(Datenschutzrecht - Datenschutz-Grundverordnung (EUV 2016/679) - Auskunftserteilung - Datenverarbeitung - verspätete Auskunft - Verstoß gegen die EUV 2016/679 - Schadenersatzanspruch - sozialgerichtliches Verfahren - Gegenstand einer Feststellungsklage - Feststellung eines Verstoßes gegen die Rechte aus der EUV 2016/679)
Gesetze: Art 12 Abs 3 EUV 2016/679, Art 15 EUV 2016/679, Art 79 EUV 2016/679, Art 82 EUV 2016/679, § 55 Abs 1 Nr 1 SGG
Instanzenzug: Az: S 16 AS 2347/21 Urteilvorgehend Landessozialgericht für das Land Nordrhein-Westfalen Az: L 7 AS 1044/22 Urteil
Tatbestand
1Die Beteiligten streiten über einen Anspruch auf immateriellen Schadenersatz in Höhe von 5000 Euro.
2Der Kläger bezog in den Jahren 2005 bis 2009, 2013 und 2016 Alg II vom beklagten Jobcenter. Mit Telefaxnachrichten vom 21.8. und erinnerte er den Beklagten an eine Auskunft nach Art 15 Datenschutz-Grundverordnung (Verordnung <EU> 2016/679 des Europäischen Parlaments und des Rates vom zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG <DS-GVO>), die er bereits mit E-Mail vom beantragt habe.
3Dem Telefax fügte der Kläger ein Antragsschreiben vom bei. Darin wird Auskunft über die beim Beklagten verarbeiteten, personenbezogenen Daten in dem in Art 15 Abs 1 a) bis h) DS-GVO genannten Umfang begehrt. Das Auskunftsverlangen erstrecke sich auch auf den vollständigen Inhalt der Leistungsakten einschließlich der Vermerke in den elektronischen Dokumentationssystemen betreffend die Angelegenheiten nach dem SGB II, die durchgeführten Erstattungsverfahren (zB mit der Agentur für Arbeit) und die durchgeführten gerichtlichen Verfahren. Die Auskunft solle gemäß Art 15 Abs 3 DS-GVO in einem gängigen elektronischen Format erteilt werden.
4Am wandte sich der Kläger mit einer Beschwerde nach Art 77 DS-GVO an die Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Nordrhein-Westfalen; auf seinen Auskunftsantrag vom habe der Beklagte trotz Erinnerungen vom 21.8. und nicht reagiert. Die Landesbeauftragte leitete die Beschwerde zuständigkeitshalber an den Bundesbeauftragten für Datenschutz und Informationsfreiheit (Bundesbeauftragter) weiter (Schreiben vom ), der dem Kläger mitteilte, dass dem Beklagten die Auskunftsanträge nicht bekannt seien (Schreiben vom ). Mit Schreiben vom selben Tag leitete er den Antrag an den Beklagten weiter.
5Der Beklagte erteilte dem Kläger Auskunft (Schreiben vom ) und informierte ihn in dem in Art 15 Abs 1 a) bis h) DS-GVO genannten Umfang. Es sei aufgrund fehlender Verschlüsselungsmöglichkeiten jedoch nicht möglich, die Daten per E-Mail zu senden. Der Großteil der Daten liege zudem in Papierform vor. Der Kläger erhalte eine unentgeltliche Kopie aller Aktenbände, die ihm per Boten zugestellt würde.
6Nachdem der Kläger zunächst auf der Einhaltung der digitalen Form der Datenübermittlung bestand, teilte ihm der Bundesbeauftragte mit, dass der Beklagte verpflichtet sei, die Informationstechnik der Bundesagentur für Arbeit zu nutzen. Diese Technik sei derzeit nicht in der Lage, eine verschlüsselte Kommunikation mit den betroffenen Personen auf einfachem Wege vorzunehmen. Eine Extraktion von Datensätzen auf einen Datenträger sei aus Sicherheitsgründen technisch ausgeschlossen. De facto könnten die Jobcenter keine rechtskonforme Auskunft erteilen. Er empfehle, die Auskunft in Papierform entgegenzunehmen. Am erfolgte die Übergabe der Kopien in Papierform.
7Das SG hat die auf Schadenersatz nach Art 82 DS-GVO gerichtete Klage vom abgewiesen (Urteil vom ), das LSG hat die Berufung zurückgewiesen (Urteil vom ). Zur Begründung seiner Entscheidung hat das LSG ua ausgeführt, der Kläger habe keinen Anspruch auf Zahlung immateriellen Schadenersatzes. Es könne offenbleiben, ob der Beklagte gegen die Vorschriften der Verordnung (VO) verstoßen habe und dem Kläger dadurch ein Schaden entstanden sei. Jedenfalls liege kein Verstoß vor, der einen Anspruch auf Schadenersatz begründe. Vom Anwendungsbereich der Norm erfasst seien nur Verstöße, die durch eine nicht der DS-GVO entsprechende Datenverarbeitung verursacht worden seien. Die Erteilung einer Auskunft nach Art 15 DS-GVO sei keine Verarbeitung in diesem Sinne.
