Das Oberlandesgericht Innsbruck als Berufungs- und Rekursgericht hat durch den Senatspräsidenten des Oberlandesgerichts Mag. Obrist als Vorsitzenden sowie die Richterinnen des Oberlandesgerichts Dr. Nemati und Mag. Ladner-Walch als weitere Mitglieder des Senates in der Rechtssache der klagenden Partei A* , vertreten durch Mag. Dr. Florian Scheiber, Rechtsanwalt in Umhausen, wider die beklagte Partei B* GmbH , (bislang) vertreten durch E+H Rechtsanwälte GmbH in Graz, wegen (eingeschränkt) EUR 450,-- s.A., aus Anlass der Berufungen der klagenden und der beklagten Partei gegen das Urteil des Landesgerichts Innsbruck vom 11.9.2023, **, sowie aus Anlass des Kostenrekurses der klagenden Partei gegen die in diesem Urteil enthaltene Kostenentscheidung in nichtöffentlicher Sitzung beschlossen:
Das Rechtsmittelverfahren wird bis zur Entscheidung des Gerichtshofs der Europäischen Union über die Anträge auf Vorabentscheidung
• des Deutschen Bundesgerichtshof vom 6.5.2025 zu Zl VI ZR 53/23,
• des Amtsgerichts Arnsberg vom 31.7.2024 zu Zl C/2024/6410 und
• des Obersten Gerichtshofs vom 18.2.2025 zu 6 Ob 102/24d sowie
bis zur Entscheidung des OGH im Verfahren 6 Ob 102/24d
u n t e r b r o c h e n .
Nach Vorliegen der vorangeführten Entscheidungen wird das Rechtsmittelverfahren auf Antrag einer der Parteien fortgesetzt.
Begründung:
Die Beklagte ist auf den Betrieb von Analysestationen und die Durchführung von diagnostischen Testverfahren, darunter auch PCR-Testungen, spezialisiert. Sie führte unter anderem zwischen Jänner und Juni 2021 in Tirol Corona-Virus-Tests durch.
Im August 2021 versandte der frühere Geschäftsführer der Beklagten per E-Mail eine unverschlüsselte Excel-Datei, in der mehr als 24.000 Covid-19-Testergebnisse aus Tirol samt den dazugehörigen personenbezogenen Daten der getesteten Personen gespeichert waren, an zumindest eine Person, die nicht bei der Beklagten tätig war.
Unter den Überschriften „ Tausende Tiroler PCR-Test-Ergebnisse mit Namen und Daten geleakt “ und „ Massives Datenleck bei positiven CoV-Tests “ veröffentlichten zwei Medienplattformen im September 2021 Berichte, aus denen hervorging, dass ihnen mehr als 24.000 positive Covid-19-Testergebnisse mitsamt den dazugehörigen Personendaten zugespielt worden seien.
Von diesem Datenleck der Beklagten waren auch Daten des Klägers betroffen.
Mit Schreiben vom 23.11.2021 fragte der Kläger über seinen Rechtsvertreter bei der Beklagten an, ob auch er von der „Datenpanne“ betroffen sei. Zwischen dieser Aufforderung des Klägers und der Erteilung der Auskunft mit Schreiben der Beklagten vom 9.5.2023 sind 532 Tage verstrichen.
Der Kläger war darüber verärgert, dass die Auskunftserteilung durch die Beklagte einen aus seiner Sicht subjektiv als sehr lange empfundenen Zeitraum erfordert hat. Zudem hat es den Kläger belastet, dass er über diesen für ihn als lang empfundenen Zeitraum nicht wusste, was mit seinen Daten passiert war. Dies belastete den Kläger und löste bei ihm Verunsicherung und Ungewissheit aus. Weiters war der Kläger darüber verärgert, dass seine Daten vom „Datenleck“ der Beklagten betroffen waren. Er sieht nun die Gefahr, dass seine Daten nicht mehr vor einem allfälligen Missbrauch geschützt sind. Durch das Datenleck wurde beim Kläger jedoch keine gesundheitliche (körperliche oder psychische) Beeinträchtigung mit Krankheitswert herbeigeführt.
Der Kläger stellte mit der am 14.1.2022 eingebrachten Klage
• ein auf Art 15, 34 DSGVO gestütztes – mit EUR 5.000,-- bewertetes – Auskunftsbegehren darüber, ob auch er von dieser Datenpanne bei der Beklagten, bei der personenbezogene Daten von Corona-Virus-Testergebnissen zwischen Jänner und Juni 2021 hinsichtlich positiv getesteter Personen offengelegt worden seien, betroffen sei, sowie
• ein auf Zuerkennung von EUR 450,-- s.A. gerichtetes und auf Art 82 DSGVO gestütztes Schadenersatzbegehren.
