Prof. Dr. Jan Eichelberger, LL.M.oec., Hannover*

INHALT

In der Sache „IP/Quirin Privatbank“ hatte der EuGH zum wiederholten Mal Gelegenheit, sich zu Fragen des immateriellen Schadensersatzes bei DSGVO-Verstößen nach Art. 82 Abs. 1 DSGVO zu äußern (nachfolgend unter III.). Leider ist die zentrale Frage, was immaterielle Schäden im Sinne des Art. 82 Abs. 1 DSGVO eigentlich sind, auch weiterhin weitestgehend offen. Weiterführend sind dagegen die Ausführungen zum Unterlassungsanspruch (nachfolgend unter II.).

I. Sachverhalt

1 Kurz zum Sachverhalt: Der Kläger des Ausgangsverfahrens hatte sich über das Business-Portal Xing bei der beklagten Bank beworben. Die an ihn gerichtete Nachricht, dass man seine Gehaltsvorstellungen nicht erfüllen, aber „80k + variable Vergütung“ anbieten könne, ging auch an eine dritte Person. Wie es der Zufall will, kennt der Dritte den Kläger, leitete ihm die Nachricht weiter und fragte, ob er auf Stellensuche sei („suchst du?“), worauf dieser mit „Hihi“ antwortete. Mit seiner Klage begehrt der Kläger, die Beklagte zu verurteilen, es künftig zu unterlassen, personenbezogene Daten über den Kläger, die im Zusammenhang mit seiner Bewerbung stehen, zu verarbeiten/verarbeiten zu lassen, wenn dies geschieht wie in der Nachricht über das Portal Xing (…), sowie an ihn mindestens 2.500 Euro immateriellen Schadensersatz zu zahlen. Seine Rechte aus der DSGVO, namentlich das Recht auf Löschung (Art. 17 DSGVO), macht der Kläger dagegen nicht geltend. Das LG Darmstadt verurteilte die Beklagte antragsgemäß zur Unterlassung und zur Zahlung von Schadensersatz in Höhe von 1.000 Euro nebst Zinsen.1) Das OLG Frankfurt a. M. änderte das Urteil hinsichtlich des Anspruchs auf Schadensersatz ab und wies die Klage insoweit ab.2) Der BGH schließlich legte dem EuGH einige Fragen vor.3)

II. Unterlassungsanspruch

1. Kein (isolierter) Unterlassungsanspruch aus der DSGVO

2 Da der Kläger nicht die Löschung seiner personenbezogenen Daten begehrt, sondern – neben dem Schadensersatzanspruch – allein präventiv einen erneut drohenden gleichartigen Verstoß gegen die DSGVO verhindern möchte, stellte sich zunächst die Frage, ob die DSGVO einen solchen „isolierten“ Unterlassungsanspruch gegen eine rechtswidrige Datenverarbeitung gewährt und, falls ja, wie dessen Modalitäten aussehen.4)

3 Der EuGH lehnt in „IP/Quirin Privatbank“ überzeugend einen isolierten Unterlassungsanspruch aus der DSGVO ab.5) Ein solcher lasse sich weder aus Art. 17 DSGVO (Recht auf Löschung – „Recht auf Vergessenwerden“) oder Art. 18 DSGVO (Recht auf Einschränkung der Verarbeitung) noch aus den Vorschriften des Kapitels VIII (Art. 77–84 DSGVO: Rechtsbehelfe, Haftung und Sanktionen) entnehmen.6) Insbesondere verpflichte Art. 79 Abs. 1 DSGVO, nach dem jede betroffene Person das Recht auf einen wirksamen Rechtsbehelf hat, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden, die Mitgliedstaaten nicht, auch einen präventiven Rechtsbehelf vorzusehen, mit dem beispielsweise eine Unterlassungsanordnung wie die im Ausgangsfall begehrte erwirkt werden kann.7) Ein Unterlassungsanspruch gegen eine (zukünftige) rechtswidrige Datenverarbeitung folgt also weder aus der DSGVO noch sind die Mitgliedstaaten zur Gewährung eines solchen Rechtsbehelfs verpflichtet. Damit waren die Vorlagefragen zu den Modalitäten eines etwaigen unionsrechtlichen Unterlassungsanspruchs (Wiederholungsgefahr als Voraussetzung des Unterlassungsanspruchs und Vermutung der Wiederholungsgefahr bei Verstoß gegen die DSGVO) obsolet.

