Kevin Leibold; Felix Meurer

LAG Niedersachsen: Schadensersatz nach Art. 82 DS-GVO wegen fehlerhafter Auskunft nach Art. 15 DS-GVO


ZD-Aktuell 2021, 05543     Die 16. Kammer des LAG Niedersachsen hat mit U. v. 22.10.‌2021 – 16 Sa 761/20 (ZD wird die Entscheidung demnächst veröffentlichen) einer betroffenen Person immateriellen Schadensersatz iHv 1.250 EUR auf der Grundlage von Art. 82 Abs. 1 DS-GVO wegen fehlerhafter Auskunft nach Art. 15 DS-GVO zugesprochen.

I. Sachverhalt

Zum Zeitpunkt der Entscheidung war der Kl. Beschäftigter der Bekl. Die Parteien stritten neben arbeitsrechtlichen Ansprüchen insbesondere über Ansprüche des Kl. auf immateriellen Schadensersatz wegen behauptetem datenschutzwidrigen Verhalten der Bekl.

Im Jahr 2016 beabsichtigte die Bekl. die Übermittlung personenbezogener Daten des Kl. an verschiedene Behörden in den USA. Der Kl. verweigerte die Erteilung einer diesbezüglichen Einwilligung und machte einen Auskunftsanspruch hinsichtlich der zu übertragenden personenbezogenen Daten geltend. Die Bekl. erteilte dem Kl. nachfolgend eine Auskunft und teilte u. a. mit, dass personenbezogene Daten zu seiner Person an verschiedene US-Behörden übermittelt worden seien.

Ende des Jahres 2016 kontaktierte die Bekl. den Kl. erneut, mit der Bitte, eine Einwilligung hinsichtlich der Übertragung seiner gesamten Personalakte in die USA zu erteilen. Dem Kl. wurde Einsicht in seine Personalakte gewährt und auf seinen Wunsch hin wurden einige höchstpersönliche Eintragungen gelöscht. Der Kl. erteilte die Einwilligung in die Datenübermittlung nicht. Im Jahr 2018 erlangte der Kl. Kenntnis davon, dass die Daten dennoch in die USA übertragen worden waren.

Anlässlich einer Anhörung zu einer durch die Bekl. ausgesprochenen Kündigung des Kl. machte dieser im Jahr 2018 erneut einen datenschutzrechtlichen Auskunftsanspruch gegenüber der Bekl. geltend. Mittels E-­Mail teilte die Bekl. dem Kl. mit, dass innerhalb der Monatsfrist die Auskunft zur Verfügung gestellt würde. Rund sieben Wochen nach Geltendmachung des Auskunftsanspruchs informierte die Bekl. den Kl. darüber, dass von einer Fristverlängerung um zwei Monate Gebrauch gemacht würde. Daraufhin konkretisierte der Kl. sein Auskunftsbegehren und setzte der Bekl. eine Frist zur Auskunftserteilung.

Rund neun Wochen nach Geltendmachung des Auskunftsanspruchs beantwortete die Bekl. das Auskunftsbegehren und übersandte Kopien von 938 Dokumenten. Die Bekl. teilte mit, dass ein Ermittlungsbericht der in der Diesel-Thematik intern ermittelnden Kanzlei ebenso wenig vorliege wie Berichte über geführte Interviews. Die Bekl. verpackte die Unterlagen in Umzugskartons, die bei den Prozessbevollmächtigten des Kl. abgeliefert wurden. Die zur Verfügung gestellten Unterlagen waren teilweise anonymisiert und geschwärzt.

Der Kl. erhob Klage vor dem ArbG und beantragte u. a. die Feststellung von Ansprüchen auf Ersatz bereits entstandener und zukünftig noch entstehender materieller sowie immaterieller Schäden wegen behaupteten datenschutzrechtswidrigen Verhaltens der Bekl. in Bezug auf seine personenbezogenen Daten. Der Kl. behauptete u. a., die Bekl. habe seine Auskunftsbegehren formal falsch und inhaltlich ungenügend beantwortet, da nicht alle relevanten personenbezogenen Daten vorgelegt worden seien. Soweit die Daten, die als Kopien vorgelegt wurden, zu ca. 96 % ganzseitig anonymisiert und geschwärzt worden seien, seien diese praktisch unbrauchbar und ihnen könne kein Informationswert entnommen werden. Die Bekl. habe die Auskunft bewusst verkürzt falsch dargestellt, da keine relevanten Daten herausgegeben worden seien.

