Das Landesarbeitsgericht Hamm (Urt. v. 11.5.2021 – 6 Sa 1260/20) hat ein Unternehmen dazu verurteilt, einer ehemaligen Mitarbeiterin 1.000 Euro Schadensersatz nach Art. 82 DSGVO zu zahlen. Damit reiht sich die Entscheidung des Landesarbeitsgerichts in eine Reihe bereits ergangener arbeitsgerichtlicher Entscheidungen zum DSGVO-Schadensersatz im Zusammenhang mit datenschutzrechtlichen Auskunftsanträgen ein. Der vorliegende Überblick fasst die wesentlichen Aspekte der Entscheidung und ihre Folgen für die Praxis zusammen.

A. Überblick

In dem vom Landesarbeitsgericht Hamm entschiedenen Fall hatte die Klägerin im Januar 2020 eine Auskunft nach der „Datenschutzgrundverordnung im Hinblick auf sämtliche bei Ihnen gespeicherten Daten, insbesondere die Daten der Arbeitszeiterfassung“ gegen ihre damalige Arbeitgeberin geltend gemacht. Nach Art. 12 Abs. 3 DSGVO müssen datenschutzrechtlich Verantwortliche Auskunftsanträge grundsätzlich innerhalb eines Monats nach Eingang erfüllen. Das beklagte Unternehmen übersandte die erbetenen Stundenzettel sowie Stundennachweise aber erst im August 2020 an die Klägerin.

Im Rahmen eines Kündigungsrechtsstreits nahm die Klägerin die Reaktion des Unternehmens auf ihren Auskunftsantrag zum Anlass, immateriellen Schadensersatz zu fordern, dessen Höhe sie in das Ermessen des Gerichts stellte. Das Arbeitsgericht Herne als Ausgangsinstanz lehnte den entsprechenden Anspruch ab. Das Landesarbeitsgericht Hamm gab der Klage hingegen statt und verurteilte das Unternehmen zur Zahlung von 1000 Euro immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO.

B. Entscheidungsgründe

Das Landesarbeitsgericht Hamm hielt den von der Klägerin erhobenen Klageantrag auf Zahlung von DSGVO-Schadensersatz für hinreichend bestimmt im Sinne von § 253 Abs. 2 Nr. 2 ZPO. Es sei zulässig, die Festlegung der Schadenshöhe in die Ausübung des richterlichen Ermessens zu stellen oder sie zum Gegenstand einer richterlichen Schätzung nach § 287 Abs. 1 ZPO zu machen.

Das Landesarbeitsgericht ging davon aus, dass der Klageantrag auf Zahlung von DSGVO-Schadensersatz gemäß Art. 82 Abs. 1 DSGVO auch begründet war. Die Beklagte habe nach Ansicht des Gerichts gegen die in Art. 12, 15 DSGVO geregelten Vorgaben für datenschutzrechtliche Auskunftsanträge verstoßen. Bis heute habe die Beklagte keine Auskunft darüber erteilt, ob und zu welchem Verarbeitungszweck (Art. 15 Abs. 1 lit. a DSGVO) und nach welchen Kategorien (Art. 15 Abs. 1 lit. b DSGVO) sie personenbezogene Daten der Klägerin verarbeite. Durch die bis heute nicht vollständig erteilte Auskunft habe sie gegen ihre Pflicht aus Art. 15 Abs. 1 DSGVO verstoßen. Durch die fehlende Erteilung der Auskunft sei der Klägerin nach Ansicht Gerichts auch ein zu ersetzender immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO entstanden.

Weder der DSGVO noch ihren Erwägungsgründen lasse sich entnehmen, dass der Schadensersatzanspruch einen qualifizierten Verstoß gegen die DSGVO voraussetze. Für die Annahme einer Erheblichkeitsschwelle gebe es keinen Anhaltspunkt. Vielmehr solle der Begriff des Schadens nach Erwägungsgrund 146 Satz 3 DSGVO im Lichte der Rechtsprechung des Europäischen Gerichtshofes weit und auf eine Weise ausgelegt werden, die den Zielen der Verordnung in vollem Umfang entspricht. Dabei könne ein immaterieller Schaden bereits dann entstehen, wenn die von der Verarbeitung betroffenen Personen daran gehindert werden, die sie betreffenden Daten zu kontrollieren, vgl. Erwägungsgrund 75 DSGVO. Eine solche Kontrolle über diese Daten habe die Klägerin indes nicht, solange die Beklagte ihrer Auskunftspflicht nicht nachkomme. Der Klägerin fehle dabei nicht nur die Kenntnis, welche Kategorien von Daten die Beklagte für welche Zwecke verarbeite. Sie könne auch nicht beurteilen, wie lange ihre Daten nach Beendigung des Arbeitsverhältnisses weiter gespeichert blieben und an welche Dritte die Beklagte solche Daten ggf. weiterreicht.

