6R49/19x – OLG Linz Entscheidung

Das Oberlandesgericht Linz als Berufungsgericht hat durch den Richter Mag. Bernhard Telfser als Vorsitzenden sowie die Richterinnen Dr. Sabine Plöckinger und Mag. Edeltraud Kraupa in der Rechtssache des Klägers K***** P***** , Geschäftsführer, *****, *****, vertreten durch die HASCH PARTNER Anwaltsgesellschaft mbH in Linz, wider die beklagte Partei B***** GmbH Co. KG , *****, *****, vertreten durch die Nowotny Wohlmacher Rechtsanwälte OG in Linz, wegen EUR 25.880,00 s.A., über die Berufung des Klägers gegen das Urteil des Landesgerichtes Linz vom 27. Februar 2019, 36 Cg 1/18x-16, in nichtöffentlicher Sitzung zu Recht erkannt:

Der Berufung wird nicht Folge gegeben.

Der Kläger ist schuldig, der beklagten Partei die mit EUR 2.286,72 (darin EUR 381,12 USt) bestimmten Kosten der Berufungsbeantwortung binnen 14 Tagen zu ersetzen.

Die ordentliche Revision ist zulässig.

Entscheidungsgründe:

P***** F*****, Friseur und Freund des Klägers schlug diesem eine Haartransplantation bei der beklagten Partei vor. Der Eingriff selbst wird bei B*****, einer Gesellschaft nach griechischem Recht in Griechenland, durchgeführt. Die beklagte Partei beschränkt sich auf Beratung und Vermittlung der Kunden sowie die - auch ärztliche - Nachbetreuung. Weitere wirtschaftliche oder personelle Verflechtungen zwischen der beklagten Partei und B***** sind nicht feststellbar.

Am 31. Mai 2017 ging P***** F***** mit dem Kläger zunächst den medizinischen Anamnesebogen und die prä- und postoperativen Anweisungen jeweils von B***** durch und füllte sie aus. P***** F***** erklärte dem Kläger die Prozedur, auch, dass er damit rechnen müsse, dass das Gesicht anschwelle und es ein paar Tage dauern könne, bis die Stiche in der Kopfhaut verheilt seien. Über weitere allfällige Nebenwirkungen klärte er den Kläger nicht auf. In der Folge unterschrieben der Kläger und P***** F***** für die beklagte Partei den Vertrag über die Eigenhaartransplantation Beilage ./A. Im Punkt 1. ist darin festgehalten, dass der Kläger die beklagte Partei beauftragt, eine Eigenhaartransplantation bei B***** durchzuführen, sowie weiters, dass die Vor- und Nachsorge im Transplantationspaket inkludiert ist.

Anschließend vereinbarte P***** F***** mit dem Prokuristen der beklagten Partei den Operationstermin, buchte die Flüge nach Athen und schickte die unterschriebenen Aufklärungsbögen sowohl zur beklagten Partei nach Deutschland als auch zu B***** nach Griechenland. Da der Kläger mit 1. September 2017 eine neue Stelle als Geschäftsführer antreten sollte, die Zusage hatte er im Mai 2017 erhalten, bemühte sich P***** F***** um einen möglichst raschen Termin.

Der operative Eingriff erfolgte am 6. Juni 2017. Einige Zeit nach der Operation fielen dem Kläger plötzlich auf der rechten und auch auf der linken Seiten über den Ohren Haare an Stellen aus, welche von der Operation überhaupt nicht betroffen waren. Der Grund dafür ist nicht feststellbar, es handelt sich dabei weder um eine übliche noch um eine vorhersehbare Nebenwirkung. Derartiges war bis dahin auch noch nie vorgekommen. Üblich ist allerdings, dass die transplantierten Haare zunächst ausfallen, bevor sie dann an den neuen Stellen wieder wachsen. Von B***** wurde mitgeteilt, dass ein Haarzyklus drei Monate dauere und wurden auf Anweisung des behandelnden griechischen Arztes dann verschiedene Produkte probiert. Ab 10. Juli 2017 war der Kläger wöchentlich in Behandlung bei P***** F*****. Trotzdem stellte sich zunächst kein Erfolg ein, weshalb über Veranlassung des Prokuristen der beklagten Partei am 10. August 2017 der den Kläger in Griechenland behandelnde Arzt nach Linz kam. Bei einem weiteren Geschäftspartner des P***** F***** wurde dem Kläger daraufhin Eigenblut an jenen Stellen, an denen die Haare ausgefallen waren, in die Kopfhaut injiziert. Danach wurden die Behandlungen bei P***** F***** vorerst fortgesetzt. Da ein zwischenzeitig vom Prokuristen der beklagten Partei angepasstes Toupet teilweise verrutschte, trug der Kläger die meiste Zeit ein Kapperl.

