BECKMANN UND NORDA - Rechtsanwälte Bielefeld

LAG Hessen
Urteil vom 10.02.2026
12 SLa 709/25

Das LAG Hessen hat entschieden, dass ein Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO infolge eines Hackerangriffs ausscheidet, wenn der Betroffene den konkreten Datenabfluss nicht schlüssig darlegt und lediglich ein hypothetisches Risiko einer missbräuchlichen Verwendung behauptet. Nach Ansicht des Gerichts begründet ein Kontrollverlust nur dann einen entschädigungsfähigen immateriellen Schaden, wenn die Befürchtung eines Datenmissbrauchs unter Anwendung eines objektiven Maßstabs als begründet anzusehen ist.

Aus den Entscheidungsgründen:
1. Ein Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO setzt nach der Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH) einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß voraus, wobei diese drei Voraussetzungen kumulativ gegeben sein müssen (vgl. EuGH 4. Oktober 2024 - C-200/23 - [Agentsia po vpisvaniyata] Rn. 140; EuGH 4. Mai 2023 - C-300/21 - [Österreichische Post] Rn. 32; ebenso BAG 20. Februar 2025 - 8 AZR 61/24 - Rn. 10). Vorliegend fehlt es an allen drei Voraussetzungen.

Hinsichtlich der Darlegungs- und Beweislast gilt, dass die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nachweisen muss, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (vgl. EuGH 11. April 2024 - C-741/21 - [juris] Rn. 35; EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 60 f.; BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 13; BAG 20. Februar 2025 - 8 AZR 61/24 - Rn. 10).

a. Es fehlt bereits an einem schlüssigen Vortrag des Klägers zu einem Verstoß gegen die Bestimmungen der DSGVO. Zwar sind unstreitig Daten des Klägers kopiert worden und im Darknet ist eine Liste von Dateinamen aufzufinden, die die von den Hackern kopierten Dateien bezeichnen. Es fehlt aber an dem von dem darlegungsverpflichteten Kläger zu erbringendem Vortrag, welche seiner Daten konkret von den Hackern kopiert worden sind. Über diese Kenntnis verfügt der Kläger, weil die Beklagte mit ihrem Auskunftsschreiben in der dem Schreiben beigefügten Anlage 2 die kopierten Daten konkret bezeichnet hat. Dieser Umstand ist von der Beklagten bereits im erstinstanzlichen Verfahren unbestritten vorgetragen worden und auch im Berufungsverfahren bis zuletzt unstreitig geblieben. Zwar hat der Kläger in der mündlichen Verhandlung vom 10. Februar 2026 auf Nachfrage des Vorsitzenden angegeben,nach seiner Erinnerung habe er die Anlage 2 zum Informationsschreiben der Beklagten über den Datenschutzvorfall nicht erhalten, dies stellt aber kein erhebliches Bestreiten dar. Einerseits belegt der Umstand, dass der Kläger im Rahmen der mündlichen Verhandlung auf seinem Mobiltelefon zwar eine Kopie des Auskunftsschreiben vorgefunden hat, nicht aber die Anlagen zu dem Schreiben, nicht, dass diese dem ursprünglichen Schreiben nicht beigefügt waren. Andererseits stellt sein Hinweis auf seine fehlende Erinnerung nicht die ausdrückliche Angabe dar, die Anlage seien nicht beigefügt gewesen. Im Übrigen wäre das erstmalige Bestreiten des Erhalts der Anlage 2 in der mündlichen Verhandlung vor dem Landesarbeitsgericht verspätet, da es zumindest nicht mit der Berufungsbegründung erfolgt ist, § 67 Abs. 4 ArbGG, und die Berücksichtigung zu einer Verzögerung des Berufungsverfahrens führen würde.

Soweit der Kläger mit seiner Berufungsbegründung die erstinstanzliche Behauptung hinsichtlich der konkret kopierten Daten wiederholt, fehlt es an einer Auseinandersetzung mit dem Vortrag der Beklagten, bei den laut Kläger angeblich kopierten Daten handele es sich nicht um die widerrechtlich kopierten Daten, sondern um Daten, die in Beschäftigungsverhältnissen von der Beklagten grundsätzlich gespeichert werden. Diese grundsätzlich erhobenen Daten seien im Auskunftsschreiben als Anlage 1 beigefügt gewesen, die widerrechtlich kopierten Daten des Klägers in Anlage 2. Hinzu kommt, dass die Beklagte hinsichtlich einzelner Daten, nämlich bezüglich der Bank-, Steuer-, Renten- und Sozialversicherungsdaten sowie hinsichtlich der privaten Zugangsdaten und der Handynummer des Klägers ausdrücklich vorgetragen hat, diese Daten seien nicht kopiert worden. Eine Auseinandersetzung des Klägers mit diesem Vorbringen fehlt ebenfalls.

