Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) können zu empfindlichen Bußgeldern durch die zuständigen Aufsichtsbehörden führen.
Daneben können auch natürliche Personen bei einem DSGVO-Verstoß Schadensersatz von der verantwortlichen Stelle verlangen. Art. 82 DSGVO regelt die Schadensersatzpflicht.
Art. 82 DSGVO
Haftung und Recht auf Schadenersatz
(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Verstöße können dabei in verschiedensten Arten auftreten: Möglich sind etwa unbefugte Datenweitergaben, nicht erfüllte Löschpflichten, unbefugte Werbe-E-Mails oder eine unbefugte Datenverarbeitung. Außerdem stellt die nicht erfüllte Auskunftspflicht, worunter auch die verspätete Auskunft fällt, einen Verstoß dar, welche einen Schadensersatzanspruch gem. Art. 82 DSGVO auslösen kann.
Wird die Auskunft verspätet erteilt, stellt sich die Frage nach der Höhe des (immateriellen) Schadensersatzanspruchs. Mit dieser Frage hatte sich das ArbG Oldenburg beschäftigt.
Der Sachverhalt
Der Kläger war früher als Vertriebsleiter bei der Beklagten tätig. Er forderte aus seinem vorherigen Arbeitsverhältnis neben Zahlungsansprüchen auch datenschutzrechtliche Auskunftsansprüche. Nachdem die Beklagte diese ablehnte, verlangte der Kläger gerichtliche Auskunft und einen Schadensersatz gemäß Art. 82 DSGVO in Höhe von 500,00 Euro pro Monat.
Rechtliche Grundlage
Betroffene, die von einem Verantwortlichen die Auskunft über die ihn betreffenden personenbezogenen Daten verlangen, haben einen Anspruch auf unverzügliche Auskunft gemäß Art. 12 Abs. 3 DSGVO. Wird dieser Auskunftspflicht nicht fristgerecht nachgekommen und erleidet der/die Betroffene dadurch einen Schaden, kann er/sie einen Anspruch auf Schadensersatz gemäß Art. 82 DSGVO geltend machen.
Die Voraussetzungen für einen solchen Schadensersatzanspruch sind jedoch (noch) nicht abschließend geklärt. Die bisherige Rechtsprechung zeigt sich uneinheitlich. Teilweise lehnen Gerichte das Vorliegen eines Schadens bei einer lediglich verspäteten Auskunft ab. Andere Gerichte verlangen hingegen eine Beeinträchtigung von gewisser Erheblichkeit, sog. Erheblichkeitsschwelle. Das bloße Warten auf die Auskunft reiche dafür nicht.
Nicht anders verhält es sich bei der Höhe des (immateriellen) Schadensersatzanspruchs: Auch diesbezüglich existiert bislang keine einheitliche Rechtsprechung.
Kriterien, welche bei der Bemessung der Höhe Berücksichtigung finden können, sind unter andere, die Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung, der Grad des Verschuldens, Maßnahmen zur Minderung des entstandenen Schadens, frühere Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten und die betroffenen Kategorien personenbezogener Daten.
Die Frage, ob bei der Bemessung die Kriterien des Art. 83 Abs. 2 DSGVO herangezogen werden können, hat das LG Saarbrücken dem EuGH vorgelegt.
ArbG Oldenburg: 500,00 Euro pro Monat sind angemessen
Das ArbG Oldenburg hält einen Schadensersatzanspruch in Höhe von 500,00 Euro für jeden Monat, in dem der Verantwortliche keine Auskunft erteilt, für angemessen. Bei der Bemessung berücksichtigte das Gericht insbesondere den Umstand, dass die Beklagte die Auskunft über mehr als 20 Monaten verweigert hatte. Der Betrag von 500,00 Euro sei geeignet, um dem Präventionscharakter und der Abschreckungsfunktion des Schadensersatzanspruchs nach Art. 82 DSGVO gerecht zu werden.
Andere Fälle in der Rechtsprechung
Ähnlich wie das ArbG Oldenburg hatte das ArbG Düsseldorf entschieden (Urteil vom 05.März 2020, Az. 9 Ca 6557/18). Dieses hatte für die ersten zwei Monate der Verspätung jeweils 500,00 Euro, für die weiteren etwa drei Monate jeweils 1.000,00 Euro und für die inhaltlichen Mängel der Auskunft jeweils 500,00 Euro angesetzt.
Eher zurückhaltender entschied noch das OLG Köln (Urteil vom 14. Juli 2022, Az. 15 U 137/21), welches der Klägerin einen Schadenersatzanspruch in Höhe von insgesamt 500,00 EUR für eine acht Monate verspätete Auskunft zusprach.
Im Gegensatz dazu sprach das ArbG Dresden (Urteil vom 11. Januar 2023, Az. 4 Ca 688/22) kürzlich einer ehemaligen Mitarbeiterin für eine unvollständig und verspätet erteilte Auskunft einen Betrag von 2.500,00 Euro zu. Der Betrag setze sich aus 1.000,00 Euro für die Verspätung (ca. zwei Monate) und weiteren 1.500,00 Euro für die Unvollständigkeit der Auskunftserteilung zusammen.
Konsequenz des Urteils
Das Urteil des Arbeitsgerichts Oldenburg verdeutlicht den aktuellen Trend in Bezug auf den datenschutzrechtlichen Schadensersatzanspruch bei einer verspäteten Auskunft. Immer häufiger werden die Voraussetzungen des Art. 82 DSGVO unter Berücksichtigung der Interessen der betroffenen Personen bejaht. Auch hinsichtlich der Schadenshöhe zeichnet sich langsam eine richtungsweisende Tendenz ab.
Für Datenverantwortliche verdeutlicht das Urteil, dass bei der Bearbeitung von Auskunftsersuchen nicht nur die Vollständigkeit, sondern auch die Einhaltung von Fristen beachtet werden muss. Ansonsten drohen – nicht unerhebliche – Schadensersatzansprüche.
Nichtsdestotrotz ist die Wirkung des Urteils nicht abschließend einzuschätzen. Es sind insbesondere die derzeit beim EuGH anhängigen Vorabscheidungsverfahren abzuwarten, welche den Schadensersatzanspruch gem. Art. 82 DSGVO allgemein, aber auch hinsichtlich der verspäteten Auskunft konkretisieren werden.
