichtsbeschluss die Bedeutung des Schutzes der Datenschutzrechte von Einzelpersonen und der Gewährleistung wirksamer Abhilfemaßnahmen für jeglichen Schaden, der als Folge rechtswidriger Verarbeitung personenbezogener Daten erlitten wurde. Er hebt auch die Notwendigkeit hervor, dass die Mitgliedstaaten klare und wirksame Mechanismen zur Bestimmung von Entschädigungen in Fällen von immateriellen Schäden infolge von DSGVO-Verstößen schaffen.
19. April 2023
Ein Bürger hat eine gesetzliche Krankenkasse verklagt, da er der Meinung ist, dass ihm eine Datenauskunft nach Artikel 15 der Datenschutzgrundverordnung (DSGVO) zu spät erteilt wurde. Er verlangt eine Schadensersatzsumme von 2.000 EUR und reichte im Juni 2021 eine Klage beim Sozialgericht Frankfurt/Main ein. Das Sozialgericht wies die Klage jedoch zurück, da es sich nicht zuständig fühlte. Das Hessische Landessozialgericht bestätigte diese Entscheidung. Schließlich wurde der Fall beim Bundessozialgericht (BSG) landete, welches entschied, dass die Sozialgerichte für Schadensersatzklagen nach Artikel 82 DSGVO zuständig sein können. Das BSG begründete dies damit, dass es sich bei den gespeicherten Daten um Sozialversicherungsdaten handelte und somit um eine öffentlich-rechtliche Streitigkeit handelt. Es wurde klargestellt, dass nicht jede Schadensersatzklage gegen eine Krankenkasse als öffentlich-rechtliche Streitigkeit betrachtet wird. Im Falle eines Datenschutzverstoßes in Bezug auf eine Personalakte eines Mitarbeiters der Krankenkasse müssten beispielsweise Arbeitsgerichte entscheiden.
Regelung über Datenschutzverstößen in § 81b SGB X
Dass die Sozialgerichte zuständig sind, über die Folgen von Datenschutzverstößen zu entscheiden, ist in § 81b SGB X ausdrücklich geregelt:
„Für Klagen der betroffenen Person gegen einen Verantwortlichen oder einen Auftragsverarbeiter wegen eines Verstoßes gegen datenschutzrechtliche Bestimmungen im Anwendungsbereich der Verordnung (EU) 2016/679 oder der darin enthaltenen Rechte der betroffenen Person bei der Verarbeitung von Sozialdaten im Zusammenhang mit einer Angelegenheit nach § 51 Absatz 1 und 2 des Sozialgerichtsgesetzes ist der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit eröffnet.“
Bei dem Schadensersatzanspruch nach Art. 82 DSGVO handelt es sich – so das BSG – um ein „Recht der betroffenen Person“ gemäß § 81b SGB X. Dieses Recht stehe den Rechten gleich, die in den Art. 12 ff. DSGVO ausdrücklich als „Rechte der betroffenen Person“ bezeichnet werden.
Bis hierhin ist der Argumentationsgang überzeugend. Es bleibt jedoch die Frage offen, ob Art. 82 DSGVO in Fällen, in denen es um Ansprüche aus öffentlich-rechtlichen Rechtsverhältnissen geht, als Amtshaftungsanspruch betrachtet werden kann. Gemäß Art. 34 Satz 3 GG sind für solche Ansprüche die ordentlichen Gerichte, also die Zivilgerichte, zuständig. Ein Amtshaftungsanspruch bezieht sich darauf, dass der Staat für einen Schaden haftbar gemacht wird, der einem Bürger durch das Handeln eines Amtsträgers zugefügt wurde. Es scheint auf den ersten Blick durchaus wahrscheinlich zu sein, dass Art. 82 DSGVO einen solchen Schaden abdeckt, da die Haftung gemäß Art. 82 Abs. 3 DSGVO eine “Verantwortlichkeit” erfordert und somit ein Verschulden voraussetzt.
