Sie wurden Opfer eines Datenschutzverstoßes? Ihre Daten wurden gehackt, geleakt oder auf andere Weise rechtswidrig verarbeitet? Sie erhalten Spam-Mails oder Werbeanrufe ohne Ihre vorherige ausdrückliche Einwilligung? Sie möchten Schadensersatz und/oder Unterlassung aufgrund des Datenschutzverstoßes geltend machen oder als Verantwortlicher derartige Ansprüche abwehren?
Der europäische Gerichtshof (EuGH) hat mit seinem Urteil vom 14.12.2023 (Rechtssache C-340/21) die Tür für einen Schadensersatzanspruch eines Betroffenen aufgrund eines Datenschutzverstoßes weiter geöffnet. Betroffene von Datenschutzverstößen können jetzt in vielen Fällen einen Schadensersatzanspruch geltend machen. Ganz so einfach, wie es im Internet teils propagiert wird, ist die Rechts- und Beweislage vor Gericht allerdings nicht.
Unsere Kanzlei ist spezialisiert auf Datenschutzrecht, sowie auf IT- und Internetrecht, Medienrecht, gewerblichen Rechtsschutz und Arbeitsrecht. Unsere Fachanwälte und Datenschutzexperten helfen Ihnen Ihre Ansprüche bei einer Verletzung Ihrer Daten zu prüfen und gegebenenfalls durchzusetzen. Unternehmen und sonstige Verantwortliche, welche mit Schadensersatzansprüchen Betroffener konfrontiert werden, unterstützen wir bei der Abwehr der geltend gemachten Schadensersatz- und Unterlassungsansprüche.
Sie können uns gerne für eine unverbindliche und kostenfreie Ersteinschätzung unter 0221/8804060 anrufen, uns den Sachverhalt an it-recht@etl.de oder über unser Webformular vorab zur Prüfung übersenden. Wir melden uns so schnell wie möglich bei Ihnen und schlagen Ihnen die weitere Vorgehensweise vor. Kosten entstehen Ihnen für diesen Service noch keine.
Nachfolgend möchten wir Ihnen als Betroffener oder Verantwortlicher eines Datenschutzverstoßes die aktuellen Rechtslage zum Schadensersatz nach DSGVO zu Ihrer Information detaillierter erläutern.
Zunächst ergeben sich die Voraussetzungen für einen Schadensersatzanspruch aufgrund eines Datenschutzverstoßes aus der gesetzlichen Regelung des Artikel 82 DSGVO wie folgt:
Dies Regelung gilt gemäß dem Erwägungsgrund 146 zur DSGVO auch für Verstöße gegen nationales Datenschutzrecht:
Zu einer Verarbeitung, die mit der vorliegenden Verordnung nicht im Einklang steht, zählt auch eine Verarbeitung, die nicht mit den nach Maßgabe der vorliegenden Verordnung erlassenen delegierten Rechtsakten und Durchführungsrechtsakten und Rechtsvorschriften der Mitgliedstaaten zur Präzisierung von Bestimmungen der vorliegenden Verordnung im Einklang steht.
Die Einzelheiten für einen Schadensersatzanspruch nach Artikel 82 DSGVO waren bis zum Urteil des europäischen Gerichtshofes (EuGH – Rechtssache C-340/21) vom 14.12.2023 unter den Gerichten höchst umstritten. Der EuGH hat mit diesem Urteil die Voraussetzungen für einen Schadensersatzanspruch aufgrund eines Verstoßes gegen die DSGVO und gegen nationales Datenschutzrecht erheblich wie folgt abgesenkt:
Grundsätzlich kommen bei allen denkbaren Datenschutzverstößen bzw. Datenschutzvorfällen Schadensersatz- und gegebenenfalls auch Unterlassungs- und Kostenerstattungsansprüche in Betracht. Nachfolgend finden Sie einige typische und häufig vorkommende Datenschutzverstöße sowie allgemeine Informationen und Fragen zum Thema Schadensersatz nach DSGVO:
Sofern Ihre Daten bei Social-Media-Diensten oder anderen Anbietern, denen Sie Ihre Daten anvertraut haben, nachweislich gehackt wurden, kommen Schadensersatzansprüche nach der DSGVO in Betracht. So hat das Landgericht Verden z.B. einem Betroffenen aufgrund eines Hacks seiner Daten bei Facebook einen immateriellen Schadensersatz in Höhe von 1.000,00 EUR zugesprochen:
Sofern Ihre Daten gehackt wurden, kommt demnach ein Schadensersatzanspruch nach DSGVO in Betracht. Nach der Rechtsprechung des europäischen Gerichtshofes muss im Falle eines Hacks der Verantwortliche für die Datenverarbeitung dann nachweisen, dass er alles Notwendige für die Datensicherheit getan hat. Dies wird einem Verantwortlichen in der Regel sehr schwer fallen bzw. oftmals auch unmöglich sein, da die Voraussetzungen für eine gesetzeskonforme Datenverarbeitung hoch sind und diese oftmals nicht eingehalten werden.
