Rechtsprechung : Schadensersatzanspruch aus Art. 82 DS-GVO wegen unberechtigter Nutzung einer anwaltlichen E-Mail für Werbung

Sachverhalt:

Die Parteien streiten über Ansprüche wegen Verletzung von Datenschutzvorschriften. Am 25.01.2021 erhielt der Kläger von der Beklagten eine Werbe-E-Mail, unstreitig, ohne dass er zuvor eine Anfrage an die Beklagte gerichtet hatte.

Der Kläger bat daraufhin mit Antwort-E-Mail die Beklagte um Mitteilung, wann sie seine Adresse gespeichert habe und woher sie sie erhalten habe, und um Übersendung einer Unterlassungserklärung verbunden mit einem Vertragsstrafeversprechen.

Es kam zu weiterer Kommunikation der Parteien. Zur Herkunft der Adresse teilte die Beklagte mit E-mail vom 06.02.2021 mit, sie habe sich bezüglich einer Rechtsberatung im Heimatort umgesehen und darunter die Dienstleistung bzw. Kontaktdaten des Klägers entdeckt; da sich die Fragestellungen klären konnten, habe es keinen weiteren Bedarf für eine Kontaktaufnahme gegeben. Die Mailing-Aktion habe ausschließlich auf Kontaktdaten basiert, die manuell erfasst wurden.

Die Beklagte gab die vom Kläger erbetene Unterlassungsverpflichtung ab.

Der Kläger machte geltend, es bedürfe einer gerichtlichen Klärung, da der Kläger ein besonderes Interesse habe, dass die anwaltlich genutzte Adresse nicht missbräuchlich angesprochen werde. und forderte des Weiteren ein Schmerzensgeld von mindestens 300,00 €.

Der Kläger erhob daher zunächst Klage mit dem Antrag: die Beklagte wird verurteilt, dem Kläger Auskunft zu erteilen über die Herkunft der E-Mail Adresse des Klägers und über den Zeitpunkt der Speicherung durch die Beklagte.

Der Kläger trug sodann vor, die Adresse sei zwischenzeitlich mit weiteren Angeboten bespamt worden mit ähnlichen Produkten, und es sei nicht nachzuvollziehen, woher der Absender die Adresse erhalten habe. Der Kläger führt insofern aus, es sei gemäß Art. 82 DS-GVO immaterieller Schadenersatz zu zahlen. Er meint, dass der Vortrag datenschutzwidriger Verwendung ohne Einwilligung als ausreichend anzusehen sei. Die Werbung der Beklagten sei eindeutig ein rechtswidriger Eingriff gewesen. Die Beklagte habe auch gegen Art. 14 DS-GVO verstoßen.

Durch die rechtswidrige Werbung auf die Kanzlei-Adresse habe sich der Kläger nicht nur mit der Frage der Abwehr der Werbung auseinander setzen müssen, sondern auch damit, wie die Beklagte an die Adresse kam. Die Werbeansprache sei daher nicht nur lästig oder ärgerlich gewesen sondern habe den Kläger beschäftigt und belastet, auch die Nichterteilung der Auskünfte sei ein Verstoß gegen den Datenschutz, insbesondere Art. 15 DS-GVO. Dies sei ausreichend für die Festsetzung eines Schmerzensgeldes. Berücksichtigt sei, dass die Beklagte sich vorsätzlich, zumindest aber grob fahrlässig über die DS-GVO hinweg gesetzt habe.

Aus den Gründen:

I.
Dem Kläger steht gem. Art. 82 DS-GVO ein Anspruch auf Ersatz immateriellen Schadens zu, den das Gericht wie tenoriert bemisst.

Die Beklagte hat gegen Bestimmungen der DS-GVO verstoßen, die Verstöße haben nach dem – insoweit auch unwidersprochen gebliebenen und damit zugestandenen (§ 138 Abs. 3 ZPO) Vorbringen des Klägers kausal zu einem immateriellen Schaden geführt.

