62023CC0655
SCHLUSSANTRÄGE DES GENERALANWALTS
MANUEL CAMPOS SÁNCHEZ‑BORDONA
vom 20. März 2025 (
1
)
Rechtssache C‑655/23
IP
gegen
Quirin Privatbank AG
(Vorabentscheidungsersuchen des Bundesgerichtshofs [Deutschland])
„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 5 Abs. 1 Buchst. a – Art. 6 Abs. 1 – Art. 17 – Art. 18 – Art. 79 Abs. 1 – Art. 82 Abs. 1 – Anspruch auf Unterlassung der Wiederholung einer unrechtmäßigen Verarbeitung – Schadenersatzanspruch – Immaterieller Schaden – Beurteilung“
1.
In dem Rechtsstreit, der dem Vorabentscheidungsersuchen zugrunde liegt, geht es im Wesentlichen um die Frage, ob eine Person verlangen kann, dass der für die Verarbeitung ihrer personenbezogenen Daten Verantwortliche künftig die Wiederholung einer Verhaltensweise unterlässt, die den Bestimmungen der Verordnung (EU) 2016/679 zuwiderläuft (
2
). Diese Person beantragt außerdem, dass der Verantwortliche dazu verurteilt wird, ihr den durch den bereits begangenen Verstoß gegen die DSGVO entstandenen immateriellen Schaden zu ersetzen.
2.
Der Gerichtshof hat sich zur Auslegung der DSGVO in Bezug auf Schadenersatz (
3
) und Unterlassungsansprüche gegen die unrechtmäßige Verarbeitung personenbezogener Daten geäußert (
4
). Einige der in diesem Vorabentscheidungsersuchen aufgeworfenen spezifischen Fragen hat er jedoch noch nicht behandelt.
I. Rechtlicher Rahmen
A.
Unionsrecht. DSGVO
3.
In Art. 4 („Begriffsbestimmungen“) heißt es:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
…
2.
‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie … die Einschränkung, das Löschen oder die Vernichtung;
3.
‚Einschränkung der Verarbeitung‘ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
…“
4.
Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) bestimmt:
„(1)   Personenbezogene Daten müssen
a)
auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
…
(2)   Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“
5.
Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 sieht vor:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a)
Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
…“
6.
Art. 17 („Recht auf Löschung [‚Recht auf Vergessenwerden‘]“) bestimmt:
„(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:
…
d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
…“
7.
In Art. 18 („Recht auf Einschränkung der Verarbeitung“) heißt es:
„(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:
…
b)
die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt;
…“
8.
Art. 79 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter“) Abs. 1 bestimmt:
„Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“
9.
Art. 82 („Haftung und Recht auf Schadenersatz“) Abs. 1 sieht vor:
„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“
10.
Art. 84 („Sanktionen“) Abs. 1 lautet:
„Die Mitgliedstaaten legen die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung – insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen – fest und treffen alle zu deren Anwendung erforderlichen Maßnahmen. Diese Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.“
B.
Deutsches Recht. Bürgerliches Gesetzbuch (
5
)
11.
§ 823 („Schadensersatzpflicht“) lautet:
„(1)   Wer vorsätzlich oder fahrlässig das Leben, den Körper, die Gesundheit, die Freiheit, das Eigentum oder ein sonstiges Recht eines anderen widerrechtlich verletzt, ist dem anderen zum Ersatz des daraus entstehenden Schadens verpflichtet.
(2)   Die gleiche Verpflichtung trifft denjenigen, welcher gegen ein den Schutz eines anderen bezweckendes Gesetz verstößt. Ist nach dem Inhalt des Gesetzes ein Verstoß gegen dieses auch ohne Verschulden möglich, so tritt die Ersatzpflicht nur im Falle des Verschuldens ein.“
12.
§ 1004 („Beseitigungs- und Unterlassungsanspruch“) Abs. 1 bestimmt:
„Wird das Eigentum in anderer Weise als durch Entziehung oder Vorenthaltung des Besitzes beeinträchtigt, so kann der Eigentümer von dem Störer die Beseitigung der Beeinträchtigung verlangen. Sind weitere Beeinträchtigungen zu besorgen, so kann der Eigentümer auf Unterlassung klagen.“ (
6
)
II. Sachverhalt, Rechtsstreit und Vorlagefragen
13.
Der im Vorlagebeschluss beschriebene Sachverhalt stellt sich wie folgt dar:
–
IP war Kandidat in einem Bewerbungsprozess bei der Quirin Privatbank AG (im Folgenden: Quirin), der über das Online‑Portal Xing stattfand.
–
Am 23. Oktober 2018 versandte eine Mitarbeiterin von Quirin im Rahmen dieses Bewerbungsprozesses über den Messenger‑Dienst des Portals Xing eine nur für IP bestimmte Nachricht mit folgendem Inhalt an eine dritte, nicht an diesem Bewerbungsprozess beteiligte Person: „Lieber Herr [IP], ich hoffe es geht Ihnen gut! Unser Leiter – Herr R[…] – findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören … Viele Grüße …“
–
Der Dritte – der Empfänger der Nachricht – leitete diese an IP weiter, den er kannte, da er vor einiger Zeit in derselben Holding gearbeitet hatte. Er fragte ihn, ob es sich um eine Nachricht für ihn (IP) handele und ob er auf Stellensuche sei.
14.
IP erhob beim Landgericht (Deutschland) Klage und beantragte, Quirin zu verurteilen, es künftig zu unterlassen, personenbezogene Daten, die im Zusammenhang mit seiner Bewerbung stehen, zu verarbeiten/verarbeiten zu lassen, „wenn dies geschieht wie in der Nachricht über das Portal Xing … am 23. Oktober 2018“. Außerdem beantragte er immateriellen Schadenersatz in Höhe von mindestens 2500 Euro (
7
).
15.
Das Landgericht gab der Klage teilweise statt und verurteilte Quirin zur Unterlassung und zur Zahlung von Schadenersatz an IP in Höhe von 1000 Euro nebst Zinsen.
16.
Quirin legte gegen das erstinstanzliche Urteil Berufung beim Oberlandesgericht (Deutschland) ein, das ihr nur teilweise stattgab, indem es den Schadenersatz aufhob und die Berufung im Übrigen zurückwies.
17.
Das Berufungsgericht war folgender Auffassung:
–
Gemäß Art. 17 Abs. 1 DSGVO stehe IP gegen Quirin ein Anspruch auf Unterlassung der Verarbeitung seiner personenbezogenen Daten zu, sofern diese in der Form erfolge wie mit der Nachricht vom 23. Oktober 2018. Es war der Ansicht, dass in dieser Hinsicht Wiederholungsgefahr gegeben sei.
–
IP stehe kein Anspruch auf Schadenersatz gemäß Art. 82 DSGVO zu, da es an der Darlegung des Eintritts eines Schadens fehle.
18.
Dagegen wendet sich IP mit seiner Revision, mit der er seine Ansprüche in vollem Umfang weiterverfolgt. Quirin begehrt mit ihrer Revision die vollständige Abweisung der Klage.
19.
In diesem Zusammenhang hat der Bundesgerichtshof (Deutschland) dem Gerichtshof sechs Fragen zur Vorabentscheidung vorgelegt, von denen ich die erste, die zweite, die dritte und die sechste (
8
) wiedergebe, die wie folgt lauten:
1.
a)
Ist Art. 17 DSGVO dahin gehend auszulegen, dass der betroffenen Person, deren personenbezogene Daten von dem Verantwortlichen unrechtmäßig durch Weiterleitung offengelegt wurden, ein Anspruch gegen den Verantwortlichen auf Unterlassung einer erneuten unrechtmäßigen Weiterleitung dieser Daten zusteht, wenn sie vom Verantwortlichen keine Löschung der Daten verlangt?
b)
Kann sich ein solcher Unterlassungsanspruch (auch) aus Art. 18 DSGVO oder einer sonstigen Bestimmung der DSGVO ergeben?
2.
Falls Fragen 1a) und/oder 1b) bejaht werden:
a)
Besteht der unionsrechtliche Unterlassungsanspruch nur dann, wenn künftig weitere Beeinträchtigungen der sich aus der DSGVO ergebenden Rechte der betroffenen Person zu besorgen sind (Wiederholungsgefahr)?
b)
Wird das Bestehen der Wiederholungsgefahr gegebenenfalls aufgrund des bereits vorliegenden Verstoßes gegen die DSGVO vermutet?
