Oder der Versuch, eine Abfindung unter dem Deckmantel des Datenschutzrechts zu erhalten

 In jüngerer Vergangenheit haben Arbeitsgerichte (ehemaligen) Arbeitnehmern Schadensersatz zugesprochen, weil der (ehemalige) Arbeitgeber dem Arbeitnehmer nur verspätet oder unvollständig Auskunft gemäß Art. 15 Datenschutz-Grundverordnung (DSGVO) darüber erteilt hat, welche personenbezogenen Daten dieser über ihn gespeichert hat.

Eine zunehmend typische Konstellation ist, dass der gekündigte Arbeitnehmer neben den kündigungsschutzrechtlichen Rechtsbehelfen zusätzlich einen umfassenden Auskunftsanspruch geltend macht. In diesem Rahmen verlangt er Auskunft darüber, welche Daten der Arbeitgeber über ihn gespeichert hat. Zudem soll der Arbeitgeber eine Kopie der personenbezogenen Daten zur Verfügung stellen.

In einem Fall, der vor dem Arbeitsgericht Düsseldorf verhandelt wurde, wurde diese Auskunft verspätet und unvollständig erteilt. Das Arbeitsgericht Düsseldorf sprachen dem Arbeitnehmer einen immateriellen Schadenersatz in Höhe von EUR 5.000 zu (Urt. v. 05.03.2020, Az. 9 Ca 6557/18, nicht rechtskräftig). Sollte das Urteil Schule machen, besteht das Risiko, dass gerade bei Kündigungen vermehrt Auskunftsansprüche und im Nachgang ggf. Schadensersatzansprüche geltend gemacht werden.

Ein solcher Sachverhalt tangiert zwei weiterhin umstrittene Rechtsfragen:

• In welchem Umfang bestehen Auskunftsansprüche und
• löst jede Verletzung des Auskunftsanspruchs zugleich auch Schadensersatzansprüche aus oder ist hierfür nicht vielmehr das Überspringen einer Bagatellschwelle erforderlich?
  
  

Inhalt und Umfang des Auskunftsanspruchs

Betroffene Personen haben gemäß Art. 15 DSGVO das Recht, (i) Auskunft über die sie betreffenden personenbezogenen Daten, die der Verantwortliche verarbeitet, sowie (ii) über die in Art. 15 Abs. 1 und 2 DSGVO aufgeführten Informationen zu verlangen. Als Teil dieses Auskunftsanspruchs normiert Art. 15 Abs. 3 DSGVO zudem das Recht auf Erhalt einer Kopie dieser personenbezogenen Daten.

Grundsätzlich ist jeder Verantwortliche verpflichtet, dem Auskunftsbegehren einer betroffenen Person nachzukommen. Das gilt selbst für den Fall, dass bei dem Verantwortlichen keine personenbezogenen Daten zur betroffenen Person gespeichert sind. In diesem Fall ist eine sog. Negativauskunft zu erteilen. Voraussetzung ist aber stets ein sogenanntes Auskunftsersuchen, für das keine bestimmte Form vorgeschrieben ist.

Die Auskunft umfasst u.a. Informationen zu den Verarbeitungszwecken, die Kategorien der personenbezogenen Daten, die verarbeitet werden, die Empfänger oder Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden und die geplante Dauer der Speicherung. Es handelt sich grundsätzlich um eine umfassende Datenauskunft. Um den Aufwand bei der Erstellung der Datenauskunft jedoch auf ein verhältnismäßiges Maß zu begrenzen, vertritt das Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) die Auffassung, dass die betroffene Person ihr Auskunftsbegehren konkretisieren bzw. eingrenzen muss, wenn z.B. auf Grund eines lang andauernden Arbeitsverhältnisses große Datenmengen zur Person gespeichert wurden (vgl. auch Erwägungsgrund (63) zur DSGVO). Bei pauschalen Auskunftsersuchen, wie sie in der Praxis häufig vorkommen, kann der/die Betroffene aufgefordert werden, dieses zu präzisieren.

Zudem ist der betroffenen Person eine Kopie ihrer personenbezogenen Daten zur Verfügung zu stellen. Umstritten ist, wie diese Kopie zu verstehen ist. Das BayLDA verweist in diesem Zusammenhang darauf, dass der Begriff „Kopie“ zwar nicht bedeute, dass eine „Fotokopie“ zur Verfügung gestellt werden müsse. „Kopie“ sei vielmehr dahingehend auszulegen, dass alle zur betroffenen Person gespeicherten personenbezogenen Einzel-Daten herauszugeben seien. D.h. mitzuteilen seien dabei die konkret gespeicherten („Klartext“-)Informationen, und nicht nur die Kategorien der Daten. Vom Auskunftsanspruch ebenfalls nicht umfasst sei deshalb das Recht, Kopien der betreffenden Akten, Unterlagen usw. heraus zu verlangen. Vielmehr beziehe sich der Auskunftsanspruch ausschließlich auf das personenbezogene Datum als solches.

