–

von GP, vertreten durch Rechtsanwalt H. Schöning,

–

der juris GmbH, vertreten durch Rechtsanwältin E. Brandt und Rechtsanwalt C. Werkmeister,

–

Irlands, vertreten durch M. Browne, Chief State Solicitor, A. Joyce und M. Lane als Bevollmächtigte im Beistand von D. Fennelly, BL,

–

der Europäischen Kommission, vertreten durch A. Bouchagiar, M. Heller und H. Kranenborg als Bevollmächtigte,

1

Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 82 Abs. 1 und 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt u. a. in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO) in Verbindung mit den Art. 29 und 83 dieser Verordnung sowie im Licht ihrer Erwägungsgründe 85 und 146.

2

Es ergeht im Rahmen eines Rechtsstreits zwischen GP, einer natürlichen Person, und der juris GmbH, einer Gesellschaft mit Sitz in Deutschland, über den Ersatz des Schadens, den GP durch verschiedene Verarbeitungen seiner personenbezogenen Daten für Zwecke der Direktwerbung, die trotz seiner an diese Gesellschaft gerichteten Widersprüche vorgenommen wurden, seinen Angaben nach erlitten hat.

3

In den Erwägungsgründen 85, 146 und 148 der DSGVO heißt es:

…

…

4

Art. 4 („Begriffsbestimmungen“) DSGVO bestimmt:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

…

…

…“

5

Art. 5 DSGVO enthält eine Reihe von Grundsätzen für die Verarbeitung personenbezogener Daten.

6

Art. 21 („Widerspruchsrecht“) Abs. 3 in Kapitel III („Rechte der betroffenen Person“) der DSGVO sieht vor:

„Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.“

7

Kapitel IV („Verantwortlicher und Auftragsverarbeiter“) der DSGVO umfasst ihre Art. 24 bis 43.

8

Art. 24 („Verantwortung des für die Verarbeitung Verantwortlichen“) Abs. 1 und 2 DSGVO bestimmt:

„(1)   Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.

(2)   Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen gemäß Absatz 1 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.“

9

Art. 25 („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“) Abs. 1 DSGVO sieht vor:

„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.“

10

Art. 29 („Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters“) DSGVO lautet:

„Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.“

11

Art. 32 („Sicherheit der Verarbeitung“) DSGVO bestimmt:

„(1)   Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:

…

…

(2)   Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden.

…

(4)   Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.“

12

Kapitel VIII („Rechtsbehelfe, Haftung und Sanktionen“) der DSGVO enthält ihre Art. 77 bis 84.

13

Art. 79 („Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter“) Abs. 1 DSGVO sieht vor:

„Jede betroffene Person hat unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Artikel 77 das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.“

14

Art. 82 („Haftung und Recht auf Schadenersatz“) Abs. 1 bis 3 DSGVO bestimmt:

„(1)   Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

(2)   Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. …

(3)   Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.“

15

In Art. 83 („Allgemeine Bedingungen für die Verhängung von Geldbußen“) Abs. 2, 3 und 5 DSGVO heißt es:

„(2)   … Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

…

(3)   Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

…

(5)   Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20000000 [Euro] oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

…“

16

Art. 84 („Sanktionen“) Abs. 1 DSGVO sieht vor:

„Die Mitgliedstaaten legen die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung – insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen – fest und treffen alle zu deren Anwendung erforderlichen Maßnahmen. Diese Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.“

17

Der Kläger des Ausgangsverfahrens, eine natürliche Person, die als selbständiger Rechtsanwalt tätig ist, war Kunde von juris, einer Gesellschaft, die eine juristische Datenbank betreibt.

18

Nachdem er erfahren hatte, dass seine personenbezogenen Daten von juris auch für Zwecke der Direktwerbung genutzt wurden, widerrief der Kläger des Ausgangsverfahrens am 6. November 2018 schriftlich alle seine Einwilligungen, von diesem Unternehmen per E‑Mail oder per Telefon Informationen zu erhalten, und widersprach jeglicher Verarbeitung dieser Daten mit Ausnahme des Versands von „Newslettern“, die er weiterhin beziehen wollte.