Begründung des BSG
Das BSG meint dennoch (anders als die Vorinstanzen), es handele sich bei Art. 82 DSGVO auch im Bereich des öffentlichen Rechts nicht um einen Amtshaftungsanspruch, sodass Art. 34 Satz 3 GG nicht anwendbar ist. Die Begründung fällt kurz aus (Rn. 24 des Beschlusses):
„Der Schadenersatzanspruch aus Art 82 Abs 1 DSGVO ist schon deshalb kein Amtshaftungsanspruch iS des Art 34 Satz 1 und 3 GG, weil er sich nicht gegen einen Amtswalter richtet und sodann auf den Staat übergeleitet wird, sondern unmittelbar gegen den Verantwortlichen (ausführlich dazu auch BFH vom 28.6.2022 – II B 92/21 – BFHE 275, 571 = BStBl II 2022, 535, RdNr 18, 21). Dies ist hier die beklagte KK. Auf ein etwaiges Fehlverhalten der Amtswalter, die im Dienst des Verantwortlichen stehen, kommt es nicht an. Diese sind prinzipiell keine Verantwortlichen im Sinne der DSGVO (Bieresborn, ZFSH/SGB 2020, 436, 438; Leopold in BeckOGK, § 67 SGB X RdNr 54, Stand: 1.8.2022; Gola in Gola/Heckmann, DS-GVO/BDSG, 3. Aufl 2022, Art 4 DS-GVO RdNr 63).“
Fazit
Insgesamt dürfte die Entscheidung des BSG somit richtig sein. In Zukunft werden sich nicht nur Zivil-, Arbeits- und Finanzgerichte (siehe auch die Entscheidung des BFH vom 28.6.2022 – Az. II BB 92/21), sondern auch Sozialgerichte mit Schadensersatzansprüchen der Bürger gemäß Art. 82 DSGVO auseinandersetzen müssen.
24. März 2023
Das Arbeitsgericht Oldenburg hat kürzlich ein Unternehmen dazu verurteilt, einem ehemaligen Mitarbeiter immateriellen Schadensersatz in Höhe von 10.000 Euro zu zahlen, weil es einem Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO nicht nachgekommen sei (Urteil vom 09.02.2023, Az. 3 Ca 150/21). Der Fall zeigt, dass die Datenschutz-Grundverordnung (DSGVO) auch im Bereich der Arbeitsverhältnisse ein wichtiger Faktor ist.
Sachverhalt
In einem Arbeitsrechtsstreit forderte ein ehemaliger Geschäftsführer und Vertriebsleiter einer Firma für Feuerwerkskörper von seiner ehemaligen Arbeitgeberin Auskunft über seine personenbezogenen Daten. Die Arbeitgeberin verweigerte jedoch die Auskunftserteilung und legte erst im Prozess einzelne Unterlagen vor. Der Kläger machte neben dem Auskunftsersuchen auch einen Anspruch auf immateriellen Schadensersatz geltend.
Reichweite des Auskunftsanspruchs gem. Art. 15 DSGVO
Bis heute ist die Reichweite des Auskunftsanspruchs gem. Art. 15 DSGVO umstritten. Dabei stellt sich immer wieder die Frage, wie präzise die erteilten Auskünfte sein müssen.
Artikel 15 DSGVO gewährt betroffenen Personen das Recht, von einem Unternehmen oder einer Organisation Auskunft darüber zu erhalten, ob personenbezogene Daten von ihnen verarbeitet werden und wenn ja, welche Daten dies sind. Der Auskunftsanspruch gemäß Art. 15 DSGVO ist ein wichtiges Instrument, das es den Betroffenen ermöglicht, mehr Kontrolle über ihre personenbezogenen Daten zu erlangen und sicherzustellen, dass diese ordnungsgemäß verarbeitet werden. Die Reichweite des Auskunftsanspruchs gemäß Art. 15 DSGVO ist weitreichend und umfasst sowohl die Daten, die von dem Unternehmen oder der Organisation verarbeitet werden, als auch eine Reihe von anderen Informationen. Insbesondere hat die betroffene Person das Recht, Informationen über die Zwecke der Verarbeitung, die Kategorien der verarbeiteten personenbezogenen Daten, die Empfänger oder Kategorien von Empfängern, denen die personenbezogenen Daten offengelegt wurden oder werden, sowie die voraussichtliche Dauer, für die die personenbezogenen Daten gespeichert werden, zu erhalten.
Darüber hinaus hat die betroffene Person das Recht, eine Kopie der personenbezogenen Daten, die verarbeitet werden, zu erhalten. Diese Kopie muss in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden. Wenn die betroffene Person dies wünscht, kann sie auch verlangen, dass die personenbezogenen Daten direkt an einen anderen Verantwortlichen übermittelt werden.
Es ist wichtig zu beachten, dass das Recht auf Auskunft nicht uneingeschränkt ist. In bestimmten Situationen kann es gerechtfertigt sein, den Auskunftsanspruch gemäß Art. 15 DSGVO einzuschränken oder auszusetzen. Beispielsweise kann dies der Fall sein, wenn die Verarbeitung personenbezogener Daten die öffentliche Sicherheit gefährdet oder das Recht auf Meinungsfreiheit und Informationsfreiheit anderer Personen beeinträchtigt.
Die Beklagte hat das Auskunftsersuchen des Klägers zurückgewiesen, da sie der Meinung war, dass der Anspruch nicht bestehe. Das Arbeitsgericht Oldenburg entschied jedoch, dass die Beklagte verpflichtet gewesen sei, das Auskunftsbegehren zu erfüllen. Der Kläger hätte das Recht auf Auskunft über sämtliche seiner bei der Beklagten verarbeiteten personenbezogenen Daten sowie zu den sich aus Artikel 15 Abs. 1 Hs. 2, Abs. 2 DSGVO ergebenden Informationen. Das Gericht ging jedoch nicht auf die Frage ein, ob der Verantwortliche auch Auskunft über Informationen erteilen müsse, die dem Betroffenen bereits bekannt sind.
