Urteil : 4.000 € Schmerzensgeld wegen Offenlegung einer Geschäftsbeziehung zu einem Konkurrenzunternehmen gegenüber Arbeitgeber : aus der RDV 1/2023 Seite 55 bis 57

Zum Sachverhalt:

Der Kläger ist Mitarbeiter der U B GmbH und dort als Berater/ Verkäufer für PKW- und Bankprodukte tätig. Der Beklagte zu 2) ist ebenfalls in diesem Geschäftsbereich tätig, und zwar in der Verkaufsleitung der Beklagten zu 1).

Im April 2021 wandte sich der Kläger an die Beklagten, um einen PKW Audi Q3 zu privaten Zwecken zu kaufen und über die A. B. zu finanzieren. Auf Wunsch des Klägers erfolgte die Kommunikation dabei über das berufliche E-MailPostfach des Klägers. Das Fahrzeug wurde am 11.06.2021 durch den Verkaufsberater der Beklagten zu 1), Herrn B1 L, übergeben. Da die Übergabe nicht zufriedenstellend verlief, vermerkte der Kläger dies im Rahmen der ihm auf Veranlassung der A. AG zugesandten formalisierten Kundenbefragung. Diese hatte bei der Beklagten zu 1) eine kritische Überprüfung der Arbeit des Beklagten zu 2) zur Folge.

Hierauf kontaktierte Herr L den Kläger am 16.06.2021 auf seinem geschäftlichen E-Mail Account (Anlage K001). Der Kläger teilte mit, dass er zu der Bewertung stehe und teilte überdies auch mit, dass er den nachträglichen Kontakt aufgrund der von ihm vorgenommen Bewertung für unpassend halte und keinen weiteren Kontakt wünsche (Anlage K002).

Am 25.06.2021 wandte sich die A. B. an die Beklagte zu 1) und teilte mit, dass der Kläger noch nicht sämtliche Nachweise für die in seiner finanziellen Selbstauskunft angegebenen sonstigen Einnahmen in Höhe von 2.000 EUR erbracht hatte (Anlage B04), so dass es noch nicht zu einer Auszahlung kommen könne (sog. Pending). Der Kläger war bereits mit Mail vom 12.04.2021 über die Notwendigkeit der Nachweise informiert worden.

Am 06.07.2021 schrieb Herr L eine weitere Mail an den Kläger an dessen geschäftliches E-Mail-Postfach, laut der im Rahmen der Fahrzeugübergabe angeblich ein Finanzierungsdetail (Nachweis sonstiger Einkünfte) ungeklärt geblieben sei (Anlage K003). Hierauf antwortete der Kläger erst nach seiner Urlaubsrückkehr mit Mail vom 17.07.2021 (Anlage K004), dass er sich darum kümmern werde.

Mit Mail vom 14.07.2021 wandte sich der Beklagte zu 2) an den Vorgesetzten des Klägers, Herrn L2, und teilte diesem per E-Mail (Anlage K005) mit:

„Sehr geehrter Herr L2, leider muss ich mich heute an Sie wenden, da wir leider bei unserem Kunden O nicht weiterkommen. Herr O reagiert leider nicht auf unsere Anrufe und E-Mails von unserem Verkaufsberater B1 L. Ihr Mitarbeiter hat im April einen Q3 bei uns erworben mit entsprechender Finanzierung über die FS AG, die Fahrzeugauslieferung hat am 10.06.2021 stattgefunden. Die FS AG hat das Geschäft mit Auflage der Nebeneinkünfte in Höhe von 2.000 € genehmigt. Leider ist Herr O bisher dieser Aufforderung der Nachweisführung nicht nachgekommen, die FS AG hat hier bereits die 1. Mahnung rausgeschickt. Daher würden wir Sie bitten, mit Ihrem Mitarbeiter ein klärendes Gespräch zu führen, damit wir dieses Pending vom Tisch bekommen. Der Verkaufsberater Herr B1 L hat am 06.07.2021 versucht per Mail in Kontakt zu treten. Gerne stehe ich Ihnen für Fragen zur Verfügung.

