Willkommen zum Podcast Kaffeerecht von der Kanzlei TWW Law mit rechtlichen Themen für Kreative, Unternehmer und Unternehmen. Hallo und herzlich willkommen zu einer weiteren Folge unseres Podcasts Kaffeerecht. Heute wie gewohnt an diesem Mikrofon Dennis Tölle und am anderen Mikrofon Marvin Erifay, das ist mein Name. Also ich freue mich mal wieder.

Ich freue mich jedes Mal, ehrlich gesagt, ist mir jetzt aufgefallen, aber ich freue mich auch wirklich jedes Mal, dass wir eine weitere Folge aufnehmen. Heute soll es um den Schadensersatz im Datenschutzrecht gehen. Das Thema hatten wir schon mal am 7. Juni 2024.

Also nicht ganz ein halbes Jahr her. Doch, eigentlich ganz ein halbes Jahr her. Und da wollen wir uns nochmal angucken, was sich seitdem so ein bisschen geändert hat. Wollen vielleicht den Schwerpunkt auf die sogenannten Daten-Lags geben.

Aber davor soll es noch ein kleines Update zum Thema Dubai-Schokolade geben. Von der Kostprobe? Ja, also Update ja, Kostprobe nein. Ich habe es tatsächlich, ich müsste jetzt lügen, ich war zwischendurch auch in einem Einkaufsladen.

Ich habe möglicherweise aber nicht daran gedacht, obwohl, und dann kommen wir zu diesem kleinen Update, die Schokolade bei Lidl ja zu erwerben ist und auch künftig zu erwerben sein darf. Denn wir hatten ja beim letzten Mal ganz kurz versprochen, dass wir ein Update geben, wenn sich da was tut. Und der letzte Stand in der letzten Folge war, dass das Landgericht Köln da ja mit Entscheidungen sich hervorgetan hat und in dem Fall unter anderem Aldi untersagt hat, die Schokolade in der ganz konkreten Form so zu vertreiben. Und jetzt gibt es eine weitere Entscheidung, auch im einstweiligen Rechtsschutz des Landgerichts Frankfurt.

Und da war der Antragsgegner Lidl. Und das Landgericht Frankfurt hat gesagt, das ist in Ordnung mit der konkreten Aufmachung, die Dubai-Schokolade so zu vertreiben. Ich sage mal, einheitlich mit dem Landgericht Köln ging es so ein bisschen um die Frage, ob die Herkunft eine Rolle spielt. Also ob das Ganze tatsächlich aus Dubai kommt.

Aber auch einheitlich hat das Landgericht Frankfurt gesagt, ja, es kommt darauf an, wie der Verbraucher oder der Empfänger dieser Werbung das Ganze versteht, wie ist die Verpackung aufgemacht etc. Und der entscheidende Unterschied zum Kölner Verfahren hier, jedenfalls soweit ich das sehen konnte, bestand, war der, dass die Präsentation der Schokolade und die Aufmachung anders war und eben ganz konkret stand dort, dass das Schokolade, Pistazien und Kadaif aus EU und nicht EU enthält. Und diese Herkunftsbezeichnung hat dazu geführt, dass das Landgericht gesagt hat, okay, da wird jetzt irgendwie der Verbraucher nicht in die Irre geführt und dann ist das zulässig. Ja, ich erinnere mich jetzt nur, dass wir ja bei den Köln-Entscheidungen auch das hatten, dass es diese Herkunftsbezeichnungen gab, dass die nur vielleicht auf der Rückseite ein bisschen versteckt waren.

Ich habe jetzt nicht vor Augen, wie hier diese Verpackungen waren. Es kann auch gut sein, dass die auch auf der Rückseite der Verpackung zum Beispiel sind und trotzdem das Gericht das irgendwie anders bewertet hat, was ja in Ordnung ist. Ich finde es ganz interessant, dass LG Frankfurt am Main davon ausgegangen ist, dass Dubai jetzt nicht mehr sozusagen ein Herkunftsbegriff ist per se, sondern vielleicht eher so eine Art Gattungsbegriff ist, dass man also diesen Zusatz Dubai zur Schokolade nicht unbedingt nur als Herkunftsbezeichnung sehen muss. Das fand ich eigentlich noch ganz interessant.

Das ist auf jeden Fall so oder so ein bisschen eine liberalere Ansicht oder Rechtsauffassung, die so ein bisschen mehr zulässt, sage ich mal. Ja, ich glaube, das wird ganz spannend sein zu sehen, was da noch passiert. Ich denke, wir können uns eigentlich notieren, dass sollten noch weitere Entscheidungen zur Dubai-Schokolade kommen, können wir die auch nochmal immer am Anfang der Folge bringen, weil es, glaube ich, ganz spannend ist zu sehen, wie sich, auch für unsere HörerInnen, es ist einfach super spannend, glaube ich, zu sehen, wie sich sowas entwickeln kann. Also wie sich ja auch die Rechtsprechung entwickeln kann und wie es möglicherweise auch in gewisser Weise eskalieren kann, indem es möglicherweise zur nächsten Instanz kommt.

Sei es ein OLG, sei es sogar der BGH. Und ja, deswegen, also wir werden euch da auf jeden Fall geupdatet halten im zweiwöchigen Rhythmus, falls es im zweiwöchigen Rhythmus etwas gibt. Und ansonsten habe ich zumindest alles gesagt zur Dubai Schokolade. Willst du noch was hinzufügen?

Ja, also ich glaube, da wird noch ein bisschen was kommen. Also das Landgericht Frankfurt hat sich ja auch in der Entscheidung mit, es gibt ja mehrere Entscheidungen des Landgerichts Köln, hat sich mit einer dieser Entscheidungen auch auseinandergesetzt und hat eben unter anderem auch hervorgehoben, dass die Präsentation komplett in deutscher Sprache gehalten ist. Es gab ja auch eine Entscheidung des Landgerichts Köln, wo ging es um Dubai Chocolate und das alles spielt eine Rolle. Also das alles spielt eine Rolle bei der Frage, wie versteht der Empfänger diese Werbung und das Gericht hat das hier relativ detailliert auch gewürdigt, soweit das in einem ein-weiligen Verfügungsverfahren möglich ist.

