Datenmissbrauch durch Datenhack

Eine der Herausforderungen der heutigen Zeit ist der Schutz unserer persönlichen Daten im Internet vor unbefugtem Zugriff. In den letzten Jahren wurden immer wieder Datenlecks bei Unternehmen aus verschiedenen Branchen public, darunter Banken, Krankenkassen und Versicherungen. Zuletzt bekannt geworden ist hier insbesondere der Datenskandal bei Scalable Capital GmbH, dem Online-Broker aus München. Dort sind 2020 unzählige Kundendaten in die Hände von Hackern gelangt. Dabei handelte es sich persönliche Daten wie Anschrift, E-Mail-Adresse, Kontonummer, Steuer-ID oder Ausweiskopien der Betroffenen.

Diese Vorfälle werfen nicht nur Fragen zur Datensicherheit auf, sondern auch zur Möglichkeit der Geltendmachung von Schadenersatzansprüchen gemäß Artikel 82 der Datenschutz-Grundverordnung (DSGVO).

Datenlecks bei Banken, Krankenkassen und Versicherungen

Nunmehr sind erneut namenhafte Institutionen wie AOK, Barmer, Deutsche Bank, Postbank, Provinzial und auch Verivox Opfer von Datenlecks geworden. Teilweise liegen in unserer Kanzlei Schreiben von Krankenkassen und Versicherungen an unsere Mandanten vor, die über ein kürzlich entdecktes Datenleck informieren. Ursächlich soll die Sicherheitslücke bei einem Dienstleister sein. Abgegriffen wurden in vielen Fällen nicht nur Namen und Geburtsdaten, sondern auch Adressen, Steueridentifikationsnummern uns IBAN-Nummern.

Artikel 82 DSGVO: Schadenersatzansprüche für Betroffene

Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union hat den Schutz personenbezogener Daten zu einem zentralen Anliegen gemacht. Artikel 82 DSGVO gewährt den Betroffenen ein Recht auf Schadenersatz, wenn Betroffene infolge eines Verstoßes gegen die DSGVO einen materiellen oder immateriellen Schaden erlitten haben.

Die Geltendmachung von Schadenersatzansprüchen nach Artikel 82 DSGVO erfordert eine sorgfältige Prüfung und rechtliche Beratung. Betroffene müssen nachweisen können, dass der Datenschutzverstoß tatsächlich zu einem Schaden geführt hat. Dies können nicht nur finanzielle Verluste oder eine Rufschädigung, sondern auch ein Datenkontrollverlust und die Sorge um die kriminelle Verwendung der Daten sein.

Wenn Sie von dem Datenleck betroffen sind, wenden Sie sich gerne an uns. Wir sind eine auf das Datenschutzrecht spezialisierte Anwaltskanzlei. Gemeinsam bewerten wir Ihre Situation und leiten die notwendigen rechtlichen Schritte ein.

Fazit

Datenlecks bei Banken, Krankenkassen und Versicherungen sind alarmierende Ereignisse, welche Bedeutung des Schutzes personenbezogener Daten für den Einzelnen unterstreichen. Die DSGVO bietet Betroffenen ein Instrument, um Schadenersatzansprüche geltend zu machen, wenn sie Opfer solcher Verstöße werden. Wenn Sie den Verdacht haben, dass Ihre Daten bei einem solchen Vorfall betroffen sind, nehmen Sie gerne Kontakt zu uns auf.

Als spezialisierte Anwältin für Datenschutzrecht und Fachanwältin für IT-Recht ist Rechtsanwältin Anne Sulmann langjährig erfahren in der Durchsetzung von Schadensersatzansprüchen nach der DSGVO für Ihre Mandanten und setzt auch Ihre Ansprüche durch. 

Unkompliziert – schnell – verständlich.

ITjur
Rechtsanwältin Anne Sulmann

Seit dem 10.07.2023 ist es so weit: Die EU-Kommission und das Handelsministerium der USA haben das Trans-Atlantic Data Privacy Framework (TADPF) beschlossen. Können Daten an Google, Microsoft, Meta, AWS und Co. nun von der EU sicher in die USA übermittelt werden?

