Die rechtlichen Grenzen über die Nutzung öffentlich zugänglicher Daten durch Unternehmen sind enger gesteckt, als es auf den ersten Blick erscheinen mag. Insofern hat das Amtsgericht (AG) Düsseldorf am 19.09.2025 (42 C 61/25) Feststellungen zur Hinweispflicht bei der Online-Recherche über einen Prozessgegner gemacht. Konkret entschied das Gericht, dass die Gegenseite bei entsprechendem Vorgehen zu informieren ist. Die Google-Recherche sei zwar aus datenschutzrechtlicher Sicht zulässig gewesen, aufgrund der Missachtung der Informationspflicht sei allerdings Schadensersatz zu leisten.
Zugrunde liegender Sachverhalt
Ausgangspunkt war eine Bewerbung auf eine Stelle im Kredit- und Forderungsmanagement. Nachdem der Kläger eine Absage erhalten hatte, zog er vor das Arbeitsgericht und verlangte Schadensersatz. Im Zuge dieses Verfahrens recherchierte die beklagte Arbeitgeberin den Namen des Klägers über eine Suchmaschine. Hierbei fand sie abwertende Kommentare und Beiträge über den Kläger, die sie im Anschluss in den Prozess einbrachte. Ein Hinweis gegenüber dem Kläger erfolgte hierzu nicht.
Der Kläger sah hierin eine Verletzung des Grundsatzes über eine faire und transparente Datenverarbeitung. So habe er nicht sein Recht auf Berichtigung der Informationen nach Art. 16 Datenschutzgrundverordnung (DSGVO) wahr nehmen können. Deshalb verlangte er immateriellen Schadensersatz von mindestens 1.000 Euro. Die Gegenseite hielt dem entgegen, dass eine Informationspflicht ihre Verteidigungsstrategie negativ beeinflusst hätte.
Datenschutzrechtliche Einordnung des Falls
Maßgeblich könnte hier Art. 14 DSGVO sein, wonach eine betroffene Person zu informieren ist, wenn personenbezogene Daten nicht bei ihr selbst erhoben werden. Sollte tatsächlich die Verletzung einer datenschutzrechtlichen Pflicht vorliegen, könnte ein Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO bestehen, wenn auch tatsächlich ein Schaden eingetreten ist.
Erst im Juli hatte das Bundesarbeitsgericht (BAG) einen vergleichbaren Fall zu entscheiden. Im Zentrum stand die Frage, ob die Universität Düsseldorf mit der Internetrecherche über einen Bewerber gegen die DSGVO-Informationspflichten verstoßen hat. Das BAG bestätigte hier ein Schmerzensgeld in Höhe von 1.000 Euro.
Zulässige Datenverarbeitung, aber Missachtung von Informationspflichten
Das AG Düsseldorf stellte zunächst klar, dass die Internetrecherche an sich rechtmäßig gewesen sei. Zwar handele es sich beim Aufrufen und Auswerten der gefundenen Informationen um eine Datenverarbeitung im Sinne von Art. 4 Nr. 2 DSGVO, für die Verteidigungsstrategie sei die Beschaffung der allgemein zugänglichen Informationen allerdings sinnvoll und notwendig gewesen. Die Rechtsgrundlage ergebe sich somit aufgrund eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f. DSGVO. Deshalb würden auch die Interessen des Betroffenen nicht entgegenstehen.
Dennoch bewertete das Gericht die Vorgehensweise der Beklagten als datenschutzrechtlich fehlerhaft. Gemäß Art. 14 DSGVO hätte gegenüber dem Kläger ein Hinweis über die Recherche erfolgen müssen. Die Kenntniserlangung über den Schriftsatz an das Gericht genüge hingegen nicht.
Schadensersatz wegen Kontrollverlust
Im nächsten Schritt prüfte das Gericht die Voraussetzungen eines immateriellen Schadensersatzes anhand der Maßstäbe des Europäischen Gerichtshofs (EuGH). Der Schaden ergebe sich aus einem Kontrollverlust über die negativen Äußerungen, die mittels der Recherche verarbeitet worden wären. Das gelte auch dann, wenn keine sonstigen negativen Folgen für den Kläger eingetreten sind.
Allerdings bewertete das Gericht die Reichweite dieses Kontrollverlusts als begrenzt. Er wirke sich lediglich im Rahmen des Rechtsstreits aus, weshalb das Gericht ein Schmerzensgeld von 250 Euro für ausreichend hielt. Hier habe die Recherche gerade nicht wie im Fall vor dem BAG unmittelbar das Bewerbungsverfahren selbst betroffen.
Anforderungen an Informationspflicht
Die Informationspflicht umfasst zunächst Angaben über die Art der verarbeiteten Daten. Daneben müssen Informationen zum Verarbeitungszweck, also hier etwa die Rechtsverteidigung, sowie die Rechtsgrundlage für die Datenverarbeitung, hier das berechtigte Interesse, erfolgen. Zeitlich muss die Information unverzüglich, spätestens aber innerhalb eines Monats stattfinden.
Fazit
Das Urteil zur Hinweispflicht bei Online-Recherche über Prozessgegner verdeutlicht einmal mehr die weiterhin uneinheitliche Rechtsprechung zu den Anforderungen für immateriellen Schadensersatz. In gewisser Weise scheint es schon fast absurd, dass hier bereits öffentlich im Internet kursierende Informationen durch die Verarbeitung durch ein Unternehmen einen noch weiter gehendenden Kontrollverlust, der einen Schaden begründet, ausgelöst haben sollen.
Andererseits hat erst Anfang des Monats das AG München entschieden, dass eine Bank, obwohl sie unberechtigt Kundendaten an knapp 300 Empfänger gesendet hat, keinen Schadensersatz leisten muss, da auch kein Kontrollverlust vorliege. Die unterschiedliche Bewertung der Fälle lässt erhebliche Zweifel an der rechtssicheren Bewertung von Schadensersatzansprüchen aufkommen.
Gerade deshalb ist es umso wichtiger Datenschutzverstöße von vornherein zu vermeiden. Denn ohne Pflichtverletzung kann es auch gar nicht zu den Rechtsunsicherheiten kommen, die mit einem Prozess über datenschutzrechtliche Schadensersatzansprüche einhergehen. Insofern empfiehlt es sich Externe Datenschutzbeauftragten zur Erarbeitung effizienter Datenschutzkonzepte zu beauftragen.