8Mit seiner vom LSG zugelassenen Revision rügt der Kläger die Verletzung der Art 79 und 82 DS-GVO. Das LSG sei unzutreffend davon ausgegangen, dass der Beklagte nicht gegen die VO verstoßen habe. Art 82 Abs 1 DS-GVO sei nicht einschränkend dahingehend auszulegen, dass eine verordnungswidrige Datenverarbeitung vorliegen müsse. Aber selbst wenn, liege eine verordnungswidrige Verarbeitung vor. Zum einen habe der Beklagte nicht nach Maßgabe des Art 12 Abs 3 Satz 1 DS-GVO fristgerecht Auskunft erteilt; zum anderen sei ihm entgegen Art 15 Abs 3 DS-GVO die Auskunft nicht elektronisch erteilt worden. Das Vorliegen dieser Verstöße habe das LSG nicht offenlassen dürfen. Dies ergäbe sich aus Art 79 DS-GVO. Schließlich sei ihm auch ein Schaden entstanden. Er habe einen Kontrollverlust erlitten, denn er sei fast ein ganzes Jahr im Ungewissen gelassen worden. Der Höhe nach sei der geltend gemachte Betrag angemessen.
9Der Kläger beantragt,die Urteile des Landessozialgerichts Nordrhein-Westfalen vom und des Sozialgerichts Düsseldorf vom aufzuheben und den Beklagten zu verurteilen, ihm 5000 Euro zuzüglich Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz ab Rechtshängigkeit zu zahlen,hilfsweisefestzustellen, dass der Beklagte gegen die Bestimmungen der Art 15 Abs 3 und Art 12 Abs 3 DS-GVO verstoßen hat.
10Der Beklagte beantragt schriftsätzlich,die Revision zurückzuweisen.
11Er erachtet die angefochtenen Entscheidungen für zutreffend.
Gründe
12Die Revision des Klägers ist unbegründet (§ 170 Abs 1 Satz 1 SGG). Ein Anspruch auf Schadenersatz gegen den Beklagten nach Art 82 DS-GVO besteht nicht. Die Feststellungsklage ist mangels berechtigtem Feststellungsinteresse bereits unzulässig.
131. Gegenstand des Verfahrens ist neben den vorinstanzlichen Entscheidungen der Anspruch des Klägers auf Zahlung von Schadenersatz nach Art 82 DS-GVO wegen eines Verstoßes gegen die VO sowie der hilfsweise geltend gemachte Anspruch auf Feststellung von Verstößen des Beklagten gegen Art 12 Abs 3 und Art 15 Abs 3 DS-GVO.
142. Die im Revisionsverfahren von Amts wegen zu prüfenden Sachentscheidungsvoraussetzungen liegen vor. Der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit ist eröffnet (§ 202 Satz 1 SGG iVm § 17a Abs 5 GVG; vgl im Übrigen - SozR 4-1300 § 81b Nr 1). Den geltend gemachten Anspruch verfolgt der Kläger zulässigerweise mit der echten Leistungsklage (§ 54 Abs 5 SGG; vgl auch Leopold in BeckOGK, § 81b SGB X RdNr 17, Stand ), gerichtet auf die Zahlung von Schadenersatz. Nach Maßgabe des materiellen Rechts (vgl zu diesem Maßstab nur Söhngen in jurisPK-SGG, 2. Aufl 2022, § 54 RdNr 71, Stand ) der DS-GVO besteht insoweit weder ein Über- bzw Unterordnungsverhältnis der Beteiligten noch eine gesetzliche Ermächtigung des Beklagten zur einseitigen Regelung des streitigen Schadenersatzanspruchs durch Verwaltungsakt. Eine Verwaltungsentscheidung - erst recht nicht in Form eines Verwaltungsakts - vor Klageerhebung ist weder nach der DS-GVO noch nach nationalem Recht vorgesehen (so auch für den Entschädigungsanspruch nach § 198 GVG unter Verweis auf dessen Abs 5 B 10 ÜG 1/12 KL - BSGE 113, 75 = SozR 4-1720 § 198 Nr 1, RdNr 15; zuletzt B 10 ÜG 2/23 R - SozR 4 (vorgesehen) RdNr 12; vgl demgegenüber zur Klage nach Art 78 Abs 1 und 2 DS-GVO - BSGE (vorgesehen) = SozR 4 (vorgesehen), RdNr 13, 16; zur Klage nach Art 16 Satz 1 DS-GVO 6 C 7.20 - BVerwGE 175, 76 RdNr 18 ff). Deshalb steht der Zulässigkeit der Klage (auch) nicht entgegen, dass der Kläger den Schadenersatzanspruch vorprozessual gegenüber dem Beklagten nicht geltend gemacht hat (aA Leopold, ZESAR 2018, 326, 330; ders in BeckOGK, § 81b SGB X RdNr 17, Stand ; Rombey/Ahrend in Krahmer, Sozialdatenschutzrecht, 5. Aufl 2023, § 81b SGB X RdNr 11). Dem Interesse des Verantwortlichen, im Fall der unmittelbaren Klageerhebung durch Gerichtskosten nicht belastet zu werden, kann in diesen Fällen durch ein sofortiges Anerkenntnis (§ 197a Abs 1 SGG iVm § 156 VwGO) Rechnung getragen werden.
153. Rechtsgrundlage für den Schadenersatzanspruch ist Art 82 DS-GVO. Nach Art 82 Abs 1 DS-GVO hat jede Person, der wegen eines Verstoßes gegen diese VO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
16Die Regelungen der DS-GVO sind auf den vorliegenden Fall anwendbar (dazu a). Im Verhältnis von klagendem Leistungsberechtigten und beklagtem Jobcenter kommt Art 82 DS-GVO unmittelbare Geltung (Art 288 Abs 2 AEUV) zu (dazu b).
