Schlussanträge des Generalanwalts M. Campos Sánchez-Bordona vom 20. März 2025.#IP gegen Quirin Privatbank AG.#Vorabentscheidungsersuchen des Bundesgerichtshofs.#Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Rechte der betroffenen Person – Art. 17 – Recht auf Löschung von Daten – Art. 18 – Recht auf Einschränkung der Verarbeitung – Art. 79 – Recht auf einen wirksamen gerichtlichen Rechtsbehelf – Unrechtmäßige Verarbeitung personenbezogener Daten – Rechtsbehelf mit dem Ziel, dem Verantwortlichen aufzuerlegen, künftig jede weitere unrechtmäßige Verarbeitung zu unterlassen – Grundlage – Voraussetzungen – Art. 82 Abs. 1 – Schadensersatzanspruch – Begriff ‚immaterieller Schaden‘ – Bemessung des Schadensersatzes – Mögliche Berücksichtigung des Grades des Verschuldens des Verantwortlichen – Mögliche Auswirkungen einer erwirkten ‚Unterlassungsanordnung‘.#Rechtssache C-655/23.

1.

In dem Rechtsstreit, der dem Vorabentscheidungsersuchen zugrunde liegt, geht es im Wesentlichen um die Frage, ob eine Person verlangen kann, dass der für die Verarbeitung ihrer personenbezogenen Daten Verantwortliche künftig die Wiederholung einer Verhaltensweise unterlässt, die den Bestimmungen der Verordnung (EU) 2016/679 zuwiderläuft ( 2 ). Diese Person beantragt außerdem, dass der Verantwortliche dazu verurteilt wird, ihr den durch den bereits begangenen Verstoß gegen die DSGVO entstandenen immateriellen Schaden zu ersetzen.

2.

Der Gerichtshof hat sich zur Auslegung der DSGVO in Bezug auf Schadenersatz ( 3 ) und Unterlassungsansprüche gegen die unrechtmäßige Verarbeitung personenbezogener Daten geäußert ( 4 ). Einige der in diesem Vorabentscheidungsersuchen aufgeworfenen spezifischen Fragen hat er jedoch noch nicht behandelt.

3.

In Art. 4 („Begriffsbestimmungen“) heißt es:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

…

…“

4.

Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) bestimmt:

„(1)   Personenbezogene Daten müssen

…

(2)   Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“

5.

Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 sieht vor:

„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…“

6.

Art. 17 („Recht auf Löschung [‚Recht auf Vergessenwerden‘]“) bestimmt:

„(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

…

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

…“

7.

In Art. 18 („Recht auf Einschränkung der Verarbeitung“) heißt es:

„(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:

…

…“

8.

Art. 79 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter“) Abs. 1 bestimmt:

„Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“

9.

Art. 82 („Haftung und Recht auf Schadenersatz“) Abs. 1 sieht vor:

„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

10.

Art. 84 („Sanktionen“) Abs. 1 lautet:

„Die Mitgliedstaaten legen die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung – insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen – fest und treffen alle zu deren Anwendung erforderlichen Maßnahmen. Diese Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.“

11.

§ 823 („Schadensersatzpflicht“) lautet:

„(1)   Wer vorsätzlich oder fahrlässig das Leben, den Körper, die Gesundheit, die Freiheit, das Eigentum oder ein sonstiges Recht eines anderen widerrechtlich verletzt, ist dem anderen zum Ersatz des daraus entstehenden Schadens verpflichtet.

(2)   Die gleiche Verpflichtung trifft denjenigen, welcher gegen ein den Schutz eines anderen bezweckendes Gesetz verstößt. Ist nach dem Inhalt des Gesetzes ein Verstoß gegen dieses auch ohne Verschulden möglich, so tritt die Ersatzpflicht nur im Falle des Verschuldens ein.“

12.

§ 1004 („Beseitigungs- und Unterlassungsanspruch“) Abs. 1 bestimmt:

„Wird das Eigentum in anderer Weise als durch Entziehung oder Vorenthaltung des Besitzes beeinträchtigt, so kann der Eigentümer von dem Störer die Beseitigung der Beeinträchtigung verlangen. Sind weitere Beeinträchtigungen zu besorgen, so kann der Eigentümer auf Unterlassung klagen.“ ( 6 )

13.

Der im Vorlagebeschluss beschriebene Sachverhalt stellt sich wie folgt dar:

14.

IP erhob beim Landgericht (Deutschland) Klage und beantragte, Quirin zu verurteilen, es künftig zu unterlassen, personenbezogene Daten, die im Zusammenhang mit seiner Bewerbung stehen, zu verarbeiten/verarbeiten zu lassen, „wenn dies geschieht wie in der Nachricht über das Portal Xing … am 23. Oktober 2018“. Außerdem beantragte er immateriellen Schadenersatz in Höhe von mindestens 2500 Euro ( 7 ).

