Das AG München hat entschieden, dass der Erhalt einer Benachrichtigung über einen Datenschutzverstoß nach Art. 34 DSGVO nicht genügt, um einen Schadensersatzanspruch nach Art 82 DSGVO schlüssig darzulegen und zu beweisen.
Aus den Entscheidungsgründen: 1. Die Klage ist hinsichtlich des Feststellungsantrags in Ziffer 2. unzulässig, im Übrigen aber zulässig.
Ein Feststellungsinteresse liegt bezüglich des Antrags Ziffer 2. nicht vor. Bei Vermögensschäden bedarf es für die Zulässigkeit der Klage der Wahrscheinlichkeit eines auf die Verletzungshandlung zurückzuführenden Schadenseintritts (BGH, Urteil vom 26.07.2018 – ZR 274/16, NJW-RR 2018, 1301 Rn. 20, beck-online). Der Kläger als Anspruchsteller hat die Darlegungs- und Beweislast für die Tatsachen, aus denen sich die Wahrscheinlichkeit eines auf die Verletzungshandlung zurückzuführenden Schadens ergibt. Vorliegend ist den Ausführungen des Klägers nicht zu entnehmen, welche Nachteile ihm drohen könnten, zumal seit dem Abgreifen der Daten bereits 3 Jahre verstrichen sind, ohne dass es zu einem Missbrauch der Daten gekommen ist. Es ist kein Grund ersichtlich, wieso jetzt mit dem Eintritt eines Schadens zu rechnen wäre.
2. Die Klage ist in Ziffer 1. unbegründet
a) Der Kläger hat keinen Anspruch auf Ersatz immateriellen Schadens in Höhe von mindestens 1 .OOO € gegen die Beklagte gem. Art. 82 DGSVO.
Nach dieser Vorschrift hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen.
Die Darlegungs- und Beweislast für die haftungsbegründenden Voraussetzungen trägt der Anspruchsberechtigte (Rn 51 zu Art.82 DS-GVO, BeckOK Datenschutzrecht, 44. Auflage, 01.05.2023, beck-online).
Trotz Hinweis des Gerichts in der mündlichen Verhandlung vom 13.07.2023 hat der Kläger weder dargelegt, welche Pflichtverletzung nach der DSGVO er der Beklagten vorwirft, noch welcher konkrete, immaterielle Schaden hierdurch eingetreten sein soll.
Aus dem Schreiben vom 19.10.202 folgt nicht ein vorheriger Verstoß der Beklagten gegen die DGSVO. Die Benachrichtigungspflicht gem. Art.34 DSGVO setzt eine „Verletzung des Schutzes personenbezogener Daten“ gem. Art. 4 Nr. 12 DSGVO voraus. Auf ein Verschulden oder eine Mitverursachung durch den Verantwortlichen kommt es hierbei nicht an (Rn 23 zu Art. 34 DGSVO, BeckOK Datenschutzrecht, 01.02.2022, 44 Auflage, beck-online)
Selbst wenn ein Verstoß gegen die DSGVO vorgelegen hätte, führt der Datenschutzverstoß an sich nicht zu einem Ersatzanspruch nach Art. 82 DSGVO, da der „Verstoß gegen diese Verordnung“ und der „Schaden“ zwei unterschiedliche Tatbestandsmerkmale der Vorschrift sind. Auch reicht der bloße Kontrollverlust über Daten nicht für das Vorliegen eines Schadens aus.
b) Mangels konkreten Schadens steht dem Kläger gegen die Beklagte auch kein Anspruch aus vertraglichen oder deliktischen Ansprüchen nach dem BGB zu.
Den Volltext der Entscheidung finden Sie hier:https://www.gesetze-bayern.de/Content/Document/Y-300-Z-GRURRS-B-2023-N-20971?hl=true
Das OLG Düsseldorf hat entschieden, dass ein Schadensersatzanspruch aus Art. 82 DSGVO den Nachweis eines konkreten ggf. auch immateriellen Schadens voraussetzt.
Aus den Entscheidungsgründen: Die Berufung ist zwar zulässig, hat in der Sache aber keinen Erfolg. Die angefochtene Entscheidung beruht – in dem für das Berufungsverfahren noch relevanten Umfang – weder auf einer Rechtsverletzung im Sinne des § 546 ZPO durch das Landgericht, noch rechtfertigen die gemäß § 529 ZPO zugrunde zu legenden Tatsachen eine andere Entscheidung, § 513 Abs. 1 ZPO. Vielmehr hat das Landgericht die Klage mit weitgehend zutreffender und überzeugender Begründung abgewiesen.
Die Klage ist zwar zulässig, jedoch unbegründet.
1. Dem Kläger steht gegen die Beklagte zunächst kein Anspruch auf weitergehende Auskunft gemäß Art. 15 Abs. 1, 3 DS-GVO zu. Insoweit hat das Landgericht mit zutreffender und in jeder Hinsicht überzeugender Begründung, der sich der Senat nach eigener Würdigung vollumfänglich anschließt, eine Erfüllung dieses ursprünglich bestehenden und vom Landgericht auch zutreffend angenommenen Anspruchs bejaht. Dabei geben die Angriffe des Klägers im Berufungsverfahren lediglich noch Anlass zu folgenden ergänzenden Ausführungen:
Entgegen der Ansicht des Klägers sind die vom Bundesgerichtshof in seinem Urteil vom 15.06.2021 – VI ZR 576/19 – aufgestellten Grundsätze für die Bejahung der Erfüllung eines Auskunftsanspruchs, die das Landgericht zutreffend dargestellt und auf den zugrunde liegenden Streitfall angewandt hat, vorliegend gegeben. Erfüllt im Sinne des § 362 Abs. 1 BGB ist ein Auskunftsanspruch demnach grundsätzlich dann, wenn die Angaben nach dem erklärten Willen des Schuldners die Auskunft im geschuldeten Gesamtumfang darstellen. Wird die Auskunft in dieser Form erteilt, steht ihre etwaige inhaltliche Unrichtigkeit einer Erfüllung nicht entgegen. Der Verdacht, dass die erteilte Auskunft unvollständig oder unrichtig ist, kann einen Anspruch auf Auskunft in weitergehendem Umfang nicht begründen. Wesentlich für die Erfüllung des Auskunftsanspruchs ist daher die - gegebenenfalls konkludente - Erklärung des Auskunftsschuldners, dass die Auskunft vollständig ist (vgl. BGH, Urteil vom 15.06.2021 – VI ZR 576/18, juris, Rn. 19). Die Annahme eines derartigen Erklärungsinhalts setzt demnach voraus, dass die erteilte Auskunft erkennbar den Gegenstand des berechtigten Auskunftsbegehrens vollständig abdecken soll. Daran fehlt es beispielsweise dann, wenn sich der Auskunftspflichtige hinsichtlich einer bestimmten Kategorie von Auskunftsgegenständen nicht erklärt hat, etwa weil er irrigerweise davon ausgeht, er sei hinsichtlich dieser Gegenstände nicht zur Auskunft verpflichtet. Dann kann der Auskunftsberechtigte eine Ergänzung der Auskunft verlangen (vgl. BGH, a.a.O., Rn. 20).
Hier hat die Beklagte dem Kläger im Verlauf des erstinstanzlichen Verfahrens letztlich Auskunft in Form der Anlage B11 erteilt. Die Übermittlung dieser unstreitig auch der Form des Art. 15 Abs. 3 DS-GVO genügenden Unterlagen war verbunden mit der ausdrücklichen Erklärung der Beklagten, über weitergehende Unterlagen bzw. den Kläger betreffende personenbezogene Daten nicht zu verfügen. Einzige Ausnahme bilden nach Auskunft der Beklagten dabei Unterlagen der Rechtsabteilung, die sich auf die Kommunikation im Zusammenhang mit dem zugrunde liegenden Rechtsstreit, u.a. auch zwischen der Beklagten und deren Prozessvertretern, beziehen. Auf eine Auskunft über diese Kommunikation hat der Kläger aber bereits erstinstanzlich im Schriftsatz vom 05.05.2021 verzichtet, weshalb die Frage des Eingreifens einer etwaigen Bereichsausnahme für entsprechende Unterlagen vorliegend keiner Erörterung bedarf. Bereits diese, die Vorlage der Anlage B11 begleitenden Angaben der Beklagten belegen nach Auffassung des Senats aber eindeutig, dass die Beklagte sich grundsätzlich zur umfassenden Auskunftserteilung verpflichtet sah. Vor diesem Hintergrund ist sodann ihre – nicht einmal nur konkludent, sondern sogar ausdrücklich erfolgte – Vollständigkeitserklärung zu werten. Hinzu kommt, dass sich die begleitende Erklärung der Beklagten auch ausdrücklich zu den Vertragsverhältnissen verhielt, hinsichtlich derer der Kläger vorträgt, dass weitere Unterlagen mit Blick auf die Aufbewahrungspflicht gemäß § 147 Abs. 1 AO vorhanden sein müssten. Insoweit verkennt der Kläger bei seiner Argumentation aber bereits, dass der Umstand, dass etwas nach den gesetzlichen Vorgaben vorhanden sein bzw. aufbewahrt werden müsste, nichts dazu aussagt, dass dem auch tatsächlich genügt worden ist. Zudem ist dieser Umstand nicht geeignet, die von der Beklagten in Kenntnis ihrer umfassenden Auskunftspflicht abgegebene Vollständigkeitserklärung in Zweifel zu ziehen. Vielmehr handelt es sich insoweit allenfalls um einen Umstand, der im Zusammenhang mit der Frage der Pflicht zur Abgabe einer eidesstattlichen Versicherung Bedeutung erlangen kann (siehe dazu unten). Bereits aus diesem Grund hat das Landgericht hinsichtlich der zwischen den Parteien streitigen Frage der Erfüllung des Auskunftsanspruchs in nicht zu beanstandender Weise von der Einvernahme des Datenschutzbeauftragten der Beklagten abgesehen. Hierin lag entgegen der Auffassung des Klägers mithin auch keine Verletzung seines Anspruchs auf rechtliches Gehör. Soweit der Kläger zudem Zweifel daran äußert, dass das Landgericht die Anlage B11 hinreichend bei seiner Entscheidung gewürdigt habe, vermag der Senat dem nicht beizutreten. Hierbei handelt es sich um eine pauschale Behauptung ins Blaue hinein, die durch keinerlei Tatsachen belegt oder auch nur gestützt wird. Im Gegenteil verhalten sich die erstinstanzlichen Entscheidungsgründe ausdrücklich zu Anlage B11. Hieran vermag auch der Umstand, dass die Anlage B11 im Zusammenhang mit der Berufungseinlegung zunächst versehentlich nicht vom Landgericht an das Oberlandesgericht übermittelt worden ist, nichts zu ändern. Denn dieses Übermittlungsversehen hat keinerlei Aussagegehalt in Bezug auf die Frage, ob dem erstinstanzlichen Gericht die Anlage B11 bei seiner Entscheidung tatsächlich vorlag.
2. Dem Kläger steht, wie das Landgericht ebenfalls im Ergebnis und mit zum Teil überzeugender Begründung ausgeführt hat, auch kein Anspruch aus Art. 82 DS-GVO gegen die Beklagte auf Ersatz des von ihm geltend gemachten immateriellen Schadens wegen einer verzögerlichen und unvollständigen Datenauskunftserteilung zu (vgl. zum Ganzen, OLG Frankfurt a.M., Urteil vom 02.03.2022 – 13 U 206/20, juris, Rn. 64 ff.).
Nach Art. 82 Abs. 1 DS-GVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, Art. 82 Abs. 2 Satz 1 DS-GVO. Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist, Art. 82 Abs. 3 DS-GVO. Die Voraussetzungen für einen Geldentschädigungsanspruch in Bezug auf einen dem Kläger zugefügten immateriellen Schaden liegen nach Auffassung des Senats nicht vor, da es jedenfalls an der Darlegung des Eintritts eines Schadens bei dem Kläger fehlt, worauf bereits das Landgericht im Rahmen seiner Entscheidung zumindest auch abgestellt hat.
Die Frage, ob bereits der Datenschutzverstoß als solcher für das Entstehen eines Schadensersatzanspruchs ausreicht oder es darüber hinaus der Darlegung und des Nachweises eines konkreten (auch: immateriellen) Schadens bedarf, ist in Rechtsprechung und Literatur umstritten (vgl. Nachweise zum Streitstand: OLG Frankfurt a.M., a.a.O., Rn. 68). Sowohl der österreichische Oberste Gerichtshof (Vorabentscheidungsersuchen vom 12.05.2021, ZD 2021, S. 631, wobei der Gerichtshof die Auffassung vertritt, es sei der Nachweis eines Schadens erforderlich) als auch das Bundesarbeitsgericht (Vorabentscheidungsersuchen vom 26.08.2021, 8 AZR 253/20-A, wobei das BAG den Nachweis eines Schadens nicht für notwendig hält) haben die hiermit zusammenhängenden Fragen dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt.
Der Senat folgt im Ergebnis der Auffassung, wonach über den festgestellten Verstoß gegen die Vorschriften des DS-GVO hinaus Voraussetzung für eine Entschädigung in Geld der Nachweis eines konkreten (auch immateriellen) Schadens ist. Hierfür spricht zunächst bereits der Wortlaut von Art. 82 Abs. 1 DS-GVO, der über den Verstoß hinaus ausdrücklich die Entstehung eins Schadens („...Schaden entstanden ist") voraussetzt. Dieser Differenzierung im Wortlaut hätte es nicht bedurft, wenn bereits der Verstoß als solcher konstitutiv für den Anspruch wäre. Hätte der Verordnungsgeber eine nur an den Rechtsverstoß anknüpfende, vom Nachweis eines konkreten Schadens unabhängige Zahlungspflicht anordnen wollen, hätte es zudem demgegenüber nahegelegen, dies - wie z.B. im Luftverkehrsrecht gem. Art. 7 Abs. 1 FluggastrechteVO (EG) 261/2004 - durch Pauschalen zu regeln (vgl. OLG Frankfurt a.M., a.a.O., Rn. 70 m.w.N.; OLG Koblenz, Urteil vom 18.05.2022 – 5 U 2141/21, juris, Rn. 73 f., m.w.N.). In dem Erwägungsgrund 146 S. 3 zu der DS-GVO heißt es zwar, dass der Begriff des Schadens im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden soll, die den Zielen der Verordnung in vollem Umfang entspricht. Der Anspruch soll nach Erwägungsgrund 146 S. 6 sicherstellen, dass die betroffenen Personen einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Das schließt ein, dass Schadensersatzforderungen abschrecken und weitere Verstöße unattraktiv machen sollen. Der Begriff des Schadens in Art. 82 DS-GVO ist autonom auszulegen, mithin kommt es nicht darauf an, ob ein bestimmter Schaden nach nationalem Recht als Schaden angesehen werden könnte. Auch hiernach ist der Schaden jedoch nicht mit der zugrunde liegenden Rechtsgutsverletzung gleichzusetzen. Denn ausdrücklich muss der Schaden „erlitten" werden, woraus folgt, dass dieser tatsächlich entstanden sein muss und nicht lediglich befürchtet wird. Der bloße Verstoß gegen Bestimmungen der DS-GVO reicht daher nicht aus (OLG Frankfurt a.M., a.a.O., Rn. 71; LAG Baden-Württemberg, Urteil vom 25.02.2021, 17 Sa 37/20, juris, Rn. 96 m.w.N.).
Das Vorliegen eines konkreten - immateriellen - Schadens, etwa Ängste oder starken Stress, hat der Kläger vorliegend nicht dargetan. Soweit der Kläger im Rahmen seiner Klageerweiterung mit Schriftsatz vom 07.04.2021 vorträgt, erschöpfen sich seine Ausführungen in der Darlegung des Datenschutzverstoßes – also einer verzögerlichen und seiner Ansicht nach unvollständigen Datenauskunftserteilung – ohne irgendwelche hierdurch bedingte Einbußen oder Beeinträchtigungen immaterieller Art aufzuzeigen. Diesen Vortrag ergänzt der Kläger auch zweitinstanzlich nicht. Vielmehr beruft er sich auch in der Berufungsbegründung letztlich auf seine – von dem Senat aus den vorstehend dargestellten Erwägungen nicht geteilte – Ansicht, wonach allein der Datenschutzverstoß in der vorliegenden Konstellation einen Schaden begründe. Ergänzend verweist er auf seinen – wie dargestellt – bereits erstinstanzlich unzureichenden Vortrag. Nichts anderes gilt, soweit er im Schriftsatz vom 21.01.2023 einen „Kontrollverlust über die Daten“ als Schaden anführt. Dies stellt lediglich eine Umschreibung des von ihm geltend gemachten Gesetzesverstoßes dar, aber keinen davon zu unterscheidenden Schaden immaterieller oder materieller Art. Da sich die Ausführungen des Klägers letztlich im Wesentlichen auf die Darlegung seiner abweichenden Rechtsauffassung, unter Bezugnahme auf Rechtsprechung und Literatur beschränken, aber keinerlei Tatsachenvortrag enthalten, der geeignet wäre, einen etwaigen immateriellen Schaden konkret des Klägers zu belegen, vermag der Senat, der – ebenso wie das Landgericht – zum Erfordernis der Darlegung eines Schadens eine vom Kläger abweichende Rechtsauffassung vertritt, auch keine Verletzung dessen Anspruchs auf Gewährung rechtlichen Gehörs zu erkennen.
Auf den konkreten Umfang des Auskunftsanspruchs gemäß Art. 15 Abs. 1, 3 DS-GVO und darauf, ob entgegen dem Landgericht die unter Berücksichtigung der in Art. 12 Abs. 3 Satz 1 DS-GVO verzögerliche Aukunftserteilung eine taugliche Verletzungshandlung im Sinne des Art. 82 Abs. 1 DS-GVO darstellt (vgl. dazu: OLG Köln, Urteil vom 14.07.2022 – 15 U 137/21, juris, Rn. 24; Quaas, in: Wolff/Brink, BeckOK Datenschutzrecht, 41. Edition, Stand: 01.08.2022, Art. 82 DS-GVO, Rn. 14), kommt es nach dem Vorstehenden an dieser Stelle mithin nicht entscheidungserheblich an.
