OLG Dresden: Der Geschäftsführer einer Gesellschaft ist neben der Gesellschaft Verantwortlicher im Sinne der Datenschutzgrundverordnung (DSGVO), beide haften als Gesamtschuldner

Das Oberlandesgericht (OLG) Dresden hat entschieden, dass bei der Datenverarbeitung durch eine GmbH nicht nur die Gesellschaft als Verantwortlicher im Sinne von § 4 Nr. 7 DSGVO gilt, sondern daneben auch der Geschäftsführer. Vor diesem Hintergrund hat das OLG Dresden den Geschäftsführer und die Gesellschaft gesamtschuldnerisch zur Zahlung eines Schmerzensgeldes wegen unrechtmäßiger Datenverarbeitung in Höhe von EUR 5.000,00 verurteilt.

Sachverhalt des Rechtstreits

Das OLG Dresden hatte über die Klage eines Autohändlers gegen einen Oldtimer-Verein sowie dessen Geschäftsführer zu entscheiden. Der Autohändler hatte auf die Zahlung von immateriellem Schadensersatz in Höhe von EUR 21.000,00 wegen der Verletzung seiner Rechte aus der DSGVO geklagt.

Gegenstand der Klage war folgender Sachverhalt:

Der Autohändler hatte bei dem Oldtimer-Verein eine Mitgliedschaft beantragt. Im Zuge dessen erwähnte der Autohändler ein gegen ihn geführtes Ermittlungsverfahren. Nach der Satzung des Vereins wird Straftätern sowie nicht einwandfrei beleumundeten Personen eine Mitgliedschaft verwehrt. Daher beauftragte der Geschäftsführer des Vereins eine Detektei, um strafrechtlich relevante Informationen über den Kläger einzuholen. Die Ausführung des Auftrags durch die Detektei brachte tatsächlich strafrechtlich relevante Daten über den Autohändler zum Vorschein. Hiervon setzte die Detektei den Geschäftsführer in Kenntnis. Dieser übermittelte die strafrechtlich relevanten Vorgänge anschließend an die Vorstandsmitglieder des Vereins. Der Mitgliedsantrag des Autohändlers wurde daraufhin abgelehnt.

Das LG Dresden lehnte die Klage des Autohändlers teilweise ab und verurteilte den Verein und den Geschäftsführer gemeinschaftlich auf Zahlung eines Schmerzensgeldes in Höhe von EUR 5.000,00. Das OLG Dresden teilt die Auffassung des LG Dresden.

Begründung des OLG Dresden

Das OLG Dresden begründet seine Entscheidung damit, dass in der Beauftragung der Detektei zur Erlangung strafrechtlich relevanter Daten über den Autohändler eine unrechtmäßige Datenverarbeitung zu sehen sei. Die Verarbeitung der Daten des Autohändlers sei nicht nach Art. 6 DSGVO, insbesondere nicht durch eine Einwilligung oder ein berechtigtes Interesse des beklagten Vereins und des Geschäftsführers zu rechtfertigen. Für das Vorliegen eines berechtigten Interesses fehle es bereits an der Erforderlichkeit der Datenverarbeitung. Das OLG Dresden ist der Ansicht, die Beklagten hätten den Autohändler als milderes Mittel vor dem Einschalten einer Detektei zunächst zur Selbstauskunft auffordern müssen. Im Übrigen handle es sich bei den streitgegenständlichen Daten auch um „personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln“ im Sinne von Art. 10 DSGVO, die nur unter behördlicher Aufsicht verarbeitet werden dürften.

Als Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO für die unrechtmäßige Datenverarbeitung qualifizierte das OLG Dresden dabei überraschenderweise nicht nur den Verein, sondern auch dessen Geschäftsführer. Seine Entscheidung begründet das OLG Dresden nur sehr kurz damit, dass derjenige als Verantwortlicher zu qualifizieren sei, welcher die Entscheidung über den Zweck und die Mittel der Datenverarbeitung treffe. Dies treffe neben der Gesellschaft stets auch auf den Geschäftsführer der Gesellschaft zu.

Die Verarbeitung der strafrechtlich relevanten Daten stelle außerdem einen immateriellen Schaden dar, der die Bagatellschwelle überschreite, da es sich nicht um eine völlig unerhebliche Beeinträchtigung handle. Das Schmerzensgeld sei dabei unter Beachtung der relevanten Faktoren – Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des Schadens sowie die Kategorie der betroffenen personenbezogenen Daten – in Höhe von EUR 5.000,00 zu bemessen. Die Geldentschädigung habe dabei keinen Strafcharakter. Ihr solle lediglich eine abschreckende Wirkung zukommen.

Bedeutung und Auswirkungen der Entscheidung

Bei der vorliegenden Entscheidung handelt es sich soweit ersichtlich um die erste, bei der der Geschäftsführer eines Rechtsträgers – hier einer GmbH – als Verantwortlicher für eine unrechtmäßige Datenverarbeitung haftbar gemacht wird.

Im Fall von Datenverarbeitungen durch einen Rechtsträger wurde von Rechtsprechung und herrschender Meinung bislang stets allein der Rechtsträger als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO qualifiziert. Dessen Organe werden vor allem deshalb nicht als Verantwortliche in diesem Sinne angesehen, weil die DSGVO die Verantwortung für die Datenverarbeitung explizit dem jeweiligen Rechtsträger zuordnet und eben nicht dem im Außenverhältnis vertretungsberechtigten Organ. Dieses entscheidet in dieser Funktion als gesetzlicher Vertreter des Rechtsträgers über die Zwecke und Mittel der Datenverarbeitung eben für den Rechtsträger. Eine Datenverarbeitung für persönliche Zwecke und in eigenem Interesse des Organs erfolgt grundsätzlich nicht. Das gilt im Übrigen auch dann, wenn das Organ selbst gesellschaftsrechtlich am Rechtsträger beteiligt ist. Ein etwaiges Handeln für eigene, persönliche Zwecke durch den Geschäftsführer ist aus der veröffentlichten Entscheidung des OLG Dresden jedenfalls nicht ersichtlich. Es bleibt also abzuwarten, ob weitere Gerichte diese Auffassung in Zukunft teilen werden.

Angesichts der überzeugenderen Argumente, die gegen eine datenschutzrechtliche Verantwortlichkeit von Organen sprechen, bleibt zu hoffen, dass es sich bei dem Urteil des OLG Dresden um einen Ausreißer handelt. Für die Praxis bleibt es aber in jedem Fall bei der datenschutzrechtlichen Verantwortlichkeit des Rechtsträgers nach der DSGVO, sofern personenbezogene Daten auf dessen Betreiben verarbeitet werden. Es sollte daher insbesondere bei Zweifeln und/oder der Verarbeitung sensibler Daten eine sorgfältige Prüfung der Rechtmäßigkeit erfolgen und hierzu erforderliche Maßnahmen ergriffen werden.