Mit freundlichen Grüßen

i.V. G I

Verkaufsleitung A. S. GmbH“

Ebenfalls am 17.07.2021 versuchte der Kläger, sich mit dem Beklagten zu 2) in Verbindung zu setzen, um ihn zur Rede zu stellen. Ein Rückruf erfolgte erst am 19.07.2021; dabei kam es zu einer lautstarken Auseinandersetzung.

Mit E-Mail vom 20.07.2021 entschuldigte sich die Beklagte zu 1) bei dem Kläger (Anlage K006).

Die Beklagten wurden daraufhin mit Anwaltsschreiben vom 04.08.2021 und 05.08.2021 zur Unterlassung und Zahlung von Schmerzensgeld und Schadensersatz aufgefordert (Anlagen K007, K008). Die damit geforderte Unterlassungs- und Verpflichtungserklärung gab lediglich die Beklagte zu 1) ab (Anlage K009). Der Beklagte zu 2) machte mit Schreiben vom 08.09.2021 eine Unterlassungserklärung und die Zahlung von Schmerzensgeld davon abhängig, dass der Kläger die Angelegenheit nicht gerichtlich fortführt und nicht die Datenschutzbehörde einschaltet (Anlage K010). […]

Aus den Gründen:

1. Die Beklagte zu 1) hat personenbezogene Daten des Klägers im Sinne des Art.  4 Nr. 2 DS-GVO dadurch verarbeitet, dass sie die streitgegenständliche E-Mail an Herrn K. versandt hat. Sie muss sich dabei die Handlung ihres Angestellten, des Beklagten zu 2), zurechnen lassen. Zur Verarbeitung im Sinne der DS-GVO zählt auch die „Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung“.

Die Offenlegung der Vertragsverhältnisse zwischen der Beklagten zu 1) und dem Kläger an den Vorgesetzten des Klägers war auch rechtswidrig. Sie unterfällt keinem Rechtfertigungstatbestand nach Art.  6 Abs.  1 DS-GVO. Insbesondere ist sie nicht zur Erfüllung des Vertrags mit dem Kläger „erforderlich“, Art.  6 Abs.  1 lit. b) DS-GVO. Erforderlichkeit setzt voraus, dass ein unmittelbarer Zusammenhang zwischen der Verarbeitung und dem konkreten Zweck des Vertragsverhältnisses besteht. Ein solcher Zusammenhang ist hier nicht ersichtlich. Der Vorgesetzte des Klägers ist in keiner Weise in den Vertrag involviert und für die private Lebensführung des Klägers auch offensichtlich in keiner Weise verantwortlich. Es ist nicht im Ansatz zu erkennen, warum der Gläubiger eines Schuldverhältnisses sich veranlasst sehen dürfte, sich an den Vorgesetzten seines Schuldners zu wenden, um diesen dazu zu bringen, auf den Schuldner einzuwirken. Etwas anderes ergibt sich auch nicht aus dem Umstand, dass der Kläger ebenfalls als Autoverkäufer in einem Konkurrenzunternehmen tätig ist. Gerade in diesem Fall drängt sich der Gedanke förmlich auf, dass dem Kläger aus einer Offenlegung seiner Geschäftsbeziehungen zu einem Konkurrenzunternehmen Probleme erwachsen können, was für die Erfüllung des Vertrags nicht förderlich sein dürfte.

Die Beklagte zu 1) ist für den Verstoß gegen Art. 6 Abs. 1 DS-GVO auch verantwortlich und muss sich das Verhalten ihres Mitarbeiters zurechnen lassen. Eine Exkulpation nach Art. 82 Abs. 3 DS-GVO kommt nicht in Betracht. Soweit die Beklagte zu 1) schlicht darauf abstellt, dass der Beklagte zu 2) dem Kläger keinen Schaden habe zufügen wollen, verfängt dies nicht. Die Versendung der E-Mail erfolgte vorsätzlich. Eine Schädigungsabsicht setzt Art.  82 DS-GVO nicht voraus.

