OGH 6Ob217/19h

Spruch:

Der Revision wird nicht Folge gegeben.

Die klagende Partei ist schuldig, der beklagten Partei binnen 14 Tagen die mit 833,88 EUR (darin 138,98 EUR USt) bestimmten Kosten des Revisionsverfahrens zu ersetzen.

Entscheidungsgründe:

Der Kläger begehrt aus dem Titel des Schadenersatzes 8.271,67 EUR sA sowie die Feststellung der Haftung der beklagten Partei für künftige Schäden. Die beklagte Partei erteile Bonitätsauskünfte. In einer dieser Datenbanken hätten sich personenbezogene Daten des Klägers über ein angeblich anhängiges Inkassoverfahren betreffend 138 EUR befunden. Dieser Eintrag sei schon deshalb rechtswidrig, weil er ohne entsprechende Benachrichtigung des Klägers erfolgt sei. Im Übrigen habe der Eintrag nicht den Kläger, sondern eine andere Person betroffen. Der Kläger habe im Jahr 2016 den Abschluss eines Kreditvertrags mit der P* (in der Folge: P*) über 369.000 EUR angebahnt. Der Abschluss dieses Kreditvertrags sei jedoch aufgrund einer Einsicht der P* in die Datenbank der beklagten Partei abgelehnt worden. Ohne diese negative Auskunft wäre das Kreditverhältnis zustande gekommen. Der Kläger habe in der Folge bei einer anderen Bank einen Kreditvertrag abgeschlossen, der jedoch ungünstiger sei. Dadurch seien ihm Mehraufwendungen entstanden. Darüber hinaus habe der Kläger im Falle einer Datenschutzverletzung Anspruch auf Ersatz des immateriellen Schadens, der mit 2.000 EUR bewertet werde.

Die beklagte Partei beantragte die Klagsabweisung. Die Eintragung betreffend das Inkassoverfahren gegen den Kläger sei zum Zeitpunkt der Vornahme der Eintragung richtig gewesen. Zwischenzeitig sei der Eintrag über Betreiben des Klägers gelöscht worden, weil keine weiteren Einträge hinzugekommen seien.

Das Erstgericht verpflichtete die Beklagte zur Zahlung von 2.000 EUR sA; das Mehrbegehren sowie das Feststellungsbegehren wies es ab. Das Erstgericht traf dabei im Wesentlichen folgende Feststellungen:

Die beklagte Partei ist eine Wirtschaftsauskunftei. Ein direkter Kontakt zwischen der P* und der beklagten Partei bestand nicht. Die P* wird von der D* GmbH betreut. Über Anfrage der D* GmbH erteilte die Beklagte eine Auskunft über den Kläger. Diese Auskunft wurde an die P* weitergeleitet. In der übermittelten Auskunft war angegeben: „Ampel‑Score: 5 (durchschnittliche Bonität, durchschnittliches bis erhöhtes Risiko)“ sowie als „Negativmerkmal“ das „Merkmal 20 (Inkasso)“.

Der Kläger wollte zur (teilweisen) Finanzierung des Kaufs einer Liegenschaft einen Kredit aufnehmen. Er erhoffte sich günstigere Konditionen durch Einschaltung eines Kreditvermittlers. Der von ihm beauftragte Vermögensberater wandte sich an die Kreditvermittlungsplattform „C*“. Diese Plattform wird von der I* GmbH betrieben. Das Erstgericht konnte nicht feststellen, ob oder zu welchen Bedingungen die P* allenfalls ihre Bereitschaft erklärte, dem Kläger Kredit zu gewähren. Es steht auch nicht fest, ob und allenfalls aus welchen Gründen die P* eine mündliche Zusage, dem Kläger Kredit zu gewähren, wieder zurücknahm bzw nicht bereit war einen Kredit zu gewähren. Es konnte auch nicht festgestellt werden, ob die Bank ein unüberwindliches Hindernis für die Kreditgewährung in einer unrichtigen negativen Auskunft der beklagten Partei über den Kläger erblickte.

