Der freie Onlinedienst zum Thema Selbstauskunft
Artikel vom 04.10.2022
DSGVO-Selbstauskunft verspätet oder unvollständig: Recht auf Schadensersatz!
Seit Inkrafttreten der europäischen Datenschutzgrundverordnung (DSGVO) ist es für Betroffene von Datenschutz-Verletzungen einfacher, Ansprüche auf Schadensersatz durchzusetzen. Aktuell sprach ein Arbeitsgericht einem ehemaligen Arbeitnehmer 1.500 Euro wegen verspäteter Daten-Selbstauskunft zu. Die Botschaft: Jedes Auskunftsverlangen ist ernst zu nehmen - und bei der Bearbeitung einer Bitte um Selbstauskunft sind gesetzliche Fristen einzuhalten.
Arbeitgeber reagiert erst nach Monaten auf Arbeitnehmer-Anfrage
Bei Verstößen gegen den Datenschutz, die immaterielle Schäden verursachen, besteht Anspruch auf Schadensersatz gem. Art. 82 Abs. 1 DSGVO. Einer Bitte um DSGVO-Selbstauskunft unvollständig oder nur zu spät nachzukommen, ist alles andere als ein Kavaliersdelikt: Nach einem Urteil des Arbeitsgerichts Neumünster (Az.: 1 Ca 247 c/20) muss ein Arbeitgeber einem früheren Arbeitnehmer 1.500 Euro Schadensersatz zahlen. Denn der Chef ließ den Mitarbeiter monatelang auf Informationen zu personenbezogenen Daten warten. Für das Gericht ein klarer Verstoß gegen die europäische Datenschutzgrundverordnung. Der Hintergrund: Nachdem der Arbeitnehmer die fristlose Kündigung erhielt, erhob er Kündigungsschutzklage - und forderte seinen Arbeitgeber im März 2020 zur Erteilung von Auskunft über seine personenbezogenen Daten nach Art. 15 DSGVO auf. Informationen, die erst im Juni bei dem ehemaligen Mitarbeiter eingingen. Drei Monate zu spät, weshalb das Arbeitsgericht die Schadensersatz-Höhe auf dreimal 500 Euro festsetzte. Vergleichsweise niedrig, weil das Gericht im vorliegenden Fall keinen Vorsatz erkennen konnte: Andere Gerichte haben Betroffenen zu spät erteilter Auskunft auch schon vierstellige Beträge zugesprochen.
Infos nach Art. 15 DSGVO? Präzise, verständlich, leicht zugänglich
Schon in 2020 sprach das Arbeitsgericht Düsseldorf (Az. 9 Ca 6557/18) einem früheren Mitarbeiter 5.000 Euro Schadensersatz zu. Wie kam es zu diesem Betrag? Jeder Beklagte, wie er kann: Bei der Höhe wurde auf die Leistungsfähigkeit des Arbeitgebers, nicht auf das Einkommen des Mitarbeiters abgestellt. Dieser hatte die Anfrage auf Selbstauskunft nicht nur verspätet, sondern auch unvollständig beantwortet. Der ehemalige Arbeitgeber hatte dem Kläger lediglich Zugang zu Kopien von personenbezogenen Daten sowie einer Datenübermittlungsvereinbarung gewährt. Nicht genug, so das Arbeitsgericht, weil Informationen zu verarbeiteten Datenkategorien und Verarbeitungszwecken fehlten - statt präzise, transparent, verständlich und leicht zugänglich zu sein, wie es die DSGVO im Sinne von Transparenz verlangt. Hat ein Mitarbeiter diese Daten nicht, kann er nicht nachvollziehen, was mit seinen persönlichen Daten passiert ist. Der Auskunftsanspruch nach Art. 15 DSVGO dient genau diesem Zweck: Kontrollieren ob - als Arbeitnehmer, Verbraucher oder Mietinteressent - die eigenen Daten rechtmäßig verarbeitet wurden.
