Verstoß: Verspätete Auskunft entgegen Art. 15 DSGVO (nach 19 Tagen statt unverzüglich)

Tenor:

1. Die Beklagte wird verurteilt, an den Kläger eine Geldentschädigung in Höhe 750,00 € nebst Verzugszinsen in Höhe von 5 Prozentpunkten über dem jeweiligen Basiszinssatz seit dem 30.06.2023 zu zahlen.
2. Die Klage wird im Übrigen abgewiesen.
3. Die Beklagte hat 38 % der Kosten des Rechtsstreits zu tragen. Der Kläger hat 62 % der Kosten des Rechtsstreits zu tragen.

Tatbestand:

Die Parteien streiten über die Zahlung einer Geldentschädigung.

Die Beklagte, ein Inkassodienstleister, suchte per Stellenanzeige einen Sachbearbeiter für das Forderungsmanagement für ihren Standort in Q..

Der Kläger bewarb sich auf die Stelle am 14.03.2017 und sandte der Beklagten seine Bewerbungsunterlagen zu.

Er begehrte sodann mit Schreiben vom 18.05.2023 von der Beklagten Auskunft nach der DSGVO darüber, ob und welche Daten zu seiner Person gespeichert seien und setzte der Beklagten eine Frist bis zum 02.06.2023. Das Schreiben ging der Beklagten am 18.05.2023 per Email zu.

Die Beklagte nahm keine Stellung bis zum 03.06.2023. Sodann erinnerte der Kläger die Beklagte mit Email vom 03.06.2023 an sein Anliegen.

Die Beklagte erteilte dem Kläger mit Schreiben vom 05.06.2023 eine Negativauskunft mit dem Inhalt, dass keine Daten des Klägers bei ihr gespeichert seien.

Per E-Mail vom 09.06.2023 bat der Kläger die Beklagte um Mitteilung, aus welchem Grund diese die Auskunft nicht zuvor erteilt habe.

Per E-Mail vom 13.06.2023 teilte die Beklagte dem Kläger mit, dass die Auskunft mit Blick auf Artikel 12 DSGVO fristgerecht erteilt worden sei.

Mit Email vom 13.06.2023 forderte der Kläger die Beklagte zur Zahlung einer Geldentschädigung in Höhe von 1.000 Euro wegen behaupteter Verletzung des Art 12 DSGVO auf.

Die Beklagte lehnte den Anspruch des Klägers mit Email vom 14.06.2023 ab.

Mit seiner Klage vom 18.06.2023 begehrt der Kläger nun die Zahlung einer Geldentschädigung wegen einer behaupteten Verletzung der DSGVO durch die Beklagte.

Er ist der Auffassung, die Beklagte habe das Gebot der Unverzüglichkeit aus Art 12 III DSGVO verletzt.

Bereits der Wortlaut der Norm spreche gegen eine Monatsfrist.  Diese stelle eine Maximalfrist dar.

Würde man die Frist von einem Monat nicht als Maximalfrist ansehen, würde der Grundsatz der Unverzüglichkeit leerlaufen und hätte keinen Anwendungsbereich mehr.

Auch der Generalanwalt beim Europäischen Gerichtshof habe den Grundsatz der Unverzüglichkeit in den Schlussanträgen vom 20.04.2023 C – 307/22 hervorgehoben.

Unverzüglich bedeute zwar nicht, dass der Verantwortliche quasi sofort handeln müsse. Nach einer Zeitspanne von mehr als einer Woche dürfte aber ohne das Vorliegen besondere Umstände ein unverzügliches Handeln nicht mehr anzunehmen sein.

Es sei der Beklagten ohne Weiteres möglich gewesen, ihm innerhalb einer Woche zu antworten und ihm im Rahmen eines Einzeilers mitzuteilen, dass keine Daten gespeichert würden.

Da zum Zeitpunkt der Anfrage keine Daten mehr von ihm verarbeitet worden wären, hätte der Bearbeitungsaufwand auf der niedrigstmöglichen Stufe gelegen. Es hätten keine personenbezogenen Daten zusammengetragen werden müssen und eine Informationen über das „Wie“ der Auskunft zusammengestellt werden müssen.

Die Beklagte sei auch nicht schützenswert, da er über das Gebot hinaus eine angemessene Frist von zwei Wochen gesetzt habe.

Ihm stehe daher nach Art 82 Absatz 1 DSGVO ein Anspruch auf eine immaterielle Geldentschädigung zu.

