Wenn ein Unternehmen einem Mitarbeiter die Auskunft nach Art. 15 Abs. 1 DSGVO zu seinen persönlichen Daten nicht rechtzeitig erteilt, rechtfertigt dies einen immateriellen Schadensersatz.
So urteilte das Arbeitsgericht Oldenburg. Es sprach dem Betroffenen einen Schadensersatz von 10.000,- € zu (ArbG Oldenburg, Urteil 9.2.2023, Az.: 3 Ca 150/21).
Auskunftsanspruch & Schadensersatz
Ein vormaliger Geschäftsführer und Vertriebsleiter lag mit seinem ehemaligen Unternehmen im Arbeitsrechtsstreit und forderte von diesem Auskunft zu den personenbezogenen Daten, welche die Firma über ihn gespeichert hatte. Diese verweigerte die Auskunftserteilung ihm selbst gegenüber. Erst im Arbeitsrechtsprozess legte sie auf Verlangen des Gerichts einzelne Unterlagen vor. Daher klagte der ehemalige Beschäftigte auf immateriellen Schadensersatz nach Art. 15 DSGVO. Das AG Oldenburg gab ihm Recht und verurteilte das Unternehmen zur genannten Schadensersatzsumme.
Grundsätzliches zur Auskunft Art. 15 DSGVO
Das Urteil ist insofern bedeutsam, als dass die Reichweite eines Anspruchs auf Auskunft nach Art. 15 DSGVO nicht restlos geklärt ist und sogar als umstritten gilt. Vor allem die Frage nach der Präzision der erteilten Auskünfte ist immer wieder ein Streitthema. Grundsätzlich gewährt der Art. 15 DSGVO allen Betroffenen ein Auskunftsrecht zu den über sie gespeicherten Daten unabhängig von ihrem Verhältnis zum Unternehmen (also als Kunde oder Mitarbeiter). Die Reichweite des Artikels 15 DSGVO umfasst alle personenbezogenen Daten und
- die Zwecke ihrer Verarbeitung,
- die Empfänger der Daten,
- die Kategorien, in welche die Daten beim Unternehmen eingeordnet werden sowie
- die voraussichtliche Dauer der Speicherung.
Betroffene haben Anspruch auf eine Kopie der gespeicherten Daten in einem gängigen, strukturierten und maschinenlesbaren Format. Dennoch gilt das Recht auf diese Auskunft nicht uneingeschränkt. Einschränkungen regelt ebenfalls der Artikel 15 DSGVO. Sollte beispielsweise die Auskunft eine Gefahr für die öffentliche Sicherheit verursachen, darf sie das Unternehmen verweigern. So ein Fall lag hier nicht vor.
Woraus ergibt sich die Höhe des Schadensersatzes?
Das Recht auf Schadensersatz bei Verstößen regelt grundsätzlich der Art. 82 DSGVO. Dessen Absatz 1 unterstreicht den präventiven Charakter der Schadensersatzzahlungen: Diese sollen durchaus eine abschreckende Wirkung erzielen (vergleiche auch Bundesarbeitsgericht, Urteil vom 5. Mai 2022, Az.: 2 AZR 363/21 Rn. 23).
Es geht dabei um materielle und immaterielle Schäden. Die Umstände des betreffenden Einzelfalls sind bei der Höhe des Schadensersatzes zu berücksichtigen. Diese hängt vor allem vom Schadensumfang und von der Art, Dauer und Schwere des Verstoßes ab. Bezüglich der Dauer stellte das AG Oldenburg fest, dass das Unternehmen nach Art. 12 Abs. 3 DSGVO die Auskünfte innerhalb eines Monats hätte erteilen müssen. Die Fristüberschreitung allein genügt demnach schon für einen Anspruch auf Schadensersatz. Da sich im vorliegenden Fall das beklagte Unternehmen grundsätzlich weigerte, dem Betroffenen Auskunft zu erteilen, entstand nach Auffassung der Richter in Oldenburg ein besonders hoher Schaden.
