Nicht zum ersten Mal musste sich die Rechtsprechung mit der Frage auseinandersetzen, wann ein Schmerzensgeldanspruch nach der DSGVO vorliegt (wir berichteten).
In diesem Fall vor dem Bundesarbeitsgericht (BAG-Urteil vom 17.10.2024 – Az. 8 AZR 215/23) musste das Gericht klären, ob ein ehemaliger Auszubildender eines Fitnessstudios Schmerzensgeld erhält, weil sein früherer Arbeitgeber eine Auskunft über die Verarbeitung seiner personenbezogenen Daten nicht vollständig beantwortete.
Was war geschehen?
In seiner Auskunft erklärte der Arbeitgeber, er habe den Namen, das Geburtsdatum, die Anschrift, die Arbeitsplatzbeschreibung und die Arbeitszeiterfassung des Auszubildenden gespeichert.
Der Auszubildende hingegen behauptete, der Arbeitgeber besitze zudem einen USB-Stick mit seinen privaten Fotos, Videos und Bewerbungsunterlagen, den er ihm weggenommen habe. Daher sei die Auskunft unvollständig.
Er forderte Schmerzensgeld und begründete dies mit der Sorge, dass der Arbeitgeber seine Daten missbräuchlich nutzen oder weitergeben könnte. Außerdem fühle er sich unsicher, da der Arbeitgeber im selben Ort wohne, und fürchte mögliche körperliche Gewalt. Zudem leide er unter anhaltender nervlicher Belastung und Schlafstörungen.
Entscheidung des BAG
Das BAG wies den Anspruch auf Schmerzensgeld schon deswegen zurück, weil der Auszubildende keinen Schaden darlegen konnte. Das Gericht verwies dazu auf die Rechtsprechung des EuGH (EuGH-Urteil in der Rechtsache C-300/21, wir berichteten), wonach drei Voraussetzungen für Schmerzensgeld nach der DSGVO erfüllt sein müssen:
- Vorliegen eines Schadens
- Verstoß gegen die DSGVO
- Zusammenhang zwischen Verstoß und Schaden
Dass die Voraussetzungen erfüllt sind, musste der Kläger – hier der Auszubildende – nachweisen.
Die Vorinstanz sah in der erheblichen Unsicherheit, die durch das Auslesen des USB-Sticks und die Sicherung der Daten entstand, eine Grundlage für einen Schadensersatzanspruch.
Das BAG verwies jedoch auf die neueste Rechtsprechung des EuGH, nach der ein negatives Gefühl wie „Unsicherheit“ allein nicht ausreiche. Auch ohne eine Auskunft des Arbeitgebers wusste der Auszubildende, welche Daten sich auf dem USB-Stick befanden. Ungewiss sei für ihn nur gewesen, ob diese Daten weiterverarbeitet wurden. Solche Befürchtungen allein begründeten keinen Schaden. Andernfalls würde jeder Verstoß gegen Art. 15 DSGVO automatisch einen immateriellen Schaden darstellen, wodurch die Schadensvoraussetzung bedeutungslos wäre.
Das BAG schloss sich zudem der Einschätzung der Vorinstanz an, dass die Aussagen des Auszubildenden zu unbestimmt seien, um nachzuvollziehen, ob sich intime Daten auf dem Stick befanden. Außerdem hielt das Landesarbeitsgericht Baden-Württemberg seine Behauptungen zu Schlafstörungen und Angstzuständen für übertrieben. Der Auszubildende selbst führte an, dass seine Beschwerden vor allem darauf zurückzuführen seien, dass sein Arbeitgeber im selben Ort wohne. Das Gericht erkannte darin jedoch keinen Zusammenhang mit einem Verstoß gegen Art. 15 DSGVO, sondern ein allgemeines Lebensrisiko.
Letztlich sah das BAG weder einen nachgewiesenen Schaden noch einen ursächlichen Zusammenhang zwischen der unvollständigen Auskunft und einem möglichen Schaden – und wies die Klage des Auszubildenden ab.
Fazit
Die Anwendung der EuGH-Rechtsprechung in der Praxis führt dazu, dass Kläger den tatsächlichen Eintritt eines Schadens nachweisen müssen, um Schmerzensgeld zu erhalten. Dies kann durch ärztliche Gutachten geschehen, die bspw. Angststörungen diagnostizieren. Entscheidend ist jedoch der Nachweis eines Zusammenhangs zwischen dem empfundenen Unwohlsein und dem Verstoß gegen die DSGVO.
Diese Hürden sind hoch – dessen sollte man sich bewusst sein.