Art. 15 DSGVO: LAG verweigert immateriellen Schadensersatz: Keine Ent­schä­d­i­gung für ver­spä­tete Daten­aus­kunft

Ganze 10.000 Euro Schadensersatz sollte ein Immobilienunternehmen aus Nordrhein-Westfalen an einen ehemaligen Mitarbeiter zahlen. Er habe ein Auskunftsbegehren des früheren Kundenservicemitarbeiters nach Art. 15 Datenschutzgrundverordnung (DSGVO) nicht rechtzeitig erfüllt, urteilte das Arbeitsgericht (ArbG) Duisburg (Urt. v. 23.03.2023, Az.: 3 Ca 44/23).

Ein Jahr war der Mann bei dem Unternehmen tätig, hatte schon im Jahr 2020 einen Auskunftsantrag gestellt, den der ehemalige Arbeitgeber beantwortet hatte. Dem Mann war das nicht genug – er stellte einen weiteren und klagte schließlich und obsiegte in der 1. Instanz.

Das Unternehmen nahm das nicht hin und war mit der Berufung vor dem Landesarbeitsgericht (LAG) Düsseldorf erfolgreich (Urt. v. 28.11.2023, Az.: 3 Sa 285/23). Die 3. Kammer wies die Klage umfänglich ab.

Allerdings: Was beim unbefangenen Leser auf den ersten Blick vielleicht noch als juristische Kuriosität erscheinen und bestenfalls wegen der Höhe des zunächst zugesprochenen immateriellen Schadensersatzes zu ungläubigem Kopfschütteln führen mag, ist kein Einzelfall. Denn die Geltendmachung von Auskunftsrechten nach der Datenschutzgrundverordnung (DSGVO) und die Kombination mit derartigen Schadensersatzansprüchen beschäftigt die Rechtsprechung seit längerem.

Auskunftsrecht zentraler Bestandteil der DSGVO

Die Bedeutung der europäischen, unmittelbar in allen Mitgliedstaaten geltende DSVGO hat seit ihrem Inkrafttreten im Jahr 2016 stetig zugenommen. Dies mag zum einen daran liegen, dass die Sensibilität für den Umgang mit personenbezogenen Daten generell zugenommen hat, zum anderen aber auch daran, dass Datenschutzbehörden bei Verstößen gegen datenschutzrechtliche Vorgaben oft pressewirksam hohe Geldbußen verhängen.  

Damit der Einzelne nachvollziehen kann, ob und welche personenbezogenen Daten über ihn verarbeitet werden, sieht das Unionsrecht umfangreiche Informationsrechte vor: Gem. Art. 15 Abs. 1 DSGVO kann Auskunft über die verarbeiteten personenbezogenen Daten und nach Art. 15 Abs. 3 DSGVO zudem noch eine Kopie hiervon verlangt werden. Darüber hinaus ist das Recht auf Auskunft auch durch Art. 8 Abs. 2, S. 2 Grundrechtecharta (GRC) und in Art. 16 Abs. 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) im europäischen Primärrecht abgesichert.  

Kurzum: Das Auskunftsrecht ist ein zentraler Bestandteil im Datenschutz. Von daher bedarf es auch keiner Begründung zur Ausübung dieses Rechts, wie der Europäische Gerichtshof (EuGH) erst jüngst erneut betonte (Urt. v. 26.10.2023, Az.: C-307/22). Der Anspruch ist zudem unverzüglich, spätestens aber binnen Monatsfrist zu erfüllen. Nur ausnahmsweise darf aufgrund besonderer und dem Anspruchssteller binnen Monatsfrist mitgeteilter Umstände eine Beantwortung binnen drei Monaten erfolgen (Art. 12 Abs. 3 DSGVO).

Die Nicht-Erfüllung des Betroffenenrechts stellt daher eine datenschutzrechtliche Verletzung dar. Solche Verletzungen können neben Geldbußen auch individualrechtliche Entschädigungsansprüche auslösen, die neben materiellen Schäden auch immateriellen Einbußen umfassen (Art. 82 DSGVO). Dabei soll – so Erwägungsgrund Nr. 146 der DSGVO wörtlich – der "Begriff des Schadens (…) im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden, die den Zielen dieser Verordnung in vollem Umfang entspricht".  

Kombination mit Schadensersatz als "Geschäftsmodell"? 

Findige Juristen kamen schnell zu der Folgerung, dass auch ein Verstoß gegen die Pflicht zur Auskunftserteilung in Form verspäteter oder gänzlich unterbliebener Information einen solchen entschädigungspflichtigen Datenschutzverstoß darstellen könnte. In der Folge hatten sich Arbeitsgerichte bis hin zum Bundesarbeitsgericht (BAG, s. etwa Urt. v. 05.05.2022, Az.: 2 AZR 363/21) in den vergangenen Jahren mit der Frage zu befassen, mit welcher Summe eine unterbliebene Auskunft zu bemessen ist.

