Aktuelles Urteil: Goldesel Datenschutz-Grundverordnung?

Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DS-GVO) anzuwenden. Im besonderen Blick der DS-GVO ist der strenge Schutz der personenbezogenen Daten. Hierzu gehört auch die Verpflichtung des Arbeitgebers, einem Arbeitnehmer auf dessen Verlangen Auskunft über seine verarbeiteten personenbezogenen Daten zu erteilen. Sieht man davon ab, dass in medienwirksamen Fällen gegen einzelne Firmen wegen datenschutzrechtlicher Verstöße durchaus beachtenswerte Geldbußen verhängt wurden, befand sich die DS-GVO in der allgemeinen Wahrnehmung in den letzten beiden Jahren doch in ruhigeren Gewässern. Dies könnte sich für die Arbeitgeber ändern, sollte ein Prozessverfahren vor dem Arbeitsgericht Düsseldorf Schule machen. Mit dem jüngst veröffentlichten Urteil des Arbeitsgerichts Düsseldorf vom 5. März 2020 (Az. 9 Ca 6557/18) wurde dem klagenden Arbeitnehmer ein immaterieller Schadensersatzanspruch gegen seinen Arbeitgeber i.H.v. 5.000,00 Euro wegen Verletzung datenschutzrechtlicher Auskunftspflichten zugesprochen. Der Fall Der Arbeitnehmer und spätere Kläger war bei einem Unternehmen - der späteren Beklagten - bis 31. Januar 2018 zu einem stattlichen Bruttomonatsgehalt von knapp 12.000,00 Euro beschäftigt. Im Rahmen des Beschäftigungsverhältnisses verarbeitete die Beklagte selbst personenbezogene Daten und überließ solche auch zwei Tochterunternehmen. Zunächst mit außergerichtlichem Schreiben von Anfang Juni 2018 und später mit Klage vom November 2018 zum Arbeitsgericht Düsseldorf verlangte der Kläger von der Beklagten Auskunft und Information zur Verarbeitung seiner personenbezogenen Daten durch die Beklagte und durch andere Unternehmen sowie die Überlassung von Kopien dieser Daten. Mitte Dezember 2018 erteilte die Beklagte - aus ihrer Sicht - die erforderlichen vollumfänglichen Informationen und Auskünfte. Der Arbeitnehmer vertrat hingegen die Auffassung, die Informationen und Auskünfte des Arbeitgebers würden dem in Art. 15 DS-GVO normierten Auskunftsanspruch keineswegs genügen. Er beantragte wegen der Verletzung dieses Anspruchs im Prozess deshalb weiterhin die Erteilung vielfacher datenschutzbezogener Auskünfte und darüber hinaus im Hinblick auf Art. 82 DS-GVO die Verurteilung des Arbeitgebers zur Bezahlung eines Schadensersatzes in Höhe von knapp 144.000,00 Euro (!) entsprechend einem Jahresgehalt. Auskunftsanspruch nach Art. 15 DS-GVO Der Gesetzestext des Art. 15 DS-GVO ist mit der Überschrift "Auskunftsrecht der betroffenen Person" überschrieben. Nach dieser Vorschrift hat "die betroffene Person" das Recht, vom "Verantwortlichen" (im Arbeitsrecht also Arbeitnehmer und Arbeitgeber) Auskunft über verarbeitete personenbezogene Daten zu verlangen sowie das Recht auf folgende Informationen (Zitat): - die Verarbeitungszwecke; - die Kategorien personenbezogener Daten, die verarbeitet werden; - die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen; - falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; - das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung; - das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde; - wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten; - das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. Das