Datenschutzrechtliche Konflikte können für Unternehmen erhebliche wirtschaftliche und rechtliche Folgen haben. Betroffene verlangen Schadensersatz, es werden datenschutzrechtliche Ansprüche erhoben oder ein konkreter Datenschutzvorfall entwickelt sich zu einer rechtlichen Auseinandersetzung.
Spätestens dann geht es nicht mehr allein um die laufende Organisation des Datenschutzes im Unternehmen, sondern um die anwaltliche Prüfung und Durchsetzung oder Abwehr konkreter Ansprüche.
Die Kanzlei Rößner & Merle berät und vertritt Unternehmen bei datenschutzrechtlichen Streitigkeiten und bei der Abwehr von Schadensersatzansprüchen nach der DSGVO – außergerichtlich und gerichtlich sowie bei geeigneten Mandaten bundesweit.
Das Wichtigste in Kürze
- Abwehr von DSGVO-Schadensersatzansprüchen
- Prüfung von Ansprüchen nach Art. 82 DSGVO
- Prüfung und Abwehr datenschutzrechtlicher Abmahnungen und Anspruchsschreiben
- Ansprüche nach Datenschutzverletzungen
- Streit über Auskunft und Datenverarbeitung
- Datenschutzrechtliche Konflikte mit betroffenen Personen, Kunden, Beschäftigten, Ansprechpartnern und Geschäftspartnern
- Prüfung von Verantwortlichkeit und Auftragsverarbeitung
- Haftungsfragen nach Cyberangriffen und Datenpannen
- Bewertung behaupteter materieller und immaterieller Schäden
- Prüfung von Regressansprüchen gegen IT-Dienstleister
- Außergerichtliche Streitbeilegung
- Gerichtliche Vertretung in Datenschutzprozessen
- Bei geeigneten Mandaten bundesweite Vertretung
Wann wird aus Datenschutz ein Rechtsstreit?
Viele datenschutzrechtliche Fragen lassen sich im Rahmen einer funktionierenden Datenschutzorganisation lösen.
Anders ist die Situation, wenn bereits konkrete Ansprüche geltend gemacht werden.
Ein Unternehmen erhält beispielsweise ein anwaltliches Forderungsschreiben. Ein Kunde verlangt Schadensersatz. Ein ehemaliger Beschäftigter erhebt datenschutzrechtliche Vorwürfe. Nach einem Cyberangriff machen zahlreiche Betroffene Ansprüche geltend.
Dann muss nicht mehr nur gefragt werden:
„Wie müssen wir unseren Datenschutz organisieren?“
Sondern:
„Besteht der geltend gemachte Anspruch – und wie reagieren wir darauf?“
An dieser Stelle beginnt die anwaltliche Konfliktvertretung.
DSGVO-Schadensersatz nach Art. 82 DSGVO
Art. 82 DSGVO sieht einen Anspruch auf Ersatz materieller und immaterieller Schäden vor, die aufgrund eines Verstoßes gegen die DSGVO entstanden sind.
Für einen Schadensersatzanspruch müssen grundsätzlich drei Voraussetzungen zusammenkommen:
- ein Verstoß gegen die DSGVO,
- ein materieller oder immaterieller Schaden und
- ein ursächlicher Zusammenhang zwischen Verstoß und Schaden.
Diese Voraussetzungen muss grundsätzlich die anspruchstellende betroffene Person darlegen und beweisen.
Davon zu unterscheiden ist die Frage des Verschuldens. Art. 82 DSGVO enthält hierfür eine besondere Haftungsregelung. Nach Art. 82 Abs. 3 DSGVO kann sich ein Verantwortlicher oder Auftragsverarbeiter von der Haftung befreien, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
Für die rechtliche Prüfung sind deshalb insbesondere von Bedeutung:
- der behauptete DSGVO-Verstoß,
- der behauptete materielle oder immaterielle Schaden,
- der Zusammenhang zwischen Verstoß und Schaden,
- die datenschutzrechtliche Rolle der Beteiligten,
- die Verantwortlichkeit für den schadensauslösenden Umstand und
- mögliche Einwendungen und Entlastungsmöglichkeiten.
