Unbefugter Zugriff auf die Personalakte: Datenschutz und Schaden

Das Archivdatum dient der Sortierung und bezeichnet keine frühere Veröffentlichung.

Quelle: Amtliche Entscheidung bzw. gerichtliche Mitteilung zu VI ZR 365/22.

Zunächst den tatsächlichen Datenzugriff klären

Personalakten enthalten häufig besonders vertrauliche Informationen. Für eine rechtliche Prüfung sollte zunächst feststehen, welche Unterlagen betroffen sind, wer sie erhalten hat und zu welchem Zweck. Eine organisatorische Verbindung zwischen zwei Einrichtungen beantwortet noch nicht jede Frage zur rechtmäßigen Datenverarbeitung. Auch berechtigte Aufgaben erlauben nicht automatisch einen uneingeschränkten Zugriff auf sämtliche Akteninhalte. Eine sachliche Dokumentation hilft, tatsächliche Zugriffe von bloßen Befürchtungen zu unterscheiden und den richtigen Verantwortlichen anzusprechen.

Auskunft gezielt statt pauschal verlangen

Art. 15 DSGVO gewährt unter seinen Voraussetzungen Auskunft über die Verarbeitung personenbezogener Daten. Ein Schreiben kann deshalb die betroffenen Akten, den ungefähren Zeitraum und die offenen Fragen zum Zugriff nennen. Es sollte verständlich sein und den Eingang nachweisbar machen. Die Antwort ist anschließend auf den konkreten Informationsbedarf zu prüfen. Eine allgemeine Datenschutzerklärung beantwortet nicht zwangsläufig jede Einzelfrage; umgekehrt führt nicht jede unterschiedliche Erwartung an eine Antwort bereits zu einem Schadensersatzanspruch.

Welche Nachweise für einen Streit hilfreich sind

Eine Beschreibung sollte weder übertreiben noch ein bestimmtes Gefühl aus einem fremden Muster übernehmen. Für die Anspruchsprüfung ist eine nachvollziehbare Darstellung des eigenen Geschehens nützlicher als ein pauschaler Betrag aus einem anderen Verfahren.

• Auskunftsanfrage, Eingangsbeleg, Antworten und dokumentierte Hinweise auf Empfänger aufbewahren.
• Betroffene Datenarten und bekannte Weitergaben in einer Übersicht festhalten.
• Konkrete Auswirkungen wie notwendige Schutzmaßnahmen, wirtschaftliche Nachteile oder nachvollziehbare persönliche Belastungen beschreiben.

Datenschutzverstoß und Schaden sind eigene Voraussetzungen

Art. 82 DSGVO verbindet einen Ersatzanspruch mit einem Verstoß, einem materiellen oder immateriellen Schaden und dem Zusammenhang zwischen beiden. Die rechtliche Einordnung eines Kontrollverlusts kann dabei bedeutsam sein. Es bleibt aber notwendig, den eigenen Sachverhalt darzustellen. Auch ein Feststellungsantrag und ein bezifferter Zahlungsantrag verfolgen unterschiedliche Ziele. Wer lediglich die Pflicht zur Datenverarbeitung prüfen lassen möchte, sollte dies deshalb nicht unbesehen mit einer pauschalen Forderung auf Geldzahlung vermischen.

Unterlagen für die Beratung ordnen

Betroffene aus Essen oder dem Ruhrgebiet können mit der Korrespondenz und einer Übersicht über die fraglichen Zugriffe beginnen. Dabei sollte kenntlich bleiben, welche Tatsachen bestätigt sind und welche noch aufgeklärt werden müssen. Neben einem Ersatzanspruch können Auskunft, Berichtigung oder Beschränkung der Verarbeitung je nach Fall bedeutsam sein. Ein Vorgehen gegen den falschen Rechtsträger löst das Problem möglicherweise nicht. Die individuelle Prüfung sollte daher Datenverantwortung, gewünschte Abhilfe, Beweislage und mögliche Fristen gemeinsam betrachten.

Eine Liste der betroffenen Datenkategorien und der bekannten Empfänger hilft, Umfang und Auswirkungen des behaupteten Kontrollverlusts konkret zu beschreiben, ohne unbekannte Weitergaben als bewiesen darzustellen.