3. Soweit der Kläger erstmals mit der Berufungsbegründung hilfsweise die Abgabe einer eidesstattlichen Versicherung betreffend die Vollständigkeit und Richtigkeit der erteilten Datenauskunft beantragt, ist die hierin liegende Klageänderung zwar zulässig, jedoch dringt der Kläger mit seinem Begehren in der Sache auch insoweit nicht durch.
a. Die Klageänderung ist zunächst gemäß § 533 ZPO zulässig. Zwar hat die Beklagte insoweit ausdrücklich nicht eingewilligt (§ 533 Nr. 1, 1. Alt. ZPO), jedoch ist diese nach Auffassung des Senats vorliegend sachdienlich (§ 533 Nr. 1, 2. Alt. ZPO). Bei der Beurteilung der Sachdienlichkeit sind die beiderseitigen Interessen zu bewerten und abzuwägen. Es kommt auf die objektive Beurteilung an, ob und inwieweit die Zulassung der Klageänderung den sachlichen Streitstoff im Rahmen des anhängigen Rechtsstreits ausräumt und einem anderenfalls zu führenden Rechtsstreit vorbeugt. Maßgeblich ist der Gesichtspunkt der Prozesswirtschaftlichkeit, wobei nicht die beschleunigte Entscheidung des anhängigen Prozesses, sondern die Erledigung der Streitpunkte zwischen den Parteien entscheidend ist (vgl. Wulf, in: Vorwerk/Wolf, BeckOK, 47. Edition, Stand 01.12.2022, § 533 Rn. 11). Das ist vorliegend zu bejahen, da die Frage der Erfüllung bzw. deren Umfang weiterhin zwischen den Parteien in Streit steht. Auch die Voraussetzung des § 533 Nr. 2 ZPO ist vorliegend gegeben. Danach hängt die Zulässigkeit einer zweitinstanzlichen Klageänderung davon ab, dass sie auf Tatsachen gestützt werden kann, die das Berufungsgericht seiner Verhandlung und Entscheidung über die Berufung ohnehin nach § 529 ZPO zugrunde zu legen hat. Maßgeblich ist gemäß § 529 i.V.m. § 531 Abs. 2 ZPO mithin der erstinstanzliche Sach- und Streitstand (vgl. Rimmelspacher, in: MüKo/ZPO, 6. Auflage 2020, § 533 Rn. 14). Vorliegend stand die Frage der Erfüllung des Auskunftsanspruchs bzw. einer vollständigen Erfüllung bereits erstinstanzlich zwischen den Parteien in Streit, sodass die für die Entscheidung des klageerweiternd geltend gemachten Anspruchs maßgeblichen Umstände bereits erstinstanzlich Gegenstand der Erörterung gewesen sind.
b. In der Sache kann der Kläger von der Beklagte aber nach §§ 259 Abs. 2, 260 Abs. 2 BGB nicht die Abgabe der begehrten eidesstattlichen Versicherung verlangen. Hiernach hat der Verpflichtete die Vollständigkeit und Richtigkeit seiner Angaben auf Verlangen an Eides statt zu versichern, wenn die Besorgnis besteht, dass diese nicht mit der erforderlichen Sorgfalt gemacht worden sind. Erforderlich sind insoweit mithin Unvollständigkeit der Rechnungslegung / Auskunft und dass dies auf mangelnder Sorgfalt des Verpflichteten beruht. Beide Punkte müssen nicht feststehen. Erforderlich, aber auch ausreichend ist insoweit ein auf Tatsachen gründender Verdacht, die der Berechtigte darlegen und notfalls beweisen muss (vgl. Krüger, in: MüKo/BGB, 9. Auflage 2022, § 260 Rn. 47, § 259 Rn. 38 f.). Daran fehlt es vorliegend im Ergebnis jedoch.
So ist nach Auffassung des Senats bereits die Unvollständigkeit der erteilten Auskunft nicht hinreichend substantiiert dargetan. Soweit der Kläger in diesem Zusammenhang das Vorhandensein weiterer Unterlagen mit der Aufbewahrungspflicht des § 147 Abs. 1 AO begründet, verkennt er bereits, dass das Bestehen einer entsprechenden Aufbewahrungspflicht nichts über den Umfang einer tatsächlich erfolgten Aufbewahrung und Speicherung aussagt. Eine Auskunftspflicht kann sich dabei aber von vornherein nur auf tatsächlich aufbewahrte und gespeicherte Unterlagen und Daten beziehen. In diesem Zusammenhang ist mit Blick auf den Umfang der tatsächlich erteilten Auskunft für den Senat nicht ansatzweise erkennbar, dass und weshalb die Beklagte weitergehende Vertragsunterlagen zu den genannten Kundennummern, die sie selbst bestätigt hat, nicht herausgeben sollte, sondern letztlich „lieber“ einen etwaigen Verstoß gegen ihre Pflichten gemäß § 147 AO einräumen sollte. Dies gilt umso mehr, als die Beklagte das Vorhandensein weiterer Unterlagen, zu deren Herausgabe sie nicht bereit war – Stichwort: Rechtsabteilung –, eingeräumt hat. Aber selbst wenn man davon ausgehen wollte, dass allein der Pflichtenverstoß der Beklagten gegen § 147 AO einen Verdacht auf die Unvollständigkeit im Sinne der §§ 259 Abs. 2, 260 Abs. 2 BGB begründet, wäre auch insoweit dem Beweisangebot des Klägers auf Einvernahme der Datenschutzbeauftragten der Beklagten nicht nachzugehen, da es jedenfalls an einer hinreichend substantiierten Darlegung etwaiger Tatsachen fehlt, nach denen davon auszugehen wäre, dass die – unterstellt unvollständige – Auskunftserteilung als solche auf mangelnder Sorgfalt der Beklagten beruht. Im Gegenteil. So bemängelt der Kläger wiederholt über das gesamte Verfahren hinweg die administrative Organisation der Beklagten. Dies wird sogar noch belegt durch die wiederholten unberechtigten Abbuchungen von dessen Konto, die ebenfalls Gegenstand eines zwischenzeitlich übereinstimmend für erledigt erklärten Klageantrags gewesen sind. All dies mag für durchaus gravierende Versäumnisse der Beklagten im Zusammenhang mit ihrer Organisation, der Datenerfassung und –aufbewahrung, insbesondere auch der Achtung gesetzlicher Pflichten wie solchen gemäß § 147 AO sprechen, ist aber in keiner Weise geeignet, Zweifel dahingehend zu begründen, dass die Beklagte nicht sämtliche bei ihr vorhandene Daten und Unterlagen letztlich vollständig – also abgesehen von den, seitens des Klägers nicht begehrten Unterlagen der Rechtsabteilung – herausgegeben hat. Der sich aus dem Vortrag des Klägers allenfalls hinreichend substantiiert ergebende Vorwurf belegt mithin jedenfalls keine mangelnde Sorgfalt bei der Erteilung der Auskunft, sondern ggfls. im Vorfeld.
Damit kommt es auf die von der Beklagten aufgeworfene Frage eines Eingreifens der §§ 259 Abs. 3, 260 Abs. 3 BGB ebenso wenig an wie darauf, ob § 260 Abs. 2 BGB überhaupt auf einen Anspruch aus Art. 15 DS-GVO anwendbar ist (aufgeworfen von: BGH, Urteil vom 15.06.2021 – VI ZR 576/19, juris, Rn. 34).
4. Aufgrund der vorstehenden Ausführungen ist auch die erstinstanzliche Kostenentscheidung in keiner Weise zu beanstanden.
III. Die Kostenentscheidung beruht auf § 97 Abs. 1 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus §§ 708 Nr. 10, 711 ZPO.
Die Zulassung der Revision hat gemäß § 543 Abs. 2 Nr. 1 ZPO teilweise zu erfolgen: Hinsichtlich der datenschutzrechtlichen Ansprüche des Klägers auf Zahlung eines Schadenersatzes liegt eine grundsätzliche Bedeutung i.S.d. § 543 Abs. 2 Nr. 1 ZPO vor, da die Voraussetzungen des Geldentschädigungsanspruchs nach Art. 82 Abs. 1 DS-GVO und das Verständnis dieser Vorschrift bislang nicht höchstrichterlich geklärt sind und sich nicht unmittelbar aus den Regelungen der DS-GVO ergeben (vgl. auch BVerfG, Beschluss vom 14.01.2021 – 1 BvR 2853/19, Rn. 20).
Hinsichtlich des Auskunftsanspruchs war die Zulassung der Revision hingegen nicht geboten, weil die Rechtssache insoweit keine grundsätzliche Bedeutung hat und eine Entscheidung des Revisionsgerichts weder zur Fortbildung des Rechts noch zur Sicherung einer einheitlichen Rechtsprechung erforderlich ist (§ 543 Abs. 1 ZPO). Eine Rechtssache hat grundsätzliche Bedeutung, wenn eine klärungsbedürftige Frage zu entscheiden ist, deren Auftreten in einer unbestimmten Vielzahl von Fällen zu erwarten ist und deshalb das abstrakte Interesse der Allgemeinheit an einheitlicher Entwicklung und Handhabung des Rechts berührt (BGH, Beschluss vom 04.07.2002 – V ZB 16/02, juris Rn. 4; Beschluss vom 04.07.2002 – V ZR 75/02, juris, Rn. 5). Klärungsbedürftig ist eine Rechtsfrage, wenn zu ihr unterschiedliche Auffassungen vertreten werden und noch keine höchstrichterliche Entscheidung vorliegt (BVerfG, Beschluss vom 08.12.2010 – 1 BvR 381/10, juris, Rn. 12). Die Frage, wann ein Auskunftsanspruch erfüllt ist, hat der BGH zwischenzeitlich in dem hier zugrunde gelegten Sinne entschieden. Ob im konkreten Fall Erfüllung eingetreten ist, ist dagegen eine Frage des Einzelfalls.
Der Streitwert für das Berufungsverfahren wird gemäß §§ 39, 43, 47, 48 Abs. 1 GKG, 3 ZPO auf 2.400,00 € festgesetzt.
Das Arbeitsgericht Oldenburg hat einem ehemaligen Arbeitnehmer 10.000 EURO immateriellen Schadensersatz aus Art. 82 DSGVO wegen unterbliebener Auskunftserteilung gemäß Art. 15 DSGVO durch den Arbeitgeber zugesprochen. Die Auskunftserteilung war über 20 Monate nicht erfolgt und das Gericht hielt 500 EURO pro Monat für angemessen. Das Gericht ist der Ansicht, dass Art. 82 DSGVO abschrecken und generalpräventiv wirken soll.
I. Der Gerichtshof der Europäischen Union wird gemäß Art. 267 AEUV um Vorabentscheidung über die Fragen ersucht:
1. Ist eine nach Art. 88 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung; im Folgenden DSGVO) erlassene nationale Rechtsvorschrift – wie etwa § 26 Abs. 4 Bundesdatenschutzgesetz, im Folgenden BDSG -, in der bestimmt ist, dass die Verarbeitung personenbezogener Daten – einschließlich besonderer Kategorien personenbezogener Daten – von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auf der Grundlage von Kollektivvereinbarungen unter Beachtung von Art. 88 Abs. 2 DSGVO zulässig ist, dahin auszulegen, dass stets auch die sonstigen Vorgaben der DSGVO – wie etwa Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO – einzuhalten sind?
2. Sofern die Frage zu 1. bejaht wird:
Darf eine nach Art. 88 Abs. 1 DSGVO erlassene nationale Rechtsvorschrift – wie § 26 Abs. 4 BDSG – dahin ausgelegt werden, dass den Parteien einer Kollektivvereinbarung (hier den Parteien einer Betriebsvereinbarung) bei der Beurteilung der Erforderlichkeit der Datenverarbeitung im Sinne der Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO ein Spielraum zusteht, der gerichtlich nur eingeschränkt überprüfbar ist?
3. Sofern die Frage zu 2. bejaht wird:
Worauf darf in einem solchen Fall die gerichtliche Kontrolle beschränkt werden?
4. Ist Art. 82 Abs. 1 DSGVO dahin auszulegen, dass Personen ein Recht auf Ersatz des immateriellen Schadens bereits dann haben, wenn ihre personenbezogenen Daten entgegen den Vorgaben der DSGVO verarbeitet wurden oder setzt der Anspruch auf Ersatz des immateriellen Schadens darüber hinaus voraus, dass die betroffene Person einen von ihr erlittenen immateriellen Schaden – von einigem Gewicht – darlegt?
5. Hat Art. 82 Abs. 1 DSGVO spezial- bzw. generalpräventiven Charakter und muss dies bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO zulasten des Verantwortlichen bzw. Auftragsverarbeiters berücksichtigt werden?
6. Kommt es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO auf den Grad des Verschuldens des Verantwortlichen bzw. Auftragsverarbeiters an? Insbesondere, darf ein nicht vorliegendes oder geringes Verschulden auf Seiten des Verantwortlichen bzw. Auftragsverarbeiters zu dessen Gunsten berücksichtigt werden?
II. Das Revisionsverfahren wird bis zur Entscheidung des Gerichtshofs der Europäischen Union über das Vorabentscheidungsersuchen ausgesetzt.
Das LG Köln hat dem Betroffenen in diesem Fall 4.000 EURO immateriellen Schadensersatz aus Art. 82 Abs. 1 DSGVO wegen der Offenlegung einer Geschäftsbeziehung zu einem Konkurrenzunternehmen gegenüber einem Vorgesetzten zugesprochen. Der Betroffene hatte mit seiner Klage 100.000 EURO Schadensersatz verlangt. Die Klage wurde daher überwiegend abgewiesen.
Aus den Entscheidungsgründen: Der Kläger hat gegen die Beklagte zu 1) einen Anspruch auf Zahlung eines Schadensersatzes in Höhe von 4.000 € aus Art. 82 Datenschutz-Grundverordnung (im Folgenden: DS-GVO).
1. Die Beklagte zu 1) hat personenbezogene Daten des Klägers im Sinne des Art. 4 Nr. 2 DS-GVO dadurch verarbeitet, dass sie die streitgegenständliche E-Mail an Herrn K. versandt hat. Sie muss sich dabei die Handlung ihres Angestellten, des Beklagten zu 2), zurechnen lassen. Zur Verarbeitung im Sinne der DS-GVO zählt auch die „Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung“.
Die Offenlegung der Vertragsverhältnisse zwischen der Beklagten zu 1) und dem Kläger an den Vorgesetzten des Klägers war auch rechtswidrig. Sie unterfällt keinem Rechtfertigungstatbestand nach Art. 6 Abs. 1 DS-GVO. Insbesondere ist sie nicht zur Erfüllung des Vertrags mit dem Kläger „erforderlich“, Art. 6 Abs. 1 lit. b) DS-GVO. Erforderlichkeit setzt voraus, dass ein unmittelbarer Zusammenhang zwischen der Verarbeitung und dem konkreten Zweck des Vertragsverhältnisses besteht. Ein solcher Zusammenhang ist hier nicht ersichtlich. Der Vorgesetzte des Klägers ist in keiner Weise in den Vertrag involviert und für die private Lebensführung des Klägers auch offensichtlich in keiner Weise verantwortlich. Es ist nicht im Ansatz zu erkennen, warum der Gläubiger eines Schuldverhältnisses sich veranlasst sehen dürfte, sich an den Vorgesetzten seines Schuldners zu wenden um diesen dazu zu bringen, auf den Schuldner einzuwirken. Etwas anderes ergibt sich auch nicht aus dem Umstand, dass der Kläger ebenfalls als Autoverkäufer in einem Konkurrenzunternehmen tätig ist. Gerade in diesem Fall drängt sich der Gedanke förmlich auf, dass dem Kläger aus einer Offenlegung seiner Geschäftsbeziehungen zu einem Konkurrenzunternehmen Probleme erwachsen können, was für die Erfüllung des Vertrags nicht förderlich sein dürfte.
Die Beklagte zu 1) ist für den Verstoß gegen Art. 6 Abs. 1 DS-GVO auch verantwortlich und muss sich das Verhalten ihres Mitarbeiters zurechnen lassen. Eine Exkulpation nach Art. 82 Abs. 3 DS-GVO kommt nicht in Betracht. Soweit die Beklagte zu 1) schlicht darauf abstellt, dass der Beklagte zu 2) dem Kläger keinen Schaden habe zufügen wollen, verfängt dies nicht. Die Versendung der E-Mail erfolgte vorsätzlich. Eine Schädigungsabsicht setzt Art. 82 DS-GVO nicht voraus.
2. Der Verstoß ist auch derart gravierend, dass er eine Schadensersatzpflicht der Beklagten zu 1) auslöst, allerdings nur in tenorierter Höhe.
