Auskunftsrecht der Arbeitnehmer nach Art. 15 DSGVO - Bei Nichterfüllung Schadensersatz!

Auskunftsrecht der Arbeitnehmer*innen nach § 15 DS-GVO

Kann ich als Arbeitnehmer den Arbeitgeber zur Auskunft über die Verarbeitung von personenbezogenen Daten zwingen?

Was beinhaltet das Auskunftsrecht?

Grundsätzlich haben Arbeitnehmer gegenüber ihrem Arbeitgeber ein zweistufiges Auskunftsrecht.

Auf der ersten Stufe können sie Auskunft darüber verlangen, ob personenbezogene Daten im Sinne des Art. 4 Nr. 1 DS-GVO verarbeitet worden sind. Sollte keine derartige Verarbeitung durch den Arbeitgeber vorliegen, hat er dies den Arbeitnehmer*innen mitzuteilen.

Falls eine Verarbeitung vorliegt, haben die betroffenen Arbeitnehmer*innen auf der zweiten Stufe ein Recht auf Auskunft über die verarbeiteten personenbezogenen Daten, sowie bestimmte zusätzliche Informationen.

Arbeitnehmer*innen müssen jeweils einen entsprechenden Antrag beim Arbeitgeber stellen, also ob Daten und welche Daten verarbeitet wurden.

Wie muss der Arbeitgeber die Auskunft erteilen?

Grundsätzlich muss der Arbeitgeber die Informationen zur Erfüllung des Transparenzgebotes an Arbeitnehmer unentgeltlich weitergeben, vgl. Art. 12 Abs. 5 Satz 1 DS-GVO. Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen von Arbeitnehmer*innen kann er ein angemessenes Entgelt verlangen, vgl. Art. 12 Abs. 5 Satz 2 a) DS-GVO. Dabei hat der Arbeitgeber bei der Höhe die anfallenden Verwaltungskosten zu berücksichtigen.

Wann kann der Arbeitgeber ausnahmsweise die Auskunft verweigern?

Bei offenkundig unbegründeten oder exzessiven Anträgen (s.o.) kann sich der Arbeitgeber alternativ auch weigern, aufgrund des Antrags tätig zu werden, vgl. Art. 12 Abs. 5 Satz 2 DS-GVO. Der Arbeitgeber hat in diesen Fällen ein Wahlrecht, ob er ein angemessenes Entgelt verlangt oder die Auskunft komplett verweigert.

Weigert sich der Arbeitgeber die Auskunft zu erteilen, muss er nach Art. 12 Abs. 4 DS-GVO die Arbeitnehmer*innen innerhalb eines Monats nach Eingang des Antrags über die Gründe für die Weigerung informieren und über die Möglichkeit unterrichten, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.

Wann liegt ein exzessiver Antrag der Arbeitnehmer*in vor? 

Die Antragstellung durch Arbeitnehmer*innen ist dann als exzessiv zu bewerten, wenn der Antrag ohne sachlichen Grund häufig wiederholt gestellt wird oder einen unverhältnismäßigen Umfang hat. Als häufig wiederholt gilt in der Regel ein Antrag, der mehrmals innerhalb der Monatsfrist des Art. 12 Abs. 3 DS-GVO gestellt wird.

Wann ist ein Antrag offenkundig unbegründet?

Der Antrag ist offenkundig unbegründet, wenn ohne vertiefte Prüfung die Voraussetzungen des Antrags offensichtlich nicht vorliegen. Arbeitnehmer*innen müssen nicht begründen, weshalb sie einen Antrag auf Auskunft gegenüber dem Arbeitgeber stellen, vgl. Paal/Pauly/Paal/Hennemann DS-GVO Art. 12 Rn. 65.

Der Arbeitgeber trägt die Beweislast für das Vorliegen eines exzessiven oder offenkundig unbegründeten Antrags.

Hintergrund für die Möglichkeit des Arbeitgebers die Auskunft zu verweigern, ist der, dass rechtsmissbräuchliche Anträge durch Arbeitnehmer*innen verhindert werden sollen. Ein rechtsmissbräuchlicher Antrag liegt beispielsweise dann vor, wenn er nur darauf abzielt, den Arbeitgeber unnötig ärgern oder schikanieren zu wollen. Die Anforderungen für das Vorliegen eines rechtsmissbräuchlichen Antrags sind allerdings hoch, da hier der Schutz der Arbeitnehmer*innen klar im Fokus steht.

Wie hoch kann ein Schadensersatzanspruch ausfallen, wenn der Arbeitgeber den Auskunftsanspruch nach Art. 15 DSGVO nicht erfüllt?

Weder der DSGVO, noch ihren Erwägungsgründen, lässt sich entnehmen, dass der Schadensersatzanspruch einen qualifizierten Verstoß gegen die DSGVO voraussetzt. Für die Annahme einer Erheblichkeitsschwelle oder anders - herum formuliert - die Ausnahme von Bagatellfällen, gibt es keinen Anhaltspunkt (so auch BVerfG vom 14.01.2021 - 1 BvR 2853/19 -).

