Immaterieller Schadenersatz bei DSGVO-Verstoß

Eine Privatbank aus Berlin sah sich nicht in der Lage die Gehaltsforderungen eines Bewerbers zu erfüllen. Daher sendete sie eine Absage, verbunden mit einem Gegenangebot über Xing. Dabei geriet die Nachricht jedoch auch an einen falschen Empfänger. Der Bewerber und der externe Dritte waren zufälligerweise ehemalige Kollegen, sodass sich letzterer bei dem Bewerber meldete, die Nachricht an ihn weiterleitete, verbunden mit der Frage, ob er einen neuen Job suche. Kurze Zeit später beendete die Bank das Bewerbungsverfahren dann endgültig. Der Bewerber forderte daraufhin u.a. von der Bank Schadenersatz in Höhe von mindestens 2500,- Euro gem. Art. 82 Abs. 1 Datenschutzgrundverordnung (DSGVO). Die Bank lehnte die Forderung ab, der abgelehnte Bewerber erhob daraufhin Klage vor Gericht.

Die erstinstanzlichen Gerichte bewerteten die Schadenersatzforderung sehr unterschiedlich. Der BGH legte dem Europäischen Gerichtshof schließlich, neben weiteren Themen, die Frage vor, ob ein Schadenersatzanspruch auch im vorliegenden Fall in Betracht käme. Der EuGH bejahte diese Frage. Immaterielle Schäden können demnach auch negative Gefühle umfassen, z.B. durch Kontrollverlust der Daten, missbräuchliche Verwendung oder auch Rufschädigung. Die Beweislast trage jedoch der Betroffene. An diese Vorgaben orientierte sich der BGH und gab der Forderung des Klägers nach Schadenersatz statt. So seien bei dem Inhalt der Nachricht personenbezogene Daten erfasst worden, auch läge durch den Versand an den falschen Empfänger ein Datenschutzverstoß vor. Der Begriff des Schadens nach Art. 82 Abs. 1 DSGVO sei weit auszulegen, darunter falle z.B. auch der kurzzeitige Verlust der Kontrolle über personenbezogene Daten. Im vorliegenden Falle habe der Kontrollverlust weitreichende Folgen gehabt. Der falsche Empfänger meldete sich beim Bewerber und konfrontierte ihn mit dem Inhalt. Eine darauf gestützte Befürchtung des Bewerbers, dass der ehemalige Kollege die Nachricht noch an weitere Empfänger weiterleiten könne, sei ebenfalls nachvollziehbar. Ein Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO liege demnach vor.

Über die endgültige Höhe des Schadenersatzes entscheidet nun das Oberlandesgericht Frankfurt, an dieses wies der BGH den Rechtsstreit zurück. Fragen rund um das Thema Schadenersatz nach der DSGVO beschäftigen die deutschen bzw. europäischen Gerichte regelmäßig. Auch dieser Rechtsstreit zeigt: Ein bloßer Verstoß gegen Bestimmungen der DSGVO genügt für einen Schadenersatzanspruch meist nicht, hierfür bedarf es meist zusätzlich konkreter Umstände bzw. Anhaltspunkte. Im vorliegenden Fall konnte der Kläger diese darlegen. (sts)