Bei Kündigungsschutzklagen infolge arbeitgeberseitiger Kündigung gehörte ein entsprechendes Vorgehen zwischenzeitlich fast schon zur "best practice" arbeitnehmerseitiger Vertretung im Rahmen von Beendigungsstreitigkeiten. Daher wurden Kündigungsschutzklagen regelmäßig durch entsprechende Auskunftsansprüche "garniert" und nach fruchtlosem Ablauf der Monatsfrist des Art. 12 Abs. 3, S. 1 DSGVO nach erfolgloser gerichtlicher Güteverhandlung um einen entsprechenden Zahlungsantrag auf Entschädigung gem. Art. 82 DSGVO "angereichert".

Verurteilungen zu Entschädigungszahlungen im vierstelligen Bereich für unterbliebene oder verspätete Auskunftserteilungen waren durchaus üblich, denn nach vorherrschendem Verständnis genügte die bloße Verletzung der datenschutzrechtlichen Vorschriften des Art. 15 DSGVO zur Zusprechung immateriellen Schadensersatzes. Weder war eine Erheblichkeitsschwelle zu überschreiten, noch musste ein konkreter Schaden dargetan werden. Subjektiv empfundener Unmut oder bloßer Ärger über die fehlende oder verspätete Auskunftserteilung reichen danach also aus.

Strengere Vorgabe durch den EuGH?

Der EuGH, der bei datenschutzrechtlichen Fragestellungen tendenziell eine sehr betroffenenfreundliche Sichtweise an den Tag legt, schob dieser Handhabe aber in einer Entscheidung in diesem Jahr zumindest einen kleinen Riegel vor (Urt. v. 04.05.2023, Az.: C-300/21). Er verlangte, dass auch bei einer Verletzung der Auskunftsansprüche ein konkreter Schaden dargetan werden müsse, um zudem Entschädigungsansprüche nach Art. 82 DSGVO geltend zu machen. Wie dies im Einzelnen zu geschehen hat und welche Faktoren für die Schadensbemessung heranzuziehen sind, ist danach Sache der nationalen Gerichte.

Das LAG Düsseldorf stützte seine aktuelle Entscheidung daneben auch noch auf eine weitere Begründung: Ausweislich seiner Pressemitteilung stellte es zwar eine Verletzung von Art. 15 DSGVO durch die verspätete Informationserteilung fest. Denn das Unternehmen habe dem ehemaligen Mitarbeiter auf seine vier Auskunftsbegehren vom Oktober und November 2022 nicht umfassend und insbesondere nicht rechtzeitig Auskunft erteilt und dies schließlich erst sechs Wochen nach Ablauf der durch den Kläger gesetzten Frist getan.

Die Kammer entschied jedoch, dass ein Verstoß gegen Art. 15 DSGVO schon nicht in den Anwendungsbereich von Art. 82 DSGVO falle. Denn hierfür sei haftungsbegründend eine gegen die DSGVO verstoßende Datenverarbeitung. Daran fehle es bei einer rein verzögerten Datenauskunft oder auch anfänglich unvollständigen Erfüllung des Auskunftsbegehrens. Zudem stelle der bloße vom Kläger angeführte Kontrollverlust über die Daten keinen immateriellen Schaden dar. Warum der Kläger einen immateriellen Schaden erlitten haben solle, ergebe sich in keinerlei Weise aus seinem Vortrag.

Einleitung einer Rechtsprechungsänderung?

Ist die aktuelle Entscheidung des LAG Düsseldorf nun die Einleitung eines Rechtsprechungswechsels, der schlussendlich zu einem praktischen Bedeutungsverlust der Auskunftsansprüche gem. Art 15 DSGVO führen wird?

Eine abschließende Beurteilung zum derzeitigen Zeitpunkt ohne Kenntnis der vollständigen Entscheidungsgründe fällt schwer. Zudem hat die Kammer die Revision ausdrücklich zugelassen, da die Herausnahme der verspäteten Auskunftserteilung aus dem Anwendungsbereich von Art. 82 DSGVO bislang ungeklärt ist. Zwar hat das BAG in einer seiner jüngeren Entscheidungen hierfür durchaus Sympathien dafür anklingen lassen (Urt. v. 05.05.2022, Az. 2 AZR 363/21), eine abschließende Bewertung steht indes noch aus.

Zudem muss man sich im Datenschutzrecht und der Anwendung der DSGVO immer wieder eines vor Augen führen: Zuständig für die Auslegung des Unionsrechts ist der EuGH. Und ob dieser den vom LAG Düsseldorf gegangen Weg mitgehen wird, ist durchaus fraglich.

Der Autor Prof. Dr. Michael Fuhlrott ist Fachanwalt für Arbeitsrecht und Partner bei FHM in Hamburg.