Soweit der Kläger mit der Berufungsbegründung neben der erstinstanzlich behaupteten Verletzung von Art. 32 und 34 DSGVO erstmals und im Weg der Verwendung von Textbausteinen die Verletzung von Art. 6, 12 bis 14, 33 und 35 DSGVO rügt, fehlt es insgesamt an einem hinreichenden Vortrag zu einem Datenschutzverstoß.

b. Auch das Vorliegen eines immateriellen Schadens – einen materiellen Schaden behauptet der Kläger nicht schlüssig – kann nach Auffassung der Kammer vorliegend nicht anerkannt werden. Der Kläger beruft sich insoweit auf einen Kontrollverlust durch das Kopieren seiner Daten und auf seine Befürchtung einer missbräuchlichen Verwendung seiner Daten durch die Hackerorganisation.

aa. Zwar kann nach der Rechtsprechung des EuGH ein Kontrollverlust auch dann gegeben sein, wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil der geschützten Person erfolgt sein sollte (vgl. EuGH 4. Oktober 2024 - C-200/23 - [Agentsia po vpisvaniyata] Rn. 144 ff.), denn es kann die entsprechende Gefahr bestanden haben. Die durch einen Verstoß gegen die Datenschutz-Grundverordnung ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden i.S.v. Art. 82 Abs. 1 DSGVO darstellen (EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 65; EuGH 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 79 ff.). Das rein hypothetische Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten kann jedoch nicht zu einer Entschädigung führen (EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 68; BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 13; BSG 24. September 2024 - B 7 AS 15/23 R - Rn. 31).

Unter einem Kontrollverlust versteht der EuGH daher nur eine Situation, in der die betroffene Person eine begründete Befürchtung des Datenmissbrauchs hegt (vgl. BSG 24. September 2024 - B 7 AS 15/23 R - Rn. 31). Das bloße Berufen auf eine bestimmte Gefühlslage reicht dabei nicht aus. Das Gericht hat vielmehr zu prüfen, ob das Gefühl unter Berücksichtigung der konkreten Umstände als begründet angesehen werden kann (EuGH 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 85). Dies setzt zwingend die Anwendung eines objektiven Maßstabs voraus (BAG 25. Juli 2024 - 8 AZR 225/23 - Rn. 33; BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 15; BAG 20. Februar 2025 - 8 AZR 61/24 - Rn. 10). Je gravierender die Folgen eines Verstoßes gegen die Datenschutz-Grundverordnung sind, desto näher liegt eine begründete Befürchtung des Datenmissbrauchs. So wird die Veröffentlichung von sensiblen Daten im Internet aufgrund eines Datenlecks typischerweise eine Grundlage für solche Befürchtungen darstellen (BAG 20. Februar 2025 - 8 AZR 61/24 - Rn. 10).

bb. Zwar wird mit dem Kläger davon auszugehen sein, dass er wegen des widerrechtlichen Kopierens seiner nicht näher bezeichneten personenbezogenen Daten einen Kontrollverlust bezüglich ihrer erlitten hat, eine begründete Sorge bezüglich des Eintritts eines weitergehenden Schadens ist jedoch nicht erkennbar.

Zunächst ist festzuhalten, dass die personenbezogenen Daten des Klägers im Internet oder im Darknet nicht eingestellt sind und auch zu keinem Zeitpunkt für einen Abruf dort zur Verfügung standen. Alleine ist im Darknet eine Liste mit Dateinamen eingestellt worden. Die einzelnen mit dem Dateinamen bezeichneten Dateien sind nicht einzusehen. Der Inhalt der Dateien ist, mit Ausnahme der Hackerorganisation selbst, Dritten nicht zugänglich. Hinzu kommt, dass die Beklagte unbestritten vorgetragen hat, dass es sich bei den kopierten Daten um eine riesige Menge nicht nur personenbezogener Daten handele, die unstrukturiert für unbefugte Dritte nicht nutzbar seien und von unbefugten Dritten auch nicht ohne massiven finanziellen Aufwand strukturiert werden könnten. Auch das Hochladen der Daten insgesamt dürfte für die Hackerorganisation aufgrund der Datenmenge einen ganz erheblichen Kostenfaktor darstellen. Bereits vor dem Hintergrund dieser Kosten und des erheblichen Aufwands, die Daten des Klägers strukturiert zusammenzufassen und darzustellen, erscheint es der Kammer ausgeschlossen, dass personenbezogene Daten des Klägers öffentlich gemacht werden.

