Willkommen zum Podcast Kaffeerecht von der Kanzlei TWW Law mit rechtlichen Themen für Kreative, Unternehmer und Unternehmen. Hallo und herzlich willkommen zu einer weiteren Folge unseres Podcasts Kaffeerecht. Heute mit Marvin Erifay und Dennis Tölle. Wir beschäftigen uns heute erneut mit dem Thema Datenschutz und zwar mit einem ganz heißen Thema und zwar dem Thema Schadensersatz bei oder nach Datenschutzverletzungen.

Und dazu vielleicht meine erste Frage an dich. Wann bist du von deinem letzten Datenleck betroffen gewesen? Das ist schon ein bisschen her, da gab es leider die DSGVO noch nicht. Aber es ist eine witzige Story.

Ich hatte meine Kontodaten, also meine Kreditkartenkarten hatte ich hinterlegt in einem Account und bei Sony war das. Und ja, dann gab es einen Datenleck dort und meine Kreditkarteninformationen sind auch anscheinend geleakt worden. Ich wusste nicht wohin oder ich habe es nicht so richtig mitbekommen. Und eines Tages habe ich eine SMS von meiner Bank bekommen, dass eine ungewöhnliche Aktivität gemeldet wurde.

Und da hat jemand mit meiner Kreditkarte, also mit meinen Informationen eine Kreditkarte sozusagen bespielt und diese Kreditkarte in einem Walmart in Amerika benutzt, um ein iPhone zu kaufen. Das iPhone habe ich leider nie bekommen, aber mein Geld habe ich zurückbekommen, das ging ganz gut. Ich habe aber leider, genau, wie gesagt, damals keine DSGVO. Ich habe auch damals rechtlich noch nichts drauf gehabt.

Deswegen habe ich mich da nicht weiter darum beschäftigt und wollte einfach nur mein Geld zurückhaben. Aus heutiger Sicht hätte man da vielleicht ein bisschen mehr machen können, aber gut, das ist wie es ist. Hast du dein Geld denn wieder gesehen? Ja, genau, mein Geld habe ich wieder gesehen.

Das war eigentlich auch sehr unproblematisch. Die Bank war da sehr kulant und sozusagen als ich nachgewiesen habe, dass ich nicht in Amerika bin, haben die das einfach komplett übernommen. Die haben das Geld sozusagen zurückgebucht und haben sich dann auch selber mit wiederum Walmart auseinandergesetzt. Ganz witzig, da kam dann nachher noch der Beweis von Walmart, warum ich das wohl doch gewesen sein soll.

Und zwar eine Unterschrift auf einem Kassenzettel. Und das war wirklich kein Witz, einfach nur ein Strich. Die vermeintliche Unterschrift von mir. Also ja, gut.

Das ist meine Story. Ja, guck, ich habe tatsächlich eine ähnliche Story, die auch schon eine ganze Weile her ist. Bei mir war es damals PayPal. Allerdings muss ich sagen, ich weiß gar nicht, ob es ein Datenleck war oder ob ich tatsächlich Asch auf mein Haupt irgendwann mal Opfer einer Phishing-Mail geworden bin.

Ich kann das nicht ganz ausschließen. Ist aber auch alles, da hatte dann jemand in einem Online-Shop irgendwie groß eingekauft, Bildschirme und Laptops und weiß nicht was. Und das ist aber auch in der Tat alles zum Guten, hat es sich gewendet. Und ich habe weder das überhaupt bezahlt, weil es tatsächlich gar nicht der verbundenen Kreditkarte beschrieben wurde.

Deswegen Glück gehabt. Aber was sich in letzter Zeit natürlich mehrt, also irgendwelche Spam, SMS-Spam-Nachrichten. Also ich habe jetzt gerade mal einen rausgesucht von Sonntag. Da hätte ich jetzt einen neuen Job antreten können, mit dem ich 100 bis 300 Euro pro Tag bezahlen könnte.

Da bin ich in irgendeiner Gruppe gelandet. Woher die meine Handynummer haben, ich weiß es nicht. Wahrscheinlich ist es einfach Teil irgendeines Lacks mal gewesen. Und das ist ja auch nichts Ungewöhnliches, muss man ehrlich gesagt sagen.

wenn man irgendwie online so ein bisschen aktiv ist und an vielen Stellen sind nun mal auch Daten wie die Handynummer etc. hinterlegt, gerade für so Sachen wie Zwei-Faktor-Authentifizierung etc. Und die Meldungen darüber, dass es irgendwelche neuen Datenlacks oder Datenschutzverstöße etc. gibt, die pendeln ja wöchentlich ein.

Das betrifft kleine Unternehmen, das betrifft sehr große Unternehmen. Also es ist nichts, was irgendwie für eine bestimmte Kategorie gemünzt ist. Und das nehmen wir mal so ein bisschen zum Anlass, über diesen speziellen Punkt zu sprechen, der dann immer aufkommt. Kriege ich denn Schadensersatz, wenn jetzt irgendeine Datenschutzverletzung hier im Raum steht?

Und das geht dann nicht nur dahin, dass man sagt, okay, ich bin irgendwie von einem Datenleak betroffen, sondern es geht eben auch in die Richtung, dass generelle Verstöße gegen Vorgaben der Datenschutzgrundverordnung in unserem Fall einen Schadensersatz begründen können. Das nehmen wir mal vorweg. Aber die Details sind da sehr, sehr, sehr vielfältig und das wollen wir vielleicht mal versuchen, heute ein bisschen darzustellen. Ja, und wir können ja direkt dann ins Thema einsteigen.

Die DSGVO ist da relativ ausdrücklich, also in Artikel 82 Absatz 1 sagt sie halt, dass die Person, der wegen eines Verstoßes gegen die DSGVO wiederum ein materieller oder immaterieller Schaden entstanden ist. diese sozusagen einen Anspruch hat, den ersetzt zu bekommen. Und das ist sogar, wie du es jetzt schon so ein bisschen auch angeschnitten hast, eine sehr weitreichende Norm eigentlich, weil es ist irgendein Verstoß gegen die DSGVO kann dich dazu berechtigen, dass du einen Schadensersatzanspruch bekommst. Natürlich muss man sich jetzt schon sozusagen vor Augen führen, wie so ein Schadensersatzanspruch funktioniert.

Das ist relativ ähnlich zum nationalen Recht. Also wir haben auf der einen Seite, ich nenne es jetzt mal Tatbestand, das heißt ein Verstoß gegen die DSGVO muss vorliegen, aber auf der anderen Seite haben wir natürlich auch einen sogenannten haftungsausfüllenden Bereich, den Schaden sozusagen, wo die betroffene Person muss jetzt auch darlegen können, dass sie selber irgendeine Form von Schaden genommen hat. Das heißt, es kann auch mal Verstöße geben. Wir können auch gleich ein paar Konstellationen durchgehen, die man sich vorstellen kann.

Es kann aber auch mal Verstöße geben, wo zwar die DSGVO betroffen ist und sagt, naja, das hättest du eigentlich anders machen müssen. Aber ich als Person, als betroffene Person, deren Daten möglicherweise falsch verarbeitet wurden, ich habe davon gar keinen Nachteil. Und wenn ich diesen Nachteil nicht habe, dann kriege ich da auch kein Geld. dann kann ich trotzdem immer noch verpflichten, dass möglicherweise meine Daten gelöscht werden, dass irgendwie bestimmte Maßnahmen getroffen werden, aber ich kann nicht sozusagen Geld herausverlangen.

Ja, bevor wir uns diese Konstellationen angucken, vielleicht ganz kurz, du hast das eben auch erwähnt, so steht es auch im Gesetz, dass man sowohl einen materiellen als auch einen immateriellen Schaden geltend machen kann. Diese Unterscheidung will ich vielleicht einmal ganz kurz darstellen, damit das klar ist. Materieller Schaden bedeutet immer in der Tat, ich habe irgendeine Form von Verlust gemacht. Das heißt, ich habe tatsächlich weniger Geld in der Tasche und wenn ich diese Datenschutzverletzung, wenn es die nicht gegeben hätte, hätte ich mehr Geld in der Tasche gehabt.

