Festschrift für Jürgen Taeger

Im Kontext der Löschung eines Posts und der Sperrung eines Nutzerkontos verneinte das OLG Dresden einen immateriellen (und ebenso einen materiellen) Schaden: Die bloße Sperrung der Daten stelle ebenso wenig wie der bloße Datenverlust einen Schaden i.S.d. DS-GVO dar. Die vom Kläger behauptete Hemmung in seiner Persönlichkeitsentfaltung durch die dreitägige Sperrung seines Accounts habe allenfalls Bagatellcharakter.9 Art. 82 Abs. 1 DS-GVO gewähre nicht bereits bei jeder individuell empfundenen Unannehmlichkeit oder bei Bagatellverstößen ohne ernsthafte Beeinträchtigung für das Selbstbild oder Ansehen einer Person Schadensersatz; anderes lasse sich auch nicht dem Hinweis auf einen „vollständigen und wirksamen Schadensersatz“ in Erwägungsgrund 146 der DS-GVO entnehmen.10 Demgegenüber berge die Anerkennung eines „nahezu voraussetzungslosen Schmerzensgeldanspruchs“ ein erhebliches Missbrauchsrisiko.11 Schließlich weist das Gericht noch darauf hin, dass zwar das Geschäftsmodell des Verletzers auf die Kommerzialisierung von Daten angelegt sei, jedoch der von der Sperrung seines Accounts Betroffene während dieser Zeit gerade keine Daten „produziere“, die vom Verletzer kommerziell verwertbar wären.12

In der vom OLG Innsbruck13 entschiedenen Sache ermittelte ein Unternehmen, ein auch im Adresshandel tätiger Logistik- und Postdienstleister, auf Grundlage von zunächst anonymisiert erhobenen soziodemografischen und sonstigen Daten sowie des Interesses an Wahlwerbung, mit welcher Wahrscheinlichkeit Personen mit solchen Eigenschaften Werbeinteressen an bestimmten politischen Parteien haben könnten (sog. „Parteiaffinitäten“), erstellte daraus Marketinggruppen und ordnete schließlich Einzelpersonen den Marketinggruppen und damit den Parteiaffinitäten zu. Entsprechend wurden weitere „Affinitäten“ („Bioaffinitäten“, „Investmentaffinitäten“, „Spendenaffinitäten“, „Distanzhandelaffinitäten“ etc.) bestimmt und zugeordnet. Eine Weitergabe dieser Daten an Dritte war dagegen nicht festgestellt worden.

Das LG Feldkirch sah in der Zuweisung von Parteiaffinitäten an Einzelpersonen eine Verarbeitung besonderer personenbezogener Daten i.S.d. Art. 9 Abs. 1 DS-GVO, wofür keine Einwilligung vorgelegen habe.14 Zur Bestimmung des Schadens führte das Gericht aus, dass der Schadensbegriff der DS-GVO weit und autonom auszulegen sei und die DS-GVO keine Erheblichkeitsschwelle enthalte, jedoch nicht alle mit einer Rechtsverletzung verbundenen „Unlustgefühle“ ersatzfähig seien; vielmehr müsse der Interessenbeeinträchtigung ein Gewicht zukommen, weil dem österreichischen Schadenersatzrecht eine solche Erheblichkeitsschwelle immanent sei. Die konkrete Bemessung des Schadens erfolge nach freier richterlicher Überzeugung (§ 273 öZPO) nach den Umständen des Einzelfalles. Relevante Umstände seien dabei insbesondere die Auswirkungen bei der geschädigten Person, die Kategorie der betroffenen Daten, Schwere und Dauer des Verstoßes sowie, ob Daten Dritten übermittelt wurden. Auf dieser Grundlage hielt das Gericht einen Schaden durch die rechtswidrige Ermittlung und Speicherung für nachgewiesen. Es handele sich um eine „erhebliche Verletzung“ der DS-GVO, die den Kläger in seinem Grundrecht auf Datenschutz und seinen damit einhergehenden Freiheiten „in störender Weise“ beeinträchtigt hat. Zur „Abgeltung des vom Kläger erlittenen immateriellen Ungemachs“ sei jedoch ein Betrag i.H.v. 800 EUR statt der geltend gemachten 2.500 EUR angemessen, denn es handele sich zwar um besonders schützenswerte und sensible Daten, jedoch seien diese nicht an Dritte weitergegeben worden.15 Was die verspätete Auskunftserteilung anlangt, vermochte das Gericht hingegen keinen dadurch entstandenen ersatzfähigen immateriellen Schaden zu erkennen. Die nachträgliche Auskunftserteilung habe die Rechtsverletzung beseitigt bzw. zumindest eine „quantifizierbare Schädigung“ des Betroffenen verhindert.16