Datenschutzverstoß bedeutet nicht automatisch Schadensersatz
Ein wichtiger Unterschied besteht zwischen einem Verstoß gegen datenschutzrechtliche Vorschriften und einem daraus resultierenden Schadensersatzanspruch.
Nicht jeder DSGVO-Verstoß führt automatisch zu einer Zahlungspflicht.
Für einen Anspruch nach Art. 82 DSGVO muss zusätzlich ein ersatzfähiger Schaden entstanden sein, der auf dem betreffenden Verstoß beruht.
Andererseits darf ein immaterieller Schaden nicht allein deshalb verneint werden, weil er einen bestimmten Erheblichkeits- oder Bagatellschwellenwert nicht überschreitet.
Das Fehlen einer solchen allgemeinen Mindestschwelle bedeutet jedoch nicht, dass jede negative Empfindung oder jeder Datenschutzverstoß automatisch einen ersatzfähigen Schaden darstellt.
Entscheidend ist deshalb, welcher konkrete Schaden tatsächlich geltend gemacht wird und ob dieser auf dem behaupteten DSGVO-Verstoß beruht.
Materieller und immaterieller Schaden
Art. 82 DSGVO erfasst sowohl materielle als auch immaterielle Schäden.
Materielle Schäden können wirtschaftlich messbare Nachteile sein.
Bei immateriellen Schäden geht es dagegen um Beeinträchtigungen, die nicht unmittelbar in einem Vermögensverlust bestehen.
Entscheidend ist nicht allein die Bezeichnung des behaupteten Schadens.
Im Streitfall muss konkret geprüft werden:
- Was ist tatsächlich geschehen?
- Welche personenbezogenen Daten waren betroffen?
- Welche Folgen werden behauptet?
- Sind diese Folgen nachvollziehbar dargelegt?
- Besteht ein ursächlicher Zusammenhang zum Datenschutzverstoß?
- Welche Höhe des Schadensersatzes ist unter den Umständen des Einzelfalls angemessen?
Kontrollverlust über personenbezogene Daten
Bei datenschutzrechtlichen Schadensersatzansprüchen kann insbesondere ein behaupteter Kontrollverlust über personenbezogene Daten eine Rolle spielen.
Ein Kontrollverlust kann bei der Beurteilung eines immateriellen Schadens relevant sein. Das bedeutet jedoch nicht, dass jeder behauptete Kontrollverlust automatisch einen Schadensersatzanspruch auslöst.
Entscheidend bleiben die konkreten Umstände des Einzelfalls und die Darlegung eines tatsächlich eingetretenen immateriellen Schadens.
Von Bedeutung können beispielsweise sein:
- Art und Sensibilität der Daten,
- Umfang der betroffenen Informationen,
- Dauer eines möglichen Kontrollverlusts,
- mögliche Weiterverwendung,
- Kreis möglicher Empfänger,
- konkrete Auswirkungen für die betroffene Person und
- eine nachvollziehbar begründete Befürchtung einer missbräuchlichen Verwendung.
Eine allgemeine Erheblichkeitsschwelle besteht zwar nicht. Der geltend gemachte Schaden muss jedoch weiterhin konkret anhand des jeweiligen Sachverhalts beurteilt werden.
Pauschale Aussagen über die Höhe eines DSGVO-Schadensersatzes sind deshalb regelmäßig nicht sinnvoll.
Schadensersatz nach einer Datenpanne
Besonders relevant werden Schadensersatzforderungen nach Datenschutzverletzungen.
Beispiele sind:
- versehentlicher Versand personenbezogener Daten an falsche Empfänger,
- Veröffentlichung nicht für die Öffentlichkeit bestimmter Daten,
- Verlust von Datenträgern,
- unberechtigter Zugriff auf Kunden- oder Beschäftigtendaten,
- Cyberangriffe,
- kompromittierte Benutzerkonten oder
- unberechtigte Weitergabe personenbezogener Informationen.
Nach einem solchen Vorfall müssen verschiedene Rechtsfragen voneinander getrennt werden.