Die Schwere des immateriellen Schadens, mithin das Gewicht der Beeinträchtigung, das die Klägerin – subjektiv – wegen der bestehenden Unsicherheit und des Kontrollverlustes empfinden mag, sei für die Begründung der Haftung nach Art. 82 Abs. 1 DSGVO und mithin für die Frage des „ob“ eines entstandenen Schadens nicht erheblich. Diese Frage könne allenfalls bei der Höhe des zu ersetzenden Schadens relevant sein.

Das Gericht kam unter Berücksichtigung der Umstände des Einzelfalls zu dem Ergebnis, dass vorliegend ein Schadensersatzanspruch in Höhe von 1000 Euro gerechtfertigt sei. Dabei bewertete es zu Lasten der Beklagten, dass diese „kein Problembewusstsein“ gezeigt und die erbetenen Auskünfte bis zum Zeitpunkt der Urteilsverkündung nicht erteilt habe. Zu ihren Gunsten sei hingegen zu berücksichtigen, dass die Klägerin ihren Anspruch nicht konsequent verfolgt habe und der Grad der persönlichen Betroffenheit aus Sicht des Gerichts „überschaubar“ gewesen sei.

C. Bewertung der Entscheidung und Ausblick

Das Landesarbeitsgericht Hamm hat die Revision im Hinblick auf den gegenständlichen Schadensersatzanspruch zugelassen. Dieses Vorgehen ist in Bezug auf Art. 267 AEUV folgerichtig, da viele Fragen zum DSGVO-Schadensersatz bislang ungeklärt sind. Das Verfahren ist beim Bundesarbeitsgericht unter dem Aktenzeichen 2 AZR 363/21 anhängig.

Die vom Landesarbeitsgericht angeführte Begründung ist an einigen Stellen fragwürdig. Das Gericht übersieht etwa, dass in dem von ihm selbst genannten Erwägungsgrund 75 DSGVO sehr wohl von erheblichen Schäden die Rede ist. Insofern vermag etwa die Begründung der Entscheidung zur Ablehnung einer Erheblichkeitsschwelle nicht zu überzeugen.

Vor allem aber bestätigt das Urteil den bereits zuvor klar erkennbaren Trend deutscher Arbeitsgerichte, eher als ordentliche Zivilgerichte Klägern immateriellen Schadensersatz nach Art. 82 DSGVO zuzusprechen. So hat etwa kürzlich auch der Österreichische Oberste Gerichtshof (OGH) einem Kläger wegen einer nach Einschätzung der Richter unzureichend beantworteten Datenauskunft nach Art. 15 DSGVO 500 Euro als immateriellen Schadensersatz zugesprochen. In einer anderen Entscheidung hat der OGH wesentliche Fragen zur Auslegung von Art. 82 DSGVO dem EuGH vorgelegt. Daher dürften die höchsten EU-Richter in absehbarer Zeit verbindliche Antworten auf wesentliche Fragen zum DSGVO-Schadensersatz geben. Erwartungsgemäß dauern Verfahren vor dem EuGH im Durchschnitt allerdings über anderthalb Jahre. Mit einer übermäßig zeitnahen Klärung ist daher auch nicht zu rechnen.

Auch deutsche Gerichte haben in letzter Zeit vermehrt Klägern Schadensersatz für unvollständige, verspätete oder intransparente Auskünfte zugesprochen. So hat etwa das Arbeitsgericht Neumünster einem Kläger 1.500 Euro (500 Euro pro Monat) Schadensersatz für eine verspätete Auskunft an Schadensersatz zugesprochen. Auch das Arbeitsgericht Düsseldorf hatte ein Unternehmen zur Zahlung von 5.000 Euro Schadensersatz für eine unvollständige und verspätete Auskunft nach Art. 15 Abs. 1 DSGVO verurteilt.

Bereits jetzt sehen Klägervertreter, Prozessfinanzierer und auf solche Verfahren spezialisierte Legal Tech-Anbieter die für sie günstigen Entscheidungen europäischer und deutscher Gerichte als Geschäftschance für einzelne Verfahren oder sogar für die massenhafte Geltendmachung von Ansprüchen nach Art. 82 DSGVO.