Arbeitsgericht Duisburg – Eine Auskunft kann bereits nach 16 Tagen verspätet sein…
Am 03.11.2023 hat das Arbeitsgericht Duisburg ein Urteil (5 Ca 877/23) bezüglich einer Entschädigung auf Grund einer „verspäteten“ Auskunft gem. Art. 15 DSGVO veröffentlicht. Dieses Urteil sollte allen Unternehmen bekannt sein, denn sollte sich die Argumentation durchsetzen, könnte die Entscheidung durchaus Missbrauchspotenzial bieten!
Worum geht es?
Der Kläger (Bewerber) hatte sich 2017 bei der Beklagten (Inkassodienstleister, Unternehmen) beworben. Am 18.05.2023 hat der Bewerber eine Auskunft bezüglich der über ihn gespeicherten und verarbeiteten personenbezogenen Daten gefordert. Der Bewerber setzte im Auskunftsersuchen eine Frist bis zum 03.06.2023 für die Beantwortung der Anfrage. Diese Frist ließ das Unternehmen verstreichen. Aus diesem Grund erinnerte der ehemalige Bewerber am 03.06.2023 an sein Auskunftsersuchen und erhielt am 05.06.2023 eine Negativauskunft, wonach keine Daten zu seiner Person im Unternehmen verarbeitet würden.
Da das Unternehmen, die vom Bewerber selbst gesetzte Frist kommentarlos verstreichen ließ, bat der Bewerber um Mitteilung, aus welchem Grund die Auskunft verzögert erfolgt sei. Das Unternehmen vertrat die Ansicht, dass die Auskunft gem. Art. 12 DSGVO fristgerecht erteilt worden sei. Dem widersprach der Bewerber und forderte 1.000 EUR Entschädigung vom Unternehmen, welches den Anspruch verneinte.
Argument des Unternehmens
Das Unternehmen vertrat die Ansicht, dass eine Auskunft grundsätzlich innerhalb eines Monats zu beantworten ist.
Art. 12 Abs. 3 S. 1 DSGVO: „Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung.“
Argument des Bewerbers
Art. 12 Abs. 3 S. 1 DSGVO gibt vor, dass eine Antwort unverzüglich – also ohne schuldhafte Zögern – zu beantworten sei. Der genannte Monat sei eine Maximalfrist und gerade das Nichtvorliegen von Daten sollte einen so niedrigen Bearbeitungsaufwand bedeuten, dass keine Notwendigkeit besteht die Maximalfrist auszunutzen.
Die selbst gesetzte Frist von 2 Wochen sei, in Anbetracht der erhaltenen Negativauskunft, angemessen gewesen.
Ihm sei ein immaterieller Schaden entstanden, denn er habe einen Kontrollverlust über seine Daten erfahren, da seine Rechte (temporär) eingeschränkt waren. Auf Grund eines vor einigen Jahren erfahrenen Hacker-Angriffs sei er diesbezüglich sehr sensibel.
Urteil des Gerichts
Das Arbeitsgericht sah die Klage teilweise als begründet an. Es folgte der Argumentation des Bewerbers, wonach die Antwort nicht unverzüglich erfolgt sei. Unverzüglich bedeute zwar nicht sofort, es bedeute aber auch nicht, dass eine starre Zeitvorgabe vorhanden sei. Der in Art. 12 DSGVO genannte Monat stelle eine Höchstfrist dar, die nicht routinemäßig ausgeschöpft werden dürfe, sondern nur in schwierigen Fällen.
Die Beantwortung innerhalb von 19 Kalendertagen (inkl. Wochenenden, Feier- und Brückentagen – konkret in diesem Fall 9 Arbeitstage – sind im Falle dieser Negativauskunft nicht unverzüglich, denn das Auskunftsverlangen in Bezug auf einer zurückliegenden Bewerbung sei ein überschaubarer Vorgang, der nicht komplex sei.
Das Gericht geht davon aus, dass eine Zeitspanne von mehr als einer Woche nicht mehr unverzüglich wäre, sofern keine besonderen Umstände vorliegen, die eine Verzögerung rechtfertigen. Dabei wird Bezug auf ein Urteil des BAG genommen (BAG, Urteil v. 27.2.2020 — 2 AZR 390/19).
Dem Bewerber stehe damit eine Entschädigung zu. Die Kammer hielt in Abwägung aller im Urteil nachlesbaren Argumente eine Entschädigung von 750,00 EUR für angemessen.