Eines dieser Beispiele, was wir vorhin mal kurz angesprochen haben, ich kriege jetzt irgendwie, keine Ahnung, sehr oft Spam-Anrufe oder Spam-Nachrichten und ich muss meine Handynummer wechseln. Dann könnte man sagen, okay, ich habe einen materiellen Schaden durch die Kosten, die mir dadurch entstehen, dass ich eine neue Handynummer beantragen muss. Während ein immaterieller Schaden etwas ist, was, und da wird sehr viel darüber gestritten, etwas ist, was sich in dieser Form nicht nachweisen lässt, sondern es betrifft tatsächlich eine, ja ich sag mal, eine persönlichkeitsrechtliche Einschränkung. Ich fühle mich dadurch belästigt, belastet, bin in Ausübung meiner Persönlichkeitsrechte irgendwie eingeschränkt.

Ich fühle mich, salopp gesagt, ich fühle mich schlecht dadurch, dass ich weiß, dass meine Daten, je nachdem welche Daten das sind, frei verfügbar im Darknet sind etc. Also das ist ein ganz, ja ich sag mal, eher schwammiger Bereich, der durch unterschiedliche Urteile in der Vergangenheit schon so ein bisschen ausgefüllt wurde, aber der immer wieder dazu führt, dass man darüber streitet, ob das denn überhaupt ein Schaden sein kann oder nicht. Beim Materiellen ist das etwas leichter, würde ich sagen. Ja, ich weiß, dass wir gerne eigentlich immer unsere rechtlichen Themen möglichst so ungesetzlich wie möglich erklären, damit wir es den Leuten so nah wie möglich bringen können, die ja nichts mit der Juristerei sozusagen am Hut haben.

Dennoch würde ich ganz gerne einmal das BGB, also unser deutsches bürgerliches Gesetzbuch, zitieren, was den immateriellen Schaden angeht, damit mal vor Augen geführt wird, wie schwammig solche Formulierungen sein können. Und zwar steht da in 253 Absatz 1, wegen eines Schadens, der nicht Vermögensschaden ist, kann Entschädigung in Geld nur in den durch das Gesetz bestimmten Fällen gefordert werden. Und das ist das, was wir ungefähr wissen über den materiellen Schadensersatz. Und damit können wir jetzt arbeiten.

Also wir haben, das kann man sozusagen jetzt sagen, die DSGVO ist ein Paradebeispiel für ein Gesetz, das einen Fall bestimmt, in dem ein immaterieller Schaden sozusagen zu ersetzen ist. Aber wie jetzt ein Schaden, der nicht Vermögensschaden aussieht, das ist jetzt offen und da müssen sozusagen die Juristen ran, da muss die Rechtsprechung ran, da muss sich sozusagen herauskristallisieren, wie sieht das aus. Vielleicht kann man das auch vorwegnehmen, das wäre sonst an späterer Stelle gekommen. In Deutschland sind wir sehr zurückhaltend, was immaterielle Schäden angeht, also was den Schadensersatz angeht, der da daraus entsteht.

Wir erkennen schon an, dass es ein Unwohlsein gibt, wenn du deine Daten irgendwo in der Welt hast, aber wir sind relativ zurückhaltend darin, dann in der Höhe des Schadensersatzes, der dann sozusagen zugesprochen wird. Das ist, insbesondere wenn man nach Amerika schaut, ganz anders in der Welt. Also da gibt es ganz unterschiedliche Auslegungsmethoden. Amerika ist aber hier gar nicht so interessant.

Was möglicherweise interessanter ist, ist, dass man sich anguckt, dass auch im europäischen Vergleich Deutschland relativ gering ist, was die Schadensersatzsummen angeht. Da kennt man Urteile aus Irland oder Spanien, glaube ich, und als Großbritannien noch dabei war, auch aus der UK, die relativ, also vergleichsweise höhere Schadensersatzsummen zugesprochen haben in vergleichbaren Fällen. Und ich könnte mir schon vorstellen, dass wir da auch in Deutschland dann langsam, aber sicher aufgrund dieser Europäisierung, dieser mancher Schadensersatzansprüche, da uns bewegen hinsichtlich zu den höheren Schadensersatzsummen, aber das bleibt dann abzuwarten. Zu den Summen beziehungsweise zu den Fällen kommen wir ja gleich auch noch.

Genau, also das ist ein Punkt, der, glaube ich, ganz wichtig ist. Die DSGVO, auf der das maßgeblich dann ja auch basiert, ist eine europäische Regelung. Sie gilt für alle europäischen Länder und der EuGH entscheidet regelmäßig zu unterschiedlichen Fällen, die ihm vorgelegt werden, aus den unterschiedlichen Staaten. und da wird man sicherlich dahin kommen und das ist auch das Ziel, dass man irgendwo einen einheitlichen Standard findet.

Aber ja, in der Tat, und da kann man dann glaube ich ganz gut überleiten, kommt es natürlich insbesondere auch darauf an, was für eine Konstellation von Datenschutzverletzungen wir hier haben. Ich würde vielleicht einfach mal anfangen mit einem Punkt, den du, glaube ich, auch schon zitiert. Denn grundsätzlich kann jeder Verstoß gegen die DSGVO einen Schadensersatzanspruch auslösen, wenn er denn einen Schaden produziert hat. Und da kommt einem natürlich als allererstes mal in den Sinn, dass man Daten verarbeitet hat ohne irgendeine Rechtsgrundlage.

So, das heißt, Grundsatz der DSGVO ist der, alles ist verboten, außer es ist erlaubt. Das ist also ein sehr restriktiver Ansatz. Und wenn ich nun hergehe und vielleicht, ich weiß nicht, ich habe zum Beispiel Daten erfasst als Online-Shop-Betreiber für einen Bestellvorgang. Der Kunde hat bei mir Schuhe gekauft und dafür hat er dann auch seine Einwilligung erteilt.

Und dann schicke ich ihm die Schuhe zu und einen Monat später schicke ich ihm noch ein Newsletter über meine tollen T-Shirts und Hosen, die ich habe, die zu den Schuhen passen. Dann habe ich eine Datenverarbeitung. Ich nutze die Daten, die ich bekommen habe, über das Maß hinaus, wie ich eine Einwilligung habe. Und ich habe eben eine Einwilligung zur Erfüllung des Vertrages, Schuhe dahin schicken, Bezahlung, Abwicklung, Rechnung stellen etc.

Aber für die Zusendung von Werbung muss ich mir, und viele Shopbetreiber tun das natürlich auch, im Vorhinein eine Einwilligung holen. So, das heißt, ich hätte da eine Verletzung und könnte sagen, jetzt habe ich hier eine oder mehrere Werbemails bekommen, habe ich da nicht vielleicht sogar auch einen Schaden, nennen wir materiellen oder immateriellen. Diese Fälle sind tatsächlich auch schon von einigen Gerichten unterschiedlich beantwortet worden. Das wäre aber so ein klassischer Fall, eine Verarbeitung ohne Rechtsgrundlage.

Und da haben wir einen Verstoß, der einen Schaden begründen könnte. Um einfach direkt bei diesem Beispiel zu bleiben, in dem Fall, in dem wirklich nur ein einziger Newsletter danach verschickt wurde, wäre das wahrscheinlich auch einer der klassischen Fälle, wo der immaterielle Schaden entweder bei null oder bei wirklich sehr, sehr wenig, so wenig landen würde, dass es möglicherweise sich nicht mal lohnt, das Gerichtsverfahren dafür anzustrengen, also diese Mühe mit dem Risiko sozusagen vorzunehmen. Natürlich, wenn das gewisse Ausmaße erlangt, also man plötzlich täglich ein Newsletter von dem gleichen Unternehmen bekommt etc., dann kann sich das auch auf der Schadensersatzebene lohnen und das sollten wir auch ganz sauber trennen, das hat nichts damit zu tun, dass ich nicht immer noch Betroffenenrechte habe. Das führt mich auch so ein bisschen zu dem zweiten Punkt.

