Bewerber fordert Auskunft und Schadensersatz wegen Verstoß gegen DSGVO
Das Arbeitsgericht Duisburg hat entschieden, dass ein Verstoß gegen Art. 12 III DSGVO vorliegt, da die Beklagte die Anfrage eines Bewerbers bezüglich der Speicherung seiner personenbezogenen Daten nicht unverzüglich beantwortete. Der Kläger erhält eine Geldentschädigung von 750 Euro für den ihm entstandenen immateriellen Schaden.
Weiter zum vorliegenden Urteil Az.: 5 Ca 877/23 >>>
✔ Das Wichtigste in Kürze
Zentrale Punkte des Urteils:
- Verurteilung der Beklagten: Das Gericht verurteilte die Beklagte zur Zahlung einer Geldentschädigung von 750 Euro plus Verzugszinsen an den Kläger.
- Verstoß gegen Art. 12 III DSGVO: Die Beklagte hat nicht unverzüglich auf die DSGVO-Auskunftsanfrage des Klägers reagiert.
- Immaterieller Schaden des Klägers: Durch die verspätete Antwort der Beklagten erlitt der Kläger einen immateriellen Schaden in Form eines temporären Kontrollverlusts über seine Daten.
- Unzulässigkeit einer Monatsfrist: Das Gericht stellte fest, dass eine Monatsfrist nicht als Standard gelten darf, sondern nur in komplexeren Fällen angewendet werden sollte.
- Kein ausreichender Grund für Verzögerung: Das Gericht sah keinen ausreichenden Grund für die Verzögerung der Beklagten, da keine besonderen Umstände vorlagen.
- Angemessenheit der Geldentschädigung: Das Gericht betrachtete 750 Euro als angemessene Entschädigung, die sowohl die finanzielle Situation der Beklagten als auch die Schwere des Verstoßes berücksichtigt.
- Kein Rechtsmissbrauch durch Kläger: Das Gericht verwarf den Einwand der Beklagten, dass die Klage rechtsmissbräuchlich sei.
- Kostenaufteilung: Der Kläger muss 62% und die Beklagte 38% der Kosten des Rechtsstreits tragen.
Übersicht:
Recht auf Information und Schadensersatz im Kontext der DSGVO
Die Datenschutz-Grundverordnung (DSGVO), ein zentrales Element des Datenschutzrechts in der Europäischen Union, regelt die Verarbeitung personenbezogener Daten durch Unternehmen und öffentliche Stellen. Ein besonders wichtiger Aspekt dabei ist das Recht betroffener Personen auf Auskunft über ihre gespeicherten Daten. Dieses Recht ermöglicht es Einzelpersonen, von Organisationen Informationen darüber zu verlangen, ob und welche persönlichen Daten über sie gespeichert sind. In Fällen, in denen Organisationen nicht den Anforderungen der DSGVO entsprechen, insbesondere wenn sie nicht rechtzeitig oder unzureichend auf Auskunftsersuchen reagieren, können Betroffene Ansprüche auf Schadensersatz geltend machen.
Ein weiterer wesentlicher Aspekt in diesem Zusammenhang ist die Rolle der Arbeitsgerichte bei der Klärung solcher Streitigkeiten. Sie sind häufig mit Fällen konfrontiert, in denen es um die Durchsetzung von Auskunftsansprüchen und die Bewertung von Schadensersatzforderungen geht. Die Entscheidungen dieser Gerichte tragen maßgeblich zur Auslegung und Anwendung der DSGVO im praktischen Kontext bei. Dabei wird nicht nur der Umgang mit persönlichen Daten von Bewerbern und Mitarbeitern beleuchtet, sondern auch die Verantwortlichkeit von Unternehmen und die Wirksamkeit der DSGVO-Vorschriften im Alltag überprüft.
Der Bewerberanspruch auf Auskunft nach DSGVO
Im Mittelpunkt des vorliegenden Falls steht ein Bewerber, der sich im März 2017 auf eine Stelle bei einem Inkassodienstleister beworben hatte. Im Mai 2023 forderte der Bewerber von der Beklagten, dem Inkassodienstleister, Auskunft darüber, ob und welche persönlichen Daten über ihn gespeichert seien. Dieses Auskunftsersuchen basierte auf Art. 15 der Datenschutz-Grundverordnung (DSGVO), die es Einzelpersonen ermöglicht, Informationen über die Verarbeitung ihrer personenbezogenen Daten zu erhalten. Die Beklagte antwortete jedoch erst nach Ablauf der vom Kläger gesetzten Frist, was den Kern der rechtlichen Auseinandersetzung bildete. Der Kläger behauptete, die Beklagte habe das Gebot der Unverzüglichkeit aus Art. 12 III DSGVO verletzt, da sie nicht sofort auf sein Auskunftsersuchen reagiert hatte.
