Der Verlust personenbezogener Daten kann erhebliche rechtliche Folgen haben. Doch gilt die Datenschutz-Grundverordnung auch dann, wenn vertrauliche Informationen nicht digital, sondern in einem Aktenordner aufbewahrt werden? Mit dieser Frage beschäftigte sich das Landgericht Magdeburg in seinem Urteil vom 25. Juni 2026 (Az. 10 O 1894/25).
Im Mittelpunkt des Verfahrens stand eine verschwundene Einsatzakte einer Justizvollzugsanstalt. Der Ordner enthielt unter anderem Namen, Privatadressen und Telefonnummern von Beschäftigten. Ein betroffener Mitarbeiter befürchtete, dass diese Informationen in falsche Hände geraten könnten, und verlangte deshalb Schadensersatz.
Das Gericht stellte klar, dass die DSGVO bei Papierakten grundsätzlich anwendbar sein kann, sofern personenbezogene Daten strukturiert erfasst werden. Im konkreten Fall griff jedoch eine gesetzliche Ausnahme, da die Unterlagen ausschließlich der Gefahrenabwehr im Strafvollzug dienten.
Die Entscheidung verdeutlicht zugleich, unter welchen Voraussetzungen der Verlust personenbezogener Daten einen Schadensersatzanspruch begründen kann und weshalb die bloße Möglichkeit eines Datenmissbrauchs hierfür nicht immer ausreicht.
Verschwundene Einsatzakte: Der Sachverhalt vor dem LG Magdeburg
Ausgangspunkt des Rechtsstreits war das Verschwinden eines Aktenordners aus der Justizvollzugsanstalt Burg in Sachsen-Anhalt. Bei einem Fachaufsichtsbesuch am 26. November 2024 wurde festgestellt, dass eine sicherheitsrelevante Einsatzakte nicht mehr auffindbar war.
Der Ordner enthielt einen Notfallplan für Geiselnahmen und andere Gewalttaten innerhalb oder gegen die Justizvollzugsanstalt. Darin waren unter anderem folgende Informationen dokumentiert:
- Namen, Privatadressen und Telefonnummern der Beschäftigten
- Zuständigkeiten und Aufgaben bei sicherheitsrelevanten Vorfällen
- Alarmierungswege und organisatorische Maßnahmen für Notfälle
Ein betroffener Mitarbeiter wurde im Dezember 2024 über den Vorfall informiert. Da er regelmäßig mit Strafgefangenen arbeitete und Entscheidungen mit möglichen negativen Folgen für diese traf, befürchtete er eine Gefährdung seiner persönlichen Sicherheit und seines familiären Umfelds.
Obwohl keine konkreten Hinweise auf einen Zugriff durch Unbefugte vorlagen, verlangte der Mitarbeiter 10.000 Euro Schadensersatz wegen eines vermeintlichen DSGVO-Verstoßes.
Das beklagte Land Sachsen-Anhalt lehnte die Forderung ab. Daraufhin musste das LG Magdeburg entscheiden, ob der Verlust der Papierakte einen ersatzfähigen Datenschutzschaden begründete.
DSGVO bei Papierakten: Wann sind analoge Dokumente geschützt?
Die Datenschutz-Grundverordnung schützt personenbezogene Daten unabhängig davon, ob sie digital oder auf Papier verarbeitet werden. Das LG Magdeburg stellte ausdrücklich klar, dass auch strukturierte Papierakten unter die DSGVO fallen können. Entscheidend ist dabei nicht das Speichermedium, sondern die Art der Datenverarbeitung.
Nach Art. 2 Abs. 1 DSGVO werden neben automatisierten Verarbeitungen auch nichtautomatisierte Verarbeitungen erfasst, sofern die personenbezogenen Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Wann gelten Papierakten als Dateisystem?
Nach Art. 4 Nr. 6 DSGVO liegt ein Dateisystem vor, wenn personenbezogene Daten nach bestimmten Kriterien geordnet und gezielt zugänglich sind. Dazu gehören beispielsweise:
- Systematisch geführte Personalakten
- Nach Namen sortierte Kunden- und Mitarbeiterverzeichnisse
- Strukturierte Aktenordner mit personenbezogenen Informationen
Im entschiedenen Fall erfüllte die Personalübersicht innerhalb der Einsatzakte diese Voraussetzungen. Die Mitarbeiterdaten waren systematisch erfasst und konnten gezielt abgerufen werden.
