Die Einhaltung der Grundsätze der DSGVO gehört zu den Kernpflichten eines jeden Verantwortlichen. Ein aktuelles Urteil des Amtsgerichts Wesel zeigt, dass schon kleine Nachlässigkeiten im Umgang mit Adressdaten zu Schadensersatzansprüchen führen können – und damit ein erhebliches Risiko darstellen.
Sachverhalt
Die Kläger waren langjährige Mandanten einer Steuerberaterkanzlei. Im August 2019 teilten sie dieser per E-Mail mit, dass sich ihre Anschrift geändert habe. Um sicherzugehen, dass die neue Adresse tatsächlich in den Stammdaten berücksichtigt wird, wiederholten sie diese Information mehrfach.
Trotzdem kam es zu einem Fehler: Bei der Erstellung der Einkommensteuererklärung für 2019 wurden die Kontaktdaten aus der Vorjahreserklärung automatisch eingelesen, inklusive der alten Anschrift. Die Steuererklärung wurde daraufhin an die falsche Adresse versendet.
Die neuen Bewohner der früheren Wohnung öffneten den Umschlag versehentlich, da die Namen ähnlich klangen. Dadurch erhielten sie Einblick in die höchst sensiblen Daten der Mandanten, die nicht nur finanzielle, sondern auch gesundheitliche Angaben enthielten. Die Betroffenen fühlten sich dadurch bloßgestellt und stigmatisiert, gerade weil sie in einer ländlichen Gegend mit „viel Gerede“ wohnten.
Klage und das Urteil
Die Mandanten forderten von der Kanzlei ein Schmerzensgeld von mindestens 15.000 Euro.
Das Amtsgericht Wesel (Urt. v. 23.07.2025 – 30 C 138/21) gab der Klage nur teilweise statt und sprach den Klägern einen immateriellen Schadensersatz von jeweils 500 € zu.
Begründung des Gerichts:
-
Art. 5 Abs. 1 lit. d DSGVO verpflichtet Verantwortliche, personenbezogene Daten sachlich richtig und auf dem neuesten Stand zu halten.
-
Es genügt nicht, wenn veraltete Daten technisch noch im System hinterlegt sind. Vielmehr muss aktiv dafür gesorgt werden, dass solche Daten nicht mehr genutzt werden können.
-
Dass die alte Adresse automatisch eingelesen wurde, entlastete die Kanzlei nicht. Der Verantwortliche trägt die Pflicht, Systeme so einzurichten, dass Fehler durch veraltete Daten ausgeschlossen sind.
-
Bereits der Kontrollverlust über personenbezogene Daten stellt einen immateriellen Schaden im Sinne des Art. 82 DSGVO dar. Eine Bagatellgrenze gibt es nach aktueller EuGH-Rechtsprechung nicht (EuGH, Urt. v. 20.06.2024 – C-590/22).
Das Gericht betonte zudem, dass bei der Bemessung des Schadensersatzes die Sensibilität der Daten, die Dauer und Reichweite des Kontrollverlusts sowie die Möglichkeit, die Kontrolle zurückzuerlangen, maßgeblich sind. Da hier nur ein begrenzter Empfängerkreis betroffen war, hielt das Gericht 500 Euro pro Person für angemessen.
Was bedeutet das für die Praxis?
Das Urteil zeigt, dass selbst alltägliche Prozesse wie der Versand einer Steuererklärung erhebliche Datenschutzrisiken bergen können. Besonders kritisch wird es, wenn sensible Daten – etwa Gesundheitsinformationen oder detaillierte finanzielle Angaben – in falsche Hände geraten.
Für Verantwortliche ergeben sich daraus klare Handlungserfordernisse:
-
Aktualität der Daten sicherstellen: Änderungen von Stammdaten wie Adressen oder Kontaktdaten müssen unverzüglich und systemweit umgesetzt werden.
-
Systemprüfung: Technische Systeme sollten so konfiguriert sein, dass veraltete Daten nicht automatisch eingelesen oder verwendet werden können.
-
Dokumentation: Jede Datenänderung sollte nachvollziehbar dokumentiert werden, um die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu erfüllen.
-
Mitarbeiterschulung: Alle Mitarbeitenden sollten regelmäßig für den Grundsatz der Datenrichtigkeit sensibilisiert werden.
-
Qualitätskontrolle: Vor dem Versand sensibler Unterlagen empfiehlt sich eine kurze Prüfung, ob die Adressdaten korrekt sind.
Fazit
Der Fall verdeutlicht: Datenschutzverstöße entstehen nicht nur durch Hackerangriffe oder fehlende Verschlüsselung, sondern auch durch scheinbar kleine organisatorische Versäumnisse. Wer Adressänderungen nicht konsequent umsetzt, riskiert Schadensersatzforderungen und Imageschäden.
Eine sorgfältige Pflege der Mandantendaten schützt daher nicht nur vor rechtlichen Konsequenzen, sondern ist auch ein wesentlicher Beitrag zum Vertrauensverhältnis zwischen dem Verantwortlichen (Kanzlei) und Kunden (Mandanten).
2025-09, (c) AdOrga Solutions GmbH
Sie haben Fragen zur Umsetzung in Ihrem Unternehmen oder suchen praxisnahe Unterstützung im Datenschutz und Compliance-Management? Wir stehen Ihnen mit Erfahrung und Expertise zur Seite – sprechen Sie uns gerne an: consulting@AdOrgaSolutions.de.
Unsere Leistungen: https://www.adorgasolutions.de/datenschutz/leistungen/
