Datenschutz-Verstoß: Email an falsche Adresse kostet 2000 Euro

Beim Datenschutz ist Sorgfalt wichtig, wie der vorliegende Fall deutlich zeigt. Eine Mail an die falsche Adresse geschickt und schon liegt ein Verstoß gegen die DSGVO vor. Die Kanzlei Dr. Stoll & Sauer fasst die Eckdaten des Verfahrens vor dem Oberlandesgericht Düsseldorf zusammen:

• Für ein Beratungsgespräch über den Abschluss einer privaten Krankentagegeldversicherung forderte die Klägerin von ihrer Krankenversicherung den Auszug ihrer Gesundheitsakte. Sie willigte ein, dass die Versicherung den Datensatz per Email versenden darf. Beim Austausch der Email-Adresse war es dann zu einem Missverständnis gekommen. Die Kassenmitarbeiterin schickte die Gesundheitsakte unverschlüsselt an eine falsche Email-Adresse. Die Versicherte forderte daraufhin Schmerzensgeld von ihrer Krankenkasse. Die sah jedoch keinen Verstoß gegen die DSGVO. Schließlich habe sie in den unverschlüsselten Versand der Akte eingewilligt.
• Das Oberlandesgericht Düsseldorf folgte der Argumentation der Versicherung nicht. Die ungewollte Preisgabe von persönlichen Daten ist dem Recht auf informationelle Selbstbestimmung als Teil des Persönlichkeitsrechts zuzuordnen. Der Versand der Akte an eine falsche Email-Adresse ist ein Verstoß gegen die DSGVO und es sei ein immaterieller Schaden von 2000 Euro entstanden. Die Klägerin habe nicht die Einwilligung gegeben, ihre Daten an jemanden Fremdes weiterzuleiten.
• Der unverschlüsselte Versand der Akte sei jedoch kein Verstoß gegen die DSGVO. Die Klägerin habe unmissverständlich zum Ausdruck gebracht, dass sie mit der Übersendung der Akte per Email einverstanden gewesen sei. Über eine Verschlüsselung sei nicht gesprochen worden.
• Der immaterielle Schaden der Klägerin liegt in der seelisch belastenden Ungewissheit, der mit dem Verlust der Kontrolle über ihre Gesundheitsdaten einhergeht. Ein Schaden muss zwar tatsächlich und sicher sein. Allerdings kann auch ein langanhaltender Zustand belastender Ungewissheit einen immateriellen Schaden begründen, so das Gericht in seiner Urteilsbegründung.
• Der Begriff des Schadens ist nach Ansicht des Gerichts weit auszulegen. Die Höhe des Schadensersatzes muss den Zielen der Verordnung in vollem Umfang entsprechen. Die von einem Datenschutzverstoß betroffenen Personen sollen einen vollständigen und wirksamen Schadensersatz für erlittene Schäden erhalten. Das Gericht geht bei der Bemessung der immateriellen Schadensersatzansprüchen auch von einer Genugtuungsfunktion aus. Von Bedeutung sind hierbei insbesondere die Art, Schwere und Dauer des Datenschutzverstoßes, das Verhalten des Verantwortlichen sowie die Auswirkungen des Verstoßes für den Betroffenen.
• Das Gericht billigte der Klägerin 2000 Euro zu. Zu berücksichtigen sei, dass der Kontrollverlust der Klägerin über ihre Daten zeitlich begrenzt war. Daher reduzierte der Senat den in den Vorinstanzen zugesprochenen Schadensersatz von 4000 auf 2000 Euro.

Der vorliegende Fall zeigt aus Sicht der Kanzlei Dr. Stoll & Sauer deutlich, dass die Chancen der Verbraucher auf Schadensersatz enorm gestiegen sind. Das gilt für alle Facetten des Datenschutzes – also Schufa-Angelegenheit, Sicherheitslücken in Unternehmen wie jüngst bei Twitter und generell Verstöße gegen den Datenschutz. Die Kanzlei rät Verbrauchern daher zur anwaltlichen Beratung. Im kostenfreien Online-Check und der kostenlosen Erstberatung zeigen wir Möglichkeiten auf, den Schaden zu minimieren und Schadensersatz einzuklagen.