Die DSGVO bei Papierakten setzt somit keine elektronische Speicherung voraus. Allerdings können besondere gesetzliche Ausnahmen ihre Anwendung ausschließen, wie das Gericht im nächsten Prüfungsschritt feststellte.
Warum die DSGVO im konkreten Fall nicht anwendbar war
Obwohl die Einsatzakte grundsätzlich die Voraussetzungen einer strukturierten Datenverarbeitung erfüllte, verneinte das LG Magdeburg die Anwendbarkeit der DSGVO. Ausschlaggebend war eine gesetzliche Ausnahme nach Art. 2 Abs. 2 lit. d DSGVO.
Diese Vorschrift nimmt bestimmte Datenverarbeitungen zuständiger Behörden vom Anwendungsbereich der DSGVO aus. Dazu gehören insbesondere Verarbeitungen zur Strafverfolgung, Strafvollstreckung und Gefahrenabwehr im Zusammenhang mit der öffentlichen Sicherheit.
Der Verarbeitungszweck ist entscheidend
Das Gericht begründete seine Entscheidung insbesondere mit folgenden Umständen:
- Sicherheitsrelevanter Zweck: Die Einsatzakte diente der Vorbereitung auf Geiselnahmen und andere Gewalttaten.
- Notfallorganisation: Die Mitarbeiterdaten ermöglichten eine schnelle Alarmierung und Koordination im Ernstfall.
- Keine gewöhnliche Personalverwaltung: Die Informationen wurden ausschließlich im Rahmen des Sicherheitskonzepts verarbeitet.
Entscheidend war somit nicht, dass die Daten Beschäftigte der Justizvollzugsanstalt betrafen, sondern der konkrete Verarbeitungszweck.
Die DSGVO bei Papierakten ist daher nicht ausnahmslos anwendbar. Werden personenbezogene Daten durch zuständige Behörden ausschließlich für die genannten Strafvollzugs- und Sicherheitszwecke verarbeitet, können besondere datenschutzrechtliche Vorschriften an ihre Stelle treten.
Schadensersatz wegen Datenverlust: Welche Ansprüche prüfte das Gericht?
Nachdem das LG Magdeburg die Anwendbarkeit der DSGVO ausgeschlossen hatte, scheiterte auch der geltend gemachte Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO. Das Gericht prüfte jedoch, ob dem Mitarbeiter auf Grundlage besonderer landesrechtlicher Datenschutzvorschriften eine Entschädigung zustand.
Maßgeblich war dabei § 78 Abs. 2 JVollzGB IV LSA, der unter bestimmten Voraussetzungen einen Anspruch auf Ersatz immaterieller Schäden bei rechtswidriger Verarbeitung personenbezogener Daten ermöglicht.
Welche Voraussetzungen gelten für einen Schadensersatzanspruch?
Für einen Anspruch nach dieser Vorschrift sind insbesondere folgende Punkte relevant:
- Rechtswidrige Datenverarbeitung: Personenbezogene Daten müssen unter Verstoß gegen geltende Datenschutzvorschriften verarbeitet worden sein.
- Immaterieller Schaden: Der betroffenen Person muss ein tatsächlich entstandener, ersatzfähiger Schaden nachweisbar sein.
- Ursächlicher Zusammenhang: Der Schaden muss auf die betreffende Datenverarbeitung zurückzuführen sein.
Bei nichtautomatisierter Datenverarbeitung setzt die Haftung nach § 78 Abs. 1 Satz 2 JVollzGB IV LSA zudem ein Verschulden voraus.
Das Gericht verneinte sowohl einen ersatzfähigen immateriellen Schaden als auch ein Verschulden des Landes. Ob der Aktenverlust überhaupt eine rechtswidrige Datenverarbeitung darstellte, konnte deshalb offenbleiben.
Kontrollverlust über personenbezogene Daten: Wann entsteht ein Schaden?
Ein zentraler Aspekt der Entscheidung war die Frage, ob bereits das Verschwinden einer Papierakte einen immateriellen Schaden begründet. Das LG Magdeburg verneinte dies, weil keine konkreten Hinweise darauf vorlagen, dass unbefugte Personen tatsächlich Zugriff auf die enthaltenen Mitarbeiterdaten erhalten hatten.
Bloße Befürchtung eines Datenmissbrauchs reicht nicht immer aus
Unter Bezugnahme auf die Rechtsprechung des Bundesgerichtshofs (Urteil vom 18. November 2024, Az. VI ZR 10/24) unterschied das Gericht zwischen einem tatsächlichen Kontrollverlust und einem lediglich hypothetischen Risiko.
Dabei waren insbesondere folgende Umstände entscheidend:
- Keine nachgewiesene Offenlegung: Es gab keine Hinweise darauf, dass Dritte die Akte eingesehen hatten.
- Kein festgestellter Datenmissbrauch: Eine missbräuchliche Verwendung der personenbezogenen Daten war nicht bekannt.
- Keine hinreichend begründete Befürchtung: Die Sorgen des Mitarbeiters beruhten nach Auffassung des Gerichts lediglich auf einer abstrakten Gefährdungsmöglichkeit.
Zwar kann auch die begründete Angst vor einem zukünftigen Datenmissbrauch einen immateriellen Schaden darstellen. Dafür müssen jedoch nachvollziehbare Umstände vorliegen, die über eine rein hypothetische Gefahr hinausgehen.
Das bloße Nichtauffinden personenbezogener Daten begründet somit nicht automatisch einen Schadensersatzanspruch.
Sicherheitsmaßnahmen bei Papierakten: Warum das Land nicht haftete
Neben dem fehlenden immateriellen Schaden prüfte das LG Magdeburg, ob das Land Sachsen-Anhalt für den Verlust der Einsatzakte verantwortlich gemacht werden konnte. Auch dies verneinte das Gericht. Entscheidend waren die bereits bestehenden organisatorischen und physischen Sicherheitsmaßnahmen.
Da es sich um eine nichtautomatisierte Verarbeitung personenbezogener Daten handelte, setzte eine Haftung nach § 78 Abs. 1 Satz 2 JVollzGB IV LSA ein Verschulden des Verantwortlichen voraus.
Welche Schutzmaßnahmen hatte die Justizvollzugsanstalt getroffen?
Das Gericht berücksichtigte insbesondere folgende Sicherheitsvorkehrungen:
- Verschlossene Aufbewahrung: Die Einsatzakte befand sich in einem abgeschlossenen Raum.
- Beschränkter Zugang: Nur bestimmte, ausdrücklich berechtigte Beschäftigte hatten Zutritt.
- Angemessenes Sicherheitsniveau: Die getroffenen Maßnahmen entsprachen nach Auffassung des Gerichts der Art und Sensibilität der gespeicherten Daten.
Weitergehende Schutzmaßnahmen hielt das LG Magdeburg unter den konkreten Umständen nicht für erforderlich.
Die Entscheidung verdeutlicht, dass personenbezogene Daten auch in Papierakten durch angemessene technische und organisatorische Maßnahmen geschützt werden müssen. Ein Aktenverlust allein beweist jedoch nicht, dass der Verantwortliche seine Sicherungspflichten schuldhaft verletzt hat.
Entscheidung des LG Magdeburg: Kein Schadensersatz für verschwundene Papierakte
Das LG Magdeburg wies die Klage des Mitarbeiters mit Urteil vom 25. Juni 2026 (Az. 10 O 1894/25) vollständig ab. Nach Auffassung des Gerichts bestand weder ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO noch nach den einschlägigen landesrechtlichen Datenschutzvorschriften.
Die Entscheidung beruhte auf drei wesentlichen Erwägungen:
- DSGVO nicht anwendbar: Die Einsatzakte diente ausschließlich der Gefahrenabwehr im Strafvollzug und unterlag deshalb der Ausnahme nach Art. 2 Abs. 2 lit. d DSGVO.
- Kein ersatzfähiger Schaden: Das bloße Verschwinden des Ordners begründete ohne konkrete Anhaltspunkte für einen Datenzugriff durch Unbefugte keinen tatsächlichen Kontrollverlust.
- Kein Verschulden: Die Justizvollzugsanstalt hatte nach Auffassung des Gerichts angemessene Sicherheitsmaßnahmen getroffen.
Der Kläger musste zudem die Kosten des Rechtsstreits tragen.
Das Urteil stellt damit klar, dass nicht jeder Verlust personenbezogener Daten automatisch einen Anspruch auf finanzielle Entschädigung auslöst. Vielmehr kommt es auf die anwendbaren Datenschutzvorschriften, einen tatsächlich entstandenen Schaden und die jeweiligen Haftungsvoraussetzungen an.
Die grundsätzliche Bedeutung der DSGVO bei Papierakten bleibt von dieser Entscheidung unberührt.
DSGVO bei Papierakten: Welche Folgen hat das Urteil für Unternehmen?
Das Urteil des LG Magdeburg ist auch für Unternehmen und Datenschutzverantwortliche von Bedeutung. Es bestätigt, dass personenbezogene Daten nicht nur in digitalen Systemen, sondern auch in strukturierten Papierakten datenschutzrechtlich geschützt sind. Die im konkreten Fall angewandte Ausnahme für die Gefahrenabwehr im Strafvollzug lässt sich jedoch nicht ohne Weiteres auf private Unternehmen übertragen.
Worauf sollten Unternehmen bei der Aufbewahrung von Papierakten achten?
Um Datenschutzverstöße und mögliche Haftungsrisiken zu vermeiden, sollten Unternehmen insbesondere folgende Maßnahmen berücksichtigen:
- Zugriff beschränken: Personenbezogene Unterlagen sollten ausschließlich berechtigten Beschäftigten zugänglich sein.
- Sichere Aufbewahrung gewährleisten: Vertrauliche Dokumente sollten beispielsweise in abschließbaren Schränken oder gesicherten Räumen aufbewahrt werden.
- Schutzmaßnahmen dokumentieren: Technische und organisatorische Maßnahmen sollten regelmäßig überprüft und nachvollziehbar festgehalten werden.
- Datenverluste untersuchen: Bei verschwundenen Akten ist zu prüfen, ob eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO vorliegt.
Die Entscheidung verdeutlicht, dass die DSGVO bei Papierakten ebenso sorgfältig berücksichtigt werden muss wie bei digitalen Datenverarbeitungen. Welche Sicherheitsmaßnahmen erforderlich sind, hängt insbesondere vom Risiko und der Sensibilität der verarbeiteten Informationen ab.
Fazit: DSGVO bei Papierakten und Schadensersatz richtig einordnen
Das Urteil des LG Magdeburg verdeutlicht, dass die DSGVO bei Papierakten grundsätzlich ebenso relevant ist wie bei digitalen Datenverarbeitungen. Voraussetzung ist, dass personenbezogene Daten in einem strukturierten Dateisystem verarbeitet werden. Allerdings können besondere gesetzliche Ausnahmen die Anwendbarkeit der DSGVO ausschließen.
Im entschiedenen Fall diente die verschwundene Einsatzakte ausschließlich der Gefahrenabwehr im Strafvollzug. Deshalb war die DSGVO nicht anwendbar. Auch ein Schadensersatzanspruch nach den einschlägigen landesrechtlichen Vorschriften scheiterte, da weder ein ersatzfähiger immaterieller Schaden noch ein Verschulden des Landes festgestellt werden konnte.
Für Unternehmen und öffentliche Stellen ergeben sich daraus wichtige Erkenntnisse: Personenbezogene Daten müssen unabhängig vom Speichermedium angemessen geschützt werden. Gleichzeitig führt nicht jeder Aktenverlust automatisch zu einem Schadensersatzanspruch.
Entscheidend bleiben die konkreten Umstände des Einzelfalls, insbesondere der Verarbeitungszweck, die anwendbaren Rechtsgrundlagen und die Voraussetzungen einer möglichen Haftung.
Fragen zur DSGVO bei Papierakten und Schadensersatz?
