Ein Angestellter in Suhl fordert Schadensersatz bei einer unverschlüsselten E-Mail, da sein Arbeitgeber vertrauliche Lohnabrechnungen offen als PDF-Anhang versendete. Ob der bloße Kontrollverlust über diese sensiblen Daten bereits für eine Geldentschädigung genügt, hängt an einer überraschenden Hürde in der aktuellen Rechtsprechung.
Übersicht:
- Das Wichtigste im Überblick
- Wer haftet auf Schadensersatz bei einer unverschlüsselten E-Mail?
- Welche rechtlichen Hürden bestehen für den Schadensersatz?
- Der Streit um den Kontrollverlust
- Warum das Gericht die Klage abwies
- Welche Konsequenzen hat das Urteil?
- Experten-Kommentar
- Häufig gestellte Fragen (FAQ)
- Bekomme ich Schadensersatz, wenn die unverschlüsselte E-Mail nachweislich an einen falschen Empfänger ging?
- Verliere ich meinen Schadensersatzanspruch, wenn ich keine psychischen Folgen des Datenverlusts nachweisen kann?
- Wie beweise ich einen immateriellen Schaden konkret, damit das Gericht mir Schmerzensgeld zuspricht?
- Welche Kosten kommen auf mich zu, wenn meine Klage wegen mangelnder Schadensdarlegung abgewiesen wird?
- Darf mein Arbeitgeber den unverschlüsselten Versand mit fehlenden technischen Möglichkeiten im Unternehmen rechtfertigen?
- Das vorliegende Urteil
Zum vorliegenden Urteilstext springen: 6 Ca 704/23
Das Wichtigste im Überblick
- Der Versand einer Lohnabrechnung als unverschlüsselter PDF-Anhang stellt einen offiziell festgestellten Verstoß gegen Art. 5 DSGVO dar.
- Ein bloßer Verstoß gegen die Datenschutzverordnung begründet laut EuGH keinen automatischen Entschädigungsanspruch oder Strafschadensersatz.
- Kläger forderte 10.000 € Entschädigung, scheiterte jedoch vor dem Arbeitsgericht Suhl an der fehlenden Substantiierung eines tatsächlichen Schadens.
- Ein abstrakter Kontrollverlust oder ein bloßes Unsicherheitsgefühl über den Verbleib der Daten reicht für eine Geldentschädigung nicht aus.
- Für einen erfolgreichen Schadensersatzanspruch müssen drei kumulative Voraussetzungen vorliegen: Verstoß, konkreter Schaden und ein Kausalzusammenhang.
- Bei einer Klageabweisung trägt der Kläger die Prozesskosten, die sich hier nach dem Streitwert von 10.000 € bemessen.
Wer haftet auf Schadensersatz bei einer unverschlüsselten E-Mail?
Der Fall zeigt exemplarisch, wie hoch die Hürden für einen Anspruch auf einen immateriellen Schadensersatz im deutschen Arbeitsrecht liegen. Es reicht nicht aus, dass das Unternehmen einen Fehler macht. Der Betroffene muss beweisen, dass er dadurch tatsächlich gelitten hat.
Ein Arbeitnehmer war von Oktober 2020 bis Januar 2022 bei einem Unternehmen beschäftigt. Kurz vor Weihnachten 2021 verlangte der Mann Auskunft über alle personenbezogenen Daten, die der Arbeitgeber über ihn gespeichert hatte. Die Personalabteilung reagierte prompt, aber technisch unsauber: Am 23. Dezember 2021 sandte sie dem Mitarbeiter eine E-Mail. Im Anhang befand sich eine PDF-Datei mit den sensiblen Informationen. Das Problem: Die E-Mail war unverschlüsselt.
