Kein Schadenersatzanspruch bei bloßem Verstoß gegen die DSGVO
Bei Verstößen gegen die DSGVO können Aufsichtsbehörden Strafen in Millionen-höhe verhängen. Betroffene können unter bestimmten Voraussetzungen Schadenersatzansprüche geltend machen. Welche Voraussetzungen das sind, stellt der Europäische Gerichtshof ("EuGH") in seiner aktuellen Entscheidung C-300/21 klar.
Den Ursprung nahm der vorliegende Rechtsstreit in Österreich. Die Österreichische Post sammelte Informationen über die Bevölkerung, wobei sie mittels eines Algorithmus Rückschluss über ihre politische Gesinnung – etwa auf Grund des Wohnorts oder der erhaltenen Post – erhoben hat. Diese Informationen wurden im Fall des Klägers zwar nicht an Dritte weitergegeben, dieser sah sich trotzdem in seinen Rechten verletzt und begehrte Schadenersatz.
Dieses Verfahren gelangte vor den Obersten Gerichtshof (“OGH“), welcher ein Vorabentscheidungsersuchen an den EuGH zur Klärung von europarechtlichen Fragen richtete. Dabei sollte der EuGH verbindlich entscheiden, ob ein bloßer Verstoß gegen die DSGVO genügt, um einen Schadensersatzanspruch zu begründen. Außerdem sollte der EuGH entscheiden, ob immaterielle (nicht in Geld messbare) Schäden nur dann ersetzt werden, wenn diese eine gewisse Erheblichkeit erreichen.
Der EuGH kam zum Ergebnis, dass ein Schadenersatzanspruch nach der DSGVO nur dann besteht, wenn drei Voraussetzungen erfüllt sind. Zuallererst ist dafür ein Verstoß gegen die DSGVO erforderlich, welcher auch zu einem Schaden geführt haben muss. Der bloße Verstoß gegen die DSGVO ohne nachweislichen Schaden reicht daher für einen Schadenersatzanspruch nicht aus. Darüber hinaus muss der Verstoß gegen die DSGVO auch kausal für diesen Schaden gewesen sein. Das Bemessen der Höhe des Schadenersatzanspruches ist jedoch Angelegenheit der Gerichte der Mitgliedsstaaten. Diese müssen nur sicherstellen, dass es zu einem vollständigen und wirksamen Ersatz für den erlittenen Schaden kommt.
Der EuGH klärte weiters, dass immaterielle Schäden unabhängig von ihrer Schwere zu ersetzen sind. Mit dieser Entscheidung schob der EuGH der bisherigen Rechtsprechung nationaler Gerichte, wonach für immaterielle Schäden im Rahmen des Datenschutzes eine Bagatellgrenze bestehe, einen Riegel vor. Der EuGH schwieg jedoch zur Frage, was genau unter einem immateriellen Schaden zu verstehen ist. Welche Schäden im Rahmen der DSGVO konkret ersatzfähig sind, müssen daher die österreichischen Gerichte klären.