Art. 82 Abs. 1 DSGVO mit präventivem Charakter
Artikel 82 DSGVO regelt das Recht auf Schadensersatz bei Verstößen gegen die DSGVO. Dieser Artikel stellt sicher, dass Betroffene bei Verletzung ihrer Datenschutzrechte einen Anspruch auf finanziellen Ausgleich haben.
Wenn ein Verantwortlicher oder ein Auftragsverarbeiter gegen die DSGVO verstößt, kann dies zu einem Schaden für den Betroffenen führen. In diesem Fall kann der Betroffene gemäß Artikel 82 DSGVO eine angemessene Entschädigung verlangen, die den erlittenen materiellen oder immateriellen Schaden ausgleicht. Dabei müssen die Umstände des Einzelfalls berücksichtigt werden, einschließlich der Art, Schwere und Dauer des Verstoßes sowie des Umfangs des erlittenen Schadens.
Das Arbeitsgericht stellte fest, dass die Beklagte gegen ihre Auskunftspflicht gemäß Art. 12 Abs. 3 DSGVO verstoßen habe, indem sie das Auskunftsbegehren des Klägers nicht innerhalb eines Monats erfüllte. Die Nichterfüllung der DSGVO-Verpflichtungen führe bereits zu einem auszugleichenden immateriellen Schaden, weshalb der Kläger nicht weiter spezifizieren müsse, welcher Schaden ihm entstanden sei. Der präventive Charakter des Schadenersatzanspruchs nach Art. 82 Abs. 1 DSGVO solle dazu beitragen, die Einhaltung der Datenschutzbestimmungen sicherzustellen.
„Das Bundesarbeitsgericht hat sich im Nachgang zu dem genannten Vorabentscheidungsersuchen in seiner Entscheidung vom 05.05.2022 (2 AZR 363/21) dahingehend geäußert, dass zugunsten der Klägerin unterstellt werden kann, dass dem Anspruch nach Art. 82 Abs. 1 DSGVO Präventionscharakter und eine Abschreckungsfunktion zukomme (BAG, Urt. v. 05.05.2022 – 2 AZR 363/21 Rn. 23).“
So hielt das ArbG in diesem Fall einen Schadensersatz von 10.000 Euro für gerechtfertigt. Anders als das Bundesarbeitsgericht (BAG), das im dortigen Fall einen Schadensersatz von 1.000 Euro für ausreichend hielt, sah das ArbG hier aufgrund des höheren Auskunftsinteresses des Klägers und des langen Zeitraums der Nichterfüllung der Auskunftspflicht einen höheren Schadensersatz als gerechtfertigt an.
Fazit
Unternehmen sollten sicherstellen, dass sie über angemessene Mechanismen verfügen, um Anfragen von Mitarbeitern nach Art. 15 DSGVO zu erfüllen, und sicherstellen, dass sie innerhalb der gesetzlich vorgeschriebenen Frist antworten.
17. August 2022
Mit Urteil vom 14. Juli 2022 (Az. 15 U 137/21) entschied das OLG Köln, dass die verspätete datenschutzrechtliche Auskunftserteilung einen Schadensersatzanspruch nach Art. 82 DSGVO begründet.
Der Sachverhalt
Hintergrund des Urteils war ein Mandatsverhältnis zwischen der Klägerin und ihrem Anwalt. Die Klägerin hatte den Anwalt mit der rechtlichen Betreuung eines Verkehrsunfalls beauftragt. Zu diesem Zweck schlossen die Parteien einen Vertrag über die Mandatsbetreuung im September 2016.
Allerdings habe die Klägerin, ihrer Darstellung entsprechend, ihren Anwalt nur schwer erreichen können. Deswegen habe sie im Januar 2020 den Vertag mit ihrem Anwalt gekündigt. Außerdem habe sie eine vollständige Datenauskunft von ihrem Anwalt verlangt. Das Ziel der Klägerin sei es gewesen, eine Auskunft darüber zu erhalten, welche ihrer personenbezogenen Daten der Anwalt im Rahmen des Mandatsverhältnisses verarbeitet hatte. Dieser Anspruch sei erst im Oktober 2020 erfüllt worden.
Anspruch aus Art. 82 DSGVO
Das OLG stellte zunächst fest, dass der Anwalt als Verantwortlicher im Sinne der DSGVO die Frist zur Beantwortung eines Auskunftsanspruchs von einem Monat überschritten habe. Dies folge aus Art. 15 Abs. 1, 3 und Art. 12 Abs. 3 S. 1 DSGVO.