Zusätzlich leitete das Unternehmen Daten des Mannes an den Betriebsrat weiter. Der ehemalige Mitarbeiter sah hierin massive Datenschutzverletzungen. Er beschwerte sich beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI). Die Behörde prüfte den Vorfall und stellte in einem Bescheid fest, dass der Versand von einer unverschlüsselten E-Mail tatsächlich gegen Art. 5 Abs. 1 Buchst. f) DSGVO verstoßen hatte. Mit diesem behördlichen Rückenwind zog der Mann vor das Arbeitsgericht Suhl. Seine Forderung: Mindestens 10.000 Euro Entschädigung.
Welche rechtlichen Hürden bestehen für den Schadensersatz?
Die zentrale Norm für solche Streitigkeiten ist Artikel 82 der Datenschutz-Grundverordnung (DSGVO). Dieser Artikel besagt, dass jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen hat.
Der Teufel steckt jedoch im Detail. Juristen streiten seit Jahren darüber, ob allein der Ärger über den Datenverlust schon einen „immateriellen Schaden“ darstellt. Ein immaterieller Schaden ist kein finanzieller Verlust, sondern eher das, was man im deutschen Recht klassisch als Schmerzensgeld bezeichnet: Kränkung, Angst, Stress oder Bloßstellung.
Nach § 249 BGB (Bürgerliches Gesetzbuch) ist der Grundsatz im deutschen Schadensersatzrecht die sogenannte Naturalrestitution – also die Pflicht zur Wiederherstellung des ursprünglichen Zustands. Da man eine versendete E-Mail nicht „ungeschehen“ machen kann, bleibt oft nur die finanzielle Kompensation.
Was bedeutet Integrität und Vertraulichkeit?
Ein Kernprinzip des Datenschutzes ist die Sicherheit der Verarbeitung. Nach Art. 5 DSGVO müssen Daten so verarbeitet werden, dass ihre Sicherheit gewährleistet ist. Dazu gehört der Schutz vor unbefugter oder unrechtmäßiger Verarbeitung. Eine unverschlüsselte E-Mail ist wie eine Postkarte: Jeder, der den Datenverkehr abfängt, könnte theoretisch mitlesen.
Für den Kläger schien die Sache klar: Der Verstoß gegen die Integrität stand durch den Behördenbescheid fest. Daraus müsse, so seine Logik, direkt eine Entschädigung folgen.
Der Streit um den Kontrollverlust
Vor dem Arbeitsgericht Suhl prallten zwei Sichtweisen aufeinander. Der ehemalige Angestellte argumentierte, er habe durch die unverschlüsselte Übermittlung einen Kontrollverlust über die personenbezogenen Daten erlitten. Er wisse nicht, wer die E-Mail auf dem Weg durch das Internet abgefangen haben könnte. Dieses Gefühl der Unsicherheit und der Verlust der Hoheit über seine eigenen Informationen rechtfertige die hohe Summe von 10.000 Euro. Er vertrat die Auffassung, dass der Datenschutzverstoß an sich bereits den Anspruch begründe – eine sogenannte „Strafschadensersatz“-Logik, die eher aus dem US-amerikanischen Recht bekannt ist.
Zudem kritisierte der Mann, dass seine Daten ohne seine Einwilligung an den Betriebsrat weitergegeben wurden. Auch dies sei rechtswidrig gewesen.
Die Verteidigung des Arbeitgebers
Das beklagte Unternehmen sah das naturgemäß anders. Zwar räumte der Arbeitgeber ein, dass der unverschlüsselte Versand ein Fehler war – das hatte die Datenschutzbehörde schließlich bindend festgestellt. Aber: Es sei kein Schaden entstanden. Niemand habe die E-Mail tatsächlich abgefangen, und der Ex-Mitarbeiter habe keine konkreten Nachteile erlitten.
Bezüglich der Weiterleitung an den Betriebsrat argumentierte die Firma mit dem Betriebsverfassungsgesetz. Der Arbeitgeber sei verpflichtet, den Betriebsrat über personelle Angelegenheiten zu informieren. Daher sei diese Datenweitergabe rechtlich geboten und nicht zu beanstanden gewesen. Die Forderung von 10.000 Euro hielt das Unternehmen für völlig überzogen und forderte die Abweisung der Klage.
