Mit Urteil vom 11.05.2021 hat das Landesarbeitsgericht (LAG) Hamm (Az. 6 Sa1260/20) einer Klage auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO stattgegeben und einer ehemaligen Mitarbeiterin ein Schmerzensgeld i.H.v. 1.000 € zugesprochen. Den Datenschutzverstoß sah das Gericht dabei in einer verspäteten Auskunft nach Art. 15 DSGVO.
Zum Sachverhalt
Der Entscheidung lag eine Kündigungsschutzklage einer ehemaligen Arbeitnehmerin (Klägerin) gegen ihren Arbeitgeber (Beklagte) zugrunde. Die Klägerin hatte einen Anspruch auf Schmerzensgeld nach Art. 82 DSGVO geltend gemacht. Ihren Anspruch stützte sie auf ein über sechs Monate nicht erfülltes Auskunftsbegehren nach Art. 15 DSGVO. Die Beklagte hatte weder Auskunft darüber erteilt, ob und zu welchem Verarbeitungszweck und nach welchen Kategorien sie personenbezogene Daten der Klägerin verarbeitet.
Eckpunkte der Entscheidung
Das LAG Hamm sah einen immateriellen Schadensersatzanspruch der Klägerin aus Art. 82 Abs. 1 DSGVO gegeben. Nach Art. 82 Abs. 1 DSGVO kann jede Person, der ein materieller oder immaterieller Schaden aufgrund eines Verstoßes gegen die DSGVO entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter geltend machen. Durch die fehlende Erteilung der Auskunft ist der Klägerin nach Ansicht des LAG Hamm ein immaterieller Schaden entstanden. Der Schadensbegriff ist in der Rechtsprechung des Gerichtshofs der Europäischen Union bislang jedoch nicht geklärt. Weder der DSGVO noch ihren Erwägungsgründen lässt sich nach Auffassung des LAG entnehmen, dass der Schadensersatzanspruch einen qualifizierten Verstoß gegen die DSGVO voraussetzt. Auch das Erfordernis einer Erheblichkeitsschwelle für den Verstoß lehnte das LAG ab. Das LAG Hamm schließt sich damit der eher großzügigen Auslegung der DSGVO bei Schadensersatzklagen vor den deutschen Arbeitsgerichten an.
Der Schmerzensgeldbemessung lagen folgende Erwägungen zugrunde:
- Orientierung bietet nach Ansicht des LAG Hamm der Kriterienkatalog für die Bemessung der Bußgeldhöhe nach Art. 83 Abs. 2 DSGVO. Nach Art. 83 Abs. 2 S. 2 lit. a DSGVO sind Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens zu berücksichtigen.
- Konkret berücksichtigte das LAG “[…] sowohl sämtliche Auswirkungen des konkreten Datenschutzverstoßes für die geschädigte Person als auch sämtliche in der Person des Schädigers liegenden, insbesondere die Tatsituation und den Verschuldensgrad betreffenden, Umstände”.
- Zulasten der Beklagten hat das LAG berücksichtigt, dass die begehrte Auskunft bis zur Entscheidung nicht erteilt wurde.
- Darüber hinaus geht das LAG davon aus, dass die Klägerin ihr Auskunftsbegehren nicht konsequent verfolgt hat: “Dies deutet darauf hin, dass ihre persönliche Betroffenheit im Hinblick auf die fehlende Möglichkeit der Kontrolle ihrer personenbezogenen Daten überschaubar ist und Zweifel an der Nachhaltigkeit des Auskunftsverlangens berechtigt erscheinen. Dieser Umstand ist bei der Bemessung der Höhe des immateriellen Schadensersatzes – anders als bei der Frage des Entstehens eines solchen – zu berücksichtigen.”
- Dem Umstand, dass es sich bei der Beklagten um einen Kleinbetrieb handelt, hat das Gericht keine Aussagekraft hinsichtlich der Finanzkraft des Unternehmens beigemessen.
Einordnung der Entscheidung und Empfehlung für Unternehmen
Während andere Gerichte die Entscheidung bislang dahinstehen ließen, ob eine verspätete Auskunft einen Verstoß i.S.d. Art. 82 Abs. 1 DSGVO darstellt, oder dies sogar ablehnen, hat das LAG Hamm eine klare Position bezogen. Ausgehend von der Höhe des zugesprochenen Schmerzensgelds sind entsprechende Ansprüche aus Unternehmenssicht insbesondere dann problematisch und ein unerwünschter Kostenfaktor, wenn sie nicht von einem einzelnen Arbeitnehmer oder Kunden erhoben werden, sondern eine Häufung der Ansprüche auftritt. Am Markt existieren bereits einige Anbieter, die Betroffenen über Legal-Tech-Anwendungen eine niedrigschwellige und risikoarme Möglichkeit zur Geltendmachung von Schadensersatzansprüchen versprechen. Sollten sich Entscheidungen wie die des LAG Hamm häufen, ist daher damit zu rechnen, dass Unternehmen häufiger mit Schmerzensgeldansprüchen wegen Datenschutzverletzungen konfrontiert werden. Wir empfehlen Unternehmen daher, bereits präventiv einen nachhaltigen und skalierbaren Prozess zur Beantwortung von Auskunftsersuchen, aber auch aller anderen Betroffenenrechte im Unternehmen zu etablieren und sicherzustellen, dass entsprechende Begehren von Betroffenen innerhalb der gesetzlichen Fristen beantwortet werden können.
Melden Sie sich gerne, wenn Sie zum datenschutzrechtlichen Auskunftsanspruch Fragen haben oder unsere Unterstützung benötigen.
