Herr Wybitul, Herr Dr. Baus, die Datenschutzgrundverordnung (DSGVO) ermöglicht es Verbrauchern, nach Datenpannen Bußgelder von Unternehmen zu fordern. Kann es auch zu Massenklagen kommen?Wybitul: In den USA sind Verbands- oder Massenverfahren bereits seit langem ein lukratives Geschäftsmodell für Verbraucheranwälte und Prozessfinanzierer. Dort kann man neben finanziell messbaren Vermögensschäden auch immaterielle Schäden einklagen, etwa in Form von “moral damages” oder “emotional distress”. Die seit 2018 geltende EU-Datenschutz-Grundverordnung (DSGVO) bietet professionellen Klägeranwälten nun ganz ähnliche Möglichkeiten. Gibt es erste Fälle?Baus: Bei unseren Mandanten sind bereits Anspruchsschreiben und Klagen wegen vermuteten Datenschutzverletzungen eingegangen. In Berlin bietet zudem ein erstes Unternehmen Verbrauchern an, DSGVO-Ansprüche einzuklagen. Die “EuGD Europäische Gesellschaft für Datenschutz mbH” prüft mögliche Ansprüche und vermittelt bei guten Erfolgsaussichten einen Anwalt. Die EuGD trägt die Anwalts- und Gerichtskosten und behält dafür 25 % von den erfolgreich eingeklagten Schadenersatzforderungen. Lohnt sich das?Wybitul: Ja, das kann ein sehr lohnendes Geschäftsmodell sein. Vor allem, wenn man sich auf Sachverhalte mit guten Erfolgsaussichten konzentriert. Das betrifft beispielsweise Unternehmen, bei denen Datenpannen bekannt wurden. Auch wenn der klagende Verbraucher Kunde eines Unternehmens ist, gegen das die Datenschutzbehörden ermitteln oder sogar ein Bußgeld verhängt haben, können die Chancen auf Schadenersatz gut sein.Baus: Vor Gericht entscheidet oft die Beweislast über Erfolg und Misserfolg. Nach der DSGVO müssen Unternehmen nachweisen können, dass sie alle Vorgaben des Datenschutzes richtig umgesetzt haben. Diesen Grundsatz werden Gerichte wahrscheinlich als Beweislastregel anwenden. In der Praxis ist das eine hohe Hürde, die umfangreiche Dokumentation und Planung erfordert. Gibt es dazu schon eine klare Rechtsprechung?Wybitul: Nein. Gerade das macht dieses Geschäftsmodell für Verbraucheranwälte so attraktiv. Stellen Sie sich vor, ein Kläger gewinnt ein solches Verfahren und bekommt Schadenersatz. Dann könnten Verbraucheranwälte das Verfahren als Präzedenzfall nutzen und ähnliche Ansprüche für eine Vielzahl von Klägern geltend machen.Baus: Solche Forderungen kann man grundsätzlich auch abtreten und bündeln, was insbesondere dann relevant wird, wenn bei Datenpannen eine Vielzahl von Personen betroffen ist. Damit kämen auf Unternehmen hohe mögliche Gesamtforderungen zu. Und das wäre dann auch für Prozessfinanzierer sehr lukrativ. Es gilt hier zudem zu bedenken: Bei der DSGVO handelt es sich um EU-Recht. Da gelten andere Maßstäbe als im bisherigen deutschen Recht. Daher können Gerichte auch deutlich höheren Schadenersatz zusprechen, um dem Datenschutzrecht zu einer wirksamen Durchsetzung zu verhelfen. Wie können sich Unternehmen gegen solche Forderungen wappnen?Wybitul: Vor allem durch gute Vorbereitung. Wie geht man als Unternehmen beispielsweise mit Klagen in Bezug auf problematische Datenschutzsachverhalte um? Sind alle Datenschutzprozesse so dokumentiert, dass man sie in einem Gerichtsverfahren vorlegen kann? Ist der Prozess zur Erfüllung von Auskunftsanträgen nach Artikel 15 DSGVO so gestaltet, dass er Verbrauchern nachvollziehbare und überzeugende Informationen zur Verfügung stellt, die sie nicht zu Klagen ermutigt?Baus: Keinem Unternehmen wird es leichtfallen, innerhalb von kurzer Zeit tausende von Auskunftsansprüchen zu beantworten und dabei zugleich die Auswirkungen auf spätere Schadenersatzansprüche im Blick zu haben. Dasselbe gilt, wenn tatsächlich eine Vielzahl von Schadenersatzprozessen losgetreten wird. Hier kommt es einerseits auf die technische und logistische Infrastruktur im Unternehmen an. IT, Datenschutz und Litigation müssen eng zusammenarbeiten. Andererseits wird es häufig sinnvoll sein, externe Dienstleister einzubinden. Hier kann der Einsatz von Legal Tech sehr hilfreich sein. Denn es gibt inzwischen wirklich gute Tools, die automatisierte Antworten entwerfen oder wiederkehrende Entscheidungsprozesse erleichtern, wie beispielsweise eine datenschutzrechtliche Ersteinschätzung. Tim Wybitul und Dr. Christoph A. Baus sind Partner von Latham & Watkins. Die Fragen stellte Sabine Wadewitz.