15.

Das Landgericht gab der Klage teilweise statt und verurteilte Quirin zur Unterlassung und zur Zahlung von Schadenersatz an IP in Höhe von 1000 Euro nebst Zinsen.

16.

Quirin legte gegen das erstinstanzliche Urteil Berufung beim Oberlandesgericht (Deutschland) ein, das ihr nur teilweise stattgab, indem es den Schadenersatz aufhob und die Berufung im Übrigen zurückwies.

17.

Das Berufungsgericht war folgender Auffassung:

18.

Dagegen wendet sich IP mit seiner Revision, mit der er seine Ansprüche in vollem Umfang weiterverfolgt. Quirin begehrt mit ihrer Revision die vollständige Abweisung der Klage.

19.

In diesem Zusammenhang hat der Bundesgerichtshof (Deutschland) dem Gerichtshof sechs Fragen zur Vorabentscheidung vorgelegt, von denen ich die erste, die zweite, die dritte und die sechste ( 8 ) wiedergebe, die wie folgt lauten:

20.

Das Vorabentscheidungsersuchen ist am 7. November 2023 beim Gerichtshof eingegangen.

21.

IP, Quirin und die Europäische Kommission haben schriftliche Erklärungen eingereicht. Die Durchführung einer mündlichen Verhandlung ist nicht für erforderlich erachtet worden.

22.

Auf Ersuchen des Gerichtshofs werden sich die vorliegenden Schlussanträge auf die erste, die zweite, die dritte und die sechste Vorlagefrage beschränken.

23.

Das vorlegende Gericht möchte wissen, ob der betroffenen Person in Fällen, in denen es bereits zu einer nach der DSGVO unrechtmäßigen Verarbeitung personenbezogener Daten gekommen ist, auf der Grundlage der Art. 17 oder 18 oder einer anderen Bestimmung der DSGVO ein Anspruch gegen den Verantwortlichen auf Unterlassung „einer erneuten unrechtmäßigen Weiterleitung dieser Daten zusteht, wenn sie vom Verantwortlichen keine Löschung der Daten verlangt“.

24.

Die Zweifel des vorlegenden Gerichts scheinen sich aus den unterschiedlichen Auffassungen in der deutschen Literatur und Rechtsprechung über den (angenommenen) einklagbaren Anspruch darauf zu ergeben, dass der Verantwortliche bestimmte unrechtmäßige Verarbeitungen personenbezogener Daten, die den in der Vergangenheit bereits erfolgten Verarbeitungen vergleichbar sind, künftig unterlässt.

25.

Der Ursprung eines solchen Streits dürfte im Fehlen einer ausdrücklichen Anerkennung dieses Anspruchs in der DSGVO zu sehen sein. Nach einer Ansicht bedeutet dieses Fehlen, dass ein solcher Anspruch in der DSGVO selbst nicht vorgesehen ist, während er nach einer anderen Ansicht aus Art. 17 oder Art. 18 DSGVO abgeleitet werden kann ( 9 ).

26.

Außerdem sind die Befürworter der ersten Ansicht gespalten: Nach einer Ansicht schafft die DSGVO ein geschlossenes System, das es unmöglich macht, den Unterlassungsanspruch auf das nationale Recht zu stützen. Nach einer anderen Ansicht, der das erstinstanzliche Gericht in der vorliegenden Rechtssache folgt, ist das Gegenteil der Fall.

27.

Zwar sieht die DSGVO keinen ausdrücklichen Anspruch der betroffenen Person darauf vor, dass der Verantwortliche einer unrechtmäßigen Verarbeitung deren Wiederholung unterlässt. Bei der Auslegung einer Bestimmung des Unionsrechts sind jedoch nicht nur ihr Wortlaut, sondern auch der Zusammenhang, in den sie sich einfügt, und die Ziele, die mit der Regelung, zu der sie gehört, verfolgt werden, sowie gegebenenfalls deren Entstehungsgeschichte zu berücksichtigen ( 10 ).

28.

Im Folgenden werde ich die Prüfung der ersten Vorlagefrage im Licht dieser Auslegungskriterien vornehmen.

29.

Im Einklang mit dem Vorbringen der Kommission ( 11 ) bin ich der Ansicht, dass sich der Anspruch der betroffenen Person (gegen den für die Verarbeitung ihrer personenbezogenen Daten Verantwortlichen) auf Unterlassung einer wiederholten unrechtmäßigen Verarbeitung, wenn diese zuvor bereits erfolgt ist, aus der DSGVO selbst, konkret aus Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 in Verbindung mit Art. 79 Abs. 1 DSGVO, ableiten lässt.

