Herr Maximilian Größbauer meldet sich bei Newslettern an, die eine Datenübermittelung in die USA nicht eindeutig ausschließen, wie z.B. Klaviyo oder Mailchimp, oder auch anderen Newslettern. Anschließend schickt er ein privates Schreiben, mit einer Auskunftsanfrage nach Art. 15 DSGVO mit einer Frist von circa vier Wochen.

Wer nicht, nicht richtig oder nicht vollständig oder rechtzeitig Auskunft erteilt, erhält im Folgeschritt ein Abmahnschreiben der Berliner Kanzlei „brandt.legal“.  Darin wird ein Schadensersatzanspruch in Höhe von bis zu 5.000, - EUR plus Anwaltskosten im vierstelligen Bereich geltend gemacht (gem. Art. 82 DSGVO).

Selbst wenn vollständig und rechtzeitig Auskunft erteilt wird, muss mit einem Abmahnschreiben gerechnet werden, wenn eine mögliche Übertragung in die USA nicht ausgeschlossen werden kann, vgl. Art. 46 Abs. 1 DSGVO.

Es wurden wohl bereits einige hundert Auskunftsanfragen durch Herrn Größbauer gestellt. Auch erste Nachahmer sind schon bekannt. Die momentanen Forderungen sehen ungefähr so aus:

• Unvollständige Auskunft:  500€  plus 719,95 € Anwaltskosten
• Keine Auskunft:  1.000€  plus 719,95 € Anwaltskosten
• Unzutreffende Negativauskunft:  2.000€  plus 819,91 € Anwaltskosten
• Erteilte Auskunft wegen Klaviyo/Mailchimp:  5.000€  plus 1.728,48 € Anwaltskosten

Achtung: das Recht auf Auskunft steht tatsächlich jedem Betroffenen zu. Inwiefern bei nicht vollständiger oder falscher Auskunft ein Schadensersatzanspruch abgeleitet werden kann, ist allerdings fraglich, die Gerichte entscheiden hier sehr unterschiedlich. Bezüglich der Nichterteilung einer Auskunft nach Art. 15 DSGVO hat beispielsweise das LG Memmingen mit Urteil vom 09.03.2023 AZ 35 O 1036/22 entschieden, dass kein Anspruch auf Schadensersatz nach Art. 82 DSGVO besteht. Es gibt jedoch auch gegenteilige Rechtsprechung, sodass jedenfalls dem Auskunftsersuchen nachgekommen werden sollte.

Aber: Aus unserer Sicht handelt es sich bei der Anmeldung zu einem Newsletter, einzig aus dem Grund, um anschließend Auskunftsanfragen stellen zu können, um Rechtsmissbrauch. Je mehr dieser Fälle auftauchen, desto besser würde sich der auch nachweisen lassen. In einem solchen Fall wären auch die Anwaltskosten rechtmissbräuchlich.

Durch die zweistufige Vorgehensweise gestaltet sich dieser Fall jedoch schwieriger als der Fall Lennard und es muss im Einzelfall überprüft werden, ob eine Auskunft richtig erteilt wurde oder andere tatsächlich ersatzfähige Datenschutzverstöße vorliegen.

Schadensersatz nach Art. 82 Abs. 1 DSGVO

Nach Art. 82 Abs. 1 DSGVO kann sowohl materieller, als auch immaterieller Schadensersatz gefordert werden, sofern ein Verstoß gegen die DSGVO vorliegt und dadurch (kausal) auch tatsächlich ein Schaden entstanden ist.

Materieller Schaden bedeutet dabei, dass ein Schaden sich im Vermögen/Eigentum niederschlägt. Dies ist zum Beispiel immer dann der Fall, wenn ein Anwalt vorgerichtlich tätig wird und dies entsprechend in Rechnung stellt. Der Schadensersatz ist dann genauso hoch wie die Anwaltskosten. Diese müssen allerdings nur dann auch bezahlt werden, wenn die Abmahnung berechtigt ist (der angebliche Schädiger also eine Rechtsverletzung tatsächlich begangen hat).

Immaterieller Schadensersatz nach Art. 82 Abs. 1 DSGVO

Der immaterielle Schaden hingegen ist ein nicht wirtschaftlicher Schaden und wird daher auch oft als Schmerzensgeld bezeichnet. Grundsätzlich sind immaterielle Schäden immer nur dann ersatzfähig, wenn dies gesetzlich normiert ist, vgl. § 253 Abs. 1 BGB.

Eine solche Normierung wird in Art. 82 Abs. 1 DSGVO vorgenommen, sodass eine Verletzung der informationellen Selbstbestimmung als Schaden durchgesetzt werden kann, sofern sie im Einzelfall nachweisbar sind. Dies ist deutlich schwieriger als einen Vermögensschaden nachzuweisen, weil gerade kein fest bezifferter Wert verlangt wird, sondern viel mehr bemessen werden muss, wie „schlimm“ etwas für die betroffene Person unter den Umständen des Einzelfalls ist und was eine angemessene Geldsumme hierfür ist.

