Tratsch über eine Bewerbung
Ein Banker bewarb sich über ein Online-Karrierenetzwerk bei einer angesehenen Privatbank. Seine Gehaltsvorstellungen lagen leider über dem, was ihm die Bank zahlen wollte. Das teilte ihm eine Mitarbeiterin der Personalabteilung mit. Dies tat sie mittels einer Nachricht im Messenger-Dienst des Karrierenetzwerks. Dabei bot sie ihm eine andere, niedrigere Vergütung an.
Eine „dritte Person“ kommt ins Spiel
Irgendwelche Außenstehende ging diese Nachricht selbstverständlich nichts an. Trotzdem leitete die Mitarbeiterin sie an eine andere Person weiter. Diese andere Person fand die Nachricht sehr interessant. Sie kannte den Banker nämlich, weil sie zuvor einmal mit ihm gearbeitet hatte. Wohl aus diesem Grund hatte sie auch keine Scheu, die erhaltene Nachricht ihrerseits an den Banker zu übermitteln. Dabei fragte sie ihn, ob er eine Stelle suche.
Der Banker ist außer sich
Salopp gesagt, kochte der Banker. Dass er bei den Gehaltsverhandlungen eine Niederlage erlitten hatte, empfand er sowieso als Schmach. Und jetzt wusste auch noch jemand anders, der ihn kennt und in der gleichen Branche tätig ist wie er, von dieser Niederlage! Seine Befürchtung: Diese Person war jetzt in der Lage, die entsprechenden Daten an ehemalige oder potentielle künftige Arbeitgeber weiterzugeben.
Damit hatte diese Person einen Informationsvorsprung. Diesen Vorsprung – so seine Befürchtung – könnte sie in einer möglichen Konkurrenzsituation ausnutzen. Denn dass sie sich beide künftig einmal irgendwo um dieselbe Stelle bewerben, scheint durchaus möglich.
Er fordert Unterlassung und Schadensersatz
Um künftig ähnliche Vorfälle zu vermeiden, verlangte der Banker von der Privatbank, in Zukunft die Weiterleitung solcher Nachrichten über Gehaltsverhandlungen zu unterlassen. Außerdem forderte er Schadensersatz wegen eines Verstoßes gegen die DSGVO, begangen durch die Weiterleitung der Nachricht an eine außenstehende Person.
Das Landgericht als erste Instanz akzeptierte beide Forderungen. Es verurteilte die Privatbank zur Unterlassung und außerdem zur Zahlung von Schadensersatz in Höhe von 1000 €. Die Privatbank akzeptierte beides nicht. Das Oberlandesgericht als zweite Instanz verurteilte die Privatbank zwar ebenfalls zur Unterlassung. Einen Anspruch auf Schadensersatz lehnte dieses Gericht allerdings ab.
Nun waren beide unzufrieden, der Banker als Kläger und die Privatbank als Beklagte. Deshalb wandten sich beide an den Bundesgerichtshof (BGH) als dritte Instanz.
Der BGH hat Fragen an den EuGH
Die Weiterleitung der Nachricht durch die Mitarbeiterin der Privatbank an eine außenstehende Person fällt in den Anwendungsbereich der DSGVO. Dies schien dem BGH klar. Doch gerade damit begannen aus seiner Sicht die rechtlichen Schwierigkeiten. Insbesondere fragte er sich, ob die DSGVO einen Anspruch auf Unterlassung gibt.
Sollte dies nicht der Fall sein, stellte sich für ihn die nächste Frage: Wäre es dann trotzdem zulässig, dem Kläger auf der Basis nationaler Rechtsvorschriften wie dem BGB ein Anspruch auf Unterlassung zu geben? Oder wäre ein solcher Anspruch blockiert, falls die DSGVO gerade keinen Anspruch auf Unterlassung gibt?
Auch beim Thema Schadensersatz gab es aus der Sicht des BGH gleich mehrere offene Fragen. Unter anderem war sich der BGH unsicher, ob bloße negative Gefühle als ein Schaden anzusehen sind, der so etwas wie ein Schmerzensgeld rechtfertigt.
Die DSGVO blendet das Thema Unterlassung aus
Die DSGVO bietet keine rechtliche Grundlage, um die Unterlassung künftiger Verstöße gegen die DSGVO zu fordern. Dies stellt der EuGH recht kurz und knapp fest. Die DSGVO gibt der betroffenen Person zwar eine ganze Reihe von Ansprüchen. Zu ihnen gehört das Recht auf Löschung von personenbezogenen Daten, die rechtswidrig verarbeitet wurden (Art. 17 DSGVO). Ferner kennt die DSGVO ein Recht der betroffenen Person auf Einschränkung der Verarbeitung, wenn die betroffene Person und der Verantwortliche über die Rechtmäßigkeit der Verarbeitung streiten (Art. 18 DSGVO).