Neben der inhaltlich korrekten Beantwortung des Auskunftsverlangens, muss der Arbeitsgeber sicherstellen, dass das Auskunftsverlangen zeitnahe beantwortet wird. Die DSGVO sieht hier eine regelmäßige Bearbeitungszeit von einem Monat vor. Lediglich in komplexen Fällen kann sich die Frist ausnahmsweise auf zwei Monate verlängern, wobei die betroffene Person hierüber unter Angabe der Gründe zu informieren ist.

Um diesen gesetzlichen Vorgaben gerecht zu werden, ist in der Regel die Implementierung einer gewissen Organisationsstruktur erforderlich. Bei größeren Unternehmen, die sich mit einer Vielzahl von Auskunftsansprüchen, z.B. im Rahmen einer größeren Anzahl von Kündigungen ausgesetzt sehen, bietet es sich an, die Auskunftsansprüche softwaregestützt, z.B. durch Legal Tech-Lösungen zu bearbeiten.

Schadensersatzansprüche als Rechtsfolge einer Verletzung der Auskunftspflicht

Verstöße gegen das Auskunftsrecht können nicht nur von den Aufsichtsbehörden sanktioniert werden, sondern nach Art. 82 DSGVO auch Schadensersatzansprüche des betroffenen Arbeitnehmers auslösen, wenn ihm wegen des Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist. Im Falle der nicht, verspäteten oder unvollständig erteilten Auskunft wird es sich regelmäßig um einen allenfalls immateriellen Schaden handeln. Umstritten ist, ob für einen solchen immateriellen Schaden stets eine gewisse Bagatellschwelle überschritten sein muss oder ob jeder Verstoß stets einen erstattungsfähigen Schaden auslöst.

Nach deutschem allgemeinem Deliktsrecht ist Voraussetzung für eine Geldentschädigung wegen einer Persönlichkeitsrechtsverletzung, dass ein schwerwiegender Eingriff vorliegt, der nicht in anderer Weise befriedigend ausgeglichen werden könne. Ob dieser Ansatz auch für Schadensersatzansprüche gilt, die auf Art. 82 DSGVO gestützt werden, ist bis dato umstritten.

Die (arbeitsgerichtliche) Rechtsprechung war in der Vergangenheit mit dem Zusprechen eines immateriellen Schadensersatzanspruchs tendenziell zurückhaltend. Allerdings finden sich in der jüngeren Vergangenheit zunehmend Urteile, die betroffenen Personen, auch ohne das eine wie auch immer geartete Bagatellschwelle hätte übersprungen werden müssen, Schadensersatz zugesprochen haben. Die Gerichte begründen das u.a. damit, dass der Schadensersatz abschreckende Wirkung haben müsse, um weitere Verstöße unattraktiv zu machen. Die überwiegende datenschutzrechtliche Literaturmeinung geht unter Verweis auf den dritten und sechsten Satz des Erwägungsgrundes (146) der DSGVO ebenfalls von einem weiten Verständnis des Schadensbegriffes aus. Auch der Gerichtshof der Europäischen Union (EuGH) verlangt in ständiger Rechtsprechung, dass europarechtlich verankerte, zivilrechtliche Sanktionen, mit denen das Europarecht durchgesetzt werden soll, eine abschreckende Wirkung haben müssen.

Das Bundesverfassungsgericht hat nun entschieden, dass die Frage ob der Schadensbegriff in Art. 82 DSGVO autonom auszulegen ist, dem EuGH gemäß Art. 267 AEUV vorzulegen ist (Beschluss vom 14.01.2021, Az. 1 BvR 2853/19). Im Ausgangsverfahren hatte das AG Goslar die Zahlung eines Schmerzensgeldes in Höhe von EUR 500,00 nach Art. 82 DSGVO wegen der unzulässigen Verwendung einer E-Mail für Werbezwecke mangels Erheblichkeit abgelehnt.

Bis zu der Entscheidung des EuGH besteht weiterhin Rechtsunsicherheit, ob eine unzureichende oder verspäte Auskunftserteilung Schadensersatz auslöst. Ein zusätzliches Risiko besteht dann, wenn es sich bei den Auskunftsansprüchen nicht bloß um Einzelfälle handelt. Gerade bei zahlreichen Anspruchsstellern, z.B. bei umfangreicheren Entlassungen, könnten sich die Beträge schnell zu substanziellen Summen addieren. Dieses Risiko ist auch nicht auf Arbeitgeber beschränkt, da der Auskunftsanspruch in allen Bereichen gilt, in denen personenbezogene Daten verarbeitet werden. Hier hilft nur die datenschutzkonforme Beantwortung sämtlicher berechtigter Auskunftsbegehren.