Arbeitsgericht Dresden: Schadensersatz bei unberechtigter Weitergabe von Arbeitsunfähigkeitszeiten - DSGVO

Welche Konsequenzen die Weitergabe von Krankheitszeiten haben kann, musste das  Arbeitsgericht Dresden am 26.08.2020 entscheiden (Az. 13 Ca 1046/20). Warum das Urteil aus unterschiedlichen Gründen für Arbeitnehmer und Arbeitgeber relevant ist, soll im Folgenden dargestellt werden.

I. Datenkategorien, Schadensersatz und Arbeitsgerichtsverfahren

Die Datenschutzgrundverordnung (DSGVO) kennt einerseits die „normale“ und andererseits besondere Kategorien personenbezogener Daten. Dies sind nach Art. 9 Abs. 1 DSGVO Daten, aus denen beispielsweise die ethnische Herkunft oder die religiöse Überzeugung hervorgeht. Die Verarbeitung dieser Daten ist grundsätzlich untersagt, wenn nicht ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO vorliegt.

In diese besonderen Kategorien fallen aber auch  Gesundheitsdaten. Nach Art. 4 Nr. 15 DSGVO sind dies „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“.

Neben dieser Einordnung von personenbezogener Daten regelt die DSGVO auch einen eigenständigen Schadensersatzanspruch. Nach Art. 82 DSGVO hat jede Person bei einem Verstoß gegen die DSGVO einen Anspruch auf Ersatz ihres materiellen oder immateriellen Schaden.

Daneben besteht nach § 12 a ArbGG eine besondere Kostenregelung für den Prozess vor den Arbeitsgerichten. Hiernach hat die obsiegende Partei im ersten Rechtszugs keinen Anspruch auf Entschädigung wegen Zeitversäumnis und auf Erstattung der Kosten für die Zuziehung eines Prozessbevollmächtigten oder Beistands. Für die Praxis bedeutet dies beispielsweise, dass in der ersten Instanz vor dem Arbeitsgericht jede Seite ihren Anwalt selber zahlt.

II. Das Urteil

In dem Fall des Arbeitsgericht Dresden trafen nun alle diese Regelungen zusammen. Dabei soll zunächst grob das Urteil dargestellt werden, ehe auf die wesentlichen Punkte eingegangen wird.

1. Was war geschehen?

Der Kläger war Ausländer und hatte einen Aufenthaltstitel. Er arbeitete bei der Beklagten und war 2019 viele Tage erkrankt. Nun wandte sich die Prokuristin der Beklagten an die Ausländerbehörde und behauptete dort, dass der Kläger gegen seine Meldepflicht verstoße, arbeitsunfähig erkrankt und seit dem 28.07.2019 ohne gültige Bescheinigung und ohne gültige Postanschrift sei. Sie bat die Ausländerbehörde um Mitteilung einer aktuellen Meldeanschrift und um eine Aufforderung an den Kläger hinsichtlich dessen Meldepflicht. Zugleich schickte sie eine Abschrift der E-Mail an die Arbeitsagentur, um sich für die Kündigung des Klägers zu rechtfertigen.

Nachdem der Kläger hiervon Kenntnis erlangt hat, wandte er sich an den Sächsischen Datenschutzbeauftragten und ließ sich durch einen Prozessbevollmächtigten vertreten. Der Datenschutzbeauftragte wies die Beklagte auf die vertrauliche Behandlung von Gesundheitsdaten hin. Später teilte die Beklagte der Agentur für Arbeit sämtliche Fehlzeiten des Klägers mit und informierte zudem noch über zwei Abmahnungen. Dabei gab sie auch den Zeitraum an, in dem der Kläger arbeitsunfähig erkrankt gewesen ist, und teilte darüber hinaus mit, dass auch weitere Arbeitsunfähigkeitsbescheinigungen mit stetem Arztwechsel vorgelegen haben.

Der Kläger forderte nun Schadensersatz in Höhe von 1.500 Euro sowie den Ersatz seiner Kosten für die Vertretung bei dem Datenschutzbeauftragten.

2. Die Entscheidung des Arbeitsgericht Dresden

Das Arbeitsgericht Dresden verurteilte die Beklagte zu Schadensersatz in Höhe von 1.500 Euro sowie Ersatz der Kosten für die Vertretung bei dem Datenschutzbeauftragten und gab damit der Klage vollumfänglich statt.

