Dass sich der Auskunftsanspruch betroffener Personen nach Art. 15 Datenschutz-Grundverordnung (DSGVO) zunehmend zu einem scharfen Schwert entwickelt, ließ sich bereits im vergangenen Jahr beobachten, als verschiedene Gerichte in ihren Entscheidungen dessen Reichweite konkretisierten und damit die Anforderungen an eine ordnungsgemäße Auskunftserteilung durch datenschutzrechtlich Verantwortliche einerseits klar aufzeigten, andererseits aber auch erhöhten.

Das Teilurteil des Arbeitsgerichts Oldenburg vom 09.02.2023 (Az.: 3 Ca 150/21) verdeutlicht nun, dass eine verspätet erteilte Auskunft nicht nur aufsichtsbehördliche Maßnahmen, sondern auch nicht unerhebliche Schadensersatzansprüche der betroffenen Person nach sich ziehen kann.

Sachverhalt

Der Kläger, ehemals als Geschäftsführer und dann als Vertriebsleiter bei der Beklagten tätig, machte neben u.a. Karenzentschädigungsansprüchen aufgrund eines nachvertraglichen Wettbewerbsverbots Auskunftsansprüche im Zusammenhang mit der Speicherung und Verarbeitung seiner personenbezogenen Daten einschließlich der Herausgabe einer Kopie der gespeicherten personenbezogenen Daten sowie Schadensersatz wegen Nichterteilung der begehrten Auskunft geltend.

Im Vorfeld der klageweisen Geltendmachung forderte er die Beklagte am 19.04.2021 zur datenschutzrechtlichen Auskunft gem. Art. 15 DSGVO unter Fristsetzung bis zum 03.05.2021 auf, worauf die Beklagte am 12.10.2021 ablehnend reagierte.

Erst im laufenden Gerichtsverfahren hatte die Beklagte schließlich am 05.02.2023 ein Unterlagenkonvolut eingereicht und hierzu klargestellt, dass es sich bei den Unterlagen um die bei ihr gespeicherten personenbezogenen Daten des Klägers handele.

Entscheidung

Dies konnte das Arbeitsgericht nicht überzeugen, sodass es die Beklagte u.a. dazu verurteilte, dem Kläger die begehrte Auskunft gem. Art. 15 Abs. 1 DSGVO zu erteilen sowie ihm infolge der Verletzung der Auskunftspflicht Ersatz des immateriellen Schadens in Höhe von insgesamt 10.000,00 € zu zahlen.

Das Gericht ging nicht davon aus, dass der Auskunftsanspruch durch Übersendung des Anlagenkonvoluts erfüllt war. Es führte aus, dass selbst wenn es sich bei den Unterlagen um sämtliche personenbezogenen Daten des Klägers handeln sollte, es sich bei diesen personenbezogenen Daten lediglich um die gespeicherten personenbezogenen Daten des Klägers handele. 

Nach Art. 15 Abs. 1 DSGVO beziehe sich der Auskunftsanspruch jedoch auf die verarbeiteten personenbezogenen Daten des Klägers. Der Klarstellung der Beklagten lasse sich auch nicht entnehmen, inwiefern welche der im Anlagenkonvolut enthaltenen personenbezogenen Daten des Klägers verarbeitet wurden und inwiefern der Auskunftsanspruch hinsichtlich der in Artikel 15 Abs. 1 HS 2 DSGVO genannten einzelnen Informationen durch die Übersendung des Unterlagenkonvoluts erfüllt worden sein soll.

Bei der Bemessung der Höhe des Schadensersatzes berücksichtigte das Gericht, dass die Beklagte über ganze 20 Monate hinweg die sie treffende Auskunftspflicht nicht erfüllt hatte, weshalb es den vom Kläger in Ansatz gebrachten Schaden in Höhe von 500,00 € pro Monat für nicht unangemessen erachtet hat.

Besonderheit der Entscheidung 

Besonders bemerkenswert an dieser Entscheidung ist, dass der Kläger nicht näher dargelegt hat, worin genau der ihm entstandene immaterielle Schaden i.S.v. Art. 82 Abs. 1 DSGVO liegen soll. 
Ob entsprechende Darlegungen überhaupt zu fordern wären, ist im Hinblick auf zwei diesbezügliche beim EuGH anhängige Vorabentscheidungsersuchen derzeit fraglich. Das Bundesarbeitsgericht (BAG) hat sich in einem der vorgenannten Vorabentscheidungsersuchen dahingehend positioniert, dass es davon ausgehe, dass der Rechtsanspruch auf immateriellen Schadensersatz nach Artikel 82 Abs. 1 DSGVO über eine Verletzung der DSGVO hinaus nicht zusätzlich erfordere, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt, sondern die Verletzung selbst bereits zu einem auszugleichenden immateriellen Schaden führe (BAG, EuGH – Vorlage v. 26.08.2021 – 8 AZR 253/20 (A) Rn. 33).

Im Nachgang zu diesem Vorabentscheidungsersuchen hat sich das BAG in einer seiner Entscheidungen bereits dahingehend geäußert, dass zugunsten der Klägerin unterstellt werden kann, dass dem Anspruch nach Art. 82 Abs. 1 DSGVO Präventionscharakter und eine Abschreckungsfunktion zukomme (BAG, Urt. v. 05.05.2022 – 2 AZR 363/21 Rn. 25).
Dieser Auffassung ist auch das Arbeitsgericht Oldenburg in der hiesigen Entscheidung gefolgt.

Praxishinweis

Diese Entscheidung des Arbeitsgerichts zeigt einmal mehr, dass es eine ernstzunehmende Verpflichtung datenschutzrechtlich Verantwortlicher ist, den in der DSGVO verbrieften Betroffenenrechte innerhalb der in Art. 12 Abs. 3 vorgesehenen Fristen nachzukommen.

Weiterhin wird deutlich, dass es zur Erfüllung eines Auskunftsanspruchs bzw. des Rechts auf Erhalt einer Kopie gem. Art. 15 DSGVO keinesfalls ausreichend ist, der betroffenen Person eine unstrukturierte Sammlung von Dokumenten zu übergeben. Vielmehr bedarf es auch hier einer verständlichen Aufbereitung seitens des Verantwortlichen, welche es der betroffenen Person ermöglicht, die in Art. 15 Abs. 1 und 2 DSGVO genannten Kriterien, z.B. die Verarbeitungszwecke oder etwaige Empfänger personenbezogener Daten, nachvollziehen zu können. 

Schließlich dürfte diese Entscheidung, gerade vor dem Hintergrund der noch vom EuGH zu entscheidenden Vorlagefrage, ein weiterer recht bedeutender Schritt auf dem Weg zu einer Verstärkung der Möglichkeit des „Private Enforcement“ der DSGVO sein. 

(ArbG Oldenburg (3. Kammer), Teilurteil vom 09.02.2023 – 3 Ca 150/21)