Der Kl. vertrat die Auffassung, er habe einen Schadensersatzanspruch aus Art. 82 DS-GVO wegen datenschutzwidrigen Verhaltens der Bekl., das aus der nicht ordnungsgemäßen Behandlung des Auskunftsanspruchs, dem Fehlen jedweder Transparenz und der rechtswidrigen Übertragung von Daten an US-Behörden folge. Zu ersetzen sei neben dem materiellen auch der immaterielle Schaden. Die Persönlichkeitsrechte des Kl. seien u. a. durch die Schädigung seines Ansehens verletzt.

Die Bekl. vertrat dementgegen die Auffassung, sie habe sich nicht datenschutzrechtswidrig verhalten und Schadensersatzansprüche des Kl. seien daher nicht gegeben. Die Auskunftserteilung im Jahr 2018 sei ordnungsgemäß erfolgt. Der Auskunftsanspruch finde seine Grenzen in den Rechten und Freiheiten Dritter. Die Schwärzungen auf den Kopien seien wegen der Rechte und Freiheiten anderer Personen gerechtfertigt, da sie erfolgten, soweit die Daten Rückschlüsse auf dritte Personen enthielten. Soweit die Dokumente keine personenbezogenen Daten des Kl. enthielten, sei zudem eine Anonymisierung erfolgt. Der Kl. habe hinsichtlich der Daten, die Grundlage der Verarbeitung waren, Auskunft erhalten. Über rechtliche Bewertungen und Analysen selbst sei eine Auskunft nicht erfolgt, da es sich hierbei um keine personenbezogenen Daten handele. Der Auskunftsanspruch sei dort begrenzt, wo es um den Schutz von Betriebs- und Geschäftsgeheimnissen gehe. Schließlich sei die Auskunftspflicht im Hinblick auf das arbeitsgerichtliche Verfahren und den Beibringungsgrundsatz eingeschränkt. Hilfsweise stehe der Bekl. ein Leistungsverweigerungsrecht zu, da der Antrag des Kl. rechtsmissbräuchlich und auf Ausforschung gerichtet anzusehen sei.

Das ArbG Braunschweig (Teilurteil v. 11.5.‌2020 – 8 Ca 451/18) wies den Antrag des Kl. auf Feststellung von Schadensersatzansprüchen wegen datenschutzrechtlicher Verletzungen durch die Bekl. mit Verweis auf mangelnde Bestimmtheit des Klageantrags, mangelndes Feststellungsinteresse des Kl. sowie den Vorrang der Leistungsklage ab. Beide Parteien legten Berufung gegen das Urteil ein.

Im Berufungsverfahren verfolgte der Kl. seinen Feststellungsantrag gerichtet auf Schadensersatzansprüche, insbesondere wegen der nicht ordnungsgemäß erteilten Auskunft, weiter und machte hilfsweise eine Leistungsklage gerichtet auf Schadensersatz iHv mindestens 5.000 EUR geltend. Unter Wiederholung seines erstinstanzlichen Vortrags führte der Kl. iRd Berufungsbegründung vertiefend aus, der Feststellungsantrag sei der Auslegung zugänglich und daher hinreichend bestimmt. Eine Bezifferung des geltend gemachten Schadensersatzanspruchs sei wegen des noch nicht abgeschlossenen datenschutzrechtlichen Mandats noch nicht möglich. Auch in Bezug auf den immateriellen Schadensersatz stünden die Sachverhalte nicht endgültig fest, da die Prozesse zwischen den Parteien weiterlaufen würden und sich der Reputationsschaden sowie der Kontrollverlust über die Daten des Kl. noch vertiefen würde.

Der Kl. vertrat die Auffassung, Schadensersatzansprüche würden insbesondere aus der nicht ordnungsgemäßen Beantwortung seines Auskunftsbegehrens aus dem Jahr 2018 folgen. Die Bekl. habe keine ausreichende Information zur Rechtsgrundlage der Datenübermittlung in die USA mitgeteilt. Zudem habe die Bekl. keine Unterlagen der Rechtsabteilung sowie zu weiterer geschäftlicher Korrespondenz vorgelegt. Das Auskunftsverfahren sei daher bis heute nicht beendet. Es sei zudem davon auszugehen, dass personenbezogene Daten zu seiner Person ungeschützt im Ausland liegen. Er sei daher in seinen Persönlichkeitsrechten verletzt, da er insbesondere seinen Namen in der Presse wiederfinde und mit Verdächtigungen leben müsse.