30.

Ich verstehe etwaige Vorbehalte gegenüber dieser Ansicht, da die Art. 5 und 6 DSGVO Teil von Kapitel II („Grundsätze“) und nicht von Kapitel III der DSGVO sind, das speziell den „Rechte[n] der betroffenen Person“ gewidmet ist. Zunächst könnte man meinen, dass sich der Katalog der durch die DSGVO geschützten Rechte der betroffenen Person in der Aufzählung der in Kapitel III angeführten Rechte erschöpft.

31.

Diese Vorbehalte scheinen mir jedoch nicht unüberwindbar zu sein.

32.

Unter der Überschrift „Grundsätze“ beschränkt sich Kapitel II der DSGVO nicht auf Programmsätze oder Ausführungen, die lediglich für die Auslegung anderer Vorschriften hilfreich sind. Vielmehr legt dieses Kapitel rechtliche Pflichten für all diejenigen fest, an die sich die DSGVO richtet. Diesen Pflichten entsprechen im Gegenzug und folgerichtig entweder schutzwürdige subjektive Interessen oder aber echte Rechte der betroffenen Personen ( 12 ).

33.

Art. 5 Abs. 1 DSGVO legt unmittelbar verbindliche und zwingend einzuhaltende Grundsätze fest ( 13 ). Art. 5 Abs. 2 DSGVO bestätigt den normativen Charakter dieser Grundsätze, indem er „die Einhaltung des Absatzes 1“ zu einer materiellen Pflicht macht, die insbesondere dem Verantwortlichen auferlegt wird ( 14 ). Außerdem wird ein Verstoß gegen die „Grundsätze für die Verarbeitung“ mit Geldbußen geahndet ( 15 ).

34.

Auf einer höheren normativen Ebene verlangt Art. 8 der Charta der Grundrechte der Europäischen Union, in dem das Recht auf Schutz personenbezogener Daten verankert ist, in seinem Abs. 2, dass die Verarbeitung solcher Daten bestimmten Bedingungen unterliegt („Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden“), die ihre Rechtmäßigkeit gewährleisten.

35.

Ein Verstoß des Verantwortlichen gegen einen der in den Art. 5 und 6 DSGVO genannten Grundsätze führt dazu, dass die Verarbeitung unrechtmäßig ist. Zugleich verstößt die unrechtmäßige Verarbeitung personenbezogener Daten gegen das Recht auf Schutz personenbezogener Daten.

36.

Damit meine ich nicht, dass jeglicher Verstoß gegen die Bestimmungen der DSGVO automatisch dazu führt, dass die Verarbeitung personenbezogener Daten unrechtmäßig ist ( 16 ). Wenn aber der Verstoß gegen die DSGVO ein solches Ausmaß erreicht, dass er an sich schon gegen die Grundsätze der Verarbeitung verstößt, impliziert die Unrechtmäßigkeit der Verarbeitung, das sei wiederholt, die Verletzung des Rechts auf Schutz personenbezogener Daten.

37.

Was den Grundsatz der Rechtmäßigkeit der Verarbeitung angeht, so hat der Gerichtshof Folgendes festgestellt:

38.

Als unmittelbare Entsprechung zu dem in Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 DSGVO aufgestellten Erfordernis besteht daher ein Recht der betroffenen Person darauf, dass jede Verarbeitung ihrer personenbezogenen Daten rechtmäßig ist. Meines Erachtens ist von diesem Postulat auszugehen, auch wenn dieses Recht nicht ausdrücklich in Kapitel III der DSGVO enthalten ist.

39.

Denn wenn Kapitel III der DSGVO, das den Rechten der betroffenen Person gewidmet ist, als solches keine Anerkennung des Rechts auf Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten enthält, dann deshalb, weil eine solche ausdrückliche Anerkennung nicht erforderlich ist: Aus dem Wortlaut der Art. 5 und 6 DSGVO ergibt sich, dass dieses Recht vorausgesetzt wird.

40.

Die ausdrückliche Verankerung eines Rechts in der DSGVO – über das hinaus, was bereits in Art. 5 DSGVO festgelegt ist –, dass jede Verarbeitung personenbezogener Daten auf einer rechtmäßigen Grundlage beruhen muss, war, das sei wiederholt, nicht unerlässlich ( 20 ). Im Interesse der Einheitlichkeit und für die Zwecke der Rechtssicherheit aller Beteiligten war es ausreichend, die entsprechenden Grundlagen in der DSGVO selbst zu spezifizieren und zu präzisieren.

