Verstoß: Unvollständige Auskunft über Bewerberdaten

Tenor

1. Die Beklagte wird verurteilt 250,- Euro nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit dem 27.08.2023 an den Kläger zu zahlen.
2. Im Übrigen wird die Klage abgewiesen.
3. Die Kosten des Rechtsstreits tragen der Kläger zu 95% und die Beklagte zu 5%.
4. Der Streitwert wird auf 2.000 Euro festgesetzt.
5. Die Berufung wird für die Beklagte gesondert zugelassen.

Tatbestand

Der Kläger macht gegen die Beklagte Zahlung einer Entschädigung wegen einer Verletzung seines datenschutzrechtlichen Auskunftsanspruchs geltend.

Die Beklagte ist ein Versicherungsunternehmen. Sie verfügt über ein Eigenkapital von etwa [...] und erwirtschaftete im Jahr 2022 einen Überschuss von [...]. 

Im Juni schrieb sie eine Stelle für einen [...] aus. Der Kläger, der über mehrjährige Berufserfahrung im Bereich des [...] verfügt, bewarb sich am 27.06.2023 auf diese Stelle. Bei der Bewerbung übermittelte er seinen Lebenslauf und nahm die Datenschutzhinweise der Beklagte zur Kenntnis. Am 07.07.2023 erhielt er eine Absage, der keine Begründung beigefügt war. Am selben Tag wandte er sich per E-Mail an die Beklagte und bat darum, eine umfassende Auskunft und eine vollständige Datenkopie auf der Grundlage von Art. 15 DSGVO zu erteilen, da ihn interessiere, aus welchem Grund die Absage erfolgt sei und wie die Beklagte mit seinen Daten umgehe. Mit Schreiben vom 20.07.2023 (Anlage K2, Bl. 1 d.A.) teilte die Beklagte mit, welche Kategorien personenbezogener Daten des Klägers sie gespeichert hat und dass die Datenverarbeitung der Durchführung und Abwicklung des Bewerbungsverfahrens diene. Sie gab außerdem an, dass die Bewerbungsunterlagen von ihrem HR Businesspartner ausgewertet, gemäß den Auswahlkriterien des Anforderungsprofils verifiziert und anschließend in Zusammenarbeit mit der Führungskraft des betreffenden Fachbereichs eine Vorauswahl getroffen und nicht passende Bewerbungen aussortiert würden. 

Neben Hinweisen dazu, welche Personen und Stellen bei der Beklagten Kenntnis von den Daten erhalten, inwiefern diese an Dritte weitergegeben werden und dass der Kläger das Recht habe, die Berichtigung und Löschung zu verlangen, gab sie außerdem an, die personenbezogenen Daten des Klägers spätestens sechs Monate nach Abschluss des Bewerbungsverfahrens ihrerseits zu löschen. Dem Schreiben beigefügt waren Kopien des Stammdatenblatts der Bewerberakte und der Dokumente, die sich in der Bewerberakte befanden und der Beklagten durch den Kläger im Rahmen seiner Bewerbung übermittelt wurden. 

Mit E-Mail vom 28.07.2023 (Anlage K3, Bl. 31 d.A.) vertrat der Kläger die Auffassung, die Datenkopie sei unvollständig, es fehle eine Kopie des internen Vermerks über die getroffene Vorauswahl zu seiner Bewerbung. Zudem sei aus der Auskunft nicht ersichtlich, wann genau die Löschung seiner Daten erfolgen werde. 

Hierauf teilte die Beklagte mit Schreiben vom 11.08.2023 (Anlage K 4, B.l 32 d.A.) mit, sie lösche die Daten 6 Monate nach Eingang der Bewerbung, bezogen auf den Kläger also am 27.12.2023. Ferner übermittelte sie den Ausdruck eines Screenshots des internen Bearbeitungsvermerks, in dem unter der Überschrift „Bewerberprotokoll von [...]" der Verlauf der Bearbeitung der Bewerbung des Klägers sowie die internen Vermerke der HR Businesspartnerin und des Fachvorgesetzten hierzu dokumentiert sind. 

Der Kläger macht vielfach und regelmäßig Auskunftsansprüche nach der DSGVO bei Banken, Versicherungen und anderen Unternehmen geltend. Beim Arbeitsgericht Hannover sind derzeit zwei weitere Verfahren wegen datenschutzrechtlicher Entschädigungsansprüche des Klägers anhängig. Der Kläger ist angesichts des mit der Durchsetzung seiner Rechte gegenüber der Beklagten verbundenen Aufwands massiv genervt. 

