Immaterieller Schadenersatz nach Art. 82 Abs. 1 DSGVO - Darlegungslast
Instanzenzug: ArbG Duisburg Az: 3 Ca 44/23 Urteilvorgehend Landesarbeitsgericht Düsseldorf Az: 3 Sa 285/23 Urteil
Tatbestand
1Die Parteien streiten über einen Anspruch auf Schadenersatz nach Art. 82 Abs. 1 DSGVO wegen eines Verstoßes gegen die Auskunftspflicht nach Art. 15 DSGVO.
2Der Kläger stand vom 1. bis bei der Rechtsvorgängerin der Beklagten in einem Arbeitsverhältnis. Er hatte bereits im Jahr 2020 gemäß Art. 15 DSGVO Auskunft bzgl. der Verarbeitung seiner personenbezogenen Daten verlangt und erhalten. Mit Schreiben vom begehrte er von der Beklagten mit Blick auf eine etwaig andauernde Datenverarbeitung abermals eine solche Auskunft und setzte hierfür eine Frist bis zum . Als die Beklagte hierauf nicht reagierte, erneuerte er sein Verlangen mit Schreiben vom unter Fristsetzung bis zum . Mit Schreiben vom erteilte die Beklagte eine ihrer Ansicht nach ausreichende Auskunft. Der Kläger beanstandete mit Schreiben vom , dass die erteilte Auskunft bzgl. der Dauer der Datenspeicherung, der Angabe der Empfänger und der Vollständigkeit der Datenkopie unzureichend sei. Nach einem weiteren Schriftwechsel erteilte die Beklagte mit Schreiben vom die gewünschten Auskünfte. Der Kläger verlangte daraufhin mit Schreiben vom erfolglos die Zahlung einer „Geldentschädigung“ nach Art. 82 Abs. 1 DSGVO. Mit seiner Klage hat er dieses Ziel weiterverfolgt.
3Der Kläger hat die Auffassung vertreten, die Beklagte habe mit der nach Art. 12 Abs. 3 DSGVO verspäteten Auskunft iSd. Art. 82 Abs. 1 DSGVO gegen die Datenschutz-Grundverordnung verstoßen. Er habe deshalb einen Anspruch auf Schadenersatz. Es bestehe ein immaterieller Schaden in Form eines wochenlangen Kontrollverlusts bzgl. der Datenverarbeitung. Er habe deshalb etwaige Rechte nicht ausüben können. Der Vorgang rufe bei ihm zudem ein erhebliches Maß an Sorge bzgl. des Schicksals seiner Daten hervor. Er habe Angst, dass die Beklagte „Schindluder“ mit seinen Daten treibe. Außerdem sei er wegen des durch die Beklagte verursachten Aufwands der Rechtsverfolgung „genervt“.
4Der Kläger hat beantragt,
5Die Beklagte hat beantragt, die Klage abzuweisen.
6Das Arbeitsgericht hat die Beklagte zur Zahlung von Schadenersatz iHv. 10.000,00 Euro verurteilt. Auf die Berufung der Beklagten hat das Landesarbeitsgericht dieses Urteil abgeändert und die Klage abgewiesen. Mit seiner vom Landesarbeitsgericht zugelassenen Revision erstrebt der Kläger die Wiederherstellung der erstinstanzlichen Entscheidung. Die Beklagte begehrt die Zurückweisung der Revision. Im Rahmen eines Inzidentantrags verlangt sie zudem die Rückzahlung der angeblich zur Vermeidung einer Zwangsvollstreckung an den Kläger bereits gezahlten Summe von 10.000,00 Euro nebst Zinsen sowie den Ersatz der Vollstreckungskosten. Der Kläger beantragt die Zurückweisung des Inzidentantrags.
