62023CJ0655_RES
Rechtssache C‑655/23
IP
gegen
Quirin Privatbank AG
(Vorabentscheidungsersuchen des Bundesgerichtshofs)
Urteil des Gerichtshofs (Vierte Kammer) vom 4. September 2025
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Rechte der betroffenen Person – Art. 17 – Recht auf Löschung von Daten – Art. 18 – Recht auf Einschränkung der Verarbeitung – Art. 79 – Recht auf einen wirksamen gerichtlichen Rechtsbehelf – Unrechtmäßige Verarbeitung personenbezogener Daten – Rechtsbehelf mit dem Ziel, dem Verantwortlichen aufzuerlegen, künftig jede weitere unrechtmäßige Verarbeitung zu unterlassen – Grundlage – Voraussetzungen – Art. 82 Abs. 1 – Schadensersatzanspruch – Begriff ‚immaterieller Schaden‘ – Bemessung des Schadensersatzes – Mögliche Berücksichtigung des Grades des Verschuldens des Verantwortlichen – Mögliche Auswirkungen einer erwirkten ‚Unterlassungsanordnung‘“
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Rechtsbehelfe – Verpflichtung der Mitgliedstaaten, einen Rechtsbehelf vorzusehen, der es ermöglicht, dem Verantwortlichen aufzuerlegen, eine erneute unrechtmäßige Verarbeitung zu unterlassen – Fehlen – Nationale Regelung, die die Einlegung eines solchen Rechtsbehelfs in der nationalen Rechtsordnung zulässt – Zulässigkeit
(Charta der Grundrechte der Europäischen Union, Art. 8 Abs. 1 und 2; Verordnung 2016/679 des Europäischen Parlaments und des Rates, Erwägungsgründe 1, 10 und 11 sowie Art. 1, Art. 4 Nr. 1 und Art. 5, 6, 17, 18 sowie 77 bis 79)
(vgl. Rn. 38-52, Tenor 1)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Haftung und Recht auf Schadensersatz – Anspruch auf Ersatz des entstandenen Schadens – Immaterieller Schaden – Begriff – Negative Gefühle, die die betroffene Person infolge einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten empfindet – Einbeziehung – Voraussetzungen – Notwendigkeit, das Bestehen solcher Gefühle und ihre negativen Folgen aufgrund des Verstoßes gegen diese Verordnung nachzuweisen
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Erwägungsgründe 1, 10, 75, 85 und 146 sowie Art. 1 und Art. 82 Abs. 1)
(vgl. Rn. 55, 56, 58-64, Tenor 2)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Haftung und Recht auf Schadensersatz – Anspruch auf Ersatz des entstandenen Schadens – Bestimmung der Höhe und der Form des Schadensersatzes – Nationale Regelung, die es zulässt, den Grad des Verschuldens des Verantwortlichen bei der Bemessung der Höhe eines immateriellen Schadens zu berücksichtigen – Unzulässigkeit
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, 146. Erwägungsgrund sowie Art. 82 und 83)
(vgl. Rn. 66, 67, 69-73, Tenor 3)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Haftung und Recht auf Schadensersatz – Anspruch auf Ersatz des entstandenen Schadens – Bestimmung der Höhe und der Form des Schadensersatzes – Berücksichtigung einer Anordnung, die Wiederholung eines Verstoßes gegen diese Verordnung zu unterlassen, um die finanzielle Entschädigung für einen immateriellen Schaden zu mindern oder auszuschließen – Unzulässigkeit
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 82)
(vgl. Rn. 77-79, 81-83, Tenor 4)
Zusammenfassung
Der mit einem Vorabentscheidungsersuchen des Bundesgerichtshofs (Deutschland) befasste Gerichtshof präzisiert den Umfang der Rechte, die der betroffenen Person von verschiedenen Bestimmungen der DSGVO (
1
) im Fall der unrechtmäßigen Verarbeitung ihrer personenbezogenen Daten verliehen werden.
IP befand sich bei der Quirin Privatbank, einer Gesellschaft deutschen Rechts, in einem Bewerbungsprozess, der über ein Online-Karrierenetzwerk stattfand. Im Zuge dessen versandte eine Mitarbeiterin dieser Gesellschaft über den Messenger-Dienst des Netzwerks eine nur für IP bestimmte Nachricht, in der sie ihn von der Ablehnung seiner Gehaltsvorstellungen in Kenntnis setzte und ihm eine andere Vergütung anbot, an eine dritte, nicht am Bewerbungsprozess beteiligte Person. Dieser Dritte, der zuvor mit IP gearbeitet hatte, leitete die Nachricht an IP weiter und fragte, ob er auf Stellensuche sei.
