Urteil : Eingeschränkte Exkulpationsmöglichkeiten für Unternehmen im Kontext des Art. 82 DS-GVO : aus der RDV 3/2024, Seite 171-174

1. 82 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass ein Verstoß gegen Bestimmungen dieser Verordnung, die der betroffenen Person Rechte verleihen, für sich genommen nicht ausreicht, um unabhängig vom Schweregrad des von dieser Person erlittenen Schadens einen „immateriellen Schaden“ im Sinne dieser Bestimmung darzustellen.
2. 82 der Verordnung 2016/679 ist dahin auszulegen, dass es für eine Befreiung des Verantwortlichen von seiner Haftung nach Art. 82 Abs. 3 dieser Verordnung nicht ausreicht, dass er geltend macht, dass der in Rede stehende Schaden durch ein Fehlverhalten einer ihm im Sinne von Art.  29 der Verordnung unterstellten Person verursacht wurde.
3. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass zur Bemessung des Betrags des auf diese Bestimmung gestützten Anspruchs auf Schadenersatz zum einen die in Art. 83 dieser Verordnung vorgesehenen Kriterien für die Festsetzung des Betrags von Geldbußen nicht entsprechend anzuwenden sind und zum anderen nicht zu berücksichtigen ist, dass die Person, die Schadenersatz verlangt, von mehreren Verstößen gegen die Verordnung betroffen ist, die sich auf denselben Verarbeitungsvorgang beziehen.

Aus den Gründen:

Zur ersten Frage:

Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 82 Abs. 1 DS‑GVO dahin auszulegen ist, dass ein Verstoß gegen Bestimmungen dieser Verordnung, die der betroffenen Person Rechte verleihen, für sich genommen ausreicht, um unabhängig vom Schweregrad des von dieser Person erlittenen Schadens einen „immateriellen Schaden“ im Sinne dieser Bestimmung darzustellen. […]

Der Gerichtshof hat Art.  82 Abs.  1 DS‑GVO bereits dahin ausgelegt, dass der bloße Verstoß gegen diese Verordnung nicht ausreicht, um einen Schadenersatzanspruch zu begrün‑ den, da das Vorliegen eines materiellen oder immateriellen „Schadens“ eine der Voraussetzungen für den in Art. 82 Abs. 1 vorgesehenen Schadenersatzanspruch darstellt, ebenso wie das Vorliegen eines Verstoßes gegen die DS‑GVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Ver‑ stoß, wobei diese drei Voraussetzungen kumulativ sind (vgl. in diesem Sinne Urt. v. 25.01.2024, MediaMarktSaturn, C 687/21, EU:C:2024:72, Rn. 58 und die dort angeführte Rechtsprechung).

Insofern muss die Person, die auf der Grundlage von Art. 82 Abs. 1 DS‑GVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen dieser Verordnung nachweisen, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (vgl. in diesem Sinne Urt. v. 25.01.2024, MediaMarktSaturn, C 687/21, EU:C:2024:72, Rn. 60 und 61 sowie die dort angeführte Rechtsprechung).

Hierzu ist festzustellen, dass der Gerichtshof Art. 82 Abs. 1 DS‑GVO dahin ausgelegt hat, dass er einer nationalen Vorschrift oder Praxis entgegensteht, die den Ersatz eines im‑ materiellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen gewissen Schweregrad erreicht hat, wobei er hervorgehoben hat, dass diese Person gleichwohl den Nachweis erbringen muss, dass ihr durch den Verstoß gegen diese Verordnung ein solcher immaterieller Schaden entstanden ist (vgl. in diesem Sinne Urt. v. 25.01.2024, MediaMarktSaturn, C 687/21, EU:C:2024:72, Rn. 59 und 60 sowie die dort angeführte Rechtsprechung).

Selbst wenn die verletzte Bestimmung der DS‑GVO natürlichen Personen Rechte gewähren sollte, kann ein solcher Verstoß für sich genommen keinen „immateriellen Schaden“ im Sinne dieser Verordnung darstellen.

Zwar ergibt sich aus Art. 79 Abs. 1 DS‑GVO, dass jede betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen den Verantwortlichen oder einen etwaigen Auftragsverarbeiter hat, wenn sie der Ansicht ist, dass die „ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden“.

