BGH-Urteil zu Datenschutz: Unerwünschte Werbe-E-Mail allein begründet kein Schmerzensgeld

Wesentliches BGH-Urteil zum Datenschutz: Unerwünschte Werbe-E-Mail allein begründet keinen DSGVO-Schadensersatz
Der Bundesgerichtshof (BGH) hat mit seinem Urteil vom 28. Januar 2025 (Az.: VI ZR 109/23) eine wichtige Entscheidung zum immateriellen Schadensersatz (vulgo: „Schmerzensgeld“) nach der Datenschutz-Grundverordnung (DSGVO) getroffen. Das oberste deutsche Zivilgericht hat klargestellt, dass nicht jede unerwünschte Werbe-E-Mail automatisch einen Anspruch auf Schadensersatz begründet.

Der Fall: Werbe-E-Mail ohne Einwilligung
Im zugrundeliegenden Fall hatte der klägerische Verbraucher beim Beklagten Waren bestellt. Einige Zeit später erhielt er vom Beklagten eine unzulässige Werbe-E-Mail. Der Kläger widersprach daraufhin der Nutzung seiner Daten für Werbezwecke und forderte einen DSGVO-Schadensersatz in Höhe von 500 Euro. Das Landgericht hatte dem Kläger ursprünglich einen Teil der geforderten Summe zugesprochen, doch der BGH wies die Klage nun vollständig ab.

Die Entscheidungsgründe des BGH
In seiner Begründung stellt der BGH heraus, dass ein bloßer Verstoß gegen die DSGVO in Form einer unerlaubten Werbe-E-Mail allein für einen Schadensersatzanspruch nicht ausreicht. Der Kläger konnte keinen konkreten immateriellen Schaden nachweisen. Weder ein Kontrollverlust über seine Daten noch eine objektiv nachvollziehbare Beeinträchtigung seines Persönlichkeitsrechts seien hinreichend dargelegt worden.

Der BGH betont zwar, dass es keine Bagatellgrenze für Schäden gibt, dennoch müsse der Betroffene einen konkreten (immateriellen) Schaden nachweisen. Im Revisionsverfahren hatte der Kläger argumentiert, dass durch derartige Zusendungen ein „ungutes Gefühl“ erweckt werde, dass personenbezogene Daten unbefugt verwendet worden seien. Er habe sich mit der Abwehr der unerwünschten Werbung auseinandersetzen müssen, was zu einem durchaus belastenden Eindruck des Kontrollverlusts geführt habe. Diese Argumentation überzeugte den BGH im Ergebnis jedoch nicht.

Aktuelle Rechtsprechung des EuGH zum DSGVO-Schadensersatz
Der BGH setzt sich in seinem Urteil auch ausführlich mit der Rechtsprechung des Europäischen Gerichtshofs (EuGH) auseinander. Der EuGH hat in mehreren Entscheidungen der letzten Jahre die Voraussetzungen des Art. 82 DSGVO für das Bestehen eines Anspruchs auf Schmerzensgeld für Datenschutzverstöße konkretisiert.

Grundsätzlich gilt, dass der Verstoß gegen die Vorschriften der DSGVO nicht automatisch einen Schadensersatzanspruch auslöst. Der betroffenen Person muss ein materieller oder immaterieller Schaden entstanden sein, den diese nachzuweisen hat. Der Begriff des Schadens ist dabei weit auszulegen, und der Anspruch auf Ersatz immaterieller Schäden setzt keinen spürbaren Nachteil voraus.

Bedeutsam ist in diesem Zusammenhang die Entwicklung der EuGH-Rechtsprechung zum Kontrollverlust über personenbezogene Daten. Der EuGH hat klargestellt, dass schon der – selbst kurzzeitige – Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann, ohne dass dieser Begriff des „immateriellen Schadens“ den Nachweis zusätzlicher spürbarer negativer Folgen erfordert. Freilich muss aber auch insoweit der Anspruchsteller den Nachweis erbringen, dass er einen solchen Schaden erlitten hat. Diese Rechtsprechung des EuGH stellt eine deutliche Abgrenzung zu einigen deutschen Entscheidungen dar, für die ein Schmerzensgeldanspruch schon allein aufgrund des Verstoßes gegen Rechtsvorschriften der DSGVO entstehen sollte oder gar eine Abschreckungsfunktion entfalten sollte. Exemplarisch sei hier das Urteil des Arbeitsgerichts Oldenburg vom 09.02.2023 – 3 Ca 150/21 genannt, in dem einem Arbeitnehmer wegen verspäteter Auskunft ein Schmerzensgeld von sage und schreibe 10.000 € zugesprochen wurde. Dieser Betrag übersteigt das in Deutschland übliche Schmerzensgeld bei erheblichen körperlichen Beeinträchtigungen bei Weitem. Die vorgenannte Entscheidung, die immer noch als abschreckendes Beispiel zitiert wird, wurde jedoch aufgehoben und die Haftung auf Schmerzensgeld insgesamt verneint (LAG Düsseldorf, Urteil vom 28.11.2023, 3 Sa 285/23) – ein Umstand, den Berater gelegentlich „vergessen“ zu erwähnen, wenn sie mit spektakulären Summen auf Kundenfang gehen.