Schadensersatzforderung wegen Verletzung der DSGVO
Nachdem der Kläger von der Beklagten nur eine Negativauskunft erhalten hatte, dass keine Daten über ihn gespeichert seien, forderte er Schadensersatz gemäß Art. 82 Absatz 1 DSGVO. Er argumentierte, die Beklagte habe seine Rechte temporär eingeschränkt und ihm einen Kontrollverlust über seine Daten zugefügt. Dies begründete er damit, dass ihm ohne die Kenntnis über die Verarbeitung seiner Daten die Möglichkeit verwehrt wurde, die Rechtskonformität der Datenverarbeitung zu überprüfen und gegebenenfalls weitere Rechte wie Berichtigung, Löschung oder Einschränkung geltend zu machen. Zudem verwies er auf seine besondere Sensibilität im Bereich Datenschutz aufgrund eines früheren Hacker-Angriffs.
Urteil des Arbeitsgerichts Duisburg
Das Arbeitsgericht Duisburg sprach dem Kläger eine Geldentschädigung in Höhe von 750,00 Euro zu. Das Gericht stellte fest, dass die Beklagte gegen Art. 12 III DSGVO verstoßen hatte, indem sie die Auskunft nicht unverzüglich erteilte. Das Gericht legte dar, dass „unverzüglich“ nicht „sofort“ bedeutet, aber eine verständige Abwägung der beiderseitigen Interessen erfordert. Da die Beklagte 19 Kalendertage bis zur Erteilung der Auskunft benötigte und keine besonderen Umstände vorlagen, die diesen Zeitraum rechtfertigten, lag ein Verstoß vor. Das Gericht berücksichtigte auch, dass die Beklagte als Wirtschaftsauskunftei mit vielen Auskunftsersuchen konfrontiert ist, aber keine ausreichende organisatorische Struktur für die rechtzeitige Bearbeitung der Anfragen nachgewiesen hatte.
Bewertung des immateriellen Schadens und die Höhe der Entschädigung
In der Beurteilung des immateriellen Schadens folgte das Gericht der Auslegung, dass ein Schaden bereits dann entsteht, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren. Das Gericht hielt eine Entschädigung von 750 Euro für angemessen und berücksichtigte dabei die finanzielle Situation der Beklagten, das Ausmaß der Überschreitung der Frist und die Tatsache, dass es sich um einen erstmaligen Verstoß handelte. Das Gericht betonte, dass Schadensersatzansprüche eine abschreckende Wirkung haben sollen, um die Effektivität der DSGVO zu gewährleisten.
Insgesamt stellt dieses Urteil einen wichtigen Präzedenzfall dar, der die Bedeutung der unverzüglichen Reaktion auf DSGVO-Auskunftsersuchen und die Rechte der betroffenen Personen auf Schadensersatz bei Verstößen gegen die DSGVO unterstreicht.
✔ Wichtige Begriffe kurz erklärt
Was bedeutet der „Bewerberanspruch auf Auskunft“ gemäß Art. 15 DSGVO?
Der „Bewerberanspruch auf Auskunft“ gemäß Art. 15 DSGVO bezieht sich auf das Recht eines Bewerbers, von dem für die Datenverarbeitung Verantwortlichen Auskunft darüber zu verlangen, welche Daten über ihn gespeichert oder verarbeitet werden. Dieses Recht gilt sowohl gegenüber öffentlichen als auch nichtöffentlichen Stellen, wie beispielsweise Unternehmen oder Vereinen.
Der Bewerber hat das Recht, Informationen über die Verarbeitungszwecke, die Herkunft der Daten (sofern diese nicht direkt bei ihm erhoben wurden), und über Empfänger, an die seine Daten übermittelt werden, zu erhalten. Dieses Auskunftsrecht ermöglicht es dem Bewerber, den Überblick und die Kontrolle darüber zu behalten, welche seiner personenbezogenen Daten verarbeitet werden.
