10.000 EUR wegen verspäteter Auskunft nach Art. 15 DSGVO

Zahlreiche Gerichte haben sich in den letzten Jahren mit dem Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 DSGVO befassen müssen. Viele Fragen sind noch offen und müssen vom EuGH verbindlich geklärt werden. Trotz der noch zahlreichen offenen Fragen, entscheiden die Gerichte aus eigenem Rechtsverständnis heraus und kommen dabei zu durchaus sehr unterschiedlichen Ergebnissen. Die Spannweite der ausgurteilten Schadenssummen reichte von Null Euro bis hin zu 5.000,00 EUR. Diese 5.000,00 EUR war bis dato die höchste Schadenssumme, die von deutschen Gerichten wegen einer Datenschutzverletzung zugesprochen wurde. Das Arbeitsgericht Oldenburg (Teilurteil vom 9.2.2023 - 3 Ca 150/21) hat diesen Betrag nun auf 10.000,00 EUR verdoppelt. 

Worüber musste das Arbeitsgericht Oldenburg (3 Ca 150/21) entscheiden?

Insgesamt ging es in dem Verfahren um eine arbeitsrechtliche Auseinandersetzung. Im Rahmen dieser Auseinandersetzung hatte der Kläger unter anderem auch ein Auskunftsersuchen nach Art. 15 DSGVO gestellt. Dieses Auskunftsersuchen hatte die Beklagte jedoch ganze 20 Monate unbeantwortet gelassen. Der Kläger machte wegen dieses Verstoßes gegen die Auskunftspflicht nach Art. 15 DSGVO einen Anspruch auf Ersatz seines immateriellen Schadens aus Art. 82 DSGVO geltend. Er verlangte für jeden Monat der nicht-erteilten Auskunft eine pauschale Schadenssumme in Höhe von 500,00 EUR und bekam vom Arbeitsgericht Oldenburg Recht. 

 

Rechtsberatung vom Anwalt für Datenschutzrecht

Unsere Rechtsanwälte für Datenschutzrecht aus Düsseldorf unterstützen Unternehmen jeder Größenordnung in allen rechtlichen Fragen zum Datenschutzrecht. Wir beraten unsere Mandanten unter anderem bei der Durchsetzung von und der Verteidigung gegen datenschutzrechtliche Ansprüche.  Wir beraten auch Agenturen bei datenschutzrechtlichen Fragestellungen ihrer Kunden.

Unsere Leistungen im Überblick:

  • Datenschutzrechtliche Prüfung des dargestellten Sachverhalts
  • Unterstützung bei der datenschutzkonformen Umsetzung eines Projektes
  • Unterstützung bei der Durchsetzung oder Abwehr von datenschutzrechtlichen Ansprüchen

Gerne bringe ich Ihnen im Rahmen eines unverbindlichen Erstgesprächs die Rechtslage näher und unterstütze Sie dabei, Rechtsklarheit zu gewinnen. Kontaktieren Sie mich jederzeit für ein Kennenlerngespräch.

Wie hat das Arbeitsgericht Oldenburg (3 Ca 150/21) sein Urteil begründet?

Zunächst hatte das Arbeitsgericht Oldenburg relativ schnell feststellen können, dass eine Auskunft, die erst 20 Monate nach dem Auskunftsersuchen erfolgt, weder unverzüglich noch innerhalb der Monatsfrist aus Art. 12 Abs. 3 S. 1 DSGVO erfolgt ist. Damit liegt ein Verstoß auch gegen Bestimmungen der DSGVO vor. Sodann stellte das Arbeitsgericht Oldenburg fest, dass es unschädlich sei, dass der Kläger 500,00 EUR pro Monat der Nicht-Auskunft verlange, ohne weitere Umstände vorzutragen, die seinen individuellen Schaden rechtfertigen würden. Hierzu führte das Arbeitsgericht Oldenburg aus:

Ob entsprechende Darlegungen vom Kläger überhaupt zu fordern wären, ist im Hinblick auf die Vorabentscheidungsersuchen des BAG vom 26.08.2021 (8 AZR 253/20 (A), beim EuGH derzeit noch anhängig zum Aktenzeichen C-667/21 (Krankenversicherung Nordrhein) sowie des OGH Österreich vom 15.04.2021 (6 Ob 35/21x), derzeit ebenfalls noch beim EuGH anhängig unter C-300/21 (Österreichische Post), fraglich.

Das Bundesarbeitsgericht hat sich in vorgenannten Vorabentscheidungsersuchen dahingehend positioniert, dass der Senat davon ausgehe, dass der Rechtsanspruch auf immateriellen Schadensersatz nach Artikel 82 Abs. 1 DSGVO über eine solche Verletzung der DSGVO hinaus nicht zusätzlich erfordert, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt. Sie muss also aus Sicht des Senats keine „Konsequenz oder Folge der Rechtsverletzung von zu mindestens einigem Gewicht“ (vgl. dazu jedoch die dritte Vorlagefrage des Vorabentscheidungsersuchen des Obersten Gerichtshofs (Österreich) – C-300/21 –) darlegen. Nach Auffassung des Senats führt demnach bereits die Verletzung der DSGVO selbst zu einem auszugleichenden immateriellen Schaden (BAG, EuGH – Vorlage v. 26.08.2021 – 8 AZR 253/20 (A) Rn. 33).

