Arbeitsgericht Düsseldorf, 13 — 13 Ca 5385/23

Die Parteien streiten über einen Anspruch des Klägers auf Schadensersatz nach der DSGVO.

Die Beklagte ist eine Gesellschaft der M. und hat sich auf die Verwaltung von Kredit-, Hypothekenportfolios und Mietverträgen spezialisiert. Sie suchte im August 2023 einen Sachbearbeiter Forderungsmanagement.

Am 28.08.2023 bewarb sich der Kläger bei der Beklagten auf diese Stelle. Auf seine Bewerbung erhielt der Kläger keine Rückmeldung.

Mit Schreiben vom 27.09.2023 erkundigte sich der Kläger nach dem Stand des Bewerbungsverfahrens. Nachdem die Beklagte diese Anfrage nicht beantwortete, erteilte der Kläger der Beklagten am 06.10.2023 seinerseits eine Absage und bat diese zugleich, ihm eine Auskunft und eine Datenkopie gemäß Artikel 15 DSGVO zu erteilen. Die Beklagte reagierte erneut nicht. Daher sandte der Kläger der Beklagten am 03.11.2023 nochmals eine Kopie seiner E-Mailanfrage vom 06.10.2023 per Post zu. Die Beklagte antwortete sodann mit E-Mail vom 8.11.2023 wie folgt:

„Sehr geehrter Herr F.,

vielen Dank für Ihre E-Mail vom 03.11.2023.

Zunächst einmal ist unser Bewerbungsverfahren noch laufend und nicht, wie von Ihnen vermutet beendet.

Bezüglich Ihrer Bewerbungsunterlagen teile ich Ihnen mit, dass wir aufgrund Ihrer E-Mail vom 03.112023 alle Ihre Bewerbungsunterlagen, gemäß den Vorgaben der DSGVO vernichtet haben. Dies gilt auch für Ihre letzte E-Mail auf die ich hier noch antworte.

…“

Mit seiner beim Arbeitsgericht Düsseldorf am 22.11.2023 eingegangenen und der Beklagten am 28.11.2023 zugestellten Klageschrift verlangt der Kläger von der Beklagten die Zahlung einer Geldentschädigung.

Der Kläger ist der Auffassung, einen Anspruch auf Zahlung einer Geldentschädigung in angemessener Höhe gemäß Art. 82 DSGVO zu haben. Die Beklagte habe sich ihren gesetzlichen Auskunfts- und Datenkopiepflichten aus Artikel 15 DSGVO vorsätzlich entzogen. Wende sich eine betroffene Person an einen Verantwortlichen und ersuche diesen um eine Auskunft auf der Grundlage von Artikel 15 DSGVO, könne sich der Verantwortliche dieser Pflicht nicht entziehen, indem er die Daten lösche. Dieses Vorgehen der Beklagten verstoße gegen den Grundsatz von Treu und Glauben und sei daher rechtsmissbräuchlich. Die Beklagte habe demgemäß nicht nur gegen Artikel 15 DSGVO verstoßen und damit den Bußgeldtatbestand des Artikel 83 Absatz 5 lit. b DSGVO verwirklicht, die verantwortlichen Mitarbeiter hätten sich überdies auch strafrechtlich relevant verhalten (§ 274 Absatz 1 Nr. 2 StGB).

Bereits dieser aufgezeigte Datenschutzverstoß führe nach der Ansicht des Bundesarbeitsgerichts stets auch zu einem Geldentschädigungsanspruch, ohne dass darüber hinaus ein weiterer immaterieller Schaden darzulegen wäre. Hierauf komme es aber im Streitfall nicht an, da der Kläger auch tatsächlich immaterielle Nachteile erlitten habe. Die Beklagte habe das Auskunftsrecht nicht erfüllt und den Kläger im Unwissen über seine Daten gelassen. Der Kläger habe also einen Kontrollverlust und eine Einschränkung seiner Rechte erfahren. Ob es sich dabei um einen schwerwiegenden Schaden handele, sei in Bezug auf Artikel 82 DSGVO unbeachtlich, da keine Erheblichkeitsschwelle bestehe. Der Kläger habe immaterielle Schäden in Form einer Einschränkung seiner Rechte, eines Kontrollverlusts und eines emotionalen Ungemachs erlitten. Die beklagte Partei habe die Rechte des Klägers aus Artikel 15 DSGVO verletzt. Dies nerve den Kläger in erheblichem Maße. Die Durchsetzung seines Grundrechts auf Auskunft sei für den Kläger nunmehr mit erheblichem Aufwand verbunden. Er müsse Mühe und zudem auch Zeit investieren, um seine Rechte gerichtlich durchzusetzen und ein Prozesskostenrisiko in Kauf nehmen, nur weil die beklagte Partei ihren gesetzlichen Pflichten nicht nachkomme. Dies nerve den Kläger in erheblichem Maße. Auch solch ein emotionales Ungemach respektive „Gefühlsschaden“ sei als Schaden ausreichend.

