Die Datenschutz-Grundverordnung gewährt jeder betroffenen Person Rechte gegenüber dem Verantwortlichen, wenn personenbezogene Daten unrechtmäßig verarbeitet werden. Dabei stellt sich die Frage, ob neben materiellen auch immaterielle Schäden ersetzt werden können und in welchem Umfang Mitgliedstaaten präventive Unterlassungsansprüche zulassen dürfen.
Die Regelungssystematik der DSGVO unterscheidet zwischen materiellen Rechtsverletzungen und den hieraus folgenden Abwehr- oder Ausgleichsansprüchen. Nach Art. 82 Abs. 1 DSGVO besteht ein Anspruch auf Schadensersatz, wenn drei Voraussetzungen kumulativ vorliegen: ein Verstoß gegen die Verordnung, ein daraus resultierender Schaden sowie ein Kausalzusammenhang zwischen beiden. Ein bloßer Verstoß genügt nicht.
Im unionsrechtlichen Kontext ist der Begriff des „immateriellen Schadens“ autonom auszulegen. Die Rechtsprechung betont, dass weder eine Erheblichkeitsschwelle noch ein besonderer Nachweis körperlicher oder wirtschaftlicher Beeinträchtigungen erforderlich ist. Erfasst werden auch psychische Belastungen und Kontrollverluste, die durch die Offenlegung oder missbräuchliche Verwendung personenbezogener Daten entstehen können. Schon die berechtigte Sorge vor einer zukünftigen missbräuchlichen Nutzung kann als immaterieller Schaden gelten, sofern sie konkret nachgewiesen wird und ursächlich auf einen DSGVO-Verstoß zurückgeht.
Negative Empfindungen wie Ärger, Unmut oder Angst sind somit nicht per se dem allgemeinen Lebensrisiko zuzuordnen. Entscheidend ist, ob diese Gefühle kausal durch die unbefugte Datenverarbeitung hervorgerufen wurden und eine tatsächliche Beeinträchtigung darstellen. Der Nachweis obliegt der betroffenen Person, die aufzeigen muss, dass der Datenverstoß unmittelbare emotionale oder rufschädigende Folgen hatte.
Ein Unterlassungsanspruch ergibt sich aus der DSGVO hingegen nicht unmittelbar. Weder Art. 17 DSGVO (Recht auf Löschung) noch Art. 18 DSGVO (Recht auf Einschränkung der Verarbeitung) oder Art. 79 DSGVO (gerichtlicher Rechtsbehelf) enthalten eine ausdrückliche Grundlage für einen präventiven Anspruch auf Unterlassung einer künftigen unrechtmäßigen Verarbeitung. Die Verordnung sieht keinen speziellen Rechtsbehelf vor, mit dem eine betroffene Person vorbeugend verlangen könnte, dass ein Verantwortlicher künftige Verstöße unterlässt.
Den Mitgliedstaaten bleibt es jedoch unbenommen, in ihren nationalen Rechtsordnungen ergänzende Rechtsbehelfe vorzusehen, die eine solche präventive Wirkung entfalten. Eine nationale Regelung, die die gerichtliche Untersagung künftiger Verstöße gegen die materiellen Bestimmungen der DSGVO ermöglicht, steht mit den Zielen der Verordnung in Einklang. Sie kann sogar zur Verstärkung der praktischen Wirksamkeit des Datenschutzes beitragen, ohne den unionsrechtlichen Rahmen zu beeinträchtigen.
Der unionsrechtliche Schadensersatzanspruch bleibt hiervon unberührt. Art. 82 DSGVO ist dahin auszulegen, dass der immaterielle Schaden weit zu verstehen ist und auch leichte, aber nachweisbare emotionale Beeinträchtigungen erfasst. Der Verlust der Kontrolle über personenbezogene Daten oder der berechtigte Verdacht einer missbräuchlichen Weitergabe können für den Anspruch genügen. Eine Bagatellgrenze existiert nicht. Maßgeblich ist, dass die Beeinträchtigung auf den DSGVO-Verstoß zurückzuführen ist und tatsächlich eingetretene Nachteile, auch psychischer Art, feststellbar sind.
Aus diesen Gründen hat der Gerichtshof für Recht erkannt:
1. Die Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sind dahin auszulegen, dass sie zugunsten der von der unrechtmäßigen Verarbeitung personenbezogener Daten betroffenen Person für den Fall, dass diese Person nicht die Löschung ihrer Daten beantragt, keinen gerichtlichen Rechtsbehelf vorsehen, der es ihr ermöglicht, präventiv zu erwirken, dass dem Verantwortlichen auferlegt wird, künftig eine erneute unrechtmäßige Verarbeitung zu unterlassen. Allerdings hindern sie die Mitgliedstaaten nicht daran, einen solchen Rechtsbehelf in ihren jeweiligen Rechtsordnungen vorzusehen.
2. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass der Begriff „immaterieller Schaden“ in dieser Bestimmung negative Gefühle umfasst, die die betroffene Person infolge einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten empfindet, wie z. B. Sorge oder Ärger, und die durch einen Verlust der Kontrolle über diese Daten, ihre mögliche missbräuchliche Verwendung oder eine Rufschädigung hervorgerufen werden, sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen diese Verordnung empfindet.
3. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass er dem entgegensteht, dass der Grad des Verschuldens des Verantwortlichen bei der Bemessung der Höhe des nach dieser Bestimmung geschuldeten Ersatzes eines immateriellen Schadens berücksichtigt wird.
4. Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass er dem entgegensteht, dass der Umstand, dass die betroffene Person nach dem anwendbaren nationalen Recht eine Anordnung – die dem Verantwortlichen entgegengehalten werden kann – erwirkt hat, die Wiederholung eines Verstoßes gegen diese Verordnung zu unterlassen, in der Form berücksichtigt wird, dass dadurch der Umfang der nach dieser Bestimmung geschuldeten finanziellen Entschädigung für einen immateriellen Schaden gemindert wird oder diese Entschädigung sogar ersetzt wird.