Diese Bestimmung verleiht jedoch der Person, die der Ansicht ist, Betroffene eines Verstoßes der ihr aufgrund der DS‑GVO zustehenden Rechte zu sein, lediglich das Recht auf einen Rechtsbehelf, ohne diese Person von der ihr nach Art.  82 Abs.  1 dieser Verordnung obliegenden Verpflichtung zu entbinden, nachzuweisen, dass sie tatsächlich einen materiellen oder immateriellen Schaden erlitten hat.

Folglich reicht der Verstoß gegen Bestimmungen der DS‑GVO, die der betroffenen Person Rechte verleihen, für sich genommen nicht zur Begründung eines materiellen Anspruchs auf Schadenersatz nach dieser Verordnung aus, die verlangt, dass auch die beiden anderen in Rn. 34 des vorliegenden Urteils genannten Voraussetzungen dieses Anspruchs erfüllt sind.

Im vorliegenden Fall begehrt der Kläger des Ausgangsverfahrens auf der Grundlage der DS‑GVO Ersatz eines immateriellen Schadens, nämlich eines Verlusts der Kontrolle über seine trotz seines Widerspruchs verarbeiteten personenbezogenen Daten, ohne nachweisen zu müssen, dass dieser Schaden einen gewissen Schweregrad überschritten hat.

Insoweit ist darauf hinzuweisen, dass der 85. Erwägungsgrund (ErwG) der DS‑GVO ausdrücklich den „Verlust der Kon‑ trolle“ zu den Schäden zählt, die durch eine Verletzung personenbezogener Daten verursacht werden können. Ferner hat der Gerichtshof entschieden, dass der – selbst kurzzeitige – Verlust der Kontrolle über solche Daten einen „immateriellen Schaden“ im Sinne von Art. 82 Abs. 1 dieser Verordnung darstellen kann, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten hat (vgl. in diesem Sinne Urt. v. 25.01.2024, MediaMarktSaturn, C 687/21, EU:C:2024:72, Rn. 66 und die dort angeführte Rechtsprechung).

Nach alledem ist auf die erste Frage zu antworten, dass Art. 82 Abs. 1 DS‑GVO dahin auszulegen ist, dass ein Verstoß gegen Bestimmungen dieser Verordnung, die der betroffenen Person Rechte verleihen, für sich genommen nicht aus‑ reicht, um unabhängig vom Schweregrad des von dieser Person erlittenen Schadens einen „immateriellen Schaden“ im Sinne dieser Bestimmung darzustellen.

Zur zweiten Frage:

Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art.  82 DS‑GVO dahin auszulegen ist, dass es für eine Befreiung des Verantwortlichen von seiner Haftung nach Art. 82 Abs. 3 dieser Verordnung ausreicht, dass er geltend macht, dass der in Rede stehende Schaden durch ein Fehlverhalten einer ihm im Sinne von Art.  29 der Verordnung unterstellten Person verursacht wurde.

Insoweit ist darauf hinzuweisen, dass nach Art. 82 Abs. 2 DS‑GVO jeder an der Verarbeitung Verantwortliche für den Schaden haftet, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, und dass nach Art. 82 Abs. 3 DS‑GVO ein Verantwortlicher von der Haftung gem. Art. 82 Abs. 2 DS‑GVO befreit wird, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

Der Gerichtshof hat bereits festgestellt, dass einer kombinierten Analyse der Abs. 2 und 3 von Art. 82 DS‑GVO zu entnehmen ist, dass dieser Artikel ein Haftungsregime für Ver‑ schulden vorsieht, bei dem davon ausgegangen wird, dass der Verantwortliche an der Verarbeitung, die den fraglichen Verstoß gegen die DS‑GVO darstellt, beteiligt war, so dass die Beweislast nicht der Person obliegt, der ein Schaden entstanden ist, sondern dem Verantwortlichen (vgl. in diesem Sinne Urt. v. 21.12.2023, Krankenversicherung Nordrhein, C 667/21, EU:C:2023:1022, Rn. 92 bis 94).

Was die Frage betrifft, ob der Verantwortliche nach Art. 82 Abs. 3 DS‑GVO von seiner Haftung allein deshalb befreit wer‑ den kann, weil der betreffende Schaden durch das Fehlverhalten einer ihm im Sinne von Art. 29 DS‑GVO unterstellten Person verursacht wurde, geht zum einen aus diesem Art. 29 hervor, dass dem Verantwortlichen unterstellte Personen, wie z.B. seine Mitarbeiter, die Zugang zu personenbezogenen Daten haben, diese Daten grundsätzlich nur auf der Grundlage von Weisungen des Verantwortlichen und im Einklang mit diesen Weisungen verarbeiten dürfen (vgl. in diesem Sin‑ ne Urt. v. 22.06.2023, Pankki S, C 579/21, EU:C:2023:501, Rn. 73 und 74).

