5.000 EUR Schadenersatz für verspätetes und inhaltlich unvollständiges Auskunftsbegehren
5.000 EUR Schadenersatz für verspätetes und inhaltlich unvollständiges Auskunftsbegehren
Das Arbeitsgericht Düsseldorf sah es als erwiesen an, dass der Arbeitgeber durch eine verspätete und zudem unvollständige Auskunft Art. 15 DSGVO verletzt hatte und sprach dem Arbeitnehmer einen Schadenersatz von EUR 5.000 zu (Urteil vom 5. März 2020, 9 Ca 6557/18). Für die ersten zwei Monate der Verspätung wurden jeweils 500 EUR, für die weiteren drei Monate jeweils 1.000 EUR und für zwei inhaltliche Mängel der Auskunft jeweils 500 EUR angesetzt.
Der Kläger hatte ebenfalls die Herausgabe von Kopien seiner personenbezogenen Daten verlangt. Dies wurde abgewiesen. Der Aufwand, nach personenbezogenen Daten des Klägers in sämtlichen Servern, Datenbanken, Web-Anwendungen, E-Mail-Postfächern, Verzeichnisstrukturen, Speichermedien, Smartphones, Notebooks und diversen anderen Endgeräten der Beklagten nebst aller Vorgesetzten und Kollegen des Klägers zu suchen, um sie in Kopie herausgeben zu können, stünde in grobem Missverhältnis zum Leistungsinteresse des Klägers.
Die Höhe des Schadenersatzes legte das Gericht unter Berücksichtigung folgender Aspekte fest:
- das verletzte Auskunftsrecht wird als bedeutsam eingeordnet
- Verletzung der Fristen durch den Arbeitgeber
- inhaltliche Fehler der erteilten Auskunft
- "beträchtlicher" Umsatz des Arbeitgebers
- Verhalten des Arbeitgebers wird als fahrlässig eingestuft
- ansonsten keine andere Verstösse des Arbeitgebers bekannt
- die Höhe der Vergütung des Klägers wird als irrelevant betrachtet
- besondere Kategorien von Personendaten waren “nicht substantiell betroffen”
- die Verhältnismässigkeit sei zu wahren
- und der entstandene immaterielle Schaden des Klägers sei “nicht erheblich”
Kommentar
Das Auskunftsbegehren kann in zwei "Begehrensstufen" unterteilt werden. Einerseits hat die betroffene Person, in diesem Fall der Arbeitnehmer Anspruch auf die Information, welche personenbezogenen Daten von ihr verarbeiteten werden, inklusive aller Angaben gemäss Art. 15 DSGVO, wie Datenherkunft, Datenweiterleitung, Speicherdauer, etc. Die Informationen werden im Regelfall hierbei in abstrakter Form bereitgestellt. Das heisst es wird beispielsweise mittgeteilt, dass Kontakt- und Adressedaten, Lohndaten etc. verarbeitet werden. Es ist am diesem Punkt noch nicht notwendig, die Klardaten wie "Else Müller, Musterstrasse 1, 5000 CHF" herauszugeben. Diese abstrakte Auskunft steht betroffenen Personen fast ohne Ausnahme binnen 30 Tagen zu. Innerhalb dieser 30 Tage kann der Verantwortliche die Frist um zwei Monate verlängern, wenn dies "dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist".
Bei der zweiten "Begehrensstufe" kann die betroffene Person auch die Herausgabe von Kopien seiner Klardaten verlangen. An diesem Punkt kann der Verantwortliche sich aber auf den unverhältnissmässigen Aufwand berufen und ebenfalls, dass die Rechte von unbeteiligten dritten Personen nicht verletzt werden dürfen. Dies wäre beispielsweise bei eMails der Fall, in welchen sich Daten von Dritten befinden.