Die Beklagte hat zum einen die Email-Adresse des Klägers ohne Rechtfertigung i.S.d. Art. 6 DS-GVO verarbeitet, zum anderen dem Kläger verspätet bzw. zunächst nicht vollständig Auskunft erteilt.

a.
Die Beklagte hat unstreitig i.S.d. Art. 4 DS-GVO die Email-Adresse des Klägers verarbeitet (erhoben, erfasst und gespeichert, und durch ihr Anschreiben weiter verwendet).

Hierfür – jedenfalls für die Speicherung und Verwendung wie erfolgt – konnte die Beklagte keinen rechtfertigenden Tatbestand i.S.d. Art. 6 Abs. 1 DS-GVO darlegen. Die Beklagte behauptet insbesondere schon selbst nicht (geschweige denn belegt dies), dass der Kläger hierin eingewilligt hätte. Sie behauptet im Prozess schon selbst nicht, dass der Kläger ihr etwa seine Email-Adresse (und dies mit entsprechender Einwilligung) mitgeteilt hätte oder (auch wenn dies in der streitgegenständlichen Email so angegeben gewesen war) der Kläger eine Anfrage an die Beklagte gesandt hätte (Fall der Nachfragewerbung, vgl. Eckhardt, in: Auer-Reinsdorff/Conrad, Handbuch IT- und Datenschutzrecht, 3. Aufl., § 25 b) Rdnr. 82 m.N.w., zit. nach beck-online) oder etwa ein Fall des § 7 Abs. 3 UWG vorgelegen hätte (dies würde u.a. voraussetzen, dass ein Unternehmer – hier die Beklagte – im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von einem Kunden dessen elektronische Postadresse erhalten hat; dies war unstreitig ebenfalls nicht der Fall). Die Beklagte trug vielmehr vor, die Email-Adresse des Klägers aus frei zugänglicher Quelle im Internet gefunden zu haben, bei der Suche nach einer Rechtsberatung. Sie hat die Email-Adresse jedoch – selbst wenn die ursprüngliche Erfassung zu einem berechtigten Zweck erfolgt sein sollte, wie die Beklagte wohl behauptet – unstreitig nicht hierfür gespeichert und verwendet, sondern (als auch nach ihrem eigenen Vorbringen der ursprüngliche Zweck längst entfallen gewesen wäre) zum Zwecke der Werbung, die jedoch mangels vorheriger Einwilligung des Klägers gegen § 7 Abs. 2 Nr. 3 UWG und Art. 6 Abs. 1 S. 1 verstieß.

Die Werbung mittels E-Mail-Marketing setzt für ihre Zulässigkeit außerhalb der Fälle des § 7 Abs. 3 UWG eine – vorherige und ausdrückliche – Einwilligung voraus, mithin eine Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt (vgl. Eckhardt a.a.O. Rdnr. 86 m.Nw.). Eine solche wird schon durch die Beklagte – welche insoweit darlegungs- und beweisbelastet wäre – nicht im Ansatz behauptet oder vorgetragen.

