(GS) Mittlerweile ist allgemein bekannt, dass seit dem 25.05.2018 bei Verstößen gegen die Datenschutz-Grundverordnung (DS-GVO) neben Imageschäden den Verantwortlichen vor allem nicht unerhebliche Bußgelder drohen. Neben diesen vielfach besprochenen Bußgeldern existiert allerdings eine weitere Gefahr für Unternehmen, die bislang weniger Beachtung gefunden hat: Das Recht auf Schadenersatz gemäß Art. 82 DS-GVO.

Nach einem Urteil des Arbeitsgericht Düsseldorf (v. 5.3.2020 – 9 Ca 6557/18) müssen Unternehmen bereits bei geringfügigen Verstößen gegen den Datenschutz mit Schadensersatzansprüchen von betroffenen Personen rechnen. Wichtig festzuhalten ist, dass sich diese Ansprüche auch auf immaterielle Schäden beziehen und seit dem 25.05.2018 wesentlich einfacher geltend gemacht werden können.

Zum Urteil

Nach den Feststellungen des Arbeitsgerichts hatte das Unternehmen verspätet und nicht vollständig auf einen Auskunftsantrag nach Art. 15 DS-GVO geantwortet. Das Gericht bejahte daher einen erstattungsfähigen Nichtvermögensschaden im Sinne von Art. 82 DS-GVO.

Gründe für die Schadenshöhe waren u.a.:

  • Verordnungsgeber ordnet das verletzte Recht auf Auskunft als bedeutsam ein
  • Verstoß dauert einige Monate an
  • Starke Finanzkraft des Verantwortlichen
  • Lediglich fahrlässiges Vergehen

Im Ergebnis hat das Arbeitsrecht Düsseldorf für die erfolgreiche Geltendmachung immaterieller Schadensersatzansprüche nach Art. 82 Abs. 1 DS-GVO sehr niedrige Maßstäbe angelegt. Das Gericht geht von einem sehr weiten Schadensbegriff aus. Eine sogenannte Bagatellschwelle für ersatzfähige immaterielle Schäden wird abgelehnt.

Art. 82 DS-GVO

Gemäß Art. 82 DS-GVO kann jede betroffene Person Schadenersatz verlangen, der wegen eines Datenschutzverstoßes ein materieller oder immaterieller Schaden entstanden ist. Der Erwägungsgrund 146 DS-GVO führt dazu weiter aus, dass „Der Begriff des Schadens sollte im Lichte der Rechtsprechung des Gerichtshofs weit auf einer Art und Weise ausgelegt werden, die den Zielen dieser Verordnung in vollem Umfang entspricht.“ Daraus wird teils gefolgert (so z.B. das Arbeitsgericht Düsseldorf im genannten Urteil), dass betroffenen Personen entsprechend hohe Schadensersatzansprüche zustünden, da ansonsten der DS-GVO nicht zu einer effektiven Durchsetzung verholfen würde. 

Aus Sicht der Betroffenen wird ein Anspruch nach Art. 82 DS-GVO aus zwei Gründen besonders attraktiv. Zum einen ist die Vorschrift im Hinblick auf seine Anwendbarkeit deutlich großzügiger als die Vorgängerregelungen bis zum 25.08.2020. Das (alte) BDSG sah einen Anspruch auf eine angemessene Geldentschädigung bei immateriellen Schäden lediglich dann vor, wenn eine öffentliche Stelle einen Datenschutzverstoß begangen hatte. Gegenüber nicht-öffentlichen Stellen konnten lediglich Vermögensschäden geltend gemacht werden. Aufgrund der Schwierigkeiten der Bezifferung konkreter Schadenspositionen bzw. ihres geringen Umfangs galt dies allerdings als wenig lohnenswert. Für einenAnspruch gemäß § 823 Abs. 1 BGB i.V.m. Art. 1 Abs. 1, 2 Abs. 1 GG (Entschädigung wegen einer Verletzung des Persönlichkeitsrechts) hat die Rechtsprechung hohe Hürden gesetzt, so dass nur in extremsten Fällen von Datenschutzverstößen ein Schmerzensgeld in Betracht kam.

Des Weiteren begünstigt Art. 82 DS-GVO die Betroffenen durch eine Verschiebung der Beweislast. Wie weit diese Verschiebung der Beweislast durch Art. 82 Abs. 3 DS-GVO gehen soll, wird derzeit in der rechtswissenschaftlichen Literatur kontrovers diskutiert.Im Falle eines festgestellten Datenschutzverstoßes liegt es nunmehr an den Unternehmen, glaubhaft zu machen, dass alles Nötige zum Schutz der Daten der Betroffenen getan wurde und kein Schaden beim Anspruchsteller eingetreten ist. Die bislang ergangene Rechtsprechung (z.B. Urteil des LG Karlsruhe v. 2.8.2019 – 8 O 26/19) deutet aber darauf hin, dass die Gerichte diese Exkulpationsmöglichkeit eher streng auslegen werden.

Die Änderungen könnten somit betroffene Personen dazu ermutigen, auch für kleinste Datenschutzverstöße eine finanzielle Entschädigung nach Art. 82 DS-GVO zu verlangen. Zu bedenken ist auch, dass ein Datenschutzvorfall häufig nicht eine einzelne Person betrifft, sondern eine Vielzahl von Menschen. Insofern kann die vereinfachte Geltendmachung von Schadensersatzansprüchen gemäß Art. 82 DS-GVO für Unternehmen durchaus ein finanzielles Risiko bedeuten. 

Fazit

Das Urteil unterstreicht wieder einmal die Wichtigkeit der korrekten Beantwortung von Auskunftsansprüchen bzw. die korrekte Umsetzung der Rechte der Betroffenen. Bezüglich der Forderung von Schadensersatzansprüchen gilt es, die weitere Entwicklung der Rechtsprechung im Auge zu behalten. Die Entscheidung des Gerichts ist noch nicht rechtskräftig, die Berufung beim Landesarbeitsgericht (LAG) Düsseldorf anhängig. Es ist durchaus denkbar, dass die nächste Instanz die Wertungen des Arbeitsgerichts noch korrigieren wird.