DSGVO-Schadensersatz - Unterschiede im Arbeitsrecht und bei den ordentlichen Zivilgerichten

Auf Möglichkeiten, nach der Datenschutz-Grundverordnung (DSGVO) Schadensersatz auch für immateriellen Schaden geltend machen zu können, sind wir in dem Rechtstipp „Schadensersatz und Schmerzensgeld für unberechtigten Schufa-Eintrag“ eingegangen.

Anlass für diesen Rechtstipp ist die Beobachtung, dass in der Praxis der Arbeitsgerichte und der ordentlichen Zivilgerichte teilweise Abweichungen in der Beurteilung von immateriellem Schadensersatz festzustellen sind. Das Arbeitsrecht gehört zwar zum Zivilrecht, wofür jedoch speziell die Arbeitsgerichtsbarkeit eingerichtet wurde, während zivilrechtliche Verfahren im Allgemeinen von den ordentlichen Gerichten, also erstinstanzlich regelmäßig Amts- oder Landgerichten behandelt werden. Sofern eine datenschutzrechtliche Problematik einen Bezug zum Arbeitsrecht aufweist, also z.B. die personenbezogenen Daten eines Angestellten unrechtmäßig verarbeitet werden, kann also ein Arbeitsgericht zuständig sein. Insoweit hatten ordentliche Gerichte und Arbeitsgerichte in der Vergangenheit bereits über vergleichbare datenschutzrechtliche Ansprüche zu entscheiden.

Die hierbei auffallenden Unterschiede in der Beurteilung von immateriellem Schadensersatz beziehen sich sowohl auf die Voraussetzungen dafür, dass überhaupt solcher Schadensersatz zugesprochen wird, als auch auf die Höhe des immateriellen Schadensersatzes.

So stellte der 8. Senat des Bundesarbeitsgerichts seine Rechtsauffassung innerhalb einer Vorlage an den EuGH vom 26.08.2021 wie folgt dar:

„Ferner geht der Senat davon aus, dass der Rechtsanspruch auf immateriellen Schadenersatz nach Art. 82 Abs. 1 DSGVO über eine solche Verletzung der DSGVO hinaus nicht zusätzlich erfordert, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt.  Sie muss also aus Sicht des Senats keine "Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht" (…) darlegen. Nach Auffassung des Senats führt demnach bereits die Verletzung der DSGVO selbst zu einem auszugleichenden immateriellen Schaden.“

Diese Ansicht ist sicher nicht radikal. Schließlich erleidet jede von einer Datenschutzverletzung betroffene Person zwingend insoweit einen ideellen immateriellen Schaden, als ihr Recht auf informationelle Selbstbestimmung beeinträchtigt wurde. Die Konsequenzen, würde sich die Ansicht des Bundesarbeitsgerichts durchsetzen, wären aber erheblich. In Schadensersatzprozessen muss unter anderem grundsätzlich auch der Zusammenhang zwischen der Rechtsgutsverletzung und dem Eintritt des konkreten Schadens, die sogenannte „haftungsausfüllende Kausalität“, dargelegt werden. Abhängig vom Einzelfall kann dies kompliziert sein und ein Gerichtsverfahren nicht nur aufwändig und teuer, sondern auch riskant machen. 
Im Datenschutzrecht würden Darlegungserfordernisse für den Eintritt eines in Geld zu kompensierenden  immateriellen Schadens weitgehend entfallen. Eine von einer Datenschutzverletzung betroffene Person wäre insoweit also privilegiert gegenüber einer Person, die z.B. Schmerzensgeld aufgrund eines Verkehrsunfalls beansprucht.

Entsprechende Ansichten werden auch in der ordentlichen Zivilgerichtsbarkeit vertreten, dort aber ist das Spektrum der Rechtsansichten breiter. Das oben zitierte Bundesarbeitsgericht stellt hingegen das höchste Gericht der deutschen Arbeitsgerichtsbarkeit dar. Die Ansichten der ordentlichen Zivilgerichte reichen teilweise bis ins andere Extrem.

Das Landgericht Karlsruhe äußert in Urteil vom 02.08.2019 – Az.: 8 O 26/19 die nachfolgende Rechtsansicht:

„Zudem hat die Klägerin, eine Haftung dem Grunde nach unterstellt, einen immateriellen Schaden auch nicht ausreichend dargelegt. (…) Dennoch ist die Annahme, dass nunmehr jeder Verstoß gegen die DSGVO allein aus generalpräventiven Gründen zu einer Ausgleichspflicht führt, unzutreffend, denn der Verpflichtung zum Ausgleich eines immateriellen Schadens muss eine benennbar und insoweit tatsächliche Persönlichkeitsverletzung gegenüberstehen, die beispielsweise in der mit einer unrechtmäßigen Zugänglichmachung von Daten liegenden "Bloßstellung" liegen kann (…). Die Ablehnung eines Kreditvertrages durch ein Kreditinstitut, soweit die Ablehnung überhaupt nachweislich auch auf der Mitteilung einer unzutreffenden Einschätzung der Bonität der Klägerin durch eine Auskunftei beruht, begründet aus Sicht des Gerichts nicht ohne Weiteres eine entschädigungspflichtige Persönlichkeitsverletzung,  da es zum einen dem Kreditsuchenden selbst  obliegt, seine Bonität im direkten Kontakt zu belegen, und zum anderen ein Anspruch auf Abschluss eines Kreditvertrages zum Zwecke des Konsums nicht besteht.“

Diese Ansicht befindet sich aus meiner Sicht außerhalb des noch Vertretbaren und verkennt insbesondere die Bedeutung persönlicher Bonität und den Einfluss von Auskunfteien (wie der Schufa) auf dieselbe.