Also es gibt ja in der DSGVO gewisse Betroffenenrechte. Also wenn ich Betroffener einer Datenverarbeitung bin, egal ob gewollt oder nicht gewollt, habe ich erstmal grundsätzlich Ansprüche gegen den Verantwortlichen der Datenverarbeitung, also beispielsweise einen Auskunftsanspruch. Der Auskunftsanspruch ist so ein bisschen die Basis des Ganzen. Der soll einem ja, den betroffenen Personen, Kontrollmöglichkeiten darüber geben, welche Daten eigentlich verarbeitet werden, was der Umfang dieser Daten ist und wie die gespeichert sind beispielsweise.

Und wenn ich jetzt meinen Auskunftsanspruch geltend mache und die verantwortliche Person für die Datenverarbeitung diesem Auskunftsanspruch nicht gerecht wird oder anderen Betroffenen rechnen, also das könnte dann auch zum Beispiel das Recht auf Löschung sein, wenn dieser gegeben ist, also das Recht auf Löschung sozusagen erfüllt ist und ich eigentlich diesen Anspruch auf Löschung habe meiner Daten und der Verantwortliche löscht dann nicht, dann kann das nicht nachkommen, meine betroffenen Rechte kann auch einen Schadensersatz auslösen. Da sind wir jetzt wieder sozusagen bei dem Artikel 82 DSGVO, der sagt, wegen irgendeines Verstoßes gegen diese Verordnung und ein Verstoß gegen diese Verordnung, also gegen die DSGVO, ist eben auch das Nichtnachkommen eines Betroffenenrechts. Also da hat man dann auch sozusagen die Möglichkeit, ein Druckmittel zu verwenden, um möglicherweise seine Betroffenenrechte durchzusetzen. Man kann eben auch sagen, naja, wenn du meinen Betroffenenrechten nicht nachkommst, dann habe ich einen Schadensersatzanspruch, also vielleicht ist es doch besser, dass du mir Auskunft darüber gibst, welche Daten du verarbeitest.

Ja, das ist auch Teil von unterschiedlichen Urteilen schon gewesen, die eben genau in dem Fall, ich habe Auskunft verlangt, habe sie nicht bekommen oder, und das ist auch ganz wichtig, zu spät bekommen. Ich habe ja in der DSGVO eine Frist von einem Monat. Einen Monat, nachdem diese Auskunftsanfrage gestellt wurde, muss ich die beantworten. Ich kann das in Ausnahmefällen einen weiteren Monat hinauszögern.

Aber spätestens nach zwei Monaten muss ich dann ran. Und wenn ich das nicht tue, dann gibt es eben die Möglichkeit zu sagen, dann mache ich eben einen Verstoß, einen Schaden aufgrund dieses Verstoßes geltend. Und es gibt unterschiedliche Urteile, die dazu teilweise auch schon durchaus sportliche Summen ausgeurteilt haben, die dann gesagt haben, okay, pro Monat musst du, der verspätet Auskunft erteilt wurde, muss dann im Betrag x gezahlt werden. Und je nachdem, wie lange das ist, ist das dann auch nicht unerheblich.

Ja, und was ich vielleicht auch noch ganz wichtig finde, ist, dass die Betroffenenrechte in der DSGVO versuchen eigentlich sehr betroffenenfreundlich zu sein, dass sie auch keine allzu großen Voraussetzungen daran stellen, wie sie geltend gemacht werden. Also ich erinnere mich, wenn ich so ein bisschen zurückerinnern darf an die Abmahnung aus dem Urheberrecht und die Folge, die wir dazu gemacht haben, da haben wir dargelegt, dass eine Abmahnung eigentlich sehr hohe Voraussetzungen hat. Oder nicht hohe Voraussetzungen, aber dass man relativ vorsichtig sein muss bei der Stellung einer Abmahnung, dass man die Vorgaben, die das Gesetz sozusagen macht, einhält und alle Angaben macht, die man machen muss. Das ist bei den Betroffenenrechten ganz anders.

Den Auskunftsanspruch kann ich sehr untechnisch machen und es wird hier sozusagen Betroffenen sehr leicht gemacht, diese Rechte auszuüben und trotzdem muss das Unternehmen dem nachkommen. Klar, das Unternehmen kann dann sich manchmal darauf berufen, okay, aber der Auskunftsanspruch muss vielleicht konkretisiert werden, weil die Datenmenge ist zu groß und wir müssen darüber reden, welche Daten spezifisch. Das kann alles mal vorkommen, aber das ist ja dann ein, sage ich mal, vernünftiger Dialog. Es ist nicht so, dass, wenn ich bestimmte Aspekte nicht beachte, das Unternehmen sofort kommen kann und sagen kann, nein, deinen Auskunftsanspruch übrigens machen wir nicht gelten und du bist uns jetzt selber zu Schadensersatz verpflichtet, weil wir uns damit beschäftigen mussten.

So läuft das in der DSGVO nicht. Die ist da sehr verbraucherfreundlich, wenn man so will. Ein weiterer Punkt, und da kommen wir jetzt schon zu den Konstellationen, wo es ein bisschen schwieriger ist, auch den Schadensersatz dann sozusagen zu bestimmen. Das ist zum Beispiel das Nicht-Einhalten von technisch-organisatorischen Maßnahmen, die vorgegeben sind.

Also was ist damit gemeint? Technisch-organisatorische Maßnahmen ist so ein Begriff, der existiert jetzt irgendwie seit der DSGVO oder vielleicht auch schon davor und betrifft sozusagen die Maßnahmen, die ein Verantwortlicher einer Datenverarbeitung treffen muss, damit diese Daten sicher gespeichert sind und eben nicht frei verfügbar sind und plötzlich immer sozusagen Daten-Lags jeden Tag passieren. Und wenn ich jetzt nachweisen kann, dass technisch-organisatorische Maßnahmen nicht eingehalten wurden, dann ist das auch ein Verstoß gegen die DSGVO, die das ja vorgibt, dass der Verantwortliche das tun muss. Aber jetzt sind wir schon direkt in einer Konstellation, in der ich möglicherweise gar keinen Schaden habe.

Denn wenn es nämlich noch nicht zu einem Datenleck gekommen ist und ich nur nachweise, dass die technisch-organisatorischen Maßnahmen nicht eingehalten wurden, dann im materiellen Sinne auf jeden Fall kein Schaden, denn ich habe nicht irgendwie meine Daten verloren oder mein Auto ist auch nicht kaputt. Und selbst auf der immateriellen Seite müsste ich schon große Verrenkungen anstellen, um sagen zu können, dass alleine durch das Nicht-Einhalten der technisch-organisatorischen Maßnahmen ich so sehr Angst habe, dass meine Daten verloren gehen könnten, dass ich davon dann wiederum auch wirklich betroffen bin, dass ich einen Schadensersatz begründen kann. Also da sind zu viele Zwischenschritte bis zur echten Betroffenheit, damit ein Gericht, möglicherweise sieht das nicht jedes Gericht so, aber viele Gerichte würden das wahrscheinlich so sehen, dass da noch zu viele Zwischenschritte notwendig sind, bis es dann zur Betroffenheit kommt. Ja, ganz genau.