Der Kläger meint, die Beklagte habe die Auskunft nicht rechtzeitig und vollständig innerhalb der Monatsfrist nach Art. 12 Abs. 3 DSGVO erteilt. Den eingetretenen Schaden sieht er neben dem emotionalen Ungemach in dem erlittenen Kontrollverlust. Er ist ferner der Ansicht, bei der Bemessung eines Schadensersatzes für immaterielle Schäden müsse im Sinne einer wirksamen Abschreckung auch die Finanzkraft der Beklagten berücksichtigt werden. Zu dem von der Beklagten erhobenen Einwand des Rechtsmissbrauchs behauptet er, er verfolge keine monetären Interessen, ihm gehe es vielmehr um Transparenz und darüber, den Überblick über die eigenen Daten zu behalten. 

Ursprünglich hat der Kläger mit der am 26.08.2023 zugestellten Klage eine Geldentschädigung von nicht unter 5.000 Euro für angemessen gehalten. 

Nunmehr beantragt er, 

die Beklagte zu verurteilen, an den Kläger eine Geldentschädigung, deren Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag in Höhe von 2.000,00 Euro aber nicht unterschreiten sollte, nebst Verzugszinsen in Höhe von fünf Prozentpunkten über dem Basiszinssatz seit Rechtshängigkeit zu zahlen. 

Die Beklagte beantragt, 

die Klage abzuweisen. 

Sie ist der Ansicht, sie habe bereits mit dem ursprünglichen Schreiben vom 20.07.2023 das Auskunftsersuchen erschöpfend beantwortet. Der Screenshot sei kein personenbezogenes Datum. Allein der von dem Kläger behauptete Kontrollverlust begründe noch keinen immateriellen Schaden. Bloßer Ärger oder das Warten auf die Auskunft genügten hierfür ebenfalls nicht. Zudem meint die Beklagte, der Kläger handele rechtsmissbräuchlich. Er habe den Auskunftsanspruch nur geltend gemacht, um den Grund der Ablehnung seiner Bewerbung zu erfahren. Zudem nutze er das drohende Kostenrisiko bewusst aus, um einen Vergleich zu erzielen. 

Wegen der weiteren Einzelheiten des Parteivorbringens wird ergänzend auf die gewechselten Schriftsätze nebst Anlagen Bezug genommen. 

Entscheidungsgründe

Die Klage ist teilweise begründet. Dem Kläger steht eine Geldentschädigung für erlittene immaterielle Schäden aufgrund verspäteter Auskunfterteilung zu. Zur Kompensation des erlittenen Schadens ist allerdings der ausgeurteilte, deutlich unterhalb der von dem Kläger angegebenen Größenordnung liegende Betrag angemessen und ausreichend.

I.

Dem Grunde nach besteht der Anspruch des Klägers. Er folgt aus Art. 82 Abs. 1 DSGVO. Danach hat jede Person, der wegen eines Verstoßes gegen die Datenschutzgrundverordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Diese Voraussetzungen liegen vor.  

1.

Der Kläger ist anspruchsberechtigte Person. Die Beklagte hat seine personenbezogenen Daten verarbeitet. Bei den — von dem Kläger im Rahmen des Bewerbungsverfahrens mitgeteilten — Bewerbungsunterlagen handelt es sich um personenbezogene Daten des Klägers iSv. Art. 4 Nr. 1 DSGVO, denn die Informationen zu seinen persönlichen Daten wie Name, Kontaktdaten und beruflicher Werdegang beziehen sich auf ihn als identifizierte Person. Die Beklagte hat diese Daten verarbeitet iSv. Art. 4 Nr, 2 DSGVO, denn sie hat sie erfasst und gespeichert. Damit haftet sie grundsätzlich als für die Verarbeitung dieser Daten verantwortliche Stelle, welche über die Zwecke und Mittel der Datenverarbeitung im Bewerbungsverfahren entscheidet (Art. 4 N. 4 DSGVO).

2.