Das Bundesarbeitsgericht hat sich im Nachgang zu dem genannten Vorabentscheidungsersuchen in seiner Entscheidung vom 05.05.2022 (2 AZR 363/21) dahingehend geäußert, dass zugunsten der Klägerin unterstellt werden kann, dass dem Anspruch nach Art. 82 Abs. 1 DSGVO Präventionscharakter und eine Abschreckungsfunktion zukomme (BAG, Urt. v. 05.05.2022 – 2 AZR 363/21 Rn. 23).

Die Kammer hält dies für überzeugend und schließt sich den Ausführungen des Bundesarbeitsgerichts an.

Zwar ist das BAG in der Entscheidung vom 05.05.2022 davon ausgegangen, dass die vom Berufungsgericht mit 1.000,00 € festgesetzte Schadenshöhe mit 1.000,00 € hinreichende abschreckende Wirkung habe. Das Bundesarbeitsgericht hat dies in Randnummer 20 jedoch mit der relativ geringen Bedeutung der Beeinträchtigung der Klägerin durch die nicht vollständige Erfüllung ihres Auskunftsanspruchs begründet, da es der Klägerin maßgeblich um Arbeitsaufzeichnungen gegangen sei. Der Klägerin sei es maßgeblich nicht um Auskunft über ihre übrigen bei der Beklagten gespeicherten personenbezogenen Daten gegangen.

Letzteres hat jedoch der Kläger gegenüber der Beklagten geltend gemacht. Der Kläger verlangt Auskunft über sämtliche seiner bei der Beklagten verarbeiteten personenbezogenen Daten sowie Auskunft zu den sich aus Artikel 15 Abs. 1 HS 2, Abs. 2 DSGVO ergebenden Informationen. Das Auskunftsinteresse des Klägers übersteigt dasjenige der Klägerin in dem dem Bunaesarbeitsgericht zur Beurteilung unterbreiteten Sachverhalt in bedeutendem Maße, weshalb die Kammer Schadensersatz in Höhe von insgesamt 1.000,00 € im Hinblick auf die erforderliche Abschreckungsfunktion des Schadensersatzanspruchs nach Art. 82 Abs. 1 DSGVO für deutlich zu gering erachtet hat.

Bei der Bemessung der Höhe des Schadensersatzes hat die Kammer berücksichtigt, dass die Beklagte erstmals durch Übersendung des Anlagenkonvolutes am 05.02.2023 den Versuch unternommen hat, ihren Auskunftsverpflichtungen nach Artikel 15 Abs. 1 HS 2, Abs. 2 DSGVO nachzukommen. Jedenfalls bis zu diesem Zeitpunkt hat die Beklagte über ganze 20 Monate hinweg die sie treffende Auskunftspflicht nicht erfüllt, weshalb die Kammer den vom Kläger in Ansatz gebrachten Schaden in Höhe von 500,00 € pro Monat für nicht unangemessen erachtet hat.

Wie ist die Entscheidung des Arbeitsgericht Oldenburg (3 Ca 150/21) einzuordnen?

Die Entscheidung setzt - egal ob man sie für richtig oder falsch hält - einen neuen Maßstab. Waren 5.000,00 EUR bislang das höchste der Gefühle, wenn es um einen immateriellen Schaden nach Art. 82 DSGVO ging, wurde diese Grenze nunmehr deutlich durchbrochen. In konsequenter Anwendung der Begründung des BAG lässt es das Arbeitsgericht Oldenburg auch ausreichen, wenn der Betroffene darlegt, dass es zu einem Verstoß gegen die DSGVO gekommen ist. Bereits dieser Verstoß begründet den Anspruch auf Ersatz des immateriellen Schadens. Ob diese Feststellung so stehen bleiben wird, wird sich zeigen, denn diese Frage liegt dem EuGH zur Beantwortung vor. Es ist offen, wie der EuGH hier entscheiden wird.

Auch eine weitere spannende Frage hat das Arbeitsgericht Oldenburg für sich beantwortet, nämlich wie ist ein Verstoß gegen Art. 15 DSGVO zu beziffern. Hier ist es davon ausgegangen, dass es nicht unangemessen sei, für jeden Monat der Nicht-Auskunft einen pauschalen Schadenersatz von 500,00 EUR zu gewähren. Auf diese Weise hatte bereits das  ArbG Neumünster (Urt. v. 11.08.2020 - 1 Ca 247 c/20) den Schadenersatz beziffert. Auch dort hatte die Beklagte die Auskunft nicht erteilt und musste am Ende 1.500,00 EUR zahlen, weil die Beklagte erst drei Monate nach dem Auskunftsersuchen tätig wurde. 