Die Bekl. vertrat im Berufungsverfahren die Auffassung, der Kl. habe weder das Vorliegen eines materiellen noch eines immateriellen Schadens substanziiert vorgetragen. Das Auskunftsbegehren des Kl. habe sie ordnungsgemäß erfüllt. Die Rechtsgrundlage für die Datenübermittlung in die USA habe nicht benannt werden müssen. Das Auskunftsverfahren sei daher abgeschlossen. Zudem stehe dem Kl. kein Anspruch auf Herausgabe weiterer Unterlagen zu. Die nach einem festgelegten, manuellen Muster vorgenommene Schwärzung der herausgegebenen Unterlagen umfasse Informationen, die den Kl. nicht betreffen oder die dem Schutz der Rechte und Freiheiten Dritter unterliegen. Eine darüberhinausgehende händische Prüfung würde einen unverhältnismäßigen, der Bekl. nicht zumutbaren Aufwand bedeuten. Ein Fehler bei der Übersendung der Unterlagen sei zudem nicht zu verzeichnen, da die dem Kl. übermittelten Unterlagen in einem verschlossenen Karton verpackt waren.

 

II. Entscheidung des Gerichts

Das LAG Niedersachsen hat sowohl zum Auskunftsrecht nach Art. 15 DS-GVO als auch zum Schadensersatzanspruch nach Art. 82 DS-GVO umfassende Ausführungen getätigt.

 

1. Auskunftsrecht nach Art. 15 DS-GVO

a) Umfang des Auskunftsrechts nach Art. 15 Abs. 1 DS-GVO

Nach Auffassung des Gerichts besteht der Auskunftsanspruch nach Art. 15 DS-GVO auch in einem Arbeitsrechtsverhältnis. Die allgemeinen Bestimmungen der DS-GVO enthalten eine Vollregelung, sodass diese Rechte auch im Beschäftigtendatenschutz zur Anwendung gelangen. Nach Art. 15 Abs. 1 DS-GVO habe die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so habe sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf bestimmte, in der Norm aufgezählte Informationen.

Der Kl. hatte ein solches Auskunftsbegehren gegenüber der Bekl. geltend gemacht und dieses auf die Daten, die hinsichtlich des Kl. im Zusammenhang mit der „vermeintlichen Diesel-Affäre“ gespeichert sind, beschränkt. Dieses Auskunftsverlangen sei nach Auffassung des Gerichts von der Bekl. nur unvollständig beantwortet worden.

Sodann stellte das Gericht den aktuellen Streitstand hinsichtlich des Umfangs der Auskunft dar. Nach einer Ansicht seien gem. Art. 4 Nr. 1 Hs. 1 DS-GVO „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nach dieser Definition und der Rechtsprechung des EuGH sei der Begriff des „personenbezogenen Datums“ weit zu verstehen. Der Begriff sei nicht auf sensible oder private Informationen beschränkt, sondern umfasse potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen über die in Rede stehende Person handelt. Die letztgenannte Voraussetzung sei erfüllt, wenn die Information auf Grund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft sei. Der Personenbezug iRv Art. 15 DS-GVO setze nicht voraus, dass es um „signifikante biografische Informationen“ gehe, die „im Vordergrund“ des fraglichen Dokuments stünden. Dies umfasse auch Korrespondenzen mit Dritten sowie interne Vermerke oder interne Kommunikation, soweit auf die Person des Kl. bezogene Daten enthalten seien. Auch solche Aussagen, die eine subjektive und/oder objektive Einschätzung zu einer identifizierten oder identifizierbaren Person liefern würden, wiesen einen Personenbezug auf. Auch rechtliche Analysen könnten personenbezogene Daten enthalten. Die auf der Grundlage dieser personenbezogenen Daten vorgenommene Beurteilung der Rechtslage stelle aber selbst keine Information über die betroffene Person und damit kein personenbezogenes Datum dar.

Nach anderer Ansicht beziehe sich der Auskunftsanspruch nicht auf sämtliche interne Vorgänge der Bekl., wie zB Vermerke, oder darauf, dass die betreffende Person sämtlichen gewechselten Schriftverkehr, der dem Betroffenen bereits bekannt ist, erneut ausgedruckt und übersendet erhalten kann. Der Anspruch aus Art. 15 DS-GVO diene nicht der vereinfachten Buchführung des Betroffenen, sondern solle sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann.

