Versand einer E-Mail mit Bewerbungsdaten an einen falschen Empfänger

Der Versand einer E-Mail mit Bewerbungsdaten an einen falschen Empfänger kann zu einem Anspruch auf Schadenersatz nach Art. 82 DSGVO führen. Zudem kann eine Pflicht nach Art. 34 DSGVO entstehen, die betroffene Person unverzüglich von der Verletzung des Schutzes ihrer personenbezogenen Daten zu benachrichtigen.

Zwei Parteien stritten vor dem Landgericht (LG) Darmstadt um Unterlassungsansprüche und Schadensersatzansprüche aufgrund der Weitergabe von persönlichen Daten an einen Dritten.

Der Kläger befand sich bei der Beklagten in einem Bewerbungsprozess. Dieser fand über das Portal XING statt. Die Beklagte verschickte über dieses Portal eine Nachricht, die für den Kläger bestimmt war, an eine dritte Person, die nicht an dem Bewerbungsprozess beteiligt war. Dieser leitete die Nachricht an den ihm bekannten Kläger weiter.

Nachdem die Beklagte dem Kläger mitteilte, dass er für das Bewerbungsverfahren nicht weiter berücksichtigt werde, rügte der Kläger mit E-Mail die Versendung der Nachricht an die dritte Person. Dabei fragte der Kläger, wie es zu der falschen Versendung kommen konnte. Ferner fragte der Kläger, warum er nicht unmittelbar durch die Beklagte über die falsche Versendung informiert worden sei.

Daraufhin meldete sich ein externer Datenschutzbeauftragter für die Beklagte bei dem Kläger. Dieser bestritt, dass die Beklagte für die falsche Versendung verantwortlich sei und verneinte insoweit einen Datenschutzverstoß.

Auf die Frage, weshalb die Beklagte den Kläger nicht unmittelbar über die falsche Versendung informiert habe, antwortete der Datenschutzbeauftragte, dass die Versendung an den falschen Adressaten nicht sofort erkannt worden sei. Er antwortete ferner, dass eine Reaktion an den Beklagten aber unmittelbar nach Kenntniserlangung erfolgt sei, weswegen kein schuldhaftes Zögern aus datenschutzrechtlicher Sicht vorliege.

Daraufhin forderte der Klägervertreter die Beklagte zur Abgabe einer strafbewehrten Unterlassungserklärung, zur Leistung eines Schadensersatzes in Höhe von 2.500,00 € sowie zur Erstattung der Rechtsverfolgungskosten in Höhe von 1.100,51 € auf.

Die Beklagte wies die Ansprüche zurück. Das entsprechende Schreiben enthielt ferner eine Unterlassungserklärung, die sich aber nur auf die streitgegenständliche Nachricht bezieht und nicht auf den vom Kläger geltend gemachten Unterlassungsanspruch.

Daraufhin reichte der Betroffene Klage beim LG Darmstadt ein.

Urteil des LG Darmstadt

Die Beklagte wird dazu verurteilt, es künftig zu unterlassen, personenbezogene Daten über den Kläger, die im Zusammenhang mit seiner Bewerbung bei der Beklagten stehen, zu verarbeiten / verarbeiten zu lassen, wenn dies geschieht wie in der Nachricht über das Portal XING an einen Dritten.

Außerdem wird die Beklagte wird dazu verurteilt, an den Kläger 1.000,00 € nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz zu zahlen.

Die Beklagte wird zudem verurteilt, die Kosten der vorgerichtlichen Inanspruchnahme der Prozessbevollmächtigten des Klägers in Höhe von 1.025,55 € nebst Zinsen hieraus in Höhe von fünf Prozentpunkten über dem Basiszinssatz zu zahlen.

Aus den Entscheidungsgründen

Dem Kläger steht nach Ansicht des Gerichts ein Anspruch auf zukünftige Unterlassung gegenüber der Beklagten gemäß §§ 823 Abs. 1 i.V.m. 1004 Abs. 1 Satz 2 BGB i.V.m. Art. 6 DSGVO zu, da ein solcher Unterlassungsanspruch nach dem BGB mangels Sperrwirkung der DSGVO geltend gemacht werden kann und dessen Voraussetzungen vorliegen.