Das ist ja ein summarisches Verfahren, wo also die Dinge manchmal etwas überschlägig geprüft werden und nicht bis ins letzte wissenschaftliche Detail. Und das kann sein, dass das dann einem Hauptsacheverfahren oder auch einem Berufungsverfahren noch vorbehalten ist. Aber genau, also da gibt es jetzt insofern eine im Ergebnis anderslautende Entscheidung. Das Gericht sagte auch, dass es also ja durchaus bekannt ist, dass es unterschiedliche Dubai-Eis, Kaffeegetränke, gebrannte Mandeln etc.

gibt und dass es auch diverse Rezepte gibt, die da kursieren. Also dass diese Frage nach dem Begriff Dubai mittlerweile eine große Reichweite hat und das ist natürlich auch beim Verständnis von solchen Produkten oder von der Werbung für solche Produkte immer relevant. Wir werden da ein Auge drauf haben, wie es weitergeht. Ja, vielleicht einen kurzen Nachtrag würde ich doch noch machen wollen.

Häufig sind ja auch solche Prozesse und so Gerichtsverfahren sehr dominiert von wirtschaftlichen und Risikoerwägungen. Und hier haben wir aber den Fall, dass es häufig sehr, zumindest von außen betrachtet, wirtschaftlich starke Akteure miteinander streiten, kann man vielleicht so sagen, sodass auch nicht davor gescheut werden könnte, ein Gutachten einzuholen über wie wirklich der Dubai-Begriff unter Verbrauchern wahrgenommen wird, sodass dann, keine Ahnung, Sachverständigengutachten erstellt werden über diese Fragestellung und das wird natürlich dann super interessant zu sehen sein, wenn es denn soweit kommt. Das ist natürlich jetzt kein Muss, das muss nicht passieren, aber es könnte jedenfalls passieren. Und das sind dann, finde ich, sehr interessante, auch so über den Tellerrand der Juristerei hinausschauende Fragestellungen, die dann gestellt werden oder so sehr tatsächliche Erwägungen, die dann gemacht werden müssen.

Und ja, da lohnt es sich, glaube ich, ein Auge drauf zu behalten. Ja, definitiv, das ist ein spannendes Thema, nicht nur aufgrund der Schokolade, sondern auch aufgrund der juristischen dahinterstehenden Erwägungen. Gut, ich glaube, dann können wir mit dem, wenn man so will, dem nächsten Update starten, also dem aber etwas größeren Update, das diese Folge so ein bisschen bestimmen soll, weil ja da doch immer ein bisschen Bewegung drin ist und zwar bei dem Thema Schadensersatz, ein bisschen in Klammern, immateriellen Schadensersatz bei Datenschutz oder nach Datenschutzverletzungen. Und wie du schon gesagt hast, wir hatten das Thema schon mal aufgegriffen und hatten da in der Folge zuletzt so ein bisschen den Schwerpunkt auf Scraping gelegt.

Man kann feststellen, dass diese Fälle auch insofern nicht nachgelassen haben, als dass sie einen Großteil der Rechtsprechung bestimmen. Und seit unserer letzten Folge gab es aber dann doch sowohl vom Europäischen Gerichtshof, also vom Bundesgerichtshof, als auch in den Instanzen weitere Entscheidungen. Und da wollen wir, nachdem wir uns so ein bisschen nochmal die allgemeinen Bedingungen angeguckt haben, auch ein paar Entscheidungen rausgreifen und mal schauen, was so passiert ist. Ja, und genau, wie du es gesagt hast, wir wollen natürlich erstmal beginnen und alle erstmal wieder abholen.

Auch diejenigen, die vielleicht die Folge damals nicht gehört haben, abholen, wie funktioniert eigentlich der Schadensersatzanspruch in der DSGVO, also im Datenschutzrecht. Und das ist der Artikel 82 Absatz 1 DSGVO und vielleicht sollte man auch immer noch die anderen Absätze mitgelesen haben, damit man nichts vergisst. Und im ganz Groben, also wenn man es wirklich runterbrechen möchte auf das einfachstmögliche, dann hat der Schadensersatzanspruch drei Voraussetzungen. Ich brauche einen Verstoß gegen die DSGVO, ich brauche eine Kausalität zu einem immateriellen Schaden.

Fertig. Das heißt, Verstoß gegen die DSGVO, immaterieller Schaden, Kausalität zwischen den beiden. Es gibt keine Erheblichkeitsschwelle und theoretisch nach Artikel 82 Absatz 3 DSGVO kann sich der Verantwortliche für diesen DSGVO-Verstoß, kann sich sozusagen exkulpieren, wenn man so will, indem er sagt, dass er keinerlei Verantwortung übernehmen könnte für diesen Schaden. Das heißt, er hat keine Verantwortung für diesen Schaden.

Man könnte das vergleichen mit einer Fragestellung, ob er denn vorsätzlich oder jedenfalls fahrlässig gehandelt hat. Das sind dann sozusagen noch zwei Punkte, die hinten drankommen, also keine Erheblichkeitsschwelle und das Verschulden des Verantwortlichen. Aber in erster Linie drei Voraussetzungen, DSGVO-Verstoß bzw. Datenschutzrechtsverstoß, Immaterieller-Schaden, Kausalität.

Das heißt aber auch, diese Erheblichkeitsschwelle, die war ja mal eine Zeit lang gefordert und ist dann vom Europäischen Gerichtshof über Bord geworfen worden, weil man gesagt hat, okay, wir brauchen hier keine Erheblichkeit. Genau, also was meinen wir denn überhaupt mit Erheblichkeitsschwelle? Das ist so ein Produkt, würde ich sagen, der deutschen Gerichte, insbesondere der deutschen Gerichte. Also die DSGVO ist natürlich ein europäischer Rechtsakt, wirkt aber unmittelbar in allen Mitgliedstaaten, in allen europäischen Mitgliedstaaten.

Und gerade die deutschen Gerichte waren da, was den Schadensersatz angeht, weil er denn so weit gefasst ist, jeder Verstoß gegen die DSGVO, das ist sehr weit, waren da etwas restriktiv und hatten die Fragestellung, ob nicht der Schaden zumindest eine gewisse oder der Verstoß auch in sich eine gewisse Erheblichkeit haben müssen, eine gewisse Bagatellschwelle überschreiten müssen, damit wir hier einen Schadensersatzanspruch dann zusprechen. Insbesondere, wenn es um immateriellen Schaden geht. Das ist auch so ein bisschen historisch gewachsen, würde ich sagen, dass wir in Deutschland eher restriktiv umgehen mit immateriellen Schadensersatzansprüchen. Und das wollten einfach die Gerichte sozusagen, diese Linie wollten die Gerichte einfach fortführen innerhalb der DSGVO.

Vielleicht nochmal ganz kurz, weil wir das vorhin, weil wir es vielleicht ein bisschen eingeschränkt haben. Der Unterschied zwischen dem materiellen und dem immateriellen Schaden. Also ein materieller Schaden ist ja letztlich tatsächlich etwas, sagen wir mal, wir sind durch einen Datenschutzverstoß, ist mir Geld auf dem Konto flüten gegangen. Irgendjemand hat sich irgendwo eingeloggt, hat Geld zu sich überwiesen.

