Anforderungen an einen Entschädigungsanspruch nach DSGVO-Auskunftsverlangen

Sachverhalt
Der Kläger war bei der Beklagten langjährig als Koch beschäftigt. Mit anwaltlichem Schreiben vom 22. Juli 2019 forderte der Kläger die Beklagte unter Fristsetzung zum 26. August 2019 zur Auskunft nach Art. 15 Abs. 1 DSGVO zu zwei Vorgängen auf. Zum einen begehrte er Auskunft über eine Betriebsratsanhörung nebst Zustimmung zu einer erfolgten Versetzung, zum anderen forderte er die Auskunft zu sämtlichen ihn betreffenden Daten im Hinblick auf eine von der Beklagten ausgesprochenen Abmahnung aus Mai 2019.

Mit Schreiben vom 23. August 2019 antwortet die Beklagte unter Beifügung mehrerer Unterlagen auf das Verlangen des Klägers. Neben einer Kopie der Betriebsratsanhörung sowie der Betriebsratszustimmung zur Versetzung führte sie näher zur Abmahnung aus und fügte eine – bis auf die Passage betreffend den Vorfall, welcher der Abmahnung zugrunde lag – geschwärzte Stellungnahme bei.

Der Kläger hat die Auffassung vertreten, die Beklagte habe sein ursprüngliches Auskunftsverlangen nicht ordnungsgemäß erfüllt, da die ihm nach Art. 15 Abs. 1 DSGVO zustehenden Informationsansprüche nicht vollständig erfüllt worden seien. Mithin stünde ihm ein Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO zu.

Vor dem Arbeitsgericht begehrt der Kläger unter anderem die Zahlung einer Entschädigung wegen der Verletzung von Auskunftsrechten durch die Beklagte, deren Höhe in das Ermessen des Gerichts gestellt wurde, einen Betrag iHv 8.000,00 Euro aber nicht unterschreiten sollte. Die Klage wurde durch das angerufene Arbeitsgericht abgewiesen. Die hiergegen eingelegte Berufung war teilweise erfolgreich. Das LAG hat unter Abänderung des Urteils des Arbeitsgerichts der Klage auf Schadensersatz in Höhe von 2.000,00 Euro stattgegeben. Sowohl Kläger als auch Beklagte legten gegen die Entscheidung des LAG Revision ein.

Entscheidung des BAG
Die Revision des Klägers blieb erfolglos. Die Revision der Beklagten, mit welcher diese die vollständige Abweisung der Klage begehrte, hingegen begründet.

Das Bundesarbeitsgericht kommt mithin zu dem Schluss, dass der Kläger gegen die Beklagte keinen Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 Abs. 1 DSGVO hat.

Das BAG lässt insoweit offen, ob dem Kläger durch sein Recht auf Einsicht in die Personalakte bereits ausreichend Möglichkeiten an die Hand gegeben werden, um die mit dem Auskunftsersuchen nach Art. 15 DSGVO begehrten Informationen in Erfahrung zu bringen – und Art. 15 DSGVO in der Folge durch das Betriebsverfassungsgesetz verdrängt wird. Auch die Frage, ob eine Verletzung des Auskunftsanspruchs nach Art. 15 DSGVO (d.h. eine Nicht- oder nicht ordnungsgemäße Erfüllung) grundsätzlich dazu geeignet ist, einen entsprechenden Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO zu begründen, wird durch das BAG nicht beantwortet.

Im Ergebnis kommt das BAG zu dem Schluss, dass bereits eine der Voraussetzungen für einen möglichen Anspruch aus Art. 82 Abs. 1 DSGVO – nämlich das Vorliegen eines „Schadens“ durch den Kläger nicht hinreichend dargelegt wurde.

Das Erfordernis eines Schadens und die entsprechende Darlegungslast der Klagepartei wurde in jüngsten Entscheidungen durch den Europäischen Gerichtshof hinreichend geklärt.

Der Wortlaut des Art. 82 Abs. 1 DSGVO stellt hier klare Voraussetzungen auf; im Einzelnen (1) das Vorliegen eines „Schadens“, ebenso wie (2) das Vorliegen eines Verstoßes gegen die Datenschutz-Grundverordnung und (3) eines Kausalzusammenhanges zwischen dem Schaden und dem Verstoß – d.h. ein ursächlicher Zusammenhang des Verstoßes mit dem Eintritt des Schadens. Der Anspruchssteller hat diese drei Voraussetzungen darzulegen und zu beweisen.

Insbesondere an die Annahme eines solchen Schadens sind nach der Rechtsprechung des EuGHs zwar keine allzu großen Anforderungen zu stellen; es sei insoweit ausreichend, dass der – selbst kurzzeitige – Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen kann, der einen Schadensersatz begründet. Erforderlich ist allerdings, dass die betroffene Person einen Nachweis erbringt, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten hat.

Diesem Erfordernis ist der Kläger vorliegend nicht nachgekommen. Nach Auffassung des BAG habe er lediglich ein hypothetisches Risiko dargelegt, ohne hierbei näher darzulegen, aus welchen Gründen ein darüberhinausgehendes Risiko, einer missbräuchlichen Verwendung seiner personenbezogenen Daten bestehe. Ein Kontrollverlust geht jedoch mit jeder Verletzung des Auskunftsanspruchs aus Art. 15 DSGVO einher, so dass er nicht ohne weitere Darlegung geeignet ist einen von der bloßen Verletzung des Art. 15 Abs. 1 DSGVO unterscheidbaren Schaden nach Art. 82. Abs. 1 DSGVO zu begründen.

Praxishinweis:
In der Praxis – insbesondere im Zusammenhang mit Streitigkeiten im Arbeitsverhältnis – wird der Auskunftsanspruch nach Art. 15 DSGVO häufig dazu verwendet um „Druck“ aufzubauen und ggfs. die eigene Verhandlungsposition zu stärken. Häufig wird auch auf Schadensersatzansprüche spekuliert.

Arbeitgebern ist insoweit zu empfehlen, sich auf etwaige Ersuchen vorzubereiten, bei der Beantwortung eines Auskunftsersuchen gemäß Art. 15 DSGVO sorgfältig vorzugehen und die in lit. a) bis h) genannten Informationen zu beachten.