BAG, 8. Senat — 8 AZR 215/23

Die Parteien streiten in der Revision ausschließlich noch über einen Anspruch auf Schadenersatz nach Art. 82 Abs. 1 DSGVO wegen eines Verstoßes gegen die Auskunftspflicht nach Art. 15 DSGVO.

Die Beklagte zu 1. betreibt ein Fitnessstudio. Der Kläger stand bei ihr in einem Ausbildungsverhältnis und verlangte nach Art. 15 DSGVO Auskunft über seine bei der Beklagten zu 1. gespeicherten personenbezogenen Daten. Das Verlangen bezog sich auch auf die Daten, die sich auf einem vom Kläger privat genutzten USB-Stick befanden, den der Beklagte zu 2. wegen des Verdachts der unzulässigen Speicherung von Mitgliederdaten an sich genommen hatte. Die Beklagte zu 1. teilte während des erstinstanzlichen Verfahrens mit, sie habe nur den Namen des Klägers, sein Geburtsdatum, seine postalische Anschrift, die Arbeitsplatzbeschreibung und die Arbeitszeiterfassung gespeichert.

Der Kläger hat die Auffassung vertreten, der Auskunftsanspruch sei damit nicht erfüllt. Inhalt und Umfang der Datenverarbeitung seien unklar geblieben. Dies folge schon daraus, dass auf dem einbehaltenen USB-Stick private Fotos, Videos und Bewerbungsunterlagen gespeichert gewesen seien. Es sei zu befürchten, dass die Beklagten die Daten missbräuchlich verwenden und an Dritte weitergeben. Die Berichterstattung über die Beklagten in den örtlichen Medien sei äußerst negativ. Bezüglich des Beklagten zu 2. fühle er sich unsicher, weil dieser im selben Ort wohne. Er habe Angst, dass es unter Umständen zu körperlicher Gewalt kommen könnte. Insgesamt sei er immer noch nervlich stark belastet und könne keinen ruhigen Schlaf finden. Dies begründe einen Schadenersatzanspruch auch gegen den Beklagten zu 2., weil dieser als Inhaber des Studios auftrete und mit der Datenverarbeitung befasst sei.

Der Kläger hat - soweit für die Revision von Bedeutung - beantragt,

Die Beklagten haben beantragt, die Klage abzuweisen.

Das Arbeitsgericht hat die Klage im noch rechtshängigen Umfang abgewiesen. Auf die Berufung des Klägers hat das Landesarbeitsgericht die Beklagten gesamtschuldnerisch zur Zahlung von 2.500,00 Euro zzgl. Zinsen ab dem 18. Oktober 2021 verurteilt. Mit der vom Landesarbeitsgericht zugelassenen Revision verfolgen die Beklagten ihren Antrag auf vollständige Abweisung der Klage weiter. Der Kläger begehrt die Zurückweisung der Revision.

Die zulässige Revision der Beklagten ist begründet. Die Klage ist im noch rechtshängigen Umfang unbegründet. Der Kläger hat - entgegen der Auffassung des Landesarbeitsgerichts - keinen Anspruch auf Ersatz eines immateriellen Schadens nach Art. 82 Abs. 1 DSGVO gegen die Beklagten.

1. Dabei kann dahingestellt bleiben, ob hier eine Verletzung von Art. 15 DSGVO vorliegt und ob dies einen Verstoß iSv. Art. 82 Abs. 1 DSGVO darstellt (vgl. zur Frage der Datenverarbeitung BAG 5. Mai 2022 - 2 AZR 363/21 - Rn. 11). Der Kläger hat schon keinen Schaden dargelegt.

a) Das Vorliegen eines „Schadens“ ist eine der drei Voraussetzungen für den in Art. 82 Abs. 1 DSGVO vorgesehenen Schadenersatzanspruch, ebenso wie das Vorliegen eines Verstoßes gegen die Datenschutz-Grundverordnung und eines Kausalzusammenhangs zwischen dem erlittenen Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ vorliegen müssen (vgl. EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 58; 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 77; 4. Mai 2023 - C-300/21 - [Österreichische Post] Rn. 32). Der Schadenersatzanspruch hat, insbesondere im Fall eines immateriellen Schadens, eine Ausgleichsfunktion. Die auf Art. 82 Abs. 1 DSGVO gestützte Entschädigung in Geld soll es ermöglichen, den konkret aufgrund des Verstoßes gegen die Datenschutz-Grundverordnung erlittenen Schaden vollständig auszugleichen, und erfüllt keine Abschreckungs- oder Straffunktion (vgl. EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 50; 21. Dezember 2023 - C-667/21 - [Krankenversicherung Nordrhein] Rn. 87).

