1.500 € Schmerzensgeld bei Versand von Gesundheitsdaten

Nachdem wir bereits darüber berichtet haben, dass der Falschversand einer E-Mail teuer werden kann, gilt ähnliches für den unberechtigten Versand von Gesundheitsdaten per E-Mail.

Auch Behörden müssen nicht alles wissen

In einem vor dem Arbeitsgericht Dresden entschiedenen Fall wurde ein Unternehmen zu einem Schmerzensgeld in Höhe von 1.500 € verurteilt, da die Prokuristin des Unternehmens der Ausländerbehörde und der Arbeitsagentur mitteilte, dass ein ausländischer Beschäftigter des Unternehmens arbeitsunfähig erkrankt sei.

Die Prokuristin schrieb in ihrer E-Mail an die Ausländerbehörde, dass der Beschäftigte arbeitsunfähig erkrankt sei und gegen seine Meldepflichten verstoßen habe. Er sei ohne gültige Bescheinigung und ohne gültige Postanschrift. Sie bat die Ausländerbehörde um die aktuelle Postanschrift, damit der Beschäftigte von ihr angehalten werden könne, seiner Meldepflicht nachkommen könne. Eine Abschrift dieser E-Mail ging auch an die Arbeitsagentur, in der auch Krankheitszeiten aufgelistet waren, um sich für die Kündigung des Arbeitsverhältnisses zu rechtfertigen.

Die Angabe „krank“ ist ein Gesundheitsdatum

Das Arbeitsgericht stellt zunächst fest, dass ein Verstoß gegen Art. 9 Abs.1 DSGVO vorliegt, da die Prokuristin der Ausländerbehörde per E-Mail mitgeteilt hat, dass der Kläger sich vier Wochen arbeitsunfähig gemeldet habe und ohne gültige Arbeitsunfähigkeitsbescheinigung nicht zur Arbeit erschienen sei. Dies habe die Prokuristin in der E-Mail unter Auflistung von Krankheitszeiten an die Arbeitsagentur wiederholt.

Die Angaben in den E-Mails stellen nach dem Arbeitsgericht Gesundheitsdaten nach Art. 4 Nr. 15 DSGVO dar. Dies führt das Arbeitsgericht nicht weiter aus. Daher bleibt an dieser Stelle festzustellen, dass allein die Tatsache auf den Hinweis einer Erkrankung bereits ein Gesundheitsdatum ist und eine Datenverarbeitung nur unter die Rechtsgrundlage nach Art. 9 DSGVO fallen kann. Sehr knapp stellt das Arbeitsgericht weiter fest, dass eine Ausnahme vom Verbot der Datenverarbeitung nach Art. 9 Abs. 2 DSGVO nicht vorliegt. So könnte nach Art. 9 Abs. 2 g) DSGVO ein nationales Gesetz eine Rechtsgrundlage für die Weitergabe darstellen. Allerdings sieht  § 4a des Aufenthaltsgesetzes eine Rechtfertigung für die Weitergabe von Gesundheitsdaten nicht vor. Eine Meldeadresse hätte auch über die Meldebehörde der Stadt als auch vom ausländischen Beschäftigten per WhatsApp erfragt werden können, so das Gericht. Diese Möglichkeit der Kontaktaufnahme war zwischen den Parteien unstrittig.

Höhe des Schmerzensgelds orientiert an der Bemessung von Geldbußen

Auch sah das Arbeitsgericht angelehnt an Art. 83 Abs. 2 DSGVO ein Schmerzensgeld in Höhe von 1.500 € wegen des Versandes der E-Mails an die Ausländerbehörde und der Arbeitsagentur als gerechtfertigt an. Ein immaterieller Schaden liege in der Rufschädigung des Beschäftigten und im Kontrollverlust über seine personenbezogenen Daten. Die Höhe orientiere sich an den Zumessungskriterien wie Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des der betroffenen Person entstandenen Schadens früher einschlägige Verstöße, sowie die Kategorien der personenbezogenen Daten.

So gab es keine Verpflichtung der Prokuristin zur Weiterleitung noch eine Aufforderung der Behörde zur Übermittlung der Gesundheitsdaten. Die Meldeadresse hätte die Prokuristin ohne Begründung von der Meldebehörde erhalten. Außerdem hätte der Prokuristin klar sein müssen, dass der Beschäftigte seine Arbeitserlaubnis verliert, wenn sie gegenüber der Arbeitsagentur den Eindruck erwecke, der Beschäftigte habe Arbeitsverstöße begangen.

Fazit

Wenn man diesen Fall und das unlängst besprochene Urteil in der Zusammenschau sieht, muss damit gerechnet werden, dass eine Weiterleitung von Gesundheitsdaten, sei es unberechtigt oder auch aus Versehen zu Ansprüchen auf Schmerzensgeldern führen kann. Dies sollte man bei dem Versand von Gesundheitsdaten im Auge behalten werden. Die Beschäftigten sollten datenschutzrechtlich sensibilisiert werden und in der Organisation sind IT Vorkehrungen zu treffen, damit die Gefahr eines unberechtigten oder versehentlichen Versands minimiert werden kann.