IP erhob Klage vor dem Landgericht Darmstadt (Deutschland), mit der er beantragte, die Quirin Privatbank zu verurteilen, zum einen jede Verarbeitung personenbezogener Daten im Zusammenhang mit seiner Bewerbung zu unterlassen, wenn dadurch die unbefugte Offenlegung dieser Daten wiederholt wird, und ihm zum anderen Schadensersatz für den entstandenen immateriellen Schaden zu zahlen. Das erstinstanzliche Gericht gab diesen Anträgen statt.
Auf die von der Quirin Privatbank beim Oberlandesgericht Frankfurt (Deutschland) eingelegte Berufung hin wurde dieses Urteil insofern teilweise abgeändert, als der Antrag auf Schadensersatz abgewiesen wurde. Nach Auffassung dieses Gerichts hatte IP nämlich den Nachweis eines konkreten Schadens nicht erbracht, und selbst bei Unterstellung einer von ihm erlebten Schmach sei diese nicht als immaterieller Schaden zu bewerten.
IP und die Quirin Privatbank legten beim Bundesgerichtshof (Deutschland), dem vorlegenden Gericht, Revision ein.
Da das oberste Gericht Zweifel an der Auslegung mehrerer Bestimmungen der DSGVO hat, hat es den Gerichtshof zur Reichweite der Rechtsbehelfe, zum Umfang des Anspruchs auf Ersatz des entstandenen Schadens und zu den Kriterien, anhand deren der zu ersetzende immaterielle Schaden bemessen werden kann, befragt.
Würdigung durch den Gerichtshof
Als Erstes hat sich der Gerichtshof dazu zu äußern, ob die Bestimmungen der DSGVO zugunsten der von der unrechtmäßigen Verarbeitung personenbezogener Daten betroffenen Person, die nicht die Löschung dieser Daten beantragt, einen gerichtlichen Rechtsbehelf vorsehen, der es ihr ermöglicht, präventiv zu erwirken, dass dem Verantwortlichen auferlegt wird, künftig eine erneute unrechtmäßige Verarbeitung zu unterlassen, und ob diese Bestimmungen, sollte dies verneint werden, die Mitgliedstaaten daran hindern, einen solchen Rechtsbehelf in ihren jeweiligen Rechtsordnungen vorzusehen.
Insoweit weist er darauf hin, dass die DSGVO keine Bestimmungen enthält, die ausdrücklich oder implizit vorsehen, dass die betroffene Person über ein Recht verfügt, präventiv im Wege einer Klage zu verlangen, dass der für die Verarbeitung personenbezogener Daten Verantwortliche verpflichtet wird, einen künftigen Verstoß gegen die Bestimmungen dieser Verordnung, insbesondere in Form der Wiederholung einer rechtswidrigen Verarbeitung, zu unterlassen.
Außerdem verpflichtet keine der Bestimmungen dieser Verordnung, die Rechtsbehelfe betreffen (
2
), die Mitgliedstaaten, einen präventiven Rechtsbehelf zu schaffen. Insbesondere verpflichtet Art. 79 Abs. 1 DSGVO, in dem das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche niedergelegt ist, die Mitgliedstaaten nicht, einen speziellen Rechtsbehelf vorzusehen, der es ermöglicht, mittels einer präventiven Klage eine Unterlassungsanordnung zu erwirken.
In Anbetracht insbesondere des Umstands, dass in der DSGVO das Recht jeder betroffenen Person auf einen wirksamen gerichtlichen Rechtsbehelf – wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden – „unbeschadet“ jeglichen anderen verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs anerkannt wird, geht der Gerichtshof jedoch davon aus, dass die Mitgliedstaaten nicht daran gehindert sind, einen solchen präventiven Rechtsbehelf mit dem Ziel vorzusehen, dem Verantwortlichen aufzuerlegen, jede weitere Verletzung der Rechte, die die DSGVO der betroffenen Person verleiht, zu unterlassen.
