Wenn ein Arbeitgeber keine vollständige DSGVO-Auskunft erteilt, haben Arbeitnehmer einen Anspruch auf Schadensersatz. Im vom Landarbeitsgericht Hamm verhandelten Fall wurden einer Arbeitnehmerin 1.000 € zugesprochen (LAG Hamm, Urteil vom 11.05.2021, Az.: 6 Sa 1260/20).
Keine Erheblichkeitsschwelle für Schadensersatz
Die Klägerin lag im Streit mit ihrem Arbeitgeber und forderte ihn auf, ihr Auskunft nach Artikel 15 der DSGVO zu erteilen. Das Unternehmen kam dieser Aufforderung nur rudimentär nach. Einen größeren Teil der Daten teilte es der Arbeitnehmerin nicht mit.
Diese klagte vor dem LAG Hamm, das darin einen Verstoß gegen Artikel 15 DSGVO erkannte. Das Gericht sprach der Arbeitnehmerin 1.000,- € Schadensersatz zu. Die Berechtigung und Angemessenheit des Schadensersatzes richtete sich nach Artikel 82 der DSGVO.
Das Unternehmen wandte ein, dass es nicht qualifiziert gegen Artikel 15 DSGVO verstoßen habe. In der Urteilsbegründung hieß es indes, dass weder die DSGVO insgesamt noch ihre Erwägungsgründen einen solchen qualifizierten Verstoß für das Entstehen von Schadensersatzansprüchen voraussetzen. Es gibt keine Anhaltspunkte für eine Erheblichkeitsschwelle und somit auch keine straffreien Ausnahmen in Bagatellfällen.
Der EuGH verlangt in seiner Rechtsprechung, den Schadensbegriff weit auszulegen. Arbeitgeber verarbeiten recht viele Daten ihrer Arbeitnehmer*innen, die nicht ohne Weiteres erkennen können, wie diese Daten verwendet werden. Unter anderem ist es ihnen nicht ersichtlich, ob ihr Arbeitgeber die Daten möglicherweise dritten Parteien zur Verfügung stellt. Gleiches gilt dafür, ob sie nach dem Ende des Arbeitsverhältnisses weiter gespeichert bleiben.
Das beklagte Unernehmen wies nicht nach, wie es konkret mit den Daten seiner Arbeitnehmerin umgeht. Dies wollte diese aber erfahren. Konkret interessierte sie, ob dritte Parteien Einblick in ihre Daten bekommen hatten und wie lange die Daten nach dem Ende des Arbeitsverhältnisses noch beim Unternehmen gespeichert bleiben.
Haftung des Arbeitgebers für unzureichende Auskunft
Das LAG Hamm stellte fest, dass die bei der Klägerin verbleibende Unsicherheit einen immateriellen Schaden verursacht. Dieser begründet eine Haftung nach Artikel 82 Absatz 1 DSGVO.
Die Höhe des Schadensersatzes begründeten die Richter mit der Abwägung des Einzelfalls und mit der Tatsache, dass das Unternehmen seiner Auskunftspflicht bis zum Prozesstag nicht nachgekommen war.
Die einzigen an die Klägerin übermittelten Daten waren Arbeitszeitnachweise, was höchstens eine rudimentäre Auskunft darstellt. Damit handelte das Unternehmen zumindest grob fahrlässig. Der Schadensersatz hätte auch noch höher ausfallen können, allerdings hatte die Klägerin ihr Auskunftsbegehren aus Sicht der Richter zu wenig konsequent verfolgt. Dies führte zu einem Abschlag bei der Schadensersatzhöhe. Diese wurde übrigens nicht von der Finanzkraft bzw. dem Umsatz des Unternehmens abhängig gemacht.
Mit Stand August 2021 ist das Urteil noch nicht rechtskräftig, weil beim Bundesarbeitsgericht ein Revisionsverfahren läuft (BAG, Az.: 2 AZR 363/21).
