Skip to main content

Verstoß: Unerlaubte Nutzung der Arbeitnehmerdaten

  • Beschreibung
    Verspätete Löschung der Daten einer Ex-Arbeitnehmerin auf der Unternehmenswebsite
  • Aktenzeichen
    ArbG Neuruppin, Urteil vom 14.12.2021 – 2 Ca 554/21
  • Kategorie(n)
    Arbeitnehmer
  • Betrag
    1000 €

Tenor

1. Die Beklagte wird verurteilt, an die Klägerin 1.000,00 € Schadensersatz abzüglich am 08.06.2021 gezahlter 150,00 € nebst Zinsen in Höhe von 5 % Punkten Zinsen seit dem 26.05.2021 zu zahlen.

2. Im Übrigen wird die Klage abgewiesen.

3. Von den Kosten des Rechtsstreites hat die Klägerin 4/5 sowie die Beklagte 1/5 zu tragen.

4. Der Streitwert dieses Urteils wird festgesetzt auf 4.850,00 €.

Tatbestand

Die Parteien streiten um Schadensersatz nach der Datenschutzgrundverordnung (DSGVO).

Die Klägerin war bis zum 31.07.2020 bei der Beklagten als Mitarbeiterin im Büromanagement angestellt. Sie verfügt über einen akademischen Abschluss als Biologin, was der Beklagten bekannt war.

Im Rahmen der Beendigung des Arbeitsverhältnisses schrieb die spätere Prozessbevollmächtigte der Klägerin mit Schreiben vom 28.08.2020 (Bl. 5-6 d. A.) die Beklagte an und wies darauf hin, dass auf der Website der Beklagten die Klägerin immer noch benannt sei, dies insbesondere als Biologin. In diesem Schreiben wurde gleichzeitig darauf hingewiesen, dass die Hinweise auf der Website nicht mehr zu führen seien und die Klägerin sich jm Übrigen nach Ablauf aller bisher gesetzter Fristen am 27.08.2020 an die Landesbeauftragte für Datenschutz gewendet habe.

Auf der Website der Beklagten erschien jedoch auch weiterhin folgender Inhalt über die Klägerin:

„Welchen Service erhalten Sie von uns?

Unsere Biologin … erstellt Ihnen nach der Wasseranalyse ein Analyseprotokoll mit Handlungsempfehlungen und Stellungnahmen.

Sie wird Sie anschließend, wenn Sie es wünschen, noch weitere Zeit betreuen, die Wasserwerte regelmäßig kontrollieren und somit zur Verbesserung und Stabilisierung Ihres Teiches beitragen.“

Nachdem die Klägerin in der Folgezeit feststellte, dass auch trotz der gegebenen Hinweise und Forderungen kur der Website der Beklagten die zuvor beschriebenen Inhalte immer noch zur Verfügung standen, schrieb ihre spätere Prozessbevollmächtigte die Beklagte mit weiterem Schreiben vom 07.05.2021 (Bl. 7-8 d. A.) erneut an, forderte eine Unterlassungserklärung und darüber hinaus eine Geldentschädigung in Höhe von 8.000,00 Euro. In der Folgezeit gab die Beklagte die geforderte Unterlassungserklärung ab und zahlte einen Betrag in Höhe von 150,00 Euro.

Mit Schriftsatz ihrer Prozessbevollmächtigten vom 28.07.2021, bei dem erkennenden Gericht am 26.08.2021 eingegangen, begehrte die Klägerin Schadensersatz in Höhe von 5.000,00 Euro abzüglich geleisteter 150,00 Euro.

Die Klägerin hat vorgetragen, dass die Beklagte zum Schadensersatz nach der Datenschutzgrundverordnung verpflichtet sei, da sie entgegen den Hinweisen in dem anwaltlichen Schreiben vom 28.08.2020 nicht umgehend dafür gesorgt habe, dass die entsprechenden Eintragungen über die Klägerin von ihrer Homepage entfernt worden seien. Die Beklagte habe sich dadurch auch einen Wettbewerbsvorteil verschaffen wollen. Sie sei daher zum Schadensersatz verpflichtet.

Die Klägerin beantragt,

die Beklagte zu verurteilen, an die Klägerin 5.000,00 Euro nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit dem 26.05.2021 abzüglich am 08.06.2021 gezahlter 150,00 Euro zu zahlen.