Auskunfts- und Informationsrecht des Arbeitnehmers gegen den Arbeitgeber ist also - soweit in der Diktion für einen juristischen Laien überhaupt verständlich - hiernach umfassend und enthält darüber hinaus in weiteren Bestimmungen des Art. 15 DS-GVO zusätzliche Pflichten des "Verantwortlichen". Schadensersatzanspruch nach Art. 82 DS-GVO Nach Art. 82 Abs. 1 DS-GVO hat "jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter." Der "Verantwortliche" ist im Arbeitsverhältnis - siehe oben - der Arbeitgeber. Ein immaterieller Schaden entsteht in der gebotenen weiten Auslegung der Ziele der DS-GVO nicht nur in den offensichtlichen Fällen, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder sonstigen gesellschaftlichen Nachteilen führt. Gemäß Erwägungsgrund 75 zur DS-GVO liegt ein immaterieller Schaden auch dann vor, wenn "die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren". Es müssen Verstöße gegen die DS-GVO deshalb effektiv sanktioniert werden, damit die DS-GVO auch wirken kann. Eine solche Wirkung wiederum wird durch Schadensersatz in abschreckender Höhe erreicht. Urteil des Arbeitsgerichts Düsseldorf Das Arbeitsgericht Düsseldorf stellte in seinem Urteil vom 5. März 2020 fest, dass der Arbeitgeber jedenfalls bis zu seiner Auskunftserteilung im Dezember 2018 gegen seine Auskunftspflichten nach Art. 15 DS-GVO umfänglich verstoßen hat. Schließlich bestimmt Art. 12 Abs. 3 DS-GVO, dass der Verantwortliche die angeforderten Auskünfte unverzüglich, in jedem Fall aber innerhalb eines Monats (Fristverlängerung unter bestimmten Umständen um zwei Monate möglich) zu erteilen hat. Nachdem der Kläger die Auskünfte Anfang Juni gefordert hatte, hätte der Arbeitgeber also bereits im Juli reagieren müssen. Dies tat er allerdings erst im Dezember, somit fünf Monate zu spät. Das Arbeitsgericht sprach deshalb dem Arbeitnehmer einen Schadensersatzanspruch gemäß Art. 82 DS-GVO zu. Allerdings fand das Arbeitsgericht den geltend gemachten Anspruch von 144.000,00 Euro vollkommen zu Recht überzogen. Das Arbeitsgericht führt in den Urteilsgründen aus, dass es nicht nachvollziehbar sei, warum die Höhe der Vergütung des Arbeitnehmers in die Bemessung des Schadensersatzes einfließen solle. Die Schwere eines entstandenen immateriellen Schadens, der vor allem in der Ungewissheit über die Verarbeitung seiner Daten bestehe, hänge nicht davon ab, wie viel ein Arbeitnehmer verdiene. Unter Berücksichtigung sonstiger Erwägungen entschied das Arbeitsgericht Düsseldorf Folgendes: Für die ersten beiden Monate der fünfmonatigen verspäteten Auskunftserteilung wurden jeweils 500,00 Euro Schadensersatz zugesprochen, für die weiteren rund drei Monate der Verspätung jeweils 1.000,00 Euro und zusätzlich für zwei bis zum Prozessende noch immer inhaltlich mangelhafte Auskünfte des Arbeitgebers ebenfalls jeweils 500,00 Euro. Insgesamt ergab sich somit ein Schadensersatzanspruch des Klägers i.H.v. 5.000,00 Euro. Das Urteil des Arbeitsgerichts Düsseldorf ist nicht rechtskräftig. Die Entscheidung des zuständigen Landesarbeitsgerichts darf mit Spannung erwartet werden. Eine grundsätzliche Änderung des arbeitsgerichtlichen Urteils dürfte allerdings wohl nicht zu erwarten sein. Kurzfassung 1. Nach Art. 15 DS-GVO hat ein Arbeitnehmer