Der Verstoß gegen die Datenschutzgrundverordnung – und der Schadensersatzanspruch

Aktuell hatte sich der Bundesgerichtshof mit einem Anspruch auf Schadensersatz nach Art. 82 Abs. 1 DSGVO bei der Verwaltung von Personalakten durch hierzu nicht befugte Dritte zu befassen:

Dem zugrunde lag ein Fall aus Hannover, in dem die Parteien über Schadensersatz wegen Verstoßes gegen die Datenschutz-Grundverordnung streiten. Die klagende Beamtin ist seit dem Jahr 1995 Bundesbeamtin bei einer Bundesanstalt in Hannover. Die Personalaktenverwaltung wurde dort in der Vergangenheit durch Bedienstete des Landes Niedersachsen vorgenommen. Die Bundesbeamtin beanstandete dies mehrfach ohne Erfolg und wandte sich schließlich im Jahr 2017 an den Beauftragten für Datenschutz des Landes Niedersachsen, der die Eingabe zuständigkeitshalber an den Bundesbeauftragten für Datenschutz und Informationssicherheit weiterleitete. Dieser teilte der beklagten Bundesrepublik Deutschland am 10.04.2019 mit, dass die dortige Praxis unzulässig sei. Die Bundesanstalt änderte daraufhin mit Organisationsverfügung vom 22.08.2019 die beanstandete Praxis. Die Bundesbeamtin begehrt mit ihrer Klage die Feststellung, dass die Bundesanstalt wegen rechtswidriger Weitergabe von besonders geschützten Daten an Landesbedienstete zur Leistung von Schadensersatz verpflichtet sei. 

Das erstinstanzlich hiermit befasste Landgericht Hannover hat die Klage insgesamt abgewiesen¹, das Oberlandesgericht Celle hat die Berufung der Bundesbeamtin zurückgewiesen². Der Bundesgerichtshof sah dies nun anders, hob die Urteile der Vorinstanzen auf und stellte die Schadensersatzpflicht der Bundesanstalt fest; der Feststellungsantrag der Bundesbeamtin aus Art. 82 DSGVO sei zulässig und begründet:

Das Feststellungsbegehren der Bundesbeamtin ist zulässig. Insbesondere steht dem nach § 256 Abs. 1 ZPO erforderlichen und auch in der Revisionsinstanz von Amts wegen zu prüfenden³ Vorhandensein eines Feststellungsinteresses unter den Umständen des Streitfalles nicht der Vorrang der Leistungsklage entgegen. Zwar beruht der noch streitgegenständliche Anspruch auf einem zeitlich begrenzten und bereits abgeschlossenen Sachverhalt, sodass der Bundesbeamtin die Bezifferung des ihr insoweit entstandenen Schadens nunmehr durchaus möglich und zumutbar sein dürfte. Doch hatte die Bundesbeamtin ihren Anspruch zunächst in Verbindung mit dem weitergehenden Vorwurf des zum Zeitpunkt der Klageerhebung nach andauernden Mobbings geltend gemacht, weshalb der einheitliche Feststellungsantrag zu diesem Zeitpunkt zulässig war⁴. Dass dieser Teil des ursprünglichen Feststellungsbegehrens in der Revisionsinstanz nicht mehr Gegenstand des Verfahrens ist, macht die ursprünglich zulässige Feststellungsklage nicht unzulässig⁵.

Der geltend gemachte Feststellunganspruch ist auch begründet, Art. 82 Abs. 1 DSGVO. Nach der Rechtsprechung des Gerichtshofes der Europäischen Union (im Folgenden: Gerichtshof) erfordert ein Schadensersatzanspruch im Sinne des Art. 82 Abs. 1 DSGVO

1. einen Verstoß gegen die Datenschutz-Grundverordnung,
2. das Vorliegen eines materiellen oder immateriellen Schadens sowie
3. einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß,

wobei diese drei Voraussetzungen kumulativ sind⁶. Diese Voraussetzungen sind vorliegend erfüllt:

