Für einen Schadensersatzanspruch nach der DSGVO muss ein materieller Schaden vorliegen, ein bloßer Verlust der Kontrolle über die Daten reicht nicht aus. Ist der Betroffene nachweislich in Sorge um die unerlaubte Verwendung seiner Daten steht ihm ein Ersatzanspruch iHv. 50,- EUR zu (LG Mannheim, Urt. v. 15.03.2024 - Az.: 1 O 99/23).
Die Klägerin verlangte mindestens 3.000,- EUR Schadensersatz wegen des unerlaubten Daten-Scrapings auf Facebook.
Das LG Mannheim entschied, dass zwar eine Datenschutzverletzung vorliege, jedoch nur ein ersatzfähiger Schaden iHv. 50,- EUR begründet sei.
1. Anforderungen an ersatzfähigen Schaden:
Grundsätzlich führt das Gericht zur Ersatzfähigkeit des Schadens nach Art. 82 DSGVO aus:
"Ein Verstoß allein gegen die Vorschriften der DSGVO reicht nicht aus, um einen Anspruch zu begründen. Denn schon nach dem Wortlaut des Art. 82 DSGVO ist hierfür zudem ein „Schaden“ erforderlich (EuGH, Urteil vom 04.05.2023 – C-300/21, Rn. 33). Der Begriff des materiellen oder immateriellen Schadens ist in der gesamten Europäischen Union autonom und einheitlich auszulegen (EuGH, Urteil vom 04.05.2023 – C-300/21, Rn. 29, 30 mwN). (…)
Allerdings bedeutet diese Auslegung nicht, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie negative Folgen gehabt hat, vom Nachweis befreit wäre, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 dieser Verordnung darstellen (EuGH, Urteil vom 04.05.2023 – C-300/21, Rn. 50; EuGH, Urteil vom 14.12.2023 – C-340/21, Rn. 84). Die Personen, die Schadensersatz nach Art. 82 Abs. 1 DSGVO begehren, müssen also den Nachweis erbringen, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten haben (EuGH, Urteil vom 14.12.2023 – C-456/22, Rn. 22).
Insbesondere muss das angerufene nationale Gericht, wenn sich eine Person, die auf dieser Grundlage Schadenersatz fordert, auf die Befürchtung beruft, dass ihre personenbezogenen Daten in Zukunft aufgrund eines solchen Verstoßes missbräuchlich verwendet werden, prüfen, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann (EuGH, Urteil vom 14.12.2023 – C-340/21, Rn. 85). An dieser Verteilung der Darlegungs- und Beweislast für einen Schaden, ändert die Formulierung des Europäischen Gerichtshofes (Urteil vom 14.12.2023 – C-340/21, Rn. 74) nichts wonach, der Verantwortliche nachweisen muss, dass er in keinerlei Hinsicht für den Umstand, durch den der betreffende Schaden eingetreten ist, verantwortlich ist."
2. Im vorliegenden Fall: Ersatzfähiger Schaden iHv. 50,- EUR
Im vorliegenden Fall, so das Gericht weiter, habe der Kläger ausreichend Nachweise erbracht:
"Allein der (objektive) Verlust der Kontrolle über personenbezogenen Daten reichte allerdings von vornherein nicht aus (…).
Das Gericht erachtet allerdings als überwiegend wahrscheinlich, dass der Kläger in Sorge ist um die Verwendung seiner Daten durch Unbefugte aufgrund der Offenlegung derselben als Folge der Verstöße der Beklagten gegen Art. 25 DSGVO und Art. 32 DSGVO.
Der Kläger hat insoweit angegeben, dass er in Sorge um seine Daten sei. Es sei für ihn so, als habe er seinen Haustürschlüssel verloren. Das Ganze hänge wie ein Damoklesschwert über ihm. Er fürchte Identitätsdiebstahl oder ähnliches und dass er sich dann für die unbefugte Verwendung seiner Daten z.B. im Rahmen von Spoofing rechtfertigen müsse. Er wolle die Verantwortung für die Situation nicht bei sich haben. Ihm sei bekannt, das die „Leak-Liste“ gehandelt werde, sei deshalb aber nicht verärgert, sondern eben in Sorge.
