Kurzbeitrag : Der EuGH erleichtert Massenklagen im Datenschutz : aus der RDV 3/2023 Seite 185 bis 187
Der EuGH hat sich in seinem Urteil vom 4. Mai 2023 in der Rs. C-300/21 erstmals zu den Voraussetzungen eines immateriellen Schadensersatzanspruchs nach Art. 82 DS-GVO geäußert. Die entsprechenden Aussagen dürften es Klägeranwälten und anderen auf die Geltendmachung von DS-GVOSchadensersatz spezialisierten Dienstleistern zukünftig erheblich erleichtern, massenhaft Schadensersatzansprüche gegen Unternehmen durchzusetzen.
I. Einleitung
Die Anzahl von Verfahren wegen des Ersatzes immaterieller Schäden nach Art. 82 DS-GVO nimmt immer weiter zu. Typische Anlässe für entsprechende Verfahren sind etwa bekannt gewordene Datenpannen oder Datenschutzverstöße durch Unternehmen. Häufig kombinieren Kläger entsprechende Anträge mit Auskunftsansprüchen nach Art. 15 DS-GVO. Sie argumentieren dann, dass Unternehmen die Auskunft nicht rechtzeitig bzw. nicht vollständig beantwortet hätten. Und allein dieser Verstoß begründe einen ersatzfähigen immateriellen Schaden nach Art. 82 DS-GVO. Der EuGH hatte sich in seiner Entscheidung erstmals mit den entsprechenden Rechtsfragen auseinanderzusetzen.[1]
Deutsche Gerichte legen Art. 82 DS-GVO bislang unterschiedlich weit und insgesamt sehr uneinheitlich aus. Die überwiegende Anzahl der Gerichte ging davon aus, dass Kläger einen über den bloßen DS-GVO-Verstoß hinausgehenden Schaden geltend machen müssten.[2] Erste Gerichte sind von dieser Linie aber zwischenzeitlich abgewichen. So hat beispielsweise das Arbeitsgericht Oldenburg einem Arbeitnehmer 10.000,- EUR wegen eines verspätet beantworteten Auskunftsersuchens nach Art. 15 DS-GVO zugesprochen.[3] Auch das Bundesarbeitsgericht ging in einem Vorlagebeschluss zum EuGH davon aus, dass bereits der Verstoß gegen die DS-GVO einen immateriellen Schadensersatzanspruch begründen könne.[4]
m Rahmen entsprechender Schadensersatzverfahren wird häufig auch die Frage relevant, ob Art. 82 DS-GVO eine Erheblichkeitsschwelle in Bezug auf geringfügige Beeinträchtigungen vorsieht.[5] Das Bundesverfassungsgericht hatte in einem Beschluss in 2021 klargestellt, dass die entsprechende Rechtsfrage abschließend durch den EuGH zu klären sei.[6] Dies ist jetzt im Rahmen des Urteils vom 4. Mai 2023 geschehen.
II. Ausgangsverfahren und Vorlagefragen
Im Ausgangsverfahren sammelte die Beklagte ab dem Jahr 2017 Informationen über politische Affinitäten österreichischer Bürger. Unter Zuhilfenahme von Algorithmen definierte sie anhand dieser Daten „Zielgruppenadressen“. Die entsprechenden Informationen veräußerte sie an verschiedene Organisationen wie Parteien, die die Daten für zielgerichtete Werbung nutzen konnten.[7] Auch der Kläger war von dieser Datenverarbeitung betroffen. Die Beklagte schrieb dem Kläger eine politische Affinität zu einer Partei zu, mit der er nicht einverstanden war. Daraufhin erhob er Klage gegen die Beklagte auf Zahlung von 1.000,- EUR aufgrund des von ihm behaupteten entstandenen immateriellen Schadens.[8]
Sowohl die erste als auch die zweite Instanz wiesen die Klage auf Schadensersatz nach Art. 82 DS-GVO jeweils als unbegründet ab.[9] Der Kläger wandte sich daraufhin im Wege der Revision an den Obersten Gerichtshof (Österreich), der dem EuGH drei Fragen zur Auslegung von Art. 82 DS-GVO zur Vorabentscheidung nach Art. 267 AEUV vorlegte.[10]
III. Die Entscheidung des EuGH
Die Entscheidung des EuGH bringt in einigen Punkten Klarheit. Viele für künftige Entscheidungen wichtige Aspekte lassen die Luxemburger Richter aber offen.