19

Trotz dieses Vorgehens erhielt der Kläger des Ausgangsverfahrens im Januar 2019 zwei Werbeschreiben, die ihn namentlich ansprechend an seine Geschäftsadresse geschickt wurden. Mit Schreiben an juris vom 18. April 2019 wies er diese Gesellschaft auf seinen früheren Widerspruch gegen jegliche Werbung hin, teilte ihr mit, dass die Erzeugung dieser Werbeschreiben zu einer rechtswidrigen Verarbeitung seiner Daten geführt habe, und verlangte von ihr Schadenersatz nach Art. 82 DSGVO. Nachdem er am 3. Mai 2019 ein neues Werbeschreiben erhalten hatte, erklärte er abermals seinen Widerspruch, der juris dieses Mal per Gerichtsvollzieher zugestellt wurde.

20

Jedes dieser Werbeschreiben enthielt einen „persönlichen Testcode“, mit dem auf der Website von juris auf eine Bestellmaske für Produkte dieser Gesellschaft zugegriffen werden konnte, die Angaben zum Kläger des Ausgangsverfahrens enthielt, wie ein von ihm beauftragter Notar am 7. Juni 2019 feststellte.

21

Der Kläger des Ausgangsverfahrens erhob beim Landgericht Saarbrücken (Deutschland), dem vorlegenden Gericht in der vorliegenden Rechtssache, auf der Grundlage von Art. 82 Abs. 1 DSGVO Klage auf Ersatz seines materiellen Schadens im Zusammenhang mit den ihm entstandenen Gerichtsvollzieher- und Notarkosten sowie seines immateriellen Schadens. Er macht insbesondere geltend, dass er wegen der trotz seiner Widersprüche von juris vorgenommenen Verarbeitungen seiner personenbezogenen Daten einen Verlust der Kontrolle über diese Daten erlitten habe und daher Schadenersatz verlangen könne, ohne die Auswirkungen oder die Erheblichkeit der Beeinträchtigung seiner durch Art. 8 der Charta der Grundrechte der Europäischen Union garantierten und in der DSGVO weiter ausgeführten Rechte nachweisen zu müssen.

22

Demgegenüber wies juris jede Haftung mit der Begründung zurück, dass sie einen Prozess zur Bearbeitung von Werbewidersprüchen implementiert habe und dass die verspätete Berücksichtigung der Widersprüche des Klägers des Ausgangsverfahrens entweder darauf beruht habe, dass einer ihrer Mitarbeiter sich weisungswidrig verhalten habe, oder darauf, dass es übermäßig kostspielig gewesen wäre, diese Widersprüche zu berücksichtigen. Allein der Verstoß gegen eine Verpflichtung aus der DSGVO, wie sie sich aus deren Art. 21 Abs. 3 ergebe, könne für sich genommen keinen „Schaden“ im Sinne von Art. 82 Abs. 1 dieser Verordnung darstellen.

23

Als Erstes geht das vorlegende Gericht zunächst davon aus, dass der in Art. 82 Abs. 1 DSGVO vorgesehene Schadenersatzanspruch von drei Voraussetzungen abhänge, nämlich einem Verstoß gegen die DSGVO, einem materiellen oder immateriellen Schaden sowie einem Kausalzusammenhang zwischen dem Verstoß und dem Schaden. Sodann fragt es sich unter Berücksichtigung des Vorbringens des Klägers des Ausgangsverfahrens, ob gleichwohl davon auszugehen sei, dass ein Verstoß gegen die DSGVO für sich genommen einen immateriellen Schaden darstelle, der einen Entschädigungsanspruch begründe, insbesondere wenn die verletzte Bestimmung dieser Verordnung der betroffenen Person ein subjektives Recht verleihe. Da das deutsche Recht die finanzielle Entschädigung für einen immateriellen Schaden vom Erfordernis eines schwerwiegenden Eingriffs in geschützte Rechte abhängig mache, sei schließlich fraglich, ob für Schadenersatzansprüche nach der DSGVO im Licht der Hinweise zum Begriff des Schadens in den Erwägungsgründen 85 und 146 dieser Verordnung eine entsprechende Einschränkung gelte.