Gründe
7Die zulässige Revision des Klägers ist unbegründet. Die Klage ist nicht begründet. Der Kläger hat keinen Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 Abs. 1 DSGVO. Über den Inzidentantrag kann der Senat mangels hinreichender Tatsachenfeststellungen nicht selbst entscheiden. Das Landesarbeitsgericht wird nach § 717 Abs. 2 ZPO über den entsprechenden Schadenersatzanspruch der Beklagten zu erkennen haben.
8I. Der Kläger kann von der Beklagten keinen Schadenersatz nach Art. 82 Abs. 1 DSGVO fordern.
91. Dabei kann dahingestellt bleiben, ob hier eine Verletzung von Art. 15 iVm. Art. 12 Abs. 3 DSGVO vorliegt. Gleiches gilt für die Frage, ob dies einen Verstoß iSv. Art. 82 Abs. 1 DSGVO darstellen würde (bejahend - Rn. 20 ff.; offengelassen von - Rn. 11). Der Kläger hat schon keinen Schaden dargelegt.
10a) Das Vorliegen eines „Schadens“ ist eine der drei Voraussetzungen für den in Art. 82 Abs. 1 DSGVO vorgesehenen Schadenersatzanspruch, ebenso wie das Vorliegen eines Verstoßes gegen die Datenschutz-Grundverordnung und eines Kausalzusammenhangs zwischen dem erlittenen Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ vorliegen müssen (vgl. - [Agentsia po vpisvaniyata] Rn. 140; - C-300/21 - [Österreichische Post] Rn. 32; - Rn. 12 mwN; - 8 AZR 91/22 - Rn. 12). Hinsichtlich der Darlegungs- und Beweislast ist geklärt, dass die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nachweisen muss, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (vgl. - [juris] Rn. 35; - C-687/21 - [MediaMarktSaturn] Rn. 60 f.; - Rn. 13).
11b) Das Landesarbeitsgericht hat zu Recht angenommen, der Kläger habe keinen Schaden iSv. Art. 82 Abs. 1 DSGVO dargelegt.
12aa) Die Voraussetzungen eines Anspruchs wegen des Verlusts der Kontrolle über personenbezogene Daten sind ausgehend vom Vortrag des Klägers nicht erfüllt.
13(1) Der - selbst kurzzeitige - Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden iSv. Art. 82 Abs. 1 DSGVO darstellen, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden - so geringfügig er auch sein mag - erlitten hat ( - [Agentsia po vpisvaniyata] Rn. 150; - C-741/21 - [juris] Rn. 42; - Rn. 13).
14(2) Ein Kontrollverlust in Form eines Datenverlusts oder Datenmissbrauchs liegt auch nach Darstellung des Klägers nicht vor (vgl. zu einem solchen Fall - Rn. 30). Dies hat das Landesarbeitsgericht rechtsfehlerfrei erkannt. Es hat festgehalten, der Kläger habe weder einen „gesetzwidrigen Datenabfluss“ noch eine „unzulässige Datenspeicherung“ behauptet. Er habe bereits im Jahr 2020 eine Auskunft erhalten und auch diesbezüglich nicht behauptet, sie sei falsch gewesen oder habe „Schindluder“ befürchten lassen. Hiergegen wendet sich die Revision nicht.
15(3) Die Revision vertritt vielmehr die Auffassung, eine verspätete Auskunftserteilung bewirke einen Kontrollverlust, der ohne weitere Voraussetzung einen Schaden iSv. Art. 82 Abs. 1 DSGVO darstelle. Dies ist aber unzutreffend.
16(a) Zwar kann ein Kontrollverlust auch dann gegeben sein, wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil der geschützten Person erfolgt sein sollte (vgl. - [Agentsia po vpisvaniyata] Rn. 144 ff.), denn es kann die entsprechende Gefahr bestanden haben. Die durch einen Verstoß gegen die Datenschutz-Grundverordnung ausgelöste Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden iSv. Art. 82 Abs. 1 DSGVO darstellen ( - [MediaMarktSaturn] Rn. 65; - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 79 ff.). Das rein hypothetische Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten kann jedoch nicht zu einer Entschädigung führen ( - [MediaMarktSaturn] Rn. 68; - Rn. 13; - Rn. 31).
