(Stuttgart) Die Datenschutzgrundverordnung sieht in Art. 15 einen umfassenden Auskunftsanspruch über die verarbeiteten personenbezogenen Daten vor. Mit einem aktuellen Urteil hat das Arbeitsgericht Düsseldorf nunmehr einen Arbeitgeber zur Zahlung von Schadensersatz in Höhe von EUR 5.000,- verurteilt, da dieser das Auskunftsbegehren nicht zeitnah und vollständig bearbeitet hatte. Unternehmen dürften sich damit regelmäßig derartigen Auskunftsverlangen ausgesetzt sehen.
Einen Überblick über das aktuelle Urteil und den datenschutzrechtlichen Auskunftsanspruch gibt der Hamburger Fachanwalt für Arbeitsrecht Prof. Dr. Michael Fuhlrott.
Datenschutzrechtlicher Auskunftsanspruch
Die Datenschutzgrundverordnung (DS-GVO) ist in Deutschland unmittelbar anwendbares Recht. Deren Art. 15 verpflichtet denjenigen, der personenbezogene Daten verarbeitet, auf Aufforderung umfassend Auskunft über die Verarbeitungszwecke, die Art der verarbeiteten Daten oder die Speicherdauer zu erteilen. Personenbezogene Daten gem. Art. 4 DS-GVO sind dabei alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen. Hierunter fallen sowohl persönliche (z.B. Alter, Herkunft, Geschlecht, Ausbildung, Familienstand, Anschrift, Geburtsdatum), als auch sachliche Angaben (z.B. Vertragsbeziehungen, finanzielle Daten, Kommunikationsverhalten, Arbeitszeiten). Die Auskunft muss grundsätzlich binnen Monatsfrist erteilt werden, wobei diese Frist im Einzelfall auf maximal drei Monate verlängert werden darf (Art. 12 Abs. 3 DS-GVO). Auf Wunsch ist auch eine Kopie der Daten zur Verfügung zu stellen (Art. 15 Abs. 3 DS-GVO).
Ein Verstoß gegen diese Vorschriften kann zum einen ein behördliches Bußgeld auslösen (Art. 83 Abs. 5 b DS-GVO), zum anderen einen Schadensersatzanspruch des Betroffenen begründen (Art. 82 DS-GVO).
Vielzahl von Daten im Arbeitsverhältnis
Der datenschutzrechtliche Auskunftsanspruch kann auch von Arbeitnehmern gegenüber Arbeitgebern geltend gemacht werden. Er stellt Arbeitgeber regelmäßig vor einen enorm hohen administrativen Aufwand: „In einem längeren Arbeitsverhältnis speichert und verarbeitet der Arbeitgeber naturgemäß eine Vielzahl von personenbezogenen Daten“, so Prof. Dr. Michael Fuhlrott. „Dies reicht von Sozialdaten oder Zeugnissen in der Personalakte über personenstandsrechtliche Angaben für die Entgeltabrechnung hin bis zu Protokollen über geführte Personalgespräche oder Zielvereinbarungen“, so Fuhlrott.
Diese Daten sind sämtlichst personenbezogen und auf Aufforderung dem Arbeitgeber mitzuteilen. Dass ein solcher Anspruch Arbeitnehmer ohne weiteres zusteht, hatte bereits das Landesarbeitsgericht Baden-Württemberg im Dezember 2018 (Urt. v. 20.12.2018, Az.: 17 Sa 11/18) entschieden. Zwar ist das Urteil noch nicht rechtskräftig und wird über die Revision des Arbeitgebers am 2.9.2020 (Az.: 5 AZR 66/19) vor dem Bundesarbeitsgericht verhandelt. „Viel Spielraum dürfte das Bundesarbeitsgericht hierbei aber nicht haben, da es sich um europäisches Recht handelt, an das auch das Bundesarbeitsgericht gebunden ist“, so Fuhlrott. In der Praxis ist zudem festzustellen, dass insbesondere in Trennungssituationen und nach Kündigungen Arbeitnehmer den datenschutzrechtlichen Auskunftsanspruch geltend machen. „Eine Begrenzung des Anspruchs insbesondere hinsichtlich des notwendigen Umfangs der Vorlage der Daten ist dringend nötig“, meint Fuhlrott, da andernfalls Unternehmen sämtliche Emails oder sonstigen Speichermedien durchforsten müssen, um nach dort enthaltenen personenbezogenen Daten Ausschau zu halten. „Dies ist schier unmöglich bzw. jedenfalls unzumutbar“, so der Arbeitsrechtler.