Also mir fehlt Geld im Portemonnaie. Oder mein Auto ist, also ganz salopp gesagt, wie das jetzt durch einen Datenschutzverstoß kommen kann, weiß ich nicht. Mein Auto ist kaputt. Dann ist das ein materieller Schaden.

Den kann ich, blöd gesagt, anfassen. Den kann ich sehen. Das ist so etwas, eben was Materielles. Wohingegen, und deswegen ist die Diskussion meistens auch geführt im Bereich der immateriellen Schäden, diese eben nicht sichtbaren oder nicht greifbaren immateriellen Schäden so schwer in der Realität, aber auch eben von der Rechtsprechung zu fassen sind, wird darüber am meisten diskutiert.

Und das ist eben der Teil, wo auch am meisten Bewegung drin ist, würde ich sagen, in der Rechtsprechung. Und wo wir uns so ganz langsam, so habe ich zumindest das Gefühl, wird dieses Korsett der Voraussetzungen etwas enger. Und man kann sagen, okay, wir haben hier A, B und C, das brauchen wir. Und wenn wir einen Schaden nachweisen wollen, dann müssen wir ein paar Sachen haben oder nicht haben.

Und dann haben wir die Chance, irgendwie zu einem Schadensersatz zu kommen, auch wenn es etwas ist, was ich jetzt nicht greifen kann. Kein kaputtes Auto, kein Geld, das mir im Portemonnaie fehlt. Ja, also vielleicht um Beispiele für immaterielle Schäden zu geben. Psychische Belastung, die keiner medizinischen Behandlung benötigen.

Stress, Kontrollverlust über diese Daten, über irgendwelche Daten. Das sind so Klassiker der immateriellen Schäden. vielleicht auch Rufschädigungen, die dadurch geschehen sind, dass die Daten abhandengekommen sind oder sonst wie fälschlicherweise verwendet werden. Das sind immaterielle Schäden.

Ein materieller Schaden könnte vielleicht noch als Beispiel sein, dass meine Daten fälschlicherweise, also rechtswidrig genutzt wurden und mir dann ein Angebot gemacht wurde, das ich dann auch angenommen habe, also ich habe eine wirtschaftliche Entscheidung getroffen, die ich sonst nicht getroffen hätte, wenn denn meine Daten nicht fälschlicherweise, also rechtswidrig verwendet wurden. Das sind sozusagen die zwei Komponenten, aber wie man merkt, bei Stress oder Kontrollverlust, ich will das jetzt nicht runter machen als Probleme, aber das sind, wie du selber gesagt hast, sehr unhaptische Sachen. Ich kann nicht messen, im Gegensatz zu einem gebrochenen Arm, kann ich nicht messen, nicht belastbar messen, wie viel Stress hat jetzt eine Person dadurch, dass sie jeden Tag angerufen wird von fremden Nummern. Ja, genau.

Und dann kommt das so ein bisschen im Zusammenspiel mit dieser eigentlichen Funktion des Schadensersatzes. Das heißt, ich habe eine Ausgleichsfunktion. Ich soll also einen Schaden ausgleichen. Es ist nichts, was irgendwie eine Bestrafungsfunktion hat oder sowas.

Und dann muss ich natürlich schon sagen, okay, wie bemesse ich denn jetzt diesen nicht messbaren Schaden? Und deswegen gibt es eben diverse Entscheidungen zu ganz unterschiedlichen Beträgen, Wobei in der Tat die deutschen Gerichte da sehr zurückhaltend sind, was das angeht. Also wir bewegen uns ja jetzt irgendwie im dreistelligen Bereich, wenn ich das richtig gesehen habe. Da haben wir, glaube ich, weit oberhalb angefangen, aber mittlerweile reduziert sich das so ein bisschen bei.

Das muss man ja sagen, das ist ja die Masse der Fälle, wo ich sage, okay, ich bekomme jetzt auf einmal ganz viel Spam. Ich weiß nicht, wo meine Daten gerade sind, weil es eben einen Datenverlust irgendwo gab. Wenn etwas Schlimmeres passiert, in Anführungsstrichen, dann geht damit ja auch der Schadensersatz nach oben, entweder auf den konkreten materiellen Schaden gerichtet oder eben bei der Bemessung dieses immateriellen Schadens. Ja, ich glaube, eins der besten Beispiele, was man hier noch geben könnte, wäre der klassische Auskunftsanspruch der DSGVO in Artikel 15.

Wenn dem beispielsweise in einem Arbeitsverhältnis nicht befolgt wird, dann kann der Schadensersatzanspruch sehr schnell in die Höhe schießen. Also da hatten wir ja sehr hohe Beträge, die wir damals dann auch schon genannt haben, also vierstellige und hohe vierstellige Beträge, fast schon fünfstellige Beträge hatten wir damals. Also da kann dann der Schadensersatzwert auch sehr hoch gehen. Was ich vielleicht nur, du hast ja dieses Wort Ausgleichsfunktion gesagt und das ist eigentlich sehr interessant, ich finde das können wir hier ganz kurz noch ergänzen.

Die Sache ist die, dass wir mit Artikel 82 DSGVO eben nicht das Ziel verfolgen, abzuschrecken, wie du gesagt hast. Dafür haben wir die Bußgelder in der DSGVO. Also das gibt es auch, das will auch die DSGVO machen, aber das will sie an anderer Stelle machen. Das sind Bußgelder, die dann die Datenschutzbehörden erlassen können, wenn sie dann aufmerksam werden auf systematische Verstöße oder sowas, je nachdem, was die Voraussetzungen gerade sind.

Aber der Schadensersatz soll die geschädigte, die betroffene Person nur sozusagen ausgleichen und eine Naturalrestitution, wenn man so will, herstellen und das ist immer, immer, immer sehr, sehr schwierig bei immateriellen Schadensersätzen, denn es ist nicht möglich, eins zu eins den Kontrollverlust über Daten in Geld zu messen. Das ist leider einfach so und das ist einfach ein Prozess, dass man da angemessene Werte findet. Wie du gesagt hast, wir kommen da eher so in die dreistelligen Beträge, vielleicht auch eher sogar in die niedrigen dreistelligen Beträge aktuell und das ist das, worauf man sich einfach einstellen muss. So ist das leider.

Das schaue ich mal gerade, aber ich glaube im Wesentlichen, da kriegt man einen ganz guten Überblick. Wir haben ja jetzt der EuGH, der ist mit einer Entscheidung da nochmal vorangegangen und hat im Wesentlichen dann diese Entscheidung auch nochmal manifestiert, was du gerade gesagt hast. Wir brauchen einen Verstoß, wir brauchen eine Kausalität, wir brauchen eben keine Erheblichkeit. Ein Punkt, der eine Rolle spielt, weil er so ein bisschen, das ist sehr praxisnah, das ist der Punkt der Beweislast.