3.
Falls Fragen 1a) und 1b) verneint werden:
Ist Art. 84 in Verbindung mit Art. 79 DSGVO dahin gehend auszulegen, dass sie es dem nationalen Richter erlauben, der betroffenen Person, deren personenbezogene Daten von dem Verantwortlichen unrechtmäßig durch Weiterleitung offengelegt wurden, neben dem Ersatz des materiellen oder immateriellen Schadens nach Art. 82 DSGVO und den sich aus Art. 17 und Art. 18 DSGVO ergebenden Ansprüchen einen Anspruch gegen den Verantwortlichen auf Unterlassung einer erneuten unrechtmäßigen Weiterleitung dieser Daten nach den Bestimmungen des nationalen Rechts zuzusprechen?
6.
Falls Fragen 1a), 1b) oder 3 bejaht werden:
Ist Art. 82 Abs. 1 DSGVO dahin gehend auszulegen, dass bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens als anspruchsmindernd berücksichtigt werden kann, dass der betroffenen Person neben dem Anspruch auf Schadensersatz ein Unterlassungsanspruch zusteht?
III. Verfahren vor dem Gerichtshof
20.
Das Vorabentscheidungsersuchen ist am 7. November 2023 beim Gerichtshof eingegangen.
21.
IP, Quirin und die Europäische Kommission haben schriftliche Erklärungen eingereicht. Die Durchführung einer mündlichen Verhandlung ist nicht für erforderlich erachtet worden.
IV. Würdigung
22.
Auf Ersuchen des Gerichtshofs werden sich die vorliegenden Schlussanträge auf die erste, die zweite, die dritte und die sechste Vorlagefrage beschränken.
A.
Erste Vorlagefrage
23.
Das vorlegende Gericht möchte wissen, ob der betroffenen Person in Fällen, in denen es bereits zu einer nach der DSGVO unrechtmäßigen Verarbeitung personenbezogener Daten gekommen ist, auf der Grundlage der Art. 17 oder 18 oder einer anderen Bestimmung der DSGVO ein Anspruch gegen den Verantwortlichen auf Unterlassung „einer erneuten unrechtmäßigen Weiterleitung dieser Daten zusteht, wenn sie vom Verantwortlichen keine Löschung der Daten verlangt“.
24.
Die Zweifel des vorlegenden Gerichts scheinen sich aus den unterschiedlichen Auffassungen in der deutschen Literatur und Rechtsprechung über den (angenommenen) einklagbaren Anspruch darauf zu ergeben, dass der Verantwortliche bestimmte unrechtmäßige Verarbeitungen personenbezogener Daten, die den in der Vergangenheit bereits erfolgten Verarbeitungen vergleichbar sind, künftig unterlässt.
25.
Der Ursprung eines solchen Streits dürfte im Fehlen einer ausdrücklichen Anerkennung dieses Anspruchs in der DSGVO zu sehen sein. Nach einer Ansicht bedeutet dieses Fehlen, dass ein solcher Anspruch in der DSGVO selbst nicht vorgesehen ist, während er nach einer anderen Ansicht aus Art. 17 oder Art. 18 DSGVO abgeleitet werden kann (
9
).
26.
Außerdem sind die Befürworter der ersten Ansicht gespalten: Nach einer Ansicht schafft die DSGVO ein geschlossenes System, das es unmöglich macht, den Unterlassungsanspruch auf das nationale Recht zu stützen. Nach einer anderen Ansicht, der das erstinstanzliche Gericht in der vorliegenden Rechtssache folgt, ist das Gegenteil der Fall.
27.
Zwar sieht die DSGVO keinen ausdrücklichen Anspruch der betroffenen Person darauf vor, dass der Verantwortliche einer unrechtmäßigen Verarbeitung deren Wiederholung unterlässt. Bei der Auslegung einer Bestimmung des Unionsrechts sind jedoch nicht nur ihr Wortlaut, sondern auch der Zusammenhang, in den sie sich einfügt, und die Ziele, die mit der Regelung, zu der sie gehört, verfolgt werden, sowie gegebenenfalls deren Entstehungsgeschichte zu berücksichtigen (
10
).
28.
Im Folgenden werde ich die Prüfung der ersten Vorlagefrage im Licht dieser Auslegungskriterien vornehmen.
1. Anspruch auf Unterlassung einer wiederholten unrechtmäßigen Verarbeitung
29.
Im Einklang mit dem Vorbringen der Kommission (
11
) bin ich der Ansicht, dass sich der Anspruch der betroffenen Person (gegen den für die Verarbeitung ihrer personenbezogenen Daten Verantwortlichen) auf Unterlassung einer wiederholten unrechtmäßigen Verarbeitung, wenn diese zuvor bereits erfolgt ist, aus der DSGVO selbst, konkret aus Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 in Verbindung mit Art. 79 Abs. 1 DSGVO, ableiten lässt.
30.
Ich verstehe etwaige Vorbehalte gegenüber dieser Ansicht, da die Art. 5 und 6 DSGVO Teil von Kapitel II („Grundsätze“) und nicht von Kapitel III der DSGVO sind, das speziell den „Rechte[n] der betroffenen Person“ gewidmet ist. Zunächst könnte man meinen, dass sich der Katalog der durch die DSGVO geschützten Rechte der betroffenen Person in der Aufzählung der in Kapitel III angeführten Rechte erschöpft.
31.
Diese Vorbehalte scheinen mir jedoch nicht unüberwindbar zu sein.
32.
Unter der Überschrift „Grundsätze“ beschränkt sich Kapitel II der DSGVO nicht auf Programmsätze oder Ausführungen, die lediglich für die Auslegung anderer Vorschriften hilfreich sind. Vielmehr legt dieses Kapitel rechtliche Pflichten für all diejenigen fest, an die sich die DSGVO richtet. Diesen Pflichten entsprechen im Gegenzug und folgerichtig entweder schutzwürdige subjektive Interessen oder aber echte Rechte der betroffenen Personen (
12
).
33.
Art. 5 Abs. 1 DSGVO legt unmittelbar verbindliche und zwingend einzuhaltende Grundsätze fest (
13
). Art. 5 Abs. 2 DSGVO bestätigt den normativen Charakter dieser Grundsätze, indem er „die Einhaltung des Absatzes 1“ zu einer materiellen Pflicht macht, die insbesondere dem Verantwortlichen auferlegt wird (
14
). Außerdem wird ein Verstoß gegen die „Grundsätze für die Verarbeitung“ mit Geldbußen geahndet (
15
).
34.
Auf einer höheren normativen Ebene verlangt Art. 8 der Charta der Grundrechte der Europäischen Union, in dem das Recht auf Schutz personenbezogener Daten verankert ist, in seinem Abs. 2, dass die Verarbeitung solcher Daten bestimmten Bedingungen unterliegt („Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden“), die ihre Rechtmäßigkeit gewährleisten.
35.
Ein Verstoß des Verantwortlichen gegen einen der in den Art. 5 und 6 DSGVO genannten Grundsätze führt dazu, dass die Verarbeitung unrechtmäßig ist. Zugleich verstößt die unrechtmäßige Verarbeitung personenbezogener Daten gegen das Recht auf Schutz personenbezogener Daten.
36.
Damit meine ich nicht, dass jeglicher Verstoß gegen die Bestimmungen der DSGVO automatisch dazu führt, dass die Verarbeitung personenbezogener Daten unrechtmäßig ist (
16
). Wenn aber der Verstoß gegen die DSGVO ein solches Ausmaß erreicht, dass er an sich schon gegen die Grundsätze der Verarbeitung verstößt, impliziert die Unrechtmäßigkeit der Verarbeitung, das sei wiederholt, die Verletzung des Rechts auf Schutz personenbezogener Daten.
37.
Was den Grundsatz der Rechtmäßigkeit der Verarbeitung angeht, so hat der Gerichtshof Folgendes festgestellt:
–
Er hat seinen obligatorischen Charakter anerkannt und stets darauf hingewiesen, dass jede Verarbeitung personenbezogener Daten dem Grundsatz der Rechtmäßigkeit entsprechen muss (
17
).