b) Hinsichtlich der Darlegungs- und Beweislast hat der Gerichtshof der Europäischen Union klargestellt, dass die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines immateriellen Schadens verlangt, nicht nur den Verstoß gegen Bestimmungen der Datenschutz-Grundverordnung nachweisen muss, sondern auch, dass ihr durch diesen Verstoß ein solcher Schaden entstanden ist (vgl. EuGH 11. April 2024 - C-741/21 - [juris] Rn. 35; 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 60 f.). Der - selbst kurzzeitige - Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden iSv. Art. 82 Abs. 1 DSGVO darstellen, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden - so geringfügig er auch sein mag - erlitten hat (EuGH 11. April 2024 - C-741/21 - [juris] Rn. 42; 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 66). Dabei können negative Gefühle („Befürchtung“) einen Anspruch auf Ersatz des immateriellen Schadens begründen. Das bloße Berufen auf eine bestimmte Gefühlslage reicht aber nicht aus. Das Gericht hat vielmehr zu prüfen, ob das Gefühl unter Berücksichtigung der konkreten Umstände „als begründet angesehen werden kann“ (EuGH 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 85). Dies setzt zwingend die Anwendung eines objektiven Maßstabs voraus (BAG 25. Juli 2024 - 8 AZR 225/23 - Rn. 33; 20. Juni 2024 - 8 AZR 124/23 - Rn. 15).

c) Ausgehend von diesen Grundsätzen hat das Landesarbeitsgericht, das allerdings die vorstehend angeführte Rechtsprechung bei seiner Entscheidung noch nicht berücksichtigen konnte, zu Unrecht einen Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO dem Grunde nach angenommen.

aa) Besteht der Schaden in negativen Gefühlen, die für sich genommen nicht beweisbar sind, hat das nationale Gericht die Gesamtsituation und letztlich auch die Glaubwürdigkeit der jeweiligen Klagepartei auf der Grundlage eines substantiierten Sachvortrags zu beurteilen (BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 16). Steht ein Verstoß gegen die Datenschutz-Grundverordnung iSv. Art. 82 Abs. 1 DSGVO nach richterlicher Beweiswürdigung iSv. § 286 Abs. 1 ZPO zum Nachteil der Klagepartei als geschützter Person fest, mindert sich das Beweismaß bzgl. der Entstehung und der Höhe des Schadens nach § 287 Abs. 1 ZPO (BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 16 unter Bezugnahme auf BAG 5. Mai 2022 - 2 AZR 363/21 - Rn. 14).

bb) Grundsätzlich ist die entsprechende Würdigung der Beweise dem Tatrichter vorbehalten. Revisionsrechtlich ist nur zu prüfen, ob die Beweiswürdigung in sich widerspruchsfrei und ohne Verletzung von Denkgesetzen und allgemeinen Erfahrungssätzen erfolgt ist, ob sie rechtlich möglich ist und ob das Berufungsgericht alle für die Beurteilung wesentlichen Umstände berücksichtigt hat (BAG 25. Juli 2024 - 8 AZR 225/23 - Rn. 28).

cc) Das Landesarbeitsgericht hat allein die „erhebliche Unsicherheit“, die aus dem Auslesen des USB-Sticks und der Sicherung der Daten resultiere, für die Bejahung eines Schadenersatzanspruchs dem Grunde nach ausreichen lassen. Die Unsicherheit beziehe sich auf die Frage, welche Daten sich jetzt noch im Zugriff der beiden Beklagten befinden, wobei die Wegnahme des USB-Sticks eine solche „Beeinträchtigung“ indiziere.

dd) Diese Begründung steht im Widerspruch zu der angeführten neueren Rechtsprechung, wonach ein negatives Gefühl wie eine „Unsicherheit“ für sich genommen nicht ausreicht, um einen immateriellen Schadenersatzanspruch zu begründen. Aus den Besonderheiten des vorliegenden Falles ergibt sich nichts Abweichendes.

(1) Entgegen der Auffassung des Landesarbeitsgerichts kommt der Wegnahme des USB-Sticks bezogen auf einen Schaden wegen Verletzung der Auskunftspflicht keine Indizwirkung zu. Dabei kann zu Gunsten des Klägers unterstellt werden, dass sich der USB-Stick in seinem Eigentum befand und die Wegnahme durch den Beklagten zu 2. unberechtigt erfolgte. Selbst wenn dies der Fall wäre, stünde diese Rechtsverletzung in keinem Zusammenhang zur Verletzung der Auskunftspflicht nach Art. 15 DSGVO, für deren Verletzung der Kläger Schadenersatz begehrt. Der Kläger weiß auch ohne Auskunft, welche seiner personenbezogenen Daten auf dem USB-Stick gespeichert waren. Er ist sich seit der - zu seinen Gunsten unterstellten - Wegnahme ausschließlich über deren Verarbeitung im Unklaren. Die Verweigerung der diesbezüglich verlangten Auskunft führt zu Befürchtungen, die bei einer nicht oder unvollständig erteilten Auskunft aber in der Natur der Sache liegen und für sich genommen nicht die Annahme eines Schadens rechtfertigen. Wäre das Berufen auf solche Befürchtungen für die Annahme eines Schadens bereits ausreichend, würde jeder Verstoß gegen Art. 15 DSGVO - so ein Verstoß dagegen einen Anspruch nach Art. 82 Abs. 1 DSGVO dem Grunde nach begründen könnte - praktisch in jedem Fall zu einem immateriellen Schaden führen. Die eigenständige Voraussetzung des Schadens würde damit bedeutungslos (BAG 20. Juni 2024 - 8 AZR 124/23 - Rn. 18).

