Das Arbeitsgericht Duisburg (Urteil vom 03.11.2023, Az.: 5 Ca 877/23, Arbeitsgericht Duisburg, 5 Ca 877/23 (justiz.nrw)) hat ein Unternehmen zur Zahlung eines Schadensersatzes verurteilt, weil es einen Anspruch auf Auskunft nach Art. 15 DS-GVO erst nach 19 Kalendertagen erfüllt hatte. Die in Art. 12 Abs. 3 DS-GVO genannte „Höchstfrist“ von einem Monat dürfe nicht „routinemäßig“, sondern nur bei Vorliegen besonderer Umstände ausgeschöpft werden.

Der Fall
Sechs Jahre nachdem sich der Kläger bei der Beklagten um ein Arbeitsverhältnis beworben hatte, begehrte er mit Schreiben vom 18.05.2023 von der Beklagten Auskunft nach Art. 15 DS-GVO, insbesondere darüber, ob und welche Daten zu seiner Person gespeichert seien. Er setzte der Beklagten eine Frist zum 02.06.2023. Nachdem der Kläger die Beklagte mit E-Mail vom 03.06.2023 an sein Anliegen erinnert hatte, erteilte die Beklagte mit Schreiben vom 05.06.2023 eine „Negativauskunft“ mit dem Inhalt, dass keine Daten des Klägers bei ihr gespeichert seien. Der Kläger rügte, dass diese Auskunft verspätet gewesen sei und forderte aus diesem Grund einen Schadensersatz in Höhe von zunächst EUR 1.000,00 und später EUR 2.000,00. Er habe angesichts der Rechtsverletzung „emotionales Ungemach“ erfahren.

Die Entscheidung
Das Arbeitsgericht Duisburg kam zu dem Ergebnis, dass die Beklagte gegen Artikel 12 Abs. 3 DS-GVO verstoßen habe. Dieser regelt, dass der Verantwortliche im Sinne der DS-GVO der betroffenen Person Informationen über die auf Antrag gemäß Artikel 15 bis 23 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellen muss. Zwar habe die Beklagte die in Artikel 12 Abs. 3 genannte „Höchstfrist“ von einem Monat eingehalten, diese sei aber nur maßgeblich, wenn der Antrag nicht aufgrund der Anforderung der „unverzüglichen“ Bearbeitung vorher bearbeitet werden muss. Das Wort „unverzüglich“ sei in Anlehnung an § 121 BGB als „ohne schuldhaftes Zögern“ zu verstehen. Daraus folge, dass im Rahmen einer Abwägung beidseitiger Interessen zu beurteilen sei, ob einer sofortigen Antwort besondere Umstände (z.B. eine besondere Komplexität oder ein besonderer Umfang der Auskunft) entgegenstehen. Bereits nach einer Woche nach Antrag der betroffenen Person sei ohne Vorliegen besonderer Umstände grundsätzlich schon keine Unverzüglichkeit mehr gegeben. Mit anderen Worten: Grundsätzlich sei ein Antrag innerhalb einer Woche zu bearbeiten und die Betroffenenrechte zu erfüllen. Da die Beklagte die Auskunft erst nach 19 Kalendertagen erteilt habe und keine besonderen Umstände vorgetragen hatte, die diese Bearbeitungsdauer hinreichend rechtfertigen, war die Erfüllung des Antrags nach Auffassung des Arbeitsgerichts verspätet. Den Einwand, dass die Beklagte aufgrund ihrer Tätigkeit als Inkassodienstleister zahlreiche Auskunftsersuchen erhalte, ließ das Arbeitsgericht Duisburg nicht gelten. 

Dem Kläger sei nach Auffassung des Arbeitsgerichts durch die verspätete Auskunft und den damit verbundenen „temporären Kontrollverlust“ ein immaterieller Schaden entstanden. Für den Ersatz dieses Schadens hielt das Arbeitsgericht die Zahlung eines Betrages in Höhe von EUR 750,00 für angemessen.