Insoweit weist der Gerichtshof darauf hin, dass mehrere Bestimmungen der DSGVO den Mitgliedstaaten ausdrücklich die Möglichkeit eröffnen, zusätzliche – strengere oder einschränkende – nationale Vorschriften vorzusehen, die ihnen ein Ermessen hinsichtlich der Art und Weise der Durchführung dieser Bestimmungen lassen („Öffnungsklauseln“). In diesem Zusammenhang führt er aus, dass zwar die Bestimmungen der DSGVO, die die Rechtsbehelfe betreffen, nicht speziell eine solche Öffnungsklausel enthalten, dass der Unionsgesetzgeber jedoch keine umfassende Harmonisierung der bei einem Verstoß gegen die Bestimmungen dieser Verordnung zur Verfügung stehenden Rechtsbehelfe vornehmen wollte und insbesondere eine solche präventive Rechtsbehelfsmöglichkeit nicht ausgeschlossen hat.
Diese Auslegung wird durch die mit der DSGVO verfolgten Ziele bestätigt. Die Möglichkeit für die betroffene Person, Klage gegen den Verantwortlichen auf künftige Unterlassung eines Verstoßes gegen die materiellen Bestimmungen der DSGVO zu erheben, kann nämlich deren praktische Wirksamkeit verstärken und damit das hohe Schutzniveau für die betroffenen Personen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten verbessern.
Daraus schließt der Gerichtshof, dass die DSGVO dem nicht entgegensteht, dass ein Rechtsbehelf zur Erwirkung einer Anordnung, mit der eine etwaige Begehung eines Verstoßes gegen die materiellen Bestimmungen dieser Verordnung – insbesondere durch eine potenzielle Wiederholung einer unrechtmäßigen Verarbeitung – verhindert werden kann, nach den Bestimmungen des Rechts eines Mitgliedstaats, die vor dem angerufenen nationalen Gericht anwendbar wären, zur Verfügung steht.
Als Zweites erläutert der Gerichtshof den Begriff „immaterieller Schaden“, der der betroffenen Person nach der DSGVO (
3
) einen Anspruch auf Schadensersatz gegen den Verantwortlichen eröffnet.
In diesem Rahmen weist er darauf hin, dass Art. 82 Abs. 1 DSGVO betreffend das Recht auf Schadensersatz einer nationalen Regelung oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Erheblichkeit erreicht hat. Diese Bestimmung verlangt nicht, dass der von der betroffenen Person geltend gemachte immaterielle Schaden eine „Bagatellgrenze“ überschreiten muss, damit dieser Schaden ersatzfähig ist (
4
).
Außerdem stellt er fest, dass Situationen wie die im Ausgangsverfahren geltend gemachten, die in einer „Rufschädigung“ infolge einer Verletzung personenbezogener Daten oder in einem „Verlust der Kontrolle“ über solche Daten bestehen, ausdrücklich unter den in der DSGVO aufgezählten Beispielen für mögliche Schäden aufgeführt sind (
5
).
Ferner weist er darauf hin, dass die von der betroffenen Person empfundene Befürchtung, ihre personenbezogenen Daten würden infolge eines Verstoßes gegen die DSGVO in Zukunft missbräuchlich verwendet, für sich genommen einen „immateriellen Schaden“ darstellen kann, sofern diese Befürchtung samt ihrer negativen Folgen ordnungsgemäß nachgewiesen ist, was zu prüfen Sache des angerufenen nationalen Gerichts ist (
6
).
Somit erkennt der Gerichtshof an, dass die vom vorlegenden Gericht erwähnten Gefühle, insbesondere Sorge oder Ärger, auch wenn sie im Übrigen Teil des allgemeinen Lebensrisikos sein können, einen „immateriellen Schaden“ im Sinne der DSGVO darstellen können, sofern die betroffene Person nachweist, dass sie solche Gefühle samt ihrer negativen Folgen gerade aufgrund des in Rede stehenden Verstoßes gegen die DSGVO empfindet, wie etwa einer unbefugten Übermittlung ihrer personenbezogenen Daten an einen Dritten, die das Risiko einer missbräuchlichen Verwendung dieser Daten birgt; dies zu prüfen ist Sache der angerufenen nationalen Gerichte.
Diese Auslegung steht im Einklang mit dem Wortlaut von Art. 82 Abs. 1 DSGVO im Licht ihrer Erwägungsgründe 85 und 146, wonach der Begriff „immaterieller Schaden“ weit zu verstehen ist, und wird durch das Ziel dieser Verordnung gestützt, das darin besteht, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten.
