Auskunft zügig unverzüglich

Fristen sind in der juristischen Praxis wahlweise das Herzstück effizienten Arbeitens oder der Grund für schlechtes Schlafen und Herzrhythmusstörungen.

Auch die DSGVO kommt nicht ohne Fristen aus. Und wenn eine Frist nicht eingehalten wird, kann eine Aufsichtsbehörde ein Bußgeld verhängen. Besonders stressig wird es, wenn eine Datenpanne an einem Freitag vorliegt und man in Art. 33 DSGVO liest, man habe die Panne innerhalb von 72 Stunden der Aufsichtsbehörde zu melden. Regelmäßig sieht man dann das wohlverdiente Wochenende in weite Ferne rücken. Diese Frist ist nicht in Stein gemeißelt, eine Verzögerung muss aber gegenüber der Aufsichtsbehörde gut begründet werden. Der alleinige Verweis auf das freie Wochenende mag da nicht immer gelten.

Eine großzügigere Fristenregelung findet sich in Art. 12 Abs. 3 DSGVO. Dabei geht es um die Frage, wie lange der Verantwortliche Zeit hat, Auskunftsrechte, Löschrechte oder andere Anträge von betroffenen Personen zu bearbeiten. Dem Wortlaut nach hat der Verantwortliche der betroffenen Person Informationen gemäß ihrem Antrag „unverzüglich“, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen.

Nun ließe sich daraus schlussfolgern, dass man als Verantwortlicher für die Bearbeitung generell einen Monat Zeit hat … wenn da nicht das Wort „unverzüglich“ stehen würde.

„Emotionales Ungemach“ wegen verspäteter Auskunft

Mit der Frage, wann eine Auskunft nach Art. 15 in Verbindung mit Art. 12 Abs. 3 DSGVO nicht mehr fristgerecht erteilt worden ist, hatte sich das Arbeitsgericht (ArbG) Duisburg in seinem Urteil vom 03.11.2023 (Az.: 5 Ca 877/23) auseinanderzusetzen.

Hintergrund des Urteils ist das Begehren eines abgelehnten Bewerbers zu wissen, welche Daten zu seiner Person aus einer sechs Jahre zurückliegenden Bewerbung gespeichert seien. Er setzte dem Unternehmen für die Beantwortung eine Frist von 15 Tagen. Drei Tage nach Ablauf der gesetzten Frist teilte das Unternehmen mit, dass keine Daten des Bewerbers gespeichert worden seien.

Der Bewerber sah in der Dauer der Bearbeitungszeit eine Verletzung des Art. 13 Abs. 2 DSGVO und forderte Schmerzensgeld in Höhe von 1.000 Euro. Da sich das Unternehmen weigerte zu zahlen, zog er vor das Arbeitsgericht.

Zunächst argumentierte der Bewerber vor Gericht, dass die Monatsfrist eine Maximalfrist darstelle und der Verantwortliche unverzüglich, i. d. R. innerhalb einer Woche, handeln müsse.

Schadensersatz sah der Kläger deswegen als gerechtfertigt an, da der Verantwortliche seine Rechte temporär eingeschränkte und er einen Kontrollverlust über seine Daten erlitten habe. Ebenso habe er „emotionales Ungemach“ erfahren, da er selbst Opfer eines Hackerangriffs geworden und daher im Bereich des Datenschutzes sehr sensibel sei (siehe Rn. 24).

Das Unternehmen als verantwortliche Stelle argumentierte, dass die DSGVO in der Monatsfrist eine Mindestfrist sehe. Da die Bewerbung schon sechs Jahre zurücklag, habe man gründlich die Datenbanken durchforsten müssen, ob nicht doch noch Daten vorhanden sind, um keine falsche Auskunft zu erteilen. Da wegen Feier- und Brückentagen insgesamt neun Arbeitstage zur Verfügung standen, war aus Sicht des Unternehmens innerhalb der Monatsfrist die Auskunftserteilung in einem angemessenen Zeitraum erfolgt.

Gründe für ein Schmerzensgeld vermochte der Verantwortliche auch nicht zu erkennen, da kein entstandener Schaden dargelegt wurde und ein von der Aufsichtsbehörde abgenommener Code of Conduct nach Art. 40 DSGVO, der eine Löschung für Bewerberdaten nach drei Jahren vorsieht, einem Kontrollverlust entgegenwirke.

Das ArbG Duisburg sprach dem Bewerber ein Schmerzensgeld in Höhe von 750 Euro zu und begründete dies mit einer verspäteten Auskunft und dem damit verbundenen Kontrollverlust.

Keine pauschale Monatsfrist – unsauber begründet, im Ergebnis richtig

Das ArbG Duisburg vertritt die Auffassung, das Unternehmen hätte „unverzüglich“ die Auskunftsanfrage beantworten müssen und sieht in der Monatsfrist nur eine Höchstfrist, die „nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden“ darf (siehe Rn. 60). Die Auslegung des Zeitraums „unverzüglich“ ergebe sich durch die Abwägung der beiderseitigen Interessen. Das Gericht verweist dabei auf die stetige Rechtsprechung des Bundesarbeitsgerichts (BAG, Urteil vom 27.02.2020 — 2 AZR 390/19), die eine Zeitspanne von einer Woche als „unverzüglich“ gelten lässt. Alles was länger dauert, muss dann begründet werden.

