Der Europäische Gerichtshof (EuGH) hat sich vergangene Woche zu mehreren zur Vorabentscheidung vorgelegten Fragen zur Auslegung des Schadensersatzes nach der DS-GVO und des Begriffs der "Kopie" im Rahmen des Auskunftsanspruchs geäußert.

Kein DS-GVO-Schadensersatz ohne Schadensnachweis

Die Vorschrift in Art. 82 Abs. 1 DS-GVO regelt, dass jede Person, der wegen eines DS-GVO-Verstoßes ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter hat. Der EuGH stellt nun klar, dass ein DS-GVO-Verstoß allein noch keinen Schadensersatz begründet. Unerheblich sei in diesem Zusammenhang die Frage, ob der entstandene immaterielle Schaden eine gewisse Erheblichkeit erreicht hat.

In dem Ausgangsfall wurde die Österreichische Post AG auf Unterlassung sowie Ersatz des immateriellen Schadens verklagt, der dem Kläger dadurch entstanden sein soll, dass die Österreichische Post AG Daten über die politischen Affinitäten von Personen mit Wohnsitz in Österreich, insbesondere auch seine Daten verarbeitet habe, obwohl er einer solchen Verarbeitung nicht zugestimmt habe. Der Kläger behauptete, die Speicherung von Daten zu seinen mutmaßlichen politischen Meinungen durch die Österreichische Post habe bei ihm großes Ärgernis und einen Vertrauensverlust sowie ein Gefühl der Bloßstellung ausgelöst. Daraufhin begehrte der Kläger Schadensersatz gemäß Art. 82 DS-GVO in Höhe von 1.000 Euro für den angeblich erlittenen immateriellen Schaden. Die österreichischen Gerichte erster und zweiter Instanz wiesen seine Klage auf Schadensersatz zurück. Diesen könne es nicht geben, wenn man sich über Datenschutzverstöße einfach nur ärgere, so die Gerichte. Der Oberste Gerichtshof legte die Sache sodann dem EuGH zur Vorabentscheidung vor.

Der EuGH entschied durch Auslegung des Art. 82 Abs. 1 DS-GVO, dass der bloße Verstoß gegen die Bestimmungen der Verordnung alleine nicht ausreicht, um einen Schadenersatzanspruch zu begründen. Bereits die Wortauslegung verlange das Vorliegen eines Schadens, eines Verstoßes gegen die DS-GVO und eines Kausalzusammenhangs zwischen Schaden und Verstoß, wobei die Voraussetzungen kumulativ vorliegen müssten. Betroffene müssen in solchen Fällen immer auch einen Schaden nachweisen, selbst wenn dieser keinen bestimmten Grad an Erheblichkeit erreichen muss, so das Gericht weiter. Die Festlegung der Kriterien für die Ermittlung des Schadensumfangs sei nach dem Recht der Mitgliedsstaaten vorzunehmen, jedoch immer unter der Prämisse, dass die DS-GVO einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden sicherstellen möchte.

Es liegt damit nun an den nationalen Gerichten, praxistaugliche Kriterien zur Festsetzung immaterieller Schadensersatzzahlungen  zu entwickeln und zwar hinsichtlich des Anspruchsgrunds und der Anspruchshöhe. Die Anforderungen an die Darlegung eines erlittenen Schadens dürften nach diesem Urteil nicht (mehr) hoch sein. Bis dahin bleibt erst einmal offen, wie konkret z. B. "Ärger" oder "Unmutgefühl" wegen unzulässig verarbeiteter Daten oder wegen Nichterfüllung des datenschutzrechtlichen Auskunftsverlangen nach Art. 15 DS-GVO sein und wie detailliert Betroffene dies nachweisen bzw. darlegen müssen.

