Nachlässige Beauskunftung führt zu 10.000 Euro Schadensersatz

Das Arbeitsgericht (ArbG) Oldenburg hat vor Kurzem einem Beschäftigten ein Schmerzensgeld in Höhe von 10.000 Euro zugesprochen. Wir berichteten über diesen Fall, bei dem es um eine verspätete Auskunft ging. Jetzt geht es um ein verspätetes und unvollständiges Auskunftsverlangen, bei dem das ArbG Duisburg dem Kläger ebenfalls einen Schadensersatz in Höhe von 10.000 Euro zusprach (ArbG Duisburg, Urteil vom 23.03.2023 – Az. 3 Ca 44/23).

Beschäftigter will Transparenz vom Arbeitgeber

Ein Beschäftigter fragte zunächst im Jahr 2020 und dann erneut am 1. Oktober 2022 seinen Arbeitgeber, welche Daten er über ihn verarbeitet und verlangte eine Kopie seiner Daten. Nachdem er im Jahr 2020 von seinem Arbeitgeber eine zufriedenstellende Auskunft erhalten hatte, war dies im Jahr 2022 nicht mehr der Fall. Er sagte zunächst, dass sein Arbeitgeber nicht innerhalb von zwei Wochen auf seine Anfrage reagierte. Nachdem fast ein Monat vergangen war, erhielt der Arbeitnehmer eine Antwort und dieser lag eine Kopie der Daten bei. Dies hatte den Beschäftigten aber nicht zufriedengestellt. Er bemängelte diesmal, dass die Auskunft inhaltlich nicht vollständig sei. So hätten konkrete Angaben zur Speicherdauer und zu den Empfängern der Daten gefehlt. Außerdem sei die Kopie der Daten unvollständig. Der Arbeitgeber reagierte etwas ungehalten, indem er mitteilte, dass den Beschäftigten die konkreten Empfänger nicht interessieren sollten, konkretisierte aber Angaben zu Speicherdauer sowie die Datenkopie. Auch das reichte dem Beschäftigten nicht und er monierte dies noch einmal. Am 1. Dezember 2022 konkretisierte der Arbeitgeber die Informationen weiter. Immer noch unzufrieden über die letzte Antwort des Arbeitgebers, forderte der Arbeitnehmer die Vervollständigung der Daten und Zahlung von Schmerzensgeld in Höhe von 2.000 Euro. Der Arbeitgeber reagierte darauf nicht.

Nun verklagte er seinen Arbeitgeber vor dem ArbG Duisburg auf mindestens 2.000 Euro, überließ es aber dem Gericht, den Arbeitgeber auf eine höhere Summe zu verurteilen.

Das Arbeitsgericht war großzügig. Wegen inhaltlicher Verstöße (fehlende Speicherdauer und keine Konkretisierung der Empfänger) gestand es dem Beschäftigten 5.000 Euro und wegen einer vorsätzlich verspäteten Auskunft 5.000 Euro zu.

Auskunft so konkret und schnell wie möglich

Zu den inhaltlichen Verstößen führte das Arbeitsgericht folgendes aus:

Die konkreten Empfänger seien in der Auskunft zu benennen. Nur wenn der Verantwortliche sie nicht kennt, darf er sich auf die Angabe der Kategorien von Empfängern beschränken.

Hierzu hat der EuGH unlängst festgestellt (Urteil vom 12.01.2023 – C-154/21), dass der Verantwortliche im Rahmen von Auskunftsbegehren die Empfänger so konkret wie möglich mitzuteilen hat (wir berichteten).

Da der Arbeitgeber nur Kategorien von Empfängern nannte, obwohl ihm die konkreten Empfänger bekannt waren, sah das Gericht darin einen inhaltlichen Verstoß gegen Art. 15 DSGVO. Auch das Argument des Arbeitgebers, er habe dies bereits 2020 mitgeteilt und das kein sachlicher Grund für eine erneute Auskunft erkennbar sei, ließ das Gericht nicht gelten. Art. 15 DSGVO sehe keinen Begründungszwang für das Auskunftsbegehren vor.

Außerdem teilte der Arbeitgeber die konkrete Speicherdauer nicht mit. Das Gericht hat die allgemeinen Hinweise auf die Erfüllung von Löschpflichten sowie allgemeine gesetzliche Löschpflichten nicht gelten lassen. Zwar erfolgte im Dezember eine konkrete Auflistung, wann welche Daten gelöscht werden, es fehlte aber der Beginn des Speicherzeitraums, den der Arbeitgeber hätte unproblematisch berechnen können, so das Gericht.