Die 16. Kammer des LAG Niedersachsen schließt sich einem weiten Verständnis der Auskunftspflicht nach Art. 15 Abs. 1 DS-GVO an. Der Wortlaut der Norm gebe keinen Anlass, eine Einschränkung vorzunehmen. Vielmehr beziehe sich die Vorschrift uneingeschränkt auf personenbezogene Daten. Auch Erwägungsgrund 63 S. 1 DS-GVO verweise umfassend auf ein Auskunftsrecht hinsichtlich der personenbezogenen Daten mit dem Zweck, sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit zu überprüfen. Insoweit sei auf die Definition in Art. 4 Nr. 1 DS-GVO abzustellen, wonach es sich bei den personenbezogenen Daten um alle Informationen handele, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Nur bei einem weiten Verständnis der personenbezogenen Daten sei es der betroffenen Person möglich, zweckentsprechend die Rechtmäßigkeit der Verarbeitung zu überprüfen.

Im vorliegenden Fall erteilte die Bekl. dem Kl. keine umfassende Auskunft, da die erteilte Auskunft keine abstrakte Zusammenstellung aller verarbeiteten personenbezogenen Daten des Kl. enthielt. Die Bekl. teilte dem Kl. gerade nicht mit, in welchen weiteren Dokumenten personenbezogene Daten des Kl. enthalten sind, die weder aufgelistet noch beigefügt waren.

 

b) Kein Anwendungsausschluss nach §§ 34 Abs. 1 iVm 29 Abs. 1 S. 2 BDSG bzw. Art.  15 Abs. 4 DS-GVO

Einen Anwendungsausschluss des Auskunftsanspruchs nach §§ 34 Abs. 1 iVm 29 Abs. 1 S. 2 BDSG bzw. Art. 15 Abs. 4 DS-GVO verneinte das Gericht. Hiernach kann der Verantwortliche die Auskunft verweigern, wenn Rechte und Freiheiten anderer Personen – auch der Bekl. selbst – und der Schutz von Betriebs- und Geschäftsgeheimnissen entgegenstehen. Nach §§ 34 Abs. 1 iVm 29 Abs. 1 S. 2 BDSG besteht das Recht auf Auskunft der betroffenen Person gem. Art. 15 DS-GVO nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Nach Art. 15 Abs. 4 DS-GVO darf das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Das Gericht ließ offen, ob sich Art. 15 Abs. 4 DS-GVO allein auf die Herausgabe von Kopien bezieht oder auch den aus Art. 15 Abs. 1 DS-GVO folgenden Auskunftsanspruch umfasst, da die Bekl. hierzu nicht entsprechend vorgetragen hatte. Die Bekl. hatte pauschal vorgetragen, dass Daten oder Informationen wegen der Beschränkungen des Art. 15 Abs. 4 DS-GVO zurückgehalten wurden, dass eine Auskunft über die Verarbeitung durch die Rechts- und Compliance-Abteilungen in Form der rechtlichen Bewertungen, Analysen, Gutachten und Vermerke nicht erfolge. Zudem sei ein Schutz von Geschäfts- und Betriebsgeheimnissen über § 29 Abs. 1 S. 2 BDSG gerechtfertigt und auch ihre eigenen Rechte seien iRd Art. 15 Abs. 4 DS-GVO zu berücksichtigen und vor diesem Hintergrund sei ein Zurückhalten der Daten gerechtfertigt. Diese Darlegungen reichten dem Gericht nicht, da diese Pauschalität nicht nachprüfbar sei. Mangels entsprechenden Vortrags sei nicht nachvollziehbar, erwiderungsfähig oder überprüfbar, ob berechtigte Ausnahmen einer Auskunftserteilung entgegenstehen. Es müsste wenigstens ein gewisser diesbezüglicher Mindestvortrag erfolgen. Die Bekl. hätte zB benennen können, um welche Informationen es sich handele, und stichwortartig unter zeitlicher Eingrenzung umschreiben können, was Gegenstand dieser sei, ohne den genauen Inhalt wiedergeben zu müssen.

