{"id":64741,"date":"2023-06-15T17:52:50","date_gmt":"2023-06-15T15:52:50","guid":{"rendered":"https:\/\/www.lhr-law.de\/?p=64741"},"modified":"2024-02-01T16:53:29","modified_gmt":"2024-02-01T14:53:29","slug":"dsgvo-verstoesse","status":"publish","type":"post","link":"https:\/\/www.lhr-law.de\/en\/magazin\/datenschutzrecht\/dsgvo-verstoesse\/","title":{"rendered":"DSGVO-Verst\u00f6\u00dfe: Wieviel Schadenersatz bekommt man?"},"content":{"rendered":"
\"DSGVO-Verst\u00f6\u00dfe\"
\u00a9 EKH-Pictures – Adobe Stock<\/figcaption><\/figure>\n

Wenn Gerichte in Deutschland Schadenersatzbetr\u00e4ge bei der DSGVO<\/a> ausurteilen, ist die Spanne gro\u00df. Ein \u00dcberblick:<\/em><\/p>\n

Die DSGVO<\/a> sieht vor, dass jede Person, der wegen eines DSGVO-Versto\u00dfes materieller oder immaterieller Schaden entsteht, Anspruch auf Schadenersatz hat. Der Anspruch richtet sich gegen die verantwortliche Stelle oder, sofern eine Auftragsdatenverarbeitung vorliegt, gegen den Auftragsverarbeiter. F\u00fcr Schadenersatzklagen sind nach Artikel 82 Abs. 6 DSGVO<\/a> die nationalen Gerichte zust\u00e4ndig. Und zwar in dem Land, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Sofern die verantwortliche Stelle keine Beh\u00f6rde ist, die in Aus\u00fcbung hoheitlicher Befugnisse t\u00e4tig wurde, kann wahlweise kann auch dort Klage erhoben werden, wo die betroffene Person ihren gew\u00f6hnlichen Aufenthaltsort hat.<\/p>\n

Nachweis eines Schadens erforderlich<\/h2>\n

In einem Grundsatzurteil hat der Europ\u00e4ische Gerichtshof (Urteil v. 04.05.2023, Az. C-300\/21<\/a>) entschieden, dass nicht jeder noch so kleine Versto\u00df gegen die DSGVO gleich zu einem Schadenersatzanspruch f\u00fchrt. Es bedarf daf\u00fcr auch des Vorliegens eines Schadens, der nachzuweisen ist. Bei einem immateriellen Schaden muss dieser eine gewisse Erheblichkeitsschwelle erreichen. Das war im Grundsatz auch schon vorher so, doch inzwischen haben sich bereits die ersten Gerichte auf die Entscheidung des EuGH berufen, darunter auch das Bundesarbeitsgericht.<\/p>\n

10.000 Euro<\/h2>\n

Ein h\u00e4ufiger Fall, in dem DSGVO-Schadenersatzanspr\u00fcche vor Gerichten geltend gemacht werden, ist das Recht der betroffenen Person, von dem Verantwortlichen Auskunft dar\u00fcber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und falls ja, Auskunft dar\u00fcber zu erhalten. Rekordverd\u00e4chtige 10.000 Euro urteilte das Arbeitsgericht Oldenburg (ArbG Oldenburg, Urteil v. 09.02.2023, Az. 3 Ca 150\/21<\/a>) aus. F\u00fcr jeden Monat einer \u00fcber 20 Monate nicht erteilten DSGVO-Auskunft veranschlagte das Gericht 500 Euro Schadenersatz.<\/p>\n

7.500 Euro<\/h2>\n

Das Arbeitsgericht Mannheim gelangte zu einem Schadenersatz in H\u00f6he von 7.500 Euro wegen eines Versto\u00dfes gegen \u00a7 26 Bundesdatenschutzgesetz<\/a> (BDSG) in Verbindung mit Art. 6 DSGVO<\/a>. Der Versto\u00df lag darin, dass auf einem gemischt genutzten Arbeitshandy WhatsApp-Kommunikation eines Mitarbeiters ausgewertet worden war (ArbG Mannheim, Urteil v. 20.05.2021, Az. 14 Ca 135\/20<\/a>).<\/p>\n

