Schadensersatzanspruch bei DSGVO-Verstößen
Die DSGVO regelt die Erhebung, Verarbeitung und Speicherung von personenbezogenen Daten. Die Daten dürfen nach dem Grundsatz der Zweckbindung nur für festgelegte, eindeutige und zudem legitime Zwecke erhoben werden (Art. 5 Abs. lit. b DSGVO). Was bei der DSGVO beachtet werden muss und ob ein Schadensersatzanspruch bei DSGVO-Verstößen besteht, finden Sie hier!
Zweckbindung
Der Zweck der Erhebung muss bereits vor der Erhebung und Verarbeitung festgelegt werden. Zudem muss der Zweck eindeutig und zudem ein gesetzlicher Erlaubnistatbestand gegeben sein (Art. 6 DSGVO). Auch bei einer Zweckänderung bedarf es einen neuen Erlaubnistatbestandes und ebenfalls bei der Weitergabe.
Die Betroffenen müssen nach Art. 13 Abs. 3 DSGVO oder aber Art. 14 Abs. 4 DSGVO informiert werden.
Neben der Zweckbindung gibt es auch das Recht auf Vergessenwerden. Personenbezogene Daten müssen also gelöscht werden, wenn sie „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig“ sind (Art. 17 Abs. 1 lit. a DSGVO). Besteht also kein berechtigtes Interesse mehr an den Daten, so sind diese zu löschen.
Bewerbungsprozess
Auch im Bewerbungsprozess kommt es zur Übermittlung von personenbezogenen Daten des Erwerbers an das Unternehmen
Nach Art. 88 Abs. 1 DSGVO iVm § 26 BDSG dürfen personenbezogene Daten des Beschäftigten „für Zwecke des Beschäftigungsverhältnisses“ verarbeitet werden, wenn dies für „die Entscheidung über die Begründung eines Beschäftigungsverhältnisses (…) erforderlich“ sind. Zudem erteilt der Bewerber mit der Zusendung der Bewerbungsdaten, seine Einwilligung, dass die Daten zum vorgegebenen Zweck verarbeitet werden dürfen, Art. 6 Abs. 1 lit. a DSGVO.
Bei einer darüberhinausgehenden Verarbeitung der personenbezogenen Daten über konkrete Bewerbung hinaus, ohne eine diesbezügliche Einwilligung und ohne den Zweck der Entscheidung über die Einstellung des Bewerbers zu dienen, muss der neue Verarbeitungszweck mit dem alten kompatibel sein. Da hier aber noch vieles ungeklärt ist, sollte lieber eine Einwilligung eingeholt werden.
Eine Verwendung der Daten für eine weitere andere offene Stelle ist abhängig von der Formulierung in der Bewerbung und der Reichweite der Einwilligung. Nur die Einwilligung kann den Zweck der erlaubten Datenverarbeitung auf weitere Bewerbungsverfahren ausweiten. Eine Weitergabe an Drittunternehmen ist ebenfalls nur nach ausdrücklicher Einwilligung erlaubt.
Recht auf Vergessenwerden im Bewerbungsprozess
Das Recht auf Vergessenwerden besteht, wenn kein berechtigtes Interesse mehr an den Daten besteht. Da es nach dem Bewerbungsverfahren bei Nichteinstellung des Bewerbers auch noch Klagen wegen z.B. eines Verstoßes gegen das Benachteiligungsverbot geben kann (§ 15 Abs. 1, 2 AGG), besteht ein berechtigtes Interesse noch so lange, wie mit rechtlichen Streitigkeiten zu rechnen ist. So sind im AGG Ansprüche innerhalb von zwei Monaten geltend zu machen (§ 15 Abs. 4 AGG) und innerhalb von drei weiteren Monaten müssen sie eingeklagt werden (§ 61b ArbGG). Auf diese fünf Monate wird noch ein Sicherheitszuschlag von einem Monat hinzugerechnet, also sechs Monate. Bei einer Einstellung des Bewerbers müssen nicht für die Berufsausübung erforderliche Daten gelöschtwerden.
Gewinnspiele
Durch einen Gewinnspielvertrag liegen die Voraussetzungen für eine Datenverarbeitung vor, Art. 6 Abs. 1 lit. b DSGVO. Einer weiteren Einwilligung bzgl. der Datenverarbeitung bedarf es dann nicht mehr. Aufgrund der Zweckbindung dürfen Daten hier nur zur Durchführung des Gewinnspiels verwendet werden. Die Daten dürfen daher nicht ohne weiteres ohne eine weitere Einwilligung z.B. zur Versendung von Newslettern verwendet werden. Auch sollte zur Veröffentlichung des Gewinners eine weitere Einwilligung von diesem eingeholt werden.
Art. 5 Abs. 1 lit. c DSGVO ordnet eine Datenminierung an. Personenbezogene Daten dürfen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Es dürfen also nur erforderliche Daten erhoben werden.
