DSGVO-Verstoß allein begründet keinen Schadensersatzanspruch
Am 04.05.2023 hat der Europäische Gerichtshof (EuGH) eine mit Spannung erwartete Entscheidung (C-300/21) zu den Voraussetzungen für Schadensersatzansprüche bei Verstößen gegen die Datenschutzgrundverordnung (DSGVO) erlassen.
Nach Auffassung des EuGHs setzt ein Anspruch auf Schadensersatz voraus, dass der Betroffene aufgrund des Verstoßes gegen die DSGVO einen materiellen oder immateriellen, d.h. nicht in Geld messbaren, Schaden erlitten hat. Allein der Verstoß gegen die DSGVO genügt nicht. Allerdings ist nicht erforderlich, dass ein nachgewiesener immaterieller Schaden eine bestimmte Erheblichkeitsschwelle überschreitet. Damit schiebt der EuGH zwar mit erfreulicher Rechtsklarheit der in der Arbeitsgerichtsbarkeit zu beobachtenden Tendenz, allein einen DSGVO-Verstoß für die Begründung eines Schadensersatzes ausreichen zu lassen, einen Riegel vor. Es bleibt jedoch unklar, welche Anforderungen konkret an einen immateriellen Schaden zu stellen sind.
Hintergrund der Entscheidung
Anlass der Entscheidung war ein Fall aus Österreich (OGH Österreich, 12.05.2021, C-300/21): Die Österreichische Post sammelte seit 2017 Daten u.a. über die politische Einstellung der österreichischen Bevölkerung. Auf dieser Basis prognostizierte ein Algorithmus eine bestimmte Affinität des Klägers zu einer Partei. Diese Daten wurden von der Österreichischen Post AG ohne Einwilligung des Klägers gespeichert, jedoch nicht an Dritte weitergegeben. Der Kläger machte, neben einem Datenschutzverstoß, einen Schadensersatzanspruch nach Art. 82 DSGVO geltend. Dabei führte er an, durch die ihm zugeschriebene Parteiaffinität beleidigt, verärgert, in seinem Vertrauen verletzt und sich bloßgestellt gefühlt zu haben.
Das österreichische Gericht legte dem EuGH insbesondere folgende Vorlagefragen vor: (i) Genügt bereits ein Verstoß gegen die DSGVO, um einem Betroffenen einen immateriellen Schadensersatz zuzusprechen oder muss der Betroffene darüber hinaus einen Schaden nachweisen? (ii) Liegt ein immaterieller Schaden nur vor, wenn die Beeinträchtigung ein gewisses Gewicht hat oder genügt z.B. schon der Ärger über die Rechtsverletzung?
Kein Anspruch ohne Schaden
Der EuGH stellte zunächst klar, dass ein Anspruch auf Schadensersatz gemäß Art. 82 DSGVO nur dann besteht, wenn der Betroffene einen materiellen oder immateriellen Schaden erlitten hat. Im Einzelnen muss der Betroffene darlegen und beweisen, dass ein Verstoß gegen die Vorschriften der DSGVO vorliegt, ein materieller oder immaterieller Schaden erlitten wurde und dieser Schaden kausal auf dem DSGVO-Verstoß beruht. Das Ergebnis begründet der EuGH nachvollziehbar u.a. unter Berücksichtigung des Wortlauts sowie der Systematik des Art. 82 DSGVO sowie einzelner Erwägungsgründe der DSGVO (EwG 75, 85, 146). Wesentlich sei, dass der Schadensersatzanspruch, anders als die Bußgeldvorschriften der DSGVO (Art. 83, 84 DSGVO) keinen Strafzweck verfolgt, sondern den Ausgleich eines erlittenen Schadens.
Keine Erheblichkeitsschwelle bei immateriellen Schäden
Ferner geht der EuGH davon aus, dass ein immaterieller Schaden keine Erheblichkeitsschwelle überschreiten muss. Betroffene müssen daher zwar nachweisen, dass sie einen immateriellen Schaden erlitten haben. Der Schaden muss jedoch kein besonderes Gewicht aufweisen. Dagegen hatte der Generalanwalt des EuGH in seinen Schlussanträgen noch ein deutlich ausgewogeneres Verständnis vertreten und eine Bagatellgrenze angenommen. Zur Begründung stellte der EuGH nun insbesondere darauf ab, dass es zur Wahrung eines einheitlichen und hohen Datenschutzniveaus erforderlich sei, dass alle Gerichte von demselben weiten Schadensbegriff ausgehen. Eine Erheblichkeitsschwelle, die zwingend graduelle Abstufungen im Einzelfall erfordern würde, könnte dagegen die einheitliche Anwendung der DSGVO innerhalb der Europäischen Union beeinträchtigen. Die Frage, welche Beeinträchtigungen einen immateriellen Schaden darstellen, hat der EuGH allerdings offen gelassen.
Auswirkungen der Entscheidung auf die unternehmerische Praxis
Für Arbeitgeber ist die Entscheidung und die damit zum Teil gewonnene Rechtsklarheit grundsätzlich zu begrüßen. Jeder datenschutzrechtliche Schadensersatzanspruch nach Art. 82 DSGVO setzt danach, neben einem DSGVO-Verstoß, auch einen kausal erlittenen Schaden voraus. Allein ein DSGVO-Verstoß genügt nicht. Das Bundesarbeitsgericht hatte zuletzt in einer Vorlage zum EuGH (26.08.2021, 8 AZR 253/20 (A)) noch die gegenteilige Auffassung vertreten und damit für nicht unerhebliche Verunsicherung gesorgt.
Für die Praxis bleibt allerdings weiterhin unklar, wann ein immaterieller Schaden vorliegt. Künftig wird sich daher die Frage stellen, ob das Ärgernis über den Rechtsverstoß, ein etwaiger Vertrauensverlust, die Angst vor einer irgendwie gearteten Bloßstellung oder wie, auch in arbeitsgerichtlichen Prozessen häufig angeführt, der bloße Kontrollverlust über die eigenen Daten, immaterielle Schäden sind. Es ist damit zu rechnen, dass dies Gegenstand weiterer Vorlageverfahren zum EuGH sein wird. Für Arbeitgeber ist diese Frage auch deswegen von besonderer Relevanz, da die ganz überwiegende Anzahl durch Beschäftigte gerichtlich geltend gemachter Schadensersatzansprüche die Verletzung von Art. 15 DSGVO und dabei entweder verspätete oder unvollständige bzw. unrichtige Auskünfte betreffen. Gerade in diesen Fällen ist ein immaterieller Schaden, der z.B. über ein bloßes Ärgernis hinausgeht, jedoch keineswegs offensichtlich.
Arbeitgebern ist daher weiterhin zu empfehlen, auch im Hinblick auf personenbezogene Beschäftigtendaten den Vorgaben der DSGVO und des Bundesdatenschutzgesetzes Vorschub zu leisten, technische und organisatorische Maßnahmen zum Schutz der Beschäftigtendaten zu ergreifen und einen effektiven Prozess zur Erfüllung der datenschutzrechtlichen Rechte der Beschäftigten einzuführen und umzusetzen. Nur so lässt sich einerseits das Risiko von Datenschutzvorfällen verringern und andererseits vermeiden, dass datenschutzrechtliche Schadensersatzansprüche im Rahmen der Trennung von Arbeitnehmern oder bei sonstigen arbeitsrechtlichen Konflikten zu Lasten der Arbeitgeber erfolgreich als Druckmittel eingesetzt werden.
