Landesarbeitsgericht Düsseldorf, 11 Sa 808/23

T A T B E S T A N D :

Der Kläger macht zweitinstanzlich noch einen Anspruch auf Schadensersatz nach der DSGVO geltend.

Die Beklagte ist ein bundesweit tätiges Wohnungsunternehmen. Im August 2022 suchte sie für ihre Zentrale in Düsseldorf-Angermund einen Mitarbeiter für das Forderungsmanagement. Der Kläger bewarb sich am 03.08.2022 auf die ausgeschriebene Stelle. Auf eine erneute Stellenausschreibung der Beklagten übersandte er am 03.12.2022 ein zweites Mal seine Bewerbungsunterlagen. Er erhielt von der Beklagten wieder keine Rückmeldung.

Mit Schreiben vom 18.05.2023 forderte der Kläger die Beklagte auf, ihm eine Auskunft gemäß Art. 15 Abs. 1 und 2 DSGVO zu erteilen und eine Kopie der Daten, die noch verarbeitet werden, gemäß Art. 15 Abs. 3 Satz 1 DSGVO bis zum 02.06.2023 zur Verfügung zu stellen. Mit Schreiben vom 03.06.2023 und vom 18.06.2023 erinnerte er an sein Verlangen und setzte der Beklagten weitere Fristen, zunächst bis zum 17.06.2023, dann bis zum 28.06.2023. Die Beklagte reagierte auch hierauf nicht.

Der Kläger hat behauptet, er sei seit mehr als zehn Jahren im Debitoren- und Forderungsmanagement tätig und habe sich mit seiner Bewerbung um die o.g. ausgeschriebene Stelle bei der Beklagten bemüht. Nachdem diese auf seine Bewerbungen nicht reagiert habe, habe er sich einen Überblick darüber verschaffen wollen, wie mit seinen Daten umgegangen werde und warum die Beklagte nicht reagiert habe. Da sie seine Ersuchen nicht beantwortet habe, habe er einen Kontrollverlust und eine Einschränkung in seinen Rechten erfahren müssen. Es sei ihm unmöglich gewesen, ergänzende Rechte auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung oder auf Widerspruch aus Art. 16 ff. DSGVO ausüben zu können. Der Beklagten sei der Datenschutz offenkundig egal, sie habe ihn vorsätzlich im Unwissen belassen, so dass er nicht wisse, welche seiner Daten wie genau verarbeitet worden seien. Ihm seien damit immaterielle Nachteile entstanden. Im stehe eine Geldentschädigung in Höhe von mindestens 5.000,00 € aus Art. 82 Abs. 1 DSGVO zu. Auch unter Berücksichtigung der Finanzkraft der Beklagten sowie des Erfordernisses einer abschreckenden Wirkung sei die geforderte Mindesthöhe der Geldentschädigung angemessen.

Der Kläger hat beantragt,

1.die Beklagte zu verurteilen, an ihn eine Kopie sämtlicher personenbezogenen Daten, die die Beklagte zu seiner Person verarbeitet, herauszugeben,

2.die Beklagte zu verurteilen, ihm Auskunft zu erteilen über alle Empfänger, an die die Beklagte seine personenbezogenen Daten übermittelt hat,

3.die Beklagte zu verurteilen, an ihn eine Geldentschädigung, deren Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag in Höhe von 5.000,00 € aber nicht unterschreiten sollte, nebst Verzugszinsen in Höhe von fünf Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.

Nachdem die Beklagte im Termin zur Güteverhandlung erster Instanz säumig gewesen ist, hat das Arbeitsgericht durch Teilversäumnis- und Endurteil dem Herausgabe- sowie dem Auskunftsantrag stattgegeben und die Klage im Übrigen abgewiesen. Die Klageabweisung durch unechtes Versäumnisurteil ("Endurteil") hat es damit begründet, dass der Kläger einen zur Entschädigung berechtigenden immateriellen Schaden nicht dargelegt habe. Nach der Entscheidung des EuGH vom 04.05.2023 (C-300/21) begründe ein bloßer Verstoß gegen die DSGVO für sich betrachtet keinen Schadensersatzanspruch. Da ein Verstoß gegen Art. 15 Abs. 1 DSGVO immer einen Kontrollverlust bedeute, der immaterielle Schaden aber eine zusätzlich darzulegende Tatbestandsvoraussetzung sei, sei dieser für sich genommen kein Schaden. Aus den Erwägungsgründen 75 und 85 DSGVO ergebe sich nichts anderes.

Gegen das ihm am 24.08.2023 zugestellte Urteil hat der Kläger am 13.09.2023 Berufung eingelegt und diese am 23.10.2023 begründet.

Der Kläger meint, dass auch ein Verstoß gegen das Auskunftsrecht, nicht nur ein so genannter Verarbeitungsverstoß, einen Schadensersatzanspruch nach Art. 82 DSGVO begründen könne. Er rügt, das Urteil sei mit Blick auf die Judikatur des EuGH nicht haltbar. Es liege unzweifelhaft ein Verstoß gegen die DSGVO vor. Zwar sei richtig, dass nicht jeder Datenschutzverstoß automatisch zu einem immateriellen Schaden führe. Es komme aber nicht darauf an, dass der immaterielle Nachteil besonders erheblich sei oder über einen Kontrollverlust hinausgehe. Den Schlussanträgen des Generalanwalts, nach denen nicht in jedem Kontrollverlust ein immaterieller Schaden zu sehen sei, habe sich der EuGH gerade nicht angeschlossen.

