Auskunftsanspruch gemäß DSGVO im lang andauernden Arbeitsverhältnis

Bei einem lang andauernden Arbeitsverhältnis kann der auf Auskunft in Anspruch genommene Arbeitgeber verlangen, dass der Arbeitnehmer näher präzisiert, auf welche Informationen oder welche Verarbeitungsvorgänge sich sein Auskunftsersuchen bezieht.

Tatbestand:

Zwei Parteien streiten über einen Anspruch auf Schadenersatz nach Art. 82 Abs. 1 DSGVO wegen eines Verstoßes gegen die Auskunftspflicht nach Art. 15 DSGVO.

Der Kläger ist bei der Beklagten seit dem 1. September 2000 in verschiedenen Funktionen beschäftigt.

Nach 23-jähriger Tätigkeit verlangte der Kläger von der Beklagten im Rahmen eines Konfliktes die datenschutzrechtliche Auskunft nach Art. 15 DSGVO. Daraufhin wurde dem Kläger die Auskunft übersandt, welche rund 400 PDF- Seiten umfasste. Auf die Rüge des Klägers, die Auskunft sei nicht vollständig erteilt, bat die Beklagte zunächst um nähere Präzisierung in Bezug auf die gewünschten Auskünfte. Ferner wurde dem Kläger angeboten, ggf. fehlende Daten vor Ort im Werk der Beklagten einzusehen und die notwendigen Datensätze auszuwählen, damit diese vor einer Herausgabe erforderlichenfalls teilweise geschwärzt werden können. Auf dieses Angebot ist der Kläger nachfolgend nicht eingegangen. Auf Wunsch des Klägers übersandte die Beklagte diesem eine Kopie von dessen Personalakte. Ob diese Kopie die Personalakte vollständig abbildet, ist zwischen den Parteien streitig. Mit seiner beim Arbeitsgericht Heilbronn eingegangenen Klage macht der Kläger Schadensersatzansprüche materieller und immaterieller Art nach Art. 82 DSGVO wegen nicht bzw. unvollständig erteilter Auskunft nach Art. 15 DSGVO geltend.

Entscheidungsgründe:

Die Klage ist unbegründet. Dem Kläger steht ein Schadensersatzanspruch gegen die Beklagte nach Art. 82 DSGVO nicht zu. Ein Verstoß gegen die Pflicht zur Erteilung von Auskünften nach Art. 15 DSGVO wurde unter Berücksichtigung der abgestuften Darlegungs- und Beweislast nicht substantiiert behauptet. Dahinstehen kann, ob eine Auskunftspflichtverletzung überhaupt einen Schadensersatzanspruch nach Art. 82 DSGVO begründen kann, denn jedenfalls wurde ein kausaler Schaden nicht schlüssig dargelegt.

Die Beklagte hat nach Auffassung der Kammer dem Kläger in ausreichendem Umfang die verlangten Auskünfte sowie Datenkopien nach Art. 15 Abs. 1 und 3 DSGVO erteilt. Der klägerische Anspruch ist daher erfüllt, § 362 BGB. Eine Pflichtverletzung der Beklagten ist weder in Bezug auf den Umfang noch auf die Rechtzeitigkeit der erteilten Auskünfte festzustellen.

Nach Erwägungsgrund 63 Satz 1 zur DSGVO dient das Auskunftsrecht der betroffenen Person hinsichtlich der sie betreffenden personenbezogenen Daten dem Zweck, sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.