Im Kontext von Bewerbungsverfahren sehen sich Arbeitgeber immer häufiger mit Ansprüchen auf Auskunft nach Art. 15 DSGVO konfrontiert. Dies kann insbesondere dann der Fall sein, wenn ein Bewerber abgelehnt wurde oder eine vermutete Diskriminierung im Zuge der Bewerberauswahl vorliegt.
Die Inanspruchnahme des Auskunftsrechts ist grundsätzlich kostenlos. Wird dem Betroffenen eine Kopie der verarbeiteten Daten übermittelt, gilt dies allerdings nur für die erste Kopie. Bei offenkundig unbegründeten oder exzessiven Anfragen darf entweder ein Entgelt verlangt oder die Erteilung einer Auskunft verweigert werden.
Es ist auch zu beachten, dass der Auskunftsanspruch neben der Bewerbung unter Umständen auch weitere Daten des Bearbeitungsprozesses, wie interne Vermerke oder Bewertungen, umfassen kann.
Die Auskunft muss unverzüglich erteilt werden, darf aber unter Berücksichtigung der Komplexität und der Anzahl von Anfragen länger als einen Monat dauern. In diesem Fall kann die Frist um zwei Monate auf insgesamt maximal drei Monate verlängert werden.
Das Auskunftsrecht nach Art. 15 DSGVO ist ein wesentlicher Bestandteil der Datenschutz-Grundverordnung und legt oft den Grundstein für weitere Rechte, wie das Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung und das Widerspruchsrecht.
Was umfasst ein immaterieller Schaden nach Art. 82 DSGVO?
Ein „immaterieller Schaden“ im Sinne des Art. 82 DSGVO bezieht sich auf einen Nichtvermögensschaden. Dieser Begriff ist in der DSGVO nicht weiter definiert, was zu Schwierigkeiten bei der Abgrenzung führen kann, was genau darunter fällt und in welcher Höhe Schadensersatz zu gewähren wäre.
Gemäß Erwägungsgrund 146 S. 3 der DSGVO ist nach europäischer Rechtsprechung ein weites Begriffsverständnis des immateriellen Schadens zugrunde zu legen. Danach könnte jeder Verstoß gegen die Vorschriften der DSGVO, unabhängig von seinem Schweregrad, bereits einen immateriellen Schaden begründen.
Deutsche Gerichte interpretieren den Begriff des immateriellen Schadens jedoch enger und gewähren nur in zurückhaltender Weise Schadensersatz. Ein Schaden soll erst mit einer konkreten und nicht nur individuell empfundenen Persönlichkeitsrechtsverletzung gegeben sein. Dies wird unter anderem auf Erwägungsgrund 85 der DSGVO gestützt, welcher als Beispiele für einen Schaden eine Rufschädigung oder eine Diskriminierung nennt.
Sofern Verstöße gegen die Datenschutz-Grundverordnung (DS-GVO) einen Schaden verursachen, ist dieser dem Betroffenen gem. Art. 82 Abs. 1 DS-GVO zu ersetzen. Im Gegensatz zur alten Fassung des Bundesdatenschutzgesetzes (BDSG a.F.) sind nicht nur Vermögensschäden, sondern auch ausdrücklich immaterielle Schäden erfasst.
Es ist zu erwähnen, dass die genaue Definition und Auslegung des Begriffs „immaterieller Schaden“ in der Praxis und in der Rechtsprechung weiterhin eine Herausforderung darstellt und von Fall zu Fall variieren kann.
Das vorliegende Urteil
ArbG Duisburg – Az.: 5 Ca 877/23 – Urteil vom 03.11.2023
1. Die Beklagte wird verurteilt, an den Kläger eine Geldentschädigung in Höhe 750,00 EUR nebst Verzugszinsen in Höhe von 5 Prozentpunkten über dem jeweiligen Basiszinssatz seit dem 30.06.2023 zu zahlen.
2. Die Klage wird im Übrigen abgewiesen.
3. Die Beklagte hat 38 % der Kosten des Rechtsstreits zu tragen. Der Kläger hat 62 % der Kosten des Rechtsstreits zu tragen.
Tatbestand
Die Parteien streiten über die Zahlung einer Geldentschädigung.
Die Beklagte, ein Inkassodienstleister, suchte per Stellenanzeige einen Sachbearbeiter für das Forderungsmanagement für ihren Standort in Q..