5.000 Euro<\/h2>\n

Bei einem Versto\u00df gegen die Art. 6<\/a> und 10 DSGVO<\/a> kam das Oberlandesgericht Dresden auf einen Schadenersatzbetrag von 5.000 Euro (OLG Dresden, Urteil v. 30.11.2021, Az. 4 U 1158\/21<\/a>). Das Landgericht Berlin sah diesen Betrag bereits im Fall eines Versto\u00dfes allein gegen Art. 6 DSGVO<\/a> durch eine unzul\u00e4ssige Video\u00fcberwachung im Innenhof einer Mietswohnung als angemessen an (LG Berlin, Urteil v. 15.07.2022, Az. 63 O 213\/20<\/a>).<\/p>\n

Eine wissenschaftliche Einrichtung verwendete unbefugt das Foto einer Mitarbeiterin in einer Brosch\u00fcre und verstie\u00df damit gegen \u00a7 26 Abs. 2 S. 3 BDSG<\/a>. Die Mitarbeiterin erhielt deshalb Schadenersatz in H\u00f6he eines Bruttomonatslohns (ArbG M\u00fcnster, Urteil v. 25.03.2021, Az. 3 Ca 391\/20<\/a>).<\/p>\n

Eine unvollst\u00e4ndige und versp\u00e4tete Auskunft nach Art. 15 DSGVO<\/a> und ein Versto\u00df gegen das Transparenzgebot des Art. 12 Abs. 3 DSGVO<\/a> berechtigten nach Ansicht des Arbeitsgerichts D\u00fcsseldorf ebenfalls zu 5.000 Euro Schadenersatz (ArbG D\u00fcsseldorf, Urteil v. 05.03.2020, Az. 9 Ca 6557\/18<\/a>).<\/p>\n

Das Landgericht Mainz bejahte bei einem unberechtigten Schufa-Eintrag einen immateriellen Schadenersatz in H\u00f6he von 5.000 Euro (LG Mainz, Urteil v. 12.11.2021<\/a>).<\/p>\n

4.000 Euro<\/h2>\n

Diesen Schadenersatzbetrag stellte das Amtsgericht Pforzheim fest nach einem Versto\u00df gegen Art. 9 Abs. 1 DSGVO<\/a> durch die unbefugte Offenlegung von Gesundheitsdaten (AG Pforzheim, Urteil v. 25.03.2020, Az. 13 C 160\/19<\/a>).<\/p>\n

2.500 Euro<\/h2>\n

Die Entwendung von personenbezogenen Daten aus dem Datenbestand eines Finanzdienstleisters bei gleichzeitiger Verletzung von Art. 32 DSGVO<\/a> rechtfertigen 2.500 Euro immateriellen Schadenersatz, so das Landgericht M\u00fcnchen I (LG M\u00fcnchen I, Urteil v. 09.12.2021, Az. 31 O 16606\/20<\/a>).<\/p>\n

2.000 Euro<\/h2>\n

Zu Schadenersatz in dieser H\u00f6he gelangt das Landesarbeitsgericht Hamm (LAG Hamm, Urteil v. 14.12.2021, Az.: 17 Sa 1185\/20<\/a>) bei einem Versto\u00df gegen Art. 5 Abs. 1 lit. a 1. Alt., Art. 6 Abs. 1 DSGVO<\/a>. \u00c4hnlich entschieden das Landesarbeitsgericht Berlin-Brandenburg im Fall einer unvollst\u00e4ndigen DSGVO-Auskunft (LAG Berlin-Brandenburg, Urteil v. 18.11.2021, Az. 10 Sa 443\/21<\/a>) sowie das Oberlandesgericht D\u00fcsseldorf (Urteil v. 28.10.2021, Az. 16 U 275\/20<\/a>) bei einem Versto\u00df gegen Art. 6 DSGVO<\/a> im Fall der Versendung einer Gesundheitskarte an die falsche Adresse.<\/p>\n

