Datenschutz- und Persönlichkeitsrecht: Wie hoch ist der Schadenersatz?

Werden Daten Betroffener verarbeitet (vgl. Art. 4 Nr. 2 DS-GVO), stellt sich die Frage nach der Rechtmäßigkeit dieses Vorgangs. Eine unberechtigte – insbesondere ohne Einwilligung des Betroffenen vorgenommene - Veröffentlichung personenbezogener Daten ist zunächst eine Verletzung des Datenschutzrechts. Es handelt sich um eine unrechtmäßige Datenverarbeitung gemäß Art. 6 DS-GVO, gegebenenfalls liegt auch ein Verstoß gegen das Gebot sicheren und vertraulichen Verarbeitung gemäß Art. 32 I, II DS-GVO vor. Darüber hinaus kann ein solcher Fall aber auch eine Verletzung des grundrechtlich geschützten allgemeinen Persönlichkeitsrechts vorliegen (Art. 2 I i.V.m. Art. 1 I GG). Dieses Grundrecht umfasst das sogenannte Recht auf informationelle Selbstbestimmung. Das Recht auf informationelle Selbstbestimmung ist das Recht, selbst über die Preisgabe und Verwendung der eigenen personenbezogenen Daten zu entscheiden. Ist eine solche Rechtsverletzung eingetreten, kommen Schadensersatzansprüche des Betroffenen in Betracht.

Schadensersatz nach dem Datenschutzrecht

Gemäß Art. 82 DS-GVO besteht im Falle des Verstoßes gegen die Datenschutzgrundverordnung ein Anspruch des Betroffenen auf Schadensersatz. Voraussetzung ist, dass tatsächlich ein Schaden entstanden ist, der kausal auf dem Verstoß beruht. Dabei ist der Schadensbegriff weit auszulegen. Insbesondere die folgenden Schäden sind geeignet, einen Schadensersatzanspruch zu begründen:

• Diskriminierung
• Identitätsdiebstahl oder –betrug
• Rufschädigung
• Verlust von der Vertraulichkeit des Berufsgeheimnisses unterliegenden personenbezogen Daten
• unbefugte Aufhebung der Pseudonymisierung
• jeder finanzielle Verlust oder andere erhebliche wirtschaftliche Nachteile (vgl. LG Hamburg, Urteil vom 4.9.2020 – 324 S 9/19)

Die Höhe des zu leistenden Schadensersatzes sind Art, Dauer und Schwere des Verstoßes sowie die Kategorie der betroffenen Daten und der Zweck der fraglichen Verarbeitung zu berücksichtigen. Die Zahlung des Schmerzensgelds soll zudem abschreckende Wirkung haben. So gewährte das ArbG Dresden 1.500 € Schadensersatz für die unbefugte Weitergabe von Gesundheitsdaten:

„Verstöße müssen effektiv sanktioniert werden. Schadensersatz bei Datenschutzverstößen soll eine abschreckende Wirkung haben, um der DS-GVO zum Durchbruch zu verhelfen (effet utile). Dabei können sich die nationalen Gerichte auch bei der Bemessung des immateriellen Schadensersatzes an Art. 83 II EWG DS-GVO orientieren, sodass als Zumessungskriterien u.a. Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, früher einschlägige Verstöße sowie die Kategorien [der] betroffenen personenbezogenen Daten betrachtet werden können. (…). Den vorstehenden Grundsätzen entsprechend muss die Bekl. einen Schadensersatz für den verursachten immateriellen Schaden von 1.500 € EUR zahlen.“ (ArbG Dresden, Urteil vom 26.08.2020 – 13 Ca 1046/20)

Das LG Darmstadt sprach 1.000 € Schadensersatz für die Weitersendung von Bewerbungsunterlagen zu:

„Dem Kl. ist auch ein immaterieller Schaden entstanden. Infolge der Weitersendung der Daten wurden persönliche, berufliche Informationen an einen unbeteiligten Dritten weitergeleitet. Dadurch hat der Kl. die Kontrolle darüber verloren, wer Kenntnis davon hat, dass er sich bei der Bekl. beworben hat. Darüber hinaus hat eine dritte Person nun Kenntnis über den Bewerbungsvorgang und finanzielle Hintergründe bzw. Vertragswandlungen. Diese Informationen sind darüber hinaus auch abstrakt dazu geeignet, den Ruf des Kl. oder dessen Ansehen bzw. sein weiteres berufliches Fortkommen zu schädigen, wenn z.B. der derzeitige Arbeitgeber des Kl. erfahren hätte, dass sich der Kl. nach anderweitigen Arbeitsstellen umschaut, sodass jedenfalls auch eine solche Gefahr aus Sicht des Kl. im Raum stand.“ (LG Darmstadt, Urteil vom 26.5.2020 – 13 O 244/19)

4.000 € Schadensersatz gab es in einer Entscheidung des AG Pforzheim, weil ein Psychotherapeut Gesundheitsdaten über den Ehemann seiner Patientin unerlaubt an den Verfahrensbevollmächtigten einer familienrechtlichen Auseinandersetzung weitergegeben hatte:

„Ein solcher Betrag ist ausreichend, aber auch erforderlich, um eine Abschreckungswirkung zu erzielen und dem Kl. zugleich Genugtuung für das erlittene Unrecht zu gewährleisten. Zu berücksichtigen ist, dass es im vorliegenden Fall um die Weitergabe von Gesundheitsdaten geht. Hierbei handelt es sich generell um besonders sensible Daten. Dies gilt im vorliegenden Fall erst recht, da sie einen unmittelbaren Rückschluss auf die Psyche des Kl. zulassen.“ (AG Pforzheim, Urteil vom 25.03.2020 – 13 C 160/19)

