Schmerzensgeld bei Datenschutzverstößen: Ein Pyrrhussieg für Massenkläger?
Bei einem Verstoß gegen die Datenschutzgrundverordnung (DSGVO) entstehen selten nachweisbare materielle Schäden. Der sog. immaterielle Schaden, also Schmerzensgeld, ist im deutschen Recht regelmäßig an strenge Voraussetzungen geknüpft. Bei Datenschutzverstößen steht der Verlust der Kontrolle über die eigenen Daten sowie die Sorge, dass damit Missbrauch getrieben wird oder es zu Belästigungen über Spammails oder -anrufe kommt, im Vordergrund. Stellt dies aber einen ersatzfähigen immateriellen Schaden dar und wenn ja, in welcher Höhe?
Der EuGH hat mit seiner Entscheidung vom 25. Januar 2024 – C 687/21 den Weg auch in Deutschland geebnet, Schadensersatz bei Datenschutzverstößen auch für den immateriellen Schaden zu erwirken. In der Entscheidung heißt es:
„Die durch einen Verstoß gegen die DSGVO ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, (kann) für sich genommen einen „immateriellen Schaden“ im Sinne von Art. 82 Abs. 1 darstellen.“
Eine Reihe von Rechtsanwält:innen interpretierten die Entscheidung so, dass hohe Ersatzforderungen bei Verstößen gegen die DSGVO durchsetzbar seien. Nach Schifffonds, Telekom und Diesel schien dies das nächste lukrative Betätigungsfeld. Und der Facebook-Fall lieferte eine Steilvorlage:
Anfang April 2021 wurden Daten von ca. 533 Millionen Facebook-Nutzern aus 106 Ländern im Internet öffentlich verbreitet. Unbekannte Dritte hatten sich zuvor den Umstand zu Nutze gemacht, dass Facebook es in Abhängigkeit von den Suchbarkeits-Einstellungen des jeweiligen Nutzers ermöglicht, dass dessen Facebook-Profil mithilfe seiner Telefonnummer gefunden werden kann. Die unbekannten Dritten ordneten durch die in großem Umfang erfolgte Eingabe randomisierter Ziffernfolgen über die Kontakt-Import-Funktion Telefonnummern den zugehörigen Nutzerkonten zu und griffen die zu diesen Nutzerkonten vorhandenen öffentlichen Daten ab (sog. Scraping). Der Verstoß gegen die DSGVO ist relativ eindeutig. Meta hatte keine ausreichenden technischen und organisatorischen Maßnahmen ergriffen, um derartige Schutzlücken zu vermeiden.
Verbraucherschutzanwält:innen sammelten daraufhin klagewillige Betroffene. Unter anderem wurde mit Schadenersatzansprüchen von bis zu EUR 5.000 geworben. Die Instanzgerichte urteilten unterschiedlich. Die Mehrheit der Gerichte wies die Klagen mangels Schadens ab. Die Vorinstanz, das OLG Köln beispielsweise vertrat die Ansicht, dass die Veröffentlichung von Daten, die der Kläger durch seine Voreinstellung bei Facebook allen Nutzern zugänglich gemacht hat, keinen Kontrollverlust nach sich ziehe. Die Telefonnummer, die nicht auf der Facebookseite veröffentlicht war, werde üblicherweise einer großen Anzahl von Dritten zugänglich gemacht. Der Kontrollverlust müsse daher konkret nachgewiesen werden. Hierzu reichten keine Textbausteine in Masseverfahren. Der Kontrollverlust allein bedeute noch keinen immateriellen Schaden (OLG Köln Urteil vom 07.12.2023 – 15 U 67/23).
Der BGH hat nun diese Entscheidung aufgehoben:
„Der Anspruch des Klägers auf Ersatz immateriellen Schadens lässt sich mit der Begründung des Berufungsgerichts nicht verneinen. Nach der für die Auslegung des Art. 82 Abs. 1 DSGVO maßgeblichen Rechtsprechung des EuGH kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung ein immaterieller Schaden im Sinne der Norm sein. Weder muss insoweit eine konkrete missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.“ (BGH -Urteil vom 18. November 2024 – VI ZR 10/24 gem. Pressemitteilung Nr. 218/2024. Die Entscheidungsgründe sind noch nicht veröffentlicht).
Wie unter Jurist:innen üblich, wird nun diskutiert, ob der BGH das Urteil des EuGH korrekt umgesetzt hat. Dabei geht es um das kleine Wörtchen „kann“: der EuGH hat geurteilt, dass der reine Kontrollverlust einen immateriellen Schaden begründen kann. Der BGH hat daraus nun den Schluss gezogen, dass jeder Kontrollverlust einen immateriellen Schaden darstellt.
Nach der mündlichen Verhandlung vor dem BGH hatten die Prozessvertreter:innen der Klägerinnen noch gejubelt. Denn wenn jeder Kontrollverlust bereits einen Schaden begründet, können Ansprüche auch durch Massenklagen mit einheitlichen Schriftsätzen geltend gemacht werden.
Was der BGH in der mündlichen Verhandlung aber wohl nicht gesagt hatte, sich nun aber aus der Pressemitteilung ergibt, ist die Tatsache, dass der BGH in einem Hinweis zur Bemessung des immateriellen Schadens aus Art. 82 Abs. 1 DSGV den Ausgleich für den bloßen Kontrollverlust in einer Größenordnung von EUR 100 für angemessen ansieht.
Damit dürfte sich das Geschäftsmodell mancher Anwält:innen in Luft auflösen. Denn dieses basiert darauf, mit immer gleichlautenden Textbausteinen immateriellen Schadensersatz wegen des bloßen Kontrollverlusts und der damit verbundenen Sorgen und Ängste einzuklagen. Bei rd. EUR 100 pro Fall lohnt sich das kaum. Möglicherweise werden sich LegalTech-Anbieter positionieren, für die sich der Aufwand pro Klage in Grenzen hält.
Interessanter dürfte es für individuell Betroffene sein. Denn wenn aufgrund eines Datenleckes tatsächlich beispielsweise die Handynummer vielfach verwendet wurde und dies Ärger und Sorgen bereitet, oder der Betroffene nachweist, dass er seine private Handynummer nur selten weitergibt, könnte ein weit höherer Schadensersatz im Raum stehen.
Der BGH-Fall ist aber auch prozessual interessant. Denn das oberste Zivilgericht hat das erste Mal den § 552b ZPO zur Anwendung gebracht und das Verfahren zur Leitentscheidung ernannt. Dieses Verfahren eröffnet dem BGH die Möglichkeit, den Untergerichten eine Orientierung zu geben, wenn zahlreiche Parallelverfahren anhängig sind. Damit soll auch eine Praxis unterbunden werden, kurz vor der Entscheidung des Gerichts einen Vergleich herbeizuführen, um eine solche als Orientierung dienende Entscheidung des BGH zu verhindern. Der BGH kann auch ohne Parteien entscheiden.