Urteile

EuGH Urteil vom 04.05.2023, C-300/21 zum Schmerzensgeld

Ein österreichscher Bürger klagt gegen die Österreichische Post AG, weil diese personenbezogene Daten ohne Einwilligung verarbeitet haben soll.

Darin wird zunächst grundsätzlich festgestellt, dass der Verstoß gegen die DSGVO allein noch keinen Anspruch begründet. Jedoch darf ein immaterieller Schadensersatz grundsätzlich nicht an eine sogenannte Erheblichkeitsschwelle gekoppelt sein, da dies den Erwägungsgründen widerspricht. Das Vergehen oder der Schaden muss also nicht besonders erheblich sein, damit Schmerzensgeld verlangt werden kann.

LG München I, Endurteil vom 20.01.2022 - 3 O 17493/20

Uns allen ist das Urteil zu Google Fonts bekannt. Auch hier wurde ein Schadensersatz in Höhe von 100,00 EUR aufgrund von immateriellen Schäden, im Detail wegen Kontrollverlust und Unwohlsein, zugesprochen.

1. Unvollständige Auskunft löst nicht automatisch einen Schmerzensgeldanspruch aus: je nach „Schwere“ der Unvollständigkeit liegt evtl. schon kein Rechtsverstoß vor. Und wenn die Unvollständigkeit an sich doch einen Rechtsverstoß darstellen sollte, muss dies noch keine Beschränkung der Rechte bedeuten.
2. Keine Beeinträchtigung subjektiver Rechte bei massenhafter Anmeldung zu Newslettern: Wer freiwillig seine personenbezogenen Daten im Internet verteilt, um Rechte geltend zu machen, kann sich danach nicht darüber beschweren, dass er die Kontrolle darüber verloren habe. Dazu kommt, dass bei unvollständigen Auskünften die Kontrolle weitgehend gegeben ist, da ja ein Großteil der Informationen vorliegt. Je nachdem, welche Angaben fehlen, liegt also bereits kein Kontrollverlust vor.
3. Rechtsmissbräuchlichkeit durch massenhafte Abmahnung: Rechtsmissbräuchlich ist eine Abmahnung, wenn das beherrschende Motiv des Gläubigers bei der Geltendmachung des Anspruchs sachfremde, für sich genommen nicht schutzwürdige Interessen und Ziele sind. Dies muss nicht das ausschließliche Ziel sein. Zur Fallgruppe gehören insbesondere Abmahnende, die systematisch überhöhte Abmahngebühren oder Vertragsstrafen verlangen.

Auskunftsbeispiel nach Art. 15 DSGVO

1. Zu Ihrer Person haben wir folgende Daten gespeichert:

Name:         angeben, sofern auf dem Briefkopf /der Mail von Hr. G. angegeben

Vorname:  angeben, sofern auf dem Briefkopf /der Mail von Hr. G. angegeben

Anschrift:    angeben, sofern auf dem Briefkopf /der Mail von Hr. G. angegeben

Telefax:  angeben, sofern auf dem Briefkopf /der Mail von Hr. G. angegeben

E-Mail:  angeben, sofern auf dem Briefkopf /der Mail von Hr. G. angegeben

2. Verarbeitungszwecke:

Wir nutzen Ihre oben aufgeführten Daten ausschließlich zum Zwecke

• des Versands des Newsletters von xxx (Verantwortliche Stelle einsetzen)

3. Datenkategorien:

Wir verarbeiten alle Daten, die wir brauchen, um Ihnen den xxx Newsletter zusenden zu können. Hierzu zählen folgende Datenkategorien:

• Ihre E-Mail-Adresse

Zusätzlich haben wir nun noch die weiteren oben unter 1. genannten Daten gespeichert, falls wir diese für die Abwehr von Ansprüchen brauchen.

4. Datenempfänger:

Die Daten werden lediglich intern verwaltet zur Newsletter-Versendung. Eine Weitergabe Ihrer Daten an Dritte erfolgt nicht.

5. Auftragsverarbeiter:

Vertraglicher Auftragsverarbeiter ist die Firma Brevo.com, ehemals sendininblue GmbH, Köpenicker Str. 126, 10179 Berlin. Das Unternehmen hat eine Datenschutzbescheinigung vom TÜV Rheinland vom 01.08.2022.

6. Speicherdauer:

Wir speichern die Daten, bis sie sich vom Newsletter abmelden oder Ihre Einwilligung zur Verarbeitung widerrufen. Sofern die Daten dann nicht mehr benötigt werden und gesetzliche Aufbewahrungspflichten nicht entgegenstehen, werden die Daten gelöscht.

