Verstoß gegen Auskunftspflicht aus Art. 15 DS-GVO führt nicht zwingend zu einem Schadensersatzanspruch
In arbeitsrechtlichen Streitigkeiten wird durch die Beschäftigten immer häufiger der Anspruch auf Auskunft wegen der Verarbeitung ihrer personenbezogenen Daten nach Art. 15 DS-GVO geltend gemacht und dies mit der Geltendmachung eines Schadensersatzanspruches wegen einer Verletzung dieser Auskunftspflicht nach Art. 82 DS-GVO verbunden. Wir hatten dazu bereits am 16.12.2021 berichtet (hier). Die Rechtsprechung hat die Voraussetzungen für den in Art. 82 DS-GVO verankerten Schadensersatzanspruch bislang uneinheitlich ausgelegt und teilweise erhebliche Schadensersatzansprüche ausgeurteilt. Zuletzt hatte das Arbeitsgericht Oldenburg mit Teilurteil vom 09.02.2023 – 3 Ca 150/21 entschieden, dass dem dortigen Arbeitnehmer gegenüber seinem Arbeitgeber immaterieller Schadensersatz nach Art. 82 Abs. 1
DS-GVO i.H.v. 500 € für jeden Monat zustehe, in dem der Arbeitgeber sein Auskunftsverlangen nicht erfüllt habe und dem Arbeitnehmer insgesamt 10.000 € zugesprochen.
Mit Urteil vom 04.05.2023 äußerte sich der Europäische Gerichtshof (EuGH) im Rahmen eines Vorabentscheidungsverfahrens aufgrund einer Vorlage des Bundesarbeitsgerichts erstmals zu den Voraussetzungen eines Schadensersatzanspruchs nach Art. 82 DS-GVO. Nach den Ausführungen des Europäischen Gerichtshofs begründet der bloße Verstoß gegen die DS-GVO keinen Schadensersatzanspruch nach Art. 82 DS-GVO. Dies gehe schon aus dem Wortlaut des Art. 82 DS-GVO hervor, wonach der „Schaden“ eine Voraussetzung des in dieser Norm enthaltenen Schadensersatzanspruchs darstellt. Es könne damit nicht schon jeder „Verstoß“ (ebenfalls Voraussetzung) gegen die Bestimmung der DS-GVO für sich genommen einen Schadensersatzanspruch eröffnen. Da sich in der Regelung keine ausdrückliche Beschränkung im Hinblick auf den zu ersetzenden Schaden findet, könne der Ersatz eines immateriellen Schadens hingegen nicht von der Überschreitung einer Erheblichkeitsschwelle abhängig gemacht werden.
Im Ergebnis müssen damit für einen Schadensersatzanspruch nach Art. 82 DS-GVO folgende Voraussetzungen vorliegen:
1. Verstoß gegen Bestimmungen der DS-GVO
2. materieller oder immaterieller Schaden
3. Kausalzusammenhang zwischen Verstoß und Schaden
Diese Voraussetzungen sind von dem Beschäftigten darzulegen, was nicht ohne Weiteres möglich sein dürfte.
Quelle: EuGH, Urteil vom 04.05.2023 – C-300/21