Europäischer Gerichtshof Schlussanträge des Generalanwalts vom 20.03.2025 – C-655/23

SCHLUSSANTRÄGE DES GENERALANWALTS MANUEL CAMPOS SÁNCHEZ‑BORDONA vom 20. März 2025 ( Rechtssache C‑655/23 IP gegen Quirin Privatbank AG (Vorabentscheidungsersuchen des Bundesgerichtshofs [Deutschland]) „Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Art. 5 Abs. 1 Buchst. a – Art. 6 Abs. 1 – Art. 17 – Art. 18 – Art. 79 Abs. 1 – Art. 82 Abs. 1 – Anspruch auf Unterlassung der Wiederholung einer unrechtmäßigen Verarbeitung – Schadenersatzanspruch – Immaterieller Schaden – Beurteilung“

1 In dem Rechtsstreit, der dem Vorabentscheidungsersuchen zugrunde liegt, geht es im Wesentlichen um die Frage, ob eine Person verlangen kann, dass der für die Verarbeitung ihrer personenbezogenen Daten Verantwortliche künftig die Wiederholung einer Verhaltensweise unterlässt, die den Bestimmungen der Verordnung (EU) 2016/679 zuwiderläuft (

2 Der Gerichtshof hat sich zur Auslegung der DSGVO in Bezug auf Schadenersatz ( I. Rechtlicher Rahmen A. Unionsrecht. DSGVO

3 In Art. 4 („Begriffsbestimmungen“) heißt es: „Im Sinne dieser Verordnung bezeichnet der Ausdruck: … 2. ‚Verarbeitung‘ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie … die Einschränkung, das Löschen oder die Vernichtung; 3. ‚Einschränkung der Verarbeitung‘ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken; …“

4 Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) bestimmt: „(1) Personenbezogene Daten müssen a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘); … (2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“

5 Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 sieht vor: „Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben; …“

6 Art. 17 („Recht auf Löschung [‚Recht auf Vergessenwerden‘]“) bestimmt: „(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft: … d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet. …“

7 In Art. 18 („Recht auf Einschränkung der Verarbeitung“) heißt es: „(1) Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist: … b) die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der personenbezogenen Daten ablehnt und stattdessen die Einschränkung der Nutzung der personenbezogenen Daten verlangt; …“

8 Art. 79 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter“) Abs. 1 bestimmt: „Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“

9 Art. 82 („Haftung und Recht auf Schadenersatz“) Abs. 1 sieht vor: „Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

10 Art. 84 („Sanktionen“) Abs. 1 lautet: „Die Mitgliedstaaten legen die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung – insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen – fest und treffen alle zu deren Anwendung erforderlichen Maßnahmen. Diese Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.“ B. Deutsches Recht. Bürgerliches Gesetzbuch (

11 § 823 („Schadensersatzpflicht“) lautet: „(1) Wer vorsätzlich oder fahrlässig das Leben, den Körper, die Gesundheit, die Freiheit, das Eigentum oder ein sonstiges Recht eines anderen widerrechtlich verletzt, ist dem anderen zum Ersatz des daraus entstehenden Schadens verpflichtet. (2) Die gleiche Verpflichtung trifft denjenigen, welcher gegen ein den Schutz eines anderen bezweckendes Gesetz verstößt. Ist nach dem Inhalt des Gesetzes ein Verstoß gegen dieses auch ohne Verschulden möglich, so tritt die Ersatzpflicht nur im Falle des Verschuldens ein.“

12 § 1004 („Beseitigungs- und Unterlassungsanspruch“) Abs. 1 bestimmt: „Wird das Eigentum in anderer Weise als durch Entziehung oder Vorenthaltung des Besitzes beeinträchtigt, so kann der Eigentümer von dem Störer die Beseitigung der Beeinträchtigung verlangen. Sind weitere Beeinträchtigungen zu besorgen, so kann der Eigentümer auf Unterlassung klagen.“ ( II. Sachverhalt, Rechtsstreit und Vorlagefragen

13 Der im Vorlagebeschluss beschriebene Sachverhalt stellt sich wie folgt dar: – IP war Kandidat in einem Bewerbungsprozess bei der Quirin Privatbank AG (im Folgenden: Quirin), der über das Online‑Portal Xing stattfand. – Am 23. Oktober 2018 versandte eine Mitarbeiterin von Quirin im Rahmen dieses Bewerbungsprozesses über den Messenger‑Dienst des Portals Xing eine nur für IP bestimmte Nachricht mit folgendem Inhalt an eine dritte, nicht an diesem Bewerbungsprozess beteiligte Person: „Lieber Herr [IP], ich hoffe es geht Ihnen gut! Unser Leiter – Herr R[…] – findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören … Viele Grüße …“ – Der Dritte – der Empfänger der Nachricht – leitete diese an IP weiter, den er kannte, da er vor einiger Zeit in derselben Holding gearbeitet hatte. Er fragte ihn, ob es sich um eine Nachricht für ihn (IP) handele und ob er auf Stellensuche sei.