Die Beklagte hat iSv. Art. 82 Abs. 1 DSGVO gegen die Datenschutzgrundverordnung verstoßen.

a)

Als Verstoß in diesem Sinne kommt nach Auffassung der Kammer und anders als die Beklagte meint jeder Verstoß gegen die DSGVO in Betracht und nicht lediglich solche Verstöße bei der Verarbeitung selbst (so auch LAG Niedersachsen 22.10.2021 — 16 Sa 761/20 — Rn. 159; EuAr- bRK/Franzen 4. Aufl. Art. 82 EU (VO) 2016/679 Rn. 10 mwN). Daher kann auch ein Verstoß gegen die Auskunftspflicht und die Pflicht zur Erteilung einer Datenkopie gemäß Art. 15 DSGVO einen zum Schadensersatz verpflichtenden Verstoß darstellen. Im Übrigen stellt die Auskunfterteilung eine Offenlegung durch Übermittlung dar und ist damit ihrerseits eine Datenverarbeitung iSv. Art. 4 Nr. 2 DSGVO.

b)

Die Beklagte hat gegen Art. 15 Abs. 1 d), Abs. 3 iVm. Art. 12 Abs. 1 und Abs. 3 DSGVO verstoßen.

aa)

Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Auskunft über die verarbeiteten personenbezogenen Daten und die im 2. Halbsatz des Abs. 1 näher bezeichneten Informationen. Dies beinhaltet falls möglich eine Information über die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer (Art. 15 Abs. 1 d) DSGVO).

Nach Art. 15 Abs. 3 DSGVO hat der Verantwortliche außerdem eine Kopie der personenbezogenen Daten, welche Gegenstand der Verarbeitung sind, zur Verfügung zu stellen.

Gemäß Art. 12 Abs. 1 DSGVO sind die Mitteilungen nach Art. 15 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Nach Art. 12 Abs. 3 DSGVO hat der Verantwortliche außerdem die gemäß Art. 15 DSGVO zu erteilende Auskunft unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zu erteilen.

bb)

Diesen Vorgaben genügt die von der Beklagten erteilte Auskunft nicht.

Die Beklagte hat die von ihr geschuldete Angabe zur geplanten Speicherdauer weder unverzüglich noch innerhalb der Monatsfrist, die ihr längstens für die Auskunft eingeräumt ist, erteilt. Denn die geplante Speicherdauer (bis zum 27.12.2023) hat sie dem Kläger erst am 11.08.2023 mehr als einen Monat nach dessen Auskunftersuchen mitgeteilt. Diese Auskunft war nicht mehr unverzüglich. Die Kammer geht davon aus, dass die Beklagte diese Angabe problemlos bereits mit ihrem ersten Schreiben hätte machen können, so dass eine Auskunfterteilung nach dem 20.07.2023 nicht mehr unverzüglich war.

Die mit Schreiben vom 20.07.2023 erteilte Auskunft zur Speicherdauer hatte den Anspruch des Klägers hinsichtlich der geplanten Speicherdauer auch nicht bereits erschöpfend erfüllt. Zum einen hat die Beklagte mit diesem Schreiben den Kläger lediglich über die Kriterien für die Festlegung der Speicherdauer informiert, jedoch nicht über die konkret geplante Speicherdauer. Die Angabe der Speicherdauer „sechs Monate nach Abschluss des Bewerbungsverfahrens" gibt keine konkrete Dauer an, sondern nur ein Kriterium für die Festlegung der Dauer. Der Beginn der angegebenen Sechsmonatsfrist hängt nach den Angaben der Beklagten von dem Kriterium „Abschluss des Bewerbungsverfahrens" ab. Ein konkreter Zeitraum ist damit nicht in Bezug genommen, da sich aus dem Schreiben keine Anhaltspunkte dafür ergeben, wann das Bewerbungsverfahren aus Sicht der Beklagten abgeschlossen sein wird, so dass die Daten des Klägers gelöscht werden. Da die Beklagte auf weitere Nachfrage des Klägers mit Schreiben vom 11.08.2023 ein konkretes Löschdatum mitgeteilt hat, geht die Kammer davon aus, dass ihr diese Mitteilung bereits ohne Weiteres in der ersten Auskunft vom 20.07.2023 möglich gewesen wäre, so dass die bloße Angabe von Kriterien für die Berechnung der Speicherdauer nicht ausreichend war.

