Verletzung des Auskunftsanspruchs

● Problempunkt

Der Kläger hatte von der Beklagten Auskunft nach Art. 15 DSGVO im Zusammenhang mit seiner Versetzung auf einen anderen Arbeitsplatz sowie einer ihm erteilten Abmahnung geltend gemacht. Der Arbeitgeber nahm zu beiden Sachverhalten Stellung und legte dem Kläger die dazugehörigen Dokumente vor. Ohne auf die erteilte Auskunft weiter einzugehen, machte der Kläger Schadensersatzansprüche wegen Verletzung seines Auskunftsanspruchs i. H. v. 8.000 Euro mit der Begründung geltend, sein ursprüngliches Auskunftsverlangen sei zu keinem Zeitpunkt vollständig erfüllt worden.

▲ Entscheidung

Das BAG lehnte einen Schadensersatzanspruch des Klägers ab. Voraussetzung für einen Schadensersatzanspruch seien ein Verstoß gegen die DSGVO, ein vom Kläger darzulegender Schaden sowie ein Kausalzusammenhang zwischen Schaden und Verstoß. Eine Verletzung des Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO kann für sich allein genommen aber keinen Schadenersatzanspruch begründen. Auch das nur hypothetische Risiko einer missbräuchlichen Datenverwendung kann noch keinen Schaden begründen. Es bedarf vielmehr der substantiierten Darlegung eines tatsächlichen Risikos missbräuchlicher Verwendung der Daten.

›› Konsequenzen

Die Entscheidung folgt der Linie der EuGH-Rechtsprechung. Danach verlangt die Begründung eines Schadensersatzanspruchs nach Art. 82 DSGVO das Vorliegen eines Verstoßes gegen die DSGVO, eines Schadens sowie eines Kausalzusammenhangs zwischen Verstoß und Schaden (EuGH, Urt. v. 14.12.2023 – C–456/22). Die bloße Verletzung des Auskunftsanspruchs reicht für sich nicht aus, um einen Schadensersatzanspruch zu begründen. Andererseits bekräftigt das BAG, dass es für einen Schadensersatzanspruch keine Bagatellgrenze gibt. Selbst der kurzzeitige Verlust der Kontrolle über Daten kann daher einen immateriellen Schaden nach Art. 82 Abs. 1 DSGV0 begründen, sofern die betroffene Person dafür Nachweis erbringt. Der Schaden kann ebenso in der Befürchtung liegen, die personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden. Nicht ausreichend ist ein rein hypothetisches Risiko. Es muss sich vielmehr um eine begründete Befürchtung handeln, die der Betroffene darzulegen hat. Entscheidend für das BAG ist hierbei die begründete Darlegung des tatsächlich erhöhten Risikos missbräuchlicher Verwendung der Daten wie z. B. bei einem Datenleck.

Praxistipp

Nach der mittlerweile gefestigten nationalen und europäischen Rechtsprechung können bereits der Verlust über die Hoheit der personenbezogenen Daten oder die begründete Befürchtung des Missbrauchs zu einem immateriellen Schadensersatzanspruch führen. Es bleibt jedoch die weitere Rechtsprechung abzuwarten, in welchen konkreten Fällen dies im Ergebnis bejaht wird.