In der jüngsten Vergangenheit häufen sich Fragen hinsichtlich der Beurteilung von datenschutzrechtlichen Schadensersatzansprüchen immer stärker, was auch dazu führt, dass sich Gerichte vermehrt damit auseinandersetzen müssen. Dabei sind auch in der gerichtlichen Urteilspraxis Unterschiede festzustellen, wann und in welcher Höhe den Geschädigten ein Schadensersatzanspruch aus Art. 82 DSGVO zugesprochen wird. Dies ruft weiterhin große Unsicherheit sowohl bei Betroffenen als auch den für die Datenverarbeitung Verantwortlichen hervor. Das OLG Köln hat sich mit dieser Frage beschäftigt und nun in seinem Urteil vom 13.07.2022 (AZ. 15 O 356/20) entschieden, dass der Klägerin ein Schadensersatzanspruch aus Art. 82 DSGVO in Höhe von 500 € aufgrund der verspäteten datenschutzrechtlichen Auskunft zusteht. Das LG Bonn hatte in der Vorinstanz noch anders entschieden und einen Schadensersatzanspruch abgelehnt.
Das Wichtigste in Kürze
- Art. 82 Abs. 1 DSGVO eröffnet jeder Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Schadensersatzanspruch.
- Schadensersatz von 500 € ist laut OLG der Höhe nach angemessen und ausreichend.
- Der von der Klägerin vorgetragene immateriellen Schaden überschreitet die Erheblichkeitsschwelle im vorliegenden Fall und begründet daher einen Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO.
Ausgangsfall
Im erstinstanzlichen Urteil des LG Bonn vom 01.07.2021 (AZ. 15 O 356/20) ging es um den datenschutzrechtlichen Schadensersatzanspruch aufgrund einer Verletzung von DSGVO- Vorgaben gemäß Art. 82 DSGVO. Vorliegend wurde die Geltendmachung eines Schadensersatzanspruchs aufgrund einer verspäteten und unvollständigen Datenauskunft verhandelt. Ein konkreter ersatzfähiger Schaden lag nach Ansicht des LG Bonns allerdings nicht vor. Gegen dieses Urteil hat die Betroffene nun Berufung eingelegt. Das OLG Köln hat in seinem Urteil vom 13.07.2022, anders als das LG Bonn, der Klägerin Schadensersatz in Höhe von 500 € zugesprochen.
Dem vorinstanzlichen Urteil lag folgender Sachverhalt zugrunde.
Im August 2016 erlitt die Klägerin einen schweren Verkehrsunfall, woraufhin sie am 08.09.2016 den Beklagten als Rechtsanwalt zur Regulierung der Unfallschäden beauftragte.
Am 07.01.2020 kündigte die Klägerin das Mandatsverhältnis und verlangte vom Beklagten eine vollständige Datenauskunft gemäß Art. 15 DSGVO sowie Herausgabe einer Kopie der Handakte. Diese Akte ist eine Zusammenstellung aller gesammelten und zu einem bestimmten Rechtsfall gehörenden Schriftstücke.
Der Beklagte ließ sich mit Erteilung der Datenauskunft neun Monate Zeit und erfüllte den Anspruch auch anschließend nicht vollständig. Es fehlten Angaben zum Mandatskonto, sowie Berichte über die Kommunikation zwischen der Klägerin und dem Beklagten via E-Mail und WhatsApp. Außerdem ist unklar, ob Daten an einen weiteren Rechtsanwalt weitergegeben worden sind, der sich mit dem Beklagten in einer Bürogemeinschaft befand und die gleiche Telefaxnummer nutzte.
Die Klägerin sah sich aufgrund dessen gezwungen, einen anderen Rechtsanwalt zu beauftragen, woraus weitere Kosten entstanden, die sie ersetzt haben wollte. Sie bezeichnete das Verhalten des Beklagten als mutwillig, da dieser nicht nur eine erheblich verspätete, sondern vor allem unvollständige Datenauskunft erteilt habe.
