OLG Dresden, Urt. v. 30.11.2021, 4 U 1158/21

1. Kurzübersicht

Ein Verein hatte eine Detektei beauftragt, Informationen über eine Person einzuholen, die dem Verein beitreten wollte. Die Detektei ermittelte dabei auch strafrechtliche Verurteilungen der Person. Der Betroffene verlangte Schadensersatz nach Art. 82 DSGVO von dem Verein und dessen Geschäftsführer.

2. Leitsätze

Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten ist nach Art. 10 DSGVO grundsätzlich nur unter behördlicher Aufsicht gestattet. Eine private Stelle, die über eine Detektei Vorstrafen ermitteln lässt, verarbeitet Strafdaten ohne diese Aufsicht und ohne gesetzliche Grundlage und verstößt damit gegen Art. 10 DSGVO.

Als mildere Mittel standen zur Verfügung, den Betroffenen selbst um Auskunft zu bitten oder ein Führungszeugnis anzufordern. Das aufsichtslose Ausspähen von Strafdaten ist auch dann unzulässig, wenn ein Interesse an der Information behauptet wird.

Der Verstoß begründet einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO, den das Gericht mit 5.000 Euro bemessen hat. Der Geschäftsführer haftet neben der Gesellschaft als Gesamtschuldner.

3. Bedeutung

Die Entscheidung ist das praktisch wichtigste deutsche Urteil zu Art. 10 DSGVO im nichtöffentlichen Bereich. Sie macht deutlich, dass Unternehmen und Vereine Vorstrafen nicht selbst recherchieren dürfen, sondern auf die gesetzlich geregelten Wege (Selbstauskunft, Führungszeugnis nach § 30 BZRG) verwiesen sind. Zugleich zeigt sie das Haftungsrisiko: Der Datenschutzverstoß führt zu Schadensersatz, für den auch die handelnde Geschäftsleitung persönlich einstehen kann. Der Volltext ist über rewis.io abrufbar.