Weil die Stellenausschreibung einer Behörde auch unerlaubt besondere personenbezogene Daten (hier: Gesundheitsdaten) enthielt, muss die zuständige Stadt einen Schadensersatz iHv. 2.000,- EUR nach Art. 82 DSGVO bezahlen (VG Stuttgart, Urt. v. 20.06.2024 - Az.: 14 K 870/22).
Der Kläger war Beamter bei der Beklagten und erlitt einen Schlaganfall, sodass er seine Tätigkeit nicht weiter ausüben konnte.
Die zuständige Behörde nahm daraufhin nachfolgende Stellenausschreibung vor:
„Die Stadt P. mit ca. xx.xxx Einwohnern ist das östliche Eingangstor zur Region S. Die landschaftlich reizvolle Lage im N.- und F.-tal am Rande von S.-wald und xxx führt zu einem hohen Wohn- und Freizeitwert. P. verfügt über ein gut ausgebautes Kinderbetreuungsangebot, alle weiterführenden Schulen und ein attraktives Vereins- und Kulturleben.
Aufgrund eines amtsärztlichen Gutachtens zur Untersuchung der Dienstfähigkeit des bisherigen Amtsinhabers hat der Gemeinderat der Stadt P. der Einleitung eines Verfahrens zur Versetzung in den Ruhestand wegen festgestellter Dienstunfähigkeit sowie der Wiederbesetzung der Amtsleiterstelle zugestimmt. Deshalb suchen wir eine/n neue/n Leiter/in des Hauptamts.
Zum Hauptamt gehören die Sachgebiete (…) Die Stelle ist in Besoldungsgruppe A 13 ausgewiesen. Eine Einweisung in die Planstelle bzw. Beförderung kann erst nach Abschluss des Verfahrens zur Versetzung des bisherigen Amtsinhabers in den Ruhestand erfolgen. Bewerbungen mit aussagekräftigen Unterlagen bitten wir bis 13.07.2018 an die Stadtverwaltung P., Herrn Bürgermeister B., S.-straße xx, xxxxx P. zu richten.“
Der Kläger sah darin eine unerlaubte Veröffentlichung seiner Gesundheitsdaten und einen DSGVO-Verstoß. Er klagte auf Schadensersatz iHv. 20.000,- EUR.
Das VG Stuttgart sah in dem Job-Text ebenfalls eine Datenschutzverletzung, sprach dem Kläger aber lediglich 2.000,- EUR zu.
1. Datenschutzverletzung: Ja
Das Gericht stellte dem Grunde nach einen Rechtsverstoß fest:
"Ein Verstoß gegen das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO liegt jedoch in der Bezugnahme auf das Zurruhesetzungsverfahren des Klägers in der Stellenausschreibung der Beklagten. Soweit darin die „festgestellte Dienstunfähigkeit“ des Klägers erwähnt wird, handelt es sich um Gesundheitsdaten im Sinne des Art. 4 Nr. 15 DSGVO. Gesundheitsdaten sind nach Art. 4 Nr. 15 DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.
Die Beurteilung der Arbeitsfähigkeit bzw. Dienstfähigkeit aus medizinischer bzw. psychologischer Sicht stellt ein Gesundheitsdatum in diesem Sinne dar (…), weil die Arbeitsfähigkeit auf dem Gesundheitszustand basiert. Mit der in der Stellenanzeige erwähnten Person des „bisherigen Amtsinhabers“ ist ersichtlich und für Dritte, selbst Außenstehende, ohne weiteres erkennbar der Kläger individualisiert.
Es handelt sich auch um eine Datenverarbeitung durch den Verantwortlichen im Sinne von Art. 4 Nr. 2, 7 DSGVO. Wie sich aus der Information des Gemeinderats am 24.07.2018 ergibt, erfolgte die Verarbeitung durch den Verantwortlichen, also die Beklagte. Der Versand der Stellenanzeige an ca. 83 Empfänger stellt eine Verarbeitung dar, weil die Gesundheitsdaten (Dienstfähigkeit) gegenüber den Empfängern offengelegt wurden."
Die Veröffentlichung war auch nicht sachlich gerechtfertigt:
"Die Verarbeitung der Gesundheitsdaten war nicht nach Art. 9 Abs. 2 lit. h DSGVO ausnahmsweise zulässig.
Es fehlt an der darin vorausgesetzten Erforderlichkeit für die Wahrnehmung der Pflichten der Beklagten. Diese macht geltend, die Erwähnung des Zurruhesetzungsverfahrens sei erforderlich gewesen, um Bewerber sachgerecht darüber zu informieren, dass eine Einweisung in die Planstelle nicht sofort erfolgen könne und dass aufgrund des noch laufenden Verfahrens sogar mit einer Rückkehr des Klägers auf die Stelle gerechnet werden musste. Sie verweist insofern auf ihre beamtenrechtliche Fürsorgepflicht.
Damit kann sie jedoch nicht durchdringen. Die Offenlegung der in einem Zurruhesetzungsverfahren amtsärztlich festgestellten Dienstunfähigkeit des Amtsinhabers (Klägers) war für die Stellenausschreibung nicht erforderlich im Sinne des Art. 9 Abs. 2 lit. b DSGVO. Das Tatbestandsmerkmal der Erforderlichkeit nach Art. 9 Abs. 2 lit. b DSGVO verlangt eine Abwägung der Betroffenenrechte mit den rechtfertigenden Verarbeitungszwecken.
In dieser Abwägung überwiegen die Rechte des Klägers.
