Kein Schaden nach Art. 82 DSGVO dargelegt = kein Schadenersatz?

Die Parteien streiten in der Revision ausschließlich noch über einen Anspruch auf Schadenersatz nach Art. 82 Abs. 1 DSGVO wegen eines Verstoßes gegen die Auskunftspflicht nach Art. 15 DSGVO.

Die Beklagte zu 1. betreibt ein Fitnessstudio. Der Kläger war dort Auszubildender und verlangte nach Art. 15 DSGVO Auskunft über seine dort gespeicherten personenbezogenen Daten. Das Verlangen bezog sich auch auf die Daten, die sich auf einem von ihm privat genutzten USB-Stick befanden, den der Beklagte zu 2. wegen des Verdachts der unzulässigen Speicherung von Mitgliederdaten an sich genommen hatte. Die Beklagte zu 1. teilte während des erstinstanzlichen Verfahrens mit, sie habe nur den Namen des Klägers, sein Geburtsdatum, seine postalische Anschrift, die Arbeitsplatzbeschreibung und die Arbeitszeiterfassung gespeichert.

Der Kläger ist der Ansicht, der Auskunftsanspruch sei damit nicht erfüllt. Inhalt und Umfang der Datenverarbeitung seien unklar geblieben. Dies folge schon daraus, dass auf dem einbehaltenen USB-Stick private Fotos, Videos und Bewerbungsunterlagen gespeichert gewesen seien. Es sei zu befürchten, dass die Beklagten die Daten missbräuchlich verwenden und an Dritte weitergeben. Die Berichterstattung über die Beklagten in den örtlichen Medien sei äußerst negativ. Bezüglich des Beklagten zu 2. fühle er sich unsicher, weil dieser im selben Ort wohne. Er habe Angst, dass es unter Umständen zu körperlicher Gewalt kommen könnte. Insgesamt sei er immer noch nervlich stark belastet und könne keinen ruhigen Schlaf finden. Dies begründe einen Schadenersatzanspruch auch gegen den Beklagten zu 2., weil dieser als Inhaber des Studios auftrete und mit der Datenverarbeitung befasst sei. Er nahm die Beklagten gesamtschuldnerisch auf Schadenersatz in Höhe von 5.000 EUR in Anspruch.

Das Arbeitsgericht wies die Klage im noch rechtshängigen Umfang ab. Auf die Berufung des Klägers verurteilte das LAG die Beklagten gesamtschuldnerisch zur Zahlung von 2.500 EUR. Mit der Revision verfolgen die Beklagten weiter die vollständige Abweisung der Klage.

Nach dem BAG (17.10.24, 8 AZR 215/23, Abruf-Nr. 245793) ist die Revision begründet. Die Klage sei im noch rechtshängigen Umfang unbegründet. Der Kläger habe – entgegen der Auffassung des LAG – keinen Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 Abs. 1 DSGVO gegen die Beklagten. Dabei könne dahingestellt bleiben, ob hier eine Verletzung von Art. 15 DSGVO vorliege, und ob dies ein Verstoß im Sinne von Art. 82 Abs. 1 DSGVO sei. Der Auszubildende habe schon keinen Schaden dargelegt.

Bestehe der Schaden in negativen Gefühlen, die für sich genommen nicht beweisbar sind, habe das nationale Gericht die Gesamtsituation und letztlich auch die Glaubwürdigkeit der jeweiligen Klagepartei auf der Grundlage eines substanziierten Sachvortrags zu beurteilen (BAG 20.6.24, 8 AZR 124/23). Stehe ein Verstoß gegen Art. 82 Abs. 1 DSGVO nach richterlicher Beweiswürdigung im Sinne von § 286 Abs. 1 ZPO zum Nachteil der Klagepartei als geschützter Person fest, mindere sich das Beweismaß bzgl. der Entstehung und der Höhe des Schadens nach § 287 Abs. 1 ZPO (BAG 20.6.24, 8 AZR 124/23 unter Bezugnahme auf BAG 5.5.22, 2 AZR 363/21).

Grundsätzlich sei die Würdigung der Beweise dem Tatrichter vorbehalten. Revisionsrechtlich sei nur zu prüfen, ob die Beweiswürdigung in sich widerspruchsfrei und ohne Verletzung von Denkgesetzen und allgemeinen Erfahrungssätzen erfolgt sei, ob sie rechtlich möglich sei, und ob das Berufungsgericht alle für die Beurteilung wesentlichen Umstände berücksichtigt habe. Das LAG habe allein die „erhebliche Unsicherheit“, die aus dem Auslesen des USB-Sticks und der Sicherung der Daten resultiere, für die Bejahung eines Schadenersatzanspruchs dem Grunde nach ausreichen lassen. Die Unsicherheit beziehe sich auf die Frage, welche Daten sich jetzt noch im Zugriff der beiden ArbG befänden, wobei die Wegnahme des USB-Sticks eine solche „Beeinträchtigung“ indiziere. Diese Begründung stehe im Widerspruch zu der angeführten neueren Rechtsprechung, wonach ein negatives Gefühl wie eine „Unsicherheit“ für sich genommen nicht ausreiche, um einen immateriellen Schadenersatzanspruch zu begründen. Aus den Besonderheiten des vorliegenden Falles ergebe sich nichts Abweichendes.