Unter Berücksichtigung des Erwägungsgrundes 146 S. 3 zur DSGVO soll der Begriff des Schadens im Lichte der Rechtsprechung des Europäischen Gerichtshofes weit und auf eine Weise ausgelegt werden, die den Zielen der Verordnung in vollem Umfang entspricht.

Die Höhe des Anspruchs wird gem. § 287 Abs. Abs. 1 in das freie Ermessen des Gerichts gestellt. So auch das Arbeitsgericht Neumünster in seinem Urteil vom 11.08.2020, Az. 1 CA 247 c/20, Rn. 37 f., ausgeführt, dass ein Entschädigung von 500 EUR pro Monat der verspäteten Auskunft angemessen und auch erforderlich ist:

„[…]Die betroffene Person soll einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten (EG 146 zur DSGVO). Verstöße müssen effektiv sanktioniert werden, damit die DSGVO wirken kann, was vor allem durch Schadenser-satz in abschreckender Höhe erreicht wird (Wybitul/Haß/Albrecht, NJW 2018, 113). Gerichte können sich bei der Bemessung des immateriellen Schadensersatzes auch an Art. 83 Abs. 2 DSGVO orientieren, so dass als Zumessungskriterien u.a. Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden können (BeckOK Datenschutzrecht/Quaas, 31. Ed., Art. 31).

Diesen Grundsätzen entsprechend muss die Beklagte hier einen Schadensersatz in Höhe von insgesamt 1.500 Euro zahlen. Dabei hat die Kammer berücksichtigt, dass der Verstoß hier ca. 3 Monate andauerte, in denen der Kläger über die Datenverarbeitung durch die Beklagte im Ungewissen war. Außerdem sind die Anforderungen an die zu erteilende Auskunft nicht nur zeitlich, sondern auch inhaltlich verletzt, da die Beklagte die beantragte Auskunft - zunächst - gänzlich unterließ. Zu Gunsten der Beklagten war da-gegen zu berücksichtigen, dass von fahrlässigen Verstößen auszugehen ist. Anhalts-punkte für Vorsatz, mithin die bewusste und gewollte verspätete Reaktion auf das Auskunftsgesuch wurden weder vorgetragen noch sind sie ersichtlich. Auch sind keine an-deren Verstöße der Beklagten gegen die DSGVO dargetan. Darüber hinaus ist es aus Sicht der Kammer nicht überzeugend, die Höhe der Vergütung des Klägers in die Be-messung des Schadensersatzes einfließen zu lassen. Die Schwere des entstandenen immateriellen Schadens, der vor allem in der Ungewissheit über die Verarbeitung seiner Daten besteht, hängt nicht davon ab, wieviel der betroffene Arbeitnehmer verdient. Auch sind besondere Kategorien personenbezogener Daten i.S.d. Art. 9 DSGVO nicht substanziell betroffen. Der dem Kläger danach noch entstandene immaterielle Schaden ist daher nicht sehr groß. Unter Berücksichtigung all dessen hat die Kammer für jeden Monat der Verspätung jeweils 500 Euro angesetzt (vgl. ArbG Düsseldorf v. 05.03.2020 - 9 Ca 6557/18).), mithin insgesamt 1.500 Euro.“

Aktuelle Rechtsprechung

Die Einführung der Datenschutzgrundverordnung wirft viele Fragen für die Betroffenen, aber auch für die darüber zu entscheidenden Gerichte, auf.

Das Hessische Landesarbeitsgericht hat jüngst entschieden, dass bei Nichterfüllung seiner Auskunftspflicht der Arbeitgeber grundsätzlich kein schützenswertes Interesse gegenüber den Arbeitnehmer*innen hat, vgl. LAG Hessen, Urteil v. 10.06.2021. Arbeitnehmer*innen müssten weder ihr Auskunftsbegehren im Antrag durch konkretere Formulierungen eingrenzen, als durch die Verordnung vorgegeben sei, noch sei eine Auslegung des Antrags vorzunehmen.

Zudem hat der Bundesgerichtshof in seiner Entscheidung vom 15.06.2021 – VI ZR 576/19 klargestellt, dass zukünftig die Auskunft über die personenbezogenen Daten der Betroffenen nach Art. 15 DS-GVO umfassend erteilt werden muss. Dabei verwendet der BGH ein weites Begriffsverständnis der „personenbezogenen“ Daten. Eine Einschränkung auf nur sensible oder besonders persönliche Informationen hat nicht zu erfolgen. Sogar interne oder den Betroffenen bereits bekannte Vorgänge müssen offengelegt werden. Die Auskunft muss allerdings nur über Tatsachen, nicht über deren Rechtsbewertung erfolgen, da derartige Beurteilungen selbst keine personenbezogenen Daten darstellen.

Das Landgericht Berlin hat in seiner Entscheidung vom 21.12.2021 – Az: 4 O 381/20 – entschieden, dass der Auskunftsanspruch aus Art. 15 Abs. 1 DS-GVO zwar alle personenbezogenen Daten umfasse, allerdings nicht darüber hinaus auch die Auskunft über Dokumente beinhalte, die lediglich Vertragserklärungen enthalten.