Wann Kontrollverlust, Missbrauchsangst und weitere Folgen einen Anspruch begründenDSGVO-Schadensersatz: Reicht ein kleiner Datenschutzverstoß?
DSGVO-Schadensersatz kann auch bei einem vergleichsweise kleinen Datenschutzverstoß in Betracht kommen. Eine feste Bagatellgrenze gibt es nicht. Der Verstoß allein führt jedoch noch nicht automatisch zu einem Zahlungsanspruch.
Welche Voraussetzungen gelten für DSGVO-Schadensersatz?
Art. 82 DSGVO setzt drei Voraussetzungen voraus:
• einen Verstoß gegen die Datenschutz-Grundverordnung,
• einen materiellen oder immateriellen Schaden und
• einen ursächlichen Zusammenhang zwischen dem Verstoß und dem Schaden.
Diese Voraussetzungen müssen gemeinsam vorliegen. Wer Schadensersatz verlangt, muss daher nicht nur einen Datenschutzverstoß darlegen, sondern auch erklären und gegebenenfalls beweisen, welche nachteiligen Folgen dadurch entstanden sind.
Gibt es eine Bagatellgrenze?
Der Europäische Gerichtshof hat klargestellt, dass ein immaterieller Schaden keine bestimmte Erheblichkeit erreichen muss. Nationale Gerichte dürfen einen Anspruch deshalb nicht allein mit der Begründung ablehnen, die Beeinträchtigung sei zu gering oder nur von kurzer Dauer gewesen.
Das bedeutet aber nicht, dass jeder DSGVO-Verstoß automatisch zu Schadensersatz führt. Die bloße Verletzung einer Vorschrift und der ersatzfähige Schaden sind rechtlich voneinander zu unterscheiden. Auch ein geringer Schaden muss tatsächlich entstanden sein.
Was kann ein immaterieller Schaden sein?
Ein immaterieller Schaden kann beispielsweise in einem tatsächlichen Verlust der Kontrolle über personenbezogene Daten liegen. Eine konkrete missbräuchliche Verwendung der Daten muss dafür nicht zwingend bereits eingetreten sein.
Auch die begründete Befürchtung, dass Dritte personenbezogene Daten künftig missbrauchen könnten, kann einen Schaden darstellen. Ob eine solche Angst ausreicht, hängt von den Umständen des Einzelfalls ab. Zu berücksichtigen sind unter anderem Art und Sensibilität der Daten, der Kreis möglicher Empfänger, die Dauer des Kontrollverlusts und das konkrete Missbrauchsrisiko.
Eine nur abstrakte oder pauschal behauptete Sorge genügt dagegen nicht ohne Weiteres. Das zuständige Gericht muss prüfen, ob die Befürchtung unter den konkreten Umständen nachvollziehbar und begründet ist.
Reicht ein kurzfristiger Kontrollverlust aus?
Auch ein nur kurzzeitiger Kontrollverlust kann grundsätzlich einen immateriellen Schaden verursachen. Im Verfahren „Gemeinde Ummendorf“ waren personenbezogene Daten für einige Tage über das Internet abrufbar.
Der Europäische Gerichtshof schloss einen Anspruch nicht allein wegen der kurzen Dauer oder einer vermeintlich geringen Beeinträchtigung aus. Die betroffenen Personen mussten aber weiterhin nachweisen, dass ihnen tatsächlich ein immaterieller Schaden entstanden war.
Praxisbeispiel: Fehlversand sensibler Beschäftigtendaten
Ein Unternehmen sendet die Gehaltsabrechnung eines Beschäftigten versehentlich per E-Mail an einen unternehmensfremden Empfänger. Das Dokument enthält Namen, Anschrift, Gehalt, Bankverbindung und Angaben zu krankheitsbedingten Fehltagen. Der Empfänger öffnet den Anhang und bestätigt erst vier Tage später dessen Löschung.
Der Datenschutzverstoß liegt in der unbefugten Offenlegung der Beschäftigtendaten. Der immaterielle Schaden kann hier bereits im Verlust der Kontrolle über die personenbezogenen Daten bestehen: Der Beschäftigte konnte während dieser vier Tage weder bestimmen noch zuverlässig überprüfen, ob der Empfänger die Datei gespeichert, kopiert oder weitergeleitet hatte.
