Arbeitsgericht Duisburg: 750 EUR Schadensersatz bei verspäteter Auskunft zu personenbezogenen Daten aus Bewerbungsverfahren

So das Gericht in seinem Urteil vom 3. November 2023 (Az.: 5 Ca 877/23). Der Kläger hatte einen Auskunftsanspruch zu Bewerbungsunterlagen und dort enthaltenen personenbezogenen Daten gestellt. Die Bewerbung stammte vom 14. März 2017, die Auskunft wurde am 18. Mai 2023 geltend gemacht. Die Auskunft wurde am 5. Juni 2023 erteilt. Dies nach Ansicht des Gerichts nicht rechtzeitig gewesen. Es begründet in den Entscheidungsgründen wie folgt:

„…Damit hat die Beklagte nicht „unverzüglich“ auf die Anfrage des Klägers reagiert. Die Vorgabe in Art 12 III DSGVO bedeutet, dass der Verantwortliche alle Anträge der betroffenen Person, mit denen diese ein Betroffenenrecht geltend macht, beschleunigt behandeln muss. Art. 12 III errichtet für die Positivantwort und die Negativantwort gleichermaßen eine Pflicht zur unverzüglichen Unterrichtung. Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat. Als Höchstfrist legen beide Normen einen Monat ab Antragseingang fest. Diese Höchstfrist darf nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden (Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 12 Rn. 33). Dabei ist unter unverzüglich, angelehnt an § 121 BGB, „ohne schuldhaftes Zögern“ zu verstehen (Franck in Gola/Heckmann. DS-GVO 3. Aufl, Art. 12 Rn. 25). Da „unverzüglich“ weder „sofort“ bedeutet noch damit eine starre Zeitvorgabe verbunden ist, kommt es auf eine verständige Abwägung der beiderseitigen Interessen an. Nach einer Zeitspanne von mehr als einer Woche ist aber ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben (BAG, Urteil v. 27.2.2020 — 2 AZR 390/19, beck- online).

Die Beklagte hat die Auskunft nach Ablauf von 19 Kalendertagen erteilt. Besondere Umstände, welche diese Bearbeitungsfrist hinreichend rechtfertigen, sind nach Auffassung der Kammer nicht gegeben. Dies gilt auch, wenn man berücksichtigt, dass nach dem Vortrag der Beklagten unter Berücksichtigung von Wochenenden, Feiertagen und Brückentagen ggf. nur neun Arbeitstage zwischen der Anfrage und der Bearbeitung lagen.

Besondere Umstände, welche einen besonderen Bearbeitungsaufwand oder eine verlängerte Bearbeitungsspanne zu rechtfertigen vermögen, liegen nämlich nicht vor.

Dem Auskunftsverlangen wohnt keine besondere Komplexität inne. Es handelt sich um eine zurückliegende Bewerbung und damit vom Umfang her  um einen überschaubaren Vorgang. Bedenkt man, dass letztlich keine Daten gespeichert waren, entfällt mithin auch das ggf. aufwendige Sichten und Sortieren der Daten und deren Zusammenstellung.

Es sind keine Anhaltspunkte ersichtlich, vor welchem Hintergrund für den bloßen Suchvorgang an sich mehr als eine Woche benötigt wurde. Der konkrete Ablauf des Bearbeitungsvorgangs (und evtl. Hindernisse) wurden nicht dargelegt. Im Termin zur mündlichen Verhandlung konnte nach Frage der Kammer nicht im Einzelnen dargelegt werden, wie und durch welche Schritte der „Suchvorgang“ nach Eingang einer Betroffenenanfrage bei der Beklagten durchgeführt wird und wie der normale Ablauf ist.

Vor diesem Hintergrund ist auch die Ausführung, es hätte nach der ersten „Negativauskunft“ im System noch eingehender gesucht werden müssen, nicht überzeugend nachvollziehbar. Der hierdurch behauptete Zeitverlust kann nicht nachvollzogen werden.

