Urteil des BGH vom 18.11.2024 (AZ VI ZR 10/24)

Aus dem Sachverhalt:

Unbekannte Dritte nutzten eine Schwachstelle der Kontakt-Import-Funktion bei Facebook, um Telefonnummern mit öffentlichen Nutzerdaten zu verknüpfen; davon waren 533 Millionen Nutzer betroffen, einschließlich des Klägers.

Der Kläger forderte Ersatz für immaterielle Schäden wegen mangelnder Sicherheitsmaßnahmen und Kontrollverlusts über seine Daten sowie Feststellung künftiger Ersatzpflichten und Unterlassung.

Während das Landgericht 250 € Schadensersatz zusprach, wies das Oberlandesgericht die Klage insgesamt ab; der Bundesgerichtshof verhandelte im Rahmen eines Leitentscheidungsverfahrens über die Revision des Klägers. 

Aus den Entscheidungsgründen

Der Bundesgerichtshof (BGH) stellte klar, dass der bloße Kontrollverlust über personenbezogene Daten ohne weitere spürbare Folgen als immaterieller Schaden nach Art. 82 Abs. 1 DSGVO gelten kann.

Die Revision hatte Erfolg bei Feststellung zukünftiger Ersatzpflichten, Unterlassung der nicht einwilligungsgedeckten Nutzung der Telefonnummer und Ersatz vorgerichtlicher Anwaltskosten. Das Feststellungsinteresse des Klägers wurde anerkannt.

Der BGH verwies die Sache zurück an das Berufungsgericht zur weiteren Prüfung, insbesondere zu Fragen der Datenminimierung, wirksamer Einwilligung und Schadensbemessung.

Für den bloßen Kontrollverlust wurde ein Schadensausgleich in Höhe von 100,- € angeregt. 

Pressemitteilung des BGH zum Urteil vom 18.11.2024

Fazit:

Laut Pressemitteilung hat der BGH klargestellt, dass „auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung ein immaterieller Schaden im Sinne der Norm sein. Weder muss insoweit eine konkrete missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.“

Der BGH sieht zudem ein berechtigtes Interesse des Betroffenen an der Feststellung einer Ersatzpflicht für zukünftige Schäden. Damit verfolgt der BGH eine aus Betroffenensicht freundliche Auslegung der DSGVO. Das Urteil wird als richtungsweisend für den künftigen Umgang mit Datenschutzverstößen angesehen, auch wenn die Höhe des Schadensersatzes mit 100,- € relativ gering angesetzt wird.

Aus dem Sachverhalt - Oberlandesgericht Celle: Beschl. v. 10.06.2024, Az.: 5 W 46/24

Der Beschluss des Oberlandesgerichts Celle vom 10. Juni 2024 behandelt die Streitwertfestsetzung einer Klage, bei der Ansprüche aus der DSGVO gegen einen international tätigen Musik-Streaming-Dienst aufgrund eines Cyberangriffs auf Kundendaten geltend gemacht werden.

Der Kläger machte im Rahmen eines Massenverfahrens gegen den Musik-Streaming-Dienst D. Ansprüche aufgrund eines Cyber-/Hackerangriffs geltend. Die Beklagte betreibt einen internationalen Musikstreaming-Dienst, der in über 180 Ländern verfügbar ist und Musik, Hörbücher, Hörspiele sowie Podcasts anbietet. Der Kläger forderte:

• Immateriellen Schadensersatz in Höhe von 1.000 Euro

• Feststellung der Ersatzpflicht der Beklagten für zukünftige materielle Schäden

• Unterlassung weiterer DatenschutzverstößeAuskunft über die gespeicherten Daten

Das Landgericht Lüneburg hatte der Klage nur teilweise stattgegeben und den Streitwert für das erstinstanzliche Verfahren auf 3.500 Euro festgesetzt, was auf folgende Weise verteilt wurde:

• 1.000 Euro für den Zahlungsantrag, 2.000 Euro für den Unterlassungsantrag, 250 Euro für den Feststellungsantrag, 250 Euro für den Auskunftsantrag.

Die Prozessbevollmächtigten des Klägers erhoben Beschwerde gegen diese Streitwertfestsetzung und forderten eine Erhöhung auf mindestens 6.000 Euro. Sie veranschlagten:

• 1.000 Euro für den Schadensersatzanspruch, 4.000 Euro für den Unterlassungsanspruch, 500 Euro für den Feststellungsanspruch, 500 Euro für den Auskunftsanspruch.

Aus den Urteilsgründen - Oberlandesgericht Celle: Beschl. v. 10.06.2024, Az.: 5 W 46/24

Der 5. Zivilsenat des OLG Celle wies die Beschwerde zurück und setzte den Streitwert von Amts wegen herab auf 1.900 Euro. Die Aufteilung wurde wie folgt vorgenommen: 1.000 Euro für den Zahlungsantrag, 300 Euro für den Unterlassungsantrag, 300 Euro für den Feststellungsantrag, 300 Euro für den Auskunftsantrag.

