PAULY & PARTNER
Kurt-Schumacher-Str. 22
53113 Bonn

+49 (228) 6 20 90 00
+49 (228) 6 20 90 90
info@paulypartner.de

BAG stellt klar: Hohe Anforderungen an die Darlegung eines Schadens i.R.d. datenschutzrechtlichen Schadensersatzanspruchs aus Art. 82 DSGVO

24. Januar 2025

BAG stellt klar: Hohe Anforderungen an die Darlegung eines Schadens i.R.d. datenschutzrechtlichen Schadensersatzanspruchs aus Art. 82 DSGVO

Verletzt der Arbeitgeber eine Bestimmung aus der Datenschutzgrundverordnung (DSGVO), so können Arbeitnehmer bei Vorliegen der notwendigen Voraussetzungen einen Schadensersatzanspruch aus Art. 82 DSGVO geltend machen. Ein solcher Schadensersatzanspruch kann jedoch nur bestehen, wenn die folgenden Erfordernisse kumulativ vorliegen:

  • Der Arbeitgeber muss gegen die DSGVO verstoßen haben,
  • der Arbeitnehmer muss einen konkreten Schaden erlitten haben,
  • zwischen dem erlittenen Schaden und dem Verstoß gegen die DSGVO muss ein Kausalzusammenhang bestehen.

Dabei soll der Schadensersatzanspruch aus Art. 82 DSGVO eine reine Ausgleichsfunktion haben, allerdings keine Straf- oder Abschreckungsfunktion erfüllen.

In einem aktuellen Urteil des Bundesarbeitsgerichts (BAG) vom 17.10.2024 – 8 AZR 215/23 befasst sich das höchste deutsche Arbeitsgericht näher mit der Darlegungs- und Beweislast des Klägers, die diesem bei dem Nachweis eines Schadens i.R.d. Art. 82 DSGVO obliegt.

I. Der Sachverhalt

Der Kläger stand bei der beklagten Betreiberin eines Fitnessstudios in einem Ausbildungsverhältnis. Er verlangte nach Art. 15 DSGVO Auskunft über die bei der Beklagten gespeicherten personenbezogenen Daten. Dieses Verlangen betraf Daten, die sich auf einem vom Kläger privat genutzten USB-Stick befanden. Diesen USB-Stick hatte die Beklagte wegen des Verdachts der unzulässigen Speicherung von Mitgliederdaten an sich genommen. Während des erstinstanzlichen Verfahrens wurde dem Kläger mitgeteilt, dass sein Name, sein Geburtsdatum, seine Postanschrift, die Arbeitsplatzbeschreibung und die Arbeitszeiterfassung gespeichert wurden.

Diese Auskunft genügte dem Kläger jedoch nicht. Den Auskunftsanspruch aus Art. 15 DSGVO sah er als nicht erfüllt an. Dies ergebe sich nach Ansicht des Klägers daraus, dass sich auf dem USB-Stick auch private Fotos, Videos und Bewerbungsunterlagen befänden und zu befürchten sei, dass die Beklagte die Daten missbräuchlich verwenden und an Dritte weitergeben könnte.

Außerdem sei die Berichterstattung über die Beklagte in den örtlichen Medien äußerst negativ und der Kläger fühle sich unsicher, weil er im selben Ort wohne und befürchte, dass es zu körperlicher Gewalt gegen ihn kommen könnte. Er sei dadurch nervlich stark belastet und könne nicht in den Schlaf finden. Dies begründe nach Ansicht des Klägers einen Schadensersatzanspruch aus Art. 82 DSGVO.

Erstinstanzlich hatte der Kläger keinen Erfolg. Auf die Berufung des Klägers hin wurden diesem jedoch 2.500€ Schadensersatz zugesprochen.

Die Beklagte legte Revision zum BAG mit dem Ziel ein, eine vollständige Klageabweisung zu erreichen.

II. Das Urteil des BAG

Die Revision hatte Erfolg. Die Klage wurde abgewiesen und dem Kläger kein Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 DSGVO zugesprochen.

Es fehle bereits an der Darlegung eines Schadens, weshalb dem BAG zufolge dahinstehen konnte, ob hier eine Verletzung von Art. 15 DSGVO vorliegt und ob dies einen Verstoß i.S.v. Art. 82 DSGVO darstellt.

Hinsichtlich der Darlegungs- und Beweislast bzgl. des Schadens beruft sich das BAG auf die Rechtsprechung des EuGH. Dieser stellte klar, dass die Person, die auf Grundlage von Art. 82 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen die Bestimmung der DSGVO nachweisen muss, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (EuGH v. 11.04.2024 – C 741/21). Das BAG führt weiter aus, dass negative Gefühle und Befürchtungen einen immateriellen Schadensersatzanspruch grundsätzlich begründen können, das bloße Berufen auf diese Gefühlslage allerdings nicht ausreiche. Vielmehr sei durch das Gericht zu prüfen, ob das Gefühl anhand eines objektiven Maßstabes unter Berücksichtigung der konkreten Einzelfallumstände als begründet angesehen werden kann. Dazu ist die Glaubwürdigkeit der Klagepartei auf der Grundlage ihres Sachvortrags zu beurteilen.

Das LAG ist in der vorgehenden Instanz davon ausgegangen, dass eine erhebliche Unsicherheit aus dem Auslesen des USB-Sticks und der Sicherung der Daten folge, wobei die Wegnahme des Sticks eine solche Beeinträchtigung des Klägers indiziere.

Dem widerspricht das BAG mit der Berufung auf seine neuere Rechtsprechung (BAG v. 25.07.2024 – 8 AZR 124/23), wonach ein negatives Gefühl wie eine Unsicherheit für sich genommen nicht ausreicht, um einen immateriellen Schadensersatzanspruch zu begründen. Allein die Befürchtung, dass seine privaten Daten verarbeitet werden könnten, könne die Annahme eines Schadens nicht begründen. Wäre das Berufen auf solche Befürchtungen bereits ausreichend, würde jeder Verstoß gegen Art. 15 DSGVO praktisch zu einem immateriellen Schaden führen und die eigenständige Voraussetzung des Schadens wäre damit bedeutungslos, so das BAG.

Zwar könnten Schlafstörungen und Angstzustände einen immateriellen Schadensersatzanspruch im Grundsatz begründen, jedoch habe der Kläger hierzu zu unbestimmt vorgetragen.

III. Auswirkungen auf die Praxis

Das Urteil stellt klar, dass der datenschutzrechtliche Schadensersatzanspruch aus Art. 82 DSGVO eine über eine reine Befürchtung hinausgehende Darlegung eines konkreten immateriellen Schadens erfordert. Der Kläger muss darlegen und beweisen können, dass ihm aufgrund eines Verstoßes gegen die DSGVO ein Schaden entstanden ist und nicht nur ein allgemeines Lebensrisiko verwirklicht wurde.

Rechtsanwalt, Fachanwalt für Arbeitsrecht Dr. Stephan Pauly und wissenschaftliche Mitarbeiterin Maike Usadel

Durch Klick auf "Einverstanden" werden alle Cookies und Dienste aktiviert, die für den Betrieb der Webseite notwendig sind. Weitere Cookies und Dienste werden genutzt, um externe Inhalte anzeigen und die Zugriffe auf unsere Website analysieren zu können. Um keine Einwilligung zu erteilen oder die Nutzung von Cookies zu personalisieren, nutzen Sie die "Datenschutzeinstellungen".