Der Kläger nahm in der Folge über Vermittlung von F* bei einer anderen Bank einen Kredit auf. Für diese Kreditvermittlung verrechnete der Vermögensberater dem Kläger kein Honorar. Er stellte allerdings eine Honorarnote für „Mehraufwand U*, Finanz‑ und Investitionsberatung, begleitende Betreuung“ über 1.650 EUR.

Rechtlich beurteilte das Erstgericht die Weitergabe der Daten als rechtswidrig. Dem Kläger sei jedoch weder der Nachweis eines Schadens noch der Kausalitätsnachweis gelungen.

Dieses Urteil erwuchs in seinem klagsstattgebenden Teil mangels Anfechtung in Rechtskraft. Über Berufung des Klägers bestätigte das Berufungsgericht den klagsabweisenden Teil des Urteils. Nach Verwerfung einer Beweis‑ und Mängelrüge erwog es in rechtlicher Sicht, das Vorliegen einer unzulässigen Verarbeitung genüge noch nicht für das Entstehen einer Ersatzpflicht. Weder für das Vorliegen eines Schadens noch für die Kausalität erscheine die Annahme einer Beweislastumkehr sachgerecht. Damit gingen die vom Erstgericht getroffenen Negativfeststellungen zu Lasten des Klägers.

Das Berufungsgericht ließ die ordentliche Revision mit der Begründung zu, dass es zur Frage der Beweislastverteilung bei Geltendmachung eines Anspruchs nach Art 82 DSGVO keine höchstgerichtliche Rechtsprechung gibt und diese Frage über den Einzelfall hinaus Bedeutung habe.

Rechtliche Beurteilung​

Die Revision ist zulässig, aber nicht berechtigt.

1.1. Nach der Rechtsauffassung des Berufungsgerichts sind bereits die DSGVO und das DSG idF des Datenschutz-Anpassungsgesetzes 2018 anzuwenden. Zum Zeitpunkt des Inkrafttretens des Datenschutz-Anpassungsgesetzes 2018 anhängige Gerichtsverfahren seien nämlich nach den Bestimmungen des DSG idF des Datenschutz-Anpassungsgesetzes 2018 und der DSGVO fortzuführen. Demgegenüber steht die beklagte Partei auf dem Standpunkt, die Übergangsbestimmung des § 69 DSG sei nicht auf schadenersatzrechtliche Bestimmungen anzuwenden, weil die Übergangsbestimmung nicht dazu führen soll, dass bis zu diesem Zeitpunkt geltende Beweisregeln mitten in einem Verfahren geändert werden.

1.2. § 69 (4) und (5) DSG lauten:

„(4) Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren sind nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt.

(5) Verletzungen des Datenschutzgesetzes 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, sind nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen. Ein strafbarer Tatbestand, der vor dem Inkrafttreten dieses Bundesgesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren.“

1.3. Den Erläuterungen zum Datenschutz-Anpassungs-Gesetz 2018 ist dazu nichts Weiterführendes zu entnehmen.

1.4. § 29 (1) DSG lautet:

„Jede Person, der wegen eines Verstoßes gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter nach Art. 82 DSGVO. Im Einzelnen gelten für diesen Schadenersatzanspruch die allgemeinen Bestimmungen des bürgerlichen Rechts.“

1.5. Der erkennende Senat hat bereits ausgesprochen, dass sowohl die DSGVO als auch das Datenschutzgesetz idF des Datenschutz-Anpassungsgesetzes 2018 im Revisionsverfahren bereits beachtlich sind, auch wenn die Vorinstanzen noch auf der Grundlage des Datenschutzgesetzes 2000 entschieden haben (6 Ob 131/18k). Demgemäß wurde in dieser Entscheidung auf den vor Inkrafttreten der DSGVO liegenden Sachverhalt auch materiell-rechtlich die neue Rechtslage angewendet. In der Entscheidung 6 Ob 91/19d, welche ebenso zur Übergangsbestimmung Stellung nahm, war hingegen lediglich eine Frage der Zuständigkeit zu klären, also insofern keine materiell-rechtliche Frage.

