EuGH-Urteil: Auch Baga­tell­schä­den sind durch Ver­let­zung der DSGVO erstat­tungs­fä­hig

Der Euro­päi­sche Gerichts­hof hat in sei­nem Urteil vom 4. Mai 2023 (Az: C‑300/21) klar­ge­stellt, dass der Scha­dens­er­satz­an­spruch nach Arti­kel 82 der Daten­schutz­grund­ver­ord­nung (DSGVO) kei­ne Erheb­lich­keit des Scha­dens erfor­dert. Dies bedeu­tet, dass auch Baga­tell­schä­den durch eine Ver­let­zung der DSGVO erstat­tungs­fä­hig sind. Die Ent­schei­dung des EuGH hat jedoch die Kri­te­ri­en für die Scha­dens­be­mes­sung in die Hän­de der natio­na­len Gerich­te gelegt, um aus­ufern­den Scha­dens­er­satz­be­geh­ren Ein­halt zu gebie­ten.

In dem Fall vor dem EuGH ging es um die öster­rei­chi­sche Post, die per­so­nen­be­zo­ge­ne Daten mit­tels eines Algo­rith­mus für ziel­ge­rich­te­te Wer­bung ver­ar­bei­tet hat und dem Klä­ger auf­grund des­sen eine Affi­ni­tät zu einer poli­ti­schen Par­tei zusprach. Der Klä­ger fühl­te sich dadurch belei­digt und bloß­ge­stellt und ver­lang­te Scha­dens­er­satz. Der öster­rei­chi­sche Obers­te Gerichts­hof (ÖOGH) sah das Ärger­nis nicht als aus­rei­chend an für einen Scha­dens­er­satz. Der ÖOGH leg­te jedoch dem EuGH die Fra­gen vor, ob neben einer Ver­let­zung der DSGVO auch ein Scha­den Vor­aus­set­zung für einen Scha­dens­er­satz­an­spruch ist, nach wel­chen Grund­sät­zen die Bemes­sung des Scha­dens­er­sat­zes erfolgt und ob ein imma­te­ri­el­ler Scha­den eine Erheb­lich­keits­schwel­le über­schrei­ten muss.

Der EuGH bestä­tig­te, dass ein Ver­stoß gegen die DSGVO, ein kon­kre­ter kau­sal durch den Ver­stoß ver­ur­sach­ter Scha­den und der Kau­sal­zu­sam­men­hang zwi­schen bei­den Vor­aus­set­zun­gen für einen Scha­dens­er­satz­an­spruch nach Arti­kel 82 DSGVO sind. Dabei stell­te der EuGH klar, dass ein Scha­den kei­ne Erheb­lich­keits­schwel­le über­schrei­ten muss.

Die DSGVO ver­langt laut EuGH eine ein­heit­li­che Defi­ni­ti­on des Scha­dens, und dafür müs­se die Ziel­set­zung der DSGVO berück­sich­tigt wer­den, inner­halb der EU ein gleich­mä­ßig hohes Schutz­ni­veau für per­so­nen­be­zo­ge­ne Daten zu gewähr­leis­ten. Der EuGH wies jedoch dar­auf hin, dass eine Per­son durch die­se Aus­le­gung nicht von der Pflicht ent­bun­den wird, das Vor­lie­gen der Vor­aus­set­zun­gen ein­schließ­lich des Scha­dens nach­zu­wei­sen.

Die Ent­schei­dung des EuGH stärkt den Schutz der Bür­ge­rin­nen und Bür­ger bei Ver­let­zun­gen der Daten­schutz­vor­schrif­ten. Doch die Aus­ge­stal­tung des Scha­dens­er­satz­an­spruchs nach Arti­kel 82 DSGVO bleibt wei­ter­hin offen, denn der EuGH hat die Kri­te­ri­en für die Scha­dens­be­mes­sung den natio­na­len Gerich­ten über­las­sen.

Die­se sind nun gefor­dert, eine ange­mes­se­ne und aus­ge­wo­ge­ne Begren­zung des Scha­dens­er­sat­zes vor­zu­neh­men, um unnö­ti­ge Belas­tun­gen für Unter­neh­men zu ver­mei­den. Unter­neh­men soll­ten sich auch wei­ter­hin auf mög­li­che Scha­dens­er­satz­for­de­run­gen nach der DSGVO vor­be­rei­ten und die­se sorg­fäl­tig prü­fen, um unge­recht­fer­tig­te Ansprü­che abzu­weh­ren.