Inwieweit tatsächlich fremde Rechte der reinen Informationserteilung entgegenstehen könnten (was von Erwägungsgrund 63 DS-GVO nach Ansicht des Gerichts zumindest angedeutet werde), sei in Ansehung des vorbehaltlos gewährleisteten Art. 8 Abs. 2 S. 2 GRCh in jedem Einzelfall und nach strengen Maßstäben kritisch zu prüfen. Soweit der Verantwortliche mit dem Hinweis auf schützenswerte Interessen Dritter den Auskunftsanspruch verweigere, trage dieser für die maßgeblichen Umstände die Darlegungslast. Zudem treffe den Verantwortlichen die Beweislast dafür, dass gegenläufige Rechte und Freiheiten in einer konkreten Kollisionslage vorliegen. Die stets begründbare allgemeine Besorgnis, dass die betroffene Person mit hinreichendem Zusatzwissen aus der Datenkopie auf sensible Informationen schließen könnte, reiche jedoch nicht aus. Bei der Darlegung im Prozess werde allerdings verlangt, dass dafür Sorge getragen werden müsse, dass die Darlegungen nicht so weit gehen müssen, dass aus der Darstellung des Hinderungsgrunds für die betroffene Person die gewünschten Informationen zu entnehmen seien.

 

c) Kein Verweigerungsrecht nach Art. 12 Abs. 5 S. 2 lit. b DS-GVO

Weiterhin verneinte das Gericht ein Verweigerungsrecht nach Art. 12 Abs. 5 S. 2 lit. b DS-GVO. Hiernach kann sich der Verantwortliche bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person u. a. weigern, auf Grund des Antrags tätig zu werden.

Der Antrag des Kl. war nicht offensichtlich unbegründet, exzessiv oder rechtsmissbräuchlich. Exzessiv sei eine Antragstellung insbesondere dann, wenn sie ohne tragfähigen Grund häufig wiederholt wird oder einen unverhältnismäßigen Umfang aufweist. Damit sollten rechtsmissbräuchliche Anträge unterbunden werden, die u. a. vornehmlich auf die Schikanierung des Verantwortlichen abzielen. Dies war nach Ansicht des Gerichts vorliegend nicht der Fall, da der Kl. 2016 und 2018 jeweils nur einen Auskunftsantrag stellte. Es sei zudem zu berücksichtigen, dass der Kl. seinen Auskunftsanspruch explizit auf die im Zusammenhang mit der „Dieselaffäre“ verarbeiteten Daten bezog und nicht auf alle während der gesamten Dauer des Arbeitsverhältnisses erhobenen Daten richtete.

 

d) Reichweite des Art. 15 Abs. 3 S. 1 DS-GVO

Gem. Art. 15 Abs. 3 S. 1 DS-GVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Die Reichweite des Art. 15 Abs. 3 S. 1 DS-GVO ist streitig. Das LAG Niedersachsen stellt hierzu den Streitstand dar.

Nach einer Ansicht solle der Anspruch auf Erteilung einer Kopie über die personenbezogenen Daten auf diejenigen bezogen sein, auf die sich auch das Auskunftsrecht nach Art. 15 Abs. 1 DS-GVO beziehe. Nach einer anderen Auffassung widerspreche eine solche Auslegung dem der DS-GVO zu Grunde liegenden weit gefassten Begriff der personenbezogenen Daten und dem Sinn und Zweck des Art. 15 Abs. 3 S. 1 DS-GVO, die Datenkopie solle nicht identisch mit der Auskunft über die verarbeiteten Daten sein.

Das Gericht hat sich in seiner Entscheidung der Ansicht angeschlossen, wonach die Ansprüche nach Art. 15 Abs. 1 und Art. 15 Abs. 3 S. 1 DS-GVO nicht nebeneinander stehen, sondern sich der Anspruch auf Kopien auf die Auskünfte des Art. 15 Abs. 1 DS-GVO bezieht. Sinn und Zweck des Auskunftsrechts sei es, den betroffenen Personen eine Überprüfung der Rechtmäßigkeit der Datenverarbeitung zu ermöglichen, was aus Erwägungsgrund 63 S. 1 DS-GVO folge. Danach sollte eine betroffene Person ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. Dieses Ziel der Ermöglichung der Überprüfung werde erreicht, wenn die aus Art. 15 Abs. 1 DS-GVO folgenden Auskünfte in Kopie zur Verfügung gestellt werden. Hierfür bedürfe es nicht der Vorlage der gesamten Unterlagen in Kopie. Ferner folge aus dem Wortlaut des Art. 15 Abs. 3 S. 1 DS-GVO, dass personenbezogene Daten, die Gegenstand der Verarbeitung sind, zur Verfügung gestellt werden. Art. 15 Abs. 1 DS-GVO beziehe sich jedoch gerade auf die Auskunft über diese personenbezogenen Daten.

 

e) Frist, Art. 12 Abs. 3 S. 1 DS-GVO

Das Auskunftsrecht ist nach Art. 12 Abs. 3 S. 1 DS-GVO unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zu erfüllen. Gem. Art. 12 Abs. 3 S. 2 DS-GVO kann diese Frist um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung, Art. 12 Abs. 3 S. 3 DS-GVO.