Rechtliche Einordnung
Nicht zuletzt, weil datenschutzrechtliche Auskunftsansprüche – gerade dann, wenn sie auch das Verlangen von Kopien nach Artikel 15 Abs. 3 DS-GVO umfassen – eine sehr aufwendige und zeitraubende Bearbeitung erfordern, hat sich in der Praxis die Vorstellung weit verbreitet, dass es bei jedem Auskunftsanspruch ausreiche, diesen innerhalb eines Monats zu erfüllen. Der Wortlaut des Artikel 12 Abs. 3 DS-GVO zeigt jedoch auf, dass es sich bei der Monatsfrist nur um eine Höchstfrist handelt, die nur dann relevant ist, wenn bei unverzüglicher Bearbeitung der Antrag nicht schon vorher bearbeitet werden kann. 

Die Regelung des Art. 12 Abs. 3 DS-GVO ist insoweit nicht stimmig, als die Anforderung, unverzüglich – also ohne schuldhaftes Zögern - zu handeln, bei Lichte betrachtet nicht mit einer Höchstfrist gedeckelt werden kann; denn man kann sich Sachverhalte vorstellen, in denen auch eine Bearbeitung, die länger als einen Monat dauert, nicht schuldhaft verzögert ist. Insofern kann man erwägen, ob dieser innere Widerspruch dahingehen aufzulösen ist, dass auch die Monatsfrist nicht verletzt wird, wenn sie unverschuldet abläuft. Für den Fall das ein Monat nicht ausreicht, hat die DS-GVO jedenfalls unter bestimmten Voraussetzungen in Artikel 12 Abs. 3 Satz 2 eine Möglichkeit der Fristverlängerung vorgesehen: Wenn es unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, kann der Verantwortliche durch Mitteilung an die betroffene Person vor Ablauf der Monatsfrist unter Angabe von Gründen die Frist um weitere zwei Monate verlängern. Insoweit kann man diskutieren, ob auf Basis des Rechtsgedankens des Art. 12 Abs. 3 Satz 2 DS-GVO nicht durch analoge Anwendung auch andere Verhinderungsgründe eine Verlängerung der Monatsfrist ermöglichen.

Innerhalb des ersten Monats wird man dem Arbeitsgericht jedoch im Grundsatz dahingehend zustimmen müssen, dass jedenfalls einfach zu bearbeitende Anträge, deren zügiger Bearbeitung keine besonderen Umstände (z.B. Personalmangel aufgrund von Arbeitsunfähigkeit, ein besonderer Bearbeitungsumfang oder eine Vielzahl von gleichzeitig eingehenden Anträgen) entgegenstehen, schon vor Ablauf eines Monats bearbeitet werden müssen. 

Da die Beklagten anscheinend keinen überzeugenden Grund, aus dem eine Verzögerung ihr nicht vorgeworfen werden konnte, angegeben hat und die Auskunft ohne besonderen Aufwand erstellt werden konnte, ist davon auszugehen, dass die Entscheidung des Arbeitsgerichts Duisburg ggf. in weiteren Instanzen in Bezug auf die Auslegung des Art. 12 Abs. 3 Satz 1 DS-GVO Bestand haben wird. In Bezug auf die Annahme eines immateriellen Schadens, könnte man daran zweifeln, da das Arbeitsgericht in seiner Begründung anscheinend allein aus dem Verstoß gegen eine Vorschrift der DS-GVO auf einen „temporären Kontrollverlust“ und daraus auf einen immateriellen Schaden geschlossen hat. Mit dem von dem Kläger vorgetragenen „emotionalen Ungemach“ hat es sich nicht erkennbar auseinandergesetzt und es bleibt offen, ob dies überhaupt unstreitig war oder nachgewiesen wurde.

Zwar dürfte sich die Auffassung, dass es keine Bagatellgrenze für einen Schadensersatz gibt, inzwischen durchgesetzt haben (vgl. Blogbeitrag vom 09.05.2023 und Blogbeitrag vom 18.02.2022), der jeweilige Kläger wird jedoch stets nachweisen müssen, dass die Rechtsverletzung ihn auch subjektiv beeinträchtigt hat. Die Einzelheiten werden von Rechtsprechung und Literatur nicht einheitlich beurteilt. Teilweise wird vertreten, dass ein „Unwohlsein“ oder ein „ungutes Gefühl des Kontrollverlustes“ schon einen immateriellen Schaden darstellt. Der EuGH hat in seiner Entscheidung vom 04.05.2023 (Az.: C-340/21) jedoch zumindest klargestellt, dass eine Verletzung von Vorschriften der DS-GVO als solche noch nicht ausreicht, um einen Schadensersatzanspruch zu begründen. Die einschlägigen Vorschriften würden zwischen einer „Rechtsverletzung“ und einem „Schaden“ unterscheiden (siehe auch Blogbeitrag vom 09.05.2023).

