Webinar: Kostenloses Webinar zum neuen KI-Assistenten morgen, 27. Oktober 2026 11:30 Uhr Unverbindlich anmelden
×
×
Doctrine-WebinarNicht verpassen
Kostenloses Webinar zum neuen KI-Assistenten morgen, 27. Oktober 2026 11:30 - 12:00 Uhr Unverbindlich anmelden

Rechtsprechung
   EuGH, 25.01.2024 - C-687/21   

Zitiervorschläge
https://dejure.org/2024,749
EuGH, 25.01.2024 - C-687/21 (https://dejure.org/2024,749)
EuGH, Entscheidung vom 25.01.2024 - C-687/21 (https://dejure.org/2024,749)
EuGH, Entscheidung vom 25. Januar 2024 - C-687/21 (https://dejure.org/2024,749)
Tipp: Um den Kurzlink (hier: https://dejure.org/2024,749) schnell in die Zwischenablage zu kopieren, können Sie die Tastenkombination Alt + R verwenden - auch ohne diesen Bereich zu öffnen.

Volltextveröffentlichungen (6)

  • Europäischer Gerichtshof

    MediaMarktSaturn

    Vorlage zur Vorabentscheidung - Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten - Verordnung (EU) 2016/679 - Auslegung der Art. 5, 24, 32 und 82 - Beurteilung der Gültigkeit von Art. 82 - Unzulässigkeit des Ersuchens um Beurteilung der Gültigkeit ...

  • Europäischer Gerichtshof

    MediaMarktSaturn

    Vorlage zur Vorabentscheidung - Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten - Verordnung (EU) 2016/679 - Auslegung der Art. 5, 24, 32 und 82 - Beurteilung der Gültigkeit von Art. 82 - Unzulässigkeit des Ersuchens um Beurteilung der Gültigkeit ...

  • Betriebs-Berater

    Immaterieller Schadensersatz nach der DSGVO

  • kanzlei.biz

    Kein immaterieller Schaden wegen bloßem ungutem Gefühl

  • rechtsportal.de(Abodienst, kostenloses Probeabo)

    DSGVO Art. 82 Abs. 1
    Schadensersatzklage eines Betroffenen wegen Weitergabe eines Dokuments mit personenbezogenen Daten irrtümlich an einen unbefugten Dritten aufgrund eines Fehlers von Mitarbeitern des für die Verarbeitung Verantwortlichen

  • datenbank.nwb.de

    Vorlage zur Vorabentscheidung - Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten - Verordnung (EU) 2016/679 - Auslegung der Art. 5, 24, 32 und 82 - Beurteilung der Gültigkeit von Art. 82 - Unzulässigkeit des Ersuchens um Beurteilung der Gültigkeit ...

Kurzfassungen/Presse (5)

  • ferner-alsdorf.de (Kurzinformation)

    Schadenersatzansprüche bei Datenschutzverstößen: Klärung zu immateriellem Schaden und Ausgleichsanspruch

  • beckmannundnorda.de (Kurzinformation)

    Betroffener muss für Schadensersatzanspruch aus Art. 82 DSGVO konkreten materiellen oder immateriellen Schaden nachweisen - Kontrollverlust reicht nicht

  • lto.de (Kurzinformation)

    Datenverlust beim Saturn-Einkauf: Ein ungutes Gefühl ist kein immaterieller Schaden

  • computerundrecht.de (Kurzinformation)

    Immaterieller Schadensersatz bei Datenschutzverstößen

  • dr-bahr.com (Kurzinformation und Auszüge zum Verfahren - vor Ergehen der Entscheidung)

    Vorlagefrage zum DSGVO-Schadensersatz im Arbeitsverhältnis

Besprechungen u.ä.

  • lto.de (Entscheidungsbesprechung)

    Immaterieller Schadensersatz bei Datenpannen: Rahmen für DSGVO-Schadensersatzklagen konkretisiert

Sonstiges (2)

Papierfundstellen

  • NJW 2024, 2009
  • EuZW 2024, 278
  • NZA 2024, 320
  • DB 2024, 519
  • K&R 2024, 192
  • NZA-RR 2024, 280
 
Sortierung


Kontextvorschau



Hinweis: Klicken Sie auf das Sprechblasensymbol, um eine Kontextvorschau im Fließtext zu sehen. Um alle zu sehen, genügt ein Doppelklick.