Das Gericht beschäftigte sich anschließend mit der Frage, welches Verhalten in diesem Fall den Schaden begründete. Entgegen der erstinstanzlichen Ansicht sei dafür nicht per se eine der Verordnung nicht entsprechende Verarbeitung erforderlich. Vielmehr könne der Schaden mit einem Verstoß gegen die Auskunftspflicht des Verantwortlichen begründet werden.
Das Gericht stellte fest, dass zwar auch ErwG. 146 DSGVO davon spreche, „(…) dass Schäden ersetzt werden sollen, die einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht.“ (OLG Köln, Urteil vom 14.Juli 2022, Az. 15 U137/21, Rn. 17).
Allerdings ergebe sich aus ErwG. 60 DSGVO, „(…) dass die Grundsätze einer fairen und transparenten Verarbeitung es erforderlich machen, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird.“ (OLG Köln, Urteil vom 14.Juli 2022, Az. 15 U137/21, Rn. 17). Folglich gestehe die DSGVO der betroffenen Personen einen Auskunftsanspruch zu, um Kenntnis über den Verarbeitungsvorgang zu erlangen. Außerdem könne die betroffene Person auf diese Weise die Rechtmäßigkeit der Verarbeitung überprüfen. Der Auskunftsanspruch diene daher einer transparenten Verarbeitung, sodass „die Ersatzpflicht nach Art. 82 Abs. 1 DSGVO auf jeden Verstoß gegen Regelungen der Verordnung anzuwenden“ sei (OLG Köln, Urteil vom 14.Juli 2022, Az. 15 U137/21, Rn. 17).
Darüber hinaus stellte das Gericht fest, dass die Klägerin einen immateriellen Schaden erlitten habe. In diesem Fall ließ das Gericht offen, ob bereits der Verstoß gegen die DSGVO den Schaden begründen könne (so: LAG Schleswig-Holstein, Az. 6 TA 49/22; wir berichteten).
27. August 2021
Der österreichische Oberste Gerichtshof (OGH) hat im Rechtsstreit von Max Schrems gegen Facebook den Europäischen Gerichtshof (EuGH) angerufen, um einzelne Fragen überprüfen zu lassen. Die Fragen beziehen sich auf die Rechtmäßigkeit der Datennutzung durch Facebook bei allen Nutzer:innen innerhalb der EU.
Das zuständige Landesgericht urteilte im Sommer, dass die Datenverarbeitung vertrags- und rechtskonform sei. Diese Ansicht teilte auch das Oberlandesgericht Wien. Im März wandte sich Schrems dann an den OGH.
Einwilligung oder Vertrag zur Datennutzung
In dem Rechtsstreit geht es unter anderem um die Frage, ob Nutzer:innen tatsächlich eine Einwilligung oder einen Vertrag mit Facebook schließen, da Facebook als angebliche “Leistung” Werbung anbiete. Da diese beiden Rechtsgrundlagen in der DSGVO verschieden geregelt seien, argumentiert Facebook, dass die Regeln der DSGVO zur Einwilligung nicht mehr anwendbar wären. Laut Schrems wären damit die Vorschriften, die vorgeben, wie eine eindeutige Zustimmung aussehen müsse (und auch jederzeit widerrufen werden könne), hinfällig. Dies sei eine rechtswidrige Umgehung der DSGVO.
Werbe-Targeting und Verarbeitung sensibler Daten
Entscheiden soll der EuGH nun auch konkrete Fragen rund ums Werbe-Targeting. Dazu gehört auch die Fragestellung, ob die Verwendung aller personenbezogener Daten der Nutzer:innen auf Facebook sowie aus vielen anderen Quellen, wie etwa Websites, die Facebook “Like”-Buttons oder Werbung verwenden, mit der DSGVO und dem Grundsatz der “Datenminimierung” vereinbar ist.
Des Weiteren beziehen sich die Fragen auch auf die Problematik der Filterung und Verwendung sensibler Daten, wie beispielsweise politische Ansichten oder sexuelle Orientierung für personalisierte Werbung. “Diese weiteren Fragen sind extrem wichtig, da Facebook dann selbst bei einer gültigen Einwilligung möglicherweise nicht mehr alle Daten für Werbung nutzen darf”, so Schrems dazu. Zusätzlich müsste der Konzern dann möglicherweise sensible Daten wie politische Ansichten oder Daten zur sexuellen Orientierung herausfiltern.
Anspruch auf Schadensersatz möglich
Vor dem OGH konnte Schrems bereits einen Teilerfolg verbuchen. Das Gerichts sprach ihm 500 Euro Schadensersatz zu, da Facebook ihm keinen vollen Zugang zu den über ihn gespeicherten Daten gewährt hatte. Der Konzern habe Schrems damit „massiv genervt“, daraus begründe sich ein berechtigter Anspruch auf Schadensersatz.