Die fehlende Erforderlichkeit folgt im Ausgangspunkt bereits daraus, dass es zur Information von Bewerbern genügt hätte, ohne Ausführungen zum Gesundheitszustand des Klägers zu erläutern, dass eine Einweisung in die Planstelle nicht unmittelbar erfolgen könne. Eine solche anlassbezogene Datenverarbeitung wäre – wie der Kläger auch selbst einräumt – wohl erforderlich und zulässig gewesen. Auch die zielgerichtete Information konkreter Bewerber wäre ausreichend gewesen. Das gilt umso mehr, weil es sich um ein rein internes Ausschreibungsverfahren handelte, bei dem eine große Zahl von Bewerbern nicht zu erwarten war. Hinzu kommt, dass das Zurruhesetzungsverfahren ohne erkennbare Notwendigkeit sogar an zwei Stellen in der Stellenausschreibung erwähnt wird und dass die Dienstunfähigkeit sich im Ergebnis nicht bestätigt hat."
2. Aber Schadensersatz nur iHv. 2.000,- EUR
Der Kläger habe aber nur einen Anspruch auf 2.000,- EUR Schadensersatz und nicht - wie begehrt - auf 20.000,- EUR:
"In der bisher zu Art. 82 DSGVO ergangenen Rechtsprechung werden für Datenschutzverstöße, die Gesundheitsdaten betreffen, in der Regel Entschädigungen zwischen 1.500 € und 2.000 € zugesprochen, weil es sich um besonders geschützte Daten handelt, die eine gewisse Schwere des Datenschutzverstoßes implizieren (vgl. m. Einzelnachweisen, Slizyk, beck-online.Schmerzensgeld, Stand 18. März 2024, Entscheidungen, Besondere Verletzungen und Verletzungsfolgen, Persönlichkeitsrechtsverletzung Datenschutz, Datenweiterleitung oder Datenverbreitung; z.B.: Versendung einer 100-seitigen Gesundheitsakte an Dritten: 2.000 €, OLG Düsseldorf, Urteil vom 28.10.2021 – I-16 U 275/20, Ls. 3, juris; Information über Arbeitsunfähigkeit: 1.500 €, LAG Rheinland-Pfalz Urteil vom 13.06.2019 - 5 Sa 438/18, juris; Weiterleitung von Gesundheitsdaten durch den Arbeitgeber entgegen Hinweises des Landesdatenschutzbeauftragten: 1.500 €, ArbG Dresden, Urteil vom 26.08.2020 – 13 Ca 1046/20, juris).
Höhere Summen wurden – soweit ersichtlich – nur in besonders schwerwiegenden Fällen zugesprochen, wie der ungerechtfertigten Weitergabe sensibler Daten aus Arbeitsverhältnissen trotz heftigsten Widerspruchs (OLG Hamm Urteil vom 31.08.2021 – 9 U 56/20, juris mit Vorinstanz LG Bochum, Urteil vom 22.01.2020 – 2 O 186/19, juris). In weniger schwerwiegenden Fällen sind dagegen Entschädigungen im dreistelligen Bereich zugesprochen worden, insbesondere wenn keine Gesundheitsdaten betroffen sind (s. z.B. OLG Hamm Urteil vom 20.01.2023 - 11 U 88/22, juris – irrtümlicher Versand einer excel-Tabelle).
Nach diesen Maßstäben ist der dem Kläger entstandene immaterielle Schaden vorliegend auf 2.500 € zu bemessen."
Und:
"Es liegt lediglich ein schädigendes Ereignis vor. Bei dem Versand der Stellenausschreibung handelt es sich um eine einzige Verarbeitungs- und damit Verletzungshandlung, auch wenn der Versand zeitgleich an mehrere Personen erfolgte. Für einen einheitlichen Verarbeitungsvorgang entsteht die Schadensersatzpflicht nur einmal (EuGH, Urteil vom 11.04.2024 – C-741/21, Rn. 63, juris). Weitere Verletzungsfolgen, etwa den Empfang unerwünschter E-Mails oder konkrete Herabwürdigungen aufgrund des publik gewordenen Gesundheitszustands hat der Kläger nicht geltend gemacht. Durch den Versand der Personalakten, der ohnehin keinen Verstoß gegen die DSGVO darstellt, ist dem Kläger kein Schaden entstanden, weil es durch das Berufsgeheimnis nach § 43a BRAO bereits an einem Kontrollverlust fehlt und die Verfahrensbevollmächtigten auch nach §§ 99, 100 VwGO Kenntnis von den Daten erhalten hätten.
Bei der Preisgabe geschützter Daten in der Stellenausschreibung handelt es sich nach Überzeugung der Kammer um keinen ganz geringfügigen Verstoß. Dem liegt die Überlegung zugrunde, dass Gesundheitsdaten des Klägers betroffen sind, die nach Art. 9 Abs. 1 DSGVO besonders geschützt sind. Für eine höhere Entschädigung mindestens im vierstelligen Bereich spricht zudem, dass das Ergebnis eines laufenden dienstrechtlichen Verfahrens vorweggenommen und der Kläger gegenüber immerhin 83 Empfänger der E-Mail vom 05.07.2018 als dienstunfähig abgestempelt wurde, ohne dass sich die Dienstunfähigkeit letztlich bestätigt hat.
Gegen einen besonders schwerwiegenden Verstoß spricht aber, dass die E-Mail lediglich intern an eine bestimmte Zahl von Empfängern versandt und – wie die Beklagte überzeugend vorgetragen hat – nicht extern weitergeleitet wurde. Alle Empfänger waren zudem als Amtsträger oder öffentlich Bedienstete zur Verschwiegenheit verpflichtet und über die Verpflichtungen nach der DSGVO belehrt worden."