Kontrollverlust über Daten begründet Schadensersatzanspruch

Tatbestand
Zwei Parteien streiten über Schadensersatz wegen Verstoßes gegen die Datenschutz-Grundverordnung.

Die Klägerin ist Beamtin bei einer Bundesanstalt. Die Personalaktenverwaltung wurde dort in der Vergangenheit durch Bedienstete des Landes Niedersachsen vorgenommen, also einer Landesbehörde. Die Klägerin beanstandete dies mehrfach ohne Erfolg und wandte sich schließlich an den Beauftragten für Datenschutz des Landes Niedersachsen, der die Eingabe zuständigkeitshalber an den Bundesbeauftragten für Datenschutz und Informationssicherheit weiterleitete. Dieser teilte der beklagten Bundesrepublik Deutschland mit, dass die dortige Praxis unzulässig sei. Die Beklagte änderte daraufhin mit Organisationsverfügung die beanstandete Praxis.

Die Klägerin begehrt daraufhin mit ihrer Klage die Feststellung, dass die Beklagte wegen rechtswidriger Weitergabe von besonders geschützten Daten an Landesbedienstete zur Leistung von Schadensersatz verpflichtet sei.

Das zuständige Landgericht hat die Klage ab-, das Oberlandesgericht die Berufung der Klägerin zurückgewiesen. Mit ihrer vom Berufungsgericht zugelassenen Revision verfolgt die Klägerin ihren Feststellungsanspruch wegen Verletzung der Datenschutz-Grundverordnung weiter.

Aus den Entscheidungsgründen des Bundesgerichtshofs (BGH)
Der geltend gemachte Feststellunganspruch ist begründet, Art. 82 Abs. 1 DSGVO. Nach der Rechtsprechung des Gerichtshofes der Europäischen Union (EuGH) erfordert ein Schadensersatzanspruch im Sinne des Art. 82 Abs. 1 DSGVO einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind. Diese Voraussetzungen sind vorliegend erfüllt.

Ein Verstoß gegen die Datenschutz-Grundverordnung liegt nach den getroffenen Feststellungen vor. Das Berufungsgericht hat die von der Beklagten bis zum Erlass der Organisationsverfügung geübte Praxis, die Verwaltung der Personalakten von Bundesbeamten wie der Klägerin durch Bedienstete des Landes Niedersachsen vornehmen zu lassen, als von § 111a BBG aF i. V. m. § 26 BDSG i. V. m. Art. 88 DSGVO nicht gedeckte Verarbeitung personenbezogener Daten durch Dritte und damit als Verstoß gegen die Datenschutz-Grundverordnung (der Sache nach: gegen Art. 5 Abs. 1 Buchst. a, Art. 28 DSGVO) gewertet. Die Beklagte sei selbst von der offensichtlichen Rechtswidrigkeit dieser Praxis ausgegangen und habe weder näher zu den Einzelheiten der geübten Personalaktenverwaltung vorgetragen noch eine vorherige Zustimmung der obersten Dienstbehörde behauptet.

Zu Unrecht hat das Berufungsgericht einen durch diesen Verstoß gegen die Datenschutz-Grundverordnung verursachten Schaden der Klägerin verneint. Der Schaden liegt hier bereits in dem durch die Überlassung ihrer Personalakte an Bedienstete des Landes verursachten vorübergehenden Verlust der Kontrolle der Klägerin über ihre in ihrer Personalakte enthaltenen personenbezogenen Daten.

Schon der bloße Kontrollverlust kann einen ersatzfähigen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO darstellen. Anders als das Berufungsgericht meint, muss der Verpflichtung zum Ausgleich keine über diesen Kontrollverlust hinausgehende „benennbare und insoweit tatsächliche Persönlichkeitsrechtsverletzung gegenüberstehen“; auch muss der Beeinträchtigung des Betroffenen kein besonderes „Gewicht“ zukommen, das „über eine individuell empfundene Unannehmlichkeit hinausgeht oder das Selbstbild oder Ansehen ernsthaft beeinträchtigt“.

Nach diesen Grundsätzen liegt der Schaden hier ohne Weiteres darin, dass die Beklagte die personenbezogenen, in deren Personalakte enthaltenen Daten der Klägerin hierzu nicht berechtigten Dritten, nämlich Bediensteten des Landes Niedersachsen, zur Bearbeitung überlassen und diese Praxis erst mit Organisationsverfügung beendet hat. Der vom Berufungsgericht in diesem Zusammenhang angeführte Umstand, dass auch die mit Personalangelegenheiten betrauten Bediensteten des Landes Niedersachsen zur Verschwiegenheit verpflichtet waren, steht der Annahme eines Schadens insoweit dem Grunde nach nicht entgegen, sondern wird erst bei Bemessung der Höhe des zu leistenden Schadensersatzes (§ 287 ZPO) zu berücksichtigen sein.

Fundstelle: Urteil des BGH vom 11.02.2025 (Az. VI ZR 365/22) abrufbar im Internet unter https://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&Datum=Aktuell&Sort=12288&nr=141380&anz=1140&pos=13