Über die folgenden Dienste können Sie prüfen, ob Ihre Daten gehackt wurden:
Als Betroffener einer Datenverarbeitung haben Sie gegen den Verantwortlichen einer Datenverarbeitung einen Auskunftsanspruch nach Artikel 15 DSGVO . Diese Auskunft muss die folgenden Informationen enthalten:
Nach Artikel 12 Absatz 3 DSGVO muss die Auskunft unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags erteilt werden. Nur in begründeten Ausnahmefällen darf die Monatsfrist überschritten werden. Zu beachten ist allerdings, dass die Monatsfrist nicht ohne Grund ausgeschöpft werden darf. Einige Gerichte haben entschieden, dass eine Auskunft grundsätzlich spätestens nach einer Woche erfüllt werden muss. Nach einer Zeitspanne von mehr als einer Woche sei ohne das Vorliegen besonderer Umstände ein unverzügliches Handeln nicht mehr anzunehmen. Das Arbeitsgericht Duisburg hat z.B. einem Betroffenen für eine Auskunfterteilung erst nach 19 Tagen einen Schadensersatzbetrag in Höhe von 750,00 EUR zugesprochen:
Die Beklagte hat die Auskunft nach Ablauf von 19 Kalendertagen erteilt. Besondere Umstände, welche diese Bearbeitungsfrist hinreichend rechtfertigen, sind nach Auffassung der Kammer nicht gegeben. Dies gilt auch, wenn man berücksichtigt, dass nach dem Vortrag der Beklagten unter Berücksichtigung von Wochenenden, Feiertagen und Brückentagen ggf. nur neun Arbeitstage zwischen der Anfrage und der Bearbeitung lagen. Der Kläger hat durch die verspätete Auskunft einen Kontrollverlust hinsichtlich seiner Daten erlitten. Dieser ist als immaterieller Schaden zu qualifizieren. Zum Ersatz dieses immateriellen Schadens hält die Kammer einen Betrag in Höhe von 750,00 Euro für angemessen.
Das Urteil des Arbeitsgericht Duisburg, Az. 5 Ca 877/23, im Volltext finden Sie hier.
Eine Vorlage für ein Auskunftsersuchen nach Artikel 15 DSGVO stellt u.a. der Landesbeauftragte für den Datenschutz und Informationsfreiheit Baden Württemberg zur Verfügung. Dieses können Sie hier herunterladen, um Auskunftsansprüche geltend zu machen.
Sofern der Verantwortliche den Auskunftsanspruch zu spät oder unvollständig erfüllt, kommen Schadensersatzansprüche nach der DSGVO in Betracht.
Werbemails dürfen nach § 7 Absatz 2 Nr. 2 UWG nur mit einer vorherigen ausdrücklichen Einwilligung des Empfängers an Verbraucher und auch an Unternehmer versendet werden. Wird eine Werbemail / ein Werbefax ohne eine ausdrückliche vorherige Einwilligung des Empfängers versendet, ist dies neben dem Verstoß gegen das UWG auch eine unzulässige Datenverarbeitung und damit ein Datenschutzverstoß. Auch in diesem Fall kommt ein Schadensersatz- und auch ein Unterlassungsanspruch des Betroffenen in Betracht.
Das AG Pfaffenhofen a.d. Ilm hat z.B. mit Urteil vom 09.09.2021, Az.: 2 C 133/21, einem Betroffenen einer Spam-Mail einen Schadensersatz nach DSGVO in Höhe von 300,00 EUR zzgl. Zinsen zugesprochen:
Voraussetzung für die Anspruchsdurchsetzung ist freilich, dass die Werbemail / das Werbefax nachweislich von einem in Deutschland verfolgbaren Unternehmen stammt. Dies ist dann nicht der Fall, wenn die Werbemail das Werbefax unter Verschleierung der Absenders oder von Absendern aus Drittländern, in denen eine Verfolgung der Ansprüche nicht oder nicht mit vertretbarem Aufwand möglich ist, versendet wurde. Sofern Sie als Verbraucher oder Unternehmer eine verfolgbare Spam-Mail oder ein Werbefax ohne Ihre vorherige ausdrückliche Einwilligung erhalten haben, kommt im Ergebnis ein Schadensersatzanspruch nach DSGVO sowie ein Unterlassungsanspruch in Betracht.
