Schadensersatzanspruch bei Verletzung der Auskunftspflicht nach Art. 15 DSGVO

Das Landesarbeitsgericht Nürnberg hat mit Urteil vom 25.01.2023 (Az. 4 Sa 201/22) entschieden, dass Art. 82 Abs. 1 DSGVO eine gegen die DSGVO verstoßende Datenverarbeitung erfordert und eine reine Verletzung der Auskunftspflicht nach Art. 15 DSGVO nicht erfasst ist.

Sachverhalt

Die Parteien streiten über einen Anspruch der Klägerin auf immateriellen Schadensersatz gemäß Art. 82 Abs. 1 DSGVO aufgrund Verletzung der Daten Auskunftspflicht gemäß Art. 15 DSGVO durch die Beklagte.

Im Rahmen von Aufhebungsgesprächen zwischen der Klägerin und der Beklagten machte die Klägerin im April 2020 gegenüber der Beklagten einen Anspruch auf Datenauskunft gemäß Art. 15 Abs. 1 und 3 DSGVO geltend. Die Beklagte lehnte diesen Anspruch außergerichtlich ab. Nach Eigenkündigung der Klägerin zum 30.07.2020 machte die Klägerin im Anschluss den Anspruch auf Datenauskunft gerichtlich geltend und forderte die Zurverfügungstellung einer Kopie ihrer von der Beklagten verarbeiteten personenbezogenen Daten im Sinne des Art. 15 Abs. 3 DSGVO. Zudem klagte sie gemäß Art. 82 DSGVO auf Zahlung eines Schmerzensgeldes in Höhe von mindestens 5.000 Euro, da die Beklagte der Verpflichtung zur Datenauskunft nicht nachgekommen sei. Die Beklagte erteilte erstmals Auskünfte über die verarbeiteten personenbezogenen Daten im Rahmen des Verfahrens. Die Vollständigkeit der Daten blieb bis zuletzt streitig. Das Arbeitsgericht Nürnberg verurteilte die Beklagte auf Zahlung von 4.000 Euro. Die Klägerin habe einen entsprechenden Anspruch auf Zahlung eines immateriellen Schadensersatz. Verstöße müssten effektiv sanktioniert werden, der Schadensersatz eine abschreckende Wirkung haben um der DSGVO Rechnung zu tragen.

Entscheidungsgründe

Die Berufung der Beklagten hatte Erfolg. Das Landesarbeitsgericht Nürnberg war der Ansicht, dass der Klägerin gegen die Beklagte bereits dem Grunde nach kein Anspruch auf immateriellen Schadensersatz gemäß Art. 82 Abs. 1, 2 DSGVO zustehe. Verspätete oder gar gänzlich unterbliebene Auskünfte an eine Person gemäß Art. 15 Abs. 1 DSGVO seien nicht haftungsauslösend. Dies folge aus Erwägungsgrund 146 DSGVO, welcher ebenso wie Art. 82 Abs. 2 DSGVO nur eine gegen die DSGVO verstoßende „Datenverarbeitung“ erwähne. Auch die Entstehungsgeschichte des Art. 82 DSGVO spreche hierfür. Art. 77 des ursprünglichen Kommissionsentwurfes habe bezüglich der Schadensersatzpflicht noch vorgesehen, dass jede Person, „der wegen einer rechtswidrigen Verarbeitung oder einer anderen mit dieser Verordnung nicht zu vereinbarenden Handlung ein Schaden entstanden sei“, Anspruch auf Schadensersatz habe. Der Entwurf sei damit wesentlich weiter, als der spätere Erwägungsgrund 146, welcher sich vom Wortlaut her nur auf eine rechtswidrige bzw. eine gegen die DSGVO verstoßende Datenverarbeitung beschränke. Weitere Anspruchsgrundlagen seien nicht ersichtlich.

Hinweis für die Praxis

Die Frage des „Ob“ und „Wie“ der Schadensersatzpflicht im Rahmen von Verstößen gegen die DSGVO beschäftigt die Gerichte regelmäßig. Mit Spannung war daher auch das Urteil des EuGH in der Rechtssache Österreichische Post (04.05.2023 – C-300/21) erwartet worden, durch welches der EuGH nun zumindest ein wenig Klarheit geschaffen, jedoch auch weitere Fragen aufgeworfen hat. Der in der DSGVO vorgesehene Schadenersatzanspruch sei an drei kumulative Voraussetzungen geknüpft. Es müsse ein Verstoß gegen die DSGVO vorliegen, ein materieller oder immaterieller Schaden eingetreten sein und ein Kausalzusammenhang zwischen dem Schaden und dem Verstoß bestehen.

Damit ist zumindest Klarheit dahingehend geschaffen, dass nicht jeder Verstoß gegen die DSGVO per se auch zu einem Schadensersatz führt. Es bedarf vielmehr eines individuellen Schadens. Hervorzuheben ist hierbei jedoch, dass nach Auffassung des EuGH eine Beschränkung auf Schäden, die eine Erheblichkeitsschwelle überschreiten, gerade nicht erforderlich ist. Eine solche sehe die DSGVO nicht vor. Auch stünde eine solche Beschränkung im Widerspruch zu dem vom Unionsgesetzgeber gewählten weiten Verständnis des Begriffs „Schaden“. Zur Frage, wann ein Schadenseintritt tatsächlich in Betracht kommt, schweigt der EuGH allerdings.

Auch zur Höhe der Bemessung des Schadenersatzes wirft das Urteil des EuGH Fragen auf. Die DSGVO enthalte nach Auffassung des Gerichtshofs keine Bestimmung, die sich diesen Regeln widme. Klageverfahren zur Gewährleistung des Schutzes der dem Einzelnen aus der DSGVO erwachsenden Rechte, und die Festlegung der Kriterien für die Ermittlung des Umfangs des in diesem Rahmen geschuldeten Schadenersatzes sei Aufgabe des Rechts des einzelnen Mitgliedstaats. Hierbei seien der Äquivalenz- und der Effektivitätsgrundsatz zu beachten. Der Schadenersatzanspruch solle in seiner Ausgleichfunktion einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden sicherstellen. Welche Antworten die Gerichte nunmehr auf diese Fragen finden, bleibt abzuwarten.