“Verliert Facebook vor dem EuGH, müssten sie nicht nur damit aufhören Daten zu missbrauchen und illegal gesammelte Daten löschen, sondern auch Millionen von Nutzer:innen Schadenersatz zahlen. Wir sind über die Vorlage daher sehr glücklich”, so Max Schrems.
6. August 2021
Auskunftsanspruch
In Kapitel 3 der Datenschutz-Grundverordnung (DSGVO) werden die Rechte von Betroffenen, deren Daten verarbeitet werden umfassend normiert. So regelt Art. 15 Abs. 1 DSGVO beispielsweise das Auskunftsrecht von betroffenen Personen gegenüber dem Verantwortlichen. Danach hat jede Person, deren Daten von einem Verantwortlichen, beispielsweise einem Unternehmen oder einer Behörde verarbeitet werden, einen Anspruch darauf zu erfahren, ob und wenn ja, welche sie betreffenden personenbezogene Daten von diesem Verantwortlichen verarbeitet, z.B. gespeichert werden. Macht die betroffene Person ein solches Auskunftsverlangen geltend, hat der Verantwortliche dem Betroffenen gem. Art. 12 Abs. 3 DSGVO die verlangte Auskunft unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen. Der Betroffene kann über diese Daten gem. Art. 15 Abs. 3 DSGVO auch eine Kopie verlangen. Die Auskunftserteilung muss zudem kostenlos erfolgen, so dass der Verantwortliche nach Art. 12 Abs. 5 DSGVO nur bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person ein angemessenes Entgelt verlangen oder die Auskunft verweigern darf.
Welche Daten und Informationen von diesem Auskunftsanspruch aus Art. 15 Abs. 3 DSGVO umfasst sind und damit wie umfassend eine solche Datenauskunft zur erfolgen hat, ist umstritten. Wir berichteten.
Sachverhalt
In einem dem Landgericht Bonn (LG Bonn) zugrundeliegenden Fall hat die Klägerin einen Anspruch auf Datenauskunft gem. Art. 15 Abs. 1 DSGVO i.V.m. Art. 12 DSGVO gegenüber ihrem ehemaligen Anwalt, dem Beklagten geltend gemacht. Sie verlangte von diesem eine vollständige Datenauskunft zu den bei ihm über die Klägerin vorhandenen personenbezogenen Daten nebst Zurverfügungstellung einer Datenkopie. Da der Beklagte diesem Begehren länger als acht Monate nicht nachkam, erhob die Klägerin Klage vor dem LG Bonn und verlangte u.a. neben der vollständigen Datenauskunft auch Schmerzensgeld für die verzögerliche Erteilung der Datenauskunft.
Entscheidung
Das LG Bonn, dass das Auskunftsbegehren nach Art. 15 DSGVO zwar bejahte, verneinte eine Entschädigung für die verspätete Datenauskunft gem. Art. 82 Abs. 1 DSGVO.
Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen.
Das LG Bonn verneinte das Vorliegen eines Verstoßes gegen die DSGVO wegen der um mehr als einen Monat verspäteten Auskunftserteilung. Art. 82 DSGVO umfasse nur die Fälle, in denen ein Schaden durch eine nicht der DSGVO entsprechenden Verarbeitung entstanden sei. D.h. um einen Schadensersatzanspruch auszulösen, komme – so das Gericht – nur ein verordnungswidriger Verstoß durch die Verarbeitung selbst in Betracht. Eine bloße Verletzung der Informationsrechte der betroffenen Person aus Art. 12-15 DSGVO führe aber nicht schon dazu, dass eine Datenverarbeitung, infolge derer das Informationsrecht entstanden ist, selbst verordnungswidrig ist. Dementsprechend löse auch die um mehr als acht Monate verzögerte Auskunftserteilung grundsätzlich keinen Schadensersatzanspruch aus.
Außerdem habe die Klägerin auch nicht dargelegt, dass ihr ein Schaden entstanden sei. Das bloße “warten” auf eine Auskunftserteilung genügt nach Ansicht des Gerichts jedenfalls nicht, um einen solchen Anspruch zu begründen.
3. Februar 2021
Wie nun bekannt wurde, hat das Landgericht Lüneburg mit Urteil vom 14.07.2020, Az. 9 O 145/19 eine Bank zur Zahlung von Schadensersatz in Höhe von 1.000 EUR verurteilt. Für die Richter lag ein Verstoß gegen die Datenschutzgrundverordnung (DSGVO) vor, weil die Bank eine Kontoüberziehung ihres Bankkunden in Höhe von 20 Euro zu Unrecht einer Kredit-Auskunftei, der Schufa Holding AG (nachfolgend Schufa) meldete.