Der Hintergrund des TADPF

Safe-Harbour und Privacy-Shield als Vorgänger des TADPF wurden von dem Europäischen Gerichtshof (EuGH) 2015 bzw. 2020 für unwirksam erklärt. Seit dem 10.07.2023 gilt nun der viel erwartete neue Angemessenheitsbeschluss nach der Datenschutzgrundverordnung (DSGVO) zwischen der EU und den USA, der für eine sichere Datenübermittlung von Daten aus und von der EU in die USA sorgen soll. Das Trans-Atlantic Data Privacy Framework ist ein Abkommen zwischen allen 27 Mitgliedsstaaten der Europäischen Union und den Vereinigten Staaten.

Was ist ein Angemessenheitsbeschluss nach der DSGVO- das TADPF

Ein Angemessenheitsbeschluss nach der DSGVO, genauer nach Art. 45 Abs. 3 DSGVO ist vereinfacht gesagt eine Entscheidung der Europäischen Kommission, dass ein Drittland (ein Land außerhalb der EU/EWR) ein angemessenes Schutzniveau für personenbezogene Daten bietet. Ein solcher Beschluss bestätigt, dass das betreffende Drittland Datenschutzstandards eingeführt hat, die mit den Standards der EU vergleichbar sind und den Schutz personenbezogener Daten in ähnlicher Weise gewährleisten. Personenbezogene Daten dürfen dann in das Drittland übertragen werden, ohne dass zusätzliche Maßnahmen zum Schutz der Daten ergriffen werden müssen.

Safe-Harbour und Privacy-Shield stellten ebenfalls einen solchen Angemessenheitsbeschluss dar. Bekanntlich wurden beide von dem  EuGH für unwirksam erklärt. Ein Grund hierfür lag seit jeher darin, dass die USA gerade kein dem EU-Standard vergleichbares Datenschutzniveau gewährleisten konnten. Denn, wie allgemeinhin bekannt, war Hauptgrund hierfür die nahezu jederzeitige Zugriffsmöglichkeit von US-Behörden, insbesondere der National Security Agency (NSA) auf personenbezogene Daten von EU-Bürgern. Letzte galt übrigens selbst dann, wenn Unternehmen ihren Sitz zwar in den USA, ihrer Service allerdings in der EU vorhielten.

beschränkter Zugriff durch NSA dank Biden

Damit die Zugriffsmöglichkeit der NSA auf personenbezogene Daten von EU-Bürgern zumindest eingeschränkt wird, unterzeichnete US-Präsident Biden bereits am 07.10.2022 die “Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities”. Diese sollte dafür sorgen, dass jedenfalls der Grundsatz der Verhältnismäßigkeit gewahrt wird. Die US-Geheimdienste müssen als vor jedem Zugriff auf Daten von EU-Bürgern überprüfen, ob der Zugriff auf ihre Daten verhältnismäßig ist. Zudem ist ein Beschwerdeverfahren in den USA für EU-Bürger eingerichtet worden. Bei dem Civil Liberties Protection Officer der US-Geheimdienste können EU-Bürger damit künfitg eine Beschwerde beim einreichen. Führt eine solche nicht zum Erfolg, haben EU-Bürger die Möglichkeit vor ein neu geschaffenes Gericht, das Civil Liberties Protection Officer, zu ziehen.

Diese Order hat nun im Wesentlich dafür gesorgt, dass die EU das TADPF beschlossen hat.

Ist die Datenübermittlung zwischen EU und USA nun sicher

Erstmal ja. Denn so lange der EuGH das TADPF nicht wieder für unwirksam erklärt, dürfen sich EU-Unternehmen darauf verlassen, dass nach dem TADPF zertifizierte Unternehmen die Datenschutzstandards einhalten. Anders als bei Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, welche vor Geltung des TADPF überwiegend Rechtsgrundlage für die Übermittlung von personenbezogenen Daten zwischen EU und USA waren, entfällt beim TADPF die verpflichtende eigene Überprüfung des Standards bei den jeweiligen US-Unternehmen.

Wenn Sie Fragen zur Datenübermittlung in die USA, dem TADPF, Cookies und Tracking durch US-Tools haben, wenden Sie sich gerne an uns. Wir helfen.