1.6. Zwar trifft zu, dass eine Änderung der Beweislastregeln in einem in der Instanz anhängigen Schadenersatzprozess dazu führen könnte, dass das erstinstanzliche Verfahren ergänzt werden muss, weil möglicherweise nicht die notwendigen Feststellungen getroffen wurden. Allerdings gilt dies nicht nur für eine Änderung der Beweislastregeln, sondern für jede auf anhängige Verfahren wirkende Rechtsänderung.

2.1. Im vorliegenden Fall führt sowohl die Anwendung der alten als auch der neuen Rechtslage zum selben Ergebnis, weil die Beweislast für das Vorliegen eines Schadens und für die Kausalität nicht geändert wurde. § 33 DSG 2000 enthielt eine klare Beweislastumkehr (nur) zum Verschulden. § 33 Abs 3 DSG 2000 lautete:

„(3) Der Auftraggeber kann sich von seiner Haftung befreien, wenn er nachweist, dass der Umstand, durch den der Schaden eingetreten ist, ihm und seinen Leuten (Abs. 2) nicht zur Last gelegt werden kann. Dasselbe gilt für die Haftungsbefreiung des Dienstleisters. Für den Fall eines Mitverschuldens des Geschädigten oder einer Person, deren Verhalten er zu vertreten hat, gilt § 1304 ABGB.“

2.2. Art 82 DSGVO sieht demgegenüber zwar auch eine Beweislastumkehr vor, ist aber anders formuliert. Nach Abs 3 dieser Bestimmung wird der Verantwortliche oder der Auftragsverarbeiter von der Haftung gemäß Abs 2 der Norm befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Der erkennende Senat hat bereits klargestellt, dass Art 82 DSGVO als Ergänzung zum nationalen Schadenersatzrecht als eine Art lex specialis eines datenschutzrechtlichen Schadenersatzrechts zu sehen ist (6 Ob 131/18k und 6 Ob 91/19d).

2.3. Auf die im Schrifttum unterschiedlich beantwortete Frage, ob es sich bei dem Anspruch nach Art 82 DSGVO um eine Verschuldenshaftung mit Beweislastumkehr oder eine Art der Gefährdungshaftung handelt (siehe dazu nur die Nachweise bei Schweiger in Knyrim, DatKomm Art 82 DSGVO [Stand 1. 12. 2018, rdb.at] Rz 46 ff; jüngst dazu auch Spitzer, Schadenersatz für Datenschutzverletzungen, ÖJZ 2019, 629), ist im vorliegenden Fall nicht einzugehen.

3.1. Der Oberste Gerichtshof hat bereits im Zusammenhang mit der Eintragung von die Kreditwürdigkeit einer Person betreffenden Daten in die „Warnliste der österreichischen Kreditinstitute zum Zweck des Gläubigerschutzes und der Risikominimierung durch Hinweis auf vertragswidriges Kundenverhalten“ ausgesprochen, dass der in § 6 Abs 1 Z 1 DSG 2000 verankerte Grundsatz, wonach Daten nur nach Treu und Glauben verwendet werden dürfen, eine entsprechende Benachrichtigung des Betroffenen erfordert, um ihm die Möglichkeit zu geben, sich gegen eine seiner Meinung nach nicht gerechtfertigte, seine Kreditwürdigkeit aber massiv beeinträchtigende Datenverwendung zur Wehr zu setzen. Die Eintragung in die Warnliste ist rechtswidrig und der Bank subjektiv vorwerfbar, wenn sie ohne entsprechende Benachrichtigung des Betroffenen erfolgt (6 Ob 275/05t; 6 Ob 247/08d). Dabei ist es auch irrelevant, ob das eingetragene Datum tatsachenrichtig war (6 Ob 247/08d; RS0120439).

