Eine Krankenkasse muss nach einem Urteil des Oberlandesgericht Düsseldorf für einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO) 2000 Euro Schadensersatz bezahlen. Die Klägerin hatte die GKV um die Zusendung Teile ihrer Gesundheitsakte gebeten. Die Kasse kam der Bitte nach und schickte die Daten versehentlich an eine falsche Email-Adresse. Das Gericht sah darin mit Urteil vom 28. Oktober 2021 einen Verstoß gegen Artikel 6 DSGVO (Az.: 16 U 275/20). Deutsche Gerichte sprechen Klägern mittlerweile hohe Schadensersatzansprüche aus DSGVO zu. Verbraucher sollten sich ihrer Rechte beim Thema Datenschutz bewusst sein. Die Verbraucherkanzlei Stoll & Sauer bietet von Verstößen betroffenen Verbrauchern im Online-Check eine kostenlose Erstberatung an. Dr. Stoll & Sauer gehört zu den führenden Kanzleien im Verbraucherschutz. Mehr Infos zum Thema Datenleck und Datenschutz gibt es auf unserer Website.
Datenschutz-Verstoß: Email an falsche Adresse kostet 2000 Euro
Beim Datenschutz ist Sorgfalt wichtig, wie der vorliegende Fall deutlich zeigt. Eine Mail an die falsche Adresse geschickt und schon liegt ein Verstoß gegen die DSGVO vor. Die Kanzlei Dr. Stoll & Sauer fasst die Eckdaten des Verfahrens vor dem Oberlandesgericht Düsseldorf zusammen:
Datenschutz-Verstoß: Email an falsche Adresse kostet 2000 Euro
Beim Datenschutz ist Sorgfalt wichtig, wie der vorliegende Fall deutlich zeigt. Eine Mail an die falsche Adresse geschickt und schon liegt ein Verstoß gegen die DSGVO vor. Die Kanzlei Dr. Stoll & Sauer fasst die Eckdaten des Verfahrens vor dem Oberlandesgericht Düsseldorf zusammen:
- Für ein Beratungsgespräch über den Abschluss einer privaten Krankentagegeldversicherung forderte die Klägerin von ihrer Krankenversicherung den Auszug ihrer Gesundheitsakte. Sie willigte ein, dass die Versicherung den Datensatz per Email versenden darf. Beim Austausch der Email-Adresse war es dann zu einem Missverständnis gekommen. Die Kassenmitarbeiterin schickte die Gesundheitsakte unverschlüsselt an eine falsche Email-Adresse. Die Versicherte forderte daraufhin Schmerzensgeld von ihrer Krankenkasse. Die sah jedoch keinen Verstoß gegen die DSGVO. Schließlich habe sie in den unverschlüsselten Versand der Akte eingewilligt.
- Das Oberlandesgericht Düsseldorf folgte der Argumentation der Versicherung nicht. Die ungewollte Preisgabe von persönlichen Daten ist dem Recht auf informationelle Selbstbestimmung als Teil des Persönlichkeitsrechts zuzuordnen. Der Versand der Akte an eine falsche Email-Adresse ist ein Verstoß gegen die DSGVO und es sei ein immaterieller Schaden von 2000 Euro entstanden. Die Klägerin habe nicht die Einwilligung gegeben, ihre Daten an jemanden Fremdes weiterzuleiten.
- Der unverschlüsselte Versand der Akte sei jedoch kein Verstoß gegen die DSGVO. Die Klägerin habe unmissverständlich zum Ausdruck gebracht, dass sie mit der Übersendung der Akte per Email einverstanden gewesen sei. Über eine Verschlüsselung sei nicht gesprochen worden.
- Der immaterielle Schaden der Klägerin liegt in der seelisch belastenden Ungewissheit, der mit dem Verlust der Kontrolle über ihre Gesundheitsdaten einhergeht. Ein Schaden muss zwar tatsächlich und sicher sein. Allerdings kann auch ein langanhaltender Zustand belastender Ungewissheit einen immateriellen Schaden begründen, so das Gericht in seiner Urteilsbegründung.
- Der Begriff des Schadens ist nach Ansicht des Gerichts weit auszulegen. Die Höhe des Schadensersatzes muss den Zielen der Verordnung in vollem Umfang entsprechen. Die von einem Datenschutzverstoß betroffenen Personen sollen einen vollständigen und wirksamen Schadensersatz für erlittene Schäden erhalten. Das Gericht geht bei der Bemessung der immateriellen Schadensersatzansprüchen auch von einer Genugtuungsfunktion aus. Von Bedeutung sind hierbei insbesondere die Art, Schwere und Dauer des Datenschutzverstoßes, das Verhalten des Verantwortlichen sowie die Auswirkungen des Verstoßes für den Betroffenen.
- Das Gericht billigte der Klägerin 2000 Euro zu. Zu berücksichtigen sei, dass der Kontrollverlust der Klägerin über ihre Daten zeitlich begrenzt war. Daher reduzierte der Senat den in den Vorinstanzen zugesprochenen Schadensersatz von 4000 auf 2000 Euro.
