BGH zu Anspruch aus DSGVO: Schaden liegt schon im Kon­troll­ver­lust

Die Führung von Personalakten durch hierzu nicht befugte Dritte begründet einen Schadensersatzanspruch aus der DSGVO. Das gilt auch, wenn alle Beteiligten in einem Beamtenverhältnis stehen und entsprechenden Verschwiegenheitspflichten unterliegen. So hat es der Bundesgerichtshof (BGH) in einer jetzt veröffentlichten Leitsatzentscheidung festgestellt (Urt. v. 11. 02.2025, Az. VI ZR 365/22). 

Die Klägerin ist seit dem Jahr 1995 Bundesbeamtin bei einer Bundesanstalt in Hannover. Die Personalaktenverwaltung hatten dort in der Vergangenheit Bedienstete des Landes Niedersachsen übernommen. Die Klägerin hatte dieses Vorgehen mehrfach beanstandet und im Jahr 2017 den Landesdatenschutzbeauftragten eingeschaltet, der wiederum den Bundesdatenschutzbeauftragten involvierte. Letzterer erklärte die Praxis im August 2019 für unzulässig, die Bundesanstalt änderte daraufhin im selben Monat diese Praxis. Die Frau klagte auf Schadensersatz, blieb aber vor dem Landgericht und dem Oberlandesgericht (OLG) Celle erfolglos (Urt. v. 22.09.2022, Az. 11 U 107/21).

Beeinträchtigung erfordert kein besonderes Gewicht

Anders als die Vorinstanzen hält der BGH den Anspruch jedoch für gegeben, Art. 82 Abs. 1 DSGVO. Es handele sich um eine von § 111a BBG aF i.V.m. § 26 BDSG i.V.m. Art. 88 DSGVO nicht gedeckte Verarbeitung personenbezogener Daten durch Dritte. Der BGH verweist zur Begründung auf die Rechtsprechung des Europäischen Gerichtshofs (EuGH): Danach verlange der Schadensersatzanspruch im Sinne des Art. 82 Abs. 1 DSGVO kumulativ einen Verstoß gegen die DSGVO, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß (EuGH, Urteile v. 04.10.2024, Az. C-507/23; Urt. v. 11.04.2024, Az. C-741/21; Urt. v. 25.01.2024, Az. C-687/21). 

Der Schaden liegt nach Ansicht des BGH bereits in dem vorübergehenden Verlust der Kontrolle der Klägerin über die in der Personalakte enthaltenen personenbezogenen Daten durch die Überlassung an Landesbedienstete. Darin liege ein Verstoß gegen Art. 5 Abs. 1 Buchst. a, Art. 28 DSGVO. Eine darüberhinausgehende “benennbare und insoweit tatsächliche Persönlichkeitsrechtsverletzung”, wie sie noch das OLG forderte, bedürfe es nicht. Auch müsse der Beeinträchtigung kein besonderes Gewicht zukommen, das "über eine individuell empfundene Unannehmlichkeit hinausgeht oder das Selbstbild oder Ansehen ernsthaft beeinträchtigt", was ebenfalls die Vorinstanz gefordert hatte. 

Dass die Landesbediensteten ebenfalls einer Verschwiegenheitsverpflichtung unterliegen, schließe den Schadensersatzanspruch nicht aus, so der BGH. Dieser Umstand sei lediglich bei der Höhe des Anspruchs zu berücksichtigen (§ 287 Zivilprozessordnung). 

Keine besondere Pflicht zur Schadensabwendung

Zudem stellte der BGH klar, dass der Anspruch auch nicht wegen des Rechtsgedankens der Amtshaftung gem. § 839 Abs. 3 BGB auszuschließen sei, wie die Bundesanstalt als Beklagte meinte. Danach wäre ein Schadensersatzanspruch ausgeschlossen, wenn der Beamte nicht hinreichend versucht hat, einen Schaden durch Gebrauch eines Rechtsmittels abzuwenden.

Allerdings sei der Anspruch aus Art. 82 Abs. 1 DSGVO zum einen von der Amtshaftung unabhängig, weil der Rechtsgrund für diesen Anspruch nicht im Beamtenverhältnis liege. Der Anspruch aus der DSGVO könne daher in Anspruchskonkurrenz neben einen Amtshaftungsanspruch aus § 839 BGB i.V.m. Art. 34 Grundgesetz treten. Zudem würde die Schadensabwendungspflicht eine zusätzliche Hürde aus nationalem Recht bedeuten, die nicht vorgesehen und damit bei den vom EuGH abschließend formulierten Voraussetzungen für einen Anspruch ausgeschlossen sei.

In diesem konkreten Fall sei aber ohnehin nicht ersichtlich, inwiefern die Klägerin durch ihre Beanstandungen und die Einschaltung der Datenschutzbeauftragten ihrer Schadensabwendungsobliegenheit nicht genügt haben solle. 

Der BGH hat über das Bestehen des Anspruchs auf die Feststellungsklage hin entschieden, über die Höhe des Anspruchs ist in einem gesonderten Verfahren zu entscheiden.

tap/LTO-Redaktion