Die DSGVO führt in Artikel 82 explizit Schadensersatzansprüche bei Datenschutzverstößen ein. In Deutschland gibt es bereits Tausende von Gerichtsverfahren, in denen Einzelpersonen Schadensersatzansprüche geltend machen. Datenschutzverstöße werden daher zunehmend nicht nur von öffentlichen, sondern auch von privaten Stellen verfolgt und Schadensersatzansprüche werden für Unternehmen zu einem zunehmenden Risiko. In Deutschland wurden bereits mehrere hundert Urteile zu Ansprüchen auf immateriellen Schaden nach der DSGVO veröffentlicht, was eine solide Rechtsprechung darstellt.
Wir überwachen die von deutschen Gerichten veröffentlichten Urteile und erfassen diese in unserem Noerr Damage Tracker. Der Noerr Damages Tracker kann Ihnen dabei helfen, konkrete Urteile zu finden, beispielsweise nach einem Verstoß gegen eine bestimmte Bestimmung der DSGVO oder in bestimmten Fällen, und Ihnen einen Überblick darüber geben, ob und in welchem Umfang Gerichte in diesen Fällen Ansprüchen zusprechen.
Die Analyse zeigt, inwieweit deutsche Gerichte Ansprüche zulassen oder ablehnen und welche Faktoren die Entscheidungen beeinflussen. Die Analyse kann Fachleuten einen ersten Eindruck davon vermitteln, welches tatsächliche finanzielle Risiko Schadensersatzansprüche nach einem Datenschutzverstoß in Deutschland für Unternehmen darstellen können. Gerichte in anderen Gerichtsbarkeiten, in denen nicht so viel Rechtsprechung verfügbar ist, können sich an der deutschen Rechtsprechung orientieren. Gleichzeitig deuten aktuelle Urteile des Europäischen Gerichtshofs (EuGH) und des Bundesgerichtshofs (BGH) darauf hin, dass sich die Rechtsprechung voraussichtlich weiterentwickeln wird.
Treiber der privaten Strafverfolgung in Deutschland
In den letzten Jahren kam es zu einem deutlichen Anstieg der Schadensersatzansprüche nach Artikel 82 DSGVO. Dieser Trend steht im Gegensatz zum typischen Verhalten deutscher Bürger, die im Allgemeinen ein rationales Desinteresse an der Geltendmachung geringfügiger Ansprüche zeigen, weil sie sich Sorgen über die mit einem Rechtsstreit verbundenen finanziellen Risiken machen. Es gibt mehrere Faktoren, die die private Strafverfolgung in Deutschland bestimmen:
Anspruchsberechtigte Anwaltskanzleien: In Deutschland gibt es eine beträchtliche Anzahl von Anwaltskanzleien, die sich auf Datenschutzfälle spezialisiert haben, attraktive Möglichkeiten zur Durchsetzung von Ansprüchen bieten und aktiv auf der Suche nach rechtsschutzversicherten Mandanten sind. Rechtsschutzversicherung: Diese weit verbreitete Versicherungsform deckt die Prozesskosten ab und ermöglicht es Klägern, ihre Ansprüche ohne das übliche finanzielle Risiko vor Gericht geltend zu machen. Prozessfinanzierer: In Fällen, in denen Kläger nicht über eine Rechtsschutzversicherung verfügen, bieten die Anwaltskanzleien der Kläger zusammen mit Prozessfinanzierern Alternativen an, indem sie die finanziellen Kostenrisiken eines Rechtsstreits im Austausch für einen Anteil an jedem erfolgreichen Anspruch übernehmen. Aggressives Marketing: Die Anwaltskanzleien der Kläger wenden aggressive Marketingstrategien an und machen mutige Behauptungen über mögliche Entschädigungen und erreichen so viele Menschen, die vielleicht nicht daran gedacht hätten, selbst Ansprüche einzureichen. Representative Actions Directive (RAD): Die Umsetzung der RAD erleichtert kollektive Rechtsdurchsetzungsverfahren. Sogenannte qualifizierte Einrichtungen können nun im Namen von Verbrauchern klagen und Schadensersatz verlangen. Im Dezember 2024 wurde eine erste Sammelklage auf Wiedergutmachung in einem Datenschutzverfahren gegen Meta Platforms Ltd. eingereicht. Die Entscheidungen wurden geprüft
In Deutschland gibt es Hunderte veröffentlichte Entscheidungen zum Schadensersatz wegen Datenschutzverstößen. Der analysierte Datensatz umfasst 255 Entscheidungen, zwischen dem 7. November 2018 und dem 15. August 2023. Der Großteil sind Urteile: 178 von Landgerichten und 73 von Oberlandesgerichten sowie einige von Amts- und Arbeitsgerichten. Die Zahl der Veröffentlichungen steigt jährlich, von nur 2 Entscheidungen im Jahr 2018 auf 86 Entscheidungen im Jahr 2023.
