Datenschutz: Sechs aktuelle Entscheidungen, die Unternehmen kennen sollten

Jüngst hat das Arbeitsgericht Oldenburg einem ehemaligen Arbeitnehmer einen Schmerzensgeldanspruch in Höhe von 10.000 Euro zugesprochen. Das Unternehmen war dem Auskunftsanspruch des Klägers nach Artikel 15 DSGVO nicht nachgekommen.
Wichtig: Ein solcher Schmerzensgeldanspruch besteht neben dem potentiellen Bußgeld. Ein solcher Datenschutzverstoß kann das Unternehmen also (doppelt) teuer zu stehen kommen (ArbG Oldenburg, Urteil vom 9.2.2023 – 3 Ca 150/21).

Der europäische Gerichtshof (EuGH) stellt allerdings klar, dass ein bloßer Verstoß gegen die DSGVO-Vorschriften nicht zwangsweise einen Schmerzensgeldanspruch rechtfertigt: Es muss zusätzlich ein durch den Verstoß verursachter materieller oder immaterieller Schaden vorliegen.

Dieser muss zwar nicht die Schwelle sogenannter Bagatellschäden überschreiten, es muss aber mehr als das „subjektive Unmutsgefühl“ beeinträchtigt sein. Der Schadensersatzanspruch hat auch eine Abschreckungsfunktion: die Wiederholung rechtswidriger Verhaltensweisen soll verhindert werden (EuGH, 04.05.2023 – C-300/21).

Der oben genannte Anspruch auf Auskunftserteilung (Artikel 15 DSGVO) besteht aber nur dann, wenn hiermit auch legitime Zwecke verfolgt werden, also keine rechtsmissbräuchlichen oder exzessiven Auskunftsersuche vorliegen. Letzteres wurde für ein Auskunftsersuchen entschieden, das als datenschutzrechtliches Ersuchen getarnt war, aber eigentlich den Zweck verfolgte, die von der privaten Krankenversicherung vorgenommenen Prämienerhöhungen auf Mängel hin zu überprüfen.

In einem weiteren Verfahren war die Überprüfung arzthaftungsrechtlicher Ansprüche überprüfen der Hintergrund eines Auskunftsantrags.

Das Auskunftsersuchen stellt gerade kein Allzweckwerkzeug für jedwede Auskünfte dar und kann nicht genutzt werden, um beispielsweise Informationen für zivilrechtliche Verfahren zu erlangen. Dies wäre missbräuchlich und berechtigt daher Unternehmen, die Auskunft zu verweigern, ohne Bußgelder und Schadensersatzansprüche zu riskieren (OLG Brandenburg (11. Zivilsenat), Urteil vom 14.04.2023 – 11 U 233/22 und BGH, Beschluss vom 29.3.2022 – VI ZR 1352/20).

Juristischen Personen bleibt die Geltendmachung von Ansprüchen auf Unterlassung oder Beseitigung gegenüber Dritten verwehrt, solange sie aus der DSGVO herrühren, so das OLG Dresden.

Die DSGVO dient dem Schutz personenbezogener Daten, also von Informationen, die sich auf eine identifizierte oder identifizierbare natürliche und betroffene Person beziehen. Damit schützt sie nur die personenbezogenen Daten der Beschäftigten der juristischen Person, nicht aber die juristische Person selbst. (OLG Dresden (4. Zivilsenat), Urteil vom 14.03.2023 – 4 U 1377/22).

Wer erreichen möchte, dass einzelne Ergebnisse der Google-Suche über seine Person gelöscht werden, muss „relevante und hinreichende Nachweise“ dafür vorlegen, dass die Suchergebnisse offensichtlich unrichtige Informationen enthalten, so der BGH.

Suchmaschinenbetreiber sind nicht dazu verpflichtet, bzgl. der Richtigkeit der Informationen selbst zu ermitteln und Links zu Artikeln mit potenziell falschen Angaben zu entfernen.

Im konkreten Fall ging es um Personen aus der Finanzdienstleistungsbranche, die sich durch mehrere kritische Artikel über ihr Anlagemodell verleumdet sahen. Diese Artikel waren von amerikanischen Internetseiten veröffentlicht worden. Google entfernte die Artikel nicht, mit der Begründung, man könne den Wahrheitsgehalt schlichtweg nicht beurteilen. Zu Recht, so urteilte der BGH, denn das Klägerpaar konnte die offensichtliche Unwahrheit nicht nachweisen.

Was allerdings nicht in der Trefferliste angezeigt werden darf, sind Fotos ohne jeglichen Kontext (sog. Thumbnails). Das gilt auch dann, wenn man mit einem Klick auf die Artikelseite gelangt. Hier überwiegt das Recht am eigenen Bild. (BGH, Urteil vom 23.05.2023 - VI ZR 476/18)

Personenbezogene Daten dürfen nicht länger gespeichert werden, als es für die Zwecke, für die sie verarbeitet wurden, erforderlich ist, urteilte VG Hannover.

Im vorliegenden Fall ging es um eine Selbstbedienungstankstelle, die Videoaufzeichnungen wurden zur Aufklärung von Straftaten vorgenommen und dementsprechend gespeichert. Das Gericht entschied, dass zu diesem Zweck eine Zeitspanne von 72 Stunden ausreiche – danach müssen die Aufzeichnungen gelöscht werden. (VG Hannover (10. Kammer), Urteil vom 13.03.2023 – 10 A 1443/19)