14 IP erhob beim Landgericht (Deutschland) Klage und beantragte, Quirin zu verurteilen, es künftig zu unterlassen, personenbezogene Daten, die im Zusammenhang mit seiner Bewerbung stehen, zu verarbeiten/verarbeiten zu lassen, „wenn dies geschieht wie in der Nachricht über das Portal Xing … am 23. Oktober 2018“. Außerdem beantragte er immateriellen Schadenersatz in Höhe von mindestens 2500 Euro (

15 Das Landgericht gab der Klage teilweise statt und verurteilte Quirin zur Unterlassung und zur Zahlung von Schadenersatz an IP in Höhe von 1000 Euro nebst Zinsen.

16 Quirin legte gegen das erstinstanzliche Urteil Berufung beim Oberlandesgericht (Deutschland) ein, das ihr nur teilweise stattgab, indem es den Schadenersatz aufhob und die Berufung im Übrigen zurückwies.

17 Das Berufungsgericht war folgender Auffassung: – Gemäß Art. 17 Abs. 1 DSGVO stehe IP gegen Quirin ein Anspruch auf Unterlassung der Verarbeitung seiner personenbezogenen Daten zu, sofern diese in der Form erfolge wie mit der Nachricht vom 23. Oktober 2018. Es war der Ansicht, dass in dieser Hinsicht Wiederholungsgefahr gegeben sei. – IP stehe kein Anspruch auf Schadenersatz gemäß Art. 82 DSGVO zu, da es an der Darlegung des Eintritts eines Schadens fehle.

18 Dagegen wendet sich IP mit seiner Revision, mit der er seine Ansprüche in vollem Umfang weiterverfolgt. Quirin begehrt mit ihrer Revision die vollständige Abweisung der Klage.

19 In diesem Zusammenhang hat der Bundesgerichtshof (Deutschland) dem Gerichtshof sechs Fragen zur Vorabentscheidung vorgelegt, von denen ich die erste, die zweite, die dritte und die sechste ( 1. a) Ist Art. 17 DSGVO dahin gehend auszulegen, dass der betroffenen Person, deren personenbezogene Daten von dem Verantwortlichen unrechtmäßig durch Weiterleitung offengelegt wurden, ein Anspruch gegen den Verantwortlichen auf Unterlassung einer erneuten unrechtmäßigen Weiterleitung dieser Daten zusteht, wenn sie vom Verantwortlichen keine Löschung der Daten verlangt? b) Kann sich ein solcher Unterlassungsanspruch (auch) aus Art. 18 DSGVO oder einer sonstigen Bestimmung der DSGVO ergeben? 2. Falls Fragen 1a) und/oder 1b) bejaht werden: a) Besteht der unionsrechtliche Unterlassungsanspruch nur dann, wenn künftig weitere Beeinträchtigungen der sich aus der DSGVO ergebenden Rechte der betroffenen Person zu besorgen sind (Wiederholungsgefahr)? b) Wird das Bestehen der Wiederholungsgefahr gegebenenfalls aufgrund des bereits vorliegenden Verstoßes gegen die DSGVO vermutet? 3. Falls Fragen 1a) und 1b) verneint werden: Ist Art. 84 in Verbindung mit Art. 79 DSGVO dahin gehend auszulegen, dass sie es dem nationalen Richter erlauben, der betroffenen Person, deren personenbezogene Daten von dem Verantwortlichen unrechtmäßig durch Weiterleitung offengelegt wurden, neben dem Ersatz des materiellen oder immateriellen Schadens nach Art. 82 DSGVO und den sich aus Art. 17 und Art. 18 DSGVO ergebenden Ansprüchen einen Anspruch gegen den Verantwortlichen auf Unterlassung einer erneuten unrechtmäßigen Weiterleitung dieser Daten nach den Bestimmungen des nationalen Rechts zuzusprechen? 6. Falls Fragen 1a), 1b) oder 3 bejaht werden: Ist Art. 82 Abs. 1 DSGVO dahin gehend auszulegen, dass bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens als anspruchsmindernd berücksichtigt werden kann, dass der betroffenen Person neben dem Anspruch auf Schadensersatz ein Unterlassungsanspruch zusteht? III. Verfahren vor dem Gerichtshof

20 Das Vorabentscheidungsersuchen ist am 7. November 2023 beim Gerichtshof eingegangen.

21 IP, Quirin und die Europäische Kommission haben schriftliche Erklärungen eingereicht. Die Durchführung einer mündlichen Verhandlung ist nicht für erforderlich erachtet worden. IV. Würdigung

22 Auf Ersuchen des Gerichtshofs werden sich die vorliegenden Schlussanträge auf die erste, die zweite, die dritte und die sechste Vorlagefrage beschränken. A. Erste Vorlagefrage

23 Das vorlegende Gericht möchte wissen, ob der betroffenen Person in Fällen, in denen es bereits zu einer nach der DSGVO unrechtmäßigen Verarbeitung personenbezogener Daten gekommen ist, auf der Grundlage der Art. 17 oder 18 oder einer anderen Bestimmung der DSGVO ein Anspruch gegen den Verantwortlichen auf Unterlassung „einer erneuten unrechtmäßigen Weiterleitung dieser Daten zusteht, wenn sie vom Verantwortlichen keine Löschung der Daten verlangt“.