Unkompliziert – schnell – verständlich.

ITjur
Rechtsanwältin Anne Sulmann

Das Verwaltungsgericht (VG) Wiesbaden hat mit Beschluss vom 01.12.2021, Az. 6 L 738/21 den Einsatz des Cookie-Management Tools ‚Cookiebot‘ untersagt.

Bei Cookiebot handelt es sich um einen der vielen Anbieter eines Cookie-Management-Tools, auch Cookie-Consent-Tool genannt. Entsprechend soll Cookiebot es ermöglichen, eine datenschutzkonforme Einwilligung der Nutzer einer Webseite in die Verwendung der einegsetzten Cookies wie Tracking- und Marketing-Cookies einzuholen.

Das VG Wiesbaden hat einem Websitebertreiber nunmehr jedoch im Wege der einstweiligen Anordnung untersagt, den Dienst Cookiebot auf seiner Website zum Zweck des Einholens von Einwilligungen dergestalt einzubinden, dass personenbezogene oder -beziehbare Daten der Nutzer an einen von externen Unternehmen betriebenen Server übermittelt werden.

Hintergrund für das Verbot war der, dass Cookiebot ein Tool des Content-Delivery-Networks Akamai  Technologies Inc. einsetzt, welche widerrum in den USA sitzt. Zu den an Akami übermittelten Daten gehörte unter anderem die IP-Adresse der Endbenutzer, die URLs der besuchten Websites mit Zeitstempeln mit zugehöriger IP-Adresse, der geografische Standort basierend auf der IP-Adresse sowie Telemetriedaten.

Als US-amerikanisches Unternehmen unterliege Akami dem US-amerikanischen Cloud-Act, einem US-amerikanischen Bundesgesetz vom 6.2.2018, so das VG WIesbaden. Nach diesem seien US-Anbieter elektronischer Kommunikations- oder Remote-Computing-Dienste dazu verpflichtet, sämtliche in ihrem Besitz, Gewahrsam oder ihrer Kontrolle („posession, custody or control“) befindlichen Daten offenzulegen und zwar unabhängig davon, ob die Daten innerhalb oder außerhalb der USA gespeichert seien. 

Die an Akami übermittelte, ungekürzte IP-Adresse stelle ein personenbezogenes Datum dar, denn die IP-Adresse ermöglicht die genaue Identifizierung der Nutzer (vgl. EuGH, Urteil vom 19.10.2016 – C-582/14; BGH, Urteil vom 16.5.2017 – VI ZR 135/13.)

Die Nutzer der Webseite würden hingegen nicht um ihre Einwilligung für eine Datenübermittlung in die USA gebeten werden. Es fände auch keine Unterrichtung über die mit der Übermittlung verbundenen möglichen Risiken durch den sog. Cloud-Act statt. Eine solche Datenübermittlung sei auch nicht für das Betreiben der Webseite erforderlich.

ITjur
Anne Sulmann

Das Landgericht (LG) Mainz hat einem Kläger mit Urteil vom 12.11.2021, Az. 3 O 12/21 einen im Vergleich zur bisherigen Rechtsprechung hohen immateriellen Schadensersatzbetrag nach Art. 82 DSGVO in Höhe von 5.000,00 EUR wegen zunächst nicht gelöschtem negativem Schufa-Eintrag zugesprochen. Trotz vollständiger Zahlung eines durch Vollstreckungsbescheid titulierten Betrages, hatte das den Vollstreckungsbescheid erwirkende Inkassobüro der Schufa zunächst nicht den vollständigen Ausgleich der Forderung durch den Kläger gemeldet, sondern die Forderung gegenüber der Schufa als „Uneinbringliche titulierte Forderung / Einzug unwirtschaftlich“ gekennzeichnet. Dieser Eintrag bestand etwa vier Monate, bis er schließlich gelöscht wurde.

Das sei die Meldung an die SCHUFA auch deshalb rechtswidrig gewesen, weil sie noch vor Zustellung des Vollstreckungsbescheids erfolgt sei.

Das Landgericht Mainz sprach dem Kläger nun einen immateriellen Schadensersatz in Höhe von 5.000,00 EUR zu.

