Seit nunmehr fast 5 Jahren ist die DSGVO in Kraft. Die Stimmen, die den Untergang des Abendlandes prognostiziert hatten sind mittlerweile verstummt (was gut ist). Die Aufmerksamkeit vieler Arbeitgeber hinsichtlich der Beachtung der Regelungen der DSGVO hat nahezu im gleichen Maße nachgelassen (was schlecht ist).
Die DSGVO enthält eine Vielzahl von Regelungen die Arbeitgeber (in der DSGVO „Verantwortliche“ genannt) einhalten müssen. Über eine äußerst praxisrelevante Regelungen wollen wir heute sprechen, bei deren Nichteinhaltung empfindliche finanzielle Konsequenzen drohen.
Nach Art. 15 DSGVO sind Arbeitgeber auf Anfrage eines Arbeitnehmers verpflichtet über alle personenbezogenen Daten Auskunft zu erteilen, die der Arbeitgeber vom Arbeitnehmer verarbeitet (wobei „verarbeitet“ alles bedeutet, was man mit Daten tun kann, z.B. auch nur speichern). Daneben muss unter anderem auch Auskunft erteilt werden über die Zwecke, aufgrund derer die Daten verarbeitet werden, die Empfänger gegenüber denen diese Daten offengelegt werden und über die Dauer, die diese Daten gespeichert werden.
An die Auskunft schließt sich dann noch die Verpflichtung an, dem Arbeitnehmer eine Kopie der verarbeiteten Daten zur Verfügung zu stellen. Zeit hat man als Arbeitgeber grundsätzlich 1 Monat um diesen Verpflichtungen nachzukommen (Art 12 Abs. 3 DSGVO).
Was passiert nun, wenn man auf den Auskunftsanspruch gar nicht reagiert oder die Auskunft nur unvollständig erteilt? Zu diesem Thema sind mittlerweile eine ganze Reihe von Gerichtsentscheidungen bei den Arbeitsgerichten ergangen. Zuletzt hatte sich auch das Arbeitsgericht Oldenburg mit solch einer Konstellation zu beschäftigen (Urteil vom 09.02.2023 – 3 Ca 150/21).
Der Fall
Ein Arbeitnehmer verlangte von einem Arbeitgeber Auskunft nach Art. 15 DSGVO. Der Arbeitgeber verweigerte diese Auskunft zunächst. Der Arbeitnehmer verklagt dann den Arbeitgeber vor dem Arbeitsgericht die Auskunft zu erteilen. Als der Arbeitgeber weiter keine Auskunft erteilte, erweiterte der Arbeitnehmer die Klage und verlangte pro Monat, in dem der Arbeitgeber die Auskunft nicht erteilt hatte jeweils € 500 Schadenersatz (insgesamt 20 Monate).
Die Entscheidung
Das Arbeitsgericht gab dem Arbeitnehmer recht und verurteilte den Arbeitgeber zur Zahlung von insgesamt € 10.000,—. Begründet wurde das Urteil unter Bezug auf Art. 82 Abs. 1 DSGVO, nach dem jeder Verantwortliche (hier also der Arbeitgeber) einer betroffenen Person (hier dem Arbeitnehmer) bei Verletzung der DSGVO Schadenersatz leisten muss.
Praxishinweise
Die Entscheidung – so bitter sie für Arbeitgeber auch sein mag – liegt in der Tendenz der arbeitsgerichtlichen Rechtsprechung. Eine ganze Reihe von Gerichten, haben in ähnlichen Urteilen auch jeweils € 500,— pro Monat ausgeurteilt. Der vorliegende Fall unterscheidet sich lediglich durch die lange Dauer, die der Arbeitgeber die Auskunft nicht erteilte.
Arbeitgeber müssen sich also auf solche Situationen einstellen. Ich bin immer wieder erschrocken, wie wenig (bzw. gar nicht) Arbeitgeber hier vorbereitet sind. Ohne vorab eingerichtete Prozesse ist die Erteilung einer ordnungsgemäßen Auskunft innerhalb von einem Monat nämlich kaum möglich (dies erst Recht, wenn das Arbeitsverhältnis bereits eine lange Zeit andauert).
Ein zweiter Punkt ist, dass die Auskünfte, die dann erteilt werden sehr oft so amateurhaft (falsch und unvollständig) sind, dass die Arbeitgeber trotz der „Erteilung“ zur Zahlung eines Schadenersatzes verurteilt werden.