Datenschutzrecht – Bloßer Kontrollverlust reicht für DSGVO-Schadensersatz aus!Der Bundesgerichtshof (Urteil vom 11.02.2025) hat entschieden, dass der bloße Kontrollverlust nach Artikel 82 DSGV ausreichend ist.Das Landgericht Essen hatte in seinem Urteil vom 23.09.2021 (6 O 190/21) darüber zu befinden, ob Schadensersatzansprüche aus der DSGVO abtretbar sind und ob die die Versendung eines USB Sticks einen datenschutzrechtlichen Verstoß darstellt.
Dem Streit lag zugrunde, dass der Kläger und seine Ehefrau bei der Beklagten eine Immobilienfinanzierung angefragt hatten. Zur Übermittlung von Unterlagen die auch zahlreiche personenbezogenen Daten enthielten, haben sie – neben anderen Kommunikationswegen – einen unverschlüsselten USB Stick in den Briefkasten der Beklagten eingelegt. Da es nicht zum Vertragsschluss kam, sendete die Beklagte den Stick per einfacher Post an den Kläger zurück, wobei der Stick auf dem Postweg unterging.
Der Kläger und seine Ehefrau forderten im Wege der Klage von der Beklagten nun neben dem Ersatz von entstandenen Rechtsanwaltskosten die Zahlung von Schadensersatz in Höhe von mindestens 30.000,00 € aus Art. 82 DSGVO wegen Verstoßes gegen die in Art. 24, 25 Abs. 1, 32 DSVGO geregelten Anforderungen an die Sicherheit, Ausgestaltung und Vertraulichkeit der Datenverarbeitung.
Das Landgericht Essen wies die Klage ab.
Zur Begründung führte es an, dass sich ein Schadensersatz aus Art. 82 I DSGVO nicht ergebe. Nach Ansicht des Gerichts lag zwar zumindest hinsichtlich der fehlenden Mitteilung an die Landesbeauftragte für Datenschutz und Informationsfreiheit in NRW – ein Verstoß gegen die DSGVO vor, doch war der Schaden nicht hinreichend substantiiert dargelegt.
Gemäß Art. 33 DSGVO hätte die Beklagte den Verlust des USB Sticks der Datenschutzbehörde melden müssen. Insofern sei hier ein Verstoß gegeben und dem Grunde nach ein Schadensersatzanspruch begründet.
Außerdem liege auch ein Verstoß gegen Art. 34 II DSGVO vor, der die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person und den ergriffenen Maßnahmen vorschreibt.
Einen Verstoß gegen Art. 24,25 I, 32 DSGVO konnte das Gericht jedoch nicht erkennen, wonach der Verantwortliche die entsprechenden Maßnahmen zu treffen hat, um sicherzustellen, dass die Verarbeitung gemäß der DSGVO erfolgt und die Rechte der betroffenen Person geschützt werden. Das Gericht konnte kein Fehlverhalten auf Seiten der Beklagten feststellen. Ein Verlust im Haus der Beklagte habe nicht stattgefunden sondern allenfalls auf dem Postwege. Das Gericht befand, dass die Beklagte nicht verpflichtet gewesen sei, den Stick auf einem anderen Postweg als per einfachen Brief zu versenden. Es werde schließlich auch bei ausgedruckten Dokumenten mit sensiblen Inhalten wie etwa Steuerbescheiden etc. keine Verschlüsselung vorgenommen. Dies könne man auf den Versand der Dokumente auf dem USB Stick übertragen. Weder der Versand in einem Polsterumschlag noch die persönliche Übergabe an den Kläger oder seine Ehefrau seien erforderlich gewesen. An dem zuverlässigen Versand durch die Deutsche Post habe die Beklagte auch nicht per se zweifeln müssen.
Letztlich war das Gericht ohnehin der Ansicht, dass in immaterieller Schaden nicht konkret substantiiert dargetan worden ist.
Die Verletzungshandlung müsse in jedem Fall zu einer konkreten, nicht nur unbedeutenden oder empfundenen Verletzung von Persönlichkeitsrechten der betroffenen Personen geführt haben (vgl. LG Hamburg, Urteil vom 04.09.2020 – 324 S 9/19). Es müsse dem Betroffenen ein spürbarer Nachteil entstanden sein und es müsse um eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte Beeinträchtigung von persönlichkeitsbezogenen Belangen gehen (vgl. LG Landshut, Urteil vom 06.11.2020 – 51 O 513/20).
Gemessen an diesen Grundsätzen konnte die Kammer anhand des klägerischen Vortrags spürbare Beeinträchtigung von persönlichen Belangen des Klägers und seiner Ehefrau in keiner Weise feststellen.
Der vorgetragene Kontrollverlust und das damit einhergehende „ungute Gefühl“ würden nach Ansicht des Gerichts noch keine hinreichende ernsthafte Beeinträchtigung ergeben. Es sei zudem nicht einmal abschließend geklärt, wo der Stick geblieben sei, daher könne auch nicht unterstellt werden, dass er irgendwo missbräuchlich eingesetzt werde. Eine Beschädigung oder Zerstörung auf dem Postweg, etwa in der Sortieranlage, sei auch möglich. Damit wäre dann ohnehin ein Zugriff Dritter auf den Stick ausgeschlossen.
Die Kammer hat sich darüber zu dem geforderten Betrag geäußert, den sie selbst bei Vorliegen der Voraussetzungen für übersetzt hielt und in dem sie ein gewisses Gewinnstreben der Klagepartei sah. Dass außergerichtlich ein niedrigerer Betrag gefordert worden war, dessen Erhöhung für den Fall der Notwendigkeit einer Klage angedroht wurde, sah die Kammer ebenfalls als „befremdlich“ an.
Aus ähnlichen, wie dem schon dargelegten Gründen lehnte das Gericht einen Schadensersatz aus anderen Schadensersatzgesichtspunkten wie etwa vorvertragliche Schadensersatzansprüche oder deliktische Schadensersatzansprüche ab.
Ähnliche Beiträge
Datenschutzrecht – Bloßer Kontrollverlust reicht für DSGVO-Schadensersatz aus!Der Bundesgerichtshof (Urteil vom 11.02.2025) hat entschieden, dass der bloße Kontrollverlust nach Artikel 82 DSGV ausreichend ist.
DSGVO: kein Schadensersatz wegen unerlaubter Kopie des PersonalausweisesDas Landgericht Bielefeld hat mit Urteil von 07.07.2023 (Az.: 4 O 275/22) festgestellt, dass das unerlaubte Kopieren des Personalausweises im Rahmen …
DSGVO – EU Kommission – Vereinigtes Königreich ist nun sicheres DrittlandDie EU-Kommission hat am 28.06 2021 einen Angemessenheitsbeschluss gem. Art. 45 DSGVO für das Vereinigte Königreicht UK erlassen, wodurch dieses als …
Brandaktuell: DSGVO – EuGH bejaht Pflicht für Einwilligung bei CookiesNach eine aktuellen Pressemitteilung des EuGH wird bestätigt, dass das Setzen von Cookies eine aktive Einwilligung erfordert. Voreingestellte …
OLG Bremen – Schadensersatzanspruch nach Art. 82 DSGVO setzt materiellen oder immateriellen Schadens vorausDas Oberlandesgericht Bremen, Beschluss vom 16.07.2021, Az.: 1 W 18/21 hat entschieden, dass ein Anspruch auf Schadensersatz nach Art. 82 DSGVO den …