Im Zuge des Aufenthalts des Klägers in Griechenland wurden von P***** F***** und von Mitarbeitern von B***** Lichtbilder vom Kläger auch während der Operation aufgenommen und gemeinsam mit weiteren Bildern, u.a. einem Selfie des Klägers, in der Folge von einem Mitarbeiter von B***** auf deren Website mit dem Klarnamen des Klägers veröffentlicht. Der Begleittext dazu war in griechischer Sprache verfasst. Der Kläger hatte keine Zustimmung zu einer allfälligen Veröffentlichung erteilt, vielmehr erklärte er ausdrücklich, das nicht zu wünschen. Als ihn daher zwei seiner Mitarbeiter darauf ansprachen, dass sie nun wüssten, warum er ein Kapperl trage, fiel er aus allen Wolken. Obwohl umgehend versucht wurde, die Bilder bzw. den Artikel zu löschen, dauerte es ca. ein Monat, bis sie im Internet nicht mehr auffindbar waren.

Nach Zustellung des Aufforderungsschreibens des Klagsvertreters vom 13. September 2017 an die beklagte Partei wies diese P***** F***** an, keine weiteren Nachbehandlungen mehr durchzuführen. Ab 8. September 2017 begannen die Haare des Klägers wieder zu wachsen und im November 2017 waren sie ca. 1 cm lang. Zeitgleich wuchsen die Haare auch an jenen Stellen wieder nach, welche von der Operation nicht betroffen waren. Zum Zeitpunkt des Schlusses der Verhandlung ist der Kläger mit dem Ergebnis der Eigenhaartransplantation zufrieden. Die Behandlung war letztlich erfolgreich. Dass dem Kläger zugesagt wurde, das jetzige Erscheinungsbild werde bereits nach wenigen Wochen gegeben sein, kann nicht festgestellt werden.

Mit der vorliegenden Klage begehrt der Kläger einerseits die Rückzahlung des bezahlten Entgelts von EUR 5.880,00, andererseits Schadenersatz in Höhe von EUR 20.000,00 wegen der im Internet veröffentlichten Aufnahmen. Die Behandlung sei nicht lege artis durchgeführt worden. Bei ordnungsgemäßer Aufklärung darüber, dass als mögliche Nebenwirkung Haare am gesamten Kopf stellenweise massiv ausfallen können, hätte er die Behandlung nicht durchgeführt. Er sei zum Rücktritt vom Vertrag und zur Wandlung berechtigt, weil die beklagte Partei die vertraglich vereinbarte Nachsorge als Verbesserungsmaßnahme abgelehnt habe. Insofern werde der Anspruch von EUR 5.880,00 auf Gewährleistungs- und Schadenersatzrecht und sonstige jegliche erdenkliche Rechtsgrundlage gestützt.

Durch die unzulässige Veröffentlichung der Fotos, die den Kläger zeigten und die mit seinem Namen versehen seien, habe die beklagte Partei § 33 DSG sowie § 78 UrhG verletzt. Bei den veröffentlichten Bildern handle es sich um sensible Daten betreffend den höchstpersönlichen Lebensbereich, die Privat- und Intimsphäre sowie die Gesundheit. Durch die Veröffentlichung würden schutzwürdige Geheimhaltungsinteressen in einer Weise verletzt, die einer Eignung zur Bloßstellung gemäß § 7 Abs 1 MedienG gleichkomme. Nach § 7 Abs 1 MedienG habe der Betroffene Anspruch auf eine Entschädigung für die erlittene Kränkung im Höchstausmaß von EUR 20.000,00, wenn sein höchstpersönlicher Lebensbereich in einem Medium in einer Weise erörtert dargestellt werde, die geeignet sei, ihn in der Öffentlichkeit bloßzustellen. Zusätzlich sei auch der gute Ruf des Klägers gemäß § 1330 ABGB und der Bildnisschutz gemäß § 78 UrhG verletzt worden, für die erlittene Kränkung gebühre ihm daher eine angemessene Entschädigung im Höchstausmaß, sohin in der Höhe von EUR 20.000,00. Aufgrund der Strafbestimmungen der DSGVO sei dieser Betrag jedenfalls angemessen.