Eine Datenschutzverletzung kann insbesondere eine Meldung an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO und unter den gesetzlichen Voraussetzungen eine Benachrichtigung betroffener Personen nach Art. 34 DSGVO erforderlich machen.
Davon getrennt ist zu prüfen, ob einzelne Betroffene tatsächlich Schadensersatzansprüche nach Art. 82 DSGVO besitzen.
Cyberangriff und DSGVO-Schadensersatz
Nach einem Cyberangriff können personenbezogene Daten in die Hände unbefugter Dritter gelangen.
Für das betroffene Unternehmen stellen sich dann mehrere Fragen gleichzeitig:
- Welche Daten waren betroffen?
- Welche technischen und organisatorischen Maßnahmen bestanden?
- Wie kam es zum Angriff?
- Welche datenschutzrechtlichen Pflichten bestanden?
- Welche Ansprüche machen Betroffene geltend?
- Welche Schäden werden behauptet?
- Bestehen mögliche Regressansprüche gegen IT-Dienstleister?
Ein erfolgreicher Cyberangriff führt nicht automatisch dazu, dass das betroffene Unternehmen für jeden daraus resultierenden Schaden uneingeschränkt haftet.
Zu prüfen sind vielmehr der konkrete DSGVO-Verstoß, ein tatsächlich entstandener Schaden, der ursächliche Zusammenhang sowie die Verantwortlichkeit für den schadensauslösenden Umstand.
Dabei kann auch relevant werden, ob sich ein in Anspruch genommener Verantwortlicher oder Auftragsverarbeiter nach Art. 82 Abs. 3 DSGVO entlasten kann.
Wenn zahlreiche Betroffene Ansprüche geltend machen
Ein Datenschutzvorfall kann nicht nur einen einzelnen Anspruch auslösen.
Sind größere Datenbestände betroffen, können zahlreiche Personen vergleichbare Forderungen erheben.
Für Unternehmen kann daraus ein erhebliches wirtschaftliches Risiko entstehen.
Dann ist eine einheitliche Strategie besonders wichtig.
Zu prüfen ist beispielsweise:
- Beruhen die Ansprüche auf demselben Sachverhalt?
- Welche Tatsachen sind tatsächlich nachweisbar?
- Welche Schäden werden individuell behauptet?
- Welche Einwendungen bestehen?
- Welche Unterlagen müssen gesichert werden?
- Gibt es bereits gerichtliche Entscheidungen zu vergleichbaren Sachverhalten?
- Welche wirtschaftliche Gesamtbelastung droht?
Gerade bei einer Vielzahl gleichartiger Forderungen sollte vermieden werden, dass einzelne Fälle ohne übergreifende Strategie bearbeitet werden.
Auskunftsanspruch nach Art. 15 DSGVO
Auch Streitigkeiten über datenschutzrechtliche Auskunftsansprüche können eskalieren.
Betroffene können nach Art. 15 DSGVO unter den gesetzlichen Voraussetzungen Auskunft über die Verarbeitung ihrer personenbezogenen Daten verlangen.
Dies betrifft insbesondere Informationen über:
- Verarbeitungszwecke,
- Kategorien personenbezogener Daten,
- Empfänger oder Empfängerkategorien,
- Speicherdauer beziehungsweise deren Kriterien und
- weitere in Art. 15 DSGVO vorgesehene Informationen.
Daneben besteht unter den gesetzlichen Voraussetzungen ein Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind.
Das bedeutet jedoch nicht automatisch einen pauschalen Anspruch auf sämtliche internen Unterlagen, vollständige Aktenbestände oder die gesamte interne Kommunikation eines Unternehmens.
Bei der Bearbeitung eines Auskunftsanspruchs können außerdem insbesondere relevant sein:
- die Identität des Antragstellers,
- Umfang und Gegenstand des Auskunftsverlangens,
- Rechte und Freiheiten anderer Personen,
- Geschäftsgeheimnisse,
- umfangreiche Datenbestände sowie
- offenkundig unbegründete oder exzessive Anträge.
