Führt eine unvollständige oder verspätete Auskunft nach Art. 15 DSGVO zum Anspruch auf immateriellen Schadensersatz?

Diese Frage hatte das Bundesarbeitsgericht (BAG) in seinem Urteil vom 17. Oktober 2024 (Az. 8 AZR 215/23) zu entscheiden.

Das BAG stellte klar, dass ein Arbeitgeber, der den Auskunftsanspruch nach Art. 15 DSGVO nicht, nur unvollständig oder verspätet erfüllt, nicht automatisch zur Zahlung eines immateriellen Schadensersatzes verpflichtet ist.

Anspruch auf Auskunft nach Art. 15 DSGVO

Grundsätzlich hat ein Arbeitnehmer einen Anspruch auf Auskunft gemäß Art. 15 DSGVO. Dabei ist unerheblich, zu welchem Zweck er diese Auskunft verlangt. Dies hatte der Europäische Gerichtshof (EuGH) bereits mit Urteil vom 26. Oktober 2023 (C-307/22, Rn. 43) entschieden.

Nach Art. 15 Abs. 3 DSGVO ist der Arbeitgeber zudem verpflichtet, dem Arbeitnehmer Kopien der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen.

Anspruch auf Schadensersatz nach Art. 82 DSGVO

Die Voraussetzungen für einen Schadensersatzanspruch nach Art. 82 DSGVO hat der EuGH in mehreren Urteilen präzisiert (EuGH-Urteil vom 25. Januar 2024 – C-687/21; EuGH-Urteil vom 21. Dezember 2023 – C-667/21; EuGH-Urteil vom 14. Dezember 2023 – C-456/23; EuGH-Urteil vom 14. Dezember 2023 – C-340/21; EuGH-Urteil vom 4. Mai 2023 – C-300/21).

Demnach besteht ein Anspruch auf Schadensersatz, wenn der betroffenen Person infolge eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist.

Ein bloßer Verstoß gegen die Bestimmungen der DSGVO genügt jedoch nicht für einen immateriellen Schadensersatzanspruch. Zusätzlich zum Verstoß muss ein nachweisbarer Schaden entstanden sein.

Art. 82 DSGVO sieht keine Erheblichkeitsschwelle vor, die der Schaden überschreiten müsste.

Die Befürchtung des Missbrauchs personenbezogener Daten kann grundsätzlich einen ersatzfähigen immateriellen Schaden darstellen. In einem solchen Fall muss die betroffene Person jedoch nachweisen, dass diese Befürchtung aufgrund besonderer Umstände und unter Berücksichtigung ihrer individuellen Situation als berechtigt angesehen werden kann.

Die Höhe des Schadensersatzanspruchs wird von den nationalen Gerichten nach innerstaatlichen Vorschriften bestimmt, wobei die unionsrechtlichen Grundsätze der Äquivalenz und Effektivität zu beachten sind.

Entscheidung des BAG im zugrundeliegenden Fall

Das BAG sah im konkreten Fall keinen hinreichend dargelegten immateriellen Schaden. Wie bereits der EuGH stellte das Gericht klar, dass ein bloßer Verstoß gegen die Vorschriften der DSGVO nicht automatisch zu einem immateriellen Schaden führt.

Zwar bejahte das BAG, dass negative Gefühle oder „Befürchtungen“ grundsätzlich einen Schadensersatzanspruch auslösen können. Da Gefühle jedoch für sich genommen nicht beweisbar sind, muss das Gericht die Gesamtsituation sowie die Glaubwürdigkeit der klagenden Partei auf Grundlage eines substantiierten Sachvortrags bewerten.

Eine bloße „erhebliche Unsicherheit“ begründet nach Ansicht des BAG keinen immateriellen Schaden.

Entgegenstehende Entscheidung des BGH?

Der Bundesgerichtshof (BGH) entschied am 18. November 2024 in den sogenannten Facebook-Scraping-Fällen (BGH-Urteil vom 18.11.2024, VI ZR 10/24), dass bereits der bloße und kurzzeitige Verlust der Kontrolle über personenbezogene Daten infolge eines DSGVO-Verstoßes einen immateriellen Schaden nach Art. 82 DSGVO darstellen kann.

In diesen Fällen erkannte der BGH einen immateriellen Schaden in einer Größenordnung von 100,00 € an. Hierbei ging es jedoch darum, dass personenbezogene Daten an Dritte abflossen.

Es bleibt abzuwarten, ob die BGH-Rechtsprechung Einfluss auf künftige Entscheidungen des BAG hat.

Kann ich also Schadensersatz wegen des Kontrollverlusts über meine personenbezogenen Daten geltend machen?

Ja, nach Auffassung des BGH stellt bereits ein kurzfristiger Kontrollverlust über personenbezogene Daten einen immateriellen Schaden dar. Es bleibt jedoch abzuwarten, wie sich diese Entscheidung auf die arbeitsgerichtliche Rechtsprechung insbesondere im Hinblick auf unvollständige oder verspätete Auskünfte nach Art. 15 DSGVO auswirkt.

Sollten Sie Fragen zur Durchsetzbarkeit Ihres Schadensersatzanspruches habe, stehen wir Ihnen gerne zur Seite. Gemeinsam setzen wir Ihr Recht auf Schadensersatz durch.