Der Kläger bewarb sich auf die Stelle am 14.03.2017 und sandte der Beklagten seine Bewerbungsunterlagen zu.
Er begehrte sodann mit Schreiben vom 18.05.2023 von der Beklagten Auskunft nach der DSGVO darüber, ob und welche Daten zu seiner Person gespeichert seien und setzte der Beklagten eine Frist bis zum 02.06.2023. Das Schreiben ging der Beklagten am 18.05.2023 per Email zu.
Die Beklagte nahm keine Stellung bis zum 03.06.2023. Sodann erinnerte der Kläger die Beklagte mit Email vom 03.06.2023 an sein Anliegen.
Die Beklagte erteilte dem Kläger mit Schreiben vom 05.06.2023 eine Negativauskunft mit dem Inhalt, dass keine Daten des Klägers bei ihr gespeichert seien.
Per E-Mail vom 09.06.2023 bat der Kläger die Beklagte um Mitteilung, aus welchem Grund diese die Auskunft nicht zuvor erteilt habe.
Per E-Mail vom 13.06.2023 teilte die Beklagte dem Kläger mit, dass die Auskunft mit Blick auf Artikel 12 DSGVO fristgerecht erteilt worden sei.
Mit Email vom 13.06.2023 forderte der Kläger die Beklagte zur Zahlung einer Geldentschädigung in Höhe von 1.000 Euro wegen behaupteter Verletzung des Art 12 DSGVO auf.
Die Beklagte lehnte den Anspruch des Klägers mit Email vom 14.06.2023 ab.
Mit seiner Klage vom 18.06.2023 begehrt der Kläger nun die Zahlung einer Geldentschädigung wegen einer behaupteten Verletzung der DSGVO durch die Beklagte.
Er ist der Auffassung, die Beklagte habe das Gebot der Unverzüglichkeit aus Art 12 III DSGVO verletzt.
Bereits der Wortlaut der Norm spreche gegen eine Monatsfrist. Diese stelle eine Maximalfrist dar.
Würde man die Frist von einem Monat nicht als Maximalfrist ansehen, würde der Grundsatz der Unverzüglichkeit leerlaufen und hätte keinen Anwendungsbereich mehr.
Auch der Generalanwalt beim Europäischen Gerichtshof habe den Grundsatz der Unverzüglichkeit in den Schlussanträgen vom 20.04.2023 C – 307/22 hervorgehoben.
Unverzüglich bedeute zwar nicht, dass der Verantwortliche quasi sofort handeln müsse. Nach einer Zeitspanne von mehr als einer Woche dürfte aber ohne das Vorliegen besondere Umstände ein unverzügliches Handeln nicht mehr anzunehmen sein.
Es sei der Beklagten ohne Weiteres möglich gewesen, ihm innerhalb einer Woche zu antworten und ihm im Rahmen eines Einzeilers mitzuteilen, dass keine Daten gespeichert würden.
Da zum Zeitpunkt der Anfrage keine Daten mehr von ihm verarbeitet worden wären, hätte der Bearbeitungsaufwand auf der niedrigstmöglichen Stufe gelegen. Es hätten keine personenbezogenen Daten zusammengetragen werden müssen und eine Informationen über das „Wie“ der Auskunft zusammengestellt werden müssen.
Die Beklagte sei auch nicht schützenswert, da er über das Gebot hinaus eine angemessene Frist von zwei Wochen gesetzt habe.
Ihm stehe daher nach Art 82 Absatz 1 DSGVO ein Anspruch auf eine immaterielle Geldentschädigung zu.
Ihm sei auch ein Schaden im Sinne eines immateriellen Nachteils entstanden. Der Begriff des Schadens sei europarechtskonform auszulegen. Der immaterielle Nachteil müsse nicht eine gewisse Erheblichkeit erreichen. Ein immaterieller Nachteil entstehe auch dann, wenn eine betroffene Person einen Kontrollverlust hinsichtlich eigener Daten erleide oder eine Einschränkung in ihren Rechten erfahre.
Die Beklagte habe seine Rechte temporär eingeschränkt. Er habe auch einen temporären Kontrollverlust erlitten. Denn das Auskunftsrecht diene auch dazu, die eigenen Daten kontrollieren zu können und solle ein Wissensfundament zur Ausübung der weiteren Rechte an die Hand geben. Ohne zu wissen, ob und ggfls. welche der eigenen Daten verarbeitet würden, könne die betroffene Person denklogisch auch nicht prüfen, ob eine Datenverarbeitung rechtskonform erfolge und somit ebenso wenig Berichtigungs-, Löschungs- oder Einschränkungsansprüche geltend machen.
