Die Nichterteilung einer Auskunft kann einen immateriellen Schadensersatz in Höhe von 500 Euro pro Monat nach Art. 82 DSGVO begründen.
Mit Teilurteil vom 09. Februar 2023 – 3 Ca 150/21 hat das ArbG Oldenburg einer betroffenen Person einen immateriellen Schadensersatz gemäß Art. 82 DSGVO in Höhe von insgesamt EUR 10.000 wegen Nichterteilung einer datenschutzrechtlichen Auskunft gemäß Art. 15 DSGVO zugesprochen.
Betroffene Person verlangt Schadensersatz wegen Nichterteilung einer Auskunft
Der Kläger war bei einem Unternehmen für Feuerwerkskörper als Geschäftsführer und später als Vertriebsleiter beschäftigt. Er verlangte von der Beklagten und seiner ehemaligen Arbeitgeberin, unter anderem Auskunft gemäß Art. 15 Abs. 1 DSGVO über die von dem Verantwortlichen verarbeiteten betreffenden personenbezogenen Daten sowie eine Kopie dieser Daten gemäß Art. 15 Abs. 3 DSGVO.
Die Beklagte erteilte daraufhin keine Auskunft. Nach 20 Monaten legte die Beklagte im Prozess ein Unterlagenkonvolut vor, welches die Auskunft über die personenbezogenen Daten des Klägers enthalten sollte. Der Kläger machte neben dem Auskunftsanspruch einen Anspruch auf immateriellen Schadensersatz in Höhe von jeweils EUR 500 pro Monat für den Zeitraum der Nichterteilung der Auskunft gemäß Art. 82 Abs. 1 DSGVO geltend.
Auskunftsrecht nach Art. 15 Abs. 1 DSGVO besteht und ist nicht durch Erfüllung gemäß § 362 Abs. 1 BGB erloschen
Das ArbG Oldenburg kam zu dem Ergebnis, dass dem Kläger ein Recht auf Auskunft und Unterrichtung hinsichtlich der personenbezogenen Daten zusteht und er die in Art. 15 Abs. 1 Hs. 2 DSGVO im Einzelnen aufgeführten Informationen in Bezug auf die bei der Beklagten verarbeiteten personenbezogenen Daten verlangen kann. Das Gericht ist insbesondere der Auffassung, dass die allgemeine Wiedergabe der in Art. 15 Abs. 1 Hs. 2 DSGVO genannten Informationen für einen hinreichend bestimmten Antrag ausreicht.
Der Anspruch des Klägers sei vorliegend nicht gemäß § 362 Abs. 1 BGB durch Erfüllung erloschen. Zur Erfüllung des Auskunftsanspruchs reiche die Vorlage des Unterlagenkonvoluts im Prozess nicht aus. Aus diesen Unterlagen ergebe sich lediglich, welche personenbezogenen Daten die Beklagte über den Kläger gespeichert habe. Die nach Art. 15 Abs. 1 Hs. 2 DSGVO zu erteilenden Informationen enthielten die Unterlagen hingegen nicht.
Verstoß gegen Art. 15 DSGVO führt zum immateriellen Schadensersatz
Folge der Nichterteilung der Auskunft nach Art. 15 DSGVO ist nach Auffassung des Gerichts ein Schadensersatzanspruch gemäß Art. 82 Abs. 1 DSGVO. Danach hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Die Beklagte hat den Auskunftsanspruch nicht innerhalb der Monatsfrist des Art. 12 Abs. 3 S. 1 DSGVO erfüllt. Hiernach hat der Verantwortliche grundsätzlich sicherzustellen, dass er der betroffenen Person Informationen über die auf Antrag gemäß Art. 15 DSGVO ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellt. Dieser Verpflichtung ist die Beklagte nicht nachgekommen. Vielmehr hat die Beklagte erst ca. 20 Monate nach Antragstellung eine erste Auskunft erteilt. Das ArbG Oldenburg sieht einen Anspruch auf immateriellen Schadensersatz ab dem Zeitpunkt des Ablaufs der Monatsfrist als gegeben an.
Keine Darlegung eines Schadens bei verspäteter Auskunftserteilung erforderlich
Bekanntlich ist bislang ungeklärt, ob neben dem Verstoß gegen eine Vorschrift der DSGVO zusätzlich erforderlich ist, dass der Kläger einen konkreten Schaden darlegen und beweisen muss.
Das Bundesarbeitsgericht hat sich in einem Vorabentscheidungsersuchen an den Europäischen Gerichtshof (Vorlage vom 26. August 2021 – 8 AZR 253/20 (A); beim EuGH anhängig unter C-667/21) dahingehend positioniert, dass der der Rechtsanspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO über eine solche Verletzung der DSGVO hinaus nicht zusätzlich erfordert, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt. Sie muss also aus Sicht des Bundesarbeitsgerichts keine „Konsequenz oder Folge der Rechtsverletzung von zu mindestens einigem Gewicht“ darlegen.
