Schmerzensgeld nach Datenschutzverletzung

Während immaterielle Schadensersatzansprüche von Verbrauchern nach der DSGVO in der bisherigen Rechtsprechung lediglich eine untergeordnete Rolle gespielt haben, könnten sie nach einer aktuell veröffentlichten arbeitsgerichtlichen Entscheidung nun erheblich an Bedeutung gewinnen.

Hintergrund

Abmahnungen und v.a. Bußgelder wegen Datenschutzverletzungen waren bei Erlass der DSGVO von Unternehmen sehr gefürchtet. Allerdings ist die Anzahl datenschutzrechtlicher Bußgeldverfahren angesichts beschränkter Kapazitäten immer noch überschaubar; entsprechendes gilt für datenschutzrechtliche Abmahnungen, da zum einen (immer) noch nicht abschließend geklärt ist, ob Datenschutzverletzungen überhaupt wirksam abgemahnt werden können, zum anderen regelmäßig das Risiko eines „Bumerangs“, also einer Gegenabmahnung, besteht.

Nach Art. 82 Abs. 1 DSGVO hat jedoch auch jede natürliche Person, der wegen eines Verstoßes gegen das Datenschutzrecht ein immaterieller Schaden entstanden ist, einen individuellen Schadensersatzanspruch gegen das betreffende Unternehmen. Da Fehler beim Datenschutz in der Regel für eine Vielzahl betroffener Personen Auswirkungen haben, kann diese Schadensersatzpflicht grundsätzlich signifikante wirtschaftliche Nachteile für ein Unternehmen bedeuten.

Diese Befürchtung hat sich in der bisher zu Art. 82 DSGVO ergangenen Rechtsprechung bisher ebenfalls nicht bestätigt: So schrieb beispielsweise das OLG Dresden (Beschl. v. 11.12.2019 - Az. 4 U 1680/19) der Löschung eines Social Media-Posts „allenfalls Bagatellcharakter [zu], was die Zuerkennung eines immateriellen Schadensersatzes nicht [rechtfertige].“ In einem weiteren Verfahren hielt das LG Karlsruhe (Urt. v. 02.08.2019 - Az. 8 O 26/19) fest, dass ein Verstoß gegen die DSGVO allein nicht zu einem Schadensersatzanspruch aus generalpräventiven Gründen führe.

Paradigmenwechsel?

Anders sieht dies nun das ArbG Düsseldorf (Urt. v. 05.03.2020 - Az. 9 Ca 6557/18, nicht rechtskräftig), das einem ehemaligen Arbeitnehmer EUR 5.000,00 an immateriellen Schadensersatz wegen es eines nicht fristgerecht und dazu unvollständig bearbeiteten Auskunftsbegehrens nach Art. 15 DSGVO zusprach. Nach Auffassung des Gerichts bestehe gerade keine Bagatellschwelle und eine immaterielle Entschädigung müsse abschreckend sein, um dem europarechtlichen Effektivitätsgrundsatz Rechnung zu tragen.

Im Lichte der bisherigen Rechtsprechung ist die Entscheidung aus Düsseldorf bemerkenswert und zeigt, dass die Vielzahl theoretisch denkbarer Schadensersatzverfahren - geltend gemacht insbesondere von ehemaligen Arbeitnehmern, von denen man sich nicht im Guten getrennt hat - ein ernst zu nehmendes Risiko für Unternehmen darstellen kann. Vor dem Hintergrund der Erwägungen des Gerichts dürfte beispielsweise auch eine Entschädigung für eine unzulässige Mitarbeiterüberwachung dann deutlich höher ausfallen, als dies nach dem LAG Mecklenburg-Vorpommern im Zusammenhang mit einer rechtswidrigen Videoüberwachung (nur EUR 1.500,00 Entschädigung; Urt. v. 24.05.2019 - Az. 2 Sa 214/18) noch der Fall war.

Zwar bleibt noch abzuwarten, ob sich mit dieser arbeitsgerichtlichen Entscheidung aus Düsseldorf ein Paradigmenwechsel bei der Verurteilung von Schadensersatz nach Datenschutzverletzungen, auch abseits des Arbeitsrechts, vollziehen wird. Jedenfalls zeigt das Urteil, dass Unternehmen ihre internen datenschutzrechtlich relevanten Prozesse kontinuierlich zu überprüfen und ggf. anzupassen haben, um Verletzungen, insbesondere gegenüber einer Vielzahl von Betroffenen, gar nicht erst entstehen zu lassen. Zudem dürfte dieses Urteil sowohl Verbraucher als auch darauf spezialisierte Anwälte ermutigen, derartige Verfahren nun in die Wege zu leiten, um bei Gerichten, die dieser Auffassung folgen, wirtschaftlich signifikante Ausgleichszahlungen zu erstreiten.