Immaterieller Schaden im Sinne von Art. 82 DSGVO

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen. Das Verständnis des immateriellen Schadensbegriffs ist in der Rechtsprechung des Gerichtshofs der Europäischen Union nicht geklärt und hoch umstritten.

Das LAG Hamm (Urt. v. 11.5.2021 – 6 Sa 1260/20) befasste sich mit einer Schadensersatzklage, der folgender Sachverhalt zugrunde lag: Die Klägerin war als Hauswirtschafterin in einem Kleinbetrieb beschäftigt und erbrachte ambulante Pflegedienstleistungen. Ende November 2020 erkrankte sie. Mit außergerichtlichem Schreiben ihres Prozessbevollmächtigten vom 30.1.2020 machte sie einen „Auskunftsanspruch nach der Datenschutzgrundverordnung im Hinblick auf sämtliche bei Ihnen gespeicherten Daten, insbesondere die Daten der Arbeitszeiterfassung“ geltend. Am selben Tag kündigte die Beklagte das Arbeitsverhältnis ordentlich. Die Hauswirtschafterin erhob Klage gegen die Kündigung und beantragte, die Beklagte zu verurteilen, an die Klägerin einen immateriellen Schadensersatz, dessen Höhe im Ermessen des Gerichts gestellt wird, zu zahlen. In der Klagebegründung gab sie an, dass sie diesen mit mindestens 6.000 Euro bewerte. Während das Gericht erster Instanz den Schadensersatzanspruch mangels Bezifferung als unzulässig zurückwies, verurteilte das LAG Hamm den Arbeitgeber zur Zahlung eines immateriellen Schadensersatzes i. H. v. 1.000 Euro.

Die Beklagte hat vorliegend gegen ihre Auskunftspflicht aus Art. 15 Abs. 1 DSGVO verstoßen. Danach hat die betroffene Person das Recht, von den Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden, und weiter das Recht auf die unter Buchstabe a bis h der Vorschrift genannten Informationen. Dieses Auskunftsbegehren ist binnen eines Monats nach Eingang zu beantworten (Art. 12 Abs. 3 Satz 1 bis 3 DSGVO). Der Auskunftsanspruch ist ein Grundrecht und gehört zur „Magna Carta“ der Betroffenenrechte. Unstreitig hatte der Arbeitgeber die Auskunft bis zur Entscheidung des LAG nicht erteilt. Damit verstieß er gegen die Vorschriften der DSGVO.

Der Schadensersatzanspruch setzt keinen qualifizierten Verstoß gegen die DSGVO voraus. Für die Annahme einer Erheblichkeitsschwelle oder – andersherum formuliert – die Ausnahme von Bagatellfällen, gibt es keinen Anhaltspunkt. In jedem Arbeitsverhältnis verarbeitet der Arbeitgeber zwangsläufig personenbezogene Daten seiner Mitarbeiter. Für diesen ist nicht erkennbar, in welchem Umfang und in welchen Kategorien eine solche Verwendung erfolgt, ob die Daten auch Dritten zur Verfügung gestellt werden und wie lange sie gespeichert bleiben. Die Schwere des immateriellen Schadens, mithin das Gewicht der Beeinträchtigung, das die Klägerin subjektiv wegen der bestehenden Unsicherheit und des Kontrollverlustes empfinden mag, ist für die Begründung der Haftung nach Art. 82 DSGVO nicht erheblich.

Bei der Bemessung der Höhe des immateriellen Schadensersatzes sind die Umstände des Einzelfalls zu würdigen. Dabei orientiert sich das Gericht an dem Kriterienkatalog für die Bemessung von Bußgeldern in Art. 83 Abs. 2 DSGVO, so u. a. Art, Schwere und Dauer des Verstoßes, Grad des Verschuldens, Kategorien der betroffenen personenbezogenen Daten. Zulasten der Beklagten wertete das Gericht, dass die Auskunft bis zum Tag der Entscheidung nicht erteilt war und dass der Arbeitgeber nicht einsah, dass er mit seinem Verhalten Rechte aus der DSGVO verletzt.

Zulasten der Klägerin berücksichtigte das Gericht, dass sie ihr Auskunftsbegehren nicht konsequent verfolgt und davon abgesehen hatte, den Auskunftsanspruch gerichtlich geltend zu machen. Daraus leitete das Gericht ab, dass die tatsächliche Erlangung einer Kontrolle über die personenbezogenen Daten nicht das primäre Ziel ist und dass der Verlust der Kontrolle auch keine besondere Belastung für sie darstellt. Ihre persönliche Betroffenheit im Hinblick auf die fehlende Möglichkeit der Kontrolle ihrer personenbezogenen Daten sei daher überschaubar, sodass ein Schadensersatzanspruch von 1.000 Euro angemessen erschien.

Gegen das Urteil ist die Revision beim BAG anhängig (Az. 2 AZR 363/21).