17(b) Unter einem Kontrollverlust versteht der Gerichtshof der Europäischen Union (im Folgenden Gerichtshof) daher nur eine Situation, in der die betroffene Person eine begründete Befürchtung des Datenmissbrauchs hegt (vgl. - Rn. 31). Das bloße Berufen auf eine bestimmte Gefühlslage reicht dabei nicht aus. Das Gericht hat vielmehr zu prüfen, ob das Gefühl unter Berücksichtigung der konkreten Umstände „als begründet angesehen werden kann“ ( - [Natsionalna agentsia za prihodite] Rn. 85). Dies setzt zwingend die Anwendung eines objektiven Maßstabs voraus ( - Rn. 33; - 8 AZR 124/23 - Rn. 15). Je gravierender die Folgen eines Verstoßes gegen die Datenschutz-Grundverordnung sind, desto näher liegt eine begründete Befürchtung des Datenmissbrauchs. So wird die Veröffentlichung von sensiblen Daten im Internet aufgrund eines Datenlecks typischerweise eine Grundlage für solche Befürchtungen darstellen. Eine nur verspätete Auskunft begründet demgegenüber für sich genommen keinen Kontrollverlust über Daten iSd. Gefahr einer missbräuchlichen Verwendung, sondern nur einen Zeitverzug hinsichtlich der Auskunft ( - Rn. 32). Entgegen der Auffassung der Revision ist es dabei ohne Belang, dass Art. 12 Abs. 3 Satz 1 DSGVO die unverzügliche Erteilung der Informationen als Regelfall vorsieht und den Zeitraum der Ungewissheit damit auf ein Minimum verkürzt. Eine ungerechtfertigte Verzögerung lässt dessen ungeachtet ohne weitere Anhaltspunkte nicht auf einen Datenmissbrauch schließen.
18(c) Die vom Kläger im vorliegenden Rechtsstreit geschilderte Gefühlslage begründet demnach keinen Schaden im Zusammenhang mit einem Kontrollverlust. Der Kläger hat - wovon das Landesarbeitsgericht zu Recht ausgegangen ist - keine konkreten Befürchtungen einer missbräuchlichen Verwendung seiner Daten dargelegt.
19bb) Das Landesarbeitsgericht hat ausgehend vom Vorbringen des Klägers auch einen Schaden in Form von negativen Gefühlen allein wegen der verspäteten Erfüllung des Auskunftsanspruchs rechtsfehlerfrei verneint.
20(1) Ein immaterieller Schaden kann allein in negativen Gefühlen bestehen (vgl. - Rn. 18). Dies betrifft Konstellationen, in denen der bloße Verstoß gegen die Datenschutz-Grundverordnung zu der Befürchtung eines Datenmissbrauchs führt (vgl. - [Agentsia po vpisvaniyata] Rn. 144 mit Verweis auf die Erwägungsgründe 85 und 146 zur DSGVO; - C-590/22 - [PS (Fehlerhafte Anschrift)] Rn. 32). Da solche Gefühle für sich genommen nicht beweisbar sind, hat das nationale Gericht die Gesamtsituation und letztlich auch die Glaubwürdigkeit der jeweiligen Klagepartei auf der Grundlage eines substantiierten Sachvortrags zu beurteilen. Steht ein Verstoß gegen die Datenschutz-Grundverordnung iSv. Art. 82 Abs. 1 DSGVO nach richterlicher Beweiswürdigung iSv. § 286 Abs. 1 ZPO zum Nachteil der Klagepartei als geschützter Person fest, mindert sich das Beweismaß bzgl. der Entstehung und der Höhe des Schadens nach § 287 Abs. 1 ZPO ( - Rn. 16 unter Bezugnahme auf - Rn. 14).
