Schadenersatz bei Datenschutzverstößen

13. Februar 2023 Datenschutzverstöße

Beschäftigte können bei Datenschutzverstößen für materielle und immaterielle Schäden einen finanziellen Ausgleich verlangen. Die Gerichte setzen bei immateriellen Schäden allerdings enge Grenzen. Rechtsanwältin Silvia Mittländer klärt in »Computer und Arbeit« 1/2023 die Details.

Wer bei der Verarbeitung von personenbezogenen Daten gegen die Pflichten aus der DSGVO oder dem BDSG verstößt, muss dem Geschädigten einen Schadenersatz zahlen. Dieser Grundsatz ist in Art. 82 DSGVO verankert.

Die Vorschrift gilt auch im Arbeitsrecht: Daher sind Arbeitgeber den Beschäftigten zum Schadenersatz verpflichtet, wenn sie deren personenbezogene Daten – also die Beschäftigtendaten – nicht ordnungsgemäß verarbeiten und dadurch das Recht der Beschäftigten auf »informationelle Selbstbestimmung« verletzen. Wann und unter welchen Voraussetzungen den Beschäftigten ein solcher Schadenersatzanspruch zusteht, ist bisher jedoch nur in Grundzügen ausformuliert.

Schadenersatzanspruch

Verstößt ein Arbeitgeber gegen datenschutzrechtliche Bestimmungen und entsteht den Beschäftigten ein Schaden, so schuldet der Arbeitgeber den Ersatz desselben. Von der Regelung des Art. 82 DSGVO sind sowohl materielle als auch immaterielle Schäden erfasst. Unter materiellen Schäden sind Vermögensschäden zu verstehen, also unmittelbar finanziell bezifferbare Einbußen oder Verluste. Immaterielle Schäden sind solche, die nicht das Vermögen schädigen, sondern ein anderes Rechtsgut.

Der Hauptanwendungsfall für einen immateriellen Schaden sind Verletzungen des Persönlichkeitsrechts, im Datenschutzrecht insbesondere das »Recht auf informationelle Selbstbestimmung«. Der Anspruch bei immateriellen Schäden wird Schmerzensgeld genannt.

Höhe des Schadenersatzes

Beim Eintritt eines materiellen Schadens bemisst sich die Höhe des Schadens in der Regel an den entgangenen Vorteilen, also z. B. an der zu niedrigen Bonuszahlung, sofern der Arbeitgeber die fehlerhafte Leistungsbeurteilung gespeichert hat.

Schwieriger wird die Bezifferung des Schadens, wenn durch den Datenschutzverstoß eine neue Beschäftigung nachweisbar vereitelt wird. Denn es stellt sich die Frage des Zeitraums, für den dies geltend gemacht werden kann. Hier kommt es immer auf die Umstände des Einzelfalls an. Dabei ist nicht nur zu berücksichtigen, wie hoch die Vergütung bei der neuen Arbeitsstelle gewesen wäre, sondern auch, ob und wie schnell eine andere neue Tätigkeit gefunden wird.