Geschäftsführer haften persönlich für Datenschutzverstöße der GmbH

Das OLG Dresden hat mit Urteil vom 30.11.2021 (4 U 1158/21) entschieden, dass der Geschäftsführer einer GmbH neben der Gesellschaft „Verantwortlicher“ im Sinne der DSGVO ist und er insofern für Datenschutzverstöße auch persönlich haftet.

Sachverhalt

Der Kläger wollte als Autohändler Mitglied bei der beklagten GmbH werden, welche unter anderem für die Mitglieder werbewirksam Oldtimer-Ausfahrten organisiert. Aufgrund der Anfrage auf Mitgliedschaft hat der Geschäftsführer dieser GmbH mittels Beauftragung eines Privatdetektivs Informationen über strafrechtlich relevante Sachverhalte unter Beteiligung des Klägers eingeholt und diese gegenüber der Gesellschaft mitgeteilt. Die Mitgliedsanfrage des Klägers gegenüber der beklagten GmbH wurde hieraufhin von dieser abgelehnt.

Der Kläger verklagte nunmehr sowohl die GmbH als auch deren Geschäftsführer auf Schadensersatz in Höhe von EUR 21.000. Das LG Dresden sprach dem Kläger Schadensersatz lediglich in Höhe von EUR 5.000 zu. Mit seiner Berufung verfolgt der Kläger weiterhin die Zahlung der ursprünglich eingeklagten EUR 21.000.

Entscheidungsgründe

Die Berufung des Klägers hatte keinen Erfolg. Das OLG Dresden erachtete in der Beauftragung des Privatdetektivs einen Datenschutzrechtsverstoß. Die Ausspähung überschreite die Bagatellschwelle. Die Beklagte habe auch eine Selbstauskunft, gegebenenfalls auch die Vorlage eines polizeilichen Führungszeugnisses einholen können. Zudem liege ein Verstoß gegen Art. 10 DSGVO vor, der eine Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln grundsätzlich nur unter behördlicher Aufsicht gestatte.

Aufgrund dieses datenschutzrechtlichen Verstoßes sei ein immaterieller Schadensersatz nach Art. 82 DSGVO in Höhe der erstinstanzlich ausgeurteilten EUR 5.000 gerechtfertigt. Nach Erwägungsgrund Nr. 146 der DS-GVO solle der Begriff des Schadens im Lichte der Rechtsprechung des EuGH weit und auf eine Art und Weise ausgelegt werden, „die den Zielen dieser Verordnung in vollem Umfang entspricht“. Nach dem Effektivitätsprinzip sei insoweit auch eine abschreckende Sanktion nicht ausgeschlossen. Die Höhe des Anspruchs müsse auf der Basis des Effektivitätsprinzips eine abschreckende Wirkung haben. Zulasten der Beklagten sei zu berücksichtigen, dass es sich bei den erhobenen Daten mit Strafrechtsbezug um besonders sensible Daten handele, so dass insofern der Verstoß, auch wenn die über den Kläger erhobenen Daten nicht weitergegeben worden sein sollten, hinreichend schwer wiege.

Verantwortlicher i.S.d. DSGVO sei insofern auch der Geschäftsführer der Beklagten GmbH.

Hinweis für die Praxis

Die Entscheidung tangiert das Arbeitsrecht nicht direkt, gibt jedoch Anlass dazu, sich etwaige Haftungstatbestände in datenschutzrechtlicher Hinsicht auch im Arbeitsverhältnis zu vergegenwärtigen. So wird wohl am häufigsten im Rahmen gerichtlicher Auseinandersetzungen im Zusammenhang mit der Beendigung des Arbeitsverhältnisses seitens der Arbeitnehmerseite ein datenschutzrechtlicher Auskunftsanspruch sowie ein Anspruch auf Überlassung von Kopien der verarbeiteten Daten geltend gemacht. Wird hierbei die Auskunft nicht innerhalb eines Monats erteilt, vgl. Art. 12 Abs. 3 DSGVO, liegt ein Verstoß gegen die DSGVO vor, der nach Art. 82 Abs. 1 DSGVO dann, wenn „ein materieller oder immaterieller Schaden entstanden ist“, einen Anspruch auf Schadenersatz gegen den Verantwortlichen zur Folge haben kann. Interessant ist in diesem Zusammenhang auch, dass eine Bagatellgrenze im Rahmen von DSGVO-Verstößen in einer jüngeren Entscheidung seitens des LAG BW explizit verneint wurde, vgl. 25.02.2021 – 17 Sa 37/20. Zur Frage, ob auch der Geschäftsführer einer GmbH Verantwortlicher in diesem Sinne sein kann, haben sich die Arbeitsgerichte allerdings bislang nicht verhalten. Es ist jedoch nicht ausgeschlossen, dass sich vor dem Hintergrund der Entscheidung des OLG Dresden weitere Gerichte dieser Rechtsprechung anschließen. Damit geriete auch das verantwortliche Führungspersonal vermehrt in den Fokus arbeitsgerichtlicher Auseinandersetzungen. Attraktiv ist dies vor allen Dingen aus Sicht der Arbeitnehmervertreter, da hierdurch die Vergleichsbereitschaft der Gegenseite durchaus erhöht werden kann. Arbeitgeber sollten daher stets sorgfältig prüfen (lassen), welche datenschutzrechtlichen Pflichten einzuhalten sind, um nicht Gefahr zu laufen, schadensersatzrechtlich in Anspruch genommen zu werden.