Das OLG Köln hat mit Urteil vom 14.07.2022 (Az. 15 U 137/21) entschieden, dass im Einzelfall bei Verletzung der Betroffenenrechten, in diesem Fall wurde die Auskunft nicht vollständig und fristgerecht erteilt, ein Schadensersatz von 500,00 EUR durchaus angemessen sein kann.
Im vorliegenden Fall ging es konkret darum, dass eine betroffene Person den Rechtsanwalt gewechselt hat und in einem laufenden Rechtstreit die Unterlagen des alten Rechtsanwalts benötigte. Diese Unterlagen wurden im Rahmen einer Auskunftsanfrage eingefordert.
Der Rechtsanwalt hat die Auskunftsanfrage jedoch nicht fristgerecht und darüber hinaus unvollständig beantwortet, weshalb die betroffene Person angibt, dass ihr ein psychischer Schaden entstanden sei, weil sie befürchtete, dass sie im laufenden Rechtstreit mit einer Versicherung ihre Position nicht ausreichend vertreten kann. Und der Vorgang zudem nur erschwert fortgeführt werden konnte.
Die vorgebrachten Argumente reichten dem OLG Köln aus, um die Erheblichkeitsschwelle für überschritten zu betrachten und damit einen immateriellen Schaden anzuerkennen.
Fazit für Alle Unternehmen
Die Betroffenenrechte müssen im Unternehmen gewahrt werden. Dabei gilt es das Unternehmen auf eine potenzielle Einforderung eines Betroffenenrechtes vorzubereiten, damit im Ernstfall eine vollständige Auskunft innerhalb der regulären Antwortfrist möglich ist und gewährleistet wird.
Organisieren Sie den Umgang mit Betroffenenanfragen im Unternehmen. Planen Sie das Vorgehen und sorgen Sie dafür, dass alle Mitarbeiter im Unternehmen wissen, wie bei einer Anfrage zu verfahren ist.
Wichtig: Die Anfrage muss vom Betroffenen nicht an den Datenschutzbeauftragten oder an die Datenschutzfachkraft gerichtet werden. Der Betroffene kann seine Anfrage jederzeit – auch telefonisch – bei jedem Ihrer Mitarbeiter geltend machen!
Handlungsempfehlung für unsere Mandanten
- Sorgen Sie für ein stets aktuelle Dokumentation, damit mögliche Speicherorte und Anwendungen mit zu beauskunftenden Daten schnell erkannt werden können. Nutzen Sie dazu den Bereich „Verzeichnis der Verarbeitungstätigkeiten“ in unserem Dokumentationsportal.
- Sensibilisieren Sie Ihre Mitarbeiter in allen Abteilungen, dass die Anfragen von Betroffenen innerhalb kurzer Zeit beim Datenschutzkoordinator im Unternehmen oder bei uns ankommen müssen. Idealerweise wird dazu der Meldelink im Datenschutzhandbuch genutzt. Bei Mitarbeitern ohne Computerzugang kann die Weitergabe der Information aber auch anders erfolgen. Den Entwurf für das Datenschutzhandbuch, sofern noch nicht umgesetzt, finden Sie im BK2 in der Dateiablage des Dokumentationsportals.
- Halten Sie die Regelung zum Umgang mit Betroffenenanfragen zudem schriftlich in einer Arbeitsanweisung bzw. Unternehmensrichtlinie fest. Einen Entwurf für eine solche Richtlinie finden Sie als Anlage zum Datenschutzhandbuch ebenfalls im BK2.
- Erinnern Sie Ihre Mitarbeiter von Zeit zu Zeit an die Berücksichtigung der Betroffenenrechte. Dazu sind keine aufwändigen Schulungen notwendig, es kann auch mal ein One-Pager am Aushang genügen. Einen Entwurf dazu finden Sie in den Mustervorlagen unter BK3 in der Dateiablage des Dokumentationsportals.
- Auch wenn der Meldelink nicht genutzt wurde, beispielsweise weil der Mitarbeiter keinen PC-Zugriff hat: Dokumentieren Sie die Anfrage mit allen notwendigen Informationen im Dokumentationsportal im Bereich der „Anfragen Betroffener“. Damit kommen Sie der geforderten Rechenschaftspflicht nach und können auch Nachweise erbringen, ob die gesetzlichen Fristen eingehalten worden sind.
Sollten Sie weitere Fragen zu den Betroffenenrechten haben, oder generell weitere Fragen zum Datenschutz, dann stehen wir Ihnen selbstverständlich gerne zur Verfügung.
