Der Datenschutzskandal bei der Post löste 2019 eine Reihe an Gerichtsverfahren aus. Jetzt liegen einige davon beim Europäischen Gerichtshof, der grundlegende Fragen klären soll.

Foto: Imago Stock & People

Es war wohl der größte Datenschutzskandal, den es in Österreich jemals gab: 2019 wurde bekannt, dass die Post Parteiaffinitäten weiter Teile der österreichischen Bevölkerung ermittelt hatte. Das Unternehmen verknüpfte Adressdaten mit Statistiken aus Umfragen, damit Werbekundinnen und Werbekunden ihre Prospekte zielgerichtet ausschicken können.

Der Skandal löste nicht nur Empörung aus, sondern führte auch zu mehreren Gerichtsprozessen. Den Fall eines Anwalts, der von der Post Schadenersatz verlangte, soll nun der Europäische Gerichtshof (EuGH) in Luxemburg entscheiden. Das Urteil steht zwar noch aus, ein aktuelles, entlastendes Gutachten des EuGH-Generalanwalts lässt die Post jedoch aufatmen. Datenschützer Max Schrems kann das nicht nachvollziehen – und übt scharfe Kritik.

Frage: Was passierte, nachdem der Post-Skandal bekannt wurde?

Antwort: Die Datenschutzbehörde sah einen Verstoß gegen die DSGVO und verhängte eine Strafe von 18 Millionen Euro gegen die Post. Später wurde diese Entscheidung aber aus formalen Gründen aufgehoben. Derzeit liegt das Verfahren beim Verwaltungsgerichtshof (VwGH).

Frage: Worum geht es im aktuellen Schadenersatzverfahren?

Antwort: Der betroffene Anwalt klagte auf Löschung der Daten und verlangte 1.000 Euro Schadenersatz. Die Post habe ihm in den Datensätzen eine "hohe Affinität zur FPÖ" zugeschrieben. Er erachte diese ihm zugeordnete Parteiaffinität als "eine Beleidigung" und als "kreditschädigend". Für die Post geht es in dem Verfahren um viel Geld, es könnte nämlich zum Vorbild für Klagen von tausenden Betroffenen werden.

Frage: Wie reagierten die österreichischen Gerichte auf die Klage?

Antwort: Sie verpflichteten die Post zwar dazu, die Daten zu löschen, einen Anspruch auf Geldersatz lehnten sie aber ab. Das Argument: Nicht jede Datenschutzverletzung löse einen Schaden aus. Der Oberste Gerichtshof (OGH) legte das Verfahren schließlich dem EuGH vor.

Frage: Worüber soll nun der Europäische Gerichtshof entscheiden?

Antwort: Laut DSGVO gebührt auch bei immateriellen Schäden Ersatz. Gemeint sind emotionale Schäden, die dann eintreten, wenn etwa die Freiheit oder Ehre verletzt werden. Der EuGH soll klären, was genau mit dem Begriff gemeint ist. Laut OGH muss man nämlich "immaterielle Schäden" von "unbeachtlichen Unannehmlichkeiten" wie im aktuellen Fall unterscheiden. Für Letztere stünde kein Ersatz zu. EuGH-Generalanwalt Manuel Campos Sánches-Bordona argumentiert nun ähnlich.

Frage: Worum geht es konkret?

Antwort: Laut Sánches-Bordona erstrecken sich immaterielle Schäden nicht auf "bloßen Ärger". Das würde nämlich einem "Schadenersatz ohne Schaden" nahekommen. Letztlich ist es laut Sánches-Bordona jedoch Sache der nationalen Gerichte zu entscheiden, ab wann ein "subjektives Unmutsgefühl" einen Schadenersatz rechtfertigt.

Frage: Wieso kritisiert Datenschützer Max Schrems das Gutachten?

Antwort: Er sieht den Fall als gefährlichen Schritt, "um den Schadenersatz in der DSGVO in der Praxis einzuschränken". Folgt der EuGH dem Generalanwalt, wären die meisten Datenschutzklagen laut Schrems sinnlos. Die DSGVO sehe – anders als andere EU-Gesetze – nicht vor, dass emotionale Schäden erst ab einer bestimmten Grenze zu bezahlen sind. Der Generalanwalt will Mitgliedsstaaten aber erlauben, so eine Schwelle einzuführen.

Frage: Welche Folgen hätte das?

Antwort: Laut Schrems wären Angst oder Ärger, die durch Datenmissbrauch entstanden sind, in den meisten Fällen nicht mehr ersatzfähig, sondern nur noch Schäden, die den "üblichen Ärger" über die Rechtsverletzung übersteigen. Damit blieben nur ohnehin geschützte Bereiche wie die psychische Gesundheit und Geldverlust übrig. Schadenersatz für die Datenschutzverletzung selbst würde damit "wegdefiniert".

Frage: Was würde das für künftige Verfahren bedeuten?

Antwort: In Fällen wie beim Post-Datenskandal müsste man zukünftig tausende oder gar Millionen Betroffene vorladen, die dann einzeln glaubhaft machen müssen, dass sie verärgert waren. In anderen Fällen von nichtgeldwertem Schaden – etwa bei Knochenbrüchen – haben die Gerichte hingegen Tabellen etabliert, mit denen man den Schweregrad neutral und effektiv zu ermitteln versucht. "Das Gleiche wäre hier logisch, man versucht es aber möglichst kompliziert zu machen, indem der Kläger einen nichtmessbaren 'Schmerz' einzeln beweisen muss", sagt Schrems. In der Praxis würden Betroffene so ein Zivilverfahren – das immerhin schnell mehr als 5.000 Euro koste – nicht mehr riskieren. Andere Datenschutzrechte wie eine Löschung oder Unterlassung bringen etwa bei vergangenen Rechtsverletzungen wie einer illegalen Datenweitergabe oder Veröffentlichung keine Lösung. Aus Sicht des betroffenen Anwalts, der den Fall vor Gericht gebracht hat, würde der Antrag die DSGVO "noch zahnloser machen".

Frage: Was spricht in derartigen Fällen gegen Schadenersatz?

Antwort: "Schadenersatz muss nach dem Konzept der DSGVO wirksam und abschreckend sein", sagt Anwalt Johannes Scharf, der hauptsächlich Unternehmen vertritt. Man dürfe an den Ersatz immaterieller Schäden nicht zu hohe Anforderungen stellen, da sie ansonsten nie ersetzt werden müssten. Auf der anderen Seite liege es aber wohl nicht im Interesse des europäischen Gesetzgebers, dass reines "Unwohlsein" bereits zu Ersatz führt.

Frage: Welche Bedeutung hat das Urteil für andere Verfahren?

Antwort: Letztlich geht es im Verfahren auch um eine rechtspolitische Entscheidung, die für zahlreiche Unternehmen massive wirtschaftliche Folgen haben könnte. "Es ist konsequent und richtig, dass der OGH nun den EuGH angerufen hat", sagt Scharf. Derzeit seien mehrere Verfahren zum Thema Schadenersatz nach der DSGVO beim EU-Höchstgericht anhängig. Vier Jahre nach dem Inkrafttreten der DSGVO ist diese zentrale Frage nach wie vor ungeklärt. "Sie hat aber fundamentale Bedeutung", sagt Scharf. Das Urteil des EuGH wird daher auf viele weitere Verfahren ausstrahlen. (Muzayen Al-Youssef, Jakob Pflügl, 12.10.2022)