Verstoß: Verspätete Auskunft entgegen Art. 15 DSGVO

Tenor

1. Die Beklagte wird verurteilt, an den Kläger eine Geldentschädigung in Höhe von 10.000,00 € zu zahlen nebst Zinsen in Höhe von 5 Prozentpunkten über dem
   jeweiligen Basiszinssatz seit dem 17.01.2023.
2. Die Beklagte hat die Kosten des Rechtsstreits zu tragen.
3. Der Streitwert wird auf 2.000,00 € festgesetzt.
4. Die Berufung wird nicht gesondert zugelassen, soweit diese nicht von Gesetz wegen zugelassen ist.

Tatbestand

Die Parteien streiten über die Zahlung einer Geldentschädigung nach Art. 82 DSGVO.

Der Kläger war vom [...] bei der Rechtsvorgängerin der Beklagten am Standort [...] beschäftigt.

Bereits 2020 erteilte die Beklagte dem Kläger mit Schreiben vom 7.9.2020 (Abl. Bl. 155 ff. d. GA) auf Antrag des Klägers Auskunft nach Art. 15 DSGVO. Auf den Inhalt des Schreibens wird Bezug genommen.

Mit Schreiben vom 1.10.2022 (Abl. Bl. 18 d. GA), zugegangen am selben Tage, forderte der Kläger die Beklagte auf, ihm bis zum 16.10.2022 (erneut) eine Auskunft und Datenkopie auf Grundlage von Art. 15 DSGVO zu erteilen. Als die Beklagte hierauf nicht reagierte, erinnerte der Kläger mit Schreiben 21.10.2022 (Abl. Bl. 21 d. GA), zugegangen am selben Tage, an die gewünschte Auskunft mit weiterer Fristsetzung bis zum 31.10.2022. Mit Schreiben vom 27.10.2022 (Abl. Bl. 24 ff. d. GA) erteilte die Beklagte eine Auskunft und eine Kopie der noch gespeicherten Daten. Auf den Inhalt des Schreibens der Beklagten wird Bezug genommen. Mit Schreiben vom 4.11.2022 (Abl. Bl. 53 ff. d. GA) wies der Kläger die Beklagte darauf hin, dass die erteilte Auskunft nicht nur verspätet, sondern auch inhaltlich mangelhaft erfolgt sei. Es fehle an konkreten Angaben zur Dauer der Datenspeicherung, die Empfänger der Daten des Klägers seien nicht namhaft gemacht und die Datenkopie sei unvollständig. Auf den weiteren Inhalt des Schreibens des Klägers wird verwiesen. Mit Schreiben vom 11.11.2022 (Abl. BI. 58 ff. d. GA), zugegangen am selben Tage, teilte die Beklagte dem Kläger mit, dass die Datenempfänger den Kläger nicht interessierten sollten und konkretisierte ihre bisherigen Angaben zu Speicherdauer und der Datenkopie. Mit Schreiben vom 18.11.2022 (Abl. Bl. 64 ff. d. GA), zugegangen am selben Tage, wies der Kläger u. a. darauf hin, dass die konkreten Empfänger seiner Daten mitzuteilen seien und dass mauch die Speicherdauer anzugeben sei. Darüber hinaus sei die Datenkopie immer noch unzureichend. Auf den Inhalt des Schreibens wird verwiesen. Mit Schreiben vom 1.12.2022 (Abl. Bl. 71 ff. d. GA) konkretisierte die Beklagte ihre Informationen. Auf den Inhalt des Schreibens wird verwiesen. Mit Schreiben vom 9.12.2022 und 30.12.2022 (Abl. Bl. 77 ff. d. GA) verlangte der Kläger die weitere Vervollständigung der von ihm verlangten Daten und schließlich die Zahlung einer Geldentschädigung von 2000,-€ mit Fristsetzung bis zum 6.1.2023. Eine Reaktion der Beklagten erfolgte nicht.