Hinsichtlich der Höhe der Geldentschädigung müsse zudem Berücksichtigung finden, dass diese – anders als im nationalen Recht – auch der General- und Spezialprävention diene. Die Geldentschädigung müsse demgemäß auf den Verantwortlichen eine abschreckende Wirkung haben. Wirksam bzw. abschreckend könne eine Geldentschädigung aber nur dann sein, wenn die Finanzkraft des Verantwortlichen berücksichtigt werde.

Vor diesem Hintergrund müsse vorliegend berücksichtigt werden, dass es sich bei der Beklagten um einen führenden Dienstleister im Bereich der Verwaltung von Kredit-, Hypothekenportfolios und Mietverträgen handele, der nach eigenen Angaben an rund 6.000 Hypotheken- und Anschlussfinanzierungen beteiligt sei.

Es trete weiter hinzu, dass die beklagte Partei durch ihr dargelegtes Verhalten offenkundig habe zu Tage treten lassen, dass ihr der Datenschutz egal sei. Bei der beklagten Partei handele es sich nicht um einen kleinen Handwerksbetrieb, der sich eventuell seiner Pflichten nicht ganz bewusst sei, sondern um ein großes Unternehmen, welches zudem auch über eine eigene Datenschutzabteilung verfüge.

Der Kläger verweist auf die Entscheidung des Europäischen Gerichtshofs vom 14.12.2023 (C-340/21).

Der Kläger beantragt zuletzt:

Die Beklagte wird verurteilt, an den Kläger eine Geldentschädigung, deren Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag von 2.000,00 Euro aber nicht unterschreiten sollte, nebst Verzugszinsen in Höhe von fünf Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.

Die Beklagte beantragt,

die Klage abzuweisen.

Die Beklagte ist der Ansicht, dass der Kläger keinen Anspruch auf immateriellen Schadensersatz gemäß Art. 82 Abs. 1 DSGVO habe.

Der Kläger verkenne zunächst, dass die Beklagte den Auskunftsanspruch erfüllt habe selbst wenn man in der E-Mail vom 08.11.2023 keine ordnungsgemäße Erfüllung des Auskunftsanspruchs sehe, so liege lediglich ein Fall der Schlechtleistung vor, nicht aber der Nichterfüllung.

Zu berücksichtigen sei weiter, dass die Beklagte aufgrund der Rücknahme der Bewerbung verpflichtet gewesen sei, die Bewerbungsunterlagen zu löschen. Dieser Verpflichtung sei die Beklagte nachgekommen. Sie habe also in Erfüllung ihrer Verpflichtungen aus der DSGVO gehandelt und nicht ihre Verpflichtungen aus der DSGVO vorsätzlich verletzt.

Der Kläger verkenne zudem, dass ein Verstoß gegen Art. 15 DSGVO nicht in den Anwendungsbereich von Art. 82 DSGVO falle und der bloße Kontrollverlust über die Daten gerade nicht genüge, um einen immateriellen Schaden darzulegen.

Der EuGH habe ausdrücklich festgestellt, dass der Schaden im Sinne des Art. 82 DSGVO zwar keine gewisse Erheblichkeitsschwelle überschreiten müsse; allerdings bedeute diese Auslegung nicht, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen sei, der für sie negativen Folgen gehabt habe, vom Nachweis befreit wäre, dass diese Folgen einen immateriellen Schaden i.S.v. Art. 82 dieser Verordnung darstellten.

