Anforderungen an die Darlegung eines immateriellen Schadens im Rahmen des Art. 82 DSGVO

Die Entscheidung des Bundesarbeitsgerichts (BAG) vom 17.10.2024 (8 AZR 215/23) präzisiert, wann Betroffene für eine Datenschutzverletzung immateriellen Schadensersatz nach Art. 82 Abs. 1 DS-GVO verlangen können – und wann nicht.

Rechtlicher Hintergrund

• Art. 15 DS-GVO sichert das Auskunftsrecht über verarbeitete personenbezogene Daten.

• Art. 82 Abs. 1 DS-GVO gewährt Schadensersatz bei materiellen oder immateriellen Schäden.

• §§ 286, 287 ZPO regeln die Beweis- und Schätzmaßstäbe im Zivilprozess.

Kernaussagen des BAG-Urteils

1. Unsicherheit allein ist kein Schaden
   Befürchtungen oder Ängste wegen einer (möglicherweise) unrechtmäßigen Datenverarbeitung reichen nicht aus.

2. Konkrete Zusatzumstände nötig
   Betroffene müssen greifbare Folgen darlegen, etwa datenschutzwidrige Weitergabe oder konkrete Bedrohungen.

3. Glaubhaftigkeit entscheidet
   Das Gericht würdigt die Gesamtsituation: Plausibilität des Vortrags, Dauer und Intensität der Beeinträchtigung sowie vorhandene Beweismittel.

4. Kein Strafcharakter
   Art. 82 DS-GVO dient nicht der Sanktion, sondern dem Ausgleich tatsächlich erlittener Nachteile.

Was bedeutet das in der Praxis?

Für Arbeitgeber

• Sorgfältige Dokumentation jedes Auskunfts- und Löschersuchens.

• Schnelle, vollständige Antwort auf Auskunftsanfragen, um Streitpotenzial zu minimieren.

• Risikobewertung: Interne Prozesse prüfen, die den Verlust von Datenträgern, E-Mails oder Cloud-Freigaben betreffen.

Für Arbeitnehmer & andere Betroffene

• Substanz statt Gefühl: Negative Emotionen müssen mit Tatsachen untermauert werden (z. B. unbefugter Datenzugriff).

• Nachweise sichern: Screenshots, Zeugenaussagen oder ärztliche Atteste belegen die Intensität der Beeinträchtigung.

• Fristen beachten: Verjährung nach Art. 82 Abs. 1 DS-GVO richtet sich nach nationalem Recht – in Deutschland regelmäßig drei Jahre.

Anforderungen an die Darlegung immaterieller Schäden

• Konkretheit: Welche Daten? Welcher Verstoß? Welche Folgen?

• Kausalität: Warum beruhen Angst, Schlafstörung oder Rufschaden gerade auf dem Datenschutzverstoß?

• Beweisgrad: Nach § 287 ZPO genügt eine überwiegende Wahrscheinlichkeit; völlig belegfrei bleibt die Klage aber chancenlos.

Handlungsempfehlungen Unternehmen

• Muster-Workflows für Auskunftsverfahren etablieren.

• Awareness-Schulungen: Mitarbeitende für Risiken informeller Datenträgernutzung sensibilisieren.

• Frühe Streitbeilegung: Mediation oder Vergleich vermeiden teure Prozesse.

FAQ

Reicht der bloße Kontrollverlust über Daten für Schadensersatz?
Nein, nur wenn dadurch eine konkrete Beeinträchtigung entsteht.

Welche Belege akzeptieren Gerichte für seelische Belastungen?
Zum Beispiel ärztliche Atteste, Therapieberichte oder detaillierte Tagebuchaufzeichnungen.

Gilt eine starre Mindestschadenshöhe?
Nein, der EuGH hat jede Bagatellgrenze abgelehnt; der Schaden muss aber tatsächlich bestehen und substantiiert sein.