Mit seiner am 7.1.2023 beim Arbeitsgericht anhängig gemachten und unter dem 17.01.2023 zugestellten Klage begehrt der Kläger von der Beklagten eine Geldentschädigung, die er in das Ermessen des Gerichts stellt, die allerdings 2000,-€ nicht unterschreiten sollte. Er ist der Auffassung, die Beklagte habe gegen die DSGVO verstoßen und sei daher zur Zahlung einer Geldentschädigung verpflichtet. Sein Auskunftsrecht sei mehrfach verletzt worden. Zum einen hätte die Beklagte unverzüglich im Sinne von Art. 12 DSGVO Auskunft erteilen müssen, was sie nicht getan habe. Eine Auskunft über drei Wochen nach Geltendmachung sei nicht unverzüglich. Es handele sich auch nicht um einen komplexen Sachverhalt, der ein längeres Zuwarten rechtfertige. Inhaltlich sei die Auskunft in mehrfacher Hinsicht unzureichend. Zum einen seien die konkreten Empfänger und nicht lediglich die allgemeinen Kategorien von Empfängern bekannt zu geben, soweit die konkreten Empfänger bekannt seien. Dies habe die Beklagte aber erst auf entsprechende Nachfrage und deutlich zu spät beantwortet. Darüber hinaus habe die Beklagte die Speicherdauer nicht konkret benannt, obwohl sie hierzu verpflichtet gewesen wäre. Ein Verweis auf gesetzliche Aufbewahrungspflichten sei hier nicht ausreichend. Gerade bei einem beendeten Arbeitsverhältnis sei der Zeitpunkt der Löschung absehbar. Er habe außerdem das Recht, in angemessenen Abständen seine Auskunftsrechte wahrzunehmen und zwar auch, wenn zuvor bereits Auskünfte erteilt worden seien. Es komme nicht darauf an, was die auskunftsverlangende Person bereits wisse, sondern was der Verantwortliche noch über die anfragende betroffene Person verarbeite. Sein Auskunftsersuchen sei auch nicht rechtsmissbräuchlich gewesen. Vielmehr frage er in regelmäßigen Abständen bei Unternehmen, Behörden etc, mit denen er in Kontakt stehe, an, welche Daten diese wie genau verarbeiten. Die Vertragspartner sollten sich über die Datenverarbeitung bewusst werden und er wolle die Rechtmäßigkeit der Verarbeitung regelmäßig überprüfen. Der Beklagten sei es außerdem verwehrt, sich auf Rechtsmissbrauch zu berufen, da sie ihm dies nicht binnen der Monatsfrist mitgeteilt und ihn auf sein Beschwerderecht bei der Aufsichtsbehörde hingewiesen habe, Art. 12 Abs. 4 DSGVO. Darüber hinaus führe die Rechtsausübung aus sachfremden Erwägungen sowieso nicht zur Erfüllung des Tatbestands „offenkundig unbegründet“, Art. 12 Abs. 5 DSGVO. Der Kläger ist der Auffassung, ihm stehe wegen der Verstöße der Beklagten gegen ihre Auskunftspflichten aus Art. 15 DSGVO ein Anspruch auf immateriellen Schadenersatz zu. Bereits der Datenschutzverstoß begründe einen immateriellen Schaden, ohne dass weitere Umstände hinzutreten müssten. Der Kläger verweist unter anderem auf den Beschluss des BAG v. 26.8.2021 (8 AZR 253/20). Jedoch bestehe auch ein immaterieller Schaden in Form eines Kontrollverlustes, da die Rechtmäßigkeit der Verarbeitung von ihm nicht überprüft und daher etwaige Rechte nicht ausgeübt werden konnten. Dabei handele es sich auch nicht um einen unerheblichen Schaden - der Kläger verweist insofern auf den Beschluss des BVerfG v. 14.1.2021 (1 BvR 2853/19), in dem das BVerfG die fehlende Erheblichkeit nicht als Ablehnungsgrund für Geldentschädigung anerkannt hat (im Fall dem Empfänger einer SPAM-mail). Verjährung könne noch nicht eingetreten sein, da die Beklagte noch Daten von ihm verarbeite. Da der Schadenersatzanspruch eine wirklich abschreckende Wirkung auf den Verantwortlichen entfalten müsse, sei die Finanzkraft der Beklagten, einem milliardenschweren [...] der Festlegung der Höhe des Schadenersatzes zu berücksichtigen.

Die Beklagte hat zunächst den Rechtsweg zum Arbeitsgericht gerügt. Nach Hinweis des Gerichts in der mündlichen Verhandlung auf den Beschluss des BAG v. 3.2.2014 (10 AZB 77/13) hat die Beklagte diese Rüge nicht aufrechterhalten und den Antrag auf Rechtswegverweisung zurückgenommen.

Der Kläger beantragt zuletzt,

die Beklagte zu verurteilen, an ihn eine Geldentschädigung, deren Höhe in das Ermessen des Gerichts gestellt wird, einen Betrag von 2.000,00 Euro aber nicht unterschreiten sollte, nebst Verzugszinsen in Höhe von fünf Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.

Die Beklagte beantragt,

die Klage abzuweisen.

Hilfsweise beantragt die Beklagte,

die Aussetzung des Verfahrens bis zur Entscheidung des EuGH in der Rechtsfrage C-300/21.

Die Beklagte ist der Auffassung, dem Kläger stehe der geltend gemachte Schadensersatzanspruch nicht zu. Es fehle am Nachweis eines immateriellen Schadens. Diese

Rechtsfrage liege zurzeit dem EuGH vor (C-300/21), weswegen die Beklagte hilfsweise beantragt, den Rechtsstreit bis zur Entscheidung des EuGHs auszusetzen. Denn der Kläger habe über den möglicherweise bestehenden Ärger über von ihm behauptete Rechtsverletzungen der Beklagten keinen weiteren Schaden dargelegt, insbesondere keinen, der eine gewisse Erheblichkeitsschwelle überschritten habe. Die Klage sei außerdem unbegründet: Die Beklagte habe nicht gegen die DSGVO verstoßen und im Übrigen sei auch kein Schaden entstanden. Ein Verstoß gegen Art. 15 DSGVO sei nicht gegeben: Die Auskunft sei zunächst nicht verspätet erfolgt, da „besondere Umstände“ vorgelegen hätten, aufgrund derer die Monatsfrist greife. Es habe sich nicht um ein „normales“ Auskunftsersuchen gehandelt, das im Standardprozess durch die Personalabteilung auf Knopfdruck kurzfristig habe beantwortet werden können. Vielmehr habe die Beklagte aufgrund des Konfliktpotentials (bereits in 2020 gestellter Antrag) das Auskunftsersuchen durch Personalabteilung, Rechtsabteilung und Datenschutzbeauftragten prüfen lassen. Da dem Kläger bereits in 2020 die konkreten Empfänger seiner Daten bekannt gemacht worden seien, sei kein sachlicher Grund erkennbar gewesen, warum er diese Angaben erneut benötigt habe. Der Kläger betreibe systematisch ein Geschäft mit den Ansprüchen nach der DSGVO und handele rechtsmissbräuchlich. Es handele sich um einen offensichtlich unbegründeten und exzessiven Antrag nach Art. 12 Abs. 5 S. 3 DSGVO. Denn es sei nicht erkennbar, inwieweit die Auskunft dem Kläger einen Vorteil bringen könnte. Es sei kein rechtsschutzwürdiges Interesse erkennbar. Aufgrund eines entsprechenden Geschäftsmodells sehe sich beispielsweise die [...] genötigt, vor missbräuchlicher Geltendmachung von Betroffenenrechten zu warnen.