Ihm sei auch ein Schaden im Sinne eines immateriellen Nachteils entstanden. Der Begriff des Schadens sei europarechtskonform auszulegen. Der immaterielle Nachteil müsse nicht eine gewisse Erheblichkeit erreichen. Ein immaterieller Nachteil entstehe auch dann, wenn eine betroffene Person einen Kontrollverlust hinsichtlich eigener Daten erleide oder eine Einschränkung in ihren Rechten erfahre.

Die Beklagte habe seine Rechte temporär eingeschränkt. Er habe auch einen temporären Kontrollverlust erlitten.  Denn das Auskunftsrecht diene auch dazu, die eigenen Daten kontrollieren zu können und solle ein Wissensfundament zur Ausübung der weiteren Rechte an die Hand geben. Ohne zu wissen, ob und ggfls. welche der eigenen Daten verarbeitet würden, könne die betroffene Person denklogisch auch nicht prüfen, ob eine Datenverarbeitung rechtskonform erfolge und somit ebenso wenig Berichtigungs-, Löschungs- oder Einschränkungsansprüche geltend machen.

Er habe auch ein emotionales Ungemach erfahren. Er sei im Bereich des Datenschutzes sehr sensibel, nachdem er vor einigen Jahren Opfer eines Hacker- Angriffs geworden sei.

Bei der Höhe der Geldentschädigung sei nach dem Grundsatz des „effet utile“ darauf zu achten, dass der Anspruch eine abschreckende Wirkung entfalte.

Die Beklagte habe in den Geschäftsjahren 2020 bis 2022 stabile Umsätze im Bereich von zwei bis fünf Millionen Euro erzielt.

Der Einwand des Rechtsmissbrauchs sei nach Art 12 IV DSGVO binnen Monatsfrist zu erheben und sei daher verfristet. Er sei erstmals im Schriftsatz vom 17.07.2023 geltend gemacht worden.

Der Kläger beantragt,

die Beklagte zu verurteilen, an ihn eine Geldentschädigung, deren Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag von 2.000,00 Euro aber nicht unterschreiten sollte, nebst Verzugszinsen in Höhe von fünf Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.

Die Beklagte beantragt,

die Klage abzuweisen.

Die Auskunft sei fristgerecht innerhalb der Monatsfrist des Art 12 III DSGVO erteilt worden.

Dem Verantwortlichen sei ein gewisser Zeitraum zuzubilligen, innerhalb dessen er den Sachverhalt prüfe und dann die verlangte Auskunft erteilen könne.

Die Beklagte sei als Wirtschaftsauskunftei täglich mit zahlreichen Auskunftsverlangen konfrontiert. Die Vielzahl der Auskunftsverlangen infolge der Geschäftstätigkeit im Auskunftswesen erfordere einen erheblichen Aufwand, der dazu führe, dass sie für die Auskunftserteilung eine angemessene Zeit benötige.

Angesichts der Vielzahl der von der Beklagten zu bearbeitenden Auskunftsverlangen und des Umstandes, dass sie gerade einmal die Hälfte der ihr nach Art. 12 Abs. 3 DSGVO grundsätzlich „zustehenden“ Monatsfrist in Anspruch genommen habe, sei die Auskunftserteilung damit in einem angemessenen Zeitraum erfolgt.

Die Fristsetzung des Klägers sei in diesem Kontext unerheblich.

Dem europäischen Gesetzgeber sei klar gewesen, dass der Zeitraum je nach Sachverhalt unterschiedlich viel Zeit in Anspruch nehmen könne und habe zwecks Klarstellung eine Mindestfrist von einem Monat vorgesehen. Selbst diese Frist sei nicht statisch und könne nach Art 12 III S. 2 DSGVO um zwei weitere Monate verlängert werden. Der Verantwortliche solle demgemäß ausreichend Zeit haben, das Verlangen des Betroffenen intensiv zu prüfen, bevor die geforderte Auskunft erteilt werde.

Anlass des Auskunftsbegehrens sei eine mehr als sechs Jahre zurückliegende Bewerbung gewesen. Das Auskunftsbegehren sei damit erkennbar nicht besonders eilbedürftig gewesen. Anders hätte es ausgesehen, wenn der Kläger Hinweise darauf gehabt hätte, dass die Beklagte zu Unrecht oder ggf. falsche Daten über ihn gespeichert habe und er darauf hingewiesen hätte. Es habe sich um eine standardmäßige Auskunftsanfrage des Klägers ohne Anlass gehandelt. Daher sei ihr auch ein üblicher Prüfungs- und Bearbeitungsspielraum einzuräumen.