Entgegen der Auffassung des LAG komme der Wegnahme des USB-Sticks bezogen auf einen Schaden wegen Verletzung der Auskunftspflicht keine Indizwirkung zu. Dabei könne zugunsten des Azubis unterstellt werden, dass sich der USB-Stick in seinem Eigentum befand und die Wegnahme durch den Beklagten zu 2. unberechtigt erfolgte. Selbst wenn dies der Fall wäre, stünde diese Rechtsverletzung in keinem Zusammenhang zur Verletzung der Auskunftspflicht nach Art. 15 DSGVO, für deren Verletzung der Azubi Schadenersatz begehre. Er wisse auch ohne Auskunft, welche seiner personenbezogenen Daten auf dem USB-Stick gespeichert waren. Er sei sich seit der Wegnahme ausschließlich über deren Verarbeitung im Unklaren. Die Verweigerung der diesbezüglich verlangten Auskunft führe zu Befürchtungen, die bei einer nicht oder unvollständig erteilten Auskunft in der Natur der Sache lägen und für sich genommen nicht die Annahme eines Schadens rechtfertigen. Wäre das Berufen auf solche Befürchtungen für die Annahme eines Schadens bereits ausreichend, würde jeder Verstoß gegen Art. 15 DSGVO einen Anspruch nach Art. 82 Abs. 1 DSGVO dem Grunde nach begründen, also praktisch in jedem Fall zu einem immateriellen Schaden führen. Die eigenständige Voraussetzung des Schadens würde damit bedeutungslos.

Da Art. 82 Abs. 1 DSGVO nach der Rechtsprechung des EuGH (25.1.24, C-687/21 – [MediaMarktSaturn]; 4.5.23, C-300/21 – [Österreichische Post]) keine Straffunktion zukomme, könne ein Schadenersatzanspruch auch nicht allein damit begründet werden, dass die Befürchtungen des Azubis durch eine rechtswidrige Handlung (unberechtigte Wegnahme eines USB-Sticks) ausgelöst worden seien. Die Annahme eines immateriellen Schadens würde das Hinzutreten weiterer Umstände voraussetzen, zum Beispiel ein Datendiebstahl, der auf einen beabsichtigten Datenmissbrauch schließen lässt. Anhaltspunkte für ein solches Vorgehen der ArbG seien dem Vortrag des Azubis aber gerade nicht zu entnehmen.

Er habe allerdings andere Umstände vorgetragen, die die Annahme eines Schadens denkbar erscheinen lassen. Dies beziehe sich insbesondere auf die angeblichen Schlafstörungen und Angstzustände.

Das LAG habe angenommen, wegen der Unbestimmtheit der Aussagen des Azubis sei nicht nachvollziehbar, dass auf dem USB-Stick auch intime personenbezogene Daten gewesen sein sollen. Im Übrigen sei das Berufungsgericht zu der Überzeugung gelangt, dass der Azubi „erheblich übertreibe und sein Vortrag insoweit nicht schlüssig“ sei. Die von ihm geschilderten „fortgesetzten erheblichen Schlafstörungen und Angstzustände“ seien „in dem geschilderten Umfang unschlüssig“. Er habe „insbesondere eingeräumt, dass er deswegen keine ärztliche Hilfe aufgesucht habe, sondern ‚lediglich erwäge, das einmal zu machen‘, nachdem die Schlafstörungen und Angstzustände allerdings mittlerweile seit drei Jahren anhielten“. Zudem habe er geschildert, dass seine Schlaflosigkeit und seine Angstzustände vor allem darauf beruhten, dass der Beklagte zu 2. im selben Ort wohne und er sich anscheinend vor ihm fürchte. Diese Furcht habe allerdings „nichts mit … einem Verstoß gegen Art. 15 DSGVO und einer Entschädigung nach Art. 82 Abs. 1 DSGVO zu tun, sondern stelle ein allgemeines Lebensrisiko des Klägers dar“. Das LAG sei mit diesen Ausführungen seiner Pflicht zur umfassenden Würdigung des Sachverhalts ohne revisiblen Rechtsfehler nachgekommen.

Die Sache musste nicht an das Berufungsgericht zurückverwiesen werden, um dem Azubi weiteren Sachvortrag zu dem von ihm erlittenen Schaden zu ermöglichen. Das Vorliegen eines Schadens war von den ArbG bereits in den Vorinstanzen in Abrede gestellt worden, ohne dass der Azubi hierauf substanziiert Vortrag gehalten hätte. Ein neuer Sachvortrag sei bei einer Fortsetzung des Berufungsverfahrens daher nicht zu erwarten.

Eine Entscheidung des BAG, auf die viele ArbG angesichts der Praxis Leistungs- und Kündigungsschutzklagen mit Auskunfts- und Schadenersatzansprüchen nach Art. 15, 82 DSGVO zu verbinden, gewartet haben dürften! Negative Gefühle sind nicht in jedem Fall bei nicht oder verspätet erteilter Auskunft ausreichend, um einen immateriellen Schaden darzulegen. Vielmehr müssen darüber hinausgehende Umstände vorgetragen werden, die im Einzelfall einen solchen Schaden begründen.