24 Die Zweifel des vorlegenden Gerichts scheinen sich aus den unterschiedlichen Auffassungen in der deutschen Literatur und Rechtsprechung über den (angenommenen) einklagbaren Anspruch darauf zu ergeben, dass der Verantwortliche bestimmte unrechtmäßige Verarbeitungen personenbezogener Daten, die den in der Vergangenheit bereits erfolgten Verarbeitungen vergleichbar sind, künftig unterlässt.

25 Der Ursprung eines solchen Streits dürfte im Fehlen einer ausdrücklichen Anerkennung dieses Anspruchs in der DSGVO zu sehen sein. Nach einer Ansicht bedeutet dieses Fehlen, dass ein solcher Anspruch in der DSGVO selbst nicht vorgesehen ist, während er nach einer anderen Ansicht aus Art. 17 oder Art. 18 DSGVO abgeleitet werden kann (

26 Außerdem sind die Befürworter der ersten Ansicht gespalten: Nach einer Ansicht schafft die DSGVO ein geschlossenes System, das es unmöglich macht, den Unterlassungsanspruch auf das nationale Recht zu stützen. Nach einer anderen Ansicht, der das erstinstanzliche Gericht in der vorliegenden Rechtssache folgt, ist das Gegenteil der Fall.

27 Zwar sieht die DSGVO keinen ausdrücklichen Anspruch der betroffenen Person darauf vor, dass der Verantwortliche einer unrechtmäßigen Verarbeitung deren Wiederholung unterlässt. Bei der Auslegung einer Bestimmung des Unionsrechts sind jedoch nicht nur ihr Wortlaut, sondern auch der Zusammenhang, in den sie sich einfügt, und die Ziele, die mit der Regelung, zu der sie gehört, verfolgt werden, sowie gegebenenfalls deren Entstehungsgeschichte zu berücksichtigen (

28 Im Folgenden werde ich die Prüfung der ersten Vorlagefrage im Licht dieser Auslegungskriterien vornehmen. 1. Anspruch auf Unterlassung einer wiederholten unrechtmäßigen Verarbeitung

29 Im Einklang mit dem Vorbringen der Kommission (

30 Ich verstehe etwaige Vorbehalte gegenüber dieser Ansicht, da die Art. 5 und 6 DSGVO Teil von Kapitel II („Grundsätze“) und nicht von Kapitel III der DSGVO sind, das speziell den „Rechte[n] der betroffenen Person“ gewidmet ist. Zunächst könnte man meinen, dass sich der Katalog der durch die DSGVO geschützten Rechte der betroffenen Person in der Aufzählung der in Kapitel III angeführten Rechte erschöpft.

31 Diese Vorbehalte scheinen mir jedoch nicht unüberwindbar zu sein.

32 Unter der Überschrift „Grundsätze“ beschränkt sich Kapitel II der DSGVO nicht auf Programmsätze oder Ausführungen, die lediglich für die Auslegung anderer Vorschriften hilfreich sind. Vielmehr legt dieses Kapitel rechtliche Pflichten für all diejenigen fest, an die sich die DSGVO richtet. Diesen Pflichten entsprechen im Gegenzug und folgerichtig entweder schutzwürdige subjektive Interessen oder aber echte Rechte der betroffenen Personen (

33 Art. 5 Abs. 1 DSGVO legt unmittelbar verbindliche und zwingend einzuhaltende Grundsätze fest (

34 Auf einer höheren normativen Ebene verlangt Art. 8 der Charta der Grundrechte der Europäischen Union, in dem das Recht auf Schutz personenbezogener Daten verankert ist, in seinem Abs. 2, dass die Verarbeitung solcher Daten bestimmten Bedingungen unterliegt („Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden“), die ihre Rechtmäßigkeit gewährleisten.

35 Ein Verstoß des Verantwortlichen gegen einen der in den Art. 5 und 6 DSGVO genannten Grundsätze führt dazu, dass die Verarbeitung unrechtmäßig ist. Zugleich verstößt die unrechtmäßige Verarbeitung personenbezogener Daten gegen das Recht auf Schutz personenbezogener Daten.