Allein der Verstoß gegen datenschutzrechtliche Vorschriften führt nicht zu einer Verpflichtung des Verantwortlichen zur Zahlung von Schadensersatz (so auch LG Karlsruhe ZD 2019, 511). Voraussetzung eines Anspruchs auf Schadensersatz aus Art. 82 Abs. 1 DS-GVO, der im nationalen Recht unmittelbar Anwendung findet und andere Anspruchsgrundlagen nicht ausschließt (Nemitz, in: Ehmann/Selmayr, DS-GVO, 2. Aufl., Art. 82 Rn. 7), ist ein Verstoß gegen die DS-GVO und ein hierdurch verursachter Schaden, was ein Kläger darzulegen und zu beweisen hat (LG Karlsruhe, a.a.O.). Nach dem Erwägungsgrund 146 ist der Begriff des Schadens weit auszulegen, sodass Betroffene einen wirksamen Ersatz erhalten. Erwägungsgrund 85 besagt, dass eine Verletzung des Schutzes personenbezogener Daten einen physischen, materiellen oder immateriellen Schaden für natürliche Personen – wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung oder Rufschädigung – nach sich ziehen kann, wenn nicht rechtzeitig und angemessen reagiert wird. Es bedarf danach zwar keiner schweren Verletzung des Persönlichkeitsrechts, um einen immateriellen Schaden geltend zu machen (Gola/Piltz, DS-GVO, 2. Aufl., Art. 82 Rn. 13).Dennoch führt nicht bereits jeder Verstoß gegen die DS-GVO zu einer Ausgleichspflicht, denn der Verpflichtung zum Ausgleich eines immateriellen Schadens muss eine benennbar und insoweit tatsächliche Persönlichkeitsverletzung gegenüberstehen, die z.B. in der mit einer unrechtmäßigen Zugänglichmachung von Daten liegenden „Bloßstellung“ liegen kann (LG Karlsruhe, a.a.O.). Die Ermittlung des Schadens obliegt nach § 287 ZPO dem Gericht.
Der Verstoß der Beklagten zu 1) gegen die Regeln der DS-GVO ist bereits für sich derart gravierend, dass er eine entschädigungspflichtige Persönlichkeitsrechtsverletzung des Klägers begründet. Dass sich der Beklagte zu 2) hier an den Vorgesetzten des Klägers gewandt haben, ist nicht nur unangebracht und ein Verstoß gegen die DS-GVO, sondern für den Kläger auch peinlich und mit erheblichen Unannehmlichkeiten verbunden, weil er sich – unabhängig von der tatsächlichen Reaktion seines Vorgesetzten – genötigt fühlen könnte, sich gegenüber seinem Arbeitgeber dafür rechtfertigen zu müssen, bei der Konkurrenz ein Auto gekauft zu haben. Dies ist mit einem erheblichen Gefühl der Scham verbunden. Es handelt sich bei den Vertragsinformationen zwar nicht um hochsensible und höchstpersönliche Daten, der Kläger hatte jedoch ein offensichtliches Geheimhaltungsinteresse. Der Verstoß führt insoweit auch zu einem völligen Verlust der Kontrolle über die Daten, auch wenn die Information nur an eine Person geleitet wurde. Zudem erfolgte der Verstoß vorsätzlich, auch wenn der Beklagte zu 2), wie die Beklagte zu 1) unbestritten vorgetragen hat, keine Schädigungsabsicht gehabt hat.
Für die Frage der Schadensbemessung ist von Bedeutung, dass die Kammer die von dem Kläger behaupteten Folgen des Datenschutzverstoßes ihrer Entscheidung nicht zu Grunde legen kann.
Der Vortrag des Klägers zur Zerrüttung seines Arbeitsverhältnisses ist unsubstantiiert und prozessual unbeachtlich. Die Beklagte zu 1) hat sich offenbar im Betrieb des Klägers informiert und in ihrem Schriftsatz vom 23.08.2022 detailliert vorgetragen, dass es zu keiner Zerrüttung des Arbeitsverhältnisses gekommen ist. Dabei hat sie auch auf Ungereimtheiten im Vortrag des Klägers hingewiesen, die dieser selbst nicht entkräften konnte. So erfolgte die erste Krankschreibung des Klägers nicht unmittelbar nach dem streitgegenständlichen Vorfall, sondern erst einige Wochen später. Soweit der Kläger im April 2022 vorgetragen hat, seine Stelle sei neu besetzt worden und sein Vertrag ende „bald“, fehlt es an Vortrag dazu, wann dieser Zeitpunkt konkret sein soll. Da der Kläger noch mit Schriftsatz vom 02.08.2022 eine aktuelle Arbeitsunfähigkeitsbescheinigung bis zum 15.08.2022 vorgelegt hat, scheinen deutliche Zweifel angebracht, ob das Arbeitsverhältnis überhaupt in absehbarer Zeit enden wird. Auch fehlt es an substantiiertem Vortrag zu einer dauerhaften Arbeitsunfähigkeit des Klägers, da dieser nach den vorliegenden Unterlagen lediglich im Zeitraum Ende August bis Anfang Oktober 2021 und im Zeitraum um die Replik im August 2022 krankgeschrieben gewesen ist, somit lediglich für wenige Wochen. Da der Kläger auf den Vortrag der Beklagten zu 1) in ihrem Schriftsatz vom 23.08.2022 nicht mehr reagiert hat, gilt der Vortrag der Beklagten zu 1) als zugestanden.
Auch soweit der Kläger vorgetragen hat, an einer Depression zu leiden, ist sein Vortrag unbeachtlich. Ein ärztliches Attest, das diese Diagnose belegen könnte, hat er nicht vorgelegt. Sein Hausarzt hat ihm am 24.09.2021 lediglich eine „depressive Episode“ diagnostiziert. Substantiierter Sachvortrag zu seinen konkreten Symptomen, die es erlauben würden, die Diagnose einer Depression, egal in welcher Form, zu stellen, ist nicht erfolgt. Etwas anderes ergibt sich auch nicht aus dem Schreiben des Prof. X (Anlage K020). Hierbei handelt es sich nicht etwa um ein Privatgutachten, das geeignet wäre, den klägerischen Vortrag zu substantiieren, sondern um ein in einem reißerischen Tonfall geschriebenes Gefälligkeitsschreiben, das für die Kammer insgesamt unbeachtlich war. Nicht nur lässt es Prof. X an jeglicher Neutralität in Bezug auf den hier anhängigen Rechtsstreit vermissen. Es ergibt sich aus dem Schreiben noch nicht einmal, ob der Kläger bei Prof. X überhaupt in Behandlung war, so dass für die Kammer nicht ersichtlich ist, auf welcher therapeutischen Grundlage sich der Prof. X überhaupt ein Urteil zum Gesundheitszustand des Klägers anmaßt.
Die Kammer will nicht in Abrede stellen, dass der Kläger tatsächlich unter hohem psychischen Druck steht. Er war in der mündlichen Verhandlung sichtlich angefasst und schien deutlich zu leiden. Dieses Leiden ist jedoch nicht derart substantiiert im Prozess vorgetragen worden, dass es für die Kammer prozessual verwertbar wäre und für die Einholung eines psychologischen Sachverständigengutachtens gereicht hätte. Dies gilt nicht nur für den Vortrag des Klägers hinsichtlich des Vorliegens einer Depression, sondern auch für die Frage, ob gerade der Datenschutzverstoß der Beklagten für die Krankheit des Klägers kausal geworden ist. Die Einholung eines Sachverständigengutachtens würde vor diesem Hintergrund einem Ausforschungsbeweis gleichkommen.
Bei der Bemessung des Schmerzensgelds war weiterhin zu berücksichtigen, dass die Beklagte zu 1) eine strafbewehrte Unterlassungserklärung abgegeben und sich bereits mit E-Mail vom 20.07.2021 beim Kläger entschuldigt hat. Weiterhin war zu berücksichtigen, dass nach Sinn und Zweck von Art. 82 DS-GVO das Schmerzensgeld so zu bemessen ist, dass es eine abschreckende Wirkung auf die Beklagte ausübt. Dabei war jedoch auch darauf zu achten, dass auch nach der Konzeption des Art. 82 DS-GVO der Schadensersatz nicht in einen Strafschadensersatz ausartet, sondern in erster Linie der Kompensation tatsächlich entstandener Schäden beim Kläger dient (vgl. Erwägungsgrund (146) S. 5 DS-GVO: „erlittener Schaden“). In diesem Zusammenhang war für die Kammer entscheidend auf die finanzielle Situation der Beklagten zu 1) abzustellen, nicht hingegen auf die Finanzkraft des „V-Konzern s“ insgesamt. Die Beklagte zu 1) mag zum V-Konzern gehören, sie ist aber rechtlich unabhängig. Der Kläger hat nicht die Volkswagen AG verklagt, so dass der Vortrag zu deren Umsätzen unbeachtlich ist. Vortrag zur finanziellen Situation der Beklagten zu 1) fehlt indes. Daher verbietet sich auch eine Orientierung an einem möglicherweise von der Aufsichtsbehörde noch zu verhängendem Bußgeld gegen die Beklagte zu 1). Der Vortrag des Klägers zur Höhe dieses Bußgelds, insbesondere dass dieses die Höchstgrenze des Art. 83 Abs. 4 DS-GVO von 10 Milliarden EUR erreichen könnte, stellt sich vor diesem Hintergrund nicht als eine ernsthafte Prognose dar.
Unter Berücksichtigung sämtlicher dieser zuvor genannten Umstände hält die Kammer gemäß § 287 ZPO insgesamt einen Schadensersatz von 4.000 EUR für notwendig, aber auch ausreichend zur Kompensation des dem Kläger entstandenen Schadens.
Der BAG hat dem EuGH Fragen zur Auslegung von Art. 82 DSGVO und Art. 88 DSGVO zur Entscheidung vorgelegt. Es geht dabei um die Zulässigkeit der Verarbeitung personenbezogener Daten im Rahmen eines Beschäftigungsverhältnisses und möglichen Ansprüchen auf immateriellen Schadensersatz.
Die Vorlagefragen:
I. Der Gerichtshof der Europäischen Union wird gemäß Art. 267 AEUV um Vorabentscheidung über die Fragen ersucht:
1. Ist eine nach Art. 88 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung; im Folgenden DSGVO) erlassene nationale Rechtsvorschrift – wie etwa § 26 Abs. 4 Bundesdatenschutzgesetz, im Folgenden BDSG – in der bestimmt ist, dass die Verarbeitung personenbezogener Daten – einschließlich besonderer Kategorien personenbezogener Daten – von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auf der Grundlage von Kollektivvereinbarungen unter Beachtung von Art. 88 Abs. 2 DSGVO zulässig ist, dahin auszulegen, dass stets auch die sonstigen Vorgaben der DSGVO – wie etwa Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO – einzuhalten sind?
2. Sofern die Frage zu 1. bejaht wird:
Darf eine nach Art. 88 Abs. 1 DSGVO erlassene nationale Rechtsvorschrift – wie § 26 Abs. 4 BDSG – dahin ausgelegt werden, dass den Parteien einer Kollektivvereinbarung (hier den Parteien einer Betriebsvereinbarung) bei der Beurteilung der Erforderlichkeit der Datenverarbeitung im Sinne der Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO ein Spielraum zusteht, der gerichtlich nur eingeschränkt überprüfbar ist?
3. Sofern die Frage zu 2. bejaht wird:
Worauf darf in einem solchen Fall die gerichtliche Kontrolle beschränkt werden?
4. Ist Art. 82 Abs. 1 DSGVO dahin auszulegen, dass Personen ein Recht auf Ersatz des immateriellen Schadens bereits dann haben, wenn ihre personenbezogenen Daten entgegen den Vorgaben der DSGVO verarbeitet wurden oder setzt der Anspruch auf Ersatz des immateriellen Schadens darüber hinaus voraus, dass die betroffene Person einen von ihr erlittenen immateriellen Schaden – von einigem Gewicht – darlegt?
5. Hat Art. 82 Abs. 1 DSGVO spezial- bzw. generalpräventiven Charakter und muss dies bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO zulasten des Verantwortlichen bzw. Auftragsverarbeiters berücksichtig werden?
6. Kommt es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO auf den Grad des Verschuldens des Verantwortlichen bzw. Auftragsverarbeiters an? Insbesondere, darf ein nicht vorliegendes oder geringes Verschulden auf Seiten des Verantwortlichen bzw. Auftragsverarbeiters zu dessen Gunsten berücksichtigt werden?
II. Das Revisionsverfahren wird bis zur Entscheidung des Gerichtshofs der Europäischen Union über das Vorabentscheidungsersuchen ausgesetzt.
Das OLG Frankfurt hat entschieden, dass Zwangsmittel bei erkennbarer Unvollständigkeit einer Auskunft gerechtfertigt sind, wenn der zur Auskunft Verpflichtete nicht alle zumutbaren Nachforschungsmöglichkeiten ausgeschöpft.
Aus den Entscheidungsgründen: 1. Die allgemeinen Voraussetzungen der Zwangsvollstreckung liegen vor. Einstweilige Verfügungen sind sofort vollstreckbar, ohne dass es einer Vollstreckungsklausel bedarf.
2. Das Landgericht hat zu Recht angenommen, dass der Antragsgegner über den Vorlieferanten der Schuhe keine vollständige Auskunft erteilt hat. Entgegen der Ansicht des Antragsgegners hat er der Auskunftsverpflichtung nicht durch eine Negativerklärung genügt.
a) Ein Anspruch auf (ergänzende) Auskunftserteilung besteht nicht mehr, wenn der Schuldner eine formell ordnungsgemäße Auskunft erteilt hat. Ob die erteilte Auskunft richtig oder falsch ist, muss gegebenenfalls im Verfahren über die Abgabe einer eidesstattlichen Versicherung geklärt werden. Bei erkennbarer Unvollständigkeit fehlt es jedoch an einer formell ordnungsgemäßen Auskunft. In diesem Fall ist der (titulierte) Anspruch auf Auskunft noch nicht vollständig erfüllt und er kann daher im Wege der Zwangsvollstreckung gemäß § 888 ZPO weiterverfolgt werden (OLG Frankfurt am Main NJW-RR 2016, 960 - unvollständige Auskunft; OLG Frankfurt am Main, Beschluss vom 25.7.2005 - 6 W 6/05, Rn 3, juris; OLG Frankfurt am Main, Beschluss vom 13.8.2009 - 6 W 176/08, juris).
b) Der Antragsgegner hat zunächst über den Gerichtsvollzieher zwei Rechnungen übersandt mit dem Hinweis, die Schuhe seien einer der beiden Rechnungen zuzuordnen und bei einem der beiden Händler gekauft worden (Anlage Ast26). Es handelt sich um eine Rechnung vom 10.7.2018 von der Fa. A GmbH aus Stadt1 und um eine Rechnung vom 11.4.2019 von der Fa. B GmbH, ebenfalls aus Stadt1. Mit Schriftsatz vom 30.3.2022 hat sein Prozessbevollmächtigter ergänzend dargelegt, dass eine Identifizierung der Schuhe an Hand von Artikelnummern o.ä. nicht (mehr) möglich sei. Telefonische Nachforschungen bei den genannten Händlern hätten kein Ergebnis gebracht. Die Gesprächspartnerin der Fa. B GmbH sei der deutschen Sprache kaum mächtig gewesen. Der Geschäftsführer der Fa. A GmbH habe keine weitere Auskunft in der Sache erteilen wollen.
c) Mit diesen Angaben genügt der Antragsgegner seiner Auskunftspflicht nicht.
aa) Soweit keine aussagekräftigen Unterlagen über die Herkunft der mit der Verfügungsmarke gekennzeichneten Waren vorliegen, muss der Antragsgegner bei den in Betracht kommenden Vorlieferanten nachforschen. Der Schuldner hat alle ihm zur Verfügung stehenden Möglichkeiten der Information auszuschöpfen. Er hat seine Geschäftsunterlagen durchzusehen und muss sich, wenn dies nicht ausreicht, gegebenenfalls durch Nachfrage bei seinen Lieferanten und Abnehmern um Aufklärung bemühen (vgl. BGH GRUR 2006, 504, 506 - Parfumtestverkäufe). Der Auskunftsanspruch geht zwar nicht so weit, dass Nachforschungen bei Dritten vorzunehmen sind, um unbekannte Vorlieferanten erst zu ermitteln. Sind hingegen - wie hier - die möglichen Vorlieferanten bekannt, sind Zweifel durch Nachfrage bei den Lieferanten aufzuklären (BGH GRUR 2003, 433 - Cartier-Ring; OLG Frankfurt am Main GRUR-RR 2021, 477 - Salami und Oliven). Erst wenn die Unmöglichkeit der Erfüllung des Auskunftstitels feststeht, können Nachforschungen unterbleiben. Hierzu bedarf es substantiierten und nachprüfbaren Vorbringens des Schuldners (Zöller/Seibel ZPO, 34. Auflage, § 888, Rn 11). Die bloße Angabe, weitere Nachforschungen bei den Vorlieferanten hätten keine Aussicht auf Erfolg, genügt nicht.
bb) Der Antragsgegner hat die ihm zumutbaren Nachforschungsmöglichkeiten nicht ausgeschöpft. Eine bloße telefonische Nachfrage genügt in der Regel nicht. Die gilt besonders dann, wenn - wie bei der Fa. B GmbH - eine mündliche Verständigung mangels Sprachkenntnissen des Gesprächspartners nicht möglich ist. Vielmehr sind die in Betracht kommenden Lieferanten schriftlich um Überprüfung zu bitten, welche Schuh-Modelle der Rechnung zugrunde lagen und ob es die streitgegenständlichen waren. Bei in Deutschland ansässigen Unternehmen genügt es, wenn das Schreiben in deutscher Sprache verfasst wird. Wird das Schreiben nicht in angemessener Zeit beantwortet, ist ggf. unter Fristsetzung erneut nachzufragen.
Soweit der Antragsgegner mit Schriftsatz vom 4.8.2022 in Reaktion auf den Nichtabhilfebeschluss darlegt, eine schriftliche Kontaktaufnahme sei sinnlos, weil die Fa. B GmbH unmissverständlich eine Kontaktaufnahme verweigert hätte, steht dieses Vorbringen in Widerspruch zu dem eidesstattlich versicherten Vortrag im Schriftsatz vom 30.3.2022. Dort heißt es, die Kontaktaufnahme und Informationsbeschaffung sei daran gescheitert, dass die telefonische Gesprächspartnerin der deutschen Sprache nicht mächtig war. Das neue Vorbringen kann daher nicht berücksichtigt werden.
