24.08.2022<\/p>\n\n\n\n
I.<\/strong> Durch zahlreiche Medienberichte (etwa https:\/\/www.derstandard.at\/story\/2000138472819\/datenschutzanwalt-fordert-in-massenbrief-190-euro-von-websitebetreibern-fuer-google<\/a> und https:\/\/www.kleinezeitung.at\/oesterreich\/6165832\/Verstoss-gegen-Datenschutz_Aufregung-um-Unterlassungsschreiben<\/a>) wurde diese Woche bekannt, dass derzeit eine Vielzahl von praktisch gleichlautenden Schreiben an Website-Betreiber verschickt werden, in welchen die rechtswidrige Verarbeitung von personenbezogenen Daten (IP-Adressen) behauptet wird und (unter anderem) ein geringer Betrag als Schadenersatz f\u00fcr diese Rechtsverletzung gefordert wird. In rechtlicher Hinsicht wird in diesen Schreiben zur St\u00fctzung des Anspruchs auf Schadenersatz auf eine Entscheidung sowohl des Obersten Gerichtshofs in \u00d6sterreich als auch eine Entscheidung des Landgerichts M\u00fcnchen I verwiesen und wird ein \u201esp\u00fcrbarer Nachteil<\/em>\u201c durch die behauptete Rechtsverletzung, sowie auch eine Genervtheit durch den \u201enachl\u00e4ssigen Umgang\u201c mit dem Thema Datenschutz behauptet. Tats\u00e4chlich ist die Rechtslage hinsichtlich des geforderten Schadenersatzes nicht eindeutig gekl\u00e4rt.<\/p>\n\n\n\n II.<\/strong> Die hier herangezogene rechtliche Grundlage f\u00fcr die Forderung von Schadenersatz bei Datenschutzverletzungen ist Artikel 82 der Datenschutz-Grundverordnung (DSGVO). Wenn tats\u00e4chlich Gerichte den Eintritt eines Schadens (dabei kann es sich auch um immateriellen Schaden bzw. um blo\u00dfen \u00c4rger oder Angst vor einer Offenlegung von personenbezogenen Daten handeln) bei einer von einer Datenschutzverletzung betroffenen Person feststellen k\u00f6nnen[1]<\/a>, geb\u00fchrt gem\u00e4\u00df Art 82 DSGVO eine Entsch\u00e4digung. Dar\u00fcber, ob auch der \u201e\u00c4rger\u201c, der mit jeder Rechtsverletzung gleichsam automatisch verbunden ist, oder schon die Rechtsverletzung per se (auch ohne jeglichen \u201e\u00c4rger<\/em>\u201c dar\u00fcber) den Zuspruch von Schadenersatz gem\u00e4\u00df Art 82 DSGVO rechtfertigt, wurde in der rechtswissenschaftlichen Lehre viel geschrieben (meist ablehnend[2]<\/a>), abschlie\u00dfende h\u00f6chstgerichtliche Judikatur zu dieser Frage gibt es freilich noch nicht.<\/p>\n\n\n\n Bei der DSGVO handelt es sich um Unionsrecht und nur der Europ\u00e4ische Gerichtshof kann bindend \u00fcber derartige ungel\u00f6ste Fragen des Unionsrechts entscheiden. Insofern haben sowohl der Oberste Gerichtshof in \u00d6sterreich als auch das Landgericht Saarbr\u00fccken den Europ\u00e4ischen Gerichtshof (EuGH) letztes Jahr mit der Frage befasst, ob bereits ein Versto\u00df gegen die Bestimmungen der DSGVO, ohne weitere Voraussetzungen, einen Schadenersatzanspruch der betroffenen Person begr\u00fcnden kann und gefragt, nach welchen Kriterien der Umfang der Entsch\u00e4digung gem\u00e4\u00df Art 82 DSGVO zu bemessen ist.[3]<\/a> Mit einer einschl\u00e4gigen Entscheidung des EuGH ist wohl fr\u00fchestens im Jahr 2023 zu rechnen.<\/p>\n\n\n\n In diesen Vorabentscheidungsersuchen wird darauf hingewiesen, dass einerseits viel daf\u00fcr spricht, den Begriff des Schadens im Sinne des Art 82 DSGVO weit auszulegen, andererseits aber auch Anhaltspunkte daf\u00fcr bestehen, dass \u201eBagatellsch\u00e4den<\/em>\u201c keiner Entsch\u00e4digung zug\u00e4nglich sein sollen. In praktischer Hinsicht l\u00e4uft die Frage darauf hinaus, ob schon der blo\u00dfe Nachweis (irgendeiner) Rechtsverletzung f\u00fcr den Zuspruch einer Entsch\u00e4digung durch die Zivilgerichte ausreicht oder ob bestimmte Sch\u00e4den bei der betroffenen Person (wenn auch blo\u00dfe Unmutsgef\u00fchle) behauptet und bewiesen werden m\u00fcssen und schlie\u00dflich, ob diese Sch\u00e4den eine bestimmte Bagatellgrenze \u00fcberschreiten m\u00fcssen.