OLG Köln: Schmerzensgeld für verspätete datenschutzrechtliche Auskunftserteilung
In einem kürzlich veröffentlichen Urteil hat das OLG Köln entschieden, dass Betroffenen ein Schadensersatzanspruch zustehen kann, sofern die beantragte, datenschutzrechtliche Auskunft verspätet erfolgt. Bisher hatten ausschließlich Untergerichte einen Schadensersatz nach Art. 82 DS-GVO zugelassen. Andere Oberlandesgerichte hatten sich lediglich hilfsweise zur schadensatzrechtlichen Fragestellungen geäußert, sodass dem aktuellen Urteil eine Signalwirkung zukommt.
Im Folgenden deshalb eine kurze Erläuterung der rechtlichen Hintergründe sowie eine erste Einschätzung des Urteils.
Was versteht man unter einem datenschutzrechtlichen Auskunftsanspruch?
Der Auskunftsanspruch nach Art. 15 DS-GVO steht jeder betroffenen Personzu. Werden deren personenbezogene Daten von Dritten gespeichert, verarbeitet oder weitergeleitet, hat die betroffene Person das Recht dies auf Verlangen mitgeteilt zu bekommen. Dabei muss in der Auskunft konkret nachgewiesen werden, welche Daten in der Vergangenheit und Gegenwart gespeichert wurden, wie diese verarbeitet werden und ob diese an weitere Verarbeiter übermittelt werden. Grundsätzlich ist damit jegliche Kommunikation (E-Mails, Aktenvermerke, Anrufe, Notizen etc.) die einen Rückschluss auf die Identität der betroffenen Person zulässt, erfasst. Die Auskunft muss dabei unverzüglich, spätestens aber innerhalb eines Monats ab Eingang des Verlangens, erfolgen.
Was bedeutet das für Unternehmen?
Der Auskunftsanspruch aus der DS-GVO wird in den letzten Jahren nicht nur gegen große Unternehmen geltend gemacht, sondern vermehrt auch als Druckmittel gegen kleinere, mittelständische Unternehmen verwendet. Aufgrund der kurz bemessenen Frist und des enormen Umfangs einzelner Anliegen, können sich diese lähmend auf den Geschäftsbetrieb auswirken.
Wie ist das aktuelle Urteil, insbesondere für Unternehmen, einzuordnen?
Das OLG Köln bestätigt in seinem Urteil nun, dass bei verspäteter, datenschutzrechtlicher Auskunft ein Schadensersatzanspruch nach Art. 82 DS-GVO gegeben sein kann.
Die Klägerin hatte im Verfahren vorgetragen aufgrund der verzögerten Auskunft erheblichem Stress ausgesetzt gewesen zu sein und deshalb einen immateriellen Schaden erlitten zu haben. Das Gericht folgte dieser Ansicht und sprach der Klägerin Schadensersatz in Höhe von 500 € zu.
Interessant ist diese Entscheidung vor allem deshalb, weil in der bisherigen Rechtsprechung sogenannte Bagatellverstöße abgelehnt wurden und Beeinträchtigungen von erheblichem Gewicht für eine Schadensersatzpflicht vorliegen mussten. Das Urteil des OLG Köln kann deshalb ein Wendepunkt in der Rechtsprechung darstellen, mit der Folge, dass nun auch kleinere DS-GVO Verstöße als Schaden bei der betroffenen Person anerkannt werden.
Für Unternehmen bedeutet dieses Urteil vor allem, dass bei einer verspäteten Bearbeitung von Auskunftsersuchen nicht nur ein Bußgeld der Datenschutzbehörde droht, sondern ebenfalls das Risiko besteht, vom Betroffenen auf Schadensersatz in Anspruch genommen zu werden.
Wie kann ein solches Bußgeld verhindert werden?
Grundsätzlich empfiehlt sich für jedes Unternehmen ein internes Datenschutzkonzept. Darin wird umfassend festgelegt wie mit den verarbeiteten Daten umzugehen ist. Dadurch wird es dem Unternehmen ermöglicht, fristgerecht auf Auskunftsersuchen zu antworten und Bußgelder sowie Schadensersatzansprüche zu vermeiden.
Sollten Sie zu der oben stehenden Thematik Fragen haben, so unterstützt Sie unser Experte Thomas Hertl und sein Team gerne.