Eine schriftliche Kontaktaufnahme mit der Fa. B GmbH ist auch nicht deshalb entbehrlich, weil das Handelsgeschäft bei Google als „vorrübergehend geschlossen“ bezeichnet wird. Der vom Antragsgegner daraus abgeleitete Schluss, der Geschäftsbetrieb sei (endgültig) eingestellt worden, ist nicht nachvollziehbar. Die Internetseite des Unternehmens ist nach wie vor mit sämtlichen Kontaktdaten erreichbar. Die GmbH ist auch nach wie vor im Handelsregister des AG Stadt2 eingetragen. Es ist daher nicht ersichtlich, wieso das Unternehmen postalisch nicht erreichbar sein soll.
cc) Anders liegt es bei der Fa. A GmbH. Der Prozessbevollmächtigte des Antragsgegners hatte telefonisch Kontakt mit dem Geschäftsführer. Dieser äußerte, keine weiteren Auskünfte erteilen zu wollen. Er verwies außerdem darauf, dass er selbst von der Antragstellerin in der Vergangenheit wegen der Verfügungsmarke in Anspruch genommen worden sei. Es besteht daher keine Aussicht, dass er auf schriftliche Anfrage des Antragsgegners die Lieferung der streitgegenständlichen Schuhe einräumen und sich damit weiteren Ansprüchen aussetzen wird. Ein schriftliches Auskunftsersuchen wäre eine bloße “Förmelei“ ohne Erfolgsaussicht.
3. Ohne Erfolg beruft sich der Antragsgegner auf eine Verletzung seines Anspruchs auf rechtliches Gehör, weil das Landgericht zunächst nicht seinen Schriftsatz vom 30.3.2022 berücksichtigt habe. Das Zwangsmittel war aus den dargelegten Gründen auch unter Berücksichtigung des Vorbringens im Schriftsatz vom 30.3.2022 zu verhängen. Außerdem hat das Landgericht den Schriftsatz jedenfalls bei der Entscheidung über die Nichtabhilfe berücksichtigt.
Das BAG hat entschieden, dass 1.000 EURO immaterieller Schadensersatz aus Art. 82 DSGVO wegen verspäteter Auskunft nach Art. 15 DSGVO nicht zu niedrig ist.
Aus den Entscheidungsgründen: Das Landesarbeitsgericht hat die Höhe des immateriellen Schadenersatzes mit 1.000,00 Euro nicht ermessensfehlerhaft zu niedrig festgesetzt.
a) Bei der Bemessung der Höhe eines Schadenersatzanspruchs nach § 287 Abs. 1 ZPO steht den Tatsachengerichten ein weiter Ermessensspielraum zu, innerhalb dessen sie die Besonderheiten jedes einzelnen Falls zu berücksichtigen haben. Die Festsetzung unterliegt nur einer eingeschränkten Überprüfung durch das Revisionsgericht. Sie kann von diesem nur darauf überprüft werden, ob die Rechtsnorm zutreffend ausgelegt, ein Ermessen ausgeübt, die Ermessensgrenze nicht überschritten wurde und ob das Berufungsgericht von seinem Ermessen einen fehlerfreien Gebrauch gemacht hat, indem es sich mit allen für die Bemessung der Entschädigung maßgeblichen Umständen ausreichend auseinandergesetzt und nicht von sachfremden Erwägungen hat leiten lassen (vgl. BAG 28. Mai 2020 - 8 AZR 170/19 - Rn. 28, BAGE 170, 340; BGH 23. April 2012 - II ZR 163/10 - Rn. 68, BGHZ 193, 110).
b) Danach ist die Bemessung der Höhe des Schadenersatzes durch das Landesarbeitsgericht revisionsrechtlich nicht zu beanstanden. Ob die vom Berufungsgericht als „naheliegend“ erachtete Orientierung am Kriterienkatalog in Art. 83 Abs. 2 Satz 2 DSGVO möglich oder sogar geboten ist, kann dahinstehen. Selbst wenn dies nicht der Fall sein sollte, hätte sich das Landesarbeitsgericht nicht von sachfremden Erwägungen zulasten der Klägerin leiten lassen.
aa) Es hat zunächst zugunsten der Klägerin in Rechnung gestellt, dass die Beklagte eine vollständige Auskunft nach Art. 15 Abs. 1 DSGVO bis zuletzt nicht erteilt und ihre Verpflichtung jedenfalls grob fahrlässig verkannt habe. Selbst wenn das Berufungsgericht einen dieser Gesichtspunkte zu Unrecht in seine Erwägungen eingestellt hätte, wäre die Klägerin dadurch nicht beschwert.
bb) Das Landesarbeitsgericht hat ferner ohne Rechtsfehler in seine Würdigung einbezogen, dass die persönliche Betroffenheit der Klägerin durch die nicht vollständige Erfüllung ihres Auskunftsanspruchs in Anbetracht des maßgeblichen Anliegens ihres Auskunftsbegehrens „überschaubar“ gewesen sei.
(1) Es hat das Auskunftsbegehren dahin ausgelegt, dass es der Klägerin maßgeblich um die Arbeitszeitaufzeichnungen gegangen sei. Diese habe ihr die Beklagte mit Schreiben vom 13. August 2020 aber übersandt. Damit hat das Landesarbeitsgericht eine Gewichtung des konkreten Ausmaßes der Beeinträchtigung der Klägerin durch die nicht vollständige Erfüllung ihres Auskunftsanspruchs vorgenommen und dieser eine relativ geringere Bedeutung beigemessen, als wenn es der Klägerin ebenso maßgeblich um Auskunft über ihre übrigen bei der Beklagten gespeicherten personenbezogenen Daten gegangen wäre.
(2) Das lässt keinen Ermessensfehlgebrauch erkennen. Wenn die Erlangung von Kontrolle über ihre übrigen personenbezogenen Daten nicht das primäre Ziel der Klägerin war, wiegt auch die Beeinträchtigung durch das Vorenthalten dieses Teils der begehrten Auskunft weniger schwer. Einen Rechtsfehler zeigt insoweit auch die Revision nicht auf. Sie beanstandet zwar, das Landesarbeitsgericht habe nicht berücksichtigen dürfen, dass die Klägerin den Auskunftsanspruch gerichtlich nicht weiterverfolgt habe. Das Berufungsgericht hat dies aber nicht für sich genommen als einen die Beklagte entlastenden Umstand bewertet, wie die Klägerin meint, sondern lediglich als - weiteren - Beleg für sein Verständnis des primären Ziels des Auskunftsverlangens. Dass dieses Verständnis unzutreffend sei, macht auch die Klägerin nicht geltend.
cc) Andere Aspekte hat das Landesarbeitsgericht nicht zulasten der Klägerin gewürdigt.
dd) Soweit das Berufungsgericht bei der Anspruchsbemessung nicht ausdrücklich problematisiert hat, ob der Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO auch einen präventiven Charakter hat und damit auch eine Abschreckungsfunktion erfüllen muss (vgl. auch zu dieser Fragestellung das Vorabentscheidungsersuchen BAG 26. August 2021 - 8 AZR 253/20 (A) -, vor dem EuGH anhängig unter - C-667/21 - [Krankenversicherung Nordrhein]), ist dies im Ergebnis ebenfalls ohne Rechtsfehler. Zugunsten der Klägerin kann unterstellt werden, dass dem Anspruch ein solcher Präventionscharakter zukommt. Seine vom Berufungsgericht festgesetzte Höhe hat hinreichend abschreckende Wirkung.
(1) Der Betrag von 1.000,00 Euro ist fühlbar und hat nicht nur symbolischen Charakter (vgl. zur nicht ausreichenden Umsetzung der Richtlinien 2000/43/EG und 2000/78/EG bei einer nur symbolischen Sanktion EuGH 15. April 2021 - C-30/19 - [Braathens Regional Aviation] Rn. 39; 25. April 2013 - C-81/12 - [Asociaţia Accept] Rn. 64). Bloß symbolisch wäre es etwa, die Entschädigung einer Person, die Opfer einer Diskriminierung beim Zugang zur Beschäftigung wurde, auf die Erstattung ihrer Bewerbungskosten zu beschränken (EuGH 10. April 1984 - C-14/83 - [von Colson] Rn. 24). Darüber geht der hier zugesprochene Schadenersatz deutlich hinaus.
(2) Ebenfalls eine Präventionsfunktion hat eine wegen einer Verletzung des allgemeinen Persönlichkeitsrechts geschuldete Entschädigung; auch diese kann mit einem Betrag in Höhe von 1.000,00 Euro ausreichend bemessen sein, wie etwa im Falle einer datenschutzwidrigen Observation mit heimlichen Videoaufnahmen durch einen Detektiv (BAG 19. Februar 2015 - 8 AZR 1007/13 - Rn. 14 und 33).
(3) Der immaterielle Schaden nach Art. 82 Abs. 1 DSGVO hat - anders als eine Entschädigung nach § 15 Abs. 2 AGG (dazu BAG 28. Mai 2020 - 8 AZR 170/19 - Rn. 17 ff., BAGE 170, 340) - keinen erkennbaren Bezug zur Höhe eines dem Gläubiger zustehenden Arbeitsentgelts, so dass keine Anhaltspunkte dafür bestehen, dass es sich dabei um ein relevantes Bemessungskriterium für die Höhe des Schadenersatzes handeln könnte. Selbst wenn dies anders zu sehen sein sollte, entspräche der hier festgesetzte Betrag mehr als dem zweifachen der zwischen den Parteien vereinbarten monatlichen Vergütung. Für eine Entschädigung nach § 15 Abs. 2 AGG, die ebenfalls eine Abschreckungsfunktion erfüllen muss, ist bereits ein Betrag in Höhe des 1,5-fachen des auf einer Stelle erzielbaren Entgelts als ausreichend anzusehen, um die notwendige abschreckende Wirkung zu erzielen (BAG 28. Mai 2020 - 8 AZR 170/19 - Rn. 39, aaO).
(4) Entgegen der Auffassung der Klägerin musste das Landesarbeitsgericht dem Umstand, dass die Beklagte anwaltlich vertreten war, auch unter dem Gesichtspunkt der Prävention keine den Schadenersatzanspruch erhöhende Bedeutung beimessen. Die Abschreckungsfunktion kann sich nur auf die Vermeidung künftiger Verstöße gegen die DSGVO beziehen, nicht aber darauf, ob sich eine Partei bei der Erfüllung ihrer Verpflichtungen nach der DSGVO anwaltlich hat vertreten lassen. Die Hinzuziehung eines Rechtsanwalts ist weder allgemein noch nach der DSGVO verpönt.
Das OLG Köln hat entschieden, dass 500 EURO immaterieller Schadensersatz aus Art. 82 DSGVO wegen verspäteter Auskunft nach Art. 15 DSGVO gerechtfertigt sein kann.
Das LG Köln hat in diesem Fall entschieden, dass der Betroffene einen Anspruch auf 1.200 EURO Schadensersatz aus Art. 82 Abs. 1 DSGVO hat, da der Verantwortliche die Zugangsdaten eines ehemaligen IT-Dienstleister nicht zeitnah gelöscht hatte.
Aus den Entscheidungsgründen:
Der Kläger hat im tenorierten Umfang Anspruch auf Ersatz eines immateriellen Schadens aus Art. 82 Abs. 1 DSGVO. Nach dieser Vorschrift hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Die Beklagte hat dadurch, dass sie die der Fa. C. zur Verfügung gestellten Zugangsdaten nach Ende der Vertragsbeziehung nicht änderte, gegen ihre Verpflichtung aus Art. 32 DSGVO sowie aus Art. 5 DSGVO verstoßen. Nach Art. 32 DSGVO haben der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Gemäß Art. 5 Abs. 1 lit. f) DSGVO müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).
Die Kammer nimmt einen Verstoß gegen diese Vorgaben aufgrund des zwischen den Parteien unstreitigen Umstandes an, dass die der Fa. C. zur Verfügung gestellten Zugangsdaten nach Beendigung der vertraglichen Beziehung zu der Vertragspartnerin über mehrere Jahre nicht verändert wurden. Damit schuf die Beklagte das Risiko, dass die Daten der Betroffenen nicht nur im Falle von ihr selbst zu verantwortender Unzulänglichkeiten, sondern auch durch von Seiten von Mitarbeitern der C. vorsätzlich oder fahrlässig ermöglichte Zugriffe einem Missbrauch ausgesetzt waren. Die Beklagte kann sich angesichts der Sensibilität der gespeicherten Kundendaten insbesondere nicht darauf berufen, sie habe davon ausgehen können, dass die Daten seitens C. dauerhaft und vollständig gelöscht werden würden (so auch in einem Parallelfall LG München I, Urt. v. 9.12.2021, 31 O 16606/20, juris, Rn. 36). Jedenfalls wäre eine Überprüfung der Löschung angezeigt gewesen, die die Beklagte aber ebenfalls nicht vorträgt.
Das der Beklagten anzulastende Versäumnis war – was ausreichend ist – jedenfalls mitursächlich für den dem Kläger entstandenen Schaden (vgl. LG München I a.a.O. Rn. 39).
Dem Kläger entstand auch ein Schaden im Sinne des Art. 82 DSGVO. Die Erwägungsgründe 75 und 85 DS-GVO zählen beispielhaft auf, welche konkreten Beeinträchtigungen einen "physischen, materiellen oder immateriellen Schaden" darstellen können, so etwa Diskriminierung, Identitätsdiebstahl oder -betrug, finanzieller Verlust, Rufschädigung, unbefugte Aufhebung einer Pseudonymisierung oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile. Nach Erwägungsgrund 146 DS-GVO muss der Begriff des Schadens zudem "im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden, die den Zielen dieser Verordnung in vollem Umfang entspricht" und die "betroffenen Personen sollen einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten". Im Vordergrund steht hier eine abschreckende Wirkung des Schadensersatzes, die insbesondere durch dessen Höhe erreicht werden soll. Dieser Gedanke wird auch aus Art. 4 III EUV abgeleitet. Danach sind die Mitgliedstaaten angehalten, Verstöße wirksam zu sanktionieren, weil nur so eine effektive Durchsetzung des EU-Rechts – und damit auch der DS-GVO – gewährleistet ist (LG München I a.a.O. Rn. 41 mit w.N.).
Aufgrund des dem Kläger mit Schreiben vom 19.10.2020 mitgeteilten Umfangs der entwendeten persönlichen Daten geht die Beklagte ausweislich dieses Schreibens selbst davon aus, dass versucht werden konnte, die Betroffenen zu bestimmten Verhaltensweisen zu bewegen, insbesondere zur Preisgabe von weiteren vertraulichen Informationen oder Zahlungen zu veranlassen, sowie dass die Gefahr bestand, dass es mit Hilfe der Daten zu Identitätsmissbrauchsversuchen kommen würde. Auf die weiteren, teilweise zwischen den Parteien streitigen, Umstände der tatsächlichen oder gefühlten Beeinträchtigung des Klägers durch den Vorfall kommt es nach Auffassung der Kammer vor diesem Hintergrund nicht maßgeblich an.
Für die Bemessung der Höhe des Schadensersatzes können die Kriterien des Art. 83 Abs. 2 herangezogen werden, wie etwa die Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung, die betroffenen Kategorien personenbezogener Daten, wobei die Ermittlung im Übrigen dem Gericht nach § 287 ZPO obliegt (LG München I a.a.O. Rn. 44 m.w.N.).
Hier war bei der Bemessung der Höhe zu berücksichtigen, dass ein Missbrauch der Daten zu Lasten des Klägers bislang nicht festgestellt werden musste, und es daher einstweilen bei einer Gefährdung geblieben ist. Wie vom LG München I a.a.O. zutreffend herausgearbeitet, muss allerdings auch die Absicht des EU-Verordnungsgebers berücksichtigt werden, mit Hilfe des Schadensersatzanspruchs eine abschreckende Wirkung zu erzielen. Zu Gunsten der Beklagten fällt allerdings – wie in der mündlichen Verhandlung bereits ausgeführt, ins Gewicht, dass der ihr zuzurechnende Datenschutzverstoß nur eine von mehreren Ursachen war, die erst im Zusammenwirken den Schadenseintritt bewirkten. Denn hinzu kam ein weiterer mindestens fahrlässiger Verstoß bei der Fa. C. sowie nicht zuletzt das vorsätzliche rechtswidrige Vorgehen der Hacker selbst. Zu berücksichtigen ist auch, dass die Beklagte dem Kläger vorübergehend das „meine Schufa Plus“ Angebot finanzierte. Unter Abwägung der maßgeblichen Gesichtspunkte erachtet die Kammer damit eine Schadensersatzzahlung in der tenorierten Höhe für angemessen.
Das OLG Frankfurt hat entschieden, dass ein Schadensersatzanspruch aus Art. 82 DSGVO den Nachweis eines konkreten Schadens erfordert. Zudem führt das Gericht aus, dass sich aus Art. 17 DSGVO auch ein Unterlassungsanspruch ergibt.
Aus den Entscheidungsgründen:
Hinsichtlich der Verurteilung im Hinblick auf den Unterlassungsanspruch ist die Berufung der Beklagten hingegen unbegründet.
Dem Kläger steht ein Anspruch gegen die Beklagte auf Unterlassung der Verarbeitung seiner personenbezogenen Daten zu, sofern diese in der Form erfolgt wie mit der Nachricht vom 23.10.2018 an einen Dritten. Dies ergibt sich aus Art. 17 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl. 2016 L 119 S. 1, berichtigt in ABl. 2016 L 314 S. 72 und ABl. 2018 L 127 S. 2; im Folgenden: DS-GVO), wie zwischenzeitlich höchstrichterlich geklärt wurde (vgl. BGH, Urteile vom 12.10.2021 - VI ZR 488/19 - VI ZR 489/19 -, jeweils Rn. 10, juris; BGH, Urteil vom 27. Juli 2020 - VI ZR 405/18, BGHZ 226, 285 Rn. 20, 23 [zur Auslistung]; BSGE 127, 181 Rn. 13), so dass ein Rückgriff auf §§ 823 Abs. 1 i.V.m. 1004 BGB nicht erforderlich ist, um einen lückenlosen Individualrechtsschutz hinsichtlich der Verarbeitung personenbezogener Daten von natürlichen Personen zu gewährleisten (so noch: OLG Dresden, Urteil vom 14. Dezember 2021 - 4 U 1278/21 -, Rn. 47, juris; OLG München, Urteil vom 19. Januar 2021 - 18 U 7243/19 Pre -, Rn. 62, 65, juris).