Es blieb zudem in der ersten Auskunft unklar, ob die angegebene sechsmonatige Frist sich auf das Bewerbungsverfahren des Klägers bezieht und deshalb die sechsmonatige Frist ab dem Tag von dessen Ablehnung anläuft oder ob der Abschluss des Bewerbungsverfahrens bei der Beklagten mit der tatsächlichen Besetzung der Stelle gemeint ist. Damit hat die Beklagte auch ihrer Pflicht zur präzisen und transparenten Auskunfterteilung verletzt.

cc)

Die Beklagte hat außerdem die von dem Kläger verlangten Datenkopien nicht unverzüglich vollständig übermittelt. Auch hier geht die Kammer davon aus, dass die Beklagte problemlos bereits mit der ersten, unverzüglichen Auskunft vom 20.07.2023 auch eine Kopie des internen Bearbeitungsvermerks bzw. einen Ausdruck des Screenshots hiervon hätte übermitteln können. Dies hat sie erst am 11.08.2023 getan und damit weder unverzüglich noch innerhalb der Monatsfrist nach Art. 12 Abs. 3 DSGVO.

Bei dem Screenshot handelt es sich um personenbezogene Daten des Klägers iSv Art. 4 Nr. 1 DSGVO. Denn die dort gespeicherten internen Bearbeitungsvermerke sind Informationen, die sich auf den Kläger als identifizierbare Person beziehen. Die unter seinem Namen gespeicherten Bearbeitungsvermerke enthalten die Information, dass in Bezug auf den namentlich genannten Kläger eine bestimmte Äußerung der in den Bewerbungsprozess eingebundenen Mitarbeiter der Beklagten getätigt worden ist.

3.

Der Kläger hat hierdurch einen immateriellen Schaden erlitten, denn er war nach seinem von der Beklagten nicht konkret bestrittenen und deshalb von der Kammer gemäß § 138 Abs. 3 ZPO zugrunde zulegendem Vortrag durch die nur unzureichend erteilte Auskunft massiv genervt. Dieser negative emotionale Zustand stellt nach Auffassung der Kammer einen (immateriellen) Schaden dar. Für den Schadensersatz kommt es nur darauf, ob ein von dem ihm zugrundeliegenden Verstoß zu unterscheidender, kausaler Schaden tatsächlich eingetreten ist, nicht auf dessen Erheblichkeit (vgl. EuGH 14.12.2023 — C-456/222 —). Daher kann sich die Kammer nicht der Einschätzung der Beklagten anschließen, die bloße Verärgerung reiche nicht aus. Denn Ärger ist ein — wenngleich auch geringer - erlittener Nachteil. Wollte man bestimmte negative Emotionen ohne weitergehende Folgen von vornherein nicht als immaterielle Schäden gelten lassen, würde dies einer grundsätzlich nicht angezeigten Erheblichkeitsprüfung gleich- kommen.

Einen Schaden durch Kontrollverlust hat der Kläger demgegenüber nicht erlitten. Denn der Schaden muss sich von der bloßen Verletzung der Bestimmungen der DSGVO unterscheiden (vgl. EuGH 14.12.2023 — C-456/222 —). Bei einer nur verspäteten aber letztlich vollständigen Auskunft tritt jedoch über den Verstoß gegen die zeitlichen Vorgaben der DSGVO für die Auskunfterteilung kein weitergehender Nachteil ein.

4.

Den Einwand es Rechtsmissbrauchs erachtet die Kammer nicht für durchgreifend. Allein aus dem Umstand, dass der Kläger in mehreren Fällen seine gesetzlichen Rechte nach der DSGVO wahrnimmt und dass es ihm dabei im Falle der Beklagten auch um Kenntnis der Ablehnungsgründe ging, folgt noch kein rechtsmissbräuchliches Verhalten. Dass der Kläger den Kostendruck ausnutzt, um einen Vergleich zu erzielen, lässt sich angesichts seiner Ablehnung des gerichtlichen Vergleichsvorschlags nicht erkennen.

II.

Der Anspruch besteht jedoch nicht in Höhe des zuletzt von dem Kläger angegebenen Mindestbetrags von 2.000 Euro, sondern lediglich in Höhe von 250,- Euro. Bei der Bemessung dieses Betrags waren für die Kammer folgende Erwägungen maßgeblich:

Anders als der Kläger meint, fällt der Beklagten hier kein schwerwiegender Verstoß zur Last. Sie hat den Anspruch des Klägers auf Erteilung einer Auskunft und Datenkopie im Ergebnis erschöpfend und vollständig erfüllt. Etwas Anderes behauptet auch der Kläger nicht. Sie hat die Auskunft lediglich teilweise nicht unverzüglich bzw. innerhalb der Monatsfrist erteilt. Die Verspätung betraf zudem nur die konkret berechnete Löschfrist, die Beklagte hatte jedoch bereits mit der ersten, rechtzeitigen Auskunft erste Angaben hierzu, wenngleich auch nicht hinreichend transparent, gemacht.