Nach Auffassung des Bundesarbeitsgerichts führt demnach bereits die Verletzung der DSGVO selbst zu einem auszugleichenden immateriellen Schaden. Das ArbG Oldenburg schließt sich insoweit der Auffassung des Bundesarbeitsgerichts an und hält das Erfordernis der Darlegung eines Schadens durch den Kläger für „fraglich“.
Schadenersatz in Höhe von EUR 500 pro Monat im Hinblick auf Präventions- und Abschreckungscharakter angemessen
Das ArbG Oldenburg hält einen Schadensersatzanspruch in Höhe von 500 Euro für jeden Monat, in dem der Verantwortliche keine Auskunft erteilt, für angemessen. Das Gericht schloss sich damit dem Klageantrag an.
Bei der Bemessung spielte insbesondere eine Rolle, dass die Beklagte die Auskunft über mehr als 20 Monaten verweigert hatte. Dies rechtfertige die Zuerkennung eines Schadensersatzes von jeweils EUR 500 pro Monat. Zumindest sei ein derart hoher Schadensersatz nicht unangemessen, um dem Präventionscharakter und der Abschreckungsfunktion des Schadensersatzanspruchs nach Art. 82 DSGVO gerecht zu werden.
Erteilung der Auskunft als Compliance-Herausforderung für Verantwortliche
Bedeutung und Umfang des Auskunftsrechts nach Art. 15 DSGVO sind auch nach zahlreichen veröffentlichten Gerichtsentscheidungen und Orientierungshilfen der Datenschutzaufsichtsbehörden weiterhin ungeklärt. Das ArbG Oldenburg hat sich mit der weiteren Konkretisierung dieses wichtigen Betroffenenrechts nicht näher befasst, sondern lediglich das Bestehen eines solchen Anspruchs bejaht.
Das ArbG Oldenburg sieht den Tatbestand des Art. 82 DSGVO als erfüllt an, wenn die Auskunft nicht oder verspätet erteilt wird. Dies ist nicht unumstritten und wird von einigen Gerichten anders beurteilt (vgl. LG Frankfurt, Urteil vom 27. Januar 2023 – 2-27 O 158/22; LG Görlitz, Urteil vom 27. Januar 2023 – 1 O 101/22).
Bei dem Urteil des Arbeitsgerichts Oldenburg handelt es sich um den höchsten bisher bekannten Schadensersatz, der von einem Gericht auf der Grundlage der Schadensersatznorm des Art. 82 DSGVO zugesprochen wurde. Dies darf jedoch nicht darüber hinwegtäuschen, dass ein derart hoher Schadensersatz nur deshalb zugesprochen wurde, weil die Beklagte ihrer Auskunftspflicht über 20 Monate nicht nachgekommen war und das Gericht einen Schadensersatzanspruch von EUR 500 pro Monat für angemessen erachtete. Hätte die Beklagte früher Auskunft erteilt, wäre dementsprechend kein so hoher Schadensersatz zugesprochen worden.
Handlungsempfehlung für Verantwortliche: Datenschutzorganisation im Unternehmen im Blick behalten
Die Bedeutung des Urteils sollte nicht überschätzt werden. Das ArbG Oldenburg hat sich mit den datenschutzrechtlichen Fragen nicht vertieft auseinandergesetzt. Insbesondere die Frage, ob der bloße Verstoß gegen Vorschriften der DSGVO für einen Schadensersatzanspruch ausreicht, beantwortet das Gericht lediglich unter Verweis auf die Ausführungen des Bundesarbeitsgerichts.
Dass aus Präventions- und Abschreckungsgesichtspunkten auf die Darlegung eines Schadens verzichtet werden könnte, ist rechtlich völlig unklar. Vieles spricht unter Verweis auf den Wortlaut des Art. 82 DSGVO eher dafür, dass der Betroffene einen konkreten Schaden darlegen und beweisen muss. Klarheit wird letztlich nur der Europäische Gerichtshof schaffen können. Bedauerlich ist, dass das Gericht das Verfahren nicht bis zu einer Entscheidung des Europäischen Gerichtshofs ausgesetzt hat. Dies insbesondere vor dem Hintergrund, dass der Generalanwalt beim Europäischen Gerichtshof in seinen Schlussanträgen vom 6. Oktober 2022 (C-300/21) bereits zu dem Ergebnis kommt, dass für einen Schadensersatzanspruch nach Art. 82 DSGVO nicht die bloße Verletzung einer Norm der DSGVO ausreicht, sondern ein materieller oder immaterieller Schaden vorliegen muss.
Im Ergebnis bleibt festzuhalten, dass Verantwortliche weiterhin gut beraten sind, dem Auskunftsverlangen nach Art. 15 DSGVO unverzüglich, spätestens jedoch innerhalb eines Monats nachzukommen. Mit jedem weiteren Monat können sich sonst die Schadensersatzansprüche der Betroffenen erhöhen. Betreffen diese Auskunftsersuchen nicht nur Einzelfälle, sondern eine Vielzahl von Betroffenen, drohen unkalkulierbare finanzielle Risiken für die Verantwortlichen.