Die Voraussetzungen des sich aus Art. 17 Abs. 1 DS-GVO (auch) ergebenden Unterlassungsanspruchs sind erfüllt.
Die DS-GVO ist vorliegend anwendbar, da sie seit dem 25.5.2018 (Art. 99 Abs. 2 DS-GVO) unmittelbar in jedem Mitgliedstaat der Europäischen Union Geltung erlangt hat (BGH, Urteil vom 27. Juli 2020 - VI ZR 405/18 -, BGHZ 226, 285-310, Rn. 110 - 13).
Die Beklagte hat durch die Übermittlung der Nachricht vom 23.10.2018 „personenbezogene Daten" des Klägers im Sinne von Art. Art. 4 Nr. 1 DS-GVO an einen Dritten offenbart. Insoweit sind der Name, das Geschlecht, die Tatsache des laufenden Bewerbungsverfahrens und die Gehaltsvorstellung des Klägers als personenbezogene Daten anzusehen.
Sofern die Beklagte dies hinsichtlich der Anrede „Herr B" verneint, vermag der Senat dem nicht zu folgen, da der Name in der Legaldefinition sogar ausdrücklich erwähnt wird. Art. 4 Nr. 1 DS-GVO benennt beispielhaft Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, der Name wird im Rahmen der alternativen Aufzählung an erster Stelle aufgeführt.
Nach der Definition sind „personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Der Begriff der "personenbezogenen Daten" nach Art. 4 DS-GVO ist damit weit gefasst und umfasst nach der Legaldefinition alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen.
Unter die Vorschrift fallen damit neben Identifikationsmerkmalen und äußeren Merkmalen auch sachliche Informationen wie etwa Vermögens- und Eigentumsverhältnisse, Kommunikations- und Vertragsbeziehungen und alle sonstigen Beziehungen der betroffenen Person zu Dritten und ihrer Umwelt (Klar/Kühling in Kühling/Buchner, DS-GVO/BDSG, Art. 4 DS-GVO Rn. 8; Ernst in: Paal/Pauly, DS-GVO/BDSG, Auflage 2021, Art. 4 Rn. 14; OLG Köln, Urteil vom 26. Juli 2019 - I-20 U 75/18 -, Rn. 304, juris).
Die hier offenbarten Informationen, nämlich der Nachname des Klägers und sein der Anrede zu entnehmendes Geschlecht, sowie die aus der Nachricht herauslesbaren Angaben, insbesondere die Tatsache eines laufenden Bewerbungsprozesses bei der Beklagten, stellen persönliche Informationen dar. Auch die Gehaltsvorstellung des Klägers, die sich aus der angegebenen Gehaltsobergrenze der Beklagten rückschließen lässt, stellt eine sachliche Information dar. Dabei kann die Angabe „80k + variable Vergütung" nicht mit Angaben in einer Stellenanzeige gleichgesetzt werden, wie es die Berufung meint. Eine dahingehende Interpretation lässt den Kontext der Nachricht außer Acht. Dort wird ausdrücklich erwähnt, dass die Gehaltsvorstellungen des Klägers nicht erfüllt werden können und im Anschluss äußert die Beklagte ihrerseits eine Gehaltsobergrenze. Aus diesen beiden Angaben lassen sich Rückschlüsse auf die Gehaltsvorstellungen des Klägers ziehen.
Auch die Identifizierbarkeit ist zu bejahen. Dies gilt auch dann, wenn der Nachname häufig vorkommen sollte. Sofern die Beklagte einwendet, das Landgericht habe die Anlage B 3 und die darin aufgeführten weiteren Nutzer der Plattform Xing mit gleichem Nachnamen nicht hinreichend gewürdigt, verhilft dies der Berufung nicht zum Erfolg. Insoweit kann als zutreffend unterstellt werden, dass auf der Plattform Xing mehrere Personen den Nachnamen des Klägers tragen, dies hindert jedoch die Identifizierbarkeit nicht. Es ist insbesondere nicht erforderlich, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden (vgl. EuGH, Urteil vom 20. Dezember 2017 - Rs. C- 434/16, NJW 2018, 767, Nowak). Der Nachname ist ein gängiges Identifikationsmerkmal, es ist nicht erforderlich, dass die Identifikation „zweifelsfrei" ermöglicht wird, eine dahingehende Voraussetzung, die die Beklagte postulieren will, besteht nicht, da eine solche Einschränkung dem Text der Verordnung nicht zu entnehmen ist. Zudem ist es vorliegend dem Dritten unmittelbar gelungen, den Kläger zu identifizieren, da er sich nach Erhalt der Nachricht direkt an diesen gewandt hat. Auf die Frage, ob dem Adressaten der Nachricht die Identifikation des Klägers aufgrund der übermittelten Angaben möglich war, oder ob er, wie es die Berufung meint, auf dessen Antwort angewiesen war, kommt es für die Qualifikation als „personenbezogene Daten" i.S. d. Art. 4 Nr. 1 DS-GVO nicht an (zu Namensangaben: BGH, Urteil vom Oktober 2021 - VI ZR 489/19 -, Rn. 26, juris; zu Name, Geschlecht, Religion und Sprache: EuGH, Urteil vom 17.07.2014 - Rs. C-141/12, Rs. C-372/12, CR 2015, 103, 104).
Die Versendung einer Nachricht, fällt, sofern sie - wie hier - personenbezogene Daten enthält, in den sachlichen Anwendungsbereich der Datenschutz Grundverordnung (Art. 2 Abs. 1 DS-GVO).
Die Beklagte ist verantwortliche Stelle für die Verarbeitung von Daten und damit "Verantwortlicher" im Sinne von Art. 4 Nr. 7 DS-GVO (Ernst in: Paal/Pauly, a.a.O., Art. 4 Rn. 55).
Indem die Beklagte die Daten im Rahmen des Bewerbungsverfahrens erhebt, erfasst, ordnet, speichert und gegenüber Dritten offenlegt, "verarbeitet" sie diese Daten im Sinne von Art. 4 Nr. 2 DS-GVO. Danach ist eine „Verarbeitung" jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Die Übermittlung der Nachricht mit den enthaltenen personenbezogenen Daten des Klägers an einen unbeteiligten Dritten stellt eine Verarbeitung seiner Daten in Form der beispielhaft genannten „Offenlegung durch Übermittlung" dar.
Die Berufung wendet ein, es handele sich vorliegend nicht um eine Verarbeitung, da mit dem versehentlichen „Klick", mit dem die Nachricht an den falschen Empfänger geschickt wurde, eine manuelle Handlung vorgenommen worden sei. Ein solches manuelles Verklicken stelle bereits keinen „Vorgang" im Sinne des Art. 4 Nr. 2 DS-GVO dar. Dies ist abzulehnen, da die Legaldefinition auch Vorgänge ohne Hilfe automatisierter Verfahren benennt und damit das manuelle Handeln ausdrücklich einschließt.
Auch die Versendung an einen zufälligen Adressaten schadet dabei nicht. Insoweit hat der Europäische Gerichtshof mit Urteil vom 25.11.2021 zu Inbox-Werbung klargestellt, dass eine „Verwendung elektronischer Post für die Zwecke der Direktwerbung" im Sinne der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) darstellt, ohne dass die Bestimmung der Empfänger dieser Nachrichten nach dem Zufallsprinzip von Bedeutung ist (EuGH, Urteil vom 25. November 2021 - C-102/20 -, juris). Dies gilt für die hier maßgebliche Nachricht in gleicher Weise.
Die Verarbeitung der personenbezogenen Daten des Klägers durch Versendung an einen in das Bewerbungsverfahren nicht eingebundenen Dritten war unrechtmäßig und insbesondere nicht von einer Einwilligung des Klägers erfasst. Durch den Umstand des Bewerbungsverfahrens hat der Kläger weder in die Verarbeitung seiner personenbezogenen Daten durch Offenlegung gegenüber Dritten gemäß Art. 6 Abs. a) DS-GVO eingewilligt noch sind die in Art. 6 b) bis f) genannten Voraussetzungen, etwa die Notwendigkeit der Weitergabe im Bewerbungsverfahren, diesbezüglich gegeben.
Auch die für eine Begründetheit des Unterlassungsanspruchs erforderliche Wiederholungsgefahr ist gegeben. Im Umfang des vorliegenden Datenschutzverstoßes besteht insofern eine tatsächliche Vermutung (Grüneberg/Herrler, BGB 81. Aufl., § 1004, Rn. 32), welche die Beklagte nicht widerlegt hat. Denn insofern vertritt sie weiterhin die Auffassung, dass es sich nicht um einen Datenschutzverstoß handelte, keine persönlichen Daten offenbart wurden und eine Unterlassungserklärung im Umfang des Klageantrages von ihr nicht geschuldet ist (ebenso: OLG Dresden, Urteil vom 14. Dezember 2021 - 4 U 1278/21 -, Rn. 47, juris).
Soweit der Klageantrag auch Daten erfasst, die nicht Gegenstand der Nachricht vom 23.10.2018 waren, ergibt sich die insofern erforderliche Erstbegehungsgefahr aus dem unstreitigen bzw. bewiesenen Sachverhalt. Denn die Beklagte beruft sich auf ein fahrlässiges „Verklicken" einer Mitarbeiterin im Rahmen der Kommunikation über Xing. Eine bewusste Auswahl hinsichtlich der weitergegebenen Daten erfolgte hierbei nicht, da die Weiterleitung an Herrn A ja unbeabsichtigt geschah und die Mitarbeiterin, Frau D, meinte, die Nachricht an den Kläger zu senden, was datenschutzrechtlich unbedenklich gewesen wäre. Solange die Beklagte nichts unternimmt, Fehler dieser Art künftig zu vermeiden, besteht daher die Gefahr entsprechender Datenschutzverstöße. Soweit hierbei andere von dem Kläger über Xing mitgeteilte Daten betroffen sind, besteht eine erstmals ernsthaft drohende Beeinträchtigung, was für eine Unterlassungsanspruch ausreichend ist (Grüneberg/Herrler, a.a.O.).
Mangels hinreichender Unterlassungserklärung, der es im Regelfall zur Widerlegung der Wiederholungs- bzw. der Erstbegehungsgefahr bedarf (OLG München, Urteil vom 19.1.2021 - 18 U 7243/19, Rn. 63 juris), besteht diese fort. Zwar lässt eine (ordnungsgemäße) Unterlassungsverpflichtungserklärung auch ohne Annahme durch den Gläubiger die Wiederholungsgefahr grundsätzlich entfallen; hierzu muss die Erklärung den Unterlassungsanspruch nach Inhalt und Umfang aber voll abdecken (BGH, Urteil vom 21.6.2005. VI ZR 122/04, Rn. 6, juris m.w.N.). Dies ist jedoch nicht der Fall, denn die strafbewehrte Unterlassungserklärung vom 4.3.2019 (Anlage K 5, Bl. 29 d.A.) beschränkte sich auf den genauen Wortlaut der streitgegenständlichen Nachricht. Vor neuen Verletzungshandlungen schützt sie daher nicht in ausreichender Weise.
Der Kläger muss nämlich insgesamt vor der rechtswidrigen Weitergabe seiner personenbezogenen Daten geschützt werden. Diese Gefahr besteht nicht nur im Hinblick auf die konkrete Nachricht, sondern auch hinsichtlich der Weitergabe seiner Angaben an Dritte in vergleichbarer Weise. Da die Begrenzung der Unterlassungserklärung auf den konkreten Wortlaut der Nachricht zu eng gefasst ist, ist die Berufung hinsichtlich des Unterlassungsanspruchs unbegründet.
Dass der konkrete Verstoß mit gleichem Wortlaut erneut erfolgen könnte, liegt angesichts der Individualität der Nachricht fern. Vergleichbare Verstöße hingegen, die bei nicht ausreichend sorgsamen Umgang mit persönlichen Daten drohen könnten, sind nicht ausgeschlossen. Sofern die Berufung einwendet, eine Wiederholung sei ausgeschlossen, da es sich um ein Augenblicksversagen einer Mitarbeiterin gehandelt habe, ist dies für die Bewertung der Wiederholungsgefahr nach Auffassung des Senats nicht der entscheidende Gesichtspunkt. Es obliegt der Beklagten als Verantwortliche für die von ihr verarbeiteten personenbezogenen Daten, ihre Mitarbeiter im Umgang ausreichend zu schulen (so auch: Golland, DSB 2020, 286-288; Gündel, Grundeigentum 2021, 1109-1111) sowie ggf. durch technische Maßnahmen vorhersehbare Fehlanwendungen zu vermeiden.
Insoweit hat das Landgericht richtigerweise Beweis erhoben durch Vernehmung des Zeugen E zu den seitens der Beklagten im Zusammenhang mit dem Rechtsverstoß ergriffenen Maßnahmen. Es ist dabei zu der Überzeugung gelangt, dass keine Schulungsmaßnahmen oder anderweitige Vorkehrungen von der Beklagten hinsichtlich der betreffenden Mitarbeiterin oder deren Kollegen veranlasst worden sind, die mit der notwendigen Sicherheit etwaige künftige Rechtsverstöße vermeiden und damit die Vermutung widerlegen könnten. Das Landgericht hat festgestellt, dass der Zeuge nicht bestätigen konnte, dass alle relevanten Mitarbeiter hinsichtlich des Umgangs mit personenbezogenen Daten geschult worden seien. Zwischen der streitgegenständlichen Nachricht und der Benachrichtigung des Zeugen lag ein Zeitraum von mehr als sechs Wochen, so dass auch eine unverzügliche Reaktion auf den Datenschutzverstoß seitens der Beklagten nicht festgestellt werden konnte. Zudem hat die Beweisaufnahme ergeben, dass neue Mitarbeiter der Beklagten nicht im Hinblick auf die Problematik geschult werden, sondern lediglich eine Erklärung abgeben müssen, dass sie die Datenschutzbestimmungen einhalten werden.
Der Senat teilt die Einschätzung des Landgerichts, wonach diese Maßnahmen nicht ausreichen, um eine Wiederholungsgefahr auszuschließen. Denkbar wären Schulungsmaßnahmen zwecks Sensibilisierung der Mitarbeiter hinsichtlich konkreter Fehlerquellen oder die Vorgabe anderer Kommunikationswege als die direkt über das Portal Xing zugeleitete Nachricht, die ein hohes Risiko der Falschadressierung birgt. Die Berufung greift die Feststellungen des Landgerichts zum Ergebnis der durchgeführten Beweisaufnahme nicht an.
Die Wiederholungsgefahr entfällt schließlich auch nicht teilweise im Umfang der abgegebenen Erklärung. Zwar sind - im Falle einer sachlich teilbaren Wiederholungsgefahr - Teilunterwerfungserklärungserklärungen möglich (BGH, Urteil vom 21.6.2005, a.a.O). Dies ist vorliegend jedoch nicht in relevanter Weise gegeben. Denn ein nochmaliges Versenden der gleichen Nachricht, was allein Gegenstand der abgegebenen Unterlassungserklärung ist, steht nicht in Rede. Zwar sind Unterlassungserklärungen der Auslegung zugänglich. Eine Auslegung dahingehend, dass die Beklagte sich strafbewehrt zur Unterlassung jeder künftigen Verletzung der in der Nachricht vom 23.10.2018 gegenständlichen Daten (Nachname, Geschlecht, Umstand der Bewerbung, Gehaltsvorstellung) verpflichtet hat, lässt sich dieser aufgrund des ausdrücklich eng beschränkten Wortlauts jedoch nicht entnehmen. Hiergegen spricht zudem die von der Beklagten nach wie vor vertretenen Auffassung, es liege überhaupt kein Datenschutzverstoß vor und sie dürfe die genannten Daten daher weiterverarbeiten.
Die Geltendmachung des Anspruchs innerhalb eines angemessenen Zeitraums nach dem Verstoß ist nicht zu beanstanden. Das Abwarten des Bewerbungsprozesses ist nicht rechtsmissbräuchlich. Der Anspruchsinhaber darf die Durchsetzung seines Rechts zunächst zurückstellen, ohne dass die sich anschließende Geltendmachung als missbräuchlich darstellt. Die Enttäuschung über die Nichtberücksichtigung im Bewerbungsverfahren mag für die Geltendmachung des Unterlassungsanspruchs mitursächlich sein, den Einwand des Rechtsmissbrauchs vermag sie nicht auszulösen.
Im Hinblick auf den zugesprochenen Schadenersatzanspruch hat die Berufung der Beklagten Erfolg, zugleich ist der Anschlussberufung des Klägers der Erfolg zu versagen, da die Zahlungsklage unbegründet ist.
Dem Kläger steht kein Anspruch aus Art. 82 DS-GVO gegen die Beklagte auf Ersatz des von ihm geltend gemachten immateriellen Schadens im Zusammenhang mit der rechtswidrigen Datenverarbeitung zu.
Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, Art. 82 Abs. 2 Satz 1 DSGVO. Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist, Art. 82 Abs. 3 DSGVO.
Die Voraussetzungen für einen Geldentschädigungsanspruch in Bezug auf einen dem Kläger zugefügten immateriellen Schaden liegen nach Auffassung des Senats nicht vor, da es jedenfalls an der Darlegung des Eintritts eines Schadens bei dem Kläger fehlt.
