ArbG Düs­sel­dorf: Scha­den­er­satz von EUR 5’000 für eine ver­spä­te­te und inhalt­lich unvoll­stän­di­ge Aus­kunft gegen­über einem Arbeit­neh­mer; Bedeu­tung des Umsat­zes für die Ersatz­be­mes­sung

Das Arbeits­ge­richt Düs­sel­dorf hat am 5.März 2019 einen Fall zu Aus­kunfts- und Scha­dens­er­satz­an­sprü­chen im Arbeits­ver­hält­nis ent­schie­den (Urteil vom 5. März 2020, 9 Ca 6557/18). Das Gericht sah es als erwie­sen an, dass der Arbeit­ge­ber durch eine ver­spä­te­te und zudem unvoll­stän­di­ge Aus­kunft Art. 15 DSGVO ver­letzt hat­te.

Immer­hin hielt das Gericht fest, dass der Ver­ant­wort­li­che jeden­falls bei unsub­stan­ti­ier­ten Hin­wei­sen des Arbeit­neh­mers nicht gehal­ten ist, sämt­li­che IT-Infra­struk­tur nach etwai­gen Per­so­nen­da­ten zu durch­su­chen und die­se in Kopie her­aus­zu­ge­ben, weil der Grund­satz von Treu und Glau­ben gel­te und dem Ver­ant­wort­li­chen daher per se kein unver­hält­nis­mä­ssi­ger Auf­wand abver­langt wer­de. Ähn­lich hat­te kurz zuvor bereits das LG Hei­del­berg ent­schie­den.

Das Gericht sprach dem Klä­ger auf­grund der Ver­let­zun­gen Scha­den­er­satz nach Art. 82 DSGVO in Höhe von ins­ge­samt EUR 5’000 zu. Der Arbeit­neh­mer hat­te EUR 143.482,81 ver­langt. Dabei hat das Gericht berück­sich­tigt, dass

  • das Aus­kunfts­recht bedeut­sam ist,
  • der Ver­stoss eini­ge Mona­te andau­er­te (obwohl die Ant­wort­frist nach Art. 12 Abs. 3 DSGVO bis zu drei Mona­ten dau­ern kann),
  • das Aus­kunfts­recht nicht nur zeit­lich, son­dern auch inhalt­lich ver­letzt wur­de,
  • die Arbeit­ge­be­rin “beträcht­li­chen Umsatz” erzielt,

    Da der Scha­dens­er­satz eine ange­mes­se­ne Wir­kung erzie­len soll, hängt des­sen Höhe nicht nur vom ein­ge­tre­te­nen imma­te­ri­el­len Scha­den, son­dern auch von dem nach Art. 4 Ziff. 7 E. Ver­ant­wort­li­chen und des­sen Finanz­kraft ab. Mit ande­ren Wor­ten: Die Ver­let­zung der Aus­kunfts­pflicht aus Art. 15 E. durch einen finanz­schwä­che­ren Ver­ant­wort­li­chen wür­de zu gerin­ge­rem Scha­dens­er­satz füh­ren.

  • aber von fahr­läs­si­gen Ver­stö­ssen aus­zu­ge­hen war,
  • kei­ne ande­re Ver­stö­sse der Arbeit­ge­be­rin bekannt sind,
  • die Höhe der Ver­gü­tung des Klä­gers irrele­vant war,
  • beson­de­re Kate­go­rien von Per­so­nen­da­ten “nicht sub­stan­ti­ell betrof­fen” waren,
  • die Ver­hält­nis­mä­ssig­keit zu wah­ren ist,
  • und der dem Klä­ger ent­stan­de­ne imma­te­ri­el­le Scha­den “nicht erheb­lich” ist.

Infol­ge­des­sen hat das Gericht die Ent­schä­di­gung für die ersten zwei Mona­te der Ver­spä­tung jeweils mit EUR 500, für die wei­te­ren etwa drei Mona­te jeweils mit EUR 1.000 und für die bei­den inhalt­li­chen Män­gel der Aus­kunft mit jeweils EUR 500 ange­setzt.

Abwei­chen­des mit­glied­staat­li­ches Recht bestehe in die­sem Punkt nicht und sei auch nicht zuläs­sig, weil die Rege­lung der Betrof­fe­nen­rech­te der DSGVO inso­weit abschlie­ssend sei:

aa) Zum einen macht der Klä­ger damit den Aus­kunfts­an­spruch nach Art. 15 Abs. 1 Hs. 1 E. gel­tend, gerich­tet auf Aus­kunft, ob per­so­nen­be­zo­ge­ne Daten des Klä­gers durch die Beklag­te ver­ar­bei­tet wer­den. Die Rech­te des Kapi­tels III der nach Art. 288 Abs. 2 AEUV unmit­tel­bar gel­ten­den E. bestehen auch im Arbeits­ver­hält­nis. Die­se all­ge­mei­nen Bestim­mun­gen der E. ent­hal­ten eine Voll­re­ge­lung, auch zum Beschäf­tig­ten­da­ten­schutz (vgl. LAG Baden-Würt­tem­berg 20. Dezem­ber 2018 – 17 Sa 11/18 – Rn. 172). Eine hier ein­schlä­gi­ge Abwei­chung davon iSd. Art. 88 E. ist nicht vor­ge­tra­gen oder sonst ersicht­lich.