Die beklagte Partei bestritt, beantragte Klagsabweisung und wendete ein, sowohl die Haarverpflanzung als auch die Nachbehandlung seien lege artis erfolgt. Die beklagte Partei sei nicht verpflichtet gewesen, über die nicht voraussehbare Nebenwirkung eines Haarausfalls an Stellen, die nicht von der Transplantation betroffen seien, im Vorfeld aufzuklären. Da der Kläger wieder über entsprechendes Haupthaar verfüge, sei der Vertrag erfüllt worden, sodass ein Rückforderungsanspruch für das geleistete Entgelt nicht berechtigt sei. Die Fotos seien ohne ihre Kenntnis und ohne ihr jegliches Zutun veröffentlicht und über entsprechende Aufforderung des Klägers wieder unverzüglich gelöscht worden. Da zwischen der Klinikbetreiberin und ihr keine wirtschaftliche oder personelle Verflechtung bestehe, fehle es an mangelnder Passivlegitimation. Da vom Behandlungsvertrag weder das Anfertigen von Lichtbildern noch deren Onlinestellen umfasst sei, fehle es an einem inneren Zusammenhang zwischen der Vertragserfüllung und der allfällig schädigenden Handlung der Klinikbetreiberin. Sie sei auch nicht Auftraggeber der Datenverwendung gewesen. Der geltend gemachte Betrag sei überhöht.

Mit dem angefochtenen Urteil wies das Erstgericht das Klagebegehren ab. Seiner Entscheidung legte es die auf den Seiten 1 sowie 2 bis 5 seines Urteils ersichtlichen Feststellungen zugrunde, auf die gemäß § 500a ZPO verwiesen wird und die eingangs zusammengefasst wiedergegeben wurden.

In seiner rechtlichen Beurteilung verneinte es den Rückforderungsanspruch betreffend das bezahlte Entgelt mit einem fehlenden Gewährleistungsanspruch. Beurteile man den Vertrag als ärztlichen Behandlungsvertrag, seien die Gewährleistungsnormen von vornherein nicht anzuwenden; eine vom Kläger behauptete nicht lege artis erfolgte Behandlung habe das Beweisverfahren nicht ergeben. Beurteile man den Vertrag als Werkvertrag, fehle es an einem Mangel, weil sich - wie geschuldet - entsprechendes Deckhaar gebildet habe.

Was das Begehren auf immateriellen Schadenersatz wegen der unbefugten Veröffentlichung der Fotos betreffe, sei davon auszugehen, dass B***** als Erfüllungsgehilfe der beklagten Partei anzusehen sei; auch selbständige Unternehmen könnten Erfüllungsgehilfen sein. Dies bedeute, dass die beklagte Partei prinzipiell für ein Verschulden von B***** in Bezug auf die Vertragspflichten einstehen müsse. Die Zurechnung der Haftung über § 1313a ABGB führe jedoch nicht zu dem Ergebnis, dass sich die beklagte Partei das eigenmächtige und alleinige Handeln der B***** in Bezug auf die Veröffentlichung der Fotos zurechnen lassen müsse. Es könnten zwar vorsätzlich unerlaubte Handlungen in einer dem Schuldner zurechenbaren Weise vom Erfüllungsgehilfen begangen werden, dazu bedürfe es aber eines inneren Sachzusammenhangs der schädigenden Handlung des Erfüllungsgehilfen mit der Vertragserfüllung. Nur dann, wenn die unerlaubte Handlung des Gehilfen in den Aufgabenbereich eingreife, zu dessen Wahrnehmung er vom Schuldner bestimmt worden sei, bzw. der Gehilfe aus eigenem Antrieb nicht geschuldete Handlungen setze, die aber vom sachlichen Zusammenhang mit der vom Schuldner angestrebten Interessenverfolgung nicht zur Gänze gelöst seien, habe der Schuldner für das Verhalten des Gehilfen einzustehen. Die beklagte Partei könne für das Handeln von B***** und deren Mitarbeiter nicht zur Haftung gemäß § 1313a ABGB herangezogen werden, weil das Onlinestellen der Fotos mit Namen des Klägers nicht vom Behandlungsvertrag umfasst sei und daher auch nicht in einem inneren Zusammenhang damit stehe. Die Mitarbeiter von B***** seien nicht in dem B***** übertragenen Aufgabenbereich tätig gewesen. Die schädigende Handlung sei vielmehr nur gelegentlich der Erfüllung der die beklagte Partei treffenden Leistungsverpflichtung erfolgt.