2. Aber keine Sperrwirkung der DSGVO gegenüber nationalen Unterlassungsansprüchen

4 Zugleich stellt der EuGH aber auch fest, dass die Mitgliedstaaten nicht daran gehindert seien, präventive Rechtsbehelfe mit dem Ziel, dem Verantwortlichen aufzuerlegen, jede weitere Rechtsverletzung zu unterlassen, auf Grundlage des nationalen Rechts zu gewähren.8) Das ist mit Blick auf die im Oktober 2024 ergangene „Lindenapotheke“-Entscheidung9) nicht überraschend. Bereits dort hatte der EuGH ausgeführt, dass der Unionsgesetzgeber mit dem Erlass der DSGVO keine umfassende Harmonisierung der bei einem Verstoß gegen die DSGVO zur Verfügung stehenden Rechtsbehelfe habe vornehmen und insbesondere nicht ausschließen wollen, dass Mitbewerber eines mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten auf der Grundlage des nationalen Rechts unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken Klage erheben können.10) Darauf bezieht sich der EuGH nun für Unterlassungsansprüche des von dem Datenschutzverstoß Betroffenen.11)

5 Man mag dem EuGH darin zustimmen, dass solche weiterreichenden nationalen Rechtsbehelfe die praktische Wirksamkeit der DSGVO verstärken und damit das angestrebte hohe Schutzniveau verbessern können.12) Erhebliche Zweifel am Ergebnis kommen indes auf, wenn man das vom EuGH im gleichen Atemzug betonte Ziel der DSGVO, ein „gleichmäßiges“ Datenschutzniveau zu gewährleisten,13) in den Blick nimmt. Unterschiedliche (zusätzliche) Rechtsbehelfe in den Mitgliedstaaten dürften eher gegen als für ein „gleichmäßiges“ Datenschutzniveau arbeiten.14) Noch größere Zweifel stellen sich bei der Argumentation ein. Wenn, worauf der EuGH ausdrücklich hinweist,15) die DSGVO auf eine „grundsätzlich vollständige Harmonisierung der nationalen Rechtsvorschriften zum Schutz personenbezogener Daten“ abzielt, zugleich an mehreren Stellen den Mitgliedstaaten ausdrücklich die Möglichkeit eröffnet, zusätzliche – strengere oder einschränkende – nationale Vorschriften vorzusehen („Öffnungsklauseln“), und der Abschnitt über Rechtsbehelfe, Haftung und Sanktionen (Kapitel VIII) gerade keine solche spezielle Öffnungsklausel enthält, hätte es wohl nahegelegen, daraus den (systematischen) Schluss zu ziehen, dass dann insoweit von einer Vollharmonisierung auszugehen ist, die nationale Rechtsbehelfe jenseits der von der DSGVO vorgesehenen ausschließt.16) Der EuGH geht darüber – wie schon in „Lindenapotheke“ – mit der angesichts der Erwägungsgründe der DSGVO und seiner eigenen Auffassung eine Randnummer zuvor „sportlichen“ Behauptung hinweg, der Unionsgesetzgeber habe keine umfassende Harmonisierung der Rechtsbehelfe gewollt und insbesondere weiterreichende nationale Rechtsbehelfe nicht ausgeschlossen.17)

3. Konsequenzen für das nationale Recht

6 Wie die praktischen Konsequenzen der Entscheidung für das nationale Recht aussehen, muss sich zeigen. Jedenfalls können Unterlassungsanträge aus nationalem Recht zukünftig nicht mehr allein durch Verweis auf eine Sperrwirkung der DSGVO18) abgewiesen werden. Besonderes Augenmerk ist auf die hinreichende Bestimmtheit des Unterlassungsantrags zu legen. So sind grundsätzlich zu unbestimmt und damit unzulässig Unterlassungsanträge, die lediglich den Wortlaut eines Gesetzes wiederholen.19) Anderes kann freilich gelten, wenn entweder bereits der gesetzliche Verbotstatbestand selbst entsprechend eindeutig und konkret gefasst oder der Anwendungsbereich einer Rechtsnorm durch eine gefestigte Auslegung geklärt ist, oder wenn der Kläger hinreichend deutlich macht, dass er nicht ein Verbot im Umfang des Gesetzeswortlauts beansprucht, sondern sich mit seinem Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert.20)

III. Immaterieller Schadensersatz

7 Im zweiten Teil der Entscheidung des EuGH geht es einmal mehr um Fragen des immateriellen Schadensersatzes nach Art. 82 Abs. 1 DSGVO bei DSGVO-Verstößen.

