Verspätete Datenauskunft führt nicht zu Schadensersatzanspruch gemäß DSGVO
Eine nur verspätete Auskunft über verarbeitete Daten begründet für sich genommen keinen Kontrollverlust über Daten i.S.d. Gefahr einer missbräuchlichen Verwendung, sondern nur einen Zeitverzug hinsichtlich der Auskunft. Es ist dabei ohne Belang, dass Art. 12 Abs. 3 Satz 1 der Datenschutz-Grundverordnung (DSGVO) die unverzügliche Erteilung der Informationen als Regelfall vorsieht und den Zeitraum der Ungewissheit damit auf ein Minimum verkürzt. Eine ungerechtfertigte Verzögerung lässt dessen ungeachtet ohne weitere Anhaltspunkte nicht auf einen Datenmissbrauch schließen.
Mit Schreiben vom 01.10.2022 verlangte ein Mitarbeiter von seiner Arbeitgeberin Auskunft bzgl. der Verarbeitung seiner personenbezogenen Daten und setzte hierfür eine Frist bis zum 16.10.2022. Als die Arbeitgeberin hierauf nicht reagierte, erneuerte der Mitarbeiter sein Verlangen mit Schreiben vom 21.10.2022 unter Fristsetzung bis zum 31.10.2022. Mit Schreiben vom 27.10.2022 erteilte die Arbeitgeberin eine ihrer Ansicht nach ausreichende Auskunft.
Der Mitarbeiter beanstandete mit Schreiben vom 04.11.2022, dass die erteilte Auskunft bzgl. der Dauer der Datenspeicherung, der Angabe der Empfänger und der Vollständigkeit der Datenkopie unzureichend sei. Nach einem weiteren Schriftwechsel erteilte die Arbeitgeberin mit Schreiben vom 01.12.2022 die gewünschten Auskünfte. Der Mitarbeiter verlangte daraufhin erfolglos die Zahlung einer „Geldentschädigung“ nach Art. 82 Abs. 1 DSGVO wegen eines Verstoßes gegen die Auskunftspflicht nach Art. 15 DSGVO.
Als die Arbeitgeberin die Zahlung verweigerte, klagte der Mitarbeiter auf Schadensersatz.
Der Mitarbeiter hat die Auffassung vertreten, die Arbeitgeberin habe mit der nach Art. 12 Abs. 3 DSGVO verspäteten Auskunft i.S.d. Art. 82 Abs. 1 DSGVO gegen die Datenschutz-Grundverordnung verstoßen. Er habe deshalb einen Anspruch auf Schadensersatz. Es bestehe ein immaterieller Schaden in Form eines wochenlangen Kontrollverlusts bzgl. der Datenverarbeitung. Er habe deshalb etwaige Rechte nicht ausüben können. Der Vorgang rufe bei ihm zudem ein erhebliches Maß an Sorge bzgl. des Schicksals seiner Daten hervor. Er habe Angst, dass die Arbeitgeberin „Schindluder“ mit seinen Daten treibe. Außerdem sei er wegen des durch die Arbeitgeberin verursachten Aufwands der Rechtsverfolgung „genervt“.
Das Arbeitsgeicht hatte die Beklagte zur Zahlung von Schadensersatz i.H.v. 10.000 EUR verurteilt. Auf die Berufung der Arbeitgeberin hat das Landesarbeitsgerichts das Urteil abgeändert und die Klage abgewiesen. Die Revision des Mitarbeiters beim Bundesarbeitsgericht hatte keinen Erfolg.
Der Mitarbeiter vertrat weiterhin die Auffassung, eine verspätete Auskunftserteilung bewirke einen Kontrollverlust, der ohne weitere Voraussetzung einen Schaden i.S.v. Art. 82 Abs. 1 DSGVO darstelle. Dies ist nach Ansicht des Bundesarbeitsgerichts aber unzutreffend.
Zwar kann ein Kontrollverlust auch dann gegeben sein, wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil der geschützten Person erfolgt sein sollte (vgl. Urteil des Europäischen Gerichtshogs vom 04.10.2024, Az. C-200/23), denn es kann die entsprechende Gefahr bestanden haben. Die durch einen Verstoß gegen die Datenschutz-Grundverordnung ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden i.S.v. Art. 82 Abs. 1 DSGVO darstellen (Urteil des Europäischen Gerichtshofs vom 25.01.2024, Az. C-68/21). Das rein hypothetische Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten kann jedoch nicht zu einer Entschädigung führen (Urteil des Bundesarbeitsgerichts vom 20.06.2024, Az. 8 AZR 124/23).
Unter einem Kontrollverlust versteht der Europäische Gerichtshof daher nur eine Situation, in der die betroffene Person eine begründete Befürchtung des Datenmissbrauchs hegt. Das bloße Berufen auf eine bestimmte Gefühlslage reicht dabei nicht aus. Das Gericht hat vielmehr zu prüfen, ob das Gefühl unter Berücksichtigung der konkreten Umstände „als begründet angesehen werden kann“ (Urteil des Europäischen Gerichtshofs vom 14.12.2023, Az. C-340/21). Dies setzt zwingend die Anwendung eines objektiven Maßstabs voraus (Urteil des Bundesarbeitsgerichts vom 25.07.2024, Az. 8 AZR 225/23). Je gravierender die Folgen eines Verstoßes gegen die Datenschutz-Grundverordnung sind, desto näher liegt eine begründete Befürchtung des Datenmissbrauchs. So wird die Veröffentlichung von sensiblen Daten im Internet aufgrund eines Datenlecks typischerweise eine Grundlage für solche Befürchtungen darstellen.
Eine nur verspätete Auskunft begründet demgegenüber für sich genommen keinen Kontrollverlust über Daten i.S.d. Gefahr einer missbräuchlichen Verwendung, sondern nur einen Zeitverzug hinsichtlich der Auskunft. Entgegen der Auffassung der Revision ist es dabei ohne Belang, dass Art. 12 Abs. 3 Satz 1 DSGVO die unverzügliche Erteilung der Informationen als Regelfall vorsieht und den Zeitraum der Ungewissheit damit auf ein Minimum verkürzt. Eine ungerechtfertigte Verzögerung lässt dessen ungeachtet ohne weitere Anhaltspunkte nicht auf einen Datenmissbrauch schließen.
Die von dem Mitarbeiter im vorliegenden Rechtsstreit geschilderte Gefühlslage begründete demnach keinen Schaden im Zusammenhang mit einem Kontrollverlust. Der Mitarbeiter hatte keine konkreten Befürchtungen einer missbräuchlichen Verwendung seiner Daten dargelegt. Ausgehend vom Vorbringen des Mitarbeiters hat das Gericht auch einen Schaden in Form von negativen Gefühlen allein wegen der verspäteten Erfüllung des Auskunftsanspruchs verneint.
Urteil des Bundesarbeitsgerichts vom 20.02.2025
Aktenzeichen: 8 AZR 61/24