Festschrift für Jürgen Taeger

Zwar nicht in ihrem Regelungsteil, jedoch in den Erwägungsgründen gibt die DS-GVO einige Anhaltspunkte für den Schadensbegriff und die Ausgestaltung des Schadensersatzes. Neben dem bereits erwähnten Satz 3 des Erwägungsgrunds 146 ist hier zunächst dessen Satz 6 von Bedeutung, wonach die betroffenen Personen „einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten“ sollen. Ein näherer Blick zeigt jedoch, dass damit nur Altbekanntes adressiert wird.

Dass dem von einem Datenschutzverstoß Betroffenen der erlittene (materielle und immaterielle) Schaden „vollständig“ zu ersetzen ist, ist letztlich eine Selbstverständlichkeit. So folgt das Unionsprivatrecht ohnehin grundsätzlich dem Prinzip, Schäden in vollem Umfang auszugleichen, insofern also – wie das nationale Recht39 – dem Grundsatz der Totalreparation.40 Der tatsächlich erlittene Schaden, einerlei, ob materieller oder immaterieller Art, bildet damit auch beim Schadensersatzanspruch der DS-GVO die Untergrenze des zuzusprechenden Schadensersatzes.

Damit ist freilich noch nichts darüber gesagt, ob der Schadensersatz über den Ausgleich des tatsächlich erlittenen Schadens hinausgehen – mithin überkompensatorisch sein – darf oder gar muss. Im deutschen Schadensersatzrecht wird dies gemeinhin unter Verweis auf das Bereicherungsverbot verneint: Der Geschädigte soll nicht bessergestellt werden als er ohne das schädigende Ereignis stünde.41 Damit ist Mehrfach- oder gar Strafschadensersatz grundsätzlich nicht vereinbar.42 Ob auch das Unionsprivatrecht ein (zumindest grundsätzliches) Bereicherungsverbot aufstellt, kann hier offenbleiben; es spricht freilich einiges dafür.43 Als gesichert dürfte jedenfalls gelten, dass das Unionsrecht die Mitgliedstaaten grundsätzlich nicht zu überkompensatorischem Schadensersatz verpflichtet.44 So hat der EuGH beispielsweise zum Antidiskriminierungsrecht ausgeführt, dass Mitgliedstaaten, die eine finanzielle Entschädigung einer Diskriminierung vorsehen, diese so auszugestalten haben, dass der entstandene Schaden vollständig ersetzt wird, jedoch nicht über den Ausgleich des tatsächlich entstandenen Schadens hinausgeht, mithin keinen Strafschadensersatz vorsehen müssen.45 Entsprechendes findet sich auch in anderen Rechtsbereichen.46

Bisweilen wird überkompensatorischer Schadensersatz sogar ausdrücklich verboten, so etwa in Art. 3 Abs. 3 Kartellschadensersatz-RL 2014/104/EU. Doch selbst wenn – wie in aller Regel – ein solches ausdrückliches Verbot nicht besteht, scheint der EuGH überkompensatorischem Schadensersatz, jedenfalls in Form eines Strafschadensersatzes, kritisch gegenüberzustehen. So hat er in seiner Entscheidung „OTK/SFP“ zur Enforcement-RL 2004/48/EG, nach der die für den Fall der Verletzung von Rechten des geistigen Eigentums zu treffenden Maßnahmen, Verfahren und Rechtsbehelfe „wirksam, verhältnismäßig und abschreckend“ (Art. 3 Abs. 2) sein müssen, zwar ausdrücklich offengelassen, ob die Gewährung von Strafschadensersatz zulässig47 wäre.48 Für die in Rede stehende nationale Vorschrift, die bei Verletzungen von Rechten des geistigen Eigentums eine doppelte fiktive Lizenzgebühr gewährt, hat er aber entscheidend darauf abgestellt, dass eine solche Berechnungsweise typischerweise notwendig ist, um den von der RL geforderten „vollständigen“ Ausgleich des gesamten tatsächlichen Schadens zu gewährleisten, weil mit der einfachen Lizenz beispielsweise weder die Rechtsverfolgungskosten noch der Ersatz immaterieller Schäden noch die Zinsen gedeckt seien, sodass es sich schon nicht um eine Verpflichtung zu Strafschadensersatz handele.49 Zugleich weist der EuGH ausdrücklich darauf hin, dass es einen nach Art. 3 Abs. 2 Enforcement-RL 2004/48/EG verbotenen Rechtsmissbrauch darstellen könnte, wenn ein auf Grundlage der doppelten Lizenzgebühr berechneter Schadensersatzanspruch im konkreten Fall den tatsächlich erlittenen Schaden „eindeutig und beträchtlich“ überschreitet.50

