Reloaded: Schadensersatz bei DSGVO Verstoß?

Bereits 2021 hatte ich in einem Artikel über Schadenersatzansprüche bei Verletzungen von Auskunftsansprüchen nach der Datenschutzgrundverordnung (DSGVO) berichtet. Den Artikel finden Sie hier.

Der Auskunftsanspruch

Die DSGVO hält in Art. 15 einen umfangreichen Auskunftsanspruch über die Verarbeitung von personenbezogenen Daten, sowie weitere Informationen im Zusammenhang mit der Datenverarbeitung, bereit. Zudem müssen Kopien der Daten auf Anforderung zur Verfügung gestellt werden.

Die vorgenannten Auskünfte müssen binnen Monatsfrist erfüllt werden, wobei die Frist ausnahmsweise um zwei weitere Monate verlängert werden kann (Art. 12 DSGVO).

In einem Arbeitsverhältnis werden in der Regel eine Vielzahl von personenbezogenen Daten verarbeitet und gespeichert. Wird von ArbeitnehmerInnen die gesetzliche Auskunft verlangt, entstehen bei Arbeitgebern in der Regel umfangreiche Mühen, um den Anspruch zu erfüllen. Brisanz erhält die Regelung durch flankierende Schadensersatzansprüche, für den Fall, dass die Ansprüche nicht oder nicht ordnungsgemäße erfüllt werden (Art. 82 DSGVO).

DSGVO und Prozesstaktik

Der Auskunftsanspruch erfreut sich zunehmender Beliebtheit, insbesondere bei bestehenden Streitigkeiten. Bei Bestandsstreitigkeiten gehört der Anspruch daher bereits zum Standardrepertoire bei der Prozessvertretung von ArbeitnehmerInnen. Nicht selten wird der Auskunftsanspruch daher zur Vorbereitung von Schadensersatzansprüchen genutzt. Auf alle Fälle kann hierdurch der Druck auf den Arbeitgeber während eines Prozesses stark erhöht werden. Doch bisweilen waren viele Fragen ungeklärt. Insbesondere Fragen über die Voraussetzungen und die Höhe von Schadensersatzansprüche waren überwiegend ungeklärt.

Immaterieller Schadensersatzanspruch – Schmerzensgeld

Nach Art. 82 Abs. 1 DSGVO besteht einen Anspruch auf immateriellen Schadensersatz, also auf Schmerzensgeld, wenn die Auskunft nicht, verzögert oder auch nur unvollständig erteilt worden ist. Der Schmerzensgeldanspruch richtet sich damit direkt gegen den Arbeitgeber als „Verantwortliche Stelle“ im Sinne der DSGVO.

Die zwei großen Fragen lauteten hierbei:

1. Reicht allein der Verstoß gegen die DSGVO aus, um einen Schadensersatzanspruch auszulösen oder braucht es auf alle Fälle einen konkreten, im Zweifel nachgewiesenen Schaden bzw. eine Beeinträchtigung?
2. Muss hinsichtlich der konkreten Beeinträchtigung eine Erheblichkeitsschwelle überschritten sein oder reicht jeder noch so kleine Nachteil, um ein Schmerzensgeld auszulösen.

Die deutschen Arbeitsgerichte hatten bisher regelmäßig allein eine fehlende, verzögerte oder gar unvollständige Auskunftserteilung ausreichen lassen, um einen Anspruch auf Schmerzensgeld zuzusprechen. Allein wegen verspäteter Auskunftserteilung wurden daher bereits von deutschen Arbeitsgerichten Schadensersatzzahlungen von mittleren vierstelligen Eurobeträge gegen Arbeitgeber ausgesprochen:

• Arbeitsgericht Oldenburg (3 Ca 150/21): 10.000,00 €
• ArbG Duisburg (3 Ca 44/23): 10.000,00 €
• Landesarbeitsgericht Berlin-Brandenburg (10 Sa 443/21): 2.000,00 €
• Arbeitsgericht Düsseldorf (9 Ca 6557/18): 5.000,00 €

Ein konkreter Schaden wurde hier gar nicht mehr geprüft. Allein der Gesetzesverstoß sollte ausreichen.

Teilweise wurde von Gerichten auch das Überschreiten einer sog. Erheblichkeitsschwelle gefordert. Bloßer Ärger oder Zorn sollte nicht ausreichen, um einen Schmerzensgeldanspruch zu begründen.

Erste Entscheidung des Europäischen Gerichtshofs (EuGH)

Da es sich bei der DSGVO um ein europäisches Gesetz (Verordnung) handelt, entscheidet letztendlich der EuGH über die Auslegung der Vorschrift. Dies hat der EuGH nun in einer Entscheidung vom 04.05.2023 (C-200/21) getan.

