6Ob113/24x – OGH Entscheidung

Der Oberste Gerichtshof hat als Revisionsgericht durch den Senatspräsidenten Hon. Prof. Dr. Gitschthaler als Vorsitzenden sowie die Hofrätinnen und Hofräte Dr. Hofer Zeni Rennhofer, Dr. Faber, Mag. Pertmayr und Dr. Weber als weitere Richter in der Rechtssache der klagenden Partei Dr. L*, Rechtsanwalt, *, gegen die beklagte Partei Ö* AG, *, vertreten durch Wolff Theiss Rechtsanwälte GmbH Co KG in Wien, wegen 7.000 EUR sA, über die Revision der klagenden Partei gegen das Urteil des Oberlandesgerichts Linz als Berufungsgericht vom 29. März 2024, GZ 12 R 20/21d 31, mit dem das Urteil des Landesgerichts Wels vom 8. Juni 2021, GZ 2 Cg 92/20m 23, bestätigt wurde, in nichtöffentlicher Sitzung zu Recht erkannt:

Der Revision wird nicht Folge gegeben.

Die klagende Partei ist schuldig, der beklagten Partei die mit 751,92 EUR (darin 125,32 EUR Umsatzsteuer) bestimmten Kosten des Revisionsverfahrens binnen 14 Tagen zu ersetzen.

Entscheidungsgründe:

[1] Die Beklagte ist der landesweit führende Logistik- und Postdienstleister, zu dessen Hauptgeschäftsbereichen die Beförderung von Briefen, Werbesendungen, Printmedien und Paketen zählt. Darüber hinaus verfügt sie über eine Gewerbeberechtigung als „Adressverlag und Direktmarketingunternehmen“ iSd § 151 GewO. Die Beklagte verarbeitete Daten über die Einstellung des Klägers zu den Attributen Bioaffinität, Nachtschwärmereigenschaft, Heimwerkereigenschaft, Lebensphase, Investment Affinität, Distanzhandels-Affinität und Kinderlosigkeit. Bei fünf dieser sieben Attribute entspricht die Einstufung der Beklagten der Realität; es steht jedoch nicht fest, bei welchen. Der Kläger erteilte der Beklagten keine Einwilligung zur Verarbeitung personenbezogener Daten. Die streitgegenständlichen Daten wurden von der Beklagten nicht zu Marketing-Zwecken an Dritte weitergegeben. Sie wurden von der Beklagten gelöscht (vgl das zwischen denselben Parteien ergangene Urteil 6 Ob 127/20z des Obersten Gerichtshofs vom 18. 2. 2021). Der Kläger sieht sich subjektiv durch das Verarbeiten der genannten Daten in seiner Rechtssphäre deutlich, soweit es sich um zutreffende Einordnungen handle, hinsichtlich der unrichtigen Daten hingegen nur gering beeinträchtigt.

[2] Der Kläger begehrt von der Beklagten 7.000 EUR aufgrund der unrechtmäßigen Verarbeitung seiner personenbezogenen Daten. Er brachte vor, er behaupte nicht, „mit der Bekanntgabe der verarbeiteten Daten einen Herzinfarkt erlitten zu haben oder nächtelang nicht geschlafen zu haben“. Der „Grad seines Ärgernisses“ sei „natürlich abgestuft“. Er sehe sich durch das Verarbeiten der fünf „richtigen“ Zuordnungen in seiner Rechtssphäre deutlich, durch die Verarbeitung der unrichtigen Daten hingegen nur gering beeinträchtigt.

[3] Die Beklagte bestritt das Begehren und brachte zusammengefasst vor, es liege keine rechtswidrige Datenverarbeitung, gegebenenfalls kein Verschulden der Beklagten und kein von ihr verursachter immaterieller Schaden des Klägers vor. Eine allfällige Rechtsverletzung reiche nicht aus.

[4] Das Erstgericht wies das Klagebegehren ab. Die Erheblichkeitsschwelle sei nicht erreicht.

