Skip to content

OLG Hamm: 100 EURO Schadensersatz aus Art. 82 DSGVO für versehentliche Weiterleitung personenbezogener Daten per E-Mail-Verteiler an 1200 Personen durch Impfzentrum

OLG Hamm
Urteil vom 20.01.2023
11 U 88/22


Das OLG Hamm hat entschieden, dass 100 EURO Schadensersatz aus Art. 82 DSGVO für die versehentliche Weiterleitung personenbezogener Daten per E-Mail-Verteiler an 1200 Personen durch ein Impfzentrum angemessen ist.

Aus den Entscheidungsgründen:
Soweit das Landgericht den dem Kläger zum Ausgleich des ihm entstandenen immateriellen Schadens zustehenden Betrag mit 100,00 Euro bemessen hat, ist hiergegen aus Sicht des Senats nichts zu erinnern.

Ausgehend von dem bereits dargestellten Schadensbegriff gelten bei der Bemessung der Schadenshöhe die im Rahmen von § 253 BGB entwickelten Grundsätze; der Schaden ist nach § 287 ZPO zu schätzen (OLG Koblenz, Urteil vom 18.05.2022 – 5 U 2141/21, juris Rn. 81). Hierbei ist der Erwägungsgrund 146 S. 3 und 6 zur DS-GVO zu berücksichtigen, wonach der Begriff des Schadens auf eine Art und Weise auszulegen ist, die den Zielen der Verordnung in vollem Umfang entspricht und die betroffene Person einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten sollen. Ergänzend können auch in Art. 83 Abs. 2 DS-GVO genannte Kriterien herangezogen werden, obwohl diese Vorschrift nicht die Geltendmachung individueller Entschädigungsansprüche sondern die Verhängung von Geldbußen betrifft; dies gilt insbesondere für Art, Schwere und Dauer des Verstoßes unter Berücksichtigung von Art, Umfang oder Zweck der betreffenden Verarbeitung, den Grad des Verschuldens, Maßnahmen zur Minderung des entstandenen Schadens, frühere Verstöße sowie die Kategorie der betroffenen personenbezogenen Daten (vgl. OLG Düsseldorf, Urteil vom 28.10.2021 – 16 U 275/20, juris Rn. 55 f.; OLG Frankfurt, Urteil vom 14.04.2022 – 3 U 21/20, juris Rn. 56; Quaas, in: Wolff/Brink, BeckOK Datenschutzrecht, 42. Edition, Stand 01.08.2022, Art. 82 DS-GVO Rn. 31).

aa) Zunächst ist zu berücksichtigen, dass die in der Excel-Datei enthaltenen personenbezogenen Daten des Klägers, nämlich vollständiger Name, Anschrift, Geburtsdatum, Telefonnummer und E-Mail-Adresse sowie der für die Impfung vorgesehene Impfstoff und das Datum der Impfung sowie Angaben zur Anzahl der Impfungen in ihrer Gesamtheit ein Datenbündel darstellen, welches problemlos die Identifizierung des Klägers ermöglicht. Auch sind hier nicht lediglich personenbezogene Daten des Klägers im Sinne von Art. 4 Nr. 1 DS-GVO betroffen, sondern auch Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DS-GVO, welche grundsätzlich besonders sensibel sind, wie auch Art. 9 DS-GVO deutlich macht.

Weiter ist in den Blick zu nehmen, dass die Excel-Datei an eine Vielzahl von Personen übersandt wurde. Insoweit hat die Beklagte im Senatstermin klargestellt, dass der Versand an insgesamt 1.200 Personen erfolgte, wobei allerdings ein unmittelbar nach dem Versand erfolgter Rückruf der E-Mail in 500 Fällen Erfolg hatte. Damit haben 700 Personen die Datei erhalten und konnten deren Inhalt auch zur Kenntnis nehmen, da die Datei nicht vor einem einfachen Zugriff geschützt war. Auch ist zu berücksichtigen, dass dieser Versand und damit die Offenbarung der Daten nicht mehr rückgängig zu machen ist. Denn der Kläger hatte bzw. hat keine Möglichkeit, eine etwaige Weitergabe der Daten effektiv zu verhindern oder auch nur zu kontrollieren. Trotz des von der Beklagten unternommenen Versuches, die Empfänger der E-Mail zur Löschung der Datei zu veranlassen, kann eine Weitergabe dieser Dateien an Dritte nicht ausgeschlossen werden.

