Mann der sich Notizen aufschreibt

Schadensersatz für verspätete und unvollständige Beantwortung des datenschutzrechtlichen Auskunftsanspruchs

Related topics

In seiner Entscheidung vom 05. März 2020 (AZ: 9 Ca 6557/18) sprach das Arbeitsgericht Düsseldorf einem Kläger immateriellen Schadensersatz in Höhe von 5.000 EUR zu, weil sein früherer Arbeitgeber seinen Auskunftsantrag nach Art. 15 DS-GVO verspätet und unvollständig beantwortet habe.


Überblick

  • Beantwortet ein Arbeitgeber den Auskunftsantrag eines Arbeitnehmers gemäß Art. 15 DS-GVO verspätet und unvollständig, kann dieser ggf. immateriellen Schadensersatz geltend machen.
  • Das Risiko dieser Individualansprüche nach Art. 82 DS-GVO besteht grundsätzlich neben einer drohenden öffentlich-rechtlichen Geldbuße.

Das Arbeitsgericht nahm in dem Fall einen erstattungsfähigen Nichtvermögens-schaden im Sinne von Art. 82 DS-GVO an. Die Berufung ist anhängig beim LAG Düsseldorf unter dem AZ: 14 Sa 294/20.

Sachverhalt

Die Parteien streiten über datenschutzrechtliche Auskunft und Information. Der Kläger macht wegen unvollständiger Auskünfte einen Auskunftsanspruch nach Art. 15 DS-GVO sowie einen Schadensersatzanspruch in Höhe von ca. 140.000 EUR nach Art. 82 DS-GVO geltend (12 Monatsgehälter). Hintergrund war, dass der Kläger Auskunft über die Verarbeitung seiner personenbezogenen Daten sowie die Herausgabe einer Kopie dieser Daten verlangt hatte.

Entscheidung

Das Arbeitsgericht hat die Klage größtenteils abgewiesen, jedoch einen Schadensersatzanspruch in Höhe von 5.000 EUR bejaht. Das Arbeitsgericht hat dabei als maßgebliche Abwägungskriterien für die Höhe des Schadensersatzes das lediglich fahrlässige Handeln des Arbeitgebers und dessen erzielte Umsätze herangezogen. Je höher die Umsätze, desto höher der immaterielle Schadensersatz, da dieser zu rechtmäßigem Verhalten anhalten solle, so das Arbeitsgericht. Die Vergütungshöhe des Arbeitnehmers habe bei der Berechnung dagegen keine Berücksichtigung gefunden. Es sei jedoch eine zeitlich gestaffelte stufenweise Erhöhung bei fortdauernden Verstößen vorzunehmen, so das Arbeitsgericht. Zugunsten des Klägers hat das Gericht zudem darauf abgestellt, dass eine längere Zeit der Unklarheit über Verarbeitung und Verbleib der personenbezogenen Daten bestanden habe, da Datentransfers in ein Drittland außerhalb der Europäischen Union stattgefunden hätten. Diese besonderen Aspekte seien bei der Festlegung der Schadensersatzhöhe zu berücksichtigen.

 

Zum rechtlichen Hintergrund dieser Entscheidung ist auf Folgendes hinzuweisen: Gemäß Art. 15 DS-GVO haben betroffene Personen das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden und – soweit dies der Fall ist – ein Recht auf Auskunftserteilung über diese personenbezogenen Daten und auf die in Art. 15 DS-GVO benannten Informationen. In den Fällen, in denen wegen eines Verstoßes gegen die DS-GVO ein materieller oder immaterieller Schaden entstanden ist, hat die Person nach Art. 82 DS-GVO einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

 

Die DS-GVO unterscheidet prinzipiell nicht zwischen durch Behörden verhängten Geldbußen und individuell geltend gemachten Entschädigungen, sondern betrachtet alle Geldsanktionen als gleichwertige Instrumente zur Durchsetzung eines wirksamen Datenschutzes. Während die öffentlich-rechtlichen Sanktionen betragsmäßig – wenn auch in erheblicher Höhe – gedeckelt sind (20 Mio. EUR oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes), enthält die Schadensersatznorm des Art. 82 DS-GVO keine Begrenzung des Entschädigungsanspruchs. Zudem enthält die Norm eine besondere Beweislastregel. Hiernach wird der Verantwortliche von der Haftung nur dann befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

Fazit

Seit Geltung der DS-GVO können Ansprüche auf Ersatz immaterieller Schäden deutlich einfacher geltend gemacht und durchgesetzt werden. Die Entscheidung macht deutlich, dass neben jede drohende öffentlich-rechtliche Geldbuße auch Individualansprüche nach Art. 82 DS-GVO treten können. Sollte sich eine solche Position in der Rechtsprechung durchsetzen, so dürften auf Unternehmen schon bei kleinsten Datenschutzfehlern erhebliche Schadensersatzforderungen zukommen. Für datenverarbeitende Arbeitgeber zeigt sich durch die Entscheidung mit drastischer Klarheit das gesamte Risikopotenzial bei fehlerhaftem Umgang mit den Regelungen der DS-GVO.

Über diesen Artikel

Authors

Lesen Sie den Artikel

Wie wirkt sich die DSGVO auf Daten von Unternehmen in der Insolvenz aus?

Das Datenschutzrecht gilt auch für insolvente Unternehmen. Was Insolvenzverwalter über ihre datenschutzrechtlichen Pflichten wissen sollten.

Aktualisierte Guidance für börsennotierte Unternehmen – Modul C des BaFin-Emittentenleitfadens veröffentlicht

Die Marktmissbrauchsverordnung sieht erstmals EU-weit einheitliche Regelungen u.a. für die Bereiche Ad-hoc-Publizität, Insiderhandelsverbote, Eigengeschäfte von Führungskräften (ehemals Directors‘ Dealings), Marktsondierungen und Insiderlisten vor.