Welche Informationen und Kopien im konkreten Fall herauszugeben sind, muss deshalb anhand der gesetzlichen Voraussetzungen geprüft werden.
Auskunftsverstoß bedeutet nicht automatisch Schadensersatz
Wird eine Auskunft verspätet, unvollständig oder überhaupt nicht erteilt, können daraus weitere rechtliche Auseinandersetzungen entstehen.
Davon zu unterscheiden ist jedoch die Frage eines Zahlungsanspruchs.
Ob aus einer verspäteten, unvollständigen oder verweigerten Auskunft zusätzlich ein Schadensersatzanspruch folgt, ist gesondert nach den Voraussetzungen des Art. 82 DSGVO zu prüfen. Ein Auskunftsverstoß allein begründet nicht automatisch einen Zahlungsanspruch.
Auch hier müssen insbesondere ein ersatzfähiger Schaden und der erforderliche Zusammenhang mit dem geltend gemachten DSGVO-Verstoß geprüft werden.
Beschäftigtendatenschutz und Schadensersatz
Datenschutzrechtliche Konflikte entstehen auch im Arbeitsverhältnis.
Denkbar sind beispielsweise Streitigkeiten über:
- Einsicht in Beschäftigtendaten,
- Weitergabe personenbezogener Informationen,
- Videoüberwachung,
- E-Mail- und Internetnutzung,
- Veröffentlichung von Beschäftigtendaten,
- Auskunftsansprüche ehemaliger Beschäftigter oder
- Löschung personenbezogener Daten.
Gerade nach Beendigung eines Arbeitsverhältnisses können datenschutzrechtliche Ansprüche Teil einer umfassenderen Auseinandersetzung werden.
Hier können sich Datenschutz- und Arbeitsrecht überschneiden.
Verantwortlicher oder Auftragsverarbeiter?
Bei der Verarbeitung personenbezogener Daten wirken häufig mehrere Unternehmen zusammen.
Kommt es zu einem Datenschutzvorfall, muss deshalb zunächst geklärt werden, welche datenschutzrechtliche Rolle die einzelnen Beteiligten tatsächlich einnehmen und welche Pflichten ihnen jeweils oblagen.
Zu prüfen ist beispielsweise:
- Wer hat über Zwecke und Mittel der Verarbeitung entschieden?
- Lag eine Auftragsverarbeitung vor?
- Welche vertraglichen Pflichten bestanden?
- Welche Weisungen wurden erteilt?
- Welche technischen und organisatorischen Maßnahmen waren vereinbart?
- Welche Kontrollmaßnahmen bestanden?
- Welche eigenen Pflichten trafen den jeweiligen Beteiligten?
Ein Auftragsverarbeiter kann insbesondere dann selbst haften, wenn er gegen speziell ihm auferlegte Pflichten der DSGVO verstößt oder außerhalb beziehungsweise entgegen rechtmäßigen Weisungen des Verantwortlichen handelt.
Umgekehrt wird ein Verantwortlicher nicht automatisch dadurch von jeder datenschutzrechtlichen Verantwortung frei, dass ein technischer Fehler bei einem externen Dienstleister entstanden ist.
Die technische Verursachung eines Vorfalls durch einen Dienstleister beseitigt die datenschutzrechtliche Verantwortung des Verantwortlichen nicht automatisch. Vielmehr sind die jeweiligen Pflichten, Weisungen, Kontrollmaßnahmen und die konkrete Verarbeitungssituation zu prüfen.
Außenhaftung und Regress zwischen Unternehmen und Dienstleistern
Von der Haftung gegenüber der betroffenen Person ist die interne Haftungsverteilung zwischen beteiligten Unternehmen zu unterscheiden.
Werden mehrere Verantwortliche oder Auftragsverarbeiter in einen Datenschutzvorfall einbezogen, können sich deshalb zwei unterschiedliche Fragen stellen:
Wer haftet gegenüber der betroffenen Person?
und:
Wer muss den entstandenen Schaden im Verhältnis der beteiligten Unternehmen untereinander letztlich tragen?