Schadensersatzanspruch bei DSGVO-Verstößen
Besteht ein Schadensersatzanspruch bei DSGVO-Verstößen?
Zunächst nahm das ArbG Düsseldorf (Urteil vom 05.03.2020, Az. 9 Ca 6557/18) bei einem Verstoß gegen die Auskunftspflicht einen Anspruch auf Schadensersatz i.H.v. 5.000€ an. Auch das LAG Hamm (Urteil vom 11.5.2021, Az. 6 Sa 1260/20) bejahte einen Anspruch auf Schadensersatz i.H.v. 1.000€ bei einem Verstoß gegen Art. 15 DSGVO.
Nach dem AG Pfaffenhofen (Urteil vom 09.09.2021, Az. 2 C 133/21) bestand ein Anspruch auf Schadensersatz nach Art. 82 DSGVO i.H.v. 300€. Grund war eine verspätete bzw. unvollständige Auskunft nach Art. 15 DSGVO. Es komme auf eine Erheblichkeitsschwelle nicht an. Die DSGVO müsse effektiv wirken und damit müssen Verstöße auch sanktioniert werden.
Auch nach dem LAG Berlin-Brandenburg (Urteil vom 18.11.2021, Az. 10 Sa 443/21) bestehe ein Anspruch i.H.v. 2.000€ nach Art. 82 DSGVO. Das Gericht sah pro unvollständig beantwortetem Auskunftsverlangen 1.000€ als angemessen an. Das LAG Niedersachsen (Urteil vom 22.10.2021, Az. 16 Sa 761/20) sah 1.250€ Schadensersatz wegen nicht ausreichender Auskunft in zeitlicher und inhaltlicher Hinsicht als angemessen an.
Im Folgenden werden weitere Urteile angeführt, die den Schadensersatz bejahten:
OLG Dresden, Urteil vom 30.11.2021, Az. 4 U 1158/21: 5.000€
LG Mainz, Urteil vom 12.11.2021, Az. 3 O 12/20: 5.000€
ArbG Münster, Urteil vom 25.03.2021, Az. 3 Ca 391/20: 5.000€
AG Pforzheim, Urteil vom 25.03.2020, Az. 13 C 160/19: 4.000€
LG Lüneburg, Urteil vom 14.07.2020, Az. 9 O 145/19: 1.000€
LG Wuppertal, Urteil vom 29.03.2019, Az. 18 O 178/18: 923,38€
Einen Anspruch auf Schadensersatz verneinten u.a. das LG Köln (Urteil vom 16.02.2022, Az. 28 O 303/20), das ArbG Herne (Urteil vom 04.09.2020, Az. 5 Ca 178/20), das OLG Stuttgart (Urteil vom 31.03.2021, Az. 9 U 34/21) und auch das LG Bonn (Urteil vom 01.072021, Az. 15 O 355/20).
Urteile aus dem Ausland
Das LGZ Wien (Urteil vom 30.6.2020, Az. 3 Cg 52/14k-91) nahm einen Anspruch auf Schadensersatz i.H.v. 500€ an aufgrund einer Verletzung gegen die Auskunftspflicht. Das OLG Wien (Urteil vom 07.12.2020, Az. 11 R 153/20f) nahm ebenfalls 500€ an. 2.500€ wurden von der Rechtbank Rotterdam am 12.07.2021 (Az. ROT 20/2386) angenommen. Die Rechtbank Amsterdam (Urteil vom 11.03.2021, Az. C/13/692003) verneinte einen Schadensersatzanspruch aufgrund eines mangelnden konkreten Schadens.
Rechtsanwälte Dr. Krieg & Kollegen Köln
Die Kanzlei Dr. Krieg & Kollegen aus Köln berät und vertritt bundesweit in rechtlichen Fragen.
Haben Sie noch weitere Fragen im Bereich der Zweckbindung in der DSGVO und zum Schadensersatzanspruch bei DSGVO-Verstößen? Kontaktieren Sie uns hier!
Beiträge die Sie interessieren könnten
- DSGVO - Schweigerecht bei Anfragen des… Allgemein
- Kündigung des Gaslieferungsvertrags -… Allgemein
- Online-Gewinnspiele - Teilnahmebedingungen & DSGVO Allgemein
- Tools & Dienste - Einhaltung der Anforderungen der DSGVO! Webdesign
- Corona - Kein Schutz durch Versicherung bei… Allgemein
- Corona Hilfe II - Jetzt auch bei uns! Allgemein
- Duldungspflicht des Nachbarn bei Lichtimmissionen? Allgemein
- Falschangaben bei Beantragung der Coronahilfen Rechtsprechung
- Rechtslage zu Negativzinsen bei Sparda-Bank Berlin &… Rechtsprechung
- Neues für Vermieter bei der Erhöhung der Miete Mietrecht