8 AZR 215/23

Die zulässige Revision der Beklagten ist begründet. Die Klage ist im noch rechtshängigen Umfang unbegründet. Der Kläger hat - entgegen der Auffassung des Landesarbeitsgerichts - keinen Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 Abs. 1 DSGVO gegen die Beklagten.

1. Dabei kann dahingestellt bleiben, ob hier eine Verletzung von Art. 15 DSGVO vorliegt und ob dies einen Verstoß iSv. Art. 82 Abs. 1 DSGVO darstellt (vgl. zur Frage der Datenverarbeitung BAG 5. Mai 2022 - 2 AZR 363/21 - Rn. 11). Der Kläger hat schon keinen Schaden dargelegt.

a) Das Vorliegen eines „Schadens“ ist eine der drei Voraussetzungen für den in Art. 82 Abs. 1 DSGVO vorgesehenen Schadenersatzanspruch, ebenso wie das Vorliegen eines Verstoßes gegen die Datenschutz-Grundverordnung und eines Kausalzusammenhangs zwischen dem erlittenen Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ vorliegen müssen (vgl. EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 58; 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 77; 4. Mai 2023 - C-300/21 - [Österreichische Post] Rn. 32). Der Schadenersatzanspruch hat, insbesondere im Fall eines immateriellen Schadens, eine Ausgleichsfunktion. Die auf Art. 82 Abs. 1 DSGVO gestützte Entschädigung in Geld soll es ermöglichen, den konkret aufgrund des Verstoßes gegen die Datenschutz-Grundverordnung erlittenen Schaden vollständig auszugleichen, und erfüllt keine Abschreckungs- oder Straffunktion (vgl. EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 50; 21. Dezember 2023 - C-667/21 - [Krankenversicherung Nordrhein] Rn. 87).

b) Hinsichtlich der Darlegungs- und Beweislast hat der Gerichtshof der Europäischen Union klargestellt, dass die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nachweisen muss, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (vgl. EuGH 11. April 2024 - C-741/21 - [juris] Rn. 35; 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 60 f.). Der - selbst kurzzeitige - Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden iSv. Art. 82 Abs. 1 DSGVO darstellen, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden - so geringfügig er auch sein mag - erlitten hat (EuGH 11. April 2024 - C-741/21 - [juris] Rn. 42; 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 66). Dabei können negative Gefühle („Befürchtung“) einen Anspruch auf Ersatz des immateriellen Schadens begründen. Das bloße Berufen auf eine bestimmte Gefühlslage reicht aber nicht aus. Das Gericht hat vielmehr zu prüfen, ob das Gefühl unter Berücksichtigung der konkreten Umstände „als begründet angesehen werden kann“ (EuGH 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 85). Dies setzt zwingend die Anwendung eines objektiven Maßstabs voraus (BAG 25. Juli 2024 - 8 AZR 225/23 - Rn. 33; 20. Juni 2024 - 8 AZR 124/23 - Rn. 15).

c) Ausgehend von diesen Grundsätzen hat das Landesarbeitsgericht, das allerdings die vorstehend angeführte Rechtsprechung bei seiner Entscheidung noch nicht berücksichtigen konnte, zu Unrecht einen Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO dem Grunde nach angenommen.

aa) Besteht der Schaden in negativen Gefühlen, die für sich genommen nicht beweisbar sind, hat das nationale Gericht die Gesamtsituation und letztlich auch die Glaubwürdigkeit der jeweiligen Klagepartei auf der Grundlage eines substantiierten Sachvortrags zu beurteilen (BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 16). Steht ein Verstoß gegen die Datenschutz-Grundverordnung iSv. Art. 82 Abs. 1 DSGVO nach richterlicher Beweiswürdigung iSv. § 286 Abs. 1 ZPO zum Nachteil der Klagepartei als geschützter Person fest, mindert sich das Beweismaß bzgl. der Entstehung und der Höhe des Schadens nach § 287 Abs. 1 ZPO (BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 16 unter Bezugnahme auf BAG 5. Mai 2022 - 2 AZR 363/21 - Rn. 14).

bb) Grundsätzlich ist die entsprechende Würdigung der Beweise dem Tatrichter vorbehalten. Revisionsrechtlich ist nur zu prüfen, ob die Beweiswürdigung in sich widerspruchsfrei und ohne Verletzung von Denkgesetzen und allgemeinen Erfahrungssätzen erfolgt ist, ob sie rechtlich möglich ist und ob das Berufungsgericht alle für die Beurteilung wesentlichen Umstände berücksichtigt hat (BAG 25. Juli 2024 - 8 AZR 225/23 - Rn. 28).