36 Damit meine ich nicht, dass jeglicher Verstoß gegen die Bestimmungen der DSGVO automatisch dazu führt, dass die Verarbeitung personenbezogener Daten unrechtmäßig ist (

37 Was den Grundsatz der Rechtmäßigkeit der Verarbeitung angeht, so hat der Gerichtshof Folgendes festgestellt: – Er hat seinen obligatorischen Charakter anerkannt und stets darauf hingewiesen, dass jede Verarbeitung personenbezogener Daten dem Grundsatz der Rechtmäßigkeit entsprechen muss ( – Er hat den „Umfang der dem Verantwortlichen nach Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung obliegenden Pflichten“ hervorgehoben (

38 Als unmittelbare Entsprechung zu dem in Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 DSGVO aufgestellten Erfordernis besteht daher ein Recht der betroffenen Person darauf, dass jede Verarbeitung ihrer personenbezogenen Daten rechtmäßig ist. Meines Erachtens ist von diesem Postulat auszugehen, auch wenn dieses Recht nicht ausdrücklich in Kapitel III der DSGVO enthalten ist.

39 Denn wenn Kapitel III der DSGVO, das den Rechten der betroffenen Person gewidmet ist, als solches keine Anerkennung des Rechts auf Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten enthält, dann deshalb, weil eine solche ausdrückliche Anerkennung nicht erforderlich ist: Aus dem Wortlaut der Art. 5 und 6 DSGVO ergibt sich, dass dieses Recht vorausgesetzt wird.

40 Die ausdrückliche Verankerung eines Rechts in der DSGVO – über das hinaus, was bereits in Art. 5 DSGVO festgelegt ist –, dass jede Verarbeitung personenbezogener Daten auf einer rechtmäßigen Grundlage beruhen muss, war, das sei wiederholt, nicht unerlässlich (

41 Im Übrigen bin ich mir nicht sicher, ob die Rechte der betroffenen Person ausschließlich die in Kapitel III der DSGVO aufgeführten sind. In der DSGVO finden sich weitere Rechte, deren Ausübung in erster Linie durch den Verantwortlichen erleichtert werden muss (

42 Meines Erachtens kann das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, eine wiederholte unrechtmäßige Verarbeitung, die der zuvor durchgeführten entspricht, zu unterlassen, als Folge des Rechts derselben betroffenen Person darauf, dass jede Verarbeitung ihrer personenbezogenen Daten rechtmäßig ist, betrachtet werden.

43 Dieses Recht (ius) ist mit einem für die Zwecke der DSGVO unverzichtbaren gerichtlichen Reaktionsmechanismus (actio) gekoppelt, auf den in Art. 79 DSGVO Bezug genommen wird. Andernfalls wäre der Rechtsschutz für personenbezogene Daten unzureichend.

44 Der betroffenen Person das Recht einzuräumen, (gegebenenfalls vor einem Gericht) zu verlangen, dass sich eine unrechtmäßige Verarbeitung ihrer Daten nicht wiederholt, entspricht dem im zehnten Erwägungsgrund der DSGVO genannten Ziel, ein hohes Datenschutzniveau für natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten in der Union zu gewährleisten. Im elften Erwägungsgrund der DSGVO heißt es außerdem, dass ein wirksamer Schutz personenbezogener Daten die Stärkung der Rechte der betroffenen Personen erfordert (

45 Zu den Befugnissen der Aufsichtsbehörde nach Art. 58 Abs. 2 Buchst. d und f DSGVO gehört es, die Weisung zu erteilen, die Verarbeitung auf bestimmte Weise in Einklang mit der DSGVO zu bringen, und vorübergehende oder endgültige Beschränkungen der Verarbeitung, einschließlich eines Verbots, zu verhängen. Eine Beschwerde der betroffenen Person gemäß Art. 77 Abs. 1 DSGVO kann die Durchführung solcher Maßnahmen anstoßen.

46 Die Übertragung dieser Befugnisse auf die Aufsichtsbehörde ist voll und ganz damit vereinbar, dass die betroffene Person, wenn sie dies für angemessen hält, ein Gericht anruft, um einen wirksamen Schutz ihrer verletzten Rechte geltend zu machen. Zu diesem Zweck kann sie gemäß Art. 79 Abs. 1 DSGVO vor Gericht Klage gegen den Verantwortlichen erheben (

47 In Anbetracht der obigen Ausführungen bin ich der Ansicht, dass die betroffene Person sowohl das Recht (ius) hat, von dem Verantwortlichen zu verlangen, dass er eine wiederholte unrechtmäßige Verarbeitung im Sinne der DSGVO unterlässt, als auch die Möglichkeit hat, ein Gericht anzurufen (actio), damit dieses dem Verantwortlichen diese Pflicht zur Unterlassung auferlegt.

