Verlust der Kontrolle über persönliche Daten – Schadensersatz auch ohne Missbrauch
Am 18. November 2024 hat der Bundesgerichtshof (BGH) eine wichtige Grundsatzentscheidung zum Datenschutz getroffen (Urteil vom 18.11.2024 – VI ZR 223/21).
Grundsatzentscheidung des BGH: Datenschutzverstöße ernst nehmen
Der BGH stellte klar, dass bereits die bloße Preisgabe personenbezogener Informationen, ohne dass die betroffene Person ihre Einwilligung erteilt hat oder ihre Daten angemessen geschützt wurden, eine Verletzung der Datenschutzrechte darstellen kann. Das reicht aus, um einen Schadensersatzanspruch nach Art. 82 DSGVO zu begründen.
Es kommt nicht darauf an, ob ein tatsächlicher Identitätsmissbrauch oder ein wirtschaftlicher Schaden eingetreten ist – vielmehr genügt der Kontrollverlust über die eigenen Daten als solcher. Damit orientiert sich der BGH klar an der Rechtsprechung des Europäischen Gerichtshofs (EuGH) und stärkt die Rechte der Betroffenen erheblich.
Zur Höhe des Schadensersatzes
Der BGH deutete an, dass bei bloßen Datenlecks ein pauschaler Schadensersatzanspruch von etwa 100 € angemessen sein könnte. Er stellte aber auch klar: Sobald schwerwiegendere Folgen eintreten – etwa ein Identitätsdiebstahl, die unerlaubte Nutzung von Daten oder erhebliche Nachteile im wirtschaftlichen oder sozialen Bereich – ist eine deutlich höhere Entschädigung zu gewähren.
Datenverluste im Bereich der Bonitätsbewertung – deutlich gravierendere Folgen
Besonders bedeutsam wird diese Entscheidung im Zusammenhang mit der Arbeit von Wirtschaftsauskunfteien wie der SCHUFA. Anders als bei reinen „Datenlecks“ im Internet hat die Verarbeitung falscher, veralteter oder unberechtigter Informationen durch die SCHUFA oftmals massive und ganz konkrete Auswirkungen auf das Leben der Betroffenen:
- Kreditanträge werden abgelehnt
- Mietverhältnisse kommen nicht zustande
- Mobilfunk- und Leasingverträge scheitern
- Berufliche und private Perspektiven werden erheblich beeinträchtigt
In solchen Fällen beschränkt sich der Schaden nicht auf den bloßen Verlust der Datenkontrolle – vielmehr wirken sich fehlerhafte Eintragungen unmittelbar und nachweisbar auf zentrale Lebensbereiche aus. Die Eingriffe sind erheblich schwerwiegender als bei typischen „Scraping“- oder Datenleckszenarien.
Unsere Einschätzung
Die Entscheidung des BGH ist ein wichtiger Schritt hin zu einem effektiveren Schutz personenbezogener Daten. Für Betroffene bedeutet dies: Auch wenn ein konkreter Missbrauch nicht nachweisbar ist, bestehen durchaus Ansprüche auf Entschädigung.
Gerade im Bereich der Wirtschaftsauskunfteien sind die Folgen jedoch oft gravierend – hier müssen Gerichte in Zukunft noch deutlicher differenzieren und Schadensersatzansprüche spürbar höher ansetzen, um die tatsächlichen Belastungen der Betroffenen angemessen zu kompensieren.
