Art. 82 DSGVO: EuGH schafft Klarheit beim Schadensersatz

Der Europäische Gerichtshof (EuGH) hat mit seinem Urteil vom 11. April 2024 (C-741/21) grundlegende Maßstäbe für Schadensersatzansprüche im Datenschutzrecht gesetzt. Insbesondere konkretisierte er die Voraussetzungen des Art. 82 DSGVO hinsichtlich immaterieller Schäden. Die Entscheidung hat erhebliche Auswirkungen auf Unternehmen, Betroffene und die gerichtliche Praxis – und stellt die Anforderungen an Schadensnachweise deutlich höher als bisher vermutet.

Hintergrund: Der Fall juris GmbH

Der Kläger, ein selbstständiger Rechtsanwalt, war Kunde des juristischen Datenbankanbieters juris GmbH. Nachdem er erfuhr, dass seine personenbezogenen Daten für Werbezwecke verwendet wurden, widerrief er im November 2018 sämtliche Einwilligungen zur Direktwerbung – mit Ausnahme des Newsletters. Dennoch erhielt er im Januar und Mai 2019 erneut Werbeschreiben mit personalisierten Testcodes, über die auf Bestellmasken mit voreingetragenen Kundendaten zugegriffen werden konnte.

Er machte geltend, einen Kontrollverlust über seine personenbezogenen Daten erlitten zu haben, forderte materiellen Schadensersatz für Notarkosten sowie immateriellen Schadensersatz aufgrund einer Persönlichkeitsrechtsverletzung. Die beklagte juris GmbH verwies auf organisatorische Maßnahmen und machte ein Fehlverhalten einzelner Mitarbeitender geltend. Das Landgericht Saarbrücken legte dem EuGH daraufhin mehrere Auslegungsfragen zu Art. 82 DSGVO vor.

Die Vorlagefragen des LG Saarbrücken

Das Verfahren offenbarte erneut, wie interpretationsbedürftig Art. 82 DSGVO ist – selbst sechs Jahre nach Inkrafttreten der Verordnung. Die Vorlagefragen betrafen vor allem:

• Reicht ein DSGVO-Verstoß allein aus für einen Schadensersatzanspruch?
• Muss der Schaden konkret, spürbar oder substantiell sein?
• Kann ein immaterieller Schaden entstehen, selbst wenn die Daten öffentlich zugänglich sind (z. B. Telefonbuch)?
• Ist eine Haftung nur bei menschlichem Versagen möglich – oder auch bei technischen Fehlern?
• Hat der Grad des Verschuldens Einfluss auf die Höhe des Anspruchs?
• Wie ist bei mehrfachen Verstößen zu verfahren – einzeln oder pauschal?

Diese offenen Fragen führten dazu, dass das LG Saarbrücken den EuGH zur Auslegung anrief.

Kernaussagen des EuGH

Kein Schadensersatz ohne konkreten Nachweis

Der EuGH entschied: Ein DSGVO-Verstoß allein reicht nicht. Für einen Anspruch auf Schadensersatz nach Art. 82 DSGVO müssen drei Elemente gemeinsam vorliegen:

1. Ein Verstoß gegen die DSGVO
2. Ein konkret erlittenes materielles oder immaterielles Schadenserlebnis
3. Ein Kausalzusammenhang zwischen Verstoß und Schaden

Praxishinweis: Ein „Kontrollverlust“ über personenbezogene Daten kann gemäß Erwägungsgrund 85 DSGVO grundsätzlich als immaterieller Schaden anerkannt werden. Allerdings ist eine konkrete und nachvollziehbare Darlegung erforderlich.

Kein Ausschluss der Verantwortlichkeit bei Mitarbeiterfehlverhalten

Art. 82 Abs. 3 DSGVO sieht einen Haftungsausschluss vor, wenn der Verantwortliche den Nachweis erbringt, dass er für den entstandenen Schaden in keinerlei Hinsicht verantwortlich ist. Die juris GmbH berief sich auf diesen Absatz – wegen angeblich weisungswidrigen Verhaltens ihrer Mitarbeitenden.

Doch der EuGH widersprach deutlich: Der Verweis auf Mitarbeiter reicht nicht aus. Unternehmen müssen durch technische und organisatorische Maßnahmen (Art. 24, 25, 32 DSGVO) sicherstellen, dass Datenschutzregelungen umgesetzt werden.

„Unternehmen müssen sich das Fehlverhalten ihrer Mitarbeitenden zurechnen lassen – selbst bei internen Verstößen.“

Strafmaßkriterien aus Art. 83 DSGVO nicht auf Art. 82 übertragbar

Die Kriterien zur Bußgeldhöhe (Art. 83 DSGVO) – etwa Schwere, Dauer oder Wiederholung – sind nicht anwendbar auf Schadensersatzforderungen. Der EuGH stellt klar: Art. 82 DSGVO hat eine rein ausgleichende Funktion und dient nicht der Abschreckung.

Maßgeblich ist ausschließlich der individuell eingetretene Schaden. Auch bei mehreren Verstößen ist der Gesamtschaden entscheidend – nicht die Anzahl der Einzelfälle.

Bewertung und praktische Konsequenzen

Die Entscheidung des EuGH bringt sowohl Klarheit als auch neue Herausforderungen – insbesondere für datensensible Branchen wie LegalTech, Gesundheitswesen, E-Commerce und Finanzdienstleister.

Auswirkungen auf Unternehmen:

• Interne Prozesse müssen klar dokumentiert werden
• Mitarbeitende sind regelmäßig zu schulen (z. B. E-Learnings zu DSGVO-Grundlagen)
• Datenschutzmanagement muss auditierbar und nachweisbar gestaltet sein
• Externe Berater sollten regelmäßig Audits oder Datenschutz-Folgeabschätzungen durchführen

Anforderungen an Betroffene:

• Betroffene müssen nachvollziehbar darlegen, inwiefern ein konkreter Schaden entstanden ist
• Bloße Rechtsverletzung reicht nicht mehr für immateriellen Ersatz
• Psychologische, gesundheitliche oder wirtschaftliche Folgen müssen unter Umständen belegt werden

Fazit: Was Unternehmen jetzt tun sollten

Das Urteil bringt Unternehmen auf der einen Seite Rechtssicherheit – auf der anderen Seite verlangt es höchste Sorgfalt bei der Einhaltung von Datenschutzpflichten.

Zusammengefasst:

• ❌ Kein Schaden = Kein Anspruch
• ❌ Keine Haftungsausschlüsse durch „Einzelfehler“
• ✅ Konkrete Nachweise erforderlich
• ✅ Schulung, Dokumentation und technischer Datenschutz gewinnen an Gewicht