Kurzdefinition: Art. 82 DSGVO begründet den zivilrechtlichen Schadenersatzanspruch bei Datenschutzverstößen. Wer wegen eines Verstoßes gegen die DSGVO einen materiellen oder immateriellen Schaden erleidet, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. [N-DSGVO-82]
Der Normwortlaut
Art. 82 Abs. 1 DSGVO bestimmt: „Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“ [N-DSGVO-82]
Gibt es Schadenersatz auch ohne Vermögensschaden?
Ja. Art. 82 DSGVO nennt ausdrücklich den immateriellen Schaden neben dem materiellen. Ein reiner Vermögensschaden ist also nicht Voraussetzung; auch immaterielle Beeinträchtigungen können ersatzfähig sein. Die genaue Reichweite des immateriellen Schadens ist Gegenstand der Rechtsprechung und im Einzelfall zu beurteilen. [N-DSGVO-82]
Wer haftet?
Verantwortlicher und Auftragsverarbeiter. Nach Art. 82 Abs. 2 DSGVO haftet jeder an der Verarbeitung beteiligte Verantwortliche für Schäden aus einer nicht DSGVO-konformen Verarbeitung; der Auftragsverarbeiter haftet für Schäden, soweit er seinen besonderen Pflichten nicht nachgekommen ist oder Weisungen zuwidergehandelt hat. [N-DSGVO-82]
Kann man sich von der Haftung befreien?
Nur durch Entlastungsnachweis. Nach Art. 82 Abs. 3 DSGVO wird der Verantwortliche oder Auftragsverarbeiter von der Haftung befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich ist. Die Beweislast für die Entlastung liegt also bei ihm. [N-DSGVO-82]
Wer kann Schadenersatz verlangen?
Jede betroffene Person. Nach Art. 82 Abs. 1 DSGVO hat jede Person Anspruch auf Schadenersatz, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist. Der Anspruch ist nicht auf bestimmte Personengruppen beschränkt. [N-DSGVO-82]
Gegen wen richtet sich der Anspruch?
Gegen die Verarbeitungsbeteiligten. Art. 82 Abs. 1 DSGVO nennt den Verantwortlichen und den Auftragsverarbeiter als mögliche Anspruchsgegner. Auch der Auftragsverarbeiter kann damit unmittelbar in Anspruch genommen werden. [N-DSGVO-82]
Setzt der Anspruch einen Vermögensschaden voraus?
Nein. Art. 82 Abs. 1 DSGVO gewährt Ersatz ausdrücklich auch für immaterielle Schäden. Ein reiner Vermögensschaden ist damit keine Voraussetzung des Anspruchs. [N-DSGVO-82]
Häufige Fehlannahmen
- „Ohne Vermögensschaden gibt es keinen Ersatz.“ Nein. Art. 82 DSGVO erfasst auch den immateriellen Schaden. [N-DSGVO-82]
- „Nur der Verantwortliche kann haften.“ Nein. Unter den Voraussetzungen des Art. 82 DSGVO haftet auch der Auftragsverarbeiter. [N-DSGVO-82]
- „Der Verantwortliche kann sich einfach auf fehlendes Verschulden berufen.“ Nein. Die Haftungsbefreiung setzt nach Art. 82 Abs. 3 DSGVO den Nachweis voraus, dass er in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich ist. [N-DSGVO-82]
- „Ein immaterieller Schaden muss eine bestimmte Erheblichkeitsschwelle überschreiten.“ Nein. Nach der Rechtsprechung des EuGH gibt es keine Erheblichkeitsschwelle; auch ein nicht schwerwiegender immaterieller Schaden kann ersatzfähig sein. [N-DSGVO-82]
- „Der Schadenersatz hat Strafcharakter wie ein Bußgeld.“ Nein. Dem Schadenersatz nach Art. 82 DSGVO kommt eine reine Ausgleichsfunktion zu, keine Straffunktion. [N-DSGVO-82]
Was die Geschäftsleitung tun sollte
- Haftungsrisiko einordnen. DSGVO-Verstöße können zivilrechtliche Ansprüche auslösen.
- Auftragsverarbeiter steuern. Verträge und Weisungen sauber regeln.
- Nachweise sichern. Für die Entlastung nach Abs. 3 Dokumentation vorhalten.
- Versicherung prüfen. Deckung von Datenschutzverstößen mit dem Versicherer klären.
Für die Geschäftsleitung
Art. 82 DSGVO macht den Datenschutz zum Haftungsthema: Betroffene können bei Verstößen materiellen und immateriellen Schadenersatz verlangen, und zwar von Verantwortlichem wie Auftragsverarbeiter. Weil die Entlastung dem Unternehmen obliegt, entscheidet die Dokumentation über die eigene Position — und Datenschutz wird so auch zu einer Frage des Haftungs- und Versicherungsmanagements.
Quellen
- [N-DSGVO-82] Art. 82 DSGVO (Haftung und Recht auf Schadenersatz). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
