Schadensersatz bei Versand unverschlüsselter E-Mail?

Vor dem Amtsgericht Bochum ging es um ein Schadensersatz-Verfahren im Zuge eines Verstoßes gegen die Datenschutzgrundverordnung (Beschluss v. 11.03.2019 – AZ. 65 C 485/18). Die rechtliche Betreuerin des Antragstellers soll dessen Daten und Informationen an seinen Vermieter und weitere Stellen herausgegeben haben. Zudem soll sie Unterlagen an den Prozessvertreter des Antragstellers per E-Mail übermittelt haben, ohne diese jedoch zu verschlüsseln. 

Zu befassen hatte sich der Richter mit der Frage, ob der Antragsteller in den Genuss von Prozesskostenhilfe komme. Bei solch einem Antrag wird dann geprüft, ob der Antragsteller eine hinreichende Aussicht auf Erfolg hat. Hier drehte es sich also um die Frage, ob er womöglich einen Anspruch auf entsprechenden Schadensersatz hätte. Das sah der Richter hier nicht als gegeben an, weshalb der Prozesskostenhilfeantrag abgewiesen wurde. 

E-Mails sollten nicht unverschlüsselt versendet werden

Grundsätzlich mag der Versand von Unterlagen, die personenbezogene Daten enthalten, per unverschlüsselter E-Mail gegen datenschutzrechtliche Vorgaben verstoßen – so stellt der Richter fest. Der Antragsteller hat jedoch offenbar nicht in ausreichender Weise vorgebracht, dass durch die fehlende Verschlüsselung persönliche Daten und Informationen unbefugten Dritten wirklich bekannt geworden sind. Auch für das Gericht selbst sei kein Schaden ersichtlich. 

Zudem habe die Betreuerin bei der Kommunikation mit dem Vermieter des Antragstellers ebenfalls nicht gegen Datenschutzregeln oder ihre Schweigepflicht verstoßen, heißt es. Es sei nicht dargelegt worden, dass die Betreuerin hier außerhalb ihrer Kompetenzen gehandelt hätte. Insgesamt sei ein Anspruch auf Schadensersatz nach den Vorgaben der DSGVO nicht schlüssig dargelegt worden, insofern biete auch die Rechtsverfolgung keine hinreichenden Erfolgsaussichten. 

Online-Händler sollten insofern darauf achten, die Sicherheit ihrer Datenverarbeitung zu gewährleisten. Wer nach der DSGVO als Verantwortlicher gilt, muss technische und organisatorische Maßnahmen treffen, um diese sicherzustellen. Dazu kann etwa die Pseudonymisierung von Daten gehören, aber auch deren Verschlüsselung – das erklärt Art. 32 DSGVO. Kommt es hier zu nachweisbaren Schäden, ist eine Schadensersatzpflicht nicht ausgeschlossen.