41.

Im Übrigen bin ich mir nicht sicher, ob die Rechte der betroffenen Person ausschließlich die in Kapitel III der DSGVO aufgeführten sind. In der DSGVO finden sich weitere Rechte, deren Ausübung in erster Linie durch den Verantwortlichen erleichtert werden muss ( 21 ). Das Recht, die Einwilligung zu widerrufen, ist beispielsweise in Art. 7 Abs. 3 DSGVO vorgesehen, der als solcher nicht Teil von Kapitel III der DSGVO ist.

42.

Meines Erachtens kann das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, eine wiederholte unrechtmäßige Verarbeitung, die der zuvor durchgeführten entspricht, zu unterlassen, als Folge des Rechts derselben betroffenen Person darauf, dass jede Verarbeitung ihrer personenbezogenen Daten rechtmäßig ist, betrachtet werden.

43.

Dieses Recht (ius) ist mit einem für die Zwecke der DSGVO unverzichtbaren gerichtlichen Reaktionsmechanismus (actio) gekoppelt, auf den in Art. 79 DSGVO Bezug genommen wird. Andernfalls wäre der Rechtsschutz für personenbezogene Daten unzureichend.

44.

Der betroffenen Person das Recht einzuräumen, (gegebenenfalls vor einem Gericht) zu verlangen, dass sich eine unrechtmäßige Verarbeitung ihrer Daten nicht wiederholt, entspricht dem im zehnten Erwägungsgrund der DSGVO genannten Ziel, ein hohes Datenschutzniveau für natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten in der Union zu gewährleisten. Im elften Erwägungsgrund der DSGVO heißt es außerdem, dass ein wirksamer Schutz personenbezogener Daten die Stärkung der Rechte der betroffenen Personen erfordert ( 22 ).

45.

Zu den Befugnissen der Aufsichtsbehörde nach Art. 58 Abs. 2 Buchst. d und f DSGVO gehört es, die Weisung zu erteilen, die Verarbeitung auf bestimmte Weise in Einklang mit der DSGVO zu bringen, und vorübergehende oder endgültige Beschränkungen der Verarbeitung, einschließlich eines Verbots, zu verhängen. Eine Beschwerde der betroffenen Person gemäß Art. 77 Abs. 1 DSGVO kann die Durchführung solcher Maßnahmen anstoßen.

46.

Die Übertragung dieser Befugnisse auf die Aufsichtsbehörde ist voll und ganz damit vereinbar, dass die betroffene Person, wenn sie dies für angemessen hält, ein Gericht anruft, um einen wirksamen Schutz ihrer verletzten Rechte geltend zu machen. Zu diesem Zweck kann sie gemäß Art. 79 Abs. 1 DSGVO vor Gericht Klage gegen den Verantwortlichen erheben ( 23 ). Es spricht nichts dagegen, dass die mit der entsprechenden Klage verfolgten Ansprüche auch den Anspruch auf Verurteilung des Verantwortlichen zur Unterlassung einer wiederholten unrechtmäßigen Verarbeitung umfassen.

47.

In Anbetracht der obigen Ausführungen bin ich der Ansicht, dass die betroffene Person sowohl das Recht (ius) hat, von dem Verantwortlichen zu verlangen, dass er eine wiederholte unrechtmäßige Verarbeitung im Sinne der DSGVO unterlässt, als auch die Möglichkeit hat, ein Gericht anzurufen (actio), damit dieses dem Verantwortlichen diese Pflicht zur Unterlassung auferlegt.

48.

Eine entsprechende Klage der betroffenen Person fällt unter den charakteristischen Inhalt von Art. 79 Abs. 1 DSGVO, d. h., sie kann zu den Rechtsschutzmechanismen gezählt werden, die ihr durch diese Verordnung gewährt werden ( 24 ). Es ist zu berücksichtigen, dass der Schadenersatz als Abhilfe für einen durch einen Verstoß gegen die DSGVO bereits entstandenen Schaden in Art. 82 DSGVO ausdrücklich geregelt ist und dass er „ausschließlich eine Ausgleichsfunktion“ und keine Abschreckungs- oder Straffunktion erfüllt ( 25 ).

49.

Entgegen der von mir vertretenen Auffassung macht Quirin geltend ( 26 ), dass während des Normsetzungsverfahrens der DSGVO der Vorschlag der Kommission, wonach „[d]ie Mitgliedstaaten … sicher[stellen], dass mit den nach innerstaatlichem Recht verfügbaren Klagemöglichkeiten rasch Maßnahmen einschließlich einstweilige[r] Maßnahmen erwirkt werden können, um mutmaßliche Rechtsverletzungen abzustellen und zu verhindern, dass den Betroffenen weiterer Schaden entsteht“, letztlich nicht angenommen wurde ( 27 ).