Ferner waren die dem Kläger übermittelten Datenkopien unvollständig. Beide noch fehlenden Informationen hat die Beklagte zwar nicht unverzüglich übermittelt. Jedoch hat sie andererseits die Auskunft auch nicht für einen erheblichen Zeitraum verzögert, sondern die Verspätung beschränkt sich bezogen auf den Zeitpunkt der ursprünglich erteilten, unvollständigen Auskunft auf einen verhältnismäßig kurzen Zeitraum von etwa drei Wochen.

Damit einher geht, dass auch der von dem Kläger subjektiv empfundene Kontrollverlust nur über diesen Zeitraum von drei Wochen eingetreten ist. Das emotionale Ungemach, welches durch die verspätete Auskunfterteilung bei dem Kläger in Form eines massiven Genervtseins als einem negativen Gefühlszustand eingetreten ist, kann deshalb auch lediglich für diese Dauer bei der Bemessung des Entschädigungsanspruchs wegen der verspätet erteilten Auskunft berücksichtigt werden.

Soweit der Kläger darüber hinaus aufgrund des mit dem vorliegenden Verfahren verbundenen Zeitaufwands genervt gewesen sein mag, werden derartige mit der Rechtsverfolgung ggfs. einhergehende Zustände den Rechtsschutzsuchenden von der Zivilprozessordnung und dem Arbeitsgerichtsgesetz entschädigungslos zugemutet. Nach dem Verständnis der Kammer gebietet auch die DSGVO keine andere Bewertung. Zwar kann auch das Verhalten bei der Schadensregulierung bei der Bemessung eines Schmerzensgeldes eine Rolle spielen. Jedoch vermag die Kammer in der von der Beklagten betriebenen Rechtsverteidigung mit vertretbaren und auch in der Literatur und Rechtsprechung vertretenen Argumenten keinen die Erhöhung des zugesprochenen Betrages rechtfertigenden Umstand zu erkennen. Die Wirtschaftskraft der Beklagten war bei der Bemessung des Entschädigungsbetrags nicht zu berücksichtigen. Sie hat keinen Bezug zu dem von dem Kläger erlittenen Schaden. Der in Art. 82 Abs. 1 DSGVO vorgesehene Schadensersatzanspruch hat lediglich eine Ausgleichsfunktion in Bezug auf den konkret aufgrund des Verstoßes erlittenen Schaden. Er erfüllt demgegenüber keine abschreckende oder Straffunktion (vgl. EuGH 21.12.2023 — 0667/21 — Rn. 86).

Der Höhe nach hat die Kammer sich hinsichtlich der der Beklagten allein zur Last zu legenden, teilweise verzögerten Auskunfterteilung an dem Urteil des Landesarbeitsgerichts Niedersachen vom 22.10.2021 (— 16 Sa 761/20— Rn. 200) orientiert. Angesichts des genervten Zustandes des Klägers, der nur für einen vergleichsweise kurzen Zeitraum durch die um etwa drei Wochen verspätete Auskunfterteilung verursacht worden sein kann, hält die Kammer bei Würdigung aller Gesamtumständen den Betrag von 250,- Euro für angemessen und ausreichend, um dieses emotionale Ungemach des Klägers auszugleichen.

III.

Der Zinsanspruch folgt aus §§ 291, 288 Abs. 1 Satz 2 BGB. Ab dem auf die Zustellung der Klageschrift am 26.08.2023 folgenden Tag hat die Beklagte die Forderung zu verzinsen.

IV.

Die Kostenentscheidung beruht auf § 92 Abs. 1 ZPO, wobei die Kosten unter Berücksichtigung des Gebührenstreitwerts von 5.000,- Euro zu quoteln waren. Die Streitwertfestsetzung hat ihren Rechtsgrund in § 61 Abs. 1 ArbGG.

Die Berufungszulassung für die Beklagte beruht auf § 64 Abs. 3 Nr. 1 ArbGG. Für den Kläger ist die Berufung bereits gesetzlich nach § 64 Abs. 2 b) ArbGG zulässig.