Das Landesarbeitsgericht Düsseldorf hat mit Urteil vom 28.11.2023 (Az. 3 Sa 285/23) der häufig anzutreffenden arbeitnehmerfreundlichen Rechtsprechung der Arbeitsgerichte zum Schadensersatz bei verspäteten Datenschutz-Auskünften eine Grenze gesetzt.
Ein Arbeitnehmer hatte von seinem ehemaligen Arbeitgeber Auskunft darüber verlangt, welche Daten über ihn verarbeitet werden. Die nach 26 Tagen erteilte Auskunft rügte der Arbeitnehmer als verspätetet und inhaltlich mangelhaft. Die vollständige Auskunft lag dann 6 Wochen nach Ablauf der gesetzten Frist vor. Wegen der gerügten mehrfachen Verletzungen des Auskunftsrechts verlangte der Arbeitnehmer schließlich vor dem Arbeitsgericht Duisburg eine Entschädigung nach Art. 82 Abs. 1 DSGVO wegen des Verstoßes des ehemaligen Arbeitgebers gegen Art. 15 DSGVO.
Das Auskunftsrecht
Nach Art. 15 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen Auskunft darüber zu verlangen, ob, und im positiven Fall, welche personenbezogenen Daten der Verantwortliche über den Betroffenen verarbeitet. Daneben besteht ein Anspruch auf Kopie der Daten. Gemäß Art. 12 Abs. 3 DSGVO muss der Verantwortliche die Bereitstellung dieser Informationen grundsätzlich unverzüglich erfüllen. Die Höchstfrist von einem Monat sollte nur in schwierigen Fällen ausgeschöpft werden.
Der Anspruch auf Geldentschädigung
Das Arbeitsgericht Duisburg sprach dem Kläger wegen der Verletzung des Auskunftsrechts eine Geldentschädigung in Höhe von EUR 10.000 zu (Urteil vom 23.03.2023 – 3 Ca 44/23). Das Landesarbeitsgericht Düsseldorf (nachfolgend „LAG“) hat das Urteil jedoch vollständig gekippt.
Ein Verstoß gegen das Auskunftsrecht nach Art. 15 DSGVO begründet nach Ansicht des LAG aus zwei Gründen keinen Anspruch auf eine Geldentschädigung gemäß Art. 82 DSGVO. Ein Verstoß gegen Art. 15 DSGVO fällt nach Ansicht des LAG bereits nicht in den Anwendungsbereich von Art. 82 DSGVO.
Die Norm regelt in Absatz 1, dass jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen (oder gegen den Auftragsverarbeiter) hat. Weiter regelt Absatz 2 Satz 1, dass jeder an einer Verarbeitung beteiligte Verantwortliche für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, haftet.
Art. 82 DSGVO setzt also eine gegen die DSGVO verstoßende Datenverarbeitung voraus. Daran fehlt es nach Ansicht des LAG bei der Verletzung der Auskunftspflicht. Unabhängig davon müsse für das Vorliegen eines immateriellen Schadens aber auch mehr als der vom Kläger angeführte Kontrollverlust über seine Daten vorliegen. Denn dieser Zustand sei kein Schaden, sondern sei mit dem Verstoß gegen Art. 15 DSGVO letztlich identisch.
Dies steht auch im Einklang mit der jüngsten Rechtsprechung des Europäischen Gerichtshofs, wonach ein Verstoß gegen die DSGVO allein noch keinen Schadensersatzanspruch begründet, wenn der Betroffene keinen konkret erlittenen Schaden darlegen kann (EuGH, Urteil vom 4.5.2023, C-300/21 – UI/Österreichische Post AG).
Ausblick
Schadensersatzansprüche nach der DSGVO beschäftigen deutsche Gerichte mittlerweile sehr häufig. Dass ein Verstoß gegen die Auskunftspflicht nicht ausreicht, um einen Schadensersatzanspruch zu begründen, hatte auch schon das Landgericht Düsseldorf in einem Urteil aus dem Jahr 2021 so gesehen (Urteil vom 28.10.2021 – 16 O 128/20) und ist zu begrüßen. Diese Ansicht ist jedoch nicht unumstritten.
Ob das Urteil des LAG vom Bundesarbeitsgericht bestätigt wird, bleibt abzuwarten, da das LAG die Revision zugelassen hat und zu vermuten ist, dass der Kläger in Revision geht.
