DSGVO-Verstoß: Schmerzensgeld für unvollständige und verspätete Auskunft

von Désirée Eder

Verstöße gegen die DSGVO können Unternehmen teuer zu stehen kommen. Als Erstes kommen einem da üblicherweise die hohen Bußgelder der Aufsichtsbehörden in den Sinn, über die in der Presse groß berichtet wird. Doch nicht nur hohe Bußgelder durch die Aufsichtsbehörden drohen säumigen Unternehmen bei fehlerhafter Auskunft – auch Schmerzensgeld kann fällig werden, wie das Urteil des Arbeitsgerichts Düsseldorf vom 05.03.2020 zeigte (Az. 9 Ca 6557/18). Die Urteilsbegründung enthielt einige grundsätzliche Feststellungen bzgl. immateriellem Schadenersatz im Zusammenhang mit der Verletzung der DSGVO.

Die Verletzung des Rechts auf Auskunft

Im vor dem Arbeitsgericht Düsseldorf verhandelten Fall verlangte der Kläger Schmerzensgeld, weil das Unternehmen sein Recht auf Auskunft nach Art. 15 DSGVO nicht fristgerecht und nicht vollständig beantwortet hatte. Bei dem Kläger handelte es sich um einen ehemaligen Arbeitnehmer, der von seinem damaligen Arbeitgeber Auskunft über die Verarbeitung seiner personenbezogenen Daten nach Art. 15 DSGVO verlangte. Die Auskunft war jedoch erst Monate später und unvollständig erteilt worden.

Das Arbeitsgericht Düsseldorf folgte der Ansicht des Klägers und verurteilte den Arbeitgeber zur Zahlung eines Schmerzensgeldes in Höhe von 5.000 €. Das Gericht hat dabei auf den Erwägungsgrund 75 zur DSGVO verwiesen, in dem als Risiken für die Freiheiten und Rechte natürlicher Personen auch solche bezeichnet sind, bei denen Betroffene um ihre Rechte gebracht werden und ihre Daten nicht kontrollieren können. Diesen Fall sah das Arbeitsgericht Düsseldorf als gegeben an: Durch die verspätete und unvollständige Auskunft habe der Kläger monatelange nicht wissen können, welche und wie seine personenbezogenen Daten verarbeitet werden.

Angeblich war Auskunftsersuchen nie angekommen

Die Beklagte, der Arbeitgeber des Klägers, hatte versucht, die Klage mit dem Argument abzuwehren, sie hätte das Auskunftsersuchen nie erhalten. Dieses war laut Kläger beim Empfang seines Arbeitgebers abgegeben worden, wobei sich der Empfang von einem externen Dienstleister für den Arbeitgeber besetzen lies. Das Gericht ließ diese Argumentation nicht gelten. Die Beklagte hätte sicher zu stellen gehabt, dass geltend gemachte Betroffenenrechte bei ihr ankommen. Dies gilt auch dann, wenn nach der Verkehrsanschauung ein Empfangsbote zur Entgegennahme von Schriftstücken bestimmt ist.

Für Unternehmen gilt also im Datenschutz, was auch sonst immer gilt: Durch ordnungsgemäße Organisation der Betriebsabläufe ist sicherzustellen, dass Willenserklärungen empfangen werden können. Wer dagegen verstößt, kann sich nachher nicht herausreden, er habe von nichts gewusst.

Auskunftsanspruch nach Art. 15 DSGVO gilt auch im Arbeitsverhältnis

Der Auskunftsanspruch nach Art. 15 DSGVO gilt auch im Beschäftigtendatenschutz, da es sich bei dieser allgemeinen Vorschrift um eine vollharmonisierende Regelung ohne Spielraum für nationale Regelungen handelt.

Auskunftsanspruch auch in der Charta für Grundrechte der Europäischen Union verankert

Wie das Arbeitsgericht Düsseldorf in seiner Urteilsbegründung ausführte, stellte die Verletzung des Auskunftsanspruchs nach Art. 15 DSGVO zugleich ein Verstoß gegen das in Art. 8 Abs. 2 S. 2 der Charta für Grundrechte der Europäischen Union verankerte Auskunftsrecht dar.

Einen Vertrag zur Datenübermittlung in Drittstaaten muss man nicht vollständig vorlegen

Einen anderen Teil der Klage wies das Arbeitsgericht Düsseldorf jedoch zurück: Werden Daten in sogenannte unsichere Drittländer nach DSGVO übermittelt, so muss dem Betroffenen nach Art. 15 Abs. 2 DSGVO lediglich mitgeteilt werden, welche geeigneten Garantien nach Art. 46 DSGVO bestehen. Unternehmen müssen jedoch nicht den gesamten Vertrag, auf dem die Datenübermittlung beruht, gegenüber dem Betroffenen offenlegen.

Höhe des Schmerzensgeldes

Bei der Bemessung der Höhe des Schmerzensgeldes ging das Gericht nicht davon aus, dass Vorsatz vorlag, sondern es wurde lediglich Fahrlässigkeit angenommen. Günstig wirkte es sich zudem für die Beklagte aus, dass keine Daten besonderer Kategorien nach Art. 9 DSGVO betroffen waren.

In die Höhe trieben das Schmerzensgeld in diesem Fall folgende Faktoren: Die Verletzung des Rechts auf Auskunft stellte auch eine Verletzung eines europäischen Grundrechts dar. Der Verstoß dauerte über mehrere Monate an. Es handelte sich um ein umsatzstarkes Unternehmen und durch die Höhe des immateriellen Schadenersatzes sollte man eine abschreckende Wirkung erzielen.

Am Ende hielt das Arbeitsgericht Düsseldorf 5.000 € für angemessen.

Beantwortung von Auskunftsbegehren nach Art. 15 DSGVO nicht trivial

Unternehmen sollten sich also hüten, Auskunftsbegehren auf die leichte Schulter zu nehmen. Verantwortliche müssen diese vollständig und fristgerecht beantworten. Eine nur teilweise und etwas später erteilte Auskunft kann nicht nur als Bußgeldtatbestand geahndet werden, sondern auch Schmerzensgeld nach sich ziehen. Ein Blick in Art. 12, 15 DSGVO lohnt sich für jeden, um zu verstehen, dass bei der Beantwortung eines Auskunftsbegehrens etliches zu beachten ist.

Wenn Sie nicht sicher sind, ob Sie Auskunftsbegehren richtig beantworten – kontaktieren Sie hier uns.

assets/images/0/k-Desiree-Eder-8be89466.jpg
Désirée Eder

Die Diplomjuristin Désirée Eder studierte Rechtswissenschaften an der Universität Passau und war mehrere Jahre in Berlin in einem landeseigenen Unternehmen für Immobilienprojekte als Projektmanagerin Recht und Datenschutzbeauftragte tätig. Désirée Eder bereichert das Team nicht nur mit ihrem juristischen Know-How sondern ist auch im Bereich der Organisation und Dokumentation, sowie im Rahmen der immer wichtiger werdenden DIN-ISO Normen und für Zertifizierungsprozesse erste Ansprechpartnerin. „Für das Wohl unserer Kunden sind mir offene Kommunikation sowie eine strukturierte, effiziente und gründliche Arbeitsweise wichtig.“