Warum das Gericht die Klage abwies
Das Arbeitsgericht Suhl entschied am 20. Dezember 2023 zugunsten des Arbeitgebers. Trotz des nachgewiesenen Fehlers sprach das Gericht dem Mann keinen Cent zu. Die Begründung der Kammer ist eine detaillierte Lektion im aktuellen Datenschutzrecht und stützt sich maßgeblich auf die Rechtsprechung des EuGH zum Schadensersatz.
Der Verstoß allein genügt nicht
Das Gericht bestätigte zunächst den objektiven Verstoß.
Dass die Beklagte gegen die Bestimmungen der DSGVO verstoßen hat, indem sie dem Kläger die begehrte Datenauskunft als pdf-Anhang mit einer unverschlüsselten E-Mail übersandte, steht zur Überzeugung der Kammer fest.
Damit war die erste Hürde für einen Anspruch genommen: Es gab eine Verarbeitung in Verletzung der DSGVO. Doch das Gericht stoppte hier nicht. Es verwies auf das wegweisende Urteil des Europäischen Gerichtshofs (EuGH) vom 4. Mai 2023 (Az. C-300/21).
In diesem Urteil hatte der EuGH klargestellt, dass ein bloßer Verstoß gegen die DSGVO nicht automatisch einen Schadensersatzanspruch auslöst. Es gibt keinen „Strafschadensersatz“ im europäischen Datenschutzrecht. Der Zweck der Norm ist der Ausgleich eines Schadens, nicht die Bestrafung des Täters. Dafür sind die Bußgelder der Behörden da.
Die fehlende Konkretisierung des Schadens
Das Kernproblem für den ehemaligen Mitarbeiter war der Nachweis von einem konkreten Schaden. Der Mann hatte zwar behauptet, er habe die Kontrolle verloren. Das Gericht fragte jedoch: Was bedeutet das konkret?
Die Richter vermissten eine detaillierte Darlegung, wie sich dieser Kontrollverlust im Leben des Mannes bemerkbar gemacht hat.
Der Kläger hat keinen konkreten immateriellen Schaden hinreichend dargelegt. […] Es ist nicht ersichtlich, inwiefern der Kläger tatsächlich daran gehindert gewesen sein soll, die über ihn gespeicherten personenbezogenen Daten zu kontrollieren.
Ein nur abstraktes Gefühl der Unsicherheit reicht nach Ansicht der Kammer nicht aus. Der Kläger hätte darlegen müssen, dass er beispielsweise Ängste entwickelte, gesellschaftliche Nachteile fürchtete oder dass Dritte tatsächlich Zugriff auf die Daten hatten. Die bloße theoretische Möglichkeit, dass eine unverschlüsselte E-Mail abgefangen werden *könnte*, begründet noch keinen spürbaren immateriellen Schaden, der mit 10.000 Euro aufgewogen werden müsste.
Drei Voraussetzungen müssen erfüllt sein
Das Gericht arbeitete streng nach dem Schema des EuGH. Für einen erfolgreichen Anspruch müssen drei Bedingungen kumulativ (gleichzeitig) erfüllt sein:
- Es muss einen Verstoß gegen die Datenschutz-Grundverordnung geben.
- Es muss ein tatsächlicher materieller oder immaterieller Schaden entstanden sein.
- Es muss ein Kausalzusammenhang zwischen dem Verstoß und dem Schaden bestehen.
Da es bereits am zweiten Punkt – dem Schaden – fehlte, musste das Gericht den dritten Punkt (Kausalität) gar nicht mehr prüfen.
Keine Verletzung des Persönlichkeitsrechts
Auch über den Umweg des deutschen Bürgerlichen Gesetzbuchs (§ 823 Abs. 1 BGB i.V.m. Art 1 und 2 Grundgesetz) kam der Mann nicht zum Ziel. Eine Geldentschädigung für einen immateriellen Schaden wegen der Verletzung des allgemeinen Persönlichkeitsrechts setzt eine schwerwiegende Beeinträchtigung voraus.