17a) Die DS-GVO und damit auch Art 82 DS-GVO findet vorliegend Anwendung. Aus der VO lässt sich kein Hinweis darauf entnehmen, dass über Anträge, die auf Auskunft über vor ihrem Inkrafttreten ab gespeicherte Daten gerichtet sind, noch nach altem Recht (§§ 7, 8 BDSG in der bis zum geltenden Fassung) zu entscheiden wäre. Sie beansprucht vielmehr nach Art 99 Abs 2 DS-GVO ab dem unmittelbar in allen Mitgliedstaaten uneingeschränkte Geltung (so auch - BSGE 130, 132 = SozR 4-7645 Art 17 Nr 2, RdNr 17 mwN; zuletzt - BSGE (vorgesehen) = SozR 4 (vorgesehen), RdNr 26 ff; 6 C 7.20 - BVerwGE 175, 76 RdNr 25 mwN) und erfasst jede seit ihrem Geltungsbeginn aufgenommene oder - wie hier - fortgeführte Verarbeitung personenbezogener Daten (zB Speicherung), die in ihren sachlichen Anwendungsbereich fällt.
18b) Unter Berücksichtigung der engen Auslegung der Ausschlusstatbestände vom sachlichen Anwendungsbereich der DS-GVO durch den EuGH (vgl - EU:C:2021:504 = RIW 2022, 77 RdNr 62 ff; - EU:C:2022:124 - EuZW 2022, 527 RdNr 40) ist eine unmittelbare Anwendung der DS-GVO auch im Bereich des SGB II zu bejahen (sachlicher Anwendungsbereich; noch offengelassen mit Hinweis auf die Auffangregelung des § 35 Abs 2 Satz 2 SGB I - BSGE 130, 132 = SozR 4-7645 Art 17 Nr 2, RdNr 18 mwN; - BSGE 131, 169 = SozR 4-2500 § 291a Nr 2, RdNr 25 ff; bejaht für die Anbindung von Vertragsärzten an die Telematikinfrastruktur durch - SozR 4 (vorgesehen) RdNr 25; vgl hierzu auch Bieresborn, NZS 2017, 887, 891; Hornung, ZD 2023, 309; Quaas in BeckOK, Datenschutzrecht DS-GVO, Art 82 RdNr 4, Stand ). Insbesondere greift der Ausschlusstatbestand des Art 2 Abs 2 Buchst a DS-GVO nicht. Hiernach findet die VO keine Anwendung auf die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt. Ausgeschlossen ist damit nach der Rechtsprechung des EuGH (nur) eine Verarbeitung von Daten im Rahmen einer Tätigkeit, die der Wahrung der nationalen Sicherheit dient oder die derselben Kategorie zugeordnet werden kann. Die auf die Wahrung der nationalen Sicherheit abzielenden Tätigkeiten umfassen insbesondere solche, die den Schutz der grundlegenden Funktionen des Staates und der grundlegenden Interessen der Gesellschaft bezwecken ( - EU:C:2021:504 = BeckRS 2021, 15289 RdNr 67; so auch 6 C 7.20 - BVerwGE 175, 76 RdNr 26). Ein solches Ziel verfolgt die Tätigkeit eines Jobcenters nicht (vgl § 1 Abs 1 und 2 Satz 1 SGB II).
194. Die Voraussetzungen des Art 82 Abs 1 DS-GVO sind nicht erfüllt. Voraussetzung für die Entstehung des Schadenersatzanspruchs nach Art 82 Abs 1 DS-GVO ist nach ständiger Rechtsprechung des EuGH eine Verarbeitung personenbezogener Daten unter Verstoß gegen die Bestimmungen der VO, ein der betroffenen Person entstandener Schaden und ein Kausalzusammenhang zwischen der rechtswidrigen Verarbeitung und diesem Schaden ( - EU: C:2023:370 = DB 2023, 1280 RdNr 36; zuletzt hierzu , C-189/22 - EU:C:2024:531 = ZIP 2024, 1789 RdNr 41).
20Schadenersatzbegründend sind jedoch nur Verstöße gegen die VO bei der Datenverarbeitung (dazu a). Die Erteilung einer Auskunft iS des Art 15 DS-GVO stellt eine Datenverarbeitung dar (dazu b). Der Beklagte hat jedenfalls dadurch gegen die VO verstoßen, dass er dem Kläger die begehrte Auskunft nicht innerhalb der Frist des Art 12 Abs 3 DS-GVO erteilt hat (dazu c). Dem Kläger ist jedoch kein ersatzfähiger Schaden entstanden (dazu d).
21a) Art 82 Abs 1 DS-GVO erfasst nur Verstöße, die durch eine nicht der DS-GVO entsprechende Datenverarbeitung iS des Art 4 Nr 2 DS-GVO verursacht worden sind; der bloße VO-Verstoß löst noch keinen Ersatzanspruch aus. Zwar ist der Wortlaut der Norm insoweit offen formuliert ("wegen eines Verstoßes gegen diese Verordnung"). Das Erfordernis eines Verstoßes bei der Datenverarbeitung folgt jedoch systematischen Überlegungen. Nach Art 82 Abs 2 DS-GVO wird (nur) für einen Schaden gehaftet "der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde". Zudem wird in Erwägungsgrund 146 DS-GVO ausgeführt, dass der Verantwortliche Schäden ersetzen soll, die einer Person aufgrund einer Verarbeitung entstehen, die mit der DS-GVO nicht im Einklang stehen.
