Zusätzlich zu den erheblich erhöhten Bußgeldern (siehe Blog-Beitrag Bußgelder) drohen Unternehmen ab Geltung der neuen EU Datenschutz-Grundverordnung (DS-GVO) zum 25. Mai 2018 vermehrt Schadensersatzansprüche von betroffenen Personen wegen Verstößen gegen Datenschutzrecht.

Die DS-GVO sieht künftig in Art. 82 eine selbstständige datenschutzrechtliche Haftungsnorm für den zivilrechtlichen Schadensersatz vor.

Entsprechende Ansprüche stehen jeder Person zu, die durch einen Verstoß gegen datenschutzrechtliche Bestimmungen einen Schaden erlitten hat. Ersetzt werden können sowohl materielle als auch immaterielle Schäden. Hierunter fallen unter anderem psychische Beeinträchtigungen durch Verstöße gegen das Datenschutzrecht. Eine Haftung für immaterielle Schäden war bisher im Bundesdatenschutzgesetz (BDSG) nicht explizit vorgesehen.

Grundsätzlich ist zwar bei der Geltendmachung von Schadensersatzansprüchen die betroffene Person beweisbelastet. Allerdings müssen die datenverarbeitenden Unternehmen nach der DS-GVO nachweisen können, dass alle datenschutzrechtlichen Bestimmungen eingehalten wurden.

Daher ist zwingend erforderlich, dass Unternehmen zukünftig die Einhaltung der entsprechenden Vorgaben umfassend dokumentieren. Die Dokumentation sollte so angelegt sein, dass diese im Falle eines Gerichtsverfahrens vorgelegt werden kann.

Regelungen bezüglich der Höhe der Schadensersatzansprüche finden sich in den Vorschriften der DS-GVO hingegen nicht. Ähnlich wie bei den zukünftig geltenden Bußgeldern ist auch bei der Höhe der Schadensersatzansprüche davon auszugehen, dass diese eine abschreckende Wirkung für Schädiger haben sollen und daher hinreichend hoch sein dürften. Es bleibt abzuwarten, wie die Gerichte die Höhe von Schadensersatzansprüchen nach Geltung der DS-GVO festsetzen werden.

Insofern ist Unternehmen dringend zu raten, die Vorgaben der DS-GVO bis zum Stichtag umzusetzen, um eine Haftung bei Schadensersatzansprüchen von betroffenen Personen zu vermeiden.