Weiter sei zu berücksichtigen, dass der Beklagten der Datenschutz offensichtlich nicht egal sei. Aufgrund der sofortigen Löschung nach Rücknahme der Bewerbung zeige die Beklagte anschaulich, dass sie die Vorschriften der DSGVO ernst nehme.

Es müsse zudem davon ausgegangen werden, dass der Kläger selbst rechtsmissbräuchlich handele. Eine Internetrecherche habe ergeben, dass der Kläger bei vergleichbaren Sachverhalten bereits seit 2021 Auskunfts- und Schadensersatzansprüche geltend gemacht habe (vgl. B. ).

Die streitgegenständliche Bewerbung mit Gehaltsvorstellungen von 96.000 € brutto zeige jedenfalls, dass es dem Kläger nicht ernsthaft um eine Tätigkeit für die Beklagte als Sachbearbeiter/in im Bereich des Forderungsmanagements gegangen sein könne.

Auch das weitere Vorgehen des Klägers zeige, dass er offensichtlich standardisiert vergleichbare Ansprüche durchsetze.

Hinsichtlich der weiteren Einzelheiten des Sach- und Streitstandes wird auf die gewechselten Schriftsätze nebst Anlagen sowie die Sitzungsprotokolle Bezug genommen.

A. Die zulässige Klage ist unbegründet. Der Kläger hat keinen Anspruch auf Zahlung eines Schadensersatzes nebst Zinsen.

1. Die Klage ist zulässig, insbesondere hinreichend bestimmt i. S. d. § 253 Abs. 2 Nr. 2 ZPO. Der Kläger durfte die Höhe des von ihm begehrten immateriellen Schadenersatzes in das Ermessen des Gerichts stellen. Denn Art. 82 Abs. 1 DSGVO räumt dem Gericht bei der Bestimmung der Höhe der Entschädigung einen Ermessensspielraum ein (LAG Hamm v. 14.12.2021 – 17 Sa 1185/20, Rn. 95, juris; so im Ergebnis auch LAG Hamm v. 02.12.2022 – 19 Sa 756/22, Rn. 133, juris). Erforderlich aber auch ausreichend ist es dann, dass der Kläger Tatsachen, die das Gericht bei der Bestimmung des Betrags heranziehen soll, benennt und die Größenordnung der geltend gemachten Forderung angibt (LAG Hamm v. 14.12.2021 – 17 Sa 1185/20, Rn. 95, juris; vgl. zu § 15 AGG bspw. BAG v. 15.02.2023 – 8 AZR 450/21, Rn. 98, juris). Diesen Anforderungen genügt der klägerische Antrag. Er hat mit 2.000,00 € die Größenordnung der Forderung angegeben und in der Begründung vorgetragen, auf welche Tatsachen bei der Bemessung der Höhe des Schadensersatzes abzustellen ist.

2. Die Klage ist jedoch unbegründet. Der Kläger hat keinen Anspruch auf Zahlung eines Schadensersatzes nebst Zinsen.

Es mangelt der Klage an der Darlegung eines immateriellen Schadens i. S. d. Art. 82 Abs. 1 DSGVO.

Der Kläger beruft sich insofern allein auf einen Kontrollverlust, der mit einer Beeinträchtigung seiner Rechte einhergehe und zu einem emotionalen Ungemach geführt habe. Zur Überzeugung der erkennenden Kammer stellt solch ein Kontrollverlust keinen ersatzfähigen Schaden i. S. d. Art. 82 Abs. 1 DSGVO dar.