Das Gericht erkannte hier keine Schwere, die eine finanzielle Genugtuung unabweisbar machen würde. Ein einmaliger Versand einer unverschlüsselten E-Mail, so ärgerlich er sein mag, erreicht nicht die Eingriffsintensität, die für Schmerzensgeld im klassischen deutschen Deliktsrecht erforderlich ist.
Die Rolle des Betriebsrats und der Auskunft
Die weiteren Vorwürfe des Mannes ließ das Gericht weitgehend ins Leere laufen. Ob die Weiterleitung an den Betriebsrat rechtens war, musste die Kammer im Ergebnis gar nicht entscheiden. Selbst wenn es rechtswidrig gewesen wäre: Auch hier hatte der Mann keinen konkreten Schaden dargelegt, der über den bloßen Ärger über die Weitergabe hinausging.
Auch der Vorwurf der unvollständigen Auskunft durch den Arbeitgeber verfing nicht. Das Gericht wies darauf hin, dass der Datenschutzbeauftragte (TLfDI) das Verwaltungsverfahren bereits als erledigt betrachtet hatte, da alle Informationen letztlich vorlagen.
Welche Konsequenzen hat das Urteil?
Das Urteil des Arbeitsgerichts Suhl sendet eine klare Warnung an alle, die auf schnelles Geld durch Datenschutzklagen hoffen. Die Hürden sind hoch. Wer Schadensersatz will, muss mehr liefern als nur den Nachweis eines Fehlers.
Beweislast liegt beim Betroffenen
Die Entscheidung verdeutlicht, dass Kläger im Datenschutzprozess eine erhebliche Darlegungslast tragen. Es genügt nicht, Schlagworte wie „Kontrollverlust“ oder „Angst“ in den Raum zu stellen. Gerichte verlangen eine Substantiierung. Wie äußert sich die Angst? Welche konkreten Nachteile drohen? Ohne diese Details wird eine Klage abgewiesen.
Kostenrisiko für Kläger
Für den ehemaligen Mitarbeiter wurde der Prozess teuer. Da er den Prozess vollständig verlor, muss er gemäß § 91 ZPO die Kosten des Rechtsstreits tragen. Der Streitwert wurde auf 10.000 Euro festgesetzt – das entspricht der Summe, die er gefordert hatte. Anhand dieses Wertes berechnen sich die Gerichts- und Anwaltskosten, die der Mann nun begleichen muss.
Das Urteil bestätigt den Trend in der deutschen Rechtsprechung nach dem EuGH-Grundsatzurteil: Datenschutz ist kein Geschäftsmodell für Massenklagen ohne individuellen Schaden. Zwar müssen Unternehmen die Datensicherheit ernst nehmen, um Bußgelder der Behörden zu vermeiden, doch zivilrechtliche Ansprüche von Einzelpersonen setzen eine spürbare Beeinträchtigung voraus.
Kein Freibrief für Unternehmen
Wichtig ist jedoch: Das Urteil ist kein Freibrief für den sorglosen Umgang mit Daten. Der Datenschutzbeauftragte hatte den Verstoß gegen Art. 5 DSGVO offiziell festgestellt. Solche behördlichen Feststellungen können zu empfindlichen Bußgeldern führen, die direkt an den Staat gehen – unabhängig davon, ob dem einzelnen Mitarbeiter ein Schaden entstanden ist oder nicht.
Datenschutzverstoß im Job? Jetzt Ansprüche prüfen lassen
Ein Verstoß gegen die DSGVO im Arbeitsverhältnis kann weitreichende Folgen haben, doch für einen erfolgreichen Schadensersatzanspruch müssen spezifische rechtliche Hürden genommen werden. Unser Fachanwalt für Arbeitsrecht unterstützt Sie dabei, die Erfolgsaussichten Ihrer Forderung rechtssicher einzuschätzen und Ihre Interessen gegenüber dem Arbeitgeber professionell zu vertreten. Wir prüfen Ihren individuellen Fall und unterstützen Sie bei der notwendigen Dokumentation eines immateriellen Schadens.
