1. Auch subjektive, immaterielle Einbußen fallen unter den Schadensbegriff
Die ersten beiden wichtigen Entscheidungen, die hier zu nennen sind, stammen vom Europäischen Gerichtshof (EuGH) und sind beide im Dezember 2024 ergangen.
a. Auch immaterielle Schäden
Im ersten Urteil stellt der EuGH1 klar, dass bereits die Befürchtung eines möglichen Missbrauchs personenbezogener Daten einen immateriellen Schaden darstellen kann.
Im Urteil stellen die Richter fest:
„Allein der Umstand, dass eine betroffene Person infolge eines Verstoßes gegen die DSGVO befürchtet, dass ihre personenbezogenen Daten durch Dritte missbräuchlich verwendet werden könnten, kann einen ‚immateriellen Schaden‘ darstellen.“
Der EuGH stellt jedoch ausdrücklich fest, dass eine Beeinträchtigung nur dann vorliegt, wenn die Befürchtung aufgrund nachvollziehbarer Umstände auch gerechtfertigt ist.
„Allerdings ist darauf hinzuweisen, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie negative Folgen gehabt hat, nachweisen muss, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen […].
Insbesondere muss das angerufene nationale Gericht, wenn sich eine Person, die auf dieser Grundlage Schadenersatz fordert, auf die Befürchtung beruft, dass ihre personenbezogenen Daten in Zukunft aufgrund eines solchen Verstoßes missbräuchlich verwendet werden, prüfen, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann.“
Es reicht also nicht aus, dass der Betroffene lediglich pauschal Schadensersatz verlangt, sondern er muss ganz konkrete Umstände darlegen, die ihn aus Sicht eines verständigen Dritten zu einer solchen Befürchtung veranlassen.
War zum Beispiel eine betroffene E-Mail-Adresse schon einmal Teil eines Datenlecks, kann der Betroffene bei einer erneuten Verletzung keine hinreichende Besorgnis mehr haben.2 Ein Schadensersatzanspruch besteht dann nicht.
In der zweiten Entscheidung bekräftigt der EuGH3 seine Auffassung und stellt noch einmal ausdrücklich klar, dass auch rein subjektive Beeinträchtigungen einen Entschädigungsanspruch auslösen können. Aber auch hier betonen die Richter, dass der Betroffene einen tatsächlichen Schaden nachweisen muss:
„Unter diesen Umständen steht zwar nichts dem entgegen, dass die Veröffentlichung personenbezogener Daten im Internet und der daraus resultierende kurzzeitige Verlust der Hoheit über diese Daten den betroffenen Personen einen ‚immateriellen Schaden‘ im Sinne von Art. 82 Abs. 1 DSGVO zufügen können, der zum Schadenersatz berechtigt, doch müssen diese Personen den Nachweis erbringen, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten haben.“
2. Bei bloßem Kontrollverlust in der Regel maximaler Schadensersatz von 100 Euro
Bundesweites Aufsehen erregte die Entscheidung des BGH von November 20244. Dort hatte ein Verbraucher wegen des datenschutzwidrigen Scrapings bei Facebook geklagt und mehrere Tausend Euro Schadensersatz gefordert.
Der BGH bejahte zunächst, dass auch der sogenannte Kontrollverlust über die eigenen Daten einen Schadensersatz nach der DSGVO darstellt.
Sodann hat er ausgeführt, dass in Fällen, in denen keine besonderen Umstände vorliegen, die einen höheren Betrag rechtfertigen, der Schadensersatz maximal 100 Euro beträgt.
Aufgrund dieser Vorgaben hat inzwischen eine Vielzahl von Oberlandesgerichten ein Schmerzensgeld von maximal 100 Euro zugesprochen und darüber hinausgehende Ansprüche als unbegründet zurückgewiesen.
3. Selbst unberechtigter SCHUFA-Eintrag bringt „nur“ 500 Euro Schadensersatz
In dem Urteil aus dem Januar 20255 ging es um einen unberechtigten SCHUFA-Eintrag.
Die Beklagte hatte mit der Klägerin, einem Telekommunikationsunternehmen, einen Mobilfunkvertrag geschlossen. Im Zusammenhang mit der Vertragsabwicklung kam es zu einer unberechtigten SCHUFA-Eintragung durch die Klägerin.
Im Rahmen der gerichtlichen Auseinandersetzung erhob die Beklagte Widerklage und verlangte 6.000 Euro Schadensersatz wegen des Verstoßes gegen die DSGVO. Die unberechtigte SCHUFA-Eintragung habe erhebliche Folgen gehabt. So sei ein Kredit bei ihrer Hausbank gestoppt worden. Auch sei zu befürchten, dass ihr künftig bei Online-Geschäften der Kauf auf Rechnung verweigert werde. Sie sei als zahlungsunfähige oder jedenfalls zahlungsunwillige Kundin stigmatisiert worden.
