„Aeroporturi București” SA veröffentlichte personenbezogene Daten eines ehemaligen Vorstandsmitgliedes auf www.bucharestairports.ro und muss nun Schadenersatz bezahlen
Die betroffene Person nahm den Verantwortlichen auf Löschung und Schadenersatz in Anspruch genommen.
Auf dem
Blog
Legalup wird über eine Entscheidung Nr. 747/2019 vom 6.2.2019 des Judecatoria SECTORUL 5 BUCURESTI aus Rumänien berichtet.
Ein Rechtsanwaltskollege postete auf LinkedIn, dass beide Parteien Rechtsmittel erhoben haben, und die Entscheidung daher nicht rechtskräftig ist.
Auf der Internetplattform der Aeroporturi Bucuresti SA wurden personenbezogene Daten der betroffenen Person, nämlich: Adresse, persönliche Identifikationsnummer, Datum und Ort der Ausstellung des Personalausweises veröffentlicht. Die Daten fanden sich dann auch auf anderen Internetplattformen sowie auch in Facebook.
Die betroffene Person verlangte die Löschung der Daten und Schadenersatz in Höhe von 60.000 Leu.
Das Gericht vertrat die Auffassung, dass die Daten unrechtmäßig verarbeitet wurden, und verurteilte, den Verantwortlichen zur Löschung der Daten sowie 10.000 Leu an immateriellem Schadenersatz.
Die Daten wurden zwar vor dem Geltungsbeginn der DSGVO (25.05.2018), nämlich unmittelbar nach einer Generalversammlung des Verantwortlichen am 18.02.2016 veröffentlicht, aber auch nach dem 25.05.2018 öffentlich zur Verfügung gehalten.
Das Gericht weist darauf hin, dass der Verantwortliche die Daten nur dann verarbeiten darf, im konkreten daher auf der Website veröffentlichen darf, wenn eine der möglichen Rechtsgrundlagen des Art 6 Abs 1 lit a bis f DSGVO erfüllt ist.
Der Verantwortliche argumentiert, dass im Rahmen des Mandatsvertrages als Vorstand die Zustimmung erteilt worden sei, und auch eine gesetzliche Verpflichtung die Veröffentlichung vorschreibe.
Der Verantwortliche argumentierte, eine Einwilligung für die Verarbeitung der Daten zu haben. Dies konnte jedoch nicht nachgewiesen werden, insbes. lag nach Ansicht des Gerichts keine Zustimmung zur Veröffentlichung der Daten auf der Homepage vor.
Auch die gesellschaftsrechtlichen Regelungen zur Information von Aktionären sehen die Veröffentlichung der Details der personenbezogenen Daten der betroffenen Person nicht vor. Die Veröffentlichung der sehr persönlichen Daten, wie insbes. auch der Privatadresse und der Ausweisnummer gehen über die notwendigen Datenveröffentlichungen bei Vorstandsmitgliedern hinaus, denn auch in Presseartikeln konnte dann darauf Bezug genommen werden, und die Privatsphäre der betroffenen Person wurde verletzt. Die Transparenzregeln reichen für diese Veröffentlichungen auf der Homepage nicht aus.
Das Gericht verurteilte den Verantwortlichen nicht nur zur Löschung der Daten, sondern sprach der betroffenen Person auch Schadenersatz in Höhe von 10.000 Leu (ca. EUR 2.100,--) zu. Die Informationen über die Privatadresse der betroffenen Person wurde jedermann zugänglich gemacht, ist in verschiedenen Pressemeldungen aufgetaucht und wurde u.a. auf der Plattform Facebook öffentlich gemacht.
Die betroffene Person hat nach Ansicht des Gerichtes durch diese Veröffentlichung eine psychische Beeinträchtigung erlitten, und war auch um die eigene Sicherheit besorgt.
Das Gericht nahm explizit auf Art 82 Abs 1 und Abs 2 DSGVO Bezug und das Gericht sprach „moralischen“ Schadenersatz, dh Ersatz des ideelen Schadens, der auch von Art 82 Abs 1 DSGVO explizit umfasst ist, zu.
Mangels direkter Quantifizierbarkeit des Schadens hat das Gericht die Auswirkungen der Verarbeitung der personenbezogenen Daten und die sonstigen Konsequenzen zur Beurteilung der Schadenshöhe herangezogen.
Die betroffene Person hatte 60.000,-- Leu an Schadenersatz gefordert; diesen sah das Gericht jedoch als zu hoch an, und erklärte, dass der Betrag von 10.000,-- Leu ausreichend sei, um den immateriellen Schaden der betroffenen Person zu decken.
15.05.2019, Autor
Michael Schweiger, zert. DSBA
Kommentar schreiben