Ein Angestellter in Suhl fordert Schadensersatz bei einer unverschlüsselten E-Mail, da sein Arbeitgeber vertrauliche Lohnabrechnungen offen als PDF-Anhang versendete. Ob der bloße Kontrollverlust über diese sensiblen Daten bereits für eine Geldentschädigung genügt, hängt an einer überraschenden Hürde in der aktuellen Rechtsprechung.
Zum vorliegenden Urteilstext springen: 6 Ca 704/23
Das Wichtigste im Überblick
- Der Versand einer Lohnabrechnung als unverschlüsselter PDF-Anhang stellt einen offiziell festgestellten Verstoß gegen Art. 5 DSGVO dar.
- Ein bloßer Verstoß gegen die Datenschutzverordnung begründet laut EuGH keinen automatischen Entschädigungsanspruch oder Strafschadensersatz.
- Kläger forderte 10.000 € Entschädigung, scheiterte jedoch vor dem Arbeitsgericht Suhl an der fehlenden Substantiierung eines tatsächlichen Schadens.
- Ein abstrakter Kontrollverlust oder ein bloßes Unsicherheitsgefühl über den Verbleib der Daten reicht für eine Geldentschädigung nicht aus.
- Für einen erfolgreichen Schadensersatzanspruch müssen drei kumulative Voraussetzungen vorliegen: Verstoß, konkreter Schaden und ein Kausalzusammenhang.
- Bei einer Klageabweisung trägt der Kläger die Prozesskosten, die sich hier nach dem Streitwert von 10.000 € bemessen.
Wer haftet auf Schadensersatz bei einer unverschlüsselten E-Mail?
Ein unbedachter Klick im Büroalltag kann weitreichende juristische Folgen haben. Wenn sensible Personaldaten ungeschützt durch das Internet geschickt werden, liegt oft ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) vor. Doch führt dieser Fehler automatisch zu einer Geldentschädigung für den Betroffenen? Genau mit dieser Frage musste sich das Arbeitsgericht Suhl befassen. Ein ehemaliger Angestellter forderte von seinem früheren Arbeitgeber eine hohe Summe, weil dieser ihm eine Lohnabrechnung und weitere Daten als unverschlüsselten PDF-Anhang gesendet hatte. Der Fall zeigt exemplarisch, wie hoch die Hürden für einen Anspruch auf einen immateriellen Schadensersatz im deutschen Arbeitsrecht liegen. Es reicht nicht aus, dass das Unternehmen einen Fehler macht. Der Betroffene muss beweisen, dass er dadurch tatsächlich gelitten hat. Ein Arbeitnehmer war von Oktober 2020 bis Januar 2022 bei einem Unternehmen beschäftigt. Kurz vor Weihnachten 2021 verlangte der Mann Auskunft über alle personenbezogenen Daten, die der Arbeitgeber über ihn gespeichert hatte. Die Personalabteilung reagierte prompt, aber technisch unsauber: Am 23. Dezember 2021 sandte sie dem Mitarbeiter eine E-Mail. Im Anhang befand sich eine PDF-Datei mit den sensiblen Informationen. Das Problem: Die E-Mail war unverschlüsselt. Zusätzlich leitete das Unternehmen Daten des Mannes an den Betriebsrat weiter. Der ehemalige Mitarbeiter sah hierin massive Datenschutzverletzungen. Er beschwerte sich beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI). Die Behörde prüfte den Vorfall und stellte in einem Bescheid fest, dass der Versand von einer unverschlüsselten E-Mail tatsächlich gegen Art. 5 Abs. 1 Buchst. f) DSGVO verstoßen hatte. Mit diesem behördlichen Rückenwind zog der Mann vor das Arbeitsgericht Suhl. Seine Forderung: Mindestens 10.000 Euro Entschädigung.
Welche rechtlichen Hürden bestehen für den Schadensersatz?…