Allgemein wird lässt sich feststellen, dass in der Rechtsprechung mit dem immateriellen Schadensersatz gemäß Art. 82 I DS-GVO eher restriktiv umgegangen wird. Die bisher ersichtlichen Entscheidungen übersteigen einen Schadensersatz von 5.000 € nicht und gewähren Summen im mittleren vierstelligen Bereich nur selten:

• AG Hildesheim Urt. v. 5.10.2020 – 43 C 145/19: 800 € Schadensersatz für die Weitergabe persönlicher Daten auf einem PC, den die Beklagte im Auftrag des Klägers an einen Dritten verkauft hat
• ArbG Köln Urt. v. 12.3.2020 – 5 Ca 4806/19: 300 € für die unterlassene Löschung im Internet als PDF auffindbarer Daten
• ArbG Düsseldorf, Urt. v. 5.3.2020 – 9 Ca 6557/18: 5.000 € für die Verletzung von Auskunftsrechten gemäß Art. 15 DS-GVO

Schadensersatz aufgrund einer Verletzung des allgemeinen Persönlichkeitsrechts

Verletzungen des allgemeinen Persönlichkeitsrechts in Form des Rechts auf informationelle Selbstbestimmung können einen Schadensersatzanspruch aus Deliktsrecht gemäß § 823 I BGB i.V.m. Art. 2 I, 1 I GG begründen. Voraussetzung dafür ist ein besonders schwerwiegender Eingriff, der nicht anders aufgefangen werden kann. Daran sin allerdings keine allzu hohen Anforderungen zu stellen:

„Für einen Anspruch auf immaterielle Geldentschädigung reicht dies indes allein nicht aus. Dieser Anspruch setzt vielmehr voraus, dass ihm ein schwerwiegender Eingriff in das allgemeine Persönlichkeitsrecht zugrunde liegt und die hiervon ausgehende Beeinträchtigung nicht in anderer Weise befriedigend aufgefangen werden kann. Dabei hängt die Entscheidung, ob eine hinreichend schwerwiegende Verletzung des Persönlichkeitsrechts vorliegt, insbesondere von der Bedeutung und Tragweite des Eingriffs, ferner auch von Anlass und Beweggrund des Handelnden sowie von dem Grad seines Verschuldens ab (…). Diese Voraussetzungen sind hier gegeben. (…). Es ist allgemein bekannt, dass eine in das Internet gestellte Meldung, auch wenn sie von ihrem Urheber gelöscht wurde, jedenfalls für gewisse Zeit weiter zugänglich bleiben kann, weil sie in der Zwischenzeit von Dritten kopiert und auf einer neuen Webseite eingestellt oder von Bloggern zum Gegenstand eines eigenen Beitrags gemacht wurde (…). Auch die Möglichkeit einer Gegendarstellung schließt den Anspruch auf eine Geldentschädigung nicht aus.“ (OLG Dresden, Urteil vom 30.01.2018 – 4 U 1110/17)

Liegen diese Voraussetzungen vor, setzt das OLG Dresden für die Höhe des zu leistenden Schadensersatzes eine Mindestsumme von 2.500 € fest:

„Der Kläger kann Unterlassung der Veröffentlichung seines nicht anonymisierten Bildnisses verlangen, §§ 823 Abs. 1, 2, 1004 Abs. 1 S. 2 BGB analog, 22, 23 Nr. 1 KUG. Einen Anspruch auf eine Geldentschädigung hat er in Höhe von 2500,- €. (…). Nicht gerechtfertigt ist es jedoch, die für eine Geldentschädigung maßgebliche Mindestuntergrenze, die der Senat nunmehr bei 2500,- € ansetzt (Urteil vom 30.1.2018 – 4 U 1110/17), zu überschreiten.“ (OLG Dresden, Urteil vom 13.02.2018 - 4 U 1234/17)

In anderen Fällen von Verletzungen des Rechts auf informationelle Selbstbestimmung wurden die folgenden Summen zugesprochen:

• LG Darmstadt, Urteil vom 04.09.2019 - 23 O 159/18: 5.000 € für die deutliche Hervorhebung einer im Einsatz befindlichen Polizistin in einem Youtube-Video
• OLG Köln, Urteil vom 10.11.2015 - 15 U 97/15: 7.500 € für die Berichterstattung über die Schwangerschaft einer Schauspielerin
• ArbG Frankfurt am Main, Urteil vom 8. November 2013 - Az: 22 Ca 9428/12, bzw. LAG Hessen, Urteil vom 25.10.2010 - 7 Sa 1586/09: 3.500 €, bzw. 7.000 € für unzulässige Videoüberwachung am Arbeitsplatz
• LG Köln, Beschluss vom 23.12.2019 - 28 O 482/19: Abschluss eines Vergleichs über 8.000 € für eine unzulässige Namensnennung

Fazit zu Schadensersatzansprüchen im Bereich des Datenschutz- und Persönlichkeitsrechts

Verletzungen des Datenschutzrechts stellen regelmäßig auch eine Verletzung des Rechts auf informationelle Selbstbestimmung dar. Der Anspruch auf Schadensersatz aufgrund einer Persönlichkeitsrechtsverletzung erfordert einen besonders schweren sowie nicht anders auffangbaren Eingriff und unterliegt damit strengeren Voraussetzungen als der Anspruch aus Art. 82 I DS-GVO, der jeden schadensverursachenden Verstoß ausreichen lässt. Allerdings neigt soweit ersichtlich die Rechtsprechung auch dazu, in Fällen der Verletzung des Rechts auf informationelle Selbstbestimmung „großzügigere“ Schadensersatzsummen zuzusprechen als bei Schadensersatzansprüchen aufgrund „bloßer“ Verstöße gegen das Datenschutzrecht.