Es ist einer der ersten Fälle zur DSGVO-Thematik, der bei den Gerichten angekommen ist: Das Arbeitsgericht Düsseldorf entschied in einem Fall zu Auskunfts- und Schadensersatzansprüchen im Arbeitsverhältnis. Der Arbeitgeber wurde zu beidem verurteilt, wenn auch weit unterhalb der vom Arbeitnehmer gestellten Anträge.
Seit dem 25.5.2018 gilt in der EU die Datenschutz-Grundverordnung (DSGVO). Die Datenverarbeitung im deutschen Beschäftigtenverhältnis regelt der neue § 26 BDSG. Nach Art. 15 DSGVO besteht ein Auskunftsrecht des Betroffenen u.a. ob und zu welchen Zwecken Daten verarbeitet werden.
Auskunft zu spät und nur lückenhaft erteilt
Eine solche Auskunft hat ein Arbeitnehmer von seinem Arbeitgeber nach Beendigung des Arbeitsverhältnisses verlangt. Dem nachgekommen ist der Arbeitgeber nur mit erheblicher Verzögerung und unzureichend, weshalb der Mitarbeiter sein Auskunftsbegehren mit einem Schadensersatzanspruch verband.
Erteilt werden muss Auskunft zu Datenart und den Zwecken der Verarbeitung
Mit den Anträgen zu den Auskünften ging es während des Verfahrens hin und her. Viele wurden gestellt, nach richterlichen Hinweisen konkretisiert, umgestellt oder zurückgenommen und per Urteil teilweise abgewiesen. Am Ende sprach das Arbeitsgericht Düsseldorf dem klagenden Ex-Mitarbeiter eine Auskunft zu den Zwecken, für die die personenbezogenen Daten verarbeitet wurden und zu den Kategorien der verarbeiteten Daten zu.
Auskünfte ab dem Moment, in dem sie verlangt werden
Was den Zeitraum angeht, über den Auskünfte zu erteilen sind, so muss dieser denknotwendig nach Einführung der DSGVO liegen, beginnt aber erst mit Zugang des ersten Auskunftsbegehrens. Der Zeitraum endet am Tag der letzten mündlichen Verhandlung.
Auskunft muss konkret, vollständig und gut verständlich sein
Die Mitteilung zur Datenverarbeitung muss präzise, transparent, verständlich und in leicht zugänglicher Form in klarer, einfacher Sprache erfolgen (Art. 12 Abs.1 S.1 DSGVO). Pauschalitäten oder Phrasen wie „zum Zweck des Beschäftigungsverhältnisses, namentlich zu dessen Abwicklung und Beendigung, zur Erfüllung bestehender rechtlicher Verpflichtungen und zur Wahrnehmung berechtigter Interessen nach § 26 BDSG“, wie es das beklagte Unternehmen hier versuchte, reichen nicht. Die Angaben müssen vollständig, konkret und detailliert sein. Auch Verweise auf Anlagen genügen den Anforderungen von Art. 12 Abs.1 S.1 DSGVO nicht.
Unternehmen muss nur Auskunft über eigene Datenverarbeitung geben
Werden Daten an andere Unternehmen oder Institutionen weitergegeben, endet die Auskunftspflicht. Art. 15 DSGVO gibt nur einen Anspruch auf Auskunft gegen den „Verantwortlichen“ und dessen Datenverarbeitungen, nicht über die eigenverantwortlichen Datenverarbeitungen Dritter nach Weiterleitung.
Datenkopien nur bei vertretbarem Aufwand
Was der Kläger auch noch wollte, waren Datenkopien, soweit sie auf Endgeräten und in Datensammlungen von Vorgesetzen und Kollegen vorhanden sind, also in Notebooks, Telefonen, Servern, Datenbanken, E-Mail-Postfächern, Verzeichnisstrukturen u.s.w.. Diesem Begehren schob das Arbeitsgericht einen Riegel vor, weil der nötige Aufwand schlicht in zu grobem Missverhältnis zu dem Leistungsinteresse des Klägers steht.
Höhe des Schadensersatzanspruchs im Ermessen des Gerichts
Nachdem festgestellt wurde, dass die Auskunftspflicht verletzt ist, ging es um die Höhe des immateriellen Schadensersatzanspruchs (Art. 82 DSGVO). Dazu gibt das Gesetz nichts vor, außer dass der Schaden vollständig und wirksam ersetzt wird und Verstöße effektiv sanktioniert werden sollen. Deshalb soll die Höhe „abschreckend“ sein. Der ehemalige Arbeitnehmer langte kräftig zu und verlangte ein Jahresgehalt in Höhe von ca. 140.000 Euro.
Schaden mit 5.000 Euro bewertet
Mit der von ihm angesetzten Höhe hatte sich der Kläger, zumindest in der ersten Instanz, verzettelt. Von den beantragten 140.000 wurden ihm 5.000 Euro zugesprochen. Sie setzen sich aus sieben Positionen zusammen:
- je 500 Euro für die ersten zwei Monate verspäteter Auskunft,
- je 1.000 Euro für die weiteren drei Monate Verzug,
- zwei inhaltliche Mängel wurden mit jeweils 500 Euro angesetzt.
Schuld, Schaden und Finanzkraft spiegeln sich in Schadenshöhe wider
Die Kammer sah keinen Anlass, sich am Gehalt des Klägers zu orientieren. Die ausgeurteilten Beträge hielt das Gericht für angemessen, nachdem es
- die Finanzkraft des Unternehmens (hoch),
- den Grad von dessen Schuld (fahrlässig),
- den entstandenen immateriellen Schaden beim Kläger (gering),
- die Häufigkeit der Verstöße (keine anderen bekannt) gegeneinander abgewogen hatte.
Hoher Schadensansatz führt zu großer Kostenlast beim Kläger
Mit dem vom Kläger so hoch angesetzten Schadensersatzanspruch schoss der Streitwert in die Höhe und führte wegen der Abweisung zum allergrößten Teil dazu, dass dem Kläger die Kosten des Rechtsstreits auferlegt wurden. Finanziell läuft das für ihn auf ein Minusgeschäft hinaus; Gerichtskosten und eigene Anwaltskosten übersteigen die zugesprochenen 5.000 Euro.
Abzuwarten, was Obergerichte entscheiden
Da es zu dieser Problematik noch keine höhergerichtlichen Entscheidungen gibt, hat das Arbeitsgericht Düsseldorf den Weg nach oben freigemacht und die Berufung wegen grundsätzlicher Bedeutung der Sache gesondert zugelassen (§ 64 Abs.3 Nr.1 ArbGG).
(ArbG Düsseldorf, Urteil v. 5.3.2020, 9 Ca 6557/18).
Weiterer News zum Thema:
Sonderkündigungsschutz des Datenschutzbeauftragten und Sinken der Beschäftigtenzahl
Datenschutz und Speicherung der Daten ehemaliger Mitarbeiter im Unternehmen