24

Als Zweites meint das vorlegende Gericht, dass aus Art. 82 DSGVO hervorgehen könne, dass dann, wenn ein Verstoß gegen diese Verordnung festgestellt worden sei, dieser Verstoß dem Verantwortlichen zuzurechnen sei, so dass der Verantwortliche für vermutetes Verschulden, wenn nicht gar verschuldensunabhängig hafte. Nach dem Hinweis, dass Art. 82 Abs. 3 DSGVO die Nachweisanforderungen, die konkret mit der in diesem Absatz vorgesehenen Befreiung verbunden seien, nicht näher bestimme, stellt es weiter fest, dass, wenn der Verantwortliche sich seiner Haftung entziehen könnte, indem er lediglich pauschal auf ein Fehlverhalten eines seiner Mitarbeiter hinweise, dies die praktische Wirksamkeit des in Art. 82 Abs. 1 DSGVO vorgesehenen Schadenersatzanspruchs erheblich einschränken würde.

25

Als Drittes möchte das vorlegende Gericht insbesondere wissen, ob bei der Bemessung des Betrags einer nach Art. 82 DSGVO geschuldeten finanziellen Wiedergutmachung eines Schadens, namentlich eines immateriellen Schadens, die in Art. 83 Abs. 2 und 5 DSGVO vorgesehenen Kriterien für die Bestimmung des Betrags von Geldbußen auch im Rahmen von Art. 82 DSGVO berücksichtigt werden könnten oder sogar müssten.

26

Als Viertes und Letztes weist dieses Gericht darauf hin, dass in dem bei ihm anhängigen Rechtsstreit die personenbezogenen Daten des Klägers des Ausgangsverfahrens trotz wiederholter Widersprüche des Betroffenen mehrfach für Werbezwecke verarbeitet worden seien. Es möchte daher wissen, ob bei einer solchen Mehrzahl von Verstößen gegen die DSGVO diese Verstöße im Hinblick auf die Festsetzung des Betrags eines gegebenenfalls nach Art. 82 DSGVO geschuldeten Schadenersatzes einzeln oder in einer Gesamtbetrachtung zu berücksichtigen seien.

27

Unter diesen Umständen hat das Landgericht Saarbrücken beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

28

Zunächst macht juris im Wesentlichen geltend, dass die erste Frage insoweit unzulässig sei, als mit ihr geklärt werden solle, ob die Begründung des in Art. 82 DSGVO vorgesehenen Anspruchs auf Schadenersatz davon abhänge, dass der Schaden, der von der betroffenen Person, wie sie in Art. 4 Nr. 1 dieser Verordnung definiert sei, geltend gemacht werde, einen gewissen Schweregrad erreiche. Diese Frage sei für den Ausgangsrechtsstreit nicht entscheidungserheblich, weil sich der vom Kläger des Ausgangsverfahrens vorgebrachte Schaden, nämlich der Verlust der Kontrolle über seine personenbezogenen Daten, nicht verwirklicht habe, da diese Daten Gegenstand einer rechtmäßigen Verarbeitung im Rahmen der Vertragsbeziehung zwischen den Parteien dieses Rechtsstreits gewesen seien.

29

Insoweit ist darauf hinzuweisen, dass es allein Sache des nationalen Gerichts ist, das mit dem Rechtsstreit befasst ist und in dessen Verantwortungsbereich die zu erlassende Entscheidung fällt, anhand der Besonderheiten der Rechtssache sowohl die Erforderlichkeit einer Vorabentscheidung für den Erlass seines Urteils als auch die Erheblichkeit der Fragen zu beurteilen, die es dem Gerichtshof vorlegt, wobei für die Fragen eine Vermutung der Entscheidungserheblichkeit gilt. Der Gerichtshof ist folglich grundsätzlich gehalten, über die ihm vorgelegte Frage zu befinden, wenn sie die Auslegung oder die Gültigkeit einer Vorschrift des Unionsrechts betrifft, es sei denn, dass die erbetene Auslegung offensichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, dass das Problem hypothetischer Natur ist oder dass der Gerichtshof nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der Frage erforderlich sind (Urteil vom 4. Mai 2023, Österreichische Post [Immaterieller Schaden im Zusammenhang mit der Verarbeitung personenbezogener Daten], C‑300/21, EU:C:2023:370, Rn. 23 und die dort angeführte Rechtsprechung).