Zwar liegt, wie ausgeführt, ein Verstoß durch Übermittlung von personenbezogenen Daten an einen unbeteiligten Dritten vor. Zudem ist das Landgericht auch richtigerweise zusätzlich von einem Verstoß gegen Art. 34 Abs. 1 DS-GVO ausgegangen und hat ein durch die Verletzung des Schutzes personenbezogener Daten voraussichtlich hohes Risiko für die persönlichen Rechte und Freiheiten angenommen. Die Information des Klägers über den Datenschutzverstoß erfolgte nicht unverzüglich, sondern erst auf dessen Nachfrage.
Die Frage, ob bereits der Datenschutzverstoß als solcher für das Entstehen eines Schadensersatzanspruchs ausreicht oder es darüber hinaus der Darlegung und des Nachweises eines konkreten (auch: immateriellen) Schadens bedarf, ist in Rechtsprechung und Literatur umstritten (für ein Ausreichen des Eingriffs in das allgemeine Persönlichkeitsrecht: z.B. OLG München, Urteil vom 4.2.2019 - 15 U 3688/18 -, juris, Rn. 19 ff., Ehmann/Selmayr/Nemitz, Datenschutz-Grundverordnung, 2. Aufl., Art. 82 DS-GVO Rn. 11-13; für das Erfordernis eines nachgewiesenen Schadens z.B. LAG Baden-Württemberg, Urt. v. 25.02.2021, 17 Sa 37/20, zit. nach juris, Rn. 96, LG Karlsruhe, Urt. v. 02.08.2019, 8 O 26/19, zit. nach juris, Rn. 19, Ernst, juris PR-ITR 1/2021 Anm. 6 in einer Anmerkung zu dem vorliegend angefochtenen Urteil des Landgerichts Darmstadt v. 26.05.2020, 13 O 244/19, m.w.N.). Insbesondere von den Verfechtern eines Anspruchs ohne Nachweis eines konkreten Schadens wird zudem vertreten, dass die Beeinträchtigung über eine bloße Bagatellverletzung hinausgehen muss (vgl. hierzu die Quellenangaben bei Ernst, a.a.O.).
Sowohl der österreichische Oberste Gerichtshof (Vorabentscheidungsersuchen vom 12.05.2021, ZD 2021, S. 631, wobei der Gerichtshof die Auffassung vertritt, es sei der Nachweis eines Schadens erforderlich) als auch das Bundesarbeitsgericht (Vorabentscheidungsersuchen vom 26.08.2021, 8 AZR 253/20-A, wobei das BAG den Nachweis eines Schadens nicht für notwendig hält) haben die hiermit zusammenhängenden Fragen dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt.
Der Senat folgt im Ergebnis der Auffassung, wonach über den festgestellten Verstoß gegen die Vorschriften des DS-GVO hinaus Voraussetzung für eine Entschädigung in Geld der Nachweis eines konkreten (auch immateriellen) Schadens ist. Hierfür spricht zunächst bereits der Wortlaut von Art. 82 Abs. 1 DS-GVO, der über den Verstoß hinaus ausdrücklich die Entstehung eins Schadens („...Schaden entstanden ist") voraussetzt (Eichelberger, WRP 2021, 159-167; Wybitul/Brams, ZD 2020, 644-646). Hätte der Verordnungsgeber eine nur an den Rechtsverstoß anknüpfende, vom Nachweis eines konkreten Schadens unabhängige Zahlungspflicht anordnen wollen, hätte es demgegenüber nahegelegen, dies - wie z.B. im Luftverkehrsrecht gem. Art. 7 Abs. 1 FluggastrechteVO (EG) 261/2004 - durch Pauschalen zu regeln (Eichelberger, aaO. Rn. 24). In dem Erwägungsgrund 146 S. 3 zu der DS-GVO heißt es zwar, dass der Begriff des Schadens im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden soll, die den Zielen der Verordnung in vollem Umfang entspricht. Der Anspruch soll nach Erwägungsgrund 146 S. 6 sicherstellen, dass die betroffenen Personen einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Das schließt ein, dass Schadensersatzforderungen abschrecken und weitere Verstöße unattraktiv machen sollen. Der Begriff des Schadens in Art. 82 DSGVO ist autonom auszulegen, mithin kommt es nicht darauf an, ob ein bestimmter Schaden nach nationalem Recht als Schaden angesehen werden könnte (Bergt in: Kühling/Buchner, DS-GVO BDSG, 3. Aufl. 2020, Art. 82 Rn. 17; vgl. in diesem Zusammenhang auch: BVerfG 14.1.2021 - 1 BvR 2853/19 - Rn. 20, juris).
Auch hiernach ist der Schaden jedoch nicht mit der zugrundeliegenden Rechtsgutsverletzung gleichzusetzen. Denn ausdrücklich muss der Schaden „erlitten" werden, woraus folgt, dass dieser tatsächlich entstanden sein muss und nicht lediglich befürchtet wird (LAG Baden-Württemberg, Urte. v. 25.02.2021, 17 Sa 37/20, zit. nach juris, Rn. 96 unter Bezug auf Frenzel in: Paal/Pauly, a.a.O., Art. 82, Rn. 10 und Klein GRUR-Prax 2020, 433). Der bloße Verstoß gegen Bestimmungen der DS-GVO reicht daher nicht aus.
Hinzu kommt schließlich, dass weder Art. 82 DS-GVO noch dessen Erwägungsgründe einen Hinweis darauf enthalten, dass geringfügige (Bagatellschäden) nicht auszugleichen wären; vielmehr sieht Erwägungsgrund 148 Satz 2 vor, dass lediglich ausnahmsweise bei geringfügigen Verstößen auf die Verhängung einer Geldbuße verzichtet werden kann (LAG Baden-Württemberg, a.a.O. m.w.N.).
Das Erfordernis des Nachweises eines tatsächlich erlittenen Schadens ist daher auch der Sache nach erforderlich, um ein vom Verordnungsgeber nicht gewolltes Ausufern von Schadensersatzforderungen in allen Fällen eines - tatsächlich für den Betroffenen folgenlosen - Datenschutzverstoßes zu vermeiden (so insbesondere auch Ernst, a.a.O.).
Das Vorliegen eines konkreten -immateriellen- Schadens, wozu auch Ängste, Stress sowie Komfort- und Zeiteinbußen zählen (Bergt in: Kühling/Buchner, DS- GVO BDSG, 3. Auflage 2020, Rn. 18 b), hat der Kläger nicht dargetan. Der Vortrag in seinem auf einen entsprechenden Hinweis des Senats eingereichten Schriftsatz vom 11.1.2022 (Bl. 326 ff. d. A.) erschöpft sich in der - erneuten- Darlegung des Datenschutzverstoßes. Insofern führt der Kläger an, dass der Schaden nicht in dem bloßen, abstrakten Kontrollverlust über die offenbarten Daten, sondern in der Tatsache liege, dass nunmehr mindestens eine weitere Person, die den Kläger und potentielle wie ehemalige Arbeitgeber kenne, über Umstände Kenntnis habe, die der Diskretion unterlägen. Zudem empfinde der Kläger das „Unterliegen" in den Gehaltsverhandlungen als Schmach, die er nicht an Dritte - vor allem nicht an potentiellen Konkurrenten - weitergegeben hätte.
Nähere Ausführungen zu einem Schaden erfolgen klägerseits nicht. Selbst bei Unterstellung einer „Schmach", vermag der Senat diese nicht als einen immateriellen Schaden zu bewerten. Denn der Kläger hat schon nicht mitgeteilt, welche Größenordnung des Gehaltsrahmens angestrebt, ob die angebotene Summe, die durch variable Anteile ohnehin nicht die Obergrenze bildete und im noch laufenden Bewerbungsverfahren vorläufig war, mit einer Diskreditierung verbunden war.
Dem Kläger steht ein Anspruch auf Erstattung vorgerichtlicher Rechtsanwaltskosten aus dem Gegenstandswert der berechtigt geltend gemachten Unterlassungsansprüche und damit aus der Gebührenstufe bis 15.000,- € zu. Die Hinzuziehung eines Rechtsanwalts war notwendig, da es sich um schwierige Rechtsfragen handelt, für deren Klärung eine anwaltliche Beratung erforderlich ist. Der Anspruch beläuft sich gemäß §§ 2 Abs. 2, 13 RVG Nr. 2300 VV RVG auf 1.029,35 €. Da die Anschlussberufung den erstinstanzlich zuerkannten Betrag von 1.025,55 € nicht angreift, hat es bei diesem zu verbleiben.
Entgegen der Ansicht der Beklagten ist der Senat nicht gehalten, das vorliegende Verfahren auszusetzen und die Sache dem EuGH zur Vorabentscheidung nach Art. 267 Abs. 2, 1 AEUV über die Auslegung von Art. 15 DS-GVO vorzulegen.
Die hier maßgeblichen Rechtsfragen liegen dem EuGH bereits in anhängigen Verfahren (BAG, EuGH-Vorlage vom 26. August 2021 - 8 AZR 253/20 (A) -, Rn. 33, juris; Vorabentscheidungsersuchen des Obersten Gerichtshofs (Österreich) eingereicht am 12. Mai 2021 - juris) vor. Zudem besteht eine Pflicht zur Vorlage nach Art. 267 Abs. 3 AEUV im vorliegenden Verfahren schon deshalb nicht, weil das vorliegende Urteil hier nicht als Entscheidung eines Gerichts ergeht, dessen Entscheidungen selbst im Sinne von Art. 267 Abs. 3 AEUV nicht mehr mit Rechtsmitteln des innerstaatlichen Rechts angefochten werden können. Dem Kläger steht es infolge der diesbezüglich zuzulassenden Revision - dazu unten - frei, die Entscheidung durch den Bundesgerichtshof überprüfen zu lassen (s. OLG Köln, Urteil vom 26. Juli 2019 - I-20 U 75/18 -, Rn. 328, juris).
LAG Berlin-Brandenburg
Urteil vom 18.11.2021 10 Sa 443/21
Das LAG Berlin-Brandenburg hat dem Betroffenen in diesem Fall 2.000 EURO Schadensersatz aus Art. 82 DSGVO wegen verspäteter bzw. unvollständiger Auskunft nach Art. 15 DSGVO zugesprochen.
Aus den Entscheidungsgründen: Die Berufung des Klägers ist aber nur teilweise begründet.
Zutreffend hat die Beklagte in der Berufungserwiderung die jeweiligen Prüffragen für den geltend gemachten Anspruch aufgeworfen.
1. Liegt ein Verstoß gegen Art. 15 DSGVO vor?
2. Ist die Beklagte für einen etwaigen Verstoß verantwortlich?
3. Ist beim Kläger ein Schaden entstanden?
4. Gibt es eine Kausalität zwischen einem etwaigen Verstoß der Beklagten gegen Art. 15 Abs. 1 DSGVO und einem etwaigen beim Kläger eingetretenen Schaden?
5. Trifft den Kläger ein etwaiges Mitverschulden bzw. ist der etwaige Anspruch verwirkt oder rechtsmissbräuchlich geltend gemacht?
6. Ist ggf. die geltend gemachte Entschädigungssumme angemessen?
1. Nach Art. 15 Abs. 1 DSGVO hat der Kläger grundsätzlich das Recht, von der Beklagten eine Bestätigung darüber zu verlangen, ob sie ihn betreffende personenbezogene Daten verarbeitet und ggf. auf Auskunft über diese personenbezogenen Daten und u.a. auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
Diese Informationen hat die Beklagte dem Kläger nur teilweise erteilt.
2. Es mag sein, dass die Beklagte große Mengen Daten über den Kläger verarbeitet hat. Konkrete Angaben dazu hat die Beklagte nicht gemacht. Anders als das Arbeitsgericht meint, ist das in diesem Fall aber auch unerheblich, da der Kläger keine generelle Auskunft hinsichtlich der von der Beklagten über ihn gespeicherten Daten verlangt hat, sondern beschränkt auf zwei Sachverhalte.
2.1 Zum einen ging es um die Anhörung des Betriebsrates und dessen Zustimmung. Durch die Bezugnahme auf Art. 15 DSGVO war aber in jedem Fall klar und eindeutig, dass der Kläger nicht nur um das Anhörungsschreiben der Arbeitgeberin und das Antwortschreiben des Betriebsrates ging, sondern zugleich auch um die in der Vorschrift genannten weiteren Aspekte. Mit der erteilten Auskunft durch Übersendung der beiden Schreiben hat die Beklagte allenfalls die Auskunftspflicht nach Art. 15 Abs. 1 a) und b) DSGVO erfüllt. Den weitergehenden Anspruch nach Buchst. c) bis g) hat die Beklagte mit ihrer Antwort vom 23. August 2019 offensichtlich nicht erfüllt.
Weder hat die Beklagte mitgeteilt, ob und ggf. gegenüber welchen Personen oder Stellen sie den Versetzungsvorgang offengelegt hat oder noch offenlegen werde noch wann bzw. nach welchen Kriterien eine Löschung der Daten erfolgen werde. Auch auf das Bestehen eines Rechts auf Berichtigung oder Löschung der den Kläger betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch die Beklagte oder eines Widerspruchsrechts gegen diese Verarbeitung und das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde hat die Beklagte nicht hingewiesen. Da die Daten offenbar nicht beim Kläger erhoben worden waren, hätte es auch einer Information über die Herkunft der Daten bedurft, also wer jeweils an dem Vorgang beteiligt war.
2.2 Zum anderen ging es um die Abmahnung vom 29. Mai 2019. Auch hier hat die Beklagte durch die Übersendung des Antrags des Herrn A auf Erteilung einer Abmahnung und dem sogenannten Logbuch-Eintrag allenfalls die Auskunftspflicht nach Art. 15 Abs. 1 a) und b) DSGVO erfüllt. Den weitergehenden Anspruch nach Buchst. c) bis g) hat die Beklagte mit ihrer Antwort vom 23. August 2019 auch zu diesem Vorgang offensichtlich nicht erfüllt.
Weder hat die Beklagte mitgeteilt, ob und ggf. gegenüber welchen Personen oder Stellen sie den Abmahnungsvorgang offengelegt hat oder noch offenlegen werde noch wann bzw. nach welchen Kriterien eine Löschung der Daten erfolgen werde. Auch auf das Bestehen eines Rechts auf Berichtigung oder Löschung der den Kläger betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch die Beklagte oder eines Widerspruchsrechts gegen diese Verarbeitung und das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde hat die Beklagte den Kläger nicht hingewiesen. Da die Daten offenbar nicht beim Kläger erhoben worden waren, hätte es auch einer Information über die Herkunft der Daten bedurft, also wer jeweils an dem Vorgang beteiligt war.
3. Dass diese Informationen fehlen, ist offensichtlich. Denn durch einen einfachen Blick in den Text des Art. 15 Abs. 1 DSGVO hätte die Beklagte feststellen können, was der Kläger von ihr verlangt. Insofern ist die Beklagte auch für die unzureichende Information und damit den Verstoß gegen Art. 15 Abs. 1 DSGVO verantwortlich.
4. Wie der Kläger zutreffend ausgeführt hat, liegt bei ihm ein Schaden vor. Unter Bezugnahme auf eine Entscheidung des LAG Niedersachsen vom 22. Oktober 2021 – 16 Sa 761/20 besteht unabhängig von dem Erreichen einer Erheblichkeitsschwelle bei Verstößen gegen Regelungen der DSGVO ein immaterieller Schadensersatzanspruch. Hierbei ist zu berücksichtigen, dass gerade ausgehend von Erwägungsgrund 146 Satz 3 zur DSGVO eine weite Auslegung geboten ist, um den Zielen der Verordnung in vollem Umfang zu entsprechen. Hiermit wäre es unvereinbar, würde eine Schadensersatzpflicht nur bei erheblichen Rechtsverstößen eintreten, da dann eine Vielzahl von Fallgestaltungen denkbar wäre, in denen Betroffene trotz Verstößen gegen die Regelungen der DSGVO keine Kompensation erhielten. Ferner kann, um die Regelungen der DSGVO effektiv durchzusetzen, auch auf eine abschreckende Wirkung des Schadensersatzes abgestellt werden (vgl. EuGH 17. Dezember 2015 – C-407/14 – Rn. 44). Zudem sollen die betroffenen Personen nach Erwägungsgrund 146 Satz 3 einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten. Dass ein Schaden erlitten ist, ergibt sich nicht erst bei Überschreiten einer gewissen Erheblichkeitsschwelle - der Schwere der Pflichtverstöße und damit einhergehenden Beeinträchtigungen kann vielmehr effektiv auf Ebene der Höhe des Schadensersatzes begegnet werden.
Indem die Beklagte ihrer Auskunftsverpflichtung inhaltlich nicht hinreichend nachgekommen ist, hat der Kläger keine ausreichenden Kenntnisse über die Verarbeitung seiner personenbezogenen Daten erlangt. Insofern ist ein Kontrollverlust eingetreten und ihm wurde die Möglichkeit der Überprüfung der Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten unmöglich gemacht oder erschwert.
5. Die Kausalität zwischen der unzureichenden Auskunft der Beklagten und der Ungewissheit beim Kläger, welche Daten bei der Beklagten bezüglich der zwei konkret benannten Sachverhalte verarbeitet worden sind, liegt auf der Hand. Es bedurfte keines ergänzenden Auskunftsverlangens, da allein der Blick in den Verordnungstext ausreicht, um die Unvollständigkeit der Auskunft zu erkennen.