Er habe auch ein emotionales Ungemach erfahren. Er sei im Bereich des Datenschutzes sehr sensibel, nachdem er vor einigen Jahren Opfer eines Hacker- Angriffs geworden sei.
Bei der Höhe der Geldentschädigung sei nach dem Grundsatz des „effet utile“ darauf zu achten, dass der Anspruch eine abschreckende Wirkung entfalte.
Die Beklagte habe in den Geschäftsjahren 2020 bis 2022 stabile Umsätze im Bereich von zwei bis fünf Millionen Euro erzielt.
Der Einwand des Rechtsmissbrauchs sei nach Art 12 IV DSGVO binnen Monatsfrist zu erheben und sei daher verfristet. Er sei erstmals im Schriftsatz vom 17.07.2023 geltend gemacht worden.
Der Kläger beantragt, die Beklagte zu verurteilen, an ihn eine Geldentschädigung, deren Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag von 2.000,00 Euro aber nicht unterschreiten sollte, nebst Verzugszinsen in Höhe von fünf Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.
Die Beklagte beantragt, die Klage abzuweisen.
Die Auskunft sei fristgerecht innerhalb der Monatsfrist des Art 12 III DSGVO erteilt worden.
Dem Verantwortlichen sei ein gewisser Zeitraum zuzubilligen, innerhalb dessen er den Sachverhalt prüfe und dann die verlangte Auskunft erteilen könne.
Die Beklagte sei als Wirtschaftsauskunftei täglich mit zahlreichen Auskunftsverlangen konfrontiert. Die Vielzahl der Auskunftsverlangen infolge der Geschäftstätigkeit im Auskunftswesen erfordere einen erheblichen Aufwand, der dazu führe, dass sie für die Auskunftserteilung eine angemessene Zeit benötige.
Angesichts der Vielzahl der von der Beklagten zu bearbeitenden Auskunftsverlangen und des Umstandes, dass sie gerade einmal die Hälfte der ihr nach Art. 12 Abs. 3 DSGVO grundsätzlich „zustehenden“ Monatsfrist in Anspruch genommen habe, sei die Auskunftserteilung damit in einem angemessenen Zeitraum erfolgt.
Die Fristsetzung des Klägers sei in diesem Kontext unerheblich.
Dem europäischen Gesetzgeber sei klar gewesen, dass der Zeitraum je nach Sachverhalt unterschiedlich viel Zeit in Anspruch nehmen könne und habe zwecks Klarstellung eine Mindestfrist von einem Monat vorgesehen. Selbst diese Frist sei nicht statisch und könne nach Art 12 III S. 2 DSGVO um zwei weitere Monate verlängert werden. Der Verantwortliche solle demgemäß ausreichend Zeit haben, das Verlangen des Betroffenen intensiv zu prüfen, bevor die geforderte Auskunft erteilt werde.
Anlass des Auskunftsbegehrens sei eine mehr als sechs Jahre zurückliegende Bewerbung gewesen. Das Auskunftsbegehren sei damit erkennbar nicht besonders eilbedürftig gewesen. Anders hätte es ausgesehen, wenn der Kläger Hinweise darauf gehabt hätte, dass die Beklagte zu Unrecht oder ggf. falsche Daten über ihn gespeichert habe und er darauf hingewiesen hätte. Es habe sich um eine standardmäßige Auskunftsanfrage des Klägers ohne Anlass gehandelt. Daher sei ihr auch ein üblicher Prüfungs- und Bearbeitungsspielraum einzuräumen.
Zwischen der Anfrage und der Erteilung der Auskunft hätten aufgrund von Feier- und Brückentagen nur neun Arbeitstage bei der Beklagten gelegen.
Gerade in den Fällen, in denen bei einer ersten Recherche festgestellt werde, dass anscheinend keine Daten vorhanden seien, würde die Beklagte zudem umso intensiver ihre Datenbanken „durchforsten“ und daraufhin überprüfen, ob doch irgendwo möglicherweise versehentlich den Auskunftsersuchenden betreffende Daten gespeichert seien, um zu 100 % sicherzustellen, dass keine falsche Auskunft erteilt werde.
