Schadensersatz bei Verstößen gegen die DSGVO

Die DSGVO regelt die Erhebung, Verarbeitung und Speicherung von personenbezogenen Daten. Die Daten dürfen nach dem Grundsatz der Zweckbindung nur für festgelegte, eindeutige und zudem legitime Zwecke erhoben werden (Art. 5 Abs. lit. b DSGVO).

Was bei der DSGVO beachtet werden muss und welche Ansprüche auf Schadensersatz bei Verstößen gegen die DSGVO bestehen, beleuchten wir näher!

Zweckbindung in der DSGVO & Recht auf Vergessenwerden

Der Zweck der Erhebung muss bereits vor der Erhebung und Verarbeitung festgelegt werden. Zudem muss der Zweck eindeutig und zudem ein gesetzlicher Erlaubnistatbestand gegeben sein (Art. 6 DSGVO). Auch bei einer Zweckänderung bedarf es einen neuen Erlaubnistatbestandes und ebenfalls bei der Weitergabe.

Die Betroffenen müssen nach Art. 13 Abs. 3 DSGVO oder aber Art. 14 Abs. 4 DSGVO informiert werden.

Neben der Zweckbindung gibt es auch das Recht auf Vergessenwerden. Personenbezogene Daten müssen also gelöscht werden, wenn sie „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig“ sind (Art. 17 Abs. 1 lit. a DSGVO).  Besteht also kein berechtigtes Interesse mehr an den Daten, so sind diese zu löschen.

Daten im Bewerbungsprozess

Auch im Bewerbungsprozess kommt es zur Übermittlung von personenbezogenen Daten des Erwerbers an das Unternehmen.

Datenverarbeitung im Bewerbungsprozess

Nach Art. 88 Abs. 1 DSGVO iVm § 26 BDSG dürfen personenbezogene Daten des Beschäftigten „für Zwecke des Beschäftigungsverhältnisses“ verarbeitet werden, wenn dies für „die Entscheidung über die Begründung eines Beschäftigungsverhältnisses (…) erforderlich“ sind.  Zudem erteilt der Bewerber mit der Zusendung der Bewerbungsdaten, seine Einwilligung, dass die Daten zum vorgegebenen Zweck verarbeitet werden dürfen, Art. 6 Abs. 1 lit. a DSGVO.

Bei einer darüber hinausgehenden Verarbeitung der personenbezogenen Daten über konkrete Bewerbung hinaus, ohne eine diesbezügliche Einwilligung und ohne den Zweck der Entscheidung über die Einstellung des Bewerbers zu dienen, muss der neue Verarbeitungszweck mit dem alten kompatibel sein. Da hier aber noch vieles ungeklärt ist, sollte lieber eine Einwilligung eingeholt werden.

Eine Verwendung der Daten für eine weitere, andere offene Stelle ist abhängig von der Formulierung in der Bewerbung und der Reichweite der Einwilligung. Nur die Einwilligung kann den Zweck der erlaubten Datenverarbeitung auf weitere Bewerbungsverfahren ausweiten. Eine Weitergabe an Drittunternehmen ist ebenfalls nur nach ausdrücklicher Einwilligung erlaubt.

Recht auf Vergessenwerden nach dem Bewerbungsprozess

Das Recht auf Vergessenwerden besteht, wenn kein berechtigtes Interesse mehr an den Daten besteht. 

Da es nach dem Bewerbungsverfahren bei Nichteinstellung des Bewerbers auch noch Klagen wegen z.B. eines Verstoßes gegen das Benachteiligungsverbot geben kann (§ 15 Abs. 1, 2 AGG), besteht ein berechtigtes Interesse noch so lange, wie mit rechtlichen Streitigkeiten zu rechnen ist. So sind im AGG Ansprüche innerhalb von zwei Monaten geltend zu machen (§ 15 Abs. 4 AGG) und innerhalb von drei weiteren Monaten müssen sie eingeklagt werden (§ 61b ArbGG). Auf diese fünf Monate wird noch ein Sicherheitszuschlag von einem Monat hinzugerechnet, also sechs Monate.

Bei einer Einstellung des Bewerbers müssen nicht für die Berufsausübung erforderliche Daten gelöscht werden.

Datenschutz bei Gewinnspielen

Durch einen Gewinnspielvertrag liegen die Voraussetzungen für eine Datenverarbeitung vor, Art. 6 Abs. 1 lit. b DSGVO. Einer weiteren Einwilligung bzgl. der Datenverarbeitung bedarf es dann nicht mehr.

Aufgrund der Zweckbindung dürfen Daten hier nur zur Durchführung des Gewinnspiels verwendet werden. Die Daten dürfen daher nicht ohne weiteres ohne eine weitere Einwilligung z.B. zur Versendung von Newslettern verwendet werden. Auch sollte zur Veröffentlichung des Gewinners eine weitere Einwilligung von diesem eingeholt werden. 

