Ein Schadensersatzanspruch nach Art. 82 DSGVO ist abtretbar. Es ist DSGVO-konform und entspricht dem aktuellen Stand der Datensicherheit nach Art. 32 DSGVO, wenn eingereichte unverschlüsselte USB-Sticks mit personenbezogenen Daten per Briefpost an die Absender zurückgeschickt werden (LG Essen, Urt. v. 23.09.2021 - Az. 6 O 190/21).
Der Kläger machte einen DSGVO-Schadensersatz gegen die Beklagte iHv. mindestens 30.000,- EUR geltend.
Seine Ehefrau und der Kläger fragten bei der Beklagten eine Immobilienfinanzierung an und stellten dafür zahlreiche private Unterlagen (u.a. Ausweisdokumente, Steuerunterlagen und Einkommensverhältnisse) zur Verfügung. Zudem warfen sie einen unverschlüsselten USB-Stick in den Briefkasten der Beklagten.
Es kam jedoch zu keinem Vertragsschluss.
Die Beklagte schickte daraufhin per einfacher Briefpost den USB-Stick an den Kläger zurück. Dort kam er jedoch nicht an. Während des Transports fiel der Stick aus dem Briefumschlag und verschwand.
Der Kläger ließ sich den DSGVO-Schadensersatzanspruch von seiner Ehefrau abtreten und klagte.
Das LG Essen lehnte den Anspruch ab.
Die Rücksendung des unverschlüsselten USB-Sticks entspreche dem aktuellen Stand der Datensicherheit nach Art. 32 DSGVO:
"Die Kammer konnte kein Fehlverhalten im Haus der Beklagten feststellen. Dabei ist zunächst zu berücksichtigen, dass der vermeintliche Verlust der Daten jedenfalls nicht im Haus der Beklagten erfolgt ist. Dies wird auch von Klägerseite nicht behauptet. Vielmehr soll der USB-Stick auf dem Postversand verloren gegangen sein.
Die Kammer sieht zudem keinen Grund, weshalb die Beklagte den USB-Stick nicht per einfachem Brief an den Kläger und seine Ehefrau hätte versenden dürfen. Zwar waren auf dem USB-Stick Dokumente mit sensiblen persönlichen und wirtschaftlichen Informationen enthalten. Dies ist jedoch kein Grund, nicht den Service der Deutschen Post nutzen zu dürfen.
Von verschiedensten Stellen werden ausgedruckte Dokumente mit sensiblen Informationen, z.B. Steuerbescheide, Schreiben von Anwälten und Steuerberatern o.Ä., mit einfacher Post versandt. Hiergegen ist ebenfalls nichts einzuwenden; eine irgendwie geartete Pflichtverletzung der handelnden Stellen ist nicht ersichtlich.
Weshalb zwischen ausgedruckten Dokumenten, die naturgemäß unverschlüsselt übersandt werden, und digitalen Dokumenten auf einem unverschlüsselten USB-Stick im Zuge der postalischen Übermittlung unterschieden werden soll, erschließt sich der Kammer nicht."
Auch eine besondere Zusendungsform sei nicht notwendig gewesen, so das Gericht weiter:
"Die Beklagte war zudem nicht gehalten, den USB-Stick in einem gepolsterten Umschlag zu versenden. Bei dem USB-Stick handelt es sich weder um einen leicht zu beschädigenden Gegenstand, der vor äußeren Einwirkungen geschützt werden müsste, noch musste die Beklagte davon auszugehen, dass ein USB-Stick als relativ leichter Gegenstand ohne scharfe Kanten den Briefumschlag von innen heraus zerstören könnte.
Ferner bestand keine Verpflichtung der Beklagten, den USB-Stick dem Kläger oder seiner Verlobten persönlich zu übergeben. Unstreitig wurde dies nicht durch den Kläger oder seine Ehefrau gefordert. Zudem bestand für die Beklagte - wie bereits ausgeführt - keine Veranlassung, an dem zuverlässigen Versand durch die Deutsche Post zu zweifeln."
Der Anspruch seiner Ehefrau habe der Kläger jedoch an sich abtreten dürfen, so das Gericht:
"Grundsätzlich ist jede Forderung abtretbar (...)., insbesondere auch Schmerzensgeldansprüche (...). Ein Abtretungsverbot nach §§ 399, 400 BGB besteht nicht.