Schwierig an der rechtlichen Begründung des Gerichts ist, dass diese gesetzessystematisch nicht sauber ist. Den Begriff der „Unverzüglichkeit“ legt das Gericht nur nach der nationalen Sichtweise nach § 121 BGB aus. Diese Auslegung ist aber rein national von der Rechtsprechung geprägt und weist keinen europarechtlichen Bezug auf. Da der Begriff hier in einem europäischen Regelwerk auftaucht, ist zu schauen, wie der Begriff europarechtlich auszulegen ist.

Allerdings ist sich das Schrifttum nicht einig, wie man dies bewerkstelligt. Häufig wird auf § 121 BGB verwiesen, ohne die europarechtliche Komponente zu erörtern. Ein Verweis auf eine nationale Vorschrift ohne weitere Begründung läuft allerdings dem Gebot der europarechtlich einheitlichen Auslegung von EU-Normen zuwider. Daher wird im Schrifttum auch überlegt, bei der Berechnung von Fristen, Daten und Termine auf die Verordnung (EWG, Euratom) Nr. 1182/71 zurückzugreifen. Diesen Weg geht z. B. die (damalige) Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) in ihrem Jahresbericht 2018 (vgl. S.25, Fn.35).

Konkret hilft die Verordnung aber nicht weiter, da dort nicht der unbestimmte Rechtsbegriff „unverzüglich“ ausgelegt wird. Man könnte aber auch Art. 33 DSGVO heranziehen, der den Begriff „unverzüglich“ in Relation zu 72 Stunden setzt. Dies mag als Anhaltspunkt genommen werden, wie dieser unbestimmte Rechtsbegriff auszulegen ist. Einen anderen Hinweis gibt die englische Fassung: „without undue delay“ – was wörtlich dem deutschen „ohne schuldhaftes Zögern“ sehr nahekommt. Es beinhaltet eine subjektive Komponente, die die Komplexität des Falles beim Verantwortlichen berücksichtigen muss. Im Ergebnis kann eine europarechtliche Auslegung zu demselben Ergebnis kommen wie das ArbG Duisburg in seinem Urteil. Es wäre aber eine einheitliche europarechtliche Auslegung gewahrt.

Geht man von einer Fristverletzung und damit von einem Datenschutzverstoß aus, muss zusätzlich dem Bewerber ein Schaden entstanden sein, der zum Schadensersatz berechtigt.

Wann liegt ein Schaden vor? Die Kriterien des EuGH

Der EuGH hat in seinem Urteil vom 04.05.2023 (C-300/21) klargestellt, welche Voraussetzungen für einen Schadensersatzanspruch vorliegen müssen (wir berichteten):

• Die Verarbeitung personenbezogener Daten unter Verstoß gegen die DSGVO,
• ein entstandener Schaden für die betroffene Person und
• ein Kausalzusammenhang zwischen rechtswidriger Verarbeitung und dem entstandenen Schaden.

Außerdem machte der EuGH deutlich, dass keine Erheblichkeitsschwelle für einen Anspruch auf Schadensersatz erforderlich ist. Allerdings weist er darauf hin, dass die Person, die von einem Verstoß gegen die DSGVO mit negativen Folgen betroffen ist, nicht vom Nachweis des Schadens befreit wäre.

Ein Verstoß gegen die DSGVO liegt nach dem ArbG Duisburg vor. Ein Schaden besteht laut dem Gericht in dem durch die verspätete Auskunft erlittenen Kontrollverlust des Bewerbers über seine Daten. Auch der Code of Conduct mit Löschkonzept war für das Gericht kein Argument gegen einen Kontrollverlust. Die Rechtsprechung des ArbG Duisburg steht damit im Widerspruch der bisherigen Rechtsprechung. Das Landgericht (LG) Bonn (Urteil vom 01.07.2021 – Az.: 15 O 372/20) sah anders als das ArbG Duisburg in einer verspäteten Auskunft allein keinen Schaden (wir berichteten).

Ein Urteil mit Beigeschmack

Das ArbG Duisburg scheint sehr schnell zu Schmerzensgeldansprüchen zu kommen, wenn (vermeintlich) verspätet informiert wird. Im März 2023 hatte das Gericht bereits ein Schmerzensgeld in Höhe von 10.000 Euro aus ähnlichen Gründen zugesprochen, welches aber vom Landesarbeitsgericht (LAG) Düsseldorf (LAG Düsseldorf, Urteil vom 28.11.2023 – Az.: 3 Sa 285/23) erst kürzlich gekippt wurde. Wir berichten über das Urteil in Kürze hier.

Das Urteil des ArbG Duisburg kann hinterfragt werden, da die Begründung häufig etwas oberflächlich daherkommt und nicht immer überzeugend ist. Soweit Rechtsmittel möglich sind, bleibt abzuwarten, ob die beklagte Partei in die Berufung gehen wird.