EuGH zur irrtümlichen Weitergabe personenbezogener Daten

Der EuGH hat mit Urteil vom 25.01.2024 (C-687/21) entschieden, dass die irrtümliche Weitergabe personenbezogener Daten nicht per se einen Anspruch auf Ersatz eines immateriellen Schadens begründet.

Sachverhalt

Das Amtsgericht Hagen hatte dem EuGH im Rahmen eines Vorabentscheidungsersuchens mehrere Fragen zur Auslegung der DS-GVO vorgelegt.

In dem zugrunde liegenden Rechtsstreit nahm der Kläger die MediaMarktSaturn Hagen-Iserlohn GmbH auf Ersatz des immateriellen Schadens in Anspruch, der dem Kläger dadurch entstanden sein sollte, dass Mitarbeiter von Saturn einige seiner personenbezogenen Daten aufgrund eines Fehlers irrtümlich an einen Dritten weitergegeben hatten.

Beim Erwerb eines Elektrohaushaltsgeräts hatte der Verkaufsmitarbeiter der Beklagten personenbezogene Daten des Klägers (u. a. Name, Anschrift, Arbeitgeber, Einkünfte und Bankdaten) zur Erstellung eines Kauf- und Kreditvertrags in das EDV-System der Beklagten eingegeben. Die ausgedruckten und von beiden Parteien unterzeichneten Vertragsunterlagen übergab der Kläger sodann bei der Warenausgabe einem anderen Mitarbeiter der Beklagten. Dieser gab die Ware und die Vertragsunterlagen sodann irrtümlich einem anderen Kunden heraus, der sich vorgedrängelt hatte. Nachdem der Irrtum bemerkt worden war, erwirkte ein Mitarbeiter der Beklagten die Rückgabe der Ware und der Unterlagen. Die Unterlagen wurden dem Kläger sodann etwa eine halbe Stunde nach dem Vorfall wieder ausgehändigt. Zudem bot die Beklagte dem Kläger an, die Ware wegen der Unannehmlichkeiten unentgeltlich zu diesem nach Hause zu liefern. Der Kläger lehnte das Angebot ab und nahm die Beklagte aus Art. 82 DS-GVO auf Ersatz des immateriellen Schadens in Anspruch.

In dem Rechtsstreit waren verschiedene Fragen zur Auslegung des Art. 82 DS-GVO zu klären.

Entscheidung des EuGH

Der EuGH hat dem Amtsgericht Hagen wie folgt geantwortet:

1. Die Art. 5, 24, 32 und 82 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind zusammen betrachtet dahin auszulegen, dass im Rahmen einer auf Art. 82 gestützten Schadensersatzklage der Umstand, dass Mitarbeiter des für die Verarbeitung Verantwortlichen irrtümlich ein Dokument mit personenbezogenen Daten an einen unbefugten Dritten weitergegeben haben, für sich genommen nicht ausreicht, um davon auszugehen, dass die technischen und organisatorischen Maßnahmen, die der für die betreffende Verarbeitung Verantwortliche getroffen hat, nicht „geeignet“ im Sinne der Art. 24 und 32 waren.
2. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass der in dieser Bestimmung vorgesehene Schadensersatzanspruch, insbesondere im Fall eines immateriellen Schadens, eine Ausgleichsfunktion hat, da eine auf sie gestützte Entschädigung in Geld es ermöglichen soll, den konkret aufgrund des Verstoßes gegen die Verordnung 2016/679 erlittenen Schaden vollständig auszugleichen, und keine Straffunktion erfüllt.
3. Art. 82 der Verordnung 2016/679 ist dahin auszulegen, dass er nicht verlangt, dass die Schwere des von dem für die Verarbeitung Verantwortlichen begangenen Verstoßes für die Zwecke des Ersatzes eines Schadens auf der Grundlage dieser Bestimmung berücksichtigt wird.
4. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass die Person, die aufgrund dieser Bestimmung Schadensersatz verlangt, nicht nur den Verstoß gegen Bestimmungen der Verordnung 2016/679 nachweisen muss, sondern auch, dass ihr dadurch ein materieller oder immaterieller Schaden entstanden ist.
5. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass in einem Fall, in dem ein Dokument, das personenbezogene Daten enthält, an einen unbefugten Dritten weitergegeben wurde, der diese Daten erwiesenermaßen nicht zur Kenntnis genommen hat, nicht schon deshalb ein „immaterieller Schaden“ im Sinne dieser Bestimmung vorliegt, weil die betroffene Person befürchtet, dass im Anschluss an die Weitergabe, die es ermöglichte, vor der Rückgabe des Dokuments eine Kopie von ihm anzufertigen, in der Zukunft eine Weiterverbreitung oder gar ein Missbrauch ihrer Daten stattfindet.

Praxishinweis

Die Entscheidung ist zu begrüßen. Der EuGH stellt zutreffend klar, dass der Schadenersatzanspruch Ausgleichscharakter hat, aber keine Straffunktion erfüllt. Ebenfalls zu begrüßen sind die Klarstellungen zur Darlegungs- und Beweislast im Zusammenhang mit der Geltendmachung immaterieller Schäden. Ein bloß hypothetisches Risiko der missbräuchlichen Verwendung der Daten reicht nicht aus, um den Anspruch auf immateriellen Schadenersatz zu begründen.

Quelle: EuGH, Urt. v. 25.01.2024 – Rs. C-687/21, ECLI:EU:C:2024:72 – BL / MediaMarktSaturn Hagen-Iserlohn GmbH