EuGH zu Quirin-Bank: Kein Unter­lassen ohne Löschen

Ein Anspruch auf Unterlassen aus der Datenschutzgrundverordnung (DSGVO) kann nur bestehen, wenn der Betroffene auch das Löschen seiner Daten verlangt. Der Europäischen Gerichtshof (EuGH) hat damit einen Meinungsstreit über den Anwendungsbereich der DSGVO in Deutschland entschieden (Urt. v. 04.09.2025, Az. C‑655/23).

In dem Fall hatte eine Mitarbeiterin der Quirin-Bank in einem Bewerbungsverfahren eine Xing-Nachricht an einen unbeteiligten Dritten geschickt – ausgerechnet ein früherer Kollege des Bewerbers. Letzterer verlangte daher Unterlassung und Schadensersatz von der Bank, nicht aber das Löschen seiner Daten.

In diesen Fällen war umstritten, ob und ggf. über welche Normen der Betroffene den Unterlassungsanspruch geltend machen kann und damit auch, ob der Anspruch eine Wiederholungsgefahr erfordert und ob sich sein Bestehen des Unterlassungsanspruchs auf die Höhe des Schadensersatzanspruchs auswirkt. Der Bundesgerichtshof (BGH) hatte daher einige Fragen dem EuGH zur Entscheidung vorgelegt (Beschl. v. 26.09.2023, Az. VI ZR 97/22).

Nun hat das Gericht die Fragen entschieden – und ist teilweise nicht den Vorschlägen des Generalanwalts gefolgt.

Kein Unterlassen ohne Löschantrag nach DSGVO

Ein Anspruch auf Unterlassen aus der DSGVO kann laut EuGH nur bestehen, wenn der Betroffene auch das Löschen seiner Daten verlangt. Ansonsten bleibt ihm nur der Weg über die allgemeinen nationalen Regelungen, in Deutschland damit über §§ 823, 1004 Bürgerliches Gesetzbuch (BGB). Dies hatte der Generalanwalt anders beurteilt, er leitete einen Anspruch aus den allgemeinen Normen der DSGVO ab.

Mit dem EuGH-Urteil ist jedoch nun eine weitere Frage geklärt: Wird kein Löschen der Daten verlangt, muss eine Wiederholungsgefahr bestehen – allerdings eben nicht aus der DSGVO, sondern aus den üblichen Regelungen zum Unterlassungsanspruch nach BGB.

Auswirkungen auf die Höhe des Schadensersatzes nach der DSGVO darf dieser Unterlassungsanspruch dann nicht haben, so der EuGH. Das folge aus dem Normzweck des Art. 82 Abs. 1 DSGVO, der ausschließlich eine Ausgleichsfunktion, nicht aber eine Abschreckungs- oder Straffunktion hat – so dass auch ein Verschulden keine Auswirkung haben kann.

Beweis der negativen Gefühle bleibt

Der Ersatz des immateriellen Schadens des von dem Datenschutzverstoß Betroffenen besteht dann aus Art. 82 DSGVO. Dieser Schaden umfasst negative Gefühle – solche, die durch unbefugte Übermittlung und solche, die durch den Kontrollverlust über die Daten, ihre mögliche missbräuchliche Verwendung oder eine Rufschädigung hervorgerufen werden.

Der Beweis dafür liegt bei dem Betroffenen des Datenschutzverstoßes: Dieser muss nachweisen, dass er solche Gefühle samt der negativen Folgen aufgrund des in Rede stehenden Verstoßes gegen diese Verordnung empfindet – damit bleibt der EuGH bei seiner bisherigen Rechtsprechung.

Der BGH wird den Fall der Quirin-Bank nach den Vorgaben des EuGH nun entscheiden müssen.

tap/LTO-Redaktion