Betroffenenrechte sind bekanntlich das Herzstück der DSGVO. Damit sollen wir als Privatpersonen stets die Kontrolle über unsere Daten behalten, damit unsere Rechte bestmöglich gewahrt bleiben. Doch immer wieder müssen sich Gerichte mit Betroffenenrechten auseinandersetzen, weil Unternehmen gegen datenschutzrechtliche Vorgaben verstoßen. Neben Pleiten, Pech und Pannen beim Recht auf Auskunft geht es oft auch um Schadensersatzforderungen oder um die Löschung von Daten.
Der Inhalt im Überblick
Grundsätze der DSGVO
Die Betroffenenrechte bilden dabei das Gegenstück zu den Datenschutz-Grundsätzen nach Art 5 Abs. 1 DSGVO. Eine echte Transparenz der Datenverarbeitung ist eben nur möglich, wenn wir Betroffenen aktiv darüber Auskunft verlangen können, wer von uns welche Daten hat und welche Zwecke das Unternehmen damit verfolgt. Oder für den Fall, dass potenzielle Arbeitgeber unsere Daten nicht löschen, obwohl wir uns dort schon vor zwei Jahren beworben haben, können wir unseren Anspruch auf Datenlöschung notfalls gerichtlich geltend machen.
Mit dem Anspruch auf Löschung nach Art. 17 Abs. 1 DSGVO musste sich kürzlich der EuGH beschäftigen. Der EuGH kommt oft ins Spiel, wenn nationale Gerichte Zweifel haben, wie Vorschriften aus dem Europäischen Recht – wie beispielsweise der DSGVO – in einem konkreten Fall auszulegen und anzuwenden sind. Dabei entscheidet der EuGH den Rechtsstreit nicht selbst, sondern muss nur die Rechtsfragen abstrakt beantworten, welche ihm vom zuständigen Gericht vorgelegt worden sind. Das nationale Gericht ist dann an die Auslegung und an die Hinweise des EuGH gebunden und muss den Rechtsstreit final entscheiden.
Unrechtmäßige Offenlegung von Daten
So war auch in diesem Fall, den der EuGH kürzlich entschieden hat (Urteil vom 04.09.2025, Az. C‑655/23). Doch was war eigentlich passiert? Der spätere Kläger bewarb sich bei einer Privatbank über ein Online-Karrierenetzwerk. Im Verlauf des Bewerbungsprozesses erhielt er eine persönliche Nachricht einer Bankmitarbeiterin, in der ihm die Ablehnung seiner Gehaltsvorstellungen und ein alternatives Angebot mitgeteilt wurden. Diese Nachricht war ausschließlich für den Kläger bestimmt, wurde jedoch versehentlich an eine dritte Person weitergeleitet, die mit dem Kläger bekannt war. Diese dritte Person informierte den Kläger über den Vorfall. Der Kläger sah darin eine unbefugte Offenlegung seiner personenbezogenen Daten und befürchtete, dass diese Informationen an weitere Dritte, insbesondere potenzielle Arbeitgeber, weitergegeben werden könnten. Er empfand dies als schädigend für seine berufliche Reputation und als persönliche Schmach.
Der Kläger erhob Klage vor dem Landgericht Darmstadt und verlangte die Unterlassung jeglicher weiteren Verarbeitung seiner personenbezogenen Daten im Zusammenhang mit der Bewerbung, sofern dies zu einer erneuten unbefugten Offenlegung führen könnte. Einen Anspruch auf Datenlöschung machte der Kläger in diesem Zusammenhang aber nicht geltend. Zudem verlangte er Schadensersatz für den immateriellen Schaden, den er durch das Ereignis erlitten habe. Das Landgericht gab der Klage statt und sprach dem Kläger 1.000 Euro Schadensersatz zu. Auf die Berufung der Privatbank hin bestätigte das OLG Frankfurt den Unterlassungsanspruch, wies jedoch den Schadensersatzanspruch ab, da kein konkreter immaterieller Schaden nachgewiesen sei. Beide Parteien legten Revision beim Bundesgerichtshof ein.
Unterlassungsanspruch auch ohne Datenlöschung?
Der BGH legte dem EuGH mehrere Fragen zur Auslegung der DSGVO vor. Insbesondere sollte der EuGH entscheiden, ob eine betroffene Person verlangen kann, dass der Verantwortliche eine erneute unrechtmäßige Verarbeitung unterlässt, auch wenn keine Löschung verlangt wird. Und falls ja, ist eine Wiederholungsgefahr dafür Voraussetzung?