Damit besteht für den Kläger das Risiko des Erhalts unerwünschter Werbung insbesondere per E-Mail oder von Phishing-E-Mails mit dem Ziel, auf diese Art weitere Informationen vom Kläger zu erlangen. Auch die Möglichkeit eines Identitätsdiebstahls ist ebenso in Betracht zu ziehen wie die Auslösung kostenpflichtiger Bestellungen durch Dritte unter Verwendung der personenbezogenen Daten des Klägers.

Es ist aber auch zu beachten, dass es sich bei den offenbarten personenbezogenen Daten des Klägers im Sinne von Art. 4 Nr. 1 DS-GVO lediglich um solche Daten handelt, welche der Sozialsphäre des Klägers zuzuordnen sind. Die Sozialsphäre betrifft den Bereich, in dem sich die persönliche Entfaltung von vornherein im Kontakt mit der Umwelt vollzieht, also insbesondere das berufliche und politische Wirken des Individuums. Demgegenüber umfasst die Privatsphäre sowohl in räumlicher als auch in thematischer Hinsicht den Bereich, zu dem andere grundsätzlich nur Zugang haben, soweit er ihnen gestattet wird. Dies betrifft in thematischer Hinsicht Angelegenheiten, die wegen ihres Informationsinhalts typischerweise als „privat“ eingestuft werden, etwa weil ihre öffentliche Erörterung als unschicklich gilt, das Bekanntwerden als peinlich empfunden wird oder nachteilige Reaktionen in der Umwelt auslöst (BGH, Urteil vom 20.12.2011 – VI ZR 261/10, juris Rn. 16). Nach dieser Maßgabe sind jedenfalls die personenbezogenen Daten des Klägers, die zur Beschreibung seiner Person dienen, der Sozialsphäre zuzuordnen. Demgegenüber waren von dem Verstoß nicht besonders sensible Daten wie etwa Bank- oder Steuerdaten, Zugangsdaten und Kennwörter oder ähnliche Daten betroffen. Soweit Gesundheitsdaten des Klägers im Sinne von Art. 4 Nr. 15 DS-GVO offenbart wurden, sind diese zwar der Privatsphäre zuzurechnen. Allerdings darf hier nicht außer Acht gelassen werden, dass insbesondere im Hinblick auf den weiten Begriff der Gesundheitsdaten auch hier deren konkreter Inhalt zu berücksichtigen ist. Aus den offenbarten Daten lässt sich allenfalls das Fehlen einer Kontraindikation in der Person des Klägers bezüglich einer zweiten Impfung nach erfolgter Erstimpfung ableiten, nicht aber konkrete Schlüsse auf eine Erkrankung des Klägers oder eine besondere gesundheitliche Disposition. Damit stellt sich die Offenbarung der Gesundheitsdaten hier als weit weniger schwerwiegend dar, als dies etwa bei der Offenbarung spezifischer Gesundheitsdaten wie eines medizinischen Befundes oder einer ärztlichen Diagnose der Fall wäre.

Weiter ist in den Blick zu nehmen, dass der vom Kläger beanstandete Versand der die personenbezogenen Daten des Klägers enthaltenden Datei von der Beklagten zu keinem Zeitpunkt bezweckt war. Denn im Zuge des Betriebs des Impfzentrums benötigte die Beklagte die Datei einmalig für kurze Zeit zum Zwecke der Organisation des Impfzentrums, namentlich um die von der Änderung der Öffnungszeiten betroffenen Personen hierüber zu informieren. Der Versand der Datei beruhte auf einem Versäumnis der handelnden Mitarbeiter im Zug des Versands der E-Mail an die von der Änderung der Öffnungszeiten betroffenen Personen, war aber zu keinem Zeitpunkt intendiert.

Auch ist zu berücksichtigen, dass die Beklagte mit dem Betrieb des Impfzentrums und den damit im Zusammenhang stehenden Tätigkeiten eine öffentliche Aufgabe wahrgenommen hat und insbesondere nicht mit der Absicht handelte, hierbei in irgendeiner Weise Gewinne zu erzielen. Auch der Versand der E-Mail vom 00.00.2021 stand in keinerlei Zusammenhang mit einer gewinnorientierten Tätigkeit.

