Ein Bürger wirft einer gesetzlichen Krankenkasse die verspätete Erteilung einer Datenauskunft nach Art. 15 DSGVO vor. Er verlangt Schadensersatz in Höhe von 2.000 EUR und reicht im Juni 2021 eine Klage beim Sozialgericht Frankfurt/Main ein. Das Sozialgericht hält sich nicht für zuständig, das Hessische Landessozialgericht weist die Beschwerde zurück. Der Fall landet beim Bundessozialgericht (BSG), das jetzt entschieden hat, dass die Sozialgerichte für Schadensersatzklagen nach Art. 82 DSGVO zuständig sein können (BSG vom 6.3.2023 – Az. B 1 SF 1/22 R).

Bei den Daten, die die beklagte Krankenkasse gespeichert hatte, handelte es sich um Daten aus einer Sozialversicherung. Daher – so das BSG – geht es bei der Klage um ein Rechtsverhältnis aus dem öffentlichen Recht und somit um eine öffentlich-rechtliche Streitigkeit (§ 51 Abs. 1 SGG). Nicht jede Schadensersatzklage gegen eine Krankenkasse wird diese Voraussetzung erfüllen. Klagt beispielsweise ein Beschäftigter einer Krankenkasse wegen Datenschutzverstößen im Zusammenhang mit seiner Personalakte, fehlt es an einer öffentlich-rechtlichen Streitigkeit, und die Arbeitsgerichte müssen über den Fall entscheiden.

Dass die Sozialgerichte zuständig sind, über die Folgen von Datenschutzverstößen zu entscheiden, ist in § 81b SGB X ausdrücklich geregelt:

„Für Klagen der betroffenen Person gegen einen Verantwortlichen oder einen Auftragsverarbeiter wegen eines Verstoßes gegen datenschutzrechtliche Bestimmungen im Anwendungsbereich der Verordnung (EU) 2016/679 oder der darin enthaltenen Rechte der betroffenen Person bei der Verarbeitung von Sozialdaten im Zusammenhang mit einer Angelegenheit nach § 51 Absatz 1 und 2 des Sozialgerichtsgesetzes ist der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit eröffnet.“

Bei dem Schadensersatzanspruch nach Art. 82 DSGVO handelt es sich – so das BSG – um ein „Recht der betroffenen Person“ gemäß § 81b SGB X. Dieses Recht stehe den Rechten gleich, die in den Art. 12 ff. DSGVO ausdrücklich als „Rechte der betroffenen Person“ bezeichnet werden.

So weit, so überzeugend. Es stellt sich jedoch die weitere Frage, ob Art. 82 DSGVO nicht als Amtshaftungsanspruch anzusehen ist, wenn es im konkreten Fall nicht um einen privatrechtlichen Anspruch, sondern um einen Anspruch aus einem öffentlich-rechtlichen Rechtsverhältnis handelt. Für Amtshaftungsansprüche sind die „ordentlichen Gerichte“ – die Zivilgerichte – nach Art. 34 Satz 3 GG zuständig.

Ein Amtshaftungsanspruch zeichnet sich dadurch aus, dass der Staat in die Haftung genommen wird für einen Schaden, den ein Amtsträger einem Bürger zugefügt hat. Und auf den ersten Blick spricht vieles dafür, dass es genau um einen solchen Schaden bei Art. 82 DSGVO geht. Denn eine Haftung nach Art. 82 DSGVO setzt eine „Verantwortlichkeit“ voraus (Art. 82 Abs. 3 DSGVO) und somit ein Verschulden (vgl. nur Boehm in Simitis/Hornung/Spiecker gen. Döhmann, DSGVO, 2019, Art. 82 Rn. 22).

Das BSG meint dennoch (anders als die Vorinstanzen), es handele sich bei Art. 82 DSGVO auch im Bereich des öffentlichen Rechts nicht um einen Amtshaftungsanspruch, sodass Art. 34 Satz 3 GG nicht anwendbar ist. Die Begründung fällt kurz aus (Rn. 24 des Beschlusses):

„Der Schadenersatzanspruch aus Art 82 Abs 1 DSGVO ist schon deshalb kein Amtshaftungsanspruch iS des Art 34 Satz 1 und 3 GG, weil er sich nicht gegen einen Amtswalter richtet und sodann auf den Staat übergeleitet wird, sondern unmittelbar gegen den Verantwortlichen (ausführlich dazu auch BFH vom 28.6.2022 – II B 92/21 – BFHE 275, 571 = BStBl II 2022, 535, RdNr 18, 21). Dies ist hier die beklagte KK. Auf ein etwaiges Fehlverhalten der Amtswalter, die im Dienst des Verantwortlichen stehen, kommt es nicht an. Diese sind prinzipiell keine Verantwortlichen im Sinne der DSGVO (Bieresborn, ZFSH/SGB 2020, 436, 438; Leopold in BeckOGK, § 67 SGB X RdNr 54, Stand: 1.8.2022; Gola in Gola/Heckmann, DS-GVO/BDSG, 3. Aufl 2022, Art 4 DS-GVO RdNr 63).“

Anders als Amtshaftungsansprüche nach Art. 34 Satz 3 GG knüpft Art. 82 Abs. 1 DSGVO nicht an einen Ersatzanspruch des Bürgers gegen einen Amtsträger an (vgl. § 839 Abs. 1 BGB), denn der Mitarbeiter einer Krankenkasse, der beispielsweise verspätet Auskunft erteilt, kann von dem Bürger (anders als in den Fällen des § 839 Abs. 1 BGB) nicht persönlich haftbar gemacht werden.

Im Ergebnis dürfte daher die Entscheidung des BSG richtig sein. Nicht nur die Zivil- und Arbeitsgerichte sowie die Finanzgerichte (vgl. die Parallelentscheidung des BFH vom 28.6.2022 – Az. II BB 92/21), sondern auch die Sozialgerichte werden sich in Zukunft mit Schadensersatzansprüchen der Bürger nach Art. 82 DSGVO befassen müssen.