[5] Das Berufungsgericht bestätigte und ließ die Revision zu den Voraussetzungen eines Schadenersatzanspruchs nach Art 82 DSGVO zu. Rechtlich verneinte es den Eintritt eines immateriellen Schadens. Das Vorbringen des Klägers, er sehe sich subjektiv in seiner Rechtssphäre beeinträchtigt, lasse keine auch nur geringfügige psychische Beeinträchtigung erkennen; die Wortwahl weise vielmehr auf eine rationale Betrachtung der Rechtslage hin. Die behauptete Beeinträchtigung gehe über das bloße Erkennen des Verstoßes und seiner rechtlichen Qualifikation nicht hinaus. Daran ändere auch die Erwähnung eines „abgestuften Grades des Ärgernisses“ im Vorbringen nichts. Der Ersatzanspruch scheitere nicht an der Erheblichkeitsschwelle, vielmehr liege überhaupt kein Schaden vor.

[6] Die Revision des Klägers ist aus dem vom Berufungsgericht angeführten Grund zulässig ; sie ist aber nicht berechtigt .

1. Qualifikation als personenbezogene Daten

[7] 1.1. Der Oberste Gerichtshof hat bereits ausgesprochen, dass es sich bei Daten wie den im vorliegenden Verfahren zu beurteilenden um Marketinginformationen und -klassifikationen iSd § 151 Abs 6 GewO handelt (6 Ob 127/20z [Rz 24]) und dass derartige, einer bestimmten Person zugeordnete Klassifikationen als personenbezogene Daten zu qualifizieren sind. Als solche unterliegen sie auch dann dem Regime der DSGVO, wenn sie (lediglich) über statistische Wahrscheinlichkeiten errechnet wurden und insofern (nur) eine Wahrscheinlichkeitsaussage über bestimmte Interessen und Vorlieben der betroffenen Person enthalten (6 Ob 127/20z [ErwGr 2., insb Rz 19] = RS0132655 [T3, T4, T5]; 6 Ob 19/23x [Rz 14 f]). Zum rechtlichen Gehalt des § 151 GewO wurde in diesem Zusammenhang bereits klargestellt, dass § 151 Abs 6 GewO die Verwendung von Marketinginformationen und klassifikationen regelt, aber nichts an der Qualifikation als von der DSGVO erfasste personenbezogene Daten ändert (6 Ob 127/20z [Rz 24] = RS0133524).

[8] 1.2. Für den vorliegenden Fall bedeutet das, dass die Voraussetzungen des geltend gemachten Schadenersatzanspruchs nach Art 82 DSGVO zu beurteilen sind.

2. Voraussetzungen des Schadenersatzanspruchs gemäß Art 82 DSGVO

[9] 2.1. Der Gerichtshof der Europäischen Union (EuGH) legt Art 82 Abs 1 DSGVO in mittlerweile ständiger Rechtsprechung dahin aus, dass der bloße Verstoß gegen die DSGVO nicht ausreicht, um einen Schadenersatzanspruch zu begründen. Erforderlich sind das Vorliegen eines materiellen oder immateriellen Schadens, das Vorliegen eines Verstoßes gegen die DSGVO sowie ein Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (EuGH C 300/21 vom 4. 5. 2023, Österreichische Post [Rz 32]; C 741/21 vom 11. 4. 2024, juris [Rz 34]; C-182/22 und C-189/22 vom 20. 6. 2024, Scalable Capital [Rz 41]; C-200/23 vom 4. 10. 2024, Agentsia po vpisvaniyata [Rz 140]).

[10] Die Person, die auf der Grundlage von Art 82 Abs 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, muss nicht nur den Verstoß gegen Bestimmungen der DSGVO nachweisen, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist, der nicht allein aufgrund dieses Verstoßes vermutet werden kann (EuGH C 200/23 vom 4. 10. 2024, Agentsia po vpisvaniyata [Rz 141]; C-182/22 und C-189/22 vom 20. 6. 2024, Scalable Capital [Rz 41] unter Hinweis auf C 300/21 vom 4. 5. 2023, Österreichische Post [Rz 42 und 50] sowie C 741/21 vom 11. 4. 2024, juris [Rz 35]). Ist der betroffenen Person ein ideeller Schaden entstanden, darf der Anspruch auf Ersatz eines immateriellen Schadens allerdings nicht davon abhängig gemacht werden, dass dieser Schaden einen bestimmten Grad an Erheblichkeit erreicht hat (EuGH C 300/21 vom 4. 5. 2023, Österreichische Post [Rz 51]). Darüber hinaus hängt die Haftung des Verantwortlichen nach Art 82 DSGVO vom Vorliegen eines ihm anzulastenden Verschuldens ab, das vermutet wird, sofern er nicht nachweist, dass die Handlung, die den Schaden verursacht hat, ihm nicht zurechenbar ist (EuGH C-182/22 und C-189/22 vom 20. 6. 2024, Scalable Capital [Rz 28]; C-667/21 vom 21. 12. 2023, Krankenversicherung Nordrhein [Rz 103]).