Auch ist die Sachlage nicht deswegen anders zu bewerten, weil es sich bei der Beklagten nach eigenen Angaben um eine Wirtschaftsauskunftei handelt und diese im Rahmen ihrer Geschäftstätigkeit mit zahlreichen Auskunftsersuchen zu tun hat. Nach Auffassung der Kammer ist hier nach dienstlichen Auskunftsersuchen im Rahmen der Geschäftstätigkeit und Auskunftsersuchen von Privatpersonen im Rahmen der DSGVO zu differenzieren. Die Frage der Kammer in der mündlichen Verhandlung, ob hier eine organisatorische Trennung der Bearbeitungsvorgänge stattfindet, konnte für den Standort Q. nicht im Einzelnen beantwortet werden.

Nach Auffassung der Kammer kann auch die Tatsache dahinstehen, dass es sich um eine sechs Jahre alte Bewerbung handelte. Die Frage einer objektiven Dringlichkeit ist nicht Voraussetzung des Betroffenenrechts nach Art 12 DSGVO. Eine entsprechende subjektive Bewertung durch die Beklagte vermag an der Frist des Art 12 III DSGVO nichts zu ändern. Zudem hat die Beklagte auch nicht dargelegt, in welchem Verhältnis sie die Anfrage ihrer Bewertung nach zu ggf. anderen vorliegenden Anfragen, welche nicht allesamt in der vorliegenden Bearbeitungszeit abgearbeitet werden könnten, gestanden hat.

Auch der Einwand der Beklagten, von dem einzelnen Mitarbeiter als Sachbearbeiter könne man nicht verlangen, dass er Kenntnis davon hat, dass es nicht ausreiche, einen entsprechenden Antrag innerhalb von zwei Wochen zu bearbeiten, vermag nicht zu überzeugen. Es ist vielmehr Sache der Beklagten als Arbeitgeber eine Organisationsstruktur zu schaffen, welche die rechtzeitige Bearbeitung der Anfragen im System ermöglicht.

Ein Verstoß gegen Art 12 III DSGVO durch die Beklagte liegt mithin vor…“

Auch ein Schadensersatzanspruch nach Art.82 DSGVO wurde bejaht. Dazu das Gericht unter anderem wie folgt:

„..Dem Kläger ist durch den Verstoß auch ein immaterieller Schaden entstanden durch einen temporären Kontrollverlust bezüglich seiner Daten.

Der Begriff des Schadens ist auf eine Art auszulegen, die den Zielen der DSGVO in vollem Umfang entspricht. Ein immaterieller Schaden entsteht daher nicht nur in den „auf der Hand liegenden Fällen“, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren (EG 75) (so auch ArbG Düsseldorf. 9 Ca 9557/19, beck- online).

Der Kläger hat durch die verspätete Auskunft einen Kontrollverlust hinsichtlich seiner Daten erlitten. Dieser ist als immaterieller Schaden zu qualifizieren (vgl. Ehmann in Ehmann/Selmayr. DS-GVO Art. 15 Rn. 1 mwN, Bäcker in Kühling/Buchner, DS-GVO Art. 5 Rn. 1).

Durch die verspätete Auskunft war der Kläger im Ungewissen und ihm die weitere  Prüfung  verwehrt,, ob und ggf. wie die Beklagte seine personenbezogenen Daten verarbeitet.

Die Schwere des immateriellen Schadens ist für die Begründung der Haftung nach Art. 82 Abs. 1 DSGVO irrelevant und wirkt sich nur noch bei der Höhe des Anspruchs aus (LG Karlsruhe v. 2.8.2019 — 8 O 26/19, ZD 2019, 511; Gola/Pitz in Gola, DS-GVO Art. 82 Rn. 13 mwN der restriktiveren Rspr. zu § 823 1 BGB iVm Art. 1 I, 2 1 GG).

An einem Kontrollverlust des Klägers fehlt es entgegen dem Vortrag der Beklagten auch nicht deswegen, weil die Beklagte nach ihrem Vortrag an einen „Code of Conduct“ bezüglich der Löschung von Daten gebunden ist. Dies kann dahinstehen und auch ob der Kläger eine etwaige Kenntnis von dem strittigen Umstand hat.

Eine Bindung der Beklagten an einen „Code of Conduct“ würde einen Verstoß gegen die DSGVO nicht per se unmöglich machen und daher nicht dazu führen, dass der Kläger bei verspäteter Antwort keinen Kontrollverlust hat. Andernfalls würde die Bindung an den Code of Conduct faktisch die Betroffenenrechte des Art 12 DSGVO einschränken.

Ein Schaden des Klägers liegt mithin vor…“