30

Im vorliegenden Verfahren betrifft die erste Frage die Voraussetzungen für die Geltendmachung des Anspruchs auf Schadenersatz nach Art. 82 DSGVO. Ferner ist nicht offensichtlich, dass die erbetene Auslegung in keinem Zusammenhang mit dem Ausgangsrechtsstreit stünde oder dass das aufgeworfene Problem hypothetischer Natur wäre. Zum einen betrifft dieser Rechtsstreit nämlich ein Schadenersatzbegehren, das unter das durch die DSGVO eingeführte System des Schutzes personenbezogener Daten fällt. Zum anderen soll mit der Frage im Wesentlichen geklärt werden, ob es für die Anwendung der in dieser Verordnung aufgestellten Haftungsregeln nicht nur erforderlich ist, dass ein immaterieller Schaden vorliegt, der sich von einem Verstoß gegen die Verordnung unterscheidet, sondern auch, dass dieser Schaden einen gewissen Schweregrad überschreitet.

31

Die erste Frage ist daher zulässig.

32

Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass ein Verstoß gegen Bestimmungen dieser Verordnung, die der betroffenen Person Rechte verleihen, für sich genommen ausreicht, um unabhängig vom Schweregrad des von dieser Person erlittenen Schadens einen „immateriellen Schaden“ im Sinne dieser Bestimmung darzustellen.

33

Zunächst ist darauf hinzuweisen, dass es in Art. 82 Abs. 1 DSGVO heißt, dass „[j]ede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, … Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter [hat]“.

34

Der Gerichtshof hat Art. 82 Abs. 1 DSGVO bereits dahin ausgelegt, dass der bloße Verstoß gegen diese Verordnung nicht ausreicht, um einen Schadenersatzanspruch zu begründen, da das Vorliegen eines materiellen oder immateriellen „Schadens“ eine der Voraussetzungen für den in Art. 82 Abs. 1 vorgesehenen Schadenersatzanspruch darstellt, ebenso wie das Vorliegen eines Verstoßes gegen die DSGVO und eines Kausalzusammenhangs zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, Rn. 58 und die dort angeführte Rechtsprechung).

35

Insofern muss die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen dieser Verordnung nachweisen, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, Rn. 60 und 61 sowie die dort angeführte Rechtsprechung).

36

Hierzu ist festzustellen, dass der Gerichtshof Art. 82 Abs. 1 DSGVO dahin ausgelegt hat, dass er einer nationalen Vorschrift oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen gewissen Schweregrad erreicht hat, wobei er hervorgehoben hat, dass diese Person gleichwohl den Nachweis erbringen muss, dass ihr durch den Verstoß gegen diese Verordnung ein solcher immaterieller Schaden entstanden ist (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, Rn. 59 und 60 sowie die dort angeführte Rechtsprechung).

37

Selbst wenn die verletzte Bestimmung der DSGVO natürlichen Personen Rechte gewähren sollte, kann ein solcher Verstoß für sich genommen keinen „immateriellen Schaden“ im Sinne dieser Verordnung darstellen.

38

Zwar ergibt sich aus Art. 79 Abs. 1 DSGVO, dass jede betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen den Verantwortlichen oder einen etwaigen Auftragsverarbeiter hat, wenn sie der Ansicht ist, dass die „ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden“.

