Bundesarbeitsgericht verschärft Anforderungen Schadenersatz wegen DSGVO-Verstoß

Schadenersatz wegen DSGVO-Verstoß? – Bundesarbeitsgericht verschärft Anforderungen

Das Bundesarbeitsgericht (BAG) hat mit Urteil vom 17. Oktober 2024 (Az. 8 AZR 215/23) eine wegweisende Entscheidung zu Schadenersatzansprüchen nach der Datenschutz-Grundverordnung (DSGVO) getroffen. Arbeitnehmer, die aufgrund eines Verstoßes gegen die DSGVO Schadenersatz fordern, müssen künftig höhere Anforderungen an die Darlegung eines tatsächlichen Schadens erfüllen. Dieses Urteil hat weitreichende Folgen für den Beschäftigtendatenschutz und den Umgang mit Auskunftsverlangen im Arbeitsverhältnis.

Sachverhalt

Der Kläger war Auszubildender in einem Fitnessstudio und verlangte nach Art. 15 DSGVO Auskunft über seine gespeicherten personenbezogenen Daten. Zudem wurde ein von ihm privat genutzter USB-Stick von seinem Arbeitgeber einbehalten, auf dem sich persönliche Daten befanden. Der Kläger befürchtete eine missbräuchliche Nutzung seiner Daten und machte einen immateriellen Schadenersatz in Höhe von 5.000 Euro geltend. Das Landesarbeitsgericht Baden-Württemberg hatte ihm zunächst einen Schadenersatz in Höhe von 2.500 Euro zugesprochen.

Entscheidung des BAG

Das BAG hob das Urteil des Landesarbeitsgerichts auf und wies die Klage ab. Entscheidend war, dass der Kläger keinen konkreten Schaden dargelegt hatte. Nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) reicht das bloße Bestehen eines DSGVO-Verstoßes nicht aus, um einen Schadenersatzanspruch zu begründen. Vielmehr muss ein tatsächlich erlittenes und nachvollziehbares Unwohlsein oder eine andere konkrete Beeinträchtigung nachgewiesen werden.

Das BAG stellte klar:

• Ein bloßes Gefühl der Unsicherheit oder Angst reicht nicht aus.
• Die Wegnahme des USB-Sticks begründet keinen kausalen Zusammenhang mit einem DSGVO-Schaden.
• Subjektive Befürchtungen allein genügen nicht, um einen immateriellen Schaden zu begründen.

Rechtliche Einordnung und praktische Konsequenzen

Das Urteil bestätigt, dass Arbeitnehmer, die Schadenersatz wegen eines DSGVO-Verstoßes verlangen, substantiiert darlegen müssen, welche konkreten Auswirkungen der Verstoß auf sie hatte. Es reicht nicht, lediglich eine abstrakte Sorge oder Ungewissheit über die Verarbeitung personenbezogener Daten zu äußern.

Für Arbeitgeber bedeutet dies:

• Eine gründliche Dokumentation und transparente Kommunikation bei der Verarbeitung von Beschäftigtendaten ist essenziell.
• Bei Auskunftsverlangen nach Art. 15 DSGVO sollten Arbeitgeber unverzüglich, vollständig und nachvollziehbar antworten, um Rechtsstreitigkeiten zu vermeiden.
• Die Verweigerung einer Auskunft kann zwar einen Verstoß darstellen, führt aber nicht automatisch zu einer Schadenersatzpflicht.

Für Arbeitnehmer gilt:

• Bei der Geltendmachung von Schadenersatz ist eine genaue Darlegung der konkreten Beeinträchtigung erforderlich.
• Eine emotionale Belastung oder vage Befürchtungen allein sind nicht ausreichend.

Fazit

Das BAG-Urteil stellt klar, dass ein DSGVO-Verstoß allein keinen Schadenersatzanspruch begründet. Arbeitnehmer müssen darlegen, welche konkreten negativen Folgen der Verstoß für sie hatte. Damit wird die Hürde für Schadenersatzansprüche deutlich höher. Arbeitgeber wiederum sollten auf eine DSGVO-konforme Verarbeitung von Beschäftigtendaten achten, um Risiken zu vermeiden.

Falls Sie als Arbeitnehmer oder Arbeitgeber Fragen zum Datenschutz im Arbeitsverhältnis haben, stehen wir Ihnen als Fachkanzlei für Arbeitsrecht gerne beratend zur Seite.

Quelle: Urteil des BAG vom 17. Oktober 2024 (Az. 8 AZR 215/23)