Experten-Kommentar
Viele Mandanten kommen mit der Erwartung in die Kanzlei, ein Datenschutzverstoß sei automatisch ein Gewinnlos. Sie lesen von hohen Bußgeldern gegen Konzerne und übertragen das fälschlicherweise auf ihren eigenen Anspruch. Doch der Weg vom bloßen Regelverstoß zum Geld auf dem Konto ist extrem steinig.
Das Hauptproblem in der Praxis ist die Beweislast für das „psychische Leid“, das deutsche Arbeitsrichter nur sehr zurückhaltend anerkennen. Ohne ärztliches Attest oder nachweisbaren Identitätsdiebstahl übersteigen die eigenen Anwaltskosten schnell den potenziellen Gewinn. Ich setze solche Ansprüche daher meist nur taktisch in Vergleichsverhandlungen ein, statt sie isoliert einzuklagen.
Häufig gestellte Fragen (FAQ)
Bekomme ich Schadensersatz, wenn die unverschlüsselte E-Mail nachweislich an einen falschen Empfänger ging?
ES KOMMT DARAUF AN. Ein Anspruch auf Schadensersatz nach Artikel 82 DSGVO ist bei einer nachweislichen Fehlleitung der E-Mail deutlich wahrscheinlicher als bei einer rein abstrakten Gefahr durch fehlende Verschlüsselung. Da die unbefugte Kenntnisnahme durch einen Dritten bereits stattgefunden hat, verringert sich die prozessuale Hürde für den Nachweis einer konkreten Beeinträchtigung Ihrer persönlichen Rechte im Vergleich zu bloßen Versandrisiken erheblich.
Während Gerichte bei bloßen Sicherheitsrisiken ohne belegten Zugriff oft keine Entschädigung zusprechen, liegt im Falle eines falschen Empfängers ein vollendeter Kontrollverlust über Ihre personenbezogenen Daten vor. Gemäß Artikel 82 Absatz 1 DSGVO setzt ein Schadensersatzanspruch jedoch voraus, dass Ihnen durch den Verstoß ein konkreter materieller oder immaterieller Schaden, etwa eine psychische Belastung durch Preisgabe privater Informationen, entstanden ist. Die Dokumentation des Fehlversands erleichtert es Ihnen hierbei sehr, die kausale Verbindung zwischen dem Datenschutzverstoß und Ihrer persönlichen Betroffenheit rechtlich schlüssig und erfolgreich darzulegen. Da der unbefugte Dritte die Daten bereits erhalten hat, manifestiert sich das Risiko einer missbräuchlichen Verwendung unmittelbar, was die Schwere des Vorfalls gegenüber einer theoretischen Sicherheitslücke juristisch steigert.
Beachten Sie jedoch, dass die aktuelle Rechtsprechung verlangt, dass die betroffene Person eine spürbare Beeinträchtigung oder einen tatsächlichen Nachteil nachweisen muss, um eine Geldentschädigung zu erhalten. Ein reiner Unmut über den Fehler oder eine rein hypothetische Sorge ohne Auswirkung auf Ihre Lebensführung genügt den strengen Anforderungen an einen ersatzfähigen immateriellen Schaden oft noch nicht ausreichend.
Unser Tipp: Dokumentieren Sie umgehend den Fehlversand sowie die Identität des falschen Empfängers und fordern Sie vom Absender einen schriftlichen Nachweis über die erfolgte Löschung der Daten durch den Dritten an. Vermeiden Sie es, lediglich den Verstoß zu rügen, ohne gleichzeitig Ihre konkreten Ängste oder persönlichen Belastungen schriftlich gegenüber der Gegenseite zu konkretisieren.
Verliere ich meinen Schadensersatzanspruch, wenn ich keine psychischen Folgen des Datenverlusts nachweisen kann?
