Vorlagefragen an den EuGH zum Umfang der Schadensersatzpflicht nach Art. 82 DS-GVO : (Landgericht Saarbrücken, Beschluss vom 22. November 2021 – 5 O 151/19 –)
Dem Gerichtshof der Europäischen Union werden gemäß Art. 267 AEUV folgende Fragen zur Auslegung von Kapitel VIII, insbesondere von Art. 82 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DS-GVO) vorgelegt:
- Ist der Begriff des immateriellen Schadens in Art. 82 Abs. 1 DS-GVO im Hinblick auf den Erwägungsgrund 85 und den Erwägungsgrund 146 S. 3 EUV 2016/679 in dem Sinne zu verstehen, dass er jede Beeinträchtigung der geschützten Rechtsposition erfasst, unabhängig von deren sonstigen Auswirkungen und deren Erheblichkeit?
- Wird die Haftung auf Schadenersatz gemäß Art. 82 Abs. 3 DS-GVO dadurch ausgeschlossen, dass der Rechtsverstoß auf menschliches Versagen im Einzelfall einer im Sinne von Art. 29 DS-GVO unterstellten Person zurückgeführt wird?
- Ist bei der Bemessung des immateriellen Schadenersatzes eine Orientierung an den in Art. 83 DS-GVO, insbesondere Art. 83 Abs. 2 und Abs. 5 DS-GVO genannten Zumessungskriterien erlaubt bzw. geboten?
- Ist der Schadenersatz für jeden einzelnen Verstoß zu bestimmen oder werden mehrere – zumindest mehrere gleichgelagerte – Verstöße mit einer Gesamtentschädigung sanktioniert, die nicht durch eine Addition von Einzelbeträgen ermittelt wird, sondern auf einer wertenden Gesamtbetrachtung beruht?
I. Vorlagefrage 1
Art. 82 Abs. 1 DS-GVO nennt als Anspruchsvoraussetzungen einen Verstoß gegen die Verordnung, einen materiellen oder immateriellen Schaden sowie eine kausale Verbindung zwischen Verstoß und Schaden. Der Kläger stützt seinen Anspruch allein auf den Umstand, dass seine Daten ohne Berücksichtigung seines Widerspruchs verarbeitet worden seien; dadurch sei sein Recht zur Kontrolle über seine personenbezogenen Daten, das durch Art. 8 GRCh verbürgt und durch die DS-GVO präzisiert werde, verletzt.
Vor diesem Hintergrund stellt sich zunächst die Frage, ob bereits ein Verstoß gegen die DS-GVO einen Schaden begründen kann, ohne dass weitere Rechtspositionen beeinträchtigt werden. Dies könnte der Fall sein, wenn die verletzte Vorschrift der DS-GVO der betroffenen Person ein subjektives Recht verleiht. Könnten demnach ein Verstoß gegen die Verordnung – etwa eine bloß rechtswidrige Verarbeitung von Daten nach Art. 6 Abs. 1 oder die Nichtbeachtung eines Widerspruchs nach Art. 21 Abs. 3 – und der Eintritt eines Schadens zusammenfallen, bedürfte es keiner weiteren Feststellungen dazu, ob eine sonstige Rechtsposition tangiert ist.
Des Weiteren ist zu klären, ob jegliche Beeinträchtigung der geschützten Rechtsposition zur Begründung eines Ersatzanspruchs genügt.
Nach deutschem Recht waren bereits vor Inkrafttreten der DS-GVO immaterielle Schadensersatzansprüche wegen Datenschutzverstößen möglich. Denn Datenschutzverstöße können eine Verletzung des allgemeinen Persönlichkeitsrechts darstellen, die Entschädigungsansprüche nach § 823 Abs. 1, § 253 BGB bzw. Art. 8 EMRK begründen können. Eine Verletzung des allgemeinen Persönlichkeitsrechts führt aber nach ständiger Rechtsprechung nur dann zu einem Anspruch auf Geldentschädigung, wenn es sich um einen schwerwiegenden Eingriff handelt und die Beeinträchtigung nicht in anderer Weise befriedigend ausgeglichen werden kann (BGH, Urteil vom 14.11.2017, VI ZR 534/15; BGH, Urteil vom 17.12.2013, VI ZR 211/12); verfassungsrechtliche Bedenken hiergegen werden nicht gesehen (BVerfG, Beschluss vom 02.04.2017, 1 BvR 2194/15).
Ob entsprechende Einschränkungen auch für den in Art. 82 Abs. 1 DS-GVO statuierten Anspruch auf Ersatz immaterieller Schäden gelten, erscheint fraglich.
Im Hinblick auf Erwägungsgrund 146 Satz 3 und Satz 6 könnte davon ausgegangen werden, dass der Begriff des Schadens im Sinne von Art. 82 Abs. 1 DS-GVO weit ausgelegt werden soll, zumal in Erwägungsgrund 85 der Verlust der Kontrolle über die personenbezogenen Daten ausdrücklich als Schaden genannt wird. Andererseits wird in Erwägungsgrund 85 auf „erhebliche wirtschaftliche oder gesellschaftliche Nachteile“ abgestellt, was darauf hindeuten könnte, dass jedenfalls Bagatellschäden von einer Entschädigung ausgenommen sein sollen.