Also das ist, so sehr das ein wichtiger Bereich ist, dass Unternehmen eben so technisch-organisatorische Maßnahmen ergreifen, die eben dem Stand der Technik entsprechen und um eine gewisse Datensicherheit zu schaffen, so sehr ist das, ja ich sag mal, das alleinige Vorhalten von eben nicht ausreichenden Maßnahmen, noch nicht geeignet, irgendwie einen Schadensersatzanspruch zu begründen. Wenn es dann zu einem Daten-Lag etc. kommt, aufgrund vielleicht unzureichender Maßnahmen, dann kann das natürlich wieder anders aussehen. Aber ich muss in der Tat also diese technisch-organisatorischen Maßnahmen, wenn die unzureichend sind, führt das nicht dazu, dass alle Leute einen Anspruch haben.

Aber nichtsdestotrotz tue ich natürlich gut daran, diese Maßnahmen einzuhalten, also vielleicht so ein paar Maßnahmen zu nennen. Also es geht um Verschlüsselung im Online-Bereich, es geht um Pseudonymisierung oder sogar Anonymisierung von Daten. Ich muss, ganz salopp gesagt, meine Systeme auf dem aktuellen Stand halten. Ich muss Updates fahren, ich muss mich darum kümmern, dass es Zugriffsbeschränkungen gibt, Zugriffskontrollen gibt.

Das kann online alles stattfinden, das kann aber auch ganz stumpf sehr analog sein. Ich muss dafür sorgen, dass einfach nicht jeder in mein Büro kann, dass ein Schrank vielleicht abschließbar ist, dass die Putzkraft keinen Zugriff auf Finanzdaten hat und sowas alles. Und wenn ich das nicht einhalte und deswegen kommt es zu einem Schaden, weil ich weiß nicht, bei mir ist immer Tag der offenen Tür und die Schränke haben auch keinen Schlüssel und deswegen kann jeder mal in die Personalakten reingucken und dadurch sind die Daten irgendwie vielleicht bei anderen gelandet. na klar habe ich dann einen Schadensersatzanspruch.

Also, da lehne ich mich wieder weit aus dem Fenster, aber da ist die Wahrscheinlichkeit sehr groß, dass es einen Schadensersatzanspruch gibt, weil ich meine technisch-organisatorischen Maßnahmen nicht eingehalten habe. Aber in der Tat, nur weil die erstmal unzureichend sind und nichts passiert, ergibt sich noch nicht direkt ein Anspruch. Du hast jetzt gleich drei Sachen angesprochen, die ich gerne noch darauf eingehen wollen würde. Einmal, das ist vielleicht etwas sehr Wichtiges, was man sehr häufig vergisst, die DSGVO findet auch Anwendungen auf physische Daten.

Also wie du gerade gesagt hast, die Personalakte, die irgendwo rumliegt, in Physis, also auf Papier, da trifft auch, das sind auch personenbezogene Daten, die verarbeitet werden. Also es ist auch DSGVO-Anwendungsbereich. Dann die DSGVO bzw. das Bundesdatenschutzgesetz, also das BDSG, finden auch Anwendungen auf das Verhältnis Arbeitgeber-Arbeitnehmer.

Auch sehr wichtig. Es könnte, weiß ich jetzt nicht, aber könnte manchmal der Irrglaube bestehen, dass das ja vielleicht irgendwie ein Sonderverhältnis ist oder da immer eine Einwilligung besteht. Nein, auch da findet die DSGVO Anwendung. Und das Letzte, man soll nicht glauben, dass diese technisch-organisatorischen Maßnahmen dann oder das nicht einhalten.

sozusagen einfach kann man auf gut Glück machen und solange kein Datenleck passiert, dann passiert mir auch nichts oder da muss ich auch nichts befürchten. Da wäre ich vorsichtig mit, denn es ist schon möglich, dass wenn Dritten oder Betroffenen auffällt, dass diese Maßnahmen nicht eingehalten werden, dann könnte man das schon der zuständigen Datenschutzbehörde melden und die könnte dann entsprechend auch anweisen, dass da nachgebessert werden muss. Also es ist nicht so, dass man da einfach sozusagen Vogelwild versuchen kann, einfach gar nichts zu tun und einfach mal sozusagen auf gut Glück zu arbeiten. An der Stelle vielleicht nochmal der Hinweis, dass wir in dieser Folge tatsächlich über diesen Schadensersatzanspruch sprechen und der so ein bisschen nicht losgelöst ist, aber man den schon separat ein bisschen betrachten kann, dass also die Voraussetzungen für alle anderen, für Meldungen bei einer Datenschutzbehörde, für auch Unterlassungsansprüche oder für Auskunftsansprüche, Widerrufsansprüche, alles Mögliche, noch viel geringer sind.

Also da reicht es natürlich schon, wenn ich meine TOMS, also technisch-organisatorischen Maßnahmen, nicht ordnungsgemäß gewählt habe, dass die Datenschutzbehörde sagt, was ist los? Also leg mir doch mal da, welche Maßnahmen du ergriffen hast. Wer hat denn hier alles Zugriff zum Büro und zu den Akten und wer darf sich alles einloggen und wenn ich mich jetzt als, wer hat denn, sagen wir mal, das Admin-Passwort? So, wenn ich das Admin-Passwort für einen Server habe, ja, herzlichen Glückwunsch.

Wenn das irgendwie drei Leute haben, das eine davon ist irgendwie, weiß ich nicht, der Chef, das andere ist irgendwie jemand, der, weiß ich nicht, CTO, weil er das administrieren soll, ja, okay, aber dann irgendwie noch eine wissenschaftliche Hilfskraft, die dann im Urlaub ab und zu mal irgendwas macht. Da muss man sich schon fragen, ist das nicht schon per se etwas, was nicht DSGVO-konform ist? Würde ich mal sagen, ja. Aber genau, also das ist ganz wichtig, dass natürlich solche Maßnahmen eingehalten werden müssen, nur sie führen dann nicht zwingend zu einem Schadensersatzanspruch, was nicht heißt, dass sie nicht einen monetären Schaden auslösen können, wenn die Datenschutzbehörde um die Ecke kommt, das beurteilt und sagt, naja, das ist uns jetzt aber schon ein Bußgeld wert.

Also wir haben jetzt bisher die Datenverarbeitung ohne Rechtsgrundlage, also vielleicht den klassischsten Fall, dann das Nichtnachkommen der betroffenen Rechte und jetzt das Einhalten der Toms. Ein letzter Punkt vielleicht noch, aber würde ich persönlich nicht zu weit ausführen wollen, ist das Nutzen von Auftragsverarbeitern, also von Dritten, die auch Daten für dich verarbeiten, ohne das Beispiel der betroffenen Person anzuzeigen in der Datenschutzerklärung, die man möglicherweise vorlegt. Also was ist damit gemeint? Ich betreibe eine Webseite, möglicherweise einen Online-Shop und benutze dabei Shopify und PayPal.

Also als Zahlungsmittel benutze ich PayPal, das ist vielleicht das anschaulichste Beispiel, was geht. Dann, wenn jemand jetzt mit PayPal in meinem Online-Shop bezahlt, werden auch Daten übermittelt oder notwendigerweise Daten übermittelt an PayPal, personenbezogene Daten. Wenn ich in meiner Datenschutzerklärung vorab aber nicht darauf hinweise, dass das der Fall sein wird, wenn ein Vertrag in meinem Online-Shop abgeschlossen wird, dann ist das auch ein Verstoß gegen die DSGVO. Das kann auch schon dann ein Verstoß gegen die DSGVO sein, wenn ich nicht eine ausreichende Regelung zwischen mir und PayPal getroffen habe.

Das heißt, ich zeige zwar an, dass PayPal genutzt wird und dass Daten an PayPal übermittelt werden, aber zwischen PayPal und mir wiederum, also dem Shop-Betreiber, besteht keine ausreichende DSGVO-konforme Regelung. Das kann irgendwie ein Auftragsverarbeitungsvertrag sein, das kann aber auch eine andere Regelung sein, die man da getroffen hat, dass sozusagen PayPal wiederum verpflichtet ist, diese Daten DSGVO-konform nur zu verarbeiten und möglichst auch zweckgebunden zu verarbeiten. Und an der Stelle kommt man dann so ein bisschen dahin, dass man zwei unterschiedlich offensichtliche Verstöße haben kann. Das eine ist, ich sehe von außen, jedermann kann von außen sehen, was in meiner Datenschutzerklärung steht und jedermann kann von außen sehen, ob ich PayPal benutze oder nicht.