Wird zitiert von ... (164)Zitiert selbst (6)

  • EuGH, 14.12.2023 - C-340/21

    Natsionalna agentsia za prihodite - DSGVO: Bereits Angst vor Datenmissbrauch kann …

    Auszug aus EuGH, 25.01.2024 - C-687/21
    Rn. 36 Art. 24 DSGVO sieht eine allgemeine Verpflichtung des für die Verarbeitung personenbezogener Daten Verantwortlichen vor, geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen, dass die Verarbeitung im Einklang mit der DSGVO erfolgt, und den Nachweis dafür erbringen zu können (Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 24).

    Ebenso sind nach Art. 32 Abs. 2 DSGVO bei der Beurteilung des angemessenen Schutzniveaus insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch - ob unbeabsichtigt oder unrechtmäßig - Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von bzw. unbefugten Zugang zu personenbezogenen Daten (vgl. in diesem Sinne Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 26 und 27).

    Dies gilt umso mehr, als der Verantwortliche die Möglichkeit haben muss, den Nachweis zu erbringen, dass seine Maßnahmen im Einklang mit der DSGVO stehen; diese Möglichkeit bliebe ihm verwehrt, wenn von einer unwiderlegbaren Vermutung ausgegangen würde (vgl. in diesem Sinne Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 30 bis 32).

    Rn. 39 Diese Auslegung des Wortlauts wird durch eine Gesamtbetrachtung der Art. 24 und 32 mit Art. 5 Abs. 2 und Art. 82 DSGVO im Licht ihrer Erwägungsgründe 74, 76 und 83 bestätigt, aus denen sich insbesondere ergibt, dass der für die Verarbeitung Verantwortliche verpflichtet ist, die Risiken einer Verletzung des Schutzes personenbezogener Daten einzudämmen, und nicht, jede Verletzung ihres Schutzes zu verhindern (vgl. in diesem Sinne Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 33 bis 38).

    Rn. 40 Infolgedessen hat der Gerichtshof die Art. 24 und 32 DSGVO dahin ausgelegt, dass eine unbefugte Offenlegung personenbezogener Daten oder ein unbefugter Zugang zu ihnen durch "Dritte" im Sinne von Art. 4 Nr. 10 DSGVO allein nicht ausreicht, um anzunehmen, dass die technischen und organisatorischen Maßnahmen, die der für die betreffende Verarbeitung Verantwortliche getroffen hat, nicht "geeignet" im Sinne der Art. 24 und 32 waren (Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 39).

    Eine solche Beweislastverteilung ist nicht nur geeignet, die für die Verarbeitung dieser Daten Verantwortlichen dazu anzuhalten, die nach der DSGVO erforderlichen Sicherheitsmaßnahmen zu ergreifen, sondern auch, die praktische Wirksamkeit des in Art. 82 DSGVO vorgesehenen Schadensersatzanspruchs zu schützen und die in ihrem elften Erwägungsgrund genannten Absichten des Unionsgesetzgebers zu wahren (vgl. in diesem Sinne Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 49 bis 56).

    Rn. 43 Daher hat der Gerichtshof den in Art. 5 Abs. 2 DSGVO aufgestellten und in ihrem Art. 24 konkretisierten Grundsatz der Rechenschaftspflicht des Verantwortlichen dahin ausgelegt, dass im Rahmen einer auf Art. 82 DSGVO gestützten Schadensersatzklage der für die betreffende Verarbeitung Verantwortliche die Beweislast dafür trägt, dass die von ihm getroffenen Sicherheitsmaßnahmen im Sinne von Art. 32 DSGVO geeignet waren (Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 57).

    Das Vorliegen eines "Schadens" stellt nämlich eine der Voraussetzungen für den in Art. 82 Abs. 1 vorgesehenen Schadensersatzanspruch dar, ebenso wie das Vorliegen eines Verstoßes gegen die DSGVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 32 und 42, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 77…, vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 14, …und vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 82).

    Rn. 59 Speziell in Bezug auf immaterielle Schäden hat der Gerichtshof ferner entschieden, dass Art. 82 Abs. 1 DSGVO einer nationalen Vorschrift oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person im Sinne von Art. 4 Nr. 1 DSGVO entstandene Schaden eine gewisse Schwere erreicht hat (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 51, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 78, …und vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 16).