Das heißt, der Frage danach, wer muss eigentlich was in einem Verfahren beweisen? Und da hat der EuGH auch relativ klar gesagt, dass die betroffene Person, also der von dem Datenschutzverstoß Betroffene, den Verstoß, den Eintritt des Schadens und die Kausalität zwischen diesen beiden Sachen nachweisen muss. dass das eben nur bis zu einer gewinnsten Grenze überhaupt möglich ist, weil ich ja häufig auch, ich weiß nicht, ich kann bestimmte Sachen einfach nicht beweisen. Wenn es jetzt darum geht, ja, ich weiß nicht, da gab es irgendwie einen Scraping-Vorfall bei Facebook.

Ich habe über die technischen Hintergründe, über die Strukturen bei Facebook, wie soll ich irgendwas dazu? Ich kann ja nicht mal vortragen dazu, ich kann es nur vermuten. Und dann kommt es eben dazu, dass die Gerichte sagen, oder dass der EuGH gesagt hat, dann ist es zulässig, dass wir eine sogenannte Beweislastumkehr annehmen und dann eben der Betroffene doch nicht mehr oder jedenfalls nicht im zweiten Schritt nicht mehr dafür Beweis belastet ist, sondern eben die andere Partei. Ja genau, und das ist auch sehr wichtig, denn was wir sehen, und das ist auch ein Thema insbesondere in der Wissenschaft zum Datenschutzrecht zur DSGVO, dass die DSGVO im Prinzip an einem gewissen Umsetzungsproblem oder Durchsetzungsproblem leidet, in der Form, dass es einfach sehr schwierig ist, die Rechte, die man eigentlich hat aus der DSGVO, dann in der Realität umzusetzen und das ist zum Beispiel ein sehr gutes Beispiel.

Also wenn du die Beweislast komplett nur bei der betroffenen Person hättest, dann ist es einfach sehr schwierig nachzuweisen, dass beispielsweise jetzt das, was du genannt hast, Facebook, technische und organisatorische Maßnahmen nicht getroffen hat und deshalb es zu einem Datenleck gekommen ist. Das ist einfach nicht nur sehr schwierig, das ist eigentlich unmöglich für eine einzelne betroffene Person, das nachzuweisen. Und da sind so, wie kann man das nennen, juristische Kniffe, wie eine Beweislastumkehr sind dann notwendig, damit sozusagen der Schadensersatzanspruch, der trotzdem gewährt werden sollte, nicht komplett leer läuft. und sozusagen nie genutzt werden kann.

Und ja, das ist sehr gut, dass sozusagen der EuGH das da an der Stelle gesehen hat. Aber man darf nicht vergessen, im Kern eine gewisse Beweislast bleibt immer erstmal bestehen. Also sozusagen bis sozusagen die Grenze erreicht ist von dem, was ich erwarten kann, was der betroffene Person beweisen kann, muss sie das auch beweisen. Erst dann, wenn ich sagen kann, okay, das sind jetzt Fragen und Probleme, die kann die Person nicht mehr beweisen, erst dann könnte so eine Beweislastumkehr, die auch immer dann im Einzelfall festgestellt werden muss, greifen.

Vielleicht ein Punkt dazu ist auch, möglicherweise erfahren betroffene Personen, dass sie das Daten von ihnen irgendwo im Netz rumschwirren, können aber nicht identifizieren, wo sie diese Daten herkommen. Wer ist der Schuldige sozusagen, welches Datenleck ist sozusagen schuld dafür? Und das ist halt wieder so ein Thema, an wen richte ich mich denn jetzt mit meinem potenziellen Schadensersatzanspruch? Das sind dann diese Durchsetzungsprobleme, von denen ich gerade geredet habe.

Soll aber jetzt gar nicht so großes Thema sein für heute. Aber wo wir bei Entscheidungen sind und bei Scraping, da können wir vielleicht dann eine Überleitung gleich mitnehmen und zwar die zu einer Entscheidung des Bundesgerichtshofs. Also der Europäische Gerichtshof, der beantwortet Fragen meistens, wenn er gefragt wird eben und das hat der Bundesgerichtshof in diesem Fall auch schon mehrfach getan oder im Bereich des Datenschutzrechts. Und jetzt ist es aber so, dass wir im deutschen Recht eine einigermaßen neue Konstellation haben, dass der Bundesgerichtshof ein bestimmtes Verfahren zum sogenannten Leitentscheidungsverfahren bestimmen kann.

Das bedeutet, oder das kann er tun, wenn, das wurde letztes Jahr eingeführt, das bedeutet, dass in Fällen, wo ganz viele Verfahren gleicher Art zu erwarten sind, bestimmte Rechtsfragen, grundlegende Rechtsfragen schon in einem Verfahren, in einem sogenannten Leitentscheidungsverfahren geklärt werden können. Der BGH hat jetzt gesagt, erstmals, meine ich, zu diesen Scraping-Fällen ist es notwendig, dass wir ein paar grundlegende Rechtsfragen klären und hat dieses Verfahren, was dort im Moment läuft, zu einem solchen Leitentscheidungsverfahren ernannt. Was dazu führt, dass man nach Abschluss dieses Verfahrens, nachdem diese Fragen geklärt worden sind, können sich alle anderen daran orientieren und können sich nicht nur daran orientieren, sondern können das als belastbare Grundlage für eigene Entscheidungen nehmen. Punkt.

Ja, dieses Leitentscheidungsverfahren kam am 31. Oktober 2024, wurde es sozusagen eingeführt in die Zivilprozessordnung. Am 18. November kam schon die Leitentscheidung in dieser Sache.

Das war auch die erste Leitentscheidung des BGHs. Also der BGH wusste sozusagen schon vorher, dass sie dieses System, dieses neue Tool, sozusagen Werkzeug nutzen würden für diese Fragestellung. Bietet sich hier auch sehr, sehr gut an, da ja die DSGVO auch so gedacht ist, dass sie eben sehr einheitlich oder möglichst einheitlich ausgelegt wird. Die Frage, die diesem Leitentscheidungsverfahren insbesondere zugrunde lag und die jetzt auch dann, wenn man so will, abschließend entschieden wurde, ist, was brauchen wir als Verstoß?