Aber selbst, wenn die Kammer davon ausgehen wollte, dass die personenbezogenen Daten des Klägers zukünftig noch eingestellt werden könnten, wären begründete Befürchtungen eines Datenmissbrauchs nicht anzuerkennen. Entscheidend ist in diesem Zusammenhang, dass die Daten veraltet sind und ihr Wert für Dritte, die die Daten in schädigender Weise nutzen wollten, gegen Null tendiert. Zunächst ist nämlich darauf hinzuweisen, dass die Daten nicht dem Stand des Zeitpunkts des Kopierens entsprechen, sondern allenfalls dem Zeitpunkt des Ausscheidens des Klägers aus dem Arbeitsverhältnis mit der A am 30. November 2020. Anhaltspunkte dafür, dass die vormalige Arbeitgeberin nach dem Ausscheiden des Klägers seine Daten noch gepflegt hat, sind nicht gegeben. Hinzu kommt, dass auch im Zeitpunkt des Ausscheidens des Klägers aus dem Arbeitsverhältnis seine Daten, die knapp zwei Jahre später kopiert worden sind, nicht vollständig aktuell waren. Im Rahmen der Erörterungen im Verhandlungstermin vor der Kammer hat sich beispielsweise herausgestellt, dass die Festnetznummer des Klägers, die kopiert worden ist, nicht der im Jahr 2020 verwendeten Festnetznummer des Klägers entsprach. Die kopierte Nummer entstammte vielmehr der Zeit der Begründung des Arbeitsverhältnisses. Sie war also im Jahr 2006 aktuell gewesen, nicht mehr jedoch in den Jahren 2020 oder 2022. Gleiches gilt bzgl. des kopierten Wohnorts des Klägers. Auch hier wurde eine Wohnortangabe kopiert, die im Kalenderjahr 2020 nicht mehr aktuell war.

Begründete Befürchtungen eines Missbrauchs der personenbezogenen Daten des Klägers bezüglich seiner Bank-, Steuer-, Renten- und Sozialversicherungsdaten sowie seiner privaten Zugangsdaten und seiner Mobiltelefonnummer scheiden schon deshalb aus, weil die Beklagte diesbezüglich im Ergebnis unbestritten angegeben hat, diese Daten seien nicht kopiert worden.

Vor diesem Hintergrund greift auch das Vorbringen des Klägers zu einem materiellen Schadensersatz nicht durch. Seine erstmals mit Schriftsatz vom 03. Februar 2023 (Blatt 131 der Akte) aufgestellte und von der Beklagten bestrittene Behauptung "Mein Microsoft-Account wurde gehackt und es kam zu Abbuchungen für nicht bestelle Spiele-Abos auf der Microsoft Plattform (Wert ca. 200-300 EUR)" erläutert ungeachtet des Fehlens jeglicher hinreichender Substantiierung und ungeachtet von § 67 ArbGG nicht, wie dieser Schaden entstanden sein soll, wenn private Zugangsdaten und Bankdaten nicht von den Hackern kopiert worden sind.

c. Soweit der Kläger mit der Berufungsbegründung eine Verletzung der Art. 6, 12 bis 14, 33, 34 und 35 DSGVO rügt, fehlt es auch an einem schlüssigen Vortrag des Klägers zu einer Kausalität zwischen dem behaupteten Datenschutzverstoß und dem hier geltend gemachten Schaden. Hierauf hat das Arbeitsgericht bezüglich Art. 34 DSGVO bereits zutreffend hingewiesen.

2. Der auf den Ersatz etwaiger zukünftiger Schäden gerichtete Feststellungsantrag des Klägers ist bereits unzulässig.

Die Zulässigkeit eines Feststellungsantrags setzt, soweit er sich auf künftig erwachsende Schäden bezieht, eine nicht entfernt liegende, vom Kläger darzulegende (vgl. BGH 5. Oktober 2021 - VI ZR 136/20 - Rn. 28) Möglichkeit eines Schadens voraus, d.h. aufgrund des festgestellten Sachverhalts muss der Eintritt eines künftigen weiteren Schadens zumindest denkbar und möglich erscheinen (vgl. BAG 05. Juni 2025 - 8 AZR 117/24 - Rn. 29; BAG 29. März 2023 - 5 AZR 55/19 - Rn. 28; BGH 10. Januar 2023 - VI ZR 67/20 - Rn. 14 mwN). Eine gewisse Wahrscheinlichkeit eines Schadenseintritts muss bestehen (LAG Düsseldorf – 12 Sa 1007/23 - Rn. 162). Hiervon kann vorliegend, wie unter II.1.b.bb. gezeigt, nicht ausgegangen werden.

