Keine Entschädigung wegen verspäteter Datenauskunft

Für Unternehmen immer wieder problematisch ist das Auskunftsrecht aus § 15 DSGVO. Beschäftigte dürfen nach dieser Vorschrift Auskunft und Kopien aller personenbezogenen Daten anfordern, die Gegenstand einer Datenverarbeitung beim Arbeitgeber sind oder waren. Für Arbeitgeber stellt es regelmäßig ein Risiko dar, wenn sie ihren Auskunftspflichten nicht oder nicht innerhalb eines angemessenen Zeitraums nachkommen. Denn möglicherweise hat der oder die Mitarbeitende dann einen Schadensersatzanspruch.

Welche Voraussetzungen ein solcher Schadensersatzanspruch insbesondere hinsichtlich der Darlegung des immateriellen Schadens hat, hat das BAG in seinem aktuellen Urteil konkretisiert. 

Der Fall: Früherer Arbeitnehmer verlangt Auskunft über seine Daten

Im konkreten Fall war ein Arbeitnehmer im Dezember 2016 kurzzeitig beim Kundenservice eines Immobilienunternehmens beschäftigt. Bereits im Jahre 2020 stellte er einen Antrag auf Auskunft gemäß Art. 15 DSGVO, den der Arbeitgeber beantwortete. Anfang Oktober 2022 verlangte er unter Fristsetzung von zwei Wochen erneut Auskunft und eine Datenkopie auf der Grundlage von Art. 15 DSGVO. Die Auskunft, die der Arbeitgeber ihm Ende Oktober 2022 erteilte, rügte er als verspätet und inhaltlich mangelhaft. Es fehlten seiner Meinung nach die konkreten Angaben zur Dauer der Datenspeicherung und die namentlich bezeichneten Empfänger seiner Daten. Außerdem sei die Datenkopie unvollständig. Der Arbeitgeber konkretisierte daraufhin die Angaben zur Speicherdauer und die Datenkopie. Der ehemalige Mitarbeiter verlangte jedoch erneut die namentliche Nennung der Empfänger und auch nähere Angaben zur Speicherdauer. Die Datenkopie sei weiterhin unzureichend. Daraufhin konkretisierte der Arbeitgeber die Informationen Anfang Dezember 2022.

Geldentschädigung nach Art. 82 Abs. 1 DSGVO "immaterieller Schaden"?

Der ehemalige Arbeitnehmer zog vor Gericht, da er der Auffassung war, dass der Arbeitgeber mit der nach Art. 12 Abs. 3 DSGVO verspäteten Auskunft i.S.d. Art. 82 Abs. 1 DSGVO gegen die Datenschutz-Grundverordnung verstoßen habe. Er verlangte eine Geldentschädigung, da ihm ein immaterieller Schaden in Form eines wochenlangen Kontrollverlustes bezüglich der Datenverarbeitung entstanden sei. Er führte aus, dass er deshalb etwaige Rechte nicht habe ausüben können. Zudem rufe der Vorgang bei ihm "ein erhebliches Maß an Sorge" hinsichtlich des Schicksals seiner Daten hervor. Er habe Angst, dass der Arbeitgeber "Schindluder" mit seinen Daten treibe. Außerdem sei er wegen des durch den Arbeitgeber verursachten Aufwands der Rechtsverfolgung "genervt".

Nach Ansicht des Arbeitgebers fehlte es bereits an einem immateriellen Schaden des ehemaligen Mitarbeiters.

LAG Düsseldorf: Kontrollverlust ist kein Schaden

Das Arbeitsgericht Duisburg sprach dem ehemaligen Arbeitnehmer wegen eines vorsätzlichen Verstoßes des Arbeitgebers eine Geldentschädigung von 10.000 Euro zu. Das LAG Düsseldorf entschied dagegen zugunsten des Arbeitgebers und wies die Klage auf Entschädigung umfassend ab. Das Gericht stellte in seinem Urteil zwar fest, dass der Arbeitgeber dadurch, dass er die Auskunft nicht fristgerecht und anfangs unvollständig erteilt habe, gegen Art. 12 Abs. 3 DSGVO und Art. 15 DSGVO verstoßen habe. Nach Meinung des LAG Düsseldorf begründete dies jedoch aus zwei Gründen keinen Anspruch des ehemaligen Mitarbeiters auf eine Geldentschädigung gemäß Art. 82 Abs. 1 DSGVO. Die bloße Verletzung der Auskunftspflicht begründe schon keinen Schadenersatzanspruch, zudem begründe ein "Kontrollverlust" über Daten keinen Schaden.

BAG: Arbeitnehmer hat keinen Anspruch auf Schadensersatz

Auch aus Sicht des obersten Arbeitsgerichts stand dem Arbeitnehmer kein Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 Abs. 1 DSGVO zu. Das BAG ließ in seinem Urteil offen, ob im konkreten Fall ein Verstoß gegen die Auskunftspflicht nach Art. 15 i.V.m. Art. 12 Abs. 3 DSGVO vorlag. Ebenso sei unerheblich, ob ein solcher Verstoß einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO begründen könne, denn der Arbeitnehmer habe vor Gericht schon keinen immateriellen Schaden darlegen können.

Es ist geklärt, machte das BAG deutlich, dass die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nachweisen muss, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist.

Verspätete Auskunft ist noch kein Schaden

Auch ein kurzer Verlust über die Kontrolle von Daten kann nach Ansicht des BAG einen Schaden begründen. Dafür müsse der Arbeitnehmer aber den Nachweis für einen Schaden erbringen können. Dies sei dem Arbeitnehmer vorliegend nicht gelungen.

Das BAG stellte fest, dass eine verspätete Auskunftserteilung allein nicht schon einen Kontrollverlust bewirkt, der ohne weitere Voraussetzung einen Schaden i.S.v. Art. 82 Abs. 1 DSGVO darstellt.

Hierfür müsse der Arbeitnehmer schon konkrete Umstände, die die Gefahr eines Datenmissbrauch nahelegen, mitteilen. Die vom Arbeitnehmer geschilderten negativen Gefühle der Sorge oder des Genervtseins könnten keinen Schaden im Zusammenhang mit einem Kontrollverlust begründen, entschied das BAG.

Hinweis: BAG, Urteil vom 20. Februar 2025; Az. 8 AZR 61/24; Vorinstanzen: Landesarbeitsgericht Düsseldorf; Urteil vom 28. November 2023, Az. 3 Sa 285/23, Arbeitsgericht Duisburg, Urteil vom 23. März 2023, Az: 3 Ca 44/23

Das könnte Sie auch interessieren: 

Was beim Datenschutz im Homeoffice zu beachten ist

DSGVO-Mindeststandards in Betriebsvereinbarungen

Auskunftsanspruch kann nicht uneingeschränkt geltend gemacht werden