Verspätete und/oder unvollständige Datenauskünfte können schnell teuer werden

Seit 25. Mai 2018 gilt die Datenschutz-Grundverordnung (kurz DSGVO) in allen EU-Mitgliedstaaten. Der Bußgeldkatalog der DSGVO gibt den Datenschutzbehörden die Möglichkeit sehr hohe Geldbußen zu verhängen. Die DSGVO gewährt in Art. 82 DSGVO jeder Person Ansprüche auf Ersatz materieller oder immaterieller Schäden gegen den Verantwortlichen oder gegen den Auftragsverarbeiter im Falle von Datenschutzverstößen. Das Arbeitsgericht Düsseldorf hat mit Urteil vom 5. März 2020 – 9 CA 6557/18 –  einen Arbeitgeber unter anderem zur Zahlung von 5.000 Euro auf Grundlage des Art. 82 DSGVO verurteilt.

Was war passiert?

Die Parteien stritten über datenschutzrechtliche Auskunfts- und Informationsansprüche sowie Schadensersatzansprüche.

Zwischen den Parteien bestand bis Ende Januar 2018 ein Arbeitsverhältnis, in dem der Arbeitnehmer ein regelmäßiges Bruttomonatsentgelt i.H.v. fast 12.000 Euro erzielte. 

Mitte 2018 wandte sich der Arbeitnehmer an seinen ehemaligen Arbeitgeber und begehrte unter anderem Auskunft und Information zu der Verarbeitung seiner personenbezogener Daten durch den Arbeitgeber.

Der Arbeitgeber kam dem Auskunftsverlangen erst nach Monaten und dann auch (teilweise) unvollständig nach. 

Die 9. Kammer des Arbeitsgericht Düsseldorf hat mit Urteil vom 5. März 2020 – 9 CA 6557/18 –  den Arbeitgeber unter anderem dazu verpflichtet Auskunft in Bezug auf die Zwecke und Kategorien der Verarbeitung der personenbezogenen Daten zu erteilen. Außerdem wurde der Arbeitgeber zur Zahlung von 5.000 Euro Schadensersatz verurteilt.

Wesentliche Argumentation des Arbeitnehmers

Der Arbeitnehmer meinte, dass die Auskunft über alle Daten, die bei seinem ehemaligen Arbeitgeber über ihn vorhanden seien, zu erteilen, sei. Die ihm erteilten Auskünfte seien unvollständig und verspätet erteilt worden. Durch die Verletzungen sei ihm ein immaterieller Schaden entstanden, weshalb ihm auch ein Schadensersatzanspruch in Höhe von fast 144.000 Euro zustehen würde. Hierbei hat er seine Jahresbruttovergütung zugrunde gelegt.

Wesentliche Argumentation des Arbeitgebers

Das Auskunfts- und Informationsbegehren des Arbeitnehmers sei vollständig und rechtzeitig erfüllt worden. Deshalb bestehe auch kein Entschädigungsanspruch.

Entscheidung des Arbeitsgerichts

Die 9. Kammer des Arbeitsgerichts Düsseldorf folgte der Argumentation des Arbeitnehmers in wesentlichen Punkte. Mit Urteil vom 5. März 2020 – 9 CA 6557/18 –  wurde der Arbeitgeber unter anderem dazu verpflichtet Auskunft in Bezug auf die Zwecke der Verarbeitung der personenbezogenen Daten zu erteilen. Überdies wurde der Arbeitgeber zur Zahlung von 5.000 Euro verurteilt.

Gemäß Art. 15 DSGVO sind Arbeitgeber dazu verpflichtet, auf Antrag von gegenwärtigen oder ehemaligen Beschäftigten innerhalb eines Monats Auskünfte über die im Arbeitsverhältnis verarbeiteten personenbezogenen Daten zu gewähren.

In zeitlicher Hinsicht sein Auskünfte über die Zwecke der Verarbeitung seit dem Zugang des Auskunftsbegehrens bis zum Tag der letzten mündlichen Verhandlung zu erteilen. Der Verantwortliche müsse grundsätzlich keine Auskunft über Daten erteilen, über die er ggf. nicht mehr verfüge. Andererseits solle er sich der Auskunftspflicht auch nicht durch ein Löschen der Daten entziehen können. 

Für den Umfang des Auskunftsverlangens sei generell der Datenbestand zum Zeitpunkt des Auskunftsverlangens maßgeblich.