50.

Dass dieser Absatz bei der Behandlung durch den Rat weggefallen ist, scheint mir jedoch weder ein Hinweis auf eine gesetzgeberische Absicht zu sein, einen „Anspruch auf einstweilige Maßnahmen oder eine Verhinderung weiterer Schäden … in der finalen Fassung der DSGVO … nicht auf[zunehmen]“ ( 28 ), noch auf ein Versehen ( 29 ). Ich glaube vielmehr, dass die Änderungen des Vorschlags der Kommission in diesem Punkt darauf abzielten, dass das gesamte ursprüngliche Kapitel VIII („Rechtsbehelfe, Haftung und Sanktionen“) einen korrekteren Aufbau erhält.

51.

Unter den Überschriften „Recht auf gerichtlichen Rechtsbehelf gegen für die Verarbeitung Verantwortliche oder Auftragsverarbeiter“ und „Gemeinsame Vorschriften für Gerichtsverfahren“ regelten die Art. 75 und 76 des Vorschlags nämlich eine Vielzahl von Fällen, denen es an Kohärenz fehlte ( 30 ). Im neuen Aufbau des Kapitels wurde das Recht auf einen gerichtlichen Rechtsbehelf hinsichtlich der Rechte der betroffenen Person in Art. 79 DSGVO verlagert, wobei man logischerweise davon ausgehen kann, dass er Klagen zur Verhinderung der Wiederholung einer unrechtmäßigen Verarbeitung personenbezogener Daten als charakteristische Erscheinungsformen eines wirksamen ( 31 ) gerichtlichen Rechtsbehelfs umfasst.

52.

Das vorlegende Gericht stellt seine erste Frage, indem es sich auf die Art. 17 und 18 oder „[eine sonstige] Bestimmung der DSGVO“ als mögliche Grundlage für das Recht der betroffenen Person beruft, von dem Verantwortlichen zu verlangen, die Wiederholung einer unrechtmäßigen Weiterleitung ihrer personenbezogenen Daten zu unterlassen.

53.

Wie ich bereits ausgeführt habe, bin ich der Ansicht, dass diese Grundlage in den Art. 5 und 6 in Verbindung mit Art. 79 DSGVO zu finden ist, so dass nicht darauf eingegangen werden muss, wie sich die Art. 17 und 18 DSGVO insoweit auswirken.

54.

Der Vollständigkeit halber werde ich jedoch im Folgenden auf diese beiden Bestimmungen eingehen. Ich werde die Gründe darlegen, die meiner Ansicht nach dagegen sprechen, einen solchen Anspruch herzuleiten

55.

In der Regel ( 34 ) hat die betroffene Person gegenüber dem Verantwortlichen sowohl einen Anspruch auf Löschung unrechtmäßig verarbeiteter personenbezogener Daten (Art. 17 Abs. 1 Buchst. d DSGVO) als auch einen Anspruch auf Einschränkung der Verarbeitung (Art. 18 Abs. 1 Buchst. b DSGVO), wenn die Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung ablehnt und stattdessen die Einschränkung verlangt.

56.

Meines Erachtens reicht keine dieser beiden Bestimmungen für sich genommen aus, um das Recht der betroffenen Person zu begründen, von dem Verantwortlichen zu verlangen, die Wiederholung einer rechtswidrigen Verarbeitung (die der bereits durchgeführten vergleichbar ist) zu unterlassen:

57.

Art. 17 DSGVO sieht wörtlich das Recht auf Löschung personenbezogener Daten und das Recht auf Vergessenwerden vor. Art. 17 Abs. 1 DSGVO regelt das Recht der betroffenen Person, die Löschung der sie betreffenden personenbezogenen Daten zu verlangen, sowie die Gründe für die Ausübung dieses Rechts ( 37 ). Liegen solche Gründe vor, hat der Verantwortliche die Daten „unverzüglich“ zu löschen.

58.

Eine Auslegung von Art. 17 DSGVO dahin gehend, dass er ein anderes Begehren der betroffenen Person als die Löschung der verarbeiteten personenbezogenen Daten erfasst, steht im Widerspruch zum Wortlaut der Bestimmung und entspricht nicht ihrem Zweck.

59.

Diese Auslegung stößt auch auf systematische Schwierigkeiten: Innerhalb von Kapitel III der DSGVO sehen andere Artikel das Recht vor, die Verarbeitung von Daten ohne deren Löschung einzuschränken ( 38 ). Würde man Art. 17 DSGVO so verstehen, dass er auch diesem Zweck dient, könnte diesen anderen Artikeln ihre praktische Wirksamkeit genommen werden.