–
Er hat den „Umfang der dem Verantwortlichen nach Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung obliegenden Pflichten“ hervorgehoben (
18
). Dieser Umfang wird in den Art. 7 bis 11 DSGVO näher bestimmt: Die Verarbeitung personenbezogener Daten ist nur dann rechtmäßig, wenn sie diese Bestimmungen einhält (
19
).
38.
Als unmittelbare Entsprechung zu dem in Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 DSGVO aufgestellten Erfordernis besteht daher ein Recht der betroffenen Person darauf, dass jede Verarbeitung ihrer personenbezogenen Daten rechtmäßig ist. Meines Erachtens ist von diesem Postulat auszugehen, auch wenn dieses Recht nicht ausdrücklich in Kapitel III der DSGVO enthalten ist.
39.
Denn wenn Kapitel III der DSGVO, das den Rechten der betroffenen Person gewidmet ist, als solches keine Anerkennung des Rechts auf Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten enthält, dann deshalb, weil eine solche ausdrückliche Anerkennung nicht erforderlich ist: Aus dem Wortlaut der Art. 5 und 6 DSGVO ergibt sich, dass dieses Recht vorausgesetzt wird.
40.
Die ausdrückliche Verankerung eines Rechts in der DSGVO – über das hinaus, was bereits in Art. 5 DSGVO festgelegt ist –, dass jede Verarbeitung personenbezogener Daten auf einer rechtmäßigen Grundlage beruhen muss, war, das sei wiederholt, nicht unerlässlich (
20
). Im Interesse der Einheitlichkeit und für die Zwecke der Rechtssicherheit aller Beteiligten war es ausreichend, die entsprechenden Grundlagen in der DSGVO selbst zu spezifizieren und zu präzisieren.
41.
Im Übrigen bin ich mir nicht sicher, ob die Rechte der betroffenen Person ausschließlich die in Kapitel III der DSGVO aufgeführten sind. In der DSGVO finden sich weitere Rechte, deren Ausübung in erster Linie durch den Verantwortlichen erleichtert werden muss (
21
). Das Recht, die Einwilligung zu widerrufen, ist beispielsweise in Art. 7 Abs. 3 DSGVO vorgesehen, der als solcher nicht Teil von Kapitel III der DSGVO ist.
42.
Meines Erachtens kann das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, eine wiederholte unrechtmäßige Verarbeitung, die der zuvor durchgeführten entspricht, zu unterlassen, als Folge des Rechts derselben betroffenen Person darauf, dass jede Verarbeitung ihrer personenbezogenen Daten rechtmäßig ist, betrachtet werden.
43.
Dieses Recht (ius) ist mit einem für die Zwecke der DSGVO unverzichtbaren gerichtlichen Reaktionsmechanismus (actio) gekoppelt, auf den in Art. 79 DSGVO Bezug genommen wird. Andernfalls wäre der Rechtsschutz für personenbezogene Daten unzureichend.
44.
Der betroffenen Person das Recht einzuräumen, (gegebenenfalls vor einem Gericht) zu verlangen, dass sich eine unrechtmäßige Verarbeitung ihrer Daten nicht wiederholt, entspricht dem im zehnten Erwägungsgrund der DSGVO genannten Ziel, ein hohes Datenschutzniveau für natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten in der Union zu gewährleisten. Im elften Erwägungsgrund der DSGVO heißt es außerdem, dass ein wirksamer Schutz personenbezogener Daten die Stärkung der Rechte der betroffenen Personen erfordert (
22
).
45.
Zu den Befugnissen der Aufsichtsbehörde nach Art. 58 Abs. 2 Buchst. d und f DSGVO gehört es, die Weisung zu erteilen, die Verarbeitung auf bestimmte Weise in Einklang mit der DSGVO zu bringen, und vorübergehende oder endgültige Beschränkungen der Verarbeitung, einschließlich eines Verbots, zu verhängen. Eine Beschwerde der betroffenen Person gemäß Art. 77 Abs. 1 DSGVO kann die Durchführung solcher Maßnahmen anstoßen.
46.
Die Übertragung dieser Befugnisse auf die Aufsichtsbehörde ist voll und ganz damit vereinbar, dass die betroffene Person, wenn sie dies für angemessen hält, ein Gericht anruft, um einen wirksamen Schutz ihrer verletzten Rechte geltend zu machen. Zu diesem Zweck kann sie gemäß Art. 79 Abs. 1 DSGVO vor Gericht Klage gegen den Verantwortlichen erheben (
23
). Es spricht nichts dagegen, dass die mit der entsprechenden Klage verfolgten Ansprüche auch den Anspruch auf Verurteilung des Verantwortlichen zur Unterlassung einer wiederholten unrechtmäßigen Verarbeitung umfassen.
47.
In Anbetracht der obigen Ausführungen bin ich der Ansicht, dass die betroffene Person sowohl das Recht (ius) hat, von dem Verantwortlichen zu verlangen, dass er eine wiederholte unrechtmäßige Verarbeitung im Sinne der DSGVO unterlässt, als auch die Möglichkeit hat, ein Gericht anzurufen (actio), damit dieses dem Verantwortlichen diese Pflicht zur Unterlassung auferlegt.
48.
Eine entsprechende Klage der betroffenen Person fällt unter den charakteristischen Inhalt von Art. 79 Abs. 1 DSGVO, d. h., sie kann zu den Rechtsschutzmechanismen gezählt werden, die ihr durch diese Verordnung gewährt werden (
24
). Es ist zu berücksichtigen, dass der Schadenersatz als Abhilfe für einen durch einen Verstoß gegen die DSGVO bereits entstandenen Schaden in Art. 82 DSGVO ausdrücklich geregelt ist und dass er „ausschließlich eine Ausgleichsfunktion“ und keine Abschreckungs- oder Straffunktion erfüllt (
25
).
49.
Entgegen der von mir vertretenen Auffassung macht Quirin geltend (
26
), dass während des Normsetzungsverfahrens der DSGVO der Vorschlag der Kommission, wonach „[d]ie Mitgliedstaaten … sicher[stellen], dass mit den nach innerstaatlichem Recht verfügbaren Klagemöglichkeiten rasch Maßnahmen einschließlich einstweilige[r] Maßnahmen erwirkt werden können, um mutmaßliche Rechtsverletzungen abzustellen und zu
verhindern, dass den Betroffenen weiterer Schaden entsteht“, letztlich nicht angenommen wurde (
27
).
50.
Dass dieser Absatz bei der Behandlung durch den Rat weggefallen ist, scheint mir jedoch weder ein Hinweis auf eine gesetzgeberische Absicht zu sein, einen „Anspruch auf einstweilige Maßnahmen oder eine Verhinderung weiterer Schäden … in der finalen Fassung der DSGVO … nicht auf[zunehmen]“ (
28
), noch auf ein Versehen (
29
). Ich glaube vielmehr, dass die Änderungen des Vorschlags der Kommission in diesem Punkt darauf abzielten, dass das gesamte ursprüngliche Kapitel VIII („Rechtsbehelfe, Haftung und Sanktionen“) einen korrekteren Aufbau erhält.
51.
Unter den Überschriften „Recht auf gerichtlichen Rechtsbehelf gegen für die Verarbeitung Verantwortliche oder Auftragsverarbeiter“ und „Gemeinsame Vorschriften für Gerichtsverfahren“ regelten die Art. 75 und 76 des Vorschlags nämlich eine Vielzahl von Fällen, denen es an Kohärenz fehlte (
30
). Im neuen Aufbau des Kapitels wurde das Recht auf einen gerichtlichen Rechtsbehelf hinsichtlich der Rechte der betroffenen Person in Art. 79 DSGVO verlagert, wobei man logischerweise davon ausgehen kann, dass er Klagen zur Verhinderung der Wiederholung einer unrechtmäßigen Verarbeitung personenbezogener Daten als charakteristische Erscheinungsformen eines wirksamen (
31
) gerichtlichen Rechtsbehelfs umfasst.
2. Möglichkeit der Ableitung eines Anspruchs auf Unterlassung einer unrechtmäßigen Verarbeitung aus Art. 17 oder Art. 18 DSGVO
52.
Das vorlegende Gericht stellt seine erste Frage, indem es sich auf die Art. 17 und 18 oder „[eine sonstige] Bestimmung der DSGVO“ als mögliche Grundlage für das Recht der betroffenen Person beruft, von dem Verantwortlichen zu verlangen, die Wiederholung einer unrechtmäßigen Weiterleitung ihrer personenbezogenen Daten zu unterlassen.
