Ein Anspruch auf DSGVO-Schadensersatz steht dem Betroffenen nur dann zu, wenn er auch nachweisen kann, dass er einen Schaden erlitten hat. Eine bloße DSGVO-Rechtsverletzung nur in Teilen reicht hierfür nicht aus (LAG Stuttgart, Urt. v. 25.02.2021 - Az.: 17 Sa 37/20).
Inhaltlich ging es um einen teilweise unerlaubten Datentransfer in die USA in einem Arbeitsverhältnis. Der Kläger verlangte daraufhin die Zahlung von Schadensersatz iHv. 3.000,- EUR.
Das LAG Stuttgart wies die Klage ab.
Zwar liege teilweise eine Verletzung datenschutzrechtlicher Normen vor. Dies alleine begründe jedoch nach Art. 82 DSGVO keinen automatischen Anspruch auf Schadensersatz. Vielmehr müsse der Betroffene auch nachweisen, dass er einen Nachteile erlitten habe:
"Gleichwohl steht dem Kläger ein Anspruch auf Ersatz des von ihm geltend gemachten immateriellen Schadens deshalb nicht zu, weil der vom Kläger geltend gemachte Schaden nicht dem festgestellten Verordnungsverstoß zugeordnet werden kann bzw. tatsächlich nicht eingetreten ist, dh. nicht „erlitten“ wurde. (...)
Der Verstoß muss für den Schaden kausal sein. Der Schaden muss gerade durch den Rechtsverstoß entstanden sein.
Es genügt nicht, dass der Schaden durch eine Verarbeitung entstanden ist, in deren Rahmen es (irgendwann) zu einem Rechtsverstoß gekommen ist. Wenn der Schaden „wegen eines Verstoßes gegen diese Verordnung“ entstanden sein muss, kann nicht davon ausgegangen werden, dass bspw. ein Rechtsverstoß bei einer Datenverarbeitung vor dem Geltungszeitpunkt der DSGVO die fortgesetzte Datenverarbeitung „infiziert“ und zu einem Schadensersatzanspruch führt (...). "
Und weiter:
"Allenfalls dann, wenn durch den Verstoß die gesamte Datenverarbeitung rechtswidrig wird, kann angenommen werden, dass es keiner Zuordnung des Schadens zu einem konkreten Verordnungsverstoß bedarf (...). Zudem ist auch unionsrechtlich anerkannt, dass die Kausalitätsprüfung verhindern soll, dass es zu einer uferlosen Schadensersatzpflicht für alle möglichen, noch so entfernten Schäden kommt, für die ein rechtswidriges Verhalten eine Ursache iSe „conditio sine qua non“ gesetzt hat (...).
Eine alleinige Kausalität ist aber nicht gefordert, es genügt eine Mitursächlichkeit des Verstoßes für den Schaden, wobei ein hinreichend unmittelbarer Zusammenhang zu fordern ist (vgl. Bergt in: Kühling/Buchner Art. 82 DSGVO Rn. 44 f.) und der Schaden muss für den Schädiger vorhersehbar gewesen sein (...)."