1.500 Euro<\/h2>\n

Das Landesarbeitsgericht Hessen sprach einem Betroffenen, der durch eine Detektei unrechtm\u00e4\u00dfig observiert wurde, 1.500 Euro Schadenersatz zu (LAG Hessen, Urteil v. 18.10.2021, Az. 16 Sa 380\/20<\/a>). Den gleichen Betrag urteilten auch das Amtsgericht Pforzheim (AG Pforzheim, Urteil v. 27.01.2022, Az. 2 C 381\/21<\/a>) und das Arbeitsgericht Dresden (ArbG Dresden, Urteil v. 26.08.2020, Az. 13 Ca 1046\/20<\/a>) bei einer unerlaubten Weiterleitung von Gesundheitsdaten aus sowie das Arbeitsgericht Neum\u00fcnster im Fall einer drei Monate versp\u00e4teten Auskunft nach Art. 15 DSGVO<\/a> (ArbG Neum\u00fcnster, Urteil v. 11.08.2020, Az. 1 Ca 247 c\/20).<\/p>\n

Ein bekannter Kl\u00e4ger bekommt 1.500 Euro DSGVO-Schadenersatz in Form einer fiktiven Lizenzgeb\u00fchr f\u00fcr die Verwendung in einem dreij\u00e4hrigen Versandkatalog (OLG K\u00f6ln, Urteil v. 04.05.2023, Az 15 U 3\/23<\/a>).<\/p>\n

F\u00fcr einen rechtswidrigen Schufa-Eintrag sprach das Landgericht Leipzig einem Kl\u00e4ger ebenfalls 1.500 Euro DSGVO-Schadenersatz zu (LG Leipzig, Az. 6 O 2378\/22, Nachinstanz: Oberlandesgericht Dresden, Urteil v. 29.08.2023, Az. 4 U 1078\/23<\/a>).<\/p>\n

1.250 Euro<\/h2>\n

Schadenersatz in dieser H\u00f6he sprach das Landesarbeitsgericht Niedersachsen (LAG Niedersachsen, Urteil v. 22.10.2021, Az. 16 Sa 761\/20<\/a>) einem Kl\u00e4ger zu wegen einer verfristeten und unvollst\u00e4ndigen Auskunft nach Art. 15 DSGVO<\/a>.<\/p>\n

1.000 Euro<\/h2>\n

Der Zweite Senat des Bundesarbeitsgerichts erkannte im Fall einer Angestellten, die von ihrem Arbeitgeber Auskunft \u00fcber gespeicherte Daten einschlie\u00dflich solcher zur Arbeitszeiterfassung verlangte und diese nicht vollst\u00e4ndig erhielt, einen Anspruch auf immateriellen Schadenersatz nach Art. 82 DSGVO<\/a> in H\u00f6he von 1.000 Euro nebst Zinsen an (BAG, Urteil vom 05.05.2022, Az. 2 AZR 363\/21<\/a>).
\nNachdem bei Facebook Daten von Nutzern ausgelesen und im Internet ver\u00f6ffentlicht wurden, verh\u00e4ngte die irische Datenschutzaufsicht 265 Millionen Euro Bu\u00dfgeld gegen die Facebook-Mutter Meta. Das Landgericht Zwickau sprach hierzulande einem Betroffenen, dessen Daten mittels des Facebook-Tools Kontaktimporter bei Facebook ausgelesen werden konnten und wurden, 1.000 Euro Schadenersatz zu (LG Zwickau, Urteil v. 14.09.2022, Az. 7 O 334\/22<\/a>).<\/p>\n