53.
Wie ich bereits ausgeführt habe, bin ich der Ansicht, dass diese Grundlage in den Art. 5 und 6 in Verbindung mit Art. 79 DSGVO zu finden ist, so dass nicht darauf eingegangen werden muss, wie sich die Art. 17 und 18 DSGVO insoweit auswirken.
54.
Der Vollständigkeit halber werde ich jedoch im Folgenden auf diese beiden Bestimmungen eingehen. Ich werde die Gründe darlegen, die meiner Ansicht nach dagegen sprechen, einen solchen Anspruch herzuleiten
–
aus Art. 17 DSGVO, wenn die betroffene Person nicht die Löschung der Daten, die Gegenstand der unrechtmäßigen Verarbeitung sind, begehrt (
32
), oder
–
aus Art. 18 DSGVO, insbesondere aus seinem Abs. 1 Buchst. b (
33
).
55.
In der Regel (
34
) hat die betroffene Person gegenüber dem Verantwortlichen sowohl einen Anspruch auf Löschung unrechtmäßig verarbeiteter personenbezogener Daten (Art. 17 Abs. 1 Buchst. d DSGVO) als auch einen Anspruch auf Einschränkung der Verarbeitung (Art. 18 Abs. 1 Buchst. b DSGVO), wenn die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung ablehnt und stattdessen die Einschränkung verlangt.
56.
Meines Erachtens reicht keine dieser beiden Bestimmungen für sich genommen aus, um das Recht der betroffenen Person zu begründen, von dem Verantwortlichen zu verlangen, die Wiederholung einer rechtswidrigen Verarbeitung (die der bereits durchgeführten vergleichbar ist) zu unterlassen:
–
Die Löschung unrechtmäßig verarbeiteter personenbezogener Daten auf der Grundlage von Art. 17 Abs. 1 Buchst. d DSGVO verhindert nicht nur die Wiederholung einer solchen Verarbeitung, sondern auch jede weitere Verarbeitung (
35
), bisweilen zum Nachteil aller Beteiligten (
36
).
–
Die Einschränkung der Verarbeitung der Daten auf der Grundlage von Art. 18 Abs. 1 Buchst. b DSGVO stellt keine Maßnahme dar, die ausreichenden Schutz vor einer unrechtmäßigen Verarbeitung bietet. Mit einer solchen Maßnahme wird (unter bestimmten Bedingungen) auf Verlangen der betroffenen Person die Verpflichtung des Verantwortlichen zur Löschung der Daten ausgesetzt; dem liegt gerade zugrunde, dass die Verarbeitung unrechtmäßig ist.
57.
Art. 17 DSGVO sieht wörtlich das Recht auf Löschung personenbezogener Daten und das Recht auf Vergessenwerden vor. Art. 17 Abs. 1 DSGVO regelt das Recht der betroffenen Person, die Löschung der sie betreffenden personenbezogenen Daten zu verlangen, sowie die Gründe für die Ausübung dieses Rechts (
37
). Liegen solche Gründe vor, hat der Verantwortliche die Daten „unverzüglich“ zu löschen.
58.
Eine Auslegung von Art. 17 DSGVO dahin gehend, dass er ein anderes Begehren der betroffenen Person als die Löschung der verarbeiteten personenbezogenen Daten erfasst, steht im Widerspruch zum Wortlaut der Bestimmung und entspricht nicht ihrem Zweck.
59.
Diese Auslegung stößt auch auf systematische Schwierigkeiten: Innerhalb von Kapitel III der DSGVO sehen andere Artikel das Recht vor, die Verarbeitung von Daten ohne deren Löschung
einzuschränken (
38
). Würde man Art. 17 DSGVO so verstehen, dass er auch diesem Zweck dient, könnte diesen anderen Artikeln ihre praktische Wirksamkeit genommen werden.
60.
Schließt man diese Auslegung also aus, erscheint es mir nicht logisch, aus Art. 17 DSGVO einen Anspruch auf künftige Unterlassung einer konkreten Verarbeitung personenbezogener Daten durch denselben Verantwortlichen, in dessen Besitz sich diese Daten befanden, abzuleiten. Wenn der Verantwortliche die Anweisung zur Löschung befolgt, stehen ihm die Daten naturgemäß nicht mehr zur Verfügung und er kann sie tatsächlich nicht mehr verarbeiten (
39
).
61.
Ebenso wenig schützt Art. 18 DSGVO das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, dass er die weitere unrechtmäßige Verarbeitung ihrer personenbezogenen Daten, die der bereits erfolgten Verarbeitung entspricht, unterlässt.
62.
Unter der Überschrift „Recht auf Einschränkung der Verarbeitung“ gibt Art. 18 DSGVO der betroffenen Person alternative Befugnisse zu dem Recht, die Löschung ihrer personenbezogenen Daten zu verlangen. Es handelt sich um Befugnisse, die ihr mit einem genauen Inhalt, unter bestimmten Bedingungen und für einen begrenzten Zeitraum übertragen werden. Art. 18 DSGVO ermöglicht es der betroffenen Person außerdem, die Löschung dieser Daten abzulehnen.
63.
Ziel dieser Bestimmung ist es, die Interessen der Person, deren Daten verarbeitet werden, und die des für die Verarbeitung Verantwortlichen in Einklang zu bringen, wenn zwischen ihnen Uneinigkeit darüber besteht, ob diese personenbezogenen Daten berichtigt (Abs. 1 Buchst. a) oder gelöscht (Abs. 1 Buchst. b und c) werden müssen oder welche Gründe im Fall eines Widerspruchs der betroffenen Person gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO überwiegen (Abs. 1 Buchst. d).
64.
Die Ausübung des Rechts auf Einschränkung der Verarbeitung hat zur Folge, dass die „eingeschränkten Daten“ nicht berichtigt oder gelöscht werden (
40
), sondern dass sich die einzig mögliche Verarbeitung auf deren Speicherung (
41
) bzw. Aufbewahrung (
42
) beschränkt. Diese Speicherung ist jedoch im Grunde kein Zugeständnis an den Verantwortlichen, sondern eine Verpflichtung für ihn (
43
), die mit der Verpflichtung einhergeht, geeignete Maßnahmen zu ergreifen, um sie zu gewährleisten (
44
).
65.
Die Einschränkung der Verarbeitung gemäß Art. 18 DSGVO ist vorübergehend; ihre Dauer hängt von der Verwirklichung des Zwecks ab, für den die betroffene Person das Recht auf Einschränkung der Verarbeitung ausübt. Der vorübergehende Charakter ist in den in Art. 18 Abs. 1 Buchst. a (
45
), c (
46
) und d (
47
) DSGVO beschriebenen Situationen nicht fraglich, entspricht aber meines Erachtens auch derjenigen von Art. 18 Abs. 1 Buchst. b DSGVO.
66.
Art. 18 Abs. 1 Buchst. b DSGVO, dessen Bedeutung und Tragweite zugegebenermaßen unklar sind (
48
), muss nämlich in seinem Kontext ausgelegt werden, d. h. im Einklang mit dem übrigen Art. 18 Abs. 1 DSGVO (
49
). In diesem Zusammenhang ist er Teil eines Binoms, das durch Art. 18 Abs. 1 Buchst. c DSGVO ergänzt wird, der sich auf eine rechtmäßige Verarbeitung bezieht, die abgeschlossen ist. Im letztgenannten Fall ist es ebenso wie im Fall einer unrechtmäßigen Verarbeitung nicht gerechtfertigt, dass der Verantwortliche die Daten länger als erforderlich speichert (
50
). Ein dahin gehender Zwang – angesichts der Ablehnung der Löschung dieser Daten durch die betroffene Person – kann nur ein vorübergehender Zustand sein.
67.
Dass in Art. 18 Abs. 1 Buchst. b DSGVO nicht auf die Gründe Bezug genommen wird, aus denen die betroffene Person die Löschung ihrer Daten ablehnt (und stattdessen die Einschränkung ihrer Nutzung verlangt), sollte auch aus systematischen Gründen nicht als unterschiedsloses Zulassen beliebiger Gründe verstanden werden – und erst recht nicht dahin, dass gar keine Gründe erforderlich sind. Vielmehr muss das Recht, die Einschränkung der Verarbeitung gemäß Art. 18 Abs. 1 Buchst. b zu verlangen, einem begründeten und legitimen Zweck entsprechen (
51
).
