DSGVO: Die nur verspätete Datenauskunft begründet keinen Schadensersatzanspruch

Die DSGVO und insbesondere deren Schadensersatzansprüche beschäftigen regelmäßig die Praxis und sind daher auch stetig Gegenstand von gerichtlichen Entscheidungen.

Das LAG Düsseldorf hat im November vergangenen Jahres die Klage eines ehemaligen Arbeitnehmers auf Zahlung von Schadensersatz nach Art. 82 DSGVO vollständig abgewiesen. Entgegen der Vorinstanz (AG Duisburg, Urteil v. 23.03.2023 – 3 Ca 44/23) erachtet das LAG die Voraussetzungen des Anspruchs nach Art. 82 DSGVO im gegenständlichen Fall für nicht gegeben.

Hintergrund der Entscheidung war folgender: Im Jahr 2020 stellte der Kläger einen Antrag auf Auskunft seiner personenbezogenen Daten nach Art. 15 DSGVO; eine entsprechende Auskunft durch seinen ehemaligen Arbeitgeber – den nunmehrigen Beklagten – erfolgte. Im Oktober 2022 stellte der Kläger unter Fristsetzung ein erneutes Auskunftsersuchen. Nach Erinnerung des Klägers erteilte das Unternehmen eine entsprechende Auskunft. Der Kläger monierte diese jedoch als verspätet und unvollständig. Seiner Ansicht nach fehlten Angaben zur Dauer der Datenspeicherung und die namentliche Benennung der Empfänger seiner Daten. Nachdem das Unternehmen seinen Aufforderungen zur Vervollständigung der Daten nur partiell nachkam, erhob der ehemalige Arbeitnehmer Klage und machte gemäß Art. 82 DSGVO eine Geldentschädigung geltend. Nach Auffassung des Klägers habe sein ehemaliger Arbeitgeber das Auskunftsrecht aus Art. 15 DSGVO mehrfach verletzt.

Die Entscheidung des LAG Düsseldorf:

Das Landesarbeitsgericht wies die Klage vollumfänglich ab. Der Beklagte habe zwar gegen Art. 12 III, 15 DSGVO verstoßen, da die Auskunft nicht vollständig und fristgerecht erfolgte, ein Schadensersatzanspruch nach Art. 82 DSGVO sei dennoch zu verneinen.

Bereits der Anwendungsbereich der Norm sei nicht erfüllt, da Art. 82 DSGVO haftungsbegründend eine gegen die DSGVO verstoßende Datenverarbeitung voraussetze. Bei einer bloßen Verletzung der Auskunftspflicht aus Art. 15 DSGVO fehle es an einer solchen.

Ferner setze Art. 82 DSGVO für einen Anspruch auf Geldentschädigung mehr als einen bloßen Verstoß gegen Vorschriften der DSGVO voraus. Der vom Kläger angeführte Kontrollverlust über die Daten genüge für die Annahme eines immateriellen Schadens nicht, da dieser mit einem Verstoß gegen Art. 15 DSGVO letztlich identisch sei. Im Hinblick auf einen materiellen Schaden fehle es an einem konkreten Klägervortrag.

Weiterführender Hinweis:

Der EuGH stellte bereits im Mai 2023 (EuGH, Urteil v. 04.05.2023 – C-300/21) klar, dass der bloße Verstoß gegen eine Bestimmung der DSGVO nicht ausreiche, um einen Schadensersatzanspruch zu begründen. Es sei vielmehr erforderlich, dass die betroffene Person nachweise, dass durch den Verstoß auch tatsächlich ein Schaden entstanden sei. In diesem Urteil konstatierte der EuGH auch, dass für die Annahme eines Schadens keine Erheblichkeitsschwelle überschritten werden müsse.

Ob ein Verstoß gegen die Auskunftspflicht nach Art. 15 DSGVO einen Schadensersatzanspruch begründen kann, ist bisher nicht höchstrichterlich geklärt. Der EuGH hat sich hierzu bisweilen nicht geäußert. Das Bundesarbeitsgericht hat zuletzt Zweifel angedeutet, ob ein Verstoß gegen die Auskunftspflicht in den Anwendungsbereich des Schadensersatzanspruches nach Art. 82 DSGVO fällt (vgl. BAG, Urteil v. 05.05.2022 – 2 AZR 363/21).