Entscheidungsgründe

I.

Die Klage ist zulässig. Der Rechtsweg zu den Arbeitsgerichten ist eröffnet und das Verfahren war auch nicht auszusetzen gemäß § 148 ZPO. 1. Die Beklagte hat die zunächst erhobene Rüge des Rechtswegs zu Recht zurückgenommen, denn der Rechtsweg zu den Arbeitsgerichten ist gem. § 2 ArbGG wegen Sachzusammenhangs unzweifelhaft eröffnet (vgl. hierzu Beschluss des BAG v. 3.2.2014 - 10 AZB 77/13). 2. Das Verfahren war nicht gemäß § 148 ZPO auszusetzen. Denn die Entscheidung des EuGHs in Sachen C-300/21 ist nicht vorgreiflich im Sinne von § 148 ZPO. Vorgreiflichkeit setzt voraus, dass in dem anderen Prozess über ein Rechtsverhältnis, also eine bestimmte, rechtlich geregelte Beziehung einer Person zu anderen Personen bzw. Gegenständen, welches im auszusetzenden Prozess Vorfrage ist, entschieden wird. Das aussetzende Gericht müsste etwa gehindert sein, ohne Bindung an das andere Verfahren, Feststellungen zu einzelnen Tatbestandsmerkmalen zu treffen (Mü- KoZPO/rritsche, 6. Aufl. 2020, ZPO 8 148 Rn. 5). Dies ist vorliegend nicht der Fall, da die Entscheidung des EuGHs keine Bindungswirkung für das hiesige Gericht hat.

II.

Die Klage ist in ausgeurteilter Höhe begründet. Der Kläger hat gegen die Beklagte Anspruch auf Schadensersatz in Höhe von 10.000,- Euro aus Art. 82 Abs. 1 DSGVO nebst Zinsen. Denn die Beklagte hat in mehrfacher Hinsicht vorsätzlich gegen die DSGVO verstoßen und ist daher zur Zahlung einer Geldentschädigung in ausgeurteilter Höhe verpflichtet. Hierzu im Einzelnen: T Die Beklagte ist als ehemalige Arbeitgeberin des Klägers Verantwortliche für die Verarbeitung der personenbezogenen Daten des Klägers iSd Art. 4 Nr. 7 DSGVO und hat gegen ihre Pflichten als Verantwortliche gegen die DSGVO zeitlich und inhaltlich verstoßen.

a)

Die Beklagte hat zum einen gegen die Vorgabe aus Art. 12 Abs. 3S. 1 DSGVO verstoßen, wonach die beantragten Informationen nach Art. 15 DSGVO unverzüglich nach Eingang des Antrags zur Verfügung zu stellen sind, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags.

aa)

Der Verantwortliche muss alle Anträge der betroffenen Person, mit denen diese ein Betroffenenrecht geltend macht, beschleunigt behandeln. Art. 12 Abs. 3 und Abs. 4 DSGVO errichten für die Positivantwort und die Negativantwort gleichermaßen eine Pflicht zur unverzüglichen Unterrichtung. Die Pflicht zur unverzüglichen Positivantwort impliziert, dass der Verantwortliche das Betroffenenrecht selbst gleichfalls unverzüglich zu erfüllen hat. Als Höchstfrist legen beide Normen einen Monat ab Antragseingang fest. Diese Höchstfrist darf nicht routinemäßig, sondern nur in schwierigeren Fällen ausgeschöpft werden (Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 12 Rn. 33). Dabei ist unter unverzüglich, angelehnt an § 121 BGB, „ohne schuldhaftes Zögern“ zu verstehen (Franck in Gola/Heckmann, DS-GVO 3. Aufl, Art. 12 Rn. 25). Da „unverzüglich“ weder „sofort“ bedeutet noch damit eine starre Zeitvorgabe verbunden ist, kommt es auf eine verständige Abwägung der beiderseitigen Interessen an (BAG 19.4.2012 — 2 AZR 118/11 -). Nach einer Zeitspanne von mehr als einer Woche ist ohne das Vorliegen besonderer Umstände grundsätzlich keine Unverzüglichkeit mehr gegeben (BAG, Urteil v. 27.2.2020 - 2 AZR 390/19). Entgegen der Ansicht der Beklagten hat sie also nicht grundsätzlich eine Monatsfrist zur Erfüllung der Betroffenenrechte. Denn dann würde — worauf der Kläger zurecht hinweist - das Gebot der Unverzüglichkeit leerlaufen und hätte keinerlei Anwendungsbereich mehr.

