Die Auskunft gem. Art. 15 DSGVO ist ein zentraler Anspruch von Betroffenen im Rahmen der DSGVO, um zu wissen, welche Daten ein Unternehmen oder eine Behörde über die eigene Person gespeichert hat.
Doch welche Folgen muss ein Unternehmen befürchten, wenn es eine Auskunft verspätet oder unvollständig beauskunft? Hat der Betroffene dann auch einen Anspruch auf Schadenersatz gem. Art. 82 DSGVO?
Das Arbeitsgericht Duisburg sah es so und sprach dem Betroffenen aufgrund eines vorsätzlichen Verstoßes 10.000 € Schmerzensgeld zu, der Arbeitgeber ging in Berufung. Das Landesarbeitsgericht Düsseldorf (Landesarbeitsgericht Düsseldorf, Urteil vom 28.11.2023 – 3 Sa 285/23) hatte über diese rechtlich umstrittene Frage zu entscheiden.
Sachverhalt
Der Kläger war bei dem Kundenservice eines Immobilienunternehmens, der Beklagten, beschäftigt. Bereits im Jahre 2020 hatte er einen Antrag auf Auskunft gemäß Art. 15 DSGVO gestellt, den die Beklagte beantwortet hatte.
Mit Schreiben vom 01.10.2022 verlangte er erneut Auskunft und eine Datenkopie auf der Grundlage von Art. 15 DSGVO. Er setzte eine Frist bis zum 16.10.2022.
Die ihm mit Schreiben vom 27.10.2022 erteilte Auskunft rügte der Kläger als
- verspätetet und
- inhaltlich mangelhaft.
Es fehlten die konkreten Angaben zur Dauer der Datenspeicherung und die namentlich bezeichneten Empfänger seiner Daten. Außerdem sei die Datenkopie unvollständig.
Mit Schreiben vom 11.11.2022 teilte die Beklagte dem Kläger mit, dass die Angaben zu den Datenempfängern die Betroffenen in der Regel nicht interessierten und daher nur kategorisiert mitgeteilt worden seien. Zudem konkretisierte sie die Angaben zur Speicherdauer und die Datenkopie. Mit Schreiben vom 18.11.2022 verlangte der Kläger erneut die namentliche Nennung der Empfänger und auch nähere Angaben zur Speicherdauer. Die Datenkopie sei weiterhin unzureichend. Die Beklagte konkretisierte die Informationen mit Schreiben vom 01.12.2022.
Der Kläger hat von der Beklagten gemäß Art. 82 Abs. 1 DSGVO eine Geldentschädigung nach Ermessen des Gerichts verlangt, die 2.000 Euro nicht unterschreiten sollte, weil sein Auskunftsrecht aus Art. 15 DSGVO durch die Beklagte mehrfach verletzt worden sei. Diese hat dem widersprochen, weil es u.a. bereits an einem immateriellen Schaden des Klägers fehle.
Entscheidung des LAG zum Schadenersatz
Das LAG Düsseldorf sah dies anders und wies die Klage ab.
Zwar sei es richtig, dass die Auskunft unvollständig und verspätete erteilt worden sei. Dies begründe jedoch keinen Anspruch auf Entschädigung aus gleich zwei Gründen:
- Ein Auskunftsverstoß (Art. 15 DSGVO) falle nicht unter den Entschädigungsanspruch (Art. 82 DSGVO) und
- Aus dem Verstoß resultiere noch kein immaterieller Schaden.
Der bloße vom Kläger angeführte Kontrollverlust über die Daten genüge nicht und sei mit dem Verstoß gegen Art. 15 DSGVO letztlich identisch. Zum immateriellen Schaden fehlte es an jeglichem konkreten Vortrag des Klägers.
Das Landesarbeitsgericht hat die Revision zugelassen, sodass höchstrichterlich das Bundesarbeitsgericht (BAG) hierüber entscheiden wird.
Einordnung für Unternehmer
Die Entscheidung des LAG unterstreicht den aus Unternehmenssicht anhaltenden Trend, die DSGVO für arbeitsgerichtliche Konflikte zu nutzen. Hätte das beklagte Unternehmen frühzeitig vollständig die datenschutzrechtlichen Pflichten erfüllt, hätte das Verfahren vermieden werden können.
Die Entscheidung macht aber auch unabhängig vom arbeitsrechtlichen Einschlag auf zwei Grundfragen des Entschädigungsanspruchs aufmerksam, die wohl auch weiterhin heftig umstritten sein dürften:
Die Frage, ob eine unzulängliche Erfüllung des Auskunftsanspruchs – sowohl zeitlich als auch im Umfang – überhaupt ein Verstoß i.S.d. Art. 82 DSGVO sein kann. Denn Art. 82 Abs. 1 DSGVO ist allgemein gefasst:
„Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“
Nach dem Wortlaut ist auch eine nicht rechtzeitig oder unvollständig erteilte Auskunft ein Verstoß i.S.d. Art. 82 DSGVO. Eine Einschränkung, z.B. durch einen beschränkenden Verweis auf bestimmte Artikel der DSGVO, ist nicht vorgenommen worden.
Über die Frage besteht in der Rechtsprechung durchaus Streit.
Das OLG Köln, Urteil vom 10.8.2023 – 15 U 184/22 (LG Bonn Urt. v. 29.8.2022 – 9 O 158/21) sieht diese Rechtsfrage abweichend:
„Zwar hat der Senat entschieden, dass Verstöße gegen Auskunftspflichten aus Art. 15 DS-GVO durchaus eine Grundlage für einen Ersatzanspruch gem. Art. 82 I DS-GVO sein können (Senat 14.7.2022 – 15 U 137/21, NJW-RR 2023, 564 Rn. 14).“
Dort scheiterte ein Schadenersatzanspruch an dem Punkt, den das LAG Düsseldorf ergänzend anführt: am Schaden.
Auch der EuGH hat mit seinem sehr weitreichenden Urteil vom 4.5.2023 (C-300/21) entschieden, dass jedenfalls der bloße Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nicht ausreicht, um einen Schadensersatzanspruch zu begründen. Dies würde nämlich andernfalls zu einer unzulässigen Verschleifung aus Verstoß und dem Schaden führen. Der Verstoß alleine führt nicht bereits zu einem Schaden.
Hinsichtlich dieser hochstreitigen Frage besteht auch weiterhin Klärungsbedarf durch den EuGH, da die Frage des „Schadens“ auch bei anderen Verstößen von hoher Bedeutung ist und beispielswiese im Rahmen von massenhaften Schadenersatzansprüchen gegen Konzerne sozialer Netzwerke maßgeblich über Obsiegen und Verlieren entscheidet.
Unternehmer sollten deshalb
- Auskunftsbegehren ernst nehmen und diese fristgerecht und vollumfänglich beantworten (lassen).
- Ansprüche aus einem Datenschutzvorfall, auch im Bezug auf die Auskunft, ernst nehmen, da eine höchstrichterliche Rechtsprechung insoweit fehlt und
- zum eigenen Risikomanagement frühzeitig einen Rechtsanwalt für Datenschutz hinzuziehen.