Da es sich um eine Bewerbung handele, sei auch die Personalabteilung in die Auskunftserteilung mit einzubeziehen gewesen.
Der Kläger habe zudem keinen entstandenen Schaden dargelegt.
Für die Beklagte gelte ein „Code of Conduct“ im Sinne des Art 40 DSGVO, der von der Aufsichtsbehörde NRW genehmigt worden sei, welcher eine Löschung personenbezogener Daten nach drei Jahren vorsehe. Der Datenschutz spiele bei der Beklagten eine besondere Rolle. Dies hätte dem Kläger bekannt sein müssen. Bereits daher fehle es an einem „Kontrollverlust“.
Die Klage des Klägers erfolge zudem rechtsmissbräuchlich.
Die Beklagte hatte zunächst die Rechtswegzuständigkeit gerügt. Das Arbeitsgericht Q. beschloss am 18.08.2023 vorab, dass der Rechtsweg zu den Arbeitsgerichten gegeben ist. Ein Rechtsmittel wurde nicht eingelegt.
Bezüglich weiterer Einzelheiten des Sach- und Streitstandes wird auf die gewechselten Schriftsätze sowie den übrigen Akteninhalt verwiesen.
Entscheidungsgründe
Die zulässige Klage ist teilweise begründet.
Der Kläger hat gegen die Beklagte Anspruch auf Zahlung einer Geldentschädigung in Höhe von 750,00 Euro aus Art 82 I DSGVO. Ein darüberhinausgehender Anspruch besteht nicht.
Nach Art 82 I DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein (..) immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen.
Die Beklagte hat im Rahmen der Auskunftserteilung gegen die DSGVO verstoßen. Hierdurch ist dem Kläger auch ein Schaden entstanden.
I.
Die Beklagte hat gegen Art 12 III DSGVO verstoßen, indem Sie das Auskunftsersuchen des Klägers vom 18.05.2023 erst mit Schreiben vom 05.06.2023 beantwortete.
Nach Art 12 III DSGVO stellt der Verantwortliche der betroffenen Person Informationen (…) unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung.
Diese Voraussetzung hat die Beklagte durch die Antwort am 05.06.2023 nicht erfüllt.
Der Kläger begehrte mit Schreiben vom 18.05.2023 von der Beklagten Auskunft nach der DSGVO darüber, ob und welche Daten zu seiner Person gespeichert seien und setzte der Beklagten eine Frist bis zum 02.06.2023. Das Schreiben ging der Beklagten am 18.05.2023 per Email zu.
Die Beklagte nahm keine Stellung bis zum 03.06.2023. Sodann erinnerte der Kläger die Beklagte mit Email vom 03.06.2023 an sein Anliegen.
Die Beklagte erteilte dem Kläger mit Schreiben vom 05.06.2023 eine Negativauskunft mit dem Inhalt, dass keine Daten des Klägers bei ihr gespeichert seien.
Damit hat die Beklagte nicht „unverzüglich“ auf die Anfrage des Klägers reagiert.
Die Vorgabe in Art 12 III DSGVO bedeutet, dass der Verantwortliche alle Anträge der betroffenen Person, mit denen diese ein Betroffenenrecht geltend macht, beschleunigt behandeln muss. Art. 12 III errichtet für die Positivantwort und die Negativantwort gleichermaßen eine Pflicht zur unverzüglichen Unterrichtung. Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat. Als Höchstfrist legen beide Normen einen Monat ab Antragseingang fest. Diese Höchstfrist darf nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden (Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 12 Rn. 33). Dabei ist unter unverzüglich, angelehnt an § 121 BGB, „ohne schuldhaftes Zögern“ zu verstehen (Franck in Gola/Heckmann. DS-GVO 3. Aufl, Art. 12 Rn. 25). Da „unverzüglich“ weder „sofort“ bedeutet noch damit eine starre Zeitvorgabe verbunden ist, kommt es auf eine verständige Abwägung der beiderseitigen Interessen an. Nach einer Zeitspanne von mehr als einer Woche ist aber ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben (BAG, Urteil v. 27.2.2020 — 2 AZR 390/19, beck- online).