22b) Vorliegend begehrt der Kläger mit dem Auskunftsersuchen eine "Verarbeitung" in diesem Sinne. Nach Art 15 Abs 1 DS-GVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in Art 15 Abs 1 a) bis h) DS-GVO aufgeführten Informationen.
23Das Erteilen von Auskunft und Informationen nach Art 15 DS-GVO unterfällt dem Begriff der Datenverarbeitung iS des Art 4 Nr 2 DS-GVO (für eine Auskunft an eine dritte Person auch - EU:C:2024:216 = BeckRS 2024, 3639 RdNr 25 ff; im Ergebnis so auch I-15 U 137/21 - juris RdNr 24; LG Aachen vom - 8 O 177/22 - juris RdNr 55 f; Quaas in BeckOK Datenschutzrecht, DS-GVO, Art 82 RdNr 14, Stand ; zweifelnd - juris RdNr 11 mit Anm Brink, jurisPR-ArbR 39/2023 Anm 2; aA - BeckRS 2021, 18275 RdNr 33; - juris RdNr 35; - juris RdNr 21; - juris RdNr 41 ff; Barrein/Fuhlrott, NZA 2024, 443, 445). "Verarbeitung" ist nach der dortigen Legaldefinition jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Dabei ist vor dem Hintergrund von Wortlaut, Systematik und der mit der DS-GVO verfolgten Ziele (zu diesen Auslegungsgrundsätzen vgl nur - EU:C:2023:3 = NJW 2023, 973 RdNr 29; zuletzt - EU:C:2024:216 = BeckRS 2024, 3639 RdNr 26) von einem weiten Verarbeitungsbegriff auszugehen. Art 4 Nr 2 DS-GVO erfasst bereits nach seinem Wortlaut "jeden" mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang und fügt regelbeispielhaft ("wie") Tätigkeiten auf, die als Vorgang in diesem Sinn angesehen werden können (vgl in diesem Sinne - EU:C:2022:124 = EuZW 2022, 527 RdNr 35; - EU:C:2023:501 = BeckRS 2023, 14515 RdNr 46; - EU:C:2024:216 = BeckRS 2024, 3639 RdNr 29). Die Aufzählung erfasst ua die Verwendung, Offenlegung durch Übermittlung, die Verbreitung und "[jede] andere Form der Bereitstellung". Schon seinem Wortlaut nach deckt der Begriff der "Verarbeitung" daher auch das Erteilen einer Auskunft an die betroffene Person ab.
24Zudem sprechen systematische Gründe für dieses Verständnis. Nicht nur Art 82 DS-GVO, sondern auch die übrigen, in Kapitel VIII der VO erfassten Vorschriften (Art 77 ff DS-GVO), knüpfen die jeweils geregelten Rechte und Rechtsbehelfe an eine verordnungswidrige Verarbeitung. So setzt zB das Recht auf Beschwerde bei der Aufsichtsbehörde nach Art 77 DS-GVO ua die Ansicht der betroffenen Person voraus, "dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt". Art 79 DS-GVO knüpft das Recht auf wirksamen gerichtlichen Rechtsbehelf an die Ansicht der betroffenen Person, "dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden". Erst ein Verständnis des Verarbeitungsbegriffs, der auch das Erteilen einer Auskunft als Verarbeitungsvorgang ansieht, verhilft mithin dem Auskunftsanspruch - im Vorfeld der Inanspruchnahme der weiteren, in der VO normierten Rechte - zur notwendigen Durchsetzungskraft.
25Dieses weite Begriffsverständnis wird durch die Ziele der VO, insbesondere des Art 15 DS-GVO bestätigt. Die VO bezweckt insbesondere (vgl Art 1 DS-GVO; Erwägungsgründe 1, 10) ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl in diesem Sinne - EU:C:2023:373 = BeckRS 2023, 8967 RdNr 64; zuletzt - EU:C:2024:216 = BeckRS 2024, 3639 RdNr 31). Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird (Erwägungsgrund 60 DS-GVO). (Erst) das Auskunftsrecht ermöglicht es einer betroffenen Person, sich einer (zuvor bereits erfolgten) Verarbeitung bewusst zu werden und deren Rechtmäßigkeit überprüfen zu können (vgl auch Erwägungsgrund 63 DS-GVO). Damit wird der Schutz des Betroffenen gerade auch durch das Auskunftsrecht gestärkt und damit für Fairness und Transparenz beim Verarbeitungsvorgang gesorgt.
26c) Der Beklagte hat dem Kläger die begehrten Informationen verordnungswidrig nicht innerhalb der maßgeblichen Frist zur Verfügung gestellt. Nach Art 12 Abs 3 Satz 1 DS-GVO stellt der Verantwortliche der betroffenen Person Informationen über die auf Antrag gemäß den Art 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung.
27Nach dem Gesamtzusammenhang der Feststellungen des LSG hat der Beklagte den hinreichend konkretisierten Auskunftsantrag des Klägers mit dem ersten Erinnerungsschreiben vom erhalten. Die begehrten Informationen hat der Beklagte dem Kläger am vollständig zur Verfügung gestellt und ihm eine unentgeltliche Kopie aller Aktenbände in Papierform angeboten. Der Kläger hat die Informationen mithin ein knappes halbes Jahr nach Antragstellung und damit jedenfalls verspätet iS des Art 12 Abs 3 Satz 1 DS-GVO erhalten.
