Bundessozialgericht versus BGH: Kontrollverlust genügt doch nicht zur Begründung eines datenschutzrechtlichen Schadensersatzanspruchs?

Das Bundessozialgericht hat in Sachen B 7 AS 15/23 R entschieden, dass die Behauptung eines Kontrollverlusts im Zusammenhang mit einer nicht ordnungsgemäß erteilten Auskunft nicht ausreicht, um einen immateriellen Schaden darzulegen. Damit scheint die Entscheidung auf den ersten Blick in einem Spannungsverhältnis zur im Nachgang erfolgten BGH-Entscheidung in Sachen Facebook und Scraping-Vorfall zu stehen.

Sachverhalt

Der Kläger macht einen Anspruch auf Schadenersatz nach Art. 82 DS-GVO in Höhe von EUR 5.000,00 Euro geltend.
Der Kläger, der Arbeitslosengeld II vom beklagten Jobcenter bezogen hatte, erinnerte mit Telefaxnachrichten vom August und September 2019 an die Erledigung eines auf Art. 15 DS-GVO gestützten Auskunftsersuchens. Nachdem keine Reaktion erfolgte, beschwerte sich der Kläger beim Landesdatenschutzbeauftragten. Nach Weiterleitung der Beschwerde an den Bundesdatenschutzbeauftragten nahm dieser Kontakt mit dem Beklagten auf. Im Februar 2020 gab der Beklagte schriftlich Auskunft und teilte unter anderem mit, dass es ihm technisch nicht möglich sei, die verlangten Daten per E-Mail zu übermitteln. Der Kläger erhalte aber eine unentgeltliche Kopie aller Aktenbände, die ihm per Boten übermittelt würde. Der Kläger bestand weiterhin auf einer digitalen Form der Auskunftserteilung, erklärte sich im April 2020 aber bereit, auch die Kopien in Papierform entgegen zu nehmen. Die Übergabe erfolgte im August 2020.

Die im September 2021 erhobene Klage auf Schadenersatz, gestützt auf Art. 82 DS-GVO, ist in beiden Instanzen ohne Erfolg geblieben. Zur Begründung hat das Landessozialgericht unter anderem ausgeführt, es könne offen bleiben, ob der Beklagte gegen die DS-GVO verstoßen habe und dem Kläger dadurch ein Schaden entstanden sei. Die Erteilung einer Auskunft nach Art. 15 DS-GVO stelle schon keine Datenverarbeitung im Sinne der Verordnung dar; eine fehlerhafte Auskunft begründe folglich keinen Verstoß im Sinne von Art. 82 DS-GVO.

Mit seiner vom Landessozialgericht zugelassenen Revision rügt der Kläger eine Verletzung der Art. 79 und 82 DS-GVO.

Entscheidung

Die Revision des Klägers ist im Haupt- und Hilfsantrag ohne Erfolg geblieben. Das BSG bewertete die Leistungsklage als unbegründet. Der Kläger habe keinen Anspruch auf Schadenersatz gegen den Beklagten nach Art. 82 DS-GVO. Es fehle an einem Schaden.

Der geltend gemachte Anspruch auf Schadenersatz in Höhe von EUR 5.000,00 bestehe nicht. Nach dem Wortlaut von Art. 82 Abs. 1 DS-GVO habe jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Zur Begründung eines Schadenersatzanspruchs genüge nicht der bloße Verstoß gegen die Verordnung. Vielmehr sei nach ihrer Systematik und Entstehungsgeschichte ein Verstoß bei der Verarbeitung von Daten erforderlich. Das Erteilen einer Auskunft an die betroffene Person nach Artikel 15 DS-GVO stelle unter Berücksichtigung des vom EuGH vor dem Hintergrund der Ziele der DS-GVO entwickelten weiten Begriffsverständnisses sowie unter systematischen Gesichtspunkten eine Verarbeitung im Sinn des Art. 4 Nr. 2 DS-GVO dar. Der Beklagte habe die Auskunft verordnungswidrig nicht innerhalb der Frist des Art. 12 Abs. 3 Satz 1 DS-GVO übermittelt.