Nach Art. 82 Datenschutzgrundverordnung (DSGVO) steht jeder Person, der wegen eines Verstoßes gegen diese Verordnung ein immaterieller Schaden entstanden ist, ein Anspruch auf Schadenersatz gegen den Verantwortlichen zu. Voraussetzungen und Höhe dieses Anspruchs sind jedoch noch weitestgehend umstritten.

Nach Auffassung des Landgerichts war in dem dort zu beurteilenden Falle die Meldung an die Schufa bereits deshalb rechtswidrig gewesen, weil sie noch vor Zustellung des Vollstreckungsbescheids erfolgt sei. Das Landgericht führt hierzu aus:

„Wie lange die zu fordernde Mindestkarenzfrist zwischen Erlass oder Zustellung des Vollstreckungstitels und der Zulässigkeit der Einmeldung der Forderung zu bemessen ist, bedarf im vorliegenden Fall keiner Entscheidung.

Die streitgegenständliche Ersteinmeldung der Beklagten an die SCH. Holding AG ist noch am Tag des Erlasses des Vollstreckungsbescheides und zwei Tage vor seiner Zustellung an den Kläger erfolgt. Nach Überzeugung der Kammer war die Einmeldung der Forderung an die SCH. Holding AG zu diesem Zeitpunkt nicht von der Bestimmung des § 31 BDSG n. F. gedeckt.“

Zur Höhe des zugesprochenen immateriellen Schadensersatzbetrages lässt es sich wie folgt ein:

„Der Kläger hat jedoch einen nach Art. 82 DSGVO gleichfalls ersatzfähigen immateriellen Schaden erlitten. Voraussetzung für einen Schadenersatzanspruch für immaterielle Schäden nach Art. 82 Abs. 1 DSGVO ist eine benennbare und tatsächliche Persönlichkeitsverletzung. Die in der bisherigen deutschen Rechtsprechung für Schmerzensgeld geforderte Voraussetzung einer schwerwiegenden Persönlichkeitsverletzung verträgt sich hingegen nicht mit Art. 82 Abs. 2 DSGVO; sie ist weder vorgesehen noch von dessen Ziel und Entstehungsgeschichte gedeckt, der Anspruch ist hiervon grundsätzlich unabhängig.

Der Kläger hat plausibel und im Kern unbestritten dargelegt, durch den SCH.-Eintrag eine massive Beeinträchtigung seines sozialen Ansehens im Sinne der Einschätzung seiner Kreditwürdigkeit durch Dritte erlitten zu haben. Die Beklagte hat lediglich die weitere Behauptung des Klägers in Abrede gestellt, die konkret in Rede stehende Einmeldung der Beklagten an die SCH. Holding AG sei auch ursächlich dafür gewesen, dass dem Kläger Kreditkarten gesperrt worden seien und dass seine Immobilienfinanzierung gefährdet gewesen sei. Für diese damit verbundene Verletzung des allgemeinen Persönlichkeitsrechts des Klägers erachtet die Kammereinen Schadenersatzanspruch von 5.000,- € als angemessen, aber auch ausreichend.“

Benötigen auch Sie Unterstützung bei der Durchsetzung von Schadensersatzansprüchen wegen Datenschutzverstoß nach der DSGVO?

Kontaktieren Sie uns gerne, wir helfen.
Unkompliziert – schnell – verständlich.

ITjur
Rechtsanwältin Anne Sulmann

Abgemahnt und dann geklagt hatte die Wettbewerbszentrale gegen den Betreiber einer Website. Dieser hatte auf seiner Website Tracking-Cooking gesetzt, ohne die hierzu erforderliche Einwilligung des Nutzers einzuholen. Der Betreiber hatte hierzu einen Cookie-Banner vorgehalten. Der Cookie-Banner funktionierte hingegen nicht einwandfrei. So konnte der Nutzer zwar nicht notwendige Cookies der Gruppen „Statistik“, „Marketing“ und „Dienste von Drittanbietern“ auswählen oder deaktivieren. Welche Wahl der Nutzer hierbei aber traf, hatte tatsächlich keine Auswirkung. Trotz Auswahl und damit Opt-in nur zu einzelnen Cookies wurden dennoch alle Cookies gesetzt.

