Recht auf Schadenersatz
Ist Betroffenen ein materieller oder immaterieller Schaden aufgrund eines Verstoßes gegen die Datenschutz-Grundverordnung entstanden, haben sie einen Anspruch auf Schadenersatz. Datenverarbeiter haften für den Schaden, der durch unzulässige Datenverarbeitung verursacht wurde. Eine Befreiung von der Haftungspflicht ist nur möglich, wenn Datenverarbeiter nachweisen können, dass sie für den Schaden nicht verantwortlich sind.
Ein Gerichtsverfahren, um Schadenersatzansprüche geltend zu machen, kann entweder in dem EU-Mitgliedstaat stattfinden, in dem Datenverarbeiter ihren Sitz haben, oder dort, wo die Betroffenen ihren gewöhnlichen Aufenthaltsort haben.
In Deutschland gibt es bisher keine Möglichkeit, Schadenersatz mit Hilfe von Einrichtungen ohne Gewinnerzielungsabsicht zu erstreiten. Zwar haben beispielsweise Verbraucherzentralen ein Verbandsklagerecht, mit dem sie kollektive Interessen der Verbraucher*innen in bestimmten Rechtsbereichen durchsetzen können. Dies umfasst allerdings nicht Schadenersatzansprüche (siehe auch Klagerecht).
Artikel 82 DSGVO (Haftung und Recht auf Schadenersatz)
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
(2) Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. Ein Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus dieser Verordnung nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des für die Datenverarbeitung Verantwortlichen oder gegen diese Anweisungen gehandelt hat.
(3) Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.
(4) Ist mehr als ein Verantwortlicher oder mehr als ein Auftragsverarbeiter bzw. sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt und sind sie gemäß den Absätzen 2 und 3 für einen durch die Verarbeitung verursachten Schaden verantwortlich, so haftet jeder Verantwortliche oder jeder Auftragsverarbeiter für den gesamten Schaden, damit ein wirksamer Schadensersatz für die betroffene Person sichergestellt ist.
(5) Hat ein Verantwortlicher oder Auftragsverarbeiter gemäß Absatz 4 vollständigen Schadenersatz für den erlittenen Schaden gezahlt, so ist dieser Verantwortliche oder Auftragsverarbeiter berechtigt, von den übrigen an derselben Verarbeitung beteiligten für die Datenverarbeitung Verantwortlichen oder Auftragsverarbeitern den Teil des Schadenersatzes zurückzufordern, der unter den in Absatz 2 festgelegten Bedingungen ihrem Anteil an der Verantwortung für den Schaden entspricht.
(6) Mit Gerichtsverfahren zur Inanspruchnahme des Rechts auf Schadenersatz sind die Gerichte zu befassen, die nach den in Artikel 79 Absatz 2 genannten Rechtsvorschriften des Mitgliedstaats zuständig sind.
Quelle: Verordnung (EU) 2016/679 (siehe auch Erwägungsgründe 146 und 147)
Artikel 79 Absatz 2 DSGVO (Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter)
Für Klagen gegen einen Verantwortlichen oder gegen einen Auftragsverarbeiter sind die Gerichte des Mitgliedstaats zuständig, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Wahlweise können solche Klagen auch bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren Aufenthaltsort hat, es sei denn, es handelt sich bei dem Verantwortlichen oder dem Auftragsverarbeiter um eine Behörde eines Mitgliedstaats, die in Ausübung ihrer hoheitlichen Befugnisse tätig geworden ist.
Quelle: Verordnung (EU) 2016/679