Sofern sich der Kläger auf § 33 DSG 2000 und damit auf eine Verletzung seines Grundrechts auf Datenschutz berufe, sei während laufendem Verfahren die DSGVO in Kraft getreten. Gemäß § 69 Abs 4 DSG seien zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei den ordentlichen Gerichten zum DSG 2000 anhängige Verfahren nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen. Die Nachfolgebestimmung zu § 33 DSG 2000 finde sich in § 29 DSG, der wiederum auf den Schadenersatzanspruch gemäß Art 82 DSGVO Bezug nehme. Die beklagte Partei sei weder Verantwortlicher noch Auftragsverarbeiter der später veröffentlichten Lichtbilder, sie habe diese weder angefertigt noch verarbeitet. Insbesondere haben sie mit dem Online-Stellen samt entsprechendem Text unter Nennung des Namens des Klägers nichts zu tun. Die beklagte Partei habe auch nicht damit rechnen müssen, dass Mitarbeiter von B***** Fotos des Klägers, noch dazu während der Operation, ohne seine Zustimmung im Internet zu Werbezwecken verwenden würden. Auch wenn dadurch zweifelsohne das Recht des Klägers auf Schutz seiner persönlichen Daten genauso verletzt worden sei wie der Bildnisschutz nach § 78 UrhG, habe dies nicht die beklagte Partei zu verantworten.

Gegen dieses Urteil richtet sich die Berufung des Klägers wegen unrichtiger rechtlicher Beurteilung. Er beantragt die Abänderung im Sinne einer Klagsstattgabe, hilfsweise stellt er einen Aufhebungsantrag.

Die beklagte Partei beantragt in ihrer Berufungsbeantwortung die Bestätigung der angefochtenen Entscheidung.

Die Berufung, die gemäß § 480 Abs 1 ZPO in nichtöffentlicher Sitzung zu behandeln war, ist nicht berechtigt.

I. 1. In seiner Rechtsrüge kritisiert der Kläger, dass sich das Erstgericht betreffend den Rückforderungsanspruch nicht mit dem Titel des Schadenersatzes auseinandergesetzt habe. Der Vertrag habe auch Vor- und Nachsorge beinhaltet. Aus dem Umstand, dass nach Zustellung des Aufforderungsschreibens des Klagevertreters an die beklagte Partei keine weiteren Nachbehandlungen mehr durchgeführt worden seien, sei abzuleiten, dass zwar weitere Behandlungen durchzuführen gewesen wären, diese aber nicht mehr unternommen worden seien.

Diese Kritik trifft nicht zu: Eine an einem objektiven Erklärungsempfänger orientierte Auslegung des Vertrags ergibt, dass eine Nachbehandlung wohl nur solange geschuldet ist, als sie zum Heilungsverlauf und für das weitere Haarwachstum notwendig ist. Bereits fünf Tage vor dem mit 13. September 2017 datierten Aufforderungsschreiben war allerdings schon festgestellt worden, dass die Haare wieder wachsen. Dass dennoch weitere Nachbehandlungen notwendig gewesen wären, ergibt sich aus den getroffenen Feststellungen nicht und wurde auch nicht in dieser Form behauptet. Die Anweisung der beklagten Partei, keine weiteren Nachbehandlungen durchzuführen, mag zwar in erster Linie eine Reaktion auf das Aufforderungsschreiben gewesen sein, berechtigt aber nicht zur Annahme, es seien vertraglich geschuldete Nachbehandlungen unterblieben. Mangels einer festgestellten (oder festzustellenden) Vertragsverletzung kann daraus kein Schadenersatzanspruch abgeleitet werden.