48 Eine entsprechende Klage der betroffenen Person fällt unter den charakteristischen Inhalt von Art. 79 Abs. 1 DSGVO, d. h., sie kann zu den Rechtsschutzmechanismen gezählt werden, die ihr durch diese Verordnung gewährt werden (

49 Entgegen der von mir vertretenen Auffassung macht Quirin geltend (zu verhindern, dass den Betroffenen weiterer Schaden entsteht“, letztlich nicht angenommen wurde (

50 Dass dieser Absatz bei der Behandlung durch den Rat weggefallen ist, scheint mir jedoch weder ein Hinweis auf eine gesetzgeberische Absicht zu sein, einen „Anspruch auf einstweilige Maßnahmen oder eine Verhinderung weiterer Schäden … in der finalen Fassung der DSGVO … nicht auf[zunehmen]“ (

51 Unter den Überschriften „Recht auf gerichtlichen Rechtsbehelf gegen für die Verarbeitung Verantwortliche oder Auftragsverarbeiter“ und „Gemeinsame Vorschriften für Gerichtsverfahren“ regelten die Art. 75 und 76 des Vorschlags nämlich eine Vielzahl von Fällen, denen es an Kohärenz fehlte (wirksamen ( 2. Möglichkeit der Ableitung eines Anspruchs auf Unterlassung einer unrechtmäßigen Verarbeitung aus Art. 17 oder Art. 18 DSGVO

52 Das vorlegende Gericht stellt seine erste Frage, indem es sich auf die Art. 17 und 18 oder „[eine sonstige] Bestimmung der DSGVO“ als mögliche Grundlage für das Recht der betroffenen Person beruft, von dem Verantwortlichen zu verlangen, die Wiederholung einer unrechtmäßigen Weiterleitung ihrer personenbezogenen Daten zu unterlassen.

53 Wie ich bereits ausgeführt habe, bin ich der Ansicht, dass diese Grundlage in den Art. 5 und 6 in Verbindung mit Art. 79 DSGVO zu finden ist, so dass nicht darauf eingegangen werden muss, wie sich die Art. 17 und 18 DSGVO insoweit auswirken.

54 Der Vollständigkeit halber werde ich jedoch im Folgenden auf diese beiden Bestimmungen eingehen. Ich werde die Gründe darlegen, die meiner Ansicht nach dagegen sprechen, einen solchen Anspruch herzuleiten – aus Art. 17 DSGVO, wenn die betroffene Person nicht die Löschung der Daten, die Gegenstand der unrechtmäßigen Verarbeitung sind, begehrt ( – aus Art. 18 DSGVO, insbesondere aus seinem Abs. 1 Buchst. b (

55 In der Regel (

56 Meines Erachtens reicht keine dieser beiden Bestimmungen für sich genommen aus, um das Recht der betroffenen Person zu begründen, von dem Verantwortlichen zu verlangen, die Wiederholung einer rechtswidrigen Verarbeitung (die der bereits durchgeführten vergleichbar ist) zu unterlassen: – Die Löschung unrechtmäßig verarbeiteter personenbezogener Daten auf der Grundlage von Art. 17 Abs. 1 Buchst. d DSGVO verhindert nicht nur die Wiederholung einer solchen Verarbeitung, sondern auch jede weitere Verarbeitung ( – Die Einschränkung der Verarbeitung der Daten auf der Grundlage von Art. 18 Abs. 1 Buchst. b DSGVO stellt keine Maßnahme dar, die ausreichenden Schutz vor einer unrechtmäßigen Verarbeitung bietet. Mit einer solchen Maßnahme wird (unter bestimmten Bedingungen) auf Verlangen der betroffenen Person die Verpflichtung des Verantwortlichen zur Löschung der Daten ausgesetzt; dem liegt gerade zugrunde, dass die Verarbeitung unrechtmäßig ist.

57 Art. 17 DSGVO sieht wörtlich das Recht auf Löschung personenbezogener Daten und das Recht auf Vergessenwerden vor. Art. 17 Abs. 1 DSGVO regelt das Recht der betroffenen Person, die Löschung der sie betreffenden personenbezogenen Daten zu verlangen, sowie die Gründe für die Ausübung dieses Rechts (

58 Eine Auslegung von Art. 17 DSGVO dahin gehend, dass er ein anderes Begehren der betroffenen Person als die Löschung der verarbeiteten personenbezogenen Daten erfasst, steht im Widerspruch zum Wortlaut der Bestimmung und entspricht nicht ihrem Zweck.

