Die Datenschutzgrundverordnung (DSGVO) hat u.a. Arbeitnehmern umfassende Auskunftsansprüche in Bezug auf die über sie vom Arbeitgeber gespeicherten personenbezogen Daten geschaffen. Der Arbeitgeber muss die gewünschten Informationen innerhalb eines Monats erteilen. Dass dieses Auskunftsrecht des Art. 15 DSGVO nicht nur auf dem Papier besteht, zeigt nun ein Urteil des Arbeitsgerichts (ArbG) Düsseldorf vom 5. März 2020 (Az.: 9 Ca 6557/18).
In dem zu Grunde liegenden Fall ging es um die Ansprüche eines ausgeschiedenen Arbeitnehmers. Er verlangte Auskunft über die ihn betreffenden Daten. Da der ehemalige Arbeitgeber seiner Auskunftspflicht nur zögerlich und zudem auch unvollständig nachkam, machte der ehemalige Angestellte Schadensersatzansprüche geltend. Er verlangte Schadensersatz in Höhe eines Jahresgehalts von mehr als 140.000 Euro.
Arbeitgeber zu Auskunft verpflichtet
Das ArbG Düsseldorf sprach dem Kläger Anspruch auf Schadensersatz zu. Bei der Höhe blieb es mit 5.000 Euro allerdings deutlich unter der Forderung des ehemaligen Arbeitnehmers.
Zudem stellte das Gericht fest, dass der ehemalige Arbeitgeber Auskunft erteilen muss über
- die Zwecke, für die die personenbezogenen Daten der klägerischen Partei verarbeitet werden,
- die Kategorien personenbezogener Daten, die verarbeitet werden müssen.
Das Gericht führte weiter aus, dass die Auskünfte präzise, transparent, verständlich, in leicht zugänglicher Form und in klarer, einfacher Sprache erfolgen müssen. Einfache Pauschalitäten und Phrasen seien nicht ausreichend. Vielmehr müssen die Angaben vollständig, konkret und detailliert sein. Wurden Daten an andere Unternehmen oder Behörden weitergegeben, so unterliege die weitere Verarbeitung der Daten durch Dritte aber nicht mehr der Auskunftspflicht des Arbeitgebers.
Immaterieller Schaden durch Verletzung der Auskunftspflicht
Durch die Verletzung der Auskunftspflichten habe der Arbeitnehmer einen immateriellen Schaden erlitten. Denn dadurch, dass verzögert und unzureichend informiert wurde, konnte er nicht den Umgang mit seinen personenbezogenen Daten prüfen. Daher habe er nach § 82 DSGVO Anspruch auf Schadensersatz. Dabei verwies das Gericht darauf, dass der Begriff des immateriellen Schadens weit auszulegen sei.
Der Schaden soll der betroffenen Person vollständig und wirksam ersetzt werden. Zudem müsse der Schadensersatz auch eine abschreckende Höhe haben, damit Verstöße effektiv sanktioniert werden können.
Für die Höhe des Schadensersatzes sei u.a. die Finanzkraft des Unternehmens zu berücksichtigen. Im vorliegenden Fall wurde zu Gunsten des Unternehmens auch berücksichtigt, dass die Verstöße nur fahrlässig erfolgten. Unterm Strich kam das ArbG Düsseldorf zu einem Schadensersatzanspruch in Höhe von 5.000 Euro. Dieser ergab sich aus je 500 Euro für die ersten beiden Monate verspäteter Auskunft und je 1.000 Euro für die drei weiteren Verzugsmonate sowie 1.000 Euro für zwei inhaltliche Mängel. Damit blieb das Gericht deutlich unter der Forderung des Arbeitnehmers.
Das ArbG Düsseldorf hat die Berufung zugelassen.
Das Urteilt zeigt, dass Arbeitgeber die Umsetzung des DSGVO ernstnehmen müssen. Verstöße können teuer werden, auch wenn der Kläger mit seiner Forderung hier deutlich gescheitert ist. Es empfiehlt sich daher auch für Unternehmen des Mittelstandes ein Datenschutz-Management-System zu entwickeln, das auch Routinen für den Umgang mit Auskunftsbegehren von (ehemaligen) Mitarbeitern aber auch von Dritten enthält. Das spart im Fall der Fälle Zeit und reduziert den Aufwand für das Unternehmen.