Unabhängig von der fehlenden Zulässigkeit des Feststellungsantrags stünde diesem auch entgegen, dass der Kläger mit seinem Antrag im Gegensatz zum Verfahren erster Instanz nunmehr ein Kopieren der Daten am 01. August 2022 behauptet, wofür sich in der Akte keine Anhaltspunkte finden lassen. Diese Widersprüchlichkeit des Vortrags erster und zweiter Instanz konnte auch im Verhandlungstermin trotz Nachfragen von dem Kläger nicht aufgeklärt werden. Eine Berichtigung des Antrags unterblieb.

Den Volltext der Entscheidung finden Sie hier:

EuGH
Urteil vom 14.12.2023
C-340/21
Natsionalna agentsia za prihodite

Der EuGH hat entschieden, dass schon die bloße Befürchtung eines möglichen Missbrauchs personenbezogener Daten nach einem Cyberangriff / einer Hackerattacke einen Anspruch auf immateriellen Schadensersatz gemäß Art. 82 DSGVO begründen kann.

Tenor der Entscheidung:
1. Die Art. 24 und 32 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz- rundverordnung) sind dahin auszulegen, dass eine unbefugte Offenlegung von bzw. ein unbefugter Zugang zu personenbezogenen Daten durch „Dritte“ im Sinne von Art. 4 Nr. 10 dieser Verordnung allein nicht ausreicht, um anzunehmen, dass die technischen und organisatorischen Maßnahmen, die der für die betreffende Verarbeitung Verantwortliche getroffen hat, nicht „geeignet“ im Sinne der Art. 24 und 32 dieser Verordnung waren.

2. Art. 32 der Verordnung 2016/679 ist dahin auszulegen, dass die Geeignetheit der vom Verantwortlichen nach diesem Artikel getroffenen technischen und organisatorischen Maßnahmen von den nationalen Gerichten konkret zu beurteilen ist, wobei die mit der betreffenden Verarbeitung verbundenen Risiken zu berücksichtigen sind und zu beurteilen ist, ob Art, Inhalt und Umsetzung dieser Maßnahmen diesen Risiken angemessen sind.

3. Der in Art. 5 Abs. 2 der Verordnung 2016/679 formulierte und in Art. 24 dieser Verordnung konkretisierte Grundsatz der Rechenschaftspflicht des Verantwortlichen ist dahin auszulegen, dass im Rahmen einer auf Art. 82 der Verordnung gestützten Schadenersatzklage der für die betreffende Verarbeitung Verantwortliche die Beweislast dafür trägt, dass die von ihm getroffenen Sicherheitsmaßnahmen im Sinne von Art. 32 dieser Verordnung geeignet waren.

4. Art. 32 der Verordnung 2016/679 und der unionsrechtliche Effektivitätsgrundsatz sind dahin auszulegen, dass für die Beurteilung der Geeignetheit der Sicherheitsmaßnahmen, die der Verantwortliche nach diesem Artikel getroffen hat, ein gerichtliches Sachverständigengutachten kein generell notwendiges und ausreichendes Beweismittel sein kann.

5. Art. 82 Abs. 3 der Verordnung 2016/679 ist dahin auszulegen, dass der Verantwortliche von seiner nach Art. 82 Abs. 1 und 2 dieser Verordnung bestehenden Pflicht zum Ersatz des einer Person entstandenen Schadens nicht allein deshalb befreit werden kann, weil dieser Schaden die Folge einer unbefugten Offenlegung von bzw. eines unbefugten Zugangs zu personenbezogenen Daten durch „Dritte“ im Sinne von Art. 4 Nr. 10 dieser Verordnung ist, wobei der Verantwortliche dann nachweisen muss, dass er in keinerlei Hinsicht für den Umstand, durch den der betreffende Schaden eingetreten ist, verantwortlich ist.

6. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass allein der Umstand, dass eine betroffene Person infolge eines Verstoßes gegen diese Verordnung befürchtet, dass ihre personenbezogenen Daten durch Dritte missbräuchlich verwendet werden könnten, einen „immateriellen Schaden“ im Sinne dieser Bestimmung darstellen kann.

