Abschreckender Schadensersatz bei Verletzung der DS-GVO
Art. 82 beinhaltet einen direkt geltenden, über die bisherigen Regelungen des BDSG deutlich hinausgehenden, eigenen deliktischen Schadensersatzanspruch. Zum Ausgleich materieller und immaterieller Schäden besteht eine Haftung mit Verschuldensvermutung, wobei der Verantwortliche nach Art. 82 Abs. 3 den Entlastungsbeweis führen kann. Der Betroffene erhält bei einem Verstoß gegen die DS-GVO nachträglich einen Ausgleich in Geld, und zwar anders als nach der Rechtslage im BDSG, auch Schmerzensgeld für immaterielle Schäden.
Als Verletzungshandlung kommen materielle wie formelle Verstöße in Betracht. Es muss sich nicht um einen Verstoß gegen in der DS-GVO geregelten Datenschutzbestimmungen handeln, es genügt auch ein Verstoß gegen die Verordnung selbst, wie z.B. gegen den Auskunftsanspruch aus Art. 15 Abs. 1 DS-GVO. Beispielhaft sei darüber hinaus die nicht gerechtfertigte Weitergabe von Daten an Dritte, die unzulässige Videoüberwachung am Arbeitsplatz, die verspätete oder nicht erteilte Auskunft über gespeicherte Daten, usw. genannt.
Der Anspruchsverpflichtete wird von der Haftung befreit, wenn er in keinerlei Hinsicht für den schadensverursachenden Umstand verantwortlich ist. Verantwortung ist das Verschulden im Sinne der deutschen Rechtsterminologie und nicht die datenschutzrechtliche Verantwortung. Diese Verantwortung wird grundsätzlich vermutet. Es besteht jedoch die Möglichkeit, sich zu exculpieren, also sich von dem Verschuldensvorwurf zu befreien. Dafür trägt der Verpflichtete aber insoweit die Beweislast, weder vorsätzlich gehandelt noch die maßgebliche Sorgfalt außer Acht gelassen zu haben. Ein sorgfältig erarbeitetes Konzept, ein Datenschutzbeauftragter sowie eine lückenlose Dokumentation können hierbei helfen.
Rechtsprechung dazu, insbesondere zur Höhe des Anspruchs, existiert bislang kaum, obwohl sie – wie damals bei der Einführung des AGG – in hoher Zahl erwartet wurde. So hat z.B. das Arbeitsgericht Düsseldorf am 05.03.2020 über einen Schadensersatzanspruch für die verspätete Erteilung einer Auskunft nach Art. 15 Abs. 1, 2 DS-GVO entschieden und für die insgesamt um 5 Monate verspätete Auskunft einen Betrag in Höhe von 5.000,00 Euro zugesprochen.
Dabei sehen die Erwägungsgründe zur DS-GVO vor, dass die betroffene Person einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten solle. Verstöße müssen effektiv sanktioniert werden, damit die DS-GVO wirken kann, was vor allem durch Schadensersatz in abschreckender Höhe erreicht wird. Bei der Ermittlung des Schadens hat sich das Arbeitsgericht dann aber wieder von verschiedenen (klassischen) Zumessungskriterien leiten lassen und ist sodann zu einem verhältnismäßig geringen und nicht abschreckenden Betrag gelangt.
Dennoch wird deutlich, dass Art. 82 DS-GVO in Auseinandersetzungen um das Thema Datenschutz ein scharfes Schwert ist, das offenbar – die geringe Anzahl von Entscheidungen zeigt dies – zu selten eingesetzt wird.
Sören Riebenstahl, Fachanwalt für Arbeits- und Sozialrecht