Insofern wird auf die zutreffenden Ausführungen im Urteil der 4. Kammer vom 07.11.2023 (4 Ca 2997/23) Bezug genommen:

„ a) Der Kläger führt zwar zutreffend aus, dass in der Rechtsprechung ein bloßer Kontrollverlust infolge eines Verstoßes gegen die DSGVO als ersatzfähiger immaterieller Schaden i. S. v. Art. 82 Abs. 1 DSGVO anerkannt wurde (bspw. LAG Hamm v. 14.12.2021 – 17 Sa 1185/20, Rn. 154, juris; LAG Berlin-Brandenburg v. 18.11.2021 – 10 Sa 443/21, Rn. 58, juris; LAG Niedersachsen v, 22.10.2021 – 16 Sa 761/20, Rn. 170, juris; LAG Schleswig-Holstein v. 01.06.2022 – 6 Ta 49/22, Rn. 12, juris; ArbG Düsseldorf v. 05.03.2020 – 9 Ca 6557/18, Rn. 102, juris). Das Bundesarbeitsgericht hat mit Beschluss vom 26.08.2021 – 8 AZR 253/20 (A) unter Verweis auf das anhängige Verfahren beim EuGH in der Sache C-300/21 zudem unterstellt, dass der Anspruch auf immateriellen Schadenersatz nach Art. 82 Abs. 1 DSGVO über eine Verletzung der DSGVO hinaus nicht zusätzlich erfordere, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlege. Allein die Verletzung der DSGVO führe zu einem auszugleichenden immateriellen Schaden.

b) Im Nachgang dazu hat der EuGH (Urteil v. 04.05.2023 – C-300/21) entschieden, dass der bloße Verstoß gegen die Vorgaben der DSGVO keinen Schadensersatzanspruch begründe. Dies ergebe sich bereits aus dem Wortlaut des Art. 82 Abs. 1 DS-GVO, der neben einem Verstoß als weitere Voraussetzung einen Schaden verlange. Die gesonderte Erwähnung von Schaden und Verstoß sei überflüssig, wenn der Unionsgesetzgeber davon ausgegangen wäre, dass ein Verstoß gegen die Bestimmungen der DSGVO für sich allein in jedem Fall ausreichend sei, um einen Schadensersatzanspruch zu begründen. Dies werde bestätigt durch den systematischen Zusammenhang mit Art. 82 Abs. 2 DSGVO, der ebenfalls einen Verstoß gegen die Bestimmungen der DSGVO und einen daraus folgenden Schaden verlange. Die Erwägungsgrunde 75, 85 und 146 der DSGVO würden dieses Ergebnis bestätigen. Aus ihnen würde sich ergeben, dass der Eintritt eines Schadens im Rahmen einer Verarbeitung personenbezogener Daten nur potenziell sei, ein Verstoß gegen die DSGVO nicht zwangsläufig zu einem Schaden führe und darüber hinaus ein Kausalzusammenhang zwischen Verstoß und Schaden bestehen müsse. Auch ein Vergleich mit anderen Bestimmungen der DSGVO sprächen für das Auslegungsergebnis. So sähen Art. 77 und 78 DSGVO im Fall eines behaupteten Verstoßes gegen die Verordnung Rechtsbehelfe bei einer bzw. gegen eine Aufsichtsbehörde vor, wobei sie – anders als Art. 82 DSGVO in Bezug auf Schadenersatzklagen – keinen Hinweis darauf enthielten, dass der betroffenen Person ein Schaden entstanden sein müsse, um solche Rechtsbehelfe einlegen zu können. Art. 83 und 84 DSGVO, die die Verhängung von Geldbußen und anderen Sanktionen erlauben würden, hätten im Wesentlichen einen Strafzweck und hingen ebenfalls nicht vom Vorliegen eines individuellen Schadens ab.

c) Der Rechtsprechung des EuGH sind zwischenzeitlich sowohl vielfach Rechtsprechung als auch Literatur gefolgt (bspw. OLG Hamm v. 15.08.2023 – I-7 U 19/23, 7 U 19/23, Rn. 152 ff., juris; LAG Baden-Württemberg v. 27.07.2023 – 3 Sa 33/22, Rn. 78 ff., juris; LG Berlin v. 07.06.2023 – 26 O 240/22, Rn. 29 ff., juris; LG Köln v. 31.05.2023 – 28 O 138/22, Rn. 48, juris; Fuhlrott/Fischer, Begrenzung des immateriellen Schadensersatzes bei Verletzung des Auskunftsanspruchs?, NZA 2023, 606, 609; Seiler, jurisPR-BKR 9/2023 Anm. 1 zu C-300/21; Haußmann, ArbRAktuell 2023, 262, Bär, EuZW 2023, 565, 566; vor der Entscheidung des EuGH auch bspw. bereits schon LAG Hamm v. 02.12.2022 – 19 Sa 756/22, Rn. 150 ff.).