1. „Negative Gefühle“ als ersatzfähiger immaterieller Schaden

8 Der BGH wollte vom EuGH wissen, ob „bloße negative Gefühle wie z.B. Ärger, Unmut, Unzufriedenheit, Sorge und Angst, die an sich Teil des allgemeinen Lebensrisikos und oft des täglichen Erlebens sind“ einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen können oder ob für die Annahme eines Schadens „ein über diese Gefühle hinausgehender Nachteil für die betroffene natürliche Person erforderlich“ ist.21) Der Kläger des Ausgangsverfahrens hatte geltend gemacht, sein mit mindestens 2.500 Euro zu beziffernder Schaden liege darin, dass nunmehr mindestens eine weitere Person, die ihn und potenzielle wie ehemalige Arbeitgeber kenne, über Umstände Kenntnis habe, die der Diskretion unterlägen, es zu befürchten sei, dass der in der gleichen Branche tätige Dritte die in der Nachricht enthaltenen Daten weitergegeben habe oder sich durch ihre Kenntnis als Konkurrent auf etwaige Stellen im Bewerbungsprozess einen Vorteil habe verschaffen können, und er außerdem das „Unterliegen“ in den Gehaltsverhandlungen als Schmach empfinde, die er nicht an Dritte – vor allem nicht an potenzielle Konkurrenten – weitergegeben hätte.22)

9 Der EuGH formuliert die Frage ein wenig um und beantwortet diese dahingehend, dass der Begriff des immateriellen Schadens „negative Gefühle umfasst, die die betroffene Person infolge einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten empfindet, wie zum Beispiel Sorge oder Ärger, und die durch einen Verlust der Kontrolle über diese Daten, ihre mögliche missbräuchliche Verwendung oder eine Rufschädigung hervorgerufen werden, sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen die DS-GVO empfindet.“23)

10 „Rufschädigung“ infolge einer Verletzung personenbezogener Daten sowie der „Verlust der Kontrolle“ über solche Daten seien in den Erwägungsgründen 75 und 85 der DSGVO ausdrücklich als mögliche Schäden genannt;24) eine „Bagatellgrenze“ gäbe es nicht;25) der Begriff des immateriellen Schadens sei „weit“ zu verstehen.26) Es sei bereits entschieden, dass der bloße „Verlust der Kontrolle“ über die eigenen Daten infolge eines DSGVO-Verstoßes einen immateriellen Schaden verursachen könne, „sofern die betroffene Person nachweist, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten hat, ohne dass dieser Begriff des ‚immateriellen Schadens‘ den Nachweis zusätzlicher spürbarer negativer Folgen erfordert“,27) desgleichen, dass die von der betroffenen Person empfundene Befürchtung, ihre personenbezogenen Daten würden infolge eines Verstoßes gegen die DSGVO in Zukunft missbräuchlich verwendet, „für sich genommen“ einen immateriellen Schaden darstellen könne, „sofern diese Befürchtung samt ihrer negativen Folgen ordnungsgemäß nachgewiesen ist, was zu prüfen Sache des angerufenen nationalen Gerichts ist.“28) Deshalb könnten die vom BGH erwähnten Gefühle wie insbesondere Sorge oder Ärger, selbst wenn sie Teil des allgemeinen Lebensrisikos wären, einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen, „sofern die betroffene Person (…) nachweist, dass sie solche Gefühle samt ihrer negativen Folgen gerade aufgrund des in Rede stehenden Verstoßes gegen die DSGVO empfindet, wie etwa einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten, die das Risiko einer missbräuchlichen Verwendung dieser Daten birgt“, was zu prüfen Sache der angerufenen nationalen Gerichte sei.29)

11 Leider bleibt der EuGH erneut eine konkrete Definition des Begriffs des immateriellen Schadens, obschon dieser – wie der EuGH seit seiner ersten Entscheidung „Österreichische Post“ immer wieder und so auch hier betont – „eine autonome und einheitliche unionsrechtliche Definition erhalten“ müsse,30) schuldig. Die zur „Begründung“ angeführten Entscheidungen sind zumeist ihrerseits nicht unproblematisch. Schon die Annahme, dass es keine Bagatellgrenze gäbe, bedürfte einer differenzierteren Betrachtung. Es mag angesichts des eine solche Einschränkung nicht enthaltenden Normtextes und des Ausgleichsgedankens als Zweck des Schadensersatzanspruchs aus Art. 82 Abs. 1 DSGVO richtig sein, dass jeder Schaden auszugleichen ist, so klein dieser auch ist.31) Konsequent sieht der EuGH dann auch in der Zuerkennung nur kleinster Beträge keinen unzulässigen „symbolischen“ Schadensersatz, sofern der erlittene Schaden dadurch vollständig ausgeglichen wird;32) auch eine Entschuldigung kann ausreichen.33) Allerdings dürfte damit nicht gesagt sein, dass für ein durch einen Datenschutzverstoß ausgelöstes „Gefühl“, um zu einem immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO zu werden, nicht eine gewisse Erheblichkeit gefordert werden dürfte.34) Darauf dürfte die Vorlagefrage des BGH abgezielt haben. Andernfalls und unter der Annahme, dass es wohl bei den meisten Betroffenen zumindest kurzzeitig einen gewissen Ärger oder Unmut verursacht, wenn sie von einem die eigenen personenbezogenen Daten betreffenden Datenschutzverstoß Kenntnis erlangen, gerät man im Ergebnis in die Nähe dessen, was der EuGH seit jeher (und zu Recht) verneint:35) Der bloße DSGVO-Verstoß als Schaden, wenn auch hier vermittelt über den Zwischenschritt des Ärgers oder Unmuts über den Verstoß als kausal verursachten Schaden, und damit formal „kompatibel“ mit dieser Rechtsprechung. Unklar ist auch, was der EuGH mit der Wendung „samt ihrer negativen Folgen“ meint. Muss die betroffene Person also doch von den durch die Datenschutzverletzung ausgelösten „negativen Gefühlen“ wie Angst oder Sorge zu trennende „negative Folgen“ nachweisen, um einen immateriellen Schaden zu belegen? Ähnliche Formulierungen finden sich in früheren Entscheidungen.