Zum anderen sieht Art. 32 Abs. 4 DS‑GVO über die Sicherheit der Verarbeitung personenbezogener Daten vor, dass der Verantwortliche Schritte unternimmt, um sicherzustellen, dass ihm unterstellte natürliche Personen, die Zugang zu solchen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

Bei einem Arbeitnehmer des Verantwortlichen handelt es sich fraglos um eine natürliche Person, die dem Verantwortlichen unterstellt ist. Es ist somit Sache des Verantwortlichen, sich zu vergewissern, dass seine Weisungen von seinen Arbeitnehmern korrekt ausgeführt werden. Daher kann sich der Verantwortliche nicht einfach dadurch nach Art. 82 Abs. 3 DS‑GVO von seiner Haftung befreien, dass er sich auf Fahrlässigkeit oder Fehlverhalten einer ihm unterstellten Person beruft.

Im vorliegenden Fall macht juris in ihren schriftlichen Erklärungen vor dem Gerichtshof im Wesentlichen geltend, dass der Verantwortliche nach Art. 82 Abs. 3 DS‑GVO von seiner Haftung befreit werden müsse, wenn der Verstoß, der den betreffenden Schaden verursacht habe, dem Verhalten eines seiner Mitarbeiter zuzurechnen sei, der die Weisungen des Verantwortlichen nicht befolgt habe, und soweit dieser Verstoß nicht auf eine Verletzung der insbesondere in den Artt. 24, 25 und 32 dieser Verordnung genannten Pflichten des Verantwortlichen zurückzuführen sei.

Insoweit ist hervorzuheben, dass die Umstände der in Art.  82 Abs.  3 DS‑GVO vorgesehenen Befreiung streng auf solche beschränkt werden müssen, unter denen der Verantwortliche nachweisen kann, dass er selbst nicht für den Schaden verantwortlich ist (vgl. in diesem Sinne Urt. v. 14.12.2023, Natsionalna agentsia za prihodite, C 340/21, EU:C:2023:986, Rn. 70). Daher kann dem Verantwortlichen bei einer Verletzung des Schutzes personenbezogener Daten durch eine ihm unter‑ stellte Person diese Befreiung nur zugutekommen, wenn er nachweist, dass es keinen Kausalzusammenhang zwischen der etwaigen Verletzung der ihm gem. den Art. 5, 24 und 32 dieser Verordnung obliegenden Verpflichtung zum Datenschutz und dem der betroffenen Person entstandenen Schaden gibt (vgl. entsprechend Urt. v. 14.12.2023, Natsionalna agentsia za prihodite, C 340/21, EU:C:2023:986, Rn. 72).

Für eine mögliche Befreiung des Verantwortlichen – nach Art. 82 Abs. 3 DS‑GVO – von seiner Haftung kann es daher nicht ausreichen, dass er nachweist, dass er den ihm im Sinne von Art. 29 dieser Verordnung unterstellten Personen Weisungen er‑ teilt hat und dass eine dieser Personen ihrer Verpflichtung, diese Weisungen zu befolgen, nicht nachgekommen ist und sie damit zum Eintritt des in Rede stehenden Schadens beigetragen hat.

Könnte sich der Verantwortliche von seiner Haftung befreien, indem er sich lediglich auf das Fehlverhalten einer ihm unterstellten Person beruft, würde dies nämlich, wie das vor‑ legende Gericht im Wesentlichen ausgeführt hat, die praktische Wirksamkeit des in Art. 82 Abs. 1 DS‑GVO verankerten Anspruchs auf Schadenersatz beeinträchtigen, was nicht im Einklang mit dem Ziel dieser Verordnung stünde, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten.

Nach alledem ist auf die zweite Frage zu antworten, dass Art. 82 DS‑GVO dahin auszulegen ist, dass es für eine Befreiung des Verantwortlichen von seiner Haftung nach Art.  82 Abs.  3 dieser Verordnung nicht ausreicht, dass er geltend macht, dass der in Rede stehende Schaden durch ein Fehlverhalten einer ihm im Sinne von Art. 29 der Verordnung unterstellten Person verursacht wurde.

