Identitätsdiebstahl im Lichte der DSGVO

Der EuGH hatte in den Rechtssachen C-182/22 und C-189/22 wieder über den Schadensersatz nach Art. 82 DSGVO zu entscheiden. Die Rechtssache betrifft die Scalable Capital, die eine Trading-App betreibt, auf der die Kläger JU und SO im Ausgangsverfahren Konten eröffnet hatten. Sie hinterlegten dort personenbezogene Daten wie Namen, Geburtsdaten, Adressen, E-Mail-Adressen und digitale Kopien ihrer Personalausweise. Im Jahr 2020 wurden diese Daten von unbekannten Dritten abgegriffen, wobei Scalable Capital angab, dass die Daten bisher nicht betrügerisch verwendet wurden.

Das Amtsgericht München stellte diesbezüglich dem EuGH mehrere Fragen im Zusammenhang mit dem Anspruch auf immateriellen Schadenersatz gemäß Ar. 82 DSGVO. Hintergrund der Fragen war, dass deutsche Gerichte unterschiedliche Ansätze bei der Bemessung von Schadenersatz in solchen Fällen verfolgen, was zu erheblichen Unterschieden in der Höhe der Entschädigungen führen kann. Die Fragen bezogen sich auf verschiedene Aspekte, darunter die Funktionen des Schadenersatzes (Ausgleichsfunktion, Genugtuungsfunktion, Abschreckungsfunktion), die Berücksichtigung der Schwere des Verstoßes und die Definition von Identitätsdiebstahl.

Die Beklagte argumentierte, dass die Vorabentscheidungsersuchen unzulässig seien, da ein abstrakter Verlust der Kontrolle über Daten keinen „Schaden“ im Sinne von Artikel 82 DSGVO darstelle, wenn dieser Kontrollverlust keine konkreten Folgen hatte. Der EuGH hielt jedoch fest, dass es Sache des nationalen Gerichts sei, die Erforderlichkeit einer Vorabentscheidung zu beurteilen. Daher seien die Vorabentscheidungsersuchen zulässig.

Auf die folgenden Erwägungen stützte der EuGH seine Entscheidung:

• Ausgleichs- vs. Straf-/Abschreckungsfunktion (Art. 82 Abs. 1 DSGVO): Der EuGH entschied, dass der Schadenersatzanspruch gemäß Artikel 82 DSGVO ausschließlich eine Ausgleichsfunktion hat. Eine finanzielle Entschädigung soll den konkret erlittenen Schaden in vollem Umfang ausgleichen und keine Straf- oder Abschreckungsfunktion erfüllen.

• Schwere des Verstoßes und Vorsätzlichkeit: Der EuGH stellte klar, dass bei der Bemessung des Schadenersatzes nach Artikel 82 DSGVO die Schwere des Verstoßes und die Vorsätzlichkeit des Verantwortlichen nicht berücksichtigt werden müssen. Der Schadenersatz dient ausschließlich dem Ausgleich des konkret erlittenen Schadens.

• Schaden durch Datenschutzverletzungen vs. Körperverletzungen: Der EuGH betonte, dass das Unionsrecht keine Hierarchie zwischen den verschiedenen Arten von Schäden (z.B. durch Datenschutzverletzungen oder Körperverletzungen) vorsieht. Die Bemessung des Schadenersatzes richtet sich nach nationalem Recht, wobei der Äquivalenz- und Effektivitätsgrundsatz beachtet werden muss.

• Symbolische Entschädigung bei geringfügigen Schäden: Der EuGH betonte die Ausgleichsfunktion des Schadenersatzes und stellte fest, dass das Unionsrecht keine spezifischen Vorschriften zur Höhe des Schadenersatzes bei geringfügigen Schäden enthält. Es ist Sache des nationalen Gerichts, dies unter Berücksichtigung der unionsrechtlichen Grundsätze zu entscheiden.

• Definition von Identitätsdiebstahl: Der EuGH musste klären, ob ein Identitätsdiebstahl im Sinne der DSGVO bereits dann vorliegt, wenn Straftäter über Daten verfügen, die eine Person identifizierbar machen, oder erst dann, wenn diese Daten tatsächlich verwendet werden, um die Identität der betroffenen Person vorzutäuschen. Der Begriff des Identitätsdiebstahls ist in der DSGVO nicht definiert. Allerdings werden im 75. Erwägungsgrund dieser Verordnung „Identitätsdiebstahl“ und „Identitätsbetrug“ als Teil einer nicht erschöpfenden Auflistung von Folgen einer Verarbeitung personenbezogener Daten genannt, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte. Auch im 85. Erwägungsgrund der Verordnung werden „Identitätsdiebstahl“ und „Identitätsbetrug“ zusammen in einer Auflistung physischer, materieller oder immaterieller Schäden genannt, die eine Verletzung des Schutzes personenbezogener Daten nach sich ziehen kann. Der Begriff „Identitätsdiebstahl“ ist nur dann erfüllt, wenn ein Dritter die Identität einer Person, die von einem Diebstahl personenbezogener Daten betroffen ist, tatsächlich angenommen hat. Jedoch kann der Ersatz eines durch den Diebstahl personenbezogener Daten verursachten immateriellen Schadens nach der genannten Vorschrift nicht auf die Fälle beschränkt werden, in denen nachgewiesen wird, dass ein solcher Diebstahl von Daten anschließend zu einem Identitätsdiebstahl oder ‑betrug geführt hat.

Insgesamt bekräftigte der EuGH, dass der Schadenersatzanspruch nach Artikel 82 DSGVO auf den vollständigen Ausgleich des konkret erlittenen Schadens abzielt und keine Straf- oder Abschreckungsfunktion hat. Die nationalen Gerichte sind für die Bemessung des Schadenersatzes verantwortlich, müssen jedoch die unionsrechtlichen Grundsätze der Äquivalenz und Effektivität beachten.