BAG: Schadensersatz nach Art. 82 Abs. 1 DSGVO

1. Begehrt der Anspruchsteller Schadenersatz nach Art. 82 Abs. 1 DSGVO, hat er u.a. das Vorliegen eines Schadens darzulegen und ggf. zu beweisen.

2. Wird der Anspruch auf Auskunft nach Art. 15 DSGVO nicht erfüllt, reicht die daraus folgende Unsicherheit bzgl. der Datenverarbeitung für sich genommen nicht für die Annahme eines Schadens aus.

3. Dies gilt auch dann, wenn die betreffenden Daten durch eine rechtswidrige Handlung erlangt wurden. Die Annahme eines immateriellen Schadens in Form von negativen Gefühlen wie Befürchtungen oder Ängsten setzt das Hinzutreten weiterer Umstände voraus.

[Amtlicher / Redaktioneller Leitsatz]

BAG, Urt. v. 17.10.2024 – 8 AZR 215/23

I. Der Fall

Schadensersatz wegen Verstoß gegen Art. 15 DGSVO

Die Parteien streiten über einen Anspruch auf Schadensersatz nach Art. 82 Abs. 1 DSGVO aufgrund eines Verstoßes gegen die Auskunftspflicht nach Art. 15 DSGVO.

Einbehalten eines USB-Sticks mit privaten Daten

Der Kläger befand sich bei der Beklagten, einer Fitnessstudiobetreiberin, in einem Ausbildungsverhältnis. Er verlangte gemäß Art. 15 DSGVO Auskunft über die bei der Beklagten gespeicherten personenbezogenen Daten. Diese befanden sich auf einem privat genutzten USB-Stick des Klägers, den die Beklagte aufgrund des Verdachts einer unzulässigen Speicherung von Mitgliederdaten an sich genommen hatte. In der ersten Instanz gab die Beklagte an, nur den Namen des Klägers, sein Geburtsdatum, seine Postanschrift, die Arbeitsplatzbeschreibung und die Arbeitszeiterfassung gespeichert zu haben.

nervliche Belastung

Der Kläger führte aus, dass sein Auskunftsverlangen hierdurch nicht erfüllt sei, da aus seiner Sicht die Gefahr bestand, dass die Beklagte auf die privaten Fotos und Videos des Klägers, die auf dem USB-Stick gespeichert waren, zugreifen und diese möglicherweise an Dritte weitergeben könnte. Die Beklagte habe einen schlechten Ruf im Ort, weshalb der Kläger nervlich stark belastet sei, nur unruhig schlafen könne und Angst vor körperlicher Gewalt habe.

Verfahrensgang

Das Arbeitsgericht wies die Klage als unzulässig ab (ArbG Villingen-Schwennigen, Urt. v. 28.7.2021 – 7 Ca 59/20). Das Landesarbeitsgericht gab der Berufung jedoch statt (LAG Baden-Württemberg, Urt. v. 28.7.2023 – 9 Sa 73/21).

II. Die Entscheidung

Revision hat Erfolg

Das Bundesarbeitsgericht entschied, dass der Kläger entgegen der Auffassung des LAG keinen Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 Abs. 1 DSGVO habe. Das BAG lässt dabei offen, ob überhaupt ein Verstoß gegen Art. 15 DSGVO vorliege, und betont, dass es bereits an einer hinreichenden Darlegung des Schadens durch den Kläger mangele.

Voraussetzungen für Art. 82 Abs. 1 DSGVO müssen kumulativ vorliegen

Das BAG stellte klar, dass für den Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO alle drei Voraussetzungen kumulativ erfüllt sein müssen. Es müsse demnach das Vorliegen eines Schadens, der Verstoß gegen die DSGVO und der Kausalzusammenhang zwischen dem erlittenen Schaden und dem Verstoß vorliegen.

Grundsätze des EuGH zur Darlegungs- und Beweislast

Das BAG verwies auf die aktuelle Rechtsprechung des EuGH zur Darlegungs- und Beweislast (EuGH, Urt. v. 11.4.2024 – C-741/21; Urt. v. 25.1.2024 – C-678/21). Danach müsse der Kläger nicht nur den Verstoß gegen die DSGVO nachweisen, sondern auch, dass ihm durch diesen Verstoß ein Schaden entstanden sei. Zwar könne bereits der kurzzeitige Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen, jedoch nur bei entsprechendem Nachweis durch die betroffene Person. Negative Gefühle wie Befürchtungen könnten grundsätzlich ausreichen, müssten jedoch unter Berücksichtigung der konkreten Umstände objektiv begründet sein (EuGH, Urt. v. 14.12.2023 – C-340/21).

„Unsicherheit“ für sich genommen reicht nicht aus

Das BAG betonte, dass die Annahme des LAG, eine „erhebliche Unsicherheit“ durch das Auslesen und Sichern der Daten auf dem USB-Stick genüge, im Widerspruch zur Rechtsprechung des EuGH stehe. Ein bloßes negatives Gefühl wie „Unsicherheit“ reiche für sich genommen für einen Schadensersatzanspruch nicht aus.