6. Der Anspruch des Klägers ist auch nicht verwirkt oder aus anderem Grunde rechtsmissbräuchlich geltend gemacht worden. Zwar ist es ungewöhnlich, dass der Kläger bereits mit der Klageschrift sein Schreiben vom 22. Juli 2019 und das Antwortschreiben der Beklagten vom 23. August 2019 eingereicht hat, ohne diesbezüglich einen Streitgegenstand hinsichtlich Art. 15 DSGVO zu eröffnen. Dadurch mag ein für die Verwirkung erforderliches Zeitmoment zwischen dem 23. August 2019 und dem 21. Dezember 2020 entstanden sein. Ein darüber hinaus erforderliches Umstandsmoment ist jedoch weder vorgetragen noch ersichtlich. Da sich die beiden Schreiben nicht nur mit Art. 15 DSGVO, sondern auch mit der Rückgängigmachung der Versetzung und der Entfernung der Abmahnung aus der Personalakte des Klägers beschäftigten, war es für eine vollständige Sachverhaltsdarstellung erforderlich, diese der Klageschrift beizufügen. Denn in der Klageschrift ging es zunächst (nur) um diese beiden Sachverhalte.
Angesichts des offensichtlich nicht vollständig erfüllten Auskunftsanspruchs bedurfte es entgegen der Ansicht der Beklagten auch keines Hinweises des Klägers, dass der Anspruch mit dem Schreiben vom 23. August 2019 nicht erfüllt sei.
7. Dem Kläger ist in Anbetracht der Pflichtverstöße der Beklagten nach richterlichem Ermessen gem. § 287 Abs. 1 ZPO ein immaterieller Schadensersatz in Höhe von 2.000,-- Euro zuzusprechen.
Die Schadensersatzansprüche sollen, worauf auch das LAG Niedersachsen in dem Urteil vom 22. Oktober 2021 – 16 Sa 761/20 unter Bezugnahme auf Entscheidungen anderer Gerichte hingewiesen hat, generell eine Abschreckungswirkung haben. Unter Berücksichtigung des Erwägungsgrundes 146 Satz 6 zur DSGVO soll die betroffene Person einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Verstöße müssen effektiv sanktioniert werden. Schadenersatz bei Datenschutzverstößen sollen eine abschreckende Wirkung haben, um der Datenschutzgrundverordnung zum Durchbruch zu verhelfen.
Gemessen an der Zweckrichtung des Schadensersatzes hält die Kammer unter Berücksichtigung und Abwägung der Umstände des vorliegenden Falls einen immateriellen Schadensersatz in Höhe von 1.000,-- Euro je unvollständig beantwortetem Auskunftsverlangen für angemessen. Hierbei ist zu berücksichtigen, dass die Auskunft der Beklagten offensichtlich unvollständig erfolgte. Auch nach der Klageerweiterung vom 21. Dezember 2020 hat die Beklagte die Auskunft nicht vervollständigt. Durch die unzureichende Auskunft hatte der Kläger keine umfassende Kenntnis über die Verarbeitung seiner personenbezogenen Daten durch die Beklagte bei zwei für ihn nachteiligen Sachverhalten (Versetzung und Abmahnung).
Durch einen Schadenersatz von jeweils 1.000,-- EUR wird ausreichend sichergestellt, dass durch die Zahlung eines spürbaren Betrages der Regelung des Art. 15 DSGVO zur Geltung verholfen wird und die Verpflichteten angehalten werden, die entsprechenden Maßgaben einzuhalten.
Das LG Hannover hat entschieden, dass dem Betroffenen 5.000 EURO immaterieller Schadensersatz aus Art. 82 DSGVO wegen eines unberechtigten Negativeintrags in einer Auskunftei zusteht. Der Betroffene hatte den Betreiber der Auskunftei verklagt.
Aus den Entscheidungsgründen:
A. Die Klage ist zulässig, insbesondere ist das Landgericht Hannover örtlich gemäß § 44 Abs. 1 BDSG zuständig.
B. Die Klage ist in Höhe eines Betrages von 5.000,00 € (nachfolgend zu 1.) nebst Verzugszinsen (nachfolgend zu 2.) sowie im Hinblick auf die Freistellung des Klägers von vorgerichtlichen Rechtsanwaltskosten in Höhe von 282,15 € (nachfolgend zu 3.) begründet. Im Übrigen ist die Klage abzuweisen (nachfolgend zu 4.).
Im Einzelnen:
1. Der Kläger kann von der Beklagten Schadensersatz in Höhe von 5.000,00 € aus Art. 82 Abs. 1 DSGVO verlangen.
a. Die von der Telekom veranlassten Negativeinträge vom 10.01.2018 haben den Kläger rechtswidrig in seinem allgemeinen Persönlichkeitsrecht verletzt.
Eine nicht von den Bestimmungen des zum Zeitpunkt des Negativeintrags insoweit noch maßgeblichen § 28a BDSG (Art 6 Abs. 1 Buchst, f DSGVO (i.V.m. § 31 BDSG n.F.) gilt gern, deren Art. 99 Abs. 2 ab dem 25.05.2018) gedeckte Übermittlung personenbezogener Daten stellt eine Verletzung des allgemeinen Persönlichkeitsrechts dar, das als sonstiges Recht im Sinne des § 823 Abs. 1 BGB Schutz genießt (BGH, Urteil vom 07.07.1983- III ZR 159/82-, Rn. 14, juris; OLG Düsseldorf, Urteil vom 12.09.2014- 1-16 U 7/14-, Rn. 5, juris). Nach §4 Abs. 1 BDSG a.F. ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur zulässig, soweit das BDSG oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat. Eine Einwilligung hat der Kläger nicht erteilt. Deswegen ist die Übermittlung der Daten aus dem Vertragsverhältnis zwischen dem Kläger und der Telekom an die Beklagte an § 28a BDSG a.F. zu messen. Vorliegend scheitert deren Zulässigkeit schon an der Voraussetzung des § 28a Abs. 1 Satz 1 Nr. 4 Buchst, a) BDSG a.F., weil sich nicht feststellen lässt, dass die Telekom den Kläger mindestens zweimal schriftlich gemahnt hat.
Die Darlegungs- und Beweislast für die Zulässigkeit der Übermittlung von Daten trägt grundsätzlich die übermittelnde Stelle (vgl. OLG Köln, Urteil vom 21.10.2014 - 1-15 U 107/14-, Rn. 59, juris; OLG Düsseldorf a.a.O., Rn. 5; LG Lüneburg, Urteil vom 14.07.2020- 9 O 145/19-, Rn. 31, 47) resp. vorliegend die Beklagte als die die Daten verarbeitende Stelle i.S.v. § 29 Abs. 1 Satz 1 Nr. 3 BDSG a.F. Im Übrigen beruft sich die Beklagte auf die Mahnungen als ihr günstige - weil sie zur Aufnahme des Negativeintrags in ihre Auskunftei berechtigende - Tatsache und trägt damit auch nach allgemeinen Grundsätzen die Last des Beweises (vgl. Arnold in: Erman, BGB, 16. Aufl. 2020, § 130 BGB, Rn. 33).
Soweit die Telekom Mahnungen an den Kläger unter dessen seinerzeit für ihn nicht mehr aktuelle Anschrift (nur noch) seiner Eltern gesandt hat, lässt sich deren Zugang beim Kläger unabhängig davon nicht feststellen, ob diese den Eltern des Klägers zugegangen sind. Der Kläger mag durch sein Verhalten, seine neue Adresse nicht an seine Vertragspartner mitgeteilt zu haben, eine Ursache dafür gesetzt haben, dass ihn die an ihn gerichtete Post und damit auch die Mahnungen nicht erreicht haben. Das ändert aber nichts daran, dass sich ein Zugang beim Kläger nicht feststellen lässt und ist für die Frage der Zulässigkeit der Datenverarbeitung zunächst ohne Belang. Nach dem Sinn und Zweck der in § 28 a Abs. 1 Satz 1 Nr. 4 Buchst, a) bis c) BDSG aufgestellten Erfordernisse reicht eine bloße Versendung von Mahnungen nicht aus; vielmehr ist grundsätzlich ein Zugang beim Betroffenen erforderlich, um die beabsichtigte Warnfunktion zu erfüllen und diesem so entweder einen Ausgleich der Forderung zu ermöglichen oder ihn in die Lage zu versetzen, Einwendungen gegen die Forderung zu erheben (vgl. BR-Drs. 548/08, S. 25 f.); dabei obliegt auch allein dem Absender der Nachweis eines Zugangs von ihm versandter Schreiben, der das durch es ein geeignetes Versandverfahren sicher stellen könnte; das wäre im Hinblick auf die Folgen einer negativen Eintragung im Hinblick auf die Kreditwürdigkeit des Betroffenen auch ohne weiteres zumutbar und der Mahnende trägt das Risiko, wenn er sich so der Möglichkeit des Nachweises begibt; auch ein Anscheinsbeweis greift insofern grundsätzlich nicht ein, weil es vielfache Ursache dafür geben kann, dass ein Schreiben den Empfänger nicht erreicht (vgl. OLG Köln, a.a.O., Rn. 59, juris).
b. Die Beklagte hat gegen Art. 6 Abs. 1 DSGVO durch die nicht im Sinne der Vorschrift rechtmäßige Datenverarbeitung verstoßen, weil diese gemessen an §§ 28a Abs. 1 Nr. 4 Buchst, a), 29 Abs. 1 Satz 1 Nr. 3 BDSG a.F. bzw. § 31 Abs. 2 Nr. 4 Buchst, a) BDSG n.F. (auch wenn diese Neufassung nicht mehr die Übermittlungsvoraussetzungen definiert, sondern nur Anforderungen an den Datenkranz, der für die Ermittlung von Wahrscheinlichkeitswerten verwendet werden darf, so werden dadurch die Übermittlungsvoraussetzungen doch zumindest mittelbar bestimmt und in gewisserWeise durch den Gesetzgeber fortgeschrieben, vgl. Kamlah in: Plath, DSGVO/BDSG, 3. Aufl. 2018, §31 BDSG, Rn. 49) mangels (nachgewiesener) Mahnungen des Klägers durch die Telekom nicht rechtmäßig war.
c. Soweit der Kläger mithin in seinem Persönlichkeitsrecht verletzt ist, bedarf es keiner Feststellung, dass es sich dabei um eine schwerwiegende handelt.
Anders als für die Zubilligung eines Schmerzensgeldes nach §§ 823 Abs. 1, 249, 253 BGB, Art 1 und 2 GG wird eine solche von Art. 82 GG nicht vorausgesetzt (vgl. (BeckOK DatenschutzR/Quaas, 38. Ed. 1.11.2021, DS-GVO Art. 82 Rn. 32; Gola DS-GVO/Gola/Piltz, 2. Aufl. 2018, DS-GVO Art. 82 Rn. 13; LG Hamburg, Urteil vom 04.09.2020 - 324 S 9/19 -, Rn. 34, juris; LG Lüneburg, a.a.O., Rn. 55, juris).
d. Die Beklagte hat auch schuldhaft gehandelt.
Ein solches Verschulden ist - wie nach Auffassung der Kammer schon Art. 82 Abs. 3 DSGVO zeigt - auch im Rahmen einer Haftung nach Art. 82 DSGVO erforderlich und wird zunächst mit der Möglichkeit einer Exkulpation vermutet (vgl. OLG Stuttgart, Urteil vom 31.03.2021 - 9 U 34/21 -, Rn. 43, juris; LG Karlsruhe, Urteil vom 02.08.2019- 8 O 26/19-, Rn. 15, juris; Gola DS-GVO, a.a.O., Rn. 9; BeckOK DatenschutzR, a.a.O., Rn. 17; a.A. wohl: BAG, EuGH-Vorlage vom 26.08.2021 - 8 AZR 253/20 (A) -, Rn. 39, juris).
Daran gemessen traf die Beklagte zunächst nicht der Vorwurf eines schulhaften Verhaltens, weil ihr die Prüfung der Voraussetzung der Übermittlung in § 28a Abs. 1 Satz 1 Nr. 4 Buchst, a) BDSG a.F. zunächst nicht oblag (vgl. LG Stuttgart Urt. v. 15.05.2002 - 21 O 97/01, BeckRS 2002, 31212889, beck-online). Die Beklagte musste mithin nicht ohne irgendeinen Anhaltspunkt überprüfen, ob der Kläger nach Eintritt der Fälligkeit der Forderung der Telekom mindestens zweimal schriftlich gemahnt worden war, sondern durfte sich vielmehr darauf verlassen, dass die Telekom als übermittelnde Stelle das getan hatte.
Die Beklagte hatte dann aber Anlass zur Prüfung dieser Frage, nachdem ihr der Kläger im April 2019 mitgeteilt hatte, dass er nicht gemahnt worden sei, die Voraussetzungen für die Negativeinträge also - jedenfalls aus seiner Sicht - nicht Vorlagen. Soweit sie mangels der Kenntnis der Problematik der Mahnungen und ihres Zugangs beim Kläger deswegen bis dahin i.S.v. Art. 82 Abs. 3 DSGVO exkulpiert war und (noch) nicht schuldhaft handelte, gelingt ihr das für die Zeit ab April 2019 nicht mehr und das Verschulden der Beklagten seitdem ist zu vermuten. Die Beklagte hatte ab April 2019 Anlass, die Frage der Rechtmäßigkeit zu prüfen. Die ihr obliegende Sorgfalt hätte das auch erfordert und die Beklagte handelte seitdem mindestens fahrlässig, solange sie das nicht tat.
e. Der Kläger hat auch einen immateriellen Schaden erlitten.
Es kann dahinstehen, ob auch unter Berücksichtigung des weiten Schadensbegriffs (vgl. Erwägungsgrund 146) nicht bereits jeder Verstoß gegen die DSGVO zu einer Ausgleichspflicht führt, weil der Verpflichtung zum Ausgleich eines immateriellen Schadens eine benennbar und insoweit tatsächliche Persönlichkeitsverletzung gegenüberstehen muss (LG Hamburg, a.a.O.-, Rn. 33 f., juris). Denn jedenfalls eine in einer unrechtmäßigen Zugänglichmachung von Daten liegenden "Bloßstellung" stellt eine solche dar (vgl. LG Hamburg, a.a.O.; LG Karlsruhe, a.a.O., Rn. 19, juris; LG Lüneburg, a.a.O., Rn. 55; Ehmann/Selmayr/Nemitz, DS-GVO, 2. Auflage, Art. 82 Rn. 13).
Die Beklagte hat daran gemessen, die mit den Negativeinträgen verbundenen Daten ihren Vertragspartnern zum Abruf bereit- und schon dadurch den Kläger "bloßgestellt". Bei der Beklagten handelt es sich um eine Schutzgemeinschaft für allgemeine Kreditsicherung, ein Warnsystem der Kreditwirtschaft, dessen Aufgabe es ist, ihren Vertragspartnern Informationen zur Verfügung zu stellen, um sie vor Verlusten im Kreditgeschäft mit natürlichen Personen zu schützen (vgl. dazu OLG Düsseldorf, Urteil vom 13.02.2015- 1-16 U 41/14-, Rn. 28, juris). Innerhalb dieses Systems hat die Beklagte die Daten nicht nur zur Verfügung gestellt, sie wurden ausweislich der Auskunft vom 04.03.2021 auch mehrfach und sowohl im Kontext privater Anfragen als auch bezogen auf die Tätigkeit des Klägers als Inhaber einer Physiotherapiepraxis abgerufen. Darauf, ob die Negativeinträge auch dazu führten, dass dem Kläger kein Kredit oder ein solcher zu anderen (schlechteren) Bedingungen gewährt wurde als er ohne die Einträge gewährt worden wäre, kommt es indes für den immateriellen Ersatzanspruch nicht an.
f. Die Verletzung des Persönlichkeitsrechts des Klägers rechtfertigt und erfordert die Zahlung eines Schmerzensgeldes in Höhe von 5.000,00 €.
aa. Für den immateriellen Schadensersatz nach Art. 82 DSGVO gelten die im Rahmen von § 253 BGB entwickelten allgemeinen Grundsätze (BeckOK DatenschutzR/Quaas, a.a.O., Rn. 31; Gola DS-GVO, a.a.O., Rn. 9). Deswegen kann auch das Mitverschulden des Betroffenen analog § 254 BGB bei der Bemessung der Schadensersatzhöhe zu berücksichtigen sein (vgl. BeckOK DatenschutzR/Quaas, a.a.O., Rn. 28; Ehmann/Selmayr/Nemitz, a.a.O., Rn. 15; a.A. wohl Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82; BAG, a.a.O.).
bb. Vorliegend rechtfertigt der Verstoß der Beklagten unter Berücksichtigung aller Umstände des vorliegenden Einzelfalls ein Schmerzensgeld in Höhe von 5.000,00 €.
(1) Die Daten zur Bonität des Klägers sind schützenswerte und sensible Daten, die sowohl seine berufliche Tätigkeit als auch seine Kreditwürdigkeit im privaten Rahmen betreffen. Sie können maßgeblichen negativen Einfluss auf die Teilnahme am wirtschaftlichen Verkehr in diesen Bereichen haben, indem Kredite versagt oder vom Kläger angestrebte Verträge mit ihm nicht abgeschlossen werden. Dass die Beklagte als Warnsystem der Kreditwirtschaft mit ihren Auskünften und dem ersichtlich zu diesem Zweck und auf der Grundlage der Einträge ja errechneten Basisscore (der -wenn auch die Algorithmen zu dessen Bildung nicht bekannt sind und der Wert damit nicht nachvollziehbar ist - sich am 25.04.2019 auf 55,2% (vgl. Anlage Kl), am 04.03.2021 auf 69,56 € (vgl. Anlage K7) und am 07.09.2021 und mithin nach Löschung der Negativeinträge auf 91,79% belief) auf derartiges keinen Einfluss ausübt, wird man nicht ernsthaft annehmen können. Dieser Einfluss - ohne dass es im Rahmen eines immateriellen Anspruchs der konkreten Feststellung der materiellen Nachteile bedarf - ist auch von einigem Gewicht; zutreffend weist das LG Lüneburg darauf hin, dass dadurch mittelbar Grundrechte wie die Berufsfreiheit und die allgemeine Handlungsfreiheit beeinträchtigt werden können (LG Lüneburg, a.a.O., Rn. 58).
