Schadensersatz wegen verspäteter datenschutzrechtlicher Auskunft

16. Juni 2020

Die Datenschutzgrundverordnung (DS-GVO) ist in Deutschland unmittelbar anwendbares Recht. Deren Art. 15 verpflichtet denjenigen, der personenbezogene Daten verarbeitet, auf Aufforderung umfassend Auskunft über die Verarbeitungszwecke, die Art der verarbeiteten Daten oder die Speicherdauer zu erteilen. Personenbezogene Daten gem. Art. 4 DS-GVO sind dabei alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen. Hierunter fallen sowohl persönliche (z.B. Alter, Herkunft, Geschlecht, Ausbildung, Familienstand, Anschrift, Geburtsdatum), als auch sachliche Angaben (z.B. Vertragsbeziehungen, finanzielle Daten, Kommunikationsverhalten, Arbeitszeiten). Die Auskunft muss grundsätzlich binnen Monatsfrist erteilt werden, wobei diese Frist im Einzelfall auf maximal drei Monate verlängert werden darf (Art. 12 Abs. 3 DS-GVO). Auf Wunsch ist auch eine Kopie der Daten zur Verfügung zu stellen (Art. 15 Abs. 3 DS-GVO).

Ein Verstoß gegen diese Vorschriften kann zum einen ein behördliches Bußgeld auslösen (Art. 83 Abs. 5 b DS-GVO), zum anderen einen Schadensersatzanspruch des Betroffenen begründen (Art. 82 DS-GVO).

Vielzahl von Daten im Arbeitsverhältnis

Der datenschutzrechtliche Auskunftsanspruch kann auch von Arbeitnehmern gegenüber Arbeitgebern geltend gemacht werden. Er stellt Arbeitgeber regelmäßig vor einen enorm hohen administrativen Aufwand: „In einem längeren Arbeitsverhältnis speichert und verarbeitet der Arbeitgeber naturgemäß eine Vielzahl von personenbezogenen Daten“, so Prof. Dr. Michael Fuhlrott. „Dies reicht von Sozialdaten oder Zeugnissen in der Personalakte über personenstandsrechtliche Angaben für die Entgeltabrechnung hin bis zu Protokollen über geführte Personalgespräche oder Zielvereinbarungen“, so Fuhlrott.

Diese Daten sind sämtlichst personenbezogen und auf Aufforderung dem Arbeitgeber mitzuteilen. Dass ein solcher Anspruch Arbeitnehmer ohne weiteres zusteht, hatte bereits das Landesarbeitsgericht Baden-Württemberg im Dezember 2018 (Urt. v. 20.12.2018, Az.: 17 Sa 11/18) entschieden. Zwar ist das Urteil noch nicht rechtskräftig und wird über die Revision des Arbeitgebers am 2.9.2020 (Az.: 5 AZR 66/19) vor dem Bundesarbeitsgericht verhandelt. „Viel Spielraum dürfte das Bundesarbeitsgericht hierbei aber nicht haben, da es sich um europäisches Recht handelt, an das auch das Bundesarbeitsgericht gebunden ist“, so Fuhlrott. In der Praxis ist zudem festzustellen, dass insbesondere in Trennungssituationen und nach Kündigungen Arbeitnehmer den datenschutzrechtlichen Auskunftsanspruch geltend machen. „Eine Begrenzung des Anspruchs insbesondere hinsichtlich des notwendigen Umfangs der Vorlage der Daten ist dringend nötig“, meint Fuhlrott, da andernfalls Unternehmen sämtliche Emails oder sonstigen Speichermedien durchforsten müssen, um nach dort enthaltenen personenbezogenen Daten Ausschau zu halten. „Dies ist schier unmöglich bzw. jedenfalls unzumutbar“, so der Arbeitsrechtler.

Arbeitsgericht Düsseldorf: EUR 5.000,- Schadensersatz für Arbeitnehmer

Diese rechtliche Lage machte sich auch jüngst ein Arbeitnehmer zu Nutze. Nach Beendigung des Arbeitsverhältnisses im Januar 2018 machte der Arbeitnehmer den datenschutzrechtlichen Auskunftsanspruch gegenüber seinem vormaligen Arbeitgeber geltend. Da dieser die Daten nicht fristgerecht lieferte und auch nicht vollständig Auskunft erteilte, klagte der Arbeitnehmer hierfür Schadensersatz ein. Das Arbeitsgericht Düsseldorf sprach diesem dem Arbeitnehmer mit einem kürzlich veröffentlichten Urteil (v. 5.3.2020, Az.: 9 Ca 6557/18) auch zu. Zwar hatte der Arbeitnehmer als Schaden ein ganzes Jahresgehalt eingeklagt, hinter dem das Arbeitsgericht mit den ausgeurteilten EUR 5.000,- weit zurückblieb.

Das Urteil zeigt dennoch eindringlich die Gefahren der unvollständigen oder verspäteten Auskunftserteilung auf: Der Arbeitnehmer muss keinen konkreten Schaden nachweisen. Die DS-GVO sieht bereits dann einen Anspruch vor, wenn ein immaterieller Schaden durch eine nicht datenschutzrechtskonforme Verarbeitung entstanden ist und nicht nachgewiesen werden kann, dass der Verantwortliche „in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist“ (Art. 82 Abs. 3 DS-GVO).

Das Arbeitsgericht bejahte einen immateriellen Schaden dadurch, dass der Arbeitnehmer im Ungewissen gewesen sei, ob und welche Daten sein vormaliger Arbeitgeber verarbeitet habe. Die Schwere des Schadens sei für die Begründung der Haftung irrelevant und lediglich für die Bemessung der Anspruchshöhe relevant. Das europäische Recht verlange überdies eine effektive Sanktionierung von Verstößen. Dies werde nur durch Schadensersatz in abschreckender Höhe erreicht. Weitere Zumessungskriterien seien u.a. Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, frühere einschlägige Verstöße sowie Kategorien der betroffenen Daten. Zudem sei auch der beträchtliche Umsatz des vormaligen Arbeitgebers zu berücksichtigen. Wieviel der Arbeitnehmer verdient habe, sei hingegen für die Bemessung der Summe irrelevant.

„Das Urteil dürfte dazu führen, dass der Auskunftsanspruch von Arbeitnehmern künftig standardmäßig geltend gemacht werden wird und sodann zur Vorbereitung eines Schadensersatzanspruchs genutzt wird“, befürchtet Fuhlrott. „Unternehmen sollten daher dem Arbeitnehmerdatenschutz verstärkte Beachtung schenken und entsprechende Routinen vorhalten, um auf Auskunftsansprüche reagieren zu können“.

Die Pressemitteilung vom 15.6.2020 finden Sie hier.

Weitere Neuigkeiten

Die Pflicht zur Arbeitszeiterfassung kommt näher…

Das Urteil des Europäischen Gerichtshofs (EuGH) vom 14. Mai 2019 (Az. C-55/18) zur Arbeitszeiterfassung hat für große Aufmerksamkeit in Deutschland gesorgt. Der EuGH hatte in (…)

weiterlesen