Kommt die Spam-Mail / das Werbefax von einem geschäftlichen Mitbewerber kommt zudem ein wettbewerbsrechtlicher Unterlassungsanspruch in Betracht. In diesem Fall kann der Betroffene verlangen, dass der Mitbewerber keine E-Mails / Faxe mit werbenden Inhalten mehr im geschäftlichen Verkehr zu Wettbewerbszwecken ohne ausdrückliche Einwilligung an beliebige Empfänger versendet (vgl. Urteil des BGH vom 11.03.2004, Az. I ZR 81/01).
Der wettbewerbsrechtliche Unterlassungsanspruch ist damit viel weiter als der allgemeine zivilrechtliche Unterlassungsanspruch, mit welchem „nur“ eine Unterlassung an die Mailadresse / Faxanschluss des jeweils Betroffenen verlangt werden kann.
Ja, hier gilt (fast) dasselbe wie für unerwünschte Werbemails.
Telefonische Werbung ist nach § 7 Absatz 2 Nr. 1 UWG gegenüber einem Verbraucher ebenfalls nur mit einer vorherigen ausdrücklichen Einwilligung des Angerufenen zulässig. Die Rechtslage bei einem unerwünschten Werbeanruf gegenüber einem Verbraucher ist damit dieselbe wie bei einer unerwünschten Werbemail, welche ohne vorherige ausdrückliche Einwilligung des Empfängers versendet wurde.
Gegenüber einem Unternehmer ist ein Werbeanruf allerdings schon mit einer „mutmaßlichen Einwilligung“ zulässig, wohingegen eine Werbemail an einen Unternehmer auch nur mit einer vorherigen ausdrücklichen Einwilligung zulässig ist. Ein Werbeanruf gegenüber einem Unternehmer ist demnach unter weniger strengen Voraussetzungen möglich, als eine Werbemail. Eine mutmaßliche Einwilligung liegt nach der Rechtsprechung des Bundesgerichtshofes dann vor, wenn der Anrufer von einer mutmaßlichen Einwilligung des anzurufenden Unternehmers ausgehen konnte. Diesbezüglich ist dann auf die Art und den Inhalt der Werbung abzustellen. Maßgeblich soll sein, ob der Werbende bei verständiger Würdigung der Umstände annehmen durfte, der Anzurufende erwarte einen solchen Anruf oder werde ihm jedenfalls positiv gegenüberstehen. Ein allgemeiner Sachbezug zu den vom angerufenen Unternehmen angebotenen Waren oder Dienstleistungen genügt im Allgemeinen für die Annahme einer mutmaßlichen Einwilligung allerdings nicht, weil Telefonwerbung gegenüber Gewerbetreibenden andernfalls nahezu unbeschränkt zulässig wäre. Nach der Rechtsprechung des Bundesgerichtshofes muss es mehr sein. Etwa eine telefonische Werbemaßnahme im Rahmen einer bereits bestehenden Geschäftsverbindung, sofern der Anrufer davon ausgehen durfte, dass der Angerufene ihm jedenfalls positiv gegenübersteht:
Das Urteil des BGH vom 20.09.2007, Az. I ZR 88/05, im Volltext finden Sie hier.
Werden die strengen Voraussetzungen des BGH für eine mutmaßliche Einwilligung in einen Werbeanruf gegenüber einem Unternehmer nicht eingehalten, ist auch der Werbeanruf gegenüber dem Unternehmer rechtswidrig. Die Voraussetzungen für einen zulässigen Werbeanruf an Unternehmer liegen dabei erfahrungsgemäß oftmals nicht vor, da von Werbenden oftmals fälschlicherweise davon ausgegangen wird, dass ein allgemeiner Sachbezug zu den vom angerufenen Unternehmen angebotenen Waren oder Dienstleistungen für die Annahme einer „mutmaßlichen Einwilligung“ genügt. Dies trifft jedoch nicht zu, so dass Schadensersatzansprüche nach DSGVO sowie Unterlassungs- und Kostenerstattungsansprüche für die angerufenen Unternehmen in Betracht kommen.
Neben den vorgenannten Fällen gibt es eine Vielzahl von weiteren gängigen Datenschutzverstößen bei denen ein DSGVO-Schadensersatz in Betracht kommt, z.B.:
Unsere Kanzlei ist spezialisiert auf Datenschutzrecht. Gerne helfen wir Ihnen einen Datenschutzverstoß zu prüfen und Ihre rechtlichen Ansprüche umfassend geltend zu machen.
Unternehmen und sonstige Verantwortliche unterstützen wir bei der Abwehr von Schadensersatzansprüchen durch Betroffene.
Rufen Sie uns unverbindlich und kostenfrei unter 0221/8804060 an oder kontaktieren Sie uns per Mail oder über unser Kontaktformular. Wir melden uns so schnell wie möglich bei Ihnen und schlagen Ihnen die weitere Vorgehensweise vor. Kosten entstehen Ihnen für diesen Service noch keine.
