Urteil : 750€ Schadenersatz wegen verspäteter Auskunftserteilung nach 19 Tagen : aus der RDV 2/2024, Seite 121-123

Die Beklagte nahm keine Stellung bis zum 03.06.2023. Sodann erinnerte der Kläger die Beklagte mit E-Mail vom 03.06.2023 an sein Anliegen.

Die Beklagte erteilte dem Kläger mit Schreiben vom 05.06.2023 eine Negativauskunft mit dem Inhalt, dass keine Daten des Klägers bei ihr gespeichert seien.

Damit hat die Beklagte nicht „unverzüglich“ auf die Anfrage des Klägers reagiert.

Die Vorgabe in Art. 12 III DS-GVO bedeutet, dass der Verantwortliche alle Anträge der betroffenen Person, mit denen diese ein Betroffenenrecht geltend macht, beschleunigt behandeln muss. Art. 12 III errichtet für die Positivantwort und die Negativantwort gleichermaßen eine Pflicht zur unverzüglichen Unterrichtung. Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat. Als Höchstfrist legen beide Normen einen Monat ab Antragseingang fest. Diese Höchstfrist darf nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden (Kühling/ Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art.  12 Rn. 33). Dabei ist unter unverzüglich, angelehnt an § 121 BGB, „ohne schuldhaftes Zögern“ zu verstehen (Franck in Gola/Heckmann, DS-GVO, 3. Aufl, Art. 12 Rn. 25). Da „unverzüglich“ weder „sofort“ bedeutet noch damit eine starre Zeitvorgabe verbunden ist, kommt es auf eine verständige Abwägung der beiderseitigen Interessen an. Nach einer Zeitspanne von mehr als einer Woche ist aber ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben (BAG, Urteil v. 27.02.2020 — 2 AZR 390/19, beck-online).

Die Beklagte hat die Auskunft nach Ablauf von 19 Kalendertagen erteilt. Besondere Umstände, welche diese Bearbeitungsfrist hinreichend rechtfertigen, sind nach Auffassung der Kammer nicht gegeben. Dies gilt auch, wenn man berücksichtigt, dass nach dem Vortrag der Beklagten unter Berücksichtigung von Wochenenden, Feiertagen und Brückentagen ggf. nur neun Arbeitstage zwischen der Anfrage und der Bearbeitung lagen.

Besondere Umstände, welche einen besonderen Bearbeitungsaufwand oder eine verlängerte Bearbeitungsspanne zu rechtfertigen vermögen, liegen nämlich nicht vor.

Dem Auskunftsverlangen wohnt keine besondere Komplexität inne. Es handelt sich um eine zurückliegende Bewerbung und damit vom Umfang her um einen überschaubaren Vorgang. Bedenkt man, dass letztlich keine Daten gespeichert waren, entfällt mithin auch das ggf. aufwendige Sichten und Sortieren der Daten und deren Zusammenstellung.

Es sind keine Anhaltspunkte ersichtlich, vor welchem Hintergrund für den bloßen Suchvorgang an sich mehr als eine Woche benötigt wurde. Der konkrete Ablauf des Bearbeitungsvorgangs (und evtl. Hindernisse) wurden nicht dargelegt. Im Termin zur mündlichen Verhandlung konnte nach Frage der Kammer nicht im Einzelnen dargelegt werden, wie und durch welche Schritte der „Suchvorgang“ nach Eingang einer Betroffenenanfrage bei der Beklagten durchgeführt wird und wie der normale Ablauf ist.

Vor diesem Hintergrund ist auch die Ausführung, es hätte nach der ersten „Negativauskunft“ im System noch eingehender gesucht werden müssen, nicht überzeugend nachvollziehbar. Der hierdurch behauptete Zeitverlust kann nicht nachvollzogen werden.

Auch ist die Sachlage nicht deswegen anders zu bewerten, weil es sich bei der Beklagten nach eigenen Angaben um eine Wirtschaftsauskunftei handelt und diese im Rahmen ihrer Geschäftstätigkeit mit zahlreichen Auskunftsersuchen zu tun hat. Nach Auffassung der Kammer ist hier nach dienstlichen Auskunftsersuchen im Rahmen der Geschäftstätigkeit und Auskunftsersuchen von Privatpersonen im Rahmen der DS-GVO zu differenzieren. Die Frage der Kammer in der mündlichen Verhandlung, ob hier eine organisatorische Trennung der Bearbeitungsvorgänge stattfindet, konnte für den Standort Q nicht im Einzelnen beantwortet werden.

Nach Auffassung der Kammer kann auch die Tatsache dahinstehen, dass es sich um eine sechs Jahre alte Bewerbung handelte. Die Frage einer objektiven Dringlichkeit ist nicht Voraussetzung des Betroffenenrechts nach Art. 12 DS-GVO. Eine entsprechende subjektive Bewertung durch die Beklagte vermag an der Frist des Art. 12 III DS-GVO nichts zu ändern. Zudem hat die Beklagte auch nicht dargelegt, in welchem Verhältnis sie die Anfrage ihrer Bewertung nach zu ggf. anderen vorliegenden Anfragen, welche nicht allesamt in der vorliegenden Bearbeitungszeit abgearbeitet werden könnten, gestanden hat.