39

Diese Bestimmung verleiht jedoch der Person, die der Ansicht ist, Betroffene eines Verstoßes der ihr aufgrund der DSGVO zustehenden Rechte zu sein, lediglich das Recht auf einen Rechtsbehelf, ohne diese Person von der ihr nach Art. 82 Abs. 1 dieser Verordnung obliegenden Verpflichtung zu entbinden, nachzuweisen, dass sie tatsächlich einen materiellen oder immateriellen Schaden erlitten hat.

40

Folglich reicht der Verstoß gegen Bestimmungen der DSGVO, die der betroffenen Person Rechte verleihen, für sich genommen nicht zur Begründung eines materiellen Anspruchs auf Schadenersatz nach dieser Verordnung aus, die verlangt, dass auch die beiden anderen in Rn. 34 des vorliegenden Urteils genannten Voraussetzungen dieses Anspruchs erfüllt sind.

41

Im vorliegenden Fall begehrt der Kläger des Ausgangsverfahrens auf der Grundlage der DSGVO Ersatz eines immateriellen Schadens, nämlich eines Verlusts der Kontrolle über seine trotz seines Widerspruchs verarbeiteten personenbezogenen Daten, ohne nachweisen zu müssen, dass dieser Schaden einen gewissen Schweregrad überschritten hat.

42

Insoweit ist darauf hinzuweisen, dass der 85. Erwägungsgrund der DSGVO ausdrücklich den „Verlust der Kontrolle“ zu den Schäden zählt, die durch eine Verletzung personenbezogener Daten verursacht werden können. Ferner hat der Gerichtshof entschieden, dass der – selbst kurzzeitige – Verlust der Kontrolle über solche Daten einen „immateriellen Schaden“ im Sinne von Art. 82 Abs. 1 dieser Verordnung darstellen kann, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten hat (vgl. in diesem Sinne Urteil vom 25. Januar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, Rn. 66 und die dort angeführte Rechtsprechung).

43

Nach alledem ist auf die erste Frage zu antworten, dass Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass ein Verstoß gegen Bestimmungen dieser Verordnung, die der betroffenen Person Rechte verleihen, für sich genommen nicht ausreicht, um unabhängig vom Schweregrad des von dieser Person erlittenen Schadens einen „immateriellen Schaden“ im Sinne dieser Bestimmung darzustellen.

44

Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 82 DSGVO dahin auszulegen ist, dass es für eine Befreiung des Verantwortlichen von seiner Haftung nach Art. 82 Abs. 3 dieser Verordnung ausreicht, dass er geltend macht, dass der in Rede stehende Schaden durch ein Fehlverhalten einer ihm im Sinne von Art. 29 der Verordnung unterstellten Person verursacht wurde.

45

Insoweit ist darauf hinzuweisen, dass nach Art. 82 Abs. 2 DSGVO jeder an der Verarbeitung Verantwortliche für den Schaden haftet, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, und dass nach Art. 82 Abs. 3 DSGVO ein Verantwortlicher von der Haftung gemäß Art. 82 Abs. 2 DSGVO befreit wird, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

46

Der Gerichtshof hat bereits festgestellt, dass einer kombinierten Analyse der Abs. 2 und 3 von Art. 82 DSGVO zu entnehmen ist, dass dieser Artikel ein Haftungsregime für Verschulden vorsieht, bei dem davon ausgegangen wird, dass der Verantwortliche an der Verarbeitung, die den fraglichen Verstoß gegen die DSGVO darstellt, beteiligt war, so dass die Beweislast nicht der Person obliegt, der ein Schaden entstanden ist, sondern dem Verantwortlichen (vgl. in diesem Sinne Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, Rn. 92 bis 94).

47

Was die Frage betrifft, ob der Verantwortliche nach Art. 82 Abs. 3 DSGVO von seiner Haftung allein deshalb befreit werden kann, weil der betreffende Schaden durch das Fehlverhalten einer ihm im Sinne von Art. 29 DSGVO unterstellten Person verursacht wurde, geht zum einen aus diesem Art. 29 hervor, dass dem Verantwortlichen unterstellte Personen, wie z. B. seine Mitarbeiter, die Zugang zu personenbezogenen Daten haben, diese Daten grundsätzlich nur auf der Grundlage von Weisungen des Verantwortlichen und im Einklang mit diesen Weisungen verarbeiten dürfen (vgl. in diesem Sinne Urteil vom 22. Juni 2023, Pankki S, C‑579/21, EU:C:2023:501, Rn. 73 und 74).

