Schadenersatz für unvollständige Auskunft über Datenverarbeitung?

Das Arbeitsgericht Düsseldorf hat kürzlich einen Arbeitgeber dazu verurteilt, an einen ehemaligen Arbeitnehmer Schadenersatz in Höhe von 5.000 Euro zu bezahlen. Hintergrund war, dass der Arbeitgeber einerseits nicht schnell genug, andererseits nicht umfassend genug Auskunft über die Datenverarbeitung im Unternehmen erteilt hatte.

Dieses Urteil ist ein kleiner Kanonenschlag: Denn Gerichte waren bisher eher zurückhaltend mit Schadenersatzansprüche von Betroffenen. So musste bisher eine Art Bagatellgrenze überschritten werden, d.h. Verstöße die keine besonderen Auswirkungen auf den Betroffenen hatten, lösten auch keinen Schadenersatzanspruch aus.

Das Arbeitsgericht Düsseldorf hat nun die Anforderungen an den Schadenersatz deutlich reduziert, umgekehrt die Höhe auch angehoben: Verstöße müssten sanktioniert werden und weh tun, sonst sei es uneffektiv.

Tatsächlich ist die Absicht vorhanden, bestenfalls mit Hilfe von Legal Tech massenhaft Ansprüche auf Schadenersatz geltend zu machen. Legal Tech erleichtert wenigen Anwälten massenhaft Verfahren zu bearbeiten – u.a. wurde das bisher erfolgreich im Diesel-Skandal bspw. gegen VW umgesetzt. Sollte sich die Rechtsprechung des Arbeitsgerichts Düsseldorf festigen bzw. durchsetzen, müssen Unternehmen in Zukunft damit rechnen, sich massenhaft Auskunftsansprüchen ausgesetzt zu sehen – aus denen dann Ansprüche auf Schadenersatz hergeleitet werden sollen.

Verlangt ein Betroffener Auskunft, so muss u.a. über folgende Punkte informiert werden:

• die Verarbeitungszwecke;
• die Kategorien personenbezogener Daten, die verarbeitet werden;
• die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
• falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.

Insbesondere nach der Europäische Gerichtshof vor wenigen Tagen das EU-US-Privacy-Shield für unwirksam erklärt hat, wird ein zusätzlicher Aspekt des Auskunftsanspruch relevant werden:

Denn tatsächlich reicht es jetzt nicht mehr aus, Daten auf Basis des EU-US-Privacy-Shields in die USA zu transferieren. Hier droht also Ungemach!