Das Arbeitsgericht (ArbG) Duisburg verurteilte ein Unternehmen wegen des Verstoßes gegen das Gebot der Unverzüglichkeit zu einer Geldentschädigung in Höhe von 750 Euro. Das Unternehmen hatte zuvor dem Kläger innerhalb von 19 Tagen Auskunft erteilt und meinte so die in der Datenschutz-Grundverordnung (DSGVO) vorgesehene Frist von bis zu einem Monat eingehalten zu haben (Urteil vom 3. November 2023, Az.: 5 CA 877/23).
Hintergrund des Urteils
In dem vom ArbG Duisburg zu entscheidenden Sachverhalt hatte sich der Kläger auf eine Stelle bei der Beklagten (ein Inkassounternehmen) beworben. Nach sechs Jahren verlangte der Kläger mit E-Mail vom 18. Mai 2023 von der Beklagten Auskunft nach Art. 15 DSGVO und setzte dafür eine Frist bis zum 2. Juni 2023.
Nachdem die Beklagte dem Kläger die begehrte Auskunft nicht erteilte, erinnerte dieser die Beklagte am 3. Juni 2023 elektronisch an sein Auskunftsverlangen. Die Beklagte erteilte daraufhin dem Kläger am 5. Juni 2023 eine Negativauskunft.
Am 9. Juni 2023 forderte der Kläger die Beklagte auf, ihm mitzuteilen, weshalb zuvor keine Auskunft erteilt wurde, und forderte von der Beklagten aufgrund einer vermeintlichen Verletzung des Gebots der Unverzüglichkeit aus Art. 12 Abs. 3 DSGVO die Zahlung einer Geldentschädigung in Höhe von 1.000 Euro. Die Beklagte wies diese Forderung zurück, woraufhin der Kläger die Klage erhob.
Recht auf Auskunft gem. Art. 15 DSGVO
Das Recht auf Auskunft gem. Art. 15 DSGVO berechtigt eine betroffene Person dazu, von einem Verantwortlichen Auskunft darüber zu verlangen, ob und wie ihre Daten verarbeitet werden. Der Verantwortliche ist zur Erteilung der Auskunft verpflichtet, selbst wenn keine personenbezogenen Daten der betroffenen Person verarbeitet werden (Negativauskunft).
Sofern personenbezogene Daten verarbeitet werden, müssen der betroffenen Person die in Art. 15 Abs. 1 DSGVO genannten Informationen bereitgestellt werden. Dazu zählen u.a. die Kategorien der verarbeiteten Daten, die Verarbeitungszwecke und das Beschwerderecht bei einer Aufsichtsbehörde. Darüber hinaus hat die betroffene Person das Recht auf Erhalt einer Kopie der personenbezogenen Daten.
Das Urteil
Das ArbG Duisburg stellte in seinen Entscheidungsgründen fest, dass die Beklagte mit ihrer Auskunftserteilung gegen die DSGVO verstoßen habe, indem sie die Auskunft erst nach 19 Tagen erteilte. Dadurch sei dem Kläger ein Schaden entstanden. Auf dieser Grundlage sprach das Arbeitsgericht dem Kläger eine Geldentschädigung in Höhe von 750 Euro zu.
Verstoß gegen Art. 12 Abs. 3 DSGVO
Das Arbeitsgericht stellte fest, dass die Beklagte nicht „unverzüglich“ auf den Antrag des Klägers geantwortet habe. Art. 12 Abs. 3 DSGVO sei so auszulegen, dass Verantwortliche alle Anträge betroffener Personen, mit denen Betroffenenrechte geltend gemacht werden, beschleunigt zu behandeln haben:
- Nach Auffassung des ArbG dürfe die Höchstfrist von einem Monat nicht routinemäßig, sondern lediglich in schwierigen Fällen ausgeschöpft werden.
- „Unverzüglich“ sei in Anlehnung an § 121 BGB als „ohne schuldhaftes Zögern“ zu verstehen.
- Indes erkennt das Gericht an, dass „unverzüglich” weder mit „sofort” gleichzusetzen noch mit einer starren Frist verbunden sei. Allerdings erfordere die Umsetzung dieser Erkenntnis eine verständige Abwägung der beiderseitigen Interessen.
Nach Ablauf eines Zeitraums von mehr als einer Woche könne ohne Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr angenommen werden. Mit dieser Argumentation folgte das ArbG Duisburg einem Urteil des Bundesarbeitsgerichts vom 27. Februar 2020 (Az.: 2 AZR 390/19).
Das ArbG Duisburg sah in dem vorliegenden Fall keine besonderen Umstände, wie etwa Bearbeitungsaufwand oder eine verlängerte Bearbeitungsspanne, die eine Bearbeitungsfrist von 19 Tagen hätte rechtfertigen können. Auch unter Berücksichtigung der von der Beklagten angeführten Faktoren, darunter Wochenenden, Feiertage und Brückentage, stellte das Gericht fest, dass eine Bearbeitungszeit von 9 Arbeitstagen im vorliegenden Fall angemessen gewesen wäre. Insbesondere sei das klägerische Auskunftsverlangen von geringer Komplexität, da bei der Beklagten keine Daten des Klägers gespeichert waren und deshalb das aufwendige Sichten, Sortieren und Zusammenstellen etwaiger Daten entfiel.
Der Umstand, dass es sich im vorliegenden Fall um eine Bewerbung handelte, die schon vor sechs Jahren bei der Beklagten eingereicht wurde, sei für die Beurteilung der Sachlage irrelevant. Die objektive Dringlichkeit eines Auskunftsverlangens sei für den Tatbestand des Art. 12 Abs. 3 DSGVO nicht erforderlich. Auf eine dahingehende subjektive Bewertung der Beklagten käme es nicht an.