48

Zum anderen sieht Art. 32 Abs. 4 DSGVO über die Sicherheit der Verarbeitung personenbezogener Daten vor, dass der Verantwortliche Schritte unternimmt, um sicherzustellen, dass ihm unterstellte natürliche Personen, die Zugang zu solchen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

49

Bei einem Arbeitnehmer des Verantwortlichen handelt es sich fraglos um eine natürliche Person, die dem Verantwortlichen unterstellt ist. Es ist somit Sache des Verantwortlichen, sich zu vergewissern, dass seine Weisungen von seinen Arbeitnehmern korrekt ausgeführt werden. Daher kann sich der Verantwortliche nicht einfach dadurch nach Art. 82 Abs. 3 DSGVO von seiner Haftung befreien, dass er sich auf Fahrlässigkeit oder Fehlverhalten einer ihm unterstellten Person beruft.

50

Im vorliegenden Fall macht juris in ihren schriftlichen Erklärungen vor dem Gerichtshof im Wesentlichen geltend, dass der Verantwortliche nach Art. 82 Abs. 3 DSGVO von seiner Haftung befreit werden müsse, wenn der Verstoß, der den betreffenden Schaden verursacht habe, dem Verhalten eines seiner Mitarbeiter zuzurechnen sei, der die Weisungen des Verantwortlichen nicht befolgt habe, und soweit dieser Verstoß nicht auf eine Verletzung der insbesondere in den Art. 24, 25 und 32 dieser Verordnung genannten Pflichten des Verantwortlichen zurückzuführen sei.

51

Insoweit ist hervorzuheben, dass die Umstände der in Art. 82 Abs. 3 DSGVO vorgesehenen Befreiung streng auf solche beschränkt werden müssen, unter denen der Verantwortliche nachweisen kann, dass er selbst nicht für den Schaden verantwortlich ist (vgl. in diesem Sinne Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, Rn. 70). Daher kann dem Verantwortlichen bei einer Verletzung des Schutzes personenbezogener Daten durch eine ihm unterstellte Person diese Befreiung nur zugutekommen, wenn er nachweist, dass es keinen Kausalzusammenhang zwischen der etwaigen Verletzung der ihm gemäß den Art. 5, 24 und 32 dieser Verordnung obliegenden Verpflichtung zum Datenschutz und dem der betroffenen Person entstandenen Schaden gibt (vgl. entsprechend Urteil vom 14. Dezember 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, Rn. 72).

52

Für eine mögliche Befreiung des Verantwortlichen – nach Art. 82 Abs. 3 DSGVO – von seiner Haftung kann es daher nicht ausreichen, dass er nachweist, dass er den ihm im Sinne von Art. 29 dieser Verordnung unterstellten Personen Weisungen erteilt hat und dass eine dieser Personen ihrer Verpflichtung, diese Weisungen zu befolgen, nicht nachgekommen ist und sie damit zum Eintritt des in Rede stehenden Schadens beigetragen hat.

53

Könnte sich der Verantwortliche von seiner Haftung befreien, indem er sich lediglich auf das Fehlverhalten einer ihm unterstellten Person beruft, würde dies nämlich, wie das vorlegende Gericht im Wesentlichen ausgeführt hat, die praktische Wirksamkeit des in Art. 82 Abs. 1 DSGVO verankerten Anspruchs auf Schadenersatz beeinträchtigen, was nicht im Einklang mit dem Ziel dieser Verordnung stünde, ein hohes Schutzniveau für natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten.