Vereinzelt wird vertreten, dass die nicht-erfolgte oder fehlerhafte Auskunft nach Art. 15 DSGVO schon gar nicht zu einem Schadenersatzanspruch nach Art. 82 DSGVO führt. So zuletzt auch das LArbG Nürnberg (Urt. v. 25.1.2023 - 4 Sa 201/22). Begründet wird diese Entscheidung damit, dass der Schadensersatzanspruch auf Verstöße gegen eine rechtswidrige Datenverarbeitung i.S.v. Art. 4 Nr. 2 DS-GVO begrenzt sei und verspätete, falsche oder gar gänzlich unterbliebene Auskünfte an eine Person gem. Art. 15 Abs. 1 DS-GVO somit nicht haftungsauslösend sind. Hierzu führt das LArbG Nürnberg aus:

Für dieses Auslegungsergebnis spricht nicht nur der Wortlaut des Erwägungsgrundes 146, welcher ebenso wie der die Haftungsverpflichtung konkretisierende Art. 82 Abs. 2 DS-GVO stets nur eine gegen die DS-GVO verstoßende „Datenverarbeitung“ erwähnt, sondern auch die Entstehungsgeschichte des Art. 82 DS-GVO. Die entsprechende ursprüngliche Regelung in Art. 77 des Kommissionsentwurfes (KOM (2012) 11) sah bezüglich der Schadensersatzpflicht noch vor: „Jede Person, der wegen einer rechtswidrigen Verarbeitung oder einer anderen mit dieser Verordnung nicht zu vereinbarenden Handlung ein Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den für die Verarbeitung Verantwortlichen oder gegen den Auftragsverarbeiter.“ Dieser Entwurf ging damit vom Wortlaut ursprünglich ersichtlich weiter als z.B. die spätere Fassung des Vorschlags des Parlaments (Drs. 9565/15), welche im Entwurf zu Art. 77 DS-GVO die Schadensersatzpflicht nur auf Schäden bezog, die einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht. Der ursprüngliche Erwägungsgrund 118 (KOM (2012) 11) bzw. der spätere Erwägungsgrund 146 selbst beschränkten sich insoweit vom Wortlaut her von Anfang an nur auf eine rechtswidrige bzw. eine gegen die Verordnung verstoßende Datenverarbeitung. Somit verbleibt es nach zutreffender Auffassung in der vorliegenden Konstellation der Verletzung der Auskunftspflicht nach Art. 15 DS-GVO nur bei der möglichen Sanktionsfolge nach Art. 83 Abs. 5 b) DS-GVO.

Ob sich diese Rechtsprechung des LArbG Nürnberg durchsetzt, wird sich zeigen. Wahrscheinlich ist es allerdings nicht, denn das Auskunftsrecht aus Art. 15 DSGVO wird gemeinhin als eines der wichtigsten Betroffenenrechte angesehen. Erst die zutreffende Auskunft ermöglicht es dem Betroffenen die Verarbeitung der über ihn gespeicherten Daten überprüfen zu können. Bliebe die Nicht-Erteilung einer Auskunft nach Art. 15 DSGVO sanktionslos, hätte der Betroffene selber keinen echten eigenen Hebel, sein Auskunftsrecht wirksam durchzusetzen. 

 

Unsere Leistungen als Rechtsanwälte im Datenschutzrecht

Sie benötigen Unterstützung bei der Beantwortung von Betroffenenanfragen, wie Auskunft, Löschung oder Schadenersatz? Sprechen Sie mich an und erfahren Sie mehr zu unseren Konditionen.

Unsere Leistungen im Überblick:

  • Beratung im Vorfeld von Auskunftsersuchen 
  • Erstellung einer individuellen Antwort auf ein Auskunftsersuchen
  • Unterstützung bei der Verteidigung gegen unberechtigte Ansprüche auf Auskunft und Schadensersatz
  • Kostenlose Hinweise auf aktuelle Entwicklungen in Rechtsprechung und Gesetzgebung

Ausblick für die Praxis

Der richtige Umgang mit einem Auskunftsersuchen ist und bleibt für Unternehmen eines der wichtigsten Themen der eigenen Datenschutzorganisation. Fehler bei der Auskunftserteilung, sei es inhaltlich oder in zeitlicher Hinsicht, führen nach der hier vertretenen Ansicht unweigerlich zu Folgeansprüchen auf Schadenersatz nach Art. 82 DSGVO. Die Entscheidung des Arbeitsgerichts Oldenburg zeigt dabei noch einmal deutlich auf, welches wirtschaftliches Risiko auf Unternehmen zukommt, wenn sie mit Auskunftsersuchen nachlässig umgehen. 

 Mehr zum Auskunftsrecht im eigenen Blogbeitrag Das datenschutzrechtliche Recht auf Auskunft - Art. 15 DSGVO

 

Weitere Beiträge zum Social-Media-Recht