Höhe des Schadensersatzes bei Verletzung der Auskunftspflicht nach Art. 15 Abs. 1 DSGVO

Gemäß Art. 15 Abs. 1 DSGVO kann der Arbeitnehmer vom Arbeitgeber Auskunft über seine vom Arbeitgeber verarbeiteten personenbezogenen Daten sowie weitere Informationen, z.B. die Verarbeitungszwecke, verlangen. Dabei sind dem Arbeitnehmer die vom Auskunftsanspruch erfassten Informationen grundsätzlich innerhalb eines Monats nach Eingang des entsprechenden Antrags zur Verfügung zu stellen. Eine Verletzung der Auskunftspflicht, etwa durch unvollständige oder verspätete Informationen kann einen Schadensersatzanspruch zur Folge haben. Weil das Gesetz keine Mindest- oder Höchstgrenze zur Orientierung bei der Bemessung des Schadensersatzes bereithält, stellen sich Arbeitgeber regelmäßig die Frage, wie hoch ein solcher ausfallen kann. 5.000 Euro reichen aus, sagt das ArbG Düsseldorf in seinem Urteil v. 05.03.2020 – 9 Ca 6557/18 und stellt gleichzeitig klar, dass die Höhe der Vergütung des Arbeitnehmers bei der Bemessung nicht zu berücksichtigen ist.

Was ist passiert?

Der klagende Arbeitnehmer begehrte von seiner ehemaligen Arbeitgeberin Auskünfte auf der Grundlage von Art. 15 Abs. 1 DSGVO. Nachdem die Arbeitgeberin entsprechende Informationen erst sechs Monate nach Zugang des Auskunftsbegehrens und nur unvollständig zur Verfügung gestellt hatte, machte der Arbeitnehmer einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO geltend. Dabei argumentierte er, dass das neue Datenschutzrecht eine Mindestschwelle für den ihm entstandenen Schaden nicht vorsehe und dass der Schadensersatz im Hinblick auf künftige Verletzungen des Auskunftsanspruchs der Höhe nach abschreckend wirken müsse. Vor diesem Hintergrund verlangte er 12 Bruttomonatsgehälter, was einem Betrag von beinahe 144.000 Euro entsprach.

Schadensersatz in Höhe von 5.000 € ausreichend

Das ArbG hält zum Ersatz des Schadens einen Betrag von 5.000 Euro für ausreichend. Dem Arbeitnehmer sei zwar kein bezifferbarer Vermögensschaden, jedoch ein immaterieller Schaden entstanden, weil der Arbeitgeber dem Auskunftsbegehren zu spät und mit zwei inhaltlichen Mängeln unvollständig nachgekommen sei. Als Konsequenz sei der Arbeitgeber gemäß Art. 82 Abs. 1 DSGVO zur Zahlung von Schadensersatz verpflichtet. Dessen Höhe müsse jedoch deutlich niedriger bemessen werden als vom Arbeitnehmer beantragt.

Maßgebliche Bemessungskriterien

Bei der Bemessung des immateriellen Schadensersatzes orientiert sich das Arbeitsgericht an der Bußgeldvorschrift des Art. 83 Abs. 2 DSGVO. Als Zumessungskriterien müssten Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens (Vorsatz oder Fahrlässigkeit), Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden müssten. Da der Schadensersatz eine angemessene Wirkung erzielen solle, hänge dessen Höhe zudem von der Finanzkraft des Arbeitgebers ab, die das Arbeitsgericht als „erheblich“ einstuft. Die Schwere des immateriellen Schadens, der vor allem in der Ungewissheit des Arbeitnehmers über die Verarbeitung seiner personenbezogenen Daten bestehe, sei jedoch nicht davon abhängig, wie viel er verdiene. Schließlich sei trotz der Bedeutung des Auskunftsrechts nicht zu verkennen, dass mit dem vom Arbeitnehmer herangezogenen Bußgeldrahmen des § 83 Abs. 5 DSGVO (bis zu 10.000.000 Euro oder 2% des Jahresumsatzes) auch noch weit gravierendere Persönlichkeitsrechtsverletzungen sanktioniert werden sollen und die Verhältnismäßigkeit zu wahren sei. Unter Berücksichtigung dessen setzt das ArbG für die ersten zwei Monate der Verspätung jeweils 500 €, für die weiteren etwa drei Monate jeweils 1.000 € und für die beiden inhaltlichen Mängel der Auskunft jeweils 500 € als Schadensersatz an.

Fazit

Das ArbG erteilt hohen Schadensersatzforderungen bei gewöhnlichen Verletzungen der Auskunftspflicht nach Art. 15 DSGVO – selbst bei hoher Finanzkraft des Arbeitsgebers – eine deutliche Absage. Eine Orientierung am exzessiven Bußgeldrahmen des Art. 83 Abs. 5 DSGVO ist aus Verhältnismäßigkeitsgesichtspunkten nicht gerechtfertigt. Gleichzeitig darf auch das Bruttojahresgehalt des Arbeitnehmers nicht als Bemessungskriterium herangezogen werden. Die Entscheidung enthält damit gute Nachrichten für Arbeitgeber. Gleichwohl ist die Bemessung des Schadensersatzes von einer Vielzahl von Faktoren abhängig und somit das Ergebnis einer Einzelfallentscheidung. Entsprechend darf der vom ArbG festgesetzte Betrag von 5.000 Euro nicht als allgemeingültiger Höchstwert betrachtet werden, der Arbeitgebern bei einer unvollständigen oder verspäteten Auskunft regelmäßig droht. Eine Orientierungshilfe bietet die Entscheidung dennoch.