Art. 82 DSGVO: Kontrollverlust, Beweislast und Schadenshöhe nach dem BGH

Drei Voraussetzungen bleiben voneinander zu trennen

Die dogmatische Bedeutung des Urteils vom 18. November 2024, VI ZR 10/24, liegt in der Einordnung des Kontrollverlusts innerhalb des unionsrechtlichen Schadensbegriffs. Der BGH greift die Rechtsprechung des EuGH auf: Ein Verstoß gegen die DSGVO, ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang müssen kumulativ vorliegen. Der Verstoß allein ersetzt den Schaden nicht, der Schaden allein belegt keine rechtswidrige Verarbeitung.

Ebenso wichtig ist die Verteilung der Darlegungs- und Beweislast. Der BGH ordnet in Randnummer 21 die anspruchsbegründenden Voraussetzungen grundsätzlich der betroffenen Person zu. Ein Verschulden des Verantwortlichen muss sie dagegen nicht positiv beweisen: Art. 82 Absatz 3 eröffnet dem Verantwortlichen die Entlastung, wenn er nachweist, in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich zu sein. Diese Exkulpationsregel ist keine pauschale Beweislastumkehr für sämtliche Anspruchsvoraussetzungen.

Kontrollverlust als eigenständiger immaterieller Schaden

Nach den Randnummern 29 bis 31 kann bereits ein kurzzeitiger Kontrollverlust einen immateriellen Schaden darstellen. Ist dieser Verlust bewiesen, bedarf es keiner zusätzlichen besonderen Angst, keines nachgewiesenen Identitätsdiebstahls und keiner sonstigen spürbaren Folge. Solche weiteren Beeinträchtigungen können die Bewertung vertiefen, sind aber keine notwendige zweite Eintrittsschwelle.

Darin liegt zugleich die Grenze einer vereinfachenden Lesart. Wer lediglich eine Datenschutzverletzung behauptet, hat damit noch keinen Kontrollverlust dargelegt. Welche personenbezogenen Daten haben den beherrschbaren Bereich verlassen? Wurden sie unbefugten Dritten zugänglich, mit weiteren Informationen verknüpft oder veröffentlicht? Und betrifft gerade dieser Vorgang die klagende Person? Diese Tatsachen müssen zur gewählten Schadensbegründung passen.

Fehlt der Nachweis eines Kontrollverlusts, kann eine begründete Befürchtung künftigen Missbrauchs als andere Schadensgestalt relevant sein. Der BGH verlangt dafür in Randnummer 32 jedoch einen ordnungsgemäßen Nachweis der Befürchtung und ihrer negativen Folgen. Ein rein hypothetisches Risiko genügt nicht. Kontrollverlust und Missbrauchsangst sollten deshalb nicht unbemerkt ineinander überführt werden.

Warum öffentliche Profildaten den Fall nicht erledigen

Im zugrunde liegenden Scraping-Sachverhalt ging es um die Verbindung von Telefonnummern mit weiteren Profildaten. Der rechtliche Prüfungsgegenstand erschöpfte sich nicht darin, ob ein Name zuvor öffentlich sichtbar gewesen war. Die Verknüpfung mit einer Telefonnummer kann eine andere Verarbeitung und einen anderen Kontrollverlust betreffen als die isolierte Veröffentlichung eines Namens.

Der BGH verlangt in den Randnummern 43 und 44 eine konkrete Prüfung einer möglichen Einwilligung: Erfasst sie gerade die betroffene Verarbeitung einschließlich der Suchbarkeitsfunktion? War die Information transparent, die Erklärung informiert, unmissverständlich und freiwillig? Aus einer allgemeinen Registrierung oder einer Voreinstellung lässt sich nicht ohne Prüfung eine wirksame Einwilligung in jede spätere Datenverwendung ableiten.

Standardisierte Verfahren brauchen individuelle Tatsachen

Das Urteil ist auch prozessual bedeutsam. Der BGH beanstandet überzogene Anforderungen an den Vortrag, ohne die Notwendigkeit eines Einzelfallbezugs aufzugeben. Bei einem einheitlichen Vorfall mit vielen Betroffenen dürfen Schilderungen zwangsläufig Ähnlichkeiten aufweisen. Entscheidend bleibt, dass die betroffene Person darlegt, ob und wie gerade ihre Daten betroffen waren und welche Folgen sie geltend macht, insbesondere Randnummern 34 bis 36.

