Unterlassene Auskunft über personenbezogene Daten kann teuer werden

Möchte ein Beschäftigter eines Unternehmens Auskunft über seine verarbeiteten personenbezogenen Daten erhalten und kommt das Unternehmen dem nicht nach, kann dies unter Umständen teuer werden. So positionierte sich das BAG in diesem Zusammenhang auch gegen eine Darlegungs- und Beweispflicht eines konkret entstandenen Schadens bei unterlassener Auskunftserteilung. Eine finale Entscheidung des EuGH steht allerdings aus. Wir erklären, worauf Unternehmen in diesem Zusammenhang achten sollten.

Aktuelle Rechtsprechung zum Auskunfts- und Schadensersatzanspruch nach der DSGVO

Mit Inkrafttreten der DSGVO 2018 standen Unternehmen vor zahlreichen Fragen, die den Schutz der persönlichen Daten ihrer Beschäftigten betrafen. Nicht nur bedarf seither jede Verarbeitung der persönlichen Daten von Beschäftigten eines Erlaubnistatbestandes gemäß Art. 6 Abs. 1 DSGVO. Auch können Beschäftigte Auskunft verlangen über die Daten, die das Anstellungsunternehmen verarbeitetet werden.

Das Auskunftsrecht nach Art. 15 DSGVO umfasst nicht nur das Recht des Beschäftigten zu erfahren, ob Daten verarbeitet werden, sondern auch welche. Beschäftigte haben zudem Anspruch darauf, dass das Anstellungsunternehmen eine Kopie derjenigen personenbezogenen Daten zur Verfügung stellt, die Gegenstand der Verarbeitung sind (Art. 15 Abs. 2 S. 1 DSGVO). Das Anstellungsunternehmen muss die Auskunft spätestens einen Monat nach Antragstellung erteilen (Art. 12 Abs. 3 S. 1 DSGVO). Wird die Auskunft nicht oder nicht rechtzeitig erteilt, so hat der Beschäftigte Anspruch auf immateriellen Schadensersatz gemäß Art. 82 Abs. 1 DSGVO.

In jüngerer Vergangenheit beschäftigten sich vermehrt die Arbeitsgerichte mit den Fragen, ob und inwieweit ein Arbeitgeber zur Auskunftserteilung verpflichtet ist, und ob und unter welchen Voraussetzungen ein Schadensersatzanspruch bei unterlassener Auskunftserteilung besteht.

So entschied das LAG Hamm am 2. Dezember 2022 (Az.: 19 Sa 756/22), dass der gerichtliche Antrag auf Auskunftserteilung unter bloßer Wiederholung des Wortlauts des Art. 15 Abs. 1 DSGVO dann mangels Bestimmtheit unzulässig ist, wenn das Anstellungsunternehmen bereits teilweise dem Auskunftsverlangen des Beschäftigten nachgekommen ist. Denn dann – so das LAG Hamm – wäre dem Beschäftigten eine Konkretisierung des Auskunftsbegehrens möglich.

Hiervon unabhängig gestaltet sich hingegen ein möglicher immaterieller Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO. In diesem Zusammenhang hatte der Oberste Gerichtshof Österreich dem Gerichtshof der Europäischen Union (EuGH) bereits am 15. April 2021 die Frage zur Vorabentscheidung vorgelegt, ob der Zuspruch eines solchen Schadenersatzanspruchs neben einer Verletzung von Bestimmungen der DSGVO auch erfordere, dass der Betroffene einen Schaden erlitten hat, oder ob bereits die Verletzung von Bestimmungen der DSGVO als solche für die Zuerkennung eines Schadenersatzes ausreiche (Az.: C-300/21). Eine Entscheidung des EuGH steht in diesem Zusammenhang noch aus.