Wegnahme des USB-Sticks kommt keine Indizwirkung zu

Die Wegnahme des USB-Sticks durch die Beklagte hat nach Auffassung des BAG keine Indizwirkung für einen Verstoß gegen die Auskunftspflicht nach Art. 15 DSGVO. Der Kläger wisse auch ohne die Auskunft, welche Daten auf dem USB-Stick gespeichert sind; die Unsicherheit betreffe lediglich deren Verarbeitung. Diese Unklarheit könne jedoch keinen Schadensersatzanspruch begründen, da sonst jeder Verstoß gegen Art. 15 DSGVO automatisch zu einem immateriellen Schaden führen würde. Dies könne jedoch nicht sein, da ansonsten die eigenständige Voraussetzung des Schadens bedeutungslos würde (BAG v. 20.6.2024 – 8 AZR 124/23).

Art. 82 Abs. 1 DSGVO kommt keine Straffunktion zu

Das BAG stellte klar, dass Art. 82 Abs. 1 DSGVO keine Straffunktion zukomme. Ein Schadensersatzanspruch könne nicht allein auf die Befürchtung des Klägers gestützt werden, die durch eine rechtswidrige Handlung – hier die Wegnahme des USB-Sticks – ausgelöst wurde. Es bedürfe weiterer Gründe, wie z.B. eines Datendiebstahls, um einen immateriellen Schaden anzunehmen.

Furcht vor Beklagten ist allgemeines Lebensrisiko

In der Beurteilung der weiter aufgeführten Umstände wie Schlafstörungen und Angstzustände stimmte das BAG der Berufungsinstanz zu. Hiernach wurde der immaterielle Schaden nicht ausreichend dargelegt. Insbesondere bestätigte das BAG auch die Auffassung der Berufungsinstanz, dass die „Furcht“ vor dem Beklagten nichts mit einem Verstoß gegen Art. 15 DSGVO und einer Entschädigung nach Art. 82 Abs. 1 DSGVO zu tun habe, sondern lediglich ein allgemeines Lebensrisiko darstelle.

III. Der Praxistipp

erfreuliche Klarstellung durch das Bundesarbeitsgericht

Das Bundesarbeitsgericht hat hier in erfreulicher Deutlichkeit klargestellt, dass ein Schadensersatzanspruch nach Art. 82 DSGVO denselben Anforderungen unterliegt wie ein allgemeiner zivilrechtlicher Schadenersatzanspruch. Insbesondere reiche es nicht aus, dass ein materieller Verstoß gegen die DSGVO (hier das in der Praxis mittlerweile auch von regelrechten „Berufsklägern“ vielfach bemühte Auskunftsrecht nach Art. 15 DSGVO) allein für die Annahme eines Schadens ausreiche, sondern dass der Kläger (selbstverständlich, müsste man hier ergänzen) das tatsächliche Vorliegen eines Schadens darlegen und beweisen müsse. Würde bereits der materielle Rechtsverstoß einen Schaden darstellen, würde die eigenständige Bedeutung des Schadensbegriffes völlig ausgehöhlt. Ein Strafaspekt wohne dem Anspruch auf Schadensersatz auch nach der DSGVO nicht inne.

negative Gefühle brauchen eine objektiv nachvollziehbare Grundlage

Ebenfalls erfreulich klar hat das Bundesarbeitsgericht bewertet, dass die in diesen Fällen vielfach bemühten „negativen Gefühle“ nicht beweisbar seien und es für die rechtliche Bewertung darauf ankomme, ob diese negativen Gefühle auch auf der Grundlage eines objektiv nachprüfbaren Sachverhaltes nachvollziehbar seien. Auch hierzu müsse der Kläger vortragen und dies auch beweisen.

gute Argumente für Arbeitgeber

Das BAG liefert in dieser Entscheidung eine gute Orientierung für Arbeitgeber, die sich zunehmend regelrecht absurden Schadensersatzforderungen wegen auch nur geringfügigster Verstöße gegen die Datenschutzgrundverordnung ausgesetzt sehen. Die Arbeitsgerichtsbarkeit ist bedauerlicherweise in der unter- und instanzgerichtlichen Rechtsprechung diesen Forderungen nicht selten nachgekommen, obwohl es an der Darlegung eines tatsächlichen Schadens hier nahezu immer fehlte oder der behauptete Schaden – wie im vorliegenden Falle – derart abwegig war, dass er objektiv nicht nachvollzogen werden konnte. Dieser höchst kritikwürdigen Rechtsprechungspraxis hat das BAG mit dieser Entscheidung nunmehr (hoffentlich) einen Riegel vorgeschoben.

Jan Schiller, Fachanwalt für Arbeitsrecht, Düsseldorf, schiller@michelspmks.de