DSGVO und Arbeitsrecht: Wann führt eine verspätete Auskunft zu einem Schadensersatzanspruch?
30. September 2024
Das Landesarbeitsgericht Rheinland-Pfalz hat sich in einem bemerkenswerten Urteil zu den Folgen einer 18-tägigen Verspätung einer DSGVO-Auskunft positioniert. Das Gericht wies die Klage einer Arbeitnehmerin auf Schadensersatz ab, weil ihr kein Schaden entstanden sei. Im Ergebnis kann das Urteil zwar nachvollziehbar sein, die Begründung steht allerdings im Konflikt mit dem EuGH. Welche Auswirkungen das Urteil auf Arbeitsverhältnisse und die gesamte Datenschutz-Praxis hat, steht in diesem Beitrag.
Lesedauer: 4 Minuten (ca. 810 Wörter)
Im Februar dieses Jahres hatte sich das Landesarbeitsgericht Rheinland-Pfalz zu einer schwierigen Frage in der Schnittstelle Datenschutz/Arbeitsrecht geäußert (Urteil vom 8. Februar 2024, Az: 5 Sa 154/23). Das Landesarbeitsgericht setzte sich mit der verspäteten Auskunft eines Arbeitgebers und der anschließenden Forderung nach Schadensersatz auseinander. Auch wenn es sich bei dem Verfahren um eine Berufung handelte (zweite Instanz), ist nicht davon auszugehen, dass die betreffende Rechtsfrage damit endgültig entschieden wurde.
Denn es ist zu erwarten, dass andere Gerichte die relevante Frage des immateriellen Schadensersatzes nach verspäteter DSGVO-Auskunft anders beurteilen werden. Das liegt an einer gegensätzlichen Rechtsprechung des Europäischen Gerichtshofs (EuGH). Ungeachtet der Rechtsprechung des EuGH hat das Urteil des Landesarbeitsgericht Bedeutung für Auskunftsersuchen nach der DSGVO speziell im deutschen Arbeitsrecht. Was genau also das Landesarbeitsgericht festgestellt hat und welche Folgen sich für Arbeitgeber und Arbeitnehmer daraus ableiten lassen, steht in diesem Blogbeitrag.
3.000-€-Forderung wegen verspäteter Auskunft
Der Sachverhalt des Falles ist relativ überschaubar: Die klagende Arbeitnehmerin war seit November 2002 als Mitarbeiterin in einem Call-Center angestellt. Zuletzt erhielt die mittlerweile 60-jährige Klägerin eine monatliche Vergütung von 2.080 € (brutto). Den Gerichtsprozess gegen ihren Arbeitgeber führte sie ursprünglich wegen der Entfernung zweier Abmahnungen aus ihrer Personalakte. Kurz nach Einreichung der Klage beim erstinstanzlichen Arbeitsgericht in Mainz forderte sie ihren Arbeitgeber zusätzlich per anwaltlichem Schreiben auf, Auskunft gem. Art. 15 Abs. 1 DSGVO über ihre verarbeiteten personenbezogenen Daten – ein modernes Mittel in arbeitsrechtlichen Gerichtsprozessen – zu erteilen.
Der Arbeitgeber erteilte der Arbeitnehmerin die gewünschten Auskünfte jedoch erst nach ca. 7 Wochen und damit zweifellos zu spät. Daraufhin erweiterte die Arbeitnehmerin ihre Klage auf Zahlung von insgesamt 3.000 € immateriellen Schadensersatzes wegen verspäteter Auskunftserteilung.
Das Arbeitsgericht Mainz gewährte der Arbeitnehmerin noch einen Schadensersatz in Höhe von 1.000 €. Das Landesarbeitsgericht hingegen wies die Klage vollständig ab, weshalb sie am Ende komplett leer ausging.
Kein Schadensersatz bei verspäteter Auskunft
Zur Begründung des Urteils verneinte das Landesarbeitsgericht, dass die Arbeitnehmerin alle Voraussetzungen eines immateriellen Schadensersatzes gem. Art. 82 Abs. 1 DSGVO erfüllte. Das Gericht führte aus, dass zwar ein Verstoß gegen die DSGVO vorliegt. Schließlich ist die begehrte Auskunft nach der DSGVO innerhalb eines Monats zu erteilen und nicht – wie hier – mit 18-tägiger Verspätung. Allerdings reicht ein Verstoß gegen die DSGVO allein nicht aus, um einen Schadensersatz zu verursachen. Nach der aktuellen Rechtsprechung des EuGH erfordert ein Schadensersatz nach der DSGVO vielmehr neben einem Verstoß gegen den Datenschutz u. a. auch einen nachgewiesenen Schaden.
