Rechtliches

Datenschutz: Anspruch auf Zahlung von immateriellem Schadensersatz

© Blue Planet Studio – stock.adobe.com

Eine Entscheidung des Landesarbeitsgerichts Hamm zeigt, dass es gefährlich sein kann, ein Auskunftsbegehren nach der DSGVO nicht ernst zu nehmen. Allein die Nichterteilung einer Auskunft kann einen Schadensersatzanspruch rechtfertigen.

Wie hoch der Schadensersatzanspruch bei Nichterteilung einer Auskunft ausfällt, hängt in der Tat vom jeweiligen Einzelfall ab. Es sollte Wert darauf gelegt werden, entsprechende Ersuchen innerhalb der gesetzlichen Fristen möglichst vollständig zu erledigen und sie nicht als lediglich nebensächlich anzusehen.

Der Fall

Eine Frau war seit dem 01.03.2019 als Hauswirtschafterin bei einem ambulanten Pflegedienst beschäftigt. Am 31.01.2020 kündigte der Pflegedienst das Arbeitsverhältnis. Einen Tag vorher hatte die Hauswirtschafterin über ihren Prozessbevollmächtigten vom Pflegedienst Auskunft über „sämtliche bei Ihnen gespeicherte Daten, insbesondere die Daten der Arbeitszeiterfassung“ begehrt. Am 13.08.2020 reagierte der mittlerweile beklagte Pflegedienst erstmals auf das Auskunftsbegehren. Mit Schriftsatz vom 14.08.2020 beantragte der Prozessbevollmächtigte der klagenden Hauswirtschafterin die Zahlung eines in das Ermessen des Gerichts gestellten immateriellen Schadenersatzanspruchs auf Grundlage von § 15 DSGVO. Das Arbeitsgericht wies den Auskunftsanspruch zurück. Zwar habe die Beklagte nicht innerhalb der Fristen des Art. 12 Abs. 3 und 4 DSGVO auf das Auskunftsersuchen der Klägerin vom 30.01.2020 reagiert. Die Klägerin habe jedoch nicht vorgetragen, dass ihr dadurch ein immaterieller Schaden entstanden sei. Nicht jeder Eingriff in das allgemeine Persönlichkeitsrecht in Form des Rechts auf informationelle Selbstbestimmung habe einen Entschädigungsanspruch zur Folge. In der Berufungsinstanz verfolgte die Klägerin den Auskunftsanspruch nach der DSGVO weiter und hielt einen Schadensbetrag in Höhe von 6.000 € für angemessen. Es war unstreitig, dass der Auskunftsanspruch nur bezüglich der Arbeitszeit mittlerweile erfüllt war. Das Landesarbeitsgericht hielt das Auskunftsersuchen nach der DSGVO für rechtmäßig und verurteilte die Beklagte zur Zahlung eines immateriellen Schadenersatzes in Höhe von 1.000 €.

Die Entscheidung

Das Landesarbeitsgericht1 wies zunächst darauf hin, dass nach § 15 Abs.1 DSGVO die betroffene Person das Recht habe, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeiten würden und ihr im positiven Fall das weitere Recht zustünde, die in § 15 Abs. 1 lit. a bis h genannten Informationen zu erhalten. Zur Verarbeitung von Daten nach Art. 4 Ziffer 2 DSGVO gehöre insbesondere das Erheben, Erfassen, die Organisation, das Ordnen, die Speicherung und die Verwendung solcher personenbezogenen Daten. Im vorliegenden Fall sei der Klägerin allein durch die fehlende Erteilung der Auskunft ein materieller Schaden entstanden. Auszugehen sei von einem weiten Verständnis des Schadensbegriffs. Denn weder der DSGVO noch ihren Erwägungsgründen ließe sich entnehmen, dass der Schadensersatzanspruch einen qualifizierten Verstoß gegen die DSGVO voraussetze. Eine weite Auslegung des Schadensbegriffs sei sinnvoll, um die Ziele der DSGVO zu verwirklichen. Sie bestünden darin, Risiken für die Rechte und Freiheiten natürlicher Personen zu begegnen, die aus einer Verarbeitung personenbezogener Daten hervorgehen und zu einem immateriellen Schaden führen könnten. Ein solcher Schaden könne nicht nur in einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung usw. liegen. Er könne bereits dann entstehen, wenn die von der Verarbeitung personenbezogener Daten betroffene Person daran gehindert werde, die sie betreffenden personenbezogenen Daten zu kontrollieren.

Eine Kontrolle dieser Daten könne ein Arbeitnehmer nicht ausüben, solange der Arbeitgeber seiner Auskunftspflicht nicht nachkomme. Hier habe die Klägerin die Bemessung der Höhe des immateriellen Schadenersatzes in das Ermessen des Gerichts gestellt. Für die Ermittlung der Höhe einer Geldbuße sei unter anderem die Schwere, Art und Dauer eines Verstoßes unter Berücksichtigung der Art, des Umfanges oder des Zwecks der betreffenden Verarbeitung, der Grad des Verschuldens, Maßnahmen zur Minderung des Schadens und andere Merkmale zu betrachten. Den Gerichten komme insoweit ein weites Ermessen zu. Hier sei zu Lasten der Beklagten zu berücksichtigen, dass sie bis zum Tage des Urteils allenfalls eine rudimentäre Auskunft erteilt habe und nicht von ihrer fernliegenden Meinung abgerückt sei, die Klägerin habe einen zu weit gehenden Auskunftsanspruch geltend gemacht. Zulasten der Klägerin sei zu berücksichtigen, dass sie ihr Auskunftsbegehren nicht konsequent verfolgt habe und der Eindruck entstanden sei, das Prozessverhalten deute darauf hin, die tatsächliche Erlangung einer Kontrolle über die von ihr verarbeiteten personenbezogenen Daten sei nicht ihr primäres Ziel gewesen. Es könne dahinstehen, ob die Höhe des Schadenersatzes auch von der Finanzkraft des Arbeitgebers abhängen könne. Der Status als Kleinbetrieb habe für sich genommen keine Aussagekraft über die Finanzkraft eines Unternehmens. Im vorliegenden Fall sei unter Abwägung aller Umstände ein Schadensersatzanspruch von 1.000 € angemessen.

Praxistipp

Die Entscheidung zeigt, dass es gefährlich ist, ein Auskunftsbegehren nach der DSGVO nicht ernst zu nehmen. Allein die Nichterteilung einer Auskunft kann einen Schadensersatzanspruch rechtfertigen. Wie hoch er ausfällt, hängt in der Tat vom jeweiligen Einzelfall ab. Es sollte Wert darauf gelegt werden, entsprechende Ersuchen innerhalb der gesetzlichen Fristen möglichst vollständig zu erledigen und sie nicht als lediglich nebensächlich anzusehen.

 

1 LAG Hamm, Urteil vom 11.05.2021, 6 Sa 1260/20.

Besprochen in RdW 2022, Heft 2, Rn. 24.