Keine übertriebene oder rechtsmissbräuchliche Anfrage

Zudem verlor das Gericht noch einen Satz zur Frage, ob exzessive Auskunftsbegehren zulässig sind. Das Gericht sah solche Begehren als exzessiv an, wenn sie innerhalb einer Monatsfrist wiederholt werden. Das war hier nicht der Fall, da die letzte Anfrage zwei Jahre zurücklag.

Ebenso sah das Gericht keinen Rechtsmissbrauch. Dieser sei erst dann gegeben, wenn man sich Vorteile verschaffen möchte, die nach dem Zweck der Norm nicht vorgesehen sind. Näheres zum Rechtsmissbrauch im Rahmen von datenschutzrechtlichen Abmahnungen haben wir bereits in einem früheren Blogbeitrag beleuchtet. Dies habe das Gericht hier schlicht nicht erkennen können.

EuGH fordert zum Datenschutzverstoß einen Schaden

Die Entstehung eines Schmerzensgeldanspruchs sah das Gericht mit Verweis auf ein BAG-Urteil vom 26.08.2021 (Az. 8 AZR 253/20) bereits in der Verletzung der DSGVO selbst zu einem auszugleichenden, immateriellen Schaden, sprich Schmerzensgeld.

Dies sah der EuGH in seiner neuesten Rechtsprechung anders. Er forderte in seinem neuesten Urteil (EuGH-Urteil vom 04.05.2023 – Az. C-300/21) einen Verstoß gegen die DSGVO, der kausal zu einem Schaden bei der betroffenen Person führt (wir berichteten).

Schaden im Kontrollverlust über Daten und Verspätung der Auskunft

Doch auch, wenn der Schaden nicht im Datenschutzverstoß selbst liege, so sah das Gericht den Schaden in dem bestehenden Kontrollverlust des Beschäftigten wegen der unzureichenden und verspäteten Auskunft des Arbeitgebers. Der Beschäftigte sei im Ungewissen über die ihn betreffende Datenverarbeitung und eine Prüfung für ihn nur eingeschränkt möglich gewesen.

Keine Erheblichkeitsschwelle für Schmerzensgeld bzw. Schadensersatz

Die Schwere des immateriellen Schadens sei für die Begründung eines Schadens irrelevant und eine Erheblichkeitsschwelle für einen Schadensersatzanspruch in Form eines Schmerzensgeldes nicht zu fordern. Dies steht im Einklang mit dem bereits zitierten EuGH-Urteil, wonach die DSGVO keine Erheblichkeitsschwelle vorsieht (wir berichteten).

Verschleppte und widerwillige Auskunft treibt den Schadensersatzanspruch in die Höhe

Die Höhe des Schadensersatzes begründete das Arbeitsgericht damit, dass der Verstoß gegen die DSGVO einige Monate anhielt und mit einer entsprechenden Finanzkraft des Arbeitgebers. Da der Schadensersatz auch abschreckend wirken solle, komme es auch darauf an. Finanzschwächere Verantwortliche würden zu einem geringeren Schadensersatz verurteilt. Ein weiterer wichtiger Punkt sei die nicht unerhebliche Anzahl relevanter personenbezogener Daten wie Bankverbindung, Adresse oder Sozialversicherungsnummer. Ausschlaggebend für die Höhe der Entschädigung – hier insgesamt 10.000 Euro – sei aber das Verhalten des Arbeitgebers gewesen. Der Arbeitgeber habe bewusst und gewollt sowohl verspätet als auch unzureichend und intransparent das Auskunftsbegehren beantwortet. Außerdem sei der Arbeitgeber in Verkennung der Rechtslage wohl davon ausgegangen, dass der Beschäftigte seine Auskunft begründen müsse und habe daher auch die Auskunft immer wieder verzögert.

Kooperation ist das beste Rezept

Dieser Fall zeigt, dass bei Auskunftsbegehren eine vollständige und zeitnahe Auskunft weiteren (auch finanziellen) Aufwand geringhalten kann. Zwar ist die Beantwortung eines Auskunftsbegehrens im Tagesgeschäft eines Unternehmens zeitraubend, es verhindert aber weiteres Ungemach in Form von Anfragen von Aufsichtsbehörden und sogar gerichtlichen Auseinandersetzungen.