In der Gesellschaft hat sich das Wissen darüber, dass es einen Auskunftsanspruch als Betroffenenrecht im Datenschutz gibt, seit Einführung der DS-GVO enorm gesteigert. Dementsprechend werden auch mehr Auskunftsansprüche geltend gemacht. Art. 15 DS-GVO regelt auch grundsätzlich, welche Informationen an den Betroffenen herausgegeben werden sollen, jedoch nur in groben Stichpunkten. Daher ist bisher in vielen Bereichen noch unklar, in welchem Umfang ein Auskunftsanspruch erfüllt werden muss. Das Arbeitsgericht Düsseldorf hat nun in einem Urteil (Urteil v. 5.3.2020, 9 Ca 6557/18) eine Schadensersatzpflicht für eine unzureichende Auskunft eines Arbeitgebers an seinen Arbeitnehmer erkannt und dabei auch den Umfang dieser Auskunftspflicht präzisiert. Auch wenn sonst keine personenbezogenen Daten verarbeitet werden, so kommt man spätestens sobald Mitarbeiter beschäftigt werden, mit einer Datenverarbeitung in Berührung, sodass dieses Urteil für nahezu jeden Verantwortlichen Relevanz hat.

Worüber wurde gestritten?
Ein ehemaliger Mitarbeiter eines Unternehmens hat gem. Art. 15 DS-GVO Auskunft über die von ihm gespeicherten Daten verlangt. Das Unternehmen kam diesem Anspruch nur verspätet und mit unzureichenden Auskünften nach. Daraufhin hat der ehemalige Mitarbeiter sein Auskunftsbegehren mit einem Schadensersatzanspruch versehen und wegen Nichterfüllung seines Betroffenenrechts geklagt. Das Arbeitsgericht Düsseldorf hatte nun als eines der ersten Gerichte in Deutschland über einen solchen Fall zu entscheiden. Wichtig: Hier geht es nicht um ein Bußgeld einer Behörde bei einem Datenschutzverstoß, sondern um den Schadensersatzanspruch eines Betroffenen, wenn die Betroffenenrechte nicht ausreichend gewahrt werden.

Was hat das Gericht geurteilt?
Das Gericht hat dem Kläger im Ergebnis eine Auskunft zu den Verarbeitungszwecken und den verarbeiteten Datenkategorien zugesprochen. Konkret heißt das, dass Formulierungen wie „zum Zweck des Beschäftigungsverhältnisses, namentlich zu dessen Abwicklung und Beendigung, zur Erfüllung bestehender rechtlicher Verpflichtungen und zur Wahrnehmung berechtigter Interessen nach § 26 BDSG“ nicht ausreichend sind. Laut Gericht müssen die Aussagen vollständig konkret und detailliert sein. Außerdem soll nicht lediglich auf Anlagen verwiesen werden. Über Datenverarbeitungen bei anderen Verantwortlichen, an die Daten weitergegeben wurden, muss der Arbeitgeber nicht informieren. Unklar war bisher auch in welchem Umfang Datenkopien mitgesendet werden müssen. Hier befand das Gericht, dass Datenkopien nur bei vertretbarem Aufwand herausgegeben werden müssen. Der Kläger verlangte gespeicherte Daten über ihn, von Telefonen, Servern, Datenbanken, E-Mail-Postfächern. Festplatten und Verzeichnissen. Dies sah das Gericht mit Hinweis auf den Aufwand als zu umfangreich an. Für die verspätete und unvollständige Auskunft verlangte der Kläger 140.000€ Schadensersatz von seinem ehemaligen Arbeitgeber. Das Gericht erkannte einen Schadensersatzanspruch an, jedoch nur in Höhe von 5.000€. Dabei wurden Finanzkraft des Unternehmens, Grad des Verschuldens, Schadenshöhe beim Geschädigten sowie die Häufigkeit der Verstöße mit in die Berechnung einbezogen. Da das Gericht als eines der ersten in Deutschland zu dieser Thematik urteilte und auch dessen Brisanz erkannte, ließ es die Möglichkeit auf Berufung in die höheren Instanzen offen.

Fazit
Es bleibt festzuhalten, dass allgemeine Floskeln zu Verarbeitungszweck und Datenkategorien Schadensersatzansprüche bei Auskunftsanfragen von Mitarbeitern begründen können. Daher sollten diese Angaben so detailliert wie möglich gemacht werden. Andererseits ist es nicht notwendig in jeder Datei und in jeder Festplatte nach Daten des Betroffenen zu suchen, wenn die einen unverhältnismäßigen Aufwand bedeuten würde. Das Arbeitsgericht Düsseldorf hat damit einen ersten Schritt zur Konkretisierung des Umfangs des Auskunftsanspruchs gemacht, welcher hoffentlich nicht der letzte gewesen sein wird.