Uferlose Schadensersatzforderungen bei DSGVO-Verstößen trotz anstehender Entscheidung des EuGH nicht zu erwarten

Bisher konnten Betroffene einer Datenpanne vor deutschen Gerichten nicht auf hohen immateriellen Schadensersatz auf Grundlage der DSGVO hoffen. Das könnte sich nun ändern: Vor kurzem bat das Bundesarbeitsgericht den Europäischen Gerichtshof (EuGH) um Klärung der Frage, ob immaterieller Schadensersatz in „abschreckender“ Höhe auch ohne Verschulden des Verantwortlichen auf Grundlage von Art. 82 Abs. 1 DSGVO an den Betroffenen zu leisten ist.

Dem Gericht ist dabei zuzustimmen, wenn es für die Bemessung des immateriellen Schadensersatzes die Berücksichtigung aller Umstände des Einzelfalls fordert, um einen vollständigen und wirksamen Schadensersatz zu erreichen. Indes verkennt es jedoch, dass eine Sanktionswirkung über den Schadensausgleich hinaus – wie auch bekannt aus anderen Bereichen des Unionsrechts – im Datenschutzrecht über das Instruments des Bußgelds nach Art. 83 DSGVO erreicht wird.

Die Aufsichtsbehörden haben sicherzustellen, dass Verstöße gegen die DSGVO in jedem Einzelfall wirksam, verhältnismäßig und abschreckend mittels Geldbußen geahndet werden. Die Höhe richtet sich dabei auch nach dem Verschulden sowie erschwerenden oder mildernden Umständen im jeweiligen Fall. Weshalb das Gericht dennoch davon ausgeht, dass eine verschuldensunabhängige und über den Ausgleich hinausgehende Schadensersatzzahlung von der DSGVO gefordert werden könnte, ist unklar, erfüllen doch bereits die Aufsichtsbehörden diese Funktion.

Von Vergleichbarem geht auch der österreichische Oberste Gerichtshof aus, wenn er in seinen ebenfalls kürzlich eingereichten Vorlagefragen an den EuGH davon ausgeht, dass für die Zahlung eines immateriellen Schadensersatzes zumindest ein „Verstoß einigen Gewichts“ vorliegen muss, der über eine gewöhnliche Verletzung von Bestimmungen der DSGVO hinausgeht.

Anderenfalls wäre mit einer Welle von Klagen auf immateriellen Schadensersatz bei bereits kleinsten Verstößen gegen die DSGVO zu rechnen, die sowohl die Justiz als auch die einzelnen Unternehmen deutlich über die Gebühr belasten würde. Neben dem zu zahlenden Schadensersatz käme zudem das erwähnte Bußgeld nach Maßgabe des Art. 83 DSGVO von bis zu 20 Millionen Euro, so dass eine doppelte „Bestrafung“ das Resultat wäre. Vorzugswürdig wäre daher allenfalls, dass die Aufsichtsbehörden ihre Sanktionsaufgabe künftig ernster nehmen und der Art. 82 Abs. 1 DSGVO weiter seiner grundsätzlichen Bedeutung – dem Ausgleich eines entstandenen Schadens dient. Ob dies auch so entschieden wird, bleibt abzuwarten.

Fraglich ist überdies, ob die Entscheidung des EuGH nicht dennoch eine großzügigere Bemessung des immateriellen Schadens im Einzelfall vorgibt. Sicherlich wird die anstehende Entscheidung erneut den Fokus auf den Datenschutz in Unternehmen intensivieren, sodass eine sorgfältige datenschutzrechtliche Aufstellung spätestens nun Thema sein sollte.

Fazit: Es ist aufgrund der wachsenden Aufmerksamkeit wichtiger denn je, ein Unternehmen datenschutzrechtlich sauber aufzustellen, um hohe Zahlungen vermeiden. Es bleibt zu hoffen, dass der EuGH einem vermittelnden Ansatz folgt und die in der DSGVO angelegte Aufgabenverteilung zwischen Aufsichtsbehörde und Gerichten entsprechend würdigt.