54

Nach alledem ist auf die zweite Frage zu antworten, dass Art. 82 DSGVO dahin auszulegen ist, dass es für eine Befreiung des Verantwortlichen von seiner Haftung nach Art. 82 Abs. 3 dieser Verordnung nicht ausreicht, dass er geltend macht, dass der in Rede stehende Schaden durch ein Fehlverhalten einer ihm im Sinne von Art. 29 der Verordnung unterstellten Person verursacht wurde.

55

Mit seiner dritten und seiner vierten Frage, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass zur Bemessung des Betrags des auf diese Bestimmung gestützten Anspruchs auf Schadenersatz zum einen die in Art. 83 dieser Verordnung vorgesehenen Kriterien für die Festsetzung des Betrags von Geldbußen entsprechend anzuwenden sind und zum anderen zu berücksichtigen ist, dass die Person, die Schadenersatz verlangt, von mehreren Verstößen gegen die Verordnung betroffen ist, die sich auf denselben Verarbeitungsvorgang beziehen.

56

Was als Erstes eine etwaige Berücksichtigung der in Art. 83 DSGVO genannten Kriterien bei der Bemessung des Betrags des nach Art. 82 DSGVO geschuldeten Schadenersatzes betrifft, steht fest, dass mit diesen beiden Bestimmungen unterschiedliche Ziele verfolgt werden. Während nämlich Art. 83 dieser Verordnung „[a]llgemeine Bedingungen für die Verhängung von Geldbußen“ festlegt, regelt Art. 82 der Verordnung „Haftung und Recht auf Schadenersatz“.

57

Daraus folgt, dass die in Art. 83 DSGVO genannten Kriterien für die Bestimmung der Beträge der Geldbußen, die auch im 148. Erwägungsgrund dieser Verordnung erwähnt werden, nicht zur Bemessung des Schadenersatzbetrags nach Art. 82 der DSGVO herangezogen werden können.

58

Wie der Gerichtshof bereits festgestellt hat, enthält die DSGVO keine Bestimmung über die Bemessung des Schadenersatzes, der aufgrund des in Art. 82 dieser Verordnung verankerten Schadenersatzanspruchs geschuldet wird. Folglich haben die nationalen Gerichte zum Zweck dieser Bemessung nach dem Grundsatz der Verfahrensautonomie die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten über den Umfang der finanziellen Entschädigung anzuwenden, sofern die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachtet werden, wie sie von der ständigen Rechtsprechung des Gerichtshofs definiert werden (vgl. in diesem Sinne Urteile vom 21. Dezember 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, Rn. 83 und 101 sowie die dort angeführte Rechtsprechung, und vom 25. Januar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, Rn. 53).

59

In diesem Zusammenhang hat der Gerichtshof hervorgehoben, dass Art. 82 DSGVO – anders als andere, ebenfalls in Kapitel VIII dieser Verordnung enthaltene Bestimmungen, und zwar ihre Art. 83 und 84, die im Wesentlichen einen Strafzweck haben, da sie die Verhängung von Geldbußen und anderen Sanktionen erlauben – keine Straf‑, sondern eine Ausgleichsfunktion hat. Das Verhältnis zwischen den in Art. 82 DSGVO und den in den Art. 83 und 84 DSGVO enthaltenen Vorschriften zeigt, dass zwischen diesen beiden Kategorien von Bestimmungen ein Unterschied besteht, sie einander aber als Anreiz zur Einhaltung der DSGVO auch ergänzen, wobei das Recht jeder Person, den Ersatz eines Schadens zu verlangen, die Durchsetzungskraft der in dieser Verordnung vorgesehenen Schutzvorschriften erhöht und geeignet ist, von der Wiederholung rechtswidriger Verhaltensweisen abzuschrecken (Urteil vom 25. Januar 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, Rn. 47 und die dort angeführte Rechtsprechung).

