Startseite › Ratgeber › Datenschutzverletzung: Anspruch auf Schadensersatz in der WEG

Datenschutzverletzung: Anspruch auf Schadensersatz in der WEG

Ja, Art. 82 Abs. 1 DSGVO gewährt einen Anspruch auf Schadensersatz, wenn personenbezogene Daten unter Verstoß gegen die Datenschutz-Grundverordnung verarbeitet wurden und dadurch ein materieller oder immaterieller Schaden entstanden ist. In der Wohnungseigentumsverwaltung betrifft das zum Beispiel Fälle, in denen der Verwalter Namen, Kontaktdaten oder gesundheitliche Informationen über Eigentümer unzulässig an Dritte oder an die übrige Gemeinschaft weitergibt. Nicht jede Weitergabe von Informationen innerhalb der Gemeinschaft ist jedoch ein Verstoß. Gerade in der Hausverwaltung ist ein gewisser Austausch von Daten notwendig, damit die Verwaltung ihre Aufgaben nach §§ 13, 14 WEG überhaupt erfüllen kann.

Voraussetzungen des Anspruchs nach Art. 82 DSGVO

Der Anspruch setzt drei Dinge voraus: einen Verstoß gegen die DSGVO, einen tatsächlich entstandenen Schaden und einen ursächlichen Zusammenhang zwischen beidem. Als Schaden kommen sowohl materielle Nachteile, etwa Kosten für eine Kreditsperre nach einem Datenleck, als auch immaterielle Beeinträchtigungen in Betracht, zum Beispiel psychisches Unwohlsein infolge einer unbefugten Offenlegung sensibler Daten. Die DSGVO behandelt beide Schadensarten gleichwertig. Der Verantwortliche, also derjenige, der die Daten verarbeitet hat, haftet nach Art. 82 Abs. 3 DSGVO nicht, wenn er nachweist, dass ihn kein Verschulden an dem Ereignis trifft, das den Schaden verursacht hat. In der Praxis bedeutet das eine Beweislastumkehr zulasten des Verantwortlichen.

Wer ist Verantwortlicher: Verwalter oder Gemeinschaft

Im Sinne von Art. 4 Nr. 7 DSGVO ist Verantwortlicher, wer über Zwecke und Mittel der Datenverarbeitung entscheidet. Bei der Verwaltung von Wohnungseigentum kann dies sowohl die Gemeinschaft der Wohnungseigentümer als auch der Verwalter selbst sein, je nachdem, welche Daten zu welchem Zweck verarbeitet werden. Die §§ 13 und 14 WEG regeln die Rechte und Pflichten der Eigentümer untereinander und geben zugleich einen Rahmen vor, welche Informationen innerhalb der Gemeinschaft weitergegeben werden dürfen. Wer sich auf eine Datenschutzverletzung beruft, sollte daher zunächst klären, wer die beanstandete Verarbeitung tatsächlich vorgenommen hat, denn davon hängt ab, wer als Anspruchsgegner in Betracht kommt.

Beispiel: Information der Eigentümer bei Legionellenbefall

Ein praktisches Beispiel zeigt, dass nicht jede Offenlegung personenbezogener Daten einen Verstoß darstellt. Bei einem Legionellenbefall in einer Wohnanlage kann der Verwalter berechtigt sein, den übrigen Wohnungseigentümern die betroffene Wohnung sowie deren Eigentümer zu nennen. Der Grund liegt darin, dass die Sicherheit und Gesundheit der Gemeinschaft in diesem Fall höher zu gewichten ist als das Interesse des betroffenen Eigentümers an Anonymität, und die Information notwendig ist, damit die Gemeinschaft angemessen reagieren kann, etwa durch Spülungen oder Probenahmen. Solche Abwägungen sind stets einzelfallabhängig und hängen davon ab, ob die Weitergabe erforderlich und verhältnismäßig war. Wird mehr preisgegeben als zur Gefahrenabwehr nötig, kann der Rahmen zulässiger Verarbeitung überschritten sein.