bb)

Unter Zugrundelegung der dargestellten Rechtsgrundsätze, war die Auskunft der Beklagten in mehrfacher Hinsicht verspätet:

(1)

Die Beklagte hat gegen die Frist des Art. 12 Abs. 3 DSGVO verstoßen, da sie nicht unverzüglich, das heißt ohne schuldhaftes Zögern auf den Auskunftsantrag des Klägers reagiert und seine Ansprüche erfüllt hat. Das Auskunftsbegehren des Klägers erreichte die Beklagte am 1.10.2022. Beantwortet hat die Beklagte den Antrag erstmalig am 27.10.2022, das heißt fast vier Wochen nach Eingang des Auskunftsantrags. Die Beklagte konnte nicht darlegen, warum genau sie fast vier Wochen zur Erfüllung eines Auskunftsbegehrens gebraucht hat, das sie zwei Jahre zuvor bereits beantwortet hatte. Pauschal behauptet die Beklagte, wegen des „Konfliktpotentials“ des gestellten Antrags habe sie den Antrag durch Personalabteilung, Rechtsabteilung und Datenschutzbeauftragten prüfen lassen. Die unter dem 27.10.2022 dem Kläger gegebene Antwort deutet hingegen an keiner Stelle darauf hin, dass die Beklagte das Auskunftsbegehren besonders geprüft hat - im Gegenteil: die Antwort ist an keiner Stelle personalisiert, sondern verliert sich in allgemeinen Ausführungen zur allgemeinen Übermittlung und Verarbeitung personenbezogener Daten bei der Beklagten. An keiner Stelle werden die konkreten Empfänger der konkreten Daten des Klägers benannt oder aber konkrete Löschungszeitpunkte. Es handelt sich mehr oder weniger um ein allgemeines Informationsschreiben, dem eine Auflistung der mitarbeiterbezogenen Daten des Klägers beigefügt war. Die Kammer kann — auch nach dem sehr ausführlichen Rechtsgespräch in der mündlichen Verhandlung - nicht erkennen, an welcher Stelle die gespeicherten Daten nicht „auf Knopfdruck“ verfügbar gewesen sein sollen. Selbst wenn die Daten an unterschiedlichen Speicherorten im Unternehmen der Beklagten verfügbar waren, war es jeweils ein Knopfdruck, um die Daten zu personalisieren. Dass es für die Beklagte ggfs. aufwendig war, die unterschiedlichen Stellen anzusteuern und die Daten zusammenzutragen, mag stimmen. Allerdings kann die Kammer nicht nachvollziehen, warum das nicht bei jeder anderen Datenanfrage das gleiche Problem sein sollte. Dann mag die Beklagte ihre Strukturen verbessern und die Abläufe zügiger gestalten. Das ist allein ihre Organisationsaufgabe. Diese Erwägungen werden gestützt von der Tatsache, dass die Beklagte sämtliche Daten des Klägers bereits zwei Jahre zuvor aufbereitet und zusammengetragen hatte. Es ging lediglich um einen Datenabgleich und das Herausarbeiten von Veränderungen im Vergleich zu 2020.

(2)

Darüber hinaus war die Auskunft über die konkreten Empfänger der verarbeiteten Daten sowie die Auskunft über den konkreten Löschungszeitpunkt auch unter Zugrundelegung der Rechtsauffassung der Beklagten, dass sie immer einen Monat für die Auskunftserteilung Zeit habe, verspätet: Denn der Kläger begehrte Auskunft unter dem 1.10.2022 und die Beklagte erfüllte die konkreten Auskünfte weder mit Schreiben vom 27.10.2022 noch mit Schreiben vom 11.11.2022. Erst mit Schreiben vom 1.12.2022 - also zwei Monate nach dem gestellten Auskunftsantrag — erfolgten konkretere Angaben zum Empfänger der Daten sowie zur Speicherdauer (dazu unten unter Il 1 b) und c)). Dies war in jedem Fall zu spät, da ein Monat längst abgelaufen war. Einen Verlängerungsantrag i. S. v. Art. 12 Abs. 3 S. 2 DSGVO hat die Beklagte beim Kläger trotz entsprechender Möglichkeit nicht gestellt.

b)

Die Beklagte hat außerdem gegen Art. 15 Abs. 1 lit.c DSGVO verstoßen als sie dem Kläger die konkreten Empfänger seiner personenbezogenen Daten zunächst gar nicht und mit Schreiben vom 1.12.2022 sodann unzureichend mitgeteilt hat.

aa)

Der Verantwortliche hat über die konkreten Empfänger der Daten Auskunft zu erteilen, sofern dem Verantwortlichen diese bereits bekannt sind und nur dann, wenn der Verantwortliche die konkreten Empfänger noch nicht kennt, darf er sich auf die Angabe der Kategorien von Empfängern beschränken (BeckOK zum IT-Recht, 8.Edition, Stand: 01.10.2021, DSGVO, Art. 15 Rn. 23; Simitis/Hornung/Spiecker, Datenschutzrecht, 1.Auflage 2019, DSGVO, Art. 15 Rn. 20; Ehmann/Selmayr, DSGVO, 2.Auflage 2018, Art. 15 Rn. 20).

