Wie ein Verstoß gegen Datenschutz zu Schmerzensgeld führen kann!
Weil ein Unternehmen in einen laufenden Bewerbungsverfahren eine Nachricht an den falschen Empfänger sendete, verklagte der Bewerber das Unternehmen auf Schmerzensgeld. Das Landgericht Darmstadt sprach dem Bewerber einen Schadensersatzanspruch in Höhe von 1.000 EUR zu, auch weil das Unternehmen den Bewerber nicht über den Falschversand informierte.
Wie die Verwechslung auffiel?
In dem Fall mit Urteil vom 26.05.2020 (LG Darmstadt, Urteil v. 26.05.2020,13 O 244/19), bewarb sich der Kläger über das Business Netzwerk Xing bei er einer Bank. Als das Unternehmen auf die Bewerbung antwortete, wurde diese versehentlich an einen anderen Xing Nutzer gesendet. In der Antwort-Mail wurde zum einen das Interesse der Firma an den Bewerber bestätigt. Auch wurde konkret auf die genannten Gehaltsvorstellungen beider Parteien eingegangen. Kurz darauf bemerkte das Unternehmen den Fehlversand und schickte die Nachricht an den richtigen Empfänger, allerdings ohne diesen über den Fehlversand zu informieren.
Das versehentlich angeschriebene Xing Mitglied hatte die Nachricht an den eigentlichen Empfänger, weitergeleitet. Der Bewerber nahm dies zur Kenntnis und unternahm erst einmal nichts weiter. Schließlich war der Bewerbungsprozess noch nicht abgeschlossen. Nachdem der Bewerber die Absage bekam, fragte er bei der Bank wegen des Fehlversands nach und wurde dann, mit gewisser Verzögerung über die fehlgeleitete E-Mail informiert.
Der Bewerber zog darauf hin vor das Landesgericht Darmstadt und wollte wegen eines Verstoßes gegen die DSGVO einen Schadenanspruch in Höhe von 2.500 EUR.
Das Urteil des Gerichts!
Das Gericht gab der Klage mit Urteil vom 26.05.2020 in weiten Teilen Recht. In der Urteilsbegründung hieß es etwa, dass durch Weiterleitung der Nachricht an einen unbeteiligten Dritten der Kläger die Kontrolle verloren habe, wer Kenntnis über seine Bewerbung erhielt. Diese Daten hätten den Kläger erheblich benachteiligen können, etwa wenn sein damaliger Arbeitgeber oder seine Kollegen davon erfahren hätten. Dieser potenzielle Schaden habe ein hohes Risiko für die persönlichen Rechte und Freiheiten des Klägers bedeutet, wobei es nicht maßgeblich sei, ob die Datenschutzverletzung auch tatsächlich zu einem besonders hohen Schaden geführt habe.
Benachrichtigungspflicht nach einer Datenschutzverletzung!
Das Gericht beanstandete insbesondere die nicht erfolge Benachrichtigung des Betroffenen die aufgrund der Datenschutzverletzung verpflichtend gewesen wäre. Demnach müssen die von einer Datenschutzverletzung betroffenen Personen unverzüglich (ohne schuldhaftes Zögern) über die Datenschutzverletzung informiert werden, wenn dadurch ein „hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Person“ entstanden ist.
Das Gericht wollte aber auf die Forderung in Höhe von 2.500 Euro nicht eingehen und senkte das Schmerzensgeld auf 1.000 Euro. Als Begründung wurde angeführt, dass die Informationen nur einer weiteren Person zugänglich war und durch den Vorfall letztlich keine beruflichen oder persönlichen Beeinträchtigungen entstanden sind.
Fazit
Das Urteil ist in gewisser Weise bemerkenswert, weil es darlegt, dass allein durch das entstandene Risiko ein gewisser Schmerzensgeldanspruch bestehen kann, ohne dass tatsächlich ein Schaden entstanden ist. Für das Unternehmen kamen wahrscheinlich auch noch zeitaufwendige Prüfungen der zuständigen Aufsichtsbehörde hinzu, wenn der Kläger auch noch eine Beschwerde an die Aufsichtsbehörde verfasst hat. Im schlimmsten Fall musste hier auch noch ein Bußgeld gezahlt werden.
