100 € pro Kontrollverlust?

Lange erwartet, nun viel diskutiert: Das Urteil des
Bundesgerichtshofs (BGH) zum Schadensersatzanspruch aus Art. 82 der
Datenschutz-Grundverordnung (DSGVO) beschäftigt nicht nur Juristen.
Der BGH hatte sich mit der Frage beschäftigt, ob schon der bloße
Kontrollverlust über eigene Daten einen immateriellen Schaden
begründen kann. Anlass war ein Datenleak bei Facebook im Jahr 2019,
bei dem Kriminelle über eine zu weit offene Schnittstelle an
Nutzerdaten wie Namen, Telefonnummern und Adressen von über 500
Millionen Nutzern gelangten, darunter mutmaßlich sechs Millionen
Deutsche. Der BGH hatte sich ein Berufungsurteil des
Oberlandesgerichts Köln herausgepickt und die Revision zum
sogenannten Leitentscheidungsverfahren erklärt. Diese Möglichkeit
hat das oberste deutsche Gericht, seit am 31. Oktober das
Leitentscheidungsgesetz in Kraft getreten ist: In Fällen, die
grundlegende Rechtsfragen betreffen, soll eine Leitentscheidung des
BGH als Richtschnur für niedere Instanzen in ähnlichen Fällen
dienen. In seinem Urteil (Az. VI ZR 10/24) hat der BGH am 18.
November die Hürden für immaterielle Schadensersatzansprüche nach
Art. 82 DSGVO sehr niedrig gesetzt. Entgegen der Auffassung von
Meta könne "auch der bloße und kurzzeitige Verlust der Kontrolle
über eigene personenbezogene Daten infolge eines Verstoßes gegen
die DSGVO ein immaterieller Schaden im Sinne der Norm sein".
Demnach müssen Betroffene nicht nachweisen, dass ihre Daten
missbräuchlich verwendet worden seien. Auch Belege für Angst und
Sorge vor einem Missbrauch sind dem Urteil zufolge nicht
erforderlich. Besonders spannend: Nicht nur mündlich während der
Urteilsverkündung, sondern auch in seiner schriftlichen
Urteilbegründung gab der BGH den Instanzgerichten konkrete Hinweise
zur Höhe der finanziellen Entschädigung für den erlittenen
"Kontrollverlust". Für den konkreten Fall, bei dem keine Schäden
nachgewiesen wurden, schlug er eine "Größenordnung von 100 Euro"
vor. Falls der ein Fall gravierender ist, kann der Betrag laut BGH
allerdings auch wesentlich höher sein. Im c't-Datenschutz-Podcast
erläutert Dr. Lea Stegemann, Rechtsanwältin und Expertin für
Schadensersatzansprüche aus DSGVO-Verstößen heraus, die
Hintergründe und Auswirkungen des BGH-Urteils. Lea sieht in dem
Urteil einerseits einen wichtigen Schritt für den
Persönlichkeitsschutz der Betroffenen. Andererseits warnt sie vor
Risiken für Unternehmen, wenn nun zusätzlich zu möglichen
DSGVO-Bußgeldern noch Schadensersatzforderungen in Millionenhöhe
kommen. Unklar bleibt fürs Erste, wie sich das Urteil auf die
Praxis der Legal-Tech-Kanzleien auswirkt, die Betroffene zu
Massenklagen animieren. Der Verbraucherzentrale Bundesverband
(vzbv) hat jüngst eine Musterfeststellungsklage gegen den
Facebook-Mutterkonzern Meta beim Hanseatischen Oberlandesgericht
Hamburg eingereicht, der sich jeder Betroffene bald kostenlos
anschließen kann. Lea sieht darin Chance, Ansprüche gesammelt
anzumelden, ohne in dem einzelnen Fall ein Gerichtsverfahren und
eine Beweisaufnahme durchführen zu müssen. Sie plädiert ohnehin für
eine Pauschalierung und Bündelung von massenhaft vorhandenen,
ähnlich gelagerten Schadensersatzansprüchen, um die Justiz zu
entlasten. Der Gesetzgeber könne dafür die Rahmenbedingungen
schaffen.