Nach Art. 12 Absatz 1 Satz 1 DSGVO hat der Verantwortliche geeignete Maßnahmen zu treffen, um  insbesondere die Mitteilung nach Art. 15 Absatz 1 DSGVO in präziser, transparenter, verständlicherund leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Die Angaben zum Zweck müssen vollständig und so konkret und detailliert sein, dass sich der Betroffene ein Bild davon machen kann, welche Datenverarbeitungen zu welchen Zwecken erfolgen würde. Allzu pauschale Angaben zum Zweck würden den Sinn der Auskunft nicht erfüllen können.  Diesen Vorgaben genügten die Angaben zu den Verarbeitungszwecken im Vortrag des Arbeitgebers nicht. Er habe lediglich pauschal fast die ganze Bandbreite im Privatrechtsverkehr nahe liegender Zwecke mitgeteilt, ohne konkret und detailliert die Zwecksetzungen zu nennen.

Teile der vom Arbeitgeber geltend gemachten Ansprüche sein infolge von Erfüllung erloschen, § 362 Absatz 1 BGB.

Das Arbeitsgericht Düsseldorf hielt ferner fest, dass nach Art. 82 Absatz 1 DSGVO jeder „Verstoß gegen die Verordnung“ eine Schadensersatzpflicht begründen könne. Der Arbeitgeber habe zum einen gegen die Monatsfrist(en) des Art. 12 Absatz 3 Sätze 1 – 3 DSGVO verstoßen. Der Schadensbegriff der DSGVO sei weit auf eine Art und Weise auszulegen, die den Zielen der DSGVO in vollem Umfang entspräche. Ein immaterieller Schaden entstehe auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert würde, die sie betreffenden personenbezogenen Daten zu kontrollieren. 

Verletzt sei zugleich auch ein europäisches Grundrecht des Arbeitnehmers, welches Art. 8 Absatz 2 Satz 2 Charta der Grundrechte der Europäischen Union (kurz: GRCh) gewährleistet. Durch die monatelang verspätete, dann unzureichende Auskunft sei der Arbeitnehmer im Ungewissen und ihm die Prüfung verwehrt, dann nur eingeschränkt möglich, ob und wie der Arbeitgeber seine personenbezogenen Daten verarbeitet hätte. 

Zum Ersatz dieses immateriellen Schadens hielt die Kammer einen Betrag in Höhe von 5.000 Euro für geboten, aber auch ausreichend. 

Die betroffene Person solle einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Verstöße müssten effektiv sanktioniert werden, damit die DSGVO wirken könne. Gerichte könnten sich bei der Bemessung des immateriellen Schadensersatzes auch an Art. 83 Absatz 2 DSGVO orientieren. Zumessungskriterien sein somit unter anderem Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens. Die Mitgliedsstaaten – auch die erkennende Kammer – sein nach dem Gedanken des Art. 4 Absatz 3 EU–Vertrag  (kurz: EUV) verpflichtet, der DSGVO zur Wirkung zu verhelfen.

Zu Gunsten des Arbeitgebers wurde berücksichtigt, dass von fahrlässigen Verstößen auszugehen sei. Anhaltspunkte für Vorsatz, mithin die bewusste und gewollte verspätete und intransparente Reaktion auf das Auskunftsgesuch, sein nicht ersichtlich. 

Die Schwere des entstandenen immateriellen Schadens, der vor allem in der Ungewissheit über die Verarbeitung seiner Daten bestehe, hänge jedoch nicht vom Verdienst ab. 

Unter Berücksichtigung dieser Vorgabe hat die 9. Kammer die Arbeitsgerichts Düsseldorf für die ersten zwei Monate der Verspätung jeweils 500 Euro, für die weiteren etwa drei Monate jeweils 1.000 Euro und für die beiden inhaltlichen Mängel der Auskunft jeweils 500 Euro angesetzt.

Das Urteil ist nicht rechtskräftig. Das Berufungsverfahren wird vor dem Landesarbeitsgericht Düsseldorf unter dem Aktenzeichen 14 Sa 294/20 geführt.

Fazit

Es handelt sich vorliegend derzeit noch um eine nicht rechtskräftige Einzelfallentscheidung. Unabhängig hiervon ist Arbeitgeber zu raten, ihre Datenschutz- und Auskunftsprozesse zu überprüfen und gegebenenfalls anzupassen. Betroffenen Arbeitnehmer die davon ausgehen, dass Ihnen im Zusammenhang mit dem Datenschutz Unrecht widerfahren ist, sollten sich zeitnah von einem erfahrenen Anwalt beraten und erforderlichenfalls vertreten zu lassen.

Verwandter Beitrag