500 Euro<\/h2>\n

Von einem Schadenersatzanspruch von lediglich 500 Euro im Fall einer um Monate versp\u00e4teten Auskunft nach Art. 15 DSGVO<\/a> ging das Oberlandesgericht K\u00f6ln in einer Entscheidung aus (OLG K\u00f6ln, Urteil v. 14.07.2022, Az. 15 U 137\/21<\/a>).
\nEinen Anspruch in gleicher H\u00f6he bejahte des Oberlandesgericht Frankfurt (OLG Frankfurt, Urteil v. 14.04.2022, Az. 3 U 21\/20<\/a>) im Fall einer Verletzung der Art. 6<\/a> und 17 DSGVO<\/a> in Verbindung mit Art. 79 DSGVO<\/a>.<\/p>\n

Auch das Oberlandesgericht Koblenz erkannte bei einem falschen Schufa-Eintrag auf Schadenersatz in H\u00f6he von 500 Euro (OLG Koblenz, Urteil v. 18.05.2022, Az. 5 U 2141\/21<\/a>).<\/p>\n

300 Euro<\/h2>\n

Lediglich 300 Euro sprach das Landesarbeitsgericht K\u00f6ln einer Kl\u00e4gerin zu, dessen Profil nach dem Ende ihres Arbeitsverh\u00e4ltnisses auf der Webseite der Beklagten und im Intranet ver\u00f6ffentlicht worden war (LAG K\u00f6ln, Urteil v. 14.09.2022, Az. 2 Sa 358\/20<\/a>).
\nAuf den gleichen Betrag kommt das Amtsgericht Pfaffenhofen in einem Urteil (AG Pfaffenhofen, Urteil v. 09.09.2021, Az. 2 C 133\/21<\/a>) wegen der Verarbeitung einer E-Mail-Adresse unter Versto\u00df gegen Art. 6 DSGVO<\/a> und einer versp\u00e4teten DSGVO-Auskunft. Laut dem Urteil kann ein immaterieller Schaden \u201ebereits etwa in dem unguten Gef\u00fchl liegen, dass personenbezogene Daten Unbefugten bekannt geworden sind\u201c.<\/p>\n

Entscheidungen von Gerichten in der EU<\/h2>\n

Es gibt zahlreiche weitere relevante Entscheidungen zu DSGVO-Schadenersatzbetr\u00e4gen von nationalen Gerichten im EU-Ausland.<\/p>\n

Datenabfluss nach einem Hackerangriff, Fehlversand von Dokumenten \u2013 die Fallgestaltungen, welche Schadenersatz nach der DSGVO ausl\u00f6sen k\u00f6nnen, sind vielf\u00e4ltig. Da im internetgepr\u00e4gten IT-Zeitalter nahezu \u00fcberall (Kunden)daten gespeichert werden und bei Massenanbietern Millionen Kunden betroffen sind, ist die Zahl der F\u00e4lle, in denen Betroffene Schadenersatz verlangen k\u00f6nnen gro\u00df \u2013 eine Chance auch f\u00fcr Verbraucherkanzleien und Legal-Tech-Anbieter.<\/p>\n

Tiktok: 2.000 Schadenersatz pro Kind?<\/h2>\n

Im EU-Nachbarland Niederlanden verlangten Tausende Eltern, die sich durch eine Stiftung vertreten lassen, Schadenersatz f\u00fcr Ihre Kinder. Die Stiftung, die nach eigenen Angaben 64.000 Eltern vertritt, wirft Tiktok vor, unerlaubt Daten von Minderj\u00e4hrigen zu sammeln, um zielgerichtete Werbung zu platzieren. Die Stiftung will \u201eSchadenersatz von 500 bis 2.000 Euro pro Kind\u201c, abh\u00e4ngig vom Alter. Der niederl\u00e4ndische Anbieter Fixtok verspricht, gegen\u00fcber TikTok Schadenersatz f\u00fcr Betroffene \u201evon \u20ac1.250,- bis \u20ac1.750,-\u201c Euro.<\/p>\n

In Gro\u00dfbritannien hat die fr\u00fchere englische Jugendbeauftragte 2020 im Namen aller Kinder, die Tiktok in Gro\u00dfbritannien und der EU nutzen, eine class action (Massenklage) beim High Court of Justice eingereicht. Da das deutsche Recht Massenklagen in der Form nicht kennt, nur Musterfeststellungsklagen, sieht es hierzulande anders aus. Einzelklagen gegen Tiktok sind dennoch auch hierzulande denkbar und m\u00f6glich.<\/p>\n

