Das Arbeitsgericht Düsseldorf hat mit Urteil vom 05.03.2020 zum Aktenzeichen 9 Ca 6557/18 entschieden, dass einem ehemaligen Arbeitnehmer 5.000 € Schadensersatz für eine verspätete Datenschutzauskunft zustehen.
Die Beklagte ist ein Unternehmen der I. mit Sitz in Düsseldorf. Zwischen ihr und dem Kläger bestand bis zum 31.01.2018 ein Arbeitsverhältnis, in dem der Kläger ein regelmäßiges Bruttomonatsentgelt iHv. 11.956,90 € erzielte. Die Beklagte übersandte personenbezogene Daten des Klägers jedenfalls an die Unternehmen I. (T.) und I. (N.).
Mit am 19.11.2018 der Beklagten zugestellter Klage verlangt der Kläger zunächst Auskunft und Information zu der Verarbeitung personenbezogener Daten durch die Beklagte und andere Unternehmen und begehrt Kopien dieser Daten.
Mit E-Mail vom 09.12.2018 (Anlage S1, Bl. 314 ff. d.A.) sandte der Prozessbevollmächtigte der Beklagten an den Prozessbevollmächtigten des Klägers ein Schreiben der Beklagten vom 27.11.2018, in dem auf weitere Anlagen verwiesen wird, so ein Konvolut von Kopien personenbezogener Daten und Abdrucke einer Datenübermittlungsvereinbarung (Data Transfer Agreement) vom 23.05.2018. Wegen der Einzelheiten wird auf das Schreiben und den separaten Anlagenordner Bezug genommen. In der Güteverhandlung am 10.12.2018 überreichte der Prozessbevollmächtigte der Klägerseite ua. ein Passwort zu einer Internet-Ressource, wo die Unterlagen abzurufen waren.
Mit Schriftsatz vom 21.01.2019 (Bl. 68 ff. d.A.) nannte der Kläger einzelne Aspekte, hinsichtlich derer die erteilte Auskunft und Information unvollständig seien. Auf dieser Grundlage formulierte das Gericht in der zweiten Güteverhandlung am 07.02.2019 im Einvernehmen mit den Parteien ein Auskunftsbegehren (Protokoll Bl. 59 f. d.A.), zu dem die Beklagte mit Schriftsatz vom 06.03.2019 Stellung nahm (Bl. 63 f. d.A.).
Der Kläger meint, die Auskunft sei über alle Daten zu erteilen, die bei der Beklagten über ihn vorhanden seien. Maßgeblich sei der Datenbestand zum Zeitpunkt des Auskunftsverlangens. Die zunächst erteilte und auch die ergänzende Auskunft seien unvollständig. Soweit sich die Beklagte darauf berufe, dass von ihm verlangte Unterlagen größtenteils Anlagen ihrer Klageerwiderung im Verfahren Arbeitsgericht Düsseldorf – 12 Ca 1965/18 – gewesen seien, räume sie ein, dass zumindest manche der Unterlagen im hiesigen Verfahren nicht mitgeteilt worden seien.
Mit der Beklagten am 09.10.2019 zugestellter Klageerweiterung verlangt der Kläger Entschädigung. Die Beklagte habe mehrere Vorgaben der E. verletzt. So sei die Auskunft verspätet erteilt worden. Er habe bereits mit Schreiben vom 05.06.2018 (Anlage K1, Bl. 5 ff. d.A.) seine Rechte aus Art. 13 und 15 E. geltend gemacht, das er der Beklagten gegen Rückschein vom 07.06.2018 zugesandt habe. Das Schreiben habe er in den Wochen vor dem 05.06.2018 sukzessive formuliert, es am Morgen des 05.06.2018 seiner Ehefrau und weiteren Familienmitgliedern vorgelesen, es in ihrem Beisein unterzeichnet und gemeinsam mit seiner Ehefrau bei der Post aufgegeben. Mit dessen Zugang bei der durch die Fa. X. bewirtschafteten Rezeption sei es in den Machtbereich der Beklagten gelangt, sodass sie darauf binnen einen Monats, spätestens binnen drei Monaten habe reagieren müssen. Überdies sei die Auskunft zu den gestellten Fragen sowie zur Datenübermittlungsvereinbarung lückenhaft. Durch die Verletzungen der E. sei ein immaterieller Schaden entstanden, eine Mindestschwelle sehe das neue Datenschutzrecht nicht vor. Nach den Vorstellungen des europäischen Verordnungsgebers müsse der resultierende Anspruch einen vollständigen, wirksamen Schadensersatz für den erlittenen Schaden bewirken und abschreckend wirken. Er verlange 12 Bruttomonatsgehälter.
