25.10.2021

Schadenersatz bei Fehlversand

Schadenersatz bei Versand einer E-Mail an falsche Empfänger*innen

Nach einer Entscheidung des Landgerichts Darmstadt (LG Darmstadt) kann der Versand einer E-Mail mit Bewerbungsdaten an einen falschen Empfänger zu einem Anspruch auf Schadenersatz nach Art. 82 DSGVO führen. Zudem kann für Verantwortliche eine Pflicht nach Art. 34 DSGVO entstehen, die betroffene Person unverzüglich von der Verletzung des Schutzes ihrer personenbezogenen Daten zu benachrichtigen.

Der Kläger hatte sich bei dem Verantwortlichen beworben. Der Verantwortliche wollte dem Bewerber eine Nachricht zusenden, aus welcher sich unter anderem Rückschlüsse auf dessen Gehaltsvorstellungen ergaben. Die Nachricht wurde jedoch versehentlich nicht an den Bewerber, sondern an eine dritte Person versendet. Aus Sicht des Gerichts bestand durch die Versendung der Nachricht an unbeteiligte Dritte nicht nur eine hohe Wahrscheinlichkeit eines Schadenseintritts, vielmehr sei dadurch ein Schaden bereits eingetreten.

Infolge der Weitersendung an eine unbeteiligte dritte Person habe der Kläger die Kontrolle darüber verloren, wer Kenntnis von den Informationen hat. Zu diesen Informationen gehörte der Umstand, dass der Kläger sich bei dem Verantwortlichen beworben hatte. Darüber hinaus habe eine dritte Person Kenntnis über den Bewerbungsvorgang und finanzielle Hintergründe bzw. Vertragsverhandlungen erlangt. Diese Informationen seien dazu geeignet, den Kläger zu benachteiligen, wenn sie an etwaige Konkurrenten*innen für einen Arbeitsplatz gelangten. Ebenso könne der Ruf bzw. das Ansehen bzw. das weitere berufliche Fortkommen des Klägers geschädigt werden, wenn etwa dessen aktueller Arbeitgeber von der Bewerbung auf eine anderweitige Arbeitsstelle erfahren würde. Das Gericht sah daher einen immateriellen Schaden und einen Anspruch auf Schadenersatz gegeben, ohne dass vom Kläger konkrete Nachteile vorgetragen worden waren.

Der Verantwortliche habe zudem auch gegen die Pflicht zur unverzüglichen Benachrichtigung der betroffenen Person gemäß Art. 34 DSGVO verstoßen. Eine solche Benachrichtigung hat zu erfolgen, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat. Aus Sicht des Gerichts besteht ein hohes Risiko dann, wenn zu erwarten ist, dass bei ungehindertem Geschehensablauf mit hoher Wahrscheinlichkeit ein Schaden für die Rechte und Freiheiten der Betroffenen eintritt. In einem solchen Fall sei es nicht maßgeblich, ob die Datenschutzverletzung auch zu einem besonders hohen Schadensumfang führt. Da ein hohes Risiko bestanden habe, hätte der Betroffene unverzüglich benachrichtigt werden müssen, das heißt ohne schuldhaftes Zögern. Da der Verantwortliche den Bewerber jedoch erst mehrere Wochen nach Kenntniserlangung benachrichtigt habe, sei die Pflicht aus Art. 34 DSGVO verletzt worden.

Beim Versand von E-Mails oder sonstigen Nachrichten kommt es immer wieder vor, dass diese versehentlich an falsche Empfänger gerichtet werden. Ähnlich gelagert sind Fälle mit offenem Empfängerkreis. Gelangen aufgrund solcher Versehen personenbezogene Daten an unberechtigte Empfänger, so liegt eine unzulässige Verarbeitung und eine Verletzung des Schutzes dieser personenbezogenen Daten vor. Hat diese Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen zur Folge, so sind diese unverzüglich zu benachrichtigen. Aus Sicht des LG Darmstadt tritt dann bereits durch die Versendung einer Nachricht an unbeteiligte Dritte ein Schaden ein. Bei der Beurteilung des voraussichtlichen Risikos spielt nicht allein der Kreis der Empfänger eine Rolle, sondern vor allem auch die Sensibilität der übermittelten Inhalte.

Quelle: LDI NRW

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks