Datenschutz bei Papierakten: Wann besteht Anspruch auf Schadensersatz?

Der Verlust vertraulicher Unterlagen kann für Betroffene erhebliche Risiken mit sich bringen. Besonders problematisch wird es, wenn Papierakten personenbezogene Informationen wie Privatadressen, Telefonnummern oder Namen enthalten. Doch welche datenschutzrechtlichen Vorschriften gelten für solche Dokumente und wann können Betroffene eine finanzielle Entschädigung verlangen?

Mit diesen Fragen befasste sich das Landgericht Magdeburg in seinem Urteil vom 25. Juni 2026 (Az. 10 O 1894/25). Anlass war eine verschwundene Einsatzakte aus einer Justizvollzugsanstalt, in der sensible Mitarbeiterdaten sowie sicherheitsrelevante Informationen dokumentiert waren. Ein betroffener Beschäftigter befürchtete einen möglichen Missbrauch seiner Daten und forderte 10.000 Euro Schadensersatz.

Das Gericht musste insbesondere klären, ob die Datenschutz-Grundverordnung auf die betreffende Akte anwendbar war und ob bereits deren Verschwinden einen ersatzfähigen Schaden begründete.

Die Entscheidung zeigt, dass der Datenschutz bei Papierakten grundsätzlich denselben Stellenwert wie bei elektronischen Daten haben kann. Allerdings sind der konkrete Verarbeitungszweck, gesetzliche Ausnahmen und die Voraussetzungen eines Schadensersatzanspruchs entscheidend.

Verschwundene Sicherheitsakte aus der JVA Burg: Was war passiert?

Ein fehlender Aktenordner in der Justizvollzugsanstalt Burg in Sachsen-Anhalt löste einen Rechtsstreit über den Schutz personenbezogener Mitarbeiterdaten aus. Während eines Fachaufsichtsbesuchs am 26. November 2024 fiel auf, dass eine wichtige Einsatzakte nicht mehr auffindbar war.

Welche Informationen enthielt die verschwundene Akte?

Die Unterlagen dienten der Vorbereitung auf sicherheitskritische Situationen, insbesondere Geiselnahmen und Gewalttaten. Neben organisatorischen Notfallmaßnahmen enthielt der Ordner:

• Persönliche Kontaktdaten: Namen, Privatanschriften und Telefonnummern von Beschäftigten.
• Interne Zuständigkeiten: Informationen über Aufgaben und Verantwortlichkeiten im Ernstfall.
• Sicherheitsabläufe: Festgelegte Alarmierungswege und Maßnahmen zur Gefahrenabwehr.

Im Dezember 2024 erfuhr ein betroffener Mitarbeiter vom Verlust der Unterlagen. Aufgrund seines regelmäßigen Kontakts mit Strafgefangenen befürchtete er, dass seine persönlichen Daten missbraucht und dadurch seine Familie gefährdet werden könnten.

Obwohl keine Hinweise auf einen tatsächlichen Zugriff durch Unbefugte vorlagen, verlangte er vom Land Sachsen-Anhalt 10.000 Euro Schadensersatz. Nachdem das Land die Zahlung verweigerte, landete der Streit vor dem LG Magdeburg.

Datenschutz bei Papierakten: Welche gesetzlichen Anforderungen gelten?

Personenbezogene Daten unterliegen nicht ausschließlich dann dem Schutz der DSGVO, wenn sie elektronisch gespeichert werden. Auch handschriftliche Aufzeichnungen, Personalunterlagen oder andere analoge Dokumente können erfasst sein. Voraussetzung ist allerdings, dass die Daten nach bestimmten Kriterien organisiert und gezielt auffindbar sind.

Nach Art. 2 Abs. 1 DSGVO gilt die Verordnung neben automatisierten Verarbeitungen auch für nichtautomatisierte Datenverarbeitungen, sofern die Informationen Bestandteil eines Dateisystems sind oder dafür vorgesehen sind.

Entscheidend ist die systematische Ablage

Was unter einem Dateisystem zu verstehen ist, regelt Art. 4 Nr. 6 DSGVO. Danach kommt es darauf an, ob personenbezogene Daten strukturiert und anhand festgelegter Merkmale zugänglich sind.

Typische Beispiele sind alphabetisch sortierte Personalakten, systematisch geführte Kundenverzeichnisse oder nach Zuständigkeiten gegliederte Mitarbeiterlisten.

Auch die verschwundene Einsatzakte erfüllte nach Auffassung des LG Magdeburg diese Anforderungen. Die darin enthaltenen Beschäftigtendaten waren geordnet und gezielt abrufbar.

Damit stellte das Gericht grundsätzlich klar: Der Datenschutz bei Papierakten hängt nicht vom verwendeten Speichermedium ab. Ob die DSGVO tatsächlich Anwendung findet, richtet sich jedoch zusätzlich nach dem Zweck der jeweiligen Datenverarbeitung und möglichen gesetzlichen Ausnahmen.

Warum die DSGVO trotz personenbezogener Daten nicht anwendbar war

Obwohl die verschwundene Einsatzakte personenbezogene Informationen in strukturierter Form enthielt, fiel deren Verarbeitung nach Auffassung des LG Magdeburg nicht unter die DSGVO. Ausschlaggebend war eine besondere Ausnahmevorschrift, die bestimmte behördliche Tätigkeiten vom Anwendungsbereich der Verordnung ausnimmt.

Gemäß Art. 2 Abs. 2 lit. d DSGVO gilt die Datenschutz-Grundverordnung nicht für bestimmte Verarbeitungen personenbezogener Daten durch zuständige Behörden, insbesondere im Zusammenhang mit der Strafverfolgung, Strafvollstreckung und dem Schutz vor Gefahren für die öffentliche Sicherheit.

Sicherheitsaufgaben statt gewöhnlicher Personalverwaltung

Für die rechtliche Einordnung waren insbesondere drei Aspekte maßgeblich:

• Zweck der Unterlagen: Die Einsatzakte sollte eine schnelle Reaktion auf Geiselnahmen und andere Gewalttaten ermöglichen.
• Verwendung der Mitarbeiterdaten: Namen und Kontaktdaten dienten der Alarmierung und Koordination bei sicherheitsrelevanten Ereignissen.
• Behördlicher Aufgabenbereich: Die Verarbeitung erfolgte im Rahmen der Gefahrenabwehr im Strafvollzug und nicht zur allgemeinen Personalverwaltung.

Damit war nicht die Eigenschaft der Betroffenen als Beschäftigte entscheidend, sondern der konkrete Verarbeitungszweck.

Der Datenschutz bei Papierakten richtet sich in solchen Sonderfällen nach den jeweils einschlägigen gesetzlichen Vorschriften. Im vorliegenden Verfahren waren deshalb besondere landesrechtliche Datenschutzregelungen maßgeblich.

Schadensersatz bei Aktenverlust: Welche rechtlichen Voraussetzungen gelten?

Mit der Feststellung, dass die DSGVO im konkreten Fall nicht anwendbar war, entfiel zugleich ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO. Damit war die rechtliche Prüfung jedoch nicht abgeschlossen. Das LG Magdeburg untersuchte zusätzlich, ob sich aus den besonderen Datenschutzvorschriften Sachsen-Anhalts ein Entschädigungsanspruch ergeben konnte.

Maßgeblich war hierbei § 78 Abs. 2 JVollzGB IV LSA, der unter bestimmten Voraussetzungen den Ersatz immaterieller Schäden aufgrund einer rechtswidrigen Verarbeitung personenbezogener Daten ermöglicht.

Welche Voraussetzungen müssen Betroffene erfüllen?

Für einen erfolgreichen Schadensersatzanspruch sind insbesondere drei Aspekte relevant:

1. Datenschutzverstoß: Die Verarbeitung personenbezogener Daten muss gegen geltende gesetzliche Vorschriften verstoßen.
2. Tatsächlicher Schaden: Der betroffenen Person muss ein ersatzfähiger immaterieller Nachteil entstanden sein.
3. Ursächlicher Zusammenhang: Der geltend gemachte Schaden muss auf die betreffende Datenverarbeitung zurückzuführen sein.

Bei nichtautomatisierten Datenverarbeitungen verlangt § 78 Abs. 1 Satz 2 JVollzGB IV LSA darüber hinaus ein Verschulden.

Im entschiedenen Fall konnte das Gericht weder einen ersatzfähigen immateriellen Schaden noch ein Verschulden des Landes feststellen. Ob der Verlust der Einsatzakte überhaupt eine rechtswidrige Datenverarbeitung darstellte, musste deshalb nicht abschließend geklärt werden.

Kontrollverlust über persönliche Daten: Reicht die Angst vor Missbrauch aus?

Nicht jeder Verlust personenbezogener Informationen führt automatisch zu einem ersatzfähigen immateriellen Schaden. Entscheidend ist vielmehr, ob die betroffene Person tatsächlich die Kontrolle über ihre Daten verloren hat oder ob lediglich ein theoretisches Risiko besteht.

Das LG Magdeburg orientierte sich dabei an der Rechtsprechung des Bundesgerichtshofs vom 18. November 2024 (Az. VI ZR 10/24). Danach kann ein tatsächlicher Kontrollverlust einen immateriellen Schaden begründen. Eine rein hypothetische Gefährdung genügt hingegen nicht.

Warum das Gericht keinen Schaden feststellen konnte

Im konkreten Verfahren sprachen mehrere Umstände gegen einen Schadensersatzanspruch. Es lagen keine Anhaltspunkte dafür vor, dass unberechtigte Personen die verschwundene Einsatzakte eingesehen hatten. Ebenso wenig war eine missbräuchliche Verwendung der enthaltenen Mitarbeiterdaten bekannt.

Zwar können auch nachvollziehbare Befürchtungen eines zukünftigen Datenmissbrauchs einen immateriellen Schaden darstellen. Dafür müssen jedoch konkrete Umstände vorliegen, die eine solche Sorge begründen.

Die Befürchtungen des Mitarbeiters hielt das Gericht für nicht ausreichend belegt. Das bloße Verschwinden einer Papierakte genügte deshalb nicht, um einen tatsächlichen Kontrollverlust oder einen ersatzfähigen immateriellen Schaden festzustellen.

Welche Sicherheitsmaßnahmen schützen personenbezogene Papierakten?

Neben der Frage nach einem möglichen Schaden untersuchte das LG Magdeburg, ob das Land Sachsen-Anhalt den Verlust der Einsatzakte durch unzureichende Sicherheitsvorkehrungen verschuldet hatte. Das Gericht verneinte eine solche Pflichtverletzung und berücksichtigte dabei die bereits bestehenden Schutzmaßnahmen innerhalb der Justizvollzugsanstalt.

Da die personenbezogenen Daten ausschließlich in Papierform verarbeitet wurden, war für eine Haftung nach § 78 Abs. 1 Satz 2 JVollzGB IV LSA ein Verschulden erforderlich.

Wie wurden die vertraulichen Unterlagen gesichert?

Die Justizvollzugsanstalt hatte verschiedene organisatorische Vorkehrungen getroffen, um einen unbefugten Zugriff zu verhindern. Die Einsatzakte wurde in einem verschlossenen Raum aufbewahrt, zu dem ausschließlich bestimmte, ausdrücklich berechtigte Beschäftigte Zugang hatten.

Nach Auffassung des Gerichts boten diese Maßnahmen unter Berücksichtigung der Sensibilität der enthaltenen Informationen ein angemessenes Sicherheitsniveau. Zusätzliche Schutzvorkehrungen waren im konkreten Fall nicht erforderlich.

Die Entscheidung verdeutlicht damit einen wichtigen Grundsatz: Auch beim Datenschutz bei Papierakten kommt es auf angemessene Sicherheitsmaßnahmen an. Allein die Tatsache, dass vertrauliche Unterlagen verschwinden, beweist noch keine schuldhafte Verletzung datenschutzrechtlicher Sicherungspflichten.

LG Magdeburg weist Schadensersatzklage wegen verschwundener Papierakte ab

Mit Urteil vom 25. Juni 2026 (Az. 10 O 1894/25) entschied das LG Magdeburg zugunsten des Landes Sachsen-Anhalt. Der betroffene Mitarbeiter erhielt die geforderten 10.000 Euro nicht und musste zudem die Kosten des Rechtsstreits tragen.

Die Richter stützten die Klageabweisung auf mehrere rechtliche Erwägungen. Zunächst war Art. 82 Abs. 1 DSGVO nicht einschlägig, da die Datenverarbeitung aufgrund ihres sicherheitsbezogenen Zwecks unter die Ausnahme des Art. 2 Abs. 2 lit. d DSGVO fiel.

Auch die besonderen landesrechtlichen Haftungsvorschriften führten zu keinem anderen Ergebnis. Zwar war die Einsatzakte verschwunden, ein tatsächlicher Zugriff durch unbefugte Dritte ließ sich jedoch nicht feststellen. Die Befürchtung eines möglichen Datenmissbrauchs reichte nach Auffassung des Gerichts nicht aus, um einen ersatzfähigen immateriellen Schaden zu begründen.

Hinzu kam, dass die Justizvollzugsanstalt angemessene Sicherheitsvorkehrungen getroffen hatte. Ein Verschulden des Landes war deshalb ebenfalls nicht feststellbar.

Das Urteil macht deutlich, dass ein Aktenverlust allein keinen Schadensersatzanspruch begründet. Maßgeblich bleiben die einschlägigen Datenschutzvorschriften sowie die konkreten Voraussetzungen einer Haftung.

Datenschutz bei Papierakten: Welche Konsequenzen ergeben sich für Unternehmen?

Auch wenn sich das Urteil auf eine Justizvollzugsanstalt bezieht, lassen sich daraus wichtige Erkenntnisse für den betrieblichen Datenschutz ableiten. Unternehmen müssen personenbezogene Informationen unabhängig davon schützen, ob sie elektronisch oder in strukturierten Papierakten gespeichert werden.

Die vom LG Magdeburg angewandte Ausnahme für bestimmte Sicherheitsaufgaben im Strafvollzug lässt sich dabei nicht auf gewöhnliche betriebliche Datenverarbeitungen übertragen.

Checkliste für den sicheren Umgang mit Papierakten

Um Datenschutzverletzungen und mögliche Haftungsrisiken zu reduzieren, sollten Unternehmen folgende Maßnahmen berücksichtigen:

• Zugriffsrechte festlegen: Vertrauliche Unterlagen dürfen nur für Beschäftigte zugänglich sein, die diese tatsächlich benötigen.
• Aufbewahrung absichern: Abschließbare Aktenschränke und gesicherte Räume verhindern unbefugte Einsichtnahmen.
• Schutzmaßnahmen dokumentieren: Bestehende technische und organisatorische Maßnahmen sollten regelmäßig überprüft und dokumentiert werden.
• Aktenverluste untersuchen: Verschwinden personenbezogene Unterlagen, ist das Risiko für Betroffene zu bewerten und gegebenenfalls eine Meldung nach Art. 33 DSGVO vorzunehmen.

Welche Vorkehrungen erforderlich sind, hängt insbesondere von der Sensibilität der Daten und den möglichen Risiken für betroffene Personen ab.

Entscheidend ist daher ein risikoorientiertes Sicherheitskonzept, das auch analoge Dokumente berücksichtigt.

Fazit: Wann führt der Verlust von Papierakten zu Schadensersatz?

Das Urteil des LG Magdeburg vom 25. Juni 2026 (Az. 10 O 1894/25) zeigt, dass der Verlust personenbezogener Unterlagen nicht zwangsläufig einen Anspruch auf finanzielle Entschädigung begründet. Entscheidend sind vielmehr die anwendbaren Datenschutzvorschriften, ein tatsächlich entstandener Schaden und die jeweiligen Haftungsvoraussetzungen.

Im entschiedenen Fall war die DSGVO aufgrund des besonderen Verarbeitungszwecks nicht anwendbar. Auch nach den einschlägigen landesrechtlichen Vorschriften bestand kein Schadensersatzanspruch, da das Gericht weder einen ersatzfähigen immateriellen Schaden noch ein Verschulden des Landes feststellen konnte.

Für Unternehmen bleibt der Datenschutz bei Papierakten dennoch von erheblicher Bedeutung. Werden personenbezogene Informationen systematisch erfasst, können die Anforderungen der DSGVO ebenso gelten wie bei digitalen Datenverarbeitungen. Dazu gehört insbesondere die Umsetzung angemessener technischer und organisatorischer Schutzmaßnahmen.

Das Urteil verdeutlicht somit zwei wesentliche Grundsätze: Vertrauliche Papierunterlagen müssen wirksam vor unbefugtem Zugriff geschützt werden. Gleichzeitig führt nicht jeder Aktenverlust automatisch zu einer Schadensersatzpflicht. Maßgeblich ist stets die rechtliche Bewertung des konkreten Einzelfalls.

Fragen zum Datenschutz bei Papierakten?

Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht unterstützen Sie dabei, den Datenschutz bei Papierakten rechtskonform umzusetzen, personenbezogene Daten wirksam zu schützen und Haftungsrisiken bei Aktenverlusten zu minimieren. Jetzt Beratungstermin anfordern oder mit uns in Kontakt treten!