Verspätete Datenauskunft führt nicht automatisch zum Schadenersatz

In ihrer Rolle als Arbeitgeber müssen auch Praxischefs ihren Beschäftigten Auskunft geben, welche Daten sie über sie gespeichert haben und wie sie diese verwenden. Wird dabei die Frist von höchstens einem Monat gerissen, bedeutet dies in der Regel aber noch nicht einen Schaden, der zu Schadenersatzansprüchen der Arbeitnehmerin führt, entschied das Bundesarbeitsgericht (BAG) in Erfurt in einem aktuell veröffentlichten Urteil.

Die Auskunftspflicht ist in Artikel 15 der Datenschutz-Grundverordnung (DSGVO) geregelt. Nach Artikel 12 ist diese Auskunft „unverzüglich“, in der Regel längstens innerhalb eines Monats zu geben. Beide Vorschriften gelten auch für die Pflicht von Ärzten und Zahnärzten zur Herausgabe einer Patientenakte. Auch wenn das BAG nicht zuständig wäre, dürfte das Urteil daher auch auf die Auskunft gegenüber Patienten übertragbar sein.

Der Kläger im entschiedenen Fall hatte vom 1. Januar bis 31. Dezember 2016 im Kundenservice eines Immobilienunternehmens gearbeitet. Erst lange nach Ende des Arbeitsverhältnisses, am 1. Oktober 2022, verlangte er Auskunft und Kopien der bei seinem Ex-Arbeitgeber gespeicherten Daten. Seine dafür gesetzte Frist von zunächst nur zwei Wochen hatte er zweimal verlängert, zuletzt bis zum 31. Oktober 2022. Die vollständigen Informationen lagen aber erst am 1. Dezember 2022 vor.

Weil der Arbeitgeber die Frist deutlich gerissen hatte, verlangte der Kläger Schadenersatz. Er habe einen „Kontrollverlust“ über seine Daten erlitten und fürchten müssen, mit diesen Daten werde „Schindluder“ betrieben. Das Arbeitsgericht Duisburg gab der Klage noch statt, das Landesarbeitsgericht (LAG) Düsseldorf wies sie dagegen ab.

In oberster Instanz schloss sich das BAG dem nun an. Zwar könne auch ein nur kurzzeitiger „Verlust der Kontrolle über personenbezogene Daten“ zu einem Anspruch auf Schadenersatz führen. Dafür verlange der Europäische Gerichtshof (EuGH) aber den Nachweis eines tatsächlichen Schadens, in Fällen wie hier „eine begründete Befürchtung des Datenmissbrauchs“.

Allein eine verspätete Auskunft sei aber nur eine Verzögerung, meinten hierzu die Erfurter Richter. Ein Kontrollverlust, der einen Missbrauch der Daten befürchten lasse, lasse sich daraus noch nicht ableiten. Das gelte allemal im Streitfall, in dem es über fast sechs Jahre nach Ende des Arbeitsverhältnisses auch nach Einschätzung des Klägers offenbar keinen Missbrauch seiner Daten gab. Eine Sorge vor „Schindluder“ nur zu behaupten, reiche nicht aus.