Sehr geehrte Mandanten der GDPC,
wir möchten Sie heute über ein Urteil des Arbeitsgerichts Düsseldorf (Urt. v. 05.03.2020, Az. 9 Ca. 6557/18) und damit in Verbindung stehende Entwicklungen informieren.
Nach dem Urteil des Arbeitsgerichts müssen sich (sofern weitere Gerichte dieser Linie folgen) Unternehmen auch schon bei kleinen Datenschutzverstößen und Fehlern auf hohe Schadensersatzansprüche von Verbrauchern einstellen. Es gibt bereits erste Anbieter, die sich auf die Geltendmachung von Forderungen nach Art. 82 DSGVO (Schadensersatz) spezialisiert haben. Dies erfolgt häufig unter Einsatz sog. „Legal-Tech-Anwendungen“ da mit diesen der Prüfaufwand so gering wie möglich gehalten wird.
Das aktuelle Urteil dürfte diesem „Geschäftsmodell“ Auftrieb verleihen. Die Richter sprachen einem Arbeitnehmer einen immateriellen Schadensersatz in Höhe von 5000,00€ zu, weil sein früherer Arbeitgeber seinen Auskunftsanspruch verspätet und nicht vollständig beantwortet hat. Nach Ansicht der Richter stellt bereits eine unrichtige Erteilung einer solchen Auskunft einen ersatzfähigen (immateriellen) Schaden im Sinne von Art. 82 Abs. 1 DSGVO dar; eine Bagatellschwelle gibt es nach Ansicht der Düsseldorfer Richter nicht. Vielmehr müsse der Schadensersatz für das Unternehmen „spürbar“ sein, da eine Abschreckungswirkung ansonsten nicht existiert.
Zwar ist die Entscheidung noch nicht rechtskräftig (eine Berufung ist beim LAG Düsseldorf anhängig), jedoch sind alle verantwortlichen Unternehmen gut beraten ihre Prozesse entsprechend zu überprüfen und auf ein solides Fundament zu stellen.
Was bedeutet das nun für die Praxis?
Es müssen alle Datenschutz- und Auskunftsprozesse überprüft bzw. installiert werden. Es ist essentiell, dass auf Betroffenenanfragen (z.B. Auskunft, Widerspruch, Löschung) angemessen reagiert wird, unter Einbeziehung des Datenschutzbeauftragten. Hierbei spielt die Sensibilisierung der Mitarbeiter eine entscheidende Rolle, die solche Anfragen/Eingaben entgegennehmen.
Für Rückfragen – etwa zur Frage, wie solche Prozesse zur Umsetzung der Betroffenenrechte in Ihrem Einzelfall gestaltet sein sollten – stehen wir Ihnen gerne wie gewohnt jederzeit zur Verfügung.
Ihre Datenschutzbeauftragten von der GDPC
Dr. Kevin Marschall und Stephan Blazy