In Art. 85 DSGVO werde der Verlust der Kontrolle über personenbezogene Daten explizit als Regelbeispiel für einen immateriellen Schaden genannt. Gleiches gelte für die Einschränkung der Rechte als Betroffener: Ohne Wissen über das "Ob, Was und Warum" könne nicht geprüft werden, ob weitere Rechte aus den Art. 16 ff. DSGVO ausgeübt werden sollten. Des Hinzutretens weiterer Nachteile bedürfe es nicht. Darüber hinaus sei er in erheblichem Maß genervt von dem Vorgehen der Beklagten. Er habe ihr im Vertrauen auf ihre Redlichkeit Daten zur Verfügung gestellt. Er sei davon ausgegangen, sich bei einem seriösen Unternehmen zu bewerben. Tatsächlich müsse er nunmehr aber feststellen, dass es sich bei der Beklagten um eine dubiose Immobilienfirma handele, die die Rechte betroffener Personen mit Füßen trete. Diese Erkenntnis verstärke und unterstreiche den von ihm empfundenen Kontrollverlust. Er müsse Zeit, Aufwand und letztlich auch Geld investieren, um nur eine Selbstverständlichkeit - nämlich die Erfüllung des Auskunftsrechts - zu erreichen. Der eingetretene Kontrollverlust, die erlittene Einschränkung seiner Rechte und sein "Gernervtsein" seien adäquate und kausale Folge des erfolgten Datenschutzverstoßes.

Die geforderte (Mindest-)Höhe des Schadensersatzanspruchs sei angemessen, weil die Entscheidung eine abschreckende Wirkung entfalten solle. Auch wenn dies von der 3. Kammer des EuGH abweichend entschieden worden sei, sei fraglich, ob die große Kammer des Gerichtshof sich dem anschließen werde, zumal der Schadensersatz gemäß Erwägungsgrund 146 Satz 6 "wirksam" sein müsse. Unabhängig davon sei der geforderte Mindestschadensersatz maßvoll berechnet. Es sei zu berücksichtigen, dass es sich bei der Beklagten um ein finanzkräftiges Unternehmen handele. Zudem habe sie - indem sie ihm überhaupt nicht geantwortet und nicht einmal nach ihrer Verurteilung die Daten herausgegeben habe - jede Befassung mit seinen Rechten verweigert. Der immaterielle Schaden vertiefe sich weiterhin Tag für Tag. Es handele sich um einen der in Erwägungsgrund 85 genannten Regelschäden, die per se als schwerwiegend einzustufen seien. Entsprechendes ergebe sich auch daraus, dass Verstöße gegen Rechte der betroffenen Person nach Art. 83 Abs. 5 DSGVO mit hohen Bußgeldern zu sanktionieren seien. Der zeitliche Aspekt müsse ebenfalls Berücksichtigung finden.

Der Kläger meint, das Arbeitsgericht sei erstinstanzlich von einem zu geringen Wert des Auskunftsanspruchs ausgegangen.

Nachdem der Kläger zunächst weiter einen immateriellen Schadensersatz in Höhe von mindestens 5.000,00 € verlangt hatte, hat er nach teilweiser Berufungsrücknahme zuletzt beantragt,

das Urteil des Arbeitsgerichts Düsseldorf vom 11.08.2023 - 14 Ca 2923/23 - abzuändern, soweit die Klage auf Zahlung eines immateriellen Schadensersatzes abgewiesen wurde, und die Beklagte zu verurteilen, an ihn einen immateriellen Schadensersatz, dessen Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag in Höhe von 2.500,00 € aber nicht unterschreiten sollte, nebst Verzugszinsen in Höhe von fünf Prozentpunkten über dem jeweiligen Basiszinssatz sei Rechtshängigkeit zu zahlen.

Die Beklagte hat weder auf die Berufungsbegründung erwidert, noch ist sie in der mündlichen Verhandlung erschienen.

Wegen der weiteren Einzelheiten wird auf die gewechselten Schriftsätze nebst Anlagen sowie die Sitzungsprotokolle in beiden Instanzen Bezug genommen.

E N T S C H E I D U N G S G R Ü N D E :

Die Berufung des Klägers gegen das "Endurteil" des Arbeitsgerichts hat teilweise Erfolg.

Im Umfang eines Zahlungsbetrags in Höhe von 750,00 € war der Berufung antragsgemäß im Wege des Versäumnisteilurteils stattzugeben, da die Beklagte trotz ordnungsgemäßer Übersendung der Berufung, der Berufungsbegründung und der Ladung im Termin nicht erschienen ist. Die weitergehende Berufung war im Wege des unechten Versäumnis(schluss-)urteils zurückzuweisen.

I. Die Berufung ist zulässig, denn sie ist gemäß § 64 Abs. 2 b) ArbGG statthaft und wurde innerhalb der Fristen des § 66 Abs. 1 ArbGG ordnungsgemäß eingelegt und begründet.

II.Dem Klageantrag war gemäß § 64 Abs. 6, 7 ArbGG, §§ 539 f. ZPO in dem aus dem Tenor ersichtlichen Umfang zu entsprechen.

1.Der in seiner letzten Fassung auf den Ersatz eines immateriellen Schadens in Höhe von mindestens 2.500,00 € gerichtete Antrag ist zulässig. Wie das Arbeitsgericht zutreffend festgestellt hat, ist eine Bezifferung des Zahlungsantrags nicht zwingend erforderlich, weil dem Gericht bei der Festsetzung des Schadensersatzanspruchs gemäß Art. 82 Abs. 1 DSGVO ein Ermessen zusteht.

2.Die Klage ist in der aus dem Tenor ersichtlichen Höhe auch schlüssig.

a)Die Entscheidung war auf der Grundlage des klägerischen Vortrags zu treffen. Erscheint der Berufungsbeklagte im Termin nicht und beantragt der Berufungskläger - wie im Streitfall - gegen ihn den Erlass eines Versäumnisurteils, so gilt das zulässige tatsächliche Vorbringen gemäß § 64 Abs. 6 ArbGG, § 539 Abs. 2 Satz 1 ZPO als zugestanden.

