Immaterieller Schadensersatz beim Kontrollverlust über personenbezogene Daten
BGH Urt. v. 18.11.2024 – VI ZR 10/24
Wenn Daten ungewollt auf Reisen gehen: Was ist passiert?
Stellen Sie sich vor, Ihre persönlichen Informationen – vielleicht Ihre Telefonnummer, Ihr Name oder andere Details – gelangen ungewollt ins Netz.
Genau das ist kürzlich einem Facebook-Nutzer passiert.
Seine Daten, zusammen mit denen von über 530 Millionen anderen Nutzern, tauchten plötzlich im Internet auf.
Das Besondere daran: Die Daten wurden nicht durch einen Hackerangriff gestohlen.
Sie wurden vielmehr über eine eigentlich nützliche Funktion von Facebook gesammelt, die es Nutzern ermöglicht, Freunde über Telefonnummern zu finden.
Der Betroffene klagte, weil er meinte, Facebook hätte dies verhindern müssen und ihm dadurch ein Schaden entstanden sei – nämlich der Verlust der Kontrolle über seine eigenen Daten.
Was ist ein „Kontrollverlust“ und wann ist er ein Schaden?
Genau diese Frage stand im Mittelpunkt einer wichtigen Entscheidung des Bundesgerichtshofs (BGH).
Der BGH musste klären, ob allein der Verlust der Kontrolle über die eigenen Daten schon als Schaden gilt, für den man Entschädigung verlangen kann.
Der Europäische Gerichtshof (EuGH) hatte bereits entschieden, dass ein einfacher Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) nicht automatisch zu Schadensersatz führt.
Es muss immer ein tatsächlicher Schaden entstanden sein.
Der EuGH sagte aber auch, dass der „Verlust der Kontrolle über die personenbezogenen Daten“ ausreichen kann, um einen Schaden zu verursachen – aber nur, wenn die Person auch wirklich beweisen kann, dass ihr dadurch ein Schaden entstanden ist.
Der BGH hat diese Aussage nun so verstanden, dass auch der bloße Kontrollverlust selbst schon einen Schaden darstellen kann.
Das bedeutet, Sie müssten nicht zusätzlich beweisen, dass Sie nun Angst vor Missbrauch haben oder Ihnen tatsächlich etwas Schlimmes passiert ist.
Allerdings gibt es hier unterschiedliche Meinungen, auch ich sehe das kritisch.
Meiner Einschätzung nach muss man weiterhin nachweisen, dass der Kontrollverlust zu einer begründeten Sorge geführt hat, zum Beispiel vor Identitätsdiebstahl.
Der alleinige Kontrollverlust ist eher ein Risiko, das zu einem Schaden führen kann, aber nicht automatisch selbst der Schaden.
Immaterieller Schadensersatz beim Kontrollverlust über personenbezogene Daten
Wie wird ein solcher Schaden berechnet?
Die DSGVO sagt nicht konkret, wie hoch ein solcher Schadensersatz sein soll. Hier kommen deutsche Gesetze ins Spiel.
Der BGH hat betont, dass der Schadensersatz nur dazu dienen soll, den erlittenen Schaden auszugleichen, nicht aber dazu, jemanden zu bestrafen.
Im aktuellen Fall sah der BGH bei einem Kontrollverlust einen Betrag von etwa 100 Euro als angemessen an. Die Höhe des Schadensersatzes hängt aber immer von den Umständen ab.
Es kommt darauf an, wie sensibel die Daten waren, wie lange der Kontrollverlust andauerte und ob man die Daten wieder zurückgewinnen oder ändern konnte.
Wenn zum Beispiel durch den Kontrollverlust psychische Probleme entstehen, kann der Betrag höher ausfallen.
Was bedeutet das für Sie?
Auch wenn der BGH die Hürden scheinbar etwas gesenkt hat, bleibt es dabei: Sie müssen beweisen, dass Sie vom Datenleck betroffen waren und Ihnen ein Schaden entstanden ist.
Das ist oft immer noch eine Herausforderung. Für geringe Schäden, die sich nur im Kontrollverlust erschöpfen, könnten sich Prozesse wirtschaftlich kaum lohnen.
Es bleibt spannend zu sehen, wie die Gerichte in Zukunft mit diesen Fällen umgehen werden. Wir werden die Entwicklungen für Sie im Auge behalten.
Mit freundlichen Grüßen,
Ihr RA und Notar Krau