3.2. Der Vollständigkeit halber ist schließlich darauf zu verweisen, dass nach der Rechtsauffassung der Datenschutzkommission zum DSG 2000 die Unzulässigkeit der Übermittlung der Daten sich (zusätzlich) auch aus deren mangelnder Aussagekraft ergeben kann, was Rückwirkungen auf die Beurteilung des Vorliegens eines berechtigten Interesses an der Datenübermittlung haben kann (K211.773/0009‑DSK/2007). Demnach muss geprüft werden, ob Daten, die auf den ersten Blick bonitätsrelevant scheinen, in Wahrheit keine oder nur sehr beschränkte/unzuverlässige Aussagekraft über die Bonität des Betroffenen zukommt. Würden daher gegenüber dem Inkassobüro keine nennenswerten Zahlungsschwierigkeiten offenbar – das sei bei einer Zahlung in lediglich zwei Monatsraten anzunehmen –, sei die bloße Übergabe zum Inkasso im Hinblick auf die soeben dargelegte beschränkte Aussagekraft kein Datum, für dessen Weitergabe an eine Kreditauskunftei ein überwiegendes berechtigtes Interesse angenommen werden kann.

4.1. Auch wenn die Rechtswidrigkeit von beiden Instanzen im Sinne der höchstgerichtlichen Rechtsprechung bejaht wurde und auch von den Parteien nicht in Frage gestellt wird, müssen für einen Schadenersatzanspruch auch die übrigen Voraussetzungen vorliegen:

4.2. Das Erstgericht traf mehrere Negativfeststellungen. Das Berufungsgericht kam zu dem Ergebnis, dass auch nach Art 82 DSGVO der Kläger die Beweislast für den Eintritt des Schadens und die Kausalität trägt. Nur für das Verschulden bestehe eine Beweislastumkehr. Weiters sei nach Auffassung des Berufungsgerichts dem Kläger weder für den Eintritt des Schadens noch für den Kausalitätszusammenhang der Beweis gelungen.

4.3. Die Auffassung des Berufungsgerichts steht in Einklang mit der herrschenden Meinung im Schrifttum. Demnach normiert Art 82 DSGVO nur eine Beweislastumkehr in Bezug auf das Verschulden, nicht jedoch hinsichtlich der anderen anspruchsbegründenden Voraussetzungen (Schweiger in Knyrim, DatKomm Art 82 DSGVO [Stand 1. 12. 2018, rdb.at] Rz 91 ff; Feiler/Forgó, EU‑DSGVO: Kurzkommentar, Art 82 Anm 1; Quaas in Wolff/Brink, BeckOK Datenschutzrecht, 29. Edition, Art 82 Rn 17; Stand: 1. 8. 2019; Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 29 Rz 5; im Ergebnis auch Zankl, Unklare DSGVO‑Haftung, ecolex 2017, 1150 [1151]; wohl auch Aigner/Haidenthaler, Abschluss einer Auftragsverarbeitervereinbarung [Art 28 DSGVO], RdW 2019, 751).

4.4. Dem Kläger ist nicht einmal der Beweis des Schadens gelungen, darüber hinaus aber auch nicht der Beweis der Kausalität. Eine Beweislastumkehr für den Eintritt des Schadens wird in der Literatur, soweit ersichtlich, nicht vertreten. Festgestellt wurde vom Erstgericht lediglich, dass die C* für den Kläger am 11. 1. 2016 einen Kreditantrag samt Unterlagen bei der P* einreichte. Es steht nicht fest, dass eine mündliche Zusage gegeben wurde oder zu welchen Bedingungen die P* allenfalls ihre Bereitschaft zur Kreditvergabe erklärte. Eine schriftliche Zusage gab es nicht. Fest steht, dass eine Auskunft über die Bonität des Klägers an die P* weitergeleitet wurde. Den Feststellungen ist nicht zu entnehmen, zu welchem Zeitpunkt dies geschah. Es steht nicht fest, ob die Bank ein unüberwindliches Hindernis für die Kreditgewährung in einer unrichtigen negativen Auskunft der beklagten Partei über den Kläger erblickte.