1. Kein Schaden durch DS-GVO-Verstoß
Der EuGH stellt klar, dass ein Verstoß gegen die DS-GVO für sich betrachtet keinen Schadensersatzanspruch nach Art. 82 DS-GVO begründet.
Zur Begründung verweist der EuGH auf den aus seiner Sicht klaren Wortlaut der Norm, der das Vorliegen eines Schadens voraussetze. Zudem wäre das Tatbestandsmerkmal „Schaden“ überflüssig, wenn der bloße Verstoß gegen die DS-GVO einen Schadensersatzanspruch rechtfertigen könnte.[11] Darüber hinaus ergebe sich auch aus einer systematischen Auslegung das Erfordernis des Eintritts eines Schadens. So seien im Gegensatz zu Art. 82 DS-GVO die Vorschriften zur Verhängung von Geldbußen und anderen Sanktionen gem. Artt. 83, 84 DS-GVO nicht vom Vorliegen eines individuellen Schadens abhängig. Der EuGH betont insofern, dass sich diese beiden Regelungskomplexe ergänzen.[12]
Der EuGH schlussfolgert hieraus, dass Kläger konkret nachweisen müssen, dass ihnen tatsächlich ein immaterieller Schaden entstanden ist, der kausal auf einem Verstoß gegen die DS-GVO beruht.[13] Diese Wertungen bieten einige Anhaltspunkte für die erfolgreiche Verteidigung beklagter Unternehmen.
2. Keine Erheblichkeitsschwelle für DS-GVO-Schaden
Auf der anderen Seite geht der EuGH aber davon aus, dass Art. 82 DS-GVO keine Erheblichkeitsschwelle für geringfügige Beeinträchtigungen vorsehe. Die Annahme einer entsprechenden Erheblichkeitsschwelle widerspreche dem in Erwägungsgrund 146 S. 3 zum Ausdruck kommenden weiten Verständnis des Begriffs „Schaden“.[14] Aus Sicht des EuGH spricht zudem gegen die Annahme einer Erheblichkeitsschwelle, dass die graduelle Abstufung einer Schwelle durch das jeweilige angerufene Gericht unterschiedlich hoch ausfallen könnte. Dies stehe einer gleichmäßigen und einheitlichen Anwendung des Art. 82 DS-GVO innerhalb der Union entgegen.[15]
Mit der Ablehnung einer Erheblichkeitsschwelle geht der EuGH über die Schlussanträge des Generalanwalts hinaus, der anders als jetzt der Gerichtshof eine Erheblichkeitsschwelle gefordert hatte.[16]
3. Schadensersatzhöhe nach nationalem Recht
Der EuGH stellt überdies fest, dass die DS-GVO keine Vorgaben zur Bemessung von Schadensersatzansprüchen vorsehe. Danach seien die Mitgliedstaaten dafür verantwortlich, die Kriterien für die Ermittlung des Umfangs von Schadensersatzansprüchen nach Art. 82 DS-GVO zu regeln. Hierbei seien aber die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität zu beachten.[17] Ein vollumfänglicher Schadensausgleich erfordert aber nach Auffassung des EuGH keine Verhängung von Strafschadensersatz.[18]
IV. Auswirkungen und Fazit
Die Entscheidung des EuGH hat für die Praxis weitreichende Folgen. Der EuGH trifft zwar einige Aussagen, auf die sich Unternehmen im Rahmen einer Verteidigung gegen Schadensersatzansprüche stützen können. Dies gilt insbesondere für die Annahme, dass ein bloßer Verstoß gegen die DS-GVO keinen ersatzfähigen Schaden begründet.
Im Übrigen legt der EuGH die Voraussetzungen für die Geltendmachung von DS-GVO-Schadensersatz zugunsten von Klägern weit aus. Danach könnten auch geringfügige Beeinträchtigungen, wie eine bloße Verärgerung, oder sonstige Bagatellschäden einen ersatzfähigen Schaden begründen. Durch die Ablehnung einer Erheblichkeitsschwelle erleichtert der EuGH es Klägern, deren Anwälten und auf solche Ansprüche spezialisierten Rechtsdienstleistern im Ergebnis, immateriellen Schadensersatz geltend zu machen. Die Wertungen des EuGH könnten zur Folge haben, dass etwa massenhafte Verfahren unter Einsatz von Legal Tech-Anwendungen oder Künstlicher Intelligenz wirtschaftlich noch lukrativer werden. Denn die Klägervertreter müssen nicht fürchten, dass ihre Forderungen an einer Erheblichkeitsschwelle scheitern.