    Rn. 60 Der Gerichtshof hat hinzugefügt, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie nachteilige Folgen hatte, jedoch den Nachweis erbringen muss, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen, da der bloße Verstoß gegen die Bestimmungen dieser Verordnung nicht ausreicht, um einen Schadensersatzanspruch zu begründen (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 42 und 50, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 84, …und vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 21 und 23).

    Rn. 65 Der Gerichtshof hat entschieden, dass sich nicht nur aus dem Wortlaut von Art. 82 Abs. 1 DSGVO im Licht ihrer Erwägungsgründe 85 und 146, wonach der Begriff "immaterieller Schaden" im Sinne von Art. 82 Abs. 1 weit zu verstehen ist, sondern auch aus dem mit der DSGVO verfolgten Ziel der Gewährleistung eines hohen Schutzniveaus für natürliche Personen bei der Verarbeitung personenbezogener Daten ergibt, dass die durch einen Verstoß gegen die DSGVO ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, für sich genommen einen "immateriellen Schaden" im Sinne von Art. 82 Abs. 1 darstellen kann (vgl. in diesem Sinne Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 79 bis 86).

  • EuGH, 21.12.2023 - C-667/21

    Krankenversicherung Nordrhein - Vorlage zur Vorabentscheidung - Schutz …

    Auszug aus EuGH, 25.01.2024 - C-687/21
    Das Verhältnis zwischen den in Art. 82 DSGVO und den in ihren Art. 83 und 84 enthaltenen Vorschriften zeigt, dass zwischen diesen beiden Kategorien von Bestimmungen ein Unterschied besteht, sie einander aber auch als Anreiz zur Einhaltung der DSGVO ergänzen, wobei das Recht jeder Person, den Ersatz eines Schadens zu verlangen, die Durchsetzungskraft der in dieser Verordnung vorgesehenen Schutzvorschriften erhöht und geeignet ist, von der Wiederholung rechtswidriger Verhaltensweisen abzuschrecken (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 38 und 40, sowie vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 85).

    Rn. 48 Der Gerichtshof hat hinzugefügt, dass sich, da der in Art. 82 Abs. 1 DSGVO vorgesehene Schadensersatzanspruch keine abschreckende oder gar Straffunktion erfüllt, sondern eine Ausgleichsfunktion hat, die Schwere des Verstoßes gegen die DSGVO, durch den der betreffende Schaden entstanden ist, nicht auf die Höhe des auf der Grundlage dieser Bestimmung gewährten Schadensersatzes auswirken kann, auch wenn es sich nicht um einen materiellen, sondern um einen immateriellen Schaden handelt, so dass dieser Betrag nicht so hoch bemessen werden darf, dass er über den vollständigen Ersatz des Schadens hinausgeht (vgl. in diesem Sinne Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 86 und 87).

    Rn. 52 Insoweit geht aus Art. 82 DSGVO hervor, dass zum einen die Haftung des Verantwortlichen u. a. vom Vorliegen eines ihm anzulastenden Verschuldens abhängt, das vermutet wird, sofern er nicht nachweist, dass die Handlung, die den Schaden verursacht hat, ihm nicht zurechenbar ist, und dass Art. 82 zum anderen nicht verlangt, dass die Schwere dieses Verschuldens bei der Bemessung der Höhe des als Entschädigung für einen immateriellen Schaden auf der Grundlage dieser Bestimmung gewährten Schadensersatzes berücksichtigt wird (Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 103).

    Rn. 53 Was die Bemessung der Höhe des etwaigen gemäß Art. 82 DSGVO geschuldeten Schadensersatzes betrifft, haben die nationalen Gerichte, da die DSGVO keine Bestimmung mit diesem Gegenstand enthält, bei seiner Bemessung die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten über den Umfang der finanziellen Entschädigung anzuwenden, sofern die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachtet werden (vgl. in diesem Sinne Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 83 und 101 sowie die dort angeführte Rechtsprechung).

