DSGVO: Schadensersatz-Urteil für unerlaubt übermittelte Patientendaten

Wie hat das AG Pforzheim entschieden?

Die Klage hatte Erfolg. Der Kläger habe gegen den Beklagten einen Anspruch auf immateriellen Schadensersatz in Höhe von 4.000 Euro gemäß Art. 82 DSGVO, da der Beklagte entgegen Art. 9 DSGVO Gesundheitsdaten des Klägers verarbeitet habe. Darin sah das Gericht einen schwerwiegenden Eingriff in die Rechte des Klägers aus der DSGVO, da diese Daten unerlaubt – also ohne die notwendige Einwilligung – übermittelt worden seien.

Zunächst führte das Amtsgericht aus, dass es sich bei den aufbewahrten Informationen um Gesundheitsdaten handele, die einem besonderen Schutz nach Art. 9 DSGVO unterliegen. Eine Rechtfertigung für den Datentransfer an die Ehefrau im Rahmen des gerichtlichen Verfahrens sei nach Ansicht des Gerichts nicht erkennbar. Unstreitig sei zwischen den Parteien, dass der Kläger nicht in die Übermittlung der Daten im Sinne des Art. 9 Abs. 2 lit.a DSGVO eingewilligt hat.

Ferner greife auch die Ausnahmevorschrift des Art. 9 Abs. 2 lit.h DSGVO nicht. Die Verarbeitung erfolgte nicht für Zwecke der Gesundheitsvorsorge, für die Beurteilung der Arbeitsfähigkeit, für die medizinische Diagnostik, die Versorgung im Gesundheitsbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich. Vielmehr erfolgte die Übermittlung der Daten, um sie im Rahmen des gerichtlichen Umgangsverfahrens zwischen dem Kläger und seiner Ehefrau berücksichtigen zu können. Es sei mithin kein Anhaltspunkt dafür ersichtlich, dass dieser Fall von Art. 9 Abs. 2 lit.h DSGVO erfasst sein soll.

Des Weiteren sei im Streitfall auch zu berücksichtigen, dass der Kläger durch den Beklagten nicht psychotherapeutisch behandelt worden sei. Weitere Ausnahmetatbestände kommen ebenfalls nicht in Betracht, meint das AG Pforzheim. Auch gebe es nach Auffassung des Gerichts keine Anhaltspunkte für eine konkrete, unmittelbar bevorstehende Gefährdung des Wohls der Ehefrau des Klägers oder seiner Kinder.

Dabei sei außerdem zu berücksichtigen, dass die Feststellungen des Beklagten lediglich auf den Ausführungen der Ehefrau des Klägers und dem subjektiven Eindruck aus dem Gesprächstermin resultieren. Demnach sei eine profunde Beurteilung der Persönlichkeit des Klägers durch den Beklagten nicht erfolgt, so das Amtsgericht.

Die Höhe des Schadensersatzanspruchs

Das Gericht stufte in Anbetracht der Umstände und der Schwere der Verletzung den Schaden in Höhe von 4.000 Euro ein. Im vorliegenden Fall gehe es um die Weitergabe von Gesundheitsdaten. Dabei handele es sich generell um besonders sensible Daten. Dieser Umstand sei daher zu berücksichtigen. Im Streitfall gelte dies erst recht, da sie einen unmittelbaren Rückschluss auf die Psyche des Klägers zulassen.

Es handele sich letztlich um einen Eingriff in die höchstpersönliche Sphäre des Klägers. Zwar seien die Informationen nicht einer breiten Öffentlichkeit bekannt gemacht worden, sondern lediglich den Beteiligten des Umgangsverfahrens. Die Ausführungen seien jedoch gerade im Rahmen des gerichtlichen Umgangsverfahrens besonders sensibel, da sie einen erheblichen Einfluss auf die Entscheidung des Gerichts nehmen können, abschließend das Gericht.

Fazit zu der gerichtlichen Entscheidung

Das Urteil des AG Pforzheim überzeugt. Nach der bisherigen Rechtsprechung muss für einen DSGVO-Schadensersatz eine gewisse Erheblichkeitsschwelle überschritten werden, damit ein Schadensersatz fällig wird. Vorliegend hat der Beklagte diese Erheblichkeitsschwelle überschritten, da ein Eingriff in die höchstpersönliche Sphäre des Klägers vorliegt.

In der Sache wird gegen das erstinstanzliche Urteil mit Sicherheit Berufung eingelegt werden. Deshalb wird das Ergebnis des Berufungsgerichts abzuwarten sein. Spannend bleibt weiterhin auch die Frage, wie der Europäische Gerichtshof den Problemen des Schadensersatzanspruchs nach Art. 82 DSGVO begegnen wird.

Hinweis und Bedeutung für Versicherungsvermittler

Insbesondere für Finanzdienstleister hat diese Entscheidung Bedeutung. Denn diese Entscheidung zeigt, wie schnell gerade auch diese Erheblichkeitsschwelle erreicht ist und es ebenso schnell auch zu Bußgeldern und / oder Schadensersatzleistungen kommen kann. Da Versicherungsvermittler sensible Kundendaten speichern, welche sehr häufig auch dem Bereich der Artikel 9 Daten der DSGVO zuzuordnen sind, sollten Vermittler entsprechende Vorkehrungen treffen, dass derartige Daten nicht ohne Einwilligung an Dritte übermittelt werden. Dieses gilt beispielweise gerade auch für Risikovoranfragen an Versicherungen, bei welchen Gesundheitsdaten der Kunden an den Versicherer zur Einschätzung des Risikos, respektive der Versicherbarkeit, übermittelt werden.

Nachfolgend können weitere Rechtsstreitigkeiten im Bereich des IT-Rechts/Datenschutzrecht nachgelesen werden. Weitere rechtliche Praxisfälle mit entsprechenden Tipps für die Vermittlerpraxis werden auf dem für Vermittler kostenfreien digitalen Vermittler-Treff besprochen.