Der Auskunftsanspruch in der Datenschutzgrundverordnung ("DSGVO") statuiert einen starken Anspruch für betroffene Personen. Diese können sämtliche personenbezogene Daten, die mit ihnen im Zusammenhang stehen, herausverlangen. Nun hat sich das Arbeitsgericht Oldenburg der schadensrechtlichen Dimension dieses Anspruchs gewidmet: Was sind die Folgen, wenn dem Anspruch nicht rechtzeitig nachgekommen ist? Gemäß dem Arbeitsgericht muss wegen der Präventiv- und Abschreckungsfunktion des Schadensersatzanspruches ein hoher Schadensersatz zugesprochen werden (Az.: 3 Ca 150/21).
Der ehemalige Geschäftsführer verlangte von seiner Arbeitgeberin, einer Firma die Feuerwerkskörper herstellt, Auskunft über die ihn betreffenden personenbezogenen Daten sowie eine Kopie ebendieser Daten. Die Arbeitgeberin verweigerte dieses Begehren. In einem wegen der Auskunft geführten Prozess legte die Arbeitgeberin 20 Monate nach der ersten Äußerung des Begehrens einzelne Daten vor. Wegen der langen Wartezeit verlangte der klagende Geschäftsführer Schadensersatz von 500 Euro pro Monat für die Nichterfüllung seines Anspruchs, also insgesamt 10.000 Euro.
Schon gewusst? Google muss Links zu "unrichtigen" Daten löschen!
Art. 15 Abs. 1 DSGVO statuiert den datenschutzrechtlichen Auskunftsanspruch. Nach dieser Vorschrift hat eine betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob Daten, die diese Person betreffen, verarbeitet werden. Betroffen ist eine Person dann, wenn Daten Rückschlüsse auf ihre Person zulassen (personenbezogene Daten, Art. 4 Nr. 1 DSGVO); verantwortlich ist grundsätzlich, wer über die Speicherung der Daten entscheidet (Art. 4 Nr. 8 DSGVO).
Werden vom Verantwortlichen personenbezogene Daten verarbeitet, so hat die betroffene Person einen Auskunftsanspruch über diese personenbezogenen Daten und zusätzlich Anspruch auf bestimmte weitere Informationen. Der Verantwortliche muss hinsichtlich der personenbezogenen Daten darlegen, welche Daten vorliegen.
Schon gewusst? Amazon darf Arbeitsleistung mit Handscannern überwachen!
Die Informationen, die bekanntgegeben werden müssen, umfassen unter anderem:
Der Auskunftsanspruch ist häufig Gegenstand von richterlichen Entscheidungen. Hierzu von uns:
- DSGVO und der Auskunftsanspruch
- Kein Auskunftsanspruch für Insolvenzverwalter
- Unterlassungsanspruch bei Verstoß gegen den Datenschutz?
- Auswirkungen Praxisübernahme auf Auskunftsanspruch
- Empfänger von personenbezogenen Daten müssen namentlich genannt werden
Die DSGVO sieht vor, dass jeder, der gegen die DSGVO verstößt, einen aus diesem Verstoß eventuell resultierenden Schaden zu ersetzen hat:
Artikel 82 DSGVO Haftung und Recht auf Schadenersatz
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
(2) Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. [...]
(3) Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.(4) [...]
Damit besteht ein weitreichender Schadensersatzanspruch. Allerdings kann sich ein eventuell Schadensersatzpflichtiger nach Artikel 82 Abs. 3 DSGVO exkulpieren (also entschuldigen). Zudem muss der DSGVO Verstoß, das gibt die Vorschrift nicht ausdrücklich her, gravierend sein, damit die Schadensersatzpflicht ausgelöst werden muss.
Ferner kann prinzipiell gegen jede Bestimmung aus der DSGVO verstoßen werden, die eine Verhaltenspflicht mit Daten stipuliert, jedoch wirkt der Schadensersatzanspruch besonders mit Verstößen gegen Artikel 6 DSGVO zusammen. Dieser regelt, wann eine Datenverarbeitung von personenbezogenen Daten rechtmäßig ist. Jüngst wurde einer Person, dessen Daten von einem Autohaus an seinen Arbeitgeber weitergeleitet wurden Schadensersatz wegen Verstoßes gegen Artikel 6 DSGVO zugesprochen. Wir berichteten.