Diese Vorgaben wurden durch die Bekl. nicht gewahrt. Der Wortlaut des Art. 12 Abs. 3 S. 3 DS-GVO sei insoweit eindeutig, als darin gefordert werde, dass innerhalb eines Monats nach Antragseingang über die Fristverlängerung zu unterrichten sei. Der maßgebliche Verstoß gegen die DS-GVO lag vorliegend darin, dass die Monatsfrist bereits abgelaufen war, als die Bekl. dem Kl. mitteilte, dass sie von der Fristverlängerung um zwei Monate Gebrauch machen würde.

 

2. Immaterieller Schadensersatz nach Art. 82 DS-GVO

Vorliegend bejahte das Gericht einen Verstoß gegen die DS-GVO. Daraus folgte nach Ansicht des Gerichts ein Anspruch des Kl. auf Schadensersatz aus Art. 82 Abs. 1 DS-GVO. Danach hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Diese Voraussetzungen lagen hier vor.

 

a) Anspruchsberechtigung und -verpflichtung

Der Kl. war anspruchsberechtigt, da er zu den von Art. 82 Abs. 1 DS-GVO geschützten betroffenen Personen iSv Art. 4 Nr. 1 DS-GVO gehörte. Vorliegend ging es um die Datenverarbeitung in Bezug auf den Kl. iRd Arbeitsverhältnisses mit der Bekl.

Die Bekl. war anspruchsverpflichtet. Gem. Art. 82 Abs. 1 S. 1 DS-GVO hafte jeder an einer Verarbeitung beteiligte Verantwortliche für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde. Hierunter zu fassen seien die Verantwortlichen nach Art. 4 Nr. 7 DS-GVO.

 

b) Verstoß gegen die DS-GVO

Ein Verstoß gegen diese Verordnung iSd Art. 82 Abs. 1 DS-GVO wurde bejaht, da die Bekl. ihre Pflichten aus dem Auskunftsrecht nach Art. 15 Abs. 1 DS-GVO verletzt hatte. Hierbei sei jeglicher Verstoß gegen eine Vorschrift der DS-GVO einschließlich der Formvorschriften ausreichend.

Allerdings seien Verstöße, die vor dem 25.5.‌2018 erfolgten, nicht geeignet, einen Schadensersatzanspruch nach Art. 82 Abs. 1 DS-GVO zu begründen. Diese Pflichtverletzungen wirkten nicht fort, seien daher nicht auf Grundlage der Vorschriften der DS-GVO zu beurteilen und könnten zu keinen kausalen Schäden iSd Art. 82 DS-GVO führen. Es könne nicht davon ausgegangen werden, dass ein Rechtsverstoß bei einer Datenverarbeitung vor dem Geltungszeitpunkt der DS-GVO die fortgesetzte Datenverarbeitung „infiziert“ und zu einem Schadensersatzanspruch führe.

Das Verschulden der Bekl. werde nach Art. 82 Abs. 3 DS-GVO vermutet. Die Bekl. hatte keinen entgegenstehenden Vortrag geleistet.

 

c) Keine Erheblichkeitsschwelle

Es liege zudem ein kausaler, immaterieller Schaden vor. Es sei hierbei von einem weiten Schadensverständnis auszugehen. Der Schadensbegriff werde in Rechtsprechung und Literatur nicht einheitlich beantwortet. Diesen Streitstand stellte das LAG Niedersachsen ausführlich dar.

Nach einer Ansicht verlange Erwägungsgrund 146 S. 3 DS-GVO eine weite Auslegung des Schadensbegriffs im Lichte der Rechtsprechung des EuGH, die den Zielen der DS-GVO in vollem Umfang entspreche. Die Forderung einer schwerwiegenden Persönlichkeitsrechtsverletzung vertrage sich nicht mit Art. 82 DS-GVO, da sie nicht von dessen Ziel und Entstehungsgeschichte gedeckt sei, dies wirke sich nur noch bei der Höhe des Anspruchs aus. Ein immaterieller Schaden entstehe auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert ist, die sie betreffenden personenbezogenen Daten zu kontrollieren. Weder der DS-GVO noch ihren Erwägungsgründen lasse sich entnehmen, dass der Schadensersatzanspruch einen qualifizierten Verstoß gegen die DS-GVO voraussetze. Für die Annahme einer Erheblichkeitsschwelle oder –andersherum formuliert – die Ausnahme von Bagatellfällen gebe es keinen Anhaltspunkt. Soweit es nicht um reine Formfehler wie Verstöße gegen Dokumentationspflichten geht, gehe mit der Verletzung datenschutzrechtlicher Normen letztlich immer ein immaterieller Schaden einher. Erwägungsgrund 146 S. 6 DS-GVO spreche gegen die Einschränkung des Entschädigungsanspruchs auf schwere Beeinträchtigungen. Die Schwere der Beeinträchtigung sei nur bei der Frage der Höhe des Anspruchs zu berücksichtigen, wobei Bagatellfälle außer Betracht bleiben können. Damit könne eine betroffene Person nunmehr für jede Verletzung der DS-GVO durch Verarbeitung ihrer personenbezogenen Daten auch ein angemessenes Schmerzensgeld verlangen.

