LG Köln: 4.000,- EUR DSGVO-Schadensersatz, wenn Daten unerlaubt ggü. Arbeitgeber offenbart werden
Offenbart ein Unternehmen personenbezogene Daten eines Arbeitnehmers unerlaubt gegenüber dem Arbeitgeber, liegt hierin eine Datenschutzverletzung, die einen DSGVO-Schadensersatz iHv. 4.000,- EUR auslöst (LG Köln, Urt. v. 28.09.2022 - Az.: 28 O 21/22).
Der Kläger war Arbeitnehmer und erwarb einen PKW bei einem Dritten. Im Rahmen der Korrespondenz benutzte er hierfür seinen beruflichen E-Mail-Account.
Als es zu Problemen bei der Finanzierung kam und der Kläger auf Nachfragen nicht reagierte, schickte der Verkäufer eine E-Mail an den Arbeitgeber des Klägers:
"Sehr geehrter Herr (...),
leider muss ich mich heute an Sie wenden, da wir leider bei unserem Kunden (...) nicht weiterkommen. Herr (...) reagiert leider nicht auf unsere Anrufe und E-mails von unserem Verkaufsberater (...) Ihr Mitarbeiter hat im April einen Q3 bei uns erworben mit entsprechender Finanzierung über die (...) , die Fahrzeugauslieferung hat am 10.06.2021 stattgefunden. Die (...) hat das Geschäft mit Auflage der Nebeneinkünfte in Höhe von € 2.000,00 genehmigt. Leider ist Herr (...) bisher dieser Aufforderung der Nachweisführung nicht nachgekommen, die (...) hat hier bereits die 1. Mahnung rausgeschickt.
Daher würden wir Sie bitten, mit Ihrem Mitarbeiter ein klärendes Gespräch zu führen, damit wir dieses Pending vom Tisch bekommen. Der Verkaufsberater Herr (...) hat am 06.07.2021 versucht per Mail in Kontakt zu treten. Gerne stehe ich Ihnen für Fragen zur Verfügung.
Mit freundlichen Grüßen
i.V. G I
Verkaufsleitung (...). GmbH“
Der Kläger sah in dieser E-Mail an seinen Arbeitgeber seine Verletzung seiner DSGVO-Rechte und verlangte Schadensersatz iHv. 100.000,- EUR.
Das LG Köln bejahte zwar einen Datenschutzverstoß, sprach aber nur einen Betrag iHv. 4.000,- EUR zu.
"Die Offenlegung der Vertragsverhältnisse (...) an den Vorgesetzten des Klägers war auch rechtswidrig. Sie unterfällt keinem Rechtfertigungstatbestand nach Art. 6 Abs. 1 DS-GVO.
Insbesondere ist sie nicht zur Erfüllung des Vertrags mit dem Kläger „erforderlich“, Art. 6 Abs. 1 lit. b) DS-GVO.
Erforderlichkeit setzt voraus, dass ein unmittelbarer Zusammenhang zwischen der Verarbeitung und dem konkreten Zweck des Vertragsverhältnisses besteht. Ein solcher Zusammenhang ist hier nicht ersichtlich. Der Vorgesetzte des Klägers ist in keiner Weise in den Vertrag involviert und für die private Lebensführung des Klägers auch offensichtlich in keiner Weise verantwortlich. Es ist nicht im Ansatz zu erkennen, warum der Gläubiger eines Schuldverhältnisses sich veranlasst sehen dürfte, sich an den Vorgesetzten seines Schuldners zu wenden um diesen dazu zu bringen, auf den Schuldner einzuwirken. Etwas anderes ergibt sich auch nicht aus dem Umstand, dass der Kläger ebenfalls als Autoverkäufer in einem Konkurrenzunternehmen tätig ist.
Gerade in diesem Fall drängt sich der Gedanke förmlich auf, dass dem Kläger aus einer Offenlegung seiner Geschäftsbeziehungen zu einem Konkurrenzunternehmen Probleme erwachsen können, was für die Erfüllung des Vertrags nicht förderlich sein dürfte."
Und weiter:
"Der Verstoß ist auch derart gravierend, dass er eine Schadensersatzpflicht (...) auslöst, allerdings nur in tenorierter Höhe. (,...)
Bei der Bemessung des Schmerzensgelds war weiterhin zu berücksichtigen, dass die Beklagte zu 1) eine strafbewehrte Unterlassungserklärung abgegeben und sich bereits mit E-Mail vom 20.07.2021 beim Kläger entschuldigt hat. Weiterhin war zu berücksichtigen, dass nach Sinn und Zweck von Art. 82 DS-GVO das Schmerzensgeld so zu bemessen ist, dass es eine abschreckende Wirkung auf die Beklagte ausübt. Dabei war jedoch auch darauf zu achten, dass auch nach der Konzeption des Art. 82 DS-GVO der Schadensersatz nicht in einen Strafschadensersatz ausartet, sondern in erster Linie der Kompensation tatsächlich entstandener Schäden beim Kläger dient (...).
In diesem Zusammenhang war für die Kammer entscheidend auf die finanzielle Situation der Beklagten (...) abzustellen, nicht hingegen auf die Finanzkraft des „VW-Konzerns“ insgesamt. Die Beklagte (...) mag zum V-Konzern gehören, sie ist aber rechtlich unabhängig. Der Kläger hat nicht die Volkswagen AG verklagt, so dass der Vortrag zu deren Umsätzen unbeachtlich ist. Vortrag zur finanziellen Situation der Beklagten (...) fehlt indes. Daher verbietet sich auch eine Orientierung an einem möglicherweise von der Aufsichtsbehörde noch zu verhängendem Bußgeld gegen die Beklagte zu 1). Der Vortrag des Klägers zur Höhe dieses Bußgelds, insbesondere dass dieses die Höchstgrenze des Art. 83 Abs. 4 DS-GVO von 10 Milliarden EUR erreichen könnte, stellt sich vor diesem Hintergrund nicht als eine ernsthafte Prognose dar.
Unter Berücksichtigung sämtlicher dieser zuvor genannten Umstände hält die Kammer gemäß § 287 ZPO insgesamt einen Schadensersatz von 4.000 EUR für notwendig, aber auch ausreichend zur Kompensation des dem Kläger entstandenen Schadens."