Ferner ist der geringe Grad des Verschuldens auf Seiten der Beklagten zu berücksichtigen. Insoweit geht der Senat lediglich von einem fahrlässigen Verhalten der Mitarbeiter der Beklagten aus, welche die E-Mail abgesandt haben. Soweit der Kläger hier von einem vorsätzlichen Verstoß ausgeht, hat er schon nicht dargelegt, welche Umstände die Annahme von Vorsatz rechtfertigen sollten. Auch soweit der Kläger meint, es greife insoweit ein Beweis des ersten Anscheins ein, vermag der Senat dem nicht zu folgen. Die Beweiswürdigungsregel des Anscheinsbeweises ist nur bei regelmäßigen (typischen) Geschehensabläufen anwendbar, die nach der Lebenserfahrung auf eine bestimmte Ursache hinweisen (vgl. Laumen, in: Baumgärtel/Laumen/Prütting, Handbuch der Beweislast, 4. Auflage 2019, Kap. 17 Rn. 10). Es ist schon nicht erkennbar, welcher typischen Geschehensablauf hier aufgrund von Erfahrungssätzen den Schluss auf ein vorsätzliches Verhalten erlauben soll. Allein der Versand einer E-Mail mit einem zuvor nicht entfernten Anhang kann zur Überzeugung des Senats jedenfalls nicht die Annahme rechtfertigen, die Übersendung der angehängten Datei sei vorsätzlich erfolgt. Im Hinblick auf die Darstellung der Beklagten von den Abläufen, die zum Versand der E-Mail nebst angehängter Excel-Datei geführt haben und die der Kläger auch im Senatstermin nicht in Abrede gestellt hat, ist die Annahme vorsätzlichen Verhaltens fernliegend. Vielmehr ist davon auszugehen, dass den betroffenen Mitarbeitern der Beklagten und damit auch der Beklagten allenfalls Fahrlässigkeit vorgeworfen werden kann.

Weiter ist zu berücksichtigen, dass nicht ersichtlich ist, dass es bereits vor dem streitgegenständlichen Vorfall zu einem vergleichbaren Verstoß gekommen ist und sich dieser anlässlich des Versands der E-Mail vom 00.00.2021 wiederholt hätte.

Schließlich zu berücksichtigen, dass die Beklagte alles in ihrer Macht Stehende unternommen hat, um den infolge des Verstoßes aufgetretenen Schaden gering zu halten. So wurde unmittelbar nach dem Versand der Mail der Versuch des Rückrufs der E-Mail unternommen, was bei insgesamt 500 Adressaten auch erfolgreich war. Ferner hat die Beklagte auch die Empfänger der E-Mail aufgerufen, die Daten zu löschen. Darüber hinaus hat die Beklagte den Kläger – sowie alle anderen Betroffenen – bereits kurz nach dem Verstoß mit Schreiben vom 05.08.2021 über diesen und über die offenbarten Daten informiert. Nachdem die Beklagte zudem Kenntnis davon erlangt hatte, dass sich eine Europäische Zentrale für Verbraucherschutz per E-Mail an den Kläger und andere Betroffene gewandt hatte, kam es nach dem unbestrittenen Vorbringen der Beklagten auf deren Betreiben auch zu einem Abschalten der Internetseite Webseite01.

Darüber hinaus hat die Beklagte sich mit Schreiben vom 05.08.2021 beim Kläger entschuldigt und den Vorfall der Aufsichtsbehörde angezeigt.

bb) Die Tatsache, dass der Kläger auf Facebook als Befürworter der Impfung aufgetreten ist und sich aus dem Profil auch Tag und Monat seines Geburtsdatums ablesen lassen, ist für die Bemessung der dem Kläger zuzusprechenden immateriellen Entschädigung demgegenüber lediglich von untergeordneter Bedeutung. Dies insbesondere deshalb, da die so durch den Kläger offenbarten Daten lediglich einen kleinen Teil der infolge des der Beklagten zuzurechnenden Datenschutzverstoßes offenbarten Daten repräsentieren, damit auch nicht ohne weiteres eine Identifizierung der Person des Klägers ermöglichen und der Kläger zudem auch eine Kontrolle über diese Daten innehat, die er jederzeit löschen kann.

