Der bloße Verstoß gegen die Bestimmungen der DSGVO reicht nicht aus, um einen Schadenersatzanspruch zu begründen

Art. 82 Abs. 1 DSGVO ist dahin auszulegen, dass er einer nationalen Regelung oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Erheblichkeit erreicht hat.

Sachverhalt

Ab dem Jahr 2017 sammelte die Österreichische Post, eine im Adressenhandel tätige Gesellschaft österreichischen Rechts, Informationen über die politischen Affinitäten der österreichischen Bevölkerung. Mit Hilfe eines Algorithmus, der verschiedene soziale und demografische Merkmale berücksichtigte, definierte sie „Zielgruppenadressen“. Die so generierten Daten wurden an verschiedene Organisationen verkauft, um ihnen den zielgerichteten Versand von Werbung zu ermöglichen.

Im Rahmen ihrer Tätigkeit verarbeitete die Österreichische Post Daten, aus denen sie im Wege einer statistischen Hochrechnung eine hohe Affinität des Klägers des Ausgangsverfahrens zu einer bestimmten österreichischen politischen Partei ableitete. Diese Informationen wurden nicht an Dritte übermittelt, aber der Kläger des Ausgangsverfahrens, der der Verarbeitung seiner personenbezogenen Daten nicht zugestimmt hatte, fühlte sich dadurch beleidigt, dass ihm eine Affinität zu der fraglichen Partei zugeschrieben wurde. Die Speicherung von Daten zu seinen mutmaßlichen politischen Meinungen durch die Österreichische Post habe bei ihm großes Ärgernis und einen Vertrauensverlust sowie ein Gefühl der Bloßstellung ausgelöst. Aus dem Vorlagebeschluss geht hervor, dass außer diesen vorübergehenden gefühlsmäßigen Beeinträchtigungen kein Schaden festgestellt werden konnte.

In diesem Zusammenhang erhob der Kläger des Ausgangsverfahrens beim Landesgericht für Zivilrechtssachen Wien Klage gegen die Österreichische Post auf Unterlassung der Verarbeitung der fraglichen personenbezogenen Daten und auf Zahlung von 1000 Euro als Ersatz des ihm angeblich entstandenen immateriellen Schadens. Mit Urteil vom 14. Juli 2020 gab dieses Gericht dem Unterlassungsbegehren statt, wies das Schadenersatzbegehren jedoch ab.

Das mit der Berufung befasste Oberlandesgericht Wien bestätigte mit Urteil vom 9. Dezember 2020 das erstinstanzliche Urteil. Hinsichtlich des Schadenersatzbegehrens verwies dieses Gericht auf die Erwägungsgründe 75, 85 und 146 der DSGVO und stellte fest, dass die innerstaatlichen Rechtsvorschriften der Mitgliedstaaten im Bereich der zivilrechtlichen Haftung die Bestimmungen der DSGVO ergänzten, sofern diese keine Sonderregelungen beinhalte. Nach österreichischem Recht führe ein Verstoß gegen die Vorschriften zum Schutz personenbezogener Daten nicht automatisch zu einem immateriellen Schaden und begründe nur dann einen Schadenersatzanspruch, wenn ein solcher Schaden eine „Erheblichkeitsschwelle“ erreiche. Dies sei jedoch bei den negativen Gefühlen, auf die sich der Kläger des Ausgangsverfahrens berufen habe, nicht der Fall.

Der von beiden Parteien des Ausgangsverfahrens angerufene Oberste Gerichtshof (Österreich) setzte das Verfahren aus und legte dem Europäischen Gerichtshof (EuGH) folgende Fragen zur Vorabentscheidung vor:

1. Erfordert der Zuspruch von Schadenersatz nach Art. 82 DSGVO neben einer Verletzung von Bestimmungen der DSGVO auch, dass der Kläger einen Schaden erlitten hat oder reicht bereits die Verletzung von Bestimmungen der DSGVO als solche für die Zuerkennung von Schadenersatz aus?
2. Bestehen für die Bemessung des Schadenersatzes neben den Grundsätzen der Effektivität und Äquivalenz weitere Vorgaben des Unionsrechts?
3. Ist die Auffassung mit dem Unionsrecht vereinbar, dass Voraussetzung für den Zuspruch immateriellen Schadens ist, dass eine Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht vorliegt, die über den durch die Rechtsverletzung hervorgerufenen Ärger hinausgeht?

Aussagen des EuGH zu den Vorlagefragen

Zur ersten Frage

Auf die erste Frage ist zu antworten, dass Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass der bloße Verstoß gegen die Bestimmungen dieser Verordnung nicht ausreicht, um einen Schadenersatzanspruch zu begründen.

Zur zweiten Frage

Auf die zweite Frage ist zu antworten, dass Art. 82 DSGVO dahin auszulegen ist, dass die nationalen Gerichte bei der Festsetzung der Höhe des Schadenersatzes, der aufgrund des in diesem Artikel verankerten Schadenersatzanspruchs geschuldet wird, die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten über den Umfang der finanziellen Entschädigung anzuwenden haben, sofern die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachtet werden.

Zur dritten Frage

Auf die dritte Frage ist zu antworten, dass Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass er einer nationalen Regelung oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Erheblichkeit erreicht hat.

Fundstelle: Urteil des Gerichtshofs (Dritte Kammer) vom 4. Mai 2023, 62021CJ0300 – abrufbar im Internet unter https://eur-lex.europa.eu/legal-content/de/TXT/?uri=CELEX:62021CJ0300