EuGH 04.05.2023 – Immaterieller Schadenersatz bei DSGVO Verstoß
Recht für Betriebsräte - Einfach erklärt
Ein bloßer Verstoß gegen die DSGVO begründet noch keinen Schadenersatzanspruch. Es muss ein tatsächlicher Schaden nachgewiesen werden.
Der EuGH hat entschieden, dass ein bloßer Verstoß gegen die DSGVO allein noch keinen Anspruch auf immateriellen Schadenersatz nach Art. 82 DSGVO begründet. Der Betroffene muss einen tatsächlich erlittenen Schaden nachweisen. Es gibt allerdings keine Bagatellgrenze für die Schadenshöhe.
Der EuGH hat mit diesem Grundsatzurteil die Voraussetzungen des Schadenersatzanspruchs nach Art. 82 DSGVO präzisiert. Die drei kumulativen Voraussetzungen sind: ein Verstoß gegen die DSGVO, ein tatsächlich erlittener Schaden und ein Kausalzusammenhang zwischen Verstoß und Schaden.
Entscheidend ist die Feststellung, dass der bloße Verstoß gegen DSGVO Vorschriften nicht automatisch einen ersatzfähigen Schaden begründet. Art. 82 DSGVO hat keine Straffunktion. Der Betroffene muss konkret darlegen, welchen immateriellen Schaden er erlitten hat, etwa Angst, Kontrollverlust oder emotionale Belastung.
Gleichzeitig stellte der EuGH klar, dass es keine Erheblichkeitsschwelle oder Bagatellgrenze für den Schadenersatz gibt. Auch geringe Beeinträchtigungen können einen ersatzfähigen Schaden darstellen. Dies ist im Zusammenhang mit dem BAG Urteil vom 08.05.2025 zu sehen, das den bloßen Kontrollverlust als ausreichenden Schaden anerkannte.
Was bedeutet das für Sie als Betriebsrat?
Betriebsräte sollten dieses Urteil im Zusammenhang mit dem BAG Kontrollverlust Urteil vom 08.05.2025 betrachten. Während der EuGH einen reinen DSGVO Verstoß ohne konkreten Schaden für unzureichend erklärt, hat das BAG klargestellt, dass bereits der Kontrollverlust über die eigenen Daten einen ersatzfähigen Schaden darstellt.
Für die Praxis bedeutet dies: Betriebsräte können Beschäftigte darüber informieren, dass bei zweckwidriger Datenverarbeitung oder unbefugtem Datenzugriff bereits der Kontrollverlust als Schaden genügt. Allerdings muss dieser Kontrollverlust konkret dargelegt werden.
Das Fehlen einer Bagatellgrenze stärkt die Position der Beschäftigten. Auch bei geringfügigen Datenschutzverstößen können Schadenersatzansprüche bestehen, sofern ein tatsächlicher Schaden nachgewiesen wird.
Handlungsempfehlung
Betriebsräte sollten Beschäftigte über ihre Schadenersatzrechte nach Art. 82 DSGVO informieren. Dabei ist die Abgrenzung zwischen bloßem DSGVO Verstoß und tatsächlichem Schaden zu erklären.
Bei Datenschutzverstößen im Unternehmen sollte der Betriebsrat dokumentieren, welche konkreten Auswirkungen der Verstoß auf die betroffenen Beschäftigten hat. Kontrollverlust, Angst vor Datenmissbrauch und emotionale Belastung sind ersatzfähige Schäden.
In Betriebsvereinbarungen zu IT Systemen und Datenverarbeitung sollten klare Konsequenzregelungen verankert werden, die bei Verstößen greifen und den Beschäftigten die Durchsetzung ihrer Rechte erleichtern.
Wie kann TAPAUS Ihnen helfen?
Tapaus Consulting unterstützt Betriebsräte bei der Bewertung von Datenschutzverstößen im Unternehmen und der Einschätzung potenzieller Schadenersatzansprüche der Beschäftigten.
Wir schulen Betriebsratsmitglieder im Umgang mit der aktuellen Rechtsprechung zum DSGVO Schadenersatz und entwickeln Informationsmaterialien für die Beschäftigten. Schulungen nach §37 Abs. 6 BetrVG werden vom Arbeitgeber nach §40 BetrVG finanziert.
Zudem prüfen wir bestehende Betriebsvereinbarungen auf Klauseln, die das Schadenersatzrisiko des Arbeitgebers adressieren und den Schutz der Beschäftigten stärken.
Praxisbeispiel
Ein Arbeitgeber sendet versehentlich eine E-Mail mit einer Leistungsbeurteilung an den falschen Verteiler. Zwanzig Beschäftigte erhalten Einblick in die Beurteilung eines Kollegen. Der Betroffene macht Schadenersatz geltend.
Nach dem EuGH Urteil muss er einen konkreten Schaden nachweisen. Die bloße Tatsache des DSGVO Verstoßes genügt nicht. Der Beschäftigte legt dar, dass er unter dem Kontrollverlust über seine Leistungsdaten leidet und sich im Kollegenkreis unwohl fühlt. Dies genügt nach der BAG Rechtsprechung als immaterieller Schaden.
Der Betriebsrat nutzt den Vorfall, um eine Betriebsvereinbarung zur sicheren Handhabung von Personalbeurteilungen zu verhandeln.
Mögliche Rechtsfolgen
Ein Schadenersatzanspruch nach Art. 82 DSGVO setzt neben dem DSGVO Verstoß einen tatsächlich erlittenen Schaden voraus. Der bloße Verstoß allein genügt nicht.
Es gibt keine Bagatellgrenze für den Schadenersatz. Auch geringfügige immaterielle Schäden sind ersatzfähig. Die Darlegungslast für den Schaden liegt beim Betroffenen.
Für den Arbeitgeber bedeutet dies: Jeder DSGVO Verstoß birgt ein Schadenersatzrisiko, sobald Beschäftigte einen konkreten Schaden geltend machen können. Präventive Datenschutzmaßnahmen und sorgfältige Betriebsvereinbarungen minimieren dieses Risiko.
Gültig seit:
04.05.2023
Referenzen und Querverweise:
Art. 82 DSGVO, Art. 83 DSGVO, Art. 5 DSGVO, EuGH C-687/21
Last Update:
Keywords:
15. Mai 2026 um 06:43:08
EuGH, Schadenersatz, Art. 82 DSGVO, immaterieller Schaden, DSGVO Verstoß, Bagatellgrenze, Nachweispflicht, Österreichische Post