Das zugestandene Vorbringen des Klägers begründet den geltend gemachten Anspruch dem Grunde nach, allerdings nur in Höhe von 750,00 €.

b)Der Anspruch des Klägers ergibt sich aus Art. 82 Abs. 1 DSGVO, da die Beklagte gegen die ihr aus Art. 15 Abs. 1, 2 und 4 DSGVO obliegenden Pflichten verstoßen und hierdurch einen immateriellen Nachteil des Klägers verursacht hat.

aa)Seinen Anspruch kann der Kläger unmittelbar auf Art. 82 Abs. 1 DSGVO stützen.

Gemäß Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

Die DSGVO gilt seit dem 25.05.2018 gemäß Art. 288 AEUV unmittelbar in jedem Mitgliedsstaat der Europäischen Union, ohne dass es einer weiteren Umsetzung durch nationales Recht bedarf. Verantwortlicher im Sinne des Art. 82 Abs. 1 DSGVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (Art. 4 Ziff. 7 DSGVO), mithin die Beklagte.

bb)Die Beklagte hat gegen Art. 15 Abs. 1, 2 und 3 i.V.m. Art. 12 Abs. 3 Sätze 1 bis 3 DSGVO verstoßen.

(1)Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person gegenüber dem Verantwortlichen ein Recht auf Auskunft, ob sie betreffende personenbezogene Daten verarbeitet werden, sowie u.a. über die Verarbeitungszwecke (Art. 15 Abs. 1 lit. a DSGVO), über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Art. 15 Abs. 1 lit. c DSGVO), und über die geplante Dauer oder die Kriterien für die Festlegung dieser Dauer der Speicherung (Art. 15 Abs. 1 lit. d DSGVO). Bei einer Übermittlung an ein Drittland oder an eine internationale Organisation besteht ein Anspruch auf Unterrichtung über geeignete Garantien gemäß Art. 46 DSGVO, vgl. Art. 15 Abs. 2 DSGVO. Überdies kann die betroffene Person gemäß Art. 15 Abs. 3 DSGVO verlangen, dass ihr eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung gestellt wird. Nach der Vorgabe des Art. 12 Abs. 3 Sätze 1 bis 3 DSGVO ist ein solches Auskunfts- und Herausgabebegehren binnen eines Monats nach Eingang, nach einer Unterrichtung über eine Fristverlängerung binnen zwei weiterer Monate zu beantworten.

(2)Nach dem gemäß § 539 Abs. 2 Satz 1 ZPO zugestandenen Sachvortrag des Klägers hat dieser die Beklagte mit mehreren Schreiben vom 18.05.2023 sowie weiteren Erinnerungen vom 03.06.2023 und vom 18.06.2023 unter Fristsetzung aufgefordert, ihm umfassend Auskunft zu erteilen, ob und welche Daten sie zu seiner Person verarbeitet. Derartige personenbezogenen Daten hatte er der Beklagten zuvor, zuletzt im Dezember 2022, in Form seiner Bewerbungsunterlagen übersandt. Des Weiteren hat er verlangt, ihm eine Kopie sämtlicher Daten, die noch verarbeitet werden, zur Verfügung zu stellen. Indem die Beklagte auf dieses Verlangen des Klägers - bis zum Schluss der mündlichen Verhandlung zweiter Instanz - nicht reagiert hat, hat sie gegen die ihr aus Art. 15 Abs. 1, 2 und 3 i.V.m. Art. 12 Abs. 3 DSGVO obliegenden Pflichten verstoßen.

cc)Ein Verstoß gegen die Pflichten aus Art. 15 DSGVO kann dem Grunde nach einen Anspruch auf Ersatz der materiellen und immateriellen Schäden nach Art. 82 Abs. 1 DSGVO begründen.

(1)In Rechtsprechung (vgl. LAG Düsseldorf 28.11.2023 - 3 Sa 185/23 - n.v.; PM Nr. 29/2023; LAG Nürnberg 25.1.2023 - 4 Sa 201/22 - Rn. 21;; LG Düsseldorf 28.10.2021 - 16 O 128/20 - Rn. 35 ff.; LG Bonn 01.07.2021 - 15 O 372/20 - Rn. 41; a. A. LAG Hamm 11.05.2021 - 6 Sa 1260/20 - Rn. 54 ff.; LAG Berlin-Brandenburg 18.11.2021 - 10 Sa 443/21 - Rn. 51 ff.; zweifelnd BAG 05.05.2022 - 2 AZR 363/21 - Rn. 11) und Literatur (vgl. Ehmann/Selmayr/Nemitz, DSGVO Art. 82 Rn. 8; Gola/Heckmann/Gola/Piltz, DSGVO Art. 82 Rn. 3) wird allerdings zum Teil die Auffassung vertreten, derartige Verstöße gegen die Vorschriften der DSGVO fielen nicht in den Anwendungsbereich von Art. 82 DSGVO. Begründet wird diese Auslegung der Norm mit dem Erwägungsgrund 146, in dessen Einleitungssatz davon die Rede ist, dass Schäden, die einer Person aufgrund einer verordnungswidrigen "Verarbeitung" entstehen, zu ersetzen seien. Da es sich bei der Frage der Erfüllung der Auskunftsverpflichtung aber um keine Datenverarbeitung im Sinne der Legaldefinition des Art. 4 Nr. 2 DSGVO handele, scheide ein Verstoß gegen Art. 15 DSGVO als haftungsrelevante Handlung bereits dem Grunde nach aus (vgl. LAG Nürnberg 25.01.2023 - 4 Sa 201/22 - Rn. 21).