Die Beklagte beantragt,

die Klage abzuweisen.

Diese hat im Wesentlichen vorgetragen, dass eine alte Version der Homepage im Frühjahr 2021 erneut noch abrufbar gewesen sei. Dieses Versehen sei durch das Schreiben der Klägerin vom 07.05.2021 erst aufgefallen. Der „Fehler“ sei sodann umgehend beseitigt worden. Eine Vereinbarung zur Entfernung des Namens der Klägerin sei gerade nicht getroffen worden. Im Übrigen sei kein Fall der Erwägungsgründe 75 und 85 zu Art. 82 DSGVO betroffen. Eine Beeinträchtigung der Persönlichkeitsrechte habe die Klägerin nicht vorgetragen, im Übrigen sei ihr kein Nachteil entstanden. Die gezahlten 150,- € würden einen etwaigen Schaden im Übrigen angemessen kompensieren.

Hinsichtlich des weiteren Vorbringens der Parteien wird gemäß der §§ 313 Abs. 2 Satz 2 ZPO, 46 Abs. 2 ArbGG auf die gewechselten Schriftsätze nebst allen Anlagen sowie die Sitzungsniederschriften verwiesen.

Gründe

Der Anspruch der Klägerin ist in Höhe von 1.000,00 € abzüglich der geleisteten 150,00 Euro begründet. Im Übrigen war die Klage abzuweisen.

I.

Der Anspruch der Klägerin folgt zunächst aus Art. 82 DSGVO als sogenannte „Basisvorschrift“ (vgl. dazu: Wächter, Datenschutz im Unternehmen, 5. Aufl., Rz. 1158). Mit Art. 82 DSGVO enthält die Grundverordnung eine eigenständige deliktische Haftungsnorm. Voraussetzung ist eine rechtswidrige Datenverarbeitung, die zu einem Schaden der betroffenen Person (Art. 4 Nr. 1 DSGVO) führt. Art. 82 DSGVO ersetzt dabei die zuvor in Art. 23 DS-RL enthaltene Regelung sowie die mitgliedstaatlichen Regelungen zur Umsetzung dieser Vorschrift (im BDSG-alt die §§ 7,8) (vgl. nur: Ehmann/Selmayr, Datenschutzgrundverordnung, Art. 82, Rz. 4m.w.N.). Nicht jeder einer betroffenen Person entstandene Schaden ist jedoch auszugleichen. Voraussetzung ist, dass der Verstoß gegen die Bestimmungen der DSGVO, delegierte Rechtsakte oder konkretisierende nationale Bestimmungen kausal für den eingetretenen Schaden ist (Specht/Manz, Handbuch Europäisches und deutsches Datenschutzrecht, Teil A, Rz. 243). Dabei gewährt Art. 82 DSGVO gegenüber der verantwortlichen Stelle (hier der Beklagten, da sie für den Inhalt ihrer Homepage verantwortlich im datenschutzrechtlichen Sinne ist i.S.v. Art. 4 Ziff. 7 DSGVO), einen Anspruch auf Ersatz des Schadens, der durch die unrichtige bzw. unzulässige Verwendung von personenbezogenen Daten entstanden ist (Weth/Herberger/Wächter/Sorge, Daten- und Persönlichkeitssschutz im Arbeitsverhältnis, 2. Auflage, Teil A XV, Rz. 24). Der unbefugte Umgang mit den Daten muss darüber hinaus schuldhaft i.S.v. § 276 BGB erfolgen, damit vorsätzlich oder zumindest fahrlässig (Weth/Herberger/Wächter/Sorge, a.a.0.). Dabei wird mit der nunmehr seit Mai 2018 geltenden Norm des Art. 82 III DSGVO ein schuldhaftes Verhalten vermutet, was eine deutliche Verschärfung gegenüber dem bis dahin geltenden Recht bedeutet. Von dieser Vermutung kann sich der Verantwortliche oder auch der Auftragsverarbeiter gemäß Art. 82 III DSGVO nur dann entlasten (exkulpieren), wenn er in keinerlei Hinsicht für den Umstand, durch welchen der Schaden entstanden ist, verantwortlich ist (Weth/Herberger/Wächter/Sorge, a.a.O.). Der Schaden kann ein materieller sein. Ebenfalls ist jedoch ein immaterieller Schaden wegen Verletzung des allgemeinen Persönlichkeitsrechtes auszugleichen. Der Erwägungsgrund 146 stellt für die Auslegung von Art. 82 DSGVO klar, dass es sich um einen „vollständigen und wirksamen Schadensersatz“ handeln muss. Dies zielt auf die Ersatzhöhe ab (vgl. nur Körner, NZA 2021, 1137 ff. m. w. N.). Dem Grunde nach sind damit sämtliche Verletzungen des allgemeinen Persönlichkeitsrechtes erfasst. Da der Schadensersatzanspruch nach Art. 82 DSGVO im Übrigen auch im Umfang auch die Elemente der Wirksamkeit und Abschreckung enthalten soll, können in die Berechnung des Haftungsumfangs auch präventive Gesichtspunkte einfließen (Specht/Manz, a.a.O. Rz. 247).

