Der europäische Gerichtshof (EuGH) hat am 4.Mai 2023 zwei wegweisende neue Urteile in Bezug auf den Anspruch auf Schadensersatz nach Art. 82 DSGVO gefällt. Zum einen sind nun auch geringfügige Schäden ersatzfähig. Und zum anderen wurde das Auskunftsrecht der Betroffenen gestärkt, wenn sie wissen möchten, ob ihnen ein Anspruch auf Schadensersatz zusteht.

Schadensersatz – Ab sofort auch geringfügige Schäden ersatzfähig

Im ersten Urteil entschied der EuGH, dass Unternehmen, deren Kund:innendaten öffentlich zugänglich gemacht wurden, auch ohne konkreten Nachweis von Schäden Schadensersatz leisten müssen. Bisher haben die Gerichte in solchen Fällen nämlich argumentiert, dass es eine „Erheblichkeitsschwelle“ geben könnte, was dazu führt, dass geringfügige Schäden nicht ersatzfähig sind. Der EuGH ist jedoch der Auffassung, dass auch geringfügige Schäden vom Verursacherunternehmen ersetzt werden müssen.

Dies basiert auf der Erkenntnis, dass selbst bei geringfügigen Schäden, wie beispielsweise kleinen Lackkratzern nach einem Autounfall, alle entstandenen Schäden vollständig ersetzt werden müssen. Das Datenschutzrecht macht hier keine Ausnahme, auch wenn der Schaden möglicherweise nicht sofort offensichtlich ist.

Das Urteil legt fest, dass es den einzelnen Mitgliedstaaten obliegt, einen vollständigen und wirksamen Schadensersatz zu gewährleisten und die Höhe des Schadens zu berechnen. Es wird erwartet, dass die nationalen Gerichte dazu beitragen, die Durchsetzung des europäischen Datenschutzrechts effektiv umzusetzen.

Gestärkte Auskunftsrechte der betroffenen Personen beim Schadensersatz

Im zweiten Urteil stärkte der EuGH die Auskunftsrechte von betroffenen Personen gemäß Artikel 15 der DSGVO. In einem konkreten Fall wurde einem Kläger die vollständige Kopie seiner Daten verweigert. Der EuGH entschied jedoch, dass das Recht auf Auskunft bedeutet, dass die betroffene Person eine originalgetreue und verständliche Kopie aller ihrer Daten erhalten sollte. Dies umfasst auch Kopien von Dokumenten oder Auszügen aus Datenbanken. Diese Entscheidung ermöglicht es den Betroffenen, den Umfang der Datenschutzverletzung zu beurteilen und festzustellen, welche Daten möglicherweise betroffen sind.

Conclusio zum Thema „Schadensersatz bei Datenlecks“

Die aktuellen Urteile erhöhen das Risiko für Unternehmen, gegen die DSGVO zu verstoßen und von verärgerten Kund:innen verklagt zu werden, erheblich.

Thomas Bindl, Geschäftsführer und Gründer der Europäischen Gesellschaft für Datenschutz (EuGD), zeigt sich jedenfalls erfreut über das Urteil:
„Das trägt hoffentlich dazu bei, dass Unternehmen den Datenschutz ernst nehmen und für etwaige Verstöße geradestehen. Gerade nach schuldhaft verursachten Datenlecks gab es hier in der Vergangenheit wenig Verständnis für die Schäden der Betroffenen, was sich nun ändern sollte.“