(2)Dem folgt die zur Entscheidung berufene Kammer nicht. Gegen ein derartig enges Verständnis der Norm spricht zum einen ihr Wortlaut: In Art. 82 Abs. 1 DSGVO ist von einem "Verstoß gegen diese Verordnung" die Rede und gerade nicht von einer verordnungswidrigen Datenverarbeitung. Dass diese in Abs. 1 von Art. 82 DSGVO enthaltene Regelung durch Abs. 2, in dem davon die Rede ist, dass der "an einer Verarbeitung beteiligte Verantwortliche" für den Schaden hafte, konkretisiert würde, ist weder dem Gesamtkontext noch dem Sinn und Zweck der Norm mit hinreichender Sicherheit zu entnehmen. Zwar spricht auch Erwägungsgrund 146 davon, dass Schäden ersetzt werden sollen, die "einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht". Allerdings ist der Begriff der Verarbeitung in Art. 4 Nr. 2 DSGVO weit gefasst und umfasst beispielsweise auch die "Offenlegung durch Übermittlung", worunter auch eine Auskunft zu fassen ist. Daneben ergibt sich aus den Erwägungsgründen 60 und 63, dass die Grundsätze einer fairen und transparenten Verarbeitung es erforderlich machen, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird, und dass ihr entsprechende Auskunftsrechte zustehen, um "der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können". Daraus folgt, dass mittels des Auskunftsanspruchs für Fairness und Transparenz beim Verarbeitungsvorgang gesorgt werden soll. Es liegt daher nahe, auch die Ersatzpflicht nach Art. 82 Abs. 1 DSGVO auf einen Verstoß gegen das Auskunftsrecht anzuwenden (vgl. OLG Köln 14.07.2022 - 15 U 137/21- Rn. 15; wohl auch OLG Stuttgart 31.03.2021 - 9 U 34/21 - Rn. 29; Rudkowski: Der datenschutzrechtliche Auskunftsanspruch im Arbeitsrecht, NZA 2024, 1).

Dass Art. 82 Abs. 1 DSGVO weit zu verstehen ist und auch verordnungswidriges Verhalten erfasst, das (noch) nicht mit einer Verarbeitung von Daten verbunden ist, bestätigt die jüngere Rechtsprechung des EuGH. Zum einen ist in seinen Entscheidungen zu Art. 82 Abs. 1 DSGVO ohne nähere Einschränkung davon die Rede, dass Anspruchsvoraussetzung ein Verstoß gegen "Bestimmungen dieser Verordnung" sei (vgl. etwa EuGH 14.12.2023 - C-456/22 - Rn. 20,21; EuGH 04.05.2023 C-300/21 - Rn. 28). Zum anderen hat der EuGH in einem Urteil zu den Folgen eines Verstoßes gegen die Pflicht zum Abschluss einer Datenschutzvereinbarung und zum Führen eines Verarbeitungsverzeichnisses zuletzt auch ausdrücklich klargestellt, dass auch ein Verstoß, der keine "unrechtmäßige Verarbeitung" darstellt, einen Anspruch auf Ersatz eines etwaig verursachten Schadens begründen kann (vgl. EuGH 04.05.2023 - C-60/22 - Rn. 69).

dd)Nach dem als zugestanden geltenden Sachvortrag des Klägers ist ihm ein immaterieller Schaden entstanden, der kausal durch den Verstoß gegen die Pflichten aus Art. 15 Abs. 1, 2 und 3 DSGVO verursacht wurde.

(1)Der Nachweis bzw. die unbestrittene oder als zugestanden geltende Darlegung eines immateriellen Schadens ist, wie das Arbeitsgericht insoweit zutreffend ausgeführt hat, nicht entbehrlich. Wie der EuGH mehrfach explizit festgestellt hat, genügt der Normenverstoß als solcher nicht. Vielmehr muss eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie nachteilige Folgen gehabt hat, den Nachweis erbringen, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen (vgl. EuGH 14.12.2023 - C-456/22 - Rn. 22; EuGH 14.12.2023 - C-340/21 - Rn. 84; EuGH 04.05.2023 - C-300/21 - Rn. 50).

(2)Was einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellt, ist durch eine autonome und einheitliche unionsrechtliche Definition zu bestimmen (vgl. EuGH 04.05.2023 - C-300/21 - Rn. 30 und 44).

(a)Der Begriff des Schadens wird vom Unionsgesetzgeber weit verstanden. Der EuGH hat zuletzt klargestellt, dass ein bestimmter Grad an Erheblichkeit der Beeinträchtigung nicht erforderlich ist (vgl. EuGH 04.05.2023 - C-300/21 - Rn. 51; EuGH 14.12.2023 - C-340/21 - Rn. 78). Der Nachteil muss weder "spürbar" noch die Beeinträchtigung "objektiv" sein. Diese Auslegung ergibt sich aus dem dritten Satz des 146. Erwägungsgrundes der DSGVO, in dem es heißt, dass "[d]er Begriff des Schadens … im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden [sollte], die den Zielen dieser Verordnung in vollem Umfang entspricht". Dies steht mit den Zielen der DSGVO im Einklang, namentlich demjenigen, innerhalb der Union ein gleichmäßiges und hohes Niveau des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl. EuGH 14.12.2023 - C-456/22 - Rn. 20).

(b)Weiter hat der EuGH festgestellt, dass nicht danach zu unterscheiden ist, ob der infolge eines erwiesenen Verstoßes gegen die Bestimmungen der DSGVO von der betroffenen Person behauptete "immaterielle Schaden" mit einer zum Zeitpunkt ihres Schadenersatzantrags bereits erfolgten missbräuchlichen Verwendung ihrer personenbezogenen Daten durch Dritte verbunden ist oder ob er "nur" mit ihrer Angst verknüpft ist, dass eine solche Verwendung erst in Zukunft erfolgen könnte. Der Wortlaut von Art. 82 Abs. 1 DSGVO schließt nicht aus, dass der in dieser Bestimmung enthaltene Begriff des immateriellen Schadens eine Situation umfasst, in der sich die betroffene Person auf ihre Befürchtung beruft, dass ihre personenbezogenen Daten aufgrund des eingetretenen Verstoßes gegen die DSGVO in Zukunft von Dritten missbräuchlich verwendet werden. Diese weite Auslegung von Art. 82 Abs. 1 DSGVO wird schließlich durch den 146. Erwägungsgrund und den darin niedergelegten Willen des Unionsgesetzgebers bestätigt (vgl. EuGH 14.12.2023 - C-340/21 - Rn. 83).