Arbeitsgericht Düsseldorf: EUR 5.000,- Schadensersatz für Arbeitnehmer
Diese rechtliche Lage machte sich auch jüngst ein Arbeitnehmer zu Nutze. Nach Beendigung des Arbeitsverhältnisses im Januar 2018 machte der Arbeitnehmer den datenschutzrechtlichen Auskunftsanspruch gegenüber seinem vormaligen Arbeitgeber geltend. Da dieser die Daten nicht fristgerecht lieferte und auch nicht vollständig Auskunft erteilte, klagte der Arbeitnehmer hierfür Schadensersatz ein. Das Arbeitsgericht Düsseldorf sprach diesem dem Arbeitnehmer mit einem kürzlich veröffentlichten Urteil (v. 5.3.2020, Az.: 9 Ca 6557/18) auch zu. Zwar hatte der Arbeitnehmer als Schaden ein ganzes Jahresgehalt eingeklagt, hinter dem das Arbeitsgericht mit den ausgeurteilten EUR 5.000,- weit zurückblieb.
Das Urteil zeigt dennoch eindringlich die Gefahren der unvollständigen oder verspäteten Auskunftserteilung auf: Der Arbeitnehmer muss keinen konkreten Schaden nachweisen. Die DS-GVO sieht bereits dann einen Anspruch vor, wenn ein immaterieller Schaden durch eine nicht datenschutzrechtskonforme Verarbeitung entstanden ist und nicht nachgewiesen werden kann, dass der Verantwortliche „in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist“ (Art. 82 Abs. 3 DS-GVO).
Das Arbeitsgericht bejahte einen immateriellen Schaden dadurch, dass der Arbeitnehmer im Ungewissen gewesen sei, ob und welche Daten sein vormaliger Arbeitgeber verarbeitet habe. Die Schwere des Schadens sei für die Begründung der Haftung irrelevant und lediglich für die Bemessung der Anspruchshöhe relevant. Das europäische Recht verlange überdies eine effektive Sanktionierung von Verstößen. Dies werde nur durch Schadensersatz in abschreckender Höhe erreicht. Weitere Zumessungskriterien seien u.a. Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, frühere einschlägige Verstöße sowie Kategorien der betroffenen Daten. Zudem sei auch der beträchtliche Umsatz des vormaligen Arbeitgebers zu berücksichtigen. Wieviel der Arbeitnehmer verdient habe, sei hingegen für die Bemessung der Summe irrelevant.
„Das Urteil dürfte dazu führen, dass der Auskunftsanspruch von Arbeitnehmern künftig standardmäßig geltend gemacht werden wird und sodann zur Vorbereitung eines Schadensersatzanspruchs genutzt wird“, befürchtet Fuhlrott. „Unternehmen sollten daher dem Arbeitnehmerdatenschutz verstärkte Beachtung schenken und entsprechende Routinen vorhalten, um auf Auskunftsansprüche reagieren zu können“.
Fuhlrott empfiehlt Arbeitgebern und Arbeitnehmern bei Fragen zu datenschutzrechtlichen Auskunftsansprüchen Rechtsrat einzuholen, wobei er u. a. dazu auch auf den VDAA Verband deutscher ArbeitsrechtsAnwälte e. V. – www.vdaa.de – verweist.
Für Rückfragen steht Ihnen zur Verfügung:
Prof. Dr. Michael Fuhlrott
Rechtsanwalt
Fachanwalt für Arbeitsrecht
FHM Rechtsanwälte
Rothenbaumchaussee 5
20148 Hamburg
Tel.: 040 – 36 111 83 0
Fax: 040 – 36 111 83 33
fuhlrott@fhm-law.de
www.fhm-law.de