2. Dass, wie der Kläger nunmehr erstmals in der Berufung vorbringt, der Vertrag mit 1. September 2017 hätte erfüllt sein müssen, da er mit diesem Termin seine neue Anstellung als Geschäftsführer antreten hätte sollen, stellt eine gemäß § 482 ZPO unbeachtliche Neuerung dar, auf die nicht weiter einzugehen ist. Das in erster Instanz unterbliebene Vorbringen kann durch Beweisergebnisse wie die Aussage des Klägers nicht ersetzt werden (RIS-Justiz RS0037915 [T2], RS0043157). Im Übrigen übersieht der Berufungswerber die von ihm unbekämpft gelassene (eigentlich überschießende) Feststellung, dass nicht festgestellt werden konnte, es sei ihm zugesagt worden, dass das jetzige Erscheinungsbild bereits nach wenigen Wochen gegeben sein werde.

Die von ihm in diesem Zusammenhang begehrten ergänzenden Feststellungen, die darauf hinauslaufen, dass der zum 1. September 2017 vereinbarte Erfolg zu diesem Zeitpunkt noch nicht eingetreten gewesen sei, greifen bei näherer Betrachtung keine sekundären Feststellungsmängel auf, sondern verfolgen in Wahrheit anderslautende Feststellungen zu einem Themenbereich, zu dem das Erstgericht (wenngleich überschießend) ohnehin schon Feststellungen getroffen hat. Da der Berufungswerber nicht ausführt, aus welchen Erwägungen die zu dieser negativen Feststellung führende Beweiswürdigung unrichtig sein soll, ist sie - von der Neuerung abgesehen - als eigentliche Tatsachenrüge auch nicht gesetzmäßig ausgeführt. Als eigentlicher sekundärer Feststellungsmangel, von dem auch der Berufungswerber ausgeht, scheitert er am erwähnten Neuerungsverbot. Die Abweisung des Rückforderungsanspruches von EUR 5.880,00 ist daher auch nach schadenersatzrechtlicher Beurteilung zu bestätigen.

II. 1. In seinen weiteren Ausführungen wendet sich der Kläger (ausschließlich) gegen die Beurteilung des Erstgerichts, auch nach DSGVO sei seine Forderung auf Zahlung von EUR 20.000,00 nicht berechtigt. Wird wie hier dieser Anspruch aus mehreren selbständigen rechtserzeugenden Tatsachen abgeleitet, dann sind die anderen Ansprüche außer Betracht zu lassen, ist doch das Rechtsmittelgericht an eine Beschränkung der Klagegründe durch den Rechtsmittelwerber gebunden (RIS-Justiz RS0043352 [T23, T26, T30, T31 und T 33]). Die nachfolgenden Ausführungen beschränken sich daher allein auf die Frage, ob die DSGVO den immateriellen Schadenersatzanspruch des Klägers zu begründen vermag.

2. Zutreffend verweist das Erstgericht darauf, dass § 69 Abs 4 DSG idF des Datenschutz-Anpassungsgesetzes 2018 (BGBl I 2018/120) bestimmt, dass zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes (am 25.5.2018; § 70 Abs 1 leg cit) bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen sind, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt (6 Ob 131/18k).

Ebenso zutreffend verweist das Erstgericht auf § 29 Abs 1 DSG als Nachfolgebestimmung des früheren § 33 DSG 2000. Danach hat jede Person, der wegen eines Verstoßes gegen die DSGVO oder gegen § 1 oder Art 2 1. Hauptstück ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter nach Art 82 DSGVO, wobei im Einzelnen für diesen Schadenersatzanspruch die allgemeinen Bestimmungen des Bürgerlichen Rechts gelten. Im Gegensatz zu § 33 Abs 2 DSG 2000 sieht § 29 DSG keine gesonderte Regelung zur Gehilfenhaftung mehr vor. Diese richtet sich nach den allgemeinen Vorgaben des bürgerlichen Rechts (Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG, § 29 Rz 3).