60.

Schließt man diese Auslegung also aus, erscheint es mir nicht logisch, aus Art. 17 DSGVO einen Anspruch auf künftige Unterlassung einer konkreten Verarbeitung personenbezogener Daten durch denselben Verantwortlichen, in dessen Besitz sich diese Daten befanden, abzuleiten. Wenn der Verantwortliche die Anweisung zur Löschung befolgt, stehen ihm die Daten naturgemäß nicht mehr zur Verfügung und er kann sie tatsächlich nicht mehr verarbeiten ( 39 ).

61.

Ebenso wenig schützt Art. 18 DSGVO das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, dass er die weitere unrechtmäßige Verarbeitung ihrer personenbezogenen Daten, die der bereits erfolgten Verarbeitung entspricht, unterlässt.

62.

Unter der Überschrift „Recht auf Einschränkung der Verarbeitung“ gibt Art. 18 DSGVO der betroffenen Person alternative Befugnisse zu dem Recht, die Löschung ihrer personenbezogenen Daten zu verlangen. Es handelt sich um Befugnisse, die ihr mit einem genauen Inhalt, unter bestimmten Bedingungen und für einen begrenzten Zeitraum übertragen werden. Art. 18 DSGVO ermöglicht es der betroffenen Person außerdem, die Löschung dieser Daten abzulehnen.

63.

Ziel dieser Bestimmung ist es, die Interessen der Person, deren Daten verarbeitet werden, und die des für die Verarbeitung Verantwortlichen in Einklang zu bringen, wenn zwischen ihnen Uneinigkeit darüber besteht, ob diese personenbezogenen Daten berichtigt (Abs. 1 Buchst. a) oder gelöscht (Abs. 1 Buchst. b und c) werden müssen oder welche Gründe im Fall eines Widerspruchs der betroffenen Person gegen die Verarbeitung gemäß Art. 21 Abs. 1 DSGVO überwiegen (Abs. 1 Buchst. d).

64.

Die Ausübung des Rechts auf Einschränkung der Verarbeitung hat zur Folge, dass die „eingeschränkten Daten“ nicht berichtigt oder gelöscht werden ( 40 ), sondern dass sich die einzig mögliche Verarbeitung auf deren Speicherung ( 41 ) bzw. Aufbewahrung ( 42 ) beschränkt. Diese Speicherung ist jedoch im Grunde kein Zugeständnis an den Verantwortlichen, sondern eine Verpflichtung für ihn ( 43 ), die mit der Verpflichtung einhergeht, geeignete Maßnahmen zu ergreifen, um sie zu gewährleisten ( 44 ).

65.

Die Einschränkung der Verarbeitung gemäß Art. 18 DSGVO ist vorübergehend; ihre Dauer hängt von der Verwirklichung des Zwecks ab, für den die betroffene Person das Recht auf Einschränkung der Verarbeitung ausübt. Der vorübergehende Charakter ist in den in Art. 18 Abs. 1 Buchst. a ( 45 ), c ( 46 ) und d ( 47 ) DSGVO beschriebenen Situationen nicht fraglich, entspricht aber meines Erachtens auch derjenigen von Art. 18 Abs. 1 Buchst. b DSGVO.

66.

Art. 18 Abs. 1 Buchst. b DSGVO, dessen Bedeutung und Tragweite zugegebenermaßen unklar sind ( 48 ), muss nämlich in seinem Kontext ausgelegt werden, d. h. im Einklang mit dem übrigen Art. 18 Abs. 1 DSGVO ( 49 ). In diesem Zusammenhang ist er Teil eines Binoms, das durch Art. 18 Abs. 1 Buchst. c DSGVO ergänzt wird, der sich auf eine rechtmäßige Verarbeitung bezieht, die abgeschlossen ist. Im letztgenannten Fall ist es ebenso wie im Fall einer unrechtmäßigen Verarbeitung nicht gerechtfertigt, dass der Verantwortliche die Daten länger als erforderlich speichert ( 50 ). Ein dahin gehender Zwang – angesichts der Ablehnung der Löschung dieser Daten durch die betroffene Person – kann nur ein vorübergehender Zustand sein.

67.