Zwischen der Anfrage und der Erteilung der Auskunft hätten aufgrund von Feier- und Brückentagen nur neun Arbeitstage bei der Beklagten gelegen.

Gerade in den Fällen, in denen bei einer ersten Recherche festgestellt werde, dass anscheinend keine Daten vorhanden seien, würde die Beklagte zudem umso intensiver ihre Datenbanken „durchforsten“ und daraufhin überprüfen, ob doch irgendwo möglicherweise versehentlich den Auskunftsersuchenden betreffende Daten gespeichert seien, um zu 100 % sicherzustellen, dass keine falsche Auskunft erteilt werde.

Da es sich um eine Bewerbung handele, sei auch die Personalabteilung in die Auskunftserteilung mit einzubeziehen gewesen.

Der Kläger habe zudem keinen entstandenen Schaden dargelegt.

Für die Beklagte gelte ein „Code of Conduct“ im Sinne des Art 40 DSGVO, der von der Aufsichtsbehörde NRW genehmigt worden sei, welcher eine Löschung personenbezogener Daten nach drei Jahren vorsehe. Der Datenschutz spiele bei der Beklagten eine besondere Rolle. Dies hätte dem Kläger bekannt sein müssen. Bereits daher fehle es an einem „Kontrollverlust“.

Die Klage des Klägers erfolge zudem rechtsmissbräuchlich.

Die Beklagte hatte zunächst die Rechtswegzuständigkeit gerügt. Das Arbeitsgericht Q. beschloss am 18.08.2023 vorab, dass der Rechtsweg zu den Arbeitsgerichten gegeben ist. Ein Rechtsmittel wurde nicht eingelegt.

Bezüglich weiterer Einzelheiten des Sach- und Streitstandes wird auf die gewechselten Schriftsätze sowie den übrigen Akteninhalt verwiesen.

Entscheidungsgründe:

Die zulässige Klage ist teilweise begründet.

Der Kläger hat gegen die Beklagte Anspruch auf Zahlung einer Geldentschädigung in Höhe von 750,00 Euro aus Art 82 I DSGVO. Ein darüberhinausgehender Anspruch besteht nicht.

Nach Art 82 I DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein (..) immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen.

Die Beklagte hat im Rahmen der Auskunftserteilung gegen die DSGVO verstoßen. Hierdurch ist dem Kläger auch ein Schaden entstanden.

I.

Die Beklagte hat gegen Art 12 III DSGVO verstoßen, indem Sie das Auskunftsersuchen des Klägers vom 18.05.2023 erst mit Schreiben vom 05.06.2023 beantwortete.

Nach Art 12 III DSGVO stellt der Verantwortliche der betroffenen Person Informationen (…) unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung.

Diese Voraussetzung hat die Beklagte durch die Antwort am 05.06.2023 nicht erfüllt.

Der Kläger begehrte mit Schreiben vom 18.05.2023 von der Beklagten Auskunft nach der DSGVO darüber, ob und welche Daten zu seiner Person gespeichert seien und setzte der Beklagten eine Frist bis zum 02.06.2023. Das Schreiben ging der Beklagten am 18.05.2023 per Email zu.

Die Beklagte nahm keine Stellung bis zum 03.06.2023. Sodann erinnerte der Kläger die Beklagte mit Email vom 03.06.2023 an sein Anliegen.

Die Beklagte erteilte dem Kläger mit Schreiben vom 05.06.2023 eine Negativauskunft mit dem Inhalt, dass keine Daten des Klägers bei ihr gespeichert seien.

Damit hat die Beklagte nicht „unverzüglich“ auf die Anfrage des Klägers reagiert.

Die Vorgabe in Art 12 III DSGVO bedeutet, dass der Verantwortliche alle Anträge der betroffenen Person, mit denen diese ein Betroffenenrecht geltend macht, beschleunigt behandeln muss. Art. 12 III errichtet für die Positivantwort und die Negativantwort gleichermaßen eine Pflicht zur unverzüglichen Unterrichtung. Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat. Als Höchstfrist legen beide Normen einen Monat ab Antragseingang fest. Diese Höchstfrist darf nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden (Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 12 Rn. 33). Dabei ist unter unverzüglich, angelehnt an § 121 BGB, „ohne schuldhaftes Zögern" zu verstehen (Franck in Gola/Heckmann. DS-GVO 3. Aufl, Art. 12 Rn. 25). Da „unverzüglich" weder „sofort" bedeutet noch damit eine starre Zeitvorgabe verbunden ist, kommt es auf eine verständige Abwägung der beiderseitigen Interessen an. Nach einer Zeitspanne von mehr als einer Woche ist aber ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben (BAG, Urteil v. 27.2.2020 — 2 AZR 390/19, beck- online).

