Mit der europäischen Verbandsklage werden erstmals echte Sammelklagen möglich. Datenschutzverstöße können bald Verbraucher-Massenklagen verursachen.
Datenschutzverstöße schaden der Reputation von Unternehmen und können erhebliche Bußgelder nach sich ziehen. Weniger bekannt ist, dass bei Datenschutzverstößen neben Bußgeldern auch Schadensersatzansprüche drohen. Werden personenbezogene Daten unter Verstoß gegen das Datenschutzrecht verarbeitet, ist der Verantwortliche zum Ersatz des daraus entstandenen Schadens verpflichtet. Zu ersetzen sind (neben materiellen) alle immateriellen Schäden. Dies bedeutet, dass nicht nur tatsächliche Vermögenseinbußen, sondern auch erlittene Persönlichkeitsverletzungen, beispielsweise die Rufschädigung, eine Schadensersatzpflicht nach sich ziehen können. Hierbei reicht es, dass eine Beeinträchtigung der Persönlichkeit entsteht. Derzeit ist noch nicht geklärt, ob Schadensersatz auch bei Bagatellen zu gewähren ist. Traditionell ist die Rechtsprechung in Deutschland zurückhaltend und tendiert dazu, Schadensersatzansprüche bei Kleinigkeiten zu versagen.
Europäischer Gerichtshof fordert abschreckende Wirkung
Maßgeblich ist aber das europäische Recht, weswegen das Bundesverfassungsgericht kürzlich dem EuGH die Frage vorgelegt hat, ob auch bei „kleinen“ Verstößen – konkret ging es um den ungewollten Empfang einer E-Mail – Schadensersatz zu zahlen ist. Hierzu wird der EuGH entscheiden. Bereits jetzt sind die deutschen Gerichte aber durchaus gewillt, Schadensersatz bei spürbaren Verletzungen des Datenschutzrechts zuzusprechen. Bislang ist die Anzahl der Entscheidungen noch überschaubar und die zugesprochenen Beträge maßvoll. Sie liegen in den Einzelfällen im Durchschnitt im mittleren vierstelligen Bereich. Zukünftig dürfte aber nicht nur die Anzahl, sondern auch die Höhe der Bußgelder steigen. Hintergrund hierfür ist, dass dem Schadensersatz laut Europäischem Gerichtshof eine abschreckende Wirkung zukommen muss.
Massenklagen als neues Durchsetzungsmittel
Neben individuellen Klagen können Verbraucher Ansprüche zukünftig gebündelt geltend machen. So kann sich die Schadensersatzsumme schnell multiplizieren. Datenschutzvorfälle entstehen häufig wegen eines fehlerhaften Prozessdesigns oder einer unzureichenden IT-Sicherheit. Angesichts dessen sind Datenschutzverstöße in der Regel Massenereignisse, die viele – häufig tausende oder hunderttausende – Geschädigte betreffen. Der potenzielle Gesamtschaden kann daher gegebenenfalls sogar für Unternehmen existenzvernichtend sein. Werden bei einem Hackerangriff beispielsweise einzelne Kundendaten erbeutet, können potenziell alle Kunden Ansprüche geltend machen. Bereits jetzt besteht die Möglichkeit, solche Ansprüche gebündelt für alle Betroffenen durchzusetzen. Bislang handelt es sich um eher schwerfällige Konstrukte, bei denen die Ansprüche an einen professionellen und gewinnorientierten Kläger abgetreten werden. Diese Hilfskonstruktion ist notwendig, da das deutsche Recht keine echte Sammelklage kennt.
Richtlinie zur Einführung der Europäischen Verbandsklage
Letzteres ändert sich nun mit der Einführung der europäischen Verbandsklage. Die EU-Richtlinie zur Einführung der Verbandsklage sieht vor, dass gegen Unternehmen geklagt werden kann, die gegen verbraucherschützende EU-Vorschriften (hierzu zählt das Datenschutzrecht) verstoßen. Die Klage kann – auch das ist eine Neuerung und der entscheidende Unterschied zur Musterfeststellungsklage – direkt auf die Zahlung von Schadensersatz gerichtet sein. Um einer Klageindustrie vorzubeugen, sieht die Richtlinie – anders als beispielsweise in den USA – vor, dass die Klage nur von einer „qualifizierten Einrichtung“ erhoben werden kann. Laut Richtlinie ist dies jede Organisation oder öffentliche Stelle, die Verbraucherinteressen vertritt und von einem Mitgliedsstaat zur Erhebung von Verbandsklagen benannt wurde. Die qualifizierte Einrichtung muss vor ihrer Benennung bereits zwölf Monate zum Schutz von Verbraucherinteressen öffentlich tätig gewesen sein und darf keinen Erwerbszweck verfolgen.
Ebenso für das deutsche Recht neu ist die in der Richtlinie vorgesehene Möglichkeit, dass Kläger von dem beklagten Unternehmen die Offenlegung von Beweismitteln verlangen können.
Umsetzung in deutsches Recht muss noch erfolgen
Der deutsche Gesetzgeber ist nun verpflichtet, die europäische Verbandsklage bis Mitte 2023 in Deutschland einzuführen. Bei der Umsetzung haben die einzelnen Mitgliedsstaaten einen gewissen Gestaltungsspielraum. Hierdurch kann es zu einem Wettbewerb um das „attraktivste“ Verbandsklageregime kommen: Bei grenzüberschreitenden Sachverhalten – wie fast immer bei großen Datenschutzvorfällen – kann sich der Kläger dann aussuchen, in welchem Mitgliedsstaat die Klage erhoben wird (sogenanntes „Forum Shopping“). Die nationalen Verbandsklageregimes der Mitgliedstaaten treten daher zwangsläufig in einen Wettbewerb um die „beste“ Klagemöglichkeit. Dies dürfte die Klagefreudigkeit zukünftig weiter erhöhen.
Weitere News zum Thema:
Verbandsklage künftig auch bei Verstößen gegen DSGVO
Stapellauf der Musterfeststellungsklage gegen VW