Pressemitteilung des EuGH:
Cyberkriminalität: Die Befürchtung eines möglichen Missbrauchs personenbezogener Daten kann für sich genommen einen immateriellen Schaden darstellen

Die bulgarische Nationale Agentur für Einnahmen (NAP) ist dem bulgarischen Finanzminister unterstellt. Sie ist u. a. mit der Feststellung, Sicherung und Einziehung öffentlicher Forderungen betraut. In diesem Rahmen ist sie für die Verarbeitung personenbezogener Daten verantwortlich. Am 15. Juli 2019 wurde in den Medien darüber berichtet, dass in das IT-System der NAP eingedrungen worden sei und infolge dieses Cyberangriffs in diesem System enthaltene personenbezogene Daten von Millionen von Menschen im Internet veröffentlicht worden seien. Zahlreiche Personen verklagten die NAP auf Ersatz des immateriellen Schadens, der ihnen aus der Befürchtung eines möglichen Missbrauchs ihrer Daten entstanden sein soll.

Das bulgarische Oberste Verwaltungsgericht legt dem Gerichtshof mehrere Fragen zur Auslegung der Datenschutz-Grundverordnung (DSGVO) zur Vorabentscheidung vori . Es möchte klären lassen, unter welchen Bedingungen eine Person, deren personenbezogene Daten, die sich im Besitz einer öffentlichen Agentur befinden, nach einem Angriff von Cyberkriminellen im Internet veröffentlicht wurden, Ersatz des immateriellen Schadens verlangen kann.

In seinem Urteil antwortet der Gerichtshof wie folgt:

1. Im Fall der unbefugten Offenlegung von bzw. des unbefugten Zugangs zu personenbezogenen Daten können die Gerichte aus diesem Umstand allein nicht ableiten, dass die Schutzmaßnahmen, die der für die Datenverarbeitung Verantwortliche ergriffen hat, nicht geeignet waren. Die Gerichte müssen die Geeignetheit dieser Maßnahmen konkret beurteilen.

2. Der Verantwortliche trägt die Beweislast dafür, dass die getroffenen Schutzmaßnahmen geeignet waren.

3. Im Fall der unbefugten Offenlegung von bzw. des unbefugten Zugangs zu personenbezogenen Daten durch „Dritte“ (wie Cyberkriminelle) kann der Verantwortliche gegenüber den Personen, denen ein Schaden entstanden ist, ersatzpflichtig sein, es sei denn, er weist nach, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist.

4. Allein der Umstand, dass eine betroffene Person infolge eines Verstoßes gegen die DSGVO befürchtet, dass ihre personenbezogenen Daten durch Dritte missbräuchlich verwendet werden könnten, kann einen „immateriellen Schaden“ darstellen.

Den Volltext der Entscheidung finden Sie hier:

BVerfG
Beschluss vom 30.03.2022
1 BvR 2821/16

Das Bundesverfassungsgericht hat ausgeführt, dass die Beschaffung von Daten von Informanten durch Journalisten regelmäßig von der Pressefreiheit gedeckt und nicht als Datenhehlerei nach § 202d StGB strafbar ist. Da die Verfassungsbeschwerde aber nicht hinreichend substantiiert war, hat das BVerfG die Verfassungsbeschwerde als unzulässig verworfen.

Aus den Entscheidungsgründen:

Die Verfassungsbeschwerde ist unzulässig, weil die Beschwerdeführer die Möglichkeit einer Verletzung von Grundrechten durch die angegriffenen Regelungen nicht hinreichend substantiiert dargelegt haben.

1. Die Beschwerdeführer können grundsätzlich Träger von Grundrechten und damit beschwerdefähig sein. Das gilt auch für die Beschwerdeführer zu 2) und zu 9), die als eingetragene Vereine (vgl. BVerfGE 3, 383 <390>; 10, 221 <225>; 24, 278 <282>; 97, 228 <253>; 105, 279 <292 f.>) und damit als inländische juristische Personen im Sinne des Art. 19 Abs. 3 GG grundrechtsberechtigt sind. Juristische Personen können sich grundsätzlich auf die von den Beschwerdeführern geltend gemachten Grundrechte der Presse- und Rundfunkfreiheit berufen (vgl. BVerfGE 95, 28 <34 f.>).

