Datenschutzrecht für Digitale Technologien in Frankfurt am Main

Sachverhalt: Im Zuge einer automatisierten Datenmigration zweier verschmolzener Banken in Frankfurt am Main (mit Registergericht in Stadt3) kam es zu einem schwerwiegenden Zuordnungsfehler. Die Bank versendete den Kontoabschluss des in Stadt2 wohnhaften Klägers an einen namensgleichen, unbeteiligten Dritten in Stadt1. Zudem meldete die Bank die falsche Adresse in Stadt1 an die SCHUFA. Der Fehler basierte auf einer unzureichenden automatisierten Verknüpfung der Kundenprofile. Der Kläger forderte Unterlassung und immateriellen Schadensersatz wegen des eingetretenen Kontrollverlusts über seine Finanzdaten.

Wesentliche Normen:

• Art. 6 DSGVO
• Art. 79 DSGVO
• Art. 82 DSGVO

Entscheidung: Das OLG Frankfurt am Main verurteilte die Bank zur Unterlassung und zur Zahlung eines Schmerzensgeldes in Höhe von 500 Euro. Das Gericht betonte, dass fehlerhafte automatisierte Datenverarbeitungen (ebenso wie künftige KI-gestützte Systeme), die zu einem Kontrollverlust über personenbezogene Daten führen, einen ersatzfähigen immateriellen Schaden nach Art. 82 DSGVO begründen. Eine strenge Bagatellgrenze existierte hier nicht; bereits das ungute Gefühl der unrechtmäßigen Offenlegung und der Aufwand für die SCHUFA-Korrektur reichten für einen Schadensersatz aus. Die Bank konnte sich nicht entlasten, da ihre Algorithmen zur Datenmigration unzureichende Legitimationsdaten abglichen.

Fazit & Praxis-Empfehlung: Die fehlerhafte Datenzusammenführung wirkte hier wie ein unkontrollierbares Lauffeuer im System. Für die digitale Wirtschaft belegt dieses Urteil: Wenn Unternehmen Massendaten automatisiert migrieren oder Künstliche Intelligenz zum Matching von Nutzerprofilen einsetzen, müssen die Identifikationsparameter zwingend trennscharf konfiguriert sein (z. B. Abgleich zusätzlicher Datenpunkte wie Geburtsort). Wer sich auf fehleranfällige Automatismen verlässt, haftet bei Verwechslungen schnell auf DSGVO-Schadensersatz, da bereits der bloße Datenkontrollverlust der Betroffenen hierfür ausreicht.

Sachverhalt: Ein Bewerber rügte eine Datenschutzverletzung durch eine Privatbank. Der Bewerbungsprozess lief über die Plattform XING. Eine Mitarbeiterin der Beklagten versendete versehentlich eine für den Bewerber bestimmte Nachricht mit konkreten Gehaltsinformationen („80k + variable Vergütung“) über den XING-Messenger an einen unbeteiligten Dritten. Dieser kannte den Kläger und leitete ihm den Chatverlauf weiter. Vor dem Landgericht Darmstadt forderte der Kläger daraufhin Unterlassung und immateriellen Schadensersatz, woraufhin der Fall in die Berufung vor das Oberlandesgericht Frankfurt am Main ging.

Wesentliche Normen:

• Art. 4 DSGVO
• Art. 17 Abs. 1 DSGVO
• Art. 82 Abs. 1 DSGVO

Entscheidung: Das Gericht sprach dem Kläger den Unterlassungsanspruch zu, wies die Forderung nach immateriellem Schadensersatz jedoch ab. Die Richter stellten klar, dass der Verarbeitungsbegriff der DSGVO extrem weit zu fassen ist: Er erfasst sowohl durch Künstliche Intelligenz oder Algorithmen gesteuerte, automatisierte Verfahren als auch rein manuelle Vorgänge. Dementsprechend stellte bereits das versehentliche „Verklicken“ durch einen Menschen eine unrechtmäßige Datenverarbeitung dar. Ein Schadensersatzanspruch scheiterte indes an einem fehlenden Nachweis. Ein bloßer DSGVO-Verstoß ohne einen konkret erlittenen, tatsächlichen Schaden begründete keine Zahlungspflicht. Das bloße subjektive Empfinden einer „Schmach“ reichte hierfür nicht aus.

Fazit & Praxis-Empfehlung: Messenger-Dienste in Karriere-Netzwerken erweisen sich im HR-Alltag als digitaler Stolperdraht. Unternehmen sollten ihre Kommunikationswege im Recruiting kanalisieren und Mitarbeiter aktiv im Umgang mit Bewerberdaten auf Plattformen wie XING oder LinkedIn schulen. Nur durch explizite, dokumentierte Sensibilisierungsmaßnahmen lässt sich im Verletzungsfall die Wiederholungsgefahr für Unterlassungsansprüche widerlegen. Zugleich beruhigt das Urteil die Praxis: Nicht jeder manuelle Flüchtigkeitsfehler führt automatisch zu Schmerzensgeldern, solange der Betroffene keinen handfesten Schaden belegen kann.

Sachverhalt: Ein in einen Verkehrsunfall in Stadt1 verwickelter Kfz-Sachverständiger (Kläger) erstellte in der Region Delmenhorst für sein eigenes beschädigtes Fahrzeug ein Gutachten inklusive Lichtbildern. Er reichte dieses zur Regulierung bei der gegnerischen Haftpflichtversicherung ein. Die Versicherung übermittelte das Gutachten ohne explizite Einwilligung des Klägers an ein externes Prüfunternehmen (A GmbH in Stadt2), um die Kalkulation zu kontrollieren. Daraufhin kürzte die Versicherung die Auszahlung. Der Kläger machte datenschutzrechtliche Ansprüche (Löschung, Unterlassung, Schmerzensgeld) sowie urheberrechtliche Ansprüche bezüglich der weitergegebenen Fotos geltend.

Wesentliche Normen:

• Art. 17 DSGVO
• Art. 82 DSGVO
• § 11 BDSG a.F.
• § 15 UrhG
• § 97 UrhG

Entscheidung: Das OLG Frankfurt am Main wies die Klage ab. Das Gericht entschied, dass die Weitergabe der Daten an den externen Prüfdienstleister eine rechtmäßige Auftragsverarbeitung darstellte. Die Versicherung besaß ein berechtigtes Interesse, die geltend gemachten Schadensersatzansprüche im Detail zu überprüfen. Ein urheberrechtlicher Verstoß lag ebenfalls nicht vor: Die rein zweckgebundene, interne Übermittlung des Gutachtens an das Prüfunternehmen zur Rechnungskontrolle stellte weder eine unzulässige öffentliche Zugänglichmachung noch eine unzulässige Verbreitung der geschützten Lichtbilder dar.

Fazit & Praxis-Empfehlung: Die Auslagerung von internen Prüfprozessen an externe Dienstleister erwies sich als datenschutzrechtlich zulässig, solange wirksame Verträge zur Auftragsverarbeitung (AVV) vorlagen. Für die digitale Wirtschaft ist dies essenziell: Werden zur Effizienzsteigerung externe Tools oder Künstliche Intelligenz zur automatisierten Rechnungs- und Vertragsprüfung eingesetzt, bedarf es hierfür keiner separaten Einwilligung des Betroffenen. Die Datenverarbeitung zur Wahrung berechtigter Interessen bietet hierfür ein rechtssicheres Fundament.