Warnung vor missbräuchlichen Auskunftsersuchen

Hintergrund

Aus den Reihen der eigenen Mitglieder wurden der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) zahlreiche Fälle gemeldet, die sich in ihrem Vorgehen sehr ähneln und möglicherweise auf ein rechtsmissbräuchliches Verfahren schließen lassen, um die Zahlung eines immateriellen Schadensersatzes und die Erstattung der entstandenen Rechtsanwaltskosten zu erzielen.

Das beobachtete Vorgehen

Beobachtet wurden von der GDD dabei zwei Vorgehensweisen. Bei der ersten Variante meldet sich eine Person über das Kontaktformular auf der Website eines Unternehmens und bittet um Rückruf unter der angegebenen Telefonnummer. Versucht das Unternehmen die Person über die angegebene Telefonnummer zu erreichen, wird der Anruf nicht beantwortet. Stattdessen meldet sich diese Person ein paar Wochen später und verlangt Auskunft über alle über sie gespeicherten personenbezogenen Daten und deren Löschung.

Ähnlich ist das Vorgehen in der zweiten Variante. Dabei meldet sich die Person für den Newsletter des Unternehmens an, um kurz danach ebenfalls Auskunft und Löschung der personenbezogenen Daten zu verlangen.

Sind die Datenschutzprozesse in dem betroffenen Unternehmen nicht absolut sicher gestaltet, kommt es in vielen Fällen dazu, dass das Unternehmen die personenbezogenen Daten sofort löscht, ohne dass der betroffenen Person Auskunft hierüber erteilt wird. Stattdessen teilt man ihr mit, dass keine personenbezogenen Daten gespeichert wurden, obwohl zumindest die E-Mail-Adresse oder die Telefonnummer vorhanden sind, oder die Anfrage bleibt ganz unbeantwortet.

Kurze Zeit später erhält das Unternehmen dann ein Schreiben von einem Rechtsanwalt, der im Namen und im Auftrag der betroffenen Person die Zahlung eines Schadensersatzes fordert. Für die unvollständig oder nicht erteilte Auskunft sollen nach Information der GDD Beträge zwischen 1.500 € und 2.500 € gezahlt werden. Dazu kommt in der Regel noch die Forderung nach dem Ersatz für die Rechtsanwaltskosten in Höhe von 500 € bis 600 €.

Rechtliche Grundlage und Urteile

Ein Anspruch auf einen solchen Schadensersatz ist in Art. 82 Datenschutz-Grundverordnung (DSGVO) geregelt. Dieser sieht einen Schadensersatzanspruch auch für immaterielle Schäden vor. Seit Inkrafttreten der DSGVO gab es bereits einige Urteile zu derartigen Schadenersatzforderungen. Das Arbeitsgericht Neumünster sprach der betroffenen Person einen Schadensersatz in Höhe von 500 € pro Monat der verspäteten Auskunft (insgesamt 1.500 €) zu, da für sie ein Schaden in der Ungewissheit über die Verarbeitung der eigenen Daten liege. Das Arbeitsgericht Düsseldorf sprach der betroffenen Person einen Schadensersatzanspruch in Höhe von 5.000 € für eine verspätete und unvollständige Auskunft zu. Der Schaden liege im Kontrollverlust über die personenbezogenen Daten und die Höhe hänge von der wirtschaftlichen Leistungsfähigkeit des beklagten Unternehmens ab.

Das Amtsgericht Frankfurt lehnte hingegen einen Schadensersatzanspruch der betroffenen Person ab, da ein Gefühl des Unbehagens für einen Schaden nicht ausreiche und vielmehr eine objektiv nachvollziehbare und feststellbare Beeinträchtigung vorliegen müsse.

Es existiert somit aktuell noch keine eindeutige Rechtsprechung, aus der sich die Höhe oder das Bestehen eines solchen Schadensersatzanspruchs sicher ableiten lässt.

Empfehlungen für betroffene Unternehmen

Zunächst einmal sollten Sie die Datenschutzorganisation in Ihrem Unternehmen dahingehend überprüfen, ob mit Auskunftsersuchen oder anderen Betroffenenanfragen richtig umgegangen wird.
Informieren Sie alle Mitarbeiter darüber, wie mit solchen Betroffenenanfragen zu verfahren ist und an wen sie diese Anfragen weiterleiten können. Führen Sie einen Prozess ein, mit dem die personenbezogenen Daten in allen Systemen überprüft werden können. Fertigen Sie Vorlagen an, mit denen Sie die Auskunft fristgerecht (innerhalb eines Monats) und vollständig erteilen können.

Haben Sie bereits ein Auskunftsersuchen nicht rechtzeitig oder unvollständig beantwortet und erhalten Sie ein oben beschriebenes Forderungsschreiben eines Rechtsanwalts, müssen Sie auf dieses unbedingt reagieren. Gerne beraten wir Sie hierzu persönlich.