1.000 EUR Schadensersatz bei Verstoß gegen DSGVO-Auskunft

Arbeitgeber muss Schadensersatz wegen unvollständiger DSGVO-Auskunft zahlen

Das LAG Hamm hat mit Urteil vom 11.05.2021 einen Arbeitgeber verpflichtet, einer gekündigten Arbeitnehmerin Schadensersatz in Höhe von 1.000 EUR wegen unvollständiger DSGVO-Auskunft zu zahlen. Nach Ansicht des LAG Hamm setzt weder der Wortlaut von Art. 82 DSGVO noch der Zweck der DSGVO voraus, dass der Schadensersatzanspruch einen qualifizierten Verstoß gegen die DSGVO voraussetzt. Keine oder eine unvollständige Auskunft nach Art. 15 DSGVO genügt.

Sachverhalt: Arbeitgeber erteilt nur unvollständig Auskunft nach Art. 15 DSGVO

Die gekündigte Arbeitnehmerin verlangte im Rahmen einer Kündigungsschutzklage neben Vergütung für Mehrarbeit auch immateriellen Schadensersatz nach Art. 82 DSGVO, da der Arbeitgeber ihrer Forderung zur Auskunftserteilung nach Art. 15 DSGVO nur rudimentär nachgekommen ist. Die Höhe des Schadensersatzes stellte die Arbeitnehmerin in das Ermessen des Gerichts.

Urteil: Verstoß gegen Auskunft nach Art. 15 DSGVO berechtigt zum Schadensersatz nach Art. 82 DSGVO

Das LAG Hamm sprach der gekündigten Arbeitnehmerin wegen Nichterfüllung der Auskunftsverlangens einen immateriellen Schadensersatz gem. Art. 82 DSGVO in Höhe von 1.000 EUR zu.

Schadensersatz nach Art. 82 DSGVO setzt keine schwerwiegende Beeinträchtigung voraus

Anders als einige andere Gerichte geht das LAG Hamm davon aus, dass ein Schadensersatzanspruch nach Art. 82 DSGVO keinen qualifizierten Verstoß gegen die DSGVO oder eine erhebliche Beeinträchtigung:

"Weder der DSGVO noch ihren Erwägungsgründen lässt sich indes entnehmen, dass der Schadensersatzanspruch einen qualifizierten Verstoß gegen die DSGVO voraussetzt. Für die Annahme einer Erheblichkeitsschwelle oder anders - herum formuliert - die Ausnahme von Bagatellfällen, gibt es keinen Anhaltspunkt (so auch BVerfG vom 14.01.2021 - 1 BvR 2853/19 -).

Unter Berücksichtigung des Erwägungsgrundes 146 S. 3 zur DSGVO soll der Begriff des Schadens im Lichte der Rechtsprechung des Europäischen Gerichtshofes weit und auf eine Weise ausgelegt werden, die den Zielen der Verordnung in vollem Umfang entspricht. Die Ziele der DSGVO bestehen dabei u.a. darin, den Risiken für die Rechte und Freiheit natürlicher Personen zu begegnen, die - mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere - aus einer Verarbeitung personenbezogener Daten hervorgehen und zu einem immateriellen Schaden führen können. Dabei kann ein immaterieller Schaden nicht nur in einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten, der unbefugten Aufhebung der Pseudonomisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen liegen. Er kann (bereits) entstehen, wenn die von der Verarbeitung personenbezogener Daten betroffenen Personen daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren (vgl. Erwägungsgrund 75)."

Verstoß gegen Art. 15 DSGVO im Arbeitsverhältnis führt zum Schadensersatz

Zum Arbeitsverhältnis führte das LAG Hamm konkret wie folgt aus:

"In jedem Arbeitsverhältnis verarbeitet der Arbeitgeber zwangsläufig personenbezogene Daten seiner Mitarbeiter. Jeder Arbeitgeber wird mindestens die Kontaktdaten, die Bankdaten zwecks Überweisung des Entgelts sowie Anwesenheits- und Fehlzeitendaten seiner Mitarbeiter erheben, speichern und verwenden. In welchem Umfang und in welchen Kategorien eine solche Verwendung erfolgt, ist Arbeitnehmern nicht ohne weiteres ersichtlich. Ebenso können Arbeitnehmer nicht von sich aus erkennen, ob Daten auch Dritten zur Verfügung gestellt und für welche Dauer - ggf. auch nach Beendigung des Arbeitsverhältnisses - diese Daten gespeichert bleiben. Die Beklagte wendet vorliegend nicht ein, dass sie über die der Klägerin im August 2020 übersendeten Arbeitszeitnachweise keine Weiteren personenbezogenen Daten der Klägerin verarbeitet. Eine Kontrolle über diese Daten hat die Klägerin indes nicht, solange die Beklagte ihrer Auskunftspflicht - in erster Stufe zumindest hinsichtlich der Bestätigung des "Ob" der Verarbeitung personenbezogener Daten - nicht nachkommt. Der Klägerin fehlt dabei nicht nur die Kenntnis, welche Kategorien von Daten die Beklagte formalisiert oder nicht formalisiert verarbeitet. Sie kann ebenso nicht beurteilen, wie lange solche Daten nach Beendigung des Arbeitsverhältnisses weiter gespeichert bleiben und an welche Dritte die Beklagte solche Daten ggf. weiterreicht. Die Schwere des immateriellen Schadens, mithin das Gewicht der Beeinträchtigung, das die Klägerin - subjektiv - wegen der bestehenden Unsicherheit und des Kontrollverlustes empfinden mag, ist für die Begründung der Haftung nach Art. 82 Abs. 1 DSGVO und mithin für die Frage des "ob" eines entstandenen Schadens nicht erheblich (so auch ArbG Düsseldorf vom 05.03.2020 - 9 Ca 6557/18)."h ArbG Düsseldorf vom 05.03.2020 – 9 Ca 6557/18)."