Das Landgericht Frankfurt hat dem Websiten-Bertreiber mit Urteil vom 19.10.2021, A. 3-06 O 24/21 nunmehr untersagt, ohne erforderliche Einwilligung des Nutzers auf einer Website nicht notwendige Cookies und/oder vergleichbare Speicherobjekte im Browser des Nutzers zu speichern sowie in den Cookie-Einstellungen anzuzeigen, nicht notwendige Cookies seien deaktiviert, obwohl dies nicht zutreffe.

Die Wettbewerbszentrale bewertete dies nach eigenem Bericht als Verstoß gegen § 3a UWG im Verbindung mit § 15 Abs. 3 Telemediengesetz (TMG) sowie als Irreführung. Auf die Beanstandung der Wettbewerbszentrale hin habe der Betreiber ein technisches Versehen geltend gemacht. Sein Dienstleister habe Prozesse umgestellt, ohne ihn zu informieren.

Das Landgericht Frankfurt hat der Klage nunmehr vollumfänglich stattgegeben. Für den Verstoß gegen § 15 Abs. 3 TMG hafte die Beklagte als Diensteanbieter und somit täterschaftlich. Zudem würden Nutzer in die Irre darüber geführt, dass nicht nur notwenige Cookies abgespeichert würden. Diese Irreführung sei auch wettbewerbsrechtlich relevant.

In § 15 Abs. 3 TMG heißt es:

„Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen. Diese Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden.

Der BGH hatte sich hingegen bereits mit Urteil vom 28.05.2020, Az. I ZR 7/16 in Sachen Planet49 entschieden, dass ein Widerspruch im Sinne dieser Vorschrift durch den Nutzer nicht aktiv vorgenommen werden müsse, sondern ein Widerspruch aufgrund des unionsrechtlichen Einwilligungserfordernis bereits dann anzunehmen sei, wenn eine aktive Einwilligung nicht erteilt werde.

Haben auch Sie eine Abmahnung wegen Cookie-Setzung, DSGVO und UWG erhalten?

Kontaktieren Sie uns gerne, wir helfen.
Unkompliziert – schnell – verständlich.

ITjur
Rechtsanwältin Anne Sulmann

Der BGH hat mit Urteil vom 28.05.2020, Az. I ZR 7/16 in Sachen Planet49 entschieden:

Für das rechtskonforme Setzen von Tracking-, Conversion-, Marketing und Profiling-Cookies ist eine aktive Einwilligung der Nutzer erforderlich. Eine Möglichkeit zum Widerspruch reicht nicht aus.

Spätestens jetzt sollte die Entscheidung der Website-, Blog- und Shoptbetreiber über die Umsetzung der Einholung eines opt-ins für die Cookie-Setzung wohl besser nicht mehr aufgeschoben werden.

Nachdem der Europäische Gerichtshof (EUGH) bereits mit Urteil vom 01.10.2019, Az. C-673/17 über eine entsprechende Vorlagefrage des Bundesgerichtshofs (BGH) zum Erfordernis der aktiven Einwilligung für nicht notwendige Cookies entschieden hatte, ist die nun vorliegende Entscheidung des BGH zwar wenig überraschend, aber eben doch für alle Betreiber beachtenswert.

Die vielfach geführte Diskussion über das Verhältnis der Datenschutzgrundverordnung (DSGVO) zu der einfach gesetzlichen Regelung des § 15 Abs. 3 Telemediengesetz (TMG) ist damit entschieden.

Zur Erinnerung:

15 Abs. 3 TMG regelt, dass der Diensteanbieter (jeder, der eine Website, einen Blog oder einen Shop betreibt) für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile erstellen darf, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer hierzu auf sein Widerspruchsrecht hinzuweisen.

Im Ergebnis doch eine klare Regelung, so könnte man meinen. Ein Widerspruch ist etwas anderes als eine aktive Einwilligung und damit reicht es aus, wenn dem Nutzer ein Widerspruchsrecht eingeräumt wird. 