Immaterieller Schaden: hohe Hürde, keine Pauschale

Für den immateriellen Schaden gilt, dass bloßer Ärger oder ein kurzzeitiges Unbehagen in der Regel nicht ausreichen. Die Rechtsprechung zu Art. 82 DSGVO entwickelt sich nach wie vor und ist in Details uneinheitlich. Gerichte verlangen überwiegend eine spürbare Beeinträchtigung, die über das hinausgeht, was mit einer Datenverarbeitung im Alltag ohnehin verbunden ist. Wer Schadensersatz fordert, muss den Schaden konkret darlegen, zum Beispiel durch Schilderung der Umstände und der Auswirkungen auf die eigene Lebenssituation. Eine pauschale Entschädigung allein wegen eines formalen DSGVO-Verstoßes, ohne spürbare Folge, wird von den Gerichten überwiegend abgelehnt. Da die Einzelfallbewertung im Vordergrund steht, lässt sich die Höhe eines möglichen Anspruchs im Voraus kaum verlässlich beziffern.

Vorgehen bei Verdacht auf eine Datenschutzverletzung

Wer eine Datenschutzverletzung vermutet, sollte zunächst den Sachverhalt dokumentieren: welche Daten wurden wann, an wen und zu welchem Zweck weitergegeben. Danach empfiehlt sich eine schriftliche Anfrage an den Verwalter oder die Gemeinschaft, um den Vorgang aufzuklären und gegebenenfalls Auskunft nach Art. 15 DSGVO zu verlangen. Erst wenn sich daraus kein zufriedenstellendes Ergebnis ergibt, kommt eine Geltendmachung von Schadensersatz in Betracht. Der Anspruch aus Art. 82 DSGVO verjährt wie andere deliktische Ansprüche regelmäßig nach drei Jahren gemäß § 195 BGB, gerechnet ab Kenntnis von Schaden und Verantwortlichem. Eine zeitnahe Klärung erleichtert zudem die Beweisführung, da sich Verarbeitungsvorgänge mit der Zeit schwerer nachvollziehen lassen.

✓Vorgang schriftlich dokumentieren: Datum, Art der Daten, Empfänger
✓Auskunft nach Art. 15 DSGVO beim Verantwortlichen einholen
✓Klärung mit Verwalter oder Gemeinschaft vor einer Klage suchen
✓Verjährungsfrist von drei Jahren im Blick behalten

Häufige Fragen

Haftet der Verwalter persönlich oder die Gemeinschaft der Wohnungseigentümer?

Das hängt davon ab, wer im konkreten Fall als Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO gehandelt hat. Verarbeitet der Verwalter Daten im Rahmen seiner organschaftlichen Aufgaben für die Gemeinschaft, kommt in erster Linie die Gemeinschaft als Anspruchsgegnerin in Betracht. Handelt der Verwalter eigenmächtig außerhalb seines Auftrags, kann er selbst haften. Die Zuordnung ist im Einzelfall zu prüfen.

Reicht ein formaler DSGVO-Verstoß ohne spürbare Folgen für einen Schadensersatzanspruch aus?

In der Regel nicht. Die Gerichte verlangen überwiegend, dass der Betroffene eine konkrete, spürbare Beeinträchtigung darlegt. Ein bloßer Verstoß gegen formale Vorgaben der DSGVO ohne erkennbare Auswirkung begründet meist keinen Anspruch auf Geldentschädigung.

Darf der Verwalter Kontaktdaten von Eigentümern an andere Eigentümer weitergeben?

Das kommt auf den Zweck an. Informationen, die für die ordnungsgemäße Verwaltung oder zur Abwehr von Gefahren erforderlich sind, dürfen im Rahmen von §§ 13, 14 WEG weitergegeben werden. Eine Weitergabe ohne sachlichen Grund, etwa aus reiner Gefälligkeit, ist dagegen regelmäßig unzulässig.

Welche Frist gilt für die Geltendmachung des Anspruchs?

Der Anspruch aus Art. 82 DSGVO verjährt wie gewöhnliche zivilrechtliche Ansprüche nach § 195 BGB in der Regel innerhalb von drei Jahren, beginnend mit dem Ende des Jahres, in dem der Betroffene von dem Schaden und dem Verantwortlichen Kenntnis erlangt hat.

Was können Eigentümer tun, bevor sie klagen?

Zunächst empfiehlt sich eine schriftliche Anfrage an den Verwalter oder die Gemeinschaft mit der Bitte um Aufklärung und gegebenenfalls eine Auskunft nach Art. 15 DSGVO. Oft lässt sich der Sachverhalt so klären, ohne dass ein gerichtliches Verfahren notwendig wird.

Herangezogene Entscheidungen

BGH, Urteil vom 19.01.2017, Az. VII ZR 235/15
OLG Dresden, Urteil vom 14.10.2015, Az. 5 U 1724/14
BGH, Urteil vom 19.01.2017, Az. VII ZR 301/13