Die Beklagte hat die Auskunft nach Ablauf von 19 Kalendertagen erteilt. Besondere Umstände, welche diese Bearbeitungsfrist hinreichend rechtfertigen, sind nach Auffassung der Kammer nicht gegeben. Dies gilt auch, wenn man berücksichtigt, dass nach dem Vortrag der Beklagten unter Berücksichtigung von Wochenenden, Feiertagen und Brückentagen ggf. nur neun Arbeitstage zwischen der Anfrage und der Bearbeitung lagen.
Besondere Umstände, welche einen besonderen Bearbeitungsaufwand oder eine verlängerte Bearbeitungsspanne zu rechtfertigen vermögen, liegen nämlich nicht vor.
Dem Auskunftsverlangen wohnt keine besondere Komplexität inne. Es handelt sich um eine zurückliegende Bewerbung und damit vom Umfang her um einen überschaubaren Vorgang. Bedenkt man, dass letztlich keine Daten gespeichert waren, entfällt mithin auch das ggf. aufwendige Sichten und Sortieren der Daten und deren Zusammenstellung.
Es sind keine Anhaltspunkte ersichtlich, vor welchem Hintergrund für den bloßen Suchvorgang an sich mehr als eine Woche benötigt wurde. Der konkrete Ablauf des Bearbeitungsvorgangs (und evtl. Hindernisse) wurden nicht dargelegt. Im Termin zur mündlichen Verhandlung konnte nach Frage der Kammer nicht im Einzelnen dargelegt werden, wie und durch welche Schritte der „Suchvorgang“ nach Eingang einer Betroffenenanfrage bei der Beklagten durchgeführt wird und wie der normale Ablauf ist.
Vor diesem Hintergrund ist auch die Ausführung, es hätte nach der ersten „Negativauskunft“ im System noch eingehender gesucht werden müssen, nicht überzeugend nachvollziehbar. Der hierdurch behauptete Zeitverlust kann nicht nachvollzogen werden.
Auch ist die Sachlage nicht deswegen anders zu bewerten, weil es sich bei der Beklagten nach eigenen Angaben um eine Wirtschaftsauskunftei handelt und diese im Rahmen ihrer Geschäftstätigkeit mit zahlreichen Auskunftsersuchen zu tun hat. Nach Auffassung der Kammer ist hier nach dienstlichen Auskunftsersuchen im Rahmen der Geschäftstätigkeit und Auskunftsersuchen von Privatpersonen im Rahmen der DSGVO zu differenzieren. Die Frage der Kammer in der mündlichen Verhandlung, ob hier eine organisatorische Trennung der Bearbeitungsvorgänge stattfindet, konnte für den Standort Q. nicht im Einzelnen beantwortet werden.
Nach Auffassung der Kammer kann auch die Tatsache dahinstehen, dass es sich um eine sechs Jahre alte Bewerbung handelte. Die Frage einer objektiven Dringlichkeit ist nicht Voraussetzung des Betroffenenrechts nach Art 12 DSGVO. Eine entsprechende subjektive Bewertung durch die Beklagte vermag an der Frist des Art 12 III DSGVO nichts zu ändern. Zudem hat die Beklagte auch nicht dargelegt, in welchem Verhältnis sie die Anfrage ihrer Bewertung nach zu ggf. anderen vorliegenden Anfragen, welche nicht allesamt in der vorliegenden Bearbeitungszeit abgearbeitet werden könnten, gestanden hat.
Auch der Einwand der Beklagten, von dem einzelnen Mitarbeiter als Sachbearbeiter könne man nicht verlangen, dass er Kenntnis davon hat, dass es nicht ausreiche, einen entsprechenden Antrag innerhalb von zwei Wochen zu bearbeiten, vermag nicht zu überzeugen. Es ist vielmehr Sache der Beklagten als Arbeitgeber eine Organisationsstruktur zu schaffen, welche die rechtzeitige Bearbeitung der Anfragen im System ermöglicht.
Ein Verstoß gegen Art 12 III DSGVO durch die Beklagte liegt mithin vor.
II.
Dem Kläger ist durch den Verstoß auch ein immaterieller Schaden entstanden durch einen temporären Kontrollverlust bezüglich seiner Daten.
Der Begriff des Schadens ist auf eine Art auszulegen, die den Zielen der DSGVO in vollem Umfang entspricht. Ein immaterieller Schaden entsteht daher nicht nur in den „auf der Hand liegenden Fällen“, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren (EG 75) (so auch ArbG Düsseldorf. 9 Ca 9557/19, beck- online).