II.

Die Beklagte hat trotz entsprechender Hinweise der Klägervertreterin im Schreiben vom 28.08.2020 die Daten der Klägerin nicht umgehend von ihrer Internetseite entfernt, obwohl das Arbeitsverhältnis beendet wurde. Unabhängig davon war sie jedoch auch bereits ohne anwaltliches Schreiben dazu verpflichtet gewesen, sämtliche im Zusammenhang mit der Klägerin veröffentlichten Daten von ihrer Homepage zu entfernen, da das Arbeitsverhältnis beendet wurde. Dies ergibt sich nicht nur aufgrund der bestehenden datenschutzrechtlichen Pflichten, sondern stellt auch eine allgemeine Nebenpflicht aus dem Arbeitsverhältnis i.S.v. § 241 Abs. 2 BGB dar. Auch mehrere Monate später waren die entsprechenden Daten jedoch noch verfügbar. Die Klägerin wurde – was unstreitig ist – weiterhin auf der Internetseite geführt, obwohl sie dort nicht als Biologin tätig war, sondern lediglich im Büromanagement beschäftigt wurde, insofern waren die Daten auch nicht zutreffend. Dabei spielt es entgegen der Ansicht der Beklagten auch keine Rolle, dass die Klägerin leidglich mit ihrem „Mädchennamen“ dort aufgeführt wird und nicht mit ihrem tatsächlichen „Doppelnamen“. Bereits dadurch wurde die Klägerin in ihren Persönlichkeitsrechten verletzt.

Dass die Beklagte erkannt hat, dass sie einen Fehler im datenschutzrechtlichen Sinne begangen hat, zeigt sich insbesondere auch darin, dass sie der Aufforderung der Klägerin entsprechend eine Unterlassungserklärung abgegeben und sodann 150,00 Euro in der Folgezeit gezahlt hat.

Der Hinweis der Beklagten, dass es sich um eine „alte Version“ der Homepage gehandelt habe, stellt keine wirksame Exkulpation von der Haftung i.S.v. Art. 82 III DSGVO dar. Die Beklagte als verantwortliche Stelle hätte gerade nach den anwaltlichen Hinweisen der Klägervertreterin ihr besonderes Augenmerk auf ihre Homepage lenken müssen, da sie diesbezüglich zumindest seit dem anwaltlichen Schreiben vom 28.08.2020 sensibilisiert war.

Die Erwägungsgründe 75 und 85 stehen dem Anspruch ebenfalls nicht entgegen. Die dort genannten Gründe sind weder abschließend, noch dazu geeignet, den Anspruch der Klägerin dem Grunde nach zu negieren.

III.

Hinsichtlich der Höhe des begehrten Schadensersatzes hat die Kammer einen Anspruch in Höhe von 1.000,00 Euro für angemessen erachtet, wobei berücksichtigt wurde, dass 150,00 Euro bereits geleistet wurden.

Dies auch unter Beachtung der aktuellen Rechtsprechung (vgl. dazu Böhm/Brams NZA RR, 2021, 521 ff.).

