Schadenersatz bei unvollständiger DSGVO-Auskunft

Das Arbeitsgericht Düsseldorf urteilte am 05.03.2020, dass ein Arbeitnehmer vom Arbeitgeber Auskunft über  die über ihn gespeicherten Daten verlangen könne. Bei einer unvollständigen Datenauskunft stehe ihm  Schadenersatz nach DSGVO zu. Für eine um Monate verspätete und unvollständige Auskunft sei der Schadenersatz auf 5.000 Euro zu beziffern.

Wie hoch ist der Schadenersatz bei unvollständiger Auskunftserteilung?
Beklagte war ein Unternehmen in Düsseldorf; Kläger ein ehemaliger Arbeitnehmer. Der Kläger verlangte Auskunft und Information zur Verarbeitung personenbezogener Daten durch die Beklagte. Erst nach geraumer Zeit verwies die Beklagte auf diverse Anlagen wie Kopien zu personenbezogener Daten, Abdrucke einer Datenübermittlungsvereinbarung (Data Transfer Agreement) sowie ein Passwort zu einer Internet-Ressource, wo die Unterlagen abzurufen waren. Trotzdem fehlten wesentliche Informationen über die verarbeiteten Datenkategorien und die Verarbeitungszwecke. Dem Kläger war es daher nicht möglich zu kontrollieren, was mit seinen Daten geschehen war. Er verlangte daher zusätzlich eine Entschädigung.

Auskunftsanspruch zu Zwecke der Datenverarbeitung
Das Arbeitsgericht Düsseldorf entschied, dass sich der Auskunftsanspruch nach Art. 15 DSVGO richte. Dieser beziehe sich auch auf die Zwecke, zu denen die personenbezogenen Daten durch die Beklagte verarbeitet werden.

Unverzügliche Auskunftserteilung
Grundsätzlich seien die Verarbeitungszwecke bis zum Tag der letzten mündlichen Verhandlung mitzuteilen, so das Gericht weiter. Zwar sei für den Umfang der Auskunft grundsätzlich der Datenbestand zum Zeitpunkt des Auskunftsverlangens maßgeblich. Dies bedeute aber nicht, dass die Auskunft darauf zu beschränken sei. Vielmehr sei eine dem Auskunftsverlangen nachfolgende Datenverarbeitung einzubeziehen, wenn die Auskunft nicht unverzüglich, spätestens aber binnen eines Monats nach Eingang des Antrags, erteilt werde. Grundsätzlich solle dem Betroffenen ermöglicht werden, die Rechtmäßigkeit der Verarbeitung personenbezogener Daten zu prüfen und seine Rechte geltend zu machen. Wenn er nach ggf. monatelangem Warten wegen der zwischenzeitlichen Datenverarbeitung erneut ein Auskunftsverlangen stellen müsse, widerspreche dies dem Gesetzesziel.

Auskunftserteilung noch nicht vollständig
Das ArbG befand, die Beklagte habe den Auskunftsanspruch nicht erfüllt. Die Mitteilung müsse in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt werden. Dadurch solle Transparenz erreichen werden. Zudem seien die Zwecke vollständig und so konkret und detailliert wie möglich sein mitzuteilen. Bislang habe die Beklagte nur erklärt, dass die Datenverarbeitung zum Zwecke des Beschäftigungsverhältnisses, namentlich zu dessen Abwicklung und Beendigung, zur Erfüllung bestehender rechtlicher Verpflichtungen und zur Wahrnehmung berechtigter Interessen erfolgt sei. Damit werde pauschal fast die gesamte Bandbreite der im Privatrechtsverkehr nahe liegender Zwecke angegeben. Es fehle jedoch an einer konkreten und detaillierten Mitteilung der Zwecksetzungen. Die unzureichende Transparenz werde dadurch verstärkt, dass die Beklagte regelmäßig auf einen Anhang "I." verweist. Dieser umfasse Hunderte Seiten und ersetze somit keine Mitteilung in datenschutzrechtlich konformer Form und Sprache.

Anspruch auf Schadenersatz
Das Gericht sprach dem Kläger einen Schadenersatzanspruch. Denn jeder Verstoß gegen die DSGVO könne eine Schadensersatzpflicht begründen. Die Beklagte habe nicht rechtzeitig auf das Auskunftsverlangen des Klägers reagiert. Diese habe spätestens innerhalb eines Monats nach Eingang, nach einer Unterrichtung über eine Fristverlängerung spätestens binnen zwei weiteren Monaten zu erfolgen.

Immaterieller Schaden
Die Beklagte habe dem Kläger einen immateriellen Schaden zugefügt, so das ArbG weiter. Ein solcher immaterieller Schaden entstehe nicht nur in den "auf der Hand liegenden Fällen". Vielmehr auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert werde, die sie betreffenden personenbezogenen Daten zu kontrollieren. Zugleich sei auch das europäisches Grundrecht auf Auskunft verletzt. Durch die monatelang verspätete, dann unzureichende Auskunft sei der Kläger im Ungewissen geblieben. Ihm sei zunächst die Prüfung verwehrt, später nur eingeschränkt möglich gewesen, ob und wie die Beklagte seine personenbezogenen Daten verarbeitet.

Höhe des Schadens
Das Gericht sprach dem Kläger einen Schadenersatz in Höhe von 5.000 Euro zu. Dabei habe es berücksichtigt, dass das Auskunftsrecht ein bedeutsames Recht sei. Dies ergebe sich bereits aus der europäischen Grundrechtscharta. Zudem habe der Verstoß einige Monate angehalten. Auch seien die Anforderungen an die zu erteilende Auskunft nicht nur zeitlich, sondern auch inhaltlich verletzt worden. Zudem sei der hohe Umsatz der Beklagten in die Entscheidung eingeflossen. Denn der Schadensersatz solle eine angemessene Wirkung erzielen soll. Damit hänge die Höhe nicht nur vom eingetretenen immateriellen Schaden ab, sondern auch vom Verantwortlichen und dessen Finanzkraft. Die Verletzung der Auskunftspflicht durch einen finanzschwächeren Verantwortlichen würde zu geringerem Schadensersatz führen. Zu Gunsten der Beklagten spreche aber, dass von einem fahrlässigen Verstoß auszugehen sei. Zudem sei der dem Kläger entstandene immaterielle Schaden nicht erheblich.

Verdienst spielt keine Rolle
Das Arbeitsgericht war der Meinung, die Höhe der monatlichen Vergütung des Klägers spiele für die Bemessung des Schadensersatzes keinerlei Rolle. Die Schwere des entstandenen immateriellen Schadens hänge nicht davon ab, wie viel er verdient.

Arbeitsgericht Düsseldorf, Urteil vom 05.03.2020, Az. 9 Ca 6557/18