[11] 2.2. Zum Eintritt eines ideellen Schadens hatte der EuGH jüngst in einem Fall Stellung zu nehmen, in dem personenbezogene Daten der betroffenen Person rechtswidrig online im Handelsregister eines Mitgliedstaats Dritten zugänglich gemacht worden waren. Der EuGH sprach aus, dass die Befürchtung einer natürlichen Person, dass aufgrund eines Verstoßes gegen die DSGVO ihre Daten von Dritten missbräuchlich verwendet werden könnten, einen immateriellen Schaden iSd Art 82 Abs 1 DSGVO darstellen könne (C-200/23 vom 4. 10. 2024, Agentsia po vpisvaniyata [Rz 143 f]; vgl zur Veröffentlichung von durch einen Cyberangriff erlangten personenbezogenen Daten im Internet und die darauf gegründete Befürchtung eines Missbrauchs durch Dritte C-340/21, Natsionalna agentsia za prihodite [Rz 80, 86]). Der Kontrollverlust könne ausreichen, um einen immateriellen Schaden zu verursachen, sofern die betroffene Person nachweise, dass sie tatsächlich einen solchen Schaden, so geringfügig er auch sein möge, erlitten habe (C-200/23 vom 4. 10. 2024, Agentsia po vpisvaniyata [Rz 156]).

[12] 2.3. Der Schadenersatzanspruch nach Art 82 DSGVO hat keine Straf oder Abschreckungs-, sondern eine Ausgleichsfunktion. Eine auf diese Bestimmung gestützte finanzielle Entschädigung soll es ermöglichen, den konkret aufgrund des Verstoßes gegen die DSGVO erlittenen Schaden in vollem Umfang auszugleichen (EuGH C 182/22 und C 189/22 vom 20. 6. 2024, Scalable Capital [Rz 22 f] mit Hinweis auf C 300/21 vom 4. 5. 2023, Österreichische Post [Rz 57 und 58] sowie C 741/21 vom 11. 4. 2024, juris [Rz 61]).

3. Zum vorliegenden Fall

[13] 3.1. Im vorliegenden Fall wurde mit dem Kläger nicht erörtert, welchen tatsächlichen Vorgang – in Betracht kommen das Ermitteln oder die (Weiter )Verarbeitung von Daten durch Errechnen und Speichern der Marketingqualifikationen – er beanstandet. Darauf muss jedoch nicht weiter eingegangen werden, weil das Berufungsgericht zutreffend den Eintritt eines ideellen Schadens verneinte. Dieses verstand die getroffene Feststellung zur Reaktion des Klägers auf die Datenverarbeitung unbedenklich dahin, dass darin das Erkennen und die rechtliche Qualifikation als Verstoß gegen die DSGVO liege und darüber hinausgehende Auswirkungen nicht eingetreten seien. Die darauf gegründete Beurteilung, dass darin kein durch den behaupteten Rechtsverstoß ausgelöster Schaden eingetreten sei, steht mit der dargestellten Rechtsprechung des EuGH im Einklang.

[14] 3.2. Das Revisionsvorbringen zur Rechtswidrigkeit der Datenverarbeitung und zur Notwendigkeit der zivilrechtlichen Sanktionierung der rechtswidrigen Verarbeitung personenbezogener Daten lässt außer Acht, dass der Schadenersatzanspruch nach der DSGVO keinen Sanktionszweck verfolgt, sondern ausschließlich dem Ausgleich eines eingetretenen Schadens dient (vgl nur EuGH C-182/22 und C-189/22 vom 20. 6. 2024, Scalable Capital [Rz 22 f]). Ein Schaden kann aus den getroffenen Feststellungen allerdings nicht abgeleitet werden. Dass der Kläger Ärger empfunden habe, wie in der Revision behauptet, wurde nicht festgestellt.

[15] 4. Die Kostenentscheidung gründet sich auf §§ 41, 50 ZPO.