Eine Person, der wegen eines DSGVO-Verstoßes ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter, § 82 Abs. 1 DSGVO. Im Streitfall verlor ein Rechtsanwalt Kontrolle über die trotz seines Widerspruchs für Zwecke der Direktwerbung verarbeiteten personenbezogenen Daten. Wie der EuGH im Anschluss an sein Urteil vom 25.1.2024 (Rs. C-687/21, NZA 2024, S. 320) mit Urteil vom 11.04.2024 (Rs. C-741/21) klarstellte, muss der Geschädigte aber nicht nur den Verstoß gegen Bestimmungen dieser Verordnung, im Streitfall Art. 21 Abs. 3 DSGVO nachweisen, sondern auch, dass ihm durch diesen Verstoß tatsächlich ein solcher Schaden entstanden ist.
Hinweis: Für eine Befreiung des Verantwortlichen von seiner Haftung reicht es nicht aus, geltend zu machen, dass der Schaden durch ein Fehlverhalten einer ihm i. S. v. Art. 29 DSGVO unterstellten Person verursacht wurde. Die in Art. 83 DSGVO enthaltenden Bemessungskriterien sind im Rahmen des Schadensersatzanspruchs aus Art. 82 DSGVO nicht entsprechend anwendbar. Auch kann der Umstand, dass der Verantwortliche mehrere Verstöße gegenüber derselben Person begangen hat, nicht als ein relevantes Kriterium für die Bemessung des dieser Person zu gewährenden Schadensersatzes herangezogen werden.