    Rn. 54 Der Gerichtshof hat außerdem klargestellt, dass Art. 82 DSGVO in Anbetracht der Ausgleichsfunktion des darin verankerten Schadensersatzanspruchs nicht verlangt, dass die Schwere des Verstoßes gegen die Verordnung, den der für die Verarbeitung Verantwortliche begangen haben soll, bei der Bemessung des Betrags des zum Ausgleich eines immateriellen Schadens auf der Grundlage dieser Bestimmung gewährten Schadensersatzes berücksichtigt wird; er verlangt vielmehr, den Betrag so festzulegen, dass er den konkret aufgrund des Verstoßes gegen die DSGVO erlittenen Schaden vollständig ausgleicht (vgl. in diesem Sinne Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 84 bis 87 und 102 sowie die dort angeführte Rechtsprechung).

    Das Vorliegen eines "Schadens" stellt nämlich eine der Voraussetzungen für den in Art. 82 Abs. 1 vorgesehenen Schadensersatzanspruch dar, ebenso wie das Vorliegen eines Verstoßes gegen die DSGVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 32 und 42…, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 77…, vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 14, und vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 82).

  • EuGH, 04.05.2023 - C-300/21

    Der bloße Verstoß gegen die DSGVO begründet keinen Schadenersatzanspruch

    Auszug aus EuGH, 25.01.2024 - C-687/21
    Das Verhältnis zwischen den in Art. 82 DSGVO und den in ihren Art. 83 und 84 enthaltenen Vorschriften zeigt, dass zwischen diesen beiden Kategorien von Bestimmungen ein Unterschied besteht, sie einander aber auch als Anreiz zur Einhaltung der DSGVO ergänzen, wobei das Recht jeder Person, den Ersatz eines Schadens zu verlangen, die Durchsetzungskraft der in dieser Verordnung vorgesehenen Schutzvorschriften erhöht und geeignet ist, von der Wiederholung rechtswidriger Verhaltensweisen abzuschrecken (vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 38 und 40, …sowie vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 85).

    Das Vorliegen eines "Schadens" stellt nämlich eine der Voraussetzungen für den in Art. 82 Abs. 1 vorgesehenen Schadensersatzanspruch dar, ebenso wie das Vorliegen eines Verstoßes gegen die DSGVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 32 und 42…, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 77…, vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 14, …und vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 82).

    Rn. 59 Speziell in Bezug auf immaterielle Schäden hat der Gerichtshof ferner entschieden, dass Art. 82 Abs. 1 DSGVO einer nationalen Vorschrift oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person im Sinne von Art. 4 Nr. 1 DSGVO entstandene Schaden eine gewisse Schwere erreicht hat (vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 51…, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 78, …und vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 16).

    Rn. 60 Der Gerichtshof hat hinzugefügt, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie nachteilige Folgen hatte, jedoch den Nachweis erbringen muss, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen, da der bloße Verstoß gegen die Bestimmungen dieser Verordnung nicht ausreicht, um einen Schadensersatzanspruch zu begründen (vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 42 und 50…, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 84, …und vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 21 und 23).

    Rn. 64 Angesichts dessen, dass Art. 82 Abs. 1 DSGVO nicht auf das innerstaatliche Recht der Mitgliedstaaten verweist, muss der Begriff "immaterieller Schaden" im Sinne dieser Bestimmung eine autonome und einheitliche unionsrechtliche Definition erhalten (vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 30 und 44, …sowie vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 15).

  • EuGH, 14.12.2023 - C-456/22

    Gemeinde Ummendorf - Vorlage zur Vorabentscheidung - Schutz personenbezogener …

    Auszug aus EuGH, 25.01.2024 - C-687/21
    Das Vorliegen eines "Schadens" stellt nämlich eine der Voraussetzungen für den in Art. 82 Abs. 1 vorgesehenen Schadensersatzanspruch dar, ebenso wie das Vorliegen eines Verstoßes gegen die DSGVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 32 und 42…, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 77, vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 14, …und vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 82).

    Rn. 59 Speziell in Bezug auf immaterielle Schäden hat der Gerichtshof ferner entschieden, dass Art. 82 Abs. 1 DSGVO einer nationalen Vorschrift oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person im Sinne von Art. 4 Nr. 1 DSGVO entstandene Schaden eine gewisse Schwere erreicht hat (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 51…, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 78, und vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 16).