Also wir haben ja gerade gesagt, drei Voraussetzungen, Verstoß gegen die DSGVO, Immaterieller Schaden, Kausalität und jetzt bei der Frage des Verstoßes, was genau brauchen wir? Und zwar insbesondere die Frage, reicht ein reiner Kontrollverlust? Ich habe keine anderen Effekte, ich habe einen Datenleck und ich habe jetzt diese Befürchtung oder das Wissen darüber, dass meine Daten irgendwo in der Welt sind. Und ich habe keine Kontrolle mehr über diese Daten.

Aber ich habe noch keine sonstigen Effekte. Ich habe keine Spam-Anrufe, keine Spam-Mails. All das habe ich noch nicht, sondern nur den Kontrollverlust erstmal. Und da war die Frage, reicht das wirklich nach der DSGVO für einen Verstoß und dann der auch einen Schadensersatz auslöst.

Und der BGH hat nicht zu meiner persönlichen Verwunderung, aber vielleicht zu irgendwessen Verwunderung, hat gesagt, doch, doch, das reicht. Also alleine der Nachweis eines Kontrollverlustes reicht aus, damit wir einen DSGVO-Verstoß haben, der einen immateriellen Schadensersatz begründen kann. Kleiner Umweg noch, um den Hintergrund zu erläutern. Ich weiß, wir haben eben schon von Scraping gesprochen.

Ich will zumindest einmal kurz sagen, was es denn ist, also wenn wir von Kontrollverlust reden. Scraping ist, der Begriff selber ist tatsächlich im Rahmen dieser Facebook-Fälle ein bisschen publiker geworden, ist aber jetzt auch nichts Neues. Da geht es eben um die Extraktion, entweder automatisiert oder manuell von Daten, also das Herausziehen von Daten aus unterschiedlichen Quellen, meistens Websites, deswegen wird das häufig auch Webscraping genannt oder Screenscraping. Und dann werden da Daten aus Websites oder eben anderen digitalen Oberflächen gesammelt, um die in großem Umfang, um die weiter zu verarbeiten, zu analysieren oder für andere Zwecke zu nutzen.

Und bei Facebook war es eben so, dass ein Unternehmen Zugriff auf verschiedene Nutzerdaten hatte und die wurden massenhaft abgegriffen und wurden dann eben, das waren E-Mail-Adressen, Telefonnummern, Login-Daten, also nicht Login-Daten im Sinne von Passwörtern, sondern wann eingeloggt, wo eingeloggt etc. Und die wurden dann eben in riesengroßen Datenpaketen zusammengeführt, analysiert und weiterverwendet, zum Beispiel für Werbezwecke, Vertrieb an irgendwelche Mail-Versender, unter anderem auch die, die man so als Spam-Versender dann empfindet oder auch benennt. Und das ist dann dieser Kontrollverlust. Also ich habe meine Daten bei Facebook eingegeben, weil ich diesem sozialen Netzwerk irgendwie beitreten wollte und da so ein bisschen aktiv sein wollte.

Und im Ergebnis sind die Daten aber noch ganz woanders gelandet und ich weiß nicht genau wo und ich habe Angst, dass ich jetzt Spam bekomme. Und das ist diese Technik, die dann zu diesem Kontrollverlust führen kann, weil ich halt, keine Ahnung, ich weiß halt nicht, was damit gerade passiert, merke aber möglicherweise, dass sich etwas verändert unter Nutzung, weil dadurch bekomme mehr Spam etc. Gibt es ein paar Fälle zu, da sprechen wir gleich kurz drüber. Aber der BGH sagt halt schon, dieser bloße und kurzzeitige Verlust der Kontrolle reicht schon aus, um einen immateriellen Schaden zu begründen.

Wobei, das muss man auch sagen, da gibt es ja auch ein kleines Aber noch dahinter, nämlich bei der Frage der Schadensersatzhöhe. Ja genau, da haben die natürlich dann so ein bisschen wieder das eingefangen, die sehr schnelle Verstöße oder die hohe Anzahl an Verstößen, die man jetzt erwarten kann, die so in der Welt rumschwirren und haben das ein bisschen wieder eingefangen und dann die Schadensersatzhöhe dann halbwegs niedrig angesetzt mit erstmal nur 100 Euro. Dreistelliger Betrag, aber der letzte, sozusagen erste dreistellige Betrag, der möglich ist. Ein bisschen Mathe an der Stelle.

Und ja, aber das ist ein doch sehr geringer Grundbetrag. Aber man muss natürlich sagen, dass dieses Leitentscheidungsverfahren jetzt nicht bindend ist, was diese 100 Euro Schadensersatzanspruch in der Höhe angeht, sondern da ist das vielleicht auch nur so eine Art unterste Grenze oder vielleicht so eine Art Marschrichtung. und in Einzelfällen, insbesondere dann, wenn der Kontrollverlust sich vielleicht doch mal in anderen spürbaren negativen Folgen bemerkbar macht, dann wird auch mehr als 100 Euro Schadensersatzanspruch geltend gemacht werden können. Hier ging es ja explizit um den Fall, wo nur ein Kontrollverlust geschehen ist.

Was ich vielleicht jetzt noch dazu sagen wollen würde, weil ich es wirklich sehr spannend finde, also das ist für Juristen ein super spannender Fall und super spannende Entscheidung. Und ich habe ja immer doch relativ häufig und ich glaube sogar hier im Podcast plakativ gesagt, jeder DSGVO-Verstoß begründet einen Schadensersatz. Und wenn man sich das jetzt nochmal vor Augen führt, was hier gesagt wird, dann ist das nicht unbedingt mehr so. Denn dieser Nachweis eines Kontrollverlustes ist ja schon eine Folge aus einem Verhalten, das ein DSGVO-Verstoß hatte.

Das heißt, der DSGVO-Verstoß ist eine Ursache, die eine Folge hatte. Die Folge ist zwar sehr gering anzusetzen, mit reiner Kontrollverlust reicht, aber wenn es gar keine Folge gibt eines DSGVO-Verstoßes, beispielsweise ich halte mich nicht an technische und organisatorische Maßnahmen, die notwendig gewesen wären, und es folgt aber nichts daraus, die Daten bleiben immer bei mir, keiner greift auf die zu, es gibt keinen Kontrollverlust, dann könnte man mit diesem Urteil theoretisch argumentieren, dass dann auch kein Schadensersatz daraus entsteht. Ich kann vielleicht über Bußgeldverfahren, über die Datenschutzbehörden darauf hinwirken, dass technische und organisatorische Maßnahmen doch umgesetzt werden sollen. Aber solange überhaupt keine Folge geschieht, dann ist es vielleicht, und das wird die Zeit sozusagen erst noch zeigen, aber dann ist es vielleicht doch so, dass nicht jeder DSGVO-Verstoß sofort einen Schadensersatz begründet, sondern wir eben irgendeine Form von Folge brauchen.

