Haftung nach der DSGVO darf nicht auf „erhebliche Schäden“ beschränkt werden

veröffentlicht am 19.05.2023

Erstmals liegt ein Urteil des Europäischen Gerichtshofs zur Haftung nach der DSGVO vor. Anlass war ein Verfahren des Vereins für Konsumenteninformation gegen die Post AG, das dieser im Auftrag des Sozialministeriums wegen Datenschutzverstößen der Post geführt hat.

Mit der Post verbinden viele noch ausschließlich die Brief- und Paketzustellung. Was aber bis 2019 nicht bekannt war: Die Post AG verkauft auch persönliche Daten ihrer Kundinnen und Kunden, die sie aus ihrer Geschäftstätigkeit erfahren hat. Darüber hinaus rechnet sie auf Basis dieser Daten auch die „Affinitäten" der Postkund:innen hoch, also deren Vorlieben. So wird z.B. errechnet, ob jemand spenden-, bio-, oder investmentaffin ist, aber auch für welche politische Partei eine (vermeintliche) Sympathie besteht.

Konsument klagt die Post

Im Wege einer statistischen Hochrechnung leitete die Österreichische Post aus den Daten des klagenden Konsumenten eine hohe Affinität zu einer bestimmten österreichischen politischen Partei ab. Diese Information wurde zwar nicht an Dritte übermittelt, aber der Konsument, der der Verarbeitung seiner personenbezogenen Daten nicht zugestimmt hatte, fühlte sich durch die Zuschreibung beleidigt. Die Speicherung von Daten zu seinen mutmaßlichen politischen Meinungen durch die Österreichische Post habe bei ihm großes Ärgernis und einen Vertrauensverlust sowie ein Gefühl der Bloßstellung ausgelöst.

Durch die Instanzen

Die Klage war auf Unterlassung der Verarbeitung der fraglichen personenbezogenen Daten und auf Zahlung von 1 000 Euro als Ersatz des ihm angeblich entstandenen immateriellen Schadens gerichtet. Das Erstgericht gab dem Unterlassungsbegehren statt, wies das Schadenersatzbegehren aber ab.

Das Berufungsgericht bestätigte das erstinstanzliche Urteil und vertrat im Hinblick auf den Schadenersatzanspruch die Auffassung, dass nach österreichischem Recht ein Verstoß gegen die Vorschriften zum Schutz personenbezogener Daten nicht automatisch zu einem immateriellen Schaden führen würde. Ein Schadenersatzanspruch bestehe nur dann e, wenn der Schaden eine „Erheblichkeitsschwelle“ erreiche. Bei bloß negativen Gefühlen sei das nicht der Fall.

Der Oberste Gerichtshof legte dieses Verfahren dem Europäischen Gerichtshof (EuGH) vor. Er wollte vom EuGH wissen, ob für den Zuspruch von Schadenersatz nach der Datenschutz-Grundverordnung (DGSVO) die DSGVO-Verletzung als solche ausreicht und ob für den Zuspruch eines immateriellen Schadenersatzes ein Schaden „von zumindest einigem Gewicht“ entstanden sein muss, der über einen mit der Rechtsverletzung verbundenen Ärger hinausgeht.

…bis zum EuGH

Der Generalanwalt beim EuGH, der im Vorfeld der verbindlichen Gerichtsentscheidung sogenannte Schlussanträge fällt,  hatte argumentiert, dass nationale Gerichte bei Schadenersatzansprüchen eine Erheblichkeitsschwelle einziehen dürfen. Im konkreten Verfahren sah der Generalanwalt diese Schwelle nicht überschritten. Die Schlussanträge waren von Verbraucherschutzorganisationen massiv kritisiert worden. 

Keine Erheblichkeitsschwelle

In diesem Fall wich der EuGH von der Entscheidung des Generalsanwalts ab und entschied, dass zwar der bloße Verstoß allein (ohne entsprechenden Schaden wie z.B. persönliche Verletztheit oder Ärger) gegen die DSGVO nicht ausreiche, um einen Schadenersatzanspruch zu begründen, aber auf nationaler Ebene keine Erheblichkeitsschwelle für den Ersatz immaterieller Schäden eingezogen werden dürfe. Die DSGVO sieht eine solche Schwelle nicht vor, wie der EuGH nun auch klarstellt. Die Bemessung und Höhe des Ersatzanspruchs unterliege dem nationalen Recht, dennoch dürfen diese Bestimmungen die Ausübung des Rechts auf Schadenersatz nicht praktisch unmöglich machen oder übermäßig erschweren.

Das Verfahren geht nun zurück an die österreichischen Gerichte, die nun auf Grundlage dieses Urteils eine endgültige Entscheidung treffen müssen.

Fazit?

Das Urteil ist aus konsumentenschutzrechtlicher Sicht sehr erfreulich. Viele nationale Gerichte haben Ansprüche wegen des Nichterreichens der vermeintlichen "Erheblichkeitsschwelle" für immaterielle Schäden abgelehnt. Mit diesem Urteil ist klargestellt, dass sie das hinkünftig nicht mehr dürfen.

EuGH 4.5.2023, C‑300/21, Österreichische Post AG