BGH: Schadensersatz bei Kontrollverlust
Die Frage, wann ein immaterieller Schaden im Sinne der Datenschutzgrundverordnung (DSGVO) vorliegt, beschäftigt seit Jahren sowohl deutsche Gerichte als auch den Europäischen Gerichtshof (EuGH). Mit Urteil vom 11.02.2025 (VI ZR 365/22) hat der Bundesgerichtshof (BGH) nun entschieden, dass auch der bloße Kontrollverlust über personenbezogene Daten einen Schadensersatz nach Art. 82 Abs. 1 DSGVO begründen kann. Das soll auch gelten, wenn sonst keine weiteren gravierenden Persönlichkeitsrechtsverletzung vorliegen. Konkret ging es um einen Fall, in dem der Bund Landesbedienstete mit der Verwaltung von Personalakten beauftragt hat.
Personalakten in falschen Händen
Im konkreten Fall hatte eine Bundesbeamtin gegen ihre Dienstherrin, eine Bundesanstalt in Hannover, geklagt. Hintergrund war die jahrelange Verwaltung ihrer Personalakte durch Bedienstete des Landes Niedersachsen. Obwohl diese ebenso Beamte waren und der Verschwiegenheitspflicht unterlagen, erkannte die Klägerin hierin eine unzulässige Verarbeitung ihrer personenbezogenen Daten. Nach mehrfacher Beanstandung zog sie 2017 den Landes- und später den damaligen Bundesdatenschutzbeauftragten hinzu. Erst nachdem letzterer die Praxis 2019 für unzulässig erklärt hatte, beendete die Bundesanstalt die Zusammenarbeit mit den Landesbediensteten. Die Betroffene machte gerichtlich einen Schadensersatzanspruch geltend. Vor dem Landgericht und dem Oberlandesgericht blieb die Klägerin mit ihrem Begehren zunächst erfolglos.
Bisherige Rechtsprechung
Ob ein immaterieller Schadensersatz bei bloßem Kontrollverlust stets gegeben ist, lässt sich nicht pauschal bestimmen. Im November 2024 entschied der BGH beispielsweise im Facebook-Scraping-Fall, dass ein – wenn auch nur geringer – Schadensersatzanspruch auch schon bei Kontrollverlust bestehe. Jedenfalls ist dieser aber konkret darzulegen. Beispielsweise entschied der EuGH, dass bei einer nur kurzen Datenweitergabe, bei der die Daten erwiesenermaßen nicht zur Kenntnis genommen worden seien, ein Schadensersatz nicht bestand.
Schaden liegt im Kontrollverlust
Im vorliegenden Fall bestätigt der BGH in seinem Urteil den immateriellen Schadensersatz bei Kontrollverlust. Entscheidend für den BGH war der nach § 111a Bundesbeamtengesetz aF i. V. m. § 26 Bundesdatenschutzgesetz i. V. m Art. 88 DSGVO unbefugte Zugriff auf die Personalakte Dritte. Der BGH sieht hierin eine Verletzung des Transparenzprinzips gemäß Art. 5 Abs. 1 lit. a DSGVO sowie der Vorschriften zur Auftragsverarbeitung nach Art. 28 DSGVO. Es sei nicht erforderlich, dass der Betroffene eine konkrete Beeinträchtigung seines Ansehens oder eine identifizierbare Persönlichkeitsverletzung nachweise. Auch die Tatsache, dass die Landesbediensteten ebenfalls beamtenrechtlich zum Schwiegen verpflichtet sind, änderte für den BGH nichts. Dies könne allenfalls Einfluss auf die Höhe des Anspruchs haben.
DSGVO geht Amtshaftungsregeln vor
Darüber hinaus erteilte der BGH einem Versuch der beklagten Bundesanstalt eine Absage, den Anspruch nach dem Rechtsgedanken der Amtshaftung nach § 839 Abs. 3 Bürgerliches Gesetzbuch auszuschließen. Konkret ging es um Abs. 3, wonach ein Beamter zunächst den Schaden durch Gebrauch von Rechtsmitteln hätte verhindern müssen. Der BGH betonte jedoch, dass die DSGVO eine abschließende Regelung enthalte und nationale Hürden wie diese keine Anwendung fänden. Insofern bestünden Anspruchskonkurrenz, die eine parallele Geltendmachung ermögliche. Im Übrigen liege durch die frühzeitige Beanstandung und das Einschalten der Datenschutzaufsichtsbehörden ein unzureichendes Bemühen zur Schadensabwendung fern.
Fazit
Der BGH hat mit seiner Entscheidung einen weiteren Baustein im Haftungsgefüge der DSGVO gesetzt. Der Begriff des immateriellen Schadens fasst er hier weit. Für datenverarbeitende Stellen – egal ob öffentlich oder privat – bedeutet dies eine Verschärfung der Anforderungen. Der Schutz personenbezogener Daten muss organisatorisch wie rechtlich lückenlos gewährleistet sein. Wer hier nachlässig agiert, riskiert aufsichtsbehördliche Maßnahmen und Schadensersatzklagen.