Immaterieller Schaden
Das ArbG Duisburg nahm an, dass dem Kläger durch die verspätete Auskunftserteilung ein immaterieller Schaden entstanden sei. Dieser bestünde in Form des Kontrollverlusts des Klägers über seine Daten. Der Kläger habe sich im Ungewissen darüber befunden, ob und wie die Beklagte seine personenbezogenen Daten verarbeitet habe. Eine Prüfung dessen sei ihm verwehrt gewesen.
Die Schwere des immateriellen Schadens sei für die Begründung einer Haftung nach Art. 82 Abs. 1 DSGVO irrelevant und wirke sich nur bei der Höhe des Anspruchs aus.
Ein Kontrollverlust liege selbst dann vor, wenn ein Verantwortlicher, wie hier die Beklagte, an einen Code of Conduct zur Löschung von Daten gebunden ist. Dies gelte unabhängig von der Kenntnis des Klägers davon. Eine Bindung der Beklagten an einen Code of Conduct würde einen Verstoß gegen die DSGVO nicht per se unmöglich machen und daher nicht dazu führen, dass der Kläger bei verspäteter Antwort keinen Kontrollverlust erleidet.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Datenschutzrechtliche Beurteilung
Begriff der Unverzüglichkeit
Nach Art. 12 Abs. 3 S. 1 DSGVO ist der Verantwortliche verpflichtet, auf Betroffenenanträge unverzüglich zu reagieren. Dies soll in jedem Fall innerhalb eines Monats nach Eingang des Antrags erfolgen.
Zwar sollte nach dem Wortlaut des Art. 12 Abs. 3 S. 1 DSGVO sowie unter Berücksichtigung des Erwägungsgrundes 59 DSGVO die Ausschöpfung der Monatsfrist eine Ausnahme darstellen. Dennoch kann die Frist nach Maßgabe des Art. 12 Abs. 3 S. 3 DSGVO in komplexen Fällen um weitere zwei Monate verlängert werden.
Vor diesem Hintergrund verwundert das Urteil des ArbG Duisburg, sofern es darin annimmt, dass die Monatsfrist nur in schwierigen Fällen ausgeschöpft werden darf. Diese Auffassung dürfte nur begrenzt praxistauglich sein und lässt die Möglichkeit der Fristverlängerung in komplexen und damit schwierigen Fällen außer Betracht.
Zudem ist der Begriff „unverzüglich“ in Ansehung der EuGH-Rechtsprechung für datenschutzrechtliche Sachverhalte im Anwendungsbereich der DSGVO autonom und für alle Mitgliedstaaten einheitlich auszulegen. Grund dafür ist, dass Art. 12 Abs. 3 DSGVO nicht auf das Recht der Mitgliedstaaten verweist. Die Auslegung des Begriffs „unverzüglich“ darf mithin nicht allein anhand der nationalen Vorschriften vorgenommen werden. Insofern verkennt das ArbG Duisburg die europarechtsdogmatische Auslegung dieses Begriffs, wenn es diesen lediglich in unmittelbarer Anlehnung an § 121 Abs. 1 BGB versteht.
Schadensersatzanspruch nach der DSGVO
In Art. 82 DSGVO ist normiert, dass jeder Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, ein Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter zusteht. Laut Rechtsprechung des EuGH muss der Kläger den Schaden substantiiert vortragen.
Gerade an diesem Nachweis durch den Kläger fehlte es jedoch im Verfahren vor dem ArbG Duisburg. In diesem ist der Kläger hinsichtlich des Nachweises seines emotionalen Ungemachs, das durch das Verlust der Kontrolle über seine Daten entstanden sei, beweisfällig geblieben.
Dieser Beweis wäre indes notwendig gewesen, um einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO unter Berücksichtigung der Vorgaben des EuGH zu begründen. Nach diesen Voraussetzungen kann es nicht allein darauf ankommen, dass der dortige Kläger durch eine etwa verspätete Auskunft im Ungewissen über die von der Beklagten verarbeiteten personenbezogenen Daten war.
Tipp: Lesen Sie dazu auch, wie der EuGH datenschutzrechtlichen Schadensersatz bei immateriellen und hypothetischen Schäden definiert.
Fazit
Eine pauschale und verlässliche Aussage darüber, innerhalb welcher Frist aus Sicht nationaler und europäischer Gerichte auf ein Auskunftsersuchen regiert werden muss, ist gegenwärtig nicht möglich. Nationale Gerichte handhaben die unter Umständen verlängerbare Monatsfrist des Art. 12 Abs. 3 DSGVO mitunter restriktiv.
Die Auslegung des Tatbestandsmerkmals „unverzüglich“ sollte im Anwendungsbereich der DSGVO einzelfallbezogen unter Berücksichtigung aller Umstände und dem Einklang mit der Rechtsprechung des EuGH erfolgen. Hilfreich wäre eine Auslegung dieses Begriffs durch den EuGH.
Insgesamt ist das besprochene Urteil des ArbG Duisburg ein weiterer Nachweis für den in der Praxis weit gefassten Schutz betroffener Personen. Dies könnte betroffenen Personen als Anreiz zur Durchsetzung vermeintlicher oder bestehender Ansprüche dienen.
Unabhängig von den Entscheidungen nationaler Gerichte können nationale Aufsichtsbehörden empfindliche Bußgelder aufgrund von Verstößen gegen die DSGVO verhängen. Es ist somit im Interesse jedes Verantwortlichen, rechtzeitig auf Anträge betroffener Personen zu reagieren. Im Zweifel ist es ratsam, eine fachliche Beratung einzuholen.