Das heißt, wenn das da irgendwie eine Divergenz gibt, dann kann ich das sagen. Ob ich jetzt aber im Innenverhältnis zwischen mir und PayPal irgendwelche vertraglichen Regelungen habe, das sieht man natürlich von außen nicht. Das heißt, so einen Verstoß kann man erstmal nur behaupten und naja, auch da muss man sagen, wenn ich was behaupte, muss ich es dann auch belegen. Das wäre dann so eine Sache, die dann tatsächlich erst im Rahmen einer behördlichen Prüfung dann auffallen kann.

Aber vielleicht noch etwas simpler, in Anführungsstrichen, ist so, ich arbeite mit der Post zusammen. Ich muss meine Waren versenden aus meinem Online-Shop. Die Post braucht dafür zwingend die Adresse, sonst weiß sie nicht, wo sie es hin tun soll. Und ja, in diesem Zusammenhang verarbeitet die natürlich meine Daten, muss das auch so tun, ja, ich sage mal nicht in einem größeren Maße, als ich da eine Einwilligung für habe.

Und da gab es auch relativ vor einigen Jahren schon auch Streit, ob dann da es notwendig ist, dass ich da so eine Vereinbarung schließe oder nicht. Und da wurde nämlich auch ein Bußgeld verhängt, weil es die eben nicht gab. Und dann hat man sich da eben auch gerichtlich gestritten. Und das ist so der eine Fall, der jetzt so relativ selbstverständlich eigentlich ist.

Nur ich muss halt vorher einmal daran denken, muss es erklären, muss es natürlich auch darlegen, wenn ich sage, okay, ich habe aber eben fünf verschiedene Versanddienstleister, dann schadet es nicht, wenn ich da auch kurz ein Wort zu verliere. Und vielleicht noch ein allerletzter Punkt, bevor wir zu sehr abschweifen vom Schadensersatz. Es gibt natürlich auch andere Rechtsgrundlagen für eine Datenverarbeitung als nur die Einwilligung. Also es gibt beispielsweise die Rechtsgrundlage, dass ich die Datenverarbeitung, dass sie notwendig ist dafür, um einen Vertrag auszuführen, den die betroffene Person und der Verantwortliche der Datenverarbeitung miteinander geschlossen haben.

Also beispielsweise einen Online-Kaufvertrag und jetzt soll das Produkt zu mir gesendet werden und dafür muss natürlich meine Adresse verarbeitet werden. Das soweit so gut. Dennoch, auch wenn es keine sozusagen Einwilligung ist, muss ich in meiner Datenschätzerklärung darauf hinweisen, dass auch diese Datenverarbeitung vorgenommen wird. Also das ist nur sozusagen, um dem Ganzen einen Kontext zu verschaffen.

Also diese Hinweispflicht gilt nicht nur für die Einwilligung, um die Einwilligung einzuholen, sondern auch für alle anderen Datenverarbeitungen, die möglicherweise eine andere Grundlage haben, wo ich gar nicht irgendeine Zustimmung brauche von dem Betroffenen. Ja, dann haben wir das, glaube ich, ausreichend dargestellt. Ich würde sagen, wir schauen uns im nächsten Schritt einfach mal so ein paar Fälle an oder stellen, und das jetzt auch nicht zu sehr in die Tiefe, aber einfach mal so ein paar Urteile vor, die mit einem gewissen Ergebnis ausgegangen sind, damit man so ein Gefühl dafür bekommt, in welchem Bereich bewegen wir uns hier. Also auch was die Schadenshöhe angeht, wir haben jetzt immer gesagt, wir sind relativ zurückhaltend und was du eben angesprochen hattest, wo ich dann mit drei Türen ins Haus gefallen bin, die Anwendung der TSGVO im Bereich oder im Verhältnis Arbeitnehmer, Arbeitgeber oder andersrum, führt tatsächlich zu einer nicht unerheblichen Anzahl von arbeitsgerichtlichen Urteilen zu der Frage nach irgendwelchen Schadensersatzmöglichkeiten.

oder Schmerzensgeldbeträgen, das gerät manchmal etwas durcheinander, unabhängig von der Frage nach irgendwelchen weiteren Zahlungen, die aus einem möglicherweise beendeten Arbeitsverhältnis einhergehen. Und da ist, ich nehme jetzt mal gerade Urteile aus diesem Jahr, das Arbeitsgericht Oldenburg hat entschieden, dass der Arbeitgeber einen Betrag von 10.000 Euro an den Arbeitnehmer zahlen musste. Und zwar ging es darum, was ich eben schon mal kurz angesprochen hatte, um eine verspätete Auskunft an den ehemaligen Arbeitnehmer. Und diese Auskunft ist 20 Monate zu spät erteilt worden und das ist ein klarer Verstoß gewesen gegen in dem Fall die Auskunftsverpflichtung nach Artikel 15.

Und das Gericht hat gesagt, okay, allein schon dieser Verstoß führt zum Ersatz eines immateriellen Schadens. Und da sagte das Gericht dann 500 Euro pro Monat sind angemessen, das kann man sich ausrechnen, sind genau 10.000 Euro. Das halte ich schon für sportlich und sicherlich sehr stark einzelfallabhängig, weil die Vorgabe, aber die Richtung, in die es im Moment ja geht, ist, dass nicht pauschal allein der Verstoß einen Schadensersatzanspruch begründet, sondern ich muss schon immer darlegen, dass ich einen materiellen, das dürfte etwas leichter sein, aber eben auch einen immateriellen Schaden habe. Und deswegen halte ich diese Entscheidung für sportlich, so will ich es mal ausdrücken.

Aber wie gesagt, es kann im Einzelfall eben so sein, dass ich das auch gut darlegen kann, dass ich so einen Schaden habe. Und dementsprechend ist das eben eine Region, mit der ich kalkulieren muss, sowohl als Arbeitnehmer als auch als Arbeitgeber. Datenschutzverstöße innerhalb von Arbeitsverhältnissen können eigentlich auch aus einem anderen Grund noch, sage ich mal, finanziell interessant sein. da es die Tendenz bzw.

sogar Urteile gab, in denen der Verstoß oder der Schadensersatz an dem Lohn ermittelt wurde. Also das handelte sich da in diesen Fällen dann meistens um Datenschutzverstöße, die im laufenden Arbeitsverhältnis stattgefunden haben. Und da war es dann der Fall, dass die Gerichte sozusagen, um den Schadensersatz zu beziffern, auch sozusagen den Lohn herangezogen haben, also ein bisschen faktoriert haben und so. Und das waren dann aber relativ hohe, also ich glaube, das war in einem Fall auch mal, wurden dann nachher 3.500 Euro zugesprochen.

Also es waren relativ hohe Datenschutz-Schadensersätze, die dann nachher zugesprochen wurden. Ja, okay. In einem Nicht-Arbeitgeber-Arbeitnehmer-Verhältnis ging es dann, und ich sage mal so, da ist es auch um die Frage Schadensersatzes natürlich, Das war das OLG Koblenz auch aus diesem Jahr und das hat in dem Fall einen Schadensersatzanspruch abgelehnt. Meines Erachtens, ja ich sag mal korrekt, auch wenn das in dem Fall anders hätte laufen können.

