Am Donnerstag entscheidet der Europäische Gerichtshof (EuGH) in Luxemburg, unter welchen Voraussetzungen Betroffene von Datenschutzverletzungen Schadensersatzansprüche gegen Unternehmen geltend machen können (C-300/21). Der Generalanwalt des EuGH hatte in seinem Schlussantrag im Oktober 2022 die Ansicht vertreten, dass ein Schadensersatzanspruch (Art. 82 Abs. 1 DSGVO) nur dann bestehe, wenn die betroffene Person negative Gefühle erlitten habe, die über eine gewisse Bagatellschwelle hinausgingen. Die betroffene Person müsse etwa nachweisen, dass sie über einen längeren Zeitraum hinweg Sorgen, Ängste und Unsicherheiten gehabt habe. In den meisten Fällen folgt der EuGH der Rechtsauffassung des Generalanwalts.

Dazu teilt Pascal Schumacher, Associated Partner bei der Kanzlei Noerr in Berlin und Experte für Datenschutzrecht, mit:

„Die Bandbreite möglicher Entscheidungen ist groß: Bislang wurden 215 Urteile deutscher Gerichte veröffentlicht, in denen vielfach unterschiedliche Rechtsauffassungen vertreten werden. 

Der EuGH könnte entscheiden, dass jeder, der von einer Datenschutzverletzung betroffen ist, automatisch Geld von dem Unternehmen verlangen kann. 
Das Gericht könnte aber auch urteilen, dass ein Anspruch auf Schadenersatz nur unter sehr hohen Voraussetzungen und damit nur in Ausnahmefällen besteht. 

Im schlimmsten Fall drohen Unternehmen nach einer Datenschutzverletzung neben einem Bußgeld der Aufsichtsbehörde auch noch direkte Schadensersatzklagen von Betroffenen. Das wäre besonders bitter, wenn das Unternehmen selbst Opfer einer Cyberattacke von Internetkriminellen geworden ist. 

Wir empfehlen Unternehmen, bereits jetzt auf Nummer sicher zu gehen und eine robuste Datenschutz-Governance aufzubauen, ein effektives Management der Rechte der Betroffenen einzuführen und mögliche Datenschutzvorfälle professionell zu evaluieren und zu handhaben.

Wenn Sie dazu mit Herrn Schumacher sprechen möchten, stellen wir gerne einen Kontakt her.