Ergänzend hat der EuGH klargestellt, dass der Unionsgesetzgeber unter den Schadensbegriff insbesondere auch den bloßen "Verlust der Kontrolle" über die eigenen Daten infolge eines Verstoßes gegen die DSGVO fassen wollte, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten zum Nachteil dieser Personen erfolgt sein sollte. Zur Begründung hat er auf den ersten Satz des 85. Erwägungsgrundes der DSGVO verwiesen. Denn dort wird in einer beispielhaften Aufzählung von möglichen materiellen oder immateriellen Schäden explizit der Verlust der Kontrolle über die eigenen personenbezogenen Daten genannt (vgl. EuGH 14.12.2023 - C-340/21 - Rn. 74 - 86).

(3)Hieraus ist allerdings entgegen der Auffassung des Klägers gerade nicht zu folgern, dass jeder Verstoß gegen Auskunftsansprüche aus der DSGVO wegen des damit einhergehenden Kontrollverlusts und der Einschränkung von Rechten "automatisch" einen immateriellen Schaden verursacht, der über Art. 82 Abs. 1 DSGVO zu ersetzen wäre. Zwar ist richtig, dass der EuGH in der zitierten Entscheidung den Kontrollverlust als einen in Erwägungsgrund 85 "beispielhaft" aufgezählten Schaden nennt. Der EuGH macht aber zugleich deutlich, dass die betroffene Person in jedem Einzelfall nachweisen muss, dass ihm durch den Kontrollverlust tatsächlich ein Schaden entstanden ist. Erläuternd führt der EuGH aus, dass z.B. dann, wenn der Betroffene die Befürchtung äußere, seine Daten könnten missbräuchlich verwendet werden, das Gericht zu prüfen habe, ob diese unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann (vgl. EuGH 14.12.2023 - C-340/21 - Rn. 86). Bereits der kurzzeitige Verlust der Hoheit über personenbezogene Daten kann zwar einen Schaden verursachen - so geringfügig er auch sein mag. Es ist aber nachzuweisen, dass dieser auch tatsächlich eingetreten ist (vgl. EuGH 14.12.2023 - C-456/22 - 22).

Diese weitergehende Prüfung bzw. dieser Nachweis wäre überflüssig, wenn jede Nichterteilung einer Auskunft, also somit jeder Verstoß gegen Art. 15 DSGVO, zwingend einen Schaden verursachen würde. Anders ausgedrückt: Empfindet der Betroffene trotz der Vorenthaltung von Informationen über seine Daten keinen Kontrollverlust oder ist das von ihm angegebene Gefühl nach den gegebenen Umständen nicht begründet, so scheidet ein Schadensersatzanspruch aus.

(4)Ausgehend von diesen Grundsätzen ist dem Kläger ein immaterieller Schaden entstanden, der durch den Verstoß der Beklagten gegen die DSGVO verursacht wurde.

(a)Der Kläger hat geltend gemacht, durch den Verstoß der Beklagten gegen die ihr obliegenden Pflichten seien ihm immaterielle Nachteile entstanden. In der Berufungsbegründung hat er unter Bezugnahme auf andere gerichtliche Entscheidungen darauf hingewiesen, dass ein "ungutes Gefühl", ein Ärgernis sowie subjektive Empfindlichkeiten und Gefühle wie "Genervtsein", "Ängste, Sorgen und Stress sowie Komfort- und Zeiteinbußen" einen immateriellen Schaden darstellten.

(b)Nachdem das Gericht ihn darauf hingewiesen hat, dass aus dieser Bezugnahme nicht ganz deutlich werde, ob und - wenn ja - inwiefern er selbst die dargestellten Befürchtungen hege bzw. Gefühle empfinde, hat der Kläger seine Auffassung dargelegt, ein bloßer Hinweis auf den erlittenen Kontrollverlust genüge. Denn dieser stelle nach dem Verständnis des Verordnungsgebers bereits den immateriellen Schaden dar.

(c)Diese - unzutreffende - Rechtsansicht, entbindet die Kammer nicht davon, den weiteren Tatsachenvortrag des Klägers zu den Folgen des Pflichtverstoßes zu berücksichtigen und im Hinblick auf den Eintritt eines immateriellen Schadens zu bewerten:

Bei verständiger Würdigung ist sein erst- und zweitinstanzliches Vorbringen auch ohne nähere Erläuterung dahin zu verstehen, dass der Kläger den durch die fehlende Auskunft eingetretenen Kontrollverlust als Nachteil empfindet, weil er nicht weiß, ob mit seinen Daten "redlich" - also rechtmäßig - umgegangen wird. Er hat hierzu bereits in der Klageschrift ausgeführt, dass er von der Beklagten "vorsätzlich im Unwissen" über seine Daten gelassen worden sei und daher nicht wissen könne, welche seiner Daten wie genau verarbeitet würden. Die Beklagte zeige durch ihr Verhalten, dass ihr der "Datenschutz egal" sei. Ergänzende Rechte auf Berichtigung, auf Löschung und auf Einschränkung der Verarbeitung oder auf Widerspruch könne er daher nicht ausüben. Weiter hat er in seinem Schriftsatz vom 19.02.2024 dargelegt, dass es sich bei der Beklagten offenbar um eine "dubiose Immobilienfirma" handele, die "die Rechte betroffener Personen mit Füßen" trete. Hierdurch werde der von ihm "empfundene Kontrollverlust" "verstärkt und unterstrichen". Zudem sei er durch das intransparente Verhalten der Beklagten in erheblichem Maß genervt. Denn er müsse Zeit, Aufwand und Geld investieren, um die Erfüllung seines Auskunfts- und Grundrechts aus Art. 15 DSGVO bzw. Art. 8 Abs. 2 S. 2 GRCh zu erreichen.

