Wann ist eine Datenauskunft "unverzüglich"? Das ist von entscheidender Bedeutung bei einem Datenauskunftsverlangen an einen Arbeitgeber, das nach Art. 12 Abs. 3 DSGVO "unverzüglich, in jedem Fall aber innerhalb eines Monats" zu beantworten ist. Dass dies keineswegs bedeutet, der Arbeitgeber habe in jedem Fall einen Monat Zeit, entschied das Arbeitsgericht Duisburg.
Ein Inkassodienstleister hatte 2017 per Stellenanzeige einen Sachbearbeiter für das Forderungsmanagement gesucht. Im März 2017 gingen die Bewerbungsunterlagen eines Bewerbers ein, der sich um die Stelle bewarb. Den Job bekam jedoch ein anderer Kandidat, der Bewerber erhielt eine Absage.
Am 18. Mai 2023, also mehr als sechs Jahre später, meldete sich der Bewerber erneut per E-Mail bei dem Inkassounternehmen und begehrte Auskunft nach der DSGVO darüber, ob und welche Daten zu seiner Person gespeichert seien. Er setzte dem Unternehmen für die Beantwortung eine Frist bis zum 2. Juni 2023.
Der Fall: Datenauskunft nach DSGVO
Das Unternehmen nahm bis einen Tag nach Ablauf der vom Bewerber gesetzten Frist keine Stellung. Der Bewerber meldete sich daher am 3. Juni 2023 erneut per E-Mail bei dem Unternehmen und erinnerte an sein Anliegen. Das Unternehmen erteilte daraufhin dem ehemaligen Bewerber mit Schreiben vom 5. Juni 2023 eine Negativauskunft mit dem Inhalt, dass keine Daten des Bewerbers bei ihm gespeichert seien.
Mit E-Mail vom 9. Juni 2023 bat der ehemalige Bewerber nun das Unternehmen um Mitteilung, aus welchem Grund es diese Auskunft nicht zuvor erteilt habe. Das Unternehmen antwortete, es habe die Auskunft mit Blick auf Artikel 12 DSGVO fristgerecht erteilt. Das sah der ehemalige Bewerber anders. Seiner Meinung nach hatte das Unternehmen durch verspätete Auskunft Art. 12 DSGVO verletzt. Er forderte das Unternehmen zur Zahlung einer Geldentschädigung in Höhe von 1.000 Euro auf. Diesem Verlangen entsprach das Unternehmen nicht, sodass der ehemalige Bewerber Klage vor dem Arbeitsgericht erhob und die Zahlung einer Geldentschädigung in Höhe von 2.000 Euro wegen einer behaupteten Verletzung der DSGVO durch das Unternehmen verlangte.
DSGVO: Wie schnell ist unverzüglich?
Seiner Meinung nach hatte das Unternehmen das Gebot der Unverzüglichkeit aus Art 12 Abs. 3 DSGVO verletzt. Der Wortlaut der Norm spreche gegen eine Monatsfrist. Die Monatsfrist stelle lediglich eine Maximalfrist dar. Grundsätzlich verbleibe es aber beim Gebot der Unverzüglichkeit. Würde man die Frist von einem Monat nicht als Maximalfrist ansehen, würde der Grundsatz der Unverzüglichkeit leerlaufen und hätte überhaupt keinen Anwendungsbereich mehr.
Unverzüglich im Sinne von Art. 12 Abs. 3 DSGVO bedeute zwar nicht – so die Auffassung des ehemaligen Bewerbers - dass der zur Auskunft Verpflichtete quasi sofort handeln müsse. Nach einer Zeitspanne von mehr als einer Woche dürfte aber ohne das Vorliegen besondere Umstände ein unverzügliches Handeln nicht mehr anzunehmen sein. Es sei dem Unternehmen ohne Weiteres möglich gewesen, ihm innerhalb einer Woche zu antworten und ihm im Rahmen eines Einzeilers mitzuteilen, dass keine Daten gespeichert würden. Da zum Zeitpunkt der Anfrage keine Daten mehr von ihm vorhanden waren, hätte der Bearbeitungsaufwand für das Unternehmen auf der niedrigstmöglichen Stufe gelegen. Es hätten keine personenbezogenen Daten und keine Informationen über das "Wie" der Auskunft zusammengestellt werden müssen. Er habe über das Gebot der Unverzüglichkeit hinaus eine angemessene Frist von zwei Wochen gesetzt. Daher sei das Unternehmen gegenüber einem Schadensersatzanspruch auch nicht schützenswert.
