Dipl.-Volksw. Fritz Schmidt
Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen. Ein Schadenersatzanspruch besteht nicht, wenn der Verantwortliche oder sein Auftragsverarbeiter nachweisen, dass sie in keinerlei Hinsicht für den aufgetretenen Schaden verantwortlich sind (Art. 82 Abs. 3 DSGVO). Dieser Nachweis wird aber häufig schwer zu führen sein. Verantwortlicher und Auftragsverarbeiter haften gesamtschuldnerisch. Der Schadenersatz ist in Geld zu leisten.
In einem Arbeitsgerichtsprozess hatte ein Arbeitnehmer unter Berufung auf die DSGVO im Januar Auskunft über "sämtliche bei Ihnen gespeicherten Daten, insbesondere die Daten der Arbeitszeiterfassung" begehrt. Diesem Auskunftsverlangen kam der Arbeitgeber in Bezug auf den Verarbeitungszweck und die Kategorien der verarbeiteten Daten nicht nach. Zur Arbeitszeit wurden dem Arbeitnehmer erst im August Arbeitszeitnachweise zugesendet.
Das Landesarbeitsgericht Hamm stellte daraufhin fest, dass dem Arbeitnehmer durch die fehlende Erteilung der Auskunft ein immaterieller Schaden entstanden sei. Nach Auffassung des Gerichts ergibt sich weder aus der DSGVO noch ihren Erwägungsgründen, dass der Schadenersatzanspruch einen qualifizierten Verstoß gegen die DSGVO voraussetzt. Auch für die Annahme einer Erheblichkeitsschwelle oder die Ausnahme von Bagatellfällen sah es keinen Anhaltspunkt. Ein immaterieller Schaden kann nach Erwägungsgrund 75 bereits dann entstehen, wenn die von der Verarbeitung personenbezogener Daten betroffenen Personen daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren.
Durch die fehlende Auskunft ist dem Arbeitnehmer deshalb ein immaterieller Schaden entstanden, weil ihm die Kenntnis fehle, welche Kategorien von Daten der Arbeitgeber verarbeitet, und er auch nicht beurteilen konnte, wie lange solche Daten nach Beendigung des Arbeitsverhältnisses weiter gespeichert bleiben und an welche Dritte diese Daten ggf. weitergegeben werden. Das subjektiv vom Arbeitnehmer empfundene Gewicht der Beeinträchtigung durch die vorenthaltene Auskunft ist für die Begründung der Haftung nach Art. 82 Abs. 1 DSGVO nach Auffassung des Gerichts nicht erheblich.
Beim Festlegen der Höhe des Schadenersatzes hat sich das Gericht am Kriterienkatalog für die Bemessung von Bußgeldern (Art. 83 Abs. 2 Satz 2 DSGVO) orientiert. Bei der Bemessung der Entschädigung für immaterielle Schäden kommt den Gerichten grundsätzlich ein weites Ermessen zu (§ 287 Abs. 1 Satz 1 ZPO). Bei der Bemessung des Schadensersatzes berücksichtigte das Gericht, dass das Prozessverhalten des Arbeitnehmers darauf hinweist, dass die tatsächliche Erlangung einer Kontrolle über seine personenbezogenen Daten nicht das primäre Ziel des Auskunftsverlangens war. Vielmehr ging es um die Herausgabe der Arbeitszeitaufzeichnungen zum Zwecke der Bezifferung einer beabsichtigten Überstundenklage. Dies deutet darauf hin, dass die persönliche Betroffenheit des Arbeitnehmers im Hinblick auf die fehlende Möglichkeit der Kontrolle seiner personenbezogenen Daten überschaubar ist und Zweifel an der Nachhaltigkeit des Auskunftsverlangens berechtigt erscheinen. Dieser Umstand ist bei der Bemessung der Höhe des Schadenersatzes – anders als bei der Frage des Entstehens eines immateriellen Schadens – zu berücksichtigen. Trotz dieser Umstände hat das Gericht dann unter Würdigung aller Umstände des Einzelfalls dem Arbeitnehmer zur Abgeltung des immateriellen Schadens einen Geldanspruch in Höhe von 1.000 EUR zugestanden. Gegen das Urteil des LAG ist Revision vor dem Bundesarbeitsgericht eingelegt worden, die noch anhängig ist (Az.: 2 AZR 363/21). Es bleibt abzuwarten, ob das BAG die Rechtsprechung des LAG zum Schadensersatz hält bzw. ein Vorabentscheidungsersuchen an den EuGH stellt.
Anm. der Redaktion: BAG, Urteil v. 5.5.2022, 2 AZR 363/21
Das Bundesarbeitsgericht hat das Urteil des LAG Hamm zwischenzeitlich bestätigt und das Begehren der Klägerin auf Zahlung eines höheren Schadensersatzes zurückgewiesen. Der Arbeitnehmerin wurden damit nach unvollständiger Auskunftserteilung über ihre Daten (Art. 15 Abs. 1 DSGVO) 1.000 EUR als immaterieller Schadensersatz zugesprochen.
Nicht nur wegen drohender Bußgelder, sondern auch zur Vermeidung von Schadensersatzansprüchen aus Art. 82 DSGVO sollten Auskunftsersuchen Betroffener deshalb ernst genommen und zügig bearbeitet werden.