2. Die Beschwerdeführer haben jedoch nicht den Anforderungen der § 23 Abs. 1 Satz 2, § 92 BVerfGG entsprechend dargelegt, beschwerdebefugt zu sein.

a) Nach § 23 Abs. 1 Satz 2 Halbsatz 1, § 92 BVerfGG ist zur Begründung der Verfassungsbeschwerde das angeblich verletzte Recht zu bezeichnen und der seine Verletzung enthaltende Vorgang substantiiert darzulegen (vgl. BVerfGE 9, 109 <114 f.>; 81, 208 <214>; 99, 84 <87>). Die Verfassungsbeschwerde muss sich mit dem zugrundeliegenden einfachen Recht sowie mit der verfassungsrechtlichen Beurteilung des vorgetragenen Sachverhalts auseinandersetzen (vgl. BVerfGE 89, 155 <171>; 101, 331 <345 f.>). Die Beschwerdeführenden müssen darlegen, mit welchen verfassungsrechtlichen Anforderungen die angegriffene Maßnahme kollidiert; sie müssen das Grundrecht in Bezug zu dem Lebenssachverhalt setzen und die Möglichkeit einer Grundrechtsverletzung verdeutlichen (vgl. BVerfGE 79, 203 <209>; 108, 370 <386 f.>; 120, 274 <298>; BVerfG, Beschluss des Ersten Senats vom 19. November 2021 - 1 BvR 781/21 u.a. -, Rn. 88). Soweit das Bundesverfassungsgericht für bestimmte Fragen bereits verfassungsrechtliche Maßstäbe entwickelt hat, muss anhand dieser Maßstäbe aufgezeigt werden, inwieweit Grundrechte durch die angegriffene Maßnahme verletzt sein sollen (vgl. BVerfGE 99, 84 <87>; 101, 331 <346>; 115, 166 <179 f.>; 130, 1 <21>). Richtet sich eine Verfassungsbeschwerde unmittelbar gegen eine gesetzliche Vorschrift, so muss der Beschwerdeführer ausreichend substantiiert geltend machen, durch die angegriffene Norm selbst, gegenwärtig und unmittelbar verletzt zu sein (vgl. BVerfGE 40, 141 <156>; 60, 360 <370>; 72, 39 <43>; 79, 1 <13>; stRspr). Zu den Begründungsanforderungen an eine Rechtssatzverfassungsbeschwerde gehört auch eine inhaltliche Auseinandersetzung mit der einfachrechtlichen Rechtslage (vgl. BVerfG, Beschlüsse der 2. Kammer des Ersten Senats vom 27. Juli 2015 - 1 BvR 1560/15 -, Rn. 5; vom 20. Mai 2021 - 1 BvR 928/21 -, Rn. 12).

b) Diesen Maßstäben genügt die Verfassungsbeschwerde im Ergebnis nicht. Zwar ist der Schutzbereich der Presse- und Rundfunkfreiheit eröffnet, und die Beschwerdeführer haben dargelegt, dass die Tätigkeiten, die sie durch die angegriffenen Normen für beeinträchtigt halten, dem Schutz des Art. 5 Abs. 1 Satz 2 GG unterfallen. Der Vortrag der Beschwerdeführer genügt hinsichtlich des geltend gemachten Eingriffs und ihrer Beschwer jedoch nicht den Anforderungen.

aa) Das Grundrecht der Presse- und Rundfunkfreiheit gemäß Art. 5 Abs. 1 Satz 2 GG schützt den gesamten Prozess der Herstellung und Verbreitung von digitalen oder analogen Presseerzeugnissen und Rundfunksendungen von der Informationsgewinnung bis zur Veröffentlichung und zum Vertrieb der hergestellten Inhalte (vgl. BVerfGE 10, 118 <121>; 66, 116 <133>; 77, 65 <74 ff.>; 117, 244 <258 f.>; stRspr). Dabei schützt das Grundrecht die an diesem Prozess berufsmäßig beteiligten Personen nicht nur vor gezielter staatlicher Einflussnahme auf die inhaltliche und formelle Gestaltung der Presse- und Rundfunkerzeugnisse. Als Grundentscheidung für ein freies Presse- und Rundfunkwesen gewährleistet Art. 5 Abs. 1 Satz 2 GG vielmehr auch die institutionellen Rahmen- und Funktionsbedingungen der journalistischen Tätigkeit (vgl. BVerfGE 20, 162 <174 ff.>; 66, 116 <133 f.>). Zu diesen unentbehrlichen Funktionsbedingungen freier Presse- und Rundfunktätigkeit gehören insbesondere auch die grundsätzliche Zugänglichkeit der für diese Tätigkeit benötigten Informationen. Erst der prinzipiell ungehinderte Zugang zur Information versetzt die Medien in den Stand, die ihnen in der freiheitlichen Demokratie zukommende Funktion wahrzunehmen (BVerfGE 91, 125 <134>; 103, 44 <59>). Dies bedingt auch die Notwendigkeit eines besonderen Schutzes der für die Informationsgewinnung benötigten Quellen, des in diesem Rahmen vorausgesetzten Vertrauensverhältnisses und der Vertraulichkeit der Redaktionsarbeit (vgl. BVerfGE 20, 162 <176>; 66, 116 <134>; 100, 313 <365>; 117, 244 <259>). Zudem betrifft der Schutz vor inhaltsbezogenen Einwirkungen nicht allein Eingriffe im traditionellen Sinne (zum herkömmlichen Eingriffsbegriff siehe BVerfGE 105, 279 <300>), sondern kann auch bei mittelbaren Einwirkungen auf die Presse (vgl. BVerfGE 52, 283 <296>) ausgelöst werden, wenn sie in der Zielsetzung und ihren Wirkungen Eingriffen gleichkommen (vgl. BVerfGE 105, 252 <273>). Art. 5 Abs. 1 Satz 2 GG gewährt den Trägern der Pressefreiheit daher ein subjektives Abwehrrecht auch gegen Beeinträchtigungen, die mittelbar über eine Einflussnahme des Staates auf Dritte eintreten, etwa dadurch, dass das Verhalten dieser Dritten die publizistischen Wirkungsmöglichkeiten oder die finanziellen Erträge des Presseorgans in einer Weise nachteilig beeinflusst, die einem Eingriff gleichkommt. Dass über faktische Nachteile des Informationshandelns hinaus rechtliche Auswirkungen an die staatliche Maßnahme geknüpft sein müssen, ist nicht Voraussetzung dafür, dass die Kommunikationsfreiheit beeinträchtigt sein kann (vgl. BVerfGE 113, 63 <76 f.>).

