Schadensersatz wegen Nichterteilter DSGVO-Auskunft
Gerne fasse ich das Urteil des Arbeitsgerichts Oldenburg (ArbG Oldenburg) zum Schadensersatz wegen Nichterteilung einer datenschutzrechtlichen Auskunft für Laien zusammen.
In einem aufsehenerregenden Fall (Urteil vom 09. Februar 2023 – 3 Ca 150/21) hat das Arbeitsgericht Oldenburg einem ehemaligen Geschäftsführer Schadensersatz in Höhe von insgesamt 10.000 Euro zugesprochen, weil sein früherer Arbeitgeber es versäumt hatte, ihm rechtzeitig Auskunft über seine personenbezogenen Daten zu erteilen.
Der Kern des Problems: Auskunftsrecht nach der DSGVO
Jede Person hat gemäß Artikel 15 der Datenschutz-Grundverordnung (DSGVO) das Recht, von einem Unternehmen (Verantwortlicher) eine Auskunft darüber zu verlangen, welche personenbezogenen Daten über sie verarbeitet (gespeichert, genutzt etc.) werden und wie dies geschieht.
Der Fall
Der Kläger, ein ehemaliger Geschäftsführer und Vertriebsleiter, verlangte von seinem ehemaligen Arbeitgeber (Beklagte) Auskunft über seine gespeicherten personenbezogenen Daten und eine Kopie dieser Daten (Art. 15 DSGVO).
Die Beklagte reagierte zunächst nicht auf das Auskunftsverlangen.
20 Monate später, während des Gerichtsverfahrens, legte die Beklagte schließlich Unterlagen vor.
Der Kläger forderte daraufhin immateriellen Schadensersatz (Schmerzensgeld) in Höhe von 500 Euro pro Monat für die Zeit, in der die Auskunft verweigert wurde.
Die Entscheidung des Gerichts
Das ArbG Oldenburg gab dem Kläger im Wesentlichen Recht und sprach ihm den geforderten Schadensersatz zu:
Auskunftsanspruch Bestand
Das Gericht stellte fest, dass dem Kläger der Auskunftsanspruch gemäß Art. 15 DSGVO zustand. Die erst nach 20 Monaten im Prozess vorgelegten Unterlagen reichten nicht aus, um den Anspruch zu erfüllen. Sie zeigten zwar, welche Daten gespeichert waren, enthielten aber nicht alle weiteren Pflichtinformationen (wie den Verarbeitungszweck, die Speicherdauer usw.), die Art. 15 DSGVO vorschreibt.
Schadensersatz wegen Nichterteilter DSGVO-Auskunft
Schadensersatz wegen Verstoßes gegen die DSGVO
Die Nichterteilung der Auskunft innerhalb der gesetzlichen Monatsfrist (Art. 12 Abs. 3 DSGVO) stellte einen Verstoß gegen die DSGVO dar.
Gemäß Art. 82 Abs. 1 DSGVO hat jede Person Anspruch auf Schadensersatz (materiell oder immateriell), wenn ihr durch einen DSGVO-Verstoß ein Schaden entstanden ist.
Das Gericht folgte der Auffassung des Bundesarbeitsgerichts (die noch abschließend vom Europäischen Gerichtshof geklärt werden muss): Der Verstoß gegen die DSGVO selbst begründet bereits einen auszugleichenden immateriellen Schaden. Es muss kein zusätzlicher, konkreter Schaden (wie psychische Beeinträchtigung) dargelegt werden.
Höhe des Schadensersatzes
Das Gericht hielt 500 Euro pro Monat der Verweigerung (insgesamt 20 Monate × 500 Euro = 10.000 Euro) für angemessen. Diese Höhe wurde insbesondere mit dem Präventions- und Abschreckungscharakter des Schadensersatzanspruchs nach Art. 82 DSGVO begründet. Unternehmen sollen davon abgehalten werden, ihren Pflichten einfach nicht nachzukommen.
Fazit und Implikationen
Das Urteil des ArbG Oldenburg ist bemerkenswert, da es die höchste bisher bekannte Schadensersatzsumme ist, die in Deutschland wegen Nichterfüllung des Auskunftsrechts zugesprochen wurde.
Was das Urteil für Unternehmen bedeutet:
Pünktlichkeit ist entscheidend: Unternehmen sollten Auskunftsverlangen nach Art. 15 DSGVO unverzüglich, spätestens aber innerhalb eines Monats beantworten.
Vollständigkeit ist Pflicht:
Die Antwort muss alle in Art. 15 DSGVO geforderten Informationen enthalten, nicht nur eine Liste der gespeicherten Daten.
Finanzielles Risiko:
Mit jedem Monat, in dem die Auskunft verweigert wird, können sich die Schadensersatzansprüche der Betroffenen potenziell erhöhen. Dies kann bei mehreren Betroffenen zu erheblichen finanziellen Risiken führen.
Obwohl die Frage, ob der bloße Verstoß gegen die DSGVO für den Schadensersatz ausreicht, letztlich noch vom Europäischen Gerichtshof geklärt werden muss, raten Krau Rechtsanwälte allen Unternehmen dringend, die Anforderungen der DSGVO ernst zu nehmen und ihre Datenschutzorganisation zu optimieren, um fristgerecht und vollständig auf Auskunftsersuchen reagieren zu können.