Für welchen Schaden wird hierbei Ersatz geleistet?
Entschädigt werden muss also für den Kontrollverlust, den der Betroffene durch das Handeln seines Arbeitgebers erleidet, weil er über die Verarbeitung seiner Daten im Ungewissen gelassen wird. Denn Art. 15 DSGVO besagt: Wer nicht prüfen kann, kann auch sein Recht auf "Berichtigung oder Löschung" der ihn betreffenden personenbezogenen Daten oder sein Recht auf "Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung" nicht wahrnehmen. Während der Monate, die bis zur Auskuntserteilung ins Land gehen, werden betreffende Daten weiterverarbeitet. Wann hätte der Arbeitgeber auf den Selbstauskunft-Wunsch seines früheren Mitarbeiters reagieren müssen? Gem. Art. 12 Abs. 3 DSGVO spätestens innerhalb eines Monats; bei offizieller Fristverlängerung spätestens innerhalb von zwei Monaten.
Kritiker der Regelung: Recht auf Selbstauskunft wird ausgenutzt
Kritiker dieses Auskunftsrechts beklagen, die Selbstauskunft gem. Art. 15 DSGVO diene oft dazu, zusätzlich andere, sachfremde Informationen zu erlangen oder bei denjenigen, die auf den Auskunftswunsch reagieren müssten, maximalen Aufwand zu verursachen. Und unterstellen gekündigten Arbeitnehmern vedeckte Motive - wie die Geltendmachung des Auskunftsanspruchs als Druckmittel, um die Höhe von Abfindungen zu beeinflussen. Frei nach dem Motto: Kommst du mir entgegen, verzichte ich darauf, meinen Auskunftsanspruch durchzusetzen. Also würden Arbeitgeber abwägen: Was kommt unterm Strich günstiger für mich, Auskunft erteilen oder gleich eine attraktive Abfindung zahlen? Richtig ist, dass das Gesetz sehr wohl berechtigte Ansprüche von vorgeschobenen unterscheiden kann. Allerdings führen Stimmen, die sich gegen den Auskunftsanspruch positionieren, hier oft ungeeignete Beispiele an. Wie ein Urteil des Oberlandesgerichts Dresden vom März 2022, nach dem ein Auskunftsersuchen nur Mittel zum Zweck gewesen war. Besser lassen sich Äpfel nicht mit Birnen vergleichen: Denn hier ging es um Akteneinsicht bei einer Versicherung, um die Unwirksamkeit von Beitragserhöhungen zu beweisen.
Schadensersatz als sinnvolles Sanktions- und Abschreckungsinstrument
Fazit: Niemand, der Verbraucherdaten sammelt, verarbeitet - und damit nicht selten auch Geld verdient - darf mit diesen personenbezogenen Daten nachlässig umgehen. Jeder Verstoß gegen die DSGVO kann eine Schadensersatzpflicht begründen. Nach Auffassung vieler Gerichte lassen sich solche Verstöße nur durch Abschreckung per Schadensersatz wirksam sanktionieren. Betroffene sollten hier auf Verbraucherschutz spezialisierte Rechtsanwälte beauftragen. Die geltende DSGVO verbessert die Chancen auf Schadensersatz - auch in anderen Datenschutz-Bereichen wie im Schufa-Kontext und angesichts von Sicherheitslücken in Social Media wie Facebook oder bei Handelshäusern wie Otto etc. Denn eigentlich ist es ganz einfach: Wird eine Anfrage beim Arbeitgeber - oder einem anderen Adressaten - gesetzeskonform beantwortet, erhält der Betroffene nur Informationen, die ihn persönlich betreffen - und keine weiteren, die sich z. B. zu Geld machen lassen. Rechtzeitig und umfassend nach § 15 DSGVO Auskunft erteilen? Wer diese Pflicht ernst nimmt, nimmt auch seine Aufgabe ernst, rechtzeitig sinnvolle interne Prozesse im Sinne von Auskunftserteilung zu etablieren!