Ein Verstoß gegen die Datenschutz-Grundverordnung liegt nach den getroffenen Feststellungen vor. Das Oberlandesgericht Celle hat die von der Bundesanstalt bis zum Erlass der Organisationsverfügung vom 22.08.2019 geübte Praxis, die Verwaltung der Personalakten von Bundesbeamten wie der Bundesbeamtin durch Bedienstete des Landes Niedersachsen vornehmen zu lassen, als von § 111a BBG aF i.V.m. § 26 BDSG i.V.m. Art. 88 DSGVO nicht gedeckte Verarbeitung personenbezogener Daten durch Dritte und damit als Verstoß gegen die Datenschutz-Grundverordnung (der Sache nach: gegen Art. 5 Abs. 1 Buchst. a, Art. 28 DSGVO) gewertet. Die Bundesanstalt sei selbst von der offensichtlichen Rechtswidrigkeit dieser Praxis ausgegangen und habe weder näher zu den Einzelheiten der geübten Personalaktenverwaltung vorgetragen noch eine vorherige Zustimmung der obersten Dienstbehörde behauptet. Hiergegen wendet die Bundesanstalt auch mit der Revisionserwiderung nichts ein; Rechtsfehler sind insoweit auf der Grundlage der vom Oberlandesgericht Celle getroffenen und nicht mit Gegenrügen angegriffenen Feststellungen im Übrigen nicht ersichtlich.

Zu Unrecht hat das Oberlandesgericht Celle einen durch diesen Verstoß gegen die Datenschutz-Grundverordnung verursachten Schaden der Bundesbeamtin verneint.

Der Schaden liegt hier bereits in dem durch die Überlassung ihrer Personalakte an Bedienstete des Landes verursachten vorübergehenden Verlust der Kontrolle der Bundesbeamtin über ihre in ihrer Personalakte enthaltenen personenbezogenen Daten.

Schon der bloße Kontrollverlust kann, wie der Bundesgerichtshof in Umsetzung der jüngeren Rechtsprechung des Gerichtshofs⁷ entschieden hat, einen ersatzfähigen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO darstellen⁸. Anders als das Oberlandesgericht Celle meint, muss der Verpflichtung zum Ausgleich keine über diesen Kontrollverlust hinausgehende „benennbare und insoweit tatsächliche Persönlichkeitsrechtsverletzung gegenüberstehen“; auch muss der Beeinträchtigung des Betroffenen kein besonderes „Gewicht“ zukommen, das „über eine individuell empfundene Unannehmlichkeit hinausgeht oder das Selbstbild oder Ansehen ernsthaft beeinträchtigt“⁹.

Nach diesen Grundsätzen liegt der Schaden hier ohne Weiteres darin, dass die Bundesanstalt auch nach dem 25.05.2018 die personenbezogenen, in deren Personalakte enthaltenen Daten der Bundesbeamtin hierzu nicht berechtigten Dritten, nämlich Bediensteten des Landes Niedersachsen, zur Bearbeitung überlassen und diese Praxis erst mit Organisationsverfügung vom 22.08.2019 beendet hat. Der vom Oberlandesgericht Celle in diesem Zusammenhang angeführte Umstand, dass auch die mit Personalangelegenheiten betrauten Bediensteten des Landes Niedersachsen zur Verschwiegenheit verpflichtet waren, steht der Annahme eines Schadens insoweit dem Grunde nach nicht entgegen, sondern wird erst bei Bemessung der Höhe des zu leistenden Schadensersatzes (§ 287 ZPO) zu berücksichtigen sein¹⁰.

