{"id":65662,"date":"2023-11-07T07:24:04","date_gmt":"2023-11-07T05:24:04","guid":{"rendered":"https:\/\/www.lhr-law.de\/?p=65662"},"modified":"2023-11-08T14:10:51","modified_gmt":"2023-11-08T12:10:51","slug":"dsgvo-schadenersatzansprueche","status":"publish","type":"post","link":"https:\/\/www.lhr-law.de\/en\/magazin\/datenschutzrecht\/dsgvo-schadenersatzansprueche\/","title":{"rendered":"DSGVO-Schadenersatzanspr\u00fcche gegen Beh\u00f6rden"},"content":{"rendered":"
\"DSGVO-Schadenersatzanspr\u00fcche\"
\u00a9 Suriya – Adobe Stock<\/figcaption><\/figure>\n

Wer von einer Datenschutzverletzung<\/a> betroffen ist und Schaden erleidet, dem steht Schadenersatz zu. Das gilt auch, wenn die verantwortliche Stelle eine Beh\u00f6rde ist.<\/em><\/p>\n

Beh\u00f6rden erheben und speichern allerhand pers\u00f6nliche Daten, in Akten und elektronisch. Immer wieder kommt es auch bei Beh\u00f6rden zu Datenlecks \u2013 mal durch Hackerangriffe, mal durch Datenpannen. Beh\u00f6rden m\u00fcssen nach Art. 33 DSGVO<\/a> Verletzungen des Schutzes personenbezogener Daten<\/a>, von denen mehr als nur ein geringes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen ausgeht, unverz\u00fcglich der zust\u00e4ndigen Aufsichtsbeh\u00f6rde melden. Dies soll m\u00f6glichst binnen 72 Stunden erfolgen.<\/p>\n

Verst\u00f6\u00dfe durch Hoheitstr\u00e4ger<\/h2>\n

Jede Person, der wegen eines Versto\u00dfes gegen die DSGVO materieller oder immaterieller Schaden entsteht, hat nach Art. 82 DSGVO<\/a> Anspruch auf Schadenersatz<\/a>. Das Vorliegen eines Schadens muss nachgewiesen werden. Bei einem immateriellen Schaden muss eine gewisse Erheblichkeitsschwelle erreicht sein.<\/p>\n

Konkurrenz mit Amtshaftungsanspruch m\u00f6glich<\/h2>\n

Das Oberlandesgericht D\u00fcsseldorf hat geurteilt, dass der Schadenersatzanspruch nach Art. 82 DSGVO<\/a> in Anspruchskonkurrenz neben einen Amtshaftungsanspruch aus \u00a7 839<\/a> B\u00fcrgerliches Gesetzbuch i.V.m. Art. 34<\/a> Grundgesetz treten kann (OLG D\u00fcsseldorf, Urteil vom 28.10.2021, Az. 16 U 275\/20<\/a>). Dies entspricht dem Grundsatz, dass zwischen einem Amtshaftungsanspruch und einem auf demselben Sachverhalt beruhenden Entsch\u00e4digungsanspruch stets Anspruchskonkurrenz bestehen kann.<\/p>\n

Haftung f\u00fcr Beteiligung an DSGVO-widriger Verarbeitung<\/h2>\n

Ankn\u00fcpfungspunkt der Haftung einer Beh\u00f6rde ist nach Art. 82 Abs. 2 Satz 1 DSGVO<\/a> die Beteiligung an einer Verarbeitung, die nicht der DSGVO entspricht und Schaden verursacht hat. Die Beh\u00f6rde kann sich nach Art. 82 Abs. 3 DSGVO<\/a> exkulpieren.<\/p>\n

