EuGH-Urteil: Auch Bagatellschäden sind durch Verletzung der DSGVO erstattungsfähig

Der Europäische Gerichtshof hat in seinem Urteil vom 4. Mai 2023 (Az: C-300/21) klargestellt, dass der Schadensersatzanspruch nach Artikel 82 der Datenschutzgrundverordnung (DSGVO) keine Erheblichkeit des Schadens erfordert. Dies bedeutet, dass auch Bagatellschäden durch eine Verletzung der DSGVO erstattungsfähig sind. Die Entscheidung des EuGH hat jedoch die Kriterien für die Schadensbemessung in die Hände der nationalen Gerichte gelegt, um ausufernden Schadensersatzbegehren Einhalt zu gebieten.

In dem Fall vor dem EuGH ging es um die österreichische Post, die personenbezogene Daten mittels eines Algorithmus für zielgerichtete Werbung verarbeitet hat und dem Kläger aufgrund dessen eine Affinität zu einer politischen Partei zusprach. Der Kläger fühlte sich dadurch beleidigt und bloßgestellt und verlangte Schadensersatz. Der österreichische Oberste Gerichtshof (ÖOGH) sah das Ärgernis nicht als ausreichend an für einen Schadensersatz. Der ÖOGH legte jedoch dem EuGH die Fragen vor, ob neben einer Verletzung der DSGVO auch ein Schaden Voraussetzung für einen Schadensersatzanspruch ist, nach welchen Grundsätzen die Bemessung des Schadensersatzes erfolgt und ob ein immaterieller Schaden eine Erheblichkeitsschwelle überschreiten muss.

Der EuGH bestätigte, dass ein Verstoß gegen die DSGVO, ein konkreter kausal durch den Verstoß verursachter Schaden und der Kausalzusammenhang zwischen beiden Voraussetzungen für einen Schadensersatzanspruch nach Artikel 82 DSGVO sind. Dabei stellte der EuGH klar, dass ein Schaden keine Erheblichkeitsschwelle überschreiten muss.

Die DSGVO verlangt laut EuGH eine einheitliche Definition des Schadens, und dafür müsse die Zielsetzung der DSGVO berücksichtigt werden, innerhalb der EU ein gleichmäßig hohes Schutzniveau für personenbezogene Daten zu gewährleisten. Der EuGH wies jedoch darauf hin, dass eine Person durch diese Auslegung nicht von der Pflicht entbunden wird, das Vorliegen der Voraussetzungen einschließlich des Schadens nachzuweisen.

Die Entscheidung des EuGH stärkt den Schutz der Bürgerinnen und Bürger bei Verletzungen der Datenschutzvorschriften. Doch die Ausgestaltung des Schadensersatzanspruchs nach Artikel 82 DSGVO bleibt weiterhin offen, denn der EuGH hat die Kriterien für die Schadensbemessung den nationalen Gerichten überlassen.

Diese sind nun gefordert, eine angemessene und ausgewogene Begrenzung des Schadensersatzes vorzunehmen, um unnötige Belastungen für Unternehmen zu vermeiden. Unternehmen sollten sich auch weiterhin auf mögliche Schadensersatzforderungen nach der DSGVO vorbereiten und diese sorgfältig prüfen, um ungerechtfertigte Ansprüche abzuwehren.