Auslegungssache 124: 100 Euro pro Kontrollverlust?

Lange erwartet, nun viel diskutiert: Das Urteil des Bundesgerichtshofs (BGH) zum Schadensersatzanspruch aus Art. 82 der Datenschutz-Grundverordnung (DSGVO) beschäftigt nicht nur Juristen. Der BGH hatte sich mit der Frage beschäftigt, ob schon der bloße Kontrollverlust über eigene Daten einen immateriellen Schaden begründen kann. Anlass war ein Datenleak bei Facebook im Jahr 2019, bei dem Kriminelle über eine zu weit offene Schnittstelle an Nutzerdaten wie Namen, Telefonnummern und Adressen von über 500 Millionen Nutzern gelangten, darunter mutmaßlich sechs Millionen Deutsche.

Der BGH hatte sich ein Berufungsurteil des Oberlandesgerichts Köln herausgepickt und die Revision zum sogenannten Leitentscheidungsverfahren erklärt. Diese Möglichkeit hat das oberste deutsche Gericht, seit am 31. Oktober das Leitentscheidungsgesetz in Kraft getreten ist: In Fällen, die grundlegende Rechtsfragen betreffen, soll eine Leitentscheidung des BGH als Richtschnur für niedere Instanzen in ähnlichen Fällen dienen.

Größenordnung: 100 €

In seinem Urteil (Az. VI ZR 10/24, PDF) hat der BGH am 18. November die Hürden für immaterielle Schadensersatzansprüche nach Art. 82 DSGVO sehr niedrig gesetzt. Entgegen der Auffassung von Meta könne "auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die DSGVO ein immaterieller Schaden im Sinne der Norm sein". Demnach müssen Betroffene nicht nachweisen, dass ihre Daten missbräuchlich verwendet worden seien. Auch Belege für Angst und Sorge vor einem Missbrauch sind dem Urteil zufolge nicht erforderlich.

Besonders spannend: Nicht nur mündlich während der Urteilsverkündung, sondern auch in seiner schriftlichen Urteilsbegründung gab der BGH den Instanzgerichten konkrete Hinweise zur Höhe der finanziellen Entschädigung für den erlittenen "Kontrollverlust". Für den konkreten Fall, bei dem keine Schäden nachgewiesen wurden, schlug er eine "Größenordnung von 100 Euro" vor. Falls ein Fall gravierender ist, kann der Betrag laut BGH allerdings auch wesentlich höher sein.

Sammelklage eingereicht

Im c't-Datenschutz-Podcast erläutert Dr. Lea Stegemann, Rechtsanwältin und Expertin für Schadensersatzansprüche aus DSGVO-Verstößen heraus, die Hintergründe und Auswirkungen des BGH-Urteils. Stegemann sieht in dem Urteil einerseits einen wichtigen Schritt für den Persönlichkeitsschutz der Betroffenen. Andererseits warnt sie vor Risiken für Unternehmen, wenn nun zusätzlich zu möglichen DSGVO-Bußgeldern noch Schadensersatzforderungen in Millionenhöhe kommen.

Unklar bleibt fürs Erste, wie sich das Urteil auf die Praxis der Legal-Tech-Kanzleien auswirkt, die Betroffene zu Massenklagen animieren. Der Verbraucherzentrale Bundesverband (vzbv) hat jüngst eine Musterfeststellungsklage gegen den Facebook-Mutterkonzern Meta beim Hanseatischen Oberlandesgericht Hamburg eingereicht, der sich jeder Betroffene bald kostenlos anschließen kann.

Stegemann sieht darin Chance, Ansprüche gesammelt anzumelden, ohne in dem einzelnen Fall ein Gerichtsverfahren und eine Beweisaufnahme durchführen zu müssen. Sie plädiert ohnehin für eine Pauschalierung und Bündelung von massenhaft vorhandenen, ähnlich gelagerten Schadensersatzansprüchen, um die Justiz zu entlasten. Der Gesetzgeber könne dafür die Rahmenbedingungen schaffen.

Episode 124:

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Podcasts immer laden Podcast jetzt laden

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Hier geht es zu allen bisherigen Folgen:

• Auslegungssache, der Datenschutz-Podcast des c't Magazins

(hob)