bb)

Die Beklagte hat gegen diese Pflicht aus Art. 15 Abs. 1 lit c DSGVO verstoßen, als sie dem Kläger in ihren Schreiben vom 27.10.2022 und 11.11.2022 lediglich die Kategorien der Empfänger seiner Daten mitteilte und den Kläger mit Schreiben vom 11.11.2022 aufforderte, ihr einen Grund mitzuteilen, warum die konkreten Empfänger ihn interessierten. Erst mit Schreiben vom 1.12.2022 teilte die Beklagte dem Kläger die konkreten Empfänger seiner Daten mit, obwohl der Kläger die Beklagte bereits mit Schreiben vom 4.11.2022 darauf hingewiesen hat, dass sie verpflichtet ist, ihm die konkreten Empfänger seiner Daten mitzuteilen. Der Beklagten waren die Empfänger der Daten des Klägers bestens bekannt, was sich aus der am 1.12.2022 erteilten Auskunft ergibt. Daher ist nicht nachvollziehbar, warum die Beklagte die konkreten Empfänger trotz Kenntnis dem Kläger nicht unverzüglich mitteilte. Die Beklagte kann sich gegenüber dem Anspruch des Klägers nicht erfolgreich darauf berufen, dass sie dem Kläger die gewünschte Auskunft bereits in 2020 erteilt hat und dass kein sachlicher Grund dafür erkennbar sei, dass der Kläger diese Auskunft erneut brauche. Denn das Kriterium des sachlichen Grundes bei bereits zuvor erteilter Auskunft ist der DSGVO unbekannt. Art. 15 DSGVO ist insoweit eindeutig. Es geht eben nicht um die Kenntnis des Dateninhabers, sondern darum, ob die Beklagte als Verantwortliche die konkreten Empfänger kennt. Im Fall der Kenntnis ist sie zur Auskunft verpflichtet.

c)

Die Beklagte hat darüber hinaus gegen Art. 15 Abs. 1 lit. d DSGVO verstoßen, als sie dem Kläger die geplante Dauer für die Speicherung der jeweiligen personenbezogenen Daten weder im Schreiben vom 27.10.2022, noch im Schreiben vom 11.11.2022 mitgeteilt hat.

aa)

Den Verantwortlichen trifft gemäß Art. 15 Abs. 1 lit. d DSGVO die Pflicht, falls möglich, die geplante Dauer für die Speicherung der personenbezogenen Daten mitzuteilen. Das bedeutet, dass der Verantwortliche den konkreten Speicherzeitraum nach Jahren, Monaten und sogar Tagen anzugeben sowie auf den Beginn des Speicherzeitraums hinzuweisen hat (Sydow/Marsch, DSGVO/BDSG 3. Auflage 2022 Art. 15, Rdn. 36; Paal/Pauly/Paal Art. 15 Rn. 27).

bb)

Unter Zugrundelegung dieser Grundsätze, hat die Beklagte gegen Art. 15 Abs. 1 lit. d DSGVO verstoßen, als sie dem Beklagten mit Schreiben vom 27.10.2022 und 11.11.2022 lediglich allgemeine Hinweise auf die Erfüllung ihrer Löschungspflichten (Schreiben vom 27.10.2022) sowie die gesetzlichen Löschungspflichten allgemein für Daten (Schreiben vom 11.11.2022) mitgeteilt hat. Erst mit Schreiben vom 1.12.2022 erfolgte eine konkrete Auflistung, wann welche Daten des Klägers gelöscht werden. Der Beginn des Speicherzeitraums wurde auch hier nicht angegeben. Da die Beklagte den konkreten Löschungszeitpunkt unproblematisch für alle Daten berechnen konnte, da das Arbeitsverhältnis bereits beendet war, durfte sie dem Kläger nicht lediglich Kriterien für die Festlegung der Speicherdauer mitteilen — was sie im Übrigen auch erst im Schreiben vom 11.11.2022 ansatzweise getan hat.

d)

Die Bekl. hat nicht dargetan, für die Verstöße nicht verantwortlich zu sein, so dass gem. Art. 82 Abs. 3 DSGVO eine Haftung entfiele. Insbesondere kann sich die Beklagte nicht darauf zurückziehen, dass dem Kläger die streitgegenständlichen Informationen aufgrund der in 2020 bereits erteilten Auskunft bekannt waren. Denn der Kläger kann in angemessenen Abständen wiederholt Auskunft darüber verlangen, welche Daten der Verantwortliche noch über den Betroffenen verarbeitet. Das Auskunftsverlangen ist nach Ablauf von zwei Jahren unproblematisch in angemessenem Abstand geltend gemacht worden und ob die Auskünfte mit denen in 2020 erteilten Auskünften deckungsgleich sind, ergibt sich für den Kläger ja erst nach erfolgter wiederholter Prüfung und Auskunft der Beklagten.