Ebenso wenig ist aus dem Vorbringen einer – auch nur z.B. konkludent – erteilten Einwilligung iSd Art. 6 Abs. 1 S. 1 lit a. DS-GVO zu entnehmen. Auch keiner der weiteren Fälle der Vorschrift ist zu erkennen, insbesondere auch nicht ein Fall des Art. 6 Abs. 1 S. 1 lit. f. DS-GVO (überwiegende berechtigte Interessen des Verwantwortlichen oder eines Dritten). Gem. Erwägungsgrund 47 ist im Rahmen der Interessenabwägung nach lit. f zu prüfen, „ob eine betroffene Person zum Zeitpunkt der Datenerhebung und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“ (vgl. Gola DS-GVO/Schulz, 2. Aufl. 2018, DS-GVO Art. 6 Rn. 61). Im Rahmen der Interessenabwägung ist zunächst der vom Datenverarbeiter verfolgte Zweck mit der Art, dem Inhalt sowie der Aussagekraft der Daten gegenüberzustellen; zu berücksichtigen sind sodann insbesondere die vernünftige Erwartungshaltung der betroffenen Person bzw. die Absehbarkeit (Branchenüblichkeit) der Verarbeitung sowie ihre Beziehung zu dem Verantwortlichen (BeckOK DatenschutzR/Albers/Veit, 36. Ed. 01.05.2020, DS-GVO Art. 6 Rn. 53). Vorliegend führt bereits vor diesem Hintergrund die Abwägung hier zu dem Ergebnis, dass die schutzwürdigen Interessen des Klägers – welcher unstreitig in keinerlei vorheriger Beziehung zur Beklagten gestanden und auch sonst nicht nachweisbar seine Email-Adresse selbst in einer Weise, die solche Verwendung absehbar gemacht hätte, mitgeteilt oder veröffentlich hatte – die Interessen der Beklagten an einer Werbemaßnahme für von ihr vertriebene Masken überwogen. Zudem spricht viel dafür, auch insoweit die Maßstäbe des § 7 Abs. 2 UWG zu berücksichtigen. Das OVG Saarlouis (B.v. 16.02.2021, 2 A 355/19, NJW 2021, 2225) führte in einem Fall der unerlaubten Telefonwerbung hierzu aus, „dass die Bewertungsmaßstäbe des § 7 II Nr. 2 UWG, welcher der Umsetzung RL 2002/58/EG dient, auch im Rahmen des Art. 6 I Buchst. f DS-GVO zu berücksichtigen wären. Es ist zwar zutreffend, dass auch die Verarbeitung personenbezogener Daten für Direktwerbung ein berechtigtes Interesse nach dem Erwägungsgrund 47 DS-GVO darstellen kann. Aber auch in diesem Zusammenhang ist zu berücksichtigen, dass die Ziele, die mit der Verarbeitung verfolgt werden, unionrechtskonform sein müssen. Daher gilt auch in diesem Zusammenhang die Wertung des § 7 II Nr. 2 UWG Geltung beanspruchen, mit der Folge, dass sich die Kl. nicht auf ein „berechtigtes“ Interesse berufen kann. Für dieses Ergebnis spricht im Übrigen auch die Forderung, für die Auslegung des Art. 6 I Buchst. f DS-GVO als Ausgangspunkt konkret gefasste Erlaubnitatbestände aus dem nationalen Recht heranzuziehen, um dem allgemeinen Erlaubnistatbestand Konturen zu verleihen und Rechtssicherheit herzustellen“. Diese Ausführungen überzeugen und gelten ebenso für den hier vorliegenden Fall der Direktwerbung per E-mail, der ebenfalls von Art. 13 der Richtlinie 2002/58/ EG erfasst und in § 7 Abs. 2 Nr. 3 UWG konkret geregelt ist.

Zudem hat die Beklagte auch gegen Art. 14 sowie 15 DS-GVO verstoßen. Gemäß Art. 14 DS-GVO hat der Verantwortliche in dem Fall, dass die Erhebung der Daten nicht bei der betroffenen Person selbst erfolgt ist – was hier unstrittig der Fall war – eine Informationspflicht gegenüber dem Betroffenen über die in Art. 14 Abs. 1, 2 genannten Einzelheiten, welche gem. Art. 14 Abs. 3 lit, a, b DS-GVO unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats, bzw. falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie (auch in diesem Fall jedoch spätestens innerhalb eines Monats, vgl. Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 14 Rn. 33; Paal/Pauly/Paal/Hennemann, 3. Aufl. 2021, DS-GVO Art. 14 Rn. 34) zu erfüllen ist. Eine Erfüllung dieser Pflicht – insbesondere innerhalb der Frist (die Beklagte speicherte die Daten ihrer eigenen Einlassung nach bereits ab 25.12.2020) – wurde nicht ersichtlich.

