Andersen

Bei Datenschutzverstößen drohen Arbeitgebern nach der Datenschutzgrundverordnung weitreichende Sanktionen. Zum einen kann die zuständige Datenschutzbehörde gegen den Verantwortlichen ein Bußgeld in Höhe von bis zu EUR 20 Mio. bzw. 4 % des gesamten weltweit erzielten Jahresumsatzes des Unternehmens verhängen. Neben diese Sanktion können Arbeitnehmer aber auch Schadens- und Schmerzensgeldansprüche gegen den Arbeitgeber geltend machen (Art. 82 DS-GVO). Dies beschäftigt zunehmend die deutschen Arbeitsgerichte.

Nachfolgend stellen wir Ihnen zunächst kurz die Voraussetzungen der Haftungsnorm in Art. 82 DS-GVO dar. Sodann gehen wir auf mehrere Gerichtsentscheidungen aus den Jahren 2020 und 2021 ein und zeigen Ihnen abschließend auf, worauf Sie als Arbeitgeber achten sollten, um sich datenschutzkonform zu verhalten.

Worum geht’s?

Begehen Arbeitgeber Datenschutzverstöße (z.B. wegen rechtswidriger Datenverarbeitungen oder unbeantworteter Auskunftsersuchen von Arbeitnehmern), haben sie ihren Arbeitnehmern nach Art. 82 DS-GVO sowohl materielle als auch immaterielle Schäden zu ersetzen (Schadenersatz bzw. Schmerzensgeld). Ein bezifferbarer materieller Schaden des Betroffenen (z.B. entgangener Gewinn) wird zwar in der Regel ausscheiden. Der Begriff des immateriellen Schadens wegen einer Persönlichkeitsrechtsverletzung ist nach bisher herrschender Meinung der (Arbeits-) Gerichte aber weit auszulegen.[1] So kommt ein zu ersetzender immaterieller Schaden nach den Erwägungsgründen der Datenschutzverordnung beispielsweise bei Diskriminierung, Identitätsdiebstahl, Rufschädigung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen in Betracht.[2] Angesichts dessen geben Arbeitsgerichte Schmerzensgeldklagen von Arbeitnehmern wegen Datenschutzverstößen des Arbeitsgebers regelmäßig statt und verurteilen den Arbeitgeber zur Zahlung eines angemessenen Schmerzensgelds.

Was haben die Gerichte in letzter Zeit entschieden?

Das Arbeitsgericht Münster[3] gab der Schmerzensgeldklage einer Arbeitnehmerin (einer sog. Post Doc-Koordinatorin) gegen ihre Arbeitgeberin, einer Hochschule, statt. Grund für die Klage der Arbeitnehmerin war, dass die Hochschule im Rahmen einer Marketingkampagne Fotos von ihr verwendete, obwohl sie eine ihr zuvor vorgelegte Einwilligungserklärung nicht unterzeichnet hatte. Das Arbeitsgericht kam zu dem Ergebnis, dass die Verwendung der Fotos mangels schriftlicher Einwilligung der Arbeitnehmerin einen Datenschutzverstoß darstellte. Aus diesem Grund verurteilte das Gericht die Hochschule zur Zahlung einer Schmerzensgelds in Höhe von EUR 5.000,00. Dies entspricht ungefähr einem Brutto-Monatsgehalt der Arbeitnehmerin.

Ebenfalls ein Schmerzensgeld in Höhe von EUR 5.000,00 zu zahlen hatte nach einem Urteil des Arbeitsgerichts Düsseldorf[4] ein Arbeitgeber, der seinem Arbeitnehmer um mehrere Monate verspätet[5] Auskunft über die von ihm verarbeiteten personenbezogenen Daten erteilte. Darüber hinaus unterließ es der Arbeitgeber, ihm die Verarbeitungszwecke und die Kategorien der über ihn gespeicherten personenbezogenen Daten mitzuteilen. In seinem Urteil betonte das Arbeitsgericht, dass ein immaterieller Schaden nicht nur in den „auf der Hand liegenden Fällen“ gegeben sei, sondern der Begriff des Schadens weit auszulegen ist. Die Schwere des immateriellen Schadens sei für die Begründung der Haftung irrelevant. Diese wirke sich nur noch auf die Höhe des Anspruchs aus.