Der Auskunftsantrag des Klägers war weder offenkundig unbegründet noch exzessiv im Sinne von Art. 12 Abs. 5 S. 2 und 3 DSGVO.

a)

Exzessiv ist eine Antragstellung insbesondere dann, wenn sie ohne tragfähigen Grund häufig wiederholt wird oder einen unverhältnismäßigen Umfang aufweist (Paal/Pauly/Paal/Hennemann, 3. Aufl. 2021, DS-GVO Art. 12 Rn. 64-66; Franck in Gola DS-GVO Art. 12 Rn. 35, der eine Anfrage pro Quartal als nicht exzessiv einordnet; Dix in NK-DatenschutzR DS-GVO Art. 12 Rn. 33). Wiederholte Anträge innerhalb der Monatsfrist des Art. 12 Abs. 3 sind in der Regel als exzessiv einzustufen (Greve in HK-DS-GVO Art. 12 Rn. 28; Laue/Kremer Neues DatenschutzR 166). Offenkundig unbegründet ist ein Antrag, wenn ohne eine vertiefte Prüfung erkennbar ist, dass die Voraussetzungen des gestellten Antrages nicht vorliegen (Heckmann/Paschke in Ehmann/ Selmayr DS-GVO Art. 12 Rn. 43; Dix in NK-DatenschutzR DS-GVO Art. 12 Rn. 32). Nicht gemeint ist mit „unbegründet“ eine mangelnde Begründung durch die betroffene Person bei einer Antragsstellung, zu deren Begründung die Person nicht verpflichtet ist (Dix in NK-DatenschutzR DS-GVO Art. 12 Rn. 32; Heckmann/Paschke in Ehmann/Selmayr DS-GVO Art. 12 Rn. 43). Die Vorschrift soll insbes. (rechts-)missbräuchliche Anträge unterbinden, u.a. solche, die vornehmlich auf die Schikanierung des Verantwortlichen abzielen (Paal/Pauly/Paal/Hennemann, 3. Aufl. 2021, DS-GVO Art. 12 Rn. 64-66; Bäcker in Kühling/Buchner DS-GVO Art. 12 Rn. 37; Greve in HKDS- GVO Art. 12 Rn. 28).

b)

Unter Zugrundelegung dieser Grundsätze war die Antragstellung des Klägers weder exzessiv, noch unbegründet. Der Kläger hat seinen Auskunftsanspruch nach Ablauf von zwei Jahren erneut geltend gemacht, um die Verarbeitung seiner Daten durch die Beklagte erneut zu überprüfen. Das ist in zeitlicher Hinsicht unter keinem Gesichtspunkt zu häufig. Auch kann die Kammer nicht erkennen, dass der Kläger die Beklagte schikanieren wollte: Er hat ihr eine weiträumige 2-Wochenfrist zur Beantwortung seines Antrags eingeräumt und er hat die Beklagte auf fehlende Informationen hingewiesen. Da die Beklagte tatsächlich noch Daten des Klägers verarbeitet, ist der Kläger als Inhaber dieser von der Beklagten verarbeiteten Daten in jedem Fall anspruchsberechtigt.

Der Auskunftsantrag des Klägers war auch nicht rechtsmissbräuchlich im weiteren Sinn - falls man die Auffassung vertreten sollte, dass neben Art. 12 Abs. 5 DSGVO noch ein Rechtsmissbrauchseinwand möglich ist. Rechtsmissbrauch setzt voraus, dass ein Vertragspartner eine an sich rechtlich mögliche Gestaltung in einer mit Treu und Glauben unvereinbaren Weise nur dazu verwendet, sich zum Nachteil des anderen Vertragspartners Vorteile zu verschaffen, die nach dem Zweck der Norm und des Rechtsinstituts nicht vorgesehen sind (BAG, Urteil v. 18.7.2012, - 7 AZR 443/09 Rn. 38) Zur Begründung des Rechtsmissbrauchs stützt sich die Beklagte auf die Tatsache, dass der Kläger bereits in 2020 seine Auskunftsrechte gegenüber der Beklagten als (noch) rechtmäßiger Verwenderin seiner Daten geltend gemacht hat und nunmehr erneut. Darüber hinaus scheint die Beklagte die Geltendmachung einer Geldentschädigung durch den Kläger grundsätzlich als rechtsmissbräuchlich zu qualifizieren, obwohl Art. 82 Abs. 1 DSGVO einen solchen Anspruch auch bei Vorliegen eines immateriellen Schadens normiert. Man mag über die Anspruchsvoraussetzungen unterschiedlicher Auffassung sein, Rechtsmissbrauch kann die Kammer hier jedoch nicht erkennen. Darüber hinaus weist der Kläger völlig zu Recht darauf hin, dass der Rechtsmissbrauchseinwand von der Beklagten erst unter dem 21.2.2023 erhoben wurde und damit nicht ohne Verzögerung und nicht binnen eines Monats nach Antragstellung im Sinne von Art. 12 Abs. 4 DSGVO.