d) Die Kammer schließt sich der Auffassung des EuGH und der ihm folgenden Rechtsprechung und Literatur an. Danach hat der Kläger einen immateriellen Schaden i. S. d. Art. 82 DSGVO nicht dargelegt. Soweit er behauptet, er habe mangels unverzüglicher Auskunfts- und Kopieerteilung einen Kontrollverlust über seine Daten erlitten und sei dadurch in seinen Rechten eingeschränkt worden, stellt dies keinen ersatzfähigen Schaden i. S. v. Art. 82 Abs. 1 DSGVO dar.

aa) Dies ergibt sich aus der Anwendung der Rechtsprechung des EuGH. Bei jedem Verstoß gegen die DSGVO erfährt die betroffene Person einen Verlust an Kontrolle über die Verwendung ihrer Daten. Die betroffene Person ist stets im Unklaren darüber, wie ihre Daten verarbeitet werden. Sie kann die Verarbeitung nicht kontrollieren und keine ergänzenden Rechte aus Art. 16 ff. DSGVO ausüben. Da ein Verstoß gegen die DSGVO immer einen Kontrollverlust desjenigen bedeutet, der seine Daten dem Datenverarbeiter anvertraut hat, der immaterielle Schaden aber eine zusätzlich darzulegende Tatbestandsvoraussetzung ist, ist der Kontrollverlust für sich genommen kein Schaden

bb) Entgegen der Auffassung des Klägers stehen die Erwägungsgründe der DSGVO dem nicht entgegen. Dem Kläger ist zwar zuzugeben, dass der Schadensbegriff nach Erwägungsgrund 146 Satz 3 der DSGVO weit auf eine Art und Weise auszulegen ist, die den Zielen der DSGVO in vollem Umfang entspricht. Ein weites Verständnis des Schadensbegriffs bedeutet aber nicht, dass vom Vorliegen eines konkreten Schadens gänzlich abzusehen ist (LAG Baden-Württemberg v. 27.07.2023 – 3 Sa 33/22, Rn. 78, juris). Soweit Erwägungsgrund 85 der DSGVO formuliert, dass „eine Verletzung des Schutzes personenbezogener Daten […] einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen [kann], wie etwa Verlust der Kontrolle über ihre personenbezogenen Daten oder Einschränkung ihrer Rechte […]“, verdeutlicht dies, dass der Verlust der Kontrolle über die Daten nicht zwangsläufig einen Schaden verursacht, sondern dies nur möglich ist (so auch Schlussantrag des Generalanwalts Manuel Campos Sánchez-Bordona vom 06.10.2022 – C-300/21, Rn. 61 ff., juris). Im Übrigen findet sich diese Formulierung lediglich im Zusammenhang mit dem Datenverarbeiter gegenüber den Aufsichtsbehörden obliegenden Unterrichtungspflichten wieder. Dabei bestätigt die für solche Pflichten in dem Erwägungsgrund erläuterte Ausnahme für den Fall, dass „der Verantwortliche ... nachweisen [kann], dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die persönlichen Rechts und Freiheiten natürlicher Personen führt“, dass nicht jeder Verstoß gegen die DSGVO einen Schaden und damit einen Entschädigungsanspruch nach sich zieht (LG Berlin v. 07.06.2023 – 26 O 240/22, Rn. 33, juris).“

Diesen zutreffenden Erwägungen schließt sich die Kammer in vollem Umfang an. Sie sind auch auf den vorliegenden Sachverhalt übertragbar.