Wird beispielsweise ein Unternehmen von einem Betroffenen auf Schadensersatz in Anspruch genommen, kann zusätzlich zu prüfen sein, ob ein externer Dienstleister seine datenschutzrechtlichen oder vertraglichen Pflichten verletzt hat.
Das kann beispielsweise einen:
- Cloud-Anbieter,
- Softwareanbieter,
- Hosting-Dienstleister,
- IT-Systembetreuer oder
- sonstigen Auftragsverarbeiter
betreffen.
Dann müssen datenschutzrechtliche Verantwortlichkeit, die Haftungsregelungen der DSGVO und die vertraglichen Beziehungen zwischen den Unternehmen gemeinsam geprüft werden.
Aus einem Datenschutzfall kann dadurch gleichzeitig ein IT-vertragsrechtlicher Haftungs- und Regressfall entstehen.
Datenschutzrechtliche Abmahnung oder Forderung erhalten
Unternehmen sollten datenschutzrechtliche Abmahnungen und Forderungsschreiben nicht ungeprüft erfüllen.
Ebenso wenig sollten sie möglicherweise berechtigte Ansprüche ohne Prüfung pauschal zurückweisen.
Zunächst sollte geklärt werden:
- Welcher konkrete Datenschutzverstoß wird behauptet?
- Welche personenbezogenen Daten sind betroffen?
- Welcher Anspruch wird daraus hergeleitet?
- Welcher Schaden wird behauptet?
- Wie wird die Schadenshöhe begründet?
- Welche Tatsachen können bewiesen werden?
- Welche Anspruchsgrundlage wird geltend gemacht?
- Welche Einwendungen bestehen?
- Welche Fristen laufen?
Auf dieser Grundlage kann entschieden werden, ob der Anspruch zurückgewiesen, verhandelt oder gegebenenfalls erfüllt werden sollte.
Beweissicherung bei Datenschutzstreitigkeiten
Auch Datenschutzprozesse können stark von technischen Tatsachen abhängen.
Bei einem Datenleck kann beispielsweise entscheidend sein:
- wann der Vorfall begann,
- welche Systeme betroffen waren,
- welche Daten tatsächlich betroffen waren oder abgeflossen sind,
- wer Zugriff hatte,
- welche Sicherheitsmaßnahmen bestanden und
- wann der Vorfall beendet wurde.
Deshalb können neben datenschutzrechtlichen Unterlagen auch technische Dokumentationen, Logdateien und forensische Erkenntnisse relevant sein.
Bei einem absehbaren Rechtsstreit sollte frühzeitig geprüft werden, welche Informationen für die spätere Anspruchsprüfung gesichert werden müssen.
Außergerichtliche Lösung oder Datenschutzprozess?
Nicht jeder datenschutzrechtliche Konflikt muss vor Gericht enden.
Gerade bei wirtschaftlich überschaubaren Einzelforderungen kann eine außergerichtliche Lösung sinnvoll sein.
Bei grundsätzlichen Fragen, hohen Forderungen oder einer Vielzahl vergleichbarer Ansprüche kann dagegen eine gerichtliche Klärung erforderlich werden.
Entscheidend sind insbesondere:
- Erfolgsaussichten,
- Beweislage,
- wirtschaftliches Interesse,
- mögliche Folgewirkungen,
- Anzahl weiterer Ansprüche und
- Prozesskostenrisiko.
Die Entscheidung sollte deshalb nicht allein anhand der Höhe einer einzelnen Forderung getroffen werden.
Datenschutzaufsichtsbehörde und zivilrechtlicher Streit
Ein Datenschutzvorfall kann gleichzeitig unterschiedliche Verfahren auslösen.
Während eine Datenschutzaufsichtsbehörde die Einhaltung datenschutzrechtlicher Vorschriften prüft, kann ein Betroffener parallel zivilrechtliche Ansprüche geltend machen.
Beide Verfahren verfolgen unterschiedliche Ziele und sollten rechtlich voneinander unterschieden werden.
Aussagen und Unterlagen aus einem Verfahren können jedoch Auswirkungen auf andere Auseinandersetzungen haben.
Deshalb sollte bei größeren Datenschutzvorfällen eine übergreifende rechtliche Strategie entwickelt werden.