Dass in Art. 18 Abs. 1 Buchst. b DSGVO nicht auf die Gründe Bezug genommen wird, aus denen die betroffene Person die Löschung ihrer Daten ablehnt (und stattdessen die Einschränkung ihrer Nutzung verlangt), sollte auch aus systematischen Gründen nicht als unterschiedsloses Zulassen beliebiger Gründe verstanden werden – und erst recht nicht dahin, dass gar keine Gründe erforderlich sind. Vielmehr muss das Recht, die Einschränkung der Verarbeitung gemäß Art. 18 Abs. 1 Buchst. b zu verlangen, einem begründeten und legitimen Zweck entsprechen ( 51 ).

68.

Die Speicherung personenbezogener Daten stellt für den Verantwortlichen eine Belastung dar, die nicht frei von Risiken ist, und sollte daher nur für einen bestimmten Zeitraum verlangt werden können, wenn die Löschung dieser Daten die berechtigten Interessen der betroffenen Person beeinträchtigen würde.

69.

Ich bin daher der Ansicht, dass sich das Recht der betroffenen Person, von dem Verantwortlichen zu verlangen, die wiederholte unrechtmäßige Verarbeitung ihrer personenbezogenen Daten zu unterlassen, auch nicht aus Art. 18 Abs. 1 Buchst. b DSGVO ableiten lässt. Zweck dieser Bestimmung ist es, den Verantwortlichen – vorübergehend und zu einem von der betroffenen Person verfolgten legitimen Zweck – daran zu hindern, die rechtliche Verpflichtung, die ihm aufgrund der Unrechtmäßigkeit obliegt, zu erfüllen, indem er die betreffenden personenbezogenen Daten unverzüglich löscht.

70.

Die dritte Vorlagefrage wird für den Fall gestellt, dass die erste Vorlagefrage verneint wird. Da meines Erachtens die Art. 5, 6 und 79 DSGVO bei einer Auslegung in dem von mir oben dargelegten Sinne eine hinreichende Grundlage für das Recht der betroffenen Person darstellen, von dem Verantwortlichen zu verlangen, dass er die weitere unrechtmäßige Weiterleitung ihrer personenbezogenen Daten unterlässt, erübrigt es sich, darauf einzugehen, ob dieser Lösungsweg auf der Grundlage von Bestimmungen des nationalen Rechts erreicht werden könnte.

71.

Die zweite Vorlagefrage beruht auf der Prämisse, dass sich aus der DSGVO ein Anspruch der betroffenen Person darauf ergibt, dass der Verantwortliche eine unrechtmäßige Verarbeitung personenbezogener Daten, die der bereits durchgeführten vergleichbar ist, unterlässt.

72.

Ausgehend von dieser Prämisse möchte das vorlegende Gericht wissen, ob dieser Anspruch davon abhängt, dass eine Wiederholungsgefahr besteht, und, falls dies bejaht wird, ob das Bestehen dieser Gefahr „aufgrund des bereits vorliegenden Verstoßes gegen die DSGVO vermutet [wird]“.

73.

Da die DSGVO die Unterlassungsklagen, mit denen die Wiederholung einer unrechtmäßigen Verarbeitung personenbezogener Daten verhindert werden soll, nicht regelt, ist es gemäß dem Grundsatz der Verfahrensautonomie Sache der einzelnen Mitgliedstaaten, diese zu regeln.

74.

Die entsprechenden Modalitäten dürfen nicht weniger günstig ausgestaltet sein als die für innerstaatliche Rechtsbehelfe (Grundsatz der Äquivalenz) und die Ausübung der durch die Unionsrechtsordnung verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren (Grundsatz der Effektivität) ( 52 ).

75.

Aus den Angaben im Vorlagebeschluss geht nicht hervor, dass die nationalen Vorschriften über die Erhebung einer Klage auf Unterlassung einer unrechtmäßigen Verarbeitung personenbezogener Daten gegen diese beiden Grundsätze verstoßen:

76.

Unter der erneuten Annahme, dass die betroffene Person einen einklagbaren Anspruch auf Unterlassung einer unrechtmäßigen Verarbeitung ihrer personenbezogenen Daten, die der in der Vergangenheit bereits erfolgten vergleichbar ist, hat, bittet das vorlegende Gericht um die Auslegung von Art. 82 Abs. 1 DSGVO.

77.

Es möchte insbesondere wissen, ob „bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens als anspruchsmindernd berücksichtigt werden kann, dass der betroffenen Person neben dem Anspruch auf Schadensersatz ein Unterlassungsanspruch zusteht“.

78.