Sie sind unsicher, welche Datenschutzvorschriften für Ihre Papierakten gelten oder welche rechtlichen Folgen ein Aktenverlust haben kann? Unsere erfahrenen Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie bei der Prüfung datenschutzrechtlicher Pflichten, der Bewertung von Datenschutzverletzungen und möglichen Schadensersatzansprüchen. Vereinbaren Sie ein Teams-Meeting oder stellen Sie direkt Ihre Rechtsfrage – wir helfen Ihnen gerne!
❓FAQ zur DSGVO bei Papierakten
Wann gilt die DSGVO bei Papierakten?
Die DSGVO bei Papierakten gilt grundsätzlich, wenn personenbezogene Daten in einem strukturierten Dateisystem gespeichert sind oder gespeichert werden sollen. Entscheidend ist, dass die Informationen nach bestimmten Kriterien zugänglich sind. Eine elektronische Speicherung ist nach Art. 2 Abs. 1 DSGVO nicht erforderlich. Gesetzliche Ausnahmen können die Anwendung jedoch ausschließen.
Wann gibt es Schadensersatz bei Verlust einer Papierakte?
Ein Schadensersatzanspruch nach Art. 82 DSGVO setzt einen DSGVO-Verstoß, einen tatsächlich entstandenen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang voraus. Der bloße Verlust einer Papierakte begründet nicht automatisch einen Anspruch. Ist die DSGVO nicht anwendbar, können gegebenenfalls besondere datenschutzrechtliche Haftungsvorschriften maßgeblich sein.
Führt der Verlust einer Papierakte automatisch zu einem Kontrollverlust?
Nein, der Verlust einer Papierakte bedeutet nicht zwangsläufig einen ersatzfähigen Kontrollverlust. Entscheidend sind die konkreten Umstände. Nach dem Urteil des LG Magdeburg reichte die bloße Nichtauffindbarkeit der Einsatzakte nicht aus, da keine hinreichenden Anhaltspunkte für einen tatsächlichen Datenzugriff durch Unbefugte oder eine begründete Missbrauchsbefürchtung vorlagen.
Warum galt die DSGVO nicht für die verschwundene Einsatzakte?
Die Einsatzakte diente nach den Feststellungen des LG Magdeburg ausschließlich der Gefahrenabwehr im Strafvollzug. Deshalb griff die Ausnahme nach Art. 2 Abs. 2 lit. d DSGVO. Maßgeblich war der besondere behördliche Verarbeitungszweck. Anstelle der DSGVO waren die einschlägigen datenschutzrechtlichen Vorschriften des Justizvollzugsrechts Sachsen-Anhalt anzuwenden.
Wie müssen Unternehmen personenbezogene Daten in Papierakten schützen?
Unternehmen müssen personenbezogene Daten in Papierakten durch angemessene technische und organisatorische Maßnahmen schützen. Dazu gehören insbesondere abschließbare Schränke, beschränkte Zugriffsberechtigungen und geregelte Aufbewahrungs- und Vernichtungsprozesse. Nach Art. 32 DSGVO richtet sich das erforderliche Schutzniveau insbesondere nach den Risiken der Verarbeitung und der Sensibilität der Daten.
Müssen Unternehmen den Verlust einer Papierakte melden?
Der Verlust einer Papierakte kann eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO darstellen. Eine Meldung an die zuständige Aufsichtsbehörde ist grundsätzlich erforderlich, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Meldung muss grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden erfolgen. Ausnahmen und Dokumentationspflichten sind zu beachten.
Sind handschriftliche Notizen von der DSGVO erfasst?
Handschriftliche Notizen können unter die DSGVO fallen, wenn sie personenbezogene Daten enthalten und Bestandteil eines strukturierten Dateisystems sind oder dafür vorgesehen sind. Lose, unsystematisch aufbewahrte Notizen fallen bei ausschließlich nichtautomatisierter Verarbeitung dagegen grundsätzlich nicht in den sachlichen Anwendungsbereich der DSGVO. Gesetzliche Ausnahmen und andere Datenschutzvorschriften bleiben zu berücksichtigen.
