Verspätete Erfüllung des Auskunftsanspruchs nach Art. 15 DSGVO: Immaterieller Schadensersatz?

Die DSGVO sieht in Art. 15 besondere Auskunftsansprüche vor. Verstöße gegen die DSGVO können zu einem Schadensersatzanspruch nach Art. 82 führen. In der Praxis kommt es jetzt immer häufiger zu Fällen, in denen Arbeitnehmer, vor allem nach ihrem Ausscheiden oder im Zusammenhang mit einer Kündigung, die Auskunftsansprüche nach Art. 15 DSGVO stellen und dann bei Nichterteilung oder auch einem verspäteten Auskunftsanspruch unmittelbar auf Schadensersatz klagen. Das Bundesarbeitsgericht hat in einer wichtigen Entscheidung nunmehr klargestellt, dass allein die verspätete Auskunft noch nicht zu einem solchen immateriellen Schadensersatzanspruch führt (BAG v. 20.2.2025, 8 AZR 61/24; siehe auch BSG v. 24.9.2024, B VII AS 15/23).

Der Fall:

Der Arbeitnehmer stand im Jahre 2016 lediglich vom 1. bis zum 31.12. in einem kurzen Arbeitsverhältnis. Im Jahre 2020 verlangte er gemäß Art. 15 DSGVO Auskunft bezüglich der Verarbeitung seiner personenbezogenen Daten. Der Arbeitgeber kam dem Anspruch damals nach. Mit Schreiben vom 1.10.2022 begehrte er von dem Arbeitgeber erneut mit Blick auf eine etwaig andauernde Datenverarbeitung eine neue Auskunft und setzt hierfür eine kurze Frist bis zum 16.10.2022. Der Arbeitgeber reagierte hierauf nicht und der Arbeitnehmer erneuerte sein Verlangen mit Schreiben vom 21.10.2022 unter Fristsetzung bis zum 31.10.2022.

Der Arbeitgeber erteilte dann unter dem 27.10.2022 eine seiner Ansicht nach ausreichende Auskunft. Nach einem weiteren Schriftwechsel erteilte der Arbeitgeber mit Schreiben vom 1.12.2022 die gewünschten Auskünfte. Daraufhin verlangte der Arbeitnehmer erfolglos die Zahlung einer Geldentschädigung nach Art. 82 Abs. 1 DSGVO.

Er hat dazu die Auffassung vertreten, der Arbeitgeber habe mit der nach Art. 12 Abs. 3 DSGVO verspäteten Auskunft (innerhalb eines Monats) gegen die Datenschutz-Grundverordnung verstoßen. Er habe deshalb einen Anspruch auf Schadensersatz. Es bestehe ein immaterieller Schaden in Form eines wochenlangen Kontrollverlustes bezüglich der Datenverarbeitung. Er habe deshalb etwaige Rechte nicht ausüben können. Der Vorgang rufe bei ihm zudem ein erhebliches Maß an Sorge bezüglich des Schicksals seiner Daten hervor. Er habe Angst, dass die Beklagte „Schindluder“ mit seinen Daten treibe. Außerdem sei er wegen des durch den Arbeitgeber verursachten Aufwands der Rechtsverfolgung „genervt“.

Mit seiner Zahlungsklage verfolgte er einen immateriellen Schadensersatzanspruch in Form einer Geldentschädigung, deren Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag in Höhe von 2.000,00 € aber nicht unterschreiten sollte. Das Arbeitsgericht hat erstinstanzlich den Arbeitgeber zur Zahlung von Schadensersatz in Höhe von 10.000,00 € verurteilt. Im Berufungsverfahren hat das Landesarbeitsgericht jegliche Zahlungsansprüche in vollem Umfang zurückgewiesen.

Die Entscheidung:

Im Revisionsverfahren hat das Bundesarbeitsgericht ebenfalls einen Verstoß verneint und die Entscheidung des Landesarbeitsgerichts bestätigt.