59 Diese Auslegung stößt auch auf systematische Schwierigkeiten: Innerhalb von Kapitel III der DSGVO sehen andere Artikel das Recht vor, die Verarbeitung von Daten ohne deren Löschung einzuschränken (

60 Schließt man diese Auslegung also aus, erscheint es mir nicht logisch, aus Art. 17 DSGVO einen Anspruch auf künftige Unterlassung einer konkreten Verarbeitung personenbezogener Daten durch denselben Verantwortlichen, in dessen Besitz sich diese Daten befanden, abzuleiten. Wenn der Verantwortliche die Anweisung zur Löschung befolgt, stehen ihm die Daten naturgemäß nicht mehr zur Verfügung und er kann sie tatsächlich nicht mehr verarbeiten (

61 Ebenso wenig schützt Art. 18 DSGVO das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, dass er die weitere unrechtmäßige Verarbeitung ihrer personenbezogenen Daten, die der bereits erfolgten Verarbeitung entspricht, unterlässt.

62 Unter der Überschrift „Recht auf Einschränkung der Verarbeitung“ gibt Art. 18 DSGVO der betroffenen Person alternative Befugnisse zu dem Recht, die Löschung ihrer personenbezogenen Daten zu verlangen. Es handelt sich um Befugnisse, die ihr mit einem genauen Inhalt, unter bestimmten Bedingungen und für einen begrenzten Zeitraum übertragen werden. Art. 18 DSGVO ermöglicht es der betroffenen Person außerdem, die Löschung dieser Daten abzulehnen.

63 Ziel dieser Bestimmung ist es, die Interessen der Person, deren Daten verarbeitet werden, und die des für die Verarbeitung Verantwortlichen in Einklang zu bringen, wenn zwischen ihnen Uneinigkeit darüber besteht, ob diese personenbezogenen Daten berichtigt (Abs. 1 Buchst. a) oder gelöscht (Abs. 1 Buchst. b und c) werden müssen oder welche Gründe im Fall eines Widerspruchs der betroffenen Person gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO überwiegen (Abs. 1 Buchst. d).

64 Die Ausübung des Rechts auf Einschränkung der Verarbeitung hat zur Folge, dass die „eingeschränkten Daten“ nicht berichtigt oder gelöscht werden (

65 Die Einschränkung der Verarbeitung gemäß Art. 18 DSGVO ist vorübergehend; ihre Dauer hängt von der Verwirklichung des Zwecks ab, für den die betroffene Person das Recht auf Einschränkung der Verarbeitung ausübt. Der vorübergehende Charakter ist in den in Art. 18 Abs. 1 Buchst. a (

66 Art. 18 Abs. 1 Buchst. b DSGVO, dessen Bedeutung und Tragweite zugegebenermaßen unklar sind (

67 Dass in Art. 18 Abs. 1 Buchst. b DSGVO nicht auf die Gründe Bezug genommen wird, aus denen die betroffene Person die Löschung ihrer Daten ablehnt (und stattdessen die Einschränkung ihrer Nutzung verlangt), sollte auch aus systematischen Gründen nicht als unterschiedsloses Zulassen beliebiger Gründe verstanden werden – und erst recht nicht dahin, dass gar keine Gründe erforderlich sind. Vielmehr muss das Recht, die Einschränkung der Verarbeitung gemäß Art. 18 Abs. 1 Buchst. b zu verlangen, einem begründeten und legitimen Zweck entsprechen (

68 Die Speicherung personenbezogener Daten stellt für den Verantwortlichen eine Belastung dar, die nicht frei von Risiken ist, und sollte daher nur für einen bestimmten Zeitraum verlangt werden können, wenn die Löschung dieser Daten die berechtigten Interessen der betroffenen Person beeinträchtigen würde.

69 Ich bin daher der Ansicht, dass sich das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, die wiederholte unrechtmäßige Verarbeitung ihrer personenbezogenen Daten zu unterlassen, auch nicht aus Art. 18 Abs. 1 Buchst. b DSGVO ableiten lässt. Zweck dieser Bestimmung ist es, den Verantwortlichen – vorübergehend und zu einem von der betroffenen Person verfolgten legitimen Zweck – daran zu hindern, die rechtliche Verpflichtung, die ihm aufgrund der Unrechtmäßigkeit obliegt, zu erfüllen, indem er die betreffenden personenbezogenen Daten unverzüglich löscht. B. Dritte Vorlagefrage

70 Die dritte Vorlagefrage wird für den Fall gestellt, dass die erste Vorlagefrage verneint wird. Da meines Erachtens die Art. 5, 6 und 79 DSGVO bei einer Auslegung in dem von mir oben dargelegten Sinne eine hinreichende Grundlage für das Recht der betroffenen Person darstellen, von dem Verantwortlichen zu verlangen, dass er die weitere unrechtmäßige Weiterleitung ihrer personenbezogenen Daten unterlässt, erübrigt es sich, darauf einzugehen, ob dieser Lösungsweg auf der Grundlage von Bestimmungen des nationalen Rechts erreicht werden könnte. C. Zweite Vorlagefrage

71 Die zweite Vorlagefrage beruht auf der Prämisse, dass sich aus der DSGVO ein Anspruch der betroffenen Person darauf ergibt, dass der Verantwortliche eine unrechtmäßige Verarbeitung personenbezogener Daten, die der bereits durchgeführten vergleichbar ist, unterlässt.