Alle diese Ansprüche setzen aber voraus, dass bereits tatsächlich eine Verarbeitung von Daten stattgefunden hat. Sie bieten keine Rechtsgrundlage dafür, die mögliche künftige Verarbeitung von Daten zu untersagen. Mit diesem Thema befasst sich die DSGVO schlicht nicht.
Sie blockiert Unterlassungsansprüche aber nicht
Auf der Ebene des nationalen Rechts sieht das anders aus. Beispielsweise aus dem BGB leiten deutsche Gerichte traditionell sehr wohl Unterlassungsansprüche ab. Dagegen ist aus der Sicht des EuGH nichts zu sagen. Zwar verpflichte die DSGVO die Mitgliedstaaten in keiner Weise, solche Unterlassungsansprüche vorzusehen. Andererseits hindere die DSGVO sie aber auch nicht daran. Sie sagt dazu schlicht nichts.
Daraus folgt: Falls der BGH der Auffassung ist, dass der gedemütigte Banker auf der Basis des BGB einen Anspruch auf Unterlassung hat, kann der BGH die Privatbank zur Unterlassung verurteilen.
Negative Gefühle stellen einen Schaden dar
Dass der Kläger einen Anspruch auf Schadensersatz haben kann, scheint aus der Sicht des EuGH auf der Hand zu liegen. Er ruft hierzu eine Reihe von Punkten in Erinnerung, zu denen er sich teils schon mehrfach geäußert hat. Insbesondere gilt:
- In einer Rufschädigung durch die rechtswidrige Weitergabe von Daten liegt ebenso ein Schaden wie in einem Verlust der Kontrolle über die eigenen Daten.
- Die Befürchtung, dass Daten künftig missbraucht werden könnten, kann schon für sich genommen einen Schaden darstellen. Derartige negative Gefühle sind zwar bisweilen schwierig nachzuweisen. Das ändert aber nichts daran, dass sie – den Nachweis unterstellt – einen Schaden darstellen.
- Es gibt keine „Bagatellgrenze“ für Schäden, die durch eine Verletzung der DSGVO entstanden sind.
Nun muss der BGH weiter seinen Job machen
Viele Leserinnen und Leser werden sich jetzt sagen: Das ist ja alles ganz interessant. Aber was kommt denn dabei jetzt für den Kläger im Ergebnis raus? Hat er einen Anspruch auf Unterlassung? Bekommt er Schadensersatz und wenn ja, in welcher Höhe?
Darauf gibt der EuGH keine Antwort. Seine Aufgabe ist ausschließlich die Klärung von zweifelhaften Rechtsfragen, die ihm Gericht aus den Mitgliedstaaten vorlegen. Das soll dafür sorgen, dass das europäische Recht – hier also die DSGVO – von den Gerichten in allen Mitgliedstaaten so einheitlich wie möglich angewandt wird.
Die Entscheidung eines konkreten Rechtsstreits ist und bleibt dagegen Sache der Gerichte den Mitgliedstaaten. Sie müssen dabei aber die Rechtsauffassungen zugrunde legen, die der EuGH geäußert hat. Mit anderen Worten: Der BGH muss sich jetzt überlegen, was die Antworten des EuGH auf die Fragen des BGH für den konkreten Rechtsstreit bedeuten. Dann muss der BGH entscheiden, ob der Kläger einen Anspruch auf Unterlassung hat, ob ihm Schadensersatz zusteht und falls ja, wie hoch dieser Schadensersatz ausfällt.
Ein Blick in die Glaskugel scheint möglich
Sehr wahrscheinlich wird der BGH dem Kläger einen Anspruch auf Unterlassung geben. Dies entspricht der Linie seiner bisherigen Rechtsprechung. Da die DSGVO laut EuGH zum Thema Unterlassungsanspruch nichts sagt, kann der BGH diese bisherige Linie ohne weiteres fortführen.
Was das Thema Schadensersatz angeht, ist eine Prognose schwieriger. Für einen solchen Anspruch muss der Kläger nämlich nachweisen, dass er tatsächlich einen Missbrauch seiner Daten befürchtet. Ob er das ausreichend bewiesen hat, muss der BGH in eigener Verantwortung einschätzen. Falls der Kläger diese Hürde erfolgreich nehmen kann, ist ein Schadensersatz in der Größenordnung von 1000 € wahrscheinlich.
Hier ist das EuGH-Urteil zu finden
Das Urteil des EuGH vom 04.09.2025 ist bei Eingabe des Aktenzeichens C-655/23 in einer Suchmaschine leicht zu finden. Hier ein Direktlink zur Datenbank des EuGH: CURIA – Dokumente .
