Zum vorliegenden Urteilstext springen: C-300/21
Das Wichtigste im Überblick
DSGVO-Verstoß allein löst keinen Schadenersatz aus; bloße Ärgernisse genügen nicht.
- Der EuGH verlangte zusätzlich einen Schaden und einen Zusammenhang zum Verstoß.
- Eine Erheblichkeitsschwelle für seelische Schäden verbietet der EuGH.
- Die Höhe des Ersatzes richtet nationales Recht, aber nur fair und wirksam.
- Bare DSGVO-Verstöße ohne Schaden bringen Betroffenen keinen Geldanspruch.
- Gericht: EuGH
- Datum: 04.05.2023
- Aktenzeichen: C-300/21
- Verfahren: Vorabentscheidung
- Rechtsbereiche: Datenschutzrecht, Zivilrecht
- Relevant für: Betroffene, Unternehmen, Datenschutzverantwortliche
Wann besteht Anspruch auf einen Schadenersatz nach der DSGVO?
Nach Artikel 82 Absatz 1 der Datenschutz-Grundverordnung (DSGVO) setzt ein Anspruch auf eine finanzielle Entschädigung drei zwingende Faktoren voraus: einen Verstoß gegen die Normen der Verordnung, einen erlittenen Schaden und einen ursächlichen Kausalzusammenhang zwischen dem Fehler und dem erlittenen Nachteil. Ein bloßer Verstoß gegen die Bestimmungen der DSGVO ohne einen eingetretenen Schaden reicht demnach nicht aus, um einen Zahlungsanspruch auszulösen. Dabei sind die zentralen Begriffe dieses Artikels stets als eigenständige Vorgaben zu verstehen, die unionsweit einheitlich nach dem europäischen Recht ausgelegt werden müssen.
Streit um eine zugewiesene Parteiaffinität
Der Europäische Gerichtshof musste sich in der Rechtssache C-300/21 abschließend mit diesen grundlegenden Haftungsvoraussetzungen befassen. Ausgangspunkt war ein Streit um die heimliche Zuweisung von politischen Neigungen: Ein betroffener Bürger forderte 1.000 Euro immateriellen Geldersatz von der Österreichischen Post AG. Immateriell bedeutet dabei: Es geht nicht um einen konkreten finanziellen Verlust, sondern um seelische Beeinträchtigungen wie Ärger, Kränkung oder Vertrauensverlust. Das Unternehmen hatte zuvor ab dem Jahr 2017 mithilfe eines Algorithmus sowie verschiedener sozialer und demografischer Merkmale Zielgruppenadressen berechnet und dem Mann eine hohe Affinität zu einer bestimmten österreichischen Partei abgeleitet. Diese Feststellung wurde in seinem Fall zwar nicht an dritte Organisationen für zielgerichtete Werbung übermittelt, doch die Datenverarbeitung erfolgte ohne die Zustimmung des Mannes.
Ablehnung bei einem bloßen Regelverstoß
Das angerufene Landesgericht für Zivilrechtssachen Wien und das Oberlandesgericht Wien wiesen die finanzielle Forderung ab, weil ein Eingriff in den Datenschutz nach österreichischem Recht nicht automatisch einen Entschädigungsanspruch begründet. Die Luxemburger Richter – der EuGH hat seinen Sitz in Luxemburg, weshalb er in der Fachsprache oft so bezeichnet wird – bestätigten nun in ihrem Grundsatzurteil diese rechtliche Sichtweise hinsichtlich der Haftungsausschlüsse….