Und zwar ging es darum, dass im Rahmen der Verfolgung von Zahlungsansprüchen kann man ja ein Mahnverfahren anstreben. Und in diesem Mahnverfahren, wenn man da jetzt keinen Widerspruch einlegt, dann bekommt derjenige, der das beantragt, irgendwann einen sogenannten Vollstreckungsbescheid. Und dieser Vollstreckungsbescheid ist letztlich ein gerichtlicher Titel, aus dem ich meine Forderung, die ich habe, vollstrecken kann. Und die Meldung der Titulierung dieser Forderung bei der Schufa oder bei irgendeiner anderen gleichartigen Organisation, die war Gegenstand dieses Verfahrens.

Und diese Einmeldung zur Schufa sollte dann eben einen Schadensersatzanspruch begründen für den Kläger in dem Fall. Und das hat das Gericht meines Erachtens in dem Fall aber zu Recht zurückgewiesen, weil es gesagt hat, okay, der Kläger hat hier gar keinen konkreten Schaden nachgewiesen. Es ist natürlich so, dass man irgendwie selber sich ein bisschen ärgert und vielleicht auch mit seinen Banken Probleme bekommt. Aber das ist ein allgemeines Lebensrisiko und das löst nicht direkt irgendwelche Schadensersatzfolgen aus.

Das ist meines Erachtens tragbar. Wenn es tatsächlich jetzt einen konkreten Schaden nachweisbar gegeben hätte, könnte das anders aussehen. Aber wenn ich das nicht nachweise, gut, dann ist das Urteil auch so, glaube ich, richtig. Einer der klassischen Fälle war vor dem Amtsgericht Heidelberg und ging dann auch sogar in die Berufung zum Landgericht Heidelberg.

Und zwar ging es darum, die Übersendung von Werbe-E-Mails ohne Einwilligung, klassischer Verstoß gegen Artikel 6 DSGVO, also es gab keine Rechtsgrundlage für die Datenverarbeitung. Und dort zum Beispiel, nur um mal zu zeigen, dass auch geringe Schadensersätze manchmal geltend gemacht werden, kamen dann im Ergebnis 25 Euro raus. Ich müsste mir eigentlich nochmal anschauen, wie es da überhaupt in die Berufung gekommen ist bei 25 Euro, aber auf jeden Fall ist es so gewesen. Dann wiederum vor dem Amtsgericht Pfaffenhofen-Ilm im Jahr 2021 wurde auch wegen der Übersendung von Werbe-E-Mails ohne Einwilligung im Ergebnis 300 Euro zugesprochen.

Dort wurde dann auch ausgeführt, dass eine unrechtmäßige Datenverarbeitung ein ungutes Gefühl auslösen kann. Also das ist jetzt ein ungutes Gefühl, wird zitiert. Und dieser Kontrollverlust, auch wieder ein Zitat, führt dann wiederum zu einem DSGVO-Verstoß, der auch erheblich ist und dann halt 300 Euro in dem Fall bejaht hat. Da sieht man vielleicht auch manchmal, dass es manchmal auch einfach auf die Begründung, also die Klage sozusagen ankommen kann, wie ausführlich sozusagen beschrieben wird, wo drin der Verstoß bzw.

der Schaden hier steht. Ich glaube, das ist tatsächlich das, was man aus diesen Urteilen auf jeden Fall sehen kann, wie, ich will jetzt nicht sagen wie ordentlich, aber wie intensiv tatsächlich eine Beeinträchtigung, gerade im immateriellen Bereich, dargestellt werden kann, wie gut dann auch belegt werden kann. Ich glaube, es ist nicht erfolgreich. Ich brauche kein ärztliches Attest, dass ich unter psychischen Beeinträchtigungen leide.

Aber ich muss es eben so nachvollziehbar und glaubhaft darstellen und belegen, dass ich letztlich einen Richter davon überzeuge, dass tatsächlich ein schlechtes Gefühl zu haben und ein Unwohlsein, das ist, glaube ich, in der jüngeren Rechtsprechung dann auch wieder so ein bisschen eingefangen worden. Das reicht, glaube ich, nicht immer, aber es mag Fälle geben, in denen das so intensiv ist. Das ist ein Schadensersatz begründet. Ich habe noch ein Urteil vom OLG Hamm auch aus diesem Jahr, was durchaus nachvollziehbar ist, wo ich auch eher gesagt hätte, das ist vielleicht ein sehr niedriger Betrag.

Da ging es darum, dass geklagt wurde aufgrund der Versendung von Daten in einer Excel-Datei. Da ging es um Termine für Corona-Impfungen. Und der oder die Beklagte hatte ein Impfzentrum betrieben. Und da gab es eben diese Excel-Liste mit Termin, Name, Anschrift, Geburtsdatum etc.

in einer Excel-Tabelle. Und diese Excel-Tabelle ist versehentlich per E-Mail versendet worden, wohl an 1200 Empfänger. Und da gab es eben den Zuspruch von 100 Euro. nicht durch das Landgericht Essen, das war die Vorinstanz und das OLG Hamm hat das dann bestätigt, wegen eines Verstoßes gegen Artikel 5 und Artikel 9.

Artikel 9 beschäftigt sich dann so mit besonderen Kategorien von Daten, also gerade so Gesundheitsdaten, was ja im Bereich von Corona-Impfungen auf jeden Fall vorliegt. Und da hätte ich jetzt aufgrund dieser besonderen Kategorie der Daten gesagt, okay, 100 Euro ist am unteren Ende des Möglichen angesetzt. Besonders wenn man das vergleicht, dass wir jetzt dieses Amtsgerichtsurteil gerade vorgestellt haben, wo das Übersenden von E-Mails schon einmal 300 Euro als Schadensersatz ausgelöst hat. Also da sind 100 Euro wirklich doch sehr wenig.

Normalerweise ist die DSGVO auch rigoros, wenn es um sensible Daten, also Gesundheitsdaten beispielsweise geht und sieht da sehr viele höhere Voraussetzungen vor, um diese zu verarbeiten. Und umso schlimmer, in Anführungsstrichen, ist es halt auch, wenn dann die Daten fälschlicherweise einfach an viele Empfänger geschickt wurden. Man muss dazu sagen, irgendwie einige der E-Mails, also 500 der E-Mails konnten irgendwie erfolgreich zurückgerufen werden. Vielleicht war das so ein bisschen eine Einschränkung oder wurde das sozusagen positiv dem Unternehmen angerechnet.

Vielleicht an diesem Fall nochmal einmal ganz kurz. Zum einen spielt keine Rolle, ob etwas versehentlich passiert ist. Also das kann bei der Bewertung der Höhe natürlich eine Rolle spielen, aber es spielt jetzt für den Verstoß selber erstmal keine Rolle, dass das versehentlich passiert ist. Und das knüpft auch relativ klar daran an, dass ich als Verantwortlicher, Unternehmen, Unternehmer verpflichtet bin, meine technisch-organisatorischen Maßnahmen so zu gestalten, dass E-Mails eben nicht versehentlich an irgendwen versendet werden.

Es passiert. Es passiert in der Praxis. Das kann man nicht anders sagen. Kann ich mich auch nicht von frei sprechen.

aber man muss alles tun, um diese Maßnahmen zu ergreifen, um das zu verhindern. Ganz stumpf aus unserer Praxis zum Beispiel, wenn ich eine E-Mail schreibe, dann trage ich erstmal keine Empfänger ein, bis ich diese E-Mail fertig geschrieben habe und wenn ich dann aus Versehen schon auf Versenden drücke, kriege ich eine Fehlermeldung, dass nicht versendet werden kann. Spätestens dann stolper ich nochmal drüber und denke, an wen geht das denn jetzt? Und das ist eben eine technisch-organisatorische Maßnahme, die ich ergreifen kann, um zu verhindern, dass ich E-Mails versehentlich an wen anders versende.