Zur dritten und zur vierten Frage:

Mit seiner dritten und seiner vierten Frage, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art.  82 Abs.  1 DS‑GVO dahin auszulegen ist, dass zur Bemessung des Betrags des auf diese Bestimmung gestützten Anspruchs auf Schadenersatz zum einen die in Art. 83 dieser Verordnung vorgesehenen Kriterien für die Festsetzung des Betrags von Geldbußen entsprechend anzuwenden sind und zum anderen zu berücksichtigen ist, dass die Person, die Schadenersatz verlangt, von mehreren Verstößen gegen die Verordnung betroffen ist, die sich auf denselben Verarbeitungsvorgang beziehen.

Was als Erstes eine etwaige Berücksichtigung der in Art. 83 DS‑GVO genannten Kriterien bei der Bemessung des Betrags des nach Art.  82 DS‑GVO geschuldeten Schadenersatzes betrifft, steht fest, dass mit diesen beiden Bestimmungen unterschiedliche Ziele verfolgt werden. Während nämlich Art. 83 dieser Verordnung „allgemeine Bedingungen für die Verhängung von Geldbußen“ festlegt, regelt Art.  82 der Verordnung „Haftung und Recht auf Schadenersatz“.

Daraus folgt, dass die in Art.  83 DS‑GVO genannten Kriterien für die Bestimmung der Beträge der Geldbußen, die auch im 148. ErwG dieser Verordnung erwähnt werden, nicht zur Bemessung des Schadenersatzbetrags nach Art.  82 der DS‑GVO herangezogen werden können.

Wie der Gerichtshof bereits festgestellt hat, enthält die DS‑GVO keine Bestimmung über die Bemessung des Schadenersatzes, der aufgrund des in Art. 82 dieser Verordnung verankerten Schadenersatzanspruchs geschuldet wird. Folglich haben die nationalen Gerichte zum Zweck dieser Bemessung nach dem Grundsatz der Verfahrensautonomie die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten über den Umfang der finanziellen Entschädigung anzuwenden, sofern die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachtet werden, wie sie von der ständigen Rechtsprechung des Gerichtshofs definiert werden (vgl. in diesem Sinne Urt. v. 21.12.2023, Krankenversicherung Nordrhein, C 667/21, EU:C:2023:1022, Rn. 83 und 101 sowie die dort angeführte Rechtsprechung, und vom 25.01.2024, MediaMarktSaturn, C 687/21, EU:C:2024:72, Rn. 53).

In diesem Zusammenhang hat der Gerichtshof hervorgehoben, dass Art. 82 DS‑GVO – anders als andere, ebenfalls in Kapitel VIII dieser Verordnung enthaltene Bestimmungen, und zwar ihre Art. 83 und 84, die im Wesentlichen einen Strafzweck haben, da sie die Verhängung von Geldbußen und an‑ deren Sanktionen erlauben – keine Straf, sondern eine Ausgleichsfunktion hat. Das Verhältnis zwischen den in Art.  82 DS‑GVO und den in den Art. 83 und 84 DS‑GVO enthaltenen Vorschriften zeigt, dass zwischen diesen beiden Kategorien von Bestimmungen ein Unterschied besteht, sie einander aber als Anreiz zur Einhaltung der DS‑GVO auch ergänzen, wobei das Recht jeder Person, den Ersatz eines Schadens zu verlangen, die Durchsetzungskraft der in dieser Verordnung vorgesehenen Schutzvorschriften erhöht und geeignet ist, von der Wiederholung rechtswidriger Verhaltensweisen abzuschrecken (Urt. v. 25.01.2024, MediaMarktSaturn, C 687/21, EU:C:2024:72, Rn. 47 und die dort angeführte Rechtsprechung).

Darüber hinaus hat der Gerichtshof aus dem Umstand, dass der in Art. 82 Abs. 1 DS‑GVO vorgesehene Anspruch auf Schadenersatz keine abschreckende oder gar Straffunktion erfüllt, abgeleitet, dass die Schwere des Verstoßes gegen diese Verordnung, durch den der betreffende materielle oder immaterielle Schaden entstanden ist, sich nicht auf die Höhe des auf der Grundlage dieser Bestimmung gewährten Schadenersatzes auswirken kann. Folglich darf dieser Betrag nicht in einer Höhe bemessen werden, die über den vollständigen Ersatz dieses Schadens hin‑ ausgeht (vgl. in diesem Sinne Urt. v. 21.12.2023, Krankenversicherung Nordrhein, C 667/21, EU:C:2023:1022, Rn. 86).

