ArbG Dresden: DSGVO-Schadensersatz-Anspruch wegen rechtswidriger Weitergabe von Gesundheitsdaten durch Arbeitgeber
Besonders Gesundheitsdaten sind besonders sensibel und dürfen nach der DSGVO nur in wenigen ausdrücklich geregelten Fällen weitergegeben werden. Nur weil es der Arbeitsgeber in anderweitigen Fällen als nützlich empfindet, die Daten auch zu anderen Zwecken offenzulegen, ist ihm dies deswegen selbstverständlich nicht gestattet und soll nach der DSGVO und deren Erwägungen effektiv sanktioniert werden (effet utile).
Nun entschied das das ArbG Dresden in seinem Urteil vom 26. August 2020, Az. 13 Ca 1046/20, dass einem klagenden Arbeitnehmer 1.500 EUR Schadensersatz nach Art. 82 DSGVO zustehen, weil sein Arbeitgeber Gesundheitsdaten von ihm rechtswidrig sowohl an die Ausländerbehörde als auch an die Arbeitsagentur weitergegeben hatte.
Der Kläger war Ausländer und Inhaber eines Aufenthaltstitels. Er war als Arbeitnehmer bei der Beklagten beschäftigt. Der Kläger war im Jahr 2019 einige Tage erkrankt. Mit einer E-Mail kontaktierte die Prokuristin der Beklagten die Ausländerbehörde. Darin behauptete sie, der Kläger hätte gegen die Meldepflicht verstoßen, er sei arbeitsunfähig erkrankt, ohne gültige Bescheinigung und ohne gültige Postanschrift. Sie bat die Ausländerbehörde um Mittelung einer aktuellen Postanschrift und den Kläger anzuhalten, seiner Meldepflicht nachzukommen. Die Beklagte übersandte eine Abschrift der E-Mail auch an die Arbeitsagentur, um sich dort für ihre Kündigung des Arbeitsverhältnisses mit dem Kläger zu rechtfertigen.
Die Datenweitergabe war nach Auffassung des Arbeitsgerichts rechtswidrig, denn bei den weitergegebenen Daten handelte es sich um Gesundheitsdaten gem. Art. 9 Abs. 1 DSGVO, deren Verarbeitung grundsätzlich untersagt ist und die allein in den von Art. 9 Abs. 2 DSGVO genannten Ausnahmefällen zulässig verarbeitet werden dürfen. Ausnahmen lagen in diesem Sinne hier nicht vor:
„Insbesondere stellt § 4 a Aufenthaltsgesetz keine Rechtfertigung für die Weitergabe der Gesundheitsdaten vor. Diese Vorschrift bestimmt in Abs. 5 Satz 3, was ein Arbeitgeber zu prüfen hat, nämlich insbesondere, dass ein Aufenthaltstitel vorliegt und kein Verbot oder eine diesbezügliche Beschränkung besteht. Des Weiteren ist der Ausländerbehörde innerhalb von 4 Wochen ab Kenntnis mitzuteilen, dass die Beschäftigung, für die ein Aufenthaltstitel erteilt wurde, vorzeitig beendet wurde. Keiner dieser Voraussetzungen liegt vor.”
Das Gericht führte aus, dass dem Kläger hier ein immaterieller Schaden entstanden sei in Form der Rufschädigung und des Kontrollverlusts über seine personenbezogenen Daten.
Zur Höhe des Schadensersatzanspruchs nach Art. 82 DSGVO führte das Gericht aus, dass hier ein Betrag von 1.500 EUR geboten aber auch ausreichend sei:
„Nach den Erwägungsgründen 146 der DSGVO, die zur Auslegung der Vorschrift mit heranzuziehen sind, soll die betroffene Person einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Verstöße müssen effektiv sanktioniert werden. Schadenersatz bei Datenschutzverstößen sollen eine abschreckende Wirkung haben, um der Datenschutzgrundverordnung zum Durchbruch zu verhelfen (effet utile). Dabei können sich die nationalen Gerichte auch bei der Bemessung des immateriellen Schadensersatzes an Art. 83 Absatz 2 DSGVO orientieren, sodass als Zumessungskriterien u.a. Art, Schwere, Dauer des Verstoßes, Grad des Verschuldend, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, früher einschlägige Verstöße sowie die Kategorien betroffenen Personen bezogenen Daten betrachtet werden können
[…]
Der Beklagte hat nach Auffassung der Kammer die Gesundheitsdaten des Klägers ohne Not anderen Behörden mitgeteilt. Es bestand zum einen keine Verpflichtung, noch wurde sie von den Behörden hierzu aufgefordert. Hätte sie wirklich nur die Adresse des Klägers in Erfahrung bringen wollen, wäre es ein Einfaches gewesen, diesen zu fragen oder sich an die Meldebehörde zu wenden. Hierfür hätte sie keinerlei Begründung abgeben müssen.“
