Nicht jeder Verstoß gegen die DSGVO führt zu Schadensersatz

Die DSGVO gibt dem Betroffenen auch für immaterielle Schäden einen Anspruch auf Schadensersatz. Ein reiner Bagatellschaden reicht aber nicht aus. Für den Betroffenen muss der Nachteil spürbar sein.

Anlass für die Entscheidung des Gerichts war ein Datenleck bei einer online Kundenplattform des Kreditkartenanbieters MasterCard. Betroffen war davon auch ein Karlsruher Verbraucher. Von ihm waren zahlreiche persönliche Daten wie Name, Postanschrift, E-Mailadresse und Kreditkartennummer auf der gehackten Plattform hinterlegt. Der Verbraucher möchte nun für diesen Datendiebstahl Schadensersatz

Bagatellschaden reicht nicht aus

Einen Anspruch auf Schadensersatz hat der Verbraucher aber nicht. Ein Verstoß gegen die DSGVO kann zwar auch einen Anspruch auf Ersatz eines immateriellen Schadens begründen, im konkreten Fall des Verbrauchers greift die Vorschrift aber nicht. Hierfür braucht man einen Schaden, der über einen Bagatellschaden hinausgeht. Das Gericht sieht in dem Zugriff Dritter auf die angegebenen Daten des Verbrauchers wie Name, Anschrift und Mailadresse einen bloßen Bagatellschaden.

Wann gibt es dann einen Schadensersatzanspruch?

Ersetzt bekommt man einen immateriellen Schaden nur dann, wenn eine tatsächliche Persönlichkeitsverletzung vorliegt. Was sich auf den ersten Blick schwammig anhören mag, wird auf den zweiten Blick klarer: Für den Betroffenen muss der Nachteil deutlich spürbar sein. Er muss in seinem Ansehen ernsthaft benachteiligt sein. Das Gericht spricht sogar von „Bloßstellung“ des Betroffenen. Schadensersatz gibt es also nicht für reine persönliche Empfindungen. Der erlittene Nachteil muss objektiv nachvollziehbar sein. Der Betroffene muss zwar nicht schwerwiegend in seiner Persönlichkeit verletzt sein, aber eine gewisse spürbare Beeinträchtigung braucht es schon.

Das Gericht geht im Fall des Verbrauchers sogar noch weiter: Selbst wenn Transaktionsdaten gestohlen werden, liegt meist nur ein Bagatellschaden vor. Zeigen diese Daten nur den Besuch beim Discounter oder beim Bäcker gegenüber, schadet das dem Ansehen wohl kaum.

Das Gericht verfolgt mit seiner Entscheidung eine klare Linie: Schadensersatz soll es nur geben, wenn es auch – im materiellen oder immateriellen Sinne- richtig wehtut.  

LG Karlsruhe, Urteil vom 09.02.2021 – 4 O 67/20; Art. 82 DSGVO