Auch Auftragsverarbeiter von Beh\u00f6rden umfasst<\/h2>\n

Ein Auftragsverarbeiter einer Beh\u00f6rde haftet nach Art. 82 Abs. 2 Satz 2 DSGVO<\/a> f\u00fcr den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell in der DSGVO auferlegten Pflichten nicht nachgekommen ist oder den Anweisungen der Beh\u00f6rde zuwidergehandelt hat. In Erw\u00e4gungsgrund 146 der DSGVO hei\u00dft es: \u201eSind Verantwortliche oder Auftragsverarbeiter an derselben Verarbeitung beteiligt, so sollte jeder Verantwortliche oder Auftragsverarbeiter f\u00fcr den gesamten Schaden haftbar gemacht werden.\u201c<\/p>\n

Wer ist der richtige Anspruchsgegner?<\/h2>\n

Der Schadenersatzanspruch richtet sich gem\u00e4\u00df Art. 82 DSGVO<\/a> \u201egegen den Verantwortlichen oder gegen den Auftragsverarbeiter\u201c. Nach Art. 4 Nr. 7 DSGVO<\/a> ist ein \u201e\u201aVerantwortlicher\u2018 die nat\u00fcrliche oder juristische Person, Beh\u00f6rde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen \u00fcber die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet\u201c.<\/p>\n

Je nach verantwortlicher Stelle kann es sein, dass nicht die Beh\u00f6rde selbst der richtige Anspruchsgegner ist, sondern der jeweilige Hoheitstr\u00e4ger. Eine Klage ist dann nach dem Rechtstr\u00e4gerprinzip gegen den Bund, das Land oder die K\u00f6rperschaft (z. B. Gemeinde), deren Beh\u00f6rde den Schaden verursacht hat, zu richten. Dies gilt auch f\u00fcr K\u00f6rperschaften des \u00f6ffentlichen Rechts, Anstalten des \u00f6ffentlichen Rechts und Stiftungen des \u00f6ffentlichen Rechts. Auch hier ist der jeweilige Rechtstr\u00e4ger der juristischen Person des \u00f6ffentlichen Rechts der Anspruchsgegner.<\/p>\n

Gewillk\u00fcrter Gerichtsstand bei Beh\u00f6rden nicht m\u00f6glich<\/h2>\n

Nach Art. 82 Abs. 6 DSGVO<\/a> sind mit Gerichtsverfahren zur Inanspruchnahme des Rechts auf Schadenersatz die Gerichte zu befassen, die nach den in Art. 79 Abs. 2 DSGVO<\/a> genannten Rechtsvorschriften des Mitgliedstaats zust\u00e4ndig sind. F\u00fcr eine Klage gegen eine Beh\u00f6rde auf DSGVO-Schadenersatz sind nach Art. 79 Abs. 2 Satz 1 DSGVO<\/a> \u201edie Gerichte des Mitgliedstaats zust\u00e4ndig, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat\u201c.<\/p>\n

Wenn die verantwortliche Stelle eine Beh\u00f6rde ist, die in Aus\u00fcbung hoheitlicher Befugnisse t\u00e4tig wurde, kann \u2013 anders als bei privaten Unternehmen \u2013 nicht wahlweise auch dort Klage erhoben werden, wo die betroffene Person ihren gew\u00f6hnlichen Aufenthaltsort hat. Dies sieht Art. 79 Abs. 2 Satz 2 DSGVO<\/a> vor.<\/p>\n

Eine Klage auf Schadenersatz nach Art. 82 DSGVO<\/a> kann \u2013 je nach Streitwert \u2013 vor dem Amts- bzw. Landgericht des Ortes erhoben werden, an dem die verantwortliche Stelle \u2013 beziehungsweise ihr Rechtstr\u00e4ger \u2013 ihren Sitz hat.<\/p>\n

