Das Arbeitsgericht Düsseldorf hat am 5.März 2019 einen Fall zu Auskunfts- und Schadensersatzansprüchen im Arbeitsverhältnis entschieden (Urteil vom 5. März 2020, 9 Ca 6557/18). Das Gericht sah es als erwiesen an, dass der Arbeitgeber durch eine verspätete und zudem unvollständige Auskunft Art. 15 DSGVO verletzt hatte.
Immerhin hielt das Gericht fest, dass der Verantwortliche jedenfalls bei unsubstantiierten Hinweisen des Arbeitnehmers nicht gehalten ist, sämtliche IT-Infrastruktur nach etwaigen Personendaten zu durchsuchen und diese in Kopie herauszugeben, weil der Grundsatz von Treu und Glauben gelte und dem Verantwortlichen daher per se kein unverhältnismässiger Aufwand abverlangt werde. Ähnlich hatte kurz zuvor bereits das LG Heidelberg entschieden.
Das Gericht sprach dem Kläger aufgrund der Verletzungen Schadenersatz nach Art. 82 DSGVO in Höhe von insgesamt EUR 5’000 zu. Der Arbeitnehmer hatte EUR 143.482,81 verlangt. Dabei hat das Gericht berücksichtigt, dass
- das Auskunftsrecht bedeutsam ist,
- der Verstoss einige Monate andauerte (obwohl die Antwortfrist nach Art. 12 Abs. 3 DSGVO bis zu drei Monaten dauern kann),
- das Auskunftsrecht nicht nur zeitlich, sondern auch inhaltlich verletzt wurde,
- die Arbeitgeberin “beträchtlichen Umsatz” erzielt,
Da der Schadensersatz eine angemessene Wirkung erzielen soll, hängt dessen Höhe nicht nur vom eingetretenen immateriellen Schaden, sondern auch von dem nach Art. 4 Ziff. 7 E. Verantwortlichen und dessen Finanzkraft ab. Mit anderen Worten: Die Verletzung der Auskunftspflicht aus Art. 15 E. durch einen finanzschwächeren Verantwortlichen würde zu geringerem Schadensersatz führen.
- aber von fahrlässigen Verstössen auszugehen war,
- keine andere Verstösse der Arbeitgeberin bekannt sind,
- die Höhe der Vergütung des Klägers irrelevant war,
- besondere Kategorien von Personendaten “nicht substantiell betroffen” waren,
- die Verhältnismässigkeit zu wahren ist,
- und der dem Kläger entstandene immaterielle Schaden “nicht erheblich” ist.
Infolgedessen hat das Gericht die Entschädigung für die ersten zwei Monate der Verspätung jeweils mit EUR 500, für die weiteren etwa drei Monate jeweils mit EUR 1.000 und für die beiden inhaltlichen Mängel der Auskunft mit jeweils EUR 500 angesetzt.
Abweichendes mitgliedstaatliches Recht bestehe in diesem Punkt nicht und sei auch nicht zulässig, weil die Regelung der Betroffenenrechte der DSGVO insoweit abschliessend sei:
aa) Zum einen macht der Kläger damit den Auskunftsanspruch nach Art. 15 Abs. 1 Hs. 1 E. geltend, gerichtet auf Auskunft, ob personenbezogene Daten des Klägers durch die Beklagte verarbeitet werden. Die Rechte des Kapitels III der nach Art. 288 Abs. 2 AEUV unmittelbar geltenden E. bestehen auch im Arbeitsverhältnis. Diese allgemeinen Bestimmungen der E. enthalten eine Vollregelung, auch zum Beschäftigtendatenschutz (vgl. LAG Baden-Württemberg 20. Dezember 2018 – 17 Sa 11/18 – Rn. 172). Eine hier einschlägige Abweichung davon iSd. Art. 88 E. ist nicht vorgetragen oder sonst ersichtlich.
Abzuweisen war zunächst der Antrag auf Auskunft, ob andere Personen und Unternehmen Personendaten des Klägers verarbeiten:
Ein solcher Auskunftsanspruch besteht nicht, insbesondere nicht aus Art. 15 Abs. 1 Hs. 1 E.. Der Anspruch ist gerichtet gegen den Verantwortlichen iSd. Art. 4 Nr. 7 E., der über die von ihm durchgeführte Datenverarbeitung Auskunft geben muss. Eine Pflicht zur Mitteilung über eigenverantwortliche Datenverarbeitung durch Dritte ist dort nicht enthalten.