Auskunftsverlangen: Monatsfrist als Mindestzeitraum?
Das Unternehmen hielt diese Klage für rechtsmissbräuchlich. Außerdem sei die Auskunft fristgerecht innerhalb der Monatsfrist des Art 12 III DSGVO erteilt worden. Dem Verantwortlichen sei ein gewisser Zeitraum zuzubilligen, innerhalb dessen er den Sachverhalt prüfe und dann die verlangte Auskunft erteilen könne. Als Wirtschaftsauskunftei sei das Unternehmen täglich mit zahlreichen Auskunftsverlangen konfrontiert. Die Vielzahl der Auskunftsverlangen infolge der Geschäftstätigkeit im Auskunftswesen erfordere einen erheblichen Aufwand, der dazu führe, dass das Unternehmen für die Auskunftserteilung eine angemessene Zeit benötige. Angesichts der Vielzahl der zu bearbeitenden Auskunftsverlangen und des Umstandes, dass das Unternehmen gerade einmal die Hälfte der ihm nach Art. 12 Abs. 3 DSGVO grundsätzlich "zustehenden" Monatsfrist in Anspruch genommen habe, sei die Auskunftserteilung in einem angemessenen Zeitraum erfolgt.
Die eigene, willkürliche Fristsetzung des ehemaligen Bewerbers sei in diesem Kontext unerheblich, denn dem europäischen Gesetzgeber sei klar gewesen, dass der Zeitraum je nach Sachverhalt unterschiedlich viel Zeit in Anspruch nehmen könne und er habe zwecks Klarstellung eine Mindestfrist von einem Monat vorgesehen. Selbst diese Frist sei nicht statisch und könne nach Art. 12 Abs. 3 S. 2 DSGVO um zwei weitere Monate verlängert werden. Der erkennbare Wille des europäischen Gesetzgebers sei, dem Verantwortlichen ausreichend Zeit zu geben, das Verlangen des Betroffenen intensiv zu prüfen, bevor die geforderte Auskunft erteilt werde.
Zur Vermeidung von Falschauskünften intensive Prüfung nötig
Anlass des Auskunftsbegehrens sei überdies eine mehr als sechs Jahre zurückliegende Bewerbung gewesen. Das Auskunftsbegehren sei damit erkennbar nicht besonders eilbedürftig gewesen. Anders hätte es ausgesehen, wenn der ehemalige Bewerber Hinweise darauf gehabt hätte, dass das Unternehmen zu Unrecht oder womöglich falsche Daten über ihn gespeichert habe und er darauf hingewiesen hätte. Es habe sich aber lediglich um eine standardmäßige Auskunftsanfrage ohne konkreten Anlass gehandelt. Daher sei dem Unternehmen auch ein üblicher Prüfungs- und Bearbeitungsspielraum einzuräumen. Zwischen der Anfrage und der Erteilung der Auskunft hätten aufgrund von Feier- und Brückentagen gerade einmal neun Arbeitstage gelegen.
Hinzu komme, dass gerade in den Fällen, in denen bei einer ersten Recherche festgestellt werde, dass anscheinend keine Daten vorhanden seien, das Unternehmen zudem umso intensiver seine Datenbanken "durchforste" und daraufhin überprüfe, ob doch irgendwo möglicherweise versehentlich den Auskunftsersuchenden betreffende Daten gespeichert seien, um zu 100 Prozent sicherzustellen, dass keine falsche Auskunft erteilt werde. Dem ehemaligen Bewerber sei außerdem kein Schaden entstanden.
