OLG Düsseldorf spricht 2.000 EUR Schmerzensgeld wegen eines Datenschutzverstoßes nach Art. 82 DSGVO zu!

Mit Urteil vom 28.10.2021 hat das Oberlandesgericht Düsseldorf (Az. 16 U 275/20) einer Klägerin wegen eines Datenschutzverstoßes Ihrer Krankenkasse immateriellen Schadensersatz (Schmerzensgeld) in Höhe von 2.000,00 EUR nach Art. 82 der Datenschutzgrundverordnung (DSGVO) zugesprochen.  

I. Was ist passiert? 

Im Wesentlichen meldete sich die Klägerin telefonisch bei Ihrer Krankenkasse (hier die Beklagte), um sich Ihre Gesundheitsakte (der letzten drei Jahre) zusenden zu lassen. „Der genaue Inhalt und Verlauf des Telefongesprächs ist zwischen den Parteien streitig geblieben. Im Ergebnis notierte sich der Zeuge für die Übersendung der Akte die E-Mail-Adresse der Klägerin. Dies geschah jedoch nicht in der von der Klägerin angegebenen zutreffenden Schreibweise "B1@fff.de", sondern in der hiervon abweichenden Schreibweise "B2@fff.de". An die letztgenannte E-Mail-Adresse übersandte der Zeuge den von der Klägerin angeforderten Akteninhalt, ohne die E-Mail oder den Dateianhang zu verschlüsseln oder zu pseudonymisieren.“

Das Oberlandesgericht stellte in dem Versand der E-Mail an das falsche Postfach einen Verstoß gegen Art. 6 Abs. 1 DSGVO fest, da die Klägerin in die Übersendung an die falsche Adresse nicht eingewilligt hat und auch kein weiterer Erlaubnistatbestand in Betracht kam.  

Weitere Datenschutzverstöße konnte das Oberlandesgericht nicht feststellen.  

Einen, wie vom Landgericht noch angenommenen, darüber hinaus gehenden weiteren Verstoß nach Art 32 DSGVO konnte das Oberlandesgericht Düsseldorf nicht feststellen. Die Vorschrift verpflichtet den Verantwortlichen, technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit zu implementieren. Die Klägerin hatte vorliegend jedoch „unmissverständlich zum Ausdruck gebracht, dass sie mit der Übersendung der Gesundheitsakte per E-Mail einverstanden ist“. Es lag somit eine Einwilligung der Klägerin in die grundsätzlich unsichere E-Mail-Übermittlung vor. 

„Der wirksamen Einwilligung der Klägerin steht ebenfalls nicht entgegen, dass sie diese nicht in informierter Weise erklärt hatte. Das Merkmal der Erklärung der Einwilligung in informierter Weise verlangt, dass die betroffene Person abschätzen können muss, welche Auswirkungen die Erteilung der Einwilligung für sie hat (Buchner/Kühling, in: dies., DS-GVO/BDSG, 3. Aufl., Art. 7 Rn. 59). Nach ihrer informatorischen Anhörung hat der Senat nicht die geringsten Zweifel, dass die Klägerin die Problematik und die Gefahren einer unverschlüsselten Versendung ihrer nicht pseudonymisierten Gesundheitsakte erkannt hat. Die Sensibilität der Klägerin für die Gefahren elektronischer Kommunikation wurde anhand ihrer Äußerungen im Rahmen ihrer informatorischen Anhörung sehr deutlich. Sie hat ihre Bedenken gegen die vom Zeugen A. vorgeschlagene Übermittlung, wie sie bekundet hat, schließlich aber zurückgestellt, weil ihr daran gelegen war, die Gesundheitsunterlagen bis Weihnachten zu erhalten.“

Hinsichtlich der Schadensersatzhöhe hielt das Oberlandesgericht einen Schadensersatzbetrag in Höhe von 2.000,00 EUR für angemessen. So waren „[d]ie betroffenen Gesundheitsdaten […] [zwar] auch besonders umfangreich. Sie betrafen - auf rund 100 Seiten - sämtliche bei der Beklagten erfassten ärztlichen und sonstigen medizinischen Behandlungen, Therapien und Medikationen der Klägerin aus dem Zeitraum vom 1. Januar 2015 bis zum 14. Dezember 2018 einschließlich der zugehörigen Diagnosen, Leistungszeiträume und Krankschreibungen. In dem Zeitraum hat die Klägerin, eine junge, noch nicht lange berufstätige Frau, wegen unterschiedlichster Beschwerden vielfach ärztliche Hilfe in Anspruch genommen. Dies gilt auch für den gynäkologischen Bereich. In der Gesundheitsakte waren gleich mehrere gynäkologische Befundangaben verzeichnet, die Rückschlüsse auf das Sexualleben und die sexuelle Orientierung der Klägerin zuließen, deren Name und Wohnanschrift in der Akte angegeben waren.“ 

Dennoch war zu berücksichtigen, „dass es [lediglich] bei einem zeitweisen Kontrollverlust über die Gesundheitsdaten verblieben ist. Zu einer Kenntnisnahme der Daten durch Dritte oder einer Weiterverbreitung oder gar Veröffentlichung ist es nicht gekommen. Die fehlgeleitete E-Mail und ihr Anhang sind bis zur Löschung des E-Mail-Postfachs am 14. August 2019 vom Postfachinhaber nicht mehr zur Kenntnis genommen worden. Die berechtigten Sorgen der Klägerin haben sich letztlich als unbegründet herausgestellt. Nachdem sie hiervon erfahren hatte, bestand auch kein Anlass, sich deswegen noch länger seelisch belastet zu fühlen. Eine etwaige Einsichtnahme in die Daten auf dem Übermittlungsweg, für die im Übrigen nichts spricht, hat aus dem bereits dargelegten Grund unberücksichtigt zu bleiben.“

II. Sind Sie auch von einem Datenschutzverstoß betroffen? 

Falls Sie ebenso von einem Datenschutzverstoß betroffen sind, sollten Sie einen Anspruch auf Schadensersatz prüfen lassen. 

Zahlreiche Gerichte haben bei Schadenersatzansprüchen dieser Art bereits Beträge in vierstelliger Höhe ausgeurteilt. Berücksichtigen Sie, dass die konkrete Höhe des Anspruchs jedoch vom Einzelfall, insbesondere von der Art und dem Umfang des Verstoßes abhängt. 

Die Rechtsanwaltskanzlei Lams & Vesper hat einen besonderen Schwerpunkt in der Geltendmachung und Abwehr von Schadensersatzansprüchen nach Art. 82 DSGVO. Ob außergerichtlich oder vor Gericht – wir vertreten Ihre Interessen nachdrücklich und konsequent.

In Düsseldorf und bundesweit.

Lams & Vesper Partnerschaft von Rechtsanwälten mbB