Schmerzensgeldanspruch eines Betroffenen aus Art. 82 Abs. 1 DSGVO (hier 500,00 €) wegen einer verspäteten Datenauskunft gemäß Art. 15 DSGVO (hier neun Monate nach deren Beantragung) OLG Köln, Urteil 14.07.2022, Az. I 15 U 137/21)

Die Klägerin bat ihren ehemaligen Anwalt um Auskunft, welche personenbezogenen Daten im Sinne des Art. 15 DSGVO von ihm verarbeitet werden. Der Anwalt wartete neun Monate mit der Auskunftserteilung. Die Klägerin nahm daraufhin unter anderem den Verantwortlichen auf Schmerzensgeld in Anspruch (500,00 €). Das Oberlandesgericht Köln hat nunmehr klargestellt, dass auch ein solcher Verstoß Schmerzensgeldansprüche nach sich ziehen kann.

Nach Art. 82 Abs. 1 und 2 DSGVO hat jede natürliche Person, der wegen eines Verstoßes gegen die DSGVO ein immaterieller Schaden entstanden ist, ein Anspruch auf Schadensersatz gegen den Verantwortlichen. Die verspätete Auskunftserteilung ist ein Verstoß. Nach Art. 15 Abs. 1, Abs. 3 Art. 12 Abs. 3 S. 1 DSGVO hat der Verantwortliche innerhalb eines Monats nach Eingang des Antrages auf Datenauskunft die entsprechenden Auskünfte zu erteilen. Das tat der Beklagte im vorliegenden Fall erst neun Monate später. Das Oberlandesgericht hat sich nunmehr mit der gegenteiligen Auffassung des Landgerichts auseinandergesetzt, ob Art. 82 DSGVO nur solche Schäden erfasst, die "durch eine nicht dieser Verordnung entsprechenden Verarbeitung" entstanden sind und damit Verstöße gegen Auskunftspflichten aus Art. 12 Abs. 3 bzw. Art. 15 DSGVO nicht als Grundlage für einen Ersatzanspruch herangezogen werden können. Dies wird wie folgt begründet: "In Art. 82 Abs. 1 DSGVO ist von einem Verstoß "Verstoß gegen die Verordnung" die Rede gerade nicht von einer ordnungswidrigen Datenverarbeitung. Die Auffassung des Landgerichts, das diese in Art. 82 Abs. 1 des GVO enthaltene Regelung dann durch Art. 82 Abs. 2 DSGVO konkretisiert - sprich: eingeschränkt-werden sollte, ist weder dem Gesamtkontext, noch dem Sinn und Zweck oder aber der Entstehungsgeschichte der Norm mit hinreichender Sicherheit zu entnehmen. Zwar spricht auch Erwägungsgrund 146 davon, dass Schäden ersetzt werden sollen, die "einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht". Allerdings ist der Begriff der Verarbeitung in Art. 4 Nr. 2 DSGVO weit gefasst und umfasst beispielsweise auch die "Offenlegung durch Übermittlung", worunter letztlich auch die hier streitgegenständliche Auskunft zu fassen ist. Daneben ergibt sich aus Erwägungsgrund 60, dass die Existenz einer fairen und transparenten Verarbeitung es erforderlich machen, dass die betroffene Person über die Existenz des Verarbeitungsvorganges und seinen Zweck unterrichtet wird. " Weiter heißt es: Durch dieses Verhalten des Beklagten (neun Monate später erst Auskunft erteilt) ist der Klägerin ein immaterieller Schaden (Schmerzensgeldanspruch) im Sinne von Art. 82 Abs. 1 DSGVO entstanden. Dabei kommt es vorliegend nicht auf die umstrittene Frage an, ob allein die Verletzung einer Vorschrift der DSGVO für einen Anspruch aus Art. 82 Abs. 1 DSGVO ausreicht oder ob es darüber hinaus der Darlegung und des Nachweises eines konkreten Schadensbedarfs (OLG Frankfurt, Urteil vom 02.03.2022 - 13 U 206/20), denn vorliegend hat die Klägerin umfassend und vom Beklagten unwidersprochen dazu vorgetragen, welche immateriellen Folgen die verweigerte Datenauskunft des Beklagten für sie hatte. Diese von der Klägerin vorgetragenen Umstände reichen aus, um einen immateriellen Schaden im Sinne von 82 Abs. 1 DSGVO zu begründen. Die Klägerin beruft sich vorliegend in erster Linie darauf, dass sie durch die verzögerte Datenauskunft des Beklagten psychisch belastet wurde; sie habe Stress und Sorge im Hinblick auf die Regulierung ihrer Ansprüche aus dem Verkehrsunfallgeschehen empfunden. Vor dem Hintergrund dessen, dass der Begriff des Schadens nach Erwägungsgrund 146 weit ausgelegt werden muss und in Erwägungsgrund 75 beispielsweise Handlungen aufgezählt werden, die zum Schadensersatz führen können ("hoch ". wenn die Verarbeitung zu einer Diskriminierung, einem Identitätsdiebstahl oder Betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen führen kann, wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren ". ), kann ein immaterieller Schaden der Klägerin im Sinne eines solchen "Kontrollverlustess" über ihre Daten sowie ein drohender Einfluss auf ihre wirtschaftliche Position, insbesondere ein Zeitverlust im Zusammenhang mit der Abwicklung des Verkehrsunfallgeschehens mit dem gegnerischen Haftpflichtversicherer, nicht in Abrede gestellt werden." (Quelle: Urteil I-15 U1 37/21, OLG Köln, zitiert nach Juris)

Das Oberlandesgericht setzt sich auch mit der Frage des Bagatellvorbehalts auseinandernehmen, was bedeutet, dass der Verstoß so gering ist, dass man von einer Bagatelle sprechen könnte und stellt klar, dass dies im vorliegenden Fall nicht anzunehmen ist, da die verzögerte Datenauskunft über eine reine Bagatelle hinausginge. Wird der Betroffene über einen längeren Zeitraum über das weitere Schicksal seiner Daten im Unklaren gelassen, kann man nicht mehr von einer Bagatelle sprechen. Das Oberlandesgericht geht von einem Schmerzensgeldanspruch i.H.v. 500,00 € aus. Dieser sei ausreichend und angemessen, um die von der Betroffenen erlittenen Schäden nach Art. 82 DSGVO auszugleichen.

Ein verzögerte Datenauskunft kann also nach Art. 82 DSGVO Schadensersatzansprüche begründen.


Mitgeteilt von

Michael Menzel
Rechtsanwalt
und Geschäftsführer