Keine Geldentschädigung bei nur verspäteter DSGVO-Auskunft

Das Bundesarbeitsgericht (BAG) hat mit Urteil vom 20. Februar 2025 (Az. 8 AZR 61/24) entschieden, dass eine bloß verspätet erteilte Auskunft nach Art. 15 DSGVO für sich genommen keinen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO begründet. Die Entscheidung verdeutlicht, dass Betroffene für Schadensersatz mehr als nur eine Datenschutzverletzung vortragen müssen – sie müssen konkrete, nachweisbare immaterielle Beeinträchtigungen glaubhaft machen.

Hintergrund des Rechtsstreits

Der Kläger war bei der Rechtsvorgängerin der Beklagten seit Dezember 2016 beschäftigt. Bereits im Jahr 2020 hatte er ein erstes Auskunftsersuchen gemäß Art. 15 Datenschutz-Grundverordnung (DSGVO) gestellt, dem die Arbeitgeberin seinerzeit auch nachkam. Im Oktober 2022 forderte der Kläger erneut Auskunft über alle ihn betreffenden personenbezogenen Daten, insbesondere im Hinblick auf eine etwaige weitere Datenverarbeitung durch die Arbeitgeberin.

Er setzte der Beklagten mehrere Fristen zur Erteilung dieser Auskunft, zuletzt bis zum 1. Dezember 2022. Eine erste Antwort erhielt er am 27. Oktober 2022, die er jedoch für unvollständig hielt. Auf nochmalige Aufforderung reagierte die Beklagte am 19. Dezember 2022 mit einer ergänzenden Auskunft.

Der Kläger machte geltend, dass ihm durch die verspätete und seiner Ansicht nach unzureichende Auskunft ein immaterieller Schaden entstanden sei – unter anderem in Form eines Kontrollverlusts über seine Daten, Unsicherheit und emotionalem Stress. Er forderte daher eine Geldentschädigung von nicht unter 2.000 € nach Art. 82 Abs. 1 DSGVO.

Vorinstanzen mit unterschiedlicher Bewertung

Das Arbeitsgericht Duisburg gab dem Kläger zunächst Recht und sprach ihm einen Schadensersatz in Höhe von 10.000 € zu. Das Landesarbeitsgericht (LAG) Düsseldorf hob dieses Urteil auf und wies die Klage ab – mit der Begründung, der Kläger habe keinen konkreten immateriellen Schaden dargelegt.

Mit seiner Revision verfolgte der Kläger seine Ansprüche weiter und beantragte die Wiederherstellung des erstinstanzlichen Urteils. Die Beklagte beantragte nicht nur die Zurückweisung der Revision, sondern im Wege eines Inzidentantrags auch die Rückzahlung der gezahlten 10.000 € nebst Zinsen sowie die Erstattung der Vollstreckungskosten.

Die Entscheidung des Bundesarbeitsgerichts

Das BAG wies die Revision des Klägers vollumfänglich zurück. Die Richter stellten klar:

Ein Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO setzt voraus, dass neben einem Verstoß gegen die Verordnung auch ein konkreter immaterieller Schaden vorliegt, der nachgewiesen werden muss.

Keine Entschädigung bei bloßer Verspätung

Die verspätete Erteilung der Auskunft stelle zwar einen Verstoß gegen Art. 12 Abs. 3 DSGVO dar, da die gesetzlich vorgesehene Frist von einem Monat nicht eingehalten wurde. Dies allein sei aber nicht ausreichend, um einen Ersatzanspruch auszulösen. Vielmehr müsse der Kläger auch substantiiert darlegen, worin konkret der immaterielle Schaden bestanden haben soll.

Das BAG betonte in diesem Zusammenhang:

• Ein bloßes Unwohlsein, Ungewissheit oder ein abstraktes Gefühl des Kontrollverlusts über die eigenen Daten genügten nicht.

• Auch pauschale Ängste oder Befürchtungen, dass mit den Daten „Schindluder getrieben werden könnte“, reichten nicht aus, um einen konkret bezifferbaren immateriellen Schaden anzunehmen.

• Erforderlich seien objektive Anhaltspunkte, dass der Kläger tatsächlich einem Datenmissbrauch oder einem vergleichbaren Risiko ausgesetzt gewesen sei.