2. Der Verstoß ist auch derart gravierend, dass er eine Schadensersatzpflicht der Beklagten zu 1) auslöst, allerdings nur in tenorierter Höhe.

Allein der Verstoß gegen datenschutzrechtliche Vorschriften führt nicht zu einer Verpflichtung des Verantwortlichen zur Zahlung von Schadensersatz (so auch LG Karlsruhe, ZD 2019, 511). Voraussetzung eines Anspruchs auf Schadensersatz aus Art. 82 Abs. 1 DS-GVO, der im nationalen Recht unmittelbar Anwendung findet und andere Anspruchsgrundlagen nicht ausschließt (Nemitz, in: Ehmann/Selmayr, DS-GVO, 2. Aufl., Art. 82 Rn. 7), ist ein Verstoß gegen die DS-GVO und ein hierdurch verursachter Schaden, was ein Kläger darzulegen und zu beweisen hat (LG Karlsruhe, a.a.O.). Nach dem Erwägungsgrund 146 ist der Begriff des Schadens weit auszulegen, sodass Betroffene einen wirksamen Ersatz erhalten. Erwägungsgrund 85 besagt, dass eine Verletzung des Schutzes personenbezogener Daten einen physischen, materiellen oder immateriellen Schaden für natürliche Personen – wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte, Diskriminierung, Identitätsdiebstahl oder -betrug, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung oder Rufschädigung – nach sich ziehen kann, wenn nicht rechtzeitig und angemessen reagiert wird. Es bedarf danach zwar keiner schweren Verletzung des Persönlichkeitsrechts, um einen immateriellen Schaden geltend zu machen (Gola/ Piltz, DS-GVO, 2. Aufl., Art.  82 Rn. 13). Dennoch führt nicht bereits jeder Verstoß gegen die DS-GVO zu einer Ausgleichspflicht, denn der Verpflichtung zum Ausgleich eines immateriellen Schadens muss eine benennbar und insoweit tatsächliche Persönlichkeitsverletzung gegenüberstehen, die z.B. in der mit einer unrechtmäßigen Zugänglichmachung von Daten liegenden „Bloßstellung“ liegen kann (LG Karlsruhe, a.a.O.). Die Ermittlung des Schadens obliegt nach § 287 ZPO dem Gericht.

Der Verstoß der Beklagten zu 1) gegen die Regeln der DS-GVO ist bereits für sich derart gravierend, dass er eine entschädigungspflichtige Persönlichkeitsrechtsverletzung des Klägers begründet. Dass sich der Beklagte zu 2) hier an den Vorgesetzten des Klägers gewandt habe, ist nicht nur unangebracht und ein Verstoß gegen die DS-GVO, sondern für den Kläger auch peinlich und mit erheblichen Unannehmlichkeiten verbunden, weil er sich – unabhängig von der tatsächlichen Reaktion seines Vorgesetzten – genötigt fühlen könnte, sich gegenüber seinem Arbeitgeber dafür rechtfertigen zu müssen, bei der Konkurrenz ein Auto gekauft zu haben. Dies ist mit einem erheblichen Gefühl der Scham verbunden. Es handelt sich bei den Vertragsinformationen zwar nicht um hochsensible und höchstpersönliche Daten, der Kläger hatte jedoch ein offensichtliches Geheimhaltungsinteresse. Der Verstoß führt insoweit auch zu einem völligen Verlust der Kontrolle über die Daten, auch wenn die Information nur an eine Person geleitet wurde. Zudem erfolgte der Verstoß vorsätzlich, auch wenn der Beklagte zu 2), wie die Beklagte zu 1) unbestritten vorgetragen hat, keine Schädigungsabsicht gehabt hat.

Für die Frage der Schadensbemessung ist von Bedeutung, dass die Kammer die von dem Kläger behaupteten Folgen des Datenschutzverstoßes ihrer Entscheidung nicht zu Grunde legen kann.

Der Vortrag des Klägers zur Zerrüttung seines Arbeitsverhältnisses ist unsubstantiiert und prozessual unbeachtlich.