Der Kläger hat durch die verspätete Auskunft einen Kontrollverlust hinsichtlich seiner Daten erlitten. Dieser ist als immaterieller Schaden zu qualifizieren (vgl. Ehmann in Ehmann/Selmayr. DS-GVO Art. 15 Rn. 1 mwN, Bäcker in Kühling/Buchner, DS-GVO Art. 5 Rn. 1).
Durch die verspätete Auskunft war der Kläger im Ungewissen und ihm die weitere Prüfung verwehrt,, ob und ggf. wie die Beklagte seine personenbezogenen Daten verarbeitet.
Die Schwere des immateriellen Schadens ist für die Begründung der Haftung nach Art. 82 Abs. 1 DSGVO irrelevant und wirkt sich nur noch bei der Höhe des Anspruchs aus (LG Karlsruhe v. 2.8.2019 — 8 O 26/19, ZD 2019, 511; Gola/Pitz in Gola, DS-GVO Art. 82 Rn. 13 mwN der restriktiveren Rspr. zu § 823 1 BGB iVm Art. 1 I, 2 1 GG).
An einem Kontrollverlust des Klägers fehlt es entgegen dem Vortrag der Beklagten auch nicht deswegen, weil die Beklagte nach ihrem Vortrag an einen „Code of Conduct“ bezüglich der Löschung von Daten gebunden ist. Dies kann dahinstehen und auch ob der Kläger eine etwaige Kenntnis von dem strittigen Umstand hat.
Eine Bindung der Beklagten an einen „Code of Conduct“ würde einen Verstoß gegen die DSGVO nicht per se unmöglich machen und daher nicht dazu führen, dass der Kläger bei verspäteter Antwort keinen Kontrollverlust hat. Andernfalls würde die Bindung an den Code of Conduct faktisch die Betroffenenrechte des Art 12 DSGVO einschränken.
Ein Schaden des Klägers liegt mithin vor.
III.
Zum Ersatz dieses immateriellen Schadens hält die Kammer einen Betrag in Höhe von 750,00 Euro für angemessen. Dem Kläger ist nicht in der Auffassung zu folgen, dass ein Betrag in Höhe von 2.000 Euro den Schadenangemessen abbildet.
Die betroffene Person soll einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Verstöße müssen effektiv sanktioniert werden. damit die DSGVO wirken kann, was vor allem durch Schadensersatz in abschreckender Höhe erreicht wird (Wybitul/Haß/Albrecht, NJW 2018, 113 [115], Bergt in Kühling/Buchner, DS-GVO Art. 82 Rn. 18, Frenzel in Paal/Pauly, DS-GVO Art. 82 Rn. 10 mwN). Gerichte können sich bei der Bemessung des immateriellen Schadensersatzes auch an Art. 83 II DS-GVO orientieren, so dass als Zumessungskriterien ua Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden können (BeckOK Datenschutzrecht/Quaas, 31. Ed., Art. 31, Wybitul/Haß/Albrecht, NJW 2018. 113 [ 1151).
Nach diesen Grundsätzen hält die Kammer einen Schadenersatz in Höhe von 750,00 Euro für angemessen. Auf der einen Seite ist die Finanzkraft der Beklagten zu berücksichtigen. Auf der anderen Seite ist zu berücksichtigen, dass die Beklagte den gebotenen Zeitraum des Art 12 III DSGVO nicht in erheblichem Maße überschritten hat und die Auskunft auf die erste Erinnerung des Klägers direkt erteilt hat. Es handelt sich soweit ersichtlich um einen erstmaligen Verstoß. Zudem geht die Kammer davon aus, dass für die Beklagte bereits die Verurteilung wegen eines festgestellten Datenschutzverstoßes an sich eine abschreckende Wirkung hat, da sie geschäftlich mit der Erteilung von Auskünften und Personendaten zu tun hat. Die Festsetzung eines Schadenersatzes in Höhe von 750,00 Euro wird daher trotz der finanziellen Situation der Beklagten als hinreichend abschreckend und angemessen angesehen.
IV.
Die Klage des Klägers ist entgegen der Auffassung der Beklagten auch nicht rechtsmissbräuchlich. Anhaltpunkte hierfür liegen nicht vor.
V.
Der Streitwert wurde nach § 61 I ArbGG festgesetzt. Die Entscheidung zur Kostentragung beruht auf § 92 I S. 1 2. HS ZPO.