cc) Im Rahmen der Genugtuungsfunktion des Ersatzanspruchs wegen immaterieller Schäden ist die an den Kläger versandte E-Mail vom 18.08.2021 von Bedeutung. Denn insoweit geht es nicht mehr nur um die bloße Sorge des Klägers vor den Folgen eines Datenschutzverstoßes und des darauf beruhenden Kontrollverlusts; vielmehr hat sich das in dem Datenschutzverstoß liegende Risiko hier bereits verwirklicht. Allerdings ist zu sehen, dass es sich lediglich um eine E-Mail handelt. Weitere konkrete Beeinträchtigungen über den eingetreten Kontrollverlust hinaus, die sich als Folge der Offenbarung der personenbezogenen Daten des Klägers darstellen, hat der Kläger im Senatstermin am 09.12.2022 verneint, sie werden angesichts der seit dem Datenverstoß bereits verstrichenen Zeit auch zunehmend weniger wahrscheinlich. Soweit der Kläger mit seinem Hinweis auf militante Impfgegner auf eine von diesen ausgehende Gefahr körperlicher oder sonstiger Übergriffe aufgrund des Umstands hinweisen will, dass der Kläger selbst eine Impfung befürwortet, hat sich insoweit kein Anhaltspunkt für eine konkrete Beeinträchtigung aufgrund des Datenschutzverstoßes ergeben.

dd) Soweit der Kläger geltend macht, der vom Landgericht zuerkannte Betrag von 100,00 Euro sei eher symbolischer Natur und habe keinerlei Abschreckungseffekt, so vermag der Senat dem nicht beizutreten.
153
Im Hinblick auf Erwägungsgrund 146 S. 3 zur DS-GVO sollen Schadenersatzforderungen zwar abschrecken und weitere Verstöße unattraktiv gemacht werden (Schaffland/Holthaus, in: Schaffland/Wiltfang, DS-GVO/BDSG, Stand: August 2022, Art. 82 DS-GVO Rn. 10b). Auch vermag sich ein Abschreckungseffekt vielleicht nicht aus dem dem Kläger zuerkannten Betrag ergeben. Allerdings ist hier in den Blick zu nehmen, dass der der Beklagten zuzurechnende Verstoß gegen die DS-GVO hier nicht lediglich den Kläger betrifft, sondern eine Vielzahl weiterer Personen, deren personenbezogene Daten ebenfalls in der übermittelten Excel-Datei enthalten waren. Insoweit gehen die Parteien übereinstimmend davon aus, dass die Datei Daten von insgesamt 13.000 Personen enthielt. Dieser Umstand bietet jedenfalls das Potenzial, das sich aus Ansprüchen vieler Betroffener ein durchaus messbarer finanzieller Schadensbetrag bei der Beklagten einstellt.

ee) Eine Erhöhung der Entschädigung ist auch nicht im Hinblick auf eine Sanktionswirkung der Entschädigung angezeigt.

Das für die konkrete Bemessung der Höhe maßgebliche deutsche Recht (vgl. Nemitz, in: Ehmann/Selmayr, DS-GVO, 2. Auflage 2018, Art. 82 Rn. 17) kennt – anders als die Rechtsordnungen anderer Staaten – keinen Strafschadensersatz. Eine wie auch immer geartete Sanktionswirkung neben dem Ausgleich eines konkret entstandenen immateriellen Schadens ist daher bei der Bemessung der dem Kläger zustehenden Entschädigung nicht in Betracht zu ziehen. Insoweit bestimmt Art. 83 DS-GVO, dass die zuständige Aufsichtsbehörde im Falle eines Verstoßes gegen die DS-GVO neben einem etwaigen individuellen Anspruch auf Schadenersatz nach Art. 82 Abs. 1 DS-GVO eine Geldbuße verhängen kann.

ff) Unter Beachtung der vorstehenden Erwägungen hält der Senat bei einer Gesamtbetrachtung des vorliegenden Falles und seiner Besonderheiten im Hinblick auf den eingetretenen dauerhaften Kontrollverlust und den Erhalt einer unerwünschten E-Mail den durch das Landgericht zuerkannten Betrag in Höhe von 100,00 Euro für angemessen, aber auch ausreichend, um den beim Kläger eingetretenen immateriellen Schaden nach Maßgabe des in der DS-GVO geregelten Schadensersatzanspruchs zu kompensieren.