    Rn. 60 Der Gerichtshof hat hinzugefügt, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie nachteilige Folgen hatte, jedoch den Nachweis erbringen muss, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen, da der bloße Verstoß gegen die Bestimmungen dieser Verordnung nicht ausreicht, um einen Schadensersatzanspruch zu begründen (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 42 und 50…, vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, Rn. 84, und vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 21 und 23).

    Rn. 64 Angesichts dessen, dass Art. 82 Abs. 1 DSGVO nicht auf das innerstaatliche Recht der Mitgliedstaaten verweist, muss der Begriff "immaterieller Schaden" im Sinne dieser Bestimmung eine autonome und einheitliche unionsrechtliche Definition erhalten (…vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C-300/21, EU:C:2023:370, Rn. 30 und 44, sowie vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 15).

    Rn. 66 Überdies hat der Gerichtshof, ebenfalls gestützt auf Erwägungen zu Wortlaut, Systematik sowie Sinn und Zweck, festgestellt, dass die betroffene Person durch den kurzzeitigen Verlust der Kontrolle über personenbezogene Daten einen "immateriellen Schaden" im Sinne von Art. 82 Abs. 1 DSGVO erleiden kann, der einen Schadensersatzanspruch begründet, sofern diese Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden - so geringfügig er auch sein mag - erlitten hat, wobei der bloße Verstoß gegen die Bestimmungen der DSGVO nicht ausreicht, um auf dieser Grundlage einen Schadensersatzanspruch zu begründen (vgl. in diesem Sinne Urteil vom 14. Dezember 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, Rn. 18 bis 23).

  • EuGH, 22.06.2023 - C-268/22

    VITOL - Vorlage zur Vorabentscheidung - Handelspolitik - Schutz gegen …

    Auszug aus EuGH, 25.01.2024 - C-687/21
    Genauer gesagt muss der Gerichtshof die Gültigkeit einer Bestimmung des Unionsrechts anhand der in der Vorlageentscheidung bezeichneten Ungültigkeitsgründe prüfen; werden die genauen Gründe, aus denen das vorlegende Gericht Zweifel daran hat, überhaupt nicht angegeben, führt dies zur Unzulässigkeit der die Gültigkeit betreffenden Fragen (…vgl. in diesem Sinne Urteile vom 15. Juni 2017, T.KUP, C-349/16, EU:C:2017:469, Rn. 16 bis 18, und vom 22. Juni 2023, Vitol, C-268/22, EU:C:2023:508, Rn. 52 bis 55).
  • EuGH, 15.06.2017 - C-349/16

    T.KUP - Vorlage zur Vorabentscheidung - Dumping - Verordnung (EG) Nr. 1472/2006 - …

    Auszug aus EuGH, 25.01.2024 - C-687/21
    Genauer gesagt muss der Gerichtshof die Gültigkeit einer Bestimmung des Unionsrechts anhand der in der Vorlageentscheidung bezeichneten Ungültigkeitsgründe prüfen; werden die genauen Gründe, aus denen das vorlegende Gericht Zweifel daran hat, überhaupt nicht angegeben, führt dies zur Unzulässigkeit der die Gültigkeit betreffenden Fragen (vgl. in diesem Sinne Urteile vom 15. Juni 2017, T.KUP, C-349/16, EU:C:2017:469, Rn. 16 bis 18, …und vom 22. Juni 2023, Vitol, C-268/22, EU:C:2023:508, Rn. 52 bis 55).
  • BGH, 18.11.2024 - VI ZR 10/24

    Ansprüche im Zusammenhang mit einem Datenschutzvorfall beim sozialen Netzwerk …

    Rn. 21 4. Nach der Rechtsprechung des Gerichtshofes erfordert ein Schadensersatzanspruch im Sinne des Art. 82 Abs. 1 DSGVO einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (…EuGH, Urteile vom 4. Oktober 2024 - C-507/23, juris Rn. 24 - Pateretāju tiesību aizsardzības centrs;… vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 34 - juris; vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 58 - MediaMarktSaturn).

    Die Darlegungs- und Beweislast für diese Voraussetzungen trifft die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines (immateriellen) Schadens verlangt (…vgl. EuGH, Urteile vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 35 - juris; vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 60 f. - MediaMarktSaturn).

