Arbeitgeber müssen auf Verlangen ihrer Beschäftigten umfassend Auskunft über deren Daten geben. Copyright by Adobe Stock/Feodora
Arbeitgeber müssen auf Verlangen ihrer Beschäftigten umfassend Auskunft über deren Daten geben. Copyright by Adobe Stock/Feodora

Arbeitnehmer haben einen Anspruch darauf von ihrem Arbeitgeber zu erfahren, welche Daten er über sie gespeichert hat. Verstößt der Arbeitgeber gegen diese Pflicht, sieht die Datenschutzgrundverordnung (DSGVO) Entschädigungszahlungen vor.
 

Arbeitgeber informiert unvollständig und verspätet

Der Kläger war bis Januar 2018 bei seinem Arbeitgeber beschäftigt gewesen. Anfang Juni desselben Jahres stellte er ein Auskunftsersuchen an seinen ehemaligen Arbeitgeber. Er verlangte Auskunft über alle Daten, die bei diesem über ihn vorhanden sind.
 
Erst im Dezember desselben Jahres übersandt der Arbeitgeber ein Konvolut von Kopien personenbezogener Daten und Abdrucke einer Datenübermittlungsvereinbarung. Wesentliche Informationen über Datenkategorien und Verarbeitungszwecke fehlten.
 
Der Kläger sah sich in seinem Auskunftsrecht verletzt und klagte daher auf Schadensersatz nach DSGVO. Dabei setzte er ein Jahresgehalt als immateriellen Schaden an.
 

Das Auskunftsersuchen nach DSGVO

Nach der DSGVO haben betroffene Personen das Recht, von Verantwortlichen eine Bestätigung darüber zu verlangen, ob ihre personenbezogenen Daten verarbeitet werden. Ist das der Fall, haben die betroffenen Personen ein Recht darauf zu erfahren, welche Daten beim Verantwortlichen vorliegen und zu welchem Zweck er sie verarbeitet.
 
Der Verantwortliche muss unter anderem aufklären über Verarbeitungszwecke, Kategorien personenbezogener Daten, die verarbeitet werden, Empfänger bzw. Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig erhalten werden, geplante Speicherdauer sowie über das Widerspruchsrecht gegen die Verarbeitung und das Beschwerderecht bei der Aufsichtsbehörde.
 
Der Auskunftsersuchende muss diese Informationen unverzüglich, jedenfalls innerhalb eines Monats nach Eingang des Antrags erhalten. In komplexeren Fällen verlängert sich diese Frist ausnahmsweise um zwei Monate, wobei die betroffene Person hierüber unter Angabe der Gründe zu informieren ist.
 

Arbeitsgericht: 5.000 Euro angemessen

Nachdem der Arbeitgeber im vorliegenden Fall weder die Frist eingehalten noch die erforderlichen Informationen vollständig zur Verfügung gestellt hatte, sah das Arbeitsgericht Düsseldorf die Voraussetzungen für einen Schadenersatz als gegeben an.
 
Hinsichtlich der Schadenshöhe berücksichtigte das Gericht zugunsten des Arbeitgebers, dass dieser nur fahrlässig gehandelt habe. Schon aus diesem Grund sei eine Entschädigung in Höhe eines Jahresgehaltes deutlich zu hoch angesetzt.
 
Das Gericht hielt einen Schadensersatz in Höhe von jeweils 500 Euro für Juli und August sowie für jeweils 1.000 Euro für September, Oktober und November 2018 für angemessen. Aufgrund der inhaltlichen Versäumnisse sei ein Betrag von weiteren 1.000 Euro angemessen, sodass sich der Schadensersatz insgesamt auf 5.000 Euro beläuft.
 
Links
Urteil des Arbeitsgerichts Düsseldorf
 
Lesen Sie auch
 
Freigestellter Betriebsratsvorsitzender darf Datenschutzbeauftragter bleiben

Datenschutz bricht Betriebsverfassung nicht

Betriebsrat bekommt keine Einsicht in nicht-anonymisierte Lohnlisten

Das sagen wir dazu:

Die Schutzmechanismen der Datenschutzgrundverordnung haben nun auch die deutschen Arbeitsgerichte erreicht. Zwar handelt es sich nur um ein erstinstanzliches Urteil, das zudem noch nicht rechtskräftig ist, die Thematik könnte gleichwohl eine erhebliche Sogwirkung entfalten.

Beschäftigtendatenschutz gewinnt an Relevanz

Auch wenn es vielen Arbeitnehmerinnen und Arbeitnehmern nicht präsent ist: Ihre Daten werden verarbeitet und sie haben einen Anspruch darauf, dass dies rechtskonform geschieht. Verarbeiter ist nicht nur der Arbeitgeber, sondern auch das Finanzamt, Sozialversicherungsträger oder externe Dienstleister, denen sich der Arbeitgeber bedient.

Die DSGVO hat auch Arbeitnehmerinnen und Arbeitnehmern effektive Instrumente an die Hand gegeben, um die Kontrolle über ihre Daten zu behalten bzw. wiederzuerlangen. Dies gilt auch für Bewerberinnen und Bewerber bzw. wie im vorliegenden Fall für ausgeschiedene Mitarbeiterinnen und Mitarbeiter.

Der Datenschutz für Beschäftigte hat mit der DSGVO, ebenso wie der Datenschutz als solcher, erheblich an Aufmerksamkeit gewonnen, was insbesondere an den drastisch erhöhten Bußgeldern liegt. Arbeitgeber tun also gut daran, diesem Thema in Zukunft hinreichend Beachtung zu schenken, damit sie in der Lage sind, die erforderlichen Informationen fristgerecht zur Verfügung zu stellen. Andernfalls drohen ihnen empfindliche Sanktionen.

Rechtliche Grundlagen

Artt. 15, 82, 12 DSGVO

Art. 15 DSGVO Auskunftsrecht der betroffenen Person

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
· die Verarbeitungszwecke;
· die Kategorien personenbezogener Daten, die verarbeitet werden;
· die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
· falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
· das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
· das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
· wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
· das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. 2Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. 3Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.


Art. 82 DSGVO Haftung und Recht auf Schadenersatz

(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.


Art. 12 DSGVO Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person

[…]

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. 2Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. 3Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. 4Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.