Sachverhalt:
Der Kläger unterhielt bei der Beklagten, einer größeren Bank, ein Girokonto. Auf dem Konto wurde dem Kläger auch ein Dispositionskredit über 1.000 Euro zur Verfügung gestellt. Dieser Dispositionskredit wurde von der Bank unter Berufung auf die Allgemeinen Geschäftsbedingungen (AGB) aus wichtigem Grund gekündigt. Zu diesem Zeitpunkt überschritt der Kläger den ihm eingeräumten Dispokredit um 20 Euro, der Sollsaldo betrug mithin 1.020 Euro. Nach Erhalt der Kündigung glich der Kläger die überzogenen 20 Euro aus, so dass das Konto des Klägers einen Sollsaldo von 999,99 Euro auswies. Weitere Verfügungen über das Konto wurden nicht mehr zugelassen. Nachdem es in der Folge mehrere Lastschriftrückgaben gab, kündigte die Beklagte sodann auch die Kontoverbindung des Klägers aus wichtigem Grund und stütze sich dabei auf einen Kündigungsgrund innerhalb ihrer AGB. Dabei setzte sie dem Kläger eine Frist zur Rückzahlung des bestehenden Schuldsaldos inklusive Zinsen. Dieser Fristsetzung kam der Kläger nach und beglich den noch offenen Sollsaldo, vor Ablauf der Frist hatte die Bank aber bereits bei der Schufa eine Negativ-Einmeldung i.H.v. 1.020 Euro veranlasst.
Dagegen erhob der Kläger Klage vor dem Landgericht Lüneburg und beantrage unter anderem den Widerruf dieser Einmeldung sowie die Zahlung eines Schmerzensgeldes.
Entscheidung:
Das Gericht gab dem Kläger teilweise Recht und verurteilte die Beklagte zum Widerruf der von ihr veranlassten Datenübermittlung an die Schufa sowie zur Zahlung eines Schadensersatzes.
Dabei hielt es einen Anspruch auf Ersatz eines immateriellen Schadens in Gestalt eines Schmerzensgeldes nach Art. 82 Abs. 1 DSGVO in Höhe von 1.000 Euro für angemessen. Den immateriellen Schaden begründete es vorliegend mit dem Kontrollverlust des Klägers über seine personenbezogenen Daten. Durch die Übermittlung der Daten an die Schufa habe die Beklagte, so das Gericht, personenbezogene Daten an einen unbeteiligten und unberechtigten Dritten weitergegeben. Dadurch sei der Kläger bloß gestellt worden und es drohe zudem mittelbar eine potenzielle Stigmatisierung, die durch einen Eintrag bei der Schufa entstehen könne. Das Gericht führte weiter aus, dass es sich bei den an die Schufa übermittelten Daten um schützenswerte und sensible Daten des Klägers handle, die maßgeblichen negativen Einfluss auf seine Teilnahme am wirtschaftlichen Verkehr haben können, indem ihm Kredite oder Verträge aufgrund der Eintragung versagt werden können. Auch Grundrechte wie die Berufsfreiheit und die allgemeine Handlungsfreiheit können durch eine solche Eintragung beeinträchtigt werden.
Vorliegend sah das Gericht daher das Interesse des Klägers, dass seine Daten nicht an die Schufa gemeldet werden und gegebenenfalls durch unbekannte Dritte eingesehen werden können, als besonders schützenswert an. Ein berechtigtes Interesse der Beklagten an der Datenübermittlung an die Schufa, verneinte das Gericht. Im Rahmen der Interessenabwägung, stütze es seine Abwägungskriterien auf § 31 Abs. 2 Nr. 4 Bundesdatenschutzgesetz (BDSG). Die Voraussetzungen des § 31 Abs. 2 Nr. 4 BDSG, wonach der Schuldner nach Eintritt der Fälligkeit der Forderung mindestens zweimal schriftlich gemahnt worden sein; die erste Mahnung mindestens vier Wochen zurückliegen; der Schuldner zuvor, jedoch frühestens bei der ersten Mahnung, über eine mögliche Berücksichtigung durch eine Auskunftei unterrichten worden sein muss und der Schuldner die Forderung nicht bestritten haben darf, lagen nach Ansicht des Gerichts nicht vor. Damit lag für das Gericht ein Indiz für die Rechtswidrigkeit der Datenübermittlung an die Schufa vor.
Ausblick:
Die Besonderheit dieses Falles liegt wohl darin, dass obwohl das Landgericht die Beeinträchtigung des Klägers als eher gering einschätzte und die Negativeintragung nur 14 Tage bestand, es dem Kläger einen Schadensersatz in Höhe von 1.000 Euro zusprach. Zudem hielt das Gericht vorliegend – anders als viele andere Gerichte – auch eine Erheblichkeitsschwelle bei einem immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO für nicht geboten, sondern wollte auch einen Bagatellschäden entschädigt sehen.