I. Voraussetzungen für einen Schadensersatzanspruch

Verstöße gegen die DSGVO können zu einem Schadensersatzanspruch nach Art. 82 DSGVO führen. Ein Verstoß kann auch in der verspäteten Auskunft liegen. Ein Schadensersatzanspruch setzt aber drei Voraussetzungen voraus. Erstens das Vorliegen eines Schadens, zweitens das Vorliegen eines Verstoßes und drittens einen Kausalzusammenhang zwischen dem erlittenen Schaden und dem Verstoß. Diese drei Voraussetzungen müssen kumulativ vorliegen.

Der Anspruchsteller, hier der Kläger, muss also nicht nur den Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nachweisen, sondern auch, dass ihm durch diesen Verstoß ein entsprechender Schaden entstanden ist.

Hinweis für die Praxis:

Die Darlegungs- und Beweislast trifft also in vollem Umfange den Arbeitnehmer. Es reicht nicht aus, lediglich einen Verstoß darzulegen. Vielmehr muss auch ein Schaden und die Kausalität begründet werden.

II. Kontrollverlust über die Daten als Schaden

Ein Kontrollverlust über die eigenen Daten kann für sich genommen einen immateriellen Schaden darstellen. Allerdings reicht das rein hypothetische Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten noch nicht für einen Entschädigungsanspruch aus. Unter einem Kontrollverlust versteht man eine Situation, in der die betroffene Person eine begründete Befürchtung des Datenmissbrauchs hegt. Das bloße Berufen auf eine bestimmte Gefühlslage reicht aber nicht aus. Das Gefühl muss unter Berücksichtigung der konkreten Umstände als begründet angesehen werden können. Beispielsweise begründet die Veröffentlichung von sensiblen Daten im Internet aufgrund eines Datenlecks eine nachvollziehbare Befürchtung.

III. Verspätete Auskunft allein nicht ausreichend

Eine nur verspätete Auskunft begründet demgegenüber für sich genommen keinen Kontrollverlust über Daten im Sinne der Gefahr einer missbräuchlichen Verwendung. Bei der verspäteten Auskunft handelt es sich letztlich nur um einen Zeitverzug hinsichtlich der Auskunft. Es gibt aber keinen Rechtssatz, der bei einer verspäteten Auskunftserteilung automatisch einen Kontrollverlust und damit einen Schaden bejaht. Anderenfalls würde jede verspätete Auskunftserteilung automatisch zu einem Schadensersatzanspruch nach Art. 82 Abs. 1 führen und damit zu einem immateriellen Schaden. Die eigenständige Voraussetzung des Schadens wäre dann aber bedeutungslos. Sie wäre vielmehr stets erfüllt. Dann wären es faktisch nur noch zwei Voraussetzungen, die zu prüfen wären.

IV. Unmutsbekundungen führen nicht zu einem immateriellen Schaden

Im vorliegenden Fall hatte der Kläger befürchtet, der Arbeitgeber betreibe „Schindluder“ mit seinen Daten. Auch hat er seinen Ärger und Frust kundgetan und mitgeteilt, er sei von dem Verfahren „genervt“. Hierbei handelte es sich aber nur um pauschal gehaltene Unmutsbekundungen. Sie enthalten keine nachvollziehbaren Begründungen. Das galt umso mehr, als der Arbeitgeber über Jahre hinweg nach dem Ausscheiden des Klägers im Jahre 2015 und dem letzten Schriftwechsel im Dezember 2022 gerade kein Schindluder getrieben hat. Anhaltspunkte für einen immateriellen Schaden lagen daher hier nicht vor. Allein die verspätete Auskunftserteilung reichte gerade nicht aus.

Fazit:

Die Entscheidung des Bundesarbeitsgerichts ist uneingeschränkt zu begrüßen. Für die Praxis wird nunmehr klargestellt, dass allein die verspätete Auskunftserteilung nicht ausreichend ist, um einen immateriellen Schadensersatzanspruch zu begründen. Aber: Die verspätete Auskunftserteilung kann im Einzelfall dennoch ausreichen, wenn die Umstände entsprechend gravierend sind. Wir können daher der Praxis nur dringend empfehlen, auf die Einhaltung der jeweiligen Fristen zur Auskunftserteilung, insbesondere der Monatsfrist des Art. 12 DSGVO, große Sorgfalt zu verwenden, um Rechtsnachteile zu vermeiden.

---

Autor: Prof. Dr. Nicolai Besgen