Aus dem im Vorlagebeschluss zitierten Urteil des Bundesgerichtshofs ( 53 ) entnehme ich, dass in Deutschland die Geldentschädigung für einen immateriellen Schaden, der aus einer Verletzung des allgemeinen Persönlichkeitsrechts resultiert, mit den Funktionen der Genugtuung des Verletzten wie auch der Prävention verbunden ist. In diesem Zusammenhang könnte sich eine zu Präventionszwecken erlassene Unterlassungsverfügung auf die Entschädigung auswirken, indem sie entweder deren Höhe beeinflusst oder sie sogar ausschließt, sofern eine solche Verfügung bereits den erforderlichen Schutz gewährleistet ( 54 ).

79.

Nach Ansicht des vorlegenden Gerichts „erscheint fraglich“, „[o]b … diese Grundsätze … auf den Anspruch auf Ersatz immateriellen Schadens nach Art. 82 Abs. 1 DSGVO übertragen werden können“.

80.

Der in Art. 82 Abs. 1 DSGVO vorgesehene Ersatz des Schadens, der durch eine unrechtmäßige Datenverarbeitung entstanden ist, beruht auf einem anderen Verständnis als dem in der sechsten Vorlagefrage anklingenden. Diese Frage ist daher meines Erachtens zu verneinen.

81.

Der in Art. 82 Abs. 1 DSGVO vorgesehene Schadenersatz deckt alle materiellen und immateriellen Schäden wegen eines Verstoßes gegen die DSGVO ab. Der Begriff „immaterieller Schaden“ im Sinne dieser Bestimmung muss eine autonome und einheitliche Definition erhalten ( 55 ).

82.

Der Gerichtshof hat den Begriff des immateriellen Schadens weit ausgelegt. Er hat insbesondere entschieden, dass „die durch einen Verstoß gegen die DSGVO ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, für sich genommen einen ‚immateriellen Schaden‘ im Sinne von Art. 82 Abs. 1 darstellen kann“ ( 56 ).

83.

Art. 82 Abs. 1 DSGVO unterscheidet nach dieser Auslegung nicht danach, ob die missbräuchliche Verwendung personenbezogener Daten durch Dritte zum Zeitpunkt des Schadenersatzantrags bereits erfolgt ist oder ob der vom Kläger geltend gemachte immaterielle Schaden mit seiner Angst verknüpft ist, dass eine solche Verwendung in Zukunft erfolgen wird ( 57 ).

84.

Weist der Verletzte nach, dass er tatsächlich einen Schaden erlitten hat, hat er Anspruch auf einen Schadenersatz, der den Schaden in vollem Umfang ausgleicht ( 58 ), unabhängig vom Ausmaß des Schadens ( 59 ).

85.

Nach ständiger Rechtsprechung des Gerichtshofs dient die volle Entschädigung ausschließlich dem Ausgleich. Der Gerichtshof räumt zwar ein, dass das Recht auf Schadenersatz auch geeignet ist, von der Wiederholung unrechtmäßiger Verhaltensweisen abzuschrecken, stellt aber fest, dass der Schadenersatz nach Art. 82 DSGVO keinen Abschreckungs- oder Strafzweck verfolgt ( 60 ).

86.

Im Licht dieser Rechtsprechung kann Folgendes festgestellt werden:

87.

Die Beantragung einer Unterlassungsverfügung, damit es zu keiner Wiederholung einer gegen die DSGVO verstoßenden Datenverarbeitung kommt, setzt voraus, dass eine gewisse Gefahr besteht, dass eine solche unrechtmäßige Verarbeitung künftig wiederholt wird. Wenn die Maßnahme getroffen wird, wird dieses Risiko beseitigt und es wird schwierig sein, eine auf die Möglichkeit einer Wiederholung der unrechtmäßigen Verarbeitung gestützte Befürchtung zu begründen, um erfolgreich Schadenersatz zu fordern. Dagegen wird durch die Unterlassungsverfügung der immaterielle Schaden, der vor ihrem Erlass entstanden ist und der mit dieser Befürchtung verknüpft war, nicht ausgeglichen.

88.

Im Ergebnis kann bei der Bemessung des immateriellen Schadens, der sich aus einer unrechtmäßigen Verarbeitung ergibt und der zu ersetzen ist, weil er bereits eingetreten ist, nicht anspruchsmildernd berücksichtigt werden, dass die betroffene Person neben dem Schadenersatzanspruch auch einen Anspruch auf Unterlassung einer unrechtmäßigen Verarbeitung, die der bereits erfolgten vergleichbar ist, in der Zukunft hat.

89.

Nach alledem schlage ich vor, die erste, die zweite, die dritte und die sechste Vorlagefrage des Bundesgerichtshofs wie folgt zu beantworten:

Art. 5 Abs. 1 Buchst. a, Art. 6 Abs. 1, Art. 79 Abs. 1 und Art. 82 Abs. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz‑Grundverordnung)

sind dahin auszulegen, dass