JA. Nach aktueller Rechtsprechung des Europäischen Gerichtshofes sowie nationaler Instanzen wie dem Arbeitsgericht Suhl verlieren Sie Ihren Anspruch auf Schmerzensgeld, wenn Sie keine konkret spürbaren Folgen Ihres persönlichen Datenverlusts darlegen können. Ein bloßer Verstoß gegen die Datenschutzgrundverordnung stellt für sich allein noch keinen entschädigungsfähigen Schaden dar, da die Rechtsprechung eine individuelle Beeinträchtigung der betroffenen Person zwingend voraussetzt.
Das deutsche und europäische Zivilrecht kennt keinen sogenannten Strafschadensersatz, was bedeutet, dass eine Entschädigung nicht allein zur Bestrafung des verantwortlichen Unternehmens für einen begangenen Rechtsverstoß an den Betroffenen gezahlt wird. Damit ein Anspruch gemäß Artikel 82 DSGVO erfolgreich durchgesetzt werden kann, müssen stattdessen drei Voraussetzungen kumulativ vorliegen, nämlich ein Datenschutzverstoß, ein konkret eingetretener Schaden sowie die Kausalität zwischen diesen beiden Faktoren. Fehlt die detaillierte Darlegung einer psychischen Belastung oder einer sozialen Beeinträchtigung, scheitert die Klage regelmäßig an der zweiten Bedingung, weil die Gerichte bloßen Unmut oder subjektiven Ärger rechtlich nicht als Schaden anerkennen. Die Klägerseite trägt hierbei die volle Beweislast und muss substantiierte Angaben dazu machen, inwiefern der Verlust der Kontrolle über die persönlichen Daten zu einer realen und nachweisbaren Lebensbeeinträchtigung geführt hat.
Eine Ausnahme von der strengen Nachweispflicht besteht lediglich dann, wenn der Schaden bereits objektiv offensichtlich ist, wie etwa bei einer nachweisbaren Rufschädigung oder einer konkret drohenden Verschlechterung der persönlichen Kreditwürdigkeit. In den meisten Fällen verlangen die Richter jedoch die Schilderung von Symptomen wie massiven Ängsten vor Identitätsdiebstahl, um die notwendige Erheblichkeitsschwelle für einen immateriellen Schadensersatzanspruch rechtssicher zu überschreiten.
Unser Tipp: Dokumentieren Sie zeitnah alle negativen Auswirkungen des Vorfalls auf Ihren Alltag und lassen Sie psychische Belastungssymptome gegebenenfalls durch einen Arzt oder Therapeuten schriftlich attestieren. Vermeiden Sie es unbedingt, eine Klage allein auf das abstrakte Gefühl einer allgemeinen Rechtsunsicherheit ohne jede konkrete individuelle Betroffenheit zu stützen.
Wie beweise ich einen immateriellen Schaden konkret, damit das Gericht mir Schmerzensgeld zuspricht?
Sie beweisen einen immateriellen Schaden, indem Sie abstrakte Gefühle durch objektive Belege wie ärztliche Atteste, Gedächtnisprotokolle oder Zeugenaussagen für das Gericht greifbar machen. Um Schmerzensgeld zu erhalten, müssen Sie die konkreten Auswirkungen auf Ihren Alltag detailliert darlegen und durch Beweismittel untermauern. Eine bloße Behauptung von Unwohlsein ohne Substantiierung reicht für eine Verurteilung des Gegners regelmäßig nicht aus.
Gemäß § 253 Abs. 2 BGB trägt der Kläger die volle Darlegungslast für den Eintritt und die Schwere der immateriellen Beeinträchtigung gegenüber dem zuständigen Gericht. Die Rechtsprechung verlangt hierfür eine umfassende Substantiierung (ausführliche Darlegung), bei der abstrakte Begriffe durch greifbare Tatsachen aus der individuellen Lebenswirklichkeit des Betroffenen ersetzt werden müssen. Sie sollten daher präzise beschreiben, ob Sie unter dokumentierten Schlafstörungen litten, bestimmte soziale Kontakte mieden oder infolge eines Vorfalls massiven Belästigungen durch betrügerische Anrufe ausgesetzt waren. Erst wenn der Richter die individuelle Tiefe des Eingriffs anhand dieser konkreten Umstände nachvollziehen kann, ist die rechtliche Grundlage für eine angemessene Entschädigung in Geld gegeben.