Im hiesigen Fall geht es darum, dass der Auskunftsanspruch nicht schnell genug erfüllt worden - die Stärke eines Rechts ist auch immer abhängig von dessen effektiver, das heißt auch zeitnaher, Durchsetzung.
Schon gewusst? Anspruch auf Einsicht in Blitzer-Messdaten
Das Arbeitsgericht führte aus, dass die Auskunftspflicht innerhalb eines Monats erfüllt werden müsse. Das gebe Artikel 12 Abs. 3 DSGVO ausdrücklich vor. Wird dem nicht nachgekommen, entstehe ein Schadensersatzanspruch.
Das ArbG hat dem Kläger einen immateriellen Schadensersatz in Höhe von 10.000 Euro zugesprochen. Die Beklagte hätte ihre Auskunftspflicht gemäß Art. 12 Abs. 3 DS-GVO innerhalb eines Monats erfüllen müssen. Dem sei sie nicht nachgekommen. Der Kläger habe den Schaden auch nicht näher darlegen müssen. Bereits die Verletzung der DS-GVO selbst führe zu einem auszugleichenden immateriellen Schaden. Denn der Schadenersatzanspruch nach Art. 82 Abs. 1 DS-GVO habe präventiven Charakter und diene der Abschreckung, so das ArbG unter Berufung auf das Bundesarbeitsgericht (BeckRS 2021, 29622 und BeckRS 2022, 20229). Anders als das BAG, das im dortigen Fall einen Schadensersatz von 1.000 Euro für ausreichend hielt, hält das ArbG hier einen Schadensersatz von 10.000 Euro aufgrund eines deutlich höheren Auskunftsinteresses des Klägers (umfassende Auskunft contra auf Arbeitsaufzeichnungen beschränkte Auskunft) und des langen Zeitraums der Nichterfüllung der Auskunftspflicht für gerechtfertigt.
Schon gewusst? Zur Geheimnisschutzrichtlinie im Arbeitsrecht
Das besondere bei dem Fall ist, dass das Gericht ausführte, dass der Kläger den Schaden nicht genau darlegen müsse. Das ließe sich auf die Natur des Schadens zurückführen, der immaterieller Natur sei und mit dem Zweck des Anspruchs nach Artikel 82 DSGVO, der präventiv wirken solle.
Schon gewusst? Keine anlasslose Videoüberwachung im Stadion!
Wegen der langen Wartedauer und den umfassenden Datensätzen, die die Feuerwerksfirma habe, hielt das Gericht 10.000 Euro als Schadensersatz für angemessen. Das ist deutlich höher, als das Bundesarbeitsgericht letztes Jahr einem Kläger zusprach. Das höchste Arbeitsgericht hielt damals 1.000 Euro für ausreichend und angemessen. Das Arbeitsgericht Oldenburg wertete allerdings nun die Abschreckungsfunktion der Schadensersatzvorschrift höher.
Schon gewusst? Was ist ein Hinweisgebersystem?
Der Fall verdeutlicht, dass eine genaue Beachtung der Datenschutzrechts finanzielle Vorteile mit sich bringt. Der Auskunftsanspruch wird von der Rechtsprechung sukzessive gestärkt: Meistens in seinem Umfang, nun aber auch in seiner schadensersatzrechtlichen Begleitung. Es sollte daher immer genau geprüft werden, ob es sich lohnt, einen Auskunftsanspruch zu versagen und falls ja, ob und inwieweit die Begründung standhält.
Bei weiteren Fragen zum Thema IT- und Datenschutzrecht, stehen wir Ihnen gerne auch persönlich zur Seite. Terminvereinbarungen können Sie während unserer Bürozeiten unter der Telefonnummer 0201-24030 oder per Email unter info@schumacherlaw.com vornehmen.
Ihre Kanzlei Schumacher & Partner
Rechtsanwälte für IT- und Datenschutzrecht in Essen