Urteil : Kontrollverlust als immaterieller Schaden : aus der RDV 3/2025, Seite 148 bis 150
(BGH, Urteil vom 28. Januar 2025 – VI ZR 109/23 –)
Relevanz für die Praxis
Im vorliegenden Urteil schärft der BGH die Konturen seiner Rechtsprechung zum Ersatz eines immateriellen Schadens gemäß Art. 82 Abs. 1 DS-GVO. Unter Bezugnahme auf die Rechtsprechung des EuGH betont der BGH zunächst, dass es im Rahmen eines solchen Schadenersatzes nicht auf die Überschreitung einer Bagatellgrenze ankommt. Dennoch ist der Anspruchsteller verpflichtet darzulegen, dass etwaige negative Folgen einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DS-GVO darstellen. Nicht ausreichend ist daher der bloße Verweis auf einen Verstoß gegen die Bestimmungen der DS-GVO. Zugleich bestätigt der BGH seine umstrittene Rechtsprechung zum Kontrollverlust als immateriellen Schaden. Demnach muss ein Anspruchsteller lediglich einen Kontrollverlust darlegen, darüber hinaus aber nicht nachweisen, dass ihm aus diesem Kontrollverlust ein Schaden entstanden ist. Vielmehr stellt der Kontrollverlust selbst den immateriellen Schaden dar. Misslingt der Nachweis eines Kontrollverlusts, genügt es darüber hinaus, wenn die betroffene Person die begründete Befürchtung einer missbräuchlichen Verwendung ihrer Daten aufgrund eines Verstoßes gegen die DS-GVO äußert.
1. Schon der kurzzeitige Verlust der Kontrolle über personenbezogene Daten kann einen Schaden darstellen, ohne dass dieser Begriff des „immateriellen Schadens“ den Nachweis zusätzlicher spürbarer negativer Folgen erfordert.
2. Kann ein Kontrollverlust nicht nachgewiesen werden, reicht die begründete Befürchtung einer Person, dass ihre personenbezogenen Daten aufgrund eines Verstoßes gegen die Verordnung von Dritten missbräuchlich verwendet werden, aus, um einen Schadenersatzanspruch zu begründen.
(Nicht amtliche Leitsätze)
Aus den Gründen:
II. Die zulässige Revision hat in der Sache keinen Erfolg. Das Berufungsgericht hat im Ergebnis zu Recht einen Anspruch des Klägers auf Ersatz von immateriellem Schaden nach Art. 82 Abs. 1 DS-GVO verneint.
1. Zu Recht wendet sich die Revision allerdings gegen die Ansicht des Berufungsgerichts, dem Kläger stehe schon deshalb kein Anspruch auf immateriellen Schadenersatz zu, da eine Bagatellgrenze nicht überschritten sei.
a) Der Begriff des „immateriellen Schadens“ ist in Ermangelung eines Verweises in Art. 82 Abs. 1 DS-GVO auf das innerstaatliche Recht der Mitgliedstaaten im Sinne dieser Bestimmung autonom unionsrechtlich zu definieren (st. , EuGH, Urt. v. 20.06.2024 – C-590/22, DB 2024, 1676 Rn. 31 – PS GbR; Senatsurteil v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 28; jeweils m.w.N.). Dabei soll nach ErwG 146 S. 3 DS-GVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen dieser Verordnung in vollem Umfang entspricht (Senatsurteil vom 18. November 2024 – VI ZR 10/24, DB 2024, 3091 Rn. 28). Weiter hat der Gerichtshof der Europäischen Union (im Folgenden: Gerichtshof) ausgeführt, dass Art. 82 Abs. 1 DS-GVO einer nationalen Regelung oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat (EuGH, Urt. v. 20.06.2024 – C-590/22, DB 2024, 1676 Rn. 26 – PS GbR; Senatsurteil v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 29 m.w.N.).
b) Das Berufungsgericht hat seine Entscheidung unter anderem damit begründet, dass der Kläger lediglich substanzlose und allgemeine Belästigungen dargelegt habe, die eine Bagatellgrenze nicht überschreiten würden. Nach den angeführten Grundsätzen kann ein Anspruch des Klägers auf immateriellen Schadenersatz jedoch nicht mit der Begründung verneint werden, ein Schaden überschreite einen bestimmten Grad an Schwere oder Erheblichkeit, also eine Bagatellgrenze, nicht.
