EuGH-Urteil ist da zum Schadenersatz bei DSGVO-Verstößen

Verstöße gegen die Datenschutzgrundverordnung (DSGVO) können u.a. zu einem Schadenersatzanspruch des/der Betroffenen führen – also derjenigen Personen, deren Daten durch den Verstoß rechtswidrig verarbeitet oder missbraucht wurden.

Drei einfache Beispiele:

• Es gibt ein Datenleck, und die Daten von Veranstaltungsbesuchern landen offen im Netz.
• Ein Kongressveranstalter leitet die Teilnehmerdaten an Referenten und Aussteller weiter, ohne die Teilnehmer darüber informiert zu haben.
• Ein Veranstalter macht Fotos von Besuchern seiner Veranstaltung und stellt diese online, ohne die Besucher ordnungsgemäß informiert zu haben.

In diesen Fällen könnte ein Besucher nun Schadenersatz vom Veranstalter fordern. Allerdings sind sich die Gerichte über viele Details eines solchen Anspruchs nicht einig. Eine der wesentlichen Fragen: Muss der Besucher einen Schaden wirklich haben und ihn beweisen, oder reicht allein der Verstoß bereits aus?

Diese Frage hat nun der Europäische Gerichtshof (EuGH) entschieden.

Der EuGH stellte fest, dass der bloße Verstoß gegen die DSGVO noch keinen Schadensersatzanspruch begründet. Hätte er das so entschieden, wäre das maximal fatal für die Unternehmen, da es dann auch einem nur vermeintlich Betroffenen (bspw. der aktiv nach Fehlern gesucht hat) möglich gewesen wäre, Schadenersatz zu fordern.

Der EuGH hat vielmehr entschieden, dass zumindest ein Schaden entstanden sein muss.

Mit unserer Kombination aus Expertise im Veranstaltungsrecht und Datenschutzrecht unterstützen wir Unternehmen aus der Veranstaltungsbranche bei der Erfüllung der DSGVO-Anforderungen: Sei es beim Betrieb einer Webseite, beim Teilnehmermanagement, bei Foto- und Videoaufnahmen, bei Live-Streams, Bewerber-Pools, Kundenaufträge, ZVÜ´s usw. Interesse? Schreiben Sie uns eine E-Mail an info@eventfaq.de; gerne können wir unverbindlich besprechen, wo Bedarf ist.

Aber: Ein weiterer Streitpunkt drehte sich um die Frage, ob dieser Schaden irgendwie erheblich sein müsse, oder ob quasi auch ein unbedeutender Schaden (“hach, ist doch nicht so schlimm”) ausreichen würde. Auch hierzu waren sich die Gerichte uneinig, das Bundesarbeitsgericht hatte bspw. zuvor entschieden, dass ein minimaler Schaden nicht ausreichen würde, Schadenersatz fordern zu dürfen.

Der EuGH hat in seinem Urteil aber festgestellt, dass es keine Erheblichkeitsschwelle gibt: D.h. es muss zwar vom Betroffenen ein Schaden nachgewiesen werden, aber es ist egal, wenn er auch nur sehr klein sein sollte.

Zwei Beispiele:

• Es reicht aus, dass der Betroffene bspw. belästigende Anrufe oder E-Mails erhält (z.B. von Ausstellern des Veranstalters, die die Besucherdaten bekommen haben, ohne dass die Besucher darüber ordnungsgemäß informiert wurden); die Belästigung mag geringfügig sein, aber es wäre ein (sog. immaterieller) Schaden. Aktuell sprechen Gerichte beim Datenleck bei Facebook den Betroffenen zwischen 200 und 700 Euro zu. Das erscheint auf den ersten Blick wenig, aber multipliziert sich schnell, wenn es mehrere Betroffene gibt (plus Anwalts- und Gerichtskosten).
• Oder: Der Besucher findet ein Foto von sich im Internet…

So oder so: Neben dem Schadenersatz droht natürlich auch Ärger mit der Aufsichtsbehörde, wenn der Betroffene sich dorthin wendet und diese das Unternehmen überprüft. Denn üblicherweise wird dann nicht nur diese eine Veranstaltung geprüft, sondern alle Datenverarbeitungen im Unternehmen.

Unterstützung zur DSGVO?

Wir unterstützen Sie auf Ihrem Weg durch den Paragraphen-Dschungel der DSGVO: Schreiben Sie uns eine E-Mail an info@eventfaq.de.

Übrigens: Wir veranstalten auch Webinare u.a. zum Thema Datenschutz.