Die Vorinstanz, das OLG Koblenz, sprach trotz dieser Umstände nur ein Schmerzensgeld in Höhe von 500 Euro zu. Dagegen wandte sich die Betroffene mit der Begründung, dieser Betrag reiche nicht aus, um den ihr entstandenen Schaden auszugleichen.
Diesem Standpunkt erteilte der BGH eine klare Absage. Die 500 Euro seien vollkommen ausreichend. Eine höhere Entschädigung komme auch aufgrund des fehlenden Strafcharakters des DSGVO-Schadensersatzes nicht in Betracht. Die DSGVO habe nur den Zweck, die tatsächlich erlittenen Nachteile auszugleichen, und diene nicht der Bestrafung oder Abschreibung:
„Als immateriellen Schaden hat das Berufungsgericht zum einen die Weitergabe von personenbezogenen Daten der Beklagten an die SCHUFA, die im Rahmen etwaiger SCHUFA-Abfragen zu einem für eine unbekannte Zahl von Dritten einsehbaren Eintrag bei der SCHUFA zu Lasten der Beklagten führte, berücksichtigt […].
Die Revision hat weder geltend gemacht noch ist ersichtlich, dass der vom Berufungsgericht zuerkannte Betrag von 500 € nicht ausreichend wäre, um den immateriellen Schaden der Beklagten auszugleichen. Das Berufungsgericht hat bei der Bemessung des Schadensersatzes neben dem Kreis derjenigen, die Zugriff auf die personenbezogenen Daten der Klägerin bei der SCHUFA hatten, auch die Dauer des Eintrags und dessen Folgen für die Beklagte in den Blick genommen.“
Es ist wichtig, zu verstehen, dass der BGH nicht entschieden hat, dass solche Verstöße grundsätzlich einen Schadensersatz von 500 Euro auslösen.
Vielmehr ist das Urteil dahingehend zu verstehen, dass die 500 Euro in diesen Fällen die Obergrenze der Entschädigung darstellen. Nur in besonderen Einzelfällen, in denen schwerwiegendere Folgen eingetreten sind, kann ein höherer Betrag angemessen sein.
Im vorliegenden Verfahren war der BGH prozessual an den Betrag in Höhe von 500 Euro gebunden. Die Beklagte hatte nämlich Berufung eingelegt und einen höheren Betrag als die bereits vom OLG Koblenz zugesprochenen 500 Euro gefordert. Die Richter konnten daher nur über den 500 Euro übersteigenden Betrag entscheiden. Hinsichtlich der „unteren“ 500 Euro waren sie jedoch an das Urteil der Vorinstanz gebunden.
Es ist also falsch, wenn behauptet wird, der BGH habe 500 Euro Schadensersatz für einen unberechtigten SCHUFA-Eintrag zugesprochen. Dies hat das Gericht gerade nicht entschieden. Es sind bereits weitere Revisionsverfahren anhängig, in denen der BGH in Kürze auch über die genaue Höhe entscheiden wird.
4. Für unerwünschte Werbe-E-Mails gibt es gar keinen Schadensersatz
Im Januar 2025 war es so weit, dass der BGH6 eine wichtige, in der Praxis sehr umstrittene Frage beantwortet hat: Hat der Empfänger einer Werbe-E-Mail einen Anspruch auf DSGVO-Schadensersatz?
Inzwischen werden in den allermeisten anwaltlichen Abmahnungen wegen unerlaubter E-Mail-Werbung neben den Abmahnkosten pauschal einige Hundert Euro Schadensersatz für den vermeintlich Geschädigten geltend gemacht.
Diesem modernen Raubrittertum hat der BGH mit seinem Urteil einen Riegel vorgeschoben.
Mit deutlichen Worten stellt der BGH klar, dass es für Werbe-E-Mails grundsätzlich nichts gibt, weil es an der Beeinträchtigung fehlt.
Pauschal vorgetragene Befürchtungen reichen nicht aus:
„Die Befürchtung samt ihrer negativen Folgen muss dabei ordnungsgemäß nachgewiesen sein […]. Demgegenüber genügt die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten […].
Die Revision verweist hierzu auf Vortrag des Klägers, aus dem sich die Befürchtung ergebe, der Beklagte werde die E-Mail-Adresse des Klägers auch Dritten zugänglich machen, da er sie bereits unbefugt (gegenüber dem Kläger) verwendet habe. Damit legt der Kläger aber nur die – im Übrigen aus sich heraus nicht ohne Weiteres nachvollziehbare – Befürchtung weiterer Verstöße gegen die Datenschutz-Grundverordnung durch den Beklagten dar.“
Eine sehr wichtige Grundsatzentscheidung für die tägliche Praxis. Damit ist höchstrichterlich klargestellt, dass eine Spam-Mail grundsätzlich keinen Schadensersatzanspruch nach der DSGVO auslöst.
Seit Inkrafttreten der DSGVO wurden immer wieder solche pauschalen Ansprüche geltend gemacht. Mit dem vorliegenden Urteil des BGH wird dem ein Riegel vorgeschoben.
