Das BAG hat mit Urteil vom 20.06.2024 (Az. 8 AZR 124/23) entschieden, dass die Sorge vor einem Datenmissbrauch einen immateriellen Schaden i.S.v. Art. 82 Abs. 1 DS-GVO darstellen kann. Die bloße Äußerung entsprechender Befürchtungen reicht jedoch für die Darlegung eines Schadens nicht aus.
Sachverhalt
Zwischen den Parteien wurden letztlich erfolglose Gespräche über die Aufhebung eines bestehenden Arbeitsverhältnisses geführt. Die Klägerin begehrte von der Beklagten Auskunft über die Verarbeitung personenbezogener Daten nach Art. 15 Abs. 1 DS-GVO sowie eine Kopie dieser Daten nach Art. 15 Abs. 3 DS-GVO. Die Beklagten lehnte diese Auskunft mit zweifelhafter Begründung wie folgt ab:
„Mit Ihrem Auskunftsverlangen beeindrucken Sie niemanden. Bitte klagen Sie den Anspruch ein, wenn Ihre Mandantin meint, das Arbeitsverhältnis auf diese Weise fortsetzen zu müssen.“
Die Klägerin hat die Auffassung vertreten, die Beklagte sei wegen der Nichterfüllung des Auskunftsanspruchs zur Leistung von immateriellem Schadenersatz verpflichtet. Die Klägerin habe wegen der Verweigerung der Auskunft keinerlei Möglichkeit der Überprüfung der Datenverarbeitung gehabt. Dieser Kontrollverlust sei spürbar und erheblich. Dies gelte insbesondere deshalb, weil die Beklagte die Auskunft vor dem Hintergrund eines Konflikts zunächst vorsätzlich und böswillig verweigert habe.
Entscheidung
Das BAG hat entschieden, dass der Klägerin kein Anspruch auf Ersatz eines immateriellen Schadens gemäß Art. 82 DS-GVO zusteht.
Ein ersatzfähiger Schaden komme zwar bei bestehender und begründeter Sorge um einen Datenmissbrauch in Betracht. Ausgehend von den vom EuGH im Kontext des datenschutzrechtlichen Schadensersatzanspruchs bestimmten Anforderungen an die Darlegungs- und Beweislast (vgl. EuGH 11. April 2024 – C-741/21 – [juris] Rn. 35; 25. Januar 2024 – C-687/21 – [MediaMarktSaturn] Rn. 60 f.), habe die Klägerin keinen Schaden i.S.v. Art. 82 Abs. 1 DS-GVO dargelegt.
Die Klägerin habe zwar ihre aus Unkenntnis der Datenverarbeitung resultierenden Befürchtungen unmissverständlich zum Ausdruck gebracht. Solche Befürchtungen lägen bei einer nicht oder unvollständig erteilten Auskunft jedoch in der Natur der Sache. Die Nichterfüllung eines Auskunftsanspruchs löse geradezu zwangsläufig die Sorge eines Verstoßes gegen sonstige Verpflichtungen aus der DS-GVO aus. Wäre das Berufen auf solche Befürchtungen jedoch für die Annahme eines Schadens bereits ausreichend, würde jeder Verstoß gegen Art. 15 DS-GVO – wenn ein Verstoß dagegen einen Anspruch nach Art. 82 Abs. 1 DS-GVO dem Grunde nach begründen könnte – praktisch in jedem Fall zu einem immateriellen Schaden führen. Die eigenständige Voraussetzung des Schadens würde damit bedeutungslos. Dies sei jedoch mit dem Normverständnis des EuGH von Art. 82 Abs. 1 DS-GVO ebenso wenig zu vereinbaren wie mit den Anforderungen des nationalen Prozessrechts, das die substantiierte Darlegung eines Schadens verlange.
Für eine solche Darlegung eines Schadens reiche auch die Hervorhebung besonderer Spannungen mit dem Auskunftsverpflichteten nicht aus. Die Klägerin verweise zwar nachvollziehbar darauf, dass die Beklagte die Erteilung einer Auskunft zunächst vorsätzlich verweigert habe. Damit werde aber kein immaterieller Schaden belegt, es verbleibe bei der grundsätzlichen Ungewissheit. Eine Straffunktion komme dem Schadenersatzanspruch nach Art. 82 Abs. 1 DS-GVO zudem nicht zu.
Anmerkung
Das BAG setzt einem Schadensersatzanspruch im Kontext einer unterlassenen Auskunftserteilung klare Grenzen und lässt die reine Nichterteilung zur Begründung eines immateriellen Schadensersatzes nicht genügen. Diese zurückhaltende Bewertung trägt dabei dem Umstand Rechnung, dass andernfalls das Merkmal eines relevanten Schadens schlicht übergangen und der reine Gesetzesverstoß zur Grundlage eines Schadensersatzanspruchs erhoben würde.
Dessen ungeachtet ist zu bedenken, dass es – im vorliegenden Fall hat das BAG diesen Aspekt ausdrücklich nicht berücksichtigt – schon fraglich ist, ob die Nichterteilung oder unvollständige Erteilung einer datenschutzrechtlichen Auskunft überhaupt einen Schadensersatzanspruch begründen kann. Bei der Nichterteilung oder unzureichenden Erteilung handelt es sich nämlich formal um einen schlichten Normverstoß, nicht hingegen um eine unrechtmäßige Datenverarbeitung, an welche Art. 82 DS-GVO für den Schadensersatzanspruch eigentlich anknüpft (vgl. hierzu auch BAG, Urt. v. 5. Mai 2022 – 2 AZR 363/21, Rn. 11).
Für betroffene Unternehmen bietet die Entscheidung jedenfalls eine weitere Argumentationsgrundlage zur Zurückweisung von Schadensersatzansprüchen im Falle der Beanstandung von Auskunftsansprüchen durch Betroffene. Letztere müssen jedenfalls deutlich mehr vortragen als ein diffuses Unwohlsein, um überhaupt einen belastbaren Schaden darlegen zu können.