Nichterfüllung des datenschutzrechtlichen Auskunftsanspruchs allein begründet keinen Anspruch auf Schadensersatz

Verstöße gegen die Datenschutz-Grundverordnung (DS-GVO) können Schadensersatzansprüche betroffener Arbeitnehmer begründen. Dies bedingt jedoch den Eintritt eines Schadens durch den Rechtsverstoß. Bislang war fraglich, ob die unterlassene bzw. nicht ordnungsgemäße Erfüllung des Auskunftsanspruchs (Art. 15 DS-GVO) einen Schaden zur Folge haben und somit einen Schadensersatzanspruch begründen kann. Das Bundesarbeitsgericht (BAG) hat nun entschieden, dass jedenfalls allein die Verletzung des Auskunftsanspruchs keinen ersatzfähigen Schaden darstellt (Urteil vom 20. Juni 2024, Az. 8 AZR 91/22).

 

Der Fall

Der Arbeitnehmer hatte im Jahr 2019 in zwei Fällen Auskunft (Art. 15 DS-GVO) über die Verarbeitung ihn betreffender personenbezogener Daten begehrt. Die Arbeitgeberin hatte zwar reagiert, nach Ansicht des Arbeitnehmers jedoch keine vollständige Auskunft erteilt. Der Arbeitnehmer machte daher eine Entschädigung in Höhe von EUR 8.000 geltend. Er bleibe durch die jahrelang verspätete Auskunft über wesentliche Faktoren der Datenverarbeitung im Dunkeln und ihm sei die Prüfung verwehrt, ob und wie die Arbeitgeberin seine personenbezogenen Daten verarbeite. Vor dem Arbeitsgericht unterlag der Arbeitnehmer, das Landesarbeitsgericht sprach ihm eine Entschädigung in Höhe von EUR 2.000 zu. Beide Parteien wendeten sich gegen diese Entscheidung.

 

Kontrollverlust und Befürchtung missbräuchlicher Verwendung

Das BAG führt zunächst aus, dass nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) der – selbst kurzzeitige – Verlust der Kontrolle über die eigenen Daten einen ersatzfähigen immateriellen Schaden (Art. 82 Abs. 1 DS-GVO) darstellen kann. Gleiches gilt für die durch einen Verstoß gegen die DS-GVO ausgelöste Befürchtung, die eigenen Daten könnten missbräuchlich verwendet werden. Dabei sei jedoch ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten nicht ausreichend. Das Gericht müsse prüfen, ob die Befürchtung der missbräuchlichen Datenverwendung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann. Das bloße Berufen auf eine bestimmte Gefühlslage reiche hingegen nicht aus.

 

Verletzung des Auskunftsanspruchs kein Schaden

Macht der Arbeitnehmer lediglich geltend, durch die Verletzung des Auskunftsanspruchs trete ein Kontrollverlust ein, weil die Überprüfung verhindert werde, ob personenbezogene Daten rechtmäßig verarbeitet werden, begründet dies nach Ansicht des BAG keinen ersatzfähigen Schaden. Grund dafür sei, dass ein derartiger Kontrollverlust mit jeder Verletzung des Auskunftsanspruchs einhergehe, also keinen von der bloßen Verletzung des Gesetzes unterscheidbaren Schaden begründe. Würde die bloße Verletzung des Gesetzes für einen Schadensersatzanspruch ausreichen, wäre die Voraussetzung, dass hierdurch ein – wenn auch immaterieller – Schaden eingetreten sein muss, bedeutungslos. Durch die unterbliebene Auskunft entstehe auch kein erhöhtes Missbrauchsrisiko in Bezug auf die von dem Auskunftsanspruch betroffenen Daten, welches als begründete Befürchtung einen Schadensersatzanspruch rechtfertigen könne. Denn anders als bei einem Datenleck verschlechtere sich durch die unterbliebene Auskunft die Sicherheit der Daten nicht unmittelbar. Der Arbeitnehmer müsse vielmehr darlegen, warum im Falle der unterlassenen Auskunft mehr als ein nur hypothetisches Risiko einer missbräuchlichen Verwendung seiner Daten besteht.

 

Praxishinweis

Die Entscheidung des BAG, dass allein die unvollständige Auskunftserteilung keinen Schadensersatzanspruch zur Folge hat, ist zu begrüßen, denn das weitreichende datenschutzrechtliche Auskunftsrecht stellt Arbeitgeber in der Praxis nicht selten vor erhebliche Probleme. Die Beantwortung eines Auskunftsersuchens bedingt nämlich häufig eine aufwendige Überprüfung großer Datenmengen, um Persönlichkeitsrechte anderer Arbeitnehmer sowie Betriebs- und Geschäftsgeheimnisse vor der Auskunftserteilung zu identifizieren und unkenntlich zu machen. Ohne den Aufbau geeigneter Strukturen besteht ein Risiko, dass die Auskunft nicht vollständig erfolgt, also ein – ggf. schadensersatzpflichtiger – Verstoß gegen die DS-GVO vorliegt. Zudem nutzen Arbeitnehmer das Auskunftsrecht nach einer arbeitgeberseitigen Kündigung regelmäßig neben der Kündigungsschutzklage als Angriffsmittel im Rahmen der arbeitsrechtlichen Auseinandersetzung, etwa um Beweismittel zu erlangen.

Arbeitgeber sollten Auskunftsersuchen trotz dieser Entscheidung ernst nehmen, da bei Verstößen gegen die Vorgaben der DS-GVO einerseits erhebliche Bußgelder möglich bleiben und zum anderen betroffene Arbeitnehmer im Streitfall häufig versuchen, einen anderweitigen – immateriellen – Schaden einer unvollständigen Auskunft darzulegen. Es ist daher ratsam, bereits vor dem Eingang von Auskunftsersuchen geeignete Strukturen zu schaffen, um die Ersuchen rechtzeitig und vollständig beantworten zu können.