Die Beklagte hat ausführlich dazu vorgetragen, welche Auskünfte dem Kläger in welchem Umfang erteilt worden sind. Angesichts der zum Zeitpunkt des Auskunftsersuchens über 23-jährigen Dauer des Arbeitsverhältnisses ist nachvollziehbar, dass insoweit erhebliche Datenmengen gesichtet werden mussten und unter Berücksichtigung der Entscheidung in Abs. 4 der Vorschrift, dass Rechte und Freiheiten anderer Personen durch die Auskunft nicht beeinträchtigt werden dürfen, eine Auswahl zu treffen war, welche Daten dem Kläger konkret zur Verfügung gestellt werden. Zudem hat die Kammer berücksichtigt, dass sich aus Erwägungsgrund 63 der Verordnung der Rechtsgedanke ergibt, dass der Verantwortliche dann, wenn er eine große Menge von Informationen über die betroffene Person verarbeitet, verlangen kann, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht. (Erwägungsgrund 63 Satz 7: "Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt."). Hieraus ergibt sich eine sogenannte „abgestufte Erfüllungslast“: Je größer die Menge an Daten ist und je unkonkreter das Auskunfts- bzw. Kopieverlangen, desto weniger ist dem Verantwortlichen die Erteilung einer allumfassenden Auskunft (ggf. mittels Kopien) zuzumuten und desto eher muss sich der Auskunftsberechtigte mit allgemeinen Angaben (z.B. Bereitstellung einer strukturierten Zusammenfassung der verarbeiteten Daten in Tabellenform) oder mit leicht zugänglichen Informationen begnügen (wie z.B. Zugang zu einer Datenbank, in der mittels Suche nach dem Namen der betroffenen Person alle elektronischen Dateien, die das Suchwort umfassen, erfasst sind).

Vor diesem Hintergrund hat der Kläger nicht ausreichend substantiiert dargelegt, welche Informationen ihm noch fehlen sollen.

Die Beklagte hat die Auskunft auch rechtzeitig erteilt. Nach Art. 12 Abs. 3 DSGVO sind die Informationen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zu erteilen, wobei diese Frist um zwei Monate verlängert werden kann, wenn dies unter Berücksichtigung der Komplexität erforderlich ist. Vorliegend hat die Kammer berücksichtigt, dass sich das Auskunftsverlangen auf ganz erhebliche Datenmengen bezog. Angesichts der langen Dauer des Arbeitsverhältnisses zum Zeitpunkt der Auskunft ist die Überschreitung der Monatsfrist um wenige Tage aus Sicht der Kammer unerheblich. Die weiteren erteilten Auskünfte im Rahmen des folgenden Schriftverkehrs unterfallen der Monatsfrist von Art. 12 Abs. 3 DSGVO nicht mehr. Die Kammer sieht die Informationserteilung insgesamt als ohne schuldhaftes Zögern erfolgt, mithin unverzüglich, an.

Selbst dann, wenn man vorliegend eine Verletzung des Rechts auf rechtzeitige und/ oder vollständige Auskunft annehmen würde, fehlt es an weiteren Anspruchsvoraussetzungen zur Begründung eines Schadensersatzanspruchs.

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder gegen den Auftragsdatenverarbeiter. Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, Art. 82 Abs. 2 S. 1 DSGVO.

Es kann dahingestellt bleiben, ob eine Verletzung von Rechten aus Art. 15 DSGVO überhaupt einen zum Schadensersatz verpflichtenden Verstoß im Sinne von Art. 82 Abs. 1 DSGVO darstellen kann. Der Kläger hat schon keinen kausal verursachten Schaden dargelegt.

Das Vorliegen eines Schadens ist eine der drei Voraussetzungen für den in Art. 82 Abs. 1 DSGVO vorgesehenen Schadenersatzanspruch, ebenso wie das Vorliegen eines Verstoßes gegen die Verordnung und eines Kausalzusammenhangs zwischen dem erlittenen Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ vorliegen müssen. Der Schadenersatzanspruch hat, insbesondere im Fall eines immateriellen Schadens, eine Ausgleichsfunktion. Die auf Art. 82 Abs. 1 DSGVO gestützte Entschädigung in Geld soll es ermöglichen, den konkret aufgrund des Verstoßes gegen die Datenschutz-Grundverordnung erlittenen Schaden vollständig auszugleichen, und erfüllt keine Abschreckungs- oder Straffunktion. Diese Rechtsprechung des EuGH wurde vom BAG fortgeführt.