Für eine strukturierte Fallaufnahme folgt daraus nach unserer Einordnung eine Trennung zwischen gemeinsamem Vorfallwissen und individuellen Angaben. Die technische Beschreibung des Datenabflusses kann wiederverwendbar sein. Die konkrete Betroffenheit, frühere Veröffentlichungen, Einstellungen und behaupteten Folgen müssen dagegen zur jeweiligen Person erhoben werden. Eine Standardschilderung von Schlaflosigkeit oder Angst ohne tatsächliche Grundlage wäre fachlich und prozessual verfehlt.

• Betroffenheit: Welche Nachricht, Auskunft oder sonstige verlässliche Information ordnet die Person dem Vorfall zu?
• Datenumfang: Welche Daten und welche neuen Verknüpfungen sind konkret betroffen?
• Kontrollzustand: Welche Öffentlichkeit oder Zugriffsmöglichkeit bestand vorher und welche danach?
• Folgen: Welche zusätzlichen Beeinträchtigungen werden tatsächlich behauptet, seit wann und mit welchen Belegen?

Die 100 Euro sind weder Schadensersatztabelle noch Urteilstenor

In Randnummer 100 nennt der BGH für einen Fall wie den entschiedenen eine Größenordnung von 100 Euro für den Kontrollverlust als solchen. Das ist weder eine garantierte Zahlung für jeden Datenvorfall noch eine allgemeine Obergrenze. Der BGH hat den Rechtsstreit im Umfang der Aufhebung zurückverwiesen; er hat in diesem Urteil nicht jedem Betroffenen oder dem Kläger abschließend 100 Euro zugesprochen.

Randnummer 99 nennt konkrete Bemessungsfaktoren: Sensibilität der Daten, typische Verwendung, begrenzter oder unbegrenzter Empfängerkreis, Dauer des Kontrollverlusts und Möglichkeiten, die Kontrolle wiederzuerlangen. Auch der hypothetische Aufwand einer verhältnismäßig möglichen Wiederherstellung kann ein Anhaltspunkt sein. Daraus folgt ein Bewertungsprogramm, kein schematischer Multiplikator je Datensatz.

Für die Schadensbemessung verweist der BGH auf § 287 ZPO, begrenzt durch die unionsrechtlichen Grundsätze der Äquivalenz und Effektivität. Nachgewiesene weitergehende psychische Beeinträchtigungen können einen höheren Ausgleich tragen; das Gericht muss hierzu gegebenenfalls die betroffene Person anhören. Aus dem Wegfall einer Erheblichkeitsschwelle folgt somit weder eine erhebliche Entschädigung in jedem Fall noch ein Verzicht auf Tatsachenfeststellungen.

Mehrere DSGVO-Verstöße ergeben nicht automatisch mehrere Geldbeträge

Art. 82 dient dem vollständigen Ausgleich, nicht der Bestrafung des Verantwortlichen. Im untersuchten Sachverhalt behandelt der BGH den Ersatz des aus dem zusammenhängenden Geschehen behaupteten immateriellen Schadens als einheitlichen Streitgegenstand. Mehrere auf denselben Verarbeitungsvorgang bezogene Pflichtverstöße dürfen nicht ohne Weiteres in addierbare Entschädigungspositionen zerlegt werden, Randnummer 18.

Ebenso sind die Bußgeldkriterien aus Art. 83 DSGVO kein Tarif für zivilrechtlichen Schadensersatz. Die Schwere des Verstoßes als solche und ein Bestrafungsinteresse ersetzen die Bewertung des erlittenen Schadens nicht. Zusätzliche, tatsächlich verursachte Schäden bleiben nach ihren eigenen Voraussetzungen zu prüfen; die bloße Zahl benannter Normverstöße schafft sie nicht.

Feststellung und Unterlassung verlangen eigene Anträge

Ein Zahlungsantrag deckt nicht jedes Schutzinteresse ab. Der BGH behandelt in den Randnummern 46 bis 50 die Feststellung einer Ersatzpflicht für künftige Schäden. Für den dortigen Eingriff in ein absolut geschütztes Recht kann die Möglichkeit künftiger Schäden genügen. Ob dieser Ansatz auf einen anderen Vorfall trägt, hängt von der Rechtsverletzung, dem anhaltenden Kontrollverlust und dem konkreten Zukunftsrisiko ab.

Beim Unterlassungsbegehren zeigt das Urteil eine andere Grenze: Einen Antrag wies der BGH wegen fehlender Bestimmtheit zurück. Die technische Komplexität entbindet nicht davon, das konkret zu verbietende Verhalten hinreichend abzugrenzen. Ein abstrakter Wunsch nach sicherer Datenverarbeitung kann diese Fassung nicht ersetzen. Zahlungs-, Feststellungs- und Unterlassungsanträge sollten deshalb aus den jeweiligen Tatsachen und Schutzzielen entwickelt werden.