Mit diesen Ausführungen hat der Kläger nach dem Verständnis der Kammer (auch) eigene negative Gefühle sowie seine Befürchtung zum Ausdruck gebracht, dass die Beklagte nicht nur seine Rechte aus Art. 15 DSGVO verletzen, sondern auch sonst mit seinen Daten missbräuchlich umgehen könnte. Dass er diese Befürchtungen hegt, hat der Kläger im Rahmen der mündlichen Verhandlung vom 07.03.2024 bestätigt.

(d)Diese Befürchtungen und Gefühle erscheinen unter Berücksichtigung der gegebenen besonderen Umstände als begründet.

Der Kläger hat sich am 03.08.2022 und danach nochmals im Dezember 2022 auf eine bei der Beklagten ausgeschriebene Stelle beworben und ihr mit seiner Bewerbung personenbezogene Daten übermittelt. Die Beklagte hat ihm weder eine Rückmeldung auf seine Bewerbung gegeben, noch hat sie bis heute seine Anfrage nach seinen Daten beantwortet. Im Rahmen des erstinstanzlichen Verfahrens hat sie auf die Klage nicht reagiert und sich versäumen lassen. In der Berufungsinstanz hat sie ebenfalls von jeder Stellungnahme abgesehen.

Dem Kläger ist darin zuzustimmen, dass ein solches Verhalten den Eindruck erweckt, die Beklagte wolle die aus dem Datenschutz erwachsenden Rechte des Klägers nicht anerkennen. Wenn die Beklagte ihren Verpflichtungen aus der DSGVO hätte nachkommen wollen, wäre es für sie ein Leichtes gewesen, dem Kläger seine Frage zu beantworten oder ggf. mitzuteilen, dass sie sich über den Verbleib seiner Daten zunächst selbst informieren muss. Durch die schlichte "Null-Reaktion" macht die Beklagte deutlich, dass sie das Anliegen des Klägers und damit die von ihm geltend gemachten Rechte nicht ernst nimmt bzw. dass ihm diese "egal" sind. Der Eindruck wird noch dadurch bestätigt und verstärkt, dass die Beklagte ihr Verhalten im gerichtlichen Verfahren - trotz nachgewiesener Zustellung der Klageschrift und der Ladung zum Termin - fortgesetzt und sich weiterhin nicht veranlasst gesehen hat, auf seine (berechtigten) Auskunftsansprüche zu reagieren. In einer solchen Situation, in der das eigene Anliegen schlicht ignoriert wird, erscheint durchaus nachvollziehbar, dass der Verlust der Kontrolle über die eigenen Daten als Beeinträchtigung, auch als Ärgernis, empfunden und ein missbräuchlicher Umgang befürchtet wird.

ee)Der beschriebene Schaden ist durch den Datenschutzverstoß kausal verursacht worden. Hätte die Beklagte auf das Auskunftsersuchen des Klägers pflichtgemäß reagiert, wäre er nicht im Ungewissen über den Umgang mit seinen personenbezogenen Daten geblieben. Er hätte keine (begründeten) Befürchtungen im Hinblick auf eine missbräuchliche Verwendung haben müssen.

ff)Zum Ersatz dieses immateriellen Schadens hält die Kammer einen Betrag in Höhe von 750,00 € für geboten, aber auch ausreichend. Die über diesen Betrag hinausgehende Berufung ist unbegründet und war daher durch Schlussurteil zurückzuweisen.

Der Kläger hat die Bemessung der Höhe des immateriellen Schadensersatzes in das Ermessen des Gerichts gestellt, § 287 Abs. 1 S. 1 ZPO. Auf dieser Grundlage war über die Höhe des Schadens unter Würdigung aller Umstände nach freier Überzeugung des Gerichts zu entscheiden.

(1)Nach der ständigen Rechtsprechung des EuGH ist es mangels einschlägiger unionsrechtlicher Vorschriften nach dem Grundsatz der Verfahrensautonomie Sache der innerstaatlichen Rechtsordnung jedes Mitgliedstaats, die Verfahrensmodalitäten für Klagen, die den Schutz der dem Einzelnen aus dem Unionsrecht erwachsenden Rechte gewährleisten sollen, zu regeln, wobei die betreffenden Anforderungen jedoch nicht ungünstiger sein dürfen als diejenigen, die gleichartige, dem innerstaatlichen Recht unterliegende Sachverhalte regeln (Äquivalenzgrundsatz), und die Ausübung der durch das Unionsrecht verliehenen Rechte nicht praktisch unmöglich machen oder übermäßig erschweren dürfen (sogenannter Effektivitätsgrundsatz, vgl. EuGH 07.04.2022 - C-385/20 - Rn. 47; EuGH 06.10.2020 - C-511/18 - Rn. 223; EuGH 19.12.2019 - C-752/18 Rn. 33; EuGH 06.10.2015 - C-69/14 - Rn. 26 f.). Dies führt im Streitfall mangels einschlägiger unionsrechtlicher Vorschriften zur Anwendbarkeit von § 287 Abs. 1 Satz 1 ZPO. Denn Art. 82 DSGVO selbst regelt keine Verfahrensmodalitäten zur Durchsetzung des Schadenersatzanspruchs.

Dem Äquivalenz- oder Effektivitätsgrundsatz ist durch die Anwendung von § 287 Abs. 1 Satz 1 ZPO Rechnung getragen. Die Bestimmung findet im nationalen Recht ebenso bei der Durchsetzung anderer Ansprüche auf immateriellen Schadenersatz Anwendung. Sie ermöglicht überdies in besonderer Weise eine effektive Durchsetzung von Schadenersatzansprüchen, weil sie nach Wahl des Klägers das Beweismaß mindert (vgl. BAG 05.05.2022 - 2 AZR 363/21 - Rn. 14; LAG Düsseldorf 26.04.2023 - 12 Sa 18/23 - Rn. 179).