Des Weiteren hat der Betroffene gem. Art 15 DS-GVO ein Auskunftsrecht bzgl. der personenbezogenen Daten sowie über
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Jedenfalls hinsichtlich der Herkunft (oben lit. g) hat die Beklagte auf entsprechende Aufforderung des Klägers außergerichtlich keine Auskunft erteilt. Der Kläger hatte hinreichend präzise danach gefragt, woher die Beklagte seine Email-Adresse erhalten habe; die Beklagte teilte hierzu zunächst nur mit, es habe sich um „manuell erfasste“ Daten gehandelt, und sie habe sich wegen einer Rechtsberatung in ihrem Heimatort umgesehen und darunter seine „Kontaktdaten entdeckt“; eine Angabe, wo sie diese denn „entdeckt“ oder erhalten hat, um diese dann manuell zu erfassen, fehlt völlig, war jedoch ohne weiteres erkennbar das, wonach der Kläger gefragt hatte. Erst im Prozess mit der Klageerwiderung vom 30.03.21 (somit über 3 Monate nach der Datenerhebung und v.a. erst 2 Monate nach der Aufforderung des Klägers) ließ die Beklagte erkennen, dass sie offenbar – so ist ihr Vorbringen zu verstehen – öffentlich zugängliche Internetseiten als Quelle verwendet hatte.

b.
Des Weiteren kann dahinstehen, ob eine Haftung gem. Art. 82 DS-GVO von vornherein als verschuldensunabhängig zu sehen ist oder von einer Verschuldensvermutung oder Beweislastumkehr auszugehen ist (vgl. Paal/Pauly/Frenzel, Art. 82 DSGVO, Rdnr. 6 m.Nw.); vorliegend ist jedenfalls schon nichts vorgetragen oder ersichtlich, was gegen ein Verschulden der Beklagten spräche.

c.
Die genannten Verstöße haben unter Berücksichtigung des klägerischen Vorbringens – welches insoweit nicht bestritten wurde – zu einem immateriellen Schaden des Klägers geführt (welcher entgegen der Ansicht des Klägers allerdings nicht in dem Verstoß allein als solchem liegt, sondern der Verstoß muss – dies auch kausal – zu einem Schaden geführt haben; Gegenteiliges ist auch der Entscheidung des BVerfG nicht zu entnehmen, dort wurde letztlich beanstandet, dass die Vorinstanz auf eine „Erheblichkeit“ abgestellt hatte, jedoch nicht vorgegeben, dass ein kausaler Schaden als solcher gar nicht mehr vorliegen bzw. festgestellt werden müsste). Auf eine „Erheblichkeitsschwelle“ kommt es insofern nicht an, da eine solche in der DS-GVO nicht erkennbar wird und für einen weiten Schadensbegriff auch die Zielsetzung der DS-GVO spricht; Verstöße müssen wirksam sanktioniert werden, damit die DS-GVO wirken kann (vgl. Frenzel a.a.O. Rdnr. 10). Die Schwere des immateriellen Schadens ist daher zutreffend für die Begründung der Haftung nach Art. 82 Abs. 1 DS-GVO irrelevant und wirkt sich nur noch bei der Höhe des Anspruchs aus (vgl. ArbG Düsseldorf Urt. v. 05.03.2020 – 9 Ca 6557/18, BeckRS 2020, 11910, Rdnr. 84, m.w.N.).

Der Schaden kann auch bereits etwa in dem unguten Gefühl liegen, dass personenbezogene Daten Unbefugten bekannt geworden sind, insbesondere wenn nicht ausgeschlossen ist, dass die Daten unbefugt weiterverwendet werden, auch bereits in der Ungewissheit, ob personenbezogene Daten an Unbefugte gelangt sind. Unbefugte Datenverarbeitungen können zu einem Gefühl des Beobachtetwerdens und der Hilfslosigkeit führen, was die betroffenen Personen letztlich zu einem reinen Objekt der Datenverarbeitung degradiert. Den Kontrollverlust nennt EG 75 ausdrücklich als „insbesondere“ zu erwartenden Schaden. Des Weiteren kommen etwa Ängste, Stress, Komfort- und Zeiteinbußen in Betracht. (vgl. Kühling/Buchner/Bergt, 3. Aufl. 2020, DS-GVO Art. 82 Rn. 18b)

Die Höhe des Anspruchs ist dabei nicht willkürlich, sondern auf der Grundlage der inhaltlichen Schwere und Dauer der Rechtsverletzung zu beurteilen, unter Berücksichtigung des Kontexts, der Umstände eines Verstoßes. Genugtuungs- und Vorbeugungsfunktion können bei der Bezifferung eine Rolle spielen. Einerseits darf die Höhe des Schadensersatzes keine Strafwirkung entfalten. Andererseits reicht ein künstlich niedrig bezifferter Betrag mit symbolischer Wirkung nicht aus, um die praktische Wirksamkeit des Unionsrechts sicherzustellen (vgl. Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rn. 12a).

