Aus dem Datenschutz-Blog: Insolvenz durch Datenleck!

Ausgangssituation

Gemäß Art. 82 DSGVO kann jede natürliche Person, die von einem Datenschutzverstoß betroffen war, wegen der Verletzung ihres Persönlichkeitsrechts, einen immateriellen Schadenersatz verlangen. Viele Unternehmen verarbeiten oft hunderttausende oder millionenfache personenbezogene Daten. Daneben können auch aufsichtsrechtliche Maßnahmen bis hin zu saftigen Bußgeldern anfallen. Selbst wenn nach einem Datenleck nur ein Bruchteil der Betroffenen ihre Ansprüche gem. Art. 82 DSGVO geltend machen, könnte die Insolvenz drohen, wenigstens aber erhebliche Einbußen bedeuten.

Nach Wortlaut des Art. 82 I DSGVO ist ein Verstoß gegen diese Verordnung (also die DSGVO, aber auch andere EU- oder nationale Rechtsakte die aufgrund der DSGVO erlassen wurden – siehe auch Erwägungsgrund Nr. 146 DSGVO) ausreichend, der zu einem Schaden bei dem Anspruchsteller geführt hat.

Die bisher zugesprochenen Schadenersatzsummen durch die Rechtsprechung bewegen sich zwischen 300 € und 5000 €. Allerdings ist die Tendenz zu höheren Schadenersatzsummen zu erkennen. Hinsichtlich des Vorliegens eines tatsächlichen Schadens und dessen Höhe, ergingen mitunter diametrale Entscheidungen.

Das Arbeitsgericht Düsseldorf (Urt. 05.03.2021 – 9 CA 6567/18) hat in seiner Entscheidung deutlich gemacht, dass eine effektive Sanktionierung durch die DSGVO nur durch eine „abschreckende Wirkung“ des Schadenersatzanspruchs zu erreichen ist. Die Höhe des Schadens richtet sich daher nicht an der tatsächlichen Verletzung des Persönlichkeitsrechts, sondern vielmehr an der wirtschaftlichen Leistungsfähigkeit des Verantwortlichen im Sinne der DSGVO.

Das OLG Dresden (Urteil vom 08.12.2020 – 18 U 5493/19) lehnt hingegen einen Schadenersatz mit der Begründung ab, dass für einen Schadenersatz nach Art. 82 DSGVO eine „schwerwiegende Persönlichkeitsrechtsverletzung“ vorliegen muss. Mit anderen Worten: Bagatellfälle sind ausgeschlossen.

Das OLG München (Urteil vom 08.12.2020 – 18 U 5493/19) entschied, dass auch eine geringfügige Verletzung des Persönlichkeitsrechts einen Schaden begründen kann, lehnte einen Schadenersatzanspruch jedoch ab, da es sich streitgegenständlich um vertragliche Ansprüche handelte.