(2)Bei der Bemessung der Höhe eines Schadenersatzanspruchs nach § 287 Abs. 1 ZPO steht dem Gericht ein weiter Ermessensspielraum zu, innerhalb dessen die Besonderheiten jedes einzelnen Falls zu berücksichtigen sind.

(a)Erwägungsgrund 146 (Satz 6) zur DSGVO macht klar, dass die betroffene Person einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten soll.

In einer jüngeren Entscheidung hat der EuGH klargestellt, dass ein Schadensersatz dann "vollständig und wirksam" ist, wenn er es ermöglicht, den aufgrund des Verstoßes gegen die DSGVO konkret erlittenen Schaden in vollem Umfang auszugleichen. Anders als die Vorschriften der Art. 83 und 84 DSGVO, die im Wesentlichen einen Strafzweck haben, da sie die Verhängung von Geldbußen bzw. anderen Sanktionen erlauben, hat Art. 82 DSGVO keine Straf-, sondern eine Ausgleichsfunktion. Er erfüllt weder eine abschreckende, noch eine Straffunktion. Es kommt somit auch nicht auf die Schwere des Verstoßes gegen die DSGVO an. Diese wirkt sich nicht auf die Höhe des zu gewährenden Schadensersatzes aus. Maßgeblich ist vielmehr allein, dass die Entschädigung in Geld es ermöglicht, den konkret aufgrund des Verstoßes gegen diese Verordnung erlittenen Schaden vollständig auszugleichen (vgl. EuGH 21.12.2023 - C-667/21 - Rn. 80 ff.; anders unter Heranziehung der Wertungen des Art. 83 noch LG Lübeck 07.12.2023 - 15 O 73/23 - Rn. 128 ff.; LG Köln 18.05.2022 - 28 O 328/21 - Rn. 34 f.; ArbG Düsseldorf 05.03.2020 - 9 Ca 6557/18 - Rn. 102; offengelassen BAG 05.05.2022 - 2 AZR 363/21 - Rn. 17).

(b)Ausgehend von diesen Grundsätzen hat die Kammer den immateriellen Schaden des Klägers auf 750,00 € geschätzt.

(1)Dabei hat die Kammer berücksichtigt, dass der europäische Verordnungsgeber das verletzte Recht auf Auskunftserteilung, wie sich insbesondere aus der Aufnahme des Art. 15 DSGVO in den Katalog des Art. 83 Abs. 5 DSGVO zeigt, per se als bedeutsam bewertet hat.

Aus der Verletzung resultieren eine Ungewissheit über den (redlichen) Umgang mit den eigenen Daten sowie die damit verbundene Unmöglichkeit, Rechte gegenüber der Beklagten oder Dritten geltend zu machen. Die vom Kläger geschilderten und als nachvollziehbar bewerteten Befürchtungen und negativen Gefühle wie Ärger und "Genervtsein" hat die Kammer in die Würdigung einbezogen.

Weitergehende psychische Belastungen, gesellschaftliche oder soziale Nachteile, Einschränkungen in der persönlichen Lebensführung oder der Gestaltungs- und Entfaltungsmöglichkeiten hat der Kläger dagegen nicht dargelegt.

(2)Um zu bewerten, wie schwer der eingetretene Schaden ist, hat die Kammer auch gewürdigt, über welche Art von personenbezogenen Daten der Kläger im Ungewissen geblieben ist.

Der Kläger hat schriftsätzlich nicht konkret dargelegt, welche Informationen er der Beklagten zur Verfügung gestellt hat. Die Kammer ist davon ausgegangen, dass der Bewerbung die typischen Unterlagen beigefügt waren, nämlich ein Anschreiben, ein Lebenslauf mit Foto sowie Ausbildungs- und Arbeitszeugnisse. Dies hat der Kläger in der mündlichen Verhandlung vom 07.03.2024 bestätigt und erklärt, er habe derartige Dokumente bei der Beklagten digital eingereicht.

Das eigene Foto wird heute nicht selten von Personen selbst in sozialen Netzwerken oder von Dritten mit Wissen der betroffenen Person auf sonstigen Webseiten veröffentlicht - so offenbar auch im Fall des Klägers, der auf mehreren Poker-Websites zu sehen ist. Die Kammer konnte dahinstehen lassen, ob der Kläger tatsächlich bereits selbst sein Foto veröffentlicht hat mit der Folge, dass seine Sorge vor einer weiteren Verarbeitung oder anderweitigen Nutzung durch die Beklagte kaum als schwere Belastung bewertet werden könnte. Denn jedenfalls auch weitere Bestandteile seiner Bewerbungsunterlagen wie z.B. die Privatanschrift und Werturteile von ehemaligen Arbeitgebern stellen Informationen dar, die von den Betroffenen regelmäßig als sensibel eingestuft und gezielt nur solchen Dritten zur Verfügung gestellt werden, die daran ein berechtigtes Interesse haben. Andererseits ist weder ersichtlich, noch vom Kläger vorgetragen, dass sich in den Unterlagen personenbezogene Daten mit besonders erhöhtem Schutzniveau befänden, z.B. genetische, biometrische und Gesundheitsdaten sowie personenbezogene Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit des Betroffenen hervorgehen. Die Beeinträchtigung durch die Ungewissheit über den Umgang mit den Daten wird vor diesem Hintergrund im Ausgangspunkt als gering bis mittelschwer bewertet.

(3)Die Kammer hat im Rahmen der Schätzung schließlich berücksichtigt, dass sich der Schaden mit der Fortdauer der Ungewissheit vertieft hat. Die Beeinträchtigung während des ersten Monats (Juni 2023), in dem der Kläger der Beklagten noch neue Fristen gesetzt hat, und des Folgemonats Juli 2023 schätzt die Kammer als geringfügig ein. Insoweit erscheint eine Bewertung mit 100,00 € sachgerecht. In den Folgemonaten hielt der Verstoß an und hat nach der Schilderung des Klägers seine negativen Gefühle und Befürchtungen verstärkt. Unter Berücksichtigung dieses Verlaufs sowie unter Würdigung aller Umstände erachtet die Kammer insoweit eine Addition von weiteren 650,00 € und damit insgesamt einen Betrag von 750,00 € als Ausgleich für die erlittenen Nachteile als angemessen.