Bundesfinanzhof: Finanzrechtsweg besteht<\/h2>\n

Der Bundesfinanzhof (BFH) hat geurteilt, dass der Finanzrechtsweg f\u00fcr den Schadenersatzanspruch aus Art. 82 DSGVO<\/a> gem\u00e4\u00df \u00a7 33 Abs. 1 Nr. <\/a>Finanzgerichtsordnung i.V.m. \u00a7 32i Abs. 1 Satz 1<\/a> Abgabenordnung er\u00f6ffnet ist (BFH, Beschluss vom 28.06.2022, Az. II B 92\/21<\/a>). Dem BFH zufolge tritt eine Rechtswegspaltung nach \u00a7 17 Abs. 2 Satz 2<\/a> Gerichtsverfassungsgesetz ein.<\/p>\n

In \u00a7 32i Abs. 2 Satz 1<\/a> Abgabenordnung ist geregelt: \u201eF\u00fcr Klagen der betroffenen Person hinsichtlich der Verarbeitung personenbezogener Daten gegen Finanzbeh\u00f6rden oder gegen deren Auftragsverarbeiter wegen eines Versto\u00dfes gegen datenschutzrechtliche Bestimmungen im Anwendungsbereich der Verordnung (EU) 2016\/679 oder der darin enthaltenen Rechte der betroffenen Person ist der Finanzrechtsweg gegeben.\u201c<\/p>\n

In dem BFH-Beschluss hei\u00dft es, sowohl der Begriff des Verantwortlichen als auch der des Auftragsverarbeiters sei \u201einstitutionell zu verstehen\u201c. Wenn eine Beh\u00f6rde Daten verarbeite, sei \u201edamit nicht der jeweilige Amtstr\u00e4ger pers\u00f6nlich Verantwortlicher i.S. der DSGVO und folglich auch nicht Adressat des Anspruchs\u201c. Der Anspruch richte sich vielmehr \u201eunmittelbar gegen den Staat bzw. eine seiner Institutionen\u201c und sei damit gegen\u00fcber dem Amtshaftungsanspruch \u201egrundlegend anders geartet\u201c. Die in Art. 34 Satz 1<\/a> Grundgesetz (GG) (\u201aHaftung bei Amtspflichtverletzungen\u2018) angesprochene Amtspflicht sei hingegen die Pflicht des Amtstr\u00e4gers pers\u00f6nlich.<\/p>\n

Bundessozialgericht: Sozialgerichtsweg er\u00f6ffnet<\/h2>\n

In seinem Beschluss widerspricht der BFH einem Beschluss des Hessischen Landessozialgerichts, der davon ausgeht, dass f\u00fcr Schadensersatzanspr\u00fcche nach Art. 82 DSGVO<\/a> \u201edie ausschlie\u00dfliche Zust\u00e4ndigkeit der ordentlichen Gerichte gegeben\u201c ist (Hessisches LSG, Beschluss vom 26.01.2022, Az. L 6 SF 7\/21 DS<\/a>).<\/p>\n

Das Hessische LSG sieht in dem Schadenersatzanspruch aus Art. 82 Abs. 1 DSGVO<\/a> einen Amtshaftungsanspruch, f\u00fcr den die Rechtswegzuweisung des Art. 34 Satz 3 GG<\/a> der spezialgesetzlichen Zuweisung der DSGVO-Sachen zur Sozialgerichtsbarkeit gem\u00e4\u00df \u00a7 81b Abs. 1<\/a> Sozialgesetzbuch Zehntes Buch (SGB X) \u2013 \u201aSozialverwaltungsverfahren und Sozialdatenschutz\u2018 vorgehe.<\/p>\n

Rechtliches Neuland<\/h2>\n

Auf eine Beschwerde gegen den Beschluss des Hessischen LSG hin hat das Bundessozialgericht entschieden, dass f\u00fcr Schadenersatzanspr\u00fcche nach der DSGVO \u201ewegen datenschutzrechtlicher Verst\u00f6\u00dfe im Rahmen eines der Sozialgerichtsbarkeit zugewiesenen Rechtsverh\u00e4ltnisses\u201c der Sozialrechtsweg er\u00f6ffnet ist (BSG, Beschluss vom 06.03.2023, Az. B 1 SF 1\/22 R<\/a>). Der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit sei f\u00fcr Schadenersatzanspr\u00fcche aus Art. 82 DSGVO<\/a> gem\u00e4\u00df \u00a7 51 Abs. 1 Nr. 10<\/a> Sozialgerichtsgesetz i.V.m. \u00a7 81b Abs. 1 SGB X<\/a> er\u00f6ffnet. Das BSG hob den Beschluss des Hessischen LSG auf.<\/p>\n

