Entscheidungsstichwort (Thema)
Vorlage zur Vorabentscheidung. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Anspruch auf Ersatz des Schadens, der durch eine unter Verstoß gegen diese Verordnung erfolgte Datenverarbeitung verursacht worden ist. Begriff des immateriellen Schadens. Auswirkung der Schwere des erlittenen Schadens. Bemessung des Schadenersatzbetrags. Klage auf Ersatz eines immateriellen Schadens aufgrund einer Befürchtung. Unanwendbarkeit der in Art. 83 für Geldbußen vorgesehenen Kriterien. Abschreckungsfunktion. Bemessung bei gleichzeitigen Verstößen gegen diese Verordnung und gegen nationales Recht
Normenkette
EUVO 679/2016 Art. 82 Abs. 1
Beteiligte
Tenor
1.Art. 82 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist dahin auszulegen, dass
ein Verstoß gegen diese Verordnung für sich genommen nicht ausreicht, um einen Anspruch auf Schadenersatz nach dieser Bestimmung zu begründen. Die betroffene Person muss auch das Vorliegen eines durch diesen Verstoß verursachten Schadens nachweisen, ohne dass dieser Schaden jedoch einen gewissen Schweregrad erreichen müsste.
2.Art. 82 Abs. 1 der Verordnung 2016/679
ist dahin auszulegen, dass
die Befürchtung einer Person, dass ihre personenbezogenen Daten aufgrund eines Verstoßes gegen diese Verordnung an Dritte weitergegeben wurden, ohne dass nachgewiesen werden kann, dass dies tatsächlich der Fall war, ausreicht, um einen Schadenersatzanspruch zu begründen, sofern diese Befürchtung samt ihrer negativen Folgen ordnungsgemäß nachgewiesen ist.
3.Art. 82 Abs. 1 der Verordnung 2016/679
ist dahin auszulegen, dass
bei der Bemessung des Betrags des auf diese Bestimmung gestützten Anspruchs auf Schadenersatz zum einen die in Art. 83 dieser Verordnung vorgesehenen Kriterien für die Festsetzung des Betrags von Geldbußen nicht entsprechend anzuwenden sind und zum anderen diesem Anspruch auf Schadenersatz keine Abschreckungsfunktion beizumessen ist.
4.Art. 82 Abs. 1 der Verordnung 2016/679
ist dahin auszulegen, dass
bei der Bemessung des Betrags des auf diese Bestimmung gestützten Anspruchs auf Schadenersatz zugleich verwirklichte Verstöße gegen nationale Vorschriften, die sich auf den Schutz personenbezogener Daten beziehen, aber nicht bezwecken, die Bestimmungen dieser Verordnung zu präzisieren, nicht zu berücksichtigen sind.
Tatbestand
In der Rechtssache C-590/22
betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom Amtsgericht Wesel (Deutschland) mit Beschluss vom 5. August 2022, beim Gerichtshof eingegangen am 9. September 2022, in dem Verfahren
AT,
BT
gegen
PS GbR,
VG,
MB,
DH,
WB,
GS
erlässt
DER GERICHTSHOF (Dritte Kammer)
unter Mitwirkung der Kammerpräsidentin K. Jürimäe, des Präsidenten des Gerichtshofs K. Lenaerts in Wahrnehmung der Aufgaben eines Richters der Dritten Kammer sowie der Richter N. Piçarra, N. Jääskinen (Berichterstatter) und M. Gavalec,
Generalanwalt: M. Campos Sánchez-Bordona,
Kanzler: A. Calot Escobar,
aufgrund des schriftlichen Verfahrens,
unter Berücksichtigung der Erklärungen
- – Irlands, vertreten durch M. Browne, Chief State Solicitor, sowie A. Joyce und M. Tierney als Bevollmächtigte im Beistand von D. Fennelly, BL,
- – der Europäischen Kommission, vertreten durch A. Bouchagiar, M. Heller und H. Kranenborg als Bevollmächtigte,
aufgrund des nach Anhörung des Generalanwalts ergangenen Beschlusses, ohne Schlussanträge über die Rechtssache zu entscheiden,
folgendes
Urteil
Entscheidungsgründe
Rz. 1
Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 82 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
Rz. 2
Es ergeht im Rahmen eines Rechtsstreits zwischen AT und BT, den Klägern des Ausgangsverfahrens, auf der einen Seite und der PS GbR, einer Steuerberatungsgesellschaft, sowie VG, MB, DH, WB und GS, den Gesellschaftern von PS, auf der anderen Seite über den Anspruch der Kläger des Ausgangsverfahrens auf Zahlung von Schadenersatz nach Art. 82 Abs. 1 DSGVO zur Wiedergutmachung des Schadens, der ihnen dadurch entstanden sein soll, dass ihre Steuererklärung, die personenbezogene Daten enthielt, ohne ihre Einwilligung aufgrund eines Fehlers von PS an Dritte weitergegeben wurde.
Rechtlicher Rahmen
Rz. 3
In den Erwägungsgründen 85, 146 und 148 der DSGVO heißt es:
„(85) Eine Verletzung des Schutzes personenbezogener Daten kann – wenn nicht rechtzeitig und angemessen reagiert wird – einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, wie etwa ...