Es bleibt daher abzuwarten, welche Signalwirkung dieses Urteil auf andere Gerichte hat und wie die Gerichte bei einem länger andauernden Datenschutzverstoß entscheiden werden.
8. Oktober 2020
Der Hamburger Beauftragte für Datenschutz und Informationsfreiheit Prof. Dr. Johannes Caspar verhängte ein Bußgeld i.H.v. 35,3 Millionen Euro gegen die Modekette H&M. Das bisher höchste verhängte Bußgeld nach Inkrafttreten der DSGVO wurde verhängte, weil H&M umfangreiches Mitarbeiter-Tracking betrieben hatte.
Mindestens seit dem Jahr 2014 wurden im Servicecenter in Nürnberg umfangreiche Angaben über private Lebensumstände eines Teils der Beschäftigten erfasst und entsprechende Notizen auf einem Netzwerklaufwerk dauerhaft gespeichert. Vorgesetzte führten mit Beschäftigen, die wegen eines Urlaubs oder einer Krankheit auch kurzzeitig abwesend waren, “Welcome Back Talks” durch. Dabei wurden etwa konkrete Urlaubserlebnisse und sogar Krankheitssymptome und Diagnosen abgefragt und gespeichert. Zudem sollen sich Vorgesetzte ein breites Wissen über das Privatleben ihrer Angestellten angeeignet haben, etwa über familiäre Probleme oder religiöse Ansichten. Die gespeicherten Angaben waren für bis zu 50 Führungskräfte des Unternehmens einsehbar. Mit den teilweise akribischen Angaben wurden Profile der Beschäftigten erstellt und zur Analyse der individuellen Arbeitsleistung genutzt.
Die umfassende Speicherung ist aufgeflogen, als im Oktober 2019 aufgrund eines Konfigurationsfehlers die Datenbank für einige Stunden unternehmensweit offen einsehbar war. Auf Verlangen des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit legte H&M einen Datensatz von rund 60 Gigabyte vor.
H&M hat sich einsichtig gezeigt, indem ein Konzept mit verschiedenen Abhilfemaßnahmen vorgelegt wurde und den betroffenen Beschäftigten neben einer Entschuldigung ein Schadensersatz in beachtlicher Höhe versprochen wurde. Nach Aussage von Professor Caspar handele es sich um “ein bislang beispielloses Bekenntnis zur Unternehmensverantwortung nach einem Datenschutzverstoß.” Diese wurde bei der Bemessung der Bußgeldhöhe beachtet.
Ein solches Rekordbußgeld lässt sich durch die Ausarbeitung eines umfassenden Datenschutzkonzepts vermeiden. Wichtig sind insbesondere fachgerechte Schulungen aller Mitarbeiter in Datenschutz- und Compliance-Fragen und die Implementierung eines Datenschutz-Management-Systems. Unstrukturierte Datenerfassungen bergen ein immenses Risiko. Neben der Datenerfassung muss auch die Datennutzung rechtlich einwandfrei gehandhabt werden. Hier hilft besonders die Ausarbeitung eines Berechtigungskonzepts, in dem beschrieben wird, welche Zugriffsregeln für einzelne Mitarbeiter oder Mitarbeitergruppen auf die Daten eines Unternehmens gelten.
Das Unternehmen kündigte an, den Beschluss sorgfältig zu prüfen. Bislang ist nicht davon auszugehen, dass H&M dagegen vorgehen wird. Anders handhabt dies 1&1, das ein Bußgeld in Höhe von rund 10 Millionen Euro zahlen sollte. Hier beginnt der Prozess am Donnerstag, den 08.10.2020, vor dem Landgericht Bonn. Für H&M hätte es noch deutlich teurer werden können. Denn die DSGVO sieht für solche Verstöße einen Bußgeldrahmen von bis zu 4% des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro vor, je nachdem welcher Betrag höher ist.
30. Juli 2020
Das Arbeitsgericht Düsseldorf hat in seinem Urteil (v. 05.03.2020 – 9 Ca 6557/18) dem Kläger eine Entschädigung wegen Verstoßes seines Arbeitgebers gegen das Auskunftsrecht aus Art. 15 Abs. 1 DSGVO zugesprochen. In dem Urteil hat das Gericht unter anderem Stellung zu den Voraussetzungen und zur Bemessung eines Anspruchs auf Ersatz eines immateriellen Schadens aus Art. 82 Abs. 1 DSGVO genommen.