Nachdem der OGH in einer – einen weitgehend identen Sachverhalt betreffenden – Entscheidung einen Auskunftsanspruch eines dortigen Klägers nach Art 15 DSGVO bejaht und die Beklagte dem Kläger daraufhin die von ihm begehrte Auskunft erteilt hatte, schränkte der Kläger das Auskunftsbegehren mit Schriftsatz vom 20.7.2023 (ON 12) auf Kosten ein. Das Schadenersatzbegehren hielt er hingegen aufrecht.
Zum begehrten Schadenersatz brachte der Kläger zusammengefasst vor, dass bei ihm die Unsicherheit über die allenfalls tatsächliche Betroffenheit bei der Datenpanne ein emotionales Ungemach ausgelöst habe. Es sei nämlich nicht auszuschließen, dass durch im Umlauf befindliche Listen mit positiven Corona-Virus-Testergebnissen beispielsweise private Krankenversicherungen Behandlungen verweigern oder sogar einen Versicherungsabschluss ablehnen könnten. Auch könnten künftige Arbeitgeber eine ehemals positiv getestete Person nicht anstellen. Beim Kläger habe dieser Gedanke für Ungewissheit gesorgt und sei ihm dabei stets unwohl.
Die Beklagte bestritt und wendete zusammengefasst ein, dass der Kläger überhaupt keinen immateriellen Schaden erlitten habe. Eine verspätete Auskunftserteilung oder eine nicht erfolgte Benachrichtigung stelle keine rechtswidrige Verarbeitung dar. Aus diesem Grunde sei insoweit der Anwendungsbereich des Art 82 DSGVO gar nicht eröffnet. Das Schadenersatzbegehren sei unschlüssig und zudem weit überhöht.
Das Erstgericht sprach dem Kläger mit dem angefochtenen Urteil einen Schadenersatz von EUR 100,-- s.A. zu. Das Mehrbegehren von EUR 350,-- s.A. wurde hingegen abgewiesen.
Es führte rechtlich dazu aus, dass die Bestimmung des Art 82 Abs 1 DSGVO zwar dahingehend auszulegen sei, dass der bloße Verstoß gegen die Bestimmungen dieser Verordnung zwar noch nicht ausreiche, um einen Schadenersatzanspruch zu begründen. Nach den Intentionen des Gesetzes sollten jedoch auch ideelle Nachteile von eher geringem Gewicht Berücksichtigung als Schaden finden. Die Beeinträchtigung müsse dabei jedoch spürbar sein. Im gegebenen Fall sei der Kläger wegen der Datenschutzverletzung der Beklagten lediglich verunsichert und verärgert gewesen, weshalb ihm unter Heranziehung der Bestimmung des § 273 ZPO für seinen immateriellen Schaden ein Schadenersatz von EUR 100,-- zuzuerkennen sei. Das Mehrbegehren sei hingegen abzuweisen.
Gegen diese Entscheidung richten sich die Berufungen der beiden Streitteile. Der Kläger wendet sich gegen die Abweisung seines Zahlungsmehrbegehrens. Die Beklagte bekämpft den klagsstattgebenden Teil.
Die im Urteil enthaltene Kostenentscheidung wird vom Kläger (mit separatem) Kostenrekurs und von der Beklagten mit einer mit der Berufung verbundenen Kostenrüge bekämpft.
Die Parteien haben gegen die jeweiligen Rechtsmittel Rechtsmittelgegenschriften erhoben.
Aus Anlass der Rechtsmittel ist Folgendes auszuführen:
1. Bereits mit Beschluss vom 15.2.2024 wurde das Rechtsmittelverfahren bis zur Entscheidung des Gerichtshofs der Europäischen Union über die Anträge auf Vorabentscheidung des Amtsgerichts München vom 10.3.2022 zu C-182/22 und vom 11.3.2022 zu C-189/22 sowie des Deutschen Bundesgerichtshofs vom 26.9.2023 zu Zl VI ZR 97/22 unterbrochen.
Mit Schriftsatz vom 9.9.2025 beantragte der Kläger die Fortsetzung des Verfahrens unter Hinweis auf die zwischenzeitlich ergangenen Entscheidungen des EuGH.
Mit Beschluss vom 18.9.2025 setzte das Rechtsmittelgericht das unterbrochene Verfahren fort. Gleichzeitig wurde den Parteien im Hinblick auf zwischenzeitlich eingeleitete weitere Vorabentscheidungsverfahren zu prozessrelevanten Fragen die Gelegenheit zur Stellungnahme zu der vom Rechtsmittelgericht beabsichtigten weiteren Verfahrensunterbrechung eingeräumt.
Der Kläger äußerte in seiner Stellungnahme vom 26.9.2025 (ON 13) Bedenken im Hinblick auf eine weitere Verfahrensverzögerung und sprach sich gegen eine neuerliche Unterbrechung des Verfahrens aus. Die Beklagte äußerte sich nicht.
2. Der Rechtsmittelsenat sieht eine weitere Verfahrensunterbrechung als geboten an:
2.1. Seit der Verfahrensunterbrechung vom 15.2.2024 wurden weitere Fragen zur Auslegung des auch hier einschlägigen Art 82 DSGVO an den EuGH herangetragen.