Mit einer Entscheidung des LAG Köln vom 14.09.2020 (LAG Köln 14.09.2020, 2 Sa 358/20, juris) wurden der dortigen Klägerin 300,00 Euro zugesprochen. In diesem Fall war jedoch zu beachten, dass die Beklagte nachgewiesen hatte, dass eine fahrlässige Nichtlöschung des Profils der Klägerin vorlag. Die dortige Klägerin war jedoch im Gegensatz zur Klägerin nicht insgesamt weiterhin auf der Homepage der Beklagten „verfügbar“, sondern lediglich auf einer weiteren Datei im Internet, welche aufgrund einer „Verknüpfung“ zu finden war. Das Arbeitsgericht Neumünster hat mit der Entscheidung vom 11.08.2020 (ArbG Neumünster vom 11.08.2020, 1 Ca 247 c/20, ZD 2021, 171) einen Schadensersatz in Höhe von 1.500,00 Euro wegen verspäteter Auskurftserteilung zugesagt. Auch wenn es in diesem Rechtsstreit nicht um einen Schadensersatz nach Art. 82 DSGVO, sondern um einen solchen wegen verspäteter Auskunft nach Art. 15 DSGVO ging, wurde dort auch bei der Bezifferung des Schadensersatzanspruches auf die Grundsätze der Art. 83 Abs. 2 Satz 9 DSGVO verwiesen. Ein solcher Rückgriff wurde bejaht, da Schadensersatz nach Art. 82 DSGVO ebenso wie Bußgelder nach Art. 83 DSGVO Datenschutzverstöße effektiv sanktionieren und abschreckend wirken sollten.

Das Landesarbeitsgericht Hamm hat mit Entscheidung vom 11.05.2021 (LAG Hamm vom 11.05.2021, 6 Sa 1260/20, juris) wegen verspäteter und unzureichender Datenauskunft einen Schadensersatz in Höhe von 1.000,00 Euro festgesetzt.

Unter Berücksichtigung vorstehender Rechtsprechung ist die Kammer ausdrücklich entgegen der Entscheidung des LG Köln vom 30.09.2021 (LG Köln vom 03.08.2021, 5 O 84/21, juris) sowie des Landgerichtes Bonn (LG Bonn vom 01.07.2021, 15 O 372/20, juris) davon ausgegangen, dass der Klägerin ein Schadensersatzanspruch in der ausgeurteilten Höhe zuzugestehen ist, da die Beklagte trotz des entsprechenden Begehrens der Klägerin über mehrere Monate hin deren Daten auf ihrer Internetseite nicht gelöscht hat. Dies auch unabhängig von der Tatsache, dass die Klägerin keine immateriellen Beeinträchtigungen vorgetragen hat. Dieses ist nach Auffassung der Kammer auch nicht erforderlich, da – wie unter I. dargestellt – Art. 82 DSGVO ebenfalls eine Warn- und Abschreckungsfunktion beinhaltet. Schließlich vermögen deswegen auch die Argumente des LG Bonn nicht zu überzeugen, dass ein Schadensersatzanspruch deswegen nicht auszuurteilen sei, da einer „uferlosen“ Geltendmachung solcher Ansprüche“ entsprechend zu begegnen sei. Derartige Überlegungen müssen bei der Ausurteilung von Schadensersatzansprüchen grundsätzlich ausscheiden. Dies dürfte zumindest seit dem Inkrafttreten des AGG für das Arbeitsrecht allgemein anerkannt sein.

Im Ergebnis hält die Kammer unter Beachtung der §§ 286, 287 ZPO im vorliegenden Fall einen Anspruch in Höhe von 1.000,00 Euro für angemessen. Hiervon hat die Beklagte bereits 150,00 Euro geleistet, so dass sie verpflichtet ist, weitere 850,00 Euro zu zahlen.

Ein weitergehender Schadensersatzanspruch steht der Klägerin jedoch nicht zu. Dementsprechend war die Klage im Übrigen abzuweisen.

Der Zinsanspruch folgt aus den §§ 286, 288 BGB.

IV.

Die Kostenentscheidung findet ihre Grundsätze in den §§ 92 Abs. 1 ZPO, 46 Abs. 2 ArbGG, wonach die Kosten entsprechend dem Obsiegen und Unterliegen zu quoteln waren.

Die Streitwertfestsetzung folgt aus den §§ 61 Abs. 1 ArbGG, 3 ff. ZPO.