„Auskunft, sonst Schadensersatz!“ – Handlungsoptionen für Arbeitgeber bei Auskunftsansprüchen

Datenschutzrechtliche Auskunftsansprüche gegen den Arbeitgeber gehören für Arbeitnehmer(-vertreter) vor allem in Kündigungsstreitigkeiten zum Regelrepertoire. Mittlerweile wird auch vermehrt über arbeitnehmerseitige Schadensersatzansprüche aufgrund nicht oder nicht vollständig erteilter Auskünfte gestritten. Die Rechtsprechung befindet sich noch im Fluss, sodass sich für viele Arbeitgeber Unklarheiten darüber ergeben, wie mit fragwürdigen Auskunftsbegehren umzugehen ist. Dieser Beitrag soll einen Überblick liefern und Handlungsoptionen aufzeigen.

Der datenschutzrechtliche Auskunftsanspruch ist mittlerweile ein Dauerbrenner im Arbeitsrecht (siehe hierzu unsere Blogbeiträge). Arbeitnehmer fordern Auskunft über „alle“ personenbezogenen Daten, Arbeitgeber weigern sich oder erteilen rudimentär Auskunft. Das wirft Fragen zu Risiken des Arbeitgebers und insbesondere zu einer möglichen Schadensersatzhaftung auf. Bereits in unserem Vlog vom 4. Mai 2023 haben wir die Hintergründe und die erfreuliche Entscheidung des LAG Nürnberg vom 25. Januar 2023 – 4 Sa 201/22 besprochen. Dieses hat eine Schadensersatzhaftung des Arbeitgebers gemäß Art. 82 DSGVO abgelehnt. Eine Vielzahl anderer Gerichte sieht das ähnlich, sodass sich das Schadensersatzrisiko hinsichtlich des Umgangs mit Auskunftsansprüchen besser einordnen lässt.

Der datenschutzrechtliche Auskunftsanspruch in der Praxis

Die Geltendmachung von datenschutzrechtlichen Auskunftsansprüchen erweist sich in der Praxis als beliebtes Instrument der Arbeitnehmerseite, um Druck auf den Arbeitgeber auszuüben. Dies gilt vor allem bei Trennungsstreitigkeiten. Viele Unternehmen haben daher bereits interne Prozesse etabliert, um schnell und adäquat auf Auskunftsbegehren reagieren zu können. Trotzdem befinden sich Arbeitgeber häufig in einer Zwickmühle. Denn oft bestehen Auskunftsansprüche nicht in dem geltend gemachten Umfang. Folglich trägt der Arbeitgeber das Einschätzungsrisiko darüber, ob und in welchem Umfang überhaupt eine Auskunft zu erteilen ist. Neben dem Aufwand, den eine solche Prüfung, Sortierung und Sammlung bedeuten kann, können auch (prozess-)taktische Erwägungen dafürsprechen, Auskunftsansprüche zunächst nicht oder nicht wie gefordert zu erfüllen. Dann stellt sich die Frage, welche (finanziellen) Konsequenzen drohen. Spitzfindige Arbeitnehmervertreter erheben in solchen Fällen regelmäßig Zahlungsklagen auf Schadensersatz, nicht zuletzt, um die Einigungsbereitschaft der Arbeitgeberseite zu erhöhen.

(Wohl) Kein Schadenersatzanspruch bei nicht oder unrichtig erteilter Auskunft gemäß Art. 82 DSGVO

Das BAG hat bislang nicht entschieden, ob eine Verletzung der Auskunftspflicht Schadensersatzansprüche von Arbeitnehmern begründen kann. In seinem Urteil vom 5. Mai 2022 hat es diese Frage offengelassen und zugleich Zweifel an einer Haftung des Arbeitgebers geäußert. Während ein Großteil der Instanzgerichte den Arbeitnehmern in den vergangenen Jahren Schadensersatzansprüche zugesprochen hat, lässt sich derzeit eine gegenteilige Tendenz erkennen. Mittlerweile lehnen insbesondere die Obergerichte Schadensersatzansprüche ab. Neben der bereits angesprochenen Entscheidung des LAG Nürnberg zählt hierzu etwa ein jüngst ergangenes Urteil des LAG Düsseldorf vom 28. November 2023 – 3 Sa 285/23 (bisher nur Pressemitteilung veröffentlicht). Die Gerichte stützen sich im Wesentlichen auf folgende Argumente:

• Die Nichterteilung oder unrichtige Erteilung einer Auskunft stelle keine Datenverarbeitung dar und sei somit nicht schadensersatzpflichtig.
• Der Gesetzgeber habe Art. 82 DSGVO bewusst so erlassen, dass nur unzulässige Datenverarbeitungen und gerade nicht sonstige Verstöße sanktioniert werden sollen.
• Der reine Verstoß gegen Art. 15 DSGVO und ein etwaiger Datenkontrollverlust bedinge noch keinen materiellen oder immateriellen Schaden. Arbeitnehmer müssten einen konkreten Schaden darlegen und beweisen.

Insbesondere der letztgenannte Punkt entspricht auch der jüngsten Rechtsprechung des EuGH. Eine Chance sich zu dieser Thematik zu äußern könnte das BAG demnächst erhalten, da zurzeit einige Revisionsverfahren hierzu laufen. Bis dahin bzw. bis zu einer höchstrichterlichen Klärung durch den EuGH ist weiterhin Vorsicht geboten.

Handlungsempfehlungen für Arbeitgeber

Arbeitgeber sollten datenschutzrechtliche Auskunftsansprüche stets sorgfältig prüfen und nicht jedem arbeitnehmerseitigen Verlangen in dieser Hinsicht sofort entsprechen. Auf folgende Aspekte sollten Arbeitgeber bei Auskunftsbegehren besonders achten:

• Unpräzise/pauschale Anträge: Die begehrten Informationen müssen hinreichend bestimmt sein.
• Entgegenstehende Rechte Dritter: Persönlichkeitsrechte oder Datenschutzrechte von anderen Arbeitnehmern, Kunden oder Geschäftspartnern können gegen eine Auskunft sprechen.
• Geheimhaltungspflichten: Darunter fällt vor allem die Wahrung von Geschäftsgeheimnissen.
• Rechtsmissbräuchliche Anträge: Anträge, die datenschutzwidrige Zwecke verfolgen, müssten nicht beantwortet werden (siehe hierzu unseren Blogbeitrag vom 10. Mai 2022). Dies ist insbesondere anzunehmen, wenn Arbeitnehmer eine Datenauskunft nur begehren, um Daten zu erhalten, die sie zur Geltendmachung anderer Ansprüche benötigen (z.B. Bonusansprüche).

Bei der Prüfung, ob ein Auskunftsanspruch (im geltend gemachten Umfang) zu erfüllen ist, sollten zudem die jeweiligen Konsequenzen im Falle der Erteilung oder Nichterteilung durchdacht werden. Sofern einem Verlangen Rechte Dritter oder Geheimhaltungspflichten entgegenstehen, könnten sich Arbeitgeber wegen einer entsprechenden Rechtsverletzung schadensersatzpflichtig gegenüber Dritten machen.

Demgegenüber sprechen diejenigen Gerichte, die Auskunftsverletzungen als schadensersatzauslösendes Ereignis gemäß Art. 82 DSGVO sehen, regelmäßig Schäden von 500 Euro pro Monat der Nichterteilung zu – in selteneren Fällen wurden schon mal fünfstellige Schadenssummen ausgeurteilt.

Praxistipps zum Umgang mit Schadensersatzrisiko

Im Einzelfall kann das Schadensersatzrisiko in Anbetracht der ansonsten drohenden Konsequenzen tragbar sein. Die Entscheidung über die (Nicht-)Erteilung einer Auskunft sollte daher alle Umstände berücksichtigen und nicht primär von Überlegungen zu einer etwaigen Schadensersatzplicht nach Art. 82 DSGVO getragen werden. Dieser Punkt ist – insbesondere bis zu einer höchstrichterlichen Klärung – gleichwohl stets in die Erwägungen miteinzubeziehen. Zudem besteht grundsätzlich auch das Risiko einer Bußgeldhaftung im Falle einer Verletzung der Auskunftspflicht, welches bislang in der Praxis eher zu vernachlässigen gewesen ist. Es gilt daher: Sorgfältig prüfen und abwägen und sich nicht von Auskunfts- und Schadensersatzverlangen (unnötig) unter Druck setzen lassen.

Vielen Dank an Antonio Krnic (wissenschaftlicher Mitarbeiter im Düsseldorfer Büro) für die Mitwirkung bei der Erstellung des Beitrags.