Schadensersatz nach Art. 82 DSGVO soll wirksam sein

Hinsichtlich der Höhe des Schadensersatzes betonte das LAG Hamm zunächst, dass der Betroffene nach der DSGVO einen vollständigen und wirksamen Schadensersatz erhalten solle:

"Unter Berücksichtigung des Erwägungsgrundes 146 (Satz 6) zur DSGVO soll die betroffene Person einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Insoweit erscheint eine Orientierung an dem Kriterienkatalog für die Bemessung von Bußgeldern in Art. 83 Abs. 2 S. 2 DSGVO naheliegend (so auch ArbG Düsseldorf vom 05.03.2020 - 9 Ca 6557/18 -). Danach sind für die Ermittlung der Höhe einer Geldbuße u. a. die Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung, der Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten zu betrachten. Bei der Bemessung der Entschädigung für immaterielle Schäden kommt den Gerichten grundsätzlich ein weites Ermessen zu, § 287 Abs. 1 S. 1 ZPO. Es müssen mithin sowohl sämtliche Auswirkungen des konkreten Datenschutzverstoßes für die geschädigte Person als auch sämtliche in der Person des Schädigers liegenden, insbesondere die Tatsituation und den Verschuldensgrad betreffenden, Umstände berücksichtigt werden (...)"

Höhe des Schadensersatzes nach Art. 82 DSGVO ist je nach Einzelfall zu bestimmen - vorliegend 1.000 EUR angemessen

Unter Würdigung aller Umstände des konkreten Falles erachtete das LAG Hamm einen Schadensersatz in Höhe von 1.000 EUR für angemessen und führte zur Begründung wie folgt aus:

"In Anwendung des zuvor dargestellten Maßstabs ist unter Berücksichtigung und Abwägung aller Umstände des Einzelfalls ein Schadensersatz in Höhe von 1.000,00 Euro angemessen.

Dabei hat die Kammer zu Lasten der Beklagten berücksichtigt, dass diese die Auskunft nach Art. 15 Abs. 1 DSGVO bis zum heutigen Tag nicht erteilt hat. Die Beklagte hat der Klägerin lediglich im August 2020 Arbeitszeitnachweise übermittelt. Damit hat die Beklagte den Auskunftsanspruch allenfalls rudimentär erfüllt. (...)

(...) zu Lasten der Klägerin  [ist ] zu berücksichtigen, dass sie die tatsächliche Erlangung der ihr nach Art. 15 Abs. 1 DSGVO zustehenden Informationen in Erkennung des Umstandes, dass die Beklagte diesem Auskunftsbegehren nicht ohne Weiteres nachkommen wird, bislang nicht konsequent verfolgt hat. Nachdem die Beklagte im August 2020 Arbeitsnachweise erteilt hat, hat die Klägerin den Auskunftsanspruch insoweit für erledigt erklärt. Sie hat aber in der Folgezeit davon abgesehen, ihr Auskunftsverlangen im Weiteren gerichtlich geltend zu machen, um eine tatsächliche Durchsetzung zu erreichen.Vielmehr hat die Klägerin sich darauf beschränkt, unter Berufung auf die fehlende Auskunft einen immateriellen Schadensersatzanspruch gerichtlich einzuklagen. Ihr Prozessverhalten deutet für die Berufungskammer darauf hin, dass die tatsächliche Erlangung einer Kontrolle über die von ihr verarbeiteten personenbezogenen Daten nicht ihr primäres Ziel ist. Es drängt sich vielmehr für die Berufungskammer der Eindruck auf, dass es ihr in dem außergerichtlichen Schreiben vom 30.01.2020 maßgeblich um die Herausgabe der Arbeitsaufzeichnungen zum Zwecke der Bezifferung einer beabsichtigten Überstundenklage ging. Obwohl sie durch die nach wie vor ausstehende Auskunft nach wie vor keine Kontrolle über ihre personenbezogenen Daten hat, die bei der Beklagten - auch nach Beendigung des Arbeitsverhältnisses - gegebenenfalls weiter verwendet werden, lässt das Verhalten der Klägerin nicht erkennen, dass dieser Umstand als solcher eine besondere Belastung für sie darstellt, die nicht jedenfalls mit der Zahlung eines Schadensersatzbetrages kompensiert werden könnte. Insbesondere ist nicht erkennbar, dass die Klägerin beabsichtigt, die tatsächliche Erteilung der Auskunft auch im Falle der Zahlung eines Schadensersatzes durch die Beklagte weiterzuverfolgen. Dies deutet darauf hin, dass ihre persönliche Betroffenheit im Hinblick auf die fehlende Möglichkeit der Kontrolle ihrer personenbezogenen Daten überschaubar ist und Zweifel an der Nachhaltigkeit des Auskunftsverlangens berechtigt erscheinen. Dieser Umstand ist bei der Bemessung der Höhe des immateriellen Schadensersatzes - anders als bei der Frage des Entstehens eines solchen - zu berücksichtigen.

LAG Hamm, Urteil vom 11.05.2021, AZ. 6 Sa 1260/20

nicht rechtskräftig; Revisionsverfahren beim BAG unter Az.: 2 AZR 363/21 anhähgig