Ein Schmerzensgeldanspruch kann trotz nachgewiesener Rechtsverletzung scheitern, wenn die psychische Beeinträchtigung lediglich als geringfügiger Bagatellschaden (unerhebliche Beeinträchtigung) eingestuft wird, der keine nennenswerten Folgen für die Lebensführung nach sich zieht. Um diesen Einwand erfolgreich zu entkräften, müssen Sie im Prozess verdeutlichen, dass die Belastung eine spürbare Schwere erreicht hat, die deutlich über die alltäglichen Unannehmlichkeiten einer modernen Informationsgesellschaft hinausgeht.
Unser Tipp: Beginnen Sie sofort mit der Führung eines detaillierten Tagebuchs über alle psychischen oder sozialen Belastungen und lassen Sie sich gesundheitliche Einschränkungen zeitnah von einem Arzt schriftlich bestätigen. Vermeiden Sie es, dem Gericht lediglich vage Beschreibungen Ihrer allgemeinen Gefühlslage ohne konkrete Beispiele aus Ihrem täglichen Leben vorzulegen.
Welche Kosten kommen auf mich zu, wenn meine Klage wegen mangelnder Schadensdarlegung abgewiesen wird?
Wenn eine Klage abgewiesen wird, tragen Sie als unterlegene Partei gemäß § 91 ZPO die gesamten Prozesskosten, die aus den Gerichtskosten sowie den Anwaltsgebühren beider Seiten bestehen. Dieser Grundsatz der Kostentragungspflicht bedeutet, dass Sie sämtliche im Verfahren entstandenen gesetzlichen Gebühren vollständig aus eigenen Mitteln begleichen müssen.
Die Höhe dieser finanziellen Belastung richtet sich dabei maßgeblich nach dem sogenannten Streitwert (Wert des Streitgegenstandes), welcher der Summe Ihrer ursprünglichen Forderung entspricht und nicht dem tatsächlich nachgewiesenen Schaden. Da das Gericht im Falle einer Abweisung wegen mangelnder Schadensdarlegung davon ausgeht, dass die Klage unbegründet war, greift die volle Kostentragungspflicht nach dem gesetzlichen Veranlassungsprinzip zu Ihren Lasten. Bei einer beispielhaften Forderung in Höhe von 10.000 Euro summiert sich das Kostenrisiko durch die gesetzlichen Gebührenordnungen für Rechtsanwälte und das Gericht üblicherweise auf einen Betrag zwischen 3.000 und 4.000 Euro. Diese Kosten entstehen zwingend, da das Gesetz den Verlierer eines Zivilprozesses dazu verpflichtet, die Gegenseite klaglos zu stellen und die staatlichen Verfahrenskosten zu decken.
Besondere finanzielle Entlastungen können nur dann eintreten, wenn eine Rechtsschutzversicherung besteht, die das Kostenrisiko gedeckt hat, oder wenn Ihnen vom Gericht Prozesskostenhilfe aufgrund mangelnder eigener Mittel bewilligt wurde. Ohne eine solche Absicherung verbleibt das wirtschaftliche Risiko vollständig bei Ihnen, was insbesondere bei einer unsicheren Beweislage zu einer erheblichen Belastung Ihres Vermögens führen kann.
Unser Tipp: Nutzen Sie vor Einreichung der Klage einen Prozesskostenrechner auf Basis Ihres individuellen Streitwertes und lassen Sie die Erfolgsaussichten der Schadensdarlegung detailliert juristisch prüfen. Vermeiden Sie es, vage Forderungen ohne hieb- und stichfeste Beweise gerichtlich geltend zu machen, um die hohen Gebühren der gegnerischen Seite zu verhindern.
Darf mein Arbeitgeber den unverschlüsselten Versand mit fehlenden technischen Möglichkeiten im Unternehmen rechtfertigen?