Das lässt sich jedenfalls hören. Also das ist ja etwas, was, glaube ich, in der Literatur auch diskutiert wird. Ja, also halte ich, also ich sage mal so, ich könnte es im Zusammenspiel mit den Bußgeldverfahren oder mit der Bußgeldmöglichkeit nachvollziehen. Wenn es die nicht gäbe, fände ich es, naja gut, dann ist die DSGVO ein zahnloser Tiger.

Also so könnte ich es aber nachvollziehen, wenn man sagt, okay, es gibt faktisch keinen, also null nicht, keinen Schaden. in dem Fall, den du gerade benannt hast. Ja, es ist halt alles gut gegangen, auch wenn unsere Toms nicht in Ordnung waren. Ja, dann hast du jedenfalls an der Stelle Glück gehabt, dass da kein Schadensersatz von irgendwelchen betroffenen Personen droht.

Das kann dann die Aufsichtsbehörde anders sehen, aber das steht auf einem anderen Blatt Papier. Ja, und vielleicht nur um das auch klarzustellen, das ist etwas, worüber man jetzt mit diesem BGH-Leitentscheidungsverfahren diskutieren kann. Also jetzt, wo wir das so haben und es so schwarz auf weiß da steht, kann man das diskutieren. Aber bitte nicht so verstehen, dass man jetzt geflissentlich auf alle Sicherheitsmaßnahmen sozusagen verzichten kann und Daten von Kunden einfach speichern kann und sagen kann, naja, ich brauche schon keine DSGVO-Regelung, weil es passiert wird schon, es hätten euch immer gut gegangen.

Es passiert, wird nichts passieren mäßig. Das bitte nicht. Also DSGVO immer noch einhalten. Ich könnte mir auch sehr gut vorstellen, dass ich mit dieser Ansicht eher in der Mindermeinung bin.

Was ich nur sagen möchte, ist, dass dieses Entscheidungsverfahren zwar in gewisser Weise, in einer Hinsicht hat es uns Klarheit gegeben, der reine Kontrollverlust löst einen Schadensersatzanspruch aus, in Höhe von mindestens 100 Euro, aber in vielerlei Hinsicht sind da doch noch einige ungeklärte Fragen, die man vielleicht beim näheren Hinsehen dann einem auffallen und da wird es noch Änderungen, beziehungsweise Klarheit geben hoffentlich dann in der Zukunft. Ja, also diese Verfahren laufen und werden laufend entschieden. Insofern, da wird auf jeden Fall noch was passieren. Wir können uns ja mal die ein oder andere Entscheidung, die jetzt in jüngerer Zeit ergangen ist, mit ganz konkreten Beträgen und Folgen anschauen.

Ich habe als erstes so ein bisschen aus der Reihe eine Entscheidung vom Europäischen Gericht. Da ging es nämlich um einen Datenverschuss der EU. Und da hatte auf der Website einen sogenannten EU-Login. Das war so ein Hyperlink, der da angezeigt wurde.

Und die EU-Kommission hatte das technisch so eingebaut, dass die IP-Adresse des Website-Nutzers an ein amerikanisches Unternehmen weitergeleitet wird. Und die haben zufällig auch eine Social-Media-Plattform betrieben, oder betreiben sie immer noch. Und da hat das in dem Fall zuständige Europäische Gericht gesagt, dass zu dem Zeitpunkt der Datenübermittlung es noch keinen Angemessenheitsbeschluss der EU-Kommission für die USA gab. Das war, die Entscheidung selber ist von Anfang dieses Jahres, aber der Verstoß selber, der lag noch vor dem Zeitpunkt, als es wieder einen Angemessenheitsbeschluss gab mit den USA, wo die Frage nach der Übermittlung der Daten, ich sag mal, in Anführungsstrichen geklärt ist jetzt für, gucken wie lange.

Aber das reicht dann eben nicht aus. Das heißt, ich hätte eine ausdrückliche Einwilligung des Besuchers gebraucht und die lag eben nicht vor. Und damit haben wir einen Verstoß gehabt und der Kläger in diesem Fall hat auch einen Kontrollverlust geltend gemacht und jedenfalls dem EUG zufolge einen kausalen immateriellen Schaden erlitten. Und dieser sei auch sicher entstanden, denn die Datenübermittlung hat dazu geführt, dass der Kläger jetzt in der Lage ist oder sich in der Lage befindet, in der Situation befindet, dass er nicht weiß oder jedenfalls nicht sicher sein kann, wie seine Daten verwertet werden.

Das heißt, er begibt sich auf die Website einer EU-Institution und die Daten werden, ohne dass da irgendwas zusätzlich passiert, in die USA übermittelt. Das ist aktuell nicht mehr so problematisch, wie gesagt, weil es diesen Angemessenheitsbeschluss gibt, den gab es damals eben nicht. Dann hat der Euge gesagt, okay, das rechtfertigt hier auch einen Schadensersatz und hat den mit 400 Euro beziffert. Da ging es auch gar nicht um die Frage, ob da jetzt irgendwie ein Leitentscheidungsverfahren des BGH relevant ist.

Das konnte er relativ frei entscheiden. Diese Entscheidung steht aber tatsächlich so ein bisschen außerhalb der anderen. Auch unter Berufung auf die Voraussetzung des EuGH hat die Sachen, hat der EuGH das alles soweit berücksichtigt. Aber nichtsdestotrotz, aus unterschiedlichen Gründen steht die Entscheidung so ein bisschen separat zu den anderen.

Ja, vielleicht als nächste Entscheidung dann eine, die sehr interessant ist aus dem Gesichtspunkt, dass das OLG Dresden in dieser Entscheidung von seiner bisherigen Rechtsprechung abgewichen ist, aufgrund des Leitentscheidungsverfahrens und sozusagen vorher die Ansicht vertreten hat, reiner bloßer Kontrollverlust reicht nicht aus für einen immateriellen Schaden, jetzt schon. Und es hat dann nämlich auch den Schadensersatz in Höhe von 100 Euro dem Kläger zugesprochen. Es ging auch um einen Scraping-Fall aufgrund eines Datenlecks auf einer Social-Media-Plattform. Also sozusagen der Klassiker, über den wir heute den ganzen Tag, die ganze Zeit reden.

Und ja, die haben die Verantwortlichkeit bejaht, haben den immateriellen Schaden dann zugesprochen und auch, vielleicht noch ganz spannend, für uns, die vorgerichtlichen Rechtsanwaltskosten, also die Erstattung derer, wurden auch zugesprochen. Das heißt, die waren auch berechtigt, dass man die beispielsweise in einem Auskunftsanspruch oder sowas dann geltend gemacht hat. Wobei man hier auch sagen muss, der Kläger hatte ursprünglich 3000 Euro Schadensersatz gefordert, mindestens. Das hat er 100 bekommen, ist natürlich jetzt im Gesamten etwas unglücklich gelaufen dann.