So sprach etwa das AG Hildesheim (U.v. 05.10.2020, 43 C 145/19, ZD 2021, 384) 800,00 € zu in einem Fall, in dem auf einem wiederaufbereiteten und weiterveräußerten PC private Daten des ursprünglichen Besitzers noch vorhanden und somit an den Dritten gelangt waren.

Das LG Lüneburg (Urteil vom 14.7.2020 – 9 O 145/19, ZD 2021, 275) etwa sprach 1.000,00 € zu in einem Fall eines rechtswidrigen Schufa-Eintrags.

Vorliegend berücksichtigt das Gericht, dass der Kläger (der selbst zunächst von der Beklagten 300,00 € gefordert hatte, im Rahmen der prozessualen Geltendmachung dann einen Bereich von nicht unter 100,00 € für angemessen hielt) nicht nur von einem, sondern von mehreren Verstößen der Beklagten gegen Vorschriften der DS-GVO betroffen war (s.o.). Andererseits blieben die Auswirkungen für den Kläger – anders als etwa in den beiden o.g. Fällen des AG Hildesheim und des LG Lüneburg im „eigenen Bereich“ des Klägers, es wurde von den Verstößen kein Bereich tangiert (jedenfalls wurde derartiges nicht erkennbar), der Beziehungen des Klägers zu anderen Dritten betraf, etwa (auch nur potentiell) die Gefahr einer Schädigung seines Ansehens, seiner Kreditwürdigkeit o.ä. bot. Die erkennbaren Auswirkungen lagen vielmehr darin, dass der Kläger sich – wie er unwidersprochen vortrug – sich mit der Abwehr der von ihm unerwünschten Werbung und der Herkunft der Daten auseinandersetzen musste. Gerade letzteres – zumal unter Berücksichtigung der Dauer des Verstoßes und der zunächst nicht ansatzweise zielführend erfolgten Auskunftserteilung – ist geeignet, zu einem durchaus belastenden Eindruck des Kontrollverlusts zu führen, zumal dies auch die Auseinandersetzung mit dem Verstoß und auch die Abwehr ggf. drohender anderweitiger Verstöße erschwert (die Quelle der Daten kann ja – und wird erfahrungsgemäß – auch die Quelle für andere sein, die ggf. unter Verstoß gegen die DS-GVO diese Daten verarbeiten). Vor diesem Hintergrund ist insbesondere die bestenfalls als zögerlich zu bezeichnende Information durch die Beklagte (die insoweit auch im Prozess recht vage blieb, wenn auch der Kläger dies nicht mehr weiter verfolgte) im Interesse einer effektiven Abschreckung als schmerzensgelderhöhend zu berücksichtigen. Soweit die Beklagte mit ihrem letzten Vorbringen möglicherweise behaupten will, nur zur Versorgung ihrer Mitmenschen agiert zu haben (quasi altruistisch), erscheint dies im Übrigen wenig lebensnah. Nicht zu berücksichtigen war dagegen, dass der Kläger zwischenzeitlich weitere unerwünschte Emails erhalten haben mag; eine Verantwortung der Beklagten hierfür wird schon nicht behauptet oder ersichtlich.

Das Gericht erachtet – auch im Vergleich mit den o.g. Entscheidungen, denen noch deutlich gravierendere (zumindest potentielle) Auswirkungen zugrundelagen – vorliegend im Ergebnis eine Entschädigung von 300,00 € für angemessen. Die Entscheidung über die Zulassung der Berufung wegen grundsätzlicher Bedeutung der sich stellenden Rechtsfragen beruht auf § 511 Abs. 4 S. 1 Nr. 1 Alt. 1 ZPO.