Und wo wir bei diesen Urteilen sind, ich will, wir haben das glaube ich in, ich weiß nicht mehr genau in welcher Folge, aber wir haben dieses Urteil schon mal angesprochen. Es ist einmal so ein bisschen durch die Presse gegangen, deswegen will ich es noch einmal kurz erwähnen, weil es auch 100 Euro waren, das Landgericht München, das im Rahmen dieser Google Fonts-Geschichten, also der Einbindung von Schriftarten von Google-Servern auf meinem eigenen Server, ebenfalls 100 Euro zugesprochen hat, weil ich darüber nicht aufgeklärt habe. verantwortlich in dem Fall nicht aufgeklärt hat und der Nutzer der Website dadurch einen Schadensersatzanspruch haben sollte, weil seine dynamische IP-Adresse an Google übermittelt wurde, ohne dass er davon wusste. Das sollte nach dem Landgericht München 100 Euro Schadensersatz begründen, wegen in diesem Fall fehlender Rechtsgrundlage für die Verarbeitung.

Das führte dann ja noch zu anderen Weiterungen und irgendwelchen Massenabmahnungen, die dann aber letztlich auch im Sande verlaufen sind und teilweise eben auch als rechtswidrig beurteilt worden sind. Aber auch da ging es um 100 Euro. Und ich glaube, was man so ein bisschen ersehen kann, ist aus der Bandbreite dieser Beträge, dass es, wie wir schon gesagt haben, ganz erheblich darauf ankommt, wie man es darstellen kann. Und dass man da auch tatsächlich von Gericht zu Gericht sehr, sehr unterschiedliche Beträge erreichen kann, erwarten kann, nicht erwarten kann.

Und sich daher im ersten Schritt vielleicht tatsächlich erstmal fragen sollte, geht es mir hier darum, eine schnelle Mark zu machen oder geht es tatsächlich darum, ob ich materiell oder immateriell tatsächlich verletzt bin. Ja, und da kann man sich ja jetzt eigentlich, können wir uns ja damit auseinandersetzen, wie so ein Schadensersatz eigentlich bemessen wird. Also haben wir vielleicht irgendwelche Kriterien, die wir festlegen können, anhand derer man sagen kann, hier ist ein hoher Schadensersatz oder hier wird ein niedriger Schadensersatz zugesprochen werden. Vielleicht kann ich vorwegnehmen, leider ist es, wie wir auch jetzt hoffentlich schon dargestellt haben, sehr uneinheitlich.

Also das eine Gericht sagt, ein reines Unwohlsein reicht nicht aus und das andere Gericht sagt dann wiederum, naja, Unwohlsein ist aber auch schon, also ein Unwohlsein über die abhandengekommenen Daten ist auch schon eine Betroffenheit und auch das berechtigt zum Schadensersatz und auch nicht in unbeträchtlicher Höhe, also möglicherweise ein dreistelliger Betrag schon. Also da ist es noch relativ uneinheitlich, was die Bandbreite angeht. Was man festhalten kann, ist, dass wenn wir eine echte Betroffenheit haben, also beispielsweise ein falscher Schufa-Eintrag, da können dann auch relativ große Schadensersatzansprüche geltend gemacht werden. Also da kann man dann auch schon mal über 3.000, 4.000 Euro reden, wenn da eine falsche Datenverarbeitung im Wege eines Schufa-Eintrags vorgenommen wird.

Denn beispielsweise Schufa-Einträge haben einen relativ großen Effekt auf das Leben, auf den Alltag der Person, wenn es zum Beispiel darum geht, einen Mietvertrag abzuschließen oder sowas. Und da kann das dann eine große Auswirkung haben. Und deshalb wird da dann eine Betroffenheit eher mal zugunsten der betroffenen Person bejaht. Anders wiederum, wenn man einfach nur ein unbestimmtes Unwohlsein hat, am besten kann man das immer belegen sozusagen.

Also beispielsweise, ich war Teil eines Datenlecks, okay, der Tatbestand ist sozusagen erfüllt und jetzt ist die Frage, wie hoch ist der Schaden? Ja, ich bekomme ab jetzt, also seit diesem Datenleck bekomme ich die ganze Zeit Spam-Anrufe. Oder aber Familienmitglieder von mir haben mit meiner Nummer Fake-Nachrichten bekommen, so Enkeltrick-mäßig, dass sie Geld irgendwo hin überweisen sollen. Das ist sozusagen dann eine haptische, wahrnehmbare Betroffenheit, wo wir sagen können, okay, das ist wesentlich mehr als nur irgendein Unwohlsein, weil das betrifft jetzt wirklich das Leben, den Alltag der Person.

Und dann wird es auch leichter, wenn nicht sogar leicht generell sein, einen Schadensersatz zuzusprechen. Ich meine, wenn man das so ein bisschen noch in Kontext setzen kann, man versteht ja auch, woher das sozusagen kommt, dass man den Schadensersatz, den immateriellen Schadensersatz nicht zu hoch ansetzen möchte in Deutschland. am Ende des Tages ist das ja auch immer eine sehr subjektive Sache. Und sozusagen eine Industrie daraus zu schaffen, einen immateriellen Schadensersatz geltend zu machen, das ist auf jeden Fall nicht im Interesse des Gesetzes.

Wie man das möglicherweise im Vergleich jetzt in Amerika sieht, da ist das ja schon in einem sehr großen Interesse sozusagen oder beziehungsweise da durch die sehr reizvollen immateriellen Schadensersätze, die da möglich sind oder zugesprochen werden, gibt es da ein Interesse, möglicherweise aus einer Mücke einen Elefanten zu machen. Dieses Interesse gibt es in Deutschland nicht, zumindest bisher noch nicht. Und das ist ja vielleicht auch gar nicht so schlecht. Wir werden das also in den kommenden Monaten und Jahren, glaube ich, auch noch verstärkt sehen, weil aktuell sich auch höhere Instanzen eben mit so Grundsatzfragen beschäftigen.

Was sind die Voraussetzungen, in welchen Fällen, gerade so im Fall von Datenlecks, im Fall von Scraping oder irgendwelchen Datenabflüssen. Da gibt es Instanzurteile, die sowohl sagen, wenn ich irgendwie von einem Datenleck betroffen bin, entweder aufgrund des Abflusses, weil da irgendwo ein, sagen wir mal, bei dem Unternehmen selber irgendwie ein Leck vorhanden war oder weil es eben durch sogenanntes Scraping erfasst wurde, dann ist das eben ein ausreichender Umstand, der eben kleine Beträge rechtfertigt. Das ist 250 Euro, 500 Euro, 1000 Euro. Das sind alles Sachen, die schon ausgeurteilt worden sind aufgrund des Scrapings.

Da stellt sich bei den Beträgen natürlich die Frage, möchte ich das geltend machen? Möchte ich für 250 Euro irgendwie, weiß ich nicht, vor Gericht ziehen oder nicht? weil da müssen wir uns auch nichts vormachen, dass ich jetzt außergerichtlich Facebook anschreibe und sage, Freunde, ich habe hier meine IP-Adresse möglicherweise irgendwo gesehen, wo sie nicht hingehörte. Jetzt hätte ich gerne 250 Euro, dann wird Facebook nicht die Tasche aufmachen oder Meta wird nicht das Portemonnaie aufmachen und sagen, hier, bitteschön.

Also da ist schon auch Zwang erforderlich, das heißt, ich muss ein gerichtliches Verfahren schon anstreben. Ja, das ist eigentlich die perfekte Überleitung zum Thema Massenverfahren. Also so ein bisschen, wie kann man das, ja skalieren ist das falsche Wort, wie kann man das möglichst einfach machen für Betroffene, damit diese, naja, möglichst wenig mit dem Risiko, mit den ganzen Problemen, die von so einer Rechtsdurchsetzung auskommen, zu tun haben. Und da gibt es mehrere Möglichkeiten?