Ergänzend sei darauf hingewiesen, dass auch die neueren Entscheidungen des EuGH vom 14.12.2023 (C-340/21, ZD 2024,150) sowie vom 25.01.2024 (C-687/21, juris) keine andere Bewertung rechtfertigen. Insbesondere hat der EuGH erneut bekräftigt, dass Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass die Person, die aufgrund dieser Bestimmung Schadensersatz verlangt, nicht nur den Verstoß gegen Bestimmungen der DSGVO nachweisen muss, sondern auch, dass ihr dadurch ein materieller oder immaterieller Schaden entstanden ist (EuGH vom 25.01.2024 - C-687/21, juris, Rn. 61; EuGH vom 14.12.2023 - C-340/21, ZD 2024,150, Rn. 77). Der Kläger weist zwar zu Recht darauf hin, dass der EuGH in seiner Entscheidung vom 14.12.2023 (siehe dort insbesondere Rn. 82) ausgeführt hat, dass auch der bloße Kontrollverlust einen Schaden nach Art. 82 Abs. 1 DSGVO darstellen kann. Wie sich aus den weiteren Ausführungen der Entscheidung insbesondere unter Rn. 86 gibt, ist der EuGH jedoch ausdrücklich der Auffassung, dass ein Kontrollverlust einen immateriellen Schaden darstellen kann . Dies impliziert die Aussage, dass nicht jeder Kontrollverlust einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSG VO darstellen muss. In dem Sachverhalt, welcher dem Urteil vom 14.12.2023 zugrunde lag, ging es um einen Kontrollverlust, der im Zusammenhang mit einem Cyberangriff erfolgte, also um einen Kontrollverlust, der mit weitaus größeren Risiken verbunden war. In der Entscheidung vom 25.01.2024 hat der EuGH zu einem konkreten Fall des Konkurskontrollverlustes Stellung genommen, welcher nach der Bewertung der Kammer mit dem vorliegenden Kontrollverlust eher vergleichbar ist. Der EuGH hat in Rn. 69 folgendes festgestellt:

„Daher ist auf die fünfte Frage zu antworten, dass Art. 82 Abs. 1 DSGVO dahin auszulegen ist, dass in einem Fall, in dem ein Dokument, das personenbezogene Daten enthält, an einen unbefugten Dritten weitergegeben wurde, der diese Daten erwiesenermaßen nicht zur Kenntnis genommen hat, nicht schon deshalb ein „immaterieller Schaden“ i. S. dieser Bestimmung vorliegt, weil die betroffene Person befürchtet, dass im Anschluss an die Weitergabe, die es ermöglichte, vor der Rückgabe des Dokuments eine Kopie von ihm anzufertigen, in der Zukunft eine Weiterverbreitung oder gar ein Missbrauch ihrer Daten stattfindet.“

Die Tatsache, dass die Beklagte vorliegend den Auskunftsanspruch formal nicht erfüllt hat, sondern mit dem Hinweis reagiert hat, sie habe die Bewerbungsunterlagen des Klägers gelöscht, stellt kein taugliches Indiz dafür dar, dass ein Missbrauch ernsthaft befürchtet werden muss. Allein der diffuse Verweist darauf, dass dies für den Kläger ein emotionales Ungemach darstelle, genügt nicht zur Darlegung eines immateriellen Schadens nach Art. 82 DSGVO. Dieser Vortrag rechtfertigt nicht die Annahme, dass, für den Kläger eine begründete Befürchtung bestand, die ihn in seiner physischen oder psychischen Sphäre oder in seinem Beziehungsleben beeinträchtigt. Erst recht ist nicht erkennbar, dass die Befürchtung ihm tatsächlich und konkret einen realen und sicheren emotionalen Schaden zugefügt hat (vergleiche Schlussanträge von GA Pitruzella vom 27.04.2023 - C-340/21, Rn. 82 S.).

3. Mangels Anspruchs des Klägers auf Zahlung eines Schadensersatzes stehen dem Kläger auch keine Zinsen zu.

B. Da der Kläger im Rechtsstreit unterlag, trägt er gemäß den §§ 46 Abs. 2 ArbGG, 91 Abs. 1 ZPO die Kosten des Rechtsstreits. Die Streitwertfestsetzung beruht auf den §§ 61 Abs. 1 ArbGG, 3 ff. ZPO. Gründe für die gesonderte Zulassung der Berufung nach § 64 Abs. 3 ArbGG waren nicht ersichtlich. Hiervon unberührt bleibt die Möglichkeit der Berufungseinlegung gemäß § 64 Abs. 2 b) ArbGG.