III.Die Kostenentscheidung beruht auf §§ 92 Abs. 1, 516 Abs. 3 Satz 1 ZPO.

Bei der Verteilung der Kosten erster Instanz ist die Kammer - wie das Arbeitsgericht - davon ausgegangen, dass der Antrag auf Auskunft nach Art. 15 Abs. 1, 2 DSGVO ebenso wie der Antrag auf Herausgabe einer Datenkopie mit jeweils 500,00 € zu bewerten war. Dies entspricht der ganz überwiegenden Rechtsprechung der Landesarbeitsgerichte (vgl. mit ausführlicher Begründung LAG München 02.08.2023 - 3 Ta 142/23 - Rn. 26; LAG Düsseldorf 06.05.2022 - 4 Ta 108/22 - Rn. 13; LAG Berlin-Brandenburg 18.3.2021 - 26 Ta (Kost) 6110/20 - Rn. 5; LAG Baden-Württemberg 23.1.2020 - 5 Ta 123/19 - Rn. 24; LAG Nürnberg 28.05.2020 - 2 Ta 76/20 - Rn. 14; LAG Hessen Beschluss vom 11.1.2022 - 12 Ta 417/22 - Rn. 15).

IV.Die Entscheidung über die Nichtzulassung der Revision beruht auf § 72 Abs. 1 ArbGG.

RECHTSBEHELFSBELEHRUNG

Gegen das Versäumnisteilurteil kann von der Beklagten

EINSPRUCH

eingelegt werden.

Für den Kläger ist gegen das Versäumnisteilurteil kein Rechtsbehelf gegeben.

Der Einspruch muss innerhalb einer Notfrist* von einer Woche nach der Zustellung dieses Versäumnisurteils schriftlich oder in elektronischer Form beim

Landesarbeitsgericht Düsseldorf

Ludwig-Erhard-Allee 21

Fax: 0211 7770-2199

eingelegt oder zur Niederschrift der Geschäftsstelle dieses Landesarbeitsgerichts erklärt werden. Der Einspruch kann auch zur Niederschrift der Geschäftsstelle eines anderen Gerichts erklärt werden. In diesem Fall muss er aber innerhalb der Notfrist* bei dem oben bezeichneten Landesarbeitsgericht eingehen.

Für Rechtsanwälte, Behörden und juristische Personen des öffentlichen Rechts einschließlich der von ihr zur Erfüllung ihrer öffentlichen Aufgaben gebildeten Zusammenschlüsse besteht ab dem 01.01.2022 gem. §§ 46g Satz 1 ArbGG grundsätzlich die Pflicht, den Einspruch ausschließlich als elektronisches Dokument einzureichen. Gleiches gilt für vertretungsberechtigte Personen, für die ein sicherer Übermittlungsweg nach § 46c Abs. 4 Nr. 2 ArbGG zur Verfügung steht.

Die elektronische Form wird durch ein elektronisches Dokument gewahrt. Das elektronische Dokument muss für die Bearbeitung durch das Gericht geeignet und mit einer qualifizierten elektronischen Signatur der verantwortenden Person versehen sein oder von der verantwortenden Person signiert und auf einem sicheren Übermittlungsweg gemäß § 46c ArbGG nach näherer Maßgabe der Verordnung über die technischen Rahmenbedingungen des elektronischen Rechtsverkehrs und über das besondere elektronische Behördenpostfach (ERVV) v. 24. November 2017 in der jeweils geltenden Fassung eingereicht werden. Nähere Hinweise zum elektronischen Rechtsverkehr finden sich auf der Internetseite www.justiz.de.

Angriffs- und Verteidigungsmittel, soweit dies nach der Prozesslage einer sorgfältigen und auf Förderung bedachten Prozessführung entspricht, sowie Rügen, die die Zulässigkeit der Klage und/oder Berufung betreffen, sind gleichzeitig vorzubringen. Für diese Erklärung besteht jedoch Prozessvertretungszwang. Sie müssen von einem Bevollmächtigten abgegeben werden und, soweit sie schriftlich dargelegt werden, von einem solchen Vertreter unterzeichnet sein. Als Bevollmächtigte sind nur zugelassen:

1.Rechtsanwälte,

2.Gewerkschaften und Vereinigungen von Arbeitgebern sowie Zusammenschlüsse solcher Verbände für ihre Mitglieder oder für andere Verbände oder Zusammenschlüsse mit vergleichbarer Ausrichtung und deren Mitglieder,

3.Juristische Personen, deren Anteile sämtlich im wirtschaftlichen Eigentum einer der in Nr. 2 bezeichneten Organisationen stehen, wenn die juristische Person ausschließlich die Rechtsberatung und Prozessvertretung dieser Organisation und ihrer Mitglieder oder eines anderen Verbandes oder Zusammenschlusses mit vergleichbarer Ausrichtung und deren Mitglieder entsprechend deren Satzung durchführt und wenn die Organisation für die Tätigkeit der Bevollmächtigten haftet.

Eine Partei, die als Bevollmächtigter zugelassen ist, kann sich selbst vertreten.

Angriffs- und Verteidigungsmittel, die später vorgebracht werden, sind vom Gericht nur zuzulassen, wenn ihre Zulassung nach der freien Überzeugung des Gerichts die Erledigung des Rechtsstreits nicht verzögern würde oder die Verspätung genügend entschuldigt wird.

* eine Notfrist ist unabänderlich und kann nicht verlängert werden.

Gegen das Schlussurteil ist ein Rechtsmittel nicht gegeben.

Wegen der Möglichkeit der Nichtzulassungsbeschwerde wird auf § 72a ArbGG verwiesen.

SalchowWinkelkötterGesell