In seinem lang erwarteten Urteil positioniert sich der Europäische Gerichtshof (EuGH) heute am 04.05.2023 zum ersten Mal überhaupt zum Schadensersatzanspruch nach Art. 82 Datenschutzgrundverordnung (DSGVO) und dessen Voraussetzungen.
Der Ausgangsfall
Der EuGH Entscheidung (Az. C-300/21) war vorausgegangen, dass die österreichische Post mittels eines Algorithmus, der auf sozialdemografischen Merkmalen basierte, politische Profile erstellte und diese Informationen anschließend verkaufte. Der Kläger des Ausgangsverfahrens sah sich in dieser Verarbeitung und anschließenden Speicherung seiner personenbezogenen Daten durch die nunmehr mögliche Zuordnung zu einem politischen Spektrum in seinen Rechten verletzt. Der Schaden liege in seinem großen Ärgernis, Vertrauensverlust und einhergehendem Gefühl der Bloßstellung. Er begehrte Schadensersatz nach Art. 82 DSGVO.
Indiziert ein Verstoß gegen datenschutzrechtliche Bestimmungen bereits einen Schaden?
Das vorlegende österreichische Gericht wollte vom EuGH wissen,
- ob bereits die Verletzung der DSGVO-Bestimmungen ausreichen oder ob es einen konkreten Schaden braucht und
- ob für den Zuspruch eines immateriellen Schadens eine gewisse Schwelle der Erheblichkeit überschritten sein muss
Die Klärung der Frage, ob bereits die Verletzung einer Rechtsvorschrift für die erfolgreiche Geltendmachung eines Schadensersatzanspruchs ausreichend ist, war insbesondere aus der Praxis mit Spannung erwartet worden: So gehört es doch mittlerweile fast schon zum Standardrepertoire der meisten Arbeitnehmeranwälte, im Rahmen einer Kündigungsschutzklage zugleich auch einen Auskunftsanspruch nach Art. 15 DSGVO zu stellen. Diesem Auskunftsbegehren des Arbeitnehmers muss der Arbeitgeber innerhalb der gesetzlichen Frist von einem Monat nachkommen. Kommt der Arbeitgeber diesem Begehren nicht nach, so wird regelmäßig noch vor dem Gütetermin durch den Arbeitnehmer ein Schadensersatzanspruch gerichtlich oder außergerichtlich geltend gemacht.
Die Entscheidung des EuGH: Vorliegen eines kausalen Schadens ja, Erheblichkeit nein
Der EuGH beantwortete die Fragen nun dahingehen, dass Art. 82 DSGVO explizit neben der Verletzung auch den Schaden selbst als Anspruchsvoraussetzung nennt. Unter Berücksichtigung der heutigen Entscheidung ist es daher nicht ausreichend, wenn Arbeitnehmer künftig nur eine Verletzung datenschutzrechtlicher Bestimmungen durch den Arbeitgeber geltend machen.
Der EuGH führt wörtlich aus, dass die Auslegung von Art. 82 DSGVO „nicht [bedeutet], dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie negative Folgen gehabt hat, vom Nachweis befreit wäre, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 dieser Verordnung darstellen.“ Es muss vielmehr dargelegt werden, dass durch die Verletzung der Rechtsvorschrift auch kausal ein Schaden entstanden ist.
Gleichzeitig stellt das Gericht aber auch fest, dass für die (erfolgreiche) Geltendmachung eines immateriellen Schadensersatzanspruches keine Erheblichkeitsschwelle überschritten sein muss.
Ausblick und Empfehlung für die Praxis
Der Arbeitnehmerdatenschutz, insbesondere der Auskunftsanspruch nach Art. 15 DSGVO, lief zuletzt Gefahr immer häufiger als Druckmittel rechtsmissbräuchlich von Arbeitnehmern und ihren Anwälten u.a. im Kündigungsschutzprozess zur Erhöhung der Verhandlungsmasse genutzt zu werden; wobei der Nachweis dieser Rechtsmissbräuchlichkeit Arbeitgebern idR. nur schwer gelingen kann.
Die Entscheidung des EuGH hat das Potential, diese Entwicklung einzudämmen. Insbesondere die Ausführungen des Gerichts, wonach eine Verletzung datenschutzrechtlicher Bestimmungen und daraus resultierenden negativen Folgen für die Arbeitnehmer, nicht ausreichend sind, um einen Schaden anzunehmen, geben Arbeitgebern diesbezüglich Hoffnung.
Gleichzeitig hält das Gericht jedoch ausdrücklich fest, dass weiterhin jede noch so unwesentliche Verletzung der datenschutzrechtlichen Vorschriften an sich geeignet sein kann, um einem (immateriellen) Schadensersatzanspruch zu begründen. Hier bleibt nur die Hoffnung, dass die nationalen Arbeitsgerichte möglichen Ausuferungen mit Augenmaß bei der Bemessung der Höhe eines möglichen Schadensersatzes begegnen.
Für Arbeitgeber sollte weiterhin die Prävention vor der Geltendmachung von Schadensersatzforderungen durch (ehemalige) Arbeitnehmer oberste Maxime bleiben. Geeignet sind diesbezüglich zum einen die Berücksichtigung der Datenschutzbestimmungen und zum anderen im Trennungsstadium mit Mitarbeitern frühzeitige klärende Regelungen in Bezug auf datenschutzrechtliche Schadensersatzansprüche. Bezüglich der Geltendmachung letzterer empfiehlt sich in der Praxis vor allem solche durch entsprechende Ausschlussklauseln in Aufhebungs- und Abwicklungsverträgen auszuhebeln.