21(2) Die verspätete Erfüllung des Auskunftsanspruchs löst geradezu zwangsläufig die Sorge eines Verstoßes gegen sonstige Verpflichtungen aus der Datenschutz-Grundverordnung aus. Dies mag sich mit der Revision als eine besondere Form des Kontrollverlusts darstellen, kann aber auch als eigenständige Fallgruppe verstanden werden. Letztlich ist diese Frage der Einordnung nicht entscheidungserheblich. Wäre schon das Berufen auf solche abstrakten Befürchtungen ausreichend für die Annahme eines Schadens, würde jeder Verstoß gegen Art. 15 DSGVO - so ein Verstoß dagegen einen Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO dem Grunde nach begründen könnte - zu einem immateriellen Schaden führen. Die eigenständige Voraussetzung des Schadens würde damit bedeutungslos ( - Rn. 16). Sie wäre stets erfüllt. Dies ist jedoch mit dem dargestellten Normverständnis des Gerichtshofs von Art. 82 Abs. 1 DSGVO, das strikt zwischen Verstoß und Schaden unterscheidet, ebenso wenig zu vereinbaren wie mit den Anforderungen des nationalen Prozessrechts, das die substantiierte Darlegung eines Schadens verlangt ( - Rn. 18; - 8 AZR 91/22 - Rn. 18).
22(a) Entgegen der Auffassung der Revision wird damit keine „vierte Tatbestandsvoraussetzung“, wonach „der Schaden keine dem Verordnungsverstoß immanente Folge sein darf“, geschaffen. Es bedeutet auch nicht, dass „eine besonders enge Kausalität zwischen Verordnungsverstoß und Schaden“ für die Annahme eines Schadens „schädlich“ wäre. Die Rechtsprechung des Gerichtshofs und des Senats folgt nur der in Art. 82 Abs. 1 DSGVO angelegten Eigenständigkeit des Erfordernisses eines Schadens. Dabei ist im Einzelfall zu beurteilen, ob der Verstoß gegen die Datenschutz-Grundverordnung ggf. so schwerwiegende Konsequenzen aufweist, dass ein Schaden in Form von Befürchtungen selbstverständlich angenommen werden kann (zB Datenleck bzgl. Bank- oder Gesundheitsdaten) oder ob der Schaden gesondert begründet werden muss. Dementsprechend besteht auch kein Widerspruch zum Urteil des Senats vom (- 8 AZR 225/23 -). Der Senat hat in diesem Fall einer unzulässigen Überwachung durch Detektive ausgeführt, der Verlust von Kontrolle und die daraus folgende Befürchtung weiterer Überwachung sei selbsterklärend und bedürfe keiner näheren Darlegung ( - Rn. 34). Diese Begründung war der Schwere der Auswirkungen des Verstoßes geschuldet und kann nicht auf eine lediglich verspätete Auskunftserteilung übertragen werden. Dementsprechend geht auch der Hinweis auf die einen anderen Sachverhalt (Datenabfluss) betreffende Entscheidung des - VI ZR 10/24 -) fehl.
23(b) Gleiches gilt bzgl. der von der Revision angeführten Entscheidung des Obersten Gerichtshofs (Österreich) vom (- 6 Ob 56/21k -). Dieser Beschluss erging vor den maßgeblichen Urteilen des Gerichtshofs der Europäischen Union.