Ja, bevor du tatsächlich da jetzt einsteigst, auch wenn diese Überleitung großartig war, tatsächlich vielleicht ganz kurz, also es gibt mehrere Möglichkeiten, solche Ansprüche geltend zu machen. Die klassischen Möglichkeiten, die wir im deutschen Recht so kennen, gelten natürlich auch hier. Das heißt, ich kann hergehen und sagen, guten Tag, ich schreibe außergerichtlich den Verantwortlichen an und sage, ich hätte gerne A, B, C. So.

Wenn das nicht klappt, wenn das nicht, jedenfalls nicht so erfüllt wird, wie man sich das gerne wünscht, dann habe ich die Möglichkeit, ich alleine den Verantwortlichen in Anspruch zu nehmen, gerichtlich. Das heißt, ich verklage den. So. Diese Möglichkeit besteht in Anführungsstrichen immer.

Also das, was wir jetzt erläutern, ist so ein bisschen eine Besonderheit in diesem Verfahren, wenn es um kleine Beträge geht und wenn es eben gerade um diesen Punkt geht, mache ich jetzt für 250 Euro ein Gerichtsverfahren auf oder nicht. Und da bietet ihm die DSGVO in Kombination mit weiteren Gesetzen noch die Möglichkeit, dass man das so ein bisschen bündelt. Jetzt du. Ja, also wenn es dann sozusagen um diese Bündelung geht und wir versuchen das für die Betroffenen möglichst einfach zu machen, dann gibt es aus anderen Rechtsgebieten kennt man schon sozusagen den Fall, dass die Betroffenen ihre Ansprüche, die sie möglicherweise haben, abtreten an ein Unternehmen oder an eine Rechtsanwaltskanzlei, die dann wiederum diese Ansprüche für die durchzieht und durchsetzt.

Der Vorteil sozusagen für die Betroffenen ist dann, dass sie durch die Abtretung nichts weiter mit dem Verfahren zu tun haben. Möglicherweise werden sie pauschal vergütet oder auch erst im Nachhinein nach dem Verfahren pauschal vergütet, aber sie haben auf jeden Fall kein Risiko mehr, sie haben nichts mehr mit dem Verfahren zu tun, das kann dann alles das Unternehmen für die Unternehmen. Man kennt das ein bisschen aus dem Flugreisenbereich. Also da gibt es ja diese Variante, dass du als Fluggast deine Ansprüche, die du gegen eine Airline, wo es einen Ausfall gab mit deinem Flug, dass du diese Ansprüche alle abtrittst und dann das Unternehmen, an die du die Ansprüche abgetreten hast, das übernimmt das komplette Verfahren für dich und dann hast du eigentlich nichts mehr damit zu tun.

und am Ende kriegst du nicht den vollen Betrag, nur einen Teil des Betrags, weil natürlich das Unternehmen auch sein Geld verdienen möchte, aber es wird dir halt sehr leicht gemacht, als betroffene Person deine Rechte durchzusetzen, beziehungsweise das Interesse durchzusetzen, nachher Geld zu sehen. Und so ist es im Datenschutzrecht auch möglich, solche Ansprüche abzutreten. Jetzt gibt es auch eine neue Variante mit der Musterfeststellungsklage, die man hier auch anwenden kann. Da wäre es möglich, für einen Verband, der sozusagen einen Verstoß sieht, eine Musterfeststellungsklage anzuregen.

Dafür braucht man erstmal mindestens 50 Betroffene, die sich in einem Klageregister dann registrieren. Und innerhalb dieser Musterfeststellungsklage wird dann die Sach- und Rechtslage sozusagen durchentschieden und dann festgestellt, gibt es einen Datenschutzverstoß oder nicht. Und wenn man dann diesen DSGVO-Verstoß hat, muss immer noch jede einzelne betroffene Person für sich den daraus entstehenden Schadensersatzanspruch selber durchsetzen. Und dann sind wir wieder bei den Varianten, die du genannt hast.

Also man könnte in einem ersten Schritt das Unternehmen anschreiben oder man könnte sich mit dem Unternehmen bilateral auseinandersetzen. Man könnte klagen gegen das Unternehmen, dann aber auf Leistung des Schadensersatzes. Vielleicht gibt es Schiedsverfahren, die einschlägig sind. Also da gibt es dann verschiedene Varianten.

Aber das ist halt so ein bisschen der Nachteil. Die betroffenen Personen müssen dann selber immer noch ihren Anspruch durchsetzen. Ja, und da kommt es, glaube ich, ganz erheblich darauf an, wie sich, Nehmen wir mal das Facebook-Datenleck oder das Datenlecks anderer Kategorien. Da haben wir möglicherweise genau diesen Fall.

Wir haben massenhafte Verletzungen von Datenschutzverstößen, voraussichtlich. Und daraus resultieren dann möglicherweise Schadensersatzansprüche. Jedenfalls gibt es einen ganz großen Pool an Betroffenen, die natürlich, also das wollen sowohl die Betroffenen nicht einzeln machen, Also die Gerichte wollen das nicht machen, weil es so eine große Anzahl von Personen ist, wenn ich auf einmal, ich weiß nicht, 20.000 Mal das Gleiche entscheiden muss. Deswegen macht da vielleicht es Sinn, eben im Rahmen dieser Musterfeststellungsklage, die zum Beispiel, ich weiß nicht, Verbraucherzentrale Bundesverband ist da ganz stark, die können das machen, ein Musterverfahren durchführen, in dem dann festgestellt wird, dass diese Ansprüche grundsätzlich bestehen.

dass also grundsätzlich ein Datenschutzverstoß vorliegt. Und wenn dieser Datenschutzverstoß vorliegt, kann jeder einzelne Betroffene hergehen und gegenüber dem dann Verantwortlichen darlegen, dass er auch einen Schadensersatzanspruch hat. Wenn dieser Schadensersatzanspruch dann dargelegt werden kann, dann kann sich daraus eben auch ein Betrag ergeben, der zum Beispiel an den Betroffenen gezahlt wird. Und da wäre dann die Frage, ob zum Beispiel nachdem ein Musterfeststellungsverfahren durchgeführt wurde, auch tatsächlich feststeht, dass ein Verstoß vorliegt.

Der Verantwortliche sagt, okay, ich stelle eine Maske zur Verfügung. Wenn du hier folgende Kriterien darlegen kannst, dann bin ich bereit, kurz, nicht nur kurz, sondern auf kurzen Wege ohne zusätzliches Klageverfahren einen Betrag zu bezahlen. Das wäre so die Idealvorstellung, glaube ich, für den Verbraucher, für den Betroffenen, dass tatsächlich eintritt. Das wäre dann noch abzuwarten.

Ja, ob das dann wirklich so kommen wird, das wird man dann wohl sehen. Wäre auf jeden Fall eine elegante Lösung. Ja, mal schauen. Ich denke, dass wir dann damit eigentlich den Schadensersatz ganz gut und auch ganz ausführlich, ehrlich gesagt, abgearbeitet haben.

Ich hoffe, wir haben niemanden davon abgeschreckt, jetzt über Schadensersatz nachzudenken, wenn mal das nächste Datenleck auftaucht. Ich hoffe aber auch, wir haben unseren Unternehmen, die uns zuhören, auch nicht wiederum abgeschreckt oder Angst gemacht, dass sie sich irgendwie um jetzt außerordentliche technische organisatorische Maßnahmen kümmern müssen. Alles ist gut und ja, ich freue mich auf jeden Fall, dass alle zugehört haben und wir hören uns dann in zwei Wochen wieder. So machen wir das.

Wir packen in die Shownotes noch ein paar Links zu den Urteilen, die wir besprochen haben und ein paar ergänzende Informationen über die Dinge, die wir hier besprochen haben. Wir freuen uns natürlich, wenn ihr uns folgt, wenn ihr uns auch vielleicht eine kleine positive Bewertung hinterlasst in den üblichen Stellen, wo man uns hören kann. Und wenn ihr beim nächsten Mal wieder dabei seid, wir freuen uns und ich sage auf Wiederhören.