Ein Datenschutzverstoß kann eine Entschädigung für den Betroffenen zur Folge haben. Dafür muss dieser aber einen Schaden nachweisen, für den der DSGVO-Verstoß ursächlich war. Einem Unternehmer, der sich vor Gericht gegen eine Corona-Schließungsanordnung wehrte, was per E-Mail-Verteiler verbreitet wurde, ist das nicht gelungen.
Einstweiliger Rechtsschutz gegen Corona-Schließung
Der Fall führt zurück in die Corona-Anfangszeit, als erstmals per Allgemeinverfügung vorgeschrieben wurde, dass Geschäfte geschlossen bleiben müssen. Ein betroffener Spielhallenbetreiber ging im März 2020 im Eilverfahren gegen die Schließungsanordnung der Stadt Bergisch-Gladbach vor.
Stadtmitarbeiter schickt Beschluss mit vollem Rubrum an Kollegen
Der Datenschutz-Verstoß wurde von einem Mitarbeiter der Stadt begangen, als er die in dem Eilverfahren ergangene Gerichtsverfügung des VG Köln per E-Mail-Verteiler an insgesamt 62 Empfänger weiterleitete, um sie über die Rechtslage zu orientieren.. Sie alle gehörten einer Arbeitsgemeinschaft von Rechtsamtsleitern in NRW an. Dabei versäumte er, die Namen der Verfahrensbeteiligten unkenntlich zu machen.
Nach der Weiterleitung kam der Shitstorm
Nach dieser datenschutzrechtlich unzulässigen Unterrichtung, so behauptete der Unternehmer, sei er Anfeindungen von verschiedenen Seiten ausgesetzt gewesen. Man habe ihn als „Corona-Leugner“ beschimpft, u.a. in einem öffentlichen Online-Chat. Zudem hatte jemand den Beschluss des VG Köln zusammen mit der Nachricht „Ihr seid es“ unter den Scheibenwischer seines privaten, vor seinem Wohnhaus geparkten Pkw geklemmt.
Unternehmer verlangt Schmerzensgeld nach Datenschutz-Verstoß
Die Stadt versicherte, dass eine nicht-anonymisierte Versendung des Beschlusses nicht noch einmal vorkommen würde und dass sie Dritten auch sonst keine Auskünfte hierzu erteilen werde. Das reichte dem Spielhalleninhaber nicht. Er forderte vor dem LG Köln Schmerzensgeld in Höhe von mindestens 8.000 Euro (Art. 82 Abs. 1 DSGVO). Vergeblich.
Schaden und Kausalität fraglich
Das Kölner Landgericht tat sich schon schwer überhaupt einen immateriellen Schaden des Klägers zu erkennen und bezeichnete den Vorgang als „Bagatellfall“.
Entscheidend aber für die Ablehnung von DSGVO-Schadensersatz war , dass die aus Sicht des Gerichts die Kausalität eines unzulässigen E-Mail-Versandes für späterer Beleidigungen nicht gesichert war.
Zusammenhang zwischen Datenleak und Beschimpfung konnte nicht belegt werden
Der dem Gericht vorgelegte Chatverlauf aus dem Internet, der die Diffamierung des Unternehmers belegen sollte, ließ nicht klar erkennen, dass es überhaupt um ihn ging. Dass die Chatteilnehmer die Information aus der E-Mail mit dem nicht anonymisierten Namen des Geschädigten hatten, war nach Ansicht des Gerichts ebenso ungewiss. Gleiches galt für die Herkunft des Beschlusses unter dem Scheibenwischer.
Alternative Szenarien denkbar
Die Richter gaben zu bedenken, dass die E-Mail-Empfänger allesamt dienstlich zur Verschwiegenheit verpflichtet waren. Alternative Informationsquellen waren zumindest nicht ausgeschlossen. Nicht nur der Kläger, sondern 24 weitere Spielhallenbetreiber hatten sich gerichtlich gegen die Schließungsverfügung gewehrt und ggf. im Rahmen ihrer Verfahren die Daten erhalten und verbreitet.
Keine Beweislastumkehr, die hilft
Dass der Nachweis der Ursächlichkeit schwer ist, liegt auf der Hand. Eine Beweiserleichterung oder -umkehr verneinte das Gericht aber. Das Gesetz sehe eine solche lediglich für das Verschulden vor (Art. 82 Abs. 3 DSGVO).
(LG Köln, Urteil v. 3.8.2021, 5 O 84/21).
Weitere News zum Thema:
Schadensersatz für Betroffene bei DSGVO-Verstößen
Kein Recht auf Schadenersatz für verspätete DSGVO-Auskunft
Schadensersatzpflicht des Arbeitgebers nach unzureichender DSGVO-Auskunft
Hintergrund:
In der Rechtsprechung besteht noch Uneinigkeit darüber darüber, inwieweit der Schadensersatzanspruch nach Art. 82 DSGVO ein Mindestmaß an Erheblichkeit (Erheblichkeitsschwelle) voraussetzt.