Schadensersatz bei Verwechslung medizinischer Unterlagen?

➧ Der Fall führt in die „Beamtenwelt“

Es geht um einen brisanten Sachverhalt und das Urteil des Gerichts stammt bereits von 2023. Dennoch wird es kaum zitiert. Das mag daran liegen, dass der Fall in der „Beamtenwelt“ spielt. Sie ist vielen fremd. Deshalb scheint die Erläuterung einiger Hintergründe sinnvoll, die den Sachverhalt besser verständlich machen. Denn der Fall ist ebenso für Unternehmen relevant.

➧ Krankheitskosten sind bei Beamten kompliziert

Wenn ein Beamter zum Arzt geht, erhält er eine Rechnung als Privatpatient. Diese Rechnung muss er dem Arzt bezahlen. Für die Erstattung der Aufwendungen, die dem Beamten entstanden sind, gilt folgende Aufteilung:

• Einen bestimmten Prozentsatz der Arztrechnung erhält der Beamte von seinem Arbeitgeber (in der Sprache des Beamtenrechts: von seinem Dienstherrn) als sogenannte „Beihilfe“ erstattet. Dieser Prozentsatz beträgt bei einem ledigen Beamten normalerweise 50 %. Bei Beamten mit Kindern ist er höher.
• Den Rest der Aufwendungen muss der Beamte selbst tragen, es sei denn, er hat dafür von sich aus eine private Versicherung abgeschlossen. Für eine solche Versicherung bekommt er keinen Arbeitgeberzuschuss.

➧ Ein „Beihilfeantrag“ ist eine sensible Sache

Um von seinem Arbeitgeber / Dienstherrn eine Beihilfe zu erhalten, muss der Beamte einen „Beihilfeantrag“ stellen. Diesem Antrag muss er Belege für die Krankheitskosten beifügen, die ihm entstanden sind. Im vorliegenden Fall sah dies so aus:

• Der Beamte, der jetzt Schadensersatz fordert, hatte bei der zuständigen „Beihilfestelle“ einen Beihilfeantrag gestellt.
• Diesem Antrag fügte er neun Rechnungen verschiedener Ärzte bei. Diese Rechnungen enthielten jeweils detaillierte Angaben zu den Leistungen (etwa Untersuchungen), die der Arzt erbracht hatte. Ferner war jeweils die exakte medizinische Diagnose genannt.
• Außerdem legte der Beamte vier Rezepte für Medikamente vor. Aus ihnen ergab sich jeweils der Name des Beamten, die Bezeichnung des Medikaments und sein Preis.

➧ Die Belege gingen an eine falsche Person

Die Beihilfestelle erließ einen Bescheid über den Beihilfeantrag und schickte diesen Bescheid dem Beamten per Post zu. Zusammen mit diesem Bescheid wollte sie dem Beamten die Arztrechnungen und Rezepte zurückgeben, die er mit seinem Antrag eingereicht hatte. Dabei kam es zu einer Panne. Die Beihilfestelle fügte dem Bescheid versehentlich Arztrechnungen und Rezepte einer ganz anderen Person bei. Diese andere Person wiederum erhielt dafür die Arztrechnungen und Rezepte des Beamten, der jetzt Schadensersatz fordert.

➧ Der Fehler wurde umgehend korrigiert

Der Beamte machte die Beihilfestelle auf die Panne aufmerksam und gab ihr die Belege zurück, die ihn gar nicht betrafen. Die Beihilfestelle wiederum kontaktierte die andere Person, der sie die Belege zugeschickt hatte, die den Beamten betrafen. Diese andere Person gab die Belege sofort an die Beihilfestelle zurück. Die Beihilfestelle übermittelte sie dem Beamten, für den sie eigentlich bestimmt gewesen waren.

➧ Der Beamte fordert Schadensersatz

Aus der Sicht der Beihilfestelle war die Sache damit erledigt, aus der Sicht des Beamten allerdings nicht. Er ist der Auffassung, dass ihm Schadensersatz in Form eines Schmerzensgeldes zusteht. Nähere Ausführungen über den Schaden, der ihm aus seiner Sicht entstanden ist, machte er dabei nicht. Die Beihilfestelle reagierte auf die Schadensersatzforderung in keiner Weise. Daraufhin erhob der Beamte Klage auf Zahlung eines Schmerzensgeldes.

➧ Das Verwaltungsgericht gibt ihm Recht

Das Gericht ist der Auffassung, dass die Voraussetzungen für einen Anspruch auf DSGVO-Schadensersatz vorliegen. Ein Anspruch auf DSGVO-Schadensersatz besteht für jede Person, der wegen eines Verstoßes gegen die DSGVO ein Schaden entstanden ist (siehe Art. 82 Abs. 1 DSGVO). Dieser Anspruch richtet sich gegen den, der für die Verarbeitung verantwortlich ist. Zu den Voraussetzungen führt das Gericht zunächst Folgendes aus:

• „Jede Person“ ist in diesem Fall der Beamte, der Schmerzensgeld geltend macht.
• Die Beihilfestelle ist ein Teil des Bundesverwaltungsamts. Deshalb ist das Bundesverwaltungsamt als Verantwortlicher im Sinn der DSGVO anzusehen (Art. 4 Nr. 7 Halbsatz 1 DSGVO).
• Die Arztrechnungen und Rezepte, die der Kläger bei der Beihilfestelle eingereicht hat, enthalten zahlreiche personenbezogene Daten (Art. 4 Nr. 1 DSGVO) des Klägers.
• Es handelt sich dabei sogar um besonders sensible Gesundheitsdaten (Art. 9 Abs. 1 DSGVO).
• Dies Versendung dieser Gesundheitsdaten an den falschen Adressaten stellt eine Verarbeitung dieser Daten in Form der Übermittlung dar (Art. 4 Nr. 2 DSGVO).
• Diese Verarbeitung war gesetzlich verboten. Das ergibt sich aus Art. 9 Abs. 1 DSGVO: „Die Verarbeitung … von … Gesundheitsdaten … einer natürlichen Person ist untersagt.“.
• Die DSGVO sieht zwar Ausnahmen von diesem Verbot vor. Keine von ihnen ist hier allerdings erfüllt.

➧ Ein materieller Schaden liegt nicht vor

Ob dem Beamten durch die Versendung der Unterlagen an den falschen Adressaten ein Schaden entstanden ist, prüft das Gericht besonders intensiv. Die DSGVO gibt Anspruch auf Ersatz von materiellen und immateriellen Schäden. Ein materieller Schaden wäre ein Schaden, der sich unmittelbar in Geld messen lässt. Klassisches Beispiel ist die Beschädigung einer Sache, etwa eines Autos. Ein solcher Schaden ist dem Beamten eindeutig nicht entstanden.

➧ Es ist aber ein immaterieller Schaden entstanden

Ein immaterieller Schaden ist ein Schaden, der sich nicht in Geld messen lässt. Klassisches Beispiel hierfür sind die Schmerzen bei einer Körperverletzung. Nach Auffassung des Gerichts liegt es auf der Hand, dass dem Beamten ein immaterieller Schaden entstanden ist. Dies begründet das Gericht so:

• Aufgrund des Fehlversands hat eine andere Person Einblick in Gesundheitsdaten des Beamten erhalten.
• Diese Gesundheitsdaten betreffen die engere Privatsphäre des Beamten, teils sogar seine Intimsphäre.
• Die Offenlegung dieser Daten gegenüber einer anderen Person führt bei dem Beamten zu einem Verlust an Vertraulichkeit und zu einer Bloßstellung.
• Dies lässt sich nicht mit dem Argument abtun, der Beamte habe lediglich ein „ungutes Gefühl“ erlitten oder das „diffuse Gefühl eines Kontrollverlustes“. So hatte das Bundesverwaltungsamt argumentiert, zu dem die Beihilfestelle gehört.

➧ Eine Ausnahme von der Haftung besteht nicht

Ein Verantwortlicher muss ausnahmsweise dann keinen Schadensersatz leisten, wenn er nachweisen kann, „dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist“ (siehe Art. 82 Abs. 3 DSGVO). Davon kann nach Auffassung des Gerichts keine Rede sein:

• In der Poststelle der Beihilfestelle unterlief einem Mitarbeiter ein Fehler.
• Diesen Fehler hätte der Mitarbeiter vermeiden können, wenn er sorgfältiger gearbeitet hätte.
• Damit hat der Mitarbeiter fahrlässig gehandelt.
• Diese Fahrlässigkeit seines Mitarbeiters muss sich der Verantwortliche, hier also das Bundesverwaltungsamt als Betreiber der Beihilfestelle, zurechnen lassen.

➧ 1.000 € Schadensersatz sind angemessen

Als Schmerzensgeld zum Ausgleich des immateriellen Schadens hält das Gericht 1.000 € für angemessen. Dies soll den Vertraulichkeitsverlust und die Bloßstellung ausgleichen, die der Beamte erlitten hat. Ein höherer Betrag sei nicht erforderlich, weil lediglich eine einzige andere Person die Gesundheitsdaten des Beamten zu Gesicht bekommen hat. Darüber hinausgehende Folgen hat die Datenpanne nicht gehabt.

➧ Die Panne wäre leicht zu vermeiden gewesen

Bei anderen Beihilfestellen von Behörden ist es üblich, dass der Antragsteller die Unterlagen, die er eingereicht hat, nicht zurückerhält. Etwas anderes gilt nur dann, wenn sein Antrag ganz oder teilweise abgelehnt wird. Unter dem Eindruck des vorliegenden Verfahrens hat das Bundesverwaltungsamt als Verantwortlicher die bisher übliche Vorgehensweise geändert.

Auch seine Beihilfestelle verfährt jetzt so, dass der Antragsteller die eingereichten Unterlagen nicht zurückerhält. Vielmehr werden sie in der Beihilfestelle datenschutzkonform vernichtet. Immerhin hat die Schadensersatzklage des Beamten also bewirkt, dass nicht mehr länger nach dem Motto verfahren wird „Das haben wir schon immer so gemacht.“

➧ Das Urteil hat große praktische Bedeutung

Versendungspannen ereignen sich tagtäglich in zahlreichen Unternehmen und Behörden. Sie gehören zu den Klassikern der Datenschutzvorfälle. Unter diesem Aspekt verdient das Urteil besondere Beachtung. Es kann als Blaupause für Schadensersatzforderungen solchen Fällen dienen.

➧ So finden Sie das Urteil

Das Urteil des Verwaltungsgerichts Köln vom 23.2.2023 ist bei Eingabe seines Aktenzeichens 13 K 278/21 leicht im Internet zu finden.