4.5. Das Berufungsgericht führt aus, dass nicht feststeht, zu welchen Bedingungen die P* dem Kläger allenfalls einen Kredit gewährt hätte und dass dieser daher nicht nachweisen konnte, dass der von der B* gewährte Kredit im Vergleich schlechter war und ihm dadurch ein Vermögensnachteil entstanden ist. Es komme daher auch die Anwendung des § 273 ZPO nicht in Frage. Die Revision argumentiert demgegenüber, dass es für den Beweis des Schadens ausreiche, dass feststehe, dass ein Antrag auf Kreditgewährung gestellt wurde, die Bank eine Bonitätsabfrage mit dem Ergebnis der rechtswidrig verarbeiteten Daten gestellt habe und letztendlich kein Kredit gewährt wurde.

4.6. Dem ist nicht zu folgen. Das Unionsrecht enthält zur Beweislast keinerlei Bestimmungen, sodass diesbezüglich die innerstaatlichen Vorschriften zur Anwendung kommen (Kerschbaumer-Gugu, Schadenersatz bei Datenschutzverletzung [2019] 102 f). Die Beweislast für das Vorliegen und die Höhe des Schadens liegt daher beim Kläger. Gemäß dem Effektivitätsprinzip darf das nationale Beweisrecht nur keine unüberbrückbaren Hürden für die Geltendmachung des Anspruchs vorsehen (Kerschbaumer-Gugu aaO).

4.7. Nach Kerschbaumer-Gugu (aaO) können zum Beweis des materiellen Schadens insbesondere Statistiken aus der Kreditwirtschaft zum Nachweis der gewöhnlichen Höhe des Kreditzinses herangezogen werden. § 273 Abs 1 ZPO biete eine Erleichterung bei der Berechnung, vorausgesetzt der Schadenersatzanspruch stünde dem Grunde nach fest. Zur Beweislast bei der Kausalität führt Kerschbaumer-Gugu aus (S 153 f), dass es ohne genauen Einblick in die Verarbeitungsvorgänge praktisch nicht nachzuweisen sei, dass beispielsweise eine unzulässige Weitergabe von Bonitätsdaten die ausschlaggebende Ursache für die Nichtgewährung eines Kredits war.

4.8. Nun ist grundsätzlich nicht ausgeschlossen, dass schon der Nachweis der Nichtgewährung eines Kredits nach unzulässiger Bonitätsauskunft für den Nachweis eines Schadens ausreicht. Der vorliegende Fall ist allerdings anders gelagert: Dem Kläger wurde in der Folge ein Kredit durch eine andere Bank gewährt. Er begehrt daher im vorliegenden Fall nicht den Schaden aufgrund der Nichtgewährung des Kredits, sondern den Schaden, der in der Differenz zwischen dem nichtgewährten Kredit und dem tatsächlich erhaltenen Kredit liegt. In diesem Fall kann der Schaden aber nicht schon in der Nichtgewährung eines Kredits liegen, sondern nur in der Nichtgewährung eines Kredits zu besseren Konditionen. Daher hätte der Kläger nach allgemeinen Grundsätzen den Eintritt des konkreten Differenzschadens beweisen müssen. Dies ist ihm jedoch nicht gelungen. Er bringt auch nicht vor, dass der tatsächlich gewährte Kredit etwa zu marktunüblichen Konditionen geschlossen wurde. Er konnte nicht einmal die Konditionen nachweisen, die ihm angeblich angeboten wurden. Selbst die Konditionen, die er behauptet, sind auf den ersten Blick nicht in jedem Fall besser als die Konditionen des tatsächlich gewährten Kredits. So ergibt sich aus den vorgelegten Beilagen beispielsweise, dass der angegebene Gesamtbetrag der Kreditrückzahlung bei der P* 451.136,78 EUR (bei einem Gesamtkreditbetrag von 355.428,40 EUR, siehe Beilage ./C) und bei der B* nur 419.508,41 EUR (bei einem Gesamtkreditbetrag von 350.828,36 EUR, siehe Beilage ./E) beträgt. Freilich sind die Kredite auch schwer vergleichbar, weil der eine auf 40 Jahre und der andere auf 30 Jahre berechnet wird und beim Kredit der B* auch die Lebensgefährtin des Klägers Kreditnehmerin ist. Wenn der Kläger darauf verweist, dass der Kredit bei der P* einen Fixzinssatz erhalten hätte, ist dem im Übrigen entgegenzuhalten, dass dieser nur für 10 Jahre gegolten hätte (vgl Beilage ./C).