24(c) Die von der Revision unter Bezugnahme auf Rechtsprechung und Schrifttum zutreffend angeführte Bedeutung des Auskunftsanspruchs für die Transparenz der Datenverarbeitung (vgl. hierzu - [Pankki S] Rn. 59 mwN) steht dem Erfordernis der gesonderten Begründung eines Schadens nicht entgegen. Der Verstoß gegen Art. 15 DSGVO begründet auch dann für sich genommen keinen immateriellen Schaden iSv. Art. 82 Abs. 1 DSGVO, wenn die verzögerte oder zunächst verweigerte Auskunftserteilung der Durchsetzung von Rechten entgegensteht, denn dies steht in keinem Zusammenhang mit dem Zweck des Schadenersatzanspruchs. Dieser hat nur eine Ausgleichsfunktion, da eine auf Art. 82 Abs. 1 DSGVO gestützte Entschädigung in Geld ermöglichen soll, den konkret aufgrund des Verstoßes gegen diese Verordnung erlittenen Schaden vollständig auszugleichen. Er erfüllt keine Abschreckungs- oder Straffunktion ( - [MediaMarktSaturn] Rn. 50; - C-667/21 - [Krankenversicherung Nordrhein] Rn. 87). Daran ändern auch die im Erwägungsgrund 75 zur Datenschutz-Grundverordnung beschriebenen Risiken nichts (aA Gola/Heckmann/Franck 3. Aufl. DSG-VO Art. 15 Rn. 72; Kühling/Buchner/Bergt 4. Aufl. DSG-VO Art. 82 Rn. 18c). Gleiches gilt für die im Erwägungsgrund 85 zur Datenschutz-Grundverordnung angeführten Schadensarten. Der von einem Verstoß gegen die Auskunftspflicht betroffenen Person bleibt zudem der Anspruch auf Ersatz eines etwaigen materiellen Schadens.
25(d) Soweit die Revision die angeführte Rechtsprechung des Senats im Widerspruch zum unionsrechtlichen Grundsatz der Äquivalenz sieht, dringt sie ebenfalls nicht durch. Sie begründet diese These mit einem Vergleich zum Ersatz immaterieller Schäden nach § 15 Abs. 2 AGG. Bei diesem Anspruch liege der immaterielle Schaden bereits in der Rechtsverletzung selbst. Gleiches müsse für den Anspruch nach Art. 82 Abs. 1 DSGVO gelten, weil der Erwägungsgrund 85 zur Datenschutz-Grundverordnung die „Diskriminierung“ als Regelschaden benenne. Diese Argumentation verkennt, dass sich der Äquivalenzgrundsatz auf die Ausgestaltung des Verfahrens zur Rechtsdurchsetzung bezieht (vgl. - [Profi Credit Polska] Rn. 40; - Rn. 13 ff.). Die Revision behauptet selbst nicht, dass ein Anspruch aus Art. 82 Abs. 1 DSGVO im Hinblick auf das nationale Verfahrensrecht schwerer durchsetzbar wäre als ein solcher aus § 15 Abs. 2 AGG. Sie nimmt lediglich einen Vergleich der materiellen Tatbestandsvoraussetzungen der verschiedenen Normen vor. Deren unterschiedliche Ausgestaltung wird durch den Äquivalenzgrundsatz nicht berührt.
26(3) Das Landesarbeitsgericht hat vor diesem Hintergrund zu Recht ausgeführt, dass der Vortrag des Klägers bzgl. angeblich zu befürchtenden „Schindluders“ keine nachvollziehbare Begründung enthält, wo die Beklagte doch in den vergangenen sechs Jahren unstreitig kein „Schindluder“ betrieben habe. Ebenfalls rechtsfehlerfrei ist die Auffassung des Landesarbeitsgerichts, wonach behauptete Emotionen wie Ärger oder Frust („genervt sein“), keinen immateriellen Schaden darstellen (vgl. Fuhlrott/Fischer NZA 2023, 606, 610). Es handelt sich hierbei nur um pauschal gehaltene Unmutsbekundungen.
272. Entgegen der Auffassung der Revision bedarf es keines Vorabentscheidungsersuchens nach Art. 267 AEUV zu der Frage, ob die Nichterfüllung des Auskunftsanspruchs aus Art. 15 iVm. Art. 12 Abs. 3 DSGVO ohne Weiteres einen immateriellen Schaden darstellt. Die Rechtslage ist aus den genannten Gründen durch den Gerichtshof geklärt. Aus demselben Grund muss auch die Antwort des Gerichtshofs auf die achte Vorlagefrage des Amtsgerichts Arnsberg im Verfahren - C-526/24 - [Brillen Rottler] vor dem Gerichtshof nicht abgewartet werden.
