Kein DSGVO-Schadensersatz bei Ausweiskopie

Darf eine ärztliche Praxis eine Kopie des Personalausweises machen – einfach so, ohne Notwendigkeit? Und wenn ja: Kann daraus ein Anspruch auf Schadensersatz nach der DSGVO entstehen?

Das Landgericht Bielefeld hat mit Urteil vom 07.07.2023 (Az.: 4 O 275/22) genau diese Fragen beantwortet – und zwar zugunsten der beklagten Arztpraxis. Ja, es lag ein Datenschutzverstoß vor. Nein, es gibt dennoch keinen Schadensersatz. Warum das Gericht so entschieden hat, was das mit Art. 82 DSGVO zu tun hat und was Betroffene sowie Unternehmen aus dem Fall lernen können, analysieren wir in diesem Beitrag.

Hintergrund des Falls: Ausweiskopie in der Kinderwunschpraxis

Im Zentrum des Rechtsstreits steht eine Kinderwunschpraxis, die unter anderem das Einfrieren von Eizellen anbietet. Die Klägerin wurde dort Patientin. Im Rahmen der Aufnahme wurde – ohne dass es erforderlich war – eine Kopie ihres Personalausweises angefertigt.

Nach einer späteren Auseinandersetzung mit der Praxis forderte die Frau einen immateriellen Schadensersatz nach Art. 82 DSGVO – mit dem Argument, ihre sensiblen personenbezogenen Daten seien ohne rechtliche Grundlage verarbeitet worden.

Was sagt die DSGVO dazu? – Ein Blick auf Art. 82 DSGVO

Artikel 82 der Datenschutz-Grundverordnung (DSGVO) regelt den Anspruch auf Schadensersatz bei Verstößen gegen die Verordnung. Dort heißt es:

„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz.“

Wichtig: Es genügt also nicht allein der Datenschutzverstoß – es muss auch ein konkreter Schaden entstanden sein. Und genau hier liegt der Knackpunkt des Falls.

Die Entscheidung des LG Bielefeld im Detail (Urteil v. 07.07.2023 – Az.: 4 O 275/22)

Das Gericht erkennt zwar einen Datenschutzverstoß an – schließlich war das Kopieren des Personalausweises nicht erforderlich und damit rechtswidrig. Doch: Ein konkreter Schaden konnte nicht festgestellt werden.

Zentrale Aussagen des Gerichts:

1. Ja, Datenschutzverstoß liegt vor.
• Die Kopie war nicht notwendig.
• Die Verarbeitung war damit unrechtmäßig im Sinne der DSGVO.
2. Nein, es gibt keinen Schadensersatz.
• Zwar ist laut EuGH eine Erheblichkeitsschwelle nicht notwendig – auch Bagatellschäden sind theoretisch ersatzfähig.
• Aber: Es muss ein echter, konkreter Schaden entstanden sein – auch ein immaterieller.

„Zu verlangen ist [...] jedenfalls, dass ein konkreter immaterieller Schaden auch tatsächlich eingetreten („entstanden“) ist.“ – LG Bielefeld

Die Rolle der Klägerin: Ängste ja – aber woraus resultieren sie?

Die Klägerin argumentierte, die Kopie ihres Ausweises habe bei ihr Verunsicherung, Sorgen und Schlafprobleme verursacht. Doch das Gericht ließ dieses Argument nicht gelten. Denn:

• Die Klägerin selbst gab in der mündlichen Verhandlung an, dass sie sich hauptsächlich Sorgen um den Verbleib ihrer Eizellen mache.
• Die Thematik rund um die Ausweiskopie sei ihr überhaupt erst durch ihren Anwalt bewusst geworden.
• Der Auslöser der belastenden Gefühle sei also nicht der Datenschutzverstoß an sich, sondern die Unsicherheit über den Verbleib der Eizellen.

„Die Sorgen im Hinblick auf das Kopieren des Personalausweises sind allenfalls erst bei der anwaltlichen Beratung aufgekommen.“

Wichtige Leitsätze aus dem Urteil

Das Urteil enthält zentrale Aussagen, die künftig in vergleichbaren Verfahren relevant sein könnten:

• Datenschutzverstoß allein begründet keinen Schadensersatz.
• Es reicht nicht aus, bloß theoretische Risiken oder abstrakte Sorgen zu behaupten.
• Kläger müssen konkret darlegen, worin genau der Schaden liegt – und wie er durch die DSGVO-Verletzung entstanden ist.

Rechtspolitische Einordnung: Bagatellgrenze – ja oder nein?

Die Frage, ob auch „Bagatellverstöße“ einen DSGVO-Schadensersatz auslösen können, beschäftigt die Gerichte seit Inkrafttreten der Verordnung. Der Europäische Gerichtshof (EuGH) hat bereits mehrfach klargestellt:

• Es gibt keine „Erheblichkeitsschwelle“.
• Auch geringe, immaterielle Schäden können ersatzfähig sein.
• Aber: Ein gewisser Nachweis der Beeinträchtigung ist erforderlich.

Das LG Bielefeld schließt sich dieser Linie an – betont aber zugleich, dass eine bloße Datenschutzverletzung ohne spürbare Konsequenz nicht entschädigt wird.

Was bedeutet das Urteil für Patienten und Verbraucher?

Für betroffene Personen heißt das Urteil:

• Nicht jeder Verstoß führt automatisch zu Geld.
• Wer Schadensersatz geltend machen möchte, sollte genau dokumentieren, wie sich die Verletzung konkret ausgewirkt hat.
• Gefühle wie Verunsicherung oder Unwohlsein müssen nachweisbar sein – zum Beispiel durch Zeugenaussagen, ärztliche Atteste, Therapien, etc.

Was bedeutet das Urteil für Praxen und Unternehmen?

Auch wenn hier kein Schadensersatz gezahlt werden musste, ist die Entscheidung kein Freibrief für Unternehmen:

• Datenschutzverstöße bleiben Verstöße.
• Es drohen weiterhin aufsichtsrechtliche Maßnahmen oder Bußgelder – unabhängig vom Zivilprozess.
• Unternehmen sollten sorgfältig prüfen, welche Daten sie erfassen dürfen – und welche nicht. Die Kopie eines Personalausweises etwa ist nur in wenigen Ausnahmefällen erlaubt.

Hinweis: Wann ist das Kopieren eines Ausweises erlaubt?

Gemäß § 20 Abs. 2 PAuswG ist das Kopieren eines Personalausweises nur zulässig, wenn:

• eine ausdrückliche Einwilligung vorliegt,
• der Zweck eindeutig benannt wird, und
• die Kopie klar als solche kenntlich gemacht wird.

Für viele medizinische Zwecke reicht die bloße Einsichtnahme – nicht aber das Anfertigen einer Kopie.

Fazit: Datenschutzverstöße sind kein Automatismus für Geld

Das Urteil des LG Bielefeld setzt ein deutliches Zeichen:

„Wo kein konkreter Schaden, da kein Anspruch auf DSGVO-Schadensersatz – auch wenn ein Verstoß vorliegt.“

Es ist ein Urteil mit Signalwirkung – sowohl für Patientinnen und Patienten als auch für datenverarbeitende Stellen. Die Botschaft: Datenschutz ist ernst zu nehmen – aber auch Schadensersatzansprüche sind kein Selbstläufer.