EuGH zu Schadensersatz bei Datenpannen und Unterlassungsansprüchen

Der Europäische Gerichtshof (EuGH) hat sich erneut mit den Voraussetzungen für einen Anspruch auf Schadensersatz nach Art. 82 DSGVO wegen eines Verstoßes gegen datenschutzrechtliche Vorgaben auseinandergesetzt. In seinem Urteil von Anfang September (EuGH, Urteil vom 04.09.2025 – C-655/23) ging es um einen Fall aus Deutschland: Eine Mitarbeiterin der Quirin Privatbank AG hatte eine Nachricht über XING, die Informationen über die Gehaltsvorstellungen eines Bewerbers enthielt, versehentlich an einen falschen Empfänger geschickt – bei dem es sich zufällig um einen Bekannten dieses Bewerbers handelte. Während das erstinstanzliche Gericht (LG Darmstadt) ein Schmerzensgeld von 1.000 Euro aufgrund dieser Datenpanne zusprach, wurde der Anspruch in der zweiten Instanz (OLG Frankfurt) abgewiesen, da der (ehemalige) Bewerber – nun Kläger – einen Schaden nicht (ausreichend) dargelegt habe und die erlittene „Schmach“ nicht als immaterieller Schaden zu bewerten sei (wir berichteten).

Vorlagefragen an den EuGH

Als Reaktion auf dieses Urteils legten beiden Seiten – sowohl die Privatbank als auch der Kläger – Revision beim Bundesgerichtshof (BGH) ein. Die Privatbank zielte dabei auf die Abweisung aller Ansprüche des Klägers ab, da die zweite Instanz zumindest einen Unterlassungsanspruch im Hinblick auf die Verarbeitung der personenbezogenen Daten des Klägers – wie mit der Nachricht erfolgt – anerkannt hatte, während der Kläger weiterhin einen Schadensersatz durchsetzen wollte. Vor diesem Hintergrund legte der BGH dem EuGH u. a. die Fragen vor, ob „bloße negative Gefühle wie z. B. Ärger, Unmut, Unzufriedenheit, Sorge und Angst, die an sich Teil des allgemeinen Lebensrisikos und oft des täglichen Erlebens sind“ für die Annahme eines immateriellen Schadens ausreichen und ob ein Unterlassungsanspruch im Hinblick auf eine (erneute) unrechtmäßige Datenverarbeitung aus der DSGVO heraus bestehen kann.

Voraussetzungen für einen immateriellen Schadensersatz

Der EuGH führte – in Übereinstimmung mit seiner bisherigen Rechtsprechung – aus, dass negative Gefühle (aufgrund einer unbefugten Übermittlung von personenbezogenen Daten an einen Dritten) durchaus einen immateriellen Schaden für die betroffene Person darstellen können, „sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen die DSGVO empfindet“ (Rn. 64). Der Grad des Verschuldens des Verantwortlichen sei bei der Bemessung der Höhe des Schadensersatzes sodann unerheblich. Auch der Umstand, dass ein Unterlassungsanspruch bezüglich künftiger Wiederholungen des Datenschutzverstoßes von der betroffenen Person durchgesetzt wurde, wirke sich nicht auf den Schadensersatzanspruch oder den Umfang des Schadensatzes aus.

Bestehen eines Unterlassungsanspruchs

Im Hinblick auf den Unterlassungsanspruch in Bezug auf die Verarbeitung personenbezogener Daten – der von der zweiten Instanz aus Art. 17 Abs. 1 DSGVO (Recht auf Löschung) hergeleitet wurde – stellte der EuGH folgendes fest: Die DSGVO enthalte grundsätzlich keine Bestimmung / Grundlage zur Geltendmachung eines Unterlassungsanspruchs in Bezug auf künftige (rechtswidrige) Datenverarbeitungen. Ein solcher Anspruch könne sich auch nicht aus anderen Betroffenenrechten aus der DSGVO (Art. 17 oder Art. 18 DSGVO) ergeben. Allerdings stehe die Verordnung keinen nationalen Rechtsgrundlagen für solche Unterlassungsansprüche entgegen. Auch wenn sie in diesem Bereich über keine spezielle Öffnungsklausel verfüge, komme es durch die Möglichkeit eines präventiven Rechtsbehelfs zu keiner Beeinträchtigung der Ziele aus der DSGVO. Stattdessen könne es dadurch zu einer Verstärkung der praktischen Wirksamkeit der Bestimmungen kommen „und damit das mit dieser Verordnung angestrebte hohe Schutzniveau für die betroffenen Personen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten verbessern.“ (Rn. 50)

Schlussfolgerungen

Der EuGH ist seiner Linie treu geblieben. Er hat abermals bestätigt, dass ein ersatzfähiger (immaterieller) Schaden, der einen Anspruch auf Schadensersatz gemäß Art. 82 DSGVO begründet, bereits sehr schnell – in diesem Fall durch negative Gefühle aufgrund einer unrechtmäßigen Datenübermittlung – entstehen kann und ein Verschulden des Verantwortlichen für dessen Höhe keine Rolle spielt. Diese Entscheidung dürfte daher ggf. Auswirkungen in Bezug auf die Häufigkeit von Schadensersatzansprüchen bei (anderen) Datenpannen (z. B. Fehlversand von Daten per E-Mail) haben. Gleichzeitig wurde im konkreten Fall aber auch betont, dass nachgewiesen werden muss, dass die negativen Gefühle aus dem Datenschutzverstoß resultieren. Dies kann sich für die betroffene(n) Person(en), abhängig vom jeweiligen Fall, als schwierig erweisen. Auch die Entscheidung des EuGH zum Unterlassungsanspruch ist zu begrüßen. Grundsätzlich stellt sich allerdings die Frage, ob betroffene Person solche Ansprüche auf Basis nationaler Regelungen überhaupt (vermehrt) in der Praxis geltend machen werden und wie sich der BGH abschließend dazu äußert.

Wir halten Sie in unserem Blog über das weitere Verfahren auf dem Laufenden.