Veröffentlicht am von Fachanwalt für IT-Recht Jens Ferner

Arbeitsgericht Duisburg: 750 Euro für verspätete DSGVO-Auskunft nach Bewerbung

Das Arbeitsgericht Duisburg, 5 Ca 877/23, hat entschieden, dass eine Datenschutzauskunft, die nach 19 Tagen erfolgt ist, zu einem Schadensersatzanspruch in Höhe von 750 Euro führt – denn dies wäre verspätet. Die Entscheidung ist aus hiesiger Sicht kritisch zu sehen, zeigt zugleich aber auch auf, womit man rechnen muss.

Was ist geschehen?

Der Kläger bewarb sich am 14.03.2017 auf die Stelle und übersandte der Beklagten seine Bewerbungsunterlagen. Mit Schreiben vom 18.05.2023 verlangte er daraufhin von der Beklagten Auskunft nach der DSGVO, ob und welche Daten über ihn gespeichert seien und setzte der Beklagten eine Frist bis zum 02.06.2023. Das Schreiben ging der Beklagten am 18.05.2023 per E-Mail zu.

Die Beklagte nahm nicht Stellung bis zum 03.06.2023. Daraufhin erinnerte der Kläger die Beklagte mit Email vom 03.06.2023 an sein Anliegen. Die Beklagte erteilte dem Kläger mit Schreiben vom 05.06.2023 eine Negativauskunft mit dem Inhalt, dass keine Daten des Klägers bei ihr gespeichert seien. Mit E-Mail vom 09.06.2023 bat der Kläger die Beklagte um Mitteilung, aus welchem Grund die Beklagte die Auskunft nicht bereits zuvor erteilt habe.

Die Entscheidung des Gerichts

Indem die Beklagte dem Kläger mit Schreiben vom 05.06.2023 eine Negativauskunft mit dem Inhalt erteilte, dass keine Daten des Klägers bei ihr gespeichert seien, hat sie nach Auffassung des Gerichts nicht „unverzüglich“ auf die Anfrage des Klägers reagiert.

Das Arbeitsgericht führt aus, dass die Vorschrift des Art. 12 III DSGVO bedeutet, dass der Verantwortliche alle Anfragen der betroffenen Person, mit denen diese ein Recht der betroffenen Person geltend macht, beschleunigt zu bearbeiten hat:

Art. 12 III errichtet für die Positivantwort und die Negativantwort gleichermaßen eine Pflicht zur unverzüglichen Unterrichtung. Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat. Als Höchstfrist legen beide Normen einen Monat ab Antragseingang fest.

Diese Höchstfrist darf nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden (Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 12 Rn. 33). Dabei ist unter unverzüglich, angelehnt an § 121 BGB, „ohne schuldhaftes Zögern“ zu verstehen (Franck in Gola/Heckmann. DS-GVO 3. Aufl, Art. 12 Rn. 25). Da „unverzüglich“ weder „sofort“ bedeutet noch damit eine starre Zeitvorgabe verbunden ist, kommt es auf eine verständige Abwägung der beiderseitigen Interessen an. Nach einer Zeitspanne von mehr als einer Woche ist aber ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben (BAG, Urteil v. 27.2.2020 — 2 AZR 390/19, beck- online).

Bis zur Erteilung der Auskunft sind im vorliegenden Fall 19 Kalendertage vergangen. Besondere Umstände, die diese Bearbeitungsdauer hinreichend rechtfertigen, lagen nach Auffassung der Kammer nicht vor. Dies gilt auch unter Berücksichtigung des Umstandes, dass nach dem Vortrag der Beklagten unter Berücksichtigung von Wochenenden, Feier- und Brückentagen ggf. nur neun Werktage zwischen Anfrage und Bearbeitung lagen. Besondere Umstände, die einen besonderen Bearbeitungsaufwand oder eine längere Bearbeitungszeit rechtfertigen könnten, lägen nicht vor:

Dem Auskunftsverlangen wohnt keine besondere Komplexität inne. Es handelt sich um eine zurückliegende Bewerbung und damit vom Umfang her um einen überschaubaren Vorgang. Bedenkt man, dass letztlich keine Daten gespeichert waren, entfällt mithin auch das ggf. aufwendige Sichten und Sortieren der Daten und deren Zusammenstellung.

Es sind keine Anhaltspunkte ersichtlich, vor welchem Hintergrund für den bloßen Suchvorgang an sich mehr als eine Woche benötigt wurde. Der konkrete Ablauf des Bearbeitungsvorgangs (und evtl. Hindernisse) wurden nicht dargelegt. Im Termin zur mündlichen Verhandlung konnte nach Frage der Kammer nicht im Einzelnen dargelegt werden, wie und durch welche Schritte der „Suchvorgang“ nach Eingang einer Betroffenenanfrage bei der Beklagten durchgeführt wird und wie der normale Ablauf ist.