Schufa-Praxis und DSGVO<\/h2>\n

Die Rechtsprechung zur DSGVO entwickelt sich rasant. Laut dem Schlussantrag des Generalanwalts des Europ\u00e4ischen Gerichtshofs in einem laufenden Verfahren (EuGH, Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden (VG Wiesbaden) eingereicht am 15.10.2021 \u2013 OQ gegen Land Hessen, Az. C-634\/21<\/a>; Schlussantrag) versto\u00dfen Scoring-Werte der Schufa gegen Europarecht. In dem Verfahren verlangt ein B\u00fcrger von der Schufa Holding AG die L\u00f6schung seines Scoring-Wertes sowie Einblick in entsprechende Daten, was die Schufa unter Verweis auf das Gesch\u00e4ftsgeheimnis verweigert. Soweit der B\u00fcrger geltend macht, dass die Ablehnung seines Auskunftsersuchens gegen Datenschutz verst\u00f6\u00dft, hat das VG Wiesbaden den EuGH ersucht, \u00fcber die Beschr\u00e4nkungen zu entscheiden, welche die DSGVO der wirtschaftlichen T\u00e4tigkeit von Auskunfteien im Finanzsektor insbesondere bei der Datenverwaltung auferlegt. Ein Urteil in dem Verfahren steht noch aus.<\/p>\n

In einem weiteren Fall (EuGH, Az. C-26\/22<\/a> und C-64\/22<\/a>) geht es darum, wie lange die Schufa Daten zu Restschuldbefreiungen bei Verbraucherinsolvenzen speichert. Insolvenzgerichte l\u00f6schen diese Daten nach einem halben Jahr, die Schufa l\u00f6schte erst nach drei Jahren. Der EuGH-Generalanwalt h\u00e4lt dies f\u00fcr rechtswidrig. Vor dem Bundesgerichtshof ist ein \u00e4hnlicher Fall anh\u00e4ngig (BGH, Beschluss v. 27.03.2023, Az. VI ZR 225\/21<\/a>).<\/p>\n

Wie auch immer diese F\u00e4lle ausgehen m\u00f6gen, die Zahl der Urteile zu DSGVO-Schadenersatz, auf die sich Betroffene inzwischen berufen k\u00f6nnen, nimmt stetig zu.<\/p>\n","protected":false},"excerpt":{"rendered":"

Wenn Gerichte in Deutschland Schadenersatzbetr\u00e4ge bei der DSGVO ausurteilen, ist die Spanne gro\u00df. Ein \u00dcberblick: Die DSGVO sieht vor, dass jede Person, der wegen eines DSGVO-Versto\u00dfes materieller oder immaterieller Schaden entsteht, Anspruch auf Schadenersatz hat. Der Anspruch richtet sich gegen die verantwortliche Stelle oder, sofern eine Auftragsdatenverarbeitung vorliegt, gegen den Auftragsverarbeiter. F\u00fcr Schadenersatzklagen sind nach […]<\/p>\n","protected":false},"author":86,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"content-type":"","footnotes":""},"categories":[8],"tags":[1231,17191,17869,18040,19772],"class_list":["post-64741","post","type-post","status-publish","format-standard","hentry","category-datenschutzrecht","tag-europaischer-gerichtshof","tag-dsgvo","tag-datenschutzverstoss","tag-schadensnachweis","tag-dsgvo-schadenersatzansprueche","topic_category-datenschutzrecht"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts\/64741","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/users\/86"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/comments?post=64741"}],"version-history":[{"count":5,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts\/64741\/revisions"}],"predecessor-version":[{"id":66344,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts\/64741\/revisions\/66344"}],"wp:attachment":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/media?parent=64741"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/categories?post=64741"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/tags?post=64741"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}