LAG Düsseldorf: Keine Entschädigung für verspätete und unvollständige Auskunft nach DSGVO

Der Kläger war vom 1. Dezember 2016 bis zum 31. Dezember 2016 bei der Beklagten, einem Immobilienunternehmen, im Kundenservice beschäftigt. Im Jahr 2020 hat der Kläger einen Antrag auf Auskunft gemäß Art. 15 DSGVO gestellt; dieser Antrag wurde schon damals durch die Beklagte beantwortet. Am 1. Oktober 2022 hat der Kläger erneut Auskunft und eine Datenkopie auf dieser Grundlage verlangt. Dazu setzte der Kläger eine Frist bis zum 16. Oktober 2022. An diese Frist erinnerte der Kläger die Beklagte am 21. Oktober 2022 mit erneuter Fristsetzung bis zum 31. Oktober 2022. Die daraufhin erteilte Auskunft rügte der Kläger als mangelhaft, woraufhin die Beklagte ihm mitteilte, dass von den fehlenden Angaben zur Dauer der Datenspeicherung und den namentlichen bezeichneten Empfängern der Daten letztere für gewöhnlich die Auskunftsbegehrenden nicht interessierten und daher nur kategorisiert mitgeteilt würden. Die Beklagte konkretisierte aber die Angaben und nannte auf weitere Nachforderung auch die Namen der Empfänger. Der Kläger hat daraufhin vor dem Arbeitsgericht eine Geldentschädigung gemäß Art. 82 Abs. 1 DSGVO nach dem Ermessen des Arbeitsgerichts verlangt, da sein Auskunftsrecht nach Art. 15 DSGVO verletzt worden sei. Das Arbeitsgericht sprach ihm eine Geldentschädigung in Höhe von 10.000 Euro zu.

Das Landesarbeitsgericht hat in der Berufung die Entscheidung des Arbeitsgerichts aufgehoben und die Klage vollständig abgewiesen. Die Beklagte habe zwar gegen Art. 12 Abs. 3 DSGVO (Unverzüglichkeit der Auskunft, spätestens innerhalb eines Monats) und Art. 15 DSGVO verstoßen. Die Auskunft wurde weder unverzüglich noch vollständig erteilt. Hieraus ergebe sich aber aus zwei Gründen kein Anspruch auf Geldentschädigung nach Art. 82 Abs. 1 DSGVO: ein Verstoß falle nicht in den Anwendungsbereich des Art. 82 DSGVO, demnach eine gegen die DSGVO verstoßende Datenverarbeitung Voraussetzung sei. Unabhängig davon sei ein immaterieller Schaden erforderlich, den der Kläger aber nicht vorgetragen habe.

Die Entscheidung ist auf Arbeitsverhältnisse nach den AVR übertragbar: Zwar gilt hier nicht die DSGVO, sondern das Kirchliche Datenschutzgesetz, dieses enthält aber Parallelvorschriften in § 14 Abs. 3 und § 17 KDG, die dieselben Pflichten wie Art. 12 Abs. 3 und Art. 15 DSGVO regeln und ebenfalls ist eine Geldentschädigung wie in Art. 82 DSGVO in § 50 KDG vorsehen.

Die Revision wurde vom LAG zugelassen. Es wird abzuwarten sein, ob die Revision eingelegt wird und ob das Bundesarbeitsgericht in diesem Fall Aussagen dazu trifft, ob Art. 15 DSGVO unter den Anwendungsbereich des Art. 82 DSGVO fällt oder – wie durch das LAG Düsseldorf angenommen – nicht. Nach dem Wortlaut des Art. 82 Abs. 1 DSGVO besteht ein Schadenersatzanspruch bei Verstoß gegen die DSGVO. Es ist zwischen den Arbeitsgerichten umstritten, ob dies nur auf die Verarbeitung oder auf alle Pflichten nach der DSGVO zu beziehen ist (zur Vertiefung siehe etwa: Kühling/Buchner, DSGVO/BDSG, 4. Auflage 2024, Art. 82 Rn. 23 und Gola/Piltz, in: Gola/Heckmann, DSGVO – BDSG, 3. Auflage 2023, Art. 82 Rn. 59). Ob sich das Bundesarbeitsgericht angesichts dessen, dass zumindest der Vortrag zum Schaden fehlt, überhaupt äußern wird, bleibt offen. Die Revision ist keine Tatsacheninstanz, neuer Sachvortrag ist damit nicht möglich.