Nach anderer Meinung führe nicht jeder Verstoß zu einem Schadensersatzanspruch. Allein die Verletzung des Datenschutzrechts als solche begründe nicht bereits für sich gesehen einen Schadensersatzanspruch für betroffene Personen. Die Verletzungshandlung müsse in jedem Fall auch zu einer konkreten, nicht nur unbedeutenden oder empfundenen Verletzung von Persönlichkeitsrechten der betroffenen Person geführt haben. Die Anwendung von Strafschadensersatz sei auf Grund von Art. 82 DS-GVO nicht zugelassen. Daher werde man im Grundsatz weiterhin davon ausgehen können, dass immaterielle Schäden im vorliegenden Zusammenhang nur entstehen, wenn das allgemeine Persönlichkeitsrecht der betroffenen Person nicht unerheblich verletzt wurde. Es müsse auch bei einem immateriellen Schaden eine Beeinträchtigung eingetreten sein, die unabhängig von einer Erheblichkeitsschwelle wenigstens spürbar sein muss. Andernfalls scheide ein „Schaden“ begrifflich schon aus. Der Schaden müsse weit verstanden werden; gleichwohl muss er „erlitten“, mit anderen Worten „spürbar“, objektiv nachvollziehbar und von gewissem Gewicht sein.

Das Gericht schloss sich der ersten Auffassung an. Hiernach komme ein immaterieller Schadensersatz bereits dann in Betracht, wenn keine Erheblichkeitsschwelle überschritten wurde. Hierbei sei zu berücksichtigen, dass gerade ausgehend von Erwägungsgrund 146 S. 3 DS-GVO eine weite Auslegung geboten sei, um den Zielen der Verordnung in vollem Umfang zu entsprechen. Hiermit wäre es unvereinbar, würde eine Schadensersatzpflicht nur bei erheblichen Rechtsverstößen eintreten, da dann eine Vielzahl von Fallgestaltungen denkbar wäre, in denen betroffene Personen trotz Verstößen gegen die Regelungen der DS-GVO keine Kompensation erhielten. Ferner könne, um die Regelungen der DS-GVO effektiv durchzusetzen, auch auf eine abschreckende Wirkung des Schadensersatzes abgestellt werden. Zudem sollten die betroffenen Personen nach Erwägungsgrund 146 S. 3 DS-GVO einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Dass ein Schaden erlitten ist, ergebe sich nicht erst bei Überschreiten einer gewissen Erheblichkeitsschwelle – der Schwere der Pflichtverstöße und damit einhergehenden Beeinträchtigungen könne vielmehr effektiv auf Ebene der Schadensersatzhöhe begegnet werden. Den Schadensersatzansprüchen solle generell eine Abschreckungswirkung innewohnen. Unter Berücksichtigung des Erwägungsgrunds 146 S. 6 DS-GVO solle die betroffene Person einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Verstöße müssten effektiv sanktioniert werden. Schadensersatz bei Datenschutzverstößen müsse eine abschreckende Wirkung haben, um der DS-GVO zum Durchbruch zu verhelfen (effet utile).