Als Drittes stellt der Gerichtshof fest, dass Art. 82 Abs. 1 DSGVO betreffend das Recht auf Schadensersatz dahin auszulegen ist, dass er dem entgegensteht, dass der Grad des Verschuldens des Verantwortlichen bei der Bemessung der Höhe des nach dieser Bestimmung geschuldeten Ersatzes eines immateriellen Schadens berücksichtigt wird.
Insoweit weist er darauf hin, dass die nationalen Gerichte in Anbetracht der ausschließlich ausgleichenden Funktion des Schadensersatzanspruchs verpflichtet sind, einen „vollständigen und wirksamen“ Schadensersatz für den erlittenen Schaden sicherzustellen, ohne dass ein solcher vollumfänglicher Ausgleich die Verhängung von Strafschadensersatz erfordert (
7
).
Diese ausschließlich ausgleichende Funktion des Schadensersatzanspruchs nach der DSGVO schließt es aus, dass der Schweregrad und die etwaige Vorsätzlichkeit des Verstoßes gegen diese Verordnung, den der Verantwortliche begangen hat, für den Ersatz eines Schadens auf dieser Grundlage berücksichtigt werden. Somit dürfen die Haltung und die Beweggründe des Verantwortlichen nicht berücksichtigt werden, um der betroffenen Person gegebenenfalls einen Schadensersatz zu gewähren, der geringer ist als der Schaden, der ihr konkret entstanden ist – sei es hinsichtlich der Höhe oder der Form dieses Schadensersatzes.
Als Viertes und Letztes stellt der Gerichtshof fest, dass Art. 82 Abs. 1 DSGVO dem entgegensteht, dass der Umstand, dass die betroffene Person nach dem anwendbaren nationalen Recht eine Anordnung – die dem Verantwortlichen entgegengehalten werden kann – erwirkt hat, die Wiederholung eines Verstoßes gegen diese Verordnung zu unterlassen, in der Form berücksichtigt wird, dass dadurch der Umfang der nach dieser Bestimmung geschuldeten finanziellen Entschädigung für einen immateriellen Schaden gemindert wird oder diese Entschädigung sogar ersetzt wird.
Der Gerichtshof weist darauf hin, bereits anerkannt zu haben, dass in den sich aus dem Grundsatz der Effektivität ergebenden Grenzen bestimmte Umstände die Bemessung des nach Art. 82 DSGVO geschuldeten Schadensersatzes beeinflussen können, insbesondere dahin, dass dieser Schadensersatz beschränkt wird. Eine im anwendbaren nationalen Recht vorgesehene Form des Schadensersatzes kann jedoch nur dann als mit der DSGVO vereinbar angesehen werden, wenn sie geeignet ist, einen vollständigen und wirksamen Schadensersatz für den von der betroffenen Person erlittenen Schaden zu gewährleisten. Insbesondere kann ein nach Art. 82 DSGVO geschuldeter Schadensersatz nicht ganz oder teilweise in Form einer Unterlassungsanordnung zugesprochen werden, da der Schadensersatzanspruch eine ausschließlich ausgleichende Funktion erfüllt, während eine Unterlassungsanordnung gegenüber dem Schädiger eine rein präventive Zielsetzung hat.
(
1
)	Art. 17, 18, 79 und 82 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
(
2
)	Kapitel VIII („Rechtsbehelfe, Haftung und Sanktionen“) DSGVO mit u. a. den Art. 77 bis 79 DSGVO.
(
3
)	Art. 82 Abs. 1 DSGVO.
(
4
)	Vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post (Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten) (C‑300/21, EU:C:2023:370, Rn. 51), und vom 4. Oktober 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, Rn. 147 und 149).
(
5
)	Vgl. Erwägungsgründe 75 und 85 der DSGVO.
(
6
)	Vgl. in diesem Sinne Urteile vom 20. Juni 2024, PS (Fehlerhafte Anschrift) (C‑590/22, EU:C:2024:536, Rn. 32, 35 und 36), sowie vom 4. Oktober 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, Rn. 143, 144 und 155 sowie die dort angeführte Rechtsprechung).
(
7
)	Vgl. in diesem Sinne Urteile vom 4. Mai 2023, Österreichische Post (Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten) (C‑300/21, EU:C:2023:370, Rn. 57 und 58), und vom 4. Oktober 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, Rn. 34).