(2) Für die Bemessung des Schmerzensgeldes sind die Negativeinträge sind April 2019 bis zur Löschung wohl kurz nach dem 04.03.2021 zu berücksichtigen und hatten damit ungefähr zwei Jahre Bestand.
(3) Sie fielen auch in einen Zeitraum, der aufgrund der Corona-Pandemie ohnehin für am Wirtschaftsleben Teilnehmende mit großen wirtschaftlichen Risiken und Probleme verbunden war, der Kläger war damit für die Folgen der Negativauskünfte in besonderem Maße anfällig.
(4) Weiter ist vorliegend zu berücksichtigen, dass die Beklagte zwar einerseits zunächst kein erhebliches Verschulden traf, mit zunehmender Dauer des rechtswidrigen Zustandes ab den ersten Hinweisen durch den Kläger im April 2019 über die Klageerhebung im Mai 2020 ihr die Zweifel an der Rechtmäßigkeit ihres Handelns hätten immer stärker hätten aufkommen müssen. Das gilt ganz besonders für die Zeit nach Erlass des Anerkenntnisurteils vom 25.01.2021 und dem Umstand, dass die Negativeinträge auch am 04.03.2021 noch gespeichert waren.
(5) Gleichermaßen kann nicht unberücksichtigt bleiben, dass der Kläger eine zu den Negativeinträgen führende Ursache selbst gesetzt hat. Dadurch, dass er der Telekom die Änderung seiner Adresse nicht mitgeteilt hat, hat er ihr die Möglichkeit genommen, ihn mit ihren Mahnungen auf dem zwar im Hinblick auf den Nachweis des Zugangs riskanten, aber immerhin ganz üblichen Versandweg eines einfachen Briefs auch zu erreichen. Das Verhalten des Klägers nach Kenntnis von den Rückständen lässt vermuten, dass es dann sogleich zum Ausgleich der Forderungen der Telekom gekommen wäre und die Negativeinträge nicht lanciert worden wären.
cc. Nach alledem ist-wie geschehen - ein einheitliches Schmerzensgeld zu bilden.
Die vom Kläger vorgenommene Berechnung nach Zeitabschnitten ist mithin nicht vorzunehmen. Soweit eine Bemessung eines Schmerzensgeldes nach (zwei) Zeitabschnitten ausnahmsweise dann vorgenommen werden kann, wenn es einerseits um die Zahlung von Kapital und andererseits um Rente geht (vgl. BGH, Urteil vom 08.06.1976 - VI ZR 216/74 -, juris), kommt eine solche im Übrigen und insbesondere bei einer Zahlung (nur) von Kapital nicht in Betracht (vgl. OLG Hamm, Urteil vom 11.02.2000 - 9 U 204/99 -, Rn. 17, juris; OLG Frankfurt, Beschluss vom 14.04.2020 -15 W 18/20 -, Rn. 17 -18, juris; jeweils m.w.N.).
2. Der Kläger kann Verzugszinsen ab dem 10.04.2019 aufgrund des ablehnenden Schreibens der Beklagten vom 09.04.2019 gern. §§ 286 Abs. 2 Nr. 3, 288 Abs. 1 BGB verlangen, wobei entsprechend § 187 Abs. 1 BGB die Verzinsung erst an dem auf den Verzugseintritt folgenden Tag beginnt (vgl. Staudinger/Repgen (2019) BGB § 187, Rn. 5; Grünberg-Ellenberger, Bürgerliches Gesetzbuch, 81. Aufl., Rn. 1 zu § 187 m.w.N.).
3. Schließlich hat der Kläger einen Anspruch auf Freistellung der zur Rechts Verfolgung erforderlichen vorgerichtlichen Rechtsanwaltskosten. Bei einem Gegenstandswert von 5.000,00 € (maßgeblich ist der berechtigte Teils der außergerichtlich geltend gemachten Forderung (vgl. BGH, Urteil vom 18.07.2017 -VI ZR 465/16 -, Rn. 7, juris; BGH, Urteil vom 12.12.2017 - VI ZR 611/16 -, Rn. 5, juris)) belaufen sich diese nach §§13 Abs. 1, i.V.m. Nrn. 2300, 7002, 7008 VV RVG auf die angemessene 1,3 Geschäftsgebühren nebst Auslagenpauschale und Mehrwertsteuer unter Anrechnung einer 0,65 Geschäftsgebühr gern. Vorbemerkung 3 Abs. 4 RVG, § 15a RVG, mithin auf (217,10 € + 20,00 € + 45,05 € =) 282,15 €.
Das LG Leipzig hat entschieden, dass regelmäßig kein Anspruch auf Schadensersatz aus Art. 82 DSGVO bei verspäteter Auskunftserteilung nach Art. 15 DSGVO besteht.
Aus den Entscheidungsgründen:
9. Der Schmerzensgeldanspruch der Beklagten war demgegenüber im Ergebnis nicht zuzusprechen.
Soweit zwischenzeitlich mit Verfügung vom 4.11.2021 eine abweichende Ansicht vertreten wurde, wird hieran nicht festgehalten. Auf diese Möglichkeit wurde im Termin zur Vermeidung eines Überraschungsurteils ausdrücklich hingewiesen.
Nach Art. 82 Abs. 1 DS - GVO hat jede Person, der wegen eines Verstoßes gegen die DS - GVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Auszugleichen sind hiernach ausdrücklich auch immaterielle Schäden.
In der Literatur wird unter Geltung der DS - GVO überwiegend für eine Absenkung der Voraussetzungen für die Gewährung immateriellen Schadensersatzes und für eine Verschärfung der Haftung mit deutlich höheren Beträgen gegenüber den bisherigen plädiert. Dies folge aus dem weiten Schadensbegriff der DS - GVO sowie daraus, dass der EuGH bei der Wahl zivilrechtlicher Sanktionen zur Umsetzung von Unionsrecht generell eine abschreckende Wirkung verlange. Insbesondere dürfe der zugesprochene Schadensersatz nicht nur symbolisch sein. Auch dürfe die Gewährung immateriellen Schadensersatzes nicht mehr von einer schwerwiegenden Persönlichkeitsrechtsverletzung abhängig gemacht werden. Die abschreckende Wirkung zivilrechtlicher Sanktionen sei nur zu erreichen, wenn entsprechend hohe Beträge ausgeurteilt würden (vgl. hierzu die Nachweise bei Eichelberger, WRP 2021, 159 ff.).
Hiervon unabhängig kann als gesichert gelten, dass das Unionsrecht die Mitgliedsstaaten grundsätzlich nicht zu überkompensatorischem Schadensersatz verpflichtet.
Allein der Verstoß gegen die DS - GVO reicht für sich genommen noch nicht aus, einen Schadensersatzanspruch auszulösen.
Ohne Schaden gibt es keinen Schadensersatzanspruch (vgl. hierzu Eichelberger a.a.O.). Vielmehr muss dem von einem Datenschutzverstoß Betroffenen ein spürbarer Nachteil entstanden sein. Es muss eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte, Beeinträchtigung von persönlichkeitsbezogenen Belangen vorliegen. Die Beeinträchtigung muss von einer gewissen Erheblichkeit sein.
Einen normativen Anknüpfungspunkt hierzu gibt die DS - GVO in ihren Erwägungsgründen 75 und 85. Im Anschluss an die beispielhafte Aufzählung möglicher - hier nicht geltend gemachter - Beeinträchtigungen durch Datenschutzverletzungen (Diskriminierung, Identitätsdiebstahl oder - betrug, Rufschädigung, Verlust der Vertraulichkeit von einem Berufsgeheimnis unterliegenden Daten) ist dort ergänzend allgemein von anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen die Rede (vgl. hierzu Eichelberger a.a.O.).
Demzufolge kann die Beklagte keine Entschädigung für eine verspätete Datenauskunft sowie für die bislang noch nicht vollständig erteilte Datenauskunft von der Klägerin beanspruchen.
Allein der Umstand, dass die Beklagte auf die (vollständige) Datenauskunft noch warten muss, kann keinen ersatzfähigen Schaden begründen.
Es muss auch bei einem immateriellen Schaden eine Beeinträchtigung eingetreten sein, die unabhängig von einer Erheblichkeitsschwelle wenigstens spürbar sein muss. Anderenfalls scheidet ein Schaden schon begrifflich aus (so auch LG Bonn, Urteil vom 01.07.2021, Az.: 15 O 372/20).
Die im Erwägungsgrund 75 der DS - GVO genannten immateriellen Nachteile, wie eine Diskriminierung, ein Identitätsdiebstahl, ein Identitätsbetrug, eine Rufschädigung, ein Verlust der Vertraulichkeit oder sonstige gesellschaftliche Nachteile sind der Beklagten durch die Führung der Handakten durch die von ihr beauftragten Rechtsanwälte in den familiengerichtlichen Verfahren unstreitig nicht erwachsen.
Demzufolge scheidet auch die Zusprechung eines Schmerzensgeldes im Streitfall für die bislang nicht erteilte Datenauskunft nach Art. 15 Abs. 3 DS - GVO aus.
Für diese Erkenntnis bedurfte es keiner Vorlage an den EuGH nach Art. 267 Abs. 3 AEUV. Zum einen entscheidet die Kammer nicht als letztinstanzliches, sondern als erstinstanzliches Gericht, wonach eine Verpflichtung zur Vorlage an den EuGH nicht besteht.
Zum anderen stützt die Kammer ihr Verständnis von der Auslegung des Art. 82 Abs. 1 DS - GVO auf den Erwägungsgrund 75 der DS - GVO, mithin auf die europarechtliche Norm selbst. Unabhängig hiervon erscheint es nicht zielführend, dass jedes Instanzgericht bei Entscheidungen auf der Grundlage der DS - GVO den EuGH mit einem Vorabentscheidungsersuchen bemüht. Sinnvoller erscheint es, dass das letztinstanzliche nationale Gericht die Entscheidung der Instanzgerichte zu Art. 82 Abs. 1 DS - GVO sammelt und in deren Auswertung darüber befindet, ob und wenn ja mit welchen Vorlagefragen es den EuGH nach Art. 267 Abs. 3 AEUV bemüht.
Das LG Mainz hat in diesem Fall Schadensersatzanspruch in Höhe von 5.000 EURO aus Art. 82 DSGVO wegen eines unberechtigten Schufa-Eintrags zugesprochen.
Aus den Entscheidungsgründen:
Auf den Klageantrag zu 4. sind dem Kläger 5.000,- € zuzusprechen.
Der Antrag ist dahin gehend zu verstehen, dass lediglich die Beklagte (im Singular), nicht die Beklagten (im Plural) zu verurteilen sind. Soweit der Antrag auf die Verurteilung mehrerer Beklagter gerichtet ist, handelt es sich angesichts des Umstandes, dass im Verfahren immer nur eine Beklagte in Anspruch genommen worden ist, um ein offenkundiges Schreibversehen.
Die Beklagte hat dem Kläger Schadenersatz zu leisten in Höhe von 5.000,- €. Soweit der Kläger darüber hinaus Schadenersatz in Höhe von insgesamt 10.000,- € geltend macht, ist die Klage unbegründet, weil weder ein erstattungsfähiger materieller Schaden hinreichend dargelegt und bewiesen ist, noch der festzustellende immaterielle Schaden einen Ersatzanspruch von mehr als 5.000,- € rechtfertigt.
a. Ein Anspruch des Klägers gegen die Beklagte auf Schadenersatz ist in Höhe von 5.000,- € aus Art. 82 DSGVO begründet.
Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
Die Ersteinmeldung der Beklagten an die SCH. Holding AG vom 16.07.2019 war ein "Verstoß gegen diese Verordnung“ im Sinne des Art. 82 Abs. 1 DSGVO. Nach Erwägungsgrund 146 genügt entgegen dem Wortlaut von Art. 82 Abs. 1 DSGVO auch ein Verstoß gegen die erlassenen delegierten Rechtsakte und Durchführungsrechtsakte sowie präzisierenden Rechtsvorschriften der Mitgliedstaaten (so ausdrücklich Erwägungsgrund 146 zur DSGVO; vgl. ferner Wolff/Brink, BeckOK Datenschutzrecht, 37. Ed. Stand 01.08.2021, Art. 82 DSGVO Rın. 15; Ehrmann/Selmayr DSGVO, 2. Aufl. 2018, Art 82 Rn 9), so dass es nicht darauf ankommt, ob sich vorliegend die Unzulässigkeit der Ersteinmeldung aus der DSGVO selbst oder aus den präzisierenden Rechtsvorschriften des nationalen Rechts ergibt. Dass die Einmeldung als solche rechtswidrig war, ist bereits festgestellt worden.
Es ist der Beklagten auch nicht gelungen, im Sinne des Art. 82 Abs. 3 DSGVO nachzuweisen, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. „Verantwortung“ meint hier das Verschulden im Sinne der deutschen Rechtsterminologie, nicht die datenschutzrechtliche Verantwortung (Wolff/Brink, BeckOK Datenschutzrecht, 37. Ed. Stand 01.08.2021, Art 82 DSGVO Rn. 17). Ausreichend ist Vorsatz oder Fahrlässigkeit (Ehrmann/Selmayer, DSGVO, 2. Aufl. 2018, Art 82 Rn 14). Das Verschulden wird nach dem insoweit eindeutigen Wortlaut des Art. 82 Abs. 3 DSGVO vermutet (Beweislastumkehr, Wolff/Brink, BeckOK Datenschutzrecht, 37. Ed. Stand 01.08.2021, Art 82 DSGVO Rn 17; Ehrmann/Selmayr DSGVO, 2. Aufl. 2018, Art 82 Rn 4, 19). Die mithin zur Meidung einer Haftung erforderliche Exkulpation ist der Beklagten nicht gelungen. Sie hatte keine tragfähigen Anhaltspunkte für die Beurteilung der Frage, ob der Mahnbescheid dem Kläger wirksam zugestellt oder dem Kläger sonst in der gebotenen Weise rechtliches Gehör gewährt worden war, ob ihm etwa die Mahnschreiben der Beklagten einschließlich insbesondere der Ankündigung, ggf. die Forderung an die SCH. Holding AG zu melden, tatsächlich zugegangen waren. Unter diesen Umständen hätte die Beklagte die ihr obliegenden Sorgfaltspflichten nur erfüllt, wenn sie vorsorglich zusätzlich eine kurze Karenzfrist nach Erlass des Titels abgewartet hätte.
Der Kläger hat durch die Ersteinmeldung der Beklagten an die SCH. Holding AG vom 16.07.2019 zwar keinen von ihm bezifferten materiellen Schaden erlitten. Er behauptet, er habe aufgrund des Negativeintrages „massive wirtschaftliche Konsequenzen und Nachteile, die bis jetzt andauerten“, ohne konkret darzutun, in welcher Hinsicht und in welchem Umfang es über eine bloße Vermögensgefährdung hinaus zu einer konkreten Vermögensbeeinträchtigung gekommen sein soll.
Der Kläger hat jedoch einen nach Art. 82 DSGVO gleichfalls ersatzfähigen immateriellen Schaden erlitten. Voraussetzung für einen Schadenersatzanspruch für immaterielle Schäden nach Art. 82 Abs. 1 DSGVO ist eine benennbare und tatsächliche Persönlichkeitsverletzung. Die in der bisherigen deutschen Rechtsprechung für Schmerzensgeld geforderte Voraussetzung einer schwerwiegenden Persönlichkeitsverletzung verträgt sich hingegen nicht mit Art. 82 Abs. 2 DSGVO; sie ist weder vorgesehen noch von dessen Ziel und Entstehungsgeschichte gedeckt, der Anspruch ist hiervon grundsätzlich unabhängig. Die schwerwiegende Persönlichkeitsverletzung kann vor diesem Hintergrund auch nicht als untere Grenze einer Schmerzensgeldhöhe wieder eingelesen werden. Vielmehr ist der immaterielle Schaden umfassend zu ersetzen. Eine schwerwiegende Persönlichkeitsverletzung wird regelmäßig zu einem hohen Schmerzensgeld führen (Wolff/Brink, BeckOK Datenschutzrecht, 37. Ed. Stand 01.08.2021, Art. 82 DSGVO Rn. 32). Mit dieser Einschränkung gelten für den immateriellen Schadenersatz nach Art. 82 Abs. 2 DSGVO die im Rahmen von § 253 BGB entwickelten Grundsätze; die Ermittlung obliegt dem Gericht nach 8 287 ZPO (Wolff/Brink, BeckOK Datenschutzrecht, 37. Ed. Stand 01.08.2021, Art. 82 DSGVO Rn. 31). Bei der Bemessung des „vollständigen und wirksamen Schadenersatzes für den erlittenen Schaden“ (Erwägungsgrund 146 zur DSGVO) ist auch die Genugtuungs- und Abschreckungsfunktion des Anspruchs aus Art. 82 DSGVO zu berücksichtigen.
Der Kläger hat plausibel und im Kern unbestritten dargelegt, durch den SCH.-Eintrag eine massive Beeinträchtigung seines sozialen Ansehens im Sinne der Einschätzung seiner Kreditwürdigkeit durch Dritte erlitten zu haben. Die Beklagte hat lediglich die weitere Behauptung des Klägers in Abrede gestellt, die konkret in Rede stehende Einmeldung der Beklagten an die SCH. Holding AG sei auch ursächlich dafür gewesen, dass dem Kläger Kreditkarten gesperrt worden seien und dass seineImmobilienfinanzierung gefährdet gewesen sei. Für diese damitverbundene Verletzung des allgemeinen Persönlichkeitsrechts des Klägers erachtet die Kammereinen Schadenersatzanspruch von 5.000,- € als angemessen, aber auch ausreichend.