Das OLG Innsbruck wies die Schadensersatzklage dagegen mangels Schadens ab. Nach Unionsrecht sei ein Schaden nur ersatzfähig, wenn dieser „tatsächlich“ und „sicher“ eingetreten sei; rein hypothetische und unbestimmte Schäden seien ausgeschlossen. Der Zuspruch immateriellen Schadensersatzes setze deshalb eine „tatsächliche Beeinträchtigung in der Gefühlswelt des Geschädigten“ voraus. Obschon jeder Datenschutzverstoß mit zumindest kurzzeitigen negativen Gedanken der betroffenen Person verbunden sei, stelle die Verletzung des Datenschutzgesetzes für sich allein – wie schon nach früherem Recht – noch keinen ersatzfähigen Schaden dar; ein solcher müsse vielmehr die Konsequenz oder Folge der Rechtsverletzung sein.17 Ein „besonders schwerer“ Eingriff sei dabei zwar nicht mehr zu fordern, jedoch bedürfe es eines Mindestmaßes an persönlicher Beeinträchtigung.18 Dazu sei einzelfallbezogen und objektiviert zu beurteilen, ob eine „durchschnittlich im Datenschutz sensibilisierte Maßfigur solch negativen Gefühle entwickeln würde, die über jene hinausgehen, welche man automatisch entwickelt, wenn ein Gesetz zu seinen Ungunsten verletzt wird“.19 Nach diesen Grundsätzen habe der Kläger einen ihm entstandenen Schaden weder behauptet noch nachgewiesen.20

Die bislang ergangene Rechtsprechung ist deutlich kritisiert worden.21 Die „abschreckende“ Wirkung zivilrechtlicher Sanktionen sei nur zu erreichen, wenn entsprechend hohe Beträge ausgeurteilt werden;22 dies werde mit den bisher ausgeurteilten Beträgen nicht ansatzweise erreicht.23 Die ersten Entscheidungen seien als „Rückschlag für eine effektive Durchsetzung von Datenschutz“ zu werten.24

Überhaupt wird unter Geltung der DS-GVO ganz überwiegend für eine Absenkung der Voraussetzungen für die Gewährung immateriellen Schadensersatzes und für eine Verschärfung der Haftung mit deutlich höheren Beträgen gegenüber dem Bisherigen plädiert.25 Dies folge aus dem weiten Schadensbegriff der DS-GVO sowie daraus, dass der EuGH bei der Wahl zivilrechtlicher Sanktionen zur Umsetzung von Unionsrecht generell eine „abschreckende Wirkung“ verlange.26 Insbesondere dürfe der zugesprochene Schadensersatz nicht nur „symbolisch“ sein.27 Auch dürfe die Gewährung immateriellen Schadensersatzes nicht mehr von einer schwerwiegenden Persönlichkeitsrechtsverletzung abhängig gemacht werden.28 Wenn diese Neujustierung dazu führe, dass bei Datenschutzverstößen ein Anspruch auf Ersatz immaterieller Schäden einfacher geltend gemacht werden kann als bei (sonstigen) Verletzungen des allgemeinen Persönlichkeitsrechts29 oder bei Körperverletzungen,30 so sei dies hinzunehmen.31 Art. 82 Abs. 1 DS-GVO verfolge „general-repressive und präventive“ Zwecke.32 Der hohe Bußgeldrahmen von bis zu 10 bzw. 20 Mio. EUR oder 2 bzw. 4 % des Jahresumsatzes (Art. 83 Abs. 4, 5 DS-GVO) zeige, dass ein höheres Schmerzensgeld als in den bisher entschiedenen Fällen angemessen sei.33

In Art. 82 DS-GVO selbst findet sich nichts Näheres zum Schadensbegriff oder zu Inhalt und Umfang des Schadensersatzanspruches. Ob zur Ausfüllung auf die mitgliedstaatlichen Regelungen zum Schadensersatzrecht zurückzugreifen ist34 oder aber ein autonom-unionsrechtlicher Schadensbegriff gilt,35 ist streitig.36 Ein direkter Verweis auf das nationale Recht findet sich in der DS-GVO, anders als beispielsweise in Art. 7 Abs. 1 und 2 Fahrgastrechte (Bus)-VO (EU) 181/2011, nicht. Vielmehr heißt es in Erwägungsgrund 146 Satz 3 DS-GVO, der Begriff des Schadens „sollte im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden, die den Zielen dieser Verordnung in vollem Umfang entspricht“. Dies deutet auf einen autonom-unionsrechtlichen Schadensbegriff hin.37 Doch selbst wenn man insoweit anders entschiede, müssten Auslegung und Anwendung der nationalen Vorschriften den Zielen der DS-GVO und dem sonstigen Unionsrecht, namentlich dem Effektivitätsgrundsatz und dem Äquivalenzgrundsatz, gerecht werden.38