Das angegriffene Urteil stellt sich, anders als die Revisionserwiderung meint, auch nicht aus anderen Gründen als richtig dar, § 561 ZPO. Entgegen der Auffassung der Bundesanstalt ist der Feststellungsanspruch der Bundesbeamtin hier nicht nach dem Rechtsgedanken des § 839 Abs. 3 BGB deshalb zu verneinen, weil die Bundesbeamtin es versäumt hätte, primäre Rechtsmittel gegen die von der Bundesanstalt geübte Praxis der Personalaktenverwaltung zu ergreifen. Der Rechtsgedanke des § 839 Abs. 3 BGB lässt sich auf den unionsrechtlichen Anspruch aus Art. 82 Abs. 1 DSGVO nicht übertragen. Anders als der beamtenrechtliche Schadensersatzanspruch, etwa wegen Verletzung der Fürsorgepflicht bei „Mobbing“, bei dem dies angenommen wird¹¹, findet der Anspruch aus Art. 82 Abs. 1 DSGVO seinen Rechtsgrund nicht im Beamtenverhältnis. Der Anspruch aus Art. 82 Abs. 1 DSGVO ist hiervon vielmehr unabhängig und kann in Anspruchskonkurrenz neben einen Amtshaftungsanspruch aus § 839 BGB i.V.m. Art. 34 GG treten¹². Die vom Gerichtshof konturierten Voraussetzungen des unionsrechtlichen Anspruchs aus Art. 82 Abs. 1 DSGVO dem Grunde nach sind daher grundsätzlich abschließend zu verstehen und lassen sich auch in dem hier vorliegenden Fall der Betroffenheit einer Beamtin und einem Datenschutzverstoß ihres Dienstherrn nicht um eine aus nationalem Recht abgeleitete, zusätzliche Anspruchshürde ergänzen¹³. Abgesehen davon ist nicht ersichtlich, inwiefern die von der Bundesbeamtin erfolglos unternommenen „Beanstandungen“ und die anschließende erfolgreiche Einschaltung der Datenschutzbeauftragten des Landes und des Bundes nicht ohnehin einer etwaigen Schadensabwendungsobliegenheit genügt haben.

Bundesgerichtshof, Urteil vom 11. Februar 2025 – VI ZR 365/22

1. LG Hannover, Urteil vom 30.11.2020 – 13 O 210/20[↩]
2. OLG Celle, Urteil vom 22.09.2022 – 11 U 107/21, ZD 2023, 620[↩]
3. vgl. BGH, Urteil vom 21.02.2017 – XI ZR 467/15, NJW 2017, 1823 Rn. 14 mwN[↩]
4. vgl. BGH, Urteil vom 19.04.2016 – VI ZR 506/14, NJW-RR 2016, 759 Rn. 6, 8 mwN[↩]
5. vgl. BGH, Urteil vom 04.11.1998 – VIII ZR 248/97, NJW 1999, 639 15 mwN[↩]
6. EuGH, Urteile vom 04.10.2024 – C-507/23, K&R 2024, 730 Rn. 24 – Patrtju tiesbu aizsardzbas centrs; vom 11.04.2024 – C-741/21, NJW 2024, 1561 Rn. 34; vom 25.01.2024 – C-687/21, NJW 2024, 2009 Rn. 58 – MediaMarktSaturn[↩]
7. EuGH, Urteile vom 04.10.2024 – C-200/23 145, 156 i.V.m. 137- Agentsia po vpisvaniyata; vom 20.06.2024 – C-590/22, DB 2024, 1676 Rn. 33 – PS GbR; vom 11.04.2024 – C-741/21, NJW 2024, 1561 Rn. 42; vgl. zuvor bereits EuGH, Urteile vom 25.01.2024 – C-687/21, NJW 2024, 2009 Rn. 66 – MediaMarktSaturn; vom 14.12.2023 – C-456/22, NZA 2024, 56 Rn. 17-23 – Gemeinde Ummendorf sowie – C-340/21, NJW 2024, 1091 Rn. 82 – Natsionalna agentsia za prihodite[↩]
8. BGH, Urteil vom 18.11.2024 – VI ZR 10/24, WM 2024, 2301 Rn. 30 mwN[↩]
9. vgl. BGH, aaO Rn. 29 mwN[↩]
10. s. zu den Bemessungskriterien weiterführend BGH, aaO Rn. 92 ff., insb. 99[↩]
11. vgl. hierzu BVerwG, Urteil vom 28.03.2023 – 2 C 6/21, BVerwGE 178, 116 Rn. 18, 30 mwN[↩]
12. BFH, Beschluss vom 28.06.2022 – II B 93/21 17; OLG Hamm, GRUR-RS 2023, 1263 Rn. 63 ff., 94, 146; jeweils mwN[↩]
13. vgl. Frenzel in Paal/Pauly, DS-GVO/BDSG, 3. Aufl., Art. 82 DSGVO Rn. 12, 20; Boehm in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2. Aufl., Art. 82 DSGVO Rn. 43[↩]