72 Ausgehend von dieser Prämisse möchte das vorlegende Gericht wissen, ob dieser Anspruch davon abhängt, dass eine Wiederholungsgefahr besteht, und, falls dies bejaht wird, ob das Bestehen dieser Gefahr „aufgrund des bereits vorliegenden Verstoßes gegen die DSGVO vermutet [wird]“.

73 Da die DSGVO die Unterlassungsklagen, mit denen die Wiederholung einer unrechtmäßigen Verarbeitung personenbezogener Daten verhindert werden soll, nicht regelt, ist es gemäß dem Grundsatz der Verfahrensautonomie Sache der einzelnen Mitgliedstaaten, diese zu regeln.

74 Die entsprechenden Modalitäten dürfen nicht weniger günstig ausgestaltet sein als die für innerstaatliche Rechtsbehelfe (Grundsatz der Äquivalenz) und die Ausübung der durch die Unionsrechtsordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Grundsatz der Effektivität) (

75 Aus den Angaben im Vorlagebeschluss geht nicht hervor, dass die nationalen Vorschriften über die Erhebung einer Klage auf Unterlassung einer unrechtmäßigen Verarbeitung personenbezogener Daten gegen diese beiden Grundsätze verstoßen: – Auf den ersten Blick sind diese Vorschriften die gleichen wie diejenigen, die das nationale Recht für ähnliche Sachverhalte vorsieht. Der Schutz der Rechte, der dem Einzelnen durch das Unionsrecht eingeräumt wird, ist somit nicht ungünstiger als der Schutz der nach innerstaatlichen Vorschriften bestehenden Rechte. – Es ist auch nicht ersichtlich, dass derartige Vorschriften die betroffene Person, die die Klage erhebt, übermäßig belasten würden. Es ist zutreffend, dass die betroffene Person (Kläger) gemäß der üblichen Beweislastverteilung nachweisen muss, dass eine Wiederholungsgefahr seitens des Verantwortlichen besteht. Es spricht jedoch nichts dagegen, dass dem Kläger die widerlegbare Vermutung zugutekommt, dass eine solche Gefahr angesichts des bereits begangenen Verstoßes besteht. Aufgrund dieser Vermutung, die den Gegenbeweis zulässt, ist der Erlass einer Verfügung auf Unterlassung der Wiederholung einer unrechtmäßigen Verarbeitung zulässig, es sei denn, der Verantwortliche weist nach, dass im konkreten Fall keine Wiederholungsgefahr besteht. D. Sechste Vorlagefrage

76 Unter der erneuten Annahme, dass die betroffene Person einen einklagbaren Anspruch auf Unterlassung einer unrechtmäßigen Verarbeitung ihrer personenbezogenen Daten, die der in der Vergangenheit bereits erfolgten vergleichbar ist, hat, bittet das vorlegende Gericht um die Auslegung von Art. 82 Abs. 1 DSGVO.

77 Es möchte insbesondere wissen, ob „bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens als anspruchsmindernd berücksichtigt werden kann, dass der betroffenen Person neben dem Anspruch auf Schadensersatz ein Unterlassungsanspruch zusteht“.

78 Aus dem im Vorlagebeschluss zitierten Urteil des Bundesgerichtshofs (

79 Nach Ansicht des vorlegenden Gerichts „erscheint fraglich“, „[o]b … diese Grundsätze … auf den Anspruch auf Ersatz immateriellen Schadens nach Art. 82 Abs. 1 DSGVO übertragen werden können“.

80 Der in Art. 82 Abs. 1 DSGVO vorgesehene Ersatz des Schadens, der durch eine unrechtmäßige Datenverarbeitung entstanden ist, beruht auf einem anderen Verständnis als dem in der sechsten Vorlagefrage anklingenden. Diese Frage ist daher meines Erachtens zu verneinen.

81 Der in Art. 82 Abs. 1 DSGVO vorgesehene Schadenersatz deckt alle materiellen und immateriellen Schäden wegen eines Verstoßes gegen die DSGVO ab. Der Begriff „immaterieller Schaden“ im Sinne dieser Bestimmung muss eine autonome und einheitliche Definition erhalten (

82 Der Gerichtshof hat den Begriff des immateriellen Schadens weit ausgelegt. Er hat insbesondere entschieden, dass „die durch einen Verstoß gegen die DSGVO ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, für sich genommen einen ‚immateriellen Schaden‘ im Sinne von Art. 82 Abs. 1 darstellen kann“ (