Ersatzfähig als Schaden sind grundsätzlich alle zurechenbaren Nachteile, die der Geschädigte an seinem Vermögen oder an sonst rechtlich geschützten Gütern erleidet. Materielle Schäden können etwa entstehen aus Nichteinstellungen oder Entlassungen auf Basis falscher Informationen, aus falscher Eingruppierung in eine teurere Versicherungsstufe, aus Kreditkündigungen oder schlechten Konditionen bei Kreditverträgen oder aus Vertragsverweigerungen auf Basis falscher Bonitätswerte. Der Schaden muss gerade durch den Rechtsverstoß kausal entstanden sein. Eine alleinige Kausalität ist dabei nicht gefordert, sondern es genügt eine Mitursächlichkeit des Verstoßes für den Schaden.

Der - selbst kurzzeitige - Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden i. S. v. Art. 82 Abs. 1 DSGVO darstellen, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden - so geringfügig er auch sein mag - erlitten hat.

Hinsichtlich der Darlegungs- und Beweislast hat der Gerichtshof der Europäischen Union klargestellt, dass die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nachweisen muss, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist.

Vor diesem Hintergrund hat der Kläger keinen durch eine etwaige lückenhafte Auskunft kausal verursachten materiellen Schaden schlüssig dargelegt. Der Kläger hat auch keinen kausal verursachten immateriellen Schaden durch eine eventuell nicht vollständig erteilte Auskunft dargelegt.

Leitsätze

1. Bei einem lang andauernden Arbeitsverhältnis (hier: 23 Jahre) kann der auf Auskunft in Anspruch genommene Arbeitgeber verlangen, dass der Arbeitnehmer näher präzisiert, auf welche Informationen oder welche Verarbeitungsvorgänge sich sein Auskunftsersuchen bezieht.
2. Je größer die Menge an Daten und je unkonkreter das Auskunftsverlangen ist, desto weniger ist dem Verantwortlichen die Erteilung einer allumfassenden Auskunft zuzumuten und desto eher muss sich der Auskunftsberechtigte mit allgemeinen Angaben (z.B. Bereitstellung einer strukturierten Zusammenfassung der verarbeiteten Daten in Tabellenform) oder mit leicht zugänglichen Informationen begnügen (z.B. Zugang zu einer Datenbank, in der mittels Suche nach dem Namen der betroffenen Person alle elektronischen Dateien, die das Suchwort umfassen, erfasst sind).
3. Der Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO setzt einen Verstoß gegen die Verordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie das Bestehen eines Kausalzusammenhangs zwischen dem erlittenen Schaden und dem Verstoß kumulativ voraus.
4. Das Auskunftsrecht nach Art. 15 DSGVO dient in erster Linie dazu, dass sich die betroffene Person hinsichtlich der sie betreffenden personenbezogenen Daten der Verarbeitung bewusst sein kann, um deren Rechtmäßigkeit überprüfen zu können. Die Auskunft dient jedoch nicht dem Interesse des Betroffenen an der Erlangung solcher Informationen, die er für die Geltendmachung von Ansprüchen (vorliegend: Vergütung streitiger Überstunden) gegenüber dem Auskunftspflichtigen benötigt. Ebenso wie das Prozessrecht keine allgemeine Auskunftspflicht über die im Rahmen von § 138 Abs. 2 ZPO geregelten Pflichten hinaus kennt, kann ein solches Auskunftsrecht über Art. 15 DSGVO hergeleitet werden.
5. Nicht jeder Verstoß gegen Auskunftsansprüche aus Art. 15 DSGVO verursacht zwingend wegen des damit einhergehenden möglichen Kontrollverlusts und der Einschränkung von Rechten einen immateriellen Schaden. Äußert der Betroffene die (subjektive) Befürchtung, seine Daten könnten missbräuchlich verwendet werden, hat das Gericht zu prüfen, ob diese unter den gegebenen Umständen und im Hinblick auf die betroffene Person als (objektiv) begründet angesehen werden kann.

Fundstelle: Urteil des Arbeitsgerichts Heilbronn vom 27.03.2025, Aktenzeichen 8 Ca 123/24 – abrufbar im Internet unter https://www.landesrecht-bw.de/bsbw/document/NJRE001610683