Fraglich ist nun, ob aus dem Gebot „wirksamen“ Schadensersatzes in Erwägungsgrund 146 Satz 3 DS-GVO anderes folgt. Verbreitet wird daraus – oft unter Verweis auf die Rechtsprechung des EuGH zum Antidiskriminierungsrecht51 – eine besondere Bedeutung der Präventionsfunktion abgeleitet: Der Schadensersatzanspruch müsse „abschreckend“ sein, um seine präventive Wirkung zu entfalten.52 Dieser Verweis auf die Rechtsprechung zum Antidiskriminierungsrecht ist allerdings insoweit verkürzt, als sich die Forderung des EuGH zu Maßnahmen mit „wirklich abschreckender Wirkung“ nicht spezifisch auf schadensersatzrechtliche Maßnahmen bezieht, sondern generell die zur Durchsetzung der Regelungsziele getroffenen Maßnahmen adressiert. Vor allem aber hat der EuGH in der Sache „Camacho“ die Frage des vorlegenden Gerichts, ob im Falle einer Diskriminierung aufgrund des Geschlechts überkompensatorischer Schadensersatz – der EuGH spricht von „Strafschadensersatz“ – zuzusprechen ist, ausdrücklich verneint: Das Gebot der zugrunde liegenden Gleichbehandlungs-RL 2006/54/EG (Art. 18 Satz 1), dass der durch eine Diskriminierung aufgrund des Geschlechts entstandene Schaden „ tatsächlich und wirksam ausgeglichen oder ersetzt wird, wobei dies auf eine abschreckende und dem erlittenen Schaden angemessene Art und Weise geschehen muss“ (Hervorhebung nur hier), verpflichte die Mitgliedstaaten, die eine finanzielle Wiedergutmachung wählen, zur Zahlung von Schadensersatz, der den entstandenen Schaden „vollständig“ abdeckt, sehe aber keinen Strafschadensersatz vor.53

Für den Schadensersatzanspruch der DS-GVO wird man somit festhalten können, dass zwar die tatsächlich erlittenen Schäden – materielle wie immaterielle – vollständig auszugleichen sind (Totalreparation), der Schadensersatzanspruch aber nicht darüber hinausgehen – also nicht überkompensatorisch sein – muss, und dies wohl auch nicht darf.

Wenn für höhere Entschädigungsbeträge eine nur dann gegebene Präventions- und Abschreckungsfunktion des Schadensersatzanspruchs angeführt und darauf insistiert wird, dass anderenfalls die Betroffenen von der Durchsetzung ihrer Ansprüche absähen,54 so überzeugt das nicht. Überkompensatorischen Schadensersatz zuzusprechen, um gegen das „rationale Desinteresse“55 der Geschädigten anzukämpfen, widerspricht den etablierten schadensersatzrechtlichen Grundsätzen. Die Gefahr, dass Klein- oder Kleinstansprüche individuell nicht durchgesetzt werden, gibt es auch anderenorts, ohne dass daraus die Forderung abgeleitet wird, deshalb die Ansprüche der Höhe nach auszudehnen. Man mag insoweit zur effektiveren Durchsetzung über prozessuale Institute wie eine gebündelte Rechtsverfolgung oder Musterverfahren (siehe §§ 606ff. ZPO) nachdenken;56 die Schadensbemessung ist dafür jedenfalls nicht der richtige Ort.

Vor allem aber wird dabei nicht hinreichend berücksichtigt, dass die DS-GVO in ihren Art. 77 bis 84 ein ganzes Arsenal von Reaktionsmöglichkeiten auf Datenschutzverstöße bereithält. Der individuelle Schadensersatzanspruch ist insoweit nur ein Mittel unter mehreren und außerdem primär darauf gerichtet, den Betroffenen die tatsächlich erlittenen Schäden auszugleichen. Soweit die Anordnung eines umfassenden Schadensersatzanspruchs zugleich präventiv in Bezug auf zukünftige Verstöße wirkt, ist dies ein willkommener Nebeneffekt; dass dies das primäre Ziel des Anspruchs ist oder sein sollte, lässt sich der DS-GVO nicht entnehmen. Es besteht deshalb weder Anlass noch Bedürfnis, den jedem Schadensausgleich ohnehin immanenten „präventiven Nebeneffekt“ des primär auf Schadenswiedergutmachung gerichteten Schadensersatzanspruchs auszudehnen und den Schadensersatzanspruch durch die Gewährung überkompensatorischen Schadensersatzes zum Mittel der privaten Durchsetzung der DS-GVO aufzubauen. Die DS-GVO verfügt insoweit über wirksamere Instrumente zur Durchsetzung ihrer Vorgaben.57