bb) Es bleibt in jedem Fall Sache der Beschwerdeführer, die Einzelheiten der von ihnen erstrebten Handlungen, deren Verbot sie bekämpfen möchten, hinreichend substantiiert darzulegen, so dass das Bundesverfassungsgericht in die Lage versetzt wird, die Frage der unmittelbaren Betroffenheit zu beurteilen (§ 23 Abs. 1 Satz 2 in Verbindung mit § 92 BVerfGG; vgl. BVerfG, Beschluss des Ersten Senats vom 19. November 2021 - 1 BvR 781/21 u.a. -, Rn. 88).

Die Beschwerdeführer tragen nicht hinreichend substantiiert vor, dass ein grundrechtlich geschütztes Verhalten von der angegriffenen Norm nach Wortlaut, Entstehungsgeschichte und Systematik betroffen und eine Auslegung im Einklang mit Art. 5 Abs. 2 GG nicht möglich ist. Insbesondere sind die von den Beschwerdeführern vorgetragenen Beispielsfälle vom Tatbestand der Datenhehlerei eindeutig nicht umfasst. Mangels ersichtlicher Strafbarkeit besteht hier kein Risiko von Journalisten betreffenden strafrechtlichen Ermittlungsmaßnahmen nach § 97 Abs. 2 Satz 2 StPO (n.F.). Das Vorbringen der Beschwerdeführer lässt auch nicht erkennen, dass die angegriffenen Vorschriften für sie oder Dritte eine einem Eingriff gleichkommende abschreckende Wirkung entfalten könnten.

(1) Regelmäßig dürfte es bereits an der rechtswidrigen Tat eines anderen im Sinne des § 202d Abs. 1 StGB fehlen, durch die die Daten erlangt wurden. Handelt es sich bei dem Informanten um einen an sich berechtigten Mitarbeiter des Betroffenen, der auf die übermittelten Daten zugreifen kann, kann sich der Mitarbeiter und Informant durch die Weitergabe der Daten strafbar gemacht haben. Er hätte die Daten aber nicht durch eine rechtswidrige Tat erlangt, da er schon zuvor auf sie zugreifen konnte.

(2) Selbst bei unterstellter Verwirklichung des objektiven Tatbestandes bestehen unter Zugrundelegung des Vortrags der Beschwerdeführer erhebliche Zweifel daran, dass der subjektive Tatbestand der Datenhehlerei erfüllt sein könnte. Zunächst ist fraglich, ob sich aus den Ausführungen der Beschwerdeführer zu den von ihnen gebildeten Beispielsfällen überhaupt ein bedingter Vorsatz des Handelnden im Hinblick auf die rechtswidrige Vortat ergibt. Der Gesetzesbegründung nach reicht das Bewusstsein, dass die Daten aus irgendeiner rechtswidrigen Tat stammen, nicht aus (BTDrucks 18/5088, S. 47). Dass ein Journalist eine rechtwidrige Beschaffung der Daten aufgrund ihrer Sensibilität nicht ausschließen kann, genügt gerade nicht.