Im Hinblick auf den sechsten Satz des 146. ErwG der DS‑GVO, wonach dieses Instrument einen „vollständigen und wirksamen Schadenersatz für den erlittenen Schaden“ sicherstellen soll, hat der Gerichtshof festgestellt, dass in Anbetracht der Ausgleichsfunktion des in Art.  82 DS‑GVO vorgesehenen Anspruchs auf Schadenersatz eine auf diesen Artikel gestützte finanzielle Entschädigung als „vollständig und wirksam“ anzusehen ist, wenn sie es ermöglicht, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen, ohne dass ein solcher vollumfänglicher Ausgleich die Verhängung von Strafschadenersatz erfordert (Urt. v. 21.12.2023, Krankenversicherung Nordrhein, C 667/21, EU:C:2023:1022, Rn. 84 und die dort angeführte Rechtsprechung).

Angesichts der Unterschiede im Wortlaut und in der Zielsetzung, die zwischen Art. 82 DS‑GVO im Licht des 146. ErwG dieser Verordnung und ihrem Art. 83 im Licht ihres 148. ErwG bestehen, kann daher ungeachtet der Tatsache, dass die in den beiden Bestimmungen vorgesehenen Rechtsbehelfe einander ergänzen, um die Einhaltung dieser Verordnung sicherzustellen, nicht davon ausgegangen werden, dass die in Art.  83 DS‑GVO speziell angegebenen Bemessungskriterien im Rahmen von Art.  82 DS‑GVO entsprechend anwendbar sind.

Was als Zweites die Art und Weise betrifft, in der die nationalen Gerichte den Betrag einer finanziellen Entschädigung nach Art. 82 DS‑GVO im Fall mehrfacher Verstöße gegen die‑ se Verordnung, die dieselbe betroffene Person betreffen, zu bemessen haben, ist zunächst darauf hinzuweisen, dass es, wie in Rn. 58 des vorliegenden Urteils ausgeführt, Sache je‑ des Mitgliedstaats ist, die Kriterien festzulegen, anhand deren der Betrag dieser Entschädigung bemessen werden kann, sofern die unionsrechtlichen Grundsätze der Effektivität und der Äquivalenz beachtet werden.

Angesichts dessen, dass Art. 82 DS‑GVO keine Straf-, sondern eine Ausgleichsfunktion hat, worauf in den Rn. 60 und 61 des vorliegenden Urteils hingewiesen wird, kann sodann der Umstand, dass der Verantwortliche mehrere Verstöße gegen‑ über derselben betroffenen Person begangen hat, nicht als ein relevantes Kriterium für die Bemessung des dieser Person gem. Art.  82 dieser Verordnung zu gewährenden Schadenersatzes herangezogen werden. Um den Betrag der als Aus‑ gleich geschuldeten finanziellen Entschädigung festzulegen, ist nämlich allein der von dieser Person konkret erlittene Schaden zu berücksichtigen.

Folglich ist auf die dritte und die vierte Frage zu antworten, dass Art. 82 Abs. 1 DS‑GVO dahin auszulegen ist, dass zur Bemessung des Betrags des auf diese Bestimmung gestützten Anspruchs auf Schadenersatz zum einen die in Art.  83 dieser Verordnung vorgesehenen Kriterien für die Festsetzung des Betrags von Geldbußen nicht entsprechend anzuwenden sind und zum anderen nicht zu berücksichtigen ist, dass die Person, die Schadenersatz verlangt, von mehreren Verstößen gegen die Verordnung betroffen ist, die sich auf denselben Verarbeitungsvorgang beziehen.

Zur Vertiefung

Wybitbul/Brams/Zhou, Der EuGH erleichtert Massenklagen im Datenschutz = RDV 3/2023

[Urteil] Schadensersatz für subjektive Schäden = RDV 2/2024

[Urteil] Schadensersatz für immaterielle Schäden = RDV 2/2024

[Urteil] Voraussetzungen eines immateriellen Schadensersatzanspruchs nach Art. 82 DS‑GVO = RDV 4/2023