68.
Die Speicherung personenbezogener Daten stellt für den Verantwortlichen eine Belastung dar, die nicht frei von Risiken ist, und sollte daher nur für einen bestimmten Zeitraum verlangt werden können, wenn die Löschung dieser Daten die berechtigten Interessen der betroffenen Person beeinträchtigen würde.
69.
Ich bin daher der Ansicht, dass sich das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, die wiederholte unrechtmäßige Verarbeitung ihrer personenbezogenen Daten zu unterlassen, auch nicht aus Art. 18 Abs. 1 Buchst. b DSGVO ableiten lässt. Zweck dieser Bestimmung ist es, den Verantwortlichen – vorübergehend und zu einem von der betroffenen Person verfolgten legitimen Zweck – daran zu hindern, die rechtliche Verpflichtung, die ihm aufgrund der Unrechtmäßigkeit obliegt, zu erfüllen, indem er die betreffenden personenbezogenen Daten unverzüglich löscht.
B.
Dritte Vorlagefrage
70.
Die dritte Vorlagefrage wird für den Fall gestellt, dass die erste Vorlagefrage verneint wird. Da meines Erachtens die Art. 5, 6 und 79 DSGVO bei einer Auslegung in dem von mir oben dargelegten Sinne eine hinreichende Grundlage für das Recht der betroffenen Person darstellen, von dem Verantwortlichen zu verlangen, dass er die weitere unrechtmäßige Weiterleitung ihrer personenbezogenen Daten unterlässt, erübrigt es sich, darauf einzugehen, ob dieser Lösungsweg auf der Grundlage von Bestimmungen des nationalen Rechts erreicht werden könnte.
C.
Zweite Vorlagefrage
71.
Die zweite Vorlagefrage beruht auf der Prämisse, dass sich aus der DSGVO ein Anspruch der betroffenen Person darauf ergibt, dass der Verantwortliche eine unrechtmäßige Verarbeitung personenbezogener Daten, die der bereits durchgeführten vergleichbar ist, unterlässt.
72.
Ausgehend von dieser Prämisse möchte das vorlegende Gericht wissen, ob dieser Anspruch davon abhängt, dass eine Wiederholungsgefahr besteht, und, falls dies bejaht wird, ob das Bestehen dieser Gefahr „aufgrund des bereits vorliegenden Verstoßes gegen die DSGVO vermutet [wird]“.
73.
Da die DSGVO die Unterlassungsklagen, mit denen die Wiederholung einer unrechtmäßigen Verarbeitung personenbezogener Daten verhindert werden soll, nicht regelt, ist es gemäß dem Grundsatz der Verfahrensautonomie Sache der einzelnen Mitgliedstaaten, diese zu regeln.
74.
Die entsprechenden Modalitäten dürfen nicht weniger günstig ausgestaltet sein als die für innerstaatliche Rechtsbehelfe (Grundsatz der Äquivalenz) und die Ausübung der durch die Unionsrechtsordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Grundsatz der Effektivität) (
52
).
75.
Aus den Angaben im Vorlagebeschluss geht nicht hervor, dass die nationalen Vorschriften über die Erhebung einer Klage auf Unterlassung einer unrechtmäßigen Verarbeitung personenbezogener Daten gegen diese beiden Grundsätze verstoßen:
–
Auf den ersten Blick sind diese Vorschriften die gleichen wie diejenigen, die das nationale Recht für ähnliche Sachverhalte vorsieht. Der Schutz der Rechte, der dem Einzelnen durch das Unionsrecht eingeräumt wird, ist somit nicht ungünstiger als der Schutz der nach innerstaatlichen Vorschriften bestehenden Rechte.
–
Es ist auch nicht ersichtlich, dass derartige Vorschriften die betroffene Person, die die Klage erhebt, übermäßig belasten würden. Es ist zutreffend, dass die betroffene Person (Kläger) gemäß der üblichen Beweislastverteilung nachweisen muss, dass eine Wiederholungsgefahr seitens des Verantwortlichen besteht. Es spricht jedoch nichts dagegen, dass dem Kläger die widerlegbare Vermutung zugutekommt, dass eine solche Gefahr angesichts des bereits begangenen Verstoßes besteht. Aufgrund dieser Vermutung, die den Gegenbeweis zulässt, ist der Erlass einer Verfügung auf Unterlassung der Wiederholung einer unrechtmäßigen Verarbeitung zulässig, es sei denn, der Verantwortliche weist nach, dass im konkreten Fall keine Wiederholungsgefahr besteht.
D.
Sechste Vorlagefrage
76.
Unter der erneuten Annahme, dass die betroffene Person einen einklagbaren Anspruch auf Unterlassung einer unrechtmäßigen Verarbeitung ihrer personenbezogenen Daten, die der in der Vergangenheit bereits erfolgten vergleichbar ist, hat, bittet das vorlegende Gericht um die Auslegung von Art. 82 Abs. 1 DSGVO.
77.
Es möchte insbesondere wissen, ob „bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens als anspruchsmindernd berücksichtigt werden kann, dass der betroffenen Person neben dem Anspruch auf Schadensersatz ein Unterlassungsanspruch zusteht“.
78.
Aus dem im Vorlagebeschluss zitierten Urteil des Bundesgerichtshofs (
53
) entnehme ich, dass in Deutschland die Geldentschädigung für einen immateriellen Schaden, der aus einer Verletzung des allgemeinen Persönlichkeitsrechts resultiert, mit den Funktionen der Genugtuung des Verletzten wie auch der Prävention verbunden ist. In diesem Zusammenhang könnte sich eine zu Präventionszwecken erlassene Unterlassungsverfügung auf die Entschädigung auswirken, indem sie entweder deren Höhe beeinflusst oder sie sogar ausschließt, sofern eine solche Verfügung bereits den erforderlichen Schutz gewährleistet (
54
).
79.
Nach Ansicht des vorlegenden Gerichts „erscheint fraglich“, „[o]b … diese Grundsätze … auf den Anspruch auf Ersatz immateriellen Schadens nach Art. 82 Abs. 1 DSGVO übertragen werden können“.
80.
Der in Art. 82 Abs. 1 DSGVO vorgesehene Ersatz des Schadens, der durch eine unrechtmäßige Datenverarbeitung entstanden ist, beruht auf einem anderen Verständnis als dem in der sechsten Vorlagefrage anklingenden. Diese Frage ist daher meines Erachtens zu verneinen.
81.
Der in Art. 82 Abs. 1 DSGVO vorgesehene Schadenersatz deckt alle materiellen und immateriellen Schäden wegen eines Verstoßes gegen die DSGVO ab. Der Begriff „immaterieller Schaden“ im Sinne dieser Bestimmung muss eine autonome und einheitliche Definition erhalten (
55
).
82.
Der Gerichtshof hat den Begriff des immateriellen Schadens weit ausgelegt. Er hat insbesondere entschieden, dass „die durch einen Verstoß gegen die DSGVO ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, für sich genommen einen ‚immateriellen Schaden‘ im Sinne von Art. 82 Abs. 1 darstellen kann“ (
56
).
83.
Art. 82 Abs. 1 DSGVO unterscheidet nach dieser Auslegung nicht danach, ob die missbräuchliche Verwendung personenbezogener Daten durch Dritte zum Zeitpunkt des Schadenersatzantrags bereits erfolgt ist oder ob der vom Kläger geltend gemachte immaterielle Schaden mit seiner Angst verknüpft ist, dass eine solche Verwendung in Zukunft erfolgen wird (
57
).
84.
Weist der Verletzte nach, dass er tatsächlich einen Schaden erlitten hat, hat er Anspruch auf einen Schadenersatz, der den Schaden in vollem Umfang ausgleicht (
58
), unabhängig vom Ausmaß des Schadens (
59
).
85.
Nach ständiger Rechtsprechung des Gerichtshofs dient die volle Entschädigung ausschließlich dem Ausgleich. Der Gerichtshof räumt zwar ein, dass das Recht auf Schadenersatz auch geeignet ist, von der Wiederholung unrechtmäßiger Verhaltensweisen abzuschrecken, stellt aber fest, dass der Schadenersatz nach Art. 82 DSGVO keinen Abschreckungs- oder Strafzweck verfolgt (
60
).