Interessant ist aber auch folgende Begründung des Gerichts: „Auch der Einwand der Beklagten, von dem einzelnen Mitarbeiter als Sachbearbeiter könne man nicht verlangen, dass er Kenntnis davon hat, dass es nicht ausreiche, einen entsprechenden Antrag innerhalb von zwei Wochen zu bearbeiten, vermag nicht zu überzeugen. Es ist vielmehr Sache der Beklagten als Arbeitgeber eine Organisationsstruktur zu schaffen, welche die rechtzeitige Bearbeitung der Anfragen im System ermöglicht.“
Unsere Meinung
Über den vorliegenden Fall kann man geteilter Meinung sein. Beim Lesen der Argumentationen wirkte es für uns bereits befremdlich, dass der Bewerber auf Grund eines vor mehreren Jahren erfolgten Hacker-Angriffs sensibel auf einen Kontrollverlust reagiere und damit die Überschreitung der selbst gesetzten Frist bemängelt. Denn: Während die Fristüberschreitung lediglich wenige Tage beträgt, wurde die Auskunft trotz der selbst festgestellten Sensibilität erst etwa 6 Jahre nach der eigentlichen Bewerbung angefordert. Dieser Zeitraum der „Unkenntnis“ in Bezug auf die über ihn verarbeiteten Daten wiegt aus unserer Sicht deutlich schwerer als die Fristüberschreitung um wenige Tage.
Zudem sehen wir das eigenständige Setzen der Antwortfrist ebenfalls kritisch. Denn unabhängig von der Definition der „Unverzüglichkeit“ des BAG besteht mit der Festlegung im Art. 12 DSGVO bereits eine Maximalfrist. Die selbst gesetzte Frist stellt ebenfalls „nur“ eine Maximalfrist dar. In beiden Fällen würde eine unverzügliche Beantwortung eine Unterschreitung der Maximalfrist bedeuten. Da der Gesetzgeber bereits eine durch unverzügliche Beantwortung der Anfrage zu unterschreitende Maximalfrist festgelegt hat, würde eine weitere Reduzierung der Frist unserer Meinung nach dem Sinn des Art. 12 DSGVO widersprechen. Denn auch wenn man bei einer Bewerbung davon ausgehen können sollte, dass die Daten nach etwa 6 Jahren nicht mehr im Unternehmen vorliegen (Stichwort „Aufbewahrungs-/Löschfristen“), so konnte der Bewerber dies zum Zeitpunkt des Auskunftsersuchens noch nicht wissen und damit nicht automatisch von einer ohne zusätzlichen Aufwand zu erstellenden Negativauskunft ausgehen.
Zudem kann man in Bezug auf die Maximalfrist unserer Meinung nach auch umgekehrt argumentieren! Gem. Art. 12 Abs. 3 S. 1 DSGVO ist die Antwort „in jedem Fall (aber) innerhalb eines Monats“ zu leisten. Und wenn besondere Umstände vorliegen, weil eine Auskunft zu komplex ist oder zu viele Anträge vorliegen, kann diese Frist – wenn das Unternehmen den Betroffenen darüber informiert und angemessen über die Gründe unterrichtet – sogar gem. Art. 12 Abs. 3 S. 2 DSGVO auf insgesamt drei Monate verlängert werden. Sofern keine besondere Komplexität vorliegt, gibt der Gesetzgeber dem Unternehmen damit aus unserer Sicht ausdrücklich die Maximalfrist von einem Monat.
Unser Fazit
Auch wenn dieses Urteil bisher nur erstinstanzlich vom Arbeitsgericht Duisburg gefällt wurde und aus unserer Sicht dem Sinn des Art. 12 DSGVO widerspricht, könnte es doch von dem einen oder anderen Trittbrettfahrer als Gelegenheit zur Generierung von Ansprüchen genutzt werden.
Handlungsempfehlung
Bereits im September haben wir alle Mandanten dazu aufgerufen die Mitarbeiter erneut in Bezug auf die Betroffenenrechte zu sensibilisieren. Wir haben dazu eine Vielzahl von Möglichkeiten benannt, wie die Sensibilisierung der Mitarbeiter erfolgen kann.
Zusätzlich zu unseren Informationen aus September sollte dieses Urteil genutzt werden, um die Brisanz der Betroffenenrechte nochmals zu unterstreichen.
Stellen Sie sicher, dass Ihre Mitarbeiter angemessen unterrichtet sind, damit Betroffenenanfragen schnell zu den notwendigen Mitarbeitern weitergereicht werden und dort zeitnah – „unverzüglich“ – bearbeitet werden.