Kein "automatischer" Schadensersatz bei DSGVO-Verstoß

Das Gericht stellte klar, dass ein Verstoß gegen die DSGVO nicht automatisch zu einem Anspruch auf Geldentschädigung führt. Vielmehr müsse der Schaden selbstständig und eigenständig dargelegt und nachgewiesen werden. Diese Sichtweise deckt sich mit der jüngeren Rechtsprechung des Europäischen Gerichtshofs (EuGH), insbesondere der Urteile in den Verfahren Österreichische Post (C-300/21), Natsionalna agentsia (C-340/21) und MediaMarktSaturn (C-687/21).

In der Praxis bedeutet dies:
Betroffene müssen konkrete Umstände vortragen, die nachvollziehbar eine erhebliche immaterielle Beeinträchtigung erkennen lassen – etwa Scham, Angst, Rufschädigung oder eine nachhaltige psychische Belastung, die auf den Datenschutzverstoß zurückzuführen ist.

Inzidentantrag zur Rückzahlung – Zurückverweisung an das LAG

Hinsichtlich des Inzidentantrags der Beklagten auf Rückzahlung der ursprünglich zugesprochenen 10.000 € entschied das BAG nicht selbst. Es verwies die Angelegenheit zur erneuten Entscheidung an das Landesarbeitsgericht Düsseldorf zurück. Hintergrund ist, dass für eine Entscheidung über Rückzahlung und Vollstreckungskosten weitere Tatsachenfeststellungen notwendig sind, die der Senat nicht selbst treffen konnte.

Praxishinweise für Arbeitnehmer und Arbeitgeber

Für Arbeitnehmer (Betroffene):

• Wer Schadensersatz nach der DSGVO geltend machen will, muss mehr als nur den Verstoß selbst nachweisen.

• Erforderlich ist die nachvollziehbare Darstellung eines realen, nicht nur gefühlten immateriellen Schadens.

• Ein pauschales Berufung auf Kontrollverlust oder Unwohlsein reicht nicht – konkrete Beeinträchtigungen müssen glaubhaft gemacht werden.

Für Arbeitgeber (Verantwortliche):

• Die Entscheidung bedeutet eine gewisse Entlastung: Nicht jede Verzögerung oder Formalverletzung führt automatisch zu Ersatzansprüchen.

• Dennoch sollten Arbeitgeber Auskunftsersuchen ernst nehmen und innerhalb der Monatsfrist korrekt und umfassend beantworten.

• Dokumentation und Kommunikation spielen dabei eine entscheidende Rolle, um späteren Rechtsstreitigkeiten vorzubeugen.

Fazit: BAG konkretisiert Anforderungen an DSGVO-Schadensersatz

Mit seinem Urteil vom 20. Februar 2025 schafft das Bundesarbeitsgericht wichtige Klarheit im Datenschutzrecht:
Eine verspätete, aber letztlich vollständige Auskunft nach Art. 15 DSGVO allein genügt nicht, um einen Anspruch auf immateriellen Schadensersatz auszulösen.

Vielmehr bedarf es einer konkreten, objektiv nachvollziehbaren immateriellen Beeinträchtigung. Diese muss sich vom DSGVO-Verstoß klar abgrenzen lassen und darf nicht bloß auf Vermutungen oder abstrakten Ängsten beruhen.

Die Entscheidung stärkt damit die Differenzierung zwischen bloßen Datenschutzverstößen und echten Persönlichkeitsrechtsverletzungen – und setzt zugleich Maßstäbe für die künftige gerichtliche Bewertung von DSGVO-Schadensersatzklagen.

Rechtsanwalt & Fachanwalt für Arbeitsrecht Dr. jur. Jens Usebach LL.M. von der kanzlei JURA.CC bearbeitet im Schwerpunkt das Kündigungsschutzrecht im Arbeitsrecht. Der Fachanwalt für Arbeitsrecht vertritt Mandanten außergerichtlich bei Aufhebungsverträgen und Abwicklungsverträgen bei der Kündigung des Arbeitsvertrages durch den Arbeitgeber. Soweit erforderlich erfolgt eine gerichtliche Vertretung bei der Kündigungsschutzklage vor dem Arbeitsgericht mit dem Ziel für den Arbeitnehmer eine angemessene und möglichst hohe Abfindung für den Verlust des Arbeitsplatzes, ein sehr gutes Arbeitszeugnis für zukünftige Bewerbungen oder auch die Rücknahme der Kündigung und die Weiterbeschäftigung zu erzielen.

Mehr Informationen unter www.JURA.CC oder per Telefon: 0221-95814321