LG Oldenburg verhängt 10.000 Euro Schadensersatz wegen Nichterfüllung des Auskunftsanspruchs 

Das Auskunftsrecht ist eines der wichtigsten Elemente des Datenschutzrechts, da betroffene Personen hierbei über die Datenverarbeitung aufgeklärt und zur Ausübung weiterer Betroffenenrechte (vgl. Kapt. 3 DSGVO) befähigt werden. Aus diesem Grund stellt das Datenschutzrecht strenge Anforderungen an Verantwortliche zur Erfüllung der Betroffenenrechte. Wird einer Auskunftsanfrage einer betroffenen Person nicht nachgekommen, kann dies als Datenschutzverstoß in einem erheblichen Bußgeld münden (vgl. 82 Abs. 5 lit. b DSGVO). Kürzlich entschied das Landgericht Oldenburg (LG Oldenburg), dass die Nichterfüllung eines Auskunftsanspruchs zusätzlich zu einem Schadensersatzanspruch der betroffenen Person führen kann.

Das Auskunftsrecht und aktuelle Rechtsprechung

Gemäß Artikel 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob personenbezogene Daten, die sie betreffen, verarbeitet werden. Sofern dies der Fall ist, steht der betroffenen Person das Recht zu, Auskunft über die spezifischen verarbeiteten Daten zu verlangen.

Zusätzlich hat die betroffene Person das Recht, eine Kopie der verarbeiteten Daten anzufordern (vgl. Art. 15 Abs. 3 DSGVO). Durch die Datenkopie erhält die betroffene Person einen unverfälschten und vollständigen Einblick in die Verarbeitung ihrer personenbezogenen Daten. Werden keine personenbezogenen Daten des Antragsstellenden verarbeitet, muss der Verantwortliche den Antragsstellenden auch darüber informieren ( "Negativauskunft" ).

Betroffenenanfragen sind durch den Verantwortlichen unverzüglich, in jedem Fall aber innerhalb eines Monats, zu beantworten. Wenn der Fall jedoch komplex ist, kann die Frist um bis zu zwei weitere Monate verlängert werden. Hier muss die betroffene Person jedoch auch über die Gründe für die Verzögerung informiert werden (vgl. Art. 12 Abs. 3 DSGVO).

Wenn eine Betroffenenanfrage offensichtlich unbegründet oder exzessiv ist, haben Verantwortliche die Möglichkeit, die Beantwortung des Antrags abzulehnen, oder eine angemessene Gebühr zur Bearbeitung zu verlangen (vgl. Art. 12 Abs. 5 S. 2 DSGVO).

Werden diese Anforderungen der Auskunft nicht eingehalten, stellt dies einen Datenschutzverstoß des Verantwortlichen dar. Problematisch ist allerdings in der Praxis, dass es noch zahlreiche Fragen im Hinblick auf Umfang und Reichweite des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO sowie den Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO gibt.

So herrscht Uneinigkeit, ob auch Datensätze herausgegeben werden müssen, über welche die betroffene Person bereits verfügt, wie z. B. E-Mail-Verläufe. Auch ist umstritten, wie weit das Recht auf Erhalt einer Kopie nach Art. 15 Abs. 3 DSGVO geht. Zusätzlich gibt es immer mehr Urteile zu möglichen Schadensersatzleistungen. Die Rechtsprechung, ob etwaige Verstöße gegen die Vorgaben der Auskunftsverpflichtung nach Art. 15 DSGVO einen Schadensersatzanspruch rechtfertigen, sind uneinheitlich.

LG Oldenburg - Urteil vom 09.02.2023 - 3 Ca 150/21

Nun äußerte sich das LG Oldenburg in einem Rechtsstreit zur Frage, ob bei Nichteinhaltung der Auskunftsvorhaben betroffenen Personen, neben einem potentiellen Bußgeld, ein Schadensersatzanspruch zusteht. Hintergrund des besagten Rechtsstreits war die Auskunftsanfrage (gem. Art. 15 Abs. 1 und 3 DSGVO) eines ehemaligen Mitarbeiters gegenüber seinem ehemaligen Arbeitgeber. Der Arbeitgeber verweigerte zunächst die Auskunft, legte jedoch im Laufe des Prozesses die Unterlagen vor.

Als Konsequenz der Verweigerung der Auskunft durch den Arbeitgeber, forderte der Kläger eine Entschädigung für den entstandenen immateriellen Schaden (vgl. Art. 82 Abs. 1 DSGVO). Der Kläger verlangte 500 Euro monatlich als Entschädigung für den Zeitraum, in dem der Arbeitgeber seine Auskunftspflicht nicht erfüllte.