Fazit und Bedeutung für die Praxis 
Aus der Entscheidung folgt nicht, dass jeder Auskunftsantrag bereits vor Ablauf der Monatsfrist beantwortet werden muss. Stets kann es Umstände geben, die einer sofortigen Bearbeitung entgegenstehen und ein schuldhaftes Zögern ausschließen, weil dem Verantwortlichen i.S.d. DS-GVO eine zügigere Bearbeitung nicht zuzumuten war bzw. er aus nachweisbaren Gründen auch bei Beachtung angemessener Sorgfalt nicht in der Lage war, den Auskunftsantrag schneller zu bearbeiten. Die Praxis sollte sich jedoch darauf einstellen, dass Bearbeitungszeiten von mehr als einer Woche begründet werden müssen. 

Gerade aber in Fällen, in denen Arbeitnehmer nach einer langjährigen Beschäftigung einen vollständigen Antrag nach Art. 15 DS-GVO einschließlich Kopien sämtlicher Dokumente, die ein personenbezogenes Datum seiner Person enthalten, stellt, wird ein Ausschöpfen der Monatsfrist möglich sein. Dabei darf man aber nicht vergessen, dass einem Arbeitgeber oder einem anderen Verantwortlichen stets vorgehalten werden wird, dass er sich auf die Erfüllung der Betroffenenrechte vorzubereiten hat und dafür nach Art. 12 Abs. 1 DS-GVO geeignete Maßnahmen zu treffen hat. Das betrifft z.B. das Wissen, wo zu jeder Person personenbezogene Daten gespeichert sind und das Vorhalten geschulten Personals. 

Praxistipps: 

• Bei Eingang eines Antrags ist höchste Eile geboten. Es sollte sofort beurteilt werden, innerhalb welcher Frist der Antrag bearbeitet werden kann und muss. Die Annahme, dafür stets einen Monat Zeit zu haben, ist nicht richtig. 
• Nachweisbare Gründe, die einer sofortigen Bearbeitung und insbesondere einer Bearbeitung innerhalb einer Woche entgegenstehen, sollten dokumentiert werden. 
• Damit dies in der Praxis funktioniert, müssen alle Beschäftigten, bei denen damit gerechnet werden kann, dass bei ihnen ein Antrag auf Erfüllung eines Rechtes betroffener Personen nach der DS-GVO eingeht (also fast jeder Beschäftigte), wissen, wie er einen solchen Antrag erkennt und wie er ihn behandeln muss. Dazu empfieht es sich die Beschäftigten entsprechend zu schulen und es sollte konkrete Arbeitsanweisungen dafür geben, wen sie intern oder extern unverzüglich kontaktieren müssen. Beachtet werden sollte dabei, dass es neben dem Auskunftsantrag weitere Anträge gibt, die erkannt werden müssen (Anträge auf Information, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch).  
• Die DS-GVO verlangt von jedem Verantwortlichen, sich auf die Erfüllung der Rechte der betroffenen Personen vorzubereiten (Art. 12 Abs. 1 DS-GVO). Es empfiehlt sich also, sich darauf vorzubereiten, selbst eine Mehrzahl von Anträgen auf die Erfüllung unterschiedlicher Rechte in kurzer Frist erfüllen zu können.
• Geht ein Antrag auf Auskunft von einer Person ein, zu der zu diesem Zeitpunkt keine personenbezogenen Daten (mehr) verarbeitet werden, sollte nicht vergessen werden, dass allein aufgrund des Antrags personenbezogene Daten erhoben und verarbeitet werden und dadurch einerseits Informationspflichten entstehen und andererseits die Verarbeitung zum Zweck der Bearbeitung des Antrags nunmehr Teil der zu erteilenden Auskunft geworden ist. 

Weiterführende Links: 

• Arbeitsgericht Duisburg (Urteil vom 03.11.2023, Az.: 5 Ca 877/23: Arbeitsgericht Duisburg, 5 Ca 877/23 (justiz.nrw))
• Blogbeitrag vom 09.05.2023