Auch das LAG Hamm[6] sprach einem Arbeitnehmer ein Schmerzensgeld zu, nachdem der Arbeitgeber in einer Trennungssituation ein Auskunftsersuchen des Arbeitnehmers nur rudimentär beantwortete. Bei der Höhe des Schmerzensgeldes berücksichtigte das Gericht jedoch das (Prozess-) Verhalten des Arbeitnehmers. Das Gerichte bezweifelte, dass der Arbeitnehmer lediglich zum Zweck der Kontrolle der Datenverarbeitung um Auskunft bat, weil er diesen nicht „hartnäckig“ verfolgt habe. Es sprach daher lediglich ein Schmerzensgeld in Höhe von EUR 1.000,00 zu.

Keinen erstattungsfähigen (Vermögens-) Schaden im Sinne von Art. 82 DS-GVO stellen nach einem Urteil des Landesarbeitsgerichts Köln[7] indes Rechtsanwaltskosten dar. Das Landesarbeitsgericht Köln stellte klar, dass die arbeitsrechtliche Kostenregelung in § 12a ArbGG durch die Haftungsregeln der DS-GVO nicht verdrängt wird. Die Kostenregelung in § 12a ArbGG besagt, dass beide Parteien ihre eigenen (außer-) gerichtlichen Kosten (z.B. Rechtsanwaltskosten) selbst zu tragen haben. Diese spezielle arbeitsrechtliche Kostenregelung hat zur Folge, dass die unterliegende Partei in einem Arbeitsgerichtsprozess anders als in einem zivilgerichtlichen Prozess lediglich die Gerichtskosten, jedoch nicht die Rechtsanwaltskosten der anderen Partei tragen muss.

Was sollten Sie als Arbeitgeber bzw. Unternehmen tun?

Obwohl die DS-GVO bereits seit knapp drei Jahren in Kraft ist, besteht nach unserer Erfahrung bei vielen Unternehmen noch Verbesserungspotential. Arbeitgeber sollten sich die sich aus der DS-GVO ergebenden Vorgaben und Pflichten vor Augen führen und prüfen, ob im Unternehmen Schwachpunkte und/oder Verbesserungspotential besteht. Dass Nichtstun keine Lösung ist, machen nicht nur die zunehmenden Schadens- bzw. Schmerzensgeldklagen von Arbeitnehmern, sondern zuletzt auch der Bußgeldbescheid gegen die Deutsche Wohnen SE in Höhe von EUR 14,5 Mio. deutlich.[8] Die Deutsche Wohnen SE hatte es nach Auffassung der Datenschutzbehörde trotz vorheriger Rüge unterlassen, archivierte und überflüssige (Alt-) Mieterdaten zu löschen. Die Deutsche Wohnen SE geht aber gerichtlich gegen den Bußgeldbescheid vor. Es ist daher noch offen, ob der Bußgeldbescheid Bestand haben wird.

Sprechen Sie uns bei Fragen gerne an.

[1] Der Europäische Gerichtshof wird aller Voraussicht nach im Rahmen eines sog. Vorabentscheidungsverfahrens darüber zu entscheiden haben, ob die Datenschutzverletzung eine gewisse Erheblichkeitsschwelle überschreiten muss (vgl. BVerfG, Beschluss vom 14. Januar 2021, Az.: 1 BvR 2853/19).

[2] Vgl. Erwägungsgrund 146 der DS-GVO.

[3] ArbG Münster, BeckRS 2021, 13039.

[4] ArbG Düsseldorf, NZA-RR 2020, 409.

[5] Zur Erteilung einer Auskunft haben Arbeitgeber einen Monat, in Ausnahmefällen maximal drei Monate Zeit (Art. 15 Abs. 3 DS-GVO).

[6] LAG Hamm, NZA-RR 2021, 517. 

[7] LAG Köln, BeckRS 2020, 31543.

[8] Vgl. Pressemitteilung der Deutsche Wohnen SE vom 5. November 2019, abrufbar unter: https://www.deutsche-wohnen.com/ueber-uns/presse-news/pressemitteilungen/deutsche-wohnen-geht-gegen-bussgeldbescheid-der-berliner-beauftragten-fuer-datenschutz-und-informationsfreiheit-vor; Meldung der beck-aktuell-Redaktion vom 6. November 2019, becklink 2014613.