Auch das BAG hatte in diesem Zusammenhang dem EuGH im gleichen Jahr die Frage vorgelegt, ob der Kläger für das Vorliegen eines immateriellen Schadens darlegungs- und beweispflichtig ist (BAG, Beschl. v. 26.08.2021 – 8 AZR 253/20). Auch hier steht eine Antwort aus Straßburg noch aus (Az. C-667/21).

Allerdings vertritt das BAG bis zu einer Entscheidung des EuGH die vorläufige Rechtsauffassung, dass bereits die reine Verletzung der DSGVO selbst zu einem auszugleichenden immateriellen Schaden führe und es auf das Vorliegen eines tatsächlichen Schadens nicht ankomme (BAG, Urt. v. 05.05.2022 – 2 AZR 363/21).

Der vorläufigen Auffassung des BAG folgend sprach das ArbG Oldenburg kürzlich einem klagenden Arbeitnehmer einen Anspruch auf Ersatz seiner immateriellen Schäden über monatlich 500 Euro zu (ArbG Oldenburg, Urt. v. 09.02.2023 – 3 Ca 150/21). Der Gesamtschaden, den das Anstellungsunternehmen zu ersetzen hatte, belief sich auf 10.000 Euro. Das Gericht hielt es nicht für erforderlich, dass der klagende Arbeitnehmer das Vorliegen eines (immateriellen) Schadens darlegt und beweist, es genüge bereits die Verletzung der DSGVO selbst. Auch hinsichtlich der Höhe des Anspruchs hielt sich das ArbG Oldenburg an die Linie des BAG. Die Verurteilung zur Zahlung eines Schadensersatzes wegen Nichterteilung einer Auskunft müsse sowohl einen Präventiv- als auch einen Abschreckungscharakter aufweisen.

Das LAG Hamm teilte diese Rechtsauffassung hingegen nicht und lehnte in seiner Entscheidung vom 2. Dezember 2022 (Az. 19 Sa 756/22) einen Schadensersatzanspruch der klagenden Arbeitnehmerin ab. Die Klägerin habe ihrer Darlegungs- und Beweislast für das Vorliegen eines Schadens nicht genügt. Das LAG Hamm begründet seine Rechtsauffassung damit, dass Art. 82 DSGVO keinen – vom Vorliegen eines konkreten Schadens losgelösten – „Strafschadenersatz“ darstelle. Unter anderem wegen der Abweichung von der höchstrichterlichen Rechtsprechung ließ das LAG allerdings die Revision zum BAG zu.

Fazit

Derzeit ist mit der vorläufigen Rechtsprechung des BAG davon auszugehen, dass auskunftsbegehrende Beschäftigte gegenüber ihrem Anstellungsunternehmen einen konkreten immateriellen Schaden zur Geltendmachung eines Schadensersatzanspruchs nach Art. 82 Abs. 1 DSGVO nicht nachweisen müssen. Auch wenn es Einzelentscheidungen – wie die des LAG Hamm – gibt, die sich der vorläufigen Auffassung des BAG nicht anschließen, bleibt letztlich eine finale Entscheidung des EuGH abzuwarten, um Rechtssicherheit zu erlangen. Um Schadensersatzansprüche von Beschäftigten zu vermeiden, sind Unternehmen daher weiterhin gut beraten, von Beschäftigten geltend gemachten Auskunftsbegehren im Sinne des Art. 15 Abs. 1 DSGVO nachzukommen.

Beschäftigte haben allerdings im arbeitsgerichtlichen Verfahren im Rahmen der Antragsstellung dann eine erhöhte Konkretisierungspflicht, wenn das Anstellungsunternehmen dem Auskunftsbegehren bereits (teilweise) nachgekommen ist. Dementsprechend ist es ratsam, dem Auskunftsbegehren soweit als möglich nachzukommen, um die prozessualen Anforderungen zu erhöhen. Denn anderenfalls genügt im Rahmen der Antragsstellung bereits die bloße Wiederholung des Wortlauts des Art. 15 Abs. 1 DSGVO.

Zurück zur Übersicht