<\/p>\n\n\n\n III. <\/strong>Der OGH hat bereits festgehalten, dass keine \u201ebesonders schwerwiegende Beeintr\u00e4chtigung der Gef\u00fchlswelt<\/em>\u201c zu fordern sein wird, um einen Anspruch nach Art 82 DSGVO zu begr\u00fcnden. Andererseits hat aber der OGH in dieser Entscheidung auch die Auffassung der unteren Instanzen, wonach bereits die Feststellung, dass eine betroffene Person durch eine bestimmte Datenverarbeitung \u201emassiv genervt<\/em>\u201c w\u00e4re, ausreicht um einen Schadenersatzanspruch zu begr\u00fcnden, akzeptiert.[4]<\/a> Die Frage, ob bereits schon bei einer blo\u00dfen Verletzung von Bestimmungen der DSGVO auch ohne Feststellung eines Schadens ein Schadenersatzanspruch geb\u00fchrt, wurde offen gelassen.<\/p>\n\n\n\n IV.<\/strong> Im Falle einer rechtswidrigen Verarbeitung einer IP-Adresse k\u00f6nnten <\/em>freilich die angerufenen Gerichte (so wie auch das Landesgericht M\u00fcnchen I [5]<\/a> ) diese Auslegungsfragen zu Art 82 DSGVO vermeiden, indem sie festhalten, dass das von der Kl\u00e4gerin \u00fcber diese rechtswidrige Verarbeitung von personenbezogenen Daten \u201e empfundene individuelle Unwohlsein so erheblich<\/em> \u201c w\u00e4re, dass ein Schadenersatzanspruch nach Art 82 DSGVO gerechtfertigt ist.<\/p>\n\n\n\n Die blo\u00dfe Aussage einer betroffenen Person aber, die bewusst zahlreiche Websites nur f\u00fcr kurze Zeit aufsucht, um Datenschutzverst\u00f6\u00dfe zu dokumentieren, dass diese dokumentierten Verst\u00f6\u00dfe jeweils erhebliches Unwohlsein hervorrufen, w\u00e4re aber unserer Auffassung nach kaum glaubhaft, dies vor allem dann, wenn es keinen anderen plausiblen Grund gibt, die jeweilige Website zu besuchen. In anderen (nicht datenschutzrechtlichen) Zusammenh\u00e4ngen, wurde in der \u00f6sterreichischen Judikatur der Grundsatz gebildet, dass \u201eGef\u00fchlssch\u00e4den<\/em>\u201c grunds\u00e4tzlich nur dann zu ersetzen sind, wenn diese zumindest \u201enachvollziehbar<\/em>\u201c sind, wenn also auch ein Durchschnittsmensch \u201e\u00e4hnliche Unlustgef\u00fchle<\/em>\u201c versp\u00fcrt[6]<\/a> – freilich l\u00e4sst sich diese Rechtsprechung nicht ohne weiteres zur Auslegung von Art 82 DSGVO (einer unionsrechtlichen Norm) heranziehen.<\/p>\n\n\n\n Stellt das Gericht kein erhebliches \u201eUnwohlsein<\/em>\u201c aufgrund der rechtswidrigen Datenverarbeitung fest, stellt sich dann wiederum die Frage, ob die blo\u00dfe Feststellung der Rechtsverletzung f\u00fcr die Annahme eines Schadens und den Zuspruch einer Entsch\u00e4digung f\u00fcr einen solchen Schaden ausreicht. Diesbez\u00fcglich w\u00e4re es dann f\u00fcr die angerufenen Gerichte angezeigt, die Entscheidung des EuGH zu den oben angef\u00fchrten Fragestellungen abzuwarten und die Verfahren aus prozess\u00f6konomischen Gr\u00fcnden bis dahin zu unterbrechen. F\u00fcr etwaige \u201eMusterprozesse\u201c hinsichtlich der Schadenersatzforderungen ist also aller Voraussicht nach mit einer erheblichen Verfahrensdauer zu rechnen.<\/p>\n\n\n\n V.<\/strong> Jedenfalls sollten solche Schreiben zum Anlass genommen werden, kritisch zu hinterfragen, ob man mit der eigenen Website alle datenschutzrechtlichen Anforderungen erf\u00fcllt oder ob hier nachgebessert werden muss. Gerne steht unsere Kanzlei f\u00fcr eine Beratung in datenschutzrechtlichen Fragen zur Verf\u00fcgung.<\/p>\n\n\n\n [1]<\/a> Die betroffene Person hat vor Gericht den Eintritt des Schadens zu beweisen, bei immateriellen Sch\u00e4den ist das grunds\u00e4tzlich nur durch eine Aussage m\u00f6glich, die das Gericht dann zu w\u00fcrdigen hat.<\/p>\n\n\n\n [2]<\/a> Vgl etwa Jahnel<\/em>, Kommentar zur DSGVO (2021) Art 82 Rz 9 ff mwN; Schweiger <\/em>in Knyrim (Hrsg) Praxishandbuch Datenschutzrecht4 <\/sup>(2020) Rz 19.99 ff.<\/p>\n\n\n\n [3]<\/a> Derzeit anh\u00e4ngig beim EuGH zu C-300\/21 und C-741\/21.<\/p>\n\n\n\n [4]<\/a> OGH 23.06.2021, 6 Ob 56\/21k.<\/p>\n\n\n\n [5]<\/a> Landgericht M\u00fcnchen I, 20.01.2022, 3 O 17493\/20.<\/p>\n\n\n\n