Schadenersatz für Betroffene nach der DSGVO: Wichtiges Urteil steht bevor

Der Europäische Gerichtshof (EuGH) wird Anfang Mai entscheiden, unter welchen Bedingungen ein Betroffener Schadenersatz von einem datenverarbeitenden Unternehmen verlangen kann (siehe Art. 82 DSGVO), wenn es zu Verstößen gegen die DSGVO gekommen ist. Die bisherigen Urteile der Gerichte sind dazu sehr uneinheitlich. Welche Auswirkungen wir das Urteil des höchsten europäischen Gerichts haben?

Zunächst: Der EuGH ist immer dann zuständig, wenn es um einheitliche Rechtsprechung innerhalb der EU geht. Beim EuGH liegen aktuell aus verschiedenen EU-Staaten Anfragen vor, wie man mit dem Thema Schadenersatz umzugehen hat (u.a. auch aus Deutschland).

Muss der Schaden bewiesen werden?

Eine zentrale Frage dabei ist: Muss der Betroffene durch Verstöße des Unternehmens einen tatsächlichen beweisbaren Schaden haben? Ein paar Beispiele, bei denen die bevorstehende Entscheidung des EuGH sich auswirken kann:

• Ein Messe-Veranstalter erhebt Daten von Teilnehmern, die er an seine Aussteller weitergibt, die wiederum die Daten zu Werbezwecken nutzen – der Betroffene wurde aber nicht ausreichend bzw. korrekt informiert.
• Auf der Veranstaltungswebseite werden Tools verwendet, über die Daten in die USA transferiert werden, ohne dass dafür eine korrekte Rechtsgrundlage angegeben ist.
• Der Veranstalter installiert für sein Gelände eine Videoüberwachung, die Besucher wurden nicht korrekt informiert.
• Eine Agentur bekommt Teilnehmerdaten vom Veranstalter, ohne dass ein Auftragsverarbeitungsvertrag geschlossen wurde.
• Der Veranstalter beauftragt eine Agentur, diese wiederum beauftragt einen Fotografen, der Fotos der Veranstaltung macht, auf denen auch Besucher erkennbar sind. Die datenschutzrechtlichen Verantwortlichkeiten sind nicht geklärt, und die Fotos werden in Sozialen Medien verbreitet.

Man kann sich leicht vorstellen, wie gegensätzlich und heftig die Auswirkungen eines Urteils sein können:

• Variante 1: Der EuGH entscheidet, dass der Betroffene einen Schaden beweisen muss, den er durch einen DSGVO-Verstoß erlitten haben will. Das würde allerdings die Rechte von Betroffenen erheblich einschränken, so dass die Wahrscheinlichkeit nicht sonderlich hoch ist, dass der EuGH zu solch einem Urteil kommen wird.
• Variante 2: Das andere Extrem wäre, dass der EuGH feststellt, dass kein Schaden bewiesen werden muss, sondern quasi allein der Verstoß ein Schaden ist; ein solches Urteil würde einerseits die Rechte von Betroffenen massiv stärken, aber andererseits die Risiken für Unternehmen massiv erhöhen.
• Variante 3: Der EuGH findet einen raffinierten Mittelweg, der aber dann voraussichtlich dazu führen wird, dass abstrakte Parameter aufgestellt werden, die dann im Einzelfall konkretisiert werden müssten (was oftmals wiederum ein Nachteil für den Betroffenen sein kann, seine Rechte durchzusetzen).

Update vom 08.05.2023: Das Urteil ist da. Unsere Zusammenfassung des Urteils finden Sie hier. Sie wollen auch weiterhin aktuell bleiben? Abonnieren Sie unseren Newsletter!

Handlungsempfehlung für Unternehmen

Egal ob Bußgelder, behördliche Anordnungen zum Löschen von Datensätzen, oder eben drohende Schadenersatzansprüche von Betroffenen: Verstöße gegen die DSGVO können empfindliche Folgen für das datenverarbeitende Unternehmen haben.

Prüfen Sie, ob und dass Sie die notwendigen Maßnahmen ergriffen haben, und dass diese auch funktionieren. Es hilft wenig, wenn in der Schublade der Mitarbeiter die Richtlinien schlummern, sie aber im Praxisalltag nicht umgesetzt werden.

Wissen alle Mitarbeiter, die mit personenbezogenen Daten zu haben, was Sie tun müssen bzw. was sie nicht dürfen?

Checken Sie unsere Übersicht der möglichen Datenverarbeitungsvorgänge in einem Unternehmen bzw. bei einer Veranstaltung: Haben Sie alles bedacht und erfasst?