Die verspätete und unvollständige Erfüllung des Auskunftsanspruchs nach DSGVO

Für die Verarbeitung und Speicherung von personenbezogener Daten besteht bei denjenigen, die speichern, also z.B. Arbeitgeber, eine Rechenschaftspflicht. Um die Rechenschaftspflichten auch durchsetzen zu können, steht den Personen, die von der Speicherung von personenbezogene Daten betroffen sind, ein Auskunftsrecht zu.

Rechtsanwältin, Fachanwältin für Urheber- und Medienrecht und Datenschutzexpertin Katharina von Leitner-Scharfenberg zeigt in diesem Beitrag, warum es ein solches Auskunftsrecht gibt, was bei einem Verstoß droht und warum es sich bei Verstößen gerade nicht um Bagatellen handelt.

 

Das Problemfeld: nicht vollständige oder verspätete Erfüllung des Auskunftsanspruchs

Nicht nur Arbeitgeber erheben und verarbeiten personenbezogene Daten ihrer Mitarbeiter. Doch selbst wenn eine Einwilligung hierfür vorliegt, müssen die personenbezogene Daten rechtmäßig verarbeitet werden und dürfen nur für bestimmte Zwecke genutzt werden. Hierfür muss der Verwender auch Rechenschaft ablegen, wie Art. 8 Abs. 2 DSGVO normiert.

Doch um zu prüfen, ob die Daten rechtmäßig erhoben, verarbeitet und an wen die Daten weitergegeben worden sind, beinhaltet die DSGVO ein umfangreiches Auskunftsrecht. Die Person, die von der Speicherung der Daten betroffen ist, soll z.B. die Möglichkeit der Berichtigung oder Löschung der Daten nutzen können.

Art. 15 DSGVO normiert umfassendes Auskunftsrechts

Der Verantwortliche hat nach Art. 15 DSGVO deshalb eine so umfangreiche Auskunft dem Betroffenen zu erteilen, weil nur durch diese Auskunft der Betroffene überhaupt von dem Umfang und der Art der gespeicherten Daten erfährt und wer diese Daten überhaupt verarbeitet hat. Nur wer diese Informationen und den Inhalt der Daten kennt, kann auch die anderen Betroffenenrechte der DSGVO überhaupt durchsetzen.

Dazu gehören z.B. die angesprochenen Rechte auf Löschung oder Berichtigung, aber auch die Einschränkung der Verarbeitung und das Widerspruchsrecht. Erhält man diese Auskünfte nicht, weiß man zum einen nicht, welche Daten bei dem Verantwortlichen vorliegen und zum anderen lassen sich die Betroffenenrechte nicht durchsetzen.

 

Schadensersatzanspruch für verspätete oder unvollständige Auskunft

Das Arbeitsgericht Düsseldorf hatte 2020 über einen solchen Fall zu entscheiden. Dem betroffenen ehemaligen Arbeitnehmer sprach das Arbeitsgericht 5.000 Euro Schadensersatz zu.

Was war passiert?

Das Arbeitsverhältnis zwischen dem betroffenen Kläger und seinem Arbeitgeber endete Anfang 2018. Der Kläger beantragte bei seinem ehemaligen Arbeitgeber eine Auskunft über die gespeicherten personenbezogenen Daten und die Verarbeitung dieser Daten. Daraufhin antwortete der Arbeitgeber erst einmal nicht und sendete dem Kläger dann etwa 5 Monate nach seiner Anfrage eine unvollständige Auskunft über die personenbezogenen Daten des Klägers.

Der Arbeitnehmer klagte vor dem Arbeitsgericht Düsseldorf und forderte 12 Brutto-Monatsgehälter gem. Art. 82 DSGVO als Entschädigung für die verspätete und unvollständige Auskunft.  Zum einen begründete der Kläger diesen hohen Betrag – in Summe fast 144.000 Euro – damit, dass der Richtliniengeber der DSGVO nicht nur wollte, dass der erlittene Schaden ersetzt werde, sondern die Entschädigung auch abschreckend wirken solle. Zum anderen erwirtschafte der Arbeitgeber einen beträchtlichen Umsatz, so dass dies bei der Berechnung der Entschädigung zu berücksichtigen sei.

Wie entschied das Gericht?

Tatsächlich berücksichtige das Arbeitsgericht Düsseldorf bei der Bemessung des immateriellen Schadens das Argument des Klägers, dass die Umsatzstärke und Finanzkraft des Arbeitgebers eine Rolle spielen müsse. Allerdings müsse auch die Schwere des Verstoßes gegen die DSGVO eine Rolle spielen. Allerdings sah das Gericht keine Grundlage dafür, dass ein Brutto-Jahresgehalt eine angemessene Größe für die Entschädigung darstelle.