60

Darüber hinaus hat der Gerichtshof aus dem Umstand, dass der in Art. 82 Abs. 1 DSGVO vorgesehene Anspruch auf Schadenersatz keine abschreckende oder gar Straffunktion erfüllt, abgeleitet, dass die Schwere des Verstoßes gegen diese Verordnung, durch den der betreffende materielle oder immaterielle Schaden entstanden ist, sich nicht auf die Höhe des auf der Grundlage dieser Bestimmung gewährten Schadenersatzes auswirken kann. Folglich darf dieser Betrag nicht in einer Höhe bemessen werden, die über den vollständigen Ersatz dieses Schadens hinausgeht (vgl. in diesem Sinne Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, Rn. 86).

61

Im Hinblick auf den sechsten Satz des 146. Erwägungsgrundes der DSGVO, wonach dieses Instrument einen „vollständigen und wirksamen Schadenersatz für den erlittenen Schaden“ sicherstellen soll, hat der Gerichtshof festgestellt, dass in Anbetracht der Ausgleichsfunktion des in Art. 82 DSGVO vorgesehenen Anspruchs auf Schadenersatz eine auf diesen Artikel gestützte finanzielle Entschädigung als „vollständig und wirksam“ anzusehen ist, wenn sie es ermöglicht, den aufgrund des Verstoßes gegen diese Verordnung konkret erlittenen Schaden in vollem Umfang auszugleichen, ohne dass ein solcher vollumfänglicher Ausgleich die Verhängung von Strafschadenersatz erfordert (Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, Rn. 84 und die dort angeführte Rechtsprechung).

62

Angesichts der Unterschiede im Wortlaut und in der Zielsetzung, die zwischen Art. 82 DSGVO im Licht des 146. Erwägungsgrundes dieser Verordnung und ihrem Art. 83 im Licht ihres 148. Erwägungsgrundes bestehen, kann daher ungeachtet der Tatsache, dass die in den beiden Bestimmungen vorgesehenen Rechtsbehelfe einander ergänzen, um die Einhaltung dieser Verordnung sicherzustellen, nicht davon ausgegangen werden, dass die in Art. 83 DSGVO speziell angegebenen Bemessungskriterien im Rahmen von Art. 82 DSGVO entsprechend anwendbar sind.

63

Was als Zweites die Art und Weise betrifft, in der die nationalen Gerichte den Betrag einer finanziellen Entschädigung nach Art. 82 DSGVO im Fall mehrfacher Verstöße gegen diese Verordnung, die dieselbe betroffene Person betreffen, zu bemessen haben, ist zunächst darauf hinzuweisen, dass es, wie in Rn. 58 des vorliegenden Urteils ausgeführt, Sache jedes Mitgliedstaats ist, die Kriterien festzulegen, anhand deren der Betrag dieser Entschädigung bemessen werden kann, sofern die unionsrechtlichen Grundsätze der Effektivität und der Äquivalenz beachtet werden.

64

Angesichts dessen, dass Art. 82 DSGVO keine Straf‑, sondern eine Ausgleichsfunktion hat, worauf in den Rn. 60 und 61 des vorliegenden Urteils hingewiesen wird, kann sodann der Umstand, dass der Verantwortliche mehrere Verstöße gegenüber derselben betroffenen Person begangen hat, nicht als ein relevantes Kriterium für die Bemessung des dieser Person gemäß Art. 82 dieser Verordnung zu gewährenden Schadenersatzes herangezogen werden. Um den Betrag der als Ausgleich geschuldeten finanziellen Entschädigung festzulegen, ist nämlich allein der von dieser Person konkret erlittene Schaden zu berücksichtigen.

65

Folglich ist auf die dritte und die vierte Frage zu antworten, dass Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass zur Bemessung des Betrags des auf diese Bestimmung gestützten Anspruchs auf Schadenersatz zum einen die in Art. 83 dieser Verordnung vorgesehenen Kriterien für die Festsetzung des Betrags von Geldbußen nicht entsprechend anzuwenden sind und zum anderen nicht zu berücksichtigen ist, dass die Person, die Schadenersatz verlangt, von mehreren Verstößen gegen die Verordnung betroffen ist, die sich auf denselben Verarbeitungsvorgang beziehen.

66

Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Dritte Kammer) für Recht erkannt: