Datenschutz- und Persönlichkeitsrecht: Wie hoch ist der Schadenersatz?

Achtung: Der Beitrag kann die rechtliche Beratung im Einzelfall nicht ersetzen!

Werden Daten Betroffener verarbeitet (vgl. Art. 4 Nr. 2 DS-GVO), stellt sich die Frage nach der Rechtmäßigkeit dieses Vorgangs. Eine unberechtigte – insbesondere ohne Einwilligung des Betroffenen vorgenommene - Veröffentlichung personenbezogener Daten ist zunächst eine Verletzung des Datenschutzrechts. Es handelt sich um eine unrechtmäßige Datenverarbeitung gemäß Art. 6 DS-GVO, gegebenenfalls liegt auch ein Verstoß gegen das Gebot sicheren und vertraulichen Verarbeitung gemäß Art. 32 I, II DS-GVO vor. Darüber hinaus kann ein solcher Fall aber auch eine Verletzung des grundrechtlich geschützten allgemeinen Persönlichkeitsrechts vorliegen (Art. 2 I i.V.m. Art. 1 I GG). Dieses Grundrecht umfasst das sogenannte Recht auf informationelle Selbstbestimmung. Das Recht auf informationelle Selbstbestimmung ist das Recht, selbst über die Preisgabe und Verwendung der eigenen personenbezogenen Daten zu entscheiden. Ist eine solche Rechtsverletzung eingetreten, kommen Schadensersatzansprüche des Betroffenen in Betracht.

Schadensersatz nach dem Datenschutzrecht

Gemäß Art. 82 DS-GVO besteht im Falle des Verstoßes gegen die Datenschutzgrundverordnung ein Anspruch des Betroffenen auf Schadensersatz. Voraussetzung ist, dass tatsächlich ein Schaden entstanden ist, der kausal auf dem Verstoß beruht. Dabei ist der Schadensbegriff weit auszulegen. Insbesondere die folgenden Schäden sind geeignet, einen Schadensersatzanspruch zu begründen:

  • Diskriminierung
  • Identitätsdiebstahl oder –betrug
  • Rufschädigung
  • Verlust von der Vertraulichkeit des Berufsgeheimnisses unterliegenden personenbezogen Daten
  • unbefugte Aufhebung der Pseudonymisierung
  • jeder finanzielle Verlust oder andere erhebliche wirtschaftliche Nachteile (vgl. LG Hamburg, Urteil vom 4.9.2020 – 324 S 9/19)

Die Höhe des zu leistenden Schadensersatzes sind Art, Dauer und Schwere des Verstoßes sowie die Kategorie der betroffenen Daten und der Zweck der fraglichen Verarbeitung zu berücksichtigen. Die Zahlung des Schmerzensgelds soll zudem abschreckende Wirkung haben. So gewährte das ArbG Dresden 1.500 € Schadensersatz für die unbefugte Weitergabe von Gesundheitsdaten:

„Verstöße müssen effektiv sanktioniert werden. Schadensersatz bei Datenschutzverstößen soll eine abschreckende Wirkung haben, um der DS-GVO zum Durchbruch zu verhelfen (effet utile). Dabei können sich die nationalen Gerichte auch bei der Bemessung des immateriellen Schadensersatzes an Art. 83 II EWG DS-GVO orientieren, sodass als Zumessungskriterien u.a. Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, früher einschlägige Verstöße sowie die Kategorien [der] betroffenen personenbezogenen Daten betrachtet werden können. (…). Den vorstehenden Grundsätzen entsprechend muss die Bekl. einen Schadensersatz für den verursachten immateriellen Schaden von 1.500 € EUR zahlen.“ (ArbG Dresden, Urteil vom 26.08.2020 – 13 Ca 1046/20)

Das LG Darmstadt sprach 1.000 € Schadensersatz für die Weitersendung von Bewerbungsunterlagen zu:

„Dem Kl. ist auch ein immaterieller Schaden entstanden. Infolge der Weitersendung der Daten wurden persönliche, berufliche Informationen an einen unbeteiligten Dritten weitergeleitet. Dadurch hat der Kl. die Kontrolle darüber verloren, wer Kenntnis davon hat, dass er sich bei der Bekl. beworben hat. Darüber hinaus hat eine dritte Person nun Kenntnis über den Bewerbungsvorgang und finanzielle Hintergründe bzw. Vertragswandlungen. Diese Informationen sind darüber hinaus auch abstrakt dazu geeignet, den Ruf des Kl. oder dessen Ansehen bzw. sein weiteres berufliches Fortkommen zu schädigen, wenn z.B. der derzeitige Arbeitgeber des Kl. erfahren hätte, dass sich der Kl. nach anderweitigen Arbeitsstellen umschaut, sodass jedenfalls auch eine solche Gefahr aus Sicht des Kl. im Raum stand.“ (LG Darmstadt, Urteil vom 26.5.2020 – 13 O 244/19)

4.000 € Schadensersatz gab es in einer Entscheidung des AG Pforzheim, weil ein Psychotherapeut Gesundheitsdaten über den Ehemann seiner Patientin unerlaubt an den Verfahrensbevollmächtigten einer familienrechtlichen Auseinandersetzung weitergegeben hatte:

„Ein solcher Betrag ist ausreichend, aber auch erforderlich, um eine Abschreckungswirkung zu erzielen und dem Kl. zugleich Genugtuung für das erlittene Unrecht zu gewährleisten. Zu berücksichtigen ist, dass es im vorliegenden Fall um die Weitergabe von Gesundheitsdaten geht. Hierbei handelt es sich generell um besonders sensible Daten. Dies gilt im vorliegenden Fall erst recht, da sie einen unmittelbaren Rückschluss auf die Psyche des Kl. zulassen.“ (AG Pforzheim, Urteil vom 25.03.2020 – 13 C 160/19)

Allgemein wird lässt sich feststellen, dass in der Rechtsprechung mit dem immateriellen Schadensersatz gemäß Art. 82 I DS-GVO eher restriktiv umgegangen wird. Die bisher ersichtlichen Entscheidungen übersteigen einen Schadensersatz von 5.000 € nicht und gewähren Summen im mittleren vierstelligen Bereich nur selten:

  • AG Hildesheim Urt. v. 5.10.2020 – 43 C 145/19: 800 € Schadensersatz für die Weitergabe persönlicher Daten auf einem PC, den die Beklagte im Auftrag des Klägers an einen Dritten verkauft hat
  • ArbG Köln Urt. v. 12.3.2020 – 5 Ca 4806/19: 300 € für die unterlassene Löschung im Internet als PDF auffindbarer Daten
  • ArbG Düsseldorf, Urt. v. 5.3.2020 – 9 Ca 6557/18: 5.000 € für die Verletzung von Auskunftsrechten gemäß Art. 15 DS-GVO

Schadensersatz aufgrund einer Verletzung des allgemeinen Persönlichkeitsrechts

Verletzungen des allgemeinen Persönlichkeitsrechts in Form des Rechts auf informationelle Selbstbestimmung können einen Schadensersatzanspruch aus Deliktsrecht gemäß § 823 I BGB i.V.m. Art. 2 I, 1 I GG begründen. Voraussetzung dafür ist ein besonders schwerwiegender Eingriff, der nicht anders aufgefangen werden kann. Daran sin allerdings keine allzu hohen Anforderungen zu stellen:

„Für einen Anspruch auf immaterielle Geldentschädigung reicht dies indes allein nicht aus. Dieser Anspruch setzt vielmehr voraus, dass ihm ein schwerwiegender Eingriff in das allgemeine Persönlichkeitsrecht zugrunde liegt und die hiervon ausgehende Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Dabei hängt die Entscheidung, ob eine hinreichend schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, insbesondere von der Bedeutung und Tragweite des Eingriffs, ferner auch von Anlass und Beweggrund des Handelnden sowie von dem Grad seines Verschuldens ab (…). Diese Voraussetzungen sind hier gegeben. (…). Es ist allgemein bekannt, dass eine in das Internet gestellte Meldung, auch wenn sie von ihrem Urheber gelöscht wurde, jedenfalls für gewisse Zeit weiter zugänglich bleiben kann, weil sie in der Zwischenzeit von Dritten kopiert und auf einer neuen Webseite eingestellt oder von Bloggern zum Gegenstand eines eigenen Beitrags gemacht wurde (…). Auch die Möglichkeit einer Gegendarstellung schließt den Anspruch auf eine Geldentschädigung nicht aus.“ (OLG Dresden, Urteil vom 30.01.2018 – 4 U 1110/17)

Liegen diese Voraussetzungen vor, setzt das OLG Dresden für die Höhe des zu leistenden Schadensersatzes eine Mindestsumme von 2.500 € fest:

„Der Kläger kann Unterlassung der Veröffentlichung seines nicht anonymisierten Bildnisses verlangen, §§ 823 Abs. 1, 2, 1004 Abs. 1 S. 2 BGB analog, 22, 23 Nr. 1 KUG. Einen Anspruch auf eine Geldentschädigung hat er in Höhe von 2500,- €. (…). Nicht gerechtfertigt ist es jedoch, die für eine Geldentschädigung maßgebliche Mindestuntergrenze, die der Senat nunmehr bei 2500,- € ansetzt (Urteil vom 30.1.2018 – 4 U 1110/17), zu überschreiten.“ (OLG Dresden, Urteil vom 13.02.2018 - 4 U 1234/17)

In anderen Fällen von Verletzungen des Rechts auf informationelle Selbstbestimmung wurden die folgenden Summen zugesprochen:

  • LG Darmstadt, Urteil vom 04.09.2019 - 23 O 159/18: 5.000 € für die deutliche Hervorhebung einer im Einsatz befindlichen Polizistin in einem Youtube-Video
  • OLG Köln, Urteil vom 10.11.2015 - 15 U 97/15: 7.500 € für die Berichterstattung über die Schwangerschaft einer Schauspielerin
  • ArbG Frankfurt am Main, Urteil vom 8. November 2013 - Az: 22 Ca 9428/12, bzw. LAG Hessen, Urteil vom 25.10.2010 - 7 Sa 1586/09: 3.500 €, bzw. 7.000 € für unzulässige Videoüberwachung am Arbeitsplatz
  • LG Köln, Beschluss vom 23.12.2019 - 28 O 482/19: Abschluss eines Vergleichs über 8.000 € für eine unzulässige Namensnennung

Fazit zu Schadensersatzansprüchen im Bereich des Datenschutz- und Persönlichkeitsrechts

Verletzungen des Datenschutzrechts stellen regelmäßig auch eine Verletzung des Rechts auf informationelle Selbstbestimmung dar. Der Anspruch auf Schadensersatz aufgrund einer Persönlichkeitsrechtsverletzung erfordert einen besonders schweren sowie nicht anders auffangbaren Eingriff und unterliegt damit strengeren Voraussetzungen als der Anspruch aus Art. 82 I DS-GVO, der jeden schadensverursachenden Verstoß ausreichen lässt. Allerdings neigt soweit ersichtlich die Rechtsprechung auch dazu, in Fällen der Verletzung des Rechts auf informationelle Selbstbestimmung „großzügigere“ Schadensersatzsummen zuzusprechen als bei Schadensersatzansprüchen aufgrund „bloßer“ Verstöße gegen das Datenschutzrecht.

Klicken Sie auf das Formularfeld und kopieren Sie sich den HTML-Code heraus.

Weitere für Sie wahrscheinlich interessante Artikel
Wie weit reicht der Anspruch auf zukünftiges Unterlassen nach einer Urheberrechtsverletzung?

Wenn jemand Urheberrechte verletzt hat, geht es nicht nur um Schadensersatz.... Weiterlesen

Unterlassungserklärung in einigen Fällen als Schuldanerkenntnis gewertet?

Das Landgericht Wiesbaden urteilte jüngst im Mai 2013, dass in einer Unterlassungserklärung  ein Schuldanerkenntnis liege, unabhängig davon, ob diese... Weiterlesen

Beseitigung einer abgegebenen Unterlassungserklärung möglich?

Juristische Laien achten oft nur auf die in der Abmahnung geforderte Geldsumme.... Weiterlesen

Videoblog

3 Tipps vor Abgabe einer Unterlassungserklärung / mod. UE!

Bewertungen auf google.com
RA Scholze

Rechtsanwalt Christoph Scholze
Fachanwalt für IT-Recht (Informationstechnologierecht)
TÜV geprüfter Datenschutzbeauftragter (DSB)
IHK geprüfter Informationssicherheitsbeauftrager (ISB)
Lehrbeauftragter Dozent bei der Thüringer Verwaltungsschule (TVS)
Tel.: +49 611 89060871

AID24 Rechtsanwaltskanzlei
in Erfurt, Wiesbaden und Frankfurt am Main

Kostenloser Rückruf erwünscht?
Upload der Abmahnung oder weiterer Unterlagen

Wir empfehlen Ihnen Ihre Dateien ausreichend zu verschlüsseln und uns separat zum von Ihnen genutzten Schlüssel zu informieren.

Die Dateien müssen kleiner als 8 MB sein.
Zulässige Dateierweiterungen: jpg jpeg pdf doc docx.

* Diese Angaben werden benötigt.

Kanzleibriefe
Datenschutz-Generator kostenlos zur Erstellung Ihrer Datenschutzerklärung nach DSG Schweiz 2023 + DSGVO

Startschuss für den kostenfreien Datenschutzerklärungsgenerator unter datenbuddy.de war der 01.09.2023, somit pünktlich mit Inkrafttreten des Bundesgesetz über den Datenschutz der Schweiz. Bis kurz vor dem Inkrafttreten des DSG der Schweiz arbeiteten das Datenbuddy-Team und die Mitarbeiter der AID24 Rechtsanwaltskanzlei mit Hochdruck an der kostenfreien Lösung.... Weiterlesen

Datenschutzgesetz Schweiz totalrevidiert nDSG CH, revDSG CH, CHDSG neu oder DSG neu CH

Das neue Datenschutzgesetz der Schweiz (DSG neu Schweiz) tritt ab 01.09.2023 in Kraft... Weiterlesen

Datenschutzdokumentation mit Datenschutz-Generator-Software für Schweiz, Deutschland oder Österreich erstellen

Die Bedeutung einer Datenschutz-Dokumentation für Unternehmen in der Schweiz, Österreich und Deutschland nach der DSGVO, BDSG, DSG neu AT, DSG neu CH?... Weiterlesen