2. Das Berufungsgericht hat einen Anspruch des Klägers zu Recht aber deshalb verneint, weil der Kläger einen immateriellen Schaden bereits nicht hinreichend dargelegt hat.
a) Die Ablehnung einer Erheblichkeitsschwelle durch den Gerichtshof bedeutet nicht, dass eine Person, die von einem Verstoß gegen die Datenschutz-Grundverordnung betroffen ist, der für sie negative Folgen gehabt hat, vom Nachweis befreit wäre, dass diese Folgen einen immateriellen Schaden i.S.v. Art. 82 dieser Verordnung darstellen (vgl. EuGH, Urt. v. 20.06.2024 – C-590/22, DB 2024, 1676 Rn. 27 – PS GbR; Senatsurteil v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 29; jeweils m.w.N). Der bloße Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung reicht nach der Rechtsprechung des Gerichtshofs nicht aus, um einen Schadenersatzanspruch zu begründen, vielmehr ist darüber hinaus – im Sinne einer eigenständigen Anspruchsvoraussetzung – der Eintritt eines Schadens (durch diesen Verstoß) erforderlich (st. Rspr., vgl. EuGH, Urt. v. 20.06.2024 – C-590/22, DB 2024, 1676 Rn. 25 – PS GbR; Senatsurteil v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 28; jeweils m.w.N.)
b) Das Berufungsgericht hat den Vortrag des Klägers – auch den Vortrag in der Klageschrift, auf den die Revision verweist – zu Recht als nicht hinreichend zur Darlegung eines immateriellen Schadens des Klägers angesehen. Deshalb bedarf es keiner Entscheidung, ob überhaupt ein Verstoß gegen die Datenschutz-Grundverordnung vorlag (Art. 95 DS-GVO, Art. 13 Abs. 2 der Richtlinie 2002/58/EG, § 7 Abs. 3 UWG).
Die Revision ist der Ansicht, der Kläger habe ausreichend zu einem immateriellen Schaden vorgetragen, der ihm aus dem gerügten Verstoß gegen die Datenschutz-Grundverordnung entstanden sei. So habe er bereits in der Klageschrift darauf hingewiesen, durch Zusendungen der in Rede stehenden Art werde das ungute Gefühl erweckt, dass personenbezogene Daten Unbefugten bekannt gemacht worden seien, eben weil die Daten unbefugt verwendet worden seien. Der Kläger habe sich mit der Abwehr der von ihm unerwünschten Werbung und der Herkunft der Daten auseinandersetzen müssen, was zu einem durchaus belastenden Eindruck des Kontrollverlusts geführt habe. Außerdem habe der Beklagte nach dem Verstoß zunächst einmal nicht reagiert; darin komme eine erneute Missachtung des Klägers zum Ausdruck.
Aus diesem Vortrag ergibt sich jedoch nicht, dass dem Kläger durch die Verwendung seiner E-Mail-Adresse ohne Einwilligung zum Zweck der Zusendung einer Werbe-E-Mail ein immaterieller Schaden entstanden wäre. Es liegt weder ein auf dem gerügten Verstoß beruhender Kontrollverlust des Klägers über seine personenbezogenen Daten vor (hierzu unter aa)), noch ist die vom Kläger geäußerte Befürchtung eines Kontrollverlusts substanziiert dargelegt (unter bb)). Das Berufungsgericht hat auch keine weiteren Umstände festgestellt, aus denen sich ein immaterieller Schaden ergäbe. Die Revision zeigt insoweit keinen übergangenen Vortrag auf (unter cc))
aa) Der Gerichtshof hat in seiner jüngeren Rechtsprechung unter Bezugnahme auf ErwG 85 DS-GVO (vgl. ferner ErwG 75 DS-GVO) klargestellt, dass schon der – selbst kurzzeitige – Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann, ohne dass dieser Begriff des „immateriellen Schadens“ den Nachweis zusätzlicher spürbarer negativer Folgen erfordert (EuGH, Urt. v. 04.10.2024 – C-200/23, juris Rn. 145, 156 i.V.m. 137 – Agentsia po vpisvaniyata; Senatsurt. v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 30 m.w.N.).
Freilich muss auch insoweit die betroffene Person den Nachweis erbringen, dass sie einen solchen – d.h. in einem bloßen Kontrollverlust als solchem bestehenden – Schaden erlitten hat (vgl. EuGH, Urt. v. 20.06.2024 – C-590/22, DB 2024, 1676 Rn. 33 – PS GbR; Senatsurt. v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 31 m.w.N.). Ist dieser Nachweis erbracht, steht der Kontrollverlust also fest, stellt dieser selbst den immateriellen Schaden dar und es bedarf keiner sich daraus entwickelnden besonderen Befürchtungen oder Ängste der betroffenen Person; diese wären lediglich geeignet, den eingetretenen immateriellen Schaden noch zu vertiefen oder zu vergrößern (Senatsurteil v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 31).