Der Datensatz umfasst jedoch nur manuell untersuchte Entscheidungen und da nur etwa 1 % der erstinstanzlichen Urteile veröffentlicht werden, können die Ergebnisse keinen Anspruch auf Absolutheit erheben. Trotz dieser Einschränkungen liefert die Analyse wertvolle Einblicke in den zugesprochenen Schadensersatz und bietet eine breitere Perspektive als der übliche praktische Ansatz, isolierte, mehr oder weniger zufällig getroffene Entscheidungen zu untersuchen.
Anteil der abgelehnten und bewilligten Ansprüche
Um Praktikern dabei zu helfen, das Risiko einzuschätzen, das Ansprüche aus moralischer Schädigung für ein Unternehmen darstellen, ist es wichtig zu verstehen, wie oft Gerichte solchen Ansprüchen zustimmen. In fast drei Vierteln der untersuchten Fälle wiesen die Gerichte die Klage vollständig ab und setzten die zugesprochene Entschädigung auf null fest. Mit anderen Worten: Ein „allgemeiner“ Überblick über die veröffentlichte Rechtsprechung legt nahe, dass die Wahrscheinlichkeit, dass ein Beklagter bei Einreichung einer Klage schadensersatzpflichtig wird, bei etwa 25 % liegt.
Ein tieferes Verständnis für die hohe Entlassungsquote ergibt sich aus den Gründen für die Ablehnung von Bewerbungen. Dabei sind vor allem zwei Beobachtungen hervorzuheben: Einerseits wird die überwiegende Mehrheit der Klagen abgewiesen, weil kein Schaden bzw. kein Verstoß gegen die DSGVO nachgewiesen werden konnte (jeweils ca. 95 Fälle; teilweise wurde sowohl ein fehlender Verstoß gegen die DSGVO als auch ein fehlender Schaden geltend gemacht). In 32 Fällen stützten die Gerichte die Abweisung auf andere Gründe, etwa auf die Unanwendbarkeit der DSGVO oder das Nichtüberschreiten der Schwereschwelle, was der EuGH jedoch nicht mehr fordert. Daher scheint es für die Betroffenen schwierig zu sein, die Beweislast sowohl für den Verstoß gegen die DSGVO als auch für den Schaden zu tragen. Die Rechtsprechung des EuGH dürfte dies noch schwieriger machen, da sie ausdrücklich feststellt, dass ein Verstoß gegen die DSGVO allein keinen Schaden darstellt; Der Schaden ist gesondert nachzuweisen.
Zuerkannte Schadensbeträge
Für Unternehmen, die eine Risikobewertung durchführen möchten, ist es auch wichtig, die durchschnittliche Höhe der Entschädigung zu berücksichtigen, die Gerichte zusprechen, wenn sie zugunsten des Klägers entscheiden. Im Durchschnitt wurden rund 3.300 Euro vergeben, die durchschnittliche Summe lag bei 1.500 Euro. Der höchste zuerkannte Betrag betrug 30.000 € und der niedrigste Betrag 25,00 €. Allerdings ist zu beachten, dass die höchsten Beträge in der Regel nicht bei einem einfachen Datenschutzverstoß zugesprochen werden, sondern eher dann, wenn beispielsweise Fotos von Prominenten in den Medien veröffentlicht werden oder ein Unternehmer Privatdetektive beauftragt.
Vergleicht man jedoch die zugesprochenen Beträge mit den geforderten Beträgen, wird deutlich, dass Kläger oft nur teilweise Erfolg haben. Die Kläger forderten häufig weitaus höhere Beträge als ihnen zugesprochen wurde. In etwa 60 % der Fälle (38 von 65 Fällen, in denen die Klage nicht vollständig abgewiesen wurde) sprach das Gericht 40 % oder weniger der ursprünglich von den Klägern geforderten Summe zu. In weniger als 10 % der Fälle (6 von 65 Fällen, darunter 2 Fälle, in denen mehr als beantragt zugesprochen wurde) gaben die Gerichte der Forderung fast oder vollständig statt, d. h. zwischen 80 % und mehr der Summe.