Den Volltext der Entscheidung finden Sie hier:


ArbG Köln: Entgegen der DSGVO oder anderweitig datenschutzwidrig erlangte Tatsachen können einem Verwertungsverbot im Prozess unterliegen

ArbG Köln
Urteil vom 23.03.2022
18 Ca 6830/21

Das ArbG Köln hat entschieden, dass entgegen der DSGVO oder anderweitig datenschutzwidrig erlangte Tatsachen einem Verwertungsverbot im Prozess unterliegen können.

Aus den Entscheidungsgründen:
(2)Der Zugrundelegung des entsprechenden Tatsachenvortrags der Beklagten als unstreitig steht – entgegen der Auffassung der Klägerin - nicht entgegen, dass die Beklagte das maßgebliche Indiz für die Täuschung der Klägerin widerrechtlich – unter Verletzung des ihr gebührenden Datenschutzes – erlangt hätte.

(a) Allerdings können Verstöße gegen das Recht auf den durch Art. 8 Abs. 1 GRCh gebotenen Schutz der personenbezogenen Daten bzw. das aus Art. 2 Abs. 1 i. V. m. 1 Abs. 1 GG abzuleitende Recht auf informationelle Selbstbestimmung (vgl. BVerfG, Urteil vom 24. November 2010 – 1 BvF 2/05 –, BVerfGE 128, 1-90, Rn. 150 ff. mwN) zu prozessualen Verwertungsverboten führen:

Für die Rechtslage bis zum Inkrafttreten der unionsrechtlichen Datenschutz-Grundverordnung hat das Bundesarbeitsgericht die Frage prozessualer Verwertungsverbote rein an verfassungsrechtlichen Maßstäben bemessen und – verkürzt - wie folgt beantwortet:

In Fällen, in denen die dem Sachvortrag einer Partei zugrunde liegende Informations- oder Beweisbeschaffung das allgemeine Persönlichkeitsrecht der anderen Partei verletzt, ohne dass dies durch überwiegende Belange gerechtfertigt ist, kommt ein „verfassungsrechtliches Verwertungsverbot“ in Betracht. Obwohl der Anspruch auf rechtliches Gehör aus Art. 103 Abs. 1 GG es im Zivilprozess grundsätzlich gebietet, den Sachvortrag der Parteien und die von ihnen angebotenen Beweise zu berücksichtigen, kann dann eine Verwertung durch das Gericht unzulässig sein, wenn dies wegen einer grundrechtlich geschützten Position einer Prozesspartei zwingend geboten ist. Dies ist dann der Fall, wenn die prozessuale Verwertung der Erkenntnis oder des Beweismittels selbst einen Grundrechtsverstoß darstellen würde und das nach Art. 1 Abs. 3 GG unmittelbar an die Grundrechte gebundene Gericht ohne Rechtfertigung in eine verfassungsrechtlich geschützte Position einer Prozesspartei eingriffe, indem es eine Persönlichkeitsrechtsverletzung durch einen Privaten perpetuierte oder vertiefte. Insofern kommt die Funktion der Grundrechte als Abwehrrechte gegen den Staat zum Tragen. Auf eine nicht gerechtfertigte Beeinträchtigung des Persönlichkeitsrechts durch einen Privaten darf kein verfassungswidriger Grundrechtseingriff durch ein Staatsorgan „aufgesattelt“ werden (st. Rspr., vgl. nur BAG, Urteil vom 28. März 2019 – 8 AZR 421/17 –, Rn. 28, juris mwN).

Ein verfassungsrechtlich gebotenes Verbot der Verwertung von Sachvortrag und Beweismitteln hat Auswirkungen auf die Geständnisfiktion des § 138 Abs. 3 ZPO und damit auf die Einordung eines Sachvortrags als streitig oder unstreitig. Sieht eine Arbeitnehmerin oder ein Arbeitnehmer von einem - ggf. wahrheitswidrigen - Bestreiten des gegnerischen Sachvortrags ab, bewirkt ein Sachvortragsverwertungsverbot, dass das inkriminierte Vorbringen des Arbeitgebers gleichwohl als bestritten zu behandeln ist (BAG, Urteil vom 23. August 2018 – 2 AZR 133/18 –, BAGE 163, 239-256, Rn. 16).

