Schadensersatzanspruch nach Artikel 82 DSGVO wegen des Verlusts der Kontrolle über Daten

Schadensersatzanspruch nach Artikel 82 DSGVO wegen des Verlusts der Kontrolle über Daten

RA und Notar Krau

Dieses Urteil des Schleswig-Holsteinischen Oberlandesgerichts (Aktenzeichen: 5 U 61/23, Entscheidungsdatum: 27.03.2025) befasst sich mit einem Schadensersatzanspruch nach der Datenschutz-Grundverordnung (DSGVO) aufgrund eines Datenlecks, das im April 2021 bekannt wurde. Konkret geht es um den Verlust der Kontrolle über personenbezogene Daten und die daraus resultierenden Folgen für die betroffene Person.

Was ist passiert?

Bei dem Vorfall, oft als „Scraping“ bezeichnet, wurden die Mobiltelefonnummer, der Name, die Facebook-ID, das Geschlecht, der Beziehungsstatus und der Arbeitgeber des Klägers erbeutet und in einem „Hacker-Forum“ veröffentlicht. Es wurde festgestellt, dass die Telefonnummer nicht direkt „gescrapt“ (also massenhaft ausgelesen) wurde. Stattdessen wurde sie über ein sogenanntes Contact Import Tool (CIT) – ein Werkzeug, das es Nutzern ermöglicht, Kontakte hochzuladen und mit anderen Facebook-Profilen abzugleichen – mit den öffentlichen Profildaten des Klägers verknüpft.

Was hat das Gericht entschieden?

Das Landgericht hatte die Klage des Betroffenen ursprünglich abgewiesen. Das Oberlandesgericht hat dies jedoch teilweise abgeändert und dem Kläger einen Schadensersatzanspruch von 300 Euro zugesprochen. Zudem wurde festgestellt, dass die beklagte Partei für künftige Schäden haftet und ihr bestimmte Handlungen untersagt sind.

1. Schadensersatz für immaterielle Schäden (300 Euro):

Der Kläger hat einen immateriellen Schaden erlitten, weil er die Kontrolle über seine Daten verloren hat. Das Gericht hat klargestellt, dass es für einen Schadensersatzanspruch nach Art. 82 DSGVO keinen „Mindestschaden“ geben muss; schon der reine Verlust der Kontrolle über Daten kann einen Schaden darstellen.

Verlust der Kontrolle:

Der Kläger konnte glaubhaft darlegen, dass er seine Mobiltelefonnummer und andere persönliche Daten stets bewusst und gezielt weitergegeben und nicht einfach öffentlich gemacht hatte. Das Gericht war überzeugt, dass der Vorfall zu einem Kontrollverlust geführt hat, auch wenn seine Daten in einem alten Telefonbuch online gefunden werden konnten, da der Kläger dies selbst nicht wusste und die Nutzung solcher Verzeichnisse sich stark verändert hat.

Keine gravierenden psychischen Beeinträchtigungen:

Obwohl der Kläger angab, sich in einem Zustand großen Unwohlseins und Sorge zu befinden und vermehrt Spam-Anrufe und Phishing-Versuche zu erhalten, sah das Gericht dies nicht als über den Kontrollverlust hinausgehende, gravierende psychische Beeinträchtigung an. Dies wurde bei der Höhe des Schadensersatzes berücksichtigt.

Berechnung des Schadensersatzes:

Die Höhe des Schadensersatzes wurde unter Berücksichtigung der Sensibilität der Daten (Telefonnummern gelten als weniger sensibel als z.B. Gesundheitsdaten), der Art des Kontrollverlusts und der Möglichkeit der Wiedererlangung der Kontrolle (z.B. durch Rufnummernwechsel) festgelegt. Der Betrag von 300 Euro wurde als angemessen erachtet, insbesondere wegen der Belästigung durch Spam-Anrufe und der Tatsache, dass die Nummer einem unbegrenzten Personenkreis zugänglich war.