(2) Da Art. 82 Abs. 1 DSGVO nach der Rechtsprechung des Gerichtshofs der Europäischen Union (vgl. EuGH 25. Januar 2024 - C-687/21 - [MediaMarktSaturn] Rn. 46 ff.; 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 82; 4. Mai 2023 - C-300/21 - [Österreichische Post] Rn. 28 f.) keine Straffunktion zukommt, kann ein Schadenersatzanspruch auch nicht allein damit begründet werden, dass die Befürchtungen des Klägers durch eine rechtswidrige Handlung (unberechtigte Wegnahme eines USB-Sticks) ausgelöst wurden. Die Annahme eines immateriellen Schadens würde das Hinzutreten weiterer Umstände voraussetzen, zB das Begehen eines Datendiebstahls, der auf einen beabsichtigten Datenmissbrauch schließen lässt. Anhaltspunkte für ein solches Vorgehen der Beklagten sind dem Vortrag des Klägers aber gerade nicht zu entnehmen.

ee) Er hat allerdings andere Umstände vorgetragen, die die Annahme eines Schadens denkbar erscheinen lassen. Dies bezieht sich insbesondere auf die angeblichen Schlafstörungen und Angstzustände, die sich aus dem persönlichen Bezug der Daten auf dem USB-Stick und dem angeblich schlechten Ruf der Beklagten, insbesondere des Beklagten zu 2., ergeben. Das Landesarbeitsgericht hat sich nach einer ausführlichen Anhörung des Klägers in der mündlichen Verhandlung vor der Berufungskammer mit diesem Vortrag in revisionsrechtlich nicht zu beanstandender Weise auseinandergesetzt. Demnach ist ein immaterieller Schaden nicht dargelegt.

(1) Das Landesarbeitsgericht hat angenommen, wegen der Unbestimmtheit der Aussagen des Klägers sei nicht nachvollziehbar, dass auf dem USB-Stick auch intime personenbezogene Daten gewesen sein sollen. Im Übrigen ist das Berufungsgericht zu der Überzeugung gelangt, dass der Kläger „erheblich übertreibe und sein Vortrag insoweit nicht schlüssig“ sei. Die vom Kläger geschilderten „fortgesetzten erheblichen Schlafstörungen und Angstzustände“ seien „in dem geschilderten Umfang unschlüssig“. Der Kläger habe „insbesondere eingeräumt, dass er deswegen keine ärztliche Hilfe aufgesucht habe, sondern ‚lediglich erwäge, das einmal zu machen‘, nachdem die Schlafstörungen und Angstzustände allerdings mittlerweile seit drei Jahren anhielten“. Zudem habe der Kläger geschildert, dass seine Schlaflosigkeit und seine Angstzustände vor allem darauf beruhten, dass der Beklagte zu 2. im selben Ort wohne und er sich anscheinend vor ihm fürchte. Diese Furcht habe allerdings „nichts mit … einem Verstoß gegen Art. 15 DSGVO und einer Entschädigung nach Art. 82 Abs. 1 DSGVO zu tun, sondern stelle ein allgemeines Lebensrisiko des Klägers dar“.

(2) Das Landesarbeitsgericht ist mit diesen Ausführungen seiner Pflicht zur umfassenden Würdigung des Sachverhalts ohne revisiblen Rechtsfehler nachgekommen. Die Würdigung ist in sich widerspruchsfrei und verletzt weder Denkgesetze noch allgemeine Erfahrungssätze. Sie ist rechtlich möglich und berücksichtigt alle für die Beurteilung wesentlichen Umstände. Der Umstand, dass das Landesarbeitsgericht sich mit dem Vortrag des Klägers im Berufungsurteil anlässlich der Bemessung der Höhe des vermeintlichen Anspruchs auseinandergesetzt hat, ändert daran nichts. Die Würdigung des klägerischen Vortrags ist ebenso für die Beurteilung der Frage, ob ein Schadenersatzanspruch dem Grunde nach besteht, maßgeblich. Die vom Landesarbeitsgericht in Abrede gestellte Schlüssigkeit des klägerischen Vortrags sowie die angenommenen Übertreibungen beziehen sich auch auf die einzig möglichen Tatsachengrundlagen für einen Schadenersatzanspruch.

2. Einer Zurückverweisung der Sache an das Berufungsgericht, um dem Kläger weiteren Sachvortrag zu dem von ihm erlittenen Schaden zu ermöglichen, bedurfte es nicht. Das Vorliegen eines Schadens war von den Beklagten bereits in den Vorinstanzen in Abrede gestellt worden, ohne dass der Kläger hierauf substantiiert Vortrag gehalten hätte. Neuer Sachvortrag wäre bei einer Fortsetzung des Berufungsverfahrens daher nicht zu erwarten.

3. Die Kostenentscheidung folgt aus § 92 Abs. 1, § 97 Abs. 1 ZPO.