Aktuelle Entwicklungen im Schadenersatz und bei der Klauselkontrolle von Datenschutzinformationen

Am 24. und 25. April 2024 fand zum 18. Mal der Österreichische IT-Rechtstag statt. Unser Partner Dr. Rainer Knyrim ist einer der Ideengeber dieses IT-Rechtstags und von Anbeginn in dessen Programmkomitee und jährlicher Vortragender.

Der heurige Vortrag von Dr. Knyrim hatte den Titel „Private Enforcement im Datenschutz: Das sagen die Gerichte“. In diesem Vortrag, den Sie über die Website des IT-Rechtstags kostenlos abrufen können (HIER), behandelte er zwei Themenschwerpunkte:

Zur Entwicklung des Schadenersatzrechts für Datenschutzverstöße gab Dr. Knyrim einen Überblick über die jüngste Entwicklung im Schadenersatzrecht im Datenschutzrecht nach der Judikatur des EuGH bis hin zum aktuellen, durchaus skurrilen Fall (EuGH C-687/21), in dem ein Kunde von MediaMarkt Schadenersatz wollte, weil im Zuge der Warenausgabe sein dort vorbereitetes Säckchen, in dem sich seine Rechnung inkl. seiner dort aufgedruckten Adressdaten befanden, mit dem eines anderen Kunden verwechselt wurde, wobei der andere Kunde diesen Irrtum rasch bemerkte, das Säckchen innerhalb von 30 Minuten zurückbrachte und erwiesener Maßen nicht in die Daten Einsicht genommen hatte. Der EuGH lehnte in diesem Fall einen Schadenersatzanspruch ab. In der PowerPoint zum Vortrag findet sich überdies eine von unserer Kanzlei erstellte Übersicht über schadenersatzrechtliche Judikatur im Bereich Datenschutzverstöße in Österreich aus den letzten Jahren. Diese zeigt, dass es in Summe bislang relativ wenige Urteile gab und der zugesprochene Schadenersatz sich im Bereich von EUR 500,00 bis EUR 10.000,00 bewegte.

Den zweiten Schwerpunkt bildete die höchstgerichtliche österreichische Judikatur zum Thema „Klauselkontrolle von Datenschutzinformationen“.

Unsere Mitarbeiterin Mag. Stephanie Briegl, BA hat mit unserer früheren Kooperationspartnerin RA Mag. Lena Urban, LL.B. einen Beitrag zu diesem Thema geschrieben (Dako 3/2024). Dieser zeigt auf, dass Datenschutzinformationen bereits dann in den Anwendungsbereich der Klauselkontrolle fallen können, wenn von Kunden eine Bestätigung der Kenntnisnahme der Datenschutzinformation (z.B. online oder in Papier mittels „Ankreuzeln“, dass diese „akzeptiert“ oder „zur Kenntnis genommen“ werden) eingeholt wird oder wenn ein Hinweis auf ein bestehendes Widerspruchsrecht verwendet wird. Das Problem an der Klauselkontrolle? Datenschutzrechtliche Informationstexte entsprechen allzu oft nicht den erhöhten Anforderungen, die im Zuge der Klauselprüfung an Texte gestellt werden, insbesondere dem Transparenzgebot nach § 6 Abs 3 KSchG. Prüfmaßstab des OGH bei datenschutzrechtlichen Informationstexten ist aber auch die Verletzung anderer, z.B. datenschutzrechtlicher, Vorschriften. Dadurch entsteht ein sehr breites Anwendungsfeld. Der Beitrag setzt sich genauer mit den Argumenten auseinander, die der Einstufung als Klauseln zugrunde liegen, und geht auch auf die vom OGH aufgegriffenen Verstöße gegen die DSGVO ein. Es ist daher grundsätzlich ratsam, auf Formulierungen zu verzichten, die eine Bestätigung des Erhalts, eine Kenntnisnahme oder eine Anerkennung nahelegen, weil damit der Einbezug in die Klauselkontrolle vermieden werden kann!

Der Österreichische IT-Rechtstag endete mit einer Podiumsdiskussion zum „Private Enforcement im Datenschutzrecht“ an der Dr. Petra Leupold, Leiterin der Abteilung Klagen des Vereins für Konsumenteninformation, Dr. Gregor König, Group Data Protection Officer der Erste Bank Group, Mag. Nino Tlapak, LL.M., Partner bei Dorda Rechtsanwälte, und unser Partner Dr. Rainer Knyrim teilnahmen. Die Diskussion wurde zum Thema Klauselkontrolle der Datenschutzinformationen durchaus kontroversiell geführt, beim Thema Schadenersatz waren sich hingegen die Podiumsteilnehmer einig, dass dieses im Datenschutzrecht derzeit noch in den Startlöchern steht, aber mit der Umsetzung der Verbandsklagerichtlinie in Österreich Schadenersatzverfahren wegen Datenschutzverstößen in höherem Ausmaß zu erwarten sind.