28Ein Verstoß gegen die Rechte des Klägers durch die verspätete Erfüllung des Auskunftsverlangens stellt gleichermaßen einen Verstoß bei der Verarbeitung von Daten iS des Art 82 Abs 1 DS-GVO dar. Art 12 DS-GVO führt die Regelungen zu Form, Sprache und Verfahren bezüglich der Informations- und Mitteilungspflichten einheitlich in einer eigenen, ausdrücklichen Regelung zusammen und legt damit für die Betroffenenrechte aus Art 13 bis 22 DS-GVO die formellen Anforderungen an die Informationsgewährung fest. Damit erweitert Art 12 DS-GVO die Betroffenenrechte um zusätzliche prozedurale Schutzvorkehrungen (als "Grundrechtsschutz durch Verfahren" bezeichnen dies Schwartmann/Schneider in Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl 2024, Art 12 EUV 2016/679 RdNr 13 mwN).
29Die Gründe, die für den weiten Verarbeitungsbegriff und die Subsumtion der Auskunft unter den Begriff der Verarbeitung sprechen, gelten für die einzuhaltende Frist gleichermaßen. Insbesondere die Grundsätze einer fairen und transparenten Verarbeitung machen es nicht nur erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird, sondern auch und gerade in der von Art 12 Abs 3 DS-GVO vorgesehenen Frist. Zur Erleichterung der Rechtswahrnehmung gehört auch ein effizientes Zeitmanagement beim Verantwortlichen (Schwartmann/Schneider in Schwartmann/Jaspers/Thüsing/Kugelmann, DS-GVO/BDSG, 3. Aufl 2024, Art 12 EUV 2016/679 RdNr 51). Dieses Gebot der schnellen Umsetzung der Betroffenenrechte liefe leer, wäre - auf der ersten Ebene - der Verstoß gegen die Fristen zur Auskunftserteilung nicht schadenersatzbewehrt.
30d) Ein ersatzfähiger Schaden ist dem Kläger indes nicht entstanden. Art 82 Abs 1 DS-GVO ist nach ständiger Rechtsprechung des EuGH dahin auszulegen, dass der bloße Verstoß gegen die VO bei der Datenverarbeitung nicht ausreicht, um einen Schadenersatzanspruch zu begründen. Vielmehr muss auch ein konkreter materieller oder immaterieller Schaden vorliegen (vgl ua - EU:C:2023:370 = DB 2023, 1280 RdNr 32; - EU:C:2024:72 = DB 2024, 519 RdNr 58; - EU:C:2024:288 = DB 2024, 1127 RdNr 34; zuletzt und C-189/22 - EU:C:2024:531 = ZIP 2024, 1789 RdNr 41). Der Eintritt eines Schadens wird nicht vermutet. Vielmehr trägt die Person, die auf der Grundlage von Art 82 DS-GVO den Ersatz eines immateriellen Schadens verlangt, die objektive Beweislast, dass ihr durch den Verstoß gegen die VO ein solcher Schaden entstanden ist (vgl zur Erforderlichkeit eines Nachweises - EU:C:2024:72 = DB 2024, 519 RdNr 56; - EU:C:2024:288 = DB 2024, 1127 RdNr 35). Der Zweck der DS-GVO, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, würde in sein Gegenteil verkehrt, wenn die pauschale Behauptung eines Nachteils ausreichen würde, um einen ersatzfähigen Schaden zu begründen (so auch - juris RdNr 49 ff; ähnlich - juris RdNr 82). Seiner Ausgleichsfunktion wird der Schadenersatz gerecht, wenn er es ermöglicht, den aufgrund des Verstoßes gegen die VO konkret erlittenen Schaden in vollem Umfang auszugleichen; dann ist die auf Art 82 Abs 1 DS-GVO gestützte finanzielle Entschädigung als "vollständig und wirksam" anzusehen (vgl ua - EU:C:2023:1022 = NZA 2024, 393 RdNr 80 ff; - EU:C:2024:72 = DB 2024, 519 RdNr 47 ff; - EU:C:2024:288 = DB 2024, 1127 RdNr 59). Nicht erforderlich ist hingegen, dass der Schaden eine gewisse Erheblichkeitsschwelle übersteigt ( - EU:C:2023:370 = DB 2023, 1280 RdNr 49).
31Zwar kann eine betroffene Person einen konkreten immateriellen Schaden iS des Art 82 Abs 1 DS-GVO auch durch den Verlust der Kontrolle über ihre personenbezogenen Daten erleiden, wie sich aus Wortlaut, Systematik sowie Sinn und Zweck des Art 82 DS-GVO ergibt (vgl - EU:C:2024:72 = DB 2024, 519 RdNr 66). Unter einem Kontrollverlust versteht der EuGH dabei allerdings nur eine Situation, in der die betroffene Person die begründete Befürchtung hegt, dass einige ihrer personenbezogenen Daten künftig von Dritten weiterverbreitet oder missbräuchlich verwendet werden. Ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten genügt dafür nicht. Rein hypothetisch ist das Risiko beispielsweise dann, wenn kein Dritter die fraglichen personenbezogenen Daten zur Kenntnis genommen hat ( - EU:C:2024:72 = DB 2024, 519 RdNr 68). Das Schadensverständnis der VO wird auch aus Erwägungsgrund 75 bzw 85 Satz 1 deutlich. Als Regelbeispiele, die einen physischen, materiellen oder immateriellen Schaden begründen können, werden ua benannt, wenn die Verarbeitung zu einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen führen kann, wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren.