Nach Auffassung des EuGH sieht die DSGVO keinen eigenen, unionsrechtlichen Unterlassungsanspruch vor, der es einer betroffenen Person erlaubt, dem Verantwortlichen eine künftige unrechtmäßige Verarbeitung zu untersagen, wenn keine Löschung verlangt wird. Ein Unterlassungsanspruch lasse sich schon nicht mit dem Wortlaut von Art. 17 DSGVO oder Art. 18 DSGVO vereinbaren und entspräche nicht dem Zweck der DSGVO, so die Luxemburger Richterinnen und Richter. Die Regelungen zu den Betroffenenrechten kämen nur zur Anwendung, wenn die sie betreffenden Daten bereits Gegenstand der Verarbeitung gewesen sind. Dies würde auf zukünftige Datenverarbeitungen gerade nicht zutreffen. Die Mitgliedstaaten dürften aber im nationalen Recht einen solchen Anspruch vorsehen. Das bedeutet, dass Betroffene auch die Löschung der personenbezogenen Daten einfordern müssen, wenn sie ein Unterlassungsbegehren nach Art. 17 DSGVO durchsetzen wollen.
Immaterieller Schaden: Negative Gefühle können ausreichen
Auch zum Schadensersatz nach Art. 82 DSGVO sah der BGH in einigen Punkten Klärungsbedarf. Hier standen vor allem die Fragen, ob bereits negative Gefühle einen Schadensersatzanspruch begründen können, und inwiefern der Grad des Verschuldens des Verantwortlichen Berücksichtigung finden darf, im Vordergrund.
Der EuGH führte dazu aus, dass der Begriff des „immateriellen Schadens“ in Art. 82 DSGVO autonom auszulegen sei und daher auch negative Gefühle wie Sorge, Ärger oder Angst umfasse, sofern diese nachweislich auf den Datenschutzverstoß zurückzuführen sind. Es sei keine Erheblichkeitsschwelle (sogenannte „Bagatellgrenze“) erforderlich. Entscheidend sei vielmehr, dass die betroffene Person tatsächlich einen Schaden erlitten hat und diesen nachweisen kann. Auch der bloße Verlust der Kontrolle über die eigenen Daten oder die begründete Befürchtung einer missbräuchlichen Verwendung könne einen immateriellen Schaden darstellen.
Der Grad des Verschuldens des Verantwortlichen dürfe bei der Bemessung des Schadensersatzes nach Art. 82 DSGVO keine Rolle spielen. Der Schadensersatzanspruch diene ausschließlich dem Ausgleich des tatsächlich entstandenen Schadens und habe keine Straf- oder Abschreckungsfunktion. Die Haftung des Verantwortlichen setzt Verschulden voraus, das jedoch vermutet wird, sofern der Verantwortliche nicht nachweist, dass ihn kein Verschulden trifft.
Unterlassungsanspruch und Schadensersatz sind unabhängig
Zur Klarstellung wies der EuGH zudem darauf hin, dass ein Unterlassungsanspruch einen Anspruch auf Schadensersatz nicht mindern oder ersetzen könne. Beide Ansprüche sind nach Auffassung des EuGH voneinander unabhängig. Das Gericht führt dazu wie folgt aus:
„Nach alledem ist […] zu antworten, dass Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass er dem entgegensteht, dass der Umstand, dass die betroffene Person nach dem anwendbaren nationalen Recht eine Anordnung – die dem Verantwortlichen entgegengehalten werden kann – erwirkt hat, die Wiederholung eines Verstoßes gegen diese Verordnung zu unterlassen, in der Form berücksichtigt wird, dass dadurch der Umfang der nach dieser Bestimmung geschuldeten finanziellen Entschädigung für einen immateriellen Schaden gemindert wird oder diese Entschädigung sogar ersetzt wird.“
Diese etwas holprige Formulierung meint nichts anderes, als dass der Schadensersatz nach Art. 82 DSGVO dem vollständigen Ausgleich des erlittenen Schadens dient, während ein Unterlassungsanspruch präventiv wirkt und zukünftige Verstöße verhindern soll. Eine finanzielle Entschädigung kann nicht durch eine Unterlassungsanordnung gemindert oder gar ersetzt werden.
Konsequente Anwendung der DSGVO-Vorschriften
Als Fazit kann man festhalten, dass dieser Fall zwar recht ungewöhnlich war, aber inhaltlich nur wenig Überraschendes bietet. Der EuGH hat bekräftigt, dass Betroffene bei DSGVO-Verstößen grundsätzlich einen Anspruch auf Schadensersatz für immaterielle Schäden haben, auch wenn diese „nur“ in negativen Gefühlen bestehen – vorausgesetzt, sie sind nachweisbar und kausal auf den Verstoß zurückzuführen. Der EuGH folgt damit seiner eigenen Linie und macht weiterhin deutlich, dass keine Bagatellgrenze überschritten werden müsse.
Die Klarstellung, dass sich Unterlassungsansprüche gegen künftige Verstöße nicht direkt aus der DSGVO ergeben können, sondern ggf. auf nationales Recht gestützt werden müssen, dürfte für weitere Rechtssicherheit sorgen.