2. Feststellung der Haftung für künftige Schäden:

Das Gericht stellte fest, dass die beklagte Partei auch für künftige materielle und immaterielle Schäden haftet. Das liegt daran, dass das Risiko einer missbräuchlichen Nutzung der Daten (z.B. für Betrug) aufgrund der weiterhin bestehenden Veröffentlichung im Internet fortbesteht und nicht nur theoretischer Natur ist.

Schadensersatzanspruch nach Artikel 82 DSGVO wegen des Verlusts der Kontrolle über Daten

3. Unterlassungsansprüche:

Der beklagten Partei wurden zwei Handlungen untersagt:

Verarbeitung von Daten ohne ausreichende Sicherheitsmaßnahmen: Die beklagte Partei muss unterlassen, die im Antrag genannten personenbezogenen Daten (Telefonnummer, Name, Facebook-ID etc.) über das Contact Import Tool so zugänglich zu machen, dass sie ohne ausreichende Sicherheitsmaßnahmen (wie CAPTCHAs oder Überprüfung massenhafter IP-Abfragen) verknüpft und abgegriffen werden können.

Verarbeitung der Telefonnummer basierend auf unwirksamer Einwilligung: Die beklagte Partei muss es unterlassen, die Telefonnummer des Klägers auf Basis einer Einwilligung zu verarbeiten, die aufgrund unübersichtlicher und unvollständiger Informationen eingeholt wurde. Dies betrifft insbesondere die fehlende klare Information darüber, dass die Telefonnummer auch bei „privater“ Einstellung über das CIT verwendet werden konnte, wenn nicht explizit widersprochen wurde.

Das Gericht stellte fest, dass die damalige Voreinstellung („alle“ können das Profil über die Telefonnummer finden) und die Art der Einholung der Zustimmung gegen die Grundsätze der DSGVO (insbesondere Datenminimierung und Transparenz) verstießen. Eine Einwilligung muss freiwillig, informiert und unmissverständlich sein, was hier nicht der Fall war.

4. Erstattung vorgerichtlicher Rechtsanwaltskosten:

Dem Kläger wurden auch die vorgerichtlichen Rechtsanwaltskosten in Höhe von 367,23 Euro zugesprochen. Die Beauftragung eines Anwalts war angesichts der komplexen Rechtslage zum Zeitpunkt der Beauftragung erforderlich und zweckmäßig.

Kernpunkte des Urteils für Laien:

Datenverlust = Schaden: Schon der bloße Verlust der Kontrolle über die eigenen Daten kann einen immateriellen Schaden darstellen, auch wenn keine großen finanziellen oder psychischen Folgen auftreten. Es muss keine „Erheblichkeitsschwelle“ überschritten werden.

Datenschutz geht vor: Unternehmen müssen geeignete technische und organisatorische Maßnahmen ergreifen, um Daten zu schützen und dürfen die Standardeinstellungen nicht so wählen, dass private Daten leicht zugänglich werden (Grundsatz der Datenminimierung und „Privacy by Design“).

Informierte Einwilligung ist wichtig:

Eine Einwilligung zur Datenverarbeitung muss klar, verständlich und ohne versteckte Klauseln erfolgen. „Stillschweigen“ oder vorangekreuzte Kästchen reichen nicht aus.

Haftung für die Zukunft:

Wenn ein Datenleck passiert ist, kann das Unternehmen auch für Schäden haftbar gemacht werden, die in der Zukunft durch den Missbrauch der Daten entstehen.

Anwaltskosten können ersetzt werden:

Die Kosten für die Beauftragung eines Anwalts zur Durchsetzung von Datenschutzansprüchen können erstattungsfähig sein, insbesondere wenn die Rechtslage komplex ist.

Dieses Urteil unterstreicht die Bedeutung des Schutzes personenbezogener Daten und die Haftung von Unternehmen bei Verstößen gegen die DSGVO. Es macht deutlich, dass Betroffene bei einem Datenleck nicht nur bei direkten finanziellen Schäden, sondern auch bei einem reinen Kontrollverlust über ihre Daten Anspruch auf Schadensersatz haben können.