Weiter fehlt es an hinreichendem Vortrag, der eine Bereicherungs- oder Schädigungsabsicht des Journalisten erkennen ließe. Die (Dritt-)Bereicherung und die Schädigung setzen gemäß der Gesetzesbegründung ausdrücklich Absicht voraus (BTDrucks 18/5088, S. 47). Die Schädigung beziehungsweise der Vorteil müssen vom Täter als Erfolg gewollt werden, es muss ihm gerade darauf ankommen. Steht die Aufklärung von Missständen im Vordergrund, richtet sich die Absicht des Täters hierauf, nicht aber auf die Schädigung.

(3) Letztlich fehlt es an hinreichendem Vortrag der Beschwerdeführer dazu, warum der Tatbestandsausschluss für sie keine Anwendung finden sollte. In Anbetracht der weiteren Gesetzesbegründung drängt sich entgegen der Annahme der Beschwerdeführer auf, dass ein umfassender Ausschluss journalistischer Tätigkeiten bezweckt wird ("Zum anderen wird klargestellt, dass [...] insbesondere journalistische Tätigkeiten unter den Tatbestandsausschluss fallen."; BTDrucks 18/5088, S. 48). Der Tatbestandsausschluss zielt darauf ab, dass eine journalistische Tätigkeit auch dann nicht unter Strafe gestellt wird, wenn Recherchen gegebenenfalls unergiebig sind und es im Ergebnis nicht zu einer Veröffentlichung kommt. Entscheidend ist die Vorstellung des jeweiligen Journalisten, dass seine Handlungen in eine konkrete Veröffentlichung münden kann.

Soweit die Beschwerdeführer vortragen, das Ausschließlichkeitskriterium des § 202d Abs. 3 Satz 1 StGB werde der journalistischen Praxis nicht gerecht, weil regelmäßig ein Bündel von Motiven vorliege, überzeugt dies bereits im Ansatz nicht. Die Lesart der Beschwerdeführer verengt in nicht nachvollziehbarer Weise den Anwendungsbereich des zugunsten der Journalisten eingefügten Tatbestandsausschlusses und steht in direktem Widerspruch zu der in der Gesetzesbegründung zum Ausdruck kommenden Zielsetzung, journalistische Tätigkeiten umfassend zu schützen. Aus dem Wortlaut und der Systematik der Norm ergibt sich, dass die Verwendung einen objektiv funktionalen Zusammenhang zur Aufgabenerfüllung aufweisen muss. Der konkrete Zusammenhang mit der - hier journalistischen - Aufgabenerfüllung ist der Grund, der die Tatbestandslosigkeit des Umgangs mit ansonsten bemakelten Daten begründet.

(4) Die von den Beschwerdeführern monierte abschreckende und eingriffsäquivalente Wirkung der angegriffenen Normen, die eine "Aura des vielleicht Strafbaren" umgebe, lässt sich nach dem Obenstehenden nicht nachvollziehen. Ein hinreichendes Risiko, dass sich Journalisten nach § 202d StGB strafbar machen, besteht nicht. Dementsprechend ist ebensowenig mit vorgelagerten Ermittlungsmaßnahmen zu rechnen. Dies deckt sich mit der vom Bundesministerium der Justiz im Rahmen der Beantwortung des Fragenkatalogs (§ 27a BVerfGG, § 22 Abs. 5 GOBVerfG) durchgeführten Abfrage in den Landesjustizverwaltungen, wonach seit 2018 keine Verfahren nach § 202d StGB Journalisten betreffend bekannt sind.

Gleichfalls ist nicht nachzuvollziehen und von den Beschwerdeführern nicht dargelegt, dass von den angegriffenen Normen eine Einschüchterungswirkung bei den Quellen der Journalisten ausgehen sollte, da sie sich als Vortäter nicht nach § 202d StGB strafbar machen. Auch eine von den angegriffenen Normen ausgehende Abschreckungswirkung auf sonstige Mittelspersonen haben die Beschwerdeführer weder dargelegt, noch würde sie aus den eingegangenen Antworten auf den Fragenkatalog der Kammer sonstwie ersichtlich. Eine Tatbestandsverwirklichung durch Hilfspersonen der Journalisten liegt ebenfalls fern und ist nicht hinreichend ausgeführt; erhalten etwa IT-Spezialisten von Journalisten Daten zur Bearbeitung, so fehlt es aufgrund des Tatbestandsausschlusses zugunsten der Journalisten bereits an einer tauglichen, rechtswidrigen Vortat im Sinne des § 202d StGB mit Blick auf die Hilfspersonen.

Den Volltext der Entscheidung finden Sie hier: