Privacy Litigation – DSGVO-Klagen & Bußgeldverfahren

In der Praxis sind datenschutzrechtliche Streitlagen selten isoliert. Häufig stehen am Anfang ein Sicherheitsvorfall, eine eskalierte Betroffenenanfrage, interne Unstimmigkeiten über Rollen und Verantwortlichkeiten, eine Presseanfrage, ein Hinweis aus dem Markt oder eine Beschwerde bei der Behörde. Kippt der Fall dann in ein Anspruchsschreiben, eine Anhörung, ein Bußgeldverfahren oder in gerichtlichen Rechtsschutz, verschiebt sich der Schwerpunkt von der Prävention zur Verfahrenssteuerung.

Für Unternehmen ist das besonders heikel, weil Datenschutzkonflikte fast immer mehrere Ebenen gleichzeitig betreffen: Rechtsabteilung, Geschäftsführung, Informationssicherheit, Kommunikation, Personal, Produkt und externe Dienstleister. Genau dort entscheidet sich, ob ein Fall eingegrenzt wird oder sich zu einer kostenintensiven, reputationssensiblen Auseinandersetzung entwickelt.

Wer mit Schadensersatzforderungen konfrontiert ist, sollte weder reflexhaft abwehren noch vorschnell nachgeben. Der Gerichtshof der Europäischen Union hat klargestellt, dass ein bloßer Verstoß gegen die Datenschutz-Grundverordnung für sich genommen nicht ausreicht. Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang. Gleichzeitig gibt es keinen starren Bagatellvorbehalt, auf den Unternehmen sich verlassen könnten.

In der Praxis geht es deshalb um sehr konkrete Fragen: Welcher Schaden wird überhaupt behauptet, worin soll der Kontrollverlust liegen, wie belastbar ist die Kausalität, welche technischen und organisatorischen Maßnahmen bestanden tatsächlich, was wurde dokumentiert und welche Kommunikation ist nach außen bereits erfolgt. Genau an diesen Punkten entscheidet sich häufig, ob aus einem Einzelfall eine teure Serienlage wird.

Vertiefend relevant sind bei ITMR insbesondere DSGVO-Schadensersatz, der Beitrag zur Rechtsprechungsübersicht zu Artikel 82 Datenschutz-Grundverordnung, die Einordnung zu fehlgeleiteten Gehaltsdaten und der Beitrag zu Art und Umfang des Schadensersatzes.

Gerade in konfliktgeladenen Situationen wird das Auskunftsrecht nach Artikel 15 Datenschutz-Grundverordnung häufig nicht rein informationsbezogen genutzt, sondern als Druckmittel, Vorbereitung eines Schadensersatzanspruchs, Instrument für arbeitsrechtliche Auseinandersetzungen oder Hebel in laufenden Vertrags- und Wettbewerbsstreitigkeiten. Das macht die Bearbeitung nicht unzulässig, aber deutlich riskanter.

Für Unternehmen ist entscheidend, ob Fristen, Identitätsprüfung, Datenquellen, Drittbezüge und Beschränkungsgründe beherrscht werden. Wer unstrukturiert antwortet, Inhalte zu weit herausgibt oder ersichtlich lückenhaft bleibt, verschlechtert regelmäßig die spätere Position gegenüber Anspruchstellern und Datenschutzaufsichtsbehörden. Deshalb sollte die Bearbeitung eng mit Dokumentation und Verfahrensstrategie verzahnt sein.

Schreiben einer Datenschutzaufsichtsbehörde betreffen häufig mehr als reine Auskunftspflichten. Es kann um Kooperation, Stellungnahmen, Akteneinsicht, Prüfungsmaßnahmen, Löschungsanordnungen, Untersagungen, Fragen zu Sicherheitsmaßnahmen oder um die Vorbereitung einer Geldbuße gehen. Für Unternehmen ist entscheidend, dass Antworten konsistent, dokumentierbar und verfahrensstrategisch durchdacht sind.

Das gilt besonders, wenn neben dem Behördenkontakt zugleich zivilrechtliche Ansprüche, Presseanfragen, Beschäftigtenkonflikte oder Probleme mit Dienstleistern im Raum stehen. Dann reicht eine isolierte datenschutzrechtliche Betrachtung nicht aus. Es braucht eine Linie, die Dokumentation, Organisationsstruktur, Technik, Zuständigkeiten und Außenkommunikation sauber zusammenführt.

Nach einer Verletzung des Schutzes personenbezogener Daten laufen regelmäßig mehrere Pfade gleichzeitig: interne Ermittlung, Sicherung von Spuren, Risikobewertung, Kommunikation mit Dienstleistern, Meldung an die Behörde, mögliche Benachrichtigung von Betroffenen und die Vorbereitung auf spätere Ansprüche. Wer diesen Ablauf nicht strukturiert dokumentiert, verschlechtert seine Position in fast jedem Folgekonflikt.

Bei serienhaften Forderungen kommt hinzu, dass eine Antwort selten nur ein Einzelfall bleibt. Aussagen zu Ursache, Reichweite, Schutzmaßnahmen oder Verantwortlichkeit wirken häufig auf weitere Forderungen, Beschwerden und mögliche Verfahren zurück. Deshalb braucht es schon in der frühen Phase ein Zusammenspiel aus Soforthilfe bei Datenpannen, Cybersecurity, Compliance und prozessualer Steuerung.