Verursacht durch die genannten Verstöße hat der Kläger einen immateriellen Schaden iSd Art. 82 Abs. 1 DSGVO erlitten, der einen Entschädigungsanspruch des Klägers auslöst und zwar unabhängig von der Erheblichkeit des Schadens. Hierzu im Einzelnen:

a)

Der Begriff des Schadens ist weit auf eine Art und Weise auszulegen, die den Zielen der DSGVO in vollem Umfang entspricht (EG 146; Bergt in Kühling/Buchner, DS-GVO Art. 82 Rn. 17; Frenzel in Paal/Pauly, DS-GVO/BDSG, 2. Aufl., Art. 82 Rn. 10.mwN). Ein immaterieller Schaden entsteht nicht nur in den „auf der Hand liegenden Fällen“, wenn die datenschutzwidrige Verarbeitung zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen gesellschaftlichen Nachteilen führt, sondern auch, wenn die betroffene Person um ihre Rechte und Freiheiten gebracht oder daran gehindert wird, die sie betreffenden personenbezogenen Daten zu kontrollieren (EG 75) (so auch ArbG Düsseldorf, 9 Ca 9557/19). Das erkennende Gericht teilt insofern nicht die Auffassung der Beklagten und des OLG Koblenz (Urteil vom 13.2.2023 - 12 U 2194/21), die auf die Schlussanträge des Generalanwalts beim EuGH in Sachen C-300/21 verweisen und den Nachweis eines konkreten Schadens verlangen. Vielmehr schließt sich die erkennende Kammer insoweit der überzeugenden Auffassung des BAG (Urteil v. 26.8.2021 - 8 AZR 253/20) an:

Ferner geht der Senat davon aus, dass der Rechtsanspruch auf immateriellen Schadenersatz nach Art. 82 Abs. 1 DSGVO über eine solche Verletzung der DSG VO hinaus nicht zusätzlich erfordert, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt. Sie muss also aus Sicht des Senats keine "Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht" (vgl. dazu jedoch die dritte Vorlagefrage des Vorabentscheidungsersuchens des Obersten Gerichtshofs (Österreich) - C- 300/21 -) darlegen. Nach Auffassung des Senats führt demnach bereits die Verletzung der DSGVO selbst zu einem auszugleichenden immateriellen Schaden.

b)

Unabhängig von der Frage, ob über die bloße Rechtsverletzung hinaus ein weiterer immaterieller Schaden dargelegt werden muss oder nicht, hat der Kläger jedenfalls vorliegend durch die unzureichende und deutlich verspätete Auskunft der Beklagten einen Kontrollverlust erlitten, der als weiterer immaterieller Schaden zu qualifizieren ist und insofern einen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellt. Indem die Beklagte die Vorgaben aus Art. 15 iVm Art. 12 DSGVO (s. oben unter Il. 1) verletzt hat, hat sie das Auskunftsrecht des Klägers — das zentrale Betroffenenrecht — beeinträchtigt (vgl. Ehmann in Ehmann/Selmayr, DS-GVO Art. 15 Rn. 1 mwN; Bäcker in Kühling/Buchner, DS-GVO Art. 5 Rn. 1). Verletzt ist zugleich ein europäisches Grundrecht des Klägers; Art. 8 Abs. 2 S. 2 GRCh gewährleistet das Auskunftsrecht ausdrücklich. Durch die monatelang verspätete, dann unzureichende Auskunft war der Kläger im Ungewissen und ihm die Prüfung verwehrt, dann nur eingeschränkt möglich, ob und wie die Beklagte seine personenbezogenen Daten verarbeitet.

c)

Die Schwere des immateriellen Schadens ist für die Begründung der Haftung nach Art. 82 Abs. 1 DSGVO irrelevant und wirkt sich nur noch bei der Höhe des Anspruchs aus (LG Karlsruhe v. 2.8.2019 - 8 O 26/19, ZD 2019, 511; Gola/Pitz in Gola, DS-GVO Art. 82 Rn. 13 mwN der restriktiveren Rspr. zu § 823 | BGB iVm Art. 11, 21 GG). Es kommt also entgegen der Ansicht der Beklagten auf anspruchsbegründender Ebene nicht darauf an, ob eine gewisse Erheblichkeit gegeben ist. Insofern beruft sich der Kläger zurecht auf den Beschluss des BVerfG vom 14.01.2021 (1 BvR 2853/19) in dem das BVerfG ausführt, dass das Merkmal der Erheblichkeit weder unmittelbar in der DSGVO als Voraussetzung aufgeführt, noch vom EuGH verwendet wird.

Zum Ersatz dieses immateriellen Schadens hält die Kammer einen Betrag in Höhe von 10.000 Euro für geboten:

a)

Die betroffene Person soll einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Verstöße müssen effektiv sanktioniert werden, damit die DSGVO wirken Kann, was vor allem durch Schadensersatz in abschreckender Höhe erreicht wird (Wybitul/Haß/Albrecht, NJW 2018, 113 [115]; Bergt in Kühling/Buchner, DS-GVO Art. 82 Rn. 18; Frenzel in Paal/Pauly, DS-GVO Art. 82 Rn. 10 mwN). Gerichte können sich bei der Bemessung des immateriellen Schadensersatzes auch an Art. 83 II DS-GVO orientieren, so dass als Zumessungskriterien ua Art, Schwere, Dauer des Verstoßes, Grad des Verschuldens, Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens, frühere einschlägige Verstöße sowie die Kategorien der betroffenen personenbezogenen Daten betrachtet werden können (BeckOK Datenschutzrecht/Quaas, 31. Ed., Art. 31; Wybitul/Haß/Albrecht, NJW 2018, 113 [115]). Die Mitgliedstaaten — auch die erkennende Kammer —- sind nach dem Gedanken des Art. 4 Ill EUV verpflichtet, der DS-GVO zur Wirkung zu verhelfen.

