Privacy Litigation. Sebastian Laoutoumai

      Demgegenüber stehen freilich auch Entscheidungen, die dem Kläger in der ersten Instanz keinen Schaden zugesprochen haben.

Die Rechtsprechung ist ersichtlich uneinheitlich. Es ist aber abzusehen, dass der EuGH zu wesentlichen Fragen hinsichtlich der richtigen Auslegung von Art. 82 DSGVO und dessen Voraussetzungen Stellung beziehen wird. Dabei ist eine für beide Seiten wesentliche Frage, die es zu beantworten gilt, die, ob es für die Geltendmachung eines Schadensersatzes eine Bagatellgrenze gibt. Die Beantwortung dieser Frage ist vor allem für Unternehmen, die eine Vielzahl von personenbezogenen Daten verarbeiten, von enormer praktischer und insbesondere wirtschaftlicher Bedeutung. Denn spricht sich der EuGH auf Vorlage eines nationalen Gerichts gegen eine Bagatellgrenze aus, befeuert das das Geschäftsmodell jener Anbieter, die nach einem bekanntgewordenen Datenschutzvorfall massenhaft Ansprüche auf Schadensersatz bündeln, um diese für die betroffenen Personen gegenüber den Unternehmen durchzusetzen. Die Anzahl der Verfahren vor den deutschen Zivilgerichten wird unabhängig hiervon zunehmen, denn die DSGVO gibt den betroffenen Personen, neben einem eigenen Schadensersatzanspruch in den Art. 15ff. DSGVO, auch weitere, umfassende Ansprüche gegen den Verantwortlichen. Diese Betroffenenrechte sollen es der betroffenen Person ermöglichen, die Verarbeitung der sie betreffenden personenbezogenen Daten kontrollieren zu können und notfalls auf die Löschung oder Berichtigung der gespeicherten personenbezogenen Daten hinwirken zu können. Wie das Beispiel des Auskunftsrechtes nach Art. 15 DSGVO zeigt, sind auch diese Rechte zwischen den Beteiligten streitanfällig.5

      Die dargestellte Übersicht ist nur ein kleiner Ausschnitt der bereits zum Auskunftsrecht nach Art. 15 DSGVO ergangenen Entscheidungen. Sie zeigt jedoch deutlich, dass auch Verfahren zur Durchsetzung der Betroffenenrechte vor den Zivilgerichten deutlich zunehmen werden.

      Insgesamt wird die Bedeutung der privaten Durchsetzung von Rechten aus der DSGVO steigen und gleichbedeutend damit auch die Fallzahlen bei den Gerichten. Daher lohnt sich ein Blick auf die materiellrechtlichen Ansprüche (Kapitel 1) der betroffenen Personen sowie auf die prozessualen Aspekte (Kapitel 2), die ein solches Verfahren mit sich bringt.

      3 Im Oktober 2020 wurde ein Hacker-Angriff auf Scalable Capital bekannt, bei dem auf die Kontodaten zahlreicher Kunden zugegriffen wurde (Quelle: Scalable Capital: Insider-Angriff auf Robo-Advisor – Digital – SZ.de (sueddeutsche.de)); Ebenfalls im Oktober 2020 wurde ein Datenschutzvorfall bei H&M bekannt, nachdem die zuständige Datenschutzaufsichtsbehörde ein Bußgeld in Höhe von 35 Mio. EUR gegen das Unternehmen verhängt hat (Quelle: H&M-News: Datenschutzbeauftragter verhängt Rekord-Bußgeld (handelsblatt.com)); bereits im Dezember 2019 wurde ein Datenschutzvorfall bei dem Arzneimittelgroßhändler Phoenix bekannt (Quelle: Datenpanne: Phoenix verschickt sensible Daten von 211 Apotheken | APOTHEKE ADHOC (apotheke-adhoc.de)). 4 Ausführliche Tabellen mit Kurzbegründungen der Entscheidungen finden sich bei Wybitul, DSB 2021, 42ff. und Leibold, ZD-Aktuell 2021, 05043. 5 Leibold, ZD-Aktuell 2021, 04420 liefert eine Übersicht zu den aktuell festgesetzten Streitwerten für ein Auskunftsverlangen.

       A. Einleitung

      Die Datenschutzgrundverordnung enthält zahlreiche Rechte der betroffenen Person, die dazu dienen, die Einhaltung der datenschutzrechtlichen Vorgaben bei der Verarbeitung personenbezogener Daten auch durch die betroffene Person selbst kontrollieren zu können. Dabei stehen die hierdurch vermittelten Kontrollbefugnisse der betroffenen Person ausdrücklich neben denen der Aufsichtsbehörden. Hierdurch wird der Druck auf die Verantwortlichen erhöht, was allerdings insgesamt zu einem höheren Datenschutzniveau führen soll. Die Rechte der betroffenen Personen sind in Kapitel III. in den Art. 12 bis 23 DSGVO geregelt. Daneben regelt Art. 82 DSGVO einen eigenen Anspruch auf Ersatz des materiellen und des immateriellen Schadens einer betroffenen Person nach einer datenschutzwidrigen Verarbeitung. Ob daneben auch ein Anspruch auf Unterlassung besteht, ist derzeit noch nicht abschließend geklärt, die neuere Rechtsprechung tendiert allerdings dazu, der betroffenen Person auch einen Anspruch auf Unterlassung aus §§ 823, 1004 BGB in Verbindung mit der verletzten datenschutzrechtlichen Vorschrift zuzusprechen. Im nachfolgenden Kapitel soll ein Einblick in die materiell-rechtlichen Rechte und Ansprüche der betroffenen Person gegeben werden. Dabei beschränkt sich die Darstellung auf die Rechte der betroffenen Person, die derzeit am häufigsten Gegenstand von gerichtlichen Auseinandersetzungen sind.