Die DSGVO gilt gemäß ihren Art 2 Abs 1 für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

§ 4 Abs 1 DSG ordnet an, dass die DSGVO und das DSG für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten gelten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Zur „Verarbeitung“ zählen nach der Legaldefinition des Art 4 Z 2 DSGVO auch die Speicherung, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung. Ob diese Vorgänge mit oder ohne Hilfe automatisierter Verfahren erfolgen, ist nach der Legaldefinition unerheblich.

Eine automatisierte Verarbeitung liegt immer dann vor, wenn Datenverarbeitungsanlagen zum Einsatz kommen, wobei unerheblich ist, ob die Daten in irgendeiner Weise strukturiert abgespeichert sind. Damit führt jede Benutzung von Computer, Internet oder E-Mail zur Anwendbarkeit der Verordnung, sobald personenbezogene Daten involviert sind. Der weite Begriff des Art 2 Abs 1 DSGVO dürfte sämtliche heute gebräuchlichen rechnergestützten Verarbeitungen personenbezogener Daten erfassen (vgl 6 Ob 131/18k).

3. Zum sachlichen Anwendungsbereich der DSGVO wurde vom Kläger im Verfahren erster Instanz nichts vorgebracht. Im Urteil findet sich die Feststellung, dass die handschriftlich ausgefüllten Unterlagen, nämlich der medizinische Anamnesebogen sowie die prä- und postoperativen Anweisungen der B***** von P***** F***** sowohl zur beklagten Partei nach Deutschland als auch zu B***** nach Griechenland geschickt wurden. Dass eine rechnergestützte Verarbeitung des Namens des Klägers erfolgt wäre oder der analog übermittelte Namen in einem Dateisystem gespeichert wurde oder gespeichert hätte werden sollen, ergibt sich daraus nicht. Es fehlt daher hinsichtlich der von der beklagten Partei an - zutreffend als ihre Erfüllungsgehilfin beurteilten - B***** übermittelten Namen am sachlichen Anwendungsbereich der DSGVO. Die beklagte Partei mag daher zwar inhaltlich in Bezug auf die Erhebung und Weiterleitung des Namens an die B***** als Verantwortlicher und Auftragsverarbeiter im Sinne, nicht aber gemäß Art 4 Z 7 und 8 DSGVO aufgetreten sein. Im Hinblick auf die nicht behaupteten und daher auch nicht festgestellten Voraussetzungen zum sachlichen Anwendungsbereich der DSGVO lösen diese Aktivitäten keine Rechtsfolgen nach der DSGVO, insbesondere nicht nach Art 82 DSGVO aus.

4. Abgesehen von der nicht dem Regime der DSGVO unterliegenden Übersendung des Namens des Klägers an die B***** ist von einem Einverständnis des Klägers auszugehen, wird in den Unterlagen doch um Informationen über den gesundheitlichen Zustand des Klägers zwecks sicherer Haartransplantation und postoperativer Behandlung ersucht und wurden sowohl der medizinische Anamnesebogen als auch die prä- und postoperativen Anweisungen alle lautend auf B*****, jeweils vom Kläger persönlich unterfertigt. Es fehlt daher auch an einer Rechtswidrigkeit hinsichtlich der Nennung des Namens. Da die Beklagte in rechtmäßiger Weise B***** den Namen des Klägers bekannt gab, verfügte auch B***** rechtmäßig über den Namen des Klägers. Die Rechtswidrigkeit setzt erst dann ein, als von Mitarbeitern der B***** gemachte fotografische Aufnahmen des Klägers entgegen seiner Anweisung im Internet veröffentlicht und noch dazu mit seinem Namen verknüpft wurden. Hinsichtlich der Aufnahme der Fotos selbst liegt zum Teil eine Zustimmung des Klägers vor, hinsichtlich einer allfälligen Zustimmung zu der während der Operation gemachten Aufnahmen fehlt es an entsprechenden Feststellungen. Darauf kommt es aber, wie noch auszuführen sein wird, nicht entscheidend an.

