Stand: Juli 2002

Haftung bei unzulässiger oder unrichtiger Datenverarbeitung⁸²⁴

Literatur:

Christian Born, Schadensersatz bei Datenschutzverstößen, Münster 2001; Ivo Geis, Haftungsrisiken im Datenschutzrecht für Unternehmen, in: CR 1993, 269; Niko Härting, Gewährleistungspflichten von Internet-Dienstleistern, in: CR 2001, 37; Günter Schmidt, Wann haftet der Staat? – Vorschriftswidrige Datenverabeitung und Schadensersatz, Neuwied 1989; Dirk Schmitz, Vertragliche Haftung bei unentgeltlichem Informationserwerb via Internet, in: MMR 2000, 396; Irene Wind, Haftung bei der Verarbeitung personenbezogener Daten, in: RDV 1991, 16.

1. Vertragliche Ansprüche

Die unrichtige oder unzulässige Verarbeitung personenbezogener Daten kann einen Anspruch auf Schadensersatz aus vertraglichen Gesichtspunkten auslösen.

Grundsätzlich sind zwei Fallgruppen zu unterschei­den: Im Bereich z. B. des Arbeitsvertragsrechts liegt grundsätzlich eine Datenverarbeitung für eigene Zwecke vor, bei der die konkreten Datenschutzpflichten regelmäßig 'nur' vertragliche Neben- bzw. Begleitpflichten im Verhältnis zum zugrundelie­genden Rechtsgeschäft dar­stellen (vgl. § 242 BGB).

Werden also Daten von Arbeitnehmern unzulässigerweise genutzt, kommt eine Haftung wegen Pflichtverletzung (§ 280 Abs. 1 BGB) in Betracht, die aber auf den Ersatz der materiellen Schäden beschränkt ist.

Im Bereich der Auftragsdatenverarbeitung (vgl. § 11 BDSG) liegen regelmäßig Geschäfts­besor­gungsverträge (§ 675 BGB) vor, bei denen die Verpflichtung zur vertraulichen Behandlung von Daten meist eine Hauptpflicht des Vertrages darstellt. Der Auf­traggeber hat hier ver­schiedene Ansprüche: Er kann vom Vertrag zurücktreten oder, etwa bei Dauerschuldverhältnissen, kündigen; er kann aber auch Schadens­ersatz wegen Nichterfüllung verlangen.

2. §§ 823 ff. BGB

Für den Betroffenen meist wichtiger ist die Möglichkeit, Verstöße gegen das BDSG deliktsrechtlich zu ahnden.

Dabei ist zu beachten, dass das BDSG selbst nur für den öffentlichen Bereich eine gesonderte Anspruchsnorm enthält: Nach § 8 BDSG haften öffentliche Stellen für eine unzulässige oder unrichtige automatisierte Datenverarbeitung ohne Rück­sicht auf ihr Verschulden bis zu einem Höchstbetrag von 250.000,- €.

Für den nicht-öffentlichen Bereich enthält das BDSG keine eigene Schadenser­satznorm: Treten hier Schäden durch unzulässige oder unrichtige Datenverar­beitung auf, so gelten die allgemeinen deliktsrechtlichen Vorschriften des Bür­gerlichen Gesetzbuches (§§ 823 ff. BGB). Dabei ist für diese Vorschriften cha­rakteristisch, dass sie ein Verschulden der verarbeitenden Stelle voraussetzen; insofern unterscheidet sich die Haftung des privatwirtschaftlichen Bereichs im Datenschutzrecht deutlich von der (verschuldensunabhängigen) Gefährdungshaf­tung im öffentlichen Bereich. Allerdings sieht § 7 BDSG für den nicht-öffentli­chen Bereich eine Beweiserleichterung für den Betroffenen insoweit vor, als er ein Verschulden der verarbeitenden Stelle nicht beweisen muss; vielmehr liegt die Beweislast für das Nichtverschulden bei der entsprechenden Stelle.⁸²⁵

1. Verletzung des Persönlichkeitsrechtes, § 823 Abs. 1 BGB

§ 823 Abs. 1 BGB schützt insbe­sondere das seit der Entscheidung des BGH vom 25. Mai 1954⁸²⁶ zum juristischen Allge­meingut gewordene 'allgemeine Persönlichkeitsrecht' ⁸²⁷. Hierbei handelt es sich um sog. Rahmenrecht, dessen Reichweite und Grenzen im Einzelfall zu ermitteln sind. Im Falle einer Verletzung des allgemeinen Persönlichkeitsrechts des Betroffenen durch eine unzulässige Datenverarbeitung ergibt sich der Umfang der in Frage kommenden Verletzungshandlungen aus dem BDSG selbst. Gefah­renmomente und damit Verletzungsmöglichkeiten tauchen im Datenerhebungsverfahren, im Speicherungsstadium sowie bei unbe­rechtigter Weitergabe (Übermittlung) von Daten an unbefugte Dritte auf.