Nach über einer Woche keine Unverzüglichkeit mehr
Das Arbeitsgericht Duisburg sprach dem ehemaligen Bewerber einen Schadensersatzanspruch in Höhe von 750 Euro zu. Nach Art 12 Abs. 3 DSGVO müsse der Verantwortliche der betroffenen Person Informationen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellen. Diese Verpflichtung habe das Unternehmen durch die erst am 5. Juni 2023 gegebene Antwort nicht erfüllt. Unter "unverzüglich", sei angelehnt an § 121 BGB, "ohne schuldhaftes Zögern" zu verstehen. Da "unverzüglich" weder "sofort" bedeute, noch damit eine starre Zeitvorgabe verbunden sei, komme es auf eine verständige Abwägung der beiderseitigen Interessen an. Nach einer Zeitspanne von mehr als einer Woche sei aber ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben. Das Unternehmen hat die Auskunft erst nach Ablauf von 19 Kalendertagen erteilt. Besondere Umstände, welche diese Bearbeitungsfrist hinreichend rechtfertigen, waren nach Auffassung des Gerichts nicht gegeben. Dies gelte auch dann, wenn unter Berücksichtigung von Wochenenden, Feiertagen und Brückentagen nur neun Arbeitstage zwischen der Anfrage und der Bearbeitung lagen. Denn besondere Umstände, welche einen besonderen Bearbeitungsaufwand oder eine verlängerte Bearbeitungsspanne zu rechtfertigen vermocht hätten, lagen nicht vor.
Dem Auskunftsverlangen habe keine besondere Komplexität innegewohnt. Es handele sich um eine zurückliegende Bewerbung und damit vom Umfang her um einen überschaubaren Vorgang. Bedenke man, dass letztlich keine Daten gespeichert waren, entfalle mithin auch das womöglich aufwendige Sichten und Sortieren der Daten und deren Zusammenstellung. Das Arbeitsgericht Duisburg sah daher keine Anhaltspunkte, warum für den bloßen Suchvorgang an sich mehr als eine Woche benötigt wurde. Ein Verstoß gegen Art 12 Abs. 3 DSGVO durch das Unternehmen liege daher vor.
Vorliegen eines immateriellen Schadens
Durch den Verstoß sei dem ehemaligen Bewerber auch ein immaterieller Schaden entstanden. Ein immaterieller Schaden entstehe nicht nur in den "auf der Hand liegenden Fällen", wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führe, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert werde, die sie betreffenden personenbezogenen Daten zu kontrollieren.
Durch die verspätete Auskunft war der ehemalige Bewerber im Ungewissen und ihm blieb die weitere Prüfung verwehrt, ob und gegebenenfalls wie das Unternehmen seine personenbezogenen Daten verarbeitet. Er habe daher durch die verspätete Auskunft einen Kontrollverlust hinsichtlich seiner Daten erlitten. Dieser Kontrollverlust ist als immaterieller Schaden zu qualifizieren.
Finanzkraft des Unternehmens bei Schadenshöhe zu berücksichtigen
Für die Festsetzung der Höhe des Schadensersatzes war auf der einen Seite die Finanzkraft des Unternehmens zu berücksichtigen. Auf der anderen Seite fiel ins Gewicht, dass das Unternehmen den gebotenen Zeitraum des Art 12 Abs. 3 DSGVO nicht in erheblichem Maße überschritten hat und die Auskunft auf die erste Erinnerung des früheren Bewerbers direkt erteilt hat. Zudem habe es sich um einen erstmaligen Verstoß gehandelt. Das Gericht sah daher einen Schadensersatz in Höhe von 750 Euro als hinreichend abschreckend und angemessen an.
Hinweis: Arbeitsgericht Duisburg, Urteil vom 3. November 2023, Az. 5 Ca 877/23
Das könnte Sie auch interessieren:
Schadensersatz wegen unzulässiger Verwendung von Mitarbeiterfotos
Datenschutzverstoß: Unzulässige Liste über Beschäftigte in der Probezeit