Die Beklagte hat die Auskunft nach Ablauf von 19 Kalendertagen erteilt. Besondere Umstände, welche diese Bearbeitungsfrist hinreichend rechtfertigen, sind nach Auffassung der Kammer nicht gegeben. Dies gilt auch, wenn man berücksichtigt, dass nach dem Vortrag der Beklagten unter Berücksichtigung von Wochenenden, Feiertagen und Brückentagen ggf. nur neun Arbeitstage zwischen der Anfrage und der Bearbeitung lagen.

Besondere Umstände, welche einen besonderen Bearbeitungsaufwand oder eine verlängerte Bearbeitungsspanne zu rechtfertigen vermögen, liegen nämlich nicht vor.

Dem Auskunftsverlangen wohnt keine besondere Komplexität inne. Es handelt sich um eine zurückliegende Bewerbung und damit vom Umfang her um einen überschaubaren Vorgang. Bedenkt man, dass letztlich keine Daten gespeichert waren, entfällt mithin auch das ggf. aufwendige Sichten und Sortieren der Daten und deren Zusammenstellung.

Es sind keine Anhaltspunkte ersichtlich, vor welchem Hintergrund für den bloßen Suchvorgang an sich mehr als eine Woche benötigt wurde. Der konkrete Ablauf des Bearbeitungsvorgangs (und evtl. Hindernisse) wurden nicht dargelegt. Im Termin zur mündlichen Verhandlung konnte nach Frage der Kammer nicht im Einzelnen dargelegt werden, wie und durch welche Schritte der „Suchvorgang“ nach Eingang einer Betroffenenanfrage bei der Beklagten durchgeführt wird und wie der normale Ablauf ist.

Vor diesem Hintergrund ist auch die Ausführung, es hätte nach der ersten „Negativauskunft“ im System noch eingehender gesucht werden müssen, nicht überzeugend nachvollziehbar. Der hierdurch behauptete Zeitverlust kann nicht nachvollzogen werden.

Auch ist die Sachlage nicht deswegen anders zu bewerten, weil es sich bei der Beklagten nach eigenen Angaben um eine Wirtschaftsauskunftei handelt und diese im Rahmen ihrer Geschäftstätigkeit mit zahlreichen Auskunftsersuchen zu tun hat. Nach Auffassung der Kammer ist hier nach dienstlichen Auskunftsersuchen im Rahmen der Geschäftstätigkeit und Auskunftsersuchen von Privatpersonen im Rahmen der DSGVO zu differenzieren. Die Frage der Kammer in der mündlichen Verhandlung, ob hier eine organisatorische Trennung der Bearbeitungsvorgänge stattfindet, konnte für den Standort Q. nicht im Einzelnen beantwortet werden.

Nach Auffassung der Kammer kann auch die Tatsache dahinstehen, dass es sich um eine sechs Jahre alte Bewerbung handelte. Die Frage einer objektiven Dringlichkeit ist nicht Voraussetzung des Betroffenenrechts nach Art 12 DSGVO. Eine entsprechende subjektive Bewertung durch die Beklagte vermag an der Frist des Art 12 III DSGVO nichts zu ändern. Zudem hat die Beklagte auch nicht dargelegt, in welchem Verhältnis sie die Anfrage ihrer Bewertung nach zu ggf. anderen vorliegenden Anfragen, welche nicht allesamt in der vorliegenden Bearbeitungszeit abgearbeitet werden könnten, gestanden hat.

Auch der Einwand der Beklagten, von dem einzelnen Mitarbeiter als Sachbearbeiter könne man nicht verlangen, dass er Kenntnis davon hat, dass es nicht ausreiche, einen entsprechenden Antrag innerhalb von zwei Wochen zu bearbeiten, vermag nicht zu überzeugen. Es ist vielmehr Sache der Beklagten als Arbeitgeber eine Organisationsstruktur zu schaffen, welche die rechtzeitige Bearbeitung der Anfragen im System ermöglicht.

Ein Verstoß gegen Art 12 III DSGVO durch die Beklagte liegt mithin vor.

II.

Dem Kläger ist durch den Verstoß auch ein immaterieller Schaden entstanden durch einen temporären Kontrollverlust bezüglich seiner Daten.

Der Begriff des Schadens ist auf eine Art auszulegen, die den Zielen der DSGVO in vollem Umfang entspricht. Ein immaterieller Schaden entsteht daher nicht nur in den „auf der Hand liegenden Fällen", wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren (EG 75) (so auch ArbG Düsseldorf. 9 Ca 9557/19, beck- online).