Der Senat stellte fest, dass in Massenverfahren wie diesem die Aufnahme von Feststellungs-, Unterlassungs- und Auskunftsanträgen oft hauptsächlich zur Anreicherung des Prozessstoffs erfolgt, ohne dass ein wesentliches eigenes materielles Interesse des Klägers besteht. Der Senat betonte, dass er nicht daran gehindert sei, den Streitwert entgegen dem Ziel der Beschwerde von Amts wegen herabzusetzen. Dies ist im Streitwertrecht grundsätzlich zulässig und üblich. Der Senat verwies auf frühere Entscheidungen, in denen er ähnliche Fälle behandelt hatte (5 U 31/23 und 5 U 77/23). In diesen Verfahren wurden die Klageparteien durch die gleiche Rechtsanwaltskanzlei vertreten, die auch die aktuelle Beschwerdeführerin vertritt, und es handelte sich um massenhaft eingereichte Klagen. Es wurde festgestellt, dass die Kanzlei der Beschwerdeführerin aktiv Kundenakquise im Zusammenhang mit dem Datenschutzvorfall betreibt, was durch Werbung auf ihrer Website und einem YouTube-Video belegt wurde. Dies unterstützte die Annahme eines massenhaften Verfahrens. Der Zahlungsantrag wurde wie üblich mit 1.000 Euro bewertet.

Die restlichen Anträge wurden auf der niedrigsten Wertstufe (jeweils 300 Euro) angesetzt, da der Senat davon ausging, dass kein wesentliches eigenes materielles Interesse des Klägers an diesen Anträgen besteht.

Ergebnis: Das OLG Celle kam zu dem Schluss, dass die Klage Teil eines Massenverfahrens ist, bei dem die zusätzlichen Anträge (Feststellung, Unterlassung und Auskunft) hauptsächlich der Anreicherung des Prozessstoffs dienen und kein wesentliches eigenes materielles Interesse des Klägers besteht. Daher wurde der Streitwert auf insgesamt 1.900 Euro herabgesetzt.

Hier finden Sie gute Übersichten zum immateriellen Schadensersatz nach DSGVO

• DSGVO-Schmerzensgeld-Tabelle
• Übersicht über aktuelle Urteile samt zugesprochenen Schadensersatz

Urteil des OLG Oldenburg vom 21. Mai 2024, Az. 13 U 100/23

Aus dem Sachverhalt:

Der Kläger verlangte von einer Social-Media-Plattform Schadenersatz, Feststellung, Unterlassung und Auskunft aufgrund eines Scraping-Vorfalls, bei dem personenbezogene Daten veröffentlicht wurden. Der Kläger hat sich dabei auf die Erwägungsgründe 75 und 85 der DGSVO berufen, der der Verlust seiner Daten für ihn einen immateriellen Schaden darstellen würde.

Das Landgericht Oldenburg hatte die Klage abgewiesen, da kein Verstoß gegen die DSGVO und kein nachgewiesener Schaden vorlag. Der Kläger führte an, dass er durch den Scraping-Vorfall Unwohlsein und Sorge wegen des möglichen Missbrauchs seiner Daten verspürt habe. Das Oberlandesgericht Oldenburg wies die Berufung zurück und stellte fest, dass der Kläger keinen immateriellen Schaden nachweisen konnte. Des Weiteren würden die Erwägungsgründe, auf die sich der Kläger berief, lediglich als Auslegungshilfe dienen und keinen normativen Charakter aufweisen.

Aus den Urteilsgründen:

„Amtlicher Leitsatz

Ein Anspruch auf Schadenersatz gemäß Art. 82 DSGVO setzt neben dem Verlust der Kontrolle über personenbezogene Daten den Nachweis voraus, dass der Betroffene einen Schaden, hier in Form eines immateriellen Schadens durch Ängste und Sorgen, tatsächlich erlitten hat.

Der Kläger genügt seiner Darlegungslast für die Entstehung eines immateriellen Schadens, wenn er behauptet, Unwohlsein und Sorge wegen eines möglichen Missbrauchs seiner personenbezogenen Daten verspürt zu haben.“

Die Beklagte hatte gegen die DSGVO verstoßen, da sie personenbezogene Daten ohne erforderliche Rechtsgrundlage verarbeitet hatte. Der Kläger konnte jedoch keinen immateriellen Schaden wie Ängste und Sorgen nachweisen, die durch den Datenverlust verursacht wurden. Ein bloßer Kontrollverlust über die Daten stellt keinen ersatzfähigen Schaden dar. Die Anträge auf Feststellung, Unterlassung und Auskunft wurden somit als unbegründet oder unzulässig abgewiesen.

Das Urteil betont die Notwendigkeit des konkreten Nachweises eines immateriellen Schadens für einen Schadenersatzanspruch gemäß Art. 82 DSGVO.

Art. 82 DSGVO regelt Haftung und Recht auf Schadenersatz.

(1)Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

(2)Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. Ein Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus dieser Verordnung nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des für die Datenverarbeitung Verantwortlichen oder gegen diese Anweisungen gehandelt hat.

Art. 82 DSGVO regelt, dass jede Person dem Grundsatz nach einen Anspruch auf Schadensersatz hat, wenn sich Unternehmen nicht an bestimmte Regeln der DSGVO halten.

Vorgehensweise:

1. Auskunftsersuchen stellen, um zu erfahren, welche Daten bei Demandbase verarbeitet werden

• Auf Antwort der Auskunft warten
• Falls Auskunft unvollständig oder nicht korrekt erteilt wird: je nach „Schwere“ der Unvollständigkeit liegt evtl. ein Rechtsverstoß vor. Hier gilt: nicht jede Unvollständigkeit führt zu einem Rechtsverstoß. Bei Unkorrektheit kann hingegen von einem Verstoß ausgegangen werden.
  
  2. Schadensersatz prüfen, falls Unvollständigkeit bzw. Unkorrektheit der Auskunft vorliegt. Ggf. anwaltlichen Rat einholen und Klage einreichen, da evtl. ein Anspruch auf Schadensersatz nach Art. 82 DSGVO besteht. Auf der nächsten Folie Links zu Übersicht über Gerichtsverfahren.

Stand: November 2024