Zum Hintergrund:

Bereits seit 2009 gibt es eine sogenannte EU-Cookie-Richtlinie, welche widerrum die seit 2002 geltende ePrivacy-Richtlinie novellierte. Die EU-Cookie-Richtlinie sieht in Art. 5 Abs. 3 eindeutig vor, dass die vorherige Einwilligung des Nutzers in die Verwendung von Cookies eingeholt werden muss.

Deutschland war der Auffassung, dass diese Regelung nicht, wie bei Richtlinien erforderlich, in nationales Recht umgesetzt werden müsse. Immerhin gebe es doch schon den § 15 Abs. 3 TMG, dieser regele doch den Umgang mit Cokies.

Widerspruch ist nicht gleich Einwilligung:

Etwas anders dann regelt die DSGVO, bei welcher es sich bekanntlich um eine EU-Verordnung, also keine Richtlinie handelt. EU-Verordnungen gelten, anders als EU-Richtlinien, unmittelbar und bedürfen keiner Umsetzung in nationales Recht.

Die DSGVO enthält zu Cookies nun direkt aber wiederum keine Regelung. Grund dafür ist, dass eigentlich zeitgleich zur DSGVO die sogenannte (neue) ePrivacy-Richtlinie in Kraft treten sollte. Diese lässt aus verschiedenen Gründen hingegen noch immer auf sich warten. Die Anforderungen an eine zulässige Cookie-Setzung bestimmen sich daher nach den allgemeinen Erlaubnistatbeständen der DSGVO zur zulässigen Verarbeitung von Daten. In Betracht kommt für das Setzen von nicht notwendigen Cookies Art. 6 Abs. 1 S. 1 lit. f) DSGVO: Kurz: Das Setzen von Cookies könnte ein berechtigtes Interesse des Anbieters darstellen. Nach dem Erwägungsgrund 47 zur DSGVO kann Werbung auch durchaus ein solches berechtigtes Interesse darstellen.

Also: Tracking, Marketing und Co. können ein berechtigtes Interesse darstellen. Und außerdem reicht nach dem TMG ein Widerspruch. Eine Einwilligung ist also nicht erforderlich.

Was hat der BGH nun entschieden?

Der I. Zivilsenat ist nun den folgenden Weg gegangen: Er stellt in seinem Urteil zunächst fest, dass der Gesetzgeber die bestehende Rechtslage, also die Widerspruchslösung, in Deutschland offenbar für richtlinienkonform erachte. Dies sei auch in Ordnung, so der BGH. Denn mit dem Wortlaut des § 15 Abs. 3 S. 1 TMG sei eine entsprechende richtlinienkonforme Auslegung der Cookie-Richtlinie, also des entsprechend erfoderlichen opt-ins, noch vereinbar.

Der BGH führt dazu aus:

„Im Fehlen einer (wirksamen) Einwilligung kann im Blick darauf, dass der Gesetzgeber mit § 15 Abs. 3 Satz 1 TMG das unionsrechtliche Einwilligungserfordernis umgesetzt sah, der nach dieser Vorschrift der Zulässigkeit der Erstellung von Nutzungsprofilen entgegenstehende Widerspruch gesehen werden.“

Haben Sie Fragen zum Thema Cookie-Setzung oder benötigen Hilfe bei der Umsetzung der Cookie-Erfordernisse?

Kontaktieren Sie uns gerne, wir helfen.
Unkompliziert – schnell – verständlich.

ITjur
Rechtsanwältin Anne Sulmann

Immer wieder stellen Mandaten die Frage, ob ein Datenschutzverstoß, also ein Verstoß gegen die Vorschriften der DSGVO zu einem Anspruch auf Zahlung von Schmerzensgeld führt.

Gemäß Art. 82 Datenschutzgrundverordnung (DSGVO) steht jeder Person, der wegen eines Verstoßes gegen diese Verordnung ein immaterieller Schaden entstanden ist, ein Anspruch auf Schadenersatz gegen den Verantwortlichen zu.