7. Betroffenenrechte:

Sie haben bei Vorliegen der gesetzlichen Voraussetzungen das Recht

• gemäß Art. 16 DSGVO unverzüglich die Berichtigung unrichtiger oder Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen;
• gemäß Art. 17 DSGVO die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist;
• gemäß Art. 18 DSGVO die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, soweit die Richtigkeit der Daten von Ihnen bestritten wird, die Verarbeitung unrechtmäßig ist, Sie aber deren Löschung ablehnen und wir die Daten nicht mehr benötigen, Sie jedoch diese zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen oder Sie gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung eingelegt haben;
• gemäß Art. 20 DSGVO Ihre personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesebaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen;
• gemäß Art. 7 Abs. 3 DSGVO Ihre einmal erteilte Einwilligung jederzeit gegenüber uns zu widerrufen. Dies hat zur Folge, dass wir die Datenverarbeitung, die auf dieser Einwilligung beruhte, für die Zukunft nicht mehr fortführen dürfen.

8. Beschwerderecht gegenüber der Aufsichtsbehörde:

Sie haben gemäß Art. 77 der DSGVO das Recht, sich insbesondere bei der für uns zuständigen Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Meinung sind, dass wir Ihre personenbezogenen Daten nicht rechtmäßig verarbeiten. Die Anschrift der für uns zuständigen Aufsichtsbehörde lautet:

xx
xx
xx

9. Herkunft der Daten:

Bei der Anmeldung zum Newsletter haben Sie uns die hierfür notwendigen Daten freiwillig mitgeteilt, insbesondere die E-Mail-Adresse. Sämtliche weitere Daten haben Sie uns selbst per E-Mail/per Post/per Fax mitgeteilt.

10. Automatisierte Entscheidungsfindung:

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet, findet nicht statt.

11. Übermittlung in Drittstaaten:

Eine Übermittlung Ihrer oben genannten personenbezogenen Daten in Drittstaaten findet nicht statt.

12. Vollständigkeit der Auskunft:

Es handelt sich hierbei um eine vollständige Auskunftserteilung aller uns bekannter Daten in Bezug auf ihr Auskunftsverlangen.

Mit freundlichen Grüßen ……

Disclaimer: Hierbei handelt es sich lediglich um ein Beispiel. Es ist immer eine individuelle Prüfung nötig, welche Situation genau vorliegt. 

Neu ist nun, dass Maximilian Größbauer anscheinend nach Erlass eines Mahnbescheides, wenn man daraufhin nicht bezahlt hat, einen Vollstreckungsbescheid beantragt.

Auch das ist natürlich grundsätzlich zulässig, sofern es sich um eine berechtigte Forderung handelt. Genau das dürfte aber bei der Geltendmachung einer „Schmerzensgeldforderung“ wegen Verletzung des informationellen Selbstbestimmungsrechts vorliegend nicht der Fall sein. Im Urteil des LG München vom 23.03.20234, Az O 13063/22 (2. Google-Fonts-Urteil) ging es u.a. um einen Anspruch gegen den Kläger auf Zahlung eines Schmerzensgeldes aufgrund des Einbindens von Google-Schriftarten auf einer bestimmten Website. Der Fall ist durchaus vergleichbar, zumindest hinsichtlich der (vom Gericht abgelehnten) Schmerzensgeldansprüche.

Das Landgericht argumentiert hier sehr nachvollziehbar wie folgt:

„1. Der mutmaßlich vom Beklagten eingesetzte Crawler sollte ja gerade Websites mit dynamischer Google-Fonts-Einbindung finden. Die Übertragung der IP-Adresse in die USA war dann auch zwingende Voraussetzung, um überhaupt einen Unterlassungsanspruch geltend zu machen. Wer sich aber bewusst und gezielt in eine Situation begibt, in der ihm eine Persönlichkeitsrechtsverletzung droht, gerade um die Persönlichkeitsverletzung an sich zu erfahren, um sodann daraus Ansprüche zu begründen, ist nicht schutzbedürftig. …

2. Im Übrigen wäre ein etwaig doch gegebener Schadensersatzanspruch aus Art. 82 DSGVO oder aus § 823 Abs. 1 BGB oder aus anderer Rechtgrundlage auch wegen Rechtsmissbrauch, § 242 BGB ausgeschlossen. Der Beklagte ließ gezielt durch den Crawler Websites aufsuchen, gerade um behauptete Verletzungen seines allgemeinen Persönlichkeitsrechts zu begründen. Es ist aber nicht Sinn und Zweck des allgemeinen Persönlichkeitsrechts oder der Datenschutzvorgaben nach der DSGVO, Personen eine Erwerbsquelle zu verschaffen wegen behaupteter Verletzungen ihres allgemeinen Persönlichkeitsrechts. Wer einen Verstoß gegen sein Persönlichkeitsrecht gezielt provoziert, um daraus hernach Ansprüche zu begründen, verstößt gegen das Verbot selbstwidersprüchlichen Verhaltens.“
   
   2. Urteil des LG München zu Google-Fonts

Stand: 15,11.2023