5.1. Damit ist dem Kläger aber schon der Beweis eines Schadens nicht gelungen. Zusätzlich scheitert der Anspruch des Klägers aber am fehlenden Nachweis der Kausalität:

5.2. Nach völlig einhelliger Auffassung ist aus der Bestimmung des Art 82 DSGVO keine Beweislastumkehr hinsichtlich der Kausalität abzuleiten. Auch die in der Revision dafür angeführten Stimmen bejahen eine solche nicht. Nach Schweiger (in Knyrim, DatKomm Art 82 DSGVO Rz 91) sind die haftungsbegründenden Tatsachen vom Anspruchsteller zu behaupten und zu beweisen, sohin der Eintritt eines (materiellen oder immateriellen) Schadens, der Normverstoß, dh die (objektive) Rechtswidrigkeit durch den Schädiger, sowie die (Mit‑)Ursächlichkeit des Verhaltens des Schädigers am eingetretenen Schaden im Sinne einer adäquaten Kausalität. Auch Zankl (Unklare DSGVO‑Haftung, ecolex 2017, 1150 [1151]) verneint letztendlich eine Beweislastumkehr für die Kausalität.

5.3. Jedenfalls am fehlenden Kausalitätsnachweis scheitert das Begehren des Klägers auch, soweit es sich auf die letztendlich frustrierte Tätigkeit des Kreditvermittlers stützt, für die dem Kläger eine Honorarnote in Höhe von 1.650 EUR gelegt wurde.

5.4. Auch die Anwendung eines Anscheinsbeweises hat das Berufungsgericht zu Recht verneint. Der Anscheinsbeweis wird in Fällen als sachgerecht empfunden, in denen eine umfassende und konkrete Beweisführung vom Beweispflichtigen billigerweise nicht erwartet werden kann, weil Umstände beweisbedürftig sind, die allein in der Sphäre des anderen liegen, nur letzterem bekannt sein können und daher auch nur durch ihn beweisbar sind (RS0040281 [T6]).

5.5. Der Kläger brachte vor, dass ihm ein konkretes Angebot gemacht wurde. Hier besteht aber kein Beweisnotstand des Klägers, weil es nicht um interne Vorgänge der P* geht, sondern um die mit ihm getroffene Vereinbarung bzw das ihm gemachte Angebot. Nach seinem Vorbringen geht es daher nur um nach außen getretene Vorgänge.

6. Zusammenfassend erweist sich das angefochtene Urteil daher als frei von Rechtsirrtum, sodass der unbegründeten Revision ein Erfolg zu versagen war.

7. Die Entscheidung über die Kosten des Revisionsverfahrens gründet sich auf §§ 41, 50 ZPO. Dabei waren jedoch die von der beklagten Partei verzeichneten Pauschalgebühren nicht zuzusprechen, weil solche für die Revisionsbeantwortung nicht anfallen.