Ob eine Verletzung des allgemeinen Persönlichkeitsrechts in Gestalt des Rechts auf informationelle Selbstbestimmung vorlag oder nicht, hat das Bundesarbeitsgericht danach beurteilt, ob die zu verwertenden Daten unter Verstoß gegen die einfachgesetzlichen Datenschutzvorschriften erlangt wurden oder nicht. Diese Bestimmungen (des BDSG aF) konkretisierten und aktualisierten für den Einzelnen den Schutz seines Rechts auf informationelle Selbstbestimmung. Sei die betreffende Maßnahme nach den Vorschriften des BDSG aF zulässig gewesen, läge keine Verletzung des allgemeinen Persönlichkeitsrechts in Gestalt des Rechts auf informationelle Selbstbestimmung vor. Ein Verwertungsverbot scheide von vornherein aus. Nur dann, wenn die fragliche Maßnahme nach diesen Bestimmungen nicht erlaubt gewesen sei, müsse gesondert geprüft werden, ob die Verwertung gewonnener Erkenntnisse im Prozess einen Grundrechtsverstoß durch das Gericht darstellen würde (vgl. BAG, Urteil vom 23. August 2018 – 2 AZR 133/18 –, BAGE 163, 239-256, Rn. 15 mwN).

(b) An diesen Bewertungsmaßstäben hat sich durch das Inkrafttreten der unmittelbar geltenden Datenschutzgrundverordnung (Art. 288 Abs. 2 AEUV) am 25.05.2018 keine wesentliche Änderung ergeben. Die Frage der Verwertbarkeit datenschutzwidrig erlangter Informationen richtet sich nach den Bestimmungen der Verordnung. Dabei enthält die DS-GVO kein vorbehaltloses Verbot der gerichtlichen Verwertung unrechtmäßig erlangter Daten (Arg. e Art. 17 Abs. 3 lit. e DS-GVO). Die Datenverarbeitung hat dem einschlägigen Erlaubnistatbestand nach Art. 6 Abs. 1 S. 1 lit. e, Abs. 3 S. 1 lit. b DS-GVO iVm. § 3 BDSG zu genügen. Danach ist die Verwertung des Sachvortrags durch das Gericht zulässig, wenn dies zur Erfüllung seiner hoheitlichen Aufgaben erforderlich ist. Im Rahmen der danach vorzunehmenden umfassenden Verhältnismäßigkeitsprüfung unter Abwägung der aus Art. 7 und Art. 8 GRCh bzw. Art. 2 Abs. 1 iVm. 1 Abs. 1 GG folgenden Rechte besteht Raum und Relevanz für die auch nach der bisherigen Rechtsprechung vorgenommene datenschutzrechtliche Vorprüfung der außerprozessualen Erkenntnisgewinnung (vgl. BAG, Urteil vom 23. August 2018 – 2 AZR 133/18 –, BAGE 163, 239-256, Rn. 47; Schindler DRiZ 2021, 370, 373; Frank/Heine, BB 2021, 884, 885; Tiedemann, ZD 2019, 230, 231).

(c)Unter Zugrundelegung dieser Grundsätze erweist sich der Vortrag der Beklagten als verwertbar. Die von der Beklagten vorgenommene Verarbeitung der Gesundheitsdaten der Klägerin war durch Art. 6 Abs. 1 Satz 1 lit. c DS-GVO iVm. § 28b Abs. 3 Satz 3 IfSG in der vom 24.11. bis 11.12.2021 geltenden Fassung (aF) gedeckt und damit rechtmäßig.

