DSGVO-Verstoß: Impfzentrum gibt Tausende persönliche Daten preis

Ein Impfzentrum, in welchem Impfungen gegen das Coronavirus SARS-CoV-2 durchgeführt wurden, musste die Termine von 1.200 Bürgerinnen und Bürgern aufgrund einer Änderung der Öffnungszeiten verschieben, worüber diese mittels einer E-Mail informiert werden sollten. Und dabei kam es zu einem folgenschweren Fehler.

Datensätze von 13.000 Betroffenen versendet

Beim Versand dieser besagten Mail kam es versehentlich dazu, dass eine unverschlüsselte Excel-Datei mitversandt wurde. Diese enthielt sensible personenbezogene Daten weiterer Empfänger und Patienten, unter anderem Name, Anschrift, Geburtsdatum, Telefonnummer und E-Mail-Adresse sowie der für die Impfung vorgesehene Impfstoff und das Datum der Impfung sowie Angaben zur Anzahl der Impfungen.

Der Versand erfolgte an insgesamt 1.200 Personen, wobei allerdings ein unmittelbar nach dem Versand erfolgter Rückruf der E-Mail in 500 Fällen Erfolg hatte. Damit haben 700 Personen die Datei erhalten und konnten deren Inhalt auch zur Kenntnis nehmen, da die Datei nicht vor einem einfachen Zugriff geschützt war.

Gericht muss Interessen beider Seiten abwägen

Geraten diese Daten nun an die Falschen, kann damit einiges angestellt werden: Für die Betroffenen besteht das Risiko des Erhalts unerwünschter Werbung insbesondere per E-Mail oder von Phishing-E-Mails, mit dem Ziel, auf diese Art an weitere Informationen zu erlangen. Auch die Möglichkeit eines Identitätsdiebstahls ist in Betracht zu ziehen, ebenso wie die Auslösung kostenpflichtiger Bestellungen durch Dritte unter Verwendung der personenbezogenen Daten der in der Excel-Tabelle genannten Personen. 

Das Gericht gesteht dem klagenden Betroffenen jedoch in dem Fall nur 100 Euro zu, denn von dem Verstoß seien keine besonders sensiblen Daten wie etwa Bank- oder Steuerdaten, Zugangsdaten und Kennwörter oder ähnliche Daten betroffen gewesen (OLG Hamm, 20.01.2023, Az.: 11 U 88/22). Der geringe Grad des Verschuldens sei auch darin zu sehen, dass es sich nur um ein Versehen gehandelt habe. Die Mitarbeiter des Impfzentrums hatten sogar versucht, die Mail zurückzuholen und im Anschluss alle Betroffenen informiert und zur Löschung aufgefordert.