Abzu­wei­sen war zunächst der Antrag auf Aus­kunft, ob ande­re Per­so­nen und Unter­neh­men Per­so­nen­da­ten des Klä­gers ver­ar­bei­ten:

Ein sol­cher Aus­kunfts­an­spruch besteht nicht, ins­be­son­de­re nicht aus Art. 15 Abs. 1 Hs. 1 E.. Der Anspruch ist gerich­tet gegen den Ver­ant­wort­li­chen iSd. Art. 4 Nr. 7 E., der über die von ihm durch­ge­führ­te Daten­ver­ar­bei­tung Aus­kunft geben muss. Eine Pflicht zur Mit­tei­lung über eigen­ver­ant­wort­li­che Daten­ver­ar­bei­tung durch Drit­te ist dort nicht ent­hal­ten.

Mass­geb­lich ist sodann der Daten­be­stand zum Zeit­punkt des Aus­kunfts­be­geh­rens:

(a) Der Ver­ant­wort­li­che muss grund­sätz­lich kei­ne Aus­kunft über Daten ertei­len, die er in der Ver­gan­gen­heit ein­mal ver­ar­bei­tet hat und über die er ggf. nicht mehr ver­fügt. Ande­rer­seits soll er sich der Aus­kunfts­pflicht auch nicht durch ein Löschen der Daten ent­zie­hen kön­nen. Für den Umfang des Aus­kunfts­ver­lan­gens ist grds. der Daten­be­stand zum Zeit­punkt des Aus­kunfts­ver­lan­gens maß­geb­lich (Bäcker, in Kühling/Buchner, E./BDSG, 2. Aufl., Art. 15 Rn. 8 mwN.).

Frist­aus­lö­send für die Aus­kunft ist zu dem Zeit­punkt, bei dem das Aus­kunfts­be­geh­ren dem Ver­ant­wort­li­chen – oder in die­sem Fall einem Emp­fangs­be­voll­mäch­tig­ten, näm­lich der Betrei­be­rin der Rezep­ti­on – nach zivil­recht­li­chen Grund­sät­zen zuge­gan­gen ist. Die­se Frist war vor­lie­gend nicht ein­ge­hal­ten wor­den.

Die Arbeit­ge­be­rin hat­te Aus­kunft erteilt, jedoch nicht in Über­ein­stim­mung mit den Grund­sät­zen von Art. 15 DSGVO:

Die Beklag­te erklärt […], dass die Daten­ver­ar­bei­tung zum Zwecke des Beschäf­ti­gungs­ver­hält­nis­ses, nament­lich zu des­sen Abwick­lung und Been­di­gung, zur Erfül­lung bestehen­der recht­li­cher Ver­pflich­tun­gen und zur Wahr­neh­mung berech­tig­ter Inter­es­sen nach § 26 BDSG bzw. Art. 6 Abs. 1 lit. (b,) c und f E. erfol­ge. Damit gibt die Beklag­te pau­schal fast die gan­ze Band­brei­te im Pri­vat­rechts­ver­kehr nahe lie­gen­der Zwecke an, ohne kon­kret und detail­liert die Zweck­set­zun­gen mit­zu­tei­len.

Die unzu­rei­chen­de Trans­pa­renz wird dadurch ver­stärkt, dass die Beklag­te zuvör­derst auf einen Anhang “I.” ver­weist. […] Die Bezug­nah­me auf einen Anhang, erst recht wenn er Hun­der­te Sei­ten umfasst, ersetzt kei­ne Mit­tei­lung in Form und Spra­che gemäß Art. 12 Abs. 1 S. 1 E.

Dem­ge­gen­über hält das Gericht fest, dass die Arbeit­ge­ber sind nicht ver­pflich­tet war, unsub­stan­ti­ier­ten Behaup­tun­gen nach­zu­ge­hen, es befän­den sich wei­te­re Per­so­nen­da­ten auf­zäh­len, Note­books, Tele­fo­nen etc. Dem Ver­ant­wort­li­chen wer­de per se kein unver­hält­nis­mä­ssi­ger Auf­wand bei der Suche nach Per­so­nen­da­ten abver­langt:

cc) Soweit der Klä­ger im Schrift­satz vom 21.01.2019 über­dies unsub­stan­ti­iert vor­bringt, dass Vor­ge­setz­te und Kol­le­gen ihn betref­fen­de Daten auf Note­books, Tele­fo­nen etc. gespei­chert hät­ten, die Daten wei­ter ver­brei­tet, in den IT-Syste­men der Beklag­ten aus­ge­le­sen und neu zen­tral gespei­chert wür­den und sich auf den Ser­vern zahl­rei­che sei­ner E‑Mails befän­den, besteht eben­falls kein Anspruch auf Her­aus­ga­be der Kopien die­ser Daten. Der Auf­wand, nach per­so­nen­be­zo­ge­nen Daten des Klä­gers in sämt­li­chen Ser­vern, Daten­ban­ken, Web-Anwen­dun­gen, E‑Mail-Post­fä­chern, Ver­zeich­nis­struk­tu­ren, Spei­cher­me­di­en, Smart­pho­nes, Note­books und diver­sen ande­ren End­ge­rä­ten der Beklag­ten nebst aller Vor­ge­setz­ten und Kol­le­gen des Klä­gers zu suchen, um sie in Kopie her­aus­ge­ben zu kön­nen, steht in gro­bem Miss­ver­hält­nis zum Lei­stungs­in­ter­es­se des Klä­gers. Da der Grund­satz von Treu und Glau­ben nach Art. 8 Abs. 2 S. 1 GRCh und Art. 5 Abs. 1 lit. a E. für die gesam­te Daten­ver­ar­bei­tung gilt, wird dem Ver­ant­wort­li­chen per se kein unver­hält­nis­mä­ßi­ger Auf­wand abver­langt (Franck, in Gola, E., 2. Aufl., Art. 15 Rn. 38).