Zur Beurteilung der Schuldfrage sind die vom BGH entwickelten Prinzipien der Produzentenhaftung analog anzuwenden, da auch hier der Betroffene einer z.T. höchst komplexen Organisation gegenübersteht, deren Strukturen er nicht durch­schauen und überprüfen kann⁸²⁸. Er muss deshalb nur nachweisen, dass sein Schaden auf die Verarbeitung seiner Daten durch die betreffende Stelle zurückzuführen ist, während die speichernde Stelle dartun muss, dass die Datenverarbeitung entweder nicht ursächlich für den Schaden war⁸²⁹ bzw. dass ihre Mitarbeiter kein Verschulden trifft⁸³⁰.

Neben den materiellen Schäden kann der Betroffene auch immaterielle Schäden ersetzt bekommen.

2. Verletzung eines Schutzgesetzes, § 823 Abs. 2 BGB

Nach § 823 Abs. 2 BGB ist derjenige zum Ersatz von Schäden verpflichtet, der schuldhaft „gegen ein den Schutz eines anderen bezweckendes Gesetz verstößt". Ein Schutzgesetz ist jede Rechtsnorm (vgl. Art. 2 EGBGB), die dem Schutz der Interessen anderer dienen soll. Es ist inzwischen anerkannt, dass Vorschriften des BDSG Schutzgesetze i.S.d. § 823 Abs. 2 BGB darstellen können. Allerdings ist bei jeder einzelnen Vorschrift zu prüfen, ob sie dem Schutz des Betroffenen gegen unrichtige oder unzulässige Datenverar­beitung dient. Über § 823 Abs. 2 BGB kann der Betroffene im Gegensatz zu § 823 Abs. 1 BGB auch einen Ersatz seines Vermögensschadens verlangen.

3. Schadensersatz nach §§ 824, 826 BGB

Neben § 823 Abs. 1 und 2 BGB kommt ein Anspruch aus § 824 BGB in Betracht. Nach dieser Vorschrift haftet die verarbeitende Stelle, wenn sie

• 
  der Wahrheit zuwider
  

• 
  eine Tatsache behauptet oder verbreitet,
  

• 
  die geeignet ist, den Kredit des Betroffenen zu gefährden oder sonstige Nach­teile für dessen Erwerb oder Fortkommen herbeizuführen,
  

• 
  sofern die verarbeitende Stelle die Unwahrheit kennen musste.
  

§ 824 BGB statuiert also eine Haftung wegen unrichtiger Datenverar­beitung, die zu einer Herabsetzung der wirtschaftlichen Wertschätzung von Personen führt⁸³¹.

Daneben ist auch eine Haftung nach § 826 BGB von Bedeutung, seit der BGH⁸³² auch bei Weitergabe wahrer Informationen in besonderen Fällen eine Er­satz­pflicht gem. § 826 BGB bejaht: Sollten Informationen über das Privatleben eines einzel­nen ohne zwingenden Grund weitergegeben werden, so steht ihm der Schutz des § 826 BGB zu. Er kann sich dann auch den daraus resultierenden Vermö­gens­schaden ersetzen lassen.

4. Unterlassungs- und Beseitigungsansprüche

Neben dem Schadensersatzanspruch können dem Betroffenen aus § 823 Abs. 1 BGB auch Beseitigungs- und Unterlas­sungsansprüche zu­stehen, die über die im BDSG statuierten Korrekturan­sprüche (§ 6 i. V. m. §§ 34, 35 BDSG) insofern hinausgehen, als sie auch gegenüber Dritten wirken. Solche Ansprü­che ergeben sich regelmäßig aus § 1004, § 823 Abs. 1 BGB analog bei Verletzung des allge­meinen Persönlichkeitsrechts durch unzulässige Übermittlung personenbezo­gener Daten⁸³³. Der Betroffene kann daher unter Berufung auf § 1004, § 823 Abs. 1 BGB analog vom Em­pfän­ger der Daten deren Vernich­tung oder Herausgabe verlangen⁸³⁴. Gleichzeitig hat er nach den Grundsätzen von Treu und Glauben (§ 242 BGB) einen Anspruch gegenü­ber der speichern­den Stelle auf Auskunft über Name und Anschrift des Daten­empfängers⁸³⁵.

7.