Die vermeintliche Forderung der Ehefrau des Klägers gegen die Beklagte unterliegt weder der Pfändung (§ 400 BGB) noch wurde die Abtretung durch Vereinbarung ausgeschlossen oder erfordert die Abtretung eine Inhaltsänderung der Leistung (§ 399 BGB).
Die Abtretung ist zudem wirksam, insbesondere ist sie hinreichend bestimmt. Dabei genügt es, wenn im Zeitpunkt des Entstehens der Forderung bestimmbar ist, ob sie von der Abtretung erfasst wird (...).
Das ist hier der Fall. In dem Abtretungsvertrag ist unter Ziffer 1 das Rechtsverhältnis, aus dem sich etwaige Ansprüche ergeben können, hinreichend bestimmt bezeichnet. Dort heißt es, dass dem Zedenten aus einer datenschutzrechtlichen Verletzung Schadensersatzansprüche gegen die die hiesige Beklagte - in einer noch durch ein Gericht festzulegenden Höhe zustehen. Zudem wird der Grund des Schadensersatzanspruchs noch näher beschrieben; nämlich der Verlust eines USB-Sticks mit umfangreichen persönlichen und sensiblen Daten."
Es fehle aber an einem notwendigen konkreten Schaden, so die Richter. Ein bloßes "ungutes Gefühl" sei nicht ausreichend, um den Anspruch zu begründen:
"Der Kläger hat lediglich vorgetragen, dass er und seine Ehefrau infolge des vermeintlichen Verlustes des USB-Sticks einen Kontrollverlust erlitten hätten.
Weiter wird dies indes nicht ausgeführt. Die Kammer hat dabei berücksichtigt, dass der Verlust eines USB-Sticks, auf dem sich ungesicherte persönliche und wirtschaftliche Informationen befinden, durchaus zu einem „unguten Gefühl“ führen kann.
Der Kläger hat jedoch in keiner Weise vorgetragen, inwiefern sich für ihn bzw. seine Ehefrau eine ernsthafte Beeinträchtigung ergeben hat. Negative Auswirkungen des Verlustes haben sich nicht gezeigt - zumindest wurden sie weder vorgetragen noch ergeben sie sich aus den sonstigen Umständen des Falles."
Alleine die theoretisch mögliche Gefahr eines Datenmissbrauchs sei nicht ausreichend:
"Negative Auswirkungen des Verlustes haben sich nicht gezeigt - zumindest wurden sie weder vorgetragen noch ergeben sie sich aus den sonstigen Umständen des Falles. Es ist zudem völlig unklar, was mit dem USB-Stick passiert ist - unterstellt, er ist tatsächlich abhandengekommen.
Negative Auswirkungen des behaupteten Verlustes - etwa in Form eines Identitätsdiebstahls oder ähnliches - müssten der Kläger und seine Ehefrau allenfalls befürchten, wenn der USB-Stick in die Hände eines Dritten gelangt ist. Ob das der Fall ist, ist völlig unklar.
Genauso gut ist es möglich, dass der USBStick bei der Verarbeitung der Briefe im Bereich der Deutschen Post zerstört oder beschädigt wurde. Im klägerischen Schriftsatz vom 15.09.2021 ist die Rede von einer walzen- und rollenbetriebenen Sortieranlage der Deutschen Post. Insofern ist es durchaus wahrscheinlich, dass ein USB-Stick in dieser Sortieranlage beschädigt werden kann. In diesem Fall wäre es somit ausgeschlossen, dass ein unbefugter Dritter überhaupt an die Daten des Klägers und seiner Ehefrau gelangen könnte."
Anmerkung von RA Dr. Bahr:
Neben den lesenswerten Ausführungen des Gerichts zur Frage der sicheren Datenverarbeitung nach Art. 32 DSGVO, ist es - soweit ersichtlich - das erste Urteil, das sich mit der Frage beschäftigt, ob Ansprüche nach Art. 82 DSGVO abtretbar sind.
Bei seinen Ausführungen geht das Gericht jedoch auf die wichtigste Frage nicht ein: Ist der Anspruch aufgrund seiner höchstpersönlichen Natur tatsächlich so einfach abtretbar? Eine ähnliche Konstellation existiert beispielsweise im Urheberrecht bei der Verletzung von Urheberpersönlichkeiten (z.B. fehlende Nennung des Urhebers).