Nach Ansicht des Landesarbeitsgerichts war die Arbeitnehmerin aber nicht in der Lage, einen Schaden darzulegen und zu beweisen. Ihr Hauptargument war, dass bei ihr aufgrund der verspäteten Auskunft ein Kontrollverlust über die Hoheit ihrer personenbezogenen Daten eingetreten sei. Das Gericht erkannte jedoch nicht, worin der Kontrollverlust bestanden haben soll. Stattdessen folgte es der Ansicht des Arbeitgebers, dass die Daten für die Zwecke des Arbeitsverhältnisses gem. § 26 BDSG verarbeitet wurden. Auch ist der bloße Ärger über die verspätete Auskunft oder das Warten hierauf kein Schaden gem. Art. 82 Abs. 1 DSGVO.
Kontrollverlust nach DSGVO kein Schaden?
Ob auch andere Gerichte der Argumentation des Landesarbeitsgerichts folgen würden, wenn es um den immateriellen Schadensersatz wegen verspäteter Auskunft gem. Art. 15 DSGVO geht, ist allerdings höchst unklar. Die Unsicherheit resultiert aus der Urteilsbegründung des Gerichts – und weniger aus dem Ergebnis. Der Grund liegt darin, dass der EuGH den Kontrollverlust über die eigenen Daten ausdrücklich als immateriellen Schaden kategorisiert hat. Über diese Rechtsprechung des EuGH setzt sich das Landesarbeitsgericht Rheinland-Pfalz jedoch hinweg, wenn es feststellt:
“Der von der Klägerin angeführte “Kontrollverlust” über ihre personenbezogenen Daten stellt keinen ersatzfähigen immateriellen Schaden dar.”
Ungeachtet dieses Konflikts mit der Rechtsprechung des EuGH zum Kontrollverlust als immateriellen Schaden, wird das Urteil des Landesarbeitsgericht in der arbeitsgerichtlichen Praxis durchaus Beachtung finden.
Folgen und Fazit
Die Folgen des Urteils des Landesarbeitsgericht für Arbeitgeber und Arbeitnehmer sind einfach herauszustellen: Arbeitgeber, die einem Auskunftsersuchen eines Arbeitnehmers nur verspätet nachkommen können, könnten das Urteil als Präzedenzfall heranziehen, um Forderungen nach Schadensersatz abzublocken. Dies gilt selbstverständlich auch für alle weiteren Auskünfte und Schadensersatzforderungen in der DSGVO-Praxis. Arbeitnehmer hingegen könnten diesem Urteil die Rechtsprechung des EuGH zur Kategorisierung des Kontrollverlusts gegenüberstellen, um einen immateriellen Schadensersatz zu begründen.
Das Urteil des Landesarbeitsgericht Rheinland-Pfalz dürfte auf Arbeitgeberseite bzw. aufseiten der Verantwortlichen nach der DSGVO Freude bereitet haben. Doch die Freude könnte nicht lange währen. Denn so lax wie das Landesarbeitsgericht mit der Rechtsprechung des EuGH umgeht, wird die Urteilsbegründung nicht zu halten sein – auch wenn das Ergebnis hingegen Bestand haben könnte.
Sie kommen aus Kiel oder Schleswig-Holstein und haben Fragen zu Auskünften nach der DSGVO? Oder Sie kommen aus dem übrigen Bundesgebiet und möchten sich über den immateriellen Schadensersatz nach dem Datenschutz informieren? Dann nehmen Sie gerne unter info@anwalt-daum.de Kontakt zu mir auf.
Dr. Oliver Daum
Fachanwalt für IT-Recht
Datenschutzbeauftragter (IHK)
IT-Sicherheitsbeauftragter (IHK)
Auch interessant: Wenn das Unglück 2x klingelt – DSGVO-Schadensersatz nach Hackerangriff
- 30.09.2024
- 10:00