EuGH Rechtssache T-354/22 Datenschutz
RA und Notar Krau
Das Urteil des Gerichts der Europäischen Union (EuG) vom 8. Januar 2025 befasst sich mit dem Fall von Herrn B. gegen die Europäische Kommission.
Der Kläger, ein deutscher Staatsbürger mit Interesse an Informatik und Datenschutz, besuchte die Website der Konferenz zur Zukunft Europas, die von der Kommission betrieben wird.
Dabei stellte er fest, dass personenbezogene Daten, insbesondere seine IP-Adresse, an Server in den USA übermittelt wurden.
Er sah darin einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO) und die Verordnung (EU) 2018/1725 zum Schutz natürlicher Personen
bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union.
Der Kläger reichte Klage beim EuG ein und beantragte die Nichtigerklärung der Datenübermittlungen, die Feststellung der rechtswidrigen
Untätigkeit der Kommission hinsichtlich seines Auskunftsersuchens und Schadensersatz für den erlittenen immateriellen Schaden.
Das EuG wies den Antrag auf Nichtigerklärung als unzulässig ab, da die Datenübermittlungen keine anfechtbaren Handlungen im Sinne von Art. 263 AEUV darstellten.
EuGH Rechtssache T-354/22 Datenschutz
Der Antrag auf Feststellung der Untätigkeit wurde für erledigt erklärt, da die Kommission nach Klageerhebung auf das Auskunftsersuchen reagierte.
Hinsichtlich der Schadensersatzansprüche prüfte das EuG die Voraussetzungen der außervertraglichen Haftung der Union gemäß Art. 340 Abs. 2 AEUV.
Es stellte fest, dass ein hinreichend qualifizierter Verstoß gegen eine Rechtsnorm vorliegen muss, die dem Einzelnen Rechte verleiht,
der Schaden tatsächlich entstanden sein muss und ein Kausalzusammenhang zwischen dem Verstoß und dem Schaden bestehen muss.
Der erste Schadensersatzantrag, der sich auf die Verletzung des Auskunftsrechts bezog, wurde abgewiesen,
da der Kläger keinen tatsächlichen immateriellen Schaden durch die verzögerte Antwort der Kommission darlegen konnte.
Der zweite Schadensersatzantrag betraf die streitigen Datenübermittlungen.
Das EuG unterschied dabei drei Fälle:
EuGH Rechtssache T-354/22 Datenschutz
- Datenübermittlung beim Besuch der Website am 30. März 2022: Der Kläger behauptete, dass seine Daten an einen Server von Amazon Web Services in den USA übermittelt wurden. Das EuG stellte jedoch fest, dass die Daten an einen Server in München übermittelt wurden und somit keine Übermittlung an ein Drittland im Sinne der DSGVO vorlag.
- Datenübermittlung bei den Besuchen der Website am 8. Juni 2022: Der Kläger machte geltend, dass seine Daten an Server in den USA übermittelt wurden. Das EuG stellte fest, dass dies auf technische Einstellungen des Klägers zurückzuführen war, der seinen Standort manipulierte. Es fehlte daher am Kausalzusammenhang zwischen dem Verhalten der Kommission und dem Schaden.
- Datenübermittlung bei der Anmeldung auf „EU Login“ am 30. März 2022: Der Kläger verwendete die Anmeldeoption über sein Facebook-Konto, wodurch seine IP-Adresse an Meta Platforms in den USA übermittelt wurde. Das EuG stellte fest, dass die Kommission hierfür die Voraussetzungen geschaffen hatte, ohne die Anforderungen der DSGVO an die Übermittlung personenbezogener Daten in Drittländer zu erfüllen. Es lag somit ein hinreichend qualifizierter Verstoß vor. Der Kläger hatte auch einen tatsächlichen immateriellen Schaden erlitten, da er nicht sicher sein konnte, wie seine Daten verarbeitet werden. Das EuG verurteilte die Kommission zur Zahlung von 400 Euro Schadensersatz.
Zusammenfassend lässt sich sagen, dass das EuG die Klage im Wesentlichen abwies.
EuGH Rechtssache T-354/22 Datenschutz
Lediglich in Bezug auf die Datenübermittlung bei der Anmeldung über Facebook sah es einen Verstoß gegen die DSGVO und sprach dem Kläger Schadensersatz zu.
Das Urteil verdeutlicht die strengen Anforderungen an die Übermittlung personenbezogener Daten in Drittländer und die Bedeutung eines wirksamen Datenschutzes im digitalen Raum.
