In der Vergangenheit haben vor allem die Arbeitsgerichte datenschutzrechtliche Bestimmungen extrem großzügig zugunsten von Arbeitnehmern ausgelegt. Teilweise haben Arbeitsgerichte beispielsweise die Auffassung vertreten, dass selbst eine Auskunftserteilung gegenüber einem Arbeitnehmer innerhalb der Monatsfrist gem. Art. 12 Abs. 3 DSGVO verspätet sein kann und dementsprechend einen Schadensersatzanspruch auslöst. Das Arbeitsgericht Duisburg hat beispielsweise noch im letzten Jahr entschieden, dass eine Auskunftserteilung nach 19 Tagen nicht mehr unverzüglich wäre und für einen derartigen Verstoß ein Schadensersatzanspruch in Höhe von 750,00 € anzusetzen wäre, weil dem festgelegten Betrag auch eine abschreckende Wirkung zukommen müsse (Arbeitsgericht Duisburg, Urteil vom 03.11.2023, 5 Ca 877/23).
Zum Glück hat der Europäische Gerichtshof mittlerweile in zahlreichen Entscheidungen klargestellt, dass derartige Interpretationen der Bestimmungen der DSGVO unzutreffend sind. Im Dezember 2023 hat der EuGH beispielsweise nochmals klargestellt, dass nicht jeder Verstoß gegen datenschutzrechtliche Bestimmungen einen Schadensersatzanspruch rechtfertigen kann, sondern die hieraus abgeleiteten negativen Folgen und der ersatzfähige Schaden vom Betroffenen nachzuweisen sind (EuGH, Urteil vom 14.12.2023, C-340/21, RDV 2024, 112). Kurz danach hat der EuGH dann in einem weiteren Verfahren klargestellt, dass es im Rahmen eines Schadensersatzanspruchs (anders als bei Bußgeldentscheidungen der Aufsichtsbehörden) grundsätzlich nicht auf die Schwere des Verstoßes oder den Verschuldensgrad ankommt. Für den Schadensersatzanspruch ist alleine maßgeblich, was für ein Schaden dem Betroffenen tatsächlich entstanden ist, weswegen der Schadensersatzanspruch nicht als Strafe oder zur Abschreckung gegenüber der verantwortlichen Stelle gesehen werden darf.
Tatsächlich sind zuletzt die Arbeitsgerichte deutlich zurückhaltender mit der Gewährung von Schadensersatzansprüchen gegenüber Arbeitnehmern. In diesem Kontext ist auch zu berücksichtigen, dass datenschutzrechtliche Auskunftsansprüche von den Arbeitnehmern vielfach überhaupt nur bei ohnehin schon bestehenden arbeitsrechtlichen Auseinandersetzungen geltend gemacht werden, um letztlich auf eine nicht ordnungsgemäße Beantwortung zu hoffen und so unter dem Gesichtspunkt des Schadensersatzes noch Zahlungen vom Arbeitgeber zu erhalten. Die Geltendmachung derartiger Auskunftsansprüche in einer laufenden Auseinandersetzung ist aber nicht rechtsmissbräuchlich, weil das Auskunftsrecht jedem Betroffenen anlasslos zusteht und eine besondere Begründung zur Geltendmachung nicht verlangt werden darf.
Kommt es allerdings zu einer verspäteten oder nicht vollständigen Auskunftserteilung, liegt zwar formal ein Verstoß gegen die datenschutzrechtlichen Bestimmungen vor, dies rechtfertigt im Regelfall aber nicht einen Schadensersatzanspruch des Betroffenen. Unter Rückgriff auf weitere Entscheidungen des EuGH haben die Betroffenen vielfach argumentiert, dass es für die Geltendmachung eines immateriellen Schadensersatzanspruchs keine Bagatellgrenze gibt und grundsätzlich auch ein Kontrollverlust in Betracht kommt (EuGH, Urteil vom 14.12.2023, C-456/22, RDV 2024, 111). Selbst wenn prinzipiell auch in solchen Fällen ein Schaden vorliegen könnte, muss dieser aber im Einzelfall konkret belegt werden. Zurecht hat zuletzt das Landesarbeitsgericht Mainz etwa in einem Verfahren wegen einer verspäteten Auskunft keine hinreichende Grundlage für einen Schadensersatzanspruch gesehen (LAG Mainz, Urteil vom 08.02.2024, Az. 5 Sa 154/23). Das Gericht hat sehr überzeugend dargelegt, dass eine verspätete Auskunft in der Regel nicht zu dem häufig behaupteten „Kontrollverlust“ führt und auch im Übrigen keine Anhaltspunkte für einen ersatzfähigen Schaden zu sehen wären. Solange die personenbezogenen Daten bei der verantwortlichen Stelle sind, können sie gerade nicht „außer Kontrolle“ geraten. Wird der grundsätzlich bestehende und auch von der verantwortlichen Stelle akzeptierte Auskunftsanspruch nur verspätet erfüllt, verbleibt allenfalls ein Ärger, was aber nicht als relevanter Nachteil anzusehen ist. Das bloße Warten auf die Erfüllung eines an sich anerkannten Anspruchs ist insoweit – also bezogen auf Schadensersatzansprüche – unerheblich.
Es ist allerdings zu beachten, dass unabhängig von dieser erfreulichen Entwicklung in der Rechtsprechung weiterhin sichergestellt werden sollte, dass Auskunftsverlangen und andere Betroffenenrechte zügig bearbeitet und beantwortet werden, weil auf diese Weise eine Diskussion über mögliche Schadensersatzansprüche vermieden werden kann. Schließlich ist auch zu berücksichtigen, dass Betroffene die Möglichkeit haben, sich bei Datenschutzverstößen auch an die zuständige Aufsichtsbehörde zu wenden. Für die Bußgeldpraxis der Aufsichtsbehörden gelten insoweit gem. Art. 83 DSGVO andere Kriterien, so dass nicht mit gleicher Argumentation pauschal gesagt werden kann, dass auch ein Bußgeld wegen verspäteter Auskunftserteilung ausgeschlossen ist. Immerhin hat aber die zuletzt eher restriktive Rechtsprechung dazu geführt, dass Versuche zur Monetarisierung von Datenschutzverstößen durch einzelne Betroffene oder entsprechende Gruppen wieder deutlich zurückgehen.
