Nach der Rechtsprechung des Gerichtshofes der Europäischen Union erfordert ein Schadensersatzanspruch im Sinne des Art. 82 Abs. 1 DSGVO einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind.
Die geübte Praxis, die Verwaltung der
Personalakten von Bundesbeamten durch Bedienstete des Landes Niedersachsen vornehmen zu lassen, ist als von § 111a BBG aF i.V.m. § 26 BDSG i.V.m. Art. 88 DSGVO nicht gedeckte Verarbeitung personenbezogener Daten durch Dritte und damit als Verstoß gegen die Datenschutz-Grundverordnung zu werten.
Ein durch diesen Verstoß gegen die Datenschutz-Grundverordnung verursachter Schaden liegt hier bereits in dem durch die Überlassung der Personalakte an Bedienstete des Landes verursachten vorübergehenden Verlust der Kontrolle des Betroffenen über seine in der Personalakte enthaltenen personenbezogenen Daten.
Schon der bloße Kontrollverlust kann einen ersatzfähigen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO darstellen. Der Verpflichtung zum Ausgleich muss keine über diesen Kontrollverlust hinausgehende „benennbare und insoweit tatsächliche Persönlichkeitsrechtsverletzung gegenüberstehen“. Auch muss der Beeinträchtigung des Betroffenen kein besonderes „Gewicht“ zukommen, das „über eine individuell empfundene Unannehmlichkeit hinausgeht oder das Selbstbild oder Ansehen ernsthaft beeinträchtigt“.
Nach diesen Grundsätzen liegt der Schaden ohne Weiteres darin, dass die personenbezogenen, in der Personalakte enthaltenen Daten hierzu nicht berechtigten Dritten, nämlich Bediensteten des Landes Niedersachsen, zur Bearbeitung überlassen hat. Der Umstand, dass auch die mit Personalangelegenheiten betrauten Bediensteten des Landes Niedersachsen zur Verschwiegenheit verpflichtet waren, steht der Annahme eines Schadens insoweit dem Grunde nach nicht entgegen, sondern wird erst bei Bemessung der Höhe des zu leistenden Schadensersatzes (§ 287 ZPO) zu berücksichtigen sein.