Das Arbeitsgericht hat dem Kläger aufgrund der Nichterfüllung der Auskunftspflicht nach Art. 15 Abs. 1 DSGVO einen immateriellen Schadensersatz in Höhe von 10.000 Euro zugesprochen. Dazu erklärte das Gericht, dass der höhere Schadenersatz im Vergleich zu einem früheren Urteil des Bundesarbeitsgerichts, welches einen Schadensersatz von 1.000 Euro als ausreichend ansah, auf das wesentlich höhere Interesse des Klägers an der Auskunft und den langen Zeitraum der Nichterfüllung der Auskunftspflicht zurückzuführen sei. Zudem betonte das Gericht, dass die Verletzung der DSGVO an sich bereits einen immateriellen Schaden darstelle, der ausgeglichen werden müsse. Zusätzlich solle der Schadenersatz auch eine abschreckende Wirkung haben.

Rechtsprechung zum Schadensersatz uneinheitlich

Die aktuelle Rechtsprechung spiegelt keine einheitliche Meinung der Gerichte darüber wider, ob Verstöße gegen die Vorgaben zur Auskunftspflicht gemäß Art. 15 DSGVO einen Anspruch auf Schadensersatz begründen.

Im Fall des Landgerichts Köln (Urteil vom 16.2.2022 – 28 O 303/20) hatte die Beklagte dem Kläger weder innerhalb der Frist von einem Monat gemäß Art. 12 Abs. 3 DSGVO Auskunft gemäß Art. 15 Abs. 1 DSGVO erteilt noch eine Kopie der verarbeiteten Daten gemäß Art. 15 Abs. 3 DSGVO vorgelegt. Dennoch kam das Gericht zum Urteil, dass der Kläger keinen Anspruch auf Schadensersatz gemäß Art. 82 DSGVO habe, da er keinen Schaden erlitten habe. Auch wenn Erwägungsgrund 146 S.3 DSGVO eine weite Auslegung des Schadenbegriffs vorsehe, erfordere Art. 82 Abs. 1 DSGVO nach seinem Wortlaut einen tatsächlichen materiellen oder immateriellen Schaden für die betroffene Person, so die Einschätzung des Gerichtes. In diesem Fall konnte jedoch kein solcher Schaden festgestellt werden. Auch andere deutsche Gerichte lehnten Schadensansprüche bei Verletzung des Auskunftsrechts ab (u.a. LG Düsseldorf, Urteil vom 28.10.2021 – 16 O 128/20; OLG Stuttgart, Urteil vom 31.3.2021 – 9 U 34/21; LG Leipzig, Endurteil vom 23.12.2021 – 03 O 1268/21). Die meisten Ablehnungen wurden damit begründet, dass nicht ausreichend dargelegt wurde, dass die betroffene Person einen "Schaden" erlitten hat.

Gleichzeit folgten andere Gerichte dem Beispiel des LG Oldenburg, und sprachen bei Verstößen gegen das Auskunftsrecht Ersatz für immaterielle Schäden der betroffenen Personen zu (u.a. ArbG Düsseldorf, Urteil vom 05.03.2020 - 9 Ca 6557/18; LAG Niedersachsen, Urteil vom 22.10.2021 – 16 Sa 761/20; LAG Berlin-Brandenburg, Urteil vom 18.11.2021 - 10 Sa 443/21).

Wie geht es weiter?

Zusammengefasst zeigen aktuelle Entscheidungen deutscher Gerichte keine einheitliche Rechtsprechung bezüglich der Gewährung von (immateriellem) Schadensersatz gemäß Art. 82 Abs. 1 DSGVO bei Verstößen gegen Art. 12 und 15 DSGVO auf.

Es kann davon ausgegangen werden, dass der Europäische Gerichtshof (EuGH) in absehbarer Zeit zu dieser Frage per Vorlageverfahren der nationalen Gerichte Stellung beziehen werden muss. Falls der EuGH den Gerichten folgt, die einen Schadensersatzanspruch anerkennen, werden Verantwortliche vor große Herausforderungen gestellt, Anfragen zu Betroffenenrechten noch stärker im Blick zu behalten. Daher wird allen Verantwortlichen dringend empfohlen, den Prozess der Auskunftserteilung intern in den entsprechenden Abteilungen zu etablieren.