86.
Im Licht dieser Rechtsprechung kann Folgendes festgestellt werden:
–
Der Zweck des gemäß Art. 82 DSGVO geforderten oder erlangten Schadenersatzes deckt sich nicht mit dem der Unterlassungsklagen, die erhoben werden, damit der Verantwortliche künftig eine ähnliche rechtswidrige Datenverarbeitung, die der bereits erfolgten vergleichbar ist, nicht wiederholt.
–
Eine Unterlassungsverfügung, die darauf abzielt, die Wiederholung von Handlungen, die einen Schaden verursacht haben, zu verhindern, damit kein weiterer Schaden entsteht, gleicht nicht den bereits entstandenen Schaden aus.
87.
Die Beantragung einer Unterlassungsverfügung, damit es zu keiner Wiederholung einer gegen die DSGVO verstoßenden Datenverarbeitung kommt, setzt voraus, dass eine gewisse Gefahr besteht, dass eine solche unrechtmäßige Verarbeitung künftig wiederholt wird. Wenn die Maßnahme getroffen wird, wird dieses Risiko beseitigt und es wird schwierig sein, eine auf die Möglichkeit einer Wiederholung der unrechtmäßigen Verarbeitung gestützte Befürchtung zu begründen, um erfolgreich Schadenersatz zu fordern. Dagegen wird durch die Unterlassungsverfügung der immaterielle Schaden, der vor ihrem Erlass entstanden ist und der mit dieser Befürchtung verknüpft war, nicht ausgeglichen.
88.
Im Ergebnis kann bei der Bemessung des immateriellen Schadens, der sich aus einer unrechtmäßigen Verarbeitung ergibt und der zu ersetzen ist, weil er bereits eingetreten ist, nicht anspruchsmildernd berücksichtigt werden, dass die betroffene Person neben dem Schadenersatzanspruch auch einen Anspruch auf Unterlassung einer unrechtmäßigen Verarbeitung, die der bereits erfolgten vergleichbar ist, in der Zukunft hat.
V. Ergebnis
89.
Nach alledem schlage ich vor, die erste, die zweite, die dritte und die sechste Vorlagefrage des Bundesgerichtshofs wie folgt zu beantworten:
Art. 5 Abs. 1 Buchst. a, Art. 6 Abs. 1, Art. 79 Abs. 1 und Art. 82 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung)
sind dahin auszulegen, dass
–
der betroffenen Person, deren personenbezogene Daten von dem Verantwortlichen unrechtmäßig offengelegt wurden, gemäß Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 in Verbindung mit Art. 79 Abs. 1 der Verordnung 2016/679 ein Anspruch gegen den Verantwortlichen auf künftige Unterlassung einer erneuten unrechtmäßigen Weiterleitung der Daten, die der bereits erfolgten vergleichbar ist, zusteht.
–
Es ist Sache der nationalen Rechtsordnung, unter Beachtung der Grundsätze der Äquivalenz und der Effektivität die Voraussetzungen für die Erhebung einer gegen den für die Verarbeitung personenbezogener Daten Verantwortlichen gerichteten Unterlassungsklage zu regeln. Es spricht nichts dagegen, für diese Zwecke den Nachweis der Wiederholungsgefahr zu verlangen oder gegebenenfalls eine (widerlegbare) Vermutung einer solchen Gefahr, die sich aus einem früheren Verstoß gegen die Verordnung 2016/679 ergibt, aufzustellen.
–
Gemäß Art. 82 Abs. 1 der Verordnung 2016/679 ist es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens kein anspruchsmindernder Umstand, dass der betroffenen Person neben dem Anspruch auf Schadenersatz auch das Recht zusteht, von dem für die Verarbeitung Verantwortlichen zu verlangen, dass er künftig eine weitere unrechtmäßige Verarbeitung, die der bereits erfolgten vergleichbar ist, unterlässt.
(
1
)	Originalsprache: Spanisch.
(
2
)	Verordnung des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
(
3
)	In Bezug auf Art. 82 Abs. 1 DSGVO vgl. zuletzt Urteile vom 20. Juni 2024, Scalable Capital (C‑182/22 und C‑189/22, EU:C:2024:531), vom 4. Oktober 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, im Folgenden: Urteil Agentsia po vpisvaniyata), und vom 4. Oktober 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, im Folgenden: Urteil Patērētāju tiesību aizsardzības centrs).
(
4
)	Urteile vom 28. April 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, im Folgenden: Urteil Meta Platforms Ireland), und vom 4. Oktober 2024, Lindenapotheke (C‑21/23, EU:C:2024:846). In diesen Fällen wurde die Beendigung einer als unlauter angesehenen Praxis beantragt, weil sie nicht den rechtlichen Anforderungen für die Einholung einer wirksamen Einwilligung der betroffenen Person gemäß der DSGVO entsprach. In beiden Fällen wurde der Schutz personenbezogener Daten durch Unterlassungsklagen auf der Grundlage von Vorschriften zum Schutz der Verbraucher oder zur Bekämpfung unlauterer Geschäftspraktiken verfolgt: Der Verstoß gegen die DSGVO erfüllte den Tatbestand dieser Vorschriften. Die dem Gerichtshof vorgelegten Fragen betrafen die Klagebefugnis der Kläger in den jeweiligen Verfahren.
(
5
)	Im Folgenden: BGB.
(
6
)	In Rn. 10 des Vorlagebeschlusses wird erläutert, dass die Vorschrift in diesem Fall analog auf die Verletzung absoluter Rechte im Sinne von § 823 Abs. 1 BGB oder die Verletzung einer der in § 823 Abs. 2 BGB genannten Vorschriften angewandt würde.
(
7
)	Zur Begründung seiner Schadenersatzforderung führt IP an, dass der erlittene immaterielle Schaden nicht im abstrakten Verlust der Kontrolle über die offengelegten Daten liege, sondern darin, dass es nun mindestens eine weitere Person gebe, die IP selbst und seine – potenziellen wie auch vergangenen – Arbeitgeber kenne und Kenntnis von vertraulichen Umständen habe. Er befürchte, dass die Person, die in derselben Branche wie er arbeite, die in der Nachricht enthaltenen Daten weitergegeben haben könnte oder sich durch ihre Kenntnis einen Vorteil im Wettbewerb um die auf dem Arbeitsmarkt gegebenenfalls verfügbaren Stellen verschafft habe. Er empfinde die Ablehnung seiner Gehaltsvorstellungen als Schmach, die er gegenüber Dritten, insbesondere potenziellen Konkurrenten, nicht offenlegen möchte.
(
8
)	Siehe unten, Nr. 22.
(
9
)	Siehe die Nachweise in den Rn. 21 und 29 des Vorlagebeschlusses.
(
10
)	Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, Rn. 37).
(
11
)	Schriftliche Erklärungen der Kommission, Rn. 11 ff., allerdings ohne ausdrückliche Bezugnahme auf Art. 5 DSGVO.
(
12
)	Nach Art. 1 Abs. 2 DSGVO „schützt [diese Verordnung] die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten“. Die DSGVO kann daher Verpflichtungen in unmittelbarer Beziehung zu diesen natürlichen Personen schaffen, und nicht nur im öffentlichen oder allgemeinen Interesse.
(
13
)	Die imperative Formulierung ist zumindest in diesen Sprachfassungen zu finden: „los datos personales serán“ (spanische Sprachfassung); „personal data shall be“ (englische Sprachfassung); „les données à caractère personnel doivent être“ (französische Sprachfassung); „[p]ersonenbezogene Daten müssen“ (deutsche Sprachfassung).
(
14
)	In Art. 5 Abs. 2 DSGVO heißt es: „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘)“. Um dies nachweisen zu können, muss der Verantwortliche sicherstellen, dass die Verarbeitung rechtmäßig ist. Vgl. Urteil vom 4. Mai 2023, Bundesrepublik Deutschland (Elektronisches Gerichtsfach) (C‑60/22, EU:C:2023:373, Rn. 53 und 54).
(
15
)	Art. 83 Abs. 5 Buchst. a DSGVO.