    Bedenken gegen die Anwendbarkeit des Art. 82 Abs. 1 DSGVO auf Verstöße gegen Art. 5 DSGVO bestehen daher nicht (vgl. auch bereits EuGH, Urteile vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 42 f. - MediaMarktSaturn;… vom 14. Dezember 2023 - C-340/21, NJW 2024, 1091 Rn. 52 f. - Natsionalna agentsia za prihodite).

    Aber auch für Verstöße gegen Vorschriften aus dem vierten Kapitel der Datenschutz-Grundverordnung (Art. 24 bis 43 DSGVO) hat der Gerichtshof zu einzelnen Vorschriften bereits angenommen, dass ein Schadensersatzanspruch aus Art. 82 DSGVO möglich ist (vgl. zu einem Verstoß gegen Art. 32 DSGVO EuGH, Urteile vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 42 f. - MediaMarktSaturn;… vom 14. Dezember 2023 - C-340/21, NJW 2024, 1091 Rn. 52 f. - Natsionalna agentsia za prihodite;… für Verstöße gegen Art. 26 und 30 DSGVO Urteil vom 4. Mai 2023 - C-60/22, ZD 2023, 606 Rn. 66 f. - Bundesrepublik Deutschland [Elektronisches Gerichtsfach]).

    Rn. 28 aa) Der Begriff des "immateriellen Schadens" ist in Ermangelung eines Verweises in Art. 82 Abs. 1 DSGVO auf das innerstaatliche Recht der Mitgliedstaaten im Sinne dieser Bestimmung autonom unionsrechtlich zu definieren (…st. Rspr., EuGH, Urteile vom 20. Juni 2024 - C-590/22, DB 2024, 1676 Rn. 31 - PS GbR; vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 64 - MediaMarktSaturn;… vom 4. Mai 2023 - C-300/21, VersR 2023, 920 Rn. 30 und 44 - Österreichische Post).

    Rn. 30 Schließlich hat der Gerichtshof in seiner jüngeren Rechtsprechung unter Bezugnahme auf ErwG 85 DSGVO (vgl. ferner ErwG 75 DSGVO) klargestellt, dass schon der - selbst kurzzeitige - Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann, ohne dass dieser Begriff des "immateriellen Schadens" den Nachweis zusätzlicher spürbarer negativer Folgen erfordert (…EuGH, Urteile vom 4. Oktober 2024 - C-200/23, juris Rn. 145, 156 i.V.m. 137- Agentsia po vpisvaniyata;… vom 20. Juni 2024 - C-590/22, DB 2024, 1676 Rn. 33 - PS GbR;… vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 42 - juris; vgl. zuvor bereits EuGH, Urteile vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 66 - MediaMarktSaturn;… vom 14. Dezember 2023 - C-456/22, NZA 2024, 56 Rn. 17-23 - Gemeinde Ummendorf sowie - C-340/21, NJW 2024, 1091 Rn. 82 - Natsionalna agentsia za prihodite).

    Rn. 32 Aber auch dann, wenn ein Kontrollverlust nicht nachgewiesen werden kann, reicht die begründete Befürchtung einer Person, dass ihre personenbezogenen Daten aufgrund eines Verstoßes gegen die Verordnung von Dritten missbräuchlich verwendet werden, aus, um einen Schadensersatzanspruch zu begründen (vgl. EuGH, Urteil vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 67 - MediaMarktSaturn;… vom 14. Dezember 2023 - C-340/21, NJW 2024, 1091 Rn. 85 - Natsionalna agentsia za prihodite).

    Demgegenüber genügt die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten (…vgl. EuGH, Urteile vom 20. Juni 2024 - C-590/22, DB 2024, 1676 Rn. 35 - PS GbR; vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 68 - MediaMarktSaturn).

    Rn. 82 1. Hinsichtlich der Frage, ob der Kontrollverlust der betroffenen Person über ihre personenbezogenen Daten bereits für sich genommen einen immateriellen Schaden begründet, besteht aufgrund der Entscheidungen des Gerichtshofes vom 14. Dezember 2023 (C-340/21 und C-456/22), vom 25. Januar 2024 (C-687/21), vom 11. April 2024 (C-741/21), vom 20. Juni 2024 (C-590/22 und C-182/22) und vom 4. Oktober 2024 (C-200/23) kein Klärungsbedarf mehr.