Die Parteien stritten über datenschutzrechtliche Auskunft und Information, die Erteilung von Kopien sowie eine Entschädigung. Zwischen der Beklagten, einem Unternehmen in Düsseldorf und dem Kläger bestand bis Anfang 2018 ein Arbeitsverhältnis. Der Kläger begehrte Auskunft über und Kopie von den über ihn verarbeiteten personenbezogenen Daten bei der Beklagten. Die daraufhin erteile Auskunft war seines Erachtens lückenhaft und verspätet. Nach einer erfolglosen Güteverhandlung verlangte der Kläger vollständige Vorlage der fehlenden Informationen und Schadensersatz nach Art. 82 Abs. 1 DSGVO.
Neben dem Umfang der Auskunftspflicht musste das Gericht entscheiden, ob allein durch den Verstoß gegen das Auskunftsrecht ein (immaterieller) Schaden entstanden ist und in welcher Höhe dieser bemessen wird.
Dazu führt das Gericht aus: „Ein immaterieller Schaden entsteht nicht nur in den “auf der Hand liegenden Fällen”, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren. […] Durch die monatelang verspätete, dann unzureichende Auskunft war der Kläger im Ungewissen und ihm die Prüfung verwehrt, dann nur eingeschränkt möglich, ob und wie die Beklagte seine personenbezogenen Daten verarbeitet. Die Schwere des immateriellen Schadens ist für die Begründung der Haftung nach Art. 82 Abs. 1 [DSGVO] irrelevant und wirkt sich nur noch bei der Höhe des Anspruchs aus. […] Verstöße müssen effektiv sanktioniert werden, damit die [DSGVO] wirken kann, was vor allem durch Schadensersatz in abschreckender Höhe erreicht wird. […] Gerichte können sich bei der Bemessung des immateriellen Schadensersatzes auch an Art. 83 Abs. 2 [DSGVO] orientieren, sodass als Zumessungskriterien unter anderem Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden können“
Der Beklagte habe das Auskunftsrecht – das zentrale Betroffenenrecht – beeinträchtigt und zugleich das europäisches Grundrecht des Klägers aus Art. 8 Abs. 2 S. 2 GRCh verletzt, weshalb dem Kläger ein immaterieller Schaden entstanden sei. Als Ersatz dieses Schaden hielt die Kammer einen Betrag in Höhe von 5000 Euro für geboten.
9. Februar 2017
Mit Urteil vom 30.09.2016 (Az. 20 U 83/16) hat das Oberlandesgericht Köln (OLG Köln) einen Anspruch auf Schmerzensgeld aufgrund eines datenschutzrechtlichen Verstoßes bejaht. Die Beklagte hatte ein Urteil mit Gesundheitsdaten des Klägers rechtswidrig an dessen Arbeitgeber weitergegeben. Zu dem Urteil kam es, weil der Kläger mit der beklagten Versicherung über Ansprüche aus einer Berufsunfähigkeitsversicherung stritt. Die Versicherung behauptete, dass sich die Klägerin vertragswidrig Verhalten habe und verweigerte daher die Zahlung. Nachdem die Klage erstinstanzlich noch abgewiesen worden war, verglichen sich die Parteien im Berufungsverfahren auf Zahlung in Höhe von 90.000 Euro an den Kläger.
In der Zwischenzeit hatte die Beklagte das Urteil der ersten Instanz allerdings an den Arbeitgeber des Klägers, ein Unternehmen des gleichen Konzerns, weitergegeben. Der Arbeitgeber des Klägers kündigte ihm daraufhin fristlos.
In dem zu entscheidenden Fall begehrte der Kläger von der Beklagten Schadensersatz und Schmerzensgeld, da sie nach Ansicht des Klägers nicht dazu berechtigt gewesen sei, das Urteil an den Arbeitgeber weiterzugeben. Der Kläger hatte insbesondere keine Einwilligung hinsichtlich der Weitergabe erteilt.
Während das Landgericht Köln die Klage in der ersten Instanz noch abgewiesen hatte, entschied das OLG Köln im Berufungsverfahren zu Gunsten des Klägers. Als Begründung führte es aus, dass die Beklagte die Gesundheitsdaten des Klägers aus keinem rechtlichen Grund an Dritte weitergeben durfte. Vor allem sei die konzernrechtliche Bindung zwischen der Beklagten und dem Arbeitgeber des Klägers im Datenschutzrecht ohne Bedeutung. Da weder eine Einwilligung des Klägers vorgelegen habe, noch ein denkbarer Erlaubnistatbestand einschlägig sei, sei die Weitergabe des Urteils und der Gesundheitsdaten daher rechtswidrig erfolgt.
Damit verletzte die Beklagte das Recht auf informationelle Selbstbestimmung des Klägers und der Kläger könne aufgrund des dadurch erlittenen materiellen und immateriellen Schadens Schadensersatz- und Schmerzensgeldansprüche geltend machen. Da der Kläger zunächst auf die reine Feststellung des Verstoßes geklagt hatte, kann er nun noch die konkrete Höhe beziffern und die entsprechenden Beträge einfordern.