Die Bedeutung von „Kontrollverlust“ im Sinne der Rechtsprechung
Der BGH konkretisiert, was unter einem „Kontrollverlust“ zu verstehen ist. Ein Kontrollverlust könnte allenfalls dann vorliegen, wenn der Beklagte die Daten des Klägers mit der Übersendung der Werbe-E-Mail zugleich Dritten zugänglich gemacht hätte. Das war aber im vorliegenden Fall nicht geschehen.

Wenn ein Kontrollverlust nicht nachgewiesen werden kann, reicht nach der EuGH-Rechtsprechung die begründete Befürchtung einer Person, dass ihre personenbezogenen Daten aufgrund eines Verstoßes gegen die Verordnung von Dritten missbräuchlich verwendet werden, aus, um einen Schadensersatzanspruch zu begründen. Die Befürchtung samt ihrer negativen Folgen muss dabei aber ordnungsgemäß und glaubhaft nachgewiesen sein. Demgegenüber genügt die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten.

Bedeutung für die Praxis
Diese Entscheidung des BGH hat erhebliche praktische Bedeutung für Unternehmen und Verbraucher. Sie zeigt, dass DSGVO-Verstöße nicht automatisch zu Schadensersatzansprüchen führen. Vielmehr müssen Betroffene einen konkreten Schaden nachweisen, der mit dem Verstoß kausal zusammenhängt.

Für Unternehmen bedeutet das Urteil eine gewisse Entlastung. Obwohl sie weiterhin die DSGVO-Vorschriften strikt einhalten müssen, drohen ihnen nicht bei jedem geringfügigen Verstoß Schadensersatzforderungen. Für Verbraucher wiederum bedeutet es, dass sie für einen erfolgreichen Schadensersatzanspruch mehr als nur den bloßen Verstoß darlegen müssen.

Das Urteil reiht sich ein in eine Serie wichtiger Entscheidungen des EuGH und des BGH, die in den letzten Jahren die Voraussetzungen für DSGVO-Schadensersatzansprüche konkretisiert haben. Diese Konkretisierung führte teilweise zur Verschärfungen (Bagatellgrenze, Kontrollverlust), aber auch zu einer sehr deutlichen Absage an Abschreckung, Strafschaden und „amerikanische“ Schmerzensgeldpraktiken. Dabei ist bemerkenswert, dass der EuGH immaterielle Schäden im Datenschutzrecht qualitativ körperlichen Beeinträchtigungen gleichstellt. Diese Wertung haben die nationalen Gerichte bei der Bemessung der Schadenshöhe zu berücksichtigen, auch wenn im vorliegenden Fall überhaupt kein ersatzfähiger Schaden festgestellt wurde.

Fazit: Differenzierte Betrachtung von DSGVO-Verstößen
Mit seinem Urteil vom 28. Januar 2025 hat der BGH einen wichtigen Beitrag zur Rechtssicherheit im Bereich der DSGVO-Schadensersatzansprüche geleistet. Die Entscheidung zeigt, dass es bei der Beurteilung solcher Ansprüche auf die konkreten Umstände des Einzelfalls ankommt. Eine rein formale Betrachtung des Verstoßes genügt nicht. Vielmehr ist ein differenzierter Blick auf den tatsächlich eingetretenen Schaden notwendig. Dadurch wird verhindert, dass die DSGVO zu einem Instrument für unbegründete Schadensersatzforderungen wird, ohne dabei den wichtigen Schutz der Betroffenenrechte zu schmälern.

Wir unterstützen Unternehmen:

1. bei der richtigen Strategie zur Datenschutzumsetzung. So viel wie nötig, so effizient wie möglich, ohne „Datenschutz-Esoterik“ aber klar am gesetzlichen Anspruch.
2. bei der Verteidigung gegen Ansprüche aus den Datenschutzrecht.
3. bei der Prozessgestaltung und Mitarbeitenden-Schulung.
4. bei der Gestaltung richtiger und vor allem „guter“ Texte zum Datenschutz (Hinweis: das kann KI meistens nicht).

Wir sind gerne für Sie da.