Die Versendung der Nachricht an Herrn A stellt auch eine Beeinträchtigung des allgemeinen Persönlichkeitsrechts in der Ausprägung des Rechts auf informationelle Selbstbestimmung gem. Art. 1 Abs. 1 i.V.m. Art  2 Abs. 1 GG dar, da dieser für den Kläger relevante Informationen, die dem persönlichen Bereich des Klägers zuzuordnen sind, beinhaltet.

Das Recht auf informationelle Selbstbestimmung beinhaltet die Befugnis, selbst darüber zu bestimmen, ob die persönlichen Daten des betroffenen erhoben, gespeichert, preisgegeben oder verwendet werden sollen.

Die streitgegenständliche Nachricht an den Dritten enthält persönliche, berufliche Informationen über den Kläger, die insoweit in dessen Privatsphäre fallen. Durch die Versendung der Nachricht an den Unbeteiligten wurden diese an einen Dritten preisgegeben, so dass eine Beeinträchtigung des allgemeinen Persönlichkeitsrechts in der Ausprägung des Rechts auf informationelle Selbstbestimmung gem. Art. 1 Abs. 1 i.V.m. Art. 2 Abs. 1 GG vorliegt.

Dieser Eingriff war, insbesondere im Hinblick auf Art. 6 Abs. 1 lit. a DSGVO rechtswidrig.

Es handelt sich bei der streitgegenständlichen Nachricht um personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO, wonach „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei als identifizierbar eine natürliche Person angesehen wird, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind. Die DSGVO erfasst insoweit jegliche Informationen und geht dabei von einem unbeschränkten Informationsbegriff aus. Es werden dabei auch vermeintlich belanglose Informationen erfasst.

Es lag auch keine Einwilligung des Klägers hinsichtlich der Weitergabe seiner Daten vor, da der Kläger die Verarbeitung der Daten nur hinsichtlich des Bewerbungsprozesses selbst bewilligt, nicht aber hinsichtlich der Weitergabe der Daten an unbeteiligte Dritte, so dass die Versendung der streitgegenständlichen Nachricht rechtswidrig erfolgte.

Es liegt auch die notwendige Wiederholungsgefahr vor, um eine künftige Unterlassung verlangen zu können.

Die von der Beklagten gegenüber dem Kläger abgegebene Unterlassungserklärung ist nach Ansicht des Gerichts nicht geeignet, die Vermutung der Wiederholungsgefahr zu widerlegen, da sie nur darauf gerichtet ist, dass die Beklagte es unterlässt, die streitgegenständliche Nachricht in Zukunft an andere zu versenden, und nicht den vom Kläger geltend gemachten Unterlassungsanspruch, der von seiner Reichweite her grundsätzlich berechtigterweise geltend gemacht wird, abdeckt, so dass eine Wiederholungsgefahr unter diesem Gesichtspunkt nicht ausgeräumt ist.

Die Geltendmachung des Unterlassungsanspruchs durch den Kläger ist auch nicht rechtsmissbräuchlich, in dem er den Verstoß der Beklagten erst im Dezember, nachdem er erfuhr, dass er nicht mehr für den Bewerbungsprozess berücksichtigt werde, geltend gemacht hat. Durch den weiteren Kontakt hat der Kläger nicht zum Ausdruck gebracht, dass er die Weiterleitung der Nachricht an unbeteiligte Dritte duldet. Der Kläger hat lediglich den Kontakt aufrechterhalten, um sich eine berufliche Möglichkeit zu wahren. Hätte er sofort während des Bewerbungsprozesses den Vorgang der Beklagten gerügt, so ist es zumindest nicht auszuschließen, dass die Beklagte von einem Fortgang des Bewerbungsverfahrens abgesehen hätte. Diese mögliche Konsequenz rechtfertigt es, dass der Kläger erst, nachdem er aus dem Bewerbungsverfahren ausschied, den Datenschutzverstoß rügte. Eine nachträgliche Geltendmachung von Ansprüchen hinsichtlich eines Rechtsverstoßes, auch und gerade im Blick darauf, dass es zuvor zu keinem Arbeitsverhältnis zwischen Parteien kam, stellt jedenfalls ohne weitere Umstände, die das Verhalten des Klägers als treuwidrig erscheinen lassen, keinen Rechtsmissbrauch gem. § 242 BGB dar.

Aufgrund dessen kann auch dahinstehen, ob ein Unterlassungsanspruch sich (auch) aus Art. 17 Abs. 1 DSGVO ergibt, da jedenfalls die Voraussetzungen eines Unterlassensanspruchs nach dem BGB, welcher nicht gesperrt ist, vorliegen.

