Neues zum datenschutzrechtlichen Auskunftsanspruch
Verlangt ein Arbeitnehmer Auskunft nach Art. 15 der Datenschutz-Grundverordnung (DSGVO) über personenbezogene Daten, die der Arbeitgeber von ihm speichert und verarbeitet (im Folgenden: Datenauskunft), verursacht dies auf Arbeitgeberseite nicht nur einen erheblichen Zeit- und Kostenaufwand, sondern kann auch zu behördlichen Ermittlungen und der Verhängung von Geldbußen führen.
Als weitere Sanktion sieht Art. 82 DSGVO vor, dass Betroffene einen zivilrechtlichen Anspruch auf Schadensersatz haben können. Streiten Arbeitnehmer und Arbeitgeber darüber, ob die Auskunft richtig und vollständig erteilt ist, findet sich zunehmend die Tendenz, dass Arbeitnehmer einen immateriellen Schadensersatz (Entschädigung) einklagen und teilweise auch zugesprochen erhalten.
Nach einer kürzlich erschienenen Pressemitteilung hat nun das LAG Düsseldorf einen solchen Schadensersatzanspruch verneint (LAG Düsseldorf v. 28.11.2023 – 3 Sa 285/23, Pressemitteilung 29/2023).
Arbeitsgericht: Schadensersatz in Höhe von EUR 10.000,00
Ein Arbeitnehmer war 2016 (!) einen Monat lang beim Arbeitgeber beschäftigt gewesen. Mit Schreiben vom 01.10.2022 (!) wiederholte er einen bereits 2020 gestellten Antrag auf Datenauskunft. Nach mehrfacher weiterer Korrespondenz und Streit über die Frage, ob die Auskunft rechtzeitig und vollständig erteilt worden sei, machte der Arbeitnehmer beim Arbeitsgericht Duisburg Schadensersatz geltend, weil der Arbeitgeber durch unvollständige und inhaltlich mangelhafte Auskunft mehrfach gegen Art. 15 DSGVO verstoßen habe. Er verlangte Entschädigung nach Ermessen des Gerichts, mindestens aber EUR 2.000,00. Das Arbeitsgericht Duisburg sprach dem Arbeitnehmer EUR 10.000,00 Schadensersatz zu.
Landesarbeitsgericht: Kein Anspruch auf Schadensersatz
Das Landesarbeitsgericht Düsseldorf war anderer Meinung und wies die Klage soweit ersichtlich aus zwei Gründen ab:
Zum einen setze der Schadensersatzanspruch (haftungsbegründend) eine gegen die DSGVO verstoßende Datenverarbeitung voraus. Die bloße Verletzung der Auskunftspflicht genüge dafür nicht.
Zum anderen müsse ein Schaden vorgetragen werden. Unvollständigkeit der Auskunft oder der bloße Kontrollverlust über die Daten genüge nicht zur Begründung eines Schadens. Zu weiterem immateriellen Schaden fehle es an konkretem Vortrag des Klägers.
Bislang: Keine abschließende höchstrichterliche Klärung
Das Landesarbeitsgericht hat die Revision zugelassen, so dass die Entscheidung noch nicht rechtskräftig ist. In nächster Instanz muss sich nun das Bundesarbeitsgericht dazu äußern, ob eine verspätete oder nicht vollständige Erfüllung der Auskunftspflicht für sich genommen überhaupt einen Schadensersatzanspruch begründen kann. Dieses hatte die Frage, ob ein Anspruch auf Ersatz des immateriellen Schadens in einem solchen Fall besteht, zuletzt ausdrücklich offengelassen (BAG v. 05.05.2022 – 2 AZR 363/21). Offen ist auch die – derzeit beim EuGH anhängige – Frage, ob nicht der Arbeitnehmer grundsätzlich einen konkreten Schaden nachweisen muss.
Auskunftsanspruch ernst nehmen!
Arbeitgeber als für die Datenverarbeitung Verantwortliche sind gut beraten, die Auskunftsverlangen ernst zu nehmen. Dies zeigt auch der vorliegende Fall, wo es um einen sehr überschaubaren Zeitraum von einem Monat Beschäftigung ging und das Arbeitsgericht erster Instanz trotzdem EUR 10.000,00 Schadensersatz zugesprochen hatte.
Noch ist nicht ersichtlich, wie die höchstrichterliche Rechtsprechung aussehen wird. Möglicherweise legt das Bundesarbeitsgericht die Frage auch dem Europäischen Gerichtshof im Wege des Vorabentscheidungsverfahrens vor – im Sinne der Rechtssicherheit wäre dies sicherlich ein begrüßenswerter Schritt.
Solange in diesen Punkten keine Rechtssicherheit gegeben ist, muss der Arbeitgeber sich auf potentielle Auskunftsverlangen vorbereiten. Das bedeutet, dass zunächst die IT-Infrastruktur und die internen Datenbanken so organisiert werden müssen, dass entsprechende Auswertungen ohne übermäßigen Zeit- und Kostenaufwand möglich sind. Die internen Prozesse in der Personalverwaltung müssen so strukturiert werden, dass die Fristen eingehalten werden: Nach Art. 12 Abs. 3 DSGVO sind die Informationen „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ zur Verfügung zu stellen.
Eine Liste der zur Verfügung zu stellenden Informationen findet sich in Art. 15 Abs. 1 DSGVO.