Für Unternehmen in der Praxis kann es daher wichtig sein, Strategien zu entwickeln, um sich in möglichen Schadensersatzverfahren effektiv verteidigen zu können. Das dies weiterhin möglich ist, zeigt die Entscheidung des EuGH deutlich. Danach obliegt es den Klägern, das Vorliegen eines DS-GVO-Verstoßes, eines Schadens und die Ursächlichkeit des Verstoßes für den behaupteten Schaden darzulegen und zu beweisen. Hier gelten grundsätzlich die nationalen Vorgaben zur Darlegungs- und Beweislast, in Deutschland etwa nach der Zivilprozessordnung und der hierzu ergangenen Rechtsprechung des Bundesgerichtshofs.[19]
Auch wenn noch viele Fragen in Bezug auf Art. 82 DS-GVO ungeklärt sind, ist damit zu rechnen, dass in der Praxis die Zahl an Schadensersatzverfahren weiter zunehmen wird. Diese Entwicklung wird auch durch die sehr zeitnah umzusetzende EU-Verbandsklage weiter beschleunigt.[20] Zwar können Kläger zukünftig nicht mehr pauschal behaupten, ihnen sei durch einen vermeintlichen Verstoß des Unternehmens gegen die DS-GVO ein Schaden entstanden. Eine entsprechende weitergehende Individualisierung von Sachvortrag wird aber nicht zuletzt durch den Einsatz von Künstlicher Intelligenz und anderer automatisierter Verfahren im Rahmen von Legal Tech für Kläger und deren Vertreter zukünftig erheblich einfacher.
Der Autor Wybitul ist Rechtsanwalt und Fachanwalt für Arbeitsrecht; die Autorin Brams ist Rechtsanwältin, beide bei Latham & Watkins LLP in Frankurt a.M.; der Autor Zhou ist Rechtsreferendar bei Latham & Watkins LLP in Washington DC.
[1] EuGH, Urt. v. 04.05.2023 – C-300/21.
[2] Vgl. etwa OLG Frankfurt a.M., Urt. v. 02.03.2022 – 13 U 206/20, GRUR-RS 2022, 4491/21k; OLG Brandenburg, Beschl. v. 11.08.2021 – 1 U 69/20, BeckRS 2021, 24733
[3] ArbG Oldenburg, Teilurt. v. 09.02.2023 – 3 Ca 150/21, BeckRS 2023, 3950; so bereits zuvor ArbG Düsseldorf, Urt. v. 05.03.2020 – 9 Ca 6557/18, BeckRS 2020, 11910.
[4] BAG, Beschl. v. 26.08.2021 – 8 AZR 253/20 (A), Rn. 33.
[5] So etwa OLG Dresden, Urt. v. 20.08.2020 – 4 U 784/20, ZD 2021, 93; a.A. beispielsweise OLG Frankfurt a.M., Urt. v. 02.03.2022 – 13 U 206/20, GRUR-RS 2022, 4491/21k.
[6] BVerfG, Beschl. v. 14.01.2021 – 1 BvR 2853/19, BeckRS 2021, 1962.
[7] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 11.
[8] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 12 f.
[9] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 13 f
[10] OGH, Vorlagebeschl. v. 12.05.2021 – 6 Ob 35/21.
[11] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 34
[12] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 38 ff.
[13] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 50.
[14] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 46.
[15] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 48 f.
[16] Schlussanträge von Generalanwalt Campos Sánchez-Bordona v. 06.10.2022 – C-300/21, Rn. 108, 117
[17] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 54
[18] EuGH, Urt. v. 04.05.2023 – C-300/21, Rn. 57 f.
[19] Vgl. hierzu grundlegend OLG Stuttgart, Urt. v. 31.03.2021 – 9 U 34/21, ZD 2021, 375.
[20] Vgl. für einen Überblick zur geplanten Verbandsklage Schuschnigg, EuZW 2022, 1043.