(
16
)	Siehe zum Vergleich der Verpflichtungen aus den Art. 26 und 30 DSGVO mit jenen aus den Art. 5 und 6 DSGVO Urteil vom 4. Mai 2023, Bundesrepublik Deutschland (Elektronisches Gerichtsfach) (C‑60/22, EU:C:2023:373, Rn. 59 ff.).
(
17
)	Urteil vom 4. Mai 2023, Bundesrepublik Deutschland (Elektronisches Gerichtsfach) (C‑60/22, EU:C:2023:373, Rn. 57): „[J]ede Verarbeitung personenbezogener Daten [muss] mit den in Art. 5 Abs. 1 … DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und die in Art. 6 dieser Verordnung aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen“. Vgl. auch Urteil vom 1. Oktober 2015, Bara u. a. (C‑201/14, EU:C:2015:638), betreffend die der DSGVO vorausgehende Vorschrift, d. h. die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31). Die Rechtmäßigkeit der Verarbeitung wurde in Art. 6 der Richtlinie 95/46 unter den „Grundsätze[n] in Bezug auf die Qualität der Daten“ aufgeführt, und die Grundlagen für die Rechtmäßigkeit in Art. 7 der Richtlinie 95/46 als „Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten“.
(
18
)	Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, Rn. 77, mit weiteren Nachweisen).
(
19
)	Ebd.
(
20
)	Unter der Richtlinie 95/46 stellte sich die Situation bei anderen Konkretisierungen – in Gestalt der Rechte der betroffenen Person – der Grundsätze der Verarbeitung personenbezogener Daten anders dar. Einige der mit diesen Grundsätzen verbundenen Rechte waren bereits in der Richtlinie 95/46 zu finden, und sie werden durch die DSGVO präzisiert, wie im neunten Erwägungsgrund der DSGVO erläutert wird. Andere Rechte waren in dieser Richtlinie nicht enthalten, und ihre Aufnahme in die DSGVO stieß auf Widerstand, vor allem wegen der Notwendigkeit, sie gegen andere Rechte abzuwägen: Dies gilt insbesondere für das Recht auf Löschung personenbezogener Daten in Form des „Rechts auf Vergessenwerden“.
(
21
)	Art. 12 Abs. 2 DSGVO.
(
22
)	Der Gerichtshof hat aus diesen Feststellungen weitere Konsequenzen gezogen, die in der DSGVO nicht ausdrücklich vorgesehen sind: vgl. in diesem Sinne Urteile Meta Platforms Ireland und vom 4. Oktober 2024, Lindenapotheke (C‑21/23, EU:C:2024:846), zur Klagebefugnis vor den Zivilgerichten nach Kapitel VIII der DSGVO.
(
23
)	In Art. 79 Abs. 1 DSGVO wird hervorgehoben, dass das Recht auf einen gerichtlichen Rechtsbehelf „unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde …“, anerkannt wird. Vgl. auch Urteile Meta Platforms Ireland (Rn. 54) und vom 12. Januar 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, Rn. 34, 35 und 42).
(
24
)	Als weiteres Argument erinnere ich daran, dass die Mitgliedstaaten gemäß Art. 80 Abs. 2 DSGVO vorsehen können, dass bestimmte Einrichtungen die in Art. 79 DSGVO aufgeführten Rechte ohne Auftrag der betroffenen Personen in Anspruch nehmen können. Die Maßnahmen dieser Einrichtungen haben oft eine präventive Funktion. Die Auffassung, dass Art. 79 Abs. 1 diese Art von Schutz nicht enthält, würde diese Bestimmung (und den bereits erwähnten Art. 80 Abs. 2 DSGVO) eines Großteils ihres Inhalts berauben.
(
25
)	Urteile vom 20. Juni 2024, Scalable Capital (C‑182/22 und C‑189/22, EU:C:2024:531, Rn. 23), Agentsia po vpisvaniyata (Rn. 153) und Patērētāju tiesību aizsardzības centrs (Rn. 40 ff.). Der Gerichtshof hat anerkannt, dass das Recht jeder Person, den Ersatz eines Schadens gemäß Art. 82 DSGVO zu verlangen, „die Durchsetzungskraft der in dieser Verordnung vorgesehenen Schutzvorschriften erhöht und geeignet ist, von der Wiederholung rechtswidriger Verhaltensweisen abzuschrecken“: Urteile vom 4. Mai 2023, Österreichische Post (Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten) (C‑300/21, EU:C:2023:370, Rn. 40), vom 11. April 2024, juris (C‑741/21, EU:C:2024:288, Rn. 59), und vom 20. Juni 2024, Scalable Capital (C‑182/22 und C‑189/22, EU:C:2024:531, Rn. 22). Er schließt jedoch aus, dass der eigentliche Zweck der Vorschrift darin besteht, die künftige unrechtmäßige Verarbeitung zu verhindern.
(
26
)	Schriftliche Erklärungen von Quirin, Rn. 1 a. E.
(
27
)	Hervorhebung nur hier. Es handelte sich um Art. 76 Abs. 5 des Vorschlags für [eine] Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz‑Grundverordnung), KOM(2012) 11 endgültig, mit dem Art. 18 Abs. 1 der Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates vom 8. Juni 2000 über bestimmte rechtliche Aspekte der Dienste der Informationsgesellschaft, insbesondere des elektronischen Geschäftsverkehrs, im Binnenmarkt („Richtlinie über den elektronischen Geschäftsverkehr“) (ABl. 2000, L 178, S. 1), übernommen wurde. Das Parlament hat keine Änderungen zu diesem Punkt vorgeschlagen.
(
28
)	Schriftliche Erklärungen von Quirin, Nr. 1 a. E.
(
29
)	Alternative, von Quirin angeführte und abgelehnte Erklärung, ebd.
(
30
)	Art. 75 regelte die Klagebefugnis der betroffenen Person, die internationale Gerichtszuständigkeit, das Zusammentreffen von Gerichts- und Verwaltungsverfahren im Rahmen des Kohärenzverfahrens sowie die Vollstreckung gerichtlicher Entscheidungen anderer Mitgliedstaaten. Art. 76 regelte die Klagebefugnis von Einrichtungen, deren Zweck es ist, die Rechte und Interessen betroffener Personen in Bezug auf den Schutz ihrer personenbezogenen Daten zu schützen, sowie die Klagebefugnis von Aufsichtsbehörden, die Kommunikation zwischen Gerichten verschiedener Mitgliedstaaten, das Zusammentreffen von Verfahren in zwei oder mehr Mitgliedstaaten und den Zweck der Schutzmaßnahmen.
(
31
)	Dieser Begriff tauchte dagegen in dem Vorschlag nicht auf, der sich darauf beschränkte, auf das rasche Erwirken von Maßnahmen zu verweisen.
(
32
)	Diese Präzisierung geht aus der Frage des vorlegenden Gerichts selbst hervor.
(
33
)	Diese Präzisierung ist in Rn. 21 des Vorlagebeschlusses enthalten.
(
34
)	Zuweilen wird die Ausübung der Rechte auf Löschung oder Einschränkung der Verarbeitung nicht oder nicht vollumfänglich möglich sein: vgl. Art. 17 Abs. 3 (erforderliche Verarbeitung für bestimmte Zwecke) und Art. 23 DSGVO. In die gleiche Richtung geht Art. 18 Abs. 2 DSGVO, in dem es um die Verarbeitung von Daten im Interesse anderer Personen als der betroffenen Person oder im öffentlichen Interesse geht. Es ist logischerweise nicht möglich, ein Verbot der nach diesen Bestimmungen zulässigen Verarbeitungen oder eine Unterlassungsverfügung hinsichtlich dieser Verarbeitungen zu erwirken.
(
35
)	Die Speicherung der zu löschenden personenbezogenen Daten durch den für die Verarbeitung Verantwortlichen stellt eine Ausnahme dar: vgl. Art. 17 Abs. 3 und 65. Erwägungsgrund der DSGVO. In der Regel beinhaltet die Verpflichtung zur Löschung bestimmter Daten auch deren Vernichtung.
(
36
)	In einer „gemischten“ Situation, in der dieselben Daten sowohl rechtmäßig als auch unrechtmäßig verarbeitet werden, kann die Beibehaltung der rechtmäßigen Verarbeitung nicht nur im Interesse des Verantwortlichen, sondern auch im Interesse der betroffenen Person liegen. Im vorliegenden Fall kann beispielsweise davon ausgegangen werden, dass die (rechtmäßige) Verarbeitung der personenbezogenen Daten von IP in seinem Interesse liegt, da er ohne diese Verarbeitung tatsächlich nicht in der Lage wäre, an dem Bewerbungsprozess von Quirin teilzunehmen.