    Die Bemessung richtet sich vielmehr entsprechend dem Grundsatz der Verfahrensautonomie nach den innerstaatlichen Vorschriften über den Umfang der finanziellen Entschädigung (…EuGH, Urteile vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 58 - juris; vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 53 - MediaMarktSaturn;… vom 21. Dezember 2023 - C-667/21, EuZW 2024, 270 Rn. 83 und 101 - Krankenversicherung Nordrhein; jeweils mwN).

    Rn. 96 bb) In Anbetracht der Ausgleichsfunktion des in Art. 82 DSGVO vorgesehenen Schadenersatzanspruchs, wie sie in ErwG 146 Satz 6 DSGVO zum Ausdruck kommt, ist eine auf Art. 82 DSGVO gestützte Entschädigung in Geld als "vollständig und wirksam" anzusehen, wenn sie es ermöglicht, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen; eine Abschreckungs- oder Straffunktion soll der Anspruch aus Art. 82 Abs. 1 DSGVO dagegen nicht erfüllen (vgl. EuGH…, Urteil vom 20. Juni 2024 - C-590/22, DB 2024, 1676 Rn. 42 - PS GbR;… vgl. auch EuGH, Urteile vom 4. Oktober 2024 - C-507/23, juris Rn. 43 f. - Pateretāju tiesību aizsardzības centrs;… vom 20. Juni 2024 - C-182/22 und C-189/22, NJW 2024, 2599 Rn. 23 - Scalable Capital;… vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 59 - juris; vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 47 - MediaMarktSaturn).

    Rn. 97 Im Ergebnis soll die Höhe der Entschädigung zwar nicht hinter dem vollständigen Ausgleich des Schadens zurückbleiben, sie darf aber auch nicht in einer Höhe bemessen werden, die über den vollständigen Ersatz des Schadens hinausginge (…vgl. EuGH, Urteile vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 60 - juris; vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 48 - MediaMarktSaturn).

  • OLG Schleswig, 18.12.2024 - 12 U 9/24

    Werklohnrechnung gehackt und unbefugt verändert

    - drittens einen Kausalzusammenhang zwischen der rechtswidrigen Verarbeitung und diesem Schaden (vgl. EuGH, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 58; EuGH…, Urteil vom 04. Mai 2023 - C-300/21, juris Rn. 36).

    Ein Verstoß gegen die Vorschriften der Datenschutzgrundverordnung durch den Verantwortlichen kann in diesem Zusammenhang nicht schon allein deswegen angenommen werden, weil ein unbefugter Zugriff auf personenbezogene Daten durch Dritte im Sinne von Art. 4 Nr. 10 DSGVO stattgefunden hat (vgl. EuGH, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 45; EuGH…, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 22ff., 31-39).

    Vielmehr hat der Verantwortliche die Möglichkeit, aber auch die Verpflichtung, nach dem in Art. 5 Abs. 2 DSGVO formulierten und in Art. 24 DSGVO konkretisierten Grundsatz seiner Rechenschaftspflicht darzulegen und zu beweisen, dass die von ihm getroffenen Sicherheitsmaßnahmen geeignet waren, um die personenbezogenen Daten entsprechend dem von der Datenschutzgrundverordnung verlangten Sicherheitsniveau vor dem Zugriff Unbefugter zu schützen (vgl. EuGH, Urteil vom 25. Januar 2024 - C-687/21, juris Rn. 40ff; ebenso EuGH…, Urteil vom 14. Dezember 2023 - C-340/21, juris Rn. 48ff., 57).

    Rn. 68 (vgl. EuGH, Urteil v. 25.01.2024 - C-687/21, juris Rn. 58;… EuGH, Urteil v. 04.05.2023 - C-300/21 -, juris Rn. 36).

    Denn dies allein reicht nach der Rechtsprechung des Europäischen Gerichtshofs nicht aus, um gleichzeitig davon auszugehen, dass die technischen und organisatorischen Maßnahmen des für die Verarbeitung Verantwortlichen nicht "geeignet" im Sinne von Art. 24 und 32 DSGVO waren, vgl. EuGH, Urteil v. 25.01.2024 - C-687/21 -, juris Rn. 45; EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 22ff., 31-39).