Aufgrund der verspäteten Datenauskunft war die Klägerin nicht in der Lage, Ansprüche gegenüber der Versicherung geltend zu machen.
In diesem Zusammenhang forderte die Klägerin zusätzlich Schmerzensgeld aus Art. 82 DSGVO, das € 1.000 nicht unterschreiten sollte. Die verspätete Erteilung sowie der unterstellte Vorsatz wurden zur Begründung eines immateriellen Schadens angeführt.
Schadensersatzanspruch des Betroffenen nach Art. 82 DSGVO
Nach Art. 82 Abs. 1 und 2 DSGVO hat jede natürliche Person, der wegen eines Verstoßes gegen die DSGVO ein immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen. Im vorliegenden Fall sei ein solcher Verstoß durch den Beklagten als „Verantwortlicher“ nach Art. 4 Nr. 7 DSGVO gegeben. Denn nach Art. 15 Abs. 1, Abs. 3, Art. 12 Abs. 3 S. 1 DSGVO habe der Verantwortliche innerhalb eines Monats nach Eingang des Antrags auf Datenauskunft die entsprechenden Auskünfte zu erteilen. Dies erfolgte durch den Beklagten jedoch erst im Laufe des Verfahrens, also verspätet.
Das OLG Köln vertrat hier eine andere Auffassung als das LG Bonn. Dieses vertrat nämlich den Standpunkt, dass von Art. 82 DSGVO ausschließlich solche Schäden erfasst seien, die durch eine DSGVO-widrige Verarbeitung entstanden sind und dass daher bloße Verstöße gegen Auskunftspflichten aus Art. 12 Abs. 3 beziehungsweise Art. 15 DSGVO nicht als Rechtsgrundlage für einen Ersatzanspruch dienen könnten. Das LG Bonn führte aus, dass Art. 82 Abs. 1 DSGVO durch dessen Abs. 2 DSGVO dahingehend konkretisiert werden würde. Anders sieht dies jedoch das OLG.
Denn diese Annahme sei weder dem Gesamtkontext noch dem Sinn und Zweck oder auch der Entstehungsgeschichte der Norm zu entnehmen. Erwägungsgrund 146 spreche zwar auch von dem Gedanken, dass Schäden ersetzt werden sollen, die „einer Person aufgrund der Verarbeitung entstehen, die mit der Verordnung nicht im Einklang steht“. Jedoch sei der Begriff der Verarbeitung in Art. 4 Nr. 2 DSGVO weit gefasst. Darunter sei auch die gegenständliche Auskunft, also „Offenlegung durch Übermittlung“, zu subsumieren. Weiter führt das OLG aus, dass sich ebenso aus Erwägungsgrund 60 ergebe, dass es die Grundsätze einer fairen und transparenten Verarbeitung erforderlich machen würden, dass der Betroffene über die Existenz des Verarbeitungsvorgangs und seine Zwecke informiert werde. Vor dem Hintergrund, dass solche Auskunfts- und Informationsrechte dem Schutz des Betroffenen dienen und der Verarbeitungsprozess für den Betroffenen fair und transparent gestaltet werden soll, ist es nur überzeugend die Ersatzpflicht nach Art. 82 Abs. 1 DSGVO weit zu verstehen und auf jeden Verstoß gegen Regelungen der DSGVO anzuwenden.
OLG Köln: Nachgewiesener Schaden durch die Klägerin
Dadurch, dass der Beklagte die angeforderte Auskunft verspätet erteilte, ist der Betroffenen ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO entstanden.