32Anhaltspunkte dafür, dass die vom Beklagten verarbeiteten Daten verordnungswidrig an einen Dritten gelangt sind oder dass eine der Situationen vorliegt, die den in den Erwägungsgründen regelbeispielhaft aufgeführten entspricht, trägt der Kläger weder vor noch ist eine solche Situation vom LSG festgestellt. Der Kläger meint zwar, in dem Zeitverzug zwischen Auskunftsersuchen und Auskunftserteilung liege ein Kontrollverlust begründet, weil er nicht gewusst habe, was mit seinen Daten geschehe. Damit beschreibt der Kläger aber lediglich - in anderen Worten - den Zeitverzug, nicht aber ein konkretes Risiko einer missbräuchlichen Verwendung seiner Daten durch Dritte als Grundlage eines immateriellen Schadens . Denn die Daten waren weiterhin beim Beklagten. Entsprechendes gilt, wenn der Kläger erklärt, das Verfahren sei für weitere Verfahren wichtig, er sei im Ungewissen über die Verarbeitung seiner personenbezogenen Daten gehalten und ihm sei die Prüfung der Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten unmöglich gemacht worden.
335. Vor diesem Hintergrund kann offenbleiben, ob der Beklagte ermessensfehlerfrei entschieden hat, die Auskunft und die Kopie der Daten in Papierform zur Verfügung zu stellen. Die Übermittlung der Informationen nach Art 15 DS-GVO erfolgt bei elektronischer Antragstellung nach Möglichkeit elektronisch, sofern sich nichts anderes ergibt (Art 12 Abs 1 Satz 1 und 2 und Abs 3 Satz 4 DS-GVO; vgl hierzu - EU:C:2023:369 = DB 2023, 1275 RdNr 52). Eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind - hier eine Kopie der Akten - ist bei elektronischer Antragstellung in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern die betroffene Person nichts anderes angibt (Art 15 Abs 3 Satz 1 und 3 DS-GVO). Zwar hat der Beklagte den Antrag des Klägers nicht elektronisch per E-Mail, sondern per Telefax erhalten. Soweit Art 15 und Art 12 Abs 3 DS-GVO keine Regelungen enthalten, bestimmt der Verantwortliche das Verfahren, insbesondere die Form der Auskunftserteilung, jedoch nach pflichtgemäßem Ermessen (§ 83 Abs 2 Satz 3 SGB X). Feststellungen hierzu hat das LSG - von seiner Rechtsansicht aus nachvollziehbar - nicht getroffen.
346. Die hilfsweise erhobene Feststellungsklage (§ 55 SGG) ist grundsätzlich statthaft, wenn auch vorliegend unzulässig. Es fehlt an einem berechtigten Feststellungsinteresse des Klägers.
35Die Klage, gerichtet auf die Feststellung von Verstößen des Beklagten gegen Rechte des Klägers aus der DS-GVO ist statthaft (dazu a). Die begehrte Feststellung kann grundsätzlich Gegenstand einer Feststellungsklage sein (dazu b). Diese ist nicht subsidiär gegenüber einer Gestaltungsklage (dazu c). Es fehlt vorliegend jedoch am berechtigten Feststellungsinteresse (dazu d).
36a) Nach Art 79 Abs 1 DS-GVO hat jede Person unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde nach Art 77 DS-GVO das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser VO zustehenden Rechte infolge einer nicht im Einklang mit dieser VO stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden. Die Regelung verlangt, dass dem Betroffenen nicht nur die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde zusteht (wie sie in Art 77 und 78 DS-GVO geregelt ist), sondern dass der Betroffene auch unmittelbar gerichtlich gegen den Verantwortlichen oder den Auftragsverarbeiter vorgehen kann. Sämtliche in der DS-GVO gewährten Rechtsbehelfe stehen dem Betroffenen nebeneinander zu, es gibt kein Vorrangverhältnis ( - EU:C:2023:2 = DB 2023, 888 RdNr 35). Art 79 Abs 1 DS-GVO, der primärrechtlich in Art 47 EU-Grundrechtecharta verankert ist, verpflichtet die Mitgliedstaaten, einen solchen Rechtsbehelf zur Verfügung zu stellen.
37Ob die Regelung darüber hinaus im Sinne einer Zulässigkeitsvoraussetzung verlangt, dass die klagende Person nicht nur einen (objektiven) Verstoß gegen die Vorgaben der DS-GVO darlegen muss, sondern auch, dass sie hierdurch in ihren individuellen Rechten betroffen ist oder ob Art 79 Abs 1 DS-GVO lediglich im Sinne einer Klarstellung deutlich machen will, dass nicht jede verordnungswidrige Verarbeitung zugleich auch eine subjektive Rechtsverletzung darstellt (zum Meinungsstand vgl nur Becker in Plath, DSGVO/BDSG/TTDSG, 4. Aufl 2023, Art 79 RdNr 3 mwN) kann vorliegend offenbleiben. Denn der Kläger macht einen Verstoß gegen subjektive Rechte aus Art 12 Abs 3 und Art 15 Abs 3 DS-GVO geltend, also einen Verstoß gegen materielle Vorgaben der DS-GVO im Rahmen einer Datenverarbeitung nach Art 4 Nr 2 DS-GVO.