Darüber hinaus besteht vom Grunde her auch ein Anspruch auf Schadenersatz des Klägers gemäß Art. 82 Abs. 1 DSGVO.

Zum einen liegt wie bereits ausgeführt ein Verstoß gegen Art. 6 Abs. 1 lit. a DSGVO vor, zum anderen zugleich auch ein Verstoß gegen Art. 34 DSGVO.

Die Verletzung des Schutzes personenbezogener Daten stellen wie im vorliegenden Fall geschehen voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten des Klägers dar.

Ein hohes Risiko besteht dann, wenn zu erwarten ist, dass bei ungehindertem Geschehensablauf mit hoher Wahrscheinlichkeit ein Schaden für die Rechte und Freiheiten des/der Betroffenen eintritt. In einem solchen Fall ist es nicht maßgeblich, ob die Datenschutzverletzung auch zu einen besonders hohen Schadensumfang führt.

Durch die Versendung der Nachricht an einen unbeteiligten Dritten bestand nicht nur eine hohe Wahrscheinlichtkeit eines Schadenseintritts, viel mehr ist dadurch ein Schaden bereits eingetreten. Infolge der Weitersendung der Daten wurden persönliche, berufliche Informationen an einen unbeteiligten Dritten weitergeleitet. Dadurch hat der Kläger die Kontrolle darüber verloren, wer Kenntnis davon hat, dass er sich bei der Beklagten beworben hat. Diese Informationen sind auch dazu geeignet, den Kläger zu benachteiligen, wenn diese Informationen an etwaige Konkurrenten für einen Arbeitsplatz gelangen oder gar den Ruf des Klägers zu schädigen, wenn z.B. der derzeitige Arbeitgeber des Klägers erfahren hätte, dass sich der Kläger nach anderweitigen Arbeitsstellen umschaut.

Die Beklagte hat auch gegen ihre unverzügliche Benachrichtigungspflicht verstoßen, da die Nachricht unverzüglich, also ohne schuldhaftes Zögern i.S.d. § 121 BGB erfolgen soll, was aber vorliegend nicht gegeben ist.

Dem Kläger ist auch ein immaterieller Schaden entstanden. Infolge der Weitersendung der Daten wurden persönliche, berufliche Informationen an einen unbeteiligten Dritten weitergeleitet. Dadurch hat der Kläger die Kontrolle darüber verloren, wer Kenntnis davon hat, dass er sich bei der Beklagten beworben hat. Darüber hinaus hat eine dritte Person nun Kenntnis über den Bewerbungsvorgang und finanzielle Hintergründe bzw. Vertragswandlungen. Diese Informationen sind darüber hinaus auch abstrakt dazu geeignet, den Ruf des Klägers oder dessen Ansehen bzw. sein weiteres berufliches Fortkommen zu schädigen, wenn z.B. der derzeitige Arbeitgeber des Klägers erfahren hätte, dass sich der Kläger nach anderweitigen Arbeitsstellen umschaut, so dass jedenfalls auch eine solche Gefahr aus Sicht des Klägers im Raum stand.

Da die Inanspruchnahme eines Rechtsanwalts zur Durchsetzung etwaiger Rechte infolge des Verstoßes gegen die DSGVO für den Kläger erforderlich und zweckmäßig war, um dessen Rechte zu wahren, stehen dem Kläger vom Grunde her ein Anspruch auf Ersatz der außergerichtlichen Kosten gem. Art. 82 Abs. 1 DSGVO i.V.m. § 249 Abs. 1 BGB zu.

Letztlich hat der Kläger auch einen Anspruch auf Verzugszinsen gem. §§ 286, 288 Abs. 1 BGB, da sich die Beklagte im Verzug befand.

Der Kläger hat aufgrund des Verstoßes gegen die DSGVO gem. Art. 82 DSGVO einen wirksamen, fälligen, einredefreien Rückzahlungsanspruch gegenüber der Beklagten auf Zahlung von Schmerzensgeld und auf Zahlung der außergerichtlichen Rechtsverfolgungskosten.

Fundstelle: Urteil des LG Darmstadt vom 26.05.2020, Az 13 O 244/19 – abrufbar im Internet beispielsweise unter https://www.rv.hessenrecht.hessen.de/bshe/document/LARE200001724