Der erforderliche Kausalzusammenhang lässt sich ebenfalls konkret darstellen. Ohne den Fehlversand wären die Daten nicht in den Verfügungsbereich des unbefugten Empfängers gelangt. Gerade die datenschutzwidrige Handlung hat somit den Kontrollverlust verursacht.
Für einen schlüssigen Vortrag sollte der Beschäftigte möglichst sichern:
• die Benachrichtigung des Unternehmens über den Fehlversand,
• Datum und Uhrzeit der fehlerhaften Übermittlung,
• Art und Inhalt der offengelegten Daten,
• die Identität oder zumindest den Empfängerkreis,
• die Bestätigung, dass der Anhang angekommen oder geöffnet worden ist,
• die erst später erfolgte Löschbestätigung und
• die Dauer, während der die weitere Verwendung ungeklärt war.
Eine konkrete missbräuchliche Verwendung muss bei einem nachgewiesenen Kontrollverlust nicht zusätzlich eingetreten sein. Dokumentierte Sorgen, Kontrollmaßnahmen oder sonstige Belastungen können den Schaden aber vertiefen und für seine Bewertung bedeutsam sein.
Checkliste: Ist der immaterielle Schaden ausreichend dargelegt?
1. Datenschutzverstoß
• Welche konkrete Handlung war datenschutzwidrig?
• Welche Vorschrift oder Schutzpflicht wurde verletzt?
• Wann, wie und durch wen erfolgte die Handlung?
• Welche personenbezogenen Daten waren betroffen?
2. Tatsächlicher Kontrollverlust
• Haben die Daten den geschützten Verantwortungsbereich verlassen?
• Waren sie einem unbefugten Dritten tatsächlich zugänglich?
• Kann der Empfänger oder Empfängerkreis eingegrenzt werden?
• Ist die Dauer des Kontrollverlusts bestimmbar?
• Gibt es Belege für Übermittlung, Abruf, Öffnung oder Veröffentlichung?
• War die weitere Speicherung, Kopie oder Weitergabe zeitweise nicht kontrollierbar?
Sind diese Punkte konkret nachweisbar, kann bereits der Kontrollverlust selbst den immateriellen Schaden bilden.
3. Alternativ: Begründete Missbrauchsangst
Kann ein tatsächlicher Kontrollverlust nicht sicher nachgewiesen werden, sollte konkret dargelegt werden:
• Warum bestand unter den Umständen ein objektiv nachvollziehbares Missbrauchsrisiko?
• Welche Art und Sensibilität hatten die betroffenen Daten?
• Wer konnte möglicherweise Zugriff erhalten?
• Welche konkrete Befürchtung entstand bei der betroffenen Person?
• Welche negativen Folgen hatte diese Befürchtung?
• Wurden zeitnah Schutzmaßnahmen ergriffen, etwa Passwortänderungen, Kontrollen oder Sperrungen?
• Gibt es hierfür E-Mails, Gesprächsnotizen, Kontoüberwachungen oder andere zeitnahe Belege?
Eine bloße Behauptung wie „Ich hatte Angst vor einem Missbrauch“ reicht regelmäßig nicht. Die Befürchtung und ihre Folgen müssen individuell, nachvollziehbar und möglichst zeitnah dokumentiert sein. juris.bundesgerichtshof.de
4. Kausalzusammenhang
• Wäre der Kontrollverlust oder die konkrete Befürchtung ohne den Datenschutzverstoß nicht entstanden?
• Lässt sich der zeitliche Ablauf lückenlos darstellen?
• Sind andere Ursachen für die behaupteten Folgen erkennbar?
• Stimmen Verstoß, betroffene Daten und geltend gemachter Schaden sachlich überein?
5. Beweismittel
• E-Mails und vollständige Nachrichtenköpfe,
• Schreiben des Verantwortlichen,
• Meldungen über den Datenschutzvorfall,
• Lösch- oder Empfangsbestätigungen,
• Screenshots und Protokolle,
• Zeugenaussagen,
• zeitnahe eigene Notizen und
• Belege über ergriffene Schutzmaßnahmen oder entstandene Kosten.
Ergebnis der Checkliste
Sind der Datenschutzverstoß, der tatsächliche Kontrollverlust und der Kausalzusammenhang jeweils konkret beschrieben und durch objektive Anhaltspunkte belegt, besteht eine gute Grundlage für einen schlüssigen Vortrag des immateriellen Schadens.