38Ein subjektives Recht auf eine gerichtliche Feststellung eines Verstoßes begründet Art 79 Abs 1 DS-GVO, anders als dies der Kläger noch in seiner Revisionsbegründung vertreten hat, jedoch nicht; die Regelung begründet auch keinen eigenen Anspruch auf "Genugtuung" im Fall einer verordnungswidrigen Verarbeitung. Art 79 Abs 1 DS-GVO setzt die Behauptung einer Rechtsverletzung im Rahmen einer Datenverarbeitung vielmehr voraus. Dem hat der Kläger im Termin zur mündlichen Verhandlung Rechnung getragen. Er hat seinen Leistungsantrag um die hilfsweise Feststellung der Verletzung in seinen Rechten aus Art 12 Abs 3 und 15 Abs 3 DS-GVO ergänzt. Da die Ergänzung des Klageantrags nicht als eine Klageänderung anzusehen ist (vgl § 99 Abs 3 Nr 2 SGG) und mit der Umstellung keine neuen Tatsachen in das Verfahren eingeführt werden, war dies ohne Verstoß gegen § 168 Satz 1 SGG auch noch in der Revisionsinstanz zulässig.
39b) Die Feststellung, in subjektiven Rechten aus der DS-GVO verletzt zu sein, kann zum Gegenstand einer Feststellungsklage nach § 55 Abs 1 Nr 1 SGG gemacht werden. Nach § 55 Abs 1 Nr 1 SGG kann mit der Klage die Feststellung des Bestehens oder Nichtbestehens eines Rechtsverhältnisses begehrt werden, wenn der Kläger ein berechtigtes Interesse an der baldigen Feststellung hat.
40Das Verhältnis zwischen dem Beklagten (als Verantwortlichem im Sinne der DS-GVO) und dem Kläger ist ein Rechtsverhältnis im Sinne der Norm. Unter einem Rechtsverhältnis ist die Rechtsbeziehung zwischen Personen oder zwischen Personen und Gegenständen zu verstehen, die sich aus einem Sachverhalt aufgrund einer Norm ergeben ( - BSGE 98, 12 = SozR 4-2500 § 132a Nr 2, RdNr 16). Zwar ist in der DS-GVO nicht geregelt, dass eine Person die Feststellung einer Rechtsverletzung verlangen kann; die Ansprüche aus der DS-GVO sind auf Auskunft (vgl Art 15), Berichtigung (Art 16) und Löschung (Art 17), Einschränkung der Verarbeitung (Art 18, 21) und Datenübertragbarkeit (Art 20) gerichtet. Doch ist es Sache der innerstaatlichen Rechtsordnung jedes Mitgliedstaats, die verfahrensrechtlichen Modalitäten der Rechtsbehelfe, die zum Schutz der Rechte der Bürgerinnen und Bürger bestimmt sind, festzulegen, vorausgesetzt, diese Modalitäten sind bei unter das Unionsrecht fallenden Sachverhalten nicht ungünstiger als diejenigen, die gleichartige Sachverhalte regeln, die dem innerstaatlichen Recht unterliegen (Äquivalenzgrundsatz), und dass sie die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Effektivitätsgrundsatz; vgl in diesem Sinne - EU:C:2017/960, juris RdNr 26; - EU:C:2022:682, NJW 2022, 3277 RdNr 36; - EU:C:2023:370 = DB 2023, 1280 RdNr 53).
41Unter diesen Voraussetzungen kann auch die Feststellung einer Verletzung subjektiver Rechte aus der DS-GVO durch einen Verantwortlichen ein Rechtsverhältnis iS des § 55 Abs 1 SGG begründen. Die in der nationalen Verfahrensordnung vorgesehene allgemeine Feststellungsklage gilt für alle unter ihren sachlichen Anwendungsbereich fallenden Sachverhalte. Ihre Anwendung auch auf Fälle behaupteter Rechtsverletzungen nach der DS-GVO trägt dem Effektivitätsgrundsatz Rechnung. Denn sie ermöglicht, das von der DS-GVO verfolgte Ziel eines hohen Schutzniveaus der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl in diesem Sinne - EU:C:2024:214 = K&R 2024, 256 RdNr 53).
42c) Die Feststellungsklage ist vorliegend nicht subsidiär gegenüber einer Gestaltungsklage. Zwar gilt auch im sozialgerichtlichen Verfahren insoweit der Nachranggrundsatz (stRspr BSG, vgl nur Keller in Meyer-Ladewig/Keller/Schmidt, SGG, 14. Aufl 2023, § 55 RdNr 1, 19 ff mwN). Danach muss zunächst die Prüfung anderer zumutbarer Möglichkeiten effektiven Rechtsschutzes erfolgen. Solche liegen hier aber nicht vor. Die Leistungsklage auf Schadenersatz wegen einer verordnungswidrigen Verarbeitung ist - wie ausgeführt - wegen des Fehlens eines konkreten Schadens ohne Erfolg geblieben. Der Möglichkeit, Genugtuung durch die Feststellung einer Rechtsverletzung zu erlangen, kommt insoweit eine verfassungsrechtlich gebotene Auffangfunktion zu (vgl dazu nur Groß in Berchtold, SGG, 6. Aufl 2021, § 55 RdNr 23 unter Verweis auf , 1 BvR 542/02 - BVerfGE 115, 81 = SozR 4-1500 § 55 Nr 3).