Zur Entscheidung des EuGH vom 4. Mai 2023 (Rechtssache C300/21) im Wortlaut

Recht auf Kopie kann auch Dokumente umfassen

Im Rahmen des DS-GVO-Auskunftsanspruchs nach Art. 15 Abs. 3 S. 1 können Betroffene eine Kopie über  verarbeitete personenbezogene Daten erhalten. Jedoch blieb in einem Rechtsstreit in Österreich für das Bundesverwaltungsgericht unklar, was dieses Recht genau umfasst. Dabei ging es um die Frage, ob die vorgesehene Verpflichtung - eine "Kopie" der personenbezogenen Daten zur Verfügung zu stellen - bereits erfüllt ist, wenn der Verantwortliche die personenbezogenen Daten als Tabelle in aggregierter Form übermittelt, oder ob diese Verpflichtung auch die Übermittlung von Auszügen aus Dokumenten oder gar von ganzen Dokumenten sowie von Auszügen aus Datenbanken umfasst, in denen diese Daten wiedergegeben werden.

Der EuGH legt die Vorschrift des Art. 15 Abs. 1 S. 1 DS-GVO so aus, dass dem Betroffenen eine originalgetreue und verständliche Reproduktion aller seiner verarbeiteten personenbezogenen Daten zur Verfügung gestellt werden muss. Dieses Recht impliziere, eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die u. a. seine Daten enthalten, zu erlangen, wenn die Zurverfügungstellung einer solchen Kopie unerlässlich sei, um der betroffenen Person die wirksame Ausübung der ihr durch die DS-GVO verliehenen Rechte zu ermöglichen. Dabei müssen die Rechte und Freiheiten anderer berücksichtigt werden, d. h. im Falle eines Konflikts müsse zwischen dem Recht einer betroffenen Person auf umfassende Auskunft und den Rechten oder Freiheiten anderer Personen abgewogen werden. Allerdings dürfe dies nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird.

Zudem erläuterte der EuGH noch, dass der Begriff "Informationen" in Art. 15 Abs. 3 S.3 DS-GVO nur die personenbezogenen Daten erfasst, von denen der für die Verarbeitung Verantwortliche gemäß Art. 15 Abs. 3 S. 1 DS-GVO eine Kopie zur Verfügung stellen muss. Die in Art. 15 Abs. 1 Buchst. a bis h DS-GVO genannten Informationen oder gar zusätzliche Informationen wie Datenmetadaten sind davon nicht umfasst.

Im Ausgangsrechtsstreit verlangte der Kläger von einer Kreditauskunftei Auskunft nach Art. 15 DS-GVO über die verarbeiteten personenbezogenen Daten, die seine Person betreffen. Daraufhin übermittelte die Auskunftei dem Kläger in aggregierter Form eine Liste seiner personenbezogenen Daten, die Gegenstand der Verarbeitung waren. Da der Kläger der Ansicht war, dass die Auskunftei ihm eine Kopie sämtlicher Dokumente, die seine Daten enthalten, wie etwa E-Mails und Auszüge aus Datenbanken, hätte übermitteln müssen, legte er bei der Österreichischen Datenschutzbehörde eine Beschwerde ein, die jedoch im Ergebnis erfolglos blieb.

Das im Anschluss mit der Sache befasste Bundesverwaltungsgericht legte sodann dem EuGH in einem Vorabentscheidungsersuchen Fragen zur Auslegung von Art. 15 Abs. 3 S. 1 DS-GVO vor und bat außerdem um Klarstellung, was der Begriff "Informationen" in Art. 15 Abs. 3 S. 3 DS-GVO genau umfasst.

Die Entscheidung wird in der Praxis Fragen aufwerfen, z. B. wann ein Dokument oder eine Datenbank als Ganzes als personenbezogene Datum anzusehen ist und wann gleichzeitig Rechte und Freiheiten anderer entgegenstehen. Auch wird man sich mit der Frage beschäftigen müssen, wie man gleichzeitig den Anforderungen des Art. 12 Abs. 1 DS-GVO gerecht werden kann, denn demnach sind die Informationen u. a. in "verständlicher Form" zu übermitteln.

Zur Entscheidung des EuGH vom 4. Mai 2023 (Rechtssache C-487/21) im Wortlaut

Zum DDV-Practice Help "Auskunftsanspruch unter der Datenschutz-Grundverordnung"
(Das Dokument befasst sich mit der Frage, wie mit einem Auskunftsersuchen nach Art. 15 Abs. 1 DS-GVO einer betroffenen Person umzugehen ist und welche Stolpersteine es zu vermeiden gilt.)