Und diese Rechtsanwaltsgebühren, die sind dann auch auf dem, Rechtsanwaltsgebühren werden ja nach dem Gegenstandswert berechnet, Streitwert. Und wurden dann eben auch basierend auf diesen 100 Euro berechnet, wenn ich das richtig gesehen habe. Und das ist also alles in diesem kleinen Rahmen zugesprochen worden. Ich gehe aber insgesamt davon aus, dass er dann weit überwiegend verloren hat.

Ich möchte 3.000 Euro, bekomme 100. Dann habe ich also über 2.900 Euro verloren. Ich meine, das ist sowieso so eine ganz interessante Frage mit den 100 Euro. Wenn es jetzt wirklich dabei bleibt, dass alle deutschen Gerichte immer 100 Euro zusprechen, dann könnte ich mir vorstellen, dass doch relativ wenige Leute daran interessiert sind, das gerichtlich durchzusetzen, weil an dem Fakt, dass ich jetzt mit Spam-Mails zugespampt werde, wird sich nichts ändern durch dieses Gerichtsverfahren.

Und die 100 Euro machen das vielleicht auch nur bedingt erträglicher. Und es gibt immer ein Prozessrisiko zu verlieren. Das zeigt vielleicht auch unser nächstes Urteil vom OLG Hamm. Ja, das OLG Hamm hat, tatsächlich, da gab es mehrere Entscheidungen aus dem November und eine dieser Entscheidungen hat, das ist auch Quatsch, alle Entscheidungen sind so ausgegangen, dass es keinen Schadensersatz gab.

Aber, und das ist der Punkt, also die Gerichte haben unisono zugrunde gelegt, ja, wir, also ein reiner Kontrollverlust reicht aus. Aber das entbindet den Kläger nicht, oder Klägerin nicht davon, dazu auch vorzutragen. Also ich muss schon auch darlegen, inwieweit dieser Kontrollverlust denn tatsächlich vorhanden ist. Und in dem Fall, den OLG Hamm vom 29.

November 2024, ging es im Wesentlichen um Spam-Nachrichten. Und das Gericht hat gesagt, naja gut, allein die Tatsache, dass du Spam bekommst, das ist in gewissem Umfang nichts Ungewöhnliches. Und vor allen Dingen hat er in der mündlichen Verhandlung auch erklärt, der Kläger, dass er grundsätzlich auch vor diesem Vorfall schon mal Spam-Nachrichten bekommen hat. Das heißt, das Gericht hatte hier so ein bisschen die Schwierigkeit zu sagen, okay, aufgrund dieses Scraping-Vorfalls hat sich da jetzt irgendwas geändert.

Das heißt also, gescheitert ist es dann letztlich ein bisschen an der Darlegung dieser Kausalität zwischen diesen beiden Punkten. Und da hat es gesagt, okay, also auch wenn dieser Konfrontverlust grundsätzlich ausreicht, in diesem Fall rechtfertigt ist es jedenfalls kein Schadensersatz. Genau, also das darf man ja nicht vergessen. Wir haben ja die drei Voraussetzungen, also einen Verstoß, einen immateriellen Schaden und die Kausalität.

Und die Kausalität ist eben sehr wichtig. Und ja, da ist es halt eben genau an dieser Kausalität gescheitert. Vielleicht das letzte Urteil oder das in chronologischer Hinsicht eigentlich sogar erste Urteil bei uns in den Notizen, das letzte Urteil des OLG Hamm. Ist auch sehr interessant, weil es da darum ging, dass der Klägervortrag eben sehr unkonkret und nicht individuell war.

Und also so ein bisschen vielleicht, ja wie soll man sagen, pauschalisiert war. Ja und dadurch fehlte es auch da wieder dem Gericht daran, dass sie die negativen Folgen für diesen konkreten Kläger feststellen konnten. Und deswegen auch da dann kein Schadensersatz zugesprochen wurde. Das heißt, das Leitentscheidungsverfahren und die doch sehr weite Auslegung der DSGVO entbindet nicht davon, dass wenn ich einen Schadensersatzanspruch gelten machen möchte, ich dann schon auch individuell darlegen muss, wie bin ich betroffen von dem Kontrollverlust.

Also der Kontrollverlust reicht theoretisch aus, aber ich muss schon darstellen, dass ich von dem Kontrollverlust in irgendeiner Weise besonders betroffen bin. Wenn ich es gar nicht bin, also wenn ich keinerlei Folgen davon spüre eigentlich, dann reicht auch doch nicht mehr der Kontrollverlust aus, denn dann ist er nicht kausal für meinen Schaden. Also das, ich sehe ja so ein bisschen hier in diesen Fällen eine ganz klare Möglichkeit für Legal Tech, In Anführungsstrichen für Verfahren, die eben teilautomatisiert diese Ansprüche durchsetzen können, ohne dass da jetzt eine große Arbeit, diese Voraussetzungen stehen fest, die Höhe steht ungefähr fest, dann kann man gucken, wie weit man das in Einzelfällen individualisiert. Aber in der Tat geht es so ein bisschen in die Richtung, gerade auch was die Masse angeht, dass man das vielleicht automatisiert macht.

Aber die Gerichte werden das nicht automatisch durchwinken, wenn ich nicht individuell einen Vortrag bringe. Das ist eben der Punkt. Also ich muss schon schauen, dass ich nicht einfach pauschal sage, ja gut, es gab einen Scraping-Vorfall, dadurch können Spam-Mails kommen und grundsätzlich kann auch dieses und jenes passieren, sondern ich muss schon vortragen, inwieweit sich das auf mich persönlich auswirkt. Also ich muss schon sagen, ob sich vielleicht bei mir dann auch was geändert hat.

So, ja, ich habe schon immer Spam bekommen, jetzt bekomme ich immer noch, komme ich weiterhin Spam, das reicht dann eben nicht. Da ist es dann tatsächlich an demjenigen, der da vorträgt, dass er das auch so gestaltet, dass diese Anforderungen eingehalten werden. Gerade in diesem Verfahren wirkt es so, als wäre es halt einfach nicht, ja, nicht so richtig individuell vorgetragen worden, sondern so ein bisschen, ja, wie gesagt, das pauschalisiert. Ja, wir haben da noch eine Entscheidung offen.

