Alle Mitarbeiter haben ein Recht zu wissen, welche Daten ihr Chef über sie gespeichert hat. Gibt er darüber keine oder zu späte oder unvollständige Auskunft, muss er Schadensersatz zahlen – in einem Düsseldorfer Fall satte 5.000 Euro!
Die Datenschutz-Grundverordnung (DSGVO) gibt jedem Arbeitnehmer das Recht, seinen Chef nach den über ihn gespeicherten personenbezogenen Daten zu fragen. Der Arbeitgeber muss auf Nachfrage darüber zeitnah und vollständig Auskunft erteilen. Anderenfalls muss er dem Mitarbeiter Schadensersatz zahlen, sagt das Arbeitsgericht Düsseldorf. Fachanwalt für Arbeitsrecht Prof. Dr. Michael Fuhlrott bewertet hier das Urteil und den datenschutzrechtlichen Auskunftsanspruch.
Der Auskunftsanspruch
Artikel 15 DSGVO verpflichtet jeden, der personenbezogene Daten verarbeitet, auf Aufforderung umfassend Auskunft über die Verarbeitungszwecke, die Art der verarbeiteten Daten oder die Speicherdauer zu erteilen. Personenbezogene Daten sind dabei alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen. Hierunter fallen sowohl persönliche – etwa Alter, Herkunft, Geschlecht, Ausbildung, Familienstand, Anschrift, Geburtsdatum –, als auch sachliche Angaben – zum Beispiel Vertragsbeziehungen, finanzielle Daten, Kommunikationsverhalten, Arbeitszeiten.
Die Auskunft muss grundsätzlich innerhalb eines Monats erteilt werden, wobei diese Frist im Einzelfall auf maximal drei Monate verlängert werden darf. Auf Wunsch ist auch eine Kopie der Daten zur Verfügung zu stellen.
Ein Verstoß gegen diese Vorschriften kann zum einen ein behördliches Bußgeld auslösen, zum anderen einen Schadensersatzanspruch des Betroffenen begründen.
Der datenschutzrechtliche Auskunftsanspruch kann auch von Arbeitnehmern gegenüber ihren Arbeitgebern geltend gemacht werden. Er stellt Betriebe regelmäßig vor einen hohen administrativen Aufwand: "In einem längeren Arbeitsverhältnis speichert und verarbeitet der Arbeitgeber naturgemäß eine Vielzahl von personenbezogenen Daten", erklärt Fuhlrott. "Dies reicht von Sozialdaten oder Zeugnissen in der Personalakte über personenstandsrechtliche Angaben für die Entgeltabrechnung hin bis zu Protokollen über geführte Personalgespräche oder Zielvereinbarungen." Diese Daten sind alle personenbezogen und auf Aufforderung mitzuteilen.
Dass ein solcher Anspruch dem Arbeitnehmer ohne weiteres zusteht, hatte bereits das Landesarbeitsgericht Baden-Württemberg im Dezember 2018 (Az. 17 Sa 11/18) entschieden. Zwar ist das Urteil noch nicht rechtskräftig und wird über die Revision des Arbeitgebers am 2. September 2020 vor dem Bundesarbeitsgericht verhandelt (Az. 5 AZR 66/19). "Viel Spielraum dürfte das Bundesarbeitsgericht hierbei aber nicht haben, da es sich um europäisches Recht handelt, an das auch das Bundesarbeitsgericht gebunden ist", so Fuhlrott.
In der Praxis ist zudem festzustellen, dass vor allem nach Kündigungen Arbeitnehmer den datenschutzrechtlichen Auskunftsanspruch geltend machen. "Eine Begrenzung des Anspruchs insbesondere hinsichtlich des notwendigen Umfangs der Vorlage der Daten ist dringend nötig", meint Fuhlrott, da andernfalls Unternehmen sämtliche Emails oder sonstigen Speichermedien durchforsten müssen, um nach dort enthaltenen personenbezogenen Daten Ausschau zu halten. "Dies ist schier unmöglich oder jedenfalls unzumutbar", so der Arbeitsrechtler.
Der Fall
Diese Rechtslage nutzte jüngst ein Arbeitnehmer in dem Fall des Düsseldorfer Arbeitsgerichts. Ihm war gekündigt worden und er verlangte Auskunft nach Art. 15 DSGVO von seinem ehemaligen Arbeitgeber. Da dieser die Daten nicht fristgerecht lieferte und auch nicht vollständig Auskunft erteilte, klagte der Arbeitnehmer hierfür Schadensersatz ein.
Das Urteil
Das Arbeitsgericht Düsseldorf sprach dem Arbeitnehmer 5.000 Euro zu (Urteil vom 5. März 2020, Az. 9 Ca 6557/18). Der Mann hatte als Schaden ein ganzes Jahresgehalt von 143.482,81 Euro eingeklagt und somit nur einen Bruchteil davon bekommen. Das Urteil ist noch nicht rechtskräftig und die Berufung ist beim Landesarbeitsgericht Düsseldorf anhängig. Das Urteil zeigt dennoch die Gefahren einer unvollständigen oder verspäteten Auskunft: Der Arbeitnehmer muss keinen konkreten Schaden nachweisen.
Die DSGVO sieht bereits dann einen Anspruch vor, wenn ein immaterieller Schaden durch eine nicht datenschutzrechtskonforme Verarbeitung entstanden ist und nicht nachgewiesen werden kann, dass der Daten-Verarbeiter "in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist".
Immaterieller Schaden: Ungewissheit des Betroffenen
Das Düsseldorfer Arbeitsgericht sah hier einen immateriellen Schaden, weil der Arbeitnehmer im Ungewissen gewesen sei, ob und welche Daten sein vormaliger Arbeitgeber verarbeitet habe. Die Schwere des Schadens sei für die Haftung irrelevant und lediglich für die Bemessung der Anspruchshöhe von Bedeutung.
Das europäische Recht verlange überdies eine effektive Sanktionierung von Verstößen, so das Urteil. Dies werde nur durch Schadensersatz in abschreckender Höhe erreicht. Weitere Zumessungskriterien seien unter anderem Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, frühere einschlägige Verstöße sowie Kategorien der betroffenen Daten. Zudem sei auch der beträchtliche Umsatz des Arbeitgebers zu berücksichtigen. Wieviel der Arbeitnehmer verdient habe, sei hingegen für die Bemessung der Summe irrelevant.
Praxistipp
"Das Urteil dürfte dazu führen, dass der Auskunftsanspruch von Arbeitnehmern künftig standardmäßig geltend gemacht werden wird und sodann zur Vorbereitung eines Schadensersatzanspruchs genutzt wird", befürchtet Arbeitsrechtsexperte Fuhlrott. "Unternehmen sollten daher dem Arbeitnehmerdatenschutz verstärkte Beachtung schenken und entsprechende Routinen vorhalten, um auf Auskunftsansprüche reagieren zu können".
Kommentar schreiben