Fehlt der Nachweis eines Kontrollverlusts, kann der Anspruch auf eine begründete Missbrauchsangst gestützt werden. Dann müssen jedoch die Befürchtung und ihre negativen Folgen besonders konkret dargestellt und nachgewiesen werden.
Auch eine vollständig abgearbeitete Checkliste garantiert keinen Prozesserfolg. Die Beweiswürdigung und die Höhe eines möglichen Schadensersatzes bleiben dem zuständigen Gericht vorbehalten.
Was gilt bei Hackerangriffen und Datenlecks?
Werden personenbezogene Daten durch einen Cyberangriff offengelegt oder Unbefugten zugänglich, haftet ein Unternehmen nicht allein deshalb automatisch. Die Gerichte müssen konkret prüfen, ob die getroffenen technischen und organisatorischen Maßnahmen angemessen waren.
Der Verantwortliche muss darlegen und beweisen können, dass seine Schutzmaßnahmen den Anforderungen der DSGVO entsprachen. Auch ein Angriff durch externe Täter schließt eine Haftung nicht automatisch aus. Das Unternehmen kann sich jedoch entlasten, wenn es nachweist, dass es für das schadensauslösende Ereignis in keiner Hinsicht verantwortlich ist.
Wie wird die Höhe von DSGVO- Schadensersatz bestimmt?
Der Schadensersatz nach Art. 82 DSGVO hat eine Ausgleichsfunktion. Er soll den tatsächlich entstandenen Schaden vollständig kompensieren, aber weder das Unternehmen bestrafen noch eine zusätzliche abschreckende Sanktion darstellen.
Für die Höhe ist deshalb vor allem maßgeblich, welche konkreten Folgen der Datenschutzverstoß für die betroffene Person hatte. Ein geringfügiger Schaden kann zu einer entsprechend niedrigen Entschädigung führen. Die Schwere des DSGVO-Verstoßes oder der Grad des Verschuldens dürfen nicht einfach wie bei einem Bußgeld zur Erhöhung des Schadensersatzes herangezogen werden.
Was sollten Betroffene für DSGVO-Schadensersatz dokumentieren?
Wer DSGVO-Schadensersatz geltend machen möchte, sollte möglichst konkret festhalten:
• welche personenbezogenen Daten betroffen waren,
• wie und wie lange die Daten offengelegt oder unzulässig verarbeitet wurden,
• wer möglicherweise Zugriff erhalten hat,
• welche Befürchtungen oder sonstigen Belastungen entstanden sind,
• welche konkreten Schutzmaßnahmen erforderlich wurden und
• welche weiteren Nachteile oder Kosten eingetreten sind.
Allgemeine Formulierungen reichen häufig nicht aus. Je genauer die Folgen des Datenschutzverstoßes dargestellt und belegt werden können, desto besser lässt sich ein möglicher Anspruch beurteilen.
Was sollten Unternehmen nach einem Datenschutzverstoß tun?
Unternehmen sollten einen Datenschutzvorfall unverzüglich aufklären und dokumentieren. Dazu gehören insbesondere:
• Ursache und Umfang des Vorfalls feststellen,
• betroffene Daten und Personengruppen ermitteln,
• weitere Zugriffe oder Datenverluste verhindern,
• das Risiko für die betroffenen Personen bewerten,
• eine mögliche Meldung an die Datenschutzaufsichtsbehörde prüfen,
• eine mögliche Benachrichtigung betroffener Personen prüfen und
• Belege zu den getroffenen technischen und organisatorischen Maßnahmen sichern.
Eine nachvollziehbare Dokumentation ist nicht nur für die Meldepflichten nach der DSGVO wichtig. Sie kann auch entscheidend sein, wenn später Schadensersatzansprüche erhoben werden.
Fazit
Auch ein kleiner Datenschutzverstoß kann DSGVO-Schadensersatz auslösen. Eine Bagatellgrenze besteht nicht. Betroffene müssen aber einen tatsächlichen materiellen oder immateriellen Schaden sowie den Zusammenhang mit dem Verstoß nachweisen.
Kontrollverlust oder begründete Missbrauchsangst können ausreichen, dürfen jedoch nicht nur abstrakt behauptet werden. Für Unternehmen bleibt deshalb entscheidend, Datenschutzvorfälle sorgfältig aufzuklären, Risiken zu begrenzen und die Angemessenheit ihrer Schutzmaßnahmen nachvollziehbar zu dokumentieren.