Der Erwägungsgrund Nr. 75 DSGVO stellt hierzu ausdrücklich klar, dass ein immaterieller Schaden insbesondere dann entstehen kann, wenn Personen daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren, vgl. auch LG Lüneburg, Urteil vom 14.07.2020, Az.: 9 O 145/19, AG Pforzheim, Urteil vom 25.03.2020, Az.: 13 C 160/19, ArbG Dresden, Urteil vom 26.08.2020, Az.: 13 Ca 1046/20, ArbG Düsseldorf, Urteil vom 5. März 2020, Az. 9 Ca 6557/18; LG Darmstadt, Urteil vom 26.05.2020, Az.: 13 O 244/19.

Entsprechend kann ein Verstoß zum Beispiel gegen Art. 5 und 6 DSGVO, entsprechend eine Übermittlung oder Veröffentlichung von personenbezogenen Daten ohne Einwilligung des Betroffenen einen Schadensersatzanspruch nach sich ziehen.

Der Erwägungsgrund 146 DSGVO stellt außerdem klar, dass die Höhe des Schmerzensgeldes für immaterielle Schäden sich an der Genugtuungs- und der Abschreckungsfunktion des Schmerzensgeldes orientieren solle.

Also eine klare Sache, so sollte man meinen. Die bisher ergangene Rechtsprechung ist sich dennoch nicht einig. Neben den oben genannten Entscheidungen gibt es immer wieder, insbesondere auch obergerichtliche Entscheidungen, welche einen Schmerzensgeldanspruch ablehnen. Hierfür werden verschiedene Begründungen herangezogen:

So etwa das Oberlandesgericht (OLG) Stuttgart mit Urteil vom 31.03.2021, Az. 9 U34/21. Das Gericht lehnte einen Schadensersatzanspruch mangels DSGVO-Verstoßes und Kausalität ab.

Auch das OLG München lehnte mit Urteil vom 08.12.2020, Az. 18 U 5493/19 den geltend gemachten immateriellen Schadensersatzanspruch ab. Grund hierfür war, dass ein immaterieller Schaden nach Auffassung des Gerichtes nicht vorliege.

Entsprechend hat auch das OLG Düsseldorf mit Beschluss vom 16.03.2021, Az.. I-16 U 317/20 den geltend gemachten Anspruch auf Ersatz des immateriellen Schadens abgelehnt. Zur Begründung führte das OLG aus, dass das allgemeine Persönlichkeitsrecht bereits nicht von Art. 82 DSGV geschützt sei, sondern Art. 82 auf intransparente Datenverarbeitungen zu beschränken wäre. Zudem fehle sowohl an einem Schaden und an der erfoderlichen Kausalität.

In dem Verfahren vor dem OLG Düsseldorf war auch der Beschluss des Bundesverfassungsgerichts vom 14.01.2021, Az. 1 BvR 2853/19 zu der Frage der Anwendbarkeit und Auslegung des Art. 82 DSGVO thematisiert worden. Denn dieser lege nahe, dass die von dem Senat vorgenommene Auslegung, ebenso wie die Frage des Erfordernisses der Erheblichkeit eines Schadens und der Kausalität einer Vorlage bedürfen könnte, weil es um die Auslegung einer Frage des Unionsrechts geht, welche bislang gerade nicht geklärt sei.

Nach Auffassung des OLG Düsseldorf sei es hingegen nicht erforderlich, alle Einzelpunkte des Parteivortrages in den Gründen der Entscheidung zu bescheiden. Der Senat habe die klägerischen Ausführungen in vollem Umfang berücksichtigt, nur sei er der klägerischen Rechtsauffassung nicht gefolgt.

Doe vorbezeichneten Entscheidungen zeigen, dass noch viel Uneinigkeit herscht. Zu Unrecht wie wir meinen. Die DSGVO mitsamt den Erwägungsgründen postioiniert sich klar zu dem Schutz von personenbezoegnen Daten und den Folgen eines Verstoßes gegen datenschutzrechtliche Vorschriften.

Die Kläger in dem Verfahren des OGl Düsseldorf haben übrigens unter anderem gegen den genannten Beschluss des OLG Düsseldorf Verfassungsbeschwerde eingelegt. Wir werden weiter berichten.

Benötigen auch Sie Hilfe bei der Geltendmachung eines immateriellen Schadensersatzanspruches?

Kontaktieren Sie uns gerne, wir helfen.
Unkompliziert – schnell – verständlich.

ITjur
Rechtsanwältin Anne Sulmann