(
37
)	Dazu gehört, dass die personenbezogenen Daten unrechtmäßig verarbeitet wurden: Art. 17 Abs. 1 Buchst. d DSGVO.
(
38
)	So die Art. 18 (Recht auf Einschränkung der Verarbeitung) oder 21 (Widerspruchsrecht) DSGVO.
(
39
)	Siehe oben, Fn. 35. Art. 17 Abs. 1 des Vorschlags der Kommission räumte der betroffenen Person das Recht ein, „von dem für die Verarbeitung Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten … zu verlangen“ und ferner „die Unterlassung jeglicher weiteren Verbreitung dieser Daten“. Dieser Einschub wurde von einigen Delegationen der Mitgliedstaaten als „meaningless“ bezeichnet, denen sich auch die Ratspräsidentschaft anschloss, da eine Verbreitung der Daten nach deren Löschung nicht mehr möglich ist: vgl. Mitteilung der Ratspräsidentschaft an die Datenschutzgruppe, Dokument 16529/12 vom 4. Dezember 2012, Fn. 245. Auch Art. 17 Abs. 8 wurde für überflüssig erachtet, in dem es hieß: „Wird eine Löschung vorgenommen, darf der für die Verarbeitung Verantwortliche die personenbezogenen Daten nicht auf sonstige Weise verarbeiten“: ebd., Fn. 270.
(
40
)	Vorübergehend: vgl. die folgenden Nummern dieser Schlussanträge.
(
41
)	Art. 18 Abs. 2 DSGVO. Sobald die Verarbeitung gemäß Art. 18 Abs. 1 DSGVO eingeschränkt wird und bis zur Aufhebung der Einschränkung ist jede andere Verarbeitung der betreffenden personenbezogenen Daten als deren Speicherung eine Ausnahme und hängt vom Vorliegen eines der in Art. 18 Abs. 2 DSGVO genannten Gründe ab.
(
42
)	In der spanischen Sprachfassung: conservación. In einigen Sprachfassungen der DSGVO wird ein Begriff verwendet, der dem Begriff „almacenamiento“ entspricht, so zum Beispiel in der englischen („storage“) und in der deutschen („Speicherung“) Sprachfassung. In Art. 12 Buchst. b der Richtlinie 95/46 wurde der Begriff „Sperrung“ verwendet, ebenso wie in Art. 15 Abs. 1 Buchst. c der Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (ABl. 2001, L 8, S. 1). All diese Begriffe vermitteln den Eindruck des „Einfrierens“ personenbezogener Daten.
(
43
)	Besonders deutlich wird dies im Fall der unter Buchst. b und c dargelegten Umstände.
(
44
)	Die Speicherung umfasst nicht nur das Speichern der Daten, sondern auch technische Vorgänge wie die Markierung (die gemäß Art. 4 Nr. 3 DSGVO die Definition der „Einschränkung der Verarbeitung“ ist) oder die im 67. Erwägungsgrund der DSGVO beschriebenen Vorgänge, die es ermöglichen, die betroffenen Daten zu erkennen, sie zu isolieren und vor jeglicher Verarbeitung zu schützen.
(
45
)	„… und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen“.
(
46
)	Solange die betroffene Person die Daten „zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen“ benötigt.
(
47
)	„… solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen“.
(
48
)	Die in dieser Hinsicht geäußerten Zweifel haben dazu geführt, dass dieser Punkt des Vorschlags der Kommission, den das Parlament nicht in Frage gestellt hat, bei den Verhandlungen im Rat zunächst in Klammern gesetzt wurde (vgl. Mitteilung der Ratspräsidentschaft an die Datenschutzgruppe, Dokument 16529/12 vom 4. Dezember 2012, Fn. 275) und später ohne Weiteres entfallen ist. Seine spätere erneute Aufnahme durch die Delegationen erklärt sich (meines Erachtens auf fragwürdige Weise) damit, dass die darin vorgesehene Möglichkeit den Schutz der betroffenen Person erhöht, „without entailing additional administrative burden on controllers“: Mitteilung der Ratspräsidentschaft an die Delegationen zur Vorbereitung des Trilogs, Dokument 11696/15 vom 4. September 2015, S. 9, in dem die Delegationen ebenfalls aufgefordert werden, „to show flexibility on this point“.
(
49
)	Eine Art. 18 Abs. 1 Buchst. b DSGVO ähnliche Bestimmung gab es bereits in der Richtlinie 95/46; ebenso in Art. 15 Abs. 1 Buchst. c der Verordnung Nr. 45/2001. Eine weitgehend gleichlautende Bestimmung findet sich in Art. 20 Abs. 1 Buchst. b der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. 2018, L 295, S. 39). Diese Bestimmungen wurden vom Gerichtshof nicht ausgelegt und werfen meines Erachtens die gleichen Zweifel auf wie die Bestimmung der DSGVO und sind daher für das Verständnis dieser Bestimmung nicht hilfreich.
(
50
)	39. Erwägungsgrund und Art. 5 Abs. 1 Buchst. e DSGVO. Vgl. auch Urteil vom 20. Oktober 2022, Digi (C‑77/21, EU:C:2022:805, Rn. 53): „[D]er Grundsatz der ‚Speicherbegrenzung‘ verlangt, dass der Verantwortliche in der Lage ist, gemäß dem Grundsatz der Rechenschaftspflicht … nachzuweisen, dass die personenbezogenen Daten nur so lange gespeichert werden, wie es für die Erreichung der Zwecke, für die sie erhoben oder weiterverarbeitet wurden, erforderlich ist.“
(
51
)	Dazu würde meines Erachtens der Zweck zählen, eine unrechtmäßige Verarbeitung nachzuweisen: Art. 18 Abs. 1 Buchst. b und c DSGVO hätten ähnliche Ziele, aber einen unterschiedlichen Ausgangspunkt (Unrechtmäßigkeit der Verarbeitung in Buchst. b und Rechtmäßigkeit der Verarbeitung in Buchst. c).
(
52
)	Urteil vom 12. Januar 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, Rn. 45 ff.).
(
53
)	Rn. 43 des Vorlagebeschlusses. Es handelt sich um das Urteil vom 22. Februar 2022 (VI ZR 1175/20, ECLI:DE:BGH:2022:220222UVIZR1175.20.0).
(
54
)	Urteil des Bundesgerichtshofs vom 22. Februar 2022 (VI ZR 1175/20, ECLI:DE:BGH:2022:220222UVIZR1175.20.0, Rn. 44 und 51).
(
55
)	Urteil vom 20. Juni 2024, PS (Fehlerhafte Anschrift) (C‑590/22, EU:C:2024:536, Rn. 31).
(
56
)	Urteile vom 20. Juni 2024, PS (Fehlerhafte Anschrift) (C‑590/22, EU:C:2024:536, Rn. 32), und Agentsia po vpisvaniyata (Rn. 144).
(
57
)	Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986, Rn. 79 und 80).
(
58
)	Urteil Patērētāju tiesību aizsardzības centrs (Rn. 36 und 37).
(
59
)	Urteil Agentsia po vpisvaniyata (Rn. 150).
(
60
)	Siehe oben, Fn. 25. Die Höhe der Entschädigung in Geld muss dem Schaden entsprechen, den die betroffene Person tatsächlich erlitten hat, ohne diesen zu überschreiten oder zu unterschreiten: Urteile vom 20. Juni 2024, PS (Fehlerhafte Anschrift) (C‑590/22, EU:C:2024:536, Rn. 41), und Patērētāju tiesību aizsardzības centrs (Rn. 43 und 44). Der Schweregrad des Verstoßes gegen die DSGVO und dessen etwaige Vorsätzlichkeit (Urteil Patērētāju tiesību aizsardzības centrs, Rn. 42), die Haltung und die Beweggründe des Verantwortlichen (ebd., Rn. 44) oder der Umstand, dass er mehrere Verstöße gegenüber derselben betroffenen Person begangen hat (Urteil vom 11. April 2024, juris, C‑741/21, EU:C:2024:288, Rn. 64), bleiben unberücksichtigt.