b)

Diesen Grundsätzen entsprechend muss die Beklagte einen Schadensersatz in Höhe von insgesamt 10.000,- Euro zahlen. Dabei hat die Kammer berücksichtigt, dass der europäische Verordnungsgeber das verletzte Recht als bedeutsam einordnet, wie sich neben Art. 8 Abs. 2S. 2 GRCh auch an der Zuordnung der Art. 12 ff. DSGVO zu dem Katalog des § 83 Abs. 5 DSGVO zeigt. Es handelt sich eben nicht nur um ein einfaches Arbeitspapier. Weiter hielt der Verstoß einige Monate an, in denen der Kläger über die Datenverarbeitung durch die Beklagten im Ungewissen war. Außerdem sind die Anforderungen an die zu erteilende Auskunft nicht nur zeitlich, sondern auch inhaltlich verletzt. Überdies war der nach Vortrag des Klägers beträchtliche Umsatz der Beklagten zu berücksichtigen. Da der Schadensersatz eine angemessene Wirkung erzielen soll, hängt dessen Höhe nicht nur vom eingetretenen immateriellen Schaden, sondern auch von dem nach Art. 4 Nr. 7 DSGVO Verantwortlichen und dessen Finanzkraft ab. Mit anderen Worten: Die Verletzung der Auskunftspflicht aus Art. 15 DSGVO durch einen finanzschwächeren Verantwortlichen würde zu geringerem Schadensersatz führen (so auch ArbG Düsseldorf, 9 Ca 9557/19).

Besonders schwer wog nach Auffassung der Kammer bei der Höhe der Geldentschädigung aber das vorsätzliche Verhalten der Beklagten: Nach Überzeugung der Kammer erteilte die Beklagte die begehrte bewusst und gewollt sowohl verspätet als auch unzureichend und intransparent. Es wäre für die Beklagte zunächst ein Leichtes gewesen, über den Zeitpunkt der Auskunftserteilung mit dem Kläger in Kommunikation zu treten. Denn der Kläger hatte der Beklagten eine gut zweiwöchige Frist zur Auskunftserteilung gesetzt - was angesichts der Rechtsprechung des BAG zur Wochenfrist im Rahmen einer „unverzüglichen“ Auskunftserteilung durchaus als großzügig zu bewerten ist. Die Beklagte beantwortete das Auskunftsgesuch des Klägers vom 1.10.2022 aber nicht innerhalb dieser Frist und bat auch nicht um Verlängerung derselben. Dies wäre aber angezeigt gewesen, wenn die von der Beklagten vorgetragene eingehende Prüfung des Auskunftsverlangens absehbar war. Allein dieser Umstand zeigt bereits, dass die Beklagte vorsätzlich gegen den Beschleunigungsgrundsatz der DSGVO verstoßen hat. Dasselbe vorsätzliche Verhalten hat die Kammer bei den inhaltlichen Verstößen der Beklagten gegen die DSGVO festgestellt: Aufgrund des Schreibens der Beklagten vom 27.10.2022 und 11.11.2022 ist die Kammer zu der Überzeugung gelangt, dass die Beklagte dem Kläger ein berechtigtes Interesse an der Auskunftserteilung absprach und daher meinte, inhaltlich nicht entsprechend der Regeln der DSGVO antworten zu müssen. Denn wie sollen Antwortsätze wie folgende verstanden werden: „In der Regel sind diese Betroffenen (gemeint sind ehemalige Mitarbeiter) nicht an den konkreten Empfängern interessiert. Insoweit bitten wir Sie Ihr Auskunftsersuchen zu spezifizieren und die Kategorien anzugeben, für die Sie die Information über den konkreten Empfänger benötigen. ... Soweit Sie spezifizieren wollen, welcher Empfänger der Daten für Sie von Interesse ist und einen Grund angeben, weshalb Sie bereits archivierte Unterlagen (z. B. Arbeitsvertrag) benötigen, stehen wir gerne zur Verfügung.“ (s. Bl. 58 ff. d. GA im Schreiben der Beklagten vom 11.11.2022). Die Beklagte meint offensichtlich, dass nicht etwa sie zur umfassenden und transparenten Information verpflichtet ist, sondern dass erst einmal der Kläger konkret begründen müsse, wie seine Interessenlage ist und welche Informationen und Empfänger seiner Daten ihn aus welchem Grund besonders interessieren. Dies zeigt sich auch im Verlauf des Verfahrens, während dessen die Beklagte sich pauschal auf rechtsmissbräuchliches Verhalten des Klägers beruft und ihm anscheinend seine Rechte aus der DSGVO absprechen möchte. Dabei verkennt die Beklagte völlig, dass sie fremde Daten, nämlich die des Klägers als rechtmäßiger Inhaber dieser Daten, verarbeitet und speichert und daher die Regeln der DSGVO einhalten muss. Mit anderen Worten: Es sind nicht ihre Daten, die sie verarbeitet und speichert, und daher ist sie demjenigen, dessen Daten sie verarbeitet und speichert, Rechenschaft schuldig im Rahmen der DSGVO. Dass der Kläger mehