§ 43 Schadensersatz

(1) Hat ein Verantwortlicher einer Person durch eine Verarbeitung personenbezogener Daten, die nach den zur Umsetzung der Richtlinie (EU) 2016/680 erlassenen Rechtsvorschriften rechtswidrig war, einen Schaden zugefügt, ist er der Person zum Schadensersatz verpflichtet, es sei denn, ihn trifft kein Verschulden.

(2) Wegen eines Schadens, der nicht Vermögensschaden ist, kann die Person eine angemessene Entschädigung in Geld verlangen.

(3) Lässt sich bei einer automatisierten Verarbeitung personenbezogener Daten nicht ermitteln, welcher von mehreren beteiligten Verantwortlichen den Schaden verursacht hat, so haften sie als Gesamtschuldner.

(4) Ein Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen Pflichten nach § 27 Absatz 3 nicht nachgekommen ist oder gegen rechtmäßig erteilte Anweisungen des Verantwortlichen verstoßen hat, es sei denn, ihn trifft kein Verschulden.

(5) Bei einem Mitverschulden der betroffenen Person oder eines Dritten ist § 254 des Bürgerlichen Gesetzbuches entsprechend anzuwenden.

(6) Auf die Verjährung finden die für unerlaubte Handlungen geltenden Verjährungsvorschriften des Bürgerlichen Gesetzbuches entsprechende Anwendung.

Einzelnorm

Abschnitt 9

Gerichtlicher Rechtsschutz und Schlussvorschriften