Mit weiterer Klageerweiterung verlangt der Kläger Informationen über die Anweisung zu der Löschung der an die I. und I. übermittelten Daten und deren Umsetzung. Außerdem solle die Beklagte eine vollständige ungeschwärzte Kopie der Datenübermittlungsvereinbarung übergeben. Die Daten seien nicht in sichere Drittstaaten übermittelt worden und die Beklagte habe nicht sichergestellt, dass die Anforderungen des Art. 44 E. insbesondere zur Datenlöschung umgesetzt worden seien. Die überreichten Auszüge aus der Vereinbarung seien unvollständig.
Der Kläger hat gegen die Beklagte aus Art. 15 Abs. 1 lit. a E. einen Anspruch auf Auskunft über die Verarbeitungszwecke, zu denen seine personenbezogenen Daten durch die Beklagte verarbeitet werden.
In zeitlicher Hinsicht ist Auskunft über die Zwecke der Verarbeitung seit dem 07.06.2018 bis zum Tag der letzten mündlichen Verhandlung zu erteilen.
Kläger hat gegen die Beklagte zudem Anspruch auf Schadensersatz iHv. 5.000 € aus Art. 82 Abs. 1 E. nebst Zinsen.
Die Beklagte als für die Verarbeitung der personenbezogenen Daten des Klägers iSd. Art. 4 Ziff. 7 E. Verantwortliche hat gegen die E. verstoßen. Nach Art. 82 Abs. 1 E. kann jeder „Verstoß gegen die Verordnung“ eine Schadensersatzpflicht begründen
Die Beklagte hat zum einen gegen die Vorgabe aus Art. 12 Abs. 3 S. 1-3 E. verstoßen, wonach ua. ein Auskunftsantrag nach Art. 15 E. binnen einen Monats nach Eingang, nach einer Unterrichtung über eine Fristverlängerung binnen zwei weiteren Monaten zu beantworten ist.
Zum anderen hat die Beklagte gegen Art. 15 Abs. 1 lit. a und lit b iVm. Art. 12 Abs. 1 S. 1 E. verstoßen, indem sie nicht hinreichend über die Verarbeitungszwecke und die Kategorien personenbezogener Daten, die verarbeitet werden, unterrichtet hat (s. oben I. 2. b) aa) (3) und cc) der Entscheidungsgründe).
Die Beklagte hat nicht dargetan, für die Verstöße nicht verantwortlich zu sein, sodass gemäß Art. 82 Abs. 3 E. eine Haftung entfiele. Insbesondere muss sie sicherstellen, dass sie Betroffenengesuche nach Art. 12 ff. E. auch dann erreichen, wenn rechtsgeschäftlich oder kraft Verkehrsanschauung ein Empfangsbote zur Entgegennahme von Willenserklärungen berechtigt ist.
Verursacht durch die genannten Verstöße hat der Kläger, der keinen materiellen Schaden vorgetragen hat, einen immateriellen Schaden iSd. Art. 82 Abs. 1 E. erlitten. Der Begriff des Schadens ist weit auf eine Art und Weise auszulegen, die den Zielen der E. in vollem Umfang entspricht (EG 146; Bergt, in Kühling/Buchner, E./BDSG, 2. Aufl., Art. 82 Rn. 17; Frenzel, in Paal/Pauly, E./BDSG, 2. Aufl., Art. 82 Rn. 10 mwN.). Ein immaterieller Schaden entsteht nicht nur in den „auf der Hand liegenden Fällen“, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren (EG 75). Indem die Beklagte die Vorgaben aus Art. 15 Abs. 1 Hs. 1, Hs. 2 lit. a, b iVm. Art. 12 Abs. 1, 3 E. verletzt hat, hat sie das Auskunftsrecht des Klägers – das zentrale Betroffenenrecht – beeinträchtigt (vgl. Ehmann, in Ehmann/Selmayr, E., 2. Aufl., Art. 15 Rn. 1 mwN.; Bäcker, in Kühling/Buchner, E./BDSG, 2. Aufl., Art. 5 Rn. 1). Verletzt ist zugleich ein europäisches Grundrecht des Klägers; Art. 8 Abs. 2 S. 2 GRCh gewährleistet das Auskunftsrecht ausdrücklich. Durch die monatelang verspätete, dann unzureichende Auskunft war der Kläger im Ungewissen und ihm die Prüfung verwehrt, dann nur eingeschränkt möglich, ob und wie die Beklagte seine personenbezogenen Daten verarbeitet. Die Schwere des immateriellen Schadens ist für die Begründung der Haftung nach Art. 82 Abs. 1 E. irrelevant und wirkt sich nur noch bei der Höhe des Anspruchs aus (LG Karlsruhe 2. August 2019 – 8 O 26/19 –; Gola/Pitz, in Gola, E., 2. Aufl., Art. 82 Rn. 13 mwN. der restriktiveren Rspr. zu § 823 Abs. 1 BGB iVm. Art. 1 Abs. 1, Art. 2 Abs. 1 GG).