II. Vorlagefrage 2
Nach dem Wortlaut von Art. 82 Abs. 1 DS-GVO ist der Schadenersatzanspruch nicht an ein Verschulden des Verantwortlichen bzw. Auftragsverarbeiters geknüpft, so dass davon auszugehen sein dürfte, dass das Verschulden vermutet wird, dies auch im Hinblick auf Art. 82 Abs. 3 DS-GVO, wonach der Verantwortliche von der Haftung befreit wird, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
Welche konkreten Anforderungen an diesen Nachweis zu stellen sind, ergibt sich aus der Vorschrift nicht, insbesondere bleibt offen, ob „verantwortlich“ im Sinne von vorsätzlich oder fahrlässig zu verstehen ist und welche Bedeutung der Formulierung „in keinerlei Hinsicht“ zukommt.
Vor diesem Hintergrund gewinnt die Frage Bedeutung, ob die Haftung des Verantwortlichen schon dadurch entfällt, dass dieser sich auf ein Versagen eines Mitarbeiters – hier die unterbliebene Erfassung eines Werbewiderspruchs im System entgegen ausdrücklicher Weisung – beruft. Diese Auslegung von Art. 82 Abs. 3 DS-GVO könnte jedoch zu einer nicht unerheblichen Einschränkung des Anspruchs aus Art. 82 Abs. 1 DS-GVO führen, wenn der Verantwortliche sich durch den pauschalen Hinweis auf ein Fehlverhalten eines Mitarbeiters seiner Haftung entziehen könnte. Das Tatbestandsmerkmal „in keinerlei Hinsicht“ könnte als Korrektiv hierzu zu verstehen sein, lässt aber nicht erkennen, welche Anforderungen insoweit zu erfüllen sind.
III. Vorlagefrage 3
Diese Frage zielt darauf ab, nach welchen Kriterien der Umfang der geschuldeten Entschädigung bestimmt werden kann, insbesondere ob einheitliche Kriterien durch die DS-GVO vorgegeben sind oder ob sich das Maß der Entschädigung nach den jeweiligen innerstaatlichen Vorschriften richtet.
Zwar hat Art. 83 DS-GVO die Verhängung von Geldbußen zum Gegenstand, doch erscheinen die dort aufgezeigten Zumessungskriterien auch für die Bemessung von Geldentschädigungen für immaterielle Schäden geeignet und effektiv. Zudem würde durch die einheitliche Anwendung dieser Kriterien in allen Mitgliedstaaten dem Gebot des wirksamen Schadenersatzes (Erwägungsgrund 146) Rechnung getragen. Die Vorlagefrage ist hier von besonderer Bedeutung, weil in Art. 83 Abs. 5 DS-GVO für bestimmte Verstöße (u.a. gegen Art. 6 und Art. 21 DS-GVO) im Falle eines Unternehmens der Jahresumsatz als Bemessungsgröße vorgegeben ist.
IV. Vorlagefrage 4
Im Ausgangsverfahren fanden mehrfach Datenverarbeitungen zum Zwecke der Direktwerbung statt, obwohl zuvor mehrfach ein Werbewiderspruch erklärt worden war.
Vor diesem Hintergrund stellt sich die Frage, ob jeder der einzelnen Verstöße gegen die DS-GVO isoliert zu behandeln und zu sanktionieren ist oder ob – zumindest für mehrere gleichgelagerte Verstöße – eine Gesamtentschädigung zu bestimmen ist. Daran schließt sich die Frage an, ob für die zu bildende Gesamtentschädigung Einzelbeträge für jeden Verstoß auszuwerfen sind, die dann in einen Gesamtbetrag – aber nicht durch Addition der Einzelbeträge – Eingang finden oder ob eine Gesamtentschädigung auf der Grundlage einer wertenden Gesamtbetrachtung ermittelt werden soll.
V. Vorlageersuchen
Der Entschädigungsanspruch nach Art. 82 Abs. 1 DS-GVO ist in der Rechtsprechung des Gerichtshofs der Europäischen Union bisher nicht erschöpfend geklärt, die einzelnen Voraussetzungen lassen sich auch nicht unmittelbar aus der DS-GVO bestimmen, insbesondere kann ein Merkmal fehlender Erheblichkeit nicht unmittelbar aus der DS-GVO hergeleitet werden, so dass eine Vorlage zur Klärung der oben aufgezeigten Fragen geboten erscheint (vgl. BVerfG, Beschluss vom 14.01.2021, 1 BvR 2853/19).
Der Österreichische Oberste Gerichtshof hat mit Beschluss vom 15.04.2021 (Az.: 6Ob35/21x) bereits ein Vorabentscheidungsersuchen zu Art. 82 DS-GVO an den Gerichtshof der Europäischen Union gerichtet. Dieses steht dem hiesigen Ersuchen nicht entgegen, zumal die Vorlagefragen nur teilweise dieselbe Thematik behandeln.