Mit Urteil vom 04.05.2023 (C-300/21) stellt der EuGH klar, dass ein bloßer Verstoß gegen die DS-GVO für sich genommen nicht ausreicht, um immateriellen Schadensersatz beanspruchen zu können.
Sachverhalt
In dem der Entscheidung zugrunde liegenden Verfahren hatte der in Österreich lebende Kläger die Österreichische Post auf Unterlassung und Schadenersatz in Anspruch genommen, weil diese ab dem Jahr 2017 mithilfe eines Algorithmus Informationen über die politischen Affinitäten der österreichischen Bevölkerung gesammelt und darauf basierend sog. „Zielgruppenadressen“ für die Zwecke des Adresshandels definiert hatte.
Im Rahmen dieser Tätigkeit hatte die Österreichische Post für den Kläger im Wege einer statistischen Hochrechnung eine hohe Affinität zu einer bestimmten österreichischen politischen Partei abgeleitet. Obwohl die Daten nicht an Dritte übermittelt worden waren, fühlte sich der Kläger dadurch beleidigt, dass ihm eine Affinität zu der fraglichen Partei zugeschrieben wurde. Die Speicherung von Daten zu seinen mutmaßlichen politischen Meinungen durch die Österreichische Post habe bei ihm großes Ärgernis und einen Vertrauensverlust sowie ein Gefühl der Bloßstellung ausgelöst.
Die auf Unterlassung der Verarbeitung der fraglichen personenbezogenen Daten und auf Zahlung von 1.000,00 € als Ersatz des ihm angeblich entstandenen immateriellen Schadens gerichtete Klage hatte vor den Instanzgerichten nur in Bezug auf den Unterlassungsantrag Erfolg. Hinsichtlich des Schadenersatzanspruchs verwies das Berufungsgericht auf die Erwägungsgründe 75, 85 und 146 der DS-GVO und stellte fest, dass nach österreichischem Recht ein Verstoß gegen die Vorschriften zum Schutz personenbezogener Daten nicht automatisch zu einem immateriellen Schaden führe. Ein Schadenersatzanspruch sei nur begründet, wenn ein solcher Schaden eine „Erheblichkeitsschwelle“ erreiche. Dies sei jedoch bei den negativen Gefühlen, auf die sich der Kläger des Ausgangsverfahrens berufen habe, nicht der Fall.
Der mit der Revision befasste OGH legte dem EuGH mehrere Fragen zu den Anforderungen an einen immateriellen Schadenersatzanspruch nach der DS-GVO zur Vorabentscheidung vor.
Entscheidung des EuGH
Der EuGH bestätigt, dass nach Art. 82 Abs. 1 DS-GVO nicht jeder „Verstoß“ gegen die Bestimmungen der DS-GVO für sich genommen den Schadenersatzanspruch der betroffenen Person begründe.
Art. 82 Abs. 2 DS-GVO setze für die Entstehung des Schadenersatzanspruchs (1) eine Verarbeitung personenbezogener Daten unter Verstoß gegen die Bestimmungen der DS-GVO, (2) einen der betroffenen Person entstandenen Schaden und (2) einen Kausalzusammenhang zwischen der rechtswidrigen Verarbeitung und diesem Schaden voraus.
Entgegen der Auffassung der Ausgangsgerichte erfordere der immaterielle Schadenersatz nach der DS-GVO nicht die Überschreitung einer Erheblichkeitsschwelle. Würde man auf eine Erheblichkeitsschwelle abstellen, könnte dies nach Ansicht des EuGH die Kohärenz der mit der DS-GVO eingeführten Regelung beeinträchtigen, weil die graduelle Abstufung einer solchen Schwelle je nach Beurteilung durch die angerufenen Gerichte unterschiedlich hoch ausfallen könnte. Die Nichterforderlichkeit des Überschreitens einer Erheblichkeitsschwelle bedeute jedoch nicht, dass der Anspruchssteller von dem Nachweis eines auf der Datenschutzverletzung beruhenden immateriellen Schadens befreit wäre.
Da die DS-GVO die Bestimmung der Schadenhöhe nicht im Einzelnen regele, seien die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten über den Umfang der finanziellen Entschädigung anzuwenden, sofern hierbei die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachtet werden.
Praxishinweis
Der EuGH stellt zutreffend klar, dass der Anspruch auf immateriellen Schadenersatz nach Art. 82 DS-GVO den Nachweis eines Schadens voraussetzt. Nicht jeder Datenschutzverstoß begründet somit per se einen Schadenersatzanspruch.
Die dem Ausgangssachverhalt zugrunde liegende Frage, ob die große Verärgerung des Klägers über die Datenverarbeitung einen immateriellen Schadenersatzanspruch begründet, muss nunmehr durch den OGH entschieden werden.
Quelle: EuGH, Urt. v. 04.05.2023 – C-300/21.