43d) Es fehlt vorliegend jedoch am berechtigten Interesse an der baldigen Feststellung. Dies erfordert, dass der Kläger eine eigene Rechtsbetroffenheit behaupten und diese auch möglich sein muss, wobei eine solche Rechtsbetroffenheit rechtlich geschützte Interessen voraussetzt, die vom Schutzzweck der zugrunde liegenden Norm erfasst sein müssen (stRspr; vgl nur - SozR 3-1500 § 55 Nr 34 S 64, juris RdNr 11; - BSGE 105, 1 = SozR 4-2500 § 125 Nr 5, RdNr 14; jeweils mwN). Auch können - wie hier - vergangene Rechtsverhältnisse Gegenstand der Feststellungsklage sein ( - BSGE 76, 48, 50 = SozR 3-2500 § 120 Nr 5 S 27 f, juris RdNr 15; Keller in Meyer-Ladewig/Keller/Schmidt, SGG, 14. Aufl 2023, § 55 RdNr 8 mwN). In entsprechender Anwendung der zur Fortsetzungsfeststellungsklage entwickelten Grundsätze genügt ein durch die Sachlage vernünftigerweise gerechtfertigtes Interesse, das rechtlicher, wirtschaftlicher oder ideeller Natur sein kann ( - BSGE 79, 33, 34 = SozR 3-2500 § 126 Nr 2 S 14 f, juris RdNr 15). Die Feststellung einzelner Pflichten aus vergangenen Rechtsverhältnissen setzt jedoch ein qualifiziertes Feststellungsinteresse voraus, was nach allgemeinen Grundsätzen bei Wiederholungsgefahr, bei einem bestehenden Rehabilitationsinteresse und zur Durchsetzung von Folgeansprüchen (Schadenersatz- bzw Amtshaftungsansprüche; sog Präjudizialität) in Betracht kommt (hierzu - BSGE 108, 206 = SozR 4-2500 § 33 Nr 34, RdNr 22).
44Dass ein solches Interesse besteht, hat der Kläger weder dargetan noch ist ein solches ersichtlich. Angesichts des seit Jahren beendeten Leistungsbezugs und des Umstands, dass er im Besitz aller Akten (Daten) ist, die der Beklagte verarbeitet und gespeichert hatte, ist eine konkrete Wiederholungsgefahr nicht zu erkennen. Zudem ist ein vom behaupteten immateriellen Schaden losgelöstes bzw weitergehendes Rehabilitationsinteresse weder vorgetragen noch ersichtlich. Ein berechtigtes Feststellungsinteresse für eine beabsichtigte Amtshaftungsklage ist schon deshalb zu verneinen, weil eine solche Klage mangels eines Schadens offensichtlich aussichtslos ist (vgl zu diesem Maßstab nur ).
457. Die Kostenentscheidung beruht auf § 197a Abs 1 SGG iVm § 154 Abs 1 und 2 VwGO. Nach § 197a Abs 1 Satz 1 Alt 1 SGG werden Kosten nach den Vorschriften des GKG erhoben, wenn weder der Kläger noch der Beklagte zu den in § 183 SGG genannten Personen gehört. So liegt der Fall hier. Insbesondere ist der Kläger nicht in seiner Eigenschaft als Leistungsempfänger iS des § 183 SGG an dem Verfahren beteiligt. Der Kläger begehrt als betroffene Person von dem Beklagten als Verantwortlichem für die Verarbeitung seiner personenbezogenen Daten Schadenersatz nach Art 82 DS-GVO. Schadenersatz stellt keine "Leistung" dar. Zwar knüpft der Begriff des Leistungsempfängers in § 183 SGG nicht zwingend an Sozialleistungen iS des § 11 SGB I an ( - SozR 4-1500 § 183 Nr 3 RdNr 8; - SozR 4-1500 § 183 Nr 7 RdNr 8). Es müssen aber zumindest Leistungen mit ähnlicher oder vergleichbarer Funktion wie bei echten Sozialleistungen nach § 11 SGB I im Streit stehen ( - SozR 4-1500 § 183 Nr 3 RdNr 9; - SozR 4-1500 § 183 Nr 7 RdNr 8). Dem Schadenersatz fehlt eine einer Sozialleistung vergleichbare Funktion. Sozialleistungen dienen der Verwirklichung sozialer Gerechtigkeit und sozialer Sicherheit (§ 1 Abs 1 Satz 1 SGB I), während dem Schadenersatzanspruch nach Art 82 DS-GVO - wie ausgeführt - Ausgleichsfunktion für begangene Verstöße gegen die VO zukommt. Auch der Zweck des § 183 SGG, typisierend schutzbedürftige Leistungsempfänger hinsichtlich der Kosten zu privilegieren ( - SozR 4-1500 § 183 Nr 3 RdNr 9), führt hier zu keiner anderen Beurteilung. Der Kläger war bei Klageerhebung bereits etwa drei Jahre aus dem Leistungsbezug bei dem Beklagten ausgeschieden.
ECLI Nummer:
ECLI:DE:BSG:2024:240924UB7AS1523R0
Fundstelle(n):
WAAAJ-80479