Eine mögliche Erklärung für unrealistische Ansprüche könnte sein, dass die Honorare der Anwaltskanzleien des Klägers vom Streitwert abhängen und dass diese Honorare häufig vom Beklagten (im Erfolgsfall des Klägers) oder von der Rechtsschutzversicherung des Klägers übernommen werden. Daher besteht für Anwaltskanzleien ein Anreiz, hohe Beträge einzufordern.
Schadenshöhe für verschiedene Arten personenbezogener Daten
Das Risiko, dass ein Unternehmen für Schäden haftbar gemacht wird, kann unter anderem von der Sensibilität der betroffenen personenbezogenen Daten abhängen.
Diese Grafik zeigt die jeweils gewährte Entschädigung in Bezug auf die betroffenen Datenkategorien. Der grüne Balken stellt den Median der Beträge dar, die gewährt wurden, als diese Kategorie betroffen war. Die violetten Punkte stellen die zugrunde liegenden Einzelwerte dar (ein Punkt kann mehrere Entscheidungen mit demselben Betrag darstellen). Eine einzelne Entscheidung kann auch in mehreren Zeilen erscheinen, wenn mehr als eine Datenkategorie betroffen war. Beispielsweise handelt es sich bei der Entscheidung, bei der 8.000 € für Namens-, Mitarbeiter- und Gehaltsdaten zugesprochen werden, um dieselbe Entscheidung.
Der Trend zeigt, dass weniger sensible und häufig weitergegebene Daten, die häufig Gegenstand von Datenschutzverstößen sind, tendenziell mit geringeren Entschädigungsbeträgen einhergehen. Im Gegenteil, wenn sensiblere Daten betroffen sind, erhöht sich die gewährte Entschädigung im Median.
Die Perspektive
Es ist zu erwarten, dass sich die aktuelle Rechtsprechung in Deutschland weiterentwickeln wird. Zusätzlich zu zehn EuGH-Urteilen hat der BGH den deutschen Gerichten jüngst einen neuen Maßstab für die Beurteilung von Ansprüchen an die Hand gegeben. Wie oben beschrieben, haben viele Gerichte zuvor Klagen mit der Begründung abgewiesen, dass die Kläger keinen entschädigungsfähigen Schaden nachweisen konnten. Der BGH hat nun entschieden, dass allein der Verlust der Kontrolle über Daten einen Schaden darstellen kann. Dieses Konzept wurde zuvor von Vorinstanzen diskutiert und oft abgelehnt.
Kontrollverlust als Schadensform stellt für Betroffene eine relativ einfache Grundlage dar, Schadensersatz wegen Datenschutzverstößen zu fordern, so dass erfolgreiche Klagen wahrscheinlich zunehmen werden. Allerdings stellte der BGH auch fest, dass im konkreten Fall eine Entschädigung von 100,00 Euro für den Kontrollverlust als angemessen angesehen werden könne. Damit könnte ein niedriger Maßstab gesetzt werden, der dazu führen könnte, dass deutsche Gerichte immer mehr Klagen in diesem Bereich zustimmen, allerdings mit geringeren durchschnittlichen Schadensersatzbeträgen. Folglich könnten die durchschnittlichen gewährten Geldbeträge in Zukunft sinken.
Wir werden die neue deutsche Rechtsprechung weiterhin beobachten und in unserem Noerr Damages Tracker veröffentlichen.
Wir empfehlen Unternehmen, einen proaktiven Ansatz zu verfolgen, indem sie eine starke Datenschutz-Governance etablieren, ein effektives Datensubjektrechtemanagement implementieren und potenzielle Datenschutzvorfälle professionell bewerten und bearbeiten. Unternehmen müssen sich frühzeitig und strategisch mit den Herausforderungen, Chancen und Risiken von Datenschutzstreitigkeiten auseinandersetzen. Unser erfahrenes Team aus renommierten Prozess- und Datenschutzexperten steht Ihnen gerne zur Seite.