283. Einer Zurückverweisung der Sache an das Berufungsgericht, um dem Kläger weiteren Sachvortrag zu dem von ihm erlittenen Schaden zu ermöglichen, bedurfte es nicht. Neuer Sachvortrag wäre bei einer Fortsetzung des Berufungsverfahrens nicht zu erwarten.
29II. Über den von der Beklagten erstmals im Revisionsverfahren nach § 717 Abs. 2 ZPO gestellten Inzidentantrag kann vom Senat nicht abschließend entschieden werden.
301. Wird ein für vorläufig vollstreckbar erklärtes Urteil aufgehoben oder abgeändert, so ist der Kläger nach § 717 Abs. 2 Satz 1 ZPO zum Ersatz des Schadens verpflichtet, der dem Beklagten durch die Vollstreckung des Urteils oder durch eine zur Abwendung der Vollstreckung gemachte Leistung entstanden ist. Der Beklagte kann den Anspruch auf Schadenersatz in dem anhängigen Rechtsstreit geltend machen (§ 717 Abs. 2 Satz 2 Halbs. 1 ZPO). § 717 Abs. 2 ZPO ist gemäß § 62 Abs. 2 Satz 1 ArbGG im arbeitsgerichtlichen Urteilsverfahren anwendbar ( - Rn. 19). Der entsprechende Antrag kann auch erstmals in der Revisionsinstanz gestellt werden (vgl. - Rn. 14, BAGE 153, 261; - 4 AZR 298/00 - zu 2 der Gründe; zu § 717 Abs. 3 ZPO: - Rn. 16 f., BAGE 137, 347; - Rn. 60; vgl. auch MüKoZPO/Götz 6. Aufl. ZPO § 717 Rn. 23; Musielak/Voit/Lackmann 21. Aufl. ZPO § 717 Rn. 14).
312. Der folglich zulässige Inzidentantrag wurde durch die Beklagte schlüssig begründet. Sie hat unter Nennung konkreter Daten behauptet, der Kläger habe unter Bezugnahme auf das nach § 62 Abs. 1 Satz 1 ArbGG vorläufig vollstreckbare Urteil des Arbeitsgerichts, das später durch das Landesarbeitsgericht abgeändert wurde, mit der Zwangsvollstreckung gedroht und sie habe danach „zur Abwendung der Vollstreckung“ iSv. § 717 Abs. 2 Satz 1 ZPO an den Kläger 10.000,00 Euro nebst Zinsen bezahlt (vgl. zum erforderlichen Vollstreckungsdruck: - Rn. 26; - 10 AZR 597/01 - zu II 1 b aa (1) der Gründe).
323. Der Senat kann jedoch nicht beurteilen, ob dieser Vortrag zutreffend und der Inzidentantrag demnach begründet ist (§ 559 Abs. 1 Satz 1 ZPO). Das Landesarbeitsgericht konnte diesbezüglich keine Feststellungen treffen, da der Antrag selbst und auch der diesen stützende Vortrag erst im Revisionsverfahren angebracht wurde. Der Kläger hat den Vortrag in der Verhandlung vor dem Senat auch nicht unstreitig gestellt. Die Sache war daher zur Entscheidung über den Schadenersatzanspruch der Beklagten an das Landesarbeitsgericht als Tatsacheninstanz zurückzuverweisen (vgl. - Rn. 63; - XI ZR 117/93 - zu II 4 der Gründe).
33III. Das Landesarbeitsgericht wird auch über die Kosten des Rechtsstreits einschließlich des Revisionsverfahrens zu entscheiden haben.
ECLI Nummer:
ECLI:DE:BAG:2025:200225.U.8AZR61.24.0
Fundstelle(n):
OAAAJ-89160