[…] Auch soweit der Kläger vorgetragen hat, an einer Depression zu leiden, ist sein Vortrag unbeachtlich. […] Die Kammer will nicht in Abrede stellen, dass der Kläger tatsächlich unter hohem psychischen Druck steht. Er war in der mündlichen Verhandlung sichtlich angefasst und schien deutlich zu leiden. Dieses Leiden ist jedoch nicht derart substanziiert im Prozess vorgetragen worden, dass es für die Kammer prozessual verwertbar wäre und für die Einholung eines psychologischen Sachverständigengutachtens gereicht hätte. Dies gilt nicht nur für den Vortrag des Klägers hinsichtlich des Vorliegens einer Depression, sondern auch für die Frage, ob gerade der Datenschutzverstoß der Beklagten für die Krankheit des Klägers kausal geworden ist. Die Einholung eines Sachverständigengutachtens würde vor diesem Hintergrund einem Ausforschungsbeweis gleichkommen.

Bei der Bemessung des Schmerzensgelds war weiterhin zu berücksichtigen, dass die Beklagte zu 1) eine strafbewehrte Unterlassungserklärung abgegeben und sich bereits mit E-Mail vom 20.07.2021 beim Kläger entschuldigt hat. Weiterhin war zu berücksichtigen, dass nach Sinn und Zweck von Art.  82 DS-GVO das Schmerzensgeld so zu bemessen ist, dass es eine abschreckende Wirkung auf die Beklagte ausübt. Dabei war jedoch auch darauf zu achten, dass auch nach der Konzeption des Art. 82 DS-GVO der Schadensersatz nicht in einen Strafschadensersatz ausartet, sondern in erster Linie der Kompensation tatsächlich entstandener Schäden beim Kläger dient (vgl. Erwägungsgrund (146) S. 5 DS-GVO: „erlittener Schaden“). In diesem Zusammenhang war für die Kammer entscheidend auf die finanzielle Situation der Beklagten zu 1) abzustellen, nicht hingegen auf die Finanzkraft des „V-Konzern s“ insgesamt. Die Beklagte zu 1) mag zum V-Konzern gehören, sie ist aber rechtlich unabhängig. Der Kläger hat nicht die Volkswagen AG verklagt, so dass der Vortrag zu deren Umsätzen unbeachtlich ist. Vortrag zur finanziellen Situation der Beklagten zu 1) fehlt indes. Daher verbietet sich auch eine Orientierung an einem möglicherweise von der Aufsichtsbehörde noch zu verhängendem Bußgeld gegen die Beklagte zu 1). Der Vortrag des Klägers zur Höhe dieses Bußgelds, insbesondere dass dieses die Höchstgrenze des Art. 83 Abs. 4 DS-GVO von 10 Milliarden € erreichen könnte, stellt sich vor diesem Hintergrund nicht als eine ernsthafte Prognose dar.

Unter Berücksichtigung sämtlicher dieser zuvor genannten Umstände hält die Kammer gemäß § 287 ZPO insgesamt einen Schadensersatz von 4.000 € für notwendig, aber auch ausreichend zur Kompensation des dem Kläger entstandenen Schadens.

Zur Vertiefung

Meyer, Rechtsmissbräuchliche Schadensersatzforderungen = RDV 2022, (Heft 6).

[Urteil] BAG-EuGH-Anfrage zu immateriellen Schadensersatz wegen der Übermittlung personenbezogener Daten an die vormalige Konzernmutter der Arbeitgeberin in den USA auf Grund einer Betriebsvereinbarung = RDV 2022, (Heft 6).

[Urteil] Zur Höhe eines Anspruchs auf immateriellen Schadenersatz bei Verstoß gegen die DS-GVO = RDV 2022, (Heft 5).

[Urteil] Ein immaterieller Schadensersatz nach Art. 82 DS-GVO muss konkretisiert sein (Ls) = RDV 2022, (Heft 1)

_{[1] BAG, Beschl. v. 22.09.2022 – 8 AZR 209/21 (A) –)}