Bild: MDart10 / shutterstock.com
Wer seine persönlichen Daten im Internet hinterlässt, vertraut darauf, dass Unternehmen sorgfältig damit umgehen. Doch was passiert, wenn genau das schiefgeht? Muss ein Unternehmen zahlen, wenn sensible Informationen versehentlich an die falsche Person geschickt werden – selbst wenn kein finanzieller Schaden entsteht? Genau mit dieser Frage beschäftigt sich ein aufsehenerregender Fall rund um das Karriereportal Xing, der schließlich den Bundesgerichtshof (BGH) erreichte und sogar den Europäischen Gerichtshof (EuGH) beschäftigen soll.
Ein Klick – und vertrauliche Informationen landen beim Falschen
Ausgangspunkt war ein Fehler während eines Bewerbungsprozesses. Ein Personalvermittler verschickte über Xing eine Nachricht, die eigentlich für einen Bewerber bestimmt war. Allerdings erhielt sie ein anderer Nutzer mit demselben Namen. Das Problem: Die Nachricht enthielt vertrauliche Informationen über die Bewerbung, unter anderem Details zu Gehaltsvorstellungen und der Jobsuche.
Der falsche Empfänger kannte den eigentlichen Bewerber sogar aus der gleichen Branche. Er leitete die Nachricht an ihn weiter und fragte nach, ob diese tatsächlich für ihn bestimmt gewesen sei. Für den Betroffenen war das mehr als nur eine kleine Panne. Schließlich gehören Informationen über eine laufende Bewerbung zu den persönlichsten Daten überhaupt. Viele Arbeitnehmer möchten gerade vermeiden, dass Kollegen, frühere Arbeitgeber oder Wettbewerber davon erfahren.
Der Bewerber verlangte deshalb nicht nur, dass sich ein solcher Vorfall künftig nicht wiederholt. Er forderte außerdem 2.500 Euro als Ausgleich für den erlittenen immateriellen Schaden.
Wann entsteht überhaupt ein Schaden?
Genau hier beginnt die spannende juristische Diskussion. Bei einem beschädigten Auto oder einem kaputten Smartphone lässt sich ein Schaden leicht beziffern. Bei persönlichen Daten sieht das deutlich schwieriger aus.
Der Kläger machte geltend, dass nicht der reine Datenverlust das eigentliche Problem sei. Vielmehr habe nun mindestens eine weitere Person vertrauliche Informationen erhalten, die niemals für Dritte bestimmt gewesen seien. Außerdem befürchtete er, dass diese Informationen weiterverbreitet oder im beruflichen Wettbewerb gegen ihn verwendet werden könnten.
Die entscheidende Frage lautet deshalb: Reicht bereits das ungute Gefühl aus, die Kontrolle über persönliche Daten verloren zu haben? Oder muss ein konkreter Nachteil nachweisbar sein?
Genau diese Punkte beschäftigen Gerichte in ganz Europa schon seit Jahren.
Warum der Bundesgerichtshof den EuGH einschaltet
Der Bundesgerichtshof traf in diesem Verfahren noch keine endgültige Entscheidung. Stattdessen legte er dem Europäischen Gerichtshof mehrere Fragen zur Auslegung der Datenschutz-Grundverordnung vor.
Dabei geht es unter anderem um folgende Punkte:
- Kann eine betroffene Person verlangen, dass ein Unternehmen einen ähnlichen Datenschutzfehler künftig unterlässt?
- Wann liegt überhaupt ein immaterieller Schaden vor?
- Reichen Sorgen, Ärger oder Unsicherheit bereits aus?
- Spielt es bei der Höhe eines möglichen Schadensersatzes eine Rolle, wie schwer das Unternehmen den Fehler verschuldet hat?
Diese Fragen sind deshalb so wichtig, weil die Datenschutz-Grundverordnung europaweit gilt. Unterschiedliche nationale Entscheidungen würden langfristig zu erheblicher Rechtsunsicherheit führen. Deshalb soll der EuGH einheitliche Maßstäbe entwickeln.
Bereits andere Entscheidungen des Europäischen Gerichtshofs haben deutlich gemacht, dass nicht jeder DSGVO-Verstoß automatisch zu einer Geldentsschädigung führt. Gleichzeitig betont das Gericht aber auch, dass ein tatsächlicher Kontrollverlust über personenbezogene Daten durchaus einen ersatzfähigen Schaden darstellen kann. Wo genau die Grenze verläuft, bleibt Gegenstand der weiteren Rechtsprechung.
Was bedeutet das für Verbraucher und Unternehmen?
Für Verbraucher zeigt der Fall vor allem eines: Persönliche Daten sind längst kein Nebenthema mehr. Schon eine scheinbar kleine Unachtsamkeit kann weitreichende Folgen haben – insbesondere dann, wenn Bewerbungen, Gesundheitsdaten oder andere sensible Informationen betroffen sind.
Unternehmen wiederum sollten den Fall als Warnsignal verstehen. Datenschutz endet nicht bei einer Datenschutzerklärung auf der Website. Auch alltägliche Arbeitsabläufe, interne Kontrollen und sorgfältige Prüfungen beim Versand von Nachrichten gehören dazu. Ein einziger falsch ausgewählter Empfänger kann im schlimmsten Fall langwierige Gerichtsverfahren auslösen.
Unabhängig davon, wie der Europäische Gerichtshof die offenen Fragen letztlich beantwortet, dürfte feststehen: Die Anforderungen an den Umgang mit personenbezogenen Daten werden weiter steigen. Gleichzeitig wird immer klarer, dass Gerichte nicht jeden Datenschutzverstoß automatisch mit hohen Geldzahlungen sanktionieren werden. Entscheidend bleibt der konkrete Einzelfall.
Datenschutz ist mehr als ein lästiges Pflichtprogramm
Der Fall zeigt eindrucksvoll, wie schmal der Grat zwischen einer kleinen Unachtsamkeit und einem ernsthaften Vertrauensverlust sein kann. Für Betroffene geht es häufig nicht um ein paar hundert oder tausend Euro. Viel wichtiger ist die Frage, ob sie darauf vertrauen können, dass persönliche Informationen auch wirklich privat bleiben.
Datenschutz wird von vielen Unternehmen noch immer wie eine lästige Checkliste behandelt. Solange nichts passiert, interessiert sich kaum jemand dafür. Erst wenn vertrauliche Daten versehentlich im Postfach eines Fremden landen, wird hektisch reagiert. Wer personenbezogene Daten sammelt, übernimmt Verantwortung – und diese Verantwortung darf nicht erst dann ernst genommen werden, wenn Gerichte oder Behörden anklopfen. Gleichzeitig darf Datenschutz aber auch nicht zu einem Geschäftsmodell werden, bei dem jeder kleine Fehler automatisch zu hohen Entschädigungsforderungen führt. Die richtige Balance zwischen wirksamem Schutz und gesundem Augenmaß wird die Gerichte noch viele Jahre beschäftigen.
Hast du einen Datenfehler entdeckt? Sichere dir rechtlichen Beistand und mögliche Entschädigung. Kontaktiere uns noch heute!
zum AnwaltZum Festpreis 169 EURO (brutto)