Dazu führte das Gericht wie folgt aus:
„Dabei kommt es vorliegend nicht auf die umstrittene Frage an, ob allein die Verletzung einer Vorschrift der DSGVO fu¨r einen Anspruch aus Art. 82 Abs. 1 DSGVO ausreicht oder ob es daru¨ber hinaus der Darlegung und des Nachweises eines konkreten Schadens bedarf.“
Die Klägerin hat vorliegend vorgetragen, dass die verspätete Datenauskunft ihr die weitere Schadensregulierung aufgrund fehlender Informationen aus der Handakte des Beklagten erschwert wurde und die dadurch entstandene Wartezeit für sie eine psychische Belastung dargestellt habe. Das OLG sah diese vorgetragenen Umstände als ausreichend an, einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO zu begründen. Das LG Bonn sah dies in seiner Entscheidung noch anders und verneinte einen immateriellen Schaden.. Das „Warten“ auf die Datenauskunft, sei nicht ausreichend um einen ersatzfähigen Schaden nach der DSGVO zu begründen, da die erforderliche Erheblichkeitsschwelle nicht überschritten würde.
Überschreitung etwaiger Bagatellgrenze
Nach Ansicht des OLG Köln gehen die von der Klägerin geltend gemachten Beeinträchtigungen durch die verzögerte Datenauskunft des Beklagten über eine reine Bagatelle hinaus, sodass deshalb kein Ausschluss des Schadensersatzanspruchs in Betracht komme. Das Gericht führte dazu wie folgt aus:
„Die Kla¨gerin ist fu¨r eine nicht unerhebliche Dauer vom Beklagten u¨ber das weitere Schicksal des Mandates im Unklaren gelassen worden und war u¨ber Monate nicht in der Lage, auf die Handakte zuzugreifen, Kenntnis u¨ber den Inhalt der dort gespeicherten Daten zu erlangen und das sie betreffende Verfahren mit dem neuen Prozessbevollma¨chtigten voran zu treiben.“
Insofern kam es hier gerade nicht auf die teilweise noch umstrittene Frage an, ob für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO eine Erheblichkeitsschwelle erforderlich sein soll.
Schadensersatz in Höhe von 500 € angemessen und ausreichend
Das OLG hielt die Höhe des Schadensersatzes von 500 € für angemessen und ausreichend, um die von der Klägerin geltend gemachten immateriellen Schäden nach Art. 82 Abs. 1 DSGVO auszugleichen. Dabei wurde bei der Festsetzung der Höhe des zu ersetzenden Schadens zugunsten des Beklagten der Umstand herangezogen, dass die Daten keinem Dritten zugänglich gemacht worden sind. Jedoch falle dem Beklagten sein vorsätzliches Verhalten hinsichtlich der verspätet erteilten Auskunft negativ zur Last.
Ausblick
Das OLG Köln hat der Klägerin einen immateriellen Schadensersatz in Höhe von 500 € wegen verspäteter Datenauskunft zugesprochen. In seinem Urteil beleuchte es überzeugend, dass eine Ersatzpflicht nach Art. 82 Abs. 1 DSGVO weit zu verstehen ist und hinsichtlich der Verletzung aller Vorschriften der DSGVO Anwendung findet.
Unternehmen sollten sich bewusst sein, dass es bei Verstößen gegen die Vorgaben der DSGVO nicht nur zur Verhängung von Bußgeldern durch zuständige Aufsichtsbehörden kommen kann, sondern sie sich auch einem etwaigen Schadensersatzanspruch der Betroffenen ausgesetzt sehen könnten. Daher sollten sie insbesondere auf die Fristen bei Auskunftsbegehren seitens des Betroffenen achten und diese rechtzeitig bearbeiten. Um dies im Ernstfall rechtssicher realisieren zu können bedarf es daher etablierter Prozesse und dem Überblick welche Daten wann wo verarbeitet werden.
Es bleibt abzuwarten, wie die Gerichte in Zukunft im Hinblick auf geltend gemachte Schadensersatzansprüche entscheiden werden und wie mit Bagatellschäden umgegangen wird. Die Handhabung mit immateriellen Schäden stellt immer noch eine große Unsicherheit sowohl bei Betroffenen als auch Verantwortlichen dar und bedarf noch einer größeren Rechtssicherheit.