Kausaler Schaden erforderlich

Der Europäische Gerichtshof hat zunächst entschieden, dass stets ein kausaler Schaden für die Geltendmachung Schadensersatzansprüchen erforderlich ist. Der Anspruchssteller muss also darlegen, dass und wie er durch die Verletzung seines Auskunftsanspruches geschädigt worden ist. Sollte der Schaden im Prozess bestritten werden (was die Regel sein dürfte), muss der Anspruchsteller den Schaden auch beweisen. Künftig wird es daher nicht mehr ausreichen, dass Arbeitnehmer allein die Verletzung des Auskunftsanspruches behaupten. Ein hierdurch entstandenen (psychischer) Schaden muss ausdrücklich dargelegt werden. Arbeitgeber werden künftig genau diesen Schaden dann bestreiten.

Ärger und Zorn über die unvollständige oder nicht erteilte Auskunft dürften kaum einen immateriellen Schadensersatzanspruch begründen können. Es ist irgendeine Einbuße an den Lebensgütern, hier vor allem Gesundheit oder Ehre, erforderlich. Auch Verletzungen des Allgemeinen Persönlichkeitsrechts oder des seelischen Wohlbefindens begründen einen Schadensersatzanspruch.

Kein Erheblichkeitsschwelle

Gerade in Deutschland werden Schadensersatzansprüche bei dem Vorliegen von sog. „Bagatell-Beeinträchtigung“ abgelehnt. Denn nach dem deutschen Rechtsverständnis können geringfügige Beeinträchtigungen keinen Schmerzensgeldanspruch auslösen. Insbesondere gibt es bei Verletzungen des seelischen Wohlempfindens oder geringfügige Verletzungen der Gesundheit in Form von Bagatell-Beeinträchtigungen keinen Anspruch Schmerzensgeld.

Diesem Verständnis hat der Europäische Gerichtshof jedoch nun eine Absage erteilt. Im Rahmen der DSGVO gibt es kein Erheblichkeitsschwelle für die Geltendmachung von Schadensersatzansprüchen. Daher lösen im Rahmen der Verletzung des Auskunftsanspruches auch Bagatell-Beeinträchtigungen stets einen Anspruch auf Schmerzensgeld aus.

Wenn also eine Verletzung des DSGVO-Auskunftsanspruches eine wie auch immer geartete körperliche oder seelische Beeinträchtigung zur Folge hat, besteht ein Anspruch auf Schmerzensgeld. Die Gericht können dann alleine nur noch über die Höhe des Schmerzensgelde bestimmen und damit einer Bagatell-Beeinträchtigungen auf dieser Weise begegnen.

Höhe des Schmerzensgeldes

Bei der Bemessung der Höhe des Schmerzensgeldes sind die deutschen Gerichte weitgehend frei. Allerdings darf die Zielrichtung der DSGVO hierdurch nicht ausgehöhlt werden. Nach dem Erwägungsgrund 146 soll der Begriff des Schadens im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden, die den Zielen dieser Verordnung in vollem Umfang entspricht. Ziele der DSGVO sind der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Die Verordnung schützt zudem die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

Daher muss der Schadensersatzanspruch bei Verletzungen der Vorschriften der DSGVO so hoch gewählt werden, dass er abschreckend wirkt und die Verantwortliche zur Einhaltung der DSGVO anhält. Diese Frage ist aber aktuell rechtlich noch nicht beantwortet.

Folgen für die Praxis

Es reicht künftig nicht aus, lediglich einen Verstoß bei der Erfüllung des Auskunftsanspruches zu behaupten. Es muss dem Gericht auch genau erklärt werden, dass hierdurch ein immaterieller (seelischer) Schaden entstanden ist. Dies zu behaupten dürfte mit etwas Fantasie nicht schwer sein. Problematisch wird dann jedoch die Beweisbarkeit desselben.

Wenn diese Hürde erstmals überwunden wurde, dürfte nun der finanzielle Schadensersatzanspruch auf den Fuß folgen. Unklar bleibt dann weiterhin nur noch die Höhe des Schadens, den das Gericht einigermaßen frei bemessen kann. Hier werde einige Gerichte voraussichtlich versuchen, die Erheblichkeitsschwelle über die Höhe der Schadensbemessung wieder einzuführen. Dies dürfte dann aber nicht mehr mit den Zielen der DSGVO vereinbar sein, wonach die Höhe des Schadens so zu bemesse ist, dass die Ziele der DSGVO effektiv erreicht werden können.