Es gibt inzwischen zahlreiche Urteile zu DSGVO-Schadenersatz von Gerichten in Deutschland, aber auch anderen EU-Mitgliedsstaaten. Die meisten bislang von Gerichten ver\u00f6ffentlichten und bekannt gewordenen Urteile zu DSGVO-Schadenersatz betreffen Verantwortliche, die keine Beh\u00f6rden sind. Eine Rolle dabei d\u00fcrfte sicherlich spielen, dass das Gros der Verarbeitung von Daten sich eher im privatwirtschaftlichen Bereich abspielt als bei Beh\u00f6rden. Au\u00dferdem betreffen nicht wenige Urteile zu DSGVO-Schadenersatz arbeitsrechtliche Streitigkeiten und Arbeitgeber sind eher private Unternehmen als Beh\u00f6rden.<\/p>\n

Universit\u00e4t musste 5.000 Euro Schadenersatz zahlen<\/h2>\n

Ein Fall, der bekannt wurde, betrifft die Universit\u00e4t M\u00fcnster, eine K\u00f6rperschaft des \u00f6ffentlichen Rechts, \u00fcber die als Einrichtung des Landes das Ministerium f\u00fcr Kultur und Wissenschaft des Landes Nordrhein-Westfalen Aufsicht f\u00fchrt. Das Graduate Center der Universit\u00e4t verwendete unbefugt das Foto einer Mitarbeiterin in einer Brosch\u00fcre. Wegen eines Versto\u00dfes gegen \u00a7 26 Abs. 2. Satz 3 BDSG<\/a> erhielt die Mitarbeiterin der Universit\u00e4t Schadenersatz in H\u00f6he eines Bruttomonatslohns (Arbeitsgericht M\u00fcnster, Urteil vom 25.03.2021, Az. 3 Ca 391\/20<\/a>), was einem Betrag von 5.000 Euro entsprach.<\/p>\n

Wenn man nach Deutschland schaut, gibt es bislang wenig Rechtsprechung zu DSGVO-Schadenersatz bei Datenschutzverletzungen durch Beh\u00f6rden \u2013 doch es d\u00fcrfte mehr werden.<\/p>\n","protected":false},"excerpt":{"rendered":"

Wer von einer Datenschutzverletzung betroffen ist und Schaden erleidet, dem steht Schadenersatz zu. Das gilt auch, wenn die verantwortliche Stelle eine Beh\u00f6rde ist. Beh\u00f6rden erheben und speichern allerhand pers\u00f6nliche Daten, in Akten und elektronisch. Immer wieder kommt es auch bei Beh\u00f6rden zu Datenlecks \u2013 mal durch Hackerangriffe, mal durch Datenpannen. Beh\u00f6rden m\u00fcssen nach Art. 33 […]<\/p>\n","protected":false},"author":86,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"content-type":"","footnotes":""},"categories":[8],"tags":[17191,19956,19957,19958,19959],"class_list":["post-65662","post","type-post","status-publish","format-standard","hentry","category-datenschutzrecht","tag-dsgvo","tag-datenschutzverletzung","tag-amtshaftungsanspruch","tag-auftragsverarbeiter","tag-behoerden","topic_category-datenschutzrecht"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts\/65662","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/users\/86"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/comments?post=65662"}],"version-history":[{"count":4,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts\/65662\/revisions"}],"predecessor-version":[{"id":65720,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts\/65662\/revisions\/65720"}],"wp:attachment":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/media?parent=65662"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/categories?post=65662"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/tags?post=65662"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}