Typischer Irrtum: „Bei jedem DSGVO-Verstoß gibt es automatisch immateriellen Schadensersatz“
Diese Aussage ist falsch.
Art. 82 DSGVO sieht Schadensersatz für materielle und immaterielle Schäden vor. Ein bloßer Verstoß gegen die DSGVO reicht für sich genommen jedoch nicht automatisch aus.
Es muss ein ersatzfähiger Schaden vorliegen, der auf dem betreffenden Verstoß beruht.
Ebenso falsch wäre allerdings die Annahme, ein immaterieller Schaden müsse zunächst eine bestimmte Mindestschwere überschreiten.
Die entscheidende Frage lautet deshalb nicht nur:
„War die DSGVO verletzt?“
sondern zusätzlich:
„Welcher konkrete Schaden ist dadurch entstanden?“
Praxisbeispiel: Cyberangriff und zahlreiche Schadensersatzforderungen
Ein Unternehmen wird Opfer eines Cyberangriffs.
Die Angreifer erhalten Zugriff auf ein System mit personenbezogenen Kundendaten. Nach Bekanntwerden des Vorfalls melden sich zahlreiche Betroffene und verlangen Schadensersatz nach Art. 82 DSGVO.
Einzelne Anspruchsteller machen einen Kontrollverlust über ihre personenbezogenen Daten geltend. Andere behaupten zusätzliche konkrete Nachteile.
Für das Unternehmen muss nun geklärt werden:
Welche Daten sind tatsächlich abgeflossen? Welche technischen und organisatorischen Maßnahmen bestanden? Welcher DSGVO-Verstoß wird geltend gemacht? Welche individuellen Schäden werden dargelegt? Besteht der erforderliche Zusammenhang zwischen einem möglichen Verstoß und dem jeweiligen Schaden? Welche Möglichkeiten einer Entlastung bestehen?
Gleichzeitig muss geprüft werden, ob ein externer IT-Dienstleister möglicherweise eigene datenschutzrechtliche oder vertragliche Pflichten verletzt hat und Regressansprüche bestehen.
Aus einem einzigen Cybervorfall können dadurch zahlreiche Datenschutzansprüche und zusätzliche IT-rechtliche Haftungsfragen entstehen.
Wann sollten Unternehmen anwaltlichen Rat einholen?
Eine anwaltliche Prüfung ist insbesondere sinnvoll, wenn:
- Schadensersatz nach Art. 82 DSGVO verlangt wird,
- mehrere Betroffene Ansprüche erheben,
- ein erheblicher Datenschutzvorfall eingetreten ist,
- ein Cyberangriff personenbezogene Daten betrifft,
- eine datenschutzrechtliche Abmahnung oder ein Anspruchsschreiben vorliegt,
- ein Auskunftsstreit eskaliert,
- hohe oder grundsätzliche Forderungen geltend gemacht werden,
- Haftungsfragen zwischen mehreren Unternehmen bestehen,
- Regress gegen einen IT-Dienstleister geprüft werden soll oder
- ein gerichtliches Verfahren droht oder bereits anhängig ist.
Ihr Ansprechpartner bei DSGVO-Schadensersatz und Datenschutzstreitigkeiten
Rechtsanwalt Karsten Rößner
Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen bei DSGVO-Schadensersatzforderungen und datenschutzrechtlichen Streitigkeiten – insbesondere bei der Prüfung und Abwehr von Ansprüchen nach Art. 82 DSGVO sowie bei daraus entstehenden außergerichtlichen und gerichtlichen Auseinandersetzungen.
Er hat den Fachanwaltslehrgang Informationstechnologierecht erfolgreich absolviert und verfügt als zertifizierter externer Datenschutzbeauftragter über besondere praktische Erfahrung an der Schnittstelle von Datenschutzrecht, IT-Recht und betrieblichen Datenverarbeitungsprozessen.
Ein besonderer Schwerpunkt liegt auf der Abwehr von DSGVO-Schadensersatzansprüchen, Streitigkeiten über Auskunfts- und Betroffenenrechte, Haftungsfragen nach Datenschutzverletzungen und Cyberangriffen sowie Regressansprüchen zwischen Unternehmen und IT-Dienstleistern.