2. Grad des Verschuldens unerheblich für die Höhe des Schadensersatzanspruchs

12 Für die Bemessung der Höhe des Schadensersatzanspruchs ist der Grad des Verschuldens irrelevant.36) Bislang war nur entschieden, dass Art. 82 DSGVO es „nicht verlangt“, den Grad des Verschuldens bei der Bemessung des Schadensersatzanspruchs zu berücksichtigen.37) Nunmehr hält der EuGH ausdrücklich fest, dass der Grad des Verschuldens nicht berücksichtigt werden darf, und begründet dies zutreffend mit dem Gebot der Totalreparation.38) Wenn und weil der erlittene Schaden „in vollem Umfang“ auszugleichen ist (Ausgleichsfunktion), der Schadensersatzanspruch aber keine Abschreckungs- oder Straffunktion hat,39) kann es tatsächlich keine Rolle spielen, welcher Grad des Verschuldens dem Verantwortlichen anzulasten ist. Nicht gesagt sein dürfte damit aber, dass der Grad des Verschuldens nicht bei der Bestimmung des Schadens selbst eine Rolle spielen könnte. So erscheint nicht ausgeschlossen, dass ein vorsätzlicher DSGVO-Verstoß „belastender“ empfunden wird und dadurch einen größeren immateriellen Schaden verursacht als ein lediglich (leicht) fahrlässig begangener Verstoß.40) 

3. Unterlassungstitel unerheblich für die Höhe des Schadensersatzanspruchs

13 Ebenfalls irrelevant für die Bemessung der Höhe des Schadensersatzanspruchs ist ein gegen den Verantwortlichen ergangener Unterlassungstitel.41) Der BGH hatte dies mit Blick auf die nationale Rechtsprechung in Erwägung gezogen, nach der bei der Bemessung einer Geldentschädigung für ideelle Beeinträchtigungen bei der gebotenen Gesamtwürdigung auch ein erwirkter Unterlassungstitel zu berücksichtigen sei und die Entschädigung mindern und sogar ausschließen könne.42) Der EuGH argumentiert auch hier überzeugend mit der Ausgleichsfunktion: Ein Unterlassungstitel als präventiver Rechtsbehelf mag verhindern, dass keine weiteren Schäden entstehen, gleicht bereits entstandene Schäden aber nicht aus und wird damit der Ausgleichsfunktion des Art. 82 Abs. 1 DSGVO nicht gerecht.43)

IV. Fazit

14 Mit seiner Entscheidung „IP/Quirin Privatbank“ bringt der EuGH Klarheit zum (isolierten) Unterlassungsanspruch gegen eine rechtswidrige Datenverarbeitung: Aus der DSGVO folgt ein solcher Anspruch nicht. Allerdings stehe diese der Gewährung auf Grundlage des nationalen Rechts auch nicht entgegen; die bei Verstößen gegen die DSGVO zur Verfügung stehenden Rechtsbehelfe seien nicht umfassend harmonisiert. Vollends zu überzeugen vermag das nicht, überrascht aber nach der Entscheidung „Lindenapotheke“ nicht.

15 Überzeugend sind dagegen die Ausführungen des EuGH zur Bemessung der Höhe des Schadensersatzanspruchs: Es dürfen weder der Grad des Verschuldens noch der Umstand, dass gegen den Verantwortlichen ein Unterlassungstitel besteht, berücksichtigt werden.

16 Zum Begriff des immateriellen Schadens selbst bleibt der EuGH hingegen erneut diffus: Bloße „negative Gefühle“ wie etwa Sorge oder Ärger – mögen diese auch Teil des allgemeinen Lebensrisikos sein – können einen immateriellen Schaden darstellen, „sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen diese Verordnung empfindet.“ Die eigentlich spannenden – und für die Praxis zentralen – Fragen, was ein immaterieller Schaden ist und was die betroffene Person konkret nachzuweisen hat, also welche qualitativen und quantitativen Anforderungen an den Nachweis eines immateriellen Schadens zu stellen sind, harren weiter einer Klärung.