83 Art. 82 Abs. 1 DSGVO unterscheidet nach dieser Auslegung nicht danach, ob die missbräuchliche Verwendung personenbezogener Daten durch Dritte zum Zeitpunkt des Schadenersatzantrags bereits erfolgt ist oder ob der vom Kläger geltend gemachte immaterielle Schaden mit seiner Angst verknüpft ist, dass eine solche Verwendung in Zukunft erfolgen wird (

84 Weist der Verletzte nach, dass er tatsächlich einen Schaden erlitten hat, hat er Anspruch auf einen Schadenersatz, der den Schaden in vollem Umfang ausgleicht (

85 Nach ständiger Rechtsprechung des Gerichtshofs dient die volle Entschädigung ausschließlich dem Ausgleich. Der Gerichtshof räumt zwar ein, dass das Recht auf Schadenersatz auch geeignet ist, von der Wiederholung unrechtmäßiger Verhaltensweisen abzuschrecken, stellt aber fest, dass der Schadenersatz nach Art. 82 DSGVO keinen Abschreckungs- oder Strafzweck verfolgt (

86 Im Licht dieser Rechtsprechung kann Folgendes festgestellt werden: – Der Zweck des gemäß Art. 82 DSGVO geforderten oder erlangten Schadenersatzes deckt sich nicht mit dem der Unterlassungsklagen, die erhoben werden, damit der Verantwortliche künftig eine ähnliche rechtswidrige Datenverarbeitung, die der bereits erfolgten vergleichbar ist, nicht wiederholt. – Eine Unterlassungsverfügung, die darauf abzielt, die Wiederholung von Handlungen, die einen Schaden verursacht haben, zu verhindern, damit kein weiterer Schaden entsteht, gleicht nicht den bereits entstandenen Schaden aus.

87 Die Beantragung einer Unterlassungsverfügung, damit es zu keiner Wiederholung einer gegen die DSGVO verstoßenden Datenverarbeitung kommt, setzt voraus, dass eine gewisse Gefahr besteht, dass eine solche unrechtmäßige Verarbeitung künftig wiederholt wird. Wenn die Maßnahme getroffen wird, wird dieses Risiko beseitigt und es wird schwierig sein, eine auf die Möglichkeit einer Wiederholung der unrechtmäßigen Verarbeitung gestützte Befürchtung zu begründen, um erfolgreich Schadenersatz zu fordern. Dagegen wird durch die Unterlassungsverfügung der immaterielle Schaden, der vor ihrem Erlass entstanden ist und der mit dieser Befürchtung verknüpft war, nicht ausgeglichen.

88 Im Ergebnis kann bei der Bemessung des immateriellen Schadens, der sich aus einer unrechtmäßigen Verarbeitung ergibt und der zu ersetzen ist, weil er bereits eingetreten ist, nicht anspruchsmildernd berücksichtigt werden, dass die betroffene Person neben dem Schadenersatzanspruch auch einen Anspruch auf Unterlassung einer unrechtmäßigen Verarbeitung, die der bereits erfolgten vergleichbar ist, in der Zukunft hat. V. Ergebnis

89 Nach alledem schlage ich vor, die erste, die zweite, die dritte und die sechste Vorlagefrage des Bundesgerichtshofs wie folgt zu beantworten: Art. 5 Abs. 1 Buchst. a, Art. 6 Abs. 1, Art. 79 Abs. 1 und Art. 82 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung) sind dahin auszulegen, dass – der betroffenen Person, deren personenbezogene Daten von dem Verantwortlichen unrechtmäßig offengelegt wurden, gemäß Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 in Verbindung mit Art. 79 Abs. 1 der Verordnung 2016/679 ein Anspruch gegen den Verantwortlichen auf künftige Unterlassung einer erneuten unrechtmäßigen Weiterleitung der Daten, die der bereits erfolgten vergleichbar ist, zusteht. – Es ist Sache der nationalen Rechtsordnung, unter Beachtung der Grundsätze der Äquivalenz und der Effektivität die Voraussetzungen für die Erhebung einer gegen den für die Verarbeitung personenbezogener Daten Verantwortlichen gerichteten Unterlassungsklage zu regeln. Es spricht nichts dagegen, für diese Zwecke den Nachweis der Wiederholungsgefahr zu verlangen oder gegebenenfalls eine (widerlegbare) Vermutung einer solchen Gefahr, die sich aus einem früheren Verstoß gegen die Verordnung 2016/679 ergibt, aufzustellen. – Gemäß Art. 82 Abs. 1 der Verordnung 2016/679 ist es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens kein anspruchsmindernder Umstand, dass der betroffenen Person neben dem Anspruch auf Schadenersatz auch das Recht zusteht, von dem für die Verarbeitung Verantwortlichen zu verlangen, dass er künftig eine weitere unrechtmäßige Verarbeitung, die der bereits erfolgten vergleichbar ist, unterlässt.