Das ist eine, die auch ausnahmsweise mal nicht um Scraping sich dreht. Die im Ergebnis aber ähnlich ist, weil das Oberlandesgericht Schleswig, das ist eine Entscheidung von Mitte bis Ende November, 22. November, Da ging es darum, dass eine Einmeldung von rückständigen Forderungen an eine Auskunft Teil erfolgt ist. Also ein Gläubiger hat eine Forderung, die ihm nicht ausgeglichen wurde, an eine Auskunft Teil gemeldet.

Da gibt es ja unterschiedliche Schufa-Kreditreformen etc. Und damit war der betroffene Schuldner in dem Fall nicht einverstanden. Und das Gericht hat auch grundsätzlich gesagt, ja, in diesem Fall sehen wir da auch einen DSGVO-Verstoß, weil wir da keine, diese Übermittlung dieser Daten, die ist jetzt nicht von irgendeinem Grund aus Artikel 6 gedeckt, keine Einwilligung, keine sonstigen Gründe erkennbar. Und einen Schadensersatz hat es aber gegen der Voreinstanz, das Landgericht Kiel hat am Anfang noch gesagt, doch, doch, Schadensersatz gibt.

Das Oberlandesgericht Schleswig hat aber gesagt, nee, Schadensersatz sehen wir hier nicht, weil keine negativen Folgen im Geschäftsleben nachgewiesen worden sind. Und selbst ein Kontrollverlust liege nicht vor, da diese Voraussetzungen einer Einsicht bei der Auskunft TIE sind klar geregelt. Das heißt, ich kann da reingucken, ich kann genau sagen, ich hätte gerne Informationen, was passiert mit meinen Daten und wo speichert ihr die etc. Und dadurch gibt es gar keinen Kontrollverlust, weil ich ja die Möglichkeit habe, dort Einsicht zu nehmen und zu ersehen, was passiert mit meinen Daten.

Und damit kam es im Ergebnis dazu, dass es keinen Schadensersatz gibt, auch wenn es einen Verstoß gab, der natürlich weitere Folgen auslösen könnte. Ja, also die negativen Folgen im Geschäftsleben, die nicht nachgewiesen werden konnten, die könnten natürlich auch einen materiellen Schadensersatz begründen. Also wenn ich jetzt irgendwie Aufträge nicht mehr bekomme, weil die Kunden Angst haben, dass ich meine Verträge nicht erfüllen kann oder sowas, das wären natürlich materielle Schäden gewesen. Da wiederum kam es aber auch wieder auf die Kausalität an.

Da hat das Gericht dann schon festgestellt oder gesagt, möglicherweise wurden negative Folgen vorgetragen, aber die Kausalität wurde nicht hinreichend dargelegt, dass man sagen kann, okay, die Eintragung bei der Auskunftsteil war, die Einmeldung bei der Auskunftsteil war kausal für die negativen Folgen im Geschäftsleben. Also Kausalität ist sozusagen eine häufig missachtete Voraussetzung, die aber doch eigentlich sehr, sehr wesentlich ist und die man auf gar keinen Fall vergessen sollte. So, jetzt haben wir heute vor der Folge besprochen, dass wir es mal probieren, etwas kürzer zu halten, vielleicht sogar nur eine halbe Stunde, weil es hat gut geklappt, nicht. Aber trotzdem würde ich sagen, dass wir an dieser Stelle vielleicht dieses Update einmal abschließen, weil ansonsten wird es wahrscheinlich redundant.

Also was wir festhalten können, ist ganz klar, diese Voraussetzungen für, für einen materiellen Schadensersatz sowieso, aber auch für einen immateriellen, ich würde sagen, die haben wir jetzt. Natürlich wird sich für jeden Einzelfall immer noch wieder etwas rauskonkretisieren, was man vortragen muss, was vorliegen muss etc. Aber insgesamt würde ich sagen, sind wir hier auf dem Weg, wo man sagen kann, okay, zur Einschätzung, bekomme ich einen Schaden oder habe ich die Chance auf einen Schadensersatz? Aufgrund, weiß ich nicht, dieses oder jenes, dieses oder jedenfalls.

Das lässt sich mittlerweile einigermaßen belastbar beantworten. Bei der Höhe in der Tat, da ist das Gericht auch immer ein bisschen frei, was das Schätzen angeht. Aber auch hier kann man sagen, wenn es zu einem Schadensersatz kommt, dann haben wir jetzt eine Untergrenze von 100 Euro, die man glaube ich durchaus so ansehen kann, außer ich habe einen materiellen Schaden, der da drunter liegt, dann komme ich nicht drum rum. Aber ich glaube, mit den 100 Euro als untere Grenze fährt man nicht ganz verkehrt.

Nach oben ist es offen, aber auch da, wenn wir berücksichtigen, dass die deutschen Gerichte da einigermaßen zurückhaltend sind, das wird nicht ins Unermessliche gehen. Also große Reichtümer, weil meine E-Mail-Adresse flöten geht bei Facebook oder so. Das ist, glaube ich, etwas, was vielleicht ganz am Anfang mal jemand gehofft hat, aber sich auch relativ schnell in Luft aufgelöst hat, was auch okay ist. Aber nichtsdestotrotz, gerade in der Masse der Sache kann man, glaube ich, gegenüber Institutionen und Unternehmen, die einfach eine große Verantwortung tragen, weil sie mit vielen unserer Daten umgehen, schon auch einen Denkzettel verpassen, dass sie das wirklich tun.

Weil in der Masse dieser Sachen, also ich sage mal, wenn ich jetzt, weiß nicht, 5 Millionen Leute habe, die 100 Euro verlangen, dann ist das natürlich doch ein spürbarer Betrag. Und da geht es dann aber im Wesentlichen darum, dass man das vernünftig umgesetzt bekommt, um da den Datenschutz insofern hochzuhalten. Ich habe dem nichts hinzuzufügen, deswegen bedanke ich mich bei unseren Hörerinnen und Hörern. Es hat mir sehr viel Freude gemacht.

Um den ganz großen Bogen zu spannen, sage ich jetzt, dass wir vielleicht in zwei Wochen ja ein Update von Dubai Schokolade wieder haben. Oder aber auch aus dem Datenschutzrecht, vielleicht auch weder noch. Und wir werden einfach über ein ganz anderes Thema reden, ohne jegliche Vorworte. Und darauf freue ich mich auf jeden Fall und bis zum nächsten Mal.

Ja, dem schließe ich mich an. Bei Fragen, Themen, Anregungen meldet euch gerne an podcast.tvw.law. Wenn euch das Ganze gefallen hat, freuen wir uns natürlich, wenn ihr uns eine positive Bewertung hinterlasst auf der Plattform, auf der ihr unseren Podcast hört. Und ja, auch von mir vielen Dank fürs Zuhören.

Bis zum nächsten Mal. Auf Wiederhören.