Mehr über Rechtsanwalt Karsten Rößner →
Häufige Fragen zu DSGVO-Schadensersatz
Führt jeder DSGVO-Verstoß zu Schadensersatz?
Nein. Ein Verstoß allein genügt grundsätzlich nicht. Für einen Anspruch nach Art. 82 DSGVO müssen insbesondere ein ersatzfähiger Schaden und der erforderliche Zusammenhang mit dem Verstoß vorliegen.
Gibt es eine Mindesthöhe für einen immateriellen DSGVO-Schaden?
Eine allgemeine Erheblichkeits- oder Bagatellschwelle als Voraussetzung des Anspruchs besteht nicht. Trotzdem muss ein konkreter tatsächlicher Schaden vorliegen. Ob ein ersatzfähiger immaterieller Schaden besteht und welche Entschädigung angemessen ist, hängt vom jeweiligen Sachverhalt ab.
Kann Kontrollverlust über personenbezogene Daten einen Schaden darstellen?
Ein Kontrollverlust kann bei der Beurteilung eines immateriellen Schadens relevant sein. Ob die Voraussetzungen eines Anspruchs im konkreten Fall erfüllt sind, muss anhand der jeweiligen Umstände und des tatsächlich geltend gemachten Schadens geprüft werden.
Führt eine verspätete DSGVO-Auskunft automatisch zu Schadensersatz?
Nein. Auch bei einer Verletzung des Auskunftsrechts ist ein möglicher Schadensersatzanspruch gesondert nach den Voraussetzungen des Art. 82 DSGVO zu prüfen.
Muss ein Unternehmen nach einem Cyberangriff automatisch Schadensersatz zahlen?
Nein. Auch hier müssen der behauptete DSGVO-Verstoß, ein konkreter Schaden, der ursächliche Zusammenhang und die Verantwortlichkeit geprüft werden. Je nach Sachverhalt kann außerdem eine Entlastung nach Art. 82 Abs. 3 DSGVO relevant sein.
Kann ein IT-Dienstleister für einen Datenschutzvorfall haften?
Das ist möglich. Entscheidend sind unter anderem seine datenschutzrechtliche Rolle, die ihn treffenden Pflichten, die konkrete Verarbeitungssituation sowie die vertraglichen Vereinbarungen. Außenhaftung gegenüber Betroffenen und ein möglicher interner Regress sind dabei voneinander zu unterscheiden.
Vertreten Sie Unternehmen auch gerichtlich gegen DSGVO-Schadensersatzforderungen?
Ja. Bei geeigneten Mandaten übernehmen wir sowohl die außergerichtliche als auch die gerichtliche Vertretung.
Übernimmt die Kanzlei auch die laufende Tätigkeit als externer Datenschutzbeauftragter?
Die Kanzlei konzentriert sich auf die anwaltliche Beratung und Vertretung in konkreten Rechtsfragen und Rechtsstreitigkeiten.
Davon zu unterscheiden ist die laufende organisatorische und datenschutzrechtliche Betreuung eines Unternehmens im Rahmen der Tätigkeit als externer Datenschutzbeauftragter.
DSGVO-Schadensersatzforderung erhalten? Anspruch rechtlich prüfen lassen
Datenschutzrechtliche Schadensersatzforderungen sollten weder vorschnell anerkannt noch pauschal zurückgewiesen werden.
Entscheidend sind insbesondere der behauptete DSGVO-Verstoß, der konkret geltend gemachte Schaden, die Kausalität, die Verantwortlichkeit der Beteiligten sowie mögliche Einwendungen und Regressansprüche.
Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen bei DSGVO-Schadensersatzforderungen und anderen datenschutzrechtlichen Streitigkeiten – außergerichtlich und gerichtlich sowie bei geeigneten Mandaten bundesweit.
Sie erreichen die Kanzlei telefonisch oder per E-Mail zur Vereinbarung eines Besprechungstermins. Kontakt und Anfahrt zur Kanzlei →