Auch der Einwand der Beklagten, von dem einzelnen Mitarbeiter als Sachbearbeiter könne man nicht verlangen, dass er Kenntnis davon hat, dass es nicht ausreiche, einen entsprechenden Antrag innerhalb von zwei Wochen zu bearbeiten, vermag nicht zu überzeugen. Es ist vielmehr Sache der Beklagten als Arbeitgeber eine Organisationsstruktur zu schaffen, welche die rechtzeitige Bearbeitung der Anfragen im System ermöglicht.

Ein Verstoß gegen Art. 12 III DS-GVO durch die Beklagte liegt mithin vor.

1. Dem Kläger ist durch den Verstoß auch ein immaterieller Schaden entstanden durch einen temporären Kontrollverlust bezüglich seiner Daten.

Der Begriff des Schadens ist auf eine Art auszulegen, die den Zielen der DS-GVO in vollem Umfang entspricht. Ein immaterieller Schaden entsteht daher nicht nur in den „auf der Hand liegenden Fällen“, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren (EG 75) (so auch ArbG Düsseldorf, 9 Ca 9557/19, beck-online).

Der Kläger hat durch die verspätete Auskunft einen Kontrollverlust hinsichtlich seiner Daten erlitten. Dieser ist als immaterieller Schaden zu qualifizieren (vgl. Ehmann, in: Ehmann/Selmayr, DS-GVO Art. 15 Rn. 1 m.w.N., Bäcker, in: Kühling/Buchner, DS-GVO Art. 5 Rn. 1).

Durch die verspätete Auskunft war der Kläger im Ungewissen und ihm die weitere Prüfung verwehrt, ob und ggf. wie die Beklagte seine personenbezogenen Daten verarbeitet.

Die Schwere des immateriellen Schadens ist für die Begründung der Haftung nach Art. 82 Abs. 1 DS-GVO irrelevant und wirkt sich nur noch bei der Höhe des Anspruchs aus (LG Karlsruhe v. 02.08.2019 — 8 O 26/19, ZD 2019, 511; Gola/Pitz, in: Gola, DS-GVO Art. 82 Rn. 13 m.w.N. der restriktiveren Rspr. zu § 823 Abs. 1 BGB i.V.m. Art. 1 Abs. 1, Art. 2 Abs. 1 GG.

An einem Kontrollverlust des Klägers fehlt es entgegen dem Vortrag der Beklagten auch nicht deswegen, weil die Beklagte nach ihrem Vortrag an einen „Code of Conduct“ bezüglich der Löschung von Daten gebunden ist. Dies kann dahinstehen und auch ob der Kläger eine etwaige Kenntnis von dem strittigen Umstand hat.

Eine Bindung der Beklagten an einen „Code of Conduct“ würde einen Verstoß gegen die DS-GVO nicht per se unmöglich machen und daher nicht dazu führen, dass der Kläger bei verspäteter Antwort keinen Kontrollverlust hat. Andernfalls würde die Bindung an den Code of Conduct faktisch die Betroffenenrechte des Art. 12 DS-GVO einschränken.

Ein Schaden des Klägers liegt mithin vor.

III. Zum Ersatz dieses immateriellen Schadens hält die Kammer einen Betrag in Höhe von 750 Euro für angemessen. Dem Kläger ist nicht in der Auffassung zu folgen, dass ein Betrag in Höhe von 2.000 Euro den Schaden angemessen abbildet.

Die betroffene Person soll einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten. Verstöße müssen effektiv sanktioniert werden, damit die DS-GVO wirken kann, was vor allem durch Schadenersatz in abschreckender Höhe erreicht wird (Wybitul/ Haß/Albrecht, NJW 2018, 113 [115], Bergt, in: Kühling/Buchner, DS-GVO Art. 82 Rn. 18, Frenzel, in: Paal/Pauly, DS-GVO Art. 82 Rn. 10 m.w.N.). Gerichte können sich bei der Bemessung des immateriellen Schadenersatzes auch an Art. 83 II DS-GVO orientieren, so dass als Zumessungskriterien u.a. Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden können (BeckOK Datenschutzrecht/Quaas, 31. Ed., Art.  31, Wybitul/Haß/Albrecht, NJW 2018. 113 [ 1151).

Nach diesen Grundsätzen hält die Kammer einen Schadenersatz in Höhe von 750 Euro für angemessen. Auf der einen Seite ist die Finanzkraft der Beklagten zu berücksichtigen. Auf der anderen Seite ist zu berücksichtigen, dass die Beklagte den gebotenen Zeitraum des Art. 12 III DS-GVO nicht in erheblichem Maße überschritten hat und die Auskunft auf die erste Erinnerung des Klägers direkt erteilt hat. Es handelt sich soweit ersichtlich um einen erstmaligen Verstoß. Zudem geht die Kammer davon aus, dass für die Beklagte bereits die Verurteilung wegen eines festgestellten Datenschutzverstoßes an sich eine abschreckende Wirkung hat, da sie geschäftlich mit der Erteilung von Auskünften und Personendaten zu tun hat. Die Festsetzung eines Schadenersatzes in Höhe von 750 Euro wird daher trotz der finanziellen Situation der Beklagten als hinreichend abschreckend und angemessen angesehen.