Darüber hinaus habe der Kläger durch den Verstoß auch einen immateriellen Schaden durch den „zeitweiligen Verlust der Kontrolle über seine Daten“ erlitten:

Der Begriff des Schadens ist auf eine Art auszulegen, die den Zielen der DSGVO in vollem Umfang entspricht. Ein immaterieller Schaden entsteht daher nicht nur in den „auf der Hand liegenden Fällen“, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren (EG 75) (so auch ArbG Düsseldorf. 9 Ca 9557/19, beck- online).

Der Kläger hat durch die verspätete Auskunft einen Kontrollverlust hinsichtlich seiner Daten erlitten. Dieser ist als immaterieller Schaden zu qualifizieren (vgl. Ehmann in Ehmann/Selmayr. DS-GVO Art. 15 Rn. 1 mwN, Bäcker in Kühling/Buchner, DS-GVO Art. 5 Rn. 1). Durch die verspätete Auskunft war der Kläger im Ungewissen und ihm die weitere Prüfung verwehrt, ob und ggf. wie die Beklagte seine personenbezogenen Daten verarbeitet.

Hiesige Wertung: Irritierende Entscheidung

Die Entscheidung irritiert gleich an zwei Stellen. Man sollte sich dabei den §12 Abs.3 DSGVO vor Augen führen:

Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung.

Bereits der Wortlaut macht deutlich, dass sich die Unverzüglichkeit auf die Statusmeldung und nicht auf die Auskunft als solche bezieht. Dabei ist durchaus zu sehen, dass die DSGVO selber unterscheidet. Ein Blick in Art. 14 Abs.3 DSGVO etwa macht deutlich, wie die Wortwahl der DSGVO bei absoluten Erfüllungsfristen bzgl. Ansprüchen aussieht. Andererseits ist mit Erwägungsgrund 59 zu sehen, dass man hier von einer unverzüglichen Bearbeitung insgesamt auszugehen scheint.

Der vom Arbeitsgericht selbst zitierte Gola/Heckmann-DSGVO-Kommentar spricht in Rn. 25 jedenfalls nur von der „unverzüglichen Statusmeldung“. Nach hiesiger Auffassung ist also zwischen der Statusmeldung und der eigentlichen Erledigung zu unterscheiden. Die Unverzüglichkeit der Statusmeldung hat dann auch nur mittelbare Auswirkungen auf die Erledigungsfrist für die Erfüllung des jeweiligen Anspruchs selbst (so Gola/Heckmann, Art.12, Rn. 28). Dabei ist durchaus anzuerkennen, dass es hier auch andere Auffassungen gibt – nur stellt das Arbeitsgericht weder den Meinungsstreit dar, noch gibt es die selbst zitierte Auffassung richtig wieder.

Dabei übersieht das Gericht (ebenso wie Gola/Heckmann), dass es sich bei „unverzüglich“ um einen europäisch verwendeten Begriff handelt, der europarechtlich auszulegen ist. Dass z.B. der in der DSGVO in den verschiedensten Zusammenhängen verwendete Begriff „unverzüglich“ immer mit Blick auf § 121 BGB auszulegen ist, wird spätestens dann kritisch, wenn man sieht, wie häufig er im Abschnitt über die europäische Zusammenarbeit der Aufsichtsbehörden verwendet wird.

Ärgerlich ist schließlich, dass sich das Gericht nicht in der Lage sieht, begrifflich zwischen „Kontrollverlust“ und (nur) „gefühltem Kontrollverlust“ zu unterscheiden – einen Schadensersatz für den (vorübergehenden) Kontrollverlust über faktisch nicht verarbeitete Daten anzunehmen, ist durchaus sportlich. Ebenso wie das Ignorieren der aktuellen Rechtsprechung zu diesem Thema.

Man kann es sich in dieser Entscheidung einfach machen und darauf verweisen, dass die Beklagte schon ihrer Darlegungslast nicht nachgekommen ist, warum hier eine kurzfristige Verarbeitung nicht ausgereicht hätte. Darüber hinaus gibt es aber durchaus Kritikpunkte, über die man nachdenken kann. Andererseits sollte man sich als Arbeitgeber vor Augen halten, welche Risiken drohen, wenn nicht innerhalb weniger Tage entsprechende Auskünfte bzw. Statusmeldungen erfolgen. Bei der Gestaltung von Bewerbungsprozessen sollten daher die Informationen zur DSGVO berücksichtigt werden.

Fachanwalt für IT-Recht Jens Ferner
Letzte Artikel von Fachanwalt für IT-Recht Jens Ferner (Alle anzeigen)