Massgeblich ist sodann der Datenbestand zum Zeitpunkt des Auskunftsbegehrens:
(a) Der Verantwortliche muss grundsätzlich keine Auskunft über Daten erteilen, die er in der Vergangenheit einmal verarbeitet hat und über die er ggf. nicht mehr verfügt. Andererseits soll er sich der Auskunftspflicht auch nicht durch ein Löschen der Daten entziehen können. Für den Umfang des Auskunftsverlangens ist grds. der Datenbestand zum Zeitpunkt des Auskunftsverlangens maßgeblich (Bäcker, in Kühling/Buchner, E./BDSG, 2. Aufl., Art. 15 Rn. 8 mwN.).
Fristauslösend für die Auskunft ist zu dem Zeitpunkt, bei dem das Auskunftsbegehren dem Verantwortlichen – oder in diesem Fall einem Empfangsbevollmächtigten, nämlich der Betreiberin der Rezeption – nach zivilrechtlichen Grundsätzen zugegangen ist. Diese Frist war vorliegend nicht eingehalten worden.
Die Arbeitgeberin hatte Auskunft erteilt, jedoch nicht in Übereinstimmung mit den Grundsätzen von Art. 15 DSGVO:
Die Beklagte erklärt […], dass die Datenverarbeitung zum Zwecke des Beschäftigungsverhältnisses, namentlich zu dessen Abwicklung und Beendigung, zur Erfüllung bestehender rechtlicher Verpflichtungen und zur Wahrnehmung berechtigter Interessen nach § 26 BDSG bzw. Art. 6 Abs. 1 lit. (b,) c und f E. erfolge. Damit gibt die Beklagte pauschal fast die ganze Bandbreite im Privatrechtsverkehr nahe liegender Zwecke an, ohne konkret und detailliert die Zwecksetzungen mitzuteilen.
Die unzureichende Transparenz wird dadurch verstärkt, dass die Beklagte zuvörderst auf einen Anhang “I.” verweist. […] Die Bezugnahme auf einen Anhang, erst recht wenn er Hunderte Seiten umfasst, ersetzt keine Mitteilung in Form und Sprache gemäß Art. 12 Abs. 1 S. 1 E.
Demgegenüber hält das Gericht fest, dass die Arbeitgeber sind nicht verpflichtet war, unsubstantiierten Behauptungen nachzugehen, es befänden sich weitere Personendaten aufzählen, Notebooks, Telefonen etc. Dem Verantwortlichen werde per se kein unverhältnismässiger Aufwand bei der Suche nach Personendaten abverlangt:
cc) Soweit der Kläger im Schriftsatz vom 21.01.2019 überdies unsubstantiiert vorbringt, dass Vorgesetzte und Kollegen ihn betreffende Daten auf Notebooks, Telefonen etc. gespeichert hätten, die Daten weiter verbreitet, in den IT-Systemen der Beklagten ausgelesen und neu zentral gespeichert würden und sich auf den Servern zahlreiche seiner E‑Mails befänden, besteht ebenfalls kein Anspruch auf Herausgabe der Kopien dieser Daten. Der Aufwand, nach personenbezogenen Daten des Klägers in sämtlichen Servern, Datenbanken, Web-Anwendungen, E‑Mail-Postfächern, Verzeichnisstrukturen, Speichermedien, Smartphones, Notebooks und diversen anderen Endgeräten der Beklagten nebst aller Vorgesetzten und Kollegen des Klägers zu suchen, um sie in Kopie herausgeben zu können, steht in grobem Missverhältnis zum Leistungsinteresse des Klägers. Da der Grundsatz von Treu und Glauben nach Art. 8 Abs. 2 S. 1 GRCh und Art. 5 Abs. 1 lit. a E. für die gesamte Datenverarbeitung gilt, wird dem Verantwortlichen per se kein unverhältnismäßiger Aufwand abverlangt (Franck, in Gola, E., 2. Aufl., Art. 15 Rn. 38).