Unabhängig vom Vorliegen einer Einwilligung im Sinne von Art. 6 Abs. 1 Satz 1 lit. a DS-GVO war die Beklagte am 03.12.2021 berechtigt, den Impfstatus der Klägerin zu dokumentieren. Denn nach § 28b Abs. 3 Satz 1 IfSG aF war sie ab dem 24.11.2021 - das Datum der Mitarbeiterinformation hierzu (22.11.2021) ist insoweit ebenso irrelevant wie die von der Klägerin beklagte Uneindeutigkeit des entsprechenden Rund-Schreibens -gesetzlich verpflichtet, die Einhaltung der nach § 28b Abs. 1 Satz 1 IfSG aF geltenden 3-G-Zutrittsbeschränkung zum Betrieb zu überwachen und zu dokumentieren. Nach § 28b Abs. 3 Satz 3 IfSG aF war ihr zu diesem Zweck die Verarbeitung der personenbezogene Daten der Mitarbeiter einschließlich der Daten zum Impfstatus erlaubt. Es ist nicht ersichtlich, dass die Klägerin den Impfausweis nicht zum Nachweis der Zutrittsvoraussetzungen nach § 28b Abs. 1 Satz 1 IfSG aF vorgelegt hätte. Jedenfalls konnte die Beklagte nicht davon ausgehen, dass sie trotz ihres positiven Impfstatus die Einhaltung der 3-G-Regel durch eine Testung (über-) erfüllen wollte. Dass die Nachweis-Vorlage auch der Kontrolle der Einhaltung der 2-G-Vorgabe für die von der Klägerin weiterhin durchgeführten Kunden-Präsenztermine dienen konnte, würde zusätzlich eine Rechtfertigung nach § 26 Abs. 1 Satz 1 BDSG bedeuten.

In Erfüllung der aus § 28b Abs. 3 Satz 1 IfSG aF folgenden Kontroll-Verpflichtung war die Beklagte nach Abs. 3 Satz 3 auch zur Verarbeitung durch Abgleich mit den öffentlich erhältlichen Daten der Chargenabfrage – welche selbst keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DS-GVO bzw. des BDSG § 46 Nr. 1 BDSG enthielt - berechtigt. Nur so konnte die Beklagte mangels Vorlage des QR-Codes sicherstellen, dass tatsächlich der behauptete Impfstatus gegeben war.

Es kann dahinstehen, ob aufgrund des frühen Erst-Impftermins der Klägerin eine Rechtfertigung der Datenverarbeitung auch nach § 26 Abs. 1 Satz 2 BDSG bestand.

(d) Selbst wenn man den Abgleich der Daten aus dem Impfausweis der Klägerin mit den Daten aus der Chargenabfrage als nicht von den datenschutzrechtlichen Bestimmungen gedeckt ansehen wollte, wäre die Verwertung des darauf basierenden Sachvortrags im vorliegenden Kündigungsschutzverfahren nach Auffassung der Kammer zulässig:

Die Beeinträchtigung des Rechts der Klägerin auf Schutz ihrer personenbezogenen Daten tritt angesichts der hohen Bedeutung der Verpflichtung ihrer Arbeitgeberin auf Kontrolle der gesetzlichen Infektionsschutzvorgaben zurück: Ein Arbeitnehmer, der seinem Arbeitgeber zum Nachweis der Einhaltung gesetzlicher oder auch vertraglich verbindlich gesetzter Infektionsschutzregeln eine unrichtige Urkunde vorlegt, ist bezogen auf die darin enthaltenen - unzutreffenden – personenbezogenen Daten nicht derart schutzwürdig, dass die staatlichen Gerichte an der Verwertung der durch die Datenverarbeitung gewonnenen Erkenntnisse gehindert wären. Das folgt aus der Wertung des Gesetzgebers, der im Zeitpunkt der Datenverarbeitung bereits die Vorlage unrichtiger Gesundheitszeugnisse in § 279 StGB unter Strafe gestellt und diesen Straftatbestand als Offizialdelikt ausgestaltet hatte. Mit Blick auf die durch den Gebrauch des unrichtigen Impfpasses folgende Gefährdung der Allgemeinheit und die geringe Eingriffsintensität in Bezug auf unrichtige Gesundheitsdaten wäre ein prozessuales Verwertungsverbot nicht gerechtfertigt.

Den Volltext der Entscheidung finden Sie hier:

Bundesgesetzblatt: Gesetz zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze anlässlich der Aufhebung der Feststellung der epidemischen Lage von nationaler Tragweite

Das Gesetz zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze anlässlich der Aufhebung der Feststellung der epidemischen Lage von nationaler Tragweite wurde im Bundesgesetzblatt veröffentlicht und tritt am 24.11.2021 in Kraft.

Bundestag: Entwurf - Gesetz zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze anlässlich der Aufhebung der Feststellung der epidemischen Lage von nationaler Tragweite

Der Bundestag hat den Entwurf eines Gesetzes zur Änderung des Infektionsschutzgesetzes und weiterer Gesetze anlässlich der Aufhebung der Feststellung der epidemischen Lage von nationaler Tragweite vorgelegt.