Datenschutz ist für Arbeitgeber häufig ein aufwandsintensives Thema. Das Auskunftsrecht aus Art. 15 Abs. 1 DSGVO nutzen Arbeitnehmer immer häufiger, um nach der Kündigung des Arbeitsverhältnisses möglichst viel Aufwand beim nunmehr ungeliebten Arbeitgeber zu verursachen. Durch diesen Aufwand soll aus Arbeitnehmersicht die Vergleichsmasse für eine gütliche Einigung erhöht werden. Erfüllt ein Arbeitgeber den äußerst umfangreichen Anspruch aus Art. 15 Abs. 1 DSGVO nicht, drohen Arbeitnehmer häufig mit der Geltendmachung eines Schadensersatzanspruches aus Art. 82 Abs. 1 DSGVO.

Nachdem die Rechtsprechung zuletzt häufig dazu neigte, Schadensersatzansprüche nach Art. 82 Abs. 1 DSGVO ohne vertiefte Prüfung anzuerkennen, hat das Bundesarbeitsgericht das Risiko für Arbeitgeber erfreulicherweise eingegrenzt. In seinem Urteil vom 20.06.2024 – 8 AZR 124/23, hat das Bundesarbeitsgericht zutreffend festgestellt, dass die bloße Befürchtung eines Arbeitnehmers, es würde zu weiteren Verstößen gegen die DSGVO, für einen Schadensersatzanspruch nicht ausreicht. Die Arbeitnehmer müssen vielmehr konkret darlegen, woraus sich diese Befürchtung ergeben soll. Das Gericht hat sodann zu prüfen, ob die Befürchtung der missbräuchlichen Datenverwendung im konkreten Fall begründet ist.

I. Sachverhalt

Die Klägerin war zwischen den Jahren 2014 und 2020 bei der Beklagten beschäftigt. Im April 2024 verhandelten die Parteien über die einvernehmliche Aufhebung des Arbeitsverhältnisses. Nachdem die Verhandlungen scheiterten, forderte die Klägerin von der Beklagten Auskunft über die Verarbeitung personenbezogener Daten nach Art. 5 Abs. 1 DSGVO. Die Beklagte lehnte diesen Anspruch mit den Worten „Mit Ihrem Auskunftsverlangen beeindrucken Sie niemanden. Bitte klagen Sie den Anspruch ein, wenn Ihre Mandantin meint, das Arbeitsverhältnis auf diese Weise fortsetzen zu müssen“ ab.

Die Klägerin folgte dieser Aufforderung und klagte ihren Anspruch ein. Neben der Erteilung der Auskunft forderte sie auf der Grundlage des Art. 82 Abs. 1 DSGVO ein „Schmerzensgeld“ in Höhe von mindestens EUR 5.000,00. Im Verfahren erteilte die Beklagte erstmals Auskünfte über die verarbeiteten personenbezogenen Daten, wobei streitig blieb, ob der Anspruch aus Art. 15 Abs. 1 DSGVO dadurch erfüllt wurde. Das Arbeitsgericht Bamberg hatte der Klägerin zunächst einen Schadensersatzanspruch in Höhe von EUR 4.000,00 zugesprochen. Das LAG Nürnberg hat den Anspruch abgelehnt und die Klage abgewiesen. Dem hat sich das Bundesarbeitsgericht nunmehr angeschlossen.

II. Die Entscheidung des Bundesarbeitsgerichtes

Der Klägerin steht kein Anspruch auf die Zahlung von Schadensersatz aus Art. 82 Abs. 1 DSGVO zu. Ein solcher Anspruch auf Schadenersatz setzt kumulativ einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines Schadens und einen Kausalzusammenhang zwischen Verstoß und Schaden voraus. Diese Voraussetzungen sind, in konsequenter Anwendung der allgemeinen Regeln der Darlegungs- und Beweislast, von der Klägerin darzulegen. Der Anspruch scheitere hier bereits an dem Vorliegen eines Schadens. Ein solcher Schaden könne bereits durch den „Verlust der Kontrolle“ über die Verarbeitung der Daten entstehen. Die entsprechende Sorge vor einem Datenmissbrauch könne zwar ausreichen, um einen Schaden zu begründen, allerdings müsse diese Sorge anhand konkreter Umstände dargelegt und bewiesen werden. Die bloße Äußerung dieser Sorge sei indes nicht geeignet, einen Schaden darzustellen. Wenn ein Arbeitgeber den Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO nicht erfüllt, liege darin automatisch auch die Sorge eines Datenmissbrauches. Wenn diese Sorge für einen Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO ausreichen würde, wären die oben genannten eigenständigen Voraussetzungen dieses Anspruches bedeutungslos. Die Klägerin müsse daher konkret darlegen, aus welchen konkreten Umständen sich die Sorge vor einem Datenmissbrauch ergeben soll. Die reine Verweigerung der Auskunft reiche jedoch auch dann nicht aus, wenn sie derart „drastisch“ nach einem Streit mit dem Arbeitgeber erfolgt. Ob ein Verstoß gegen Art. 15 Abs. 1 DSGVO überhaupt ausreicht, um einen Verstoß gegen die Datenschutz-Grundverordnung anzunehmen, hat das Bundesarbeitsgericht offengelassen. Diese Frage bleibt selbst innerhalb der einzelnen Spruchkörper weiterhin umstritten (vgl. z.B. LAG Düsseldorf, Urteil vom 28.11.2023 – 3 Sa 285/23 und LAG Düsseldorf, Urteil vom 07.03.2024 – 11 Sa 808/23).

III. Konsequenzen für die Praxis

Für Arbeitgeber ist sehr erfreulich, dass das Bundesarbeitsgericht das „scharfe Schwert“ des Auskunftsanspruchs aus Art. 15 Abs. 1 DSGVO deutlich abmildert und dem Arbeitnehmer für die „Monetisierung“ des Anspruches zunächst eine hohe Beweishürde setzt. Sobald den Arbeitnehmern bewusst wird, dass die Auskunftsverlangen ihre abschreckende Wirkung zum Teil verloren haben, dürfte die in der Einleitung beschriebene Vorgehensweise seltener werden.

Nichtsdestotrotz bleibt der Anspruch aus Art. 15 Abs. 1 DSGVO weiterhin einklagbar. Arbeitgeber werden im Ernstfall leider nicht darum herumkommen, einen geltend gemachten Auskunftsanspruch zu erfüllen. Sollten darüber hinaus Umstände bestehen, die auf einen Datenmissbrauch hindeuten, droht weiterhin das „Damoklesschwert“ eines Schadensersatzanspruches aus Art. 82 Abs. 1 DSGVO.

Der Datenschutz bleibt damit auch nach dem erfreulichen Urteil des Bundesarbeitsgerichts ein aufwandsintensives Thema, das Arbeitgeber nicht unterschätzen sollten. Dass Arbeitgeber insbesondere in Kündigungssachverhalten auf die Beachtung der datenschutzrechtlichen Bestimmungen achten sollten, hat unsere Kollegin Franziska Mentken bereits in ihrem Beitrag über Schadensersatzansprüche beim Einsatz eines Detektives beleuchtet.