Am 31.7.2024 wurde ein Vorabentscheidungsersuchen des Amtsgerichts Arnsberg (BRD) eingereicht (Rechtssache C-526/24). Dieses enthält unter anderem folgende Fragestellung:
„Ist Art 82 Abs 1 DSGVO in Ansehung von Erwägungsgrund 146 Satz 1 DSGVO dahingehend auszulegen, dass lediglich diejenigen Schäden ersatzfähig sind, die dem Betroffenen aufgrund einer Verarbeitung entstehen bzw entstanden sind? Bedeutet dies, dass für einen Schadenersatzanspruch nach Art 82 Abs 1 DSGVO – das Vorliegen eines kausalen Schadens des Betroffenen unterstellend – zwingend eine Verarbeitung der personenbezogenen Daten des Betroffenen vorgelegen haben muss. “
2.2. Mit Beschluss vom 6.5.2025, VI ZR 53/23, legte der Deutsche Bundesgerichtshof (BGH) dem EuGH mehrere Fragen zur Vorabentscheidung vor, wobei dieser Beschluss auszugsweise lautet wie folgt:
„Sind die Regelungen in Art 82 Abs 1, Abs 2 Satz 1 DSGVO dahingehend zu verstehen, dass sie einer betroffenen Person auch wegen Verletzung ihres Auskunftsrechts nach Art 15 DSGVO einen Anspruch auf Schadenersatz für den wegen einer verspäteten oder unvollständigen Auskunft entstandenen immateriellen Schaden einräumen? “
2.3.Schließlich legte der Oberste Gerichtshof im Verfahren 6 Ob 102/24d dem EuGH unter anderem nachfolgende Fragestellung in einem Vorabentscheidungsersuchen vor:
„Ist Art 82 Abs 2 DSGVO dahin auszulegen, dass in negativen Folgen für den Betroffenen, die auf einem zeitlich nach der Verarbeitung der personenbezogenen Daten liegenden, allein gegen die Verpflichtung zur Auskunft nach Art 15 Abs 1 DSGVO liegenden Verstoß gegen diese Verordnung beruhen, ein Schaden liegt, der durch „eine nicht dieser Verordnung entsprechende Verarbeitung“ verursacht wurde und die Verpflichtung des Verantwortlichen zur Leistung von Ersatz nach sich zieht? “
2.4. Zu den genannten Vorabentscheidungsersuchen liegen noch keine Entscheidungen des EuGH vor.
3.Der Lösung der in den genannten Vorabentscheidungsersuchen gestellten Fragen kommt auch Bedeutung für diesen Rechtsstreit zu. Der Kläger macht einen immateriellen Schadenersatzanspruch nach Art 82 Abs 1 DSGVO geltend, weil die Beklagte ihr Auskunftsersuchen verspätet beantwortet habe. Darauf wies der Kläger in seiner Berufung ausdrücklich hin.
Im Anwendungsbereich des Art 82 DSGVO ist umstritten, ob jeder Verstoß gegen die DSGVO, der zum Eintritt eines Schadens führt, einen Schadenersatzanspruch begründet oder ob nur eine der Verordnung nicht entsprechende Verarbeitung einen Ersatzanspruch für den dadurch verursachten Schaden auslöst.
Es ist daher zweckmäßig und geboten, mit der Entscheidung über die Berufungen der Streitteile bis zum Vorliegen der Entscheidungen des EuGH über die bereits gestellten Vorabentscheidungsersuchen und auch bis zum Vorliegen der Entscheidung des Obersten Gerichtshofs im Verfahren 6 Ob 102/24d zuzuwarten und das Berufungsverfahren neuerlich zu unterbrechen (RS0110583; vgl auch 6 Ob 137/24a).
4. Da sich der Ausgang in der Hauptsache zwingend auf die Kostenentscheidung auswirkt, ist auch das Verfahren über den (separaten) Kostenrekurs des Klägers und die Kostenrüge der Beklagten zu unterbrechen.
5.Eine Fortsetzung des Rechtsmittelverfahrens erfolgt nach Vorliegen der Entscheidungen des EuGH über sämtliche angeführten Vorabentscheidungsersuchen (nur) auf Antrag einer der Parteien, dies im Hinblick auf die das streitige Zivilverfahren prägende Dispositionsmaxime (RS0041123). Somit ist den Parteien die Möglichkeit zu bieten, selbst ihre Schlüsse insbesondere aus der Entscheidung des Obersten Gerichtshofs nach Ergehen des EuGH-Erkenntnisses zu ziehen ( Höllwerth in Fasching/Konecny³ II/3, § 190 ZPO, Rz 92 und 93).
6.Gegen einen im Berufungsverfahren ergangenen Unterbrechungsbeschluss ist ein Rechtsmittel nicht zulässig (RS0037125; 4 Ob 35/23k).
Rückverweise
Keine Ergebnisse gefunden
RIS