Weder den Feststellungen des Berufungsgerichts noch den Angaben in der Klageschrift, auf die die Revision verweist, ist zu entnehmen, dass der Kläger aufgrund der Verwendung seiner E-Mail-Adresse zur Übersendung der Werbe-E-Mail am 20.03.2020 einen Kontrollverlust über seine personenbezogenen Daten erlitten hätte. Ein Kontrollverlust könnte allenfalls dann vorliegen, wenn der Beklagte die Daten des Klägers mit der Übersendung der Werbe-E-Mail zugleich Dritten zugänglich gemacht hätte. Das war aber nicht der Fall (zu den Voraussetzungen eines Kontrollverlusts auch BAG, DB 2024, 3114 Rn. 18).
bb) Wenn ein Kontrollverlust nicht nachgewiesen werden kann, reicht die begründete Befürchtung einer Person, dass ihre personenbezogenen Daten aufgrund eines Verstoßes gegen die Verordnung von Dritten missbräuchlich verwendet werden, aus, um einen Schadenersatzanspruch zu begründen (vgl. EuGH, Urt. v. 25.01.2024 – C-687/21, CR 2024, 160 Rn. 67 – MediaMarktSaturn; Senatsurteil v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 32 m.w.N). Die Befürchtung samt ihrer negativen Folgen muss dabei ordnungsgemäß nachgewiesen sein (vgl. EuGH, Urt. v. 20.06.2024 – C-590/22, DB 2024, 1676 Rn. 36 – PS GbR; Senatsurteil v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 32 m.w.N.). Demgegenüber genügt die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten (vgl. EuGH, Urt. v. 20.06.2024 – C-590/22, DB 2024, 1676 Rn. 35 – PS GbR; Senatsurteil v. 18.11.2024 – VI ZR 10/24, DB 2024, 3091 Rn. 32 m.w.N.).
Die Revision verweist hierzu auf Vortrag des Klägers, aus dem sich die Befürchtung ergebe, der Beklagte werde die E-Mail-Adresse des Klägers auch Dritten zugänglich machen, da er sie bereits unbefugt (gegenüber dem Kläger) verwendet habe. Damit legt der Kläger aber nur die – im Übrigen aus sich heraus nicht ohne Weiteres nachvollziehbare – Befürchtung weiterer Verstöße gegen die Datenschutz-Grundverordnung durch den Beklagten dar. Diese könnten unter Umständen zu eigenständigen Schadenersatzansprüchen führen. Ein sich daraus gegebenenfalls ergebender Kontrollverlust hätte seine Ursache aber nicht in dem streitgegenständlichen Verstoß. Auch die von der Revision angeführte Abwehr der unerwünschten Werbung rechtfertigt den behaupteten Eindruck eines Kontrollverlusts für sich genommen nicht.
cc) Das Berufungsgericht hat ausgeführt, der Kläger habe zu einer objektiv nachvollziehbaren Beeinträchtigung persönlichkeitsbezogener Belange nicht hinreichend vorgetragen. Demgegenüber macht die Revision geltend, ein immaterieller Schaden liege in der Missachtung des Klägers, die sich auch in der fehlenden Reaktion des Beklagten auf die E-Mail des Klägers vom 20. März 2020 und auf ein gleichlautendes Fax vom 20. April 2020 zeige.
Die Übersendung der Werbe-E-Mail begründet allenfalls den gerügten Verstoß gegen die Datenschutz-Grundverordnung. Dieser reicht allein nicht aus, um zugleich einen immateriellen Schaden i.S.d. Art. 82 Abs. 1 DS-GVO zu begründen (vgl. EuGH, Urt. v. 11.04.2024 – C-741/21, VersR 2024, 1147 Rn. 18 f., 30, 37, 43 – juris, zur Direktwerbung per E-Mail trotz Widerspruchs). Die – durch Übersendung der Werbe-E-Mail erfolgte – Kontaktaufnahme als solche ist nicht ehrverletzend (vgl. Senatsurteil v. 10.07.2018 – VI ZR 225/17, BGHZ 219, 233 Rn. 14 m.w.N.). Die unterbliebene Reaktion des Beklagten auf die E-Mail v. 20.04.2019 und das Fax v. 06.04.2020 könnte einen immateriellen Schaden des Klägers allenfalls vertiefen, aber nicht begründen.
Zur Vertiefung
[Urteil] Schadenersatzanspruch allein aufgrund des Kontrollverlustes über die eigenen Daten = RDV 1/2025
[Urteil] Kein Schadensersatz bei hypothetischem Verwendungsrisiko = RDV 2/2024