Zunächst stellte es einen Verstoß gegen das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO fest, da keine Ausnahme nach Abs. 2 einschlägig war. Dabei ordnete das Gericht die Fehlzeiten als Gesundheitsdaten ein. Gleichzeitig stellte es fest, dass die Datenweitergabe auch nicht nach dem Aufenthaltsgesetz gerechtfertigt war. Zudem gab es dem Kläger recht, dass die Beklagte kein Bedürfnis hatte sich direkt an die Ausländerbehörde zu wenden und stattdessen den Kläger einfach nach seiner Adresse hätte fragen oder sich an die zuständige Meldebehörde wenden können. Des Weiteren legte die Beklagte nicht dar, warum sie nicht für den Verstoß verantwortlich sei.

Auch bejahte das Gericht einen immateriellen Schaden, da der Kläger eine Rufschädigung erlitt und zudem in der Kontrolle seiner personenbezogenen Daten beeinträchtigt war. Um diesen Schaden zu ersetzen, sprach das Gericht dem Kläger 1.500 Euro als Schadensersatz zu. Ziel des Schadensersatz der DSGVO sei dabei eine vollständiger und wirksamer Ersatz des Schadens sowie eine effektive Sanktion. Dabei könne sich ein Gericht auch an den Zumessungskriterien des Art. 83 Abs. 2 DSGVO für Bußgelder orientieren, um einen immateriellen Schadensersatz zu bemessen.

Unter Berücksichtigung dieser Grundsätze kam das Gericht dann auf einen immateriellen Schaden in Höhe von 1.500 Euro, da die Beklagte die Daten ohne Not, Verpflichtung oder Aufforderung an andere Behörden weitergab. Dabei hätte die Beklagte die Adresse auch einfach erfragen oder sich an die Meldebehörde wenden können. Zudem musste ihr nach Ansicht des Gerichts auch bewusst gewesen sein, dass der Kläger bei dem gewählten Vorgehen Gefahr lief seine Arbeitserlaubnis zu verlieren. Hier ging das Gericht sogar davon aus, dass die Beklagte den Eindruck erwecken wollte, dass der Kläger Arbeitsverstöße begangen hat.

Des Weiteren verurteilte das Arbeitsgericht die Beklagte dazu die Kosten der anwaltlichen Vertretung bei dem sächsischen Datenschutzbeauftragten im Rahmen des Schadenersatzes zu übernehmen, weil die Beklagte diese Kosten erst verursacht hat. Zwar wären die Kosten nach § 12a ArbGG für die vorgerichtliche Inanspruchnahme ausgeschlossen, aber § 12a Abs. 1 ArbGG ist hinsichtlich Art. 82 DSGVO nach Ansicht des Gerichts einschränkend auszulegen und somit nicht anzuwenden. Anderenfalls wäre die Durchsetzung der DSGVO nicht effektiv und abschreckend möglich.

III. Folgen für die Praxis

Für die Praxis kann zunächst festgehalten werden, dass bei jeder Übermittlung von personenbezogenen Daten bzw. generell bei jeder Verarbeitung überlegt werden sollte, ob diese notwendig ist. Dies trifft umso mehr auf die besonders sensiblen Daten des Art. 9 DSGVO zu. 

Anderenfalls können Schadensersatzansprüche wegen einer rechtswidrigen Verarbeitung drohen. Gerade hier hat das Urteil gezeigt, dass die Schadenshöhe im Bereich des Art. 9 DSGVO nicht zu unterschätzen ist.

Daneben ist insbesondere auf den Ausschluss des § 12 a ArbGG hinzuweisen. Sorgt diese Regelung üblicherweise dafür, dass im Zweifel nicht die Kosten der anderen Seite für den Fall der erstinstanzlichen Niederlage drohen, ist dies nach Ansicht des Arbeitsgerichts Dresden im Datenschutzrecht nicht der Fall. Insofern gilt es hier – gerade für Arbeitgeber – besondere Vorsicht hinsichtlich Datenschutzverstößen walten zu lassen. Andererseits dürften insbesondere Arbeitnehmer von dieser Auslegung profitieren, wenn sie sich anwaltlich bei dem jeweiligen Datenschutzbeauftragten vertreten lassen und hier ihre Kosten als Schaden bereits erstinstanzlich geltend machen können.

IV. Fazit

Insgesamt lässt sich festhalten, dass mit dem Urteil des Arbeitsgericht Dresden wieder gezeigt wurde, dass ein rechtswidriger Umgang mit Daten merkliche finanzielle Folgen haben kann. Zugleich zeigt sich aber auch, dass dem Datenschutz Vorrang vor den arbeitsgerichtlichen Regeln zukommen kann und in der Folge Vertretungskosten als Schadens bereits in der ersten Instanz vor dem Arbeitsgericht geltend gemacht werden können.

Soweit Sie selber von einem Datenschutzverstoß betroffen sind oder generell Unsicherheiten im Bereich des Datenschutzrecht haben, beraten wir Sie gerne.