In einem aktuellen Urteil vom 15. April 2021 hat der Oberste Gerichtshof (OGH) entschieden, dass die Verarbeitung von Daten über die Zugehörigkeit des Betroffenen zu einer politischen Partei eine besondere Kategorie personenbezogener Daten darstellt. Dies gilt auch dann, wenn die betreffenden Daten auf anonymisierten Umfragen und Statistiken beruhen.

Darüber hinaus hat der OGH mit einem Vorabentscheidungsersuchen gemäß Art. 267 AEUV dem OGH grundlegende Fragen zur Auslegung des Art. 82 DSGVO an den Europäischen Gerichtshof (EuGH) gestellt. Konkret ging es um eine Klärung der Voraussetzungen für die Zuerkennung von Schadensersatz aufgrund von DSGVO-Verstößen und die Bemessung dieses Schadensersatzes nach Art. 82 DS-GVO.

Fakten

Der diesem Fall zugrunde liegende Sachverhalt hat seinen Ursprung in einem anderen Rechtsstreit (6Ob35/21x).

• Die Beklagte verkaufte als Adresshändler gemäß § 151 Gewerbeordnung 1994 (GewO) personenbezogene Daten für Marketingzwecke Dritter;
• Zu den von der Beklagten gesammelten Informationen gehörten auch Angaben zur Parteizugehörigkeit von österreichischen Staatsangehörigen;
  Nach einem Auskunftsersuchen (Art. 15 DSGVO) erfuhr der Kläger, dass die Beklagte die politische Zugehörigkeit des Klägers zur Freiheitlichen Partei Österreichs (FPÖ) vermutet hatte;
• Die Information über die Affinität des Probanden wurde durch die Verwendung eines Algorithmus abgeleitet, der "Zielgruppenadressen" nach soziodemographischen Merkmalen definiert;
• Ohne dass eine Einwilligung in die Datenverarbeitung und -speicherung vorlag, verlangte der Antragsteller:
• Eine Unterlassungsverfügung, die den Beklagten daran hindert, Daten über seine mutmaßlichen politischen Ansichten zu verarbeiten;
• Schadensersatz in Höhe von 1.000 EUR für den immateriellen Schaden, der ihm durch die ihm zugewiesene Parteizugehörigkeit entstanden ist, die er als beleidigend, beschämend und kreditschädigend empfand.

Während dem Unterlassungsbegehren vom Landesgericht für Zivilsachen Wien stattgegeben wurde, wurde der Schadenersatz mangels Erreichen der erforderlichen Schwelle für einen ersetzbaren immateriellen Schaden verneint. Die Entscheidung wurde vom Oberlandesgericht bestätigt. Gegen die Entscheidung wurde von beiden Parteien Berufung eingelegt.

Rechtliche Fragen

Das OGH-Urteil konzentrierte sich auf 1) die Frage, ob Daten über die Parteizugehörigkeit als personenbezogene Daten zu qualifizieren sind (Art. 4(1) DSGVO); 2) ob diese Daten eine besondere Kategorie personenbezogener Daten darstellen (Art. 9 DSGVO); 3) ob die Beklagte die weitere Verarbeitung der Daten des Klägers in Zukunft unterlassen muss; 4) ob die Verarbeitung der Daten den Kläger zu einer Entschädigung berechtigt (Art. 82 DSGVO).

Teilweise Entscheidung des OGH

• Personenbezogene Daten (Art. 4(1) GDPR)
• Personenbezogene Daten sind alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen ("betroffene Personen") beziehen;
• Eine identifizierbare natürliche Person muss eine Person sein, die direkt oder indirekt durch besondere Hinweise auf eine Kennung identifiziert werden kann;
• Als personenbezogene Daten galten Daten, die anhand von subjektiven und/oder objektiven Einschätzungen gewonnen wurden (d. h. nicht-personenbezogene Daten, z. B. Umfragen/Statistiken), da sie eine direkte Zuordnung der "Affinität zu einer politischen Partei" zu einer identifizierten/identifizierbaren natürlichen Person ermöglichten;
• Die Gültigkeit der angeblichen Verwandtschaft ist dabei unerheblich;
• Die Tatsache, dass die Informationen lediglich ein Ausdruck des vermuteten Interesses des Betroffenen an einer bestimmten politischen Partei waren, ist ebenfalls unerheblich.¹