Es sei indes weder dargetan noch ersichtlich, dass dem Kläger ein immaterieller Schaden entstanden sei. Die bloß formelhafte Behauptung, einen „Kontrollverlust“ dadurch erlitten zu haben, im Ungewissen über die Verarbeitung seiner personenbezogenen Daten zu sein, genüge nicht.

Anmerkung

Die Entscheidung des BSG scheint sich auf den ersten Blick im Widerspruch zur viel beachteten BGH-Entscheidung in Sachen Facebook und Scraping-Vorfall (vgl. hierzu die Anmerkung in den CBH-News) zu stellen. Der BGH hatte im Kontext eines Scraping-Vorfalls mit recht deutlichen Worten den Standpunkt vertreten, dass ein im Kontext eines Scraping-Vorfalls erlittener Kontrollverlust für die Darlegung eines immateriellen Schadens genüge. Weitergehende Darlegungen, z.B. ein konkreter Missbrauch von Daten, sei nicht erforderlich. Auch wenn der BGH die Höhe eines möglichen Schadens im betreffenden Fall mit EUR 100,00 vergleichsweise niedrig taxierte, ebnete der BGH jedenfalls für – vom Verantwortlichen zu vertretende – Scraping-Fälle und einen „Kontrollverlust“ einen recht einfachen Weg für die Durchsetzung von Schadenersatzansprüchen.

Einen solchen „Kontrollverlust“ erachtet das BSG im Auskunftskontext hingegen nicht als hinreichend. Auch wenn man auf den ersten Blick einen Widerspruch zur BGH-Entscheidung in Sachen Facebook annehmen könnte, dürfte ein solcher bei Lichtr betrachtet nicht bestehen. Dies gilt nach hiesiger Sicht mit Blick auf die unterschiedliche Dimension der in Rede stehenden Datenschutzverstöße. Bei einem Scraping-Vorfall, spricht dem Abfischen von Daten durch Dritte, ist ein echter Kontrollverlust in Bezug auf die betroffenen Daten rein tatsächlich kaum von der Hand zu weisen. Im Falle einer verspäteten Auskunft steht hingegen kein Datenabfluss in Rede, sondern allein die Mutmaßung, dass der Verantwortliche über den Inhalt einer Auskunft hinaus Daten des Betroffenen verwendet. Das ist allerdings kein feststehender Kontrollverlust, sondern eine reine Mutmaßung, für deren Erhärtung der Betroffene im Verfahren vor dem BSG offenbar nichts weiter vorgetragen hat. Die Entscheidung des BSG erscheint unter diesem Blickwinkel auch konsequent und unterscheidet sich insoweit maßgeblich vom BGH-Verfahren in Sachen Facebook. Kurzum: Gemutmaßter Kontrollverlust ist nicht gleich Kontrollverlust.

Dass das BSG im Übrigen die Ansicht des Landessozialgerichts, wonach eine mangelnde bzw. unzureichende Auskunft, keine relevante Verarbeitung im Sinn des Art. 4 Nr. 2 DS-GVO darstellen soll, kassiert hat, erscheint zumindest vertretbar. Auch wenn eine Auskunft bei schematischer Betrachtung nicht als klassischer Datenverarbeitungsvorgang daherkommt, lässt sich durchaus argumentieren, dass die Zielrichtung des Schadensersatzanspruchs jedenfalls dem Grunde nach auch Fälle unzureichender Auskunft betrifft – ob dann im konkreten Fall tatsächlich ein immaterieller Schaden abgleitet werden kann, steht auf einem anderen Blatt und dürfte in den weit überwiegenden Fällen höchst fraglich sein. Allein die Behauptung eines vermeintlichen Kontrollverlusts ist in solchen Fällen – und da ist dem BSG zuzustimmen – schlicht zu wenig.

Quelle: Terminbericht Verhandlung B 7 AS 15/23 R vom 24.09.2024