Der Kläger hat durch die verspätete Auskunft einen Kontrollverlust hinsichtlich seiner Daten erlitten. Dieser ist als immaterieller Schaden zu qualifizieren (vgl. Ehmann in Ehmann/Selmayr. DS-GVO Art. 15 Rn. 1 mwN, Bäcker in Kühling/Buchner, DS-GVO Art. 5 Rn. 1).

Durch die verspätete Auskunft war der Kläger im Ungewissen und ihm die weitere Prüfung verwehrt, ob und ggf. wie die Beklagte seine personenbezogenen Daten verarbeitet.

Die Schwere des immateriellen Schadens ist für die Begründung der Haftung nach Art. 82 Abs. 1 DSGVO irrelevant und wirkt sich nur noch bei der Höhe des Anspruchs aus (LG Karlsruhe v. 2.8.2019 — 8 O 26/19, ZD 2019, 511; Gola/Pitz in Gola, DS-GVO Art. 82 Rn. 13 mwN der restriktiveren Rspr. zu § 823 1 BGB iVm Art. 1 I, 2 1 GG).

An einem Kontrollverlust des Klägers fehlt es entgegen dem Vortrag der Beklagten auch nicht deswegen, weil die Beklagte nach ihrem Vortrag an einen „Code of Conduct“ bezüglich der Löschung von Daten gebunden ist. Dies kann dahinstehen und auch ob der Kläger eine etwaige Kenntnis von dem strittigen Umstand hat.

Eine Bindung der Beklagten an einen „Code of Conduct“ würde einen Verstoß gegen die DSGVO nicht per se unmöglich machen und daher nicht dazu führen, dass der Kläger bei verspäteter Antwort keinen Kontrollverlust hat. Andernfalls würde die Bindung an den Code of Conduct faktisch die Betroffenenrechte des Art 12 DSGVO einschränken.

Ein Schaden des Klägers liegt mithin vor.

III.

Zum Ersatz dieses immateriellen Schadens hält die Kammer einen Betrag in Höhe von 750,00 Euro für angemessen. Dem Kläger ist nicht in der Auffassung zu folgen, dass ein Betrag in Höhe von 2.000 Euro den Schadenangemessen abbildet.

Die betroffene Person soll einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Verstöße müssen effektiv sanktioniert werden. damit die DSGVO wirken kann, was vor allem durch Schadensersatz in abschreckender Höhe erreicht wird (Wybitul/Haß/Albrecht, NJW 2018, 113 [115], Bergt in Kühling/Buchner, DS-GVO Art. 82 Rn. 18, Frenzel in Paal/Pauly, DS-GVO Art. 82 Rn. 10 mwN). Gerichte können sich bei der Bemessung des immateriellen Schadensersatzes auch an Art. 83 II DS-GVO orientieren, so dass als Zumessungskriterien ua Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden können (BeckOK Datenschutzrecht/Quaas, 31. Ed., Art. 31, Wybitul/Haß/Albrecht, NJW 2018. 113 [ 1151).

Nach diesen Grundsätzen hält die Kammer einen Schadenersatz in Höhe von 750,00 Euro für angemessen. Auf der einen Seite ist die Finanzkraft der Beklagten zu berücksichtigen. Auf der anderen Seite ist zu berücksichtigen, dass die Beklagte den gebotenen Zeitraum des Art 12 III DSGVO nicht in erheblichem Maße überschritten hat und die Auskunft auf die erste Erinnerung des Klägers direkt erteilt hat. Es handelt sich soweit ersichtlich um einen erstmaligen Verstoß. Zudem geht die Kammer davon aus, dass für die Beklagte bereits die Verurteilung wegen eines festgestellten Datenschutzverstoßes an sich eine abschreckende Wirkung hat, da sie geschäftlich mit der Erteilung von Auskünften und Personendaten zu tun hat. Die Festsetzung eines Schadenersatzes in Höhe von 750,00 Euro wird daher trotz der finanziellen Situation der Beklagten als hinreichend abschreckend und angemessen angesehen.

IV.

Die Klage des Klägers ist entgegen der Auffassung der Beklagten auch nicht rechtsmissbräuchlich. Anhaltpunkte hierfür liegen nicht vor.

V.

Der Streitwert wurde nach § 61 I ArbGG festgesetzt. Die Entscheidung zur Kostentragung beruht auf § 92 I S. 1 2. HS ZPO.