Zum Ersatz dieses immateriellen Schadens hält die Kammer einen Betrag iHv. 5.000 € für geboten, aber auch ausreichend.
Die betroffene Person soll einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten (EG 146). Verstöße müssen effektiv sanktioniert werden, damit die E. wirken kann, was vor allem durch Schadensersatz in abschreckender Höhe erreicht wird (Wybitul/Haß/Albrecht, NJW 2018, 113, 115; Bergt, in Kühling/Buchner, E./BDSG, 2. Aufl., Art. 82 Rn. 18; Frenzel, in Paal/Pauly, E./BDSG, 2. Aufl., Art. 82 Rn. 10 mwN.). Gerichte können sich bei der Bemessung des immateriellen Schadensersatzes auch an Art. 83 Abs. 2 E. orientieren, sodass als Zumessungskriterien unter anderem Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden können (Quaas, in BeckOK Datenschutzrecht, 31. Edition, Art. 31; Wybitul/Haß/Albrecht, NJW 2018, 113, 115). Die Mitgliedsstaaten – auch die erkennende Kammer – sind nach dem Gedanken des Art. 4 Abs. 3 EUV verpflichtet, der E. zur Wirkung zu verhelfen.
Den Grundsätzen entsprechend muss die Beklagte einen Schadensersatz iHv. insgesamt 5.000 € zahlen. Dabei hat die Kammer berücksichtigt, dass der europäische Verordnungsgeber das verletzte Recht als bedeutsam einordnet, wie sich neben Art. 8 Abs. 2 S. 2 GRCh auch an der Zuordnung der Art. 12 ff. E. zu dem Katalog des § 83 Abs. 5 E. zeigt. Es handelt sich eben nicht nur um ein einfaches Arbeitspapier. Weiter hielt der Verstoß einige Monate an, in denen der Kläger über die Datenverarbeitung durch die Beklagte im Ungewissen war. Der Zeitraum vom 08.07. bis 07.09.2018 fiel dabei weniger stark ins Gewicht als die etwa drei Monate bis zum 10.12.2018, da Art. 12 Abs. 3 S. 2 E. dem Antragssteller – wenn auch nach Unterrichtung über eine Fristverlängerung – zumutet, bis zu drei Monate auf die Auskunft zu warten. Außerdem sind die Anforderungen an die zu erteilende Auskunft nicht nur zeitlich, sondern auch inhaltlich verletzt. Überdies war der nach Vortrag des Klägers beträchtliche Umsatz der Beklagten zu berücksichtigen. (Der Vortrag ist unstreitig, doch ist fraglich, ob es sich um den Umsatz der Beklagten oder der I. insgesamt handelt.) Da der Schadensersatz eine angemessene Wirkung erzielen soll, hängt dessen Höhe nicht nur vom eingetretenen immateriellen Schaden, sondern auch von dem nach Art. 4 Ziff. 7 E. Verantwortlichen und dessen Finanzkraft ab. Mit anderen Worten: Die Verletzung der Auskunftspflicht aus Art. 15 E. durch einen finanzschwächeren Verantwortlichen würde zu geringerem Schadensersatz führen.
Zu Gunsten der Beklagten wird berücksichtigt, dass von fahrlässigen Verstößen auszugehen ist. Anhaltspunkte für Vorsatz, mithin die bewusste und gewollte verspätete, dann intransparente Reaktion auf das Auskunftsgesuch, sind nicht ersichtlich. Auch sind keine anderen Verstöße der Beklagten gegen die E. dargetan. Des Weiteren erschließt sich der Kammer nicht, warum die Höhe der Vergütung des Klägers in die Bemessung des Schadensersatzes einfließen sollte. Die Schwere des entstandenen immateriellen Schadens, der vor allem in der Ungewissheit über die Verarbeitung seiner Daten besteht, hängt nicht davon ab, wieviel er verdient. Auch sind besondere Kategorien personenbezogener Daten iSd. Art. 9 E. nicht substantiell betroffen. Endlich ist trotz der Bedeutung des Auskunftsrechts des Art. 15 E. nicht zu verkennen, dass mit dem vom Kläger herangezogenen Bußgeldrahmen des § 83 Abs. 5 E. auch noch weit gravierende Persönlichkeitsrechtsverletzungen sanktioniert werden sollen und die Verhältnismäßigkeit zu wahren ist. Der dem Kläger entstandene immaterielle Schaden ist nicht erheblich.
Unter Berücksichtigung all dessen hat die Kammer für die ersten zwei Monate der Verspätung jeweils 500 €, für die weiteren etwa drei Monate jeweils 1.000 € und für die beiden inhaltlichen Mängel der Auskunft jeweils 500 € angesetzt.
Das Urteil des Arbeitsgerichts Düsseldorf ist nicht rechtskräftig, es wurde Berufung zum Landesarbeitsgericht Düsseldorf (14 Sa 294/20) eingelegt.