EuGH: Datenschutz – Schadenersatz, „Identitätsdiebstahl“

DSGVO: Art 82

1. Die Entschädigung in Geld gem Art 82 Abs 1 DSGVO soll es ermöglichen, den erlittenen materiellen oder immateriellen Schaden durch eine Verletzung der DSGVO in vollem Umfang auszugleichen. Dieser Schadenersatzanspruch erfüllt ausschließlich eine Ausgleichsfunktion (und keine Abschreckungs- oder Straffunktion). Art 82 Abs 1 DSGVO verlangt nicht, dass für die Zwecke des Schadenersatzes der Grad der Schwere und die etwaige Vorsätzlichkeit des Verstoßes des für die Verarbeitung Verantwortlichen gegen die DSGVO berücksichtigt werden. Der Betrag ist jedoch so festzulegen, dass er den Schaden in vollem Umfang ausgleicht, der konkret aufgrund des Verstoßes gegen die DSGVO erlitten wurde.

Im Rahmen der Festlegung der Höhe des Schadenersatzes eines immateriellen Schadens durch eine Verletzung des Schutzes personenbezogener Daten ist davon auszugehen, dass ein solcher Schaden seiner Natur nach nicht weniger schwerwiegend ist als eine Körperverletzung.

Bei fehlender Schwere des erlittenen Schadens, kann ein nationales Gericht der betroffenen Person auch nur einen geringfügigen Schadenersatz zusprechen, sofern dieser Schadenersatz geeignet ist, den entstandenen Schaden in vollem Umfang auszugleichen.

2. Der Diebstahl personenbezogener Daten stellt für sich genommen keinen Identitätsdiebstahl oder -betrug dar. Im Licht der Erwägungsgründe 75 und 85 ist Art 82 Abs 1 DSGVO dahin auszulegen, dass der Begriff „Identitätsdiebstahl“ nur dann erfüllt ist und einen Anspruch auf Ersatz des immateriellen Schadens nach dieser Bestimmung begründet, wenn ein Dritter die Identität einer Person, die von einem Diebstahl personenbezogener Daten betroffen ist, tatsächlich angenommen hat.

Allerdings kann der Ersatz eines durch den Diebstahl personenbezogener Daten verursachten immateriellen Schadens nach Art 82 Abs 1 DSGVO nicht auf die Fälle beschränkt werden, in denen nachgewiesen wird, dass ein solcher Diebstahl von Daten anschließend zu einem Identitätsdiebstahl oder -betrug geführt hat. Bereits der Diebstahl personenbezogener Daten einer betroffenen Person begründet nämlich einen Anspruch nach Art 82 Abs 1 DSGVO auf Ersatz des erlittenen immateriellen Schaden, wenn die drei in dieser Bestimmung aufgestellten Voraussetzungen vorliegen, nämlich eine Verarbeitung personenbezogener Daten unter Verstoß gegen die Bestimmungen der DSGVO, ein der betroffenen Person entstandener Schaden und ein Kausalzusammenhang zwischen der rechtswidrigen Verarbeitung und diesem Schaden.

EuGH 20. 6. 2024, C-182/22 und C-189/22, Scalable Capital