Schadensersatz

Der Ersatz von Schäden, der durch falsche Anwendung der EU-DSGVO eingetreten ist, regelt der Art. 82.

1. Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter (Art. 82 Nr. 1 EU-DSGVO).

Zunächst wird geregelt, dass Betroffene einen Anspruch auf Schadensersatz haben. Dieser Schaden kann materiell oder immateriell sein, also greifbar oder nicht greifbar. Schadensersatzpflichtig sind Verantwortliche oder Auftragsverarbeiter.

2. Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. Ein Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus dieser Verordnung nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des für die Datenverarbeitung Verantwortlichen oder gegen diese Anweisungen gehandelt hat (Art. 82 Nr. 2 EU-DSGVO).

Der Verantwortliche haftet für den Schaden der unrechtmäßigen Verarbeitung. Er ist eben derjenige, der für die Verarbeitung insgesamt verantwortlich ist. Dieser Verantwortung sollte er sich bewusst sein.

Der Auftragsverarbeiter haftet nur dann, wenn er seinen Pflichten nicht nachgekommen ist (Diese Pflichten sind im Art. 28 geregelt). Er haftet auch, wenn er die Anweisungen des Auftraggebers entweder nicht beachtet oder entgegen dieser Anweisungen handelt. Wichtig ist, dass diese Anweisungen rechtmäßig, also nach den Worten der EU-DSGVO, erteilt worden sind. Andere Anweisungen lösen keinen Anspruch auf Schadensersatz aus.

Gibt es auch die Möglichkeit, dass niemand von beiden haftet?

3. Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist (Art. 82 Nr. 3 EU-DSGVO).

Können Verantwortliche oder Auftragsverarbeiter nachweisen (!), dass sie nicht für den entstandenen Schaden verantwortlich sind, dieser Schaden also auch bei Beachtung aller Regeln eingetreten wäre, müssen sie nicht haften. Sie müssen also ihre Unschuld beweisen, nicht jemand anderer ihre Schuld. Man spricht in solchen Fällen von einer Beweislastumkehr.

Aber die Betroffenen sind noch stärker geschützt, denn zunächst bekommt einer der Verantwortlichen den "Schwarzen Peter", muss also für den Gesamtschaden haften.

4. Ist mehr als ein Verantwortlicher oder mehr als ein Auftragsverarbeiter bzw. sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt und sind sie gemäß den Absätzen 2 und 3 für einen durch die Verarbeitung verursachten Schaden verantwortlich, so haftet jeder Verantwortliche oder jeder Auftragsverarbeiter für den gesamten Schaden, damit ein wirksamer Schadensersatz für die betroffene Person sichergestellt ist (Art. 82 Nr. 4 EU-DSGVO).

Einer muss also in Vorleistung treten, damit der Schaden erstmal ersetzt wird. Damit soll verhindert werden, dass Betroffene wegen des Missbrauchs ihrer Daten mehrere Parteien verklagen müssen, was ja bekanntlich viel Geld und Zeit kostet.

Die EU-DSGVO steht hier also voll und ganz auf der Seite der Betroffenen. Das können sich andere Regelungen mal zum Vorbild nehmen, z. B. das Inkassorecht, das überwiegend auf der Seite der Gläubiger zu stehen scheint.

5. Hat ein Verantwortlicher oder Auftragsverarbeiter gemäß Absatz 4 vollständigen Schadenersatz für den erlittenen Schaden gezahlt, so ist dieser Verantwortliche oder Auftragsverarbeiter berechtigt, von den übrigen an derselben Verarbeitung beteiligten für die Datenverarbeitung Verantwortlichen oder Auftragsverarbeitern den Teil des Schadenersatzes zurückzufordern, der unter den in Absatz 2 festgelegten Bedingungen ihrem Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Nr. 5 EU-DSGVO).

Der Verantwortliche kann seine Mittäter dann allerdings in Regress nehmen.

In Nr. 6 regelt der Art. 82 noch abschließend, welche Gerichte für die Klärung zuständig sind.

Weitere Informationen:

• Schadensersatz bei falschem SCHUFA-Eintrag.
• Weitere Urteile zum Schadensersatz.