Soweit erkennbar handelt es sich bei dieser Ansicht des Landgerichts Karlsruhe auch um eine extreme Ausnahmeansicht, macht sie aber dennoch ein praktisches Problem bei der Geltendmachung von immateriellem Schadensersatz deutlich: Er ist regelmäßig wenig greifbar. Gegenüber einem entschlossen skeptischen Gericht sind die Möglichkeiten von zwingenden Darlegungen oder Beweisen aufgrund der immateriellen Natur des Schadens – zurückhaltend ausgedrückt – begrenzt. Hierbei ist aber auch zu berücksichtigen, dass Gerichte aufgrund des europarechtlichen Effektivitätsgrundsatzes die nach der DSGVO vorgesehene Regelung (dass durch Datenschutzverletzungen verursachter immaterieller Schaden grundsätzlich zu ersetzen ist), in praktischer Hinsicht zumindest nicht gänzlich vereiteln dürfen – etwa auch nicht durch zu weitgehende Anforderungen an die Darlegungslast.

Ein anderer Punkt, in welchem insgesamt Arbeitsgerichte eine datenschutzfreundlichere Haltung anzunehmen scheinen als ordentliche Gerichte, ist die die Höhe des immateriellen Schadensersatzes.  Exemplarisch hierfür verweise ich auf das Urteil des Arbeitsgerichts Düsseldorf vom 05.03.2020, Az.: 9 Ca 6557/18. Hierin spricht das Gericht einen immateriellen Schadensersatz in Höhe von 5.000 € zu für eine Datenschutzverletzung, welche darin bestand, dass der Arbeitgeber eine Auskunft über Zwecke der Datenverarbeitung und Kategorien der verarbeiteten Daten mit einer fünfmonatigen Verspätung und inhaltlichem Mängeln erteilt hat.

Die ordentlichen Gerichte tun sich mit immateriellem Schadensersatz in dieser Höhe etwas schwerer. Für Schadenersatzansprüche in dieser Höhe scheinen deutlich schwerwiegendere Datenschutzverletzungen erforderlich zu sein. In vergleichbarer Höhe gab es hier immateriellen Schadensersatz aufgrund Datenschutzverletzungen etwa in Form von:

• rechtwidriger Weitergabe personenbezogener „Daten an ein Detektivbüro, verbunden mit der Auftragserteilung zu Recherchen über Vorstrafen und dem Leumund“ (LG Dresden, Urteil vom 26.05.2021, Az.: 8 O 1286/19)
• rechtswidriger Negativmeldung an die Schufa-Holding GmbH (LG Mainz, Urteil vom 12.11.2021, Az.: 3 O 12/20; LG Hannover, Urteil vom 14.02.2022, Az.: 13 O 129/21)
• unzulässiger Weitergabe von Gesundheitsdaten, welche einen unmittelbaren Rückschluss auf die Psyche der betroffenen Person zulassen und die Diagnose einer narzisstischen Persönlichkeitsstörung, sowie Ausführungen über Alkohol- und Drogenkonsum enthalten (AG Pforzheim, Urteil vom 25.03.2020, Az.: 13 C 160/19).

Relativierend soll an dieser Stelle darauf hingewiesen werden, dass generell auch für vergleichbare Sachverhalte die ausgeurteilten Schadensersatzansprüche sehr unterschiedlich ausfallen. Diese Abweichungen sind sowohl innerhalb der Arbeitsgerichtbarkeit, als auch innerhalb der Zivilabteilungen der ordentlichen Gerichte feststellbar. Die Regelungen der DSGVO sind noch relativ neu und weichen – wie weiter oben dargestellt – zum Teil von Rechtsprinzipien des deutschen Schadensersatzrechts ab. Voraussichtlich wird es zumindest noch einige Zeit dauern, bis hier eine gewisse Einheitlichkeit eintreten könnte. Letztlich wirken hier aber besonders die Arbeitsgerichte in diesem Bereich eher datenschutzfreundlich. 

Insbesondere bei oder nach Beendigung eines Arbeitsverhältnisses, kann es daher sinnvoll und erfolgversprechend sein, auch eine Untersuchung und Klärung der datenschutzrechtlichen Aspekte vorzunehmen, bzw. vornehmen zu lassen. Diese können etwa insoweit relevant sein, dass der Arbeitgeber keine personenbezogenen Daten unzulässig verarbeitet oder sogar weitergibt, was sich z.B. auch für ein neues Arbeitsverhältnis oder bereits die Suche danach negativ auswirken könnte.