Besondere Kategorie von personenbezogenen Daten (Art. 9 GDPR)

• Der Begriff "politische Meinung" ist weit auszulegen, um ein einheitliches und hohes Schutzniveau zu gewährleisten;
• Die Gefahr einer schwerwiegenden Diskriminierung infolge der Verarbeitung bestimmter Arten von Daten ist zu untergraben;
• Daten über die politischen Präferenzen von Personen führen zu potenzieller Diskriminierung und fallen daher in den Bereich der politischen Meinung gemäß Art. 9 GDPR BETRACHTET WERDEN.²

Abhilfe (Art. 79 GDPR)

• Das Recht auf einen wirksamen gerichtlichen Rechtsbehelf ist nach Art. 79 DSGVO, wenn die Rechte der betroffenen Person infolge der Verarbeitung ihrer personenbezogenen Daten unter Verstoß gegen die Bestimmungen der DSGVO verletzt wurden;
• In Ermangelung einer ausdrücklichen Einwilligung der betroffenen Person ist die Verarbeitung von Daten über die Zugehörigkeit zu einer politischen Partei nach 9(2)(a) an und für sich rechtswidrig;
• Der Umstand, dass die entsprechenden Daten gelöscht/nicht veröffentlicht wurden, also intern stattgefunden haben, aber nicht nach außen hin in Erscheinung getreten sind, ist unerheblich, da er die Gefahr einer (erneuten) Erstellung dieser Daten in der Zukunft nicht beseitigt;
• Eine Unterlassungsverfügung ist aufrechtzuerhalten, wenn die Möglichkeit besteht, dass die Daten in Zukunft wiederhergestellt werden.

Vorlagefragen an den EuGH

Der österreichische Oberste Gerichtshof legte dem EuGH ein Vorabentscheidungsersuchen nach Art. 267 AEUV um eine Vorabentscheidung über die Auslegung und Anwendung des Schadensersatzanspruchs nach Art. 82 GDPR vor.

Insbesondere wird der EuGH um eine Klarstellung gebeten:

• Ob ein Anspruch auf Schadensersatz neben der Verletzung einer DSGVO-Bestimmung voraussetzt, dass der Kläger einen konkreten Schaden erlitten hat, oder ob diese Verletzung ausreicht, um den Anspruch zu begründen;
• Ob zusätzliche Anforderungen des EU-Rechts, die über die Grundsätze der Effektivität und Äquivalenz hinausgehen, von den nationalen Gerichten bei der Beurteilung von Schadensersatz berücksichtigt werden müssen;
• Ob die Schwelle für einen immateriellen Schaden voraussetzt, dass die Rechtsverletzung Folgen von einem bestimmten Ausmaß oder Gewicht hat, die über den durch die Rechtsverletzung verursachten Ärger oder die Verärgerung hinausgehen.

Obwohl typischerweise über Massenklagen verfolgt, behält jede Person, die einen materiellen oder immateriellen Schaden als Folge eines Verstoßes gegen eine DSGVO-Bestimmung erlitten hat, das Recht, eine Klage gemäß Art. 82 GDPR zu erheben.

Unternehmen sind gut beraten, Presseberichte über Datenverluste aufmerksam zu verfolgen und Indikatoren für Datenschutzverletzungen frühzeitig zu erkennen, um eine zügige Überarbeitung der Defizite innerhalb der bestehenden Datenschutzbestimmungen zu ermöglichen. Des Weiteren wäre es von Vorteil, die Dokumentation und die internen Prozesse mit den Grundsätzen und Umsetzungsanforderungen der DSGVO in Einklang zu bringen. Zu diesem Zweck sollte die Überprüfung der bisherigen Entscheidungen zu Art. 82 GDPR sowohl auf nationaler als auch auf EU-Ebene hilfreich sein. Es ist offensichtlich, dass aufgrund der Vorlage von Vorfragen durch den OGH an den EuGH eine wichtige Grundlage geschaffen wurde, die eine einheitliche Auslegung des Datenschutzrechts zu Schadensersatz ermöglichen könnte.

Fußnoten

1. Siehe auch 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).

2. Siehe auch W258 2217446-1 (BVwG).

Der Inhalt dieses Artikels soll einen allgemeinen Leitfaden zu diesem Thema bieten. Für Ihre spezifischen Umstände sollten Sie fachkundigen Rat einholen.