Ausgehend davon sei vorliegend ein immaterieller Schaden eingetreten. Der Kl. habe keine zeitgerechten, ausreichenden Kenntnisse über die Verarbeitung seiner personenbezogenen Daten erlangt – insofern sei ein Kontrollverlust eingetreten und ihm werde die Möglichkeit der Überprüfung der Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten unmöglich gemacht oder erschwert. Die verspätete und inhaltlich unzureichende Auskunft rechtfertige insgesamt einen immateriellen Schadensersatz iHv 1.250 EUR. Hierbei sei zu berücksichtigen, dass die verspätete Auskunft der Bekl. erfolgte, weil sie nicht innerhalb des ersten Monats die Inanspruchnahme der Verlängerung um zwei Monate begründet mitteilte. Im Ergebnis wurde die Auskunft jedoch innerhalb von gut zwei Monaten nach Geltendmachung des Auskunftsbegehrens erteilt. Insgesamt sei in Anbetracht der Gesamtumstände, die dazu führten, dass der Kl. nur für einen vergleichsweise kurzen Zeitraum nach Antragstellung über die Datenverarbeitung im Unklaren war, ein immaterieller Schadensersatz iHv 250 EUR zuzuerkennen. Schwerer wiege demgegenüber der Verstoß gegen Art. 15 Abs. 1 DS-GVO. Da durch die unzureichende Auskunft der Erkenntnisgewinn des Kl. über die Verarbeitung seiner personenbezogenen Daten nicht umfassend war und die Bekl. hierfür keine ausreichend nachvollziehbare Begründung angeben konnte, hielt das Gericht einen Schadensersatz iHv 1.000 EUR für angemessen. Anzuknüpfen sei weder an den Verdienst des Kl. noch die finanzielle Leistungsfähigkeit der Bekl., da beide Komponenten in keinem Zusammenhang mit den datenschutzrechtlichen Verstößen stünden.

 

III. Fazit

Diese Entscheidung zeigt eindrucksvoll, welche rechtlichen Fallstricke eine verspätete Auskunftserteilung im Arbeitsverhältnis bietet. Es ist daher jedem Verantwortlichen dringend anzuraten, ein entsprechendes Konzept hinsichtlich der Auskunftserteilung zu entwickeln und zu testen. Die Frist für die Erfüllung der Betroffenenrechte ist sehr kurz bemessen, sodass sich der Verantwortliche die Frage der Umsetzung nicht erst stellen sollte, wenn eine entsprechende Betroffenenanfrage vorliegt.

Zudem wird deutlich, dass die Arbeitsgerichtsbarkeit eher geneigt ist, einen immateriellen Schadensersatz nach Art. 82 Abs. 1 DS-GVO zuzusprechen (vgl. ArbG Münster ZD 2021, 534 (5.000 EUR); ArbG Düsseldorf ZD 2020, 649 (5.000 EUR); ArbG Dresden ZD 2021, 54 (1.500 EUR); ArbG Lübeck ZD 2020, 422 (1.000 EUR); LAG Köln ZD 2021, 168 (300 EUR).

Die weitere Entwicklung, insbesondere in Bezug auf das Erfordernis einer Erheblichkeitsschwelle, ist weiterhin zu beobachten (vgl. EuGH, C-340/21, Vorabentscheidungsersuchen des Varhoven administrativen sad (Bulgarien), eingereicht am 2.6.‌2021 – Natsionalna agentsia za prihodite; EuGH, C-300/21, Vorabentscheidungsersuchen des ÖOGH, eingereicht am 1.5.‌2021 – Österreichische Post). Dazu ist auf die geäußerte Rechtsauffassung des BAG iRe Vorabentscheidungsersuchens an den EuGH hinzuweisen, wonach der Rechtsanspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DS-GVO über eine solche Verletzung der DS-GVO hinaus nicht zusätzlich erfordert, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt. Sie muss also aus Sicht des BAG keine „Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht“ darlegen – bereits die Verletzung der DS-GVO selbst führt zu einem auszugleichenden immateriellen Schaden (BAG U. v. 26.8.‌2021 – 8 AZR 253/20 (A), Rn. 33). Das Gericht geht also grundsätzlich davon aus, dass es für das Vorliegen eines Schadensersatzanspruchs nach Art. 82 Abs.  1 DS-GVO nicht der Überschreitung einer Erheblichkeitsschwelle bedarf. Es bleibt spannend, wie sich der EuGH zu dieser Thematik positionieren wird. Auf Grund der datenschutzfreundlichen Rechtsprechung des EuGH ist es nicht unwahrscheinlich, dass sich der EuGH den Wertungen des BAG anschließen wird.

 

Kevin Leibold, LL. M., ist Rechtsreferendar am Saarländischen Oberlandesgericht und Doktorand an der Universität des Saarlandes; auf Twitter unter: @kleibold23.

Felix Meurer ist Rechtsanwalt bei Orth Kluth in der Praxisgruppe IP/IT/Datenschutz in Berlin; auf Twitter unter: @felixmeurer.