5. Mit der Veröffentlichung von Name und Fotos des Klägers im Internet ist aufgrund der dadurch denknotwendig rechnerunterstützten Bearbeitung der sachliche Anwendungsbereich der DSGVO gegeben. Danach ist B***** im Hinblick auf die Veröffentlichung von Name und Foto des Klägers als Verantwortlicher und Auftragsverarbeiter im Sinne des Art 4 Z 7 und 8 DSGVO zu betrachten. Dass die beklagte Partei für B***** nach den allgemeinen Vorgaben des bürgerlichen Rechts gemäß § 29 Abs 1 letzter Satz DSG haftet, wurde schon dargetan. Gegen die zutreffende Beurteilung des Erstgerichtes, trotz der grundsätzlich gemäß § 1313a ABGB bestehenden Haftung der Beklagten für die Tätigkeit der B***** scheide - mangels Bestehens eines inneren Zusammenhangs mit dem Behandlungsvertrag - eine Haftung der beklagten Partei für das hier thematisierte Handeln von Mitarbeitern der B***** aus, richtet sich die Berufung gar nicht; sie erblickt einen eigenen, auf Art 82 Abs 1, 2 und 4 DSGVO gestützten Anspruch gegen die Beklagte. Ein solcher besteht jedoch nicht:

6. War bei einer Verarbeitung nur der Verantwortliche allein beteiligt, ergibt sich seine Haftung bei einem Verstoß gegen die DSGVO und einem kausalen Schaden ohne Weiteres aus Art 82 Abs 1. Handelt der Auftragsverarbeiter allein, gilt für seine Haftung die Privilegierung des Abs 2 Satz 2. Der Auftragsverarbeiter haftet der betroffenen Person nur, wenn er seinen speziell ihm auferlegten Pflichten nach der DSGVO nicht nachgekommen ist oder die ihm durch den Verantwortlichen erteilten rechtmäßigen Anweisungen nicht beachtet oder diese verletzt (Nemitz in Ehmann/Selmayr, Datenschutz-Grundverordnung² Art 82 Rz 23).

Sind an derselben Verarbeitung mehrere Verantwortliche oder mehrere Auftragsverarbeiter oder ein Verantwortlicher und ein Auftragsverarbeiter beteiligt, haften sie gemäß Art 82 Abs 4 und Erwägungsgrund 146 S 7 gesamtschuldnerisch. Die gesamtschuldnerische Haftung setzt jedoch voraus, dass die Voraussetzungen der Abs 2 und 3 erfüllt sind. Mithin müssen Verantwortliche und Auftragsverarbeiter bei einer Verarbeitung gegen die DSGVO verstoßen haben, wobei dem Verantwortlichen nach Abs 2 S 1 ein beliebiger Verstoß, dem Auftragsverarbeiter jedoch ein in Abs 2 S 2 spezifizierter Verstoß zur Last fallen muss. Ferner darf weder der Verantwortliche noch der Auftragsverarbeiter in der Lage sein, sich nach Abs 3 zu exculpieren (Nemitz aaO, Rz 25).

Die Rechtsfigur der gemeinsamen Verantwortlichkeit mehrerer Akteure im Rahmen einer Verarbeitung ist im Vergleich zur bisher geltenden Datenschutzrichtlinie an sich nichts Neues. Deren Legaldefinition wurde inhaltlich nahezu unverändert in Art 4 Z 7 der DSGVO übernommen; auch dem DSG 2000 waren gemeinsam verantwortliche Auftraggeber bereits bekannt. Nach der DSGVO haftet jeder Verantwortliche unabhängig davon, ob er selbst ein adäquat kausales, rechtswidriges oder schuldhaftes Verhalten gesetzt hat, dass den Schaden bei der betroffenen Person verursacht hat. Der Geschädigte muss nur beweisen, dass ihm durch eine verordnungswidrige Verarbeitung adäquat kausal ein Schaden entstanden ist und wie hoch dieser materielle oder ideelle Schaden zu bemessen ist. Zur Stärkung der Rechte der betroffenen Personen sieht Art 82 Abs 4 DSGVO für den Fall einer Verarbeitung durch mehrere Akteure eine solidarische Haftung aller haftpflichtigen Akteure vor (Horn in Knyrim, Datenschutzgrundverordnung [Das neue Datenschutzrecht in Österreich und der EU], 163f).