Art. 5 Abs. 1 lit. c DSGVO ordnet eine Datenminierung an. Personenbezogene Daten dürfen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Es dürfen also nur erforderliche Daten erhoben werden.

Verstöße gegen die DSGVO - Schadensersatz bejahende Gerichte

Zunächst nahm das ArbG Düsseldorf (Urteil vom 05.03.2020, Az. 9 Ca 6557/18) bei einem Verstoß gegen die Auskunftspflicht einen Anspruch auf Schadensersatz i.H.v. 5.000€ an. Auch das LAG Hamm (Urteil vom 11.5.2021, Az. 6 Sa 1260/20) bejahte einen Anspruch auf Schadensersatz i.H.v.  1.000€ bei einem Verstoß gegen Art. 15 DSGVO.

Nach dem AG Pfaffenhofen (Urteil vom 09.09.2021, Az. 2 C 133/21) bestand ein Anspruch auf Schadensersatz nach Art. 82 DSGVO i.H.v. 300€. Grund war eine verspätete bzw. unvollständige Auskunft nach Art. 15 DSGVO. Es komme auf eine Erheblichkeitsschwelle nicht an. Die DSGVO müsse effektiv wirken und damit müssen Verstöße auch sanktioniert werden.

Auch nach dem LAG Berlin-Brandenburg (Urteil vom 18.11.2021, Az. 10 Sa 443/21) bestehe ein Anspruch i.H.v. 2.000€ nach Art. 82 DSGVO. Das Gericht sah pro unvollständig beantwortetem Auskunftsverlangen 1.000€ als angemessen an. Das LAG Niedersachsen (Urteil vom 22.10.2021, Az. 16 Sa 761/20) sah 1.250€ Schadensersatz wegen nicht ausreichender Auskunft in zeitlicher und inhaltlicher Hinsicht als angemessen an.

Im Folgenden werden weitere Urteile angeführt, die den Schadensersatz bejahten:

• OLG Dresden, Urteil vom 30.11.2021, Az. 4 U 1158/21: 5.000€
• LG Mainz, Urteil vom 12.11.2021, Az. 3 O 12/20: 5.000€
• ArbG Münster, Urteil vom 25.03.2021, Az. 3 Ca 391/20: 5.000€
• AG Pforzheim, Urteil vom 25.03.2020, Az. 13 C 160/19: 4.000€
• LG Lüneburg, Urteil vom 14.07.2020, Az. 9 O 145/19: 1.000€
• LG Wuppertal, Urteil vom 29.03.2019, Az. 18 O 178/18: 923,38€

Verstöße gegen die DSGVO - Schadensersatz verneinende Urteile

Einen Anspruch auf Schadensersatz verneinten u.a. das LG Köln (Urteil vom 16.02.2022, Az. 28 O 303/20), das ArbG Herne (Urteil vom 04.09.2020, Az. 5 Ca 178/20), das OLG Stuttgart (Urteil vom 31.03.2021, Az. 9 U 34/21) und auch das LG Bonn (Urteil vom 01.072021, Az. 15 O 355/20).

Verstöße gegen die DSGVO - Urteile aus Europa

Das LGZ Wien (Urteil vom 30.6.2020, Az. 3 Cg 52/14k-91) nahm einen Anspruch auf Schadensersatz i.H.v. 500€ an aufgrund einer Verletzung gegen die Auskunftspflicht. Das OLG Wien (Urteil vom 07.12.2020, Az. 11 R 153/20f) nahm ebenfalls 500€ an. 2.500€ wurden von der Rechtbank Rotterdam am 12.07.2021 (Az. ROT 20/2386) angenommen. Die Rechtbank Amsterdam (Urteil vom 11.03.2021, Az. C/13/692003) verneinte einen Schadensersatzanspruch aufgrund eines mangelnden konkreten Schadens.

Auch in diesem Beitrag sind wir auf die DSGVO & Online-Gewinnspiele bereits eingegangen.

Rechtsanwälte 

Dr. Krieg & Kollegen Köln

Die Kanzlei Dr. Krieg & Kollegen aus Köln berät und vertritt bundesweit in rechtlichen Fragen.

Haben Sie noch weitere Fragen im Bereich der Zweckbindung in der DSGVO? Vereinbaren Sie jetzt einen Termin, rufen Sie während unserer Geschäftszeiten an oder senden Sie uns eine E-Mail mit Ihrem Anliegen. 

Außerhalb unserer Geschäftszeiten sind wir über unsere Homepage, Facebook, Instagram, Twitter und XING zu erreichen. Besuchen Sie uns und überzeugen Sie sich von unserer Expertise.