    Rn. 72 (cc) Vielmehr hat der Verantwortliche die Möglichkeit, aber auch die Verpflichtung, nach dem in Art. 5 Abs. 2 DSGVO formulierten und in Art. 24 DSGVO konkretisierten Grundsatz seiner Rechenschaftspflicht darzulegen und zu beweisen, dass die von ihm getroffenen Sicherheitsmaßnahmen geeignet waren, um die personenbezogenen Daten entsprechend dem von der Datenschutzgrundverordnung verlangten Sicherheitsniveau vor dem Zugriff Unbefugter zu schützen (vgl. EuGH, Urteil v. 25.01.2024 - C-687/21, juris Rn. 40Ff;… ebenso EuGH, Urteil v. 14.12.2023 - C-340/21, juris Rn. 48ff., 57).

  • EuGH, 11.04.2024 - C-741/21

    juris - Vorlage zur Vorabentscheidung - Schutz natürlicher Personen bei der …

    Rn. 34 Der Gerichtshof hat Art. 82 Abs. 1 DSGVO bereits dahin ausgelegt, dass der bloße Verstoß gegen diese Verordnung nicht ausreicht, um einen Schadenersatzanspruch zu begründen, da das Vorliegen eines materiellen oder immateriellen "Schadens" eine der Voraussetzungen für den in Art. 82 Abs. 1 vorgesehenen Schadenersatzanspruch darstellt, ebenso wie das Vorliegen eines Verstoßes gegen die DSGVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, Rn. 58 und die dort angeführte Rechtsprechung).

    Rn. 35 Insofern muss die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen dieser Verordnung nachweisen, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, Rn. 60 und 61 sowie die dort angeführte Rechtsprechung).

    Rn. 36 Hierzu ist festzustellen, dass der Gerichtshof Art. 82 Abs. 1 DSGVO dahin ausgelegt hat, dass er einer nationalen Vorschrift oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen gewissen Schweregrad erreicht hat, wobei er hervorgehoben hat, dass diese Person gleichwohl den Nachweis erbringen muss, dass ihr durch den Verstoß gegen diese Verordnung ein solcher immaterieller Schaden entstanden ist (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, Rn. 59 und 60 sowie die dort angeführte Rechtsprechung).

    Ferner hat der Gerichtshof entschieden, dass der - selbst kurzzeitige - Verlust der Kontrolle über solche Daten einen "immateriellen Schaden" im Sinne von Art. 82 Abs. 1 dieser Verordnung darstellen kann, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden - so geringfügig er auch sein mag - erlitten hat (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, Rn. 66 und die dort angeführte Rechtsprechung).

    Folglich haben die nationalen Gerichte zum Zweck dieser Bemessung nach dem Grundsatz der Verfahrensautonomie die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten über den Umfang der finanziellen Entschädigung anzuwenden, sofern die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachtet werden, wie sie von der ständigen Rechtsprechung des Gerichtshofs definiert werden (…vgl. in diesem Sinne Urteile vom 21. Dezember 2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, Rn. 83 und 101 sowie die dort angeführte Rechtsprechung, und vom 25. Januar 2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, Rn. 53).

    Das Verhältnis zwischen den in Art. 82 DSGVO und den in den Art. 83 und 84 DSGVO enthaltenen Vorschriften zeigt, dass zwischen diesen beiden Kategorien von Bestimmungen ein Unterschied besteht, sie einander aber als Anreiz zur Einhaltung der DSGVO auch ergänzen, wobei das Recht jeder Person, den Ersatz eines Schadens zu verlangen, die Durchsetzungskraft der in dieser Verordnung vorgesehenen Schutzvorschriften erhöht und geeignet ist, von der Wiederholung rechtswidriger Verhaltensweisen abzuschrecken (Urteil vom 25. Januar 2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, Rn. 47 und die dort angeführte Rechtsprechung).

Haben Sie eine Ergänzung? Oder haben Sie einen Fehler gefunden? Schreiben Sie uns.
dejure.org Übersicht EuGH
Sie können auswählen (Maus oder Pfeiltasten):
(Liste aufgrund Ihrer bisherigen Eingabe)
Komplette Übersicht