Selbstverständlich berücksichtigt das Gericht, dass der Kläger „in eigener Sache“ aussagt. Gleichwohl war seine Darstellung nicht überzogen, sondern differenziert. So berichtete er nicht von „schlaflosen Nächten“ wie noch schriftsätzlich vorgetragen. Auch berichtete er nicht von Ärger. Seine Sorge konnte er auf Nachfrage auch spezifizieren im Hinblick auf die verschiedenen Möglichkeiten diese unbefugt zu verwenden. Dabei zeigte sich, dass dem Kläger die technischen Zusammenhänge und Möglichkeiten bei der missbräuchlichen Verwendung seiner Daten bewusst sind. Gerade deshalb ist auch nachvollziehbar, dass sich der Kläger sorgt, da er die konkreten Gefahren kennt, die mit der Offenlegung seiner Daten verbunden sind. Trotz des Eigeninteresses des Klägers am Ausgang des Verfahrens reicht dies aus, um zumindest mit überwiegender Wahrscheinlichkeit davon auszugehen, dass der Kläger sich wirklich um den Umgang mit seinen offengelegten Daten sorgt."
Das LG Mannheim nahm hier einen Wert iHv. 50,- EUR an:
"Unter Berücksichtigung dieser Umstände erscheint ein Betrag in Höhe von 50 € angemessen, um den immateriellen Schaden des Klägers auszugleichen.
Von vornherein unerheblich sind auf Grundlage des vorstehend dargestellten rechtlichen Rahmens die Ausführungen der Klägerseite zu der Vielzahl und Schwere der Verstöße (…). Denn die Schwere des Verstoßes bleibt bei der Bemessung des immateriellen Schadens außer Betracht. Gleiches gilt für den Umstand, dass die Offenlegung der Daten des Klägers auf zwei Verstöße der Beklagten – nämlich gegen Art. 25 DSGVO und Art. 32 DSGVO – zurückzuführen ist. Auch eine Straf- oder Abschreckungsfunktion darf nicht berücksichtigt werden. Dem dienen – wie ausgeführt – Artt. 83, 84 DSGVO. Entscheidend kommt es aufgrund der Ausgleichsfunktion auf den durch die Verstöße erlittenen Schaden an.
Dieser besteht hier (allein) in der Sorge des Klägers um die Verwendung seiner unbefugt offengelegten Daten. (…) Das Ausmaß der Sorge des Klägers rechtfertigt ein Schadensersatz in der Größenordnung, wie von der Klägerseite beantragt, in keinem Fall. Es steht nicht fest, dass diese Sorge den Kläger in seiner sonstigen Lebensgestaltung beeinträchtigen oder gar einschränken würde. (…)
Bei dieser Entscheidung ist die Sorge auch anhand der Qualität von Daten zu messen, um sich der Begründetheit der Sorge und ihrem Ausmaß zu nähern, da hiervon auch die Missbrauchsmöglichkeiten, um die sich der Kläger begründet sorgt, abhängen. Im vorliegenden Fall ist dies einerseits die verifizierte Mobiltelefonnummer durch die Offenlegung. Durch die Mobiltelefonnummer kann ein unmittelbarerer und „störender“ Kontakt versucht werden als beispielsweise per E-Mail. (…)
Angesichts des geringen Umfanges, durch den der Kläger durch seine Sorge in der Lebensführung beeinträchtigt wird, der Art der offengelegten Daten, einschließlich des Umstandes, dass nicht der wahre Nachname angegeben wurde, sowie der sich hieraus und im Hinblick auf die Mobiltelefonnummer ergebenden Missbrauchsmöglichkeiten, erscheint ein Betrag von 50 € zum Ausgleich als angemessen."
Anmerkung von RA Dr. Bahr:
Das gleiche Gericht hat vor kurzem einen identischen Fall komplett abgewiesen, da die dortige Klägerin keinen ersatzfähigen Schaden nachweisen konnte, vgl. unsere Kanzlei-News v. 01.04.2024.