Leitet ein Unternehmen die Daten eines Bewerbers irrtümlich an einen Dritten weiter und informiert nicht unverzüglich über diesen Rechtsverstoß, so hat der Betroffene einen DSGVO-Schadensersatz-Anspruch iHv. 1.000,- EUR (LG Darmstadt, Urt. v. 26.05.2020 - Az.: 13 O 244/19).
Der Kläger bewarb sich bei der verklagten Bank als neuer Mitarbeiter. Der Bewerbungsprozess erfolgte über das Portal XING.
Die Beklagte leitete irrtümlich eine Nachricht, die für den Kläger bestimmt war, an einen Dritten bei XING. In der Nachricht hieß es:
"Lieber Herr (...), ich hoffe es geht Ihnen gut! Unser Leiter - Herr (...) - findet ihr (…) Profil sehr interessant. Jedoch können wir ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören und wünsche Ihnen einen guten Start in den Dienstag. Viele Grüße,"
Der Kläger rügte diesen Fehler nicht weiter, sondern führte den Bewerbungsprozess erst einmal weiter fort. Die Beklagte selbst informierte den Kläger erst Monate später über die fehlerhafte Weiterleitung
Erst als er von der Beklagten abgelehnt wurde, machte er u.a. einen Schadensersatzanspruch wegen der DSGVO-Verletzung iHv. 2.500,- EUR geltend.
Das Gericht gab dem Kläger nur teilweise Recht, und zwar in Höhe von 1.000,- EUR:
"Die Verletzung des Schutzes personenbezogener Daten stellen wie im vorliegenden Fall geschehen voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten des Klägers dar.
Ein hohes Risiko besteht dann, wenn zu erwarten ist, dass bei ungehindertem Geschehensablauf mit hoher Wahrscheinlichkeit ein Schaden für die Rechte und Freiheiten des/der Betroffenen eintritt. In einem solchen Fall ist es nicht maßgeblich, ob die Datenschutzverletzung auch zu einen besonders hohen Schadensumfang führt (...).
Durch die Versendung der Nachricht an einen unbeteiligten Dritten bestand nicht nur eine hohe Wahrscheinlichkeit eines Schadenseintritts, viel mehr ist dadurch ein Schaden bereits eingetreten.
Infolge der Weitersendung der Daten wurden persönliche, berufliche Informationen an einen unbeteiligten Dritten weitergeleitet. Dadurch hat der Kläger die Kontrolle darüber verloren, wer Kenntnis davon hat, dass er sich bei der Beklagten beworben hat. Diese Informationen sind auch dazu geeignet, den Kläger zu benachteiligen, wenn diese Informationen an etwaige Konkurrenten für einen Arbeitsplatz gelangen oder gar den Ruf des Klägers zu schädigen, wenn z.B. der derzeitige Arbeitgeber des Klägers erfahren hätte, dass sich der Kläger nach anderweitigen Arbeitsstellen umschaut."
Insbesondere liege ein Verstoß gegen die Benachrichtigungspflicht vor:
"Die Beklagte hat auch gegen ihre unverzügliche Benachrichtigungspflicht verstoßen, da die Nachricht unverzüglich, also ohne schuldhaftes Zögern (...) erfolgen soll (...), was aber vorliegend nicht gegeben ist, da die Beklagte den Kläger erst im Dezember 2018 darüber informierte, dass die Nachricht an Herrn (...) gesendet wurde.
Nach dem Vortrag des Klägers hat Herr (...) die Beklagte am 23.10.2018 darüber in Kenntnis gesetzt, dass er der falsche Empfänger der Nachricht sei, so dass die Beklagte ab diesem Zeitpunkt bereits Kenntnis von dem Verstoß hatte. Dies hat die Beklagte nicht bestritten, sondern nur vorgetragen, dass der Kläger erstmals ihr gegenüber trotz vorheriger Gespräche dies mit der Email 16.12.2018 erklärte. Darüber hinaus hat sie auch in der Klageerwiderung (...) ausdrücklich nicht bestritten bzw. lediglich vorgetragen, dass es aus Rechtsgründen unerheblich sei, dass sie es nicht unverzüglich an ihn mitgeteilt hätte."
Schließlich führt das Gericht zur Höhe des Schadensersatzes aus:
"Dem Kläger ist auch ein Immaterieller Schaden entstanden. Infolge der Weitersendung der Daten wurden persönliche, berufliche Informationen an einen unbeteiligten Dritten weitergeleitet. Dadurch hat der Kläger die Kontrolle darüber verloren, wer Kenntnis davon hat, dass er sich bei der Beklagten beworben hat. Darüber hinaus hat eine dritte Person nun Kenntnis über den Bewerbungsvorgang und finanzielle Hintergründe bzw. Vertragswandlungen.
Diese Informationen sind darüber hinaus auch abstrakt dazu geeignet, den Ruf des Klägers oder dessen Ansehen bzw. sein weiteres berufliches Fortkommen zu schädigen, wenn z.B. der derzeitige Arbeitgeber des Klägers erfahren hätte, dass sich der Kläger nach anderweitigen Arbeitsstellen umschaut, so dass jedenfalls auch eine solche Gefahr aus Sicht des Klägers Im Raum stand.
Sofern der Kläger konkrete Nachtelle nicht vorträgt, spricht dies nicht gegen einen Anspruch auf Schmerzensgeld, da personenbezogene und Insbesondere private Informationen, die nur den Kläger und die von ihm Insoweit einbezogenen Personen wie die Beklagte betreffen, an einen unbeteiligten Dritten durch ein der Beklagten zurechenbares Fehlverhalten eines Mitarbeiters zur Kenntnis gelangt sind, wobei vorliegend - und anders als bei der von der Beklagter angeführten Entscheidung des OLG Dresden - damit eine Außenwirkung dieser Rechtsverletzung eintrat und damit eine etwaige Bagatellgrenze jedenfalls überschritten ist.
Da die Informationen keiner weiteren Person neben Herrn (...) zugänglich gemacht wurden und insbesondere der Kläger keine weiteren beruflichen oder persönlichen Beeinträchtigungen erlitten hat, wird ein Schmerzensgeld in Höhe von 1.000,00 € für angemessen erachtet."