Der Arbeitgeber hat das Recht des Klägers auf Auskunft gem. Art. 15 DSGVO verletzt, indem er eine verspätete und unvollständige Auskunft über die personenbezogenen Daten erteilte. Dieser Verstoß sei allerdings lediglich ein fahrlässiger Verstoß, da eine Vorsätzlichkeit, d.h. eine absichtlich verspätete und unvollständige Auskunft, mit Anhaltspunkten nicht beweisbar war.

Verspätete und unvollständige Auskunft ist Verstoß gegen DSGVO

Bereits die unvollständige und verspätete Auskunft sei unabhängig der Schwere ein Verstoß gegen die DSGVO, die zu einem Entschädigungsanspruch führt. Die Schwere des Verstoßes sei lediglich bei der Höhe der Entschädigung zu berücksichtigen. Eine Bagatellgrenze für Verstöße gibt es laut den Richtern des Düsseldorfer Arbeitsgerichts damit nicht.

Zwar erschwere die verspätete und unvollständige Auskunft die Kontrolle der gespeicherten Daten sowie die Wahrnehmung der weiteren zustehenden Rechte nach DSGVO und ließe den Kläger im Ungewissen, ob und welche Daten der ehemalige Arbeitgeber verarbeitet hat. Allerdings sahen die Richter die Schwere des Verstoßes für den Arbeitnehmer als nicht erheblich an, da es sich nicht um eine gravierende Persönlichkeitsrechtsverletzung handele.

Arbeitsgericht Düsseldorf: 5.000 Euro Schmerzensgeld angemessen

Die Richter des Arbeitsgerichts Düsseldorf sprachen dem Kläger in ihrem Urteil (Az. 9 Ca 6557/18) eine Entschädigung für den immateriellen Schaden i.H.v. 5.000 Euro zu. Dabei setzte sich das Schmerzensgeld wie folgt zusammen:

  • Für die beiden Mängel hinsichtlich der unvollständigen Auskunft erhält der Kläger jeweils 500 Euro Schmerzensgeld.
  • Für die ersten beiden Monate der verspäteten Auskunft sprachen die Richter für jeden Monat 500 Euro zu.
  • Für den dritten bis fünften Monat der verspäteten Auskunft entschieden die Richter auf ein Schmerzensgeld von je 1.000 Euro pro Monat.


LAG Niedersachsen: 1.250 Euro Schmerzensgeld angemessen

In einem ähnlich gelagerten Fall, in dem der Arbeitgeber ebenfalls die Auskunft nach Art. 15 DSGVO verspätetet und unvollständig abgab, sprachen die Richter des LAG Niedersachsen (Az. 16 Sa 761/20) einem ehemaligen Arbeitnehmer 1.250 Euro immateriellen Schadensersatz zu. 250 Euro sprachen die Richter für eine kurze Zeit zu, in dem der Arbeitnehmer über die Datenverarbeitung im Unklaren war. 1.000 Euro Entschädigung erhielt der Kläger wegen der unzureichenden und unvollständigen Auskunft.

 

Fazit: Auskunftsrechte vollständig und zeitnah beantworten

Verwender und Verarbeiter von personenbezogenen Daten haben die Pflicht über die Speicherung und Verarbeitung der Daten Rechenschaft abzugeben. Dazu gibt es das Auskunftsrecht in der DSGVO. Erst eine Auskunft, die vollständig ist, ermöglicht dem Betroffenen seine weiteren Rechte aus der DSGVO durchsetzen zu können.

Deshalb wird von den Gerichten bereits bei einem leichten Verstoß, ohne dass eine Bagatellschwelle überschritten werden müsse, ein Verstoß und auch ein Anspruch auf Entschädigung für immaterielle Schäden bejaht. Es kommt also für die Entschädigung nur darauf an, dass ein Verstoß gegen datenschutzrechtliche Pflichten begangen wurde. Bei der Bemessung der Entschädigung wird aber die Schwere des Verstoßes zu berücksichtigen sein.

Der Rat einer Expertin kann bares Geld sparen und macht Verwendung rechtssicher

Bei der rechtskonformen Erteilung von Auskünften gem. Art. 15 DSGVO sollten sich Arbeitgeber an eine Expertin für Datenschutz wenden. Katharina von Leitner-Scharfenberg ist Fachanwältin für Urheber- und Medienrecht sowie Datenschutzbeauftragte und begleitet Arbeitgeber bei der datenschutzrechtlich korrekten Erteilung von Auskünften nach Art. 15 DSGVO.

Sie erreichen Rechtsanwältin Katharina von Leitner-Scharfenberg unter Telefon (030) 206 494 05 oder per E-Mail unter info@vonleitnerscharfenberg.de.