im Hinblick auf seine personenbezogenen Daten als "betroffene Person" ein Auskunftsrecht gegenüber seinem Arbeitgeber als dem datenschutzrechtlich "Verantwortlichen". Der Auskunftsanspruch erstreckt sich auf eine für juristische Laien kaum zu überblickende Vielzahl von datenschutzrechtlichen Aspekten.2. Nach Art. 82 Abs. 1 DS-GVO hat ein Arbeitnehmer, dem wegen eines Verstoßes gegen die DS-GVO ein materieller oder (auch "lediglich") immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Arbeitgeber als dem datenschutzrechtlich Verantwortlichen. Die DS-GVO gebietet eine effektive Sanktionierung von datenschutzrechtlichen Verstößen und damit einen Schadensersatz in abschreckender Höhe.3. Gemäß Urteil des Arbeitsgerichts Düsseldorf vom 5. März 2020 (Az. 9 CA6557/18) ist nicht das Bruttomonatsgehalt eines Arbeitnehmers als Bemessungsgrundlage für einen Schadensersatz heranzuziehen. Als Beurteilungsgrundlage dient vielmehr die Dauer und Nachhaltigkeit der datenschutzrechtlichen Pflichtverletzung des Arbeitgebers. Im konkreten Fall entschied das Arbeitsgericht Düsseldorf zugunsten des Arbeitnehmers auf einen Schadensersatz von 5.000,00 Euro. Kommentar In der Diskussion war bisher das Sanktionssystem der DS-GVO im Hinblick auf Bußgeldandrohung im Rahmen bis zu 20.000.000 Euro - oder bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens. In den Blickpunkt rückt nun auch der Schadensersatzanspruch nach Art. 82 DS-GVO. Es besteht durchaus die Erwartung, dass gerade im Zusammenhang mit Kündigungsschutzklagen zunehmend standardmäßig Auskunftsansprüche geltend gemacht werden, die bei vermeintlichen oder tatsächlichen Verletzungen der datenschutzrechtlichen Auskunftspflichten zu Schadensersatzforderungen des Arbeitnehmers führen. Sofern sich der Arbeitgeber nicht in der gebotenen Art und Weise datenschutzrechtlich organisiert hat und die Auskünfte nicht umfänglich und zeitgerecht erteilen kann, steigt somit sein Prozessrisiko und der Druck auf Zahlung erhöhter Abfindungen. Wird also Art. 82 DS-GVO zu einem "Goldesel" für Arbeitnehmeransprüche? Zu beachten ist, dass nicht nur die Auskunftspflicht gemäß § 15 DS-GVO als Grundlage für einen Schadensersatzanspruch dienen kann, sondern auch die Informationspflichten der Art. 13 und 14 DS-GVO wie auch die Rechte auf Berichtigung und Löschung gemäß Art. 16 und 17 DS-GVO.Rechtsanwalt Rainer Bopp

Chery: So erfolgt der Deutschland-Start 2025

Forum Automotive: Branchenwandel als Chance nutzen

Hyundai Ioniq 9: Dieses große E-SUV kommt nach Europa

Fahrzeugschaden in der Waschanlage: BGH-Urteil "richtungsweisend"

ZDK-Krise: Einheit macht stark, Zwietracht schwächt

Alle Schlagzeilen

Aktuelles Urteil: Goldesel Datenschutz-Grundverordnung?

HASHTAG

#DSGVO

MyAutoData: Datentresor für Fahrzeughalter

Gratis-Videomodul von AUTOHAUS next: Datenschutz für die Tonne

AUTOHAUS SteuerLuchs: Abmahnmissbrauch und DSGVO

MEISTGELESEN

Sternauto: Größter BYD-Store in Deutschland eröffnet

Dacia: "Wir erobern von anderen Marken"

Mercedes zeigt neuen Benzinmotor: Es wird noch verbrannt

STELLENANGEBOTE

Finanz- oder Bilanzbuchhalter (m/w/d)

Leiter IT (w/m/d)

Juniorverkäufer (m/w/d)

Werkstattmeister Karosserie (m/w/d)

Servicetechniker (m/w/d)

WEITERLESEN

NEWSLETTER