cc) Das Landesarbeitsgericht hat allein die „erhebliche Unsicherheit“, die aus dem Auslesen des USB-Sticks und der Sicherung der Daten resultiere, für die Bejahung eines Schadenersatzanspruchs dem Grunde nach ausreichen lassen. Die Unsicherheit beziehe sich auf die Frage, welche Daten sich jetzt noch im Zugriff der beiden Beklagten befinden, wobei die Wegnahme des USB-Sticks eine solche „Beeinträchtigung“ indiziere.

dd) Diese Begründung steht im Widerspruch zu der angeführten neueren Rechtsprechung, wonach ein negatives Gefühl wie eine „Unsicherheit“ für sich genommen nicht ausreicht, um einen immateriellen Schadenersatzanspruch zu begründen. Aus den Besonderheiten des vorliegenden Falles ergibt sich nichts Abweichendes.

(1) Entgegen der Auffassung des Landesarbeitsgerichts kommt der Wegnahme des USB-Sticks bezogen auf einen Schaden wegen Verletzung der Auskunftspflicht keine Indizwirkung zu. Dabei kann zu Gunsten des Klägers unterstellt werden, dass sich der USB-Stick in seinem Eigentum befand und die Wegnahme durch den Beklagten zu 2. unberechtigt erfolgte. Selbst wenn dies der Fall wäre, stünde diese Rechtsverletzung in keinem Zusammenhang zur Verletzung der Auskunftspflicht nach Art. 15 DSGVO, für deren Verletzung der Kläger Schadenersatz begehrt. Der Kläger weiß auch ohne Auskunft, welche seiner personenbezogenen Daten auf dem USB-Stick gespeichert waren. Er ist sich seit der - zu seinen Gunsten unterstellten - Wegnahme ausschließlich über deren Verarbeitung im Unklaren. Die Verweigerung der diesbezüglich verlangten Auskunft führt zu Befürchtungen, die bei einer nicht oder unvollständig erteilten Auskunft aber in der Natur der Sache liegen und für sich genommen nicht die Annahme eines Schadens rechtfertigen. Wäre das Berufen auf solche Befürchtungen für die Annahme eines Schadens bereits ausreichend, würde jeder Verstoß gegen Art. 15 DSGVO - so ein Verstoß dagegen einen Anspruch nach Art. 82 Abs. 1 DSGVO dem Grunde nach begründen könnte - praktisch in jedem Fall zu einem immateriellen Schaden führen. Die eigenständige Voraussetzung des Schadens würde damit bedeutungslos (BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 18).

(2) Da Art. 82 Abs. 1 DSGVO nach der Rechtsprechung des Gerichtshofs der Europäischen Union (vgl. EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 46 ff.; 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 82; 4. Mai 2023 - C-300/21 - [Österreichische Post] Rn. 28 f.) keine Straffunktion zukommt, kann ein Schadenersatzanspruch auch nicht allein damit begründet werden, dass die Befürchtungen des Klägers durch eine rechtswidrige Handlung (unberechtigte Wegnahme eines USB-Sticks) ausgelöst wurden. Die Annahme eines immateriellen Schadens würde das Hinzutreten weiterer Umstände voraussetzen, zB das Begehen eines Datendiebstahls, der auf einen beabsichtigten Datenmissbrauch schließen lässt. Anhaltspunkte für ein solches Vorgehen der Beklagten sind dem Vortrag des Klägers aber gerade nicht zu entnehmen.

ee) Er hat allerdings andere Umstände vorgetragen, die die Annahme eines Schadens denkbar erscheinen lassen. Dies bezieht sich insbesondere auf die angeblichen Schlafstörungen und Angstzustände, die sich aus dem persönlichen Bezug der Daten auf dem USB-Stick und dem angeblich schlechten Ruf der Beklagten, insbesondere des Beklagten zu 2., ergeben. Das Landesarbeitsgericht hat sich nach einer ausführlichen Anhörung des Klägers in der mündlichen Verhandlung vor der Berufungskammer mit diesem Vortrag in revisionsrechtlich nicht zu beanstandender Weise auseinandergesetzt. Demnach ist ein immaterieller Schaden nicht dargelegt.