Auch wenn Schadenersatzansprüche gegenüber allen Verantwortlichen oder Auftragsverarbeitung einer Verarbeitung geltend gemacht werden können, scheitert hier ein auf die DSGVO gestützter Anspruch gegen die Beklagte daran, dass sie hinsichtlich der Nennung des Namens des Klägers mangels geglückten Nachweises des sachlichen Anwendungsbereiches der DSGVO weder als Verantwortlicher noch als Auftragsverarbeiter zu qualifizieren ist. An der nachfolgenden Aufnahme der Fotos, der Verknüpfung des Namens des Klägers mit diesen Fotos und der Veröffentlichung im Internet hatte die beklagte Partei keinen Anteil. Diesbezüglich ist sie selbst weder Verantwortliche oder Auftragsverarbeiterin. Eine Haftung der Beklagten nach DSGVO ergibt sich daher nicht.

7. Selbst wenn man das Fehlen des sachlichen Anwendungsbereiches der DSGVO hinsichtlich der Nennung des Namens an B***** ausblendet und die Beklagte hinsichtlich dieser Datenbehandlung sowohl als Verantwortliche als auch Auftraggeberin nach Art 4 Z 7 und 8 DSGVO beurteilt, käme ihr jedenfalls die Haftungsbefreiung nach Art 8 Abs 3 DSGVO zugute: Danach wird der Verantwortliche oder Auftragsverarbeiter von der Haftung gemäß Abs 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

In der deutschen Literatur (Nemitz in Ehmann/Selmayr, Datenschutzgrundverordnung² Art 82 Rz 19) wird dazu vertreten, dass die Haftungsbefreiung damit nur beim Nachweis einer Verschuldensquote von 0 % durch den Verantwortlichen oder Auftragsverarbeiter eingreife oder entweder schon keine kausale Verbindung zwischen der Verletzung der DSGVO und dem Schaden vorliegen dürfe oder dass die Verletzung nur auf einem unvermeidbaren Ereignis beruhe. Diese Voraussetzung liegt insofern schon vor, als durch die bloße, mit Zustimmung des Klägers erfolgte Nennung des Namens des Klägers an B***** kein Verschulden der beklagten Partei begründet werden kann.

Nach österreichischer Lehrmeinung (Horn in Knyrim, Datenschutzgrundverordnung, 164 bezieht sich die Haftungsbefreiung auf fehlende Kausalität oder mangelndes Verschulden; auch soll der Beweis der fehlenden Rechtswidrigkeit möglich sein. Das festgestellte Verhalten der Mitarbeiter von B***** kommt vor allem jenem in einer weiteren Literaturmeinung beschriebenen Fall gleich (Schweiger in Der DatKomm, Art 82 Rz 91): Danach hat der in Anspruch genommene Schädiger die Möglichkeit unter Beweis zu stellen, dass ein unvorhersehbarer Eingriff eines Dritten in den Verarbeitungsvorgang, etwa ein bewusster Verstoß einer beim verantwortlichen Beschäftigten sonst zuverlässigen Person gegen eine dienstvertragliche Verpflichtung gehandelt hat.

Das eigenmächtige Handeln von Mitarbeitern der griechischen B*****, vom Kläger nicht freigegebene Fotos mit dessen Namen zu versehen und im Internet zu veröffentlichen, stellt einen derart für die beklagte Partei unvorhersehbaren Eingriff in die zunächst rechtmäßige Weitergabe des Namens des Klägers an B***** dar, der dazu führt, dass die beklagte Partei für diesen Umstand nicht mehr verantwortlich gemacht werden kann. Die Klagsabweisung erweist sich daher als berechtigt, die Berufung muss erfolglos bleiben.

III. 1. Die Kostenentscheidung stützt sich auf §§ 50 und 41 ZPO.

2. Die ordentliche Revision gemäß § 502 Abs 1 ZPO war zuzulassen, da zur Frage der Haftung nach § 82 DSGVO bei nur teilweise vorliegendem sachlichen Anwendungsbereich sowie zur Frage der Haftungsbefreiung nach Art 82 Abs 3 DSGVO keine oberstgerichtliche Rechtsprechung vorgefunden werden konnte.