Keine zwangsläufige Entschädigung bei verspäteter Datenauskunft

Auskunftsrecht und Informationspflichten der DSGVO

Die DSGVO soll die Grundrechte und Grundfreiheiten natürlicher Personen schützen, beispielsweise durch den Schutz personenbezogener Daten. Betroffene sind berechtigt zu erfahren, ob Daten ihre Person betreffend gespeichert und verarbeitet wurden. Dazu sind in den Art. 12, 13 DSGVO die Informationspflichten des Verantwortlichen und in Art. 15 DSGVO das Auskunftsrecht für Betroffene geregelt.

Das Auskunftsrecht betrifft u. a.:

• Verarbeitungszwecke
• Empfänger, sofern Daten bereits offengelegt wurden oder noch werden
• Speicherdauer
• Herkunft der Daten

Darüber hinaus besteht das Recht auf Berichtigung und Löschung von Daten, auf Widerspruch, Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit. Außerdem steht Betroffenen ein Beschwerderecht gegenüber Aufsichtsbehörden zu.

Frist für die Datenauskunft

Das auskunftspflichtige Unternehmen muss auf Antrag eine Kopie der gespeicherten und ggf. verarbeiteten Daten einschließlich einer Auskunft über getroffene Maßnahmen bereitstellen. Dafür steht allerdings nur ein begrenzter Zeitrahmen zur Verfügung:

„Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung.“ (Art. 12 Ziff. 3 DSGVO)

Für Unternehmen immer wieder problematisch ist das Auskunftsrecht aus § 15 DSGVO. Beschäftigte dürfen nach dieser Vorschrift Auskunft und Kopien aller personenbezogenen Daten anfordern, die Gegenstand einer Datenverarbeitung beim Arbeitgeber sind oder waren. Für Arbeitgeber stellt es regelmäßig ein Risiko dar, wenn sie ihren Auskunftspflichten nicht oder nicht innerhalb eines angemessenen Zeitraums nachkommen. Denn möglicherweise hat der oder die Mitarbeitende dann einen Schadensersatzanspruch.

Wie wichtig eine fristgerechte Auskunft ist, zeigt ein konkreter Fall:

Auf die Stellenanzeige eines Inkassodienstleisters im Jahr 2017 hatte ein Bewerber seine Unterlagen eingereicht, wurde jedoch abgelehnt. Nach mehr als 6 Jahren, am 18.05.2023, erfragte er die gespeicherten Daten zu seiner Person. Für diese Auskunft setzte er eine Frist bis zum 02.06.2023. Eine Reaktion des Unternehmens blieb aus. Am 03.06.2023 erinnerte der Betroffene an sein Anliegen. Daraufhin antwortete das Unternehmen, es seien keine Daten zu seiner Person gespeichert.

19-tägige Antwortzeit ist nicht „unverzüglich“

Der ehemalige Bewerber reklamierte die Fristüberschreitung und forderte eine Entschädigung von 1.000 EUR. Nachdem keine Zahlung des Unternehmens erfolgt war, reichte er Klage auf Schadensersatz in Höhe von 2.000 EUR ein. Der Kläger begründete dies mit der Fristüberschreitung. Im Gegenzug beharrte das Unternehmen darauf, dass die Auskunft fristgerecht innerhalb der Monatsfrist des Art. 12 DSGVO erteilt worden sei.

Das Arbeitsgericht (ArbG) Duisburg bestätigte die Überschreitung der Auskunftsfrist. Die Auskunft sei unverzüglich, in jedem Fall aber innerhalb eines Monats zu erteilen. Die Beklagte habe nicht „unverzüglich“ auf die Anfrage des Klägers reagiert. Vielmehr wurde die Auskunft erst nach Erinnerung des ehemaligen Bewerbers erstellt, dem auch ein immaterieller Schaden entstanden sei. Dass das Unternehmen die Antwort 19 Tage lang schuldig blieb, sei ohne besondere Gründe nicht zu rechtfertigen.

Daher wurde dem Kläger eine Entschädigung von 750 EUR zugesprochen (ArbG Duisburg, 3. November 2023, Az. 5 Ca 877/23).

Schadensersatzanspruch bei verspäteter Datenauskunft ist einzelfallabhängig

In einer weiteren Klage reichte eine verspätete und unvollständige Datenauskunft nicht aus, um einen Anspruch auf Schadensersatz zu begründen:

Nachdem ein Arbeitnehmer 2016 kurzzeitig bei einem Immobilienunternehmen beschäftigt war, stellte er 2020 einen Auskunftsantrag, den der Arbeitgeber beantwortete. Anfang 2022 forderte der ehemalige Mitarbeiter erneut eine Auskunft an, inklusive einer Kopie seiner Daten. Dafür setzte er eine Frist von zwei Wochen. Das auskunftspflichtige Unternehmen hielt diese Frist nicht ein und antwortete erst Ende Oktober.

Der Antragsteller beanstandete die erhaltene Auskunft als verspätet, unvollständig und inhaltlich mangelhaft. Es fehlten u. a. die Angaben zur Datenspeicherung und zu den Datenempfängern. Der Arbeitgeber ergänzte die Auskunft nur teilweise, so dass der Anfragende nach Erhalt erneut reklamierte. Daraufhin korrigierte das Unternehmen die Informationen im Dezember 2022 vollständig.

Die Verzögerungen und fehlerhaften Auskünfte nahm der ehemalige Mitarbeiter zum Anlass, vor Gericht eine finanzielle Entschädigung einzufordern. Deren Höhe sollte mindestens 2.000 EUR betragen, da sein Auskunftsrecht mehrfach verletzt worden sei. Das ArbG Duisburg sah dies ähnlich und stufte das Vorgehen des Arbeitgebers als vorsätzlichen Verstoß gegen die DSGVO ein. Dem Kläger wurde eine Entschädigung von 10.000 EUR zugesprochen (ArbG Duisburg, 23. März 2023, Az: 3 Ca 44/23).

Ohne nachweisbaren Schaden nicht zwangsläufig eine Entschädigung

Die Beklagte wandte sich in nächster Instanz an das Landesarbeitsgericht (LAG) Düsseldorf, das die Klage auf Entschädigung vollständig abgewiesen hat. Das Unternehmen habe zwar gegen das Auskunftsrecht verstoßen, dies begründe jedoch keinen Anspruch auf eine Geldentschädigung. Ein solcher Anspruch entstehe gemäß Art. 82 Abs. 1 DSGVO erst, wenn eine gegen die DSGVO verstoßende Datenverarbeitung vorläge.

Im vorliegenden Fall fehlte es zwar an einer korrekten und rechtzeitigen Datenauskunft, diese hatte das beklagte Unternehmen jedoch nachgeholt. Einen materiellen oder immateriellen Schaden für den Kläger konnte das Gericht nicht erkennen (LAG Düsseldorf, 28.November 2023, Az: 3 Sa285/23).