NEIN. Der Arbeitgeber darf den unverschlüsselten Versand sensibler Daten keinesfalls mit fehlenden technischen Möglichkeiten oder organisatorischen Defiziten im eigenen Unternehmen rechtfertigen. Die Einhaltung der gesetzlichen Datenschutzstandards stellt eine objektive Pflicht dar, die unabhängig von der aktuellen technischen Ausstattung des jeweiligen Betriebs zwingend umzusetzen ist.
Gemäß Artikel 5 Absatz 1 Buchstabe f der Datenschutz-Grundverordnung (DSGVO) ist der Verantwortliche zwingend verpflichtet, die Integrität und Vertraulichkeit personenbezogener Daten durch geeignete technische Maßnahmen sicherzustellen. Wenn ein Unternehmen nicht über die notwendigen Verschlüsselungstechnologien verfügt, liegt ein sogenanntes Organisationsverschulden vor, welches die Rechtswidrigkeit des Versands keineswegs aufhebt oder entschuldigt. Die zuständigen Datenschutzbehörden betrachten solche technischen Mängel als klaren Verstoß gegen die Sicherheit der Verarbeitung nach Artikel 32 DSGVO, was regelmäßig zu empfindlichen Bußgeldern führt. Allerdings führt dieser objektive Rechtsverstoß nicht automatisch zu einem Anspruch auf Schadensersatz für den betroffenen Arbeitnehmer, da hierfür der Nachweis eines konkret entstandenen immateriellen Schadens erforderlich bleibt.
Es ist wichtig zu unterscheiden, dass die Feststellung eines Datenschutzverstoßes durch eine Aufsichtsbehörde zwar die Rechtswidrigkeit bindend bestätigt, aber keine automatische zivilrechtliche Zahlungsverpflichtung gegenüber dem Mitarbeiter begründet. Ein technisches Defizit schützt den Arbeitgeber zwar vor der Behörde nicht, kann im Einzelfall jedoch die Argumentation beeinflussen, wenn es um die Bemessung von Schmerzensgeld geht. Dennoch bleibt die unverschlüsselte Übertragung von Lohndaten oder Gesundheitsinformationen ein gravierender Mangel in der IT-Infrastruktur, der unverzüglich durch den Verantwortlichen behoben werden muss.
Unser Tipp: Weisen Sie Ihren Arbeitgeber schriftlich auf die Pflichten zur Datensicherheit gemäß Artikel 32 DSGVO hin und fordern Sie eine verschlüsselte Kommunikation ein. Vermeiden Sie es, den Verstoß lediglich als Grundlage für Schadensersatzforderungen zu sehen, sondern melden Sie technische Mängel dem zuständigen Landesdatenschutzbeauftragten.
Hinweis/Disclaimer: Teile der Inhalte dieses Beitrags, einschließlich der FAQ, wurden unter Einsatz von Systemen künstlicher Intelligenz erstellt oder überarbeitet und anschließend redaktionell geprüft. Die bereitgestellten Informationen dienen ausschließlich der allgemeinen unverbindlichen Information und stellen keine Rechtsberatung im Einzelfall dar und können eine solche auch nicht ersetzen. Trotz sorgfältiger Bearbeitung kann keine Gewähr für Richtigkeit, Vollständigkeit und Aktualität übernommen werden. Die Nutzung der Informationen erfolgt auf eigene Verantwortung; eine Haftung wird im gesetzlich zulässigen Umfang ausgeschlossen.
Wenn Sie einen ähnlichen Fall haben und konkrete Fragen oder Anliegen klären möchten, kontaktieren Sie uns bitte für eine individuelle Prüfung Ihrer Situation und der aktuellen Rechtslage.
Das vorliegende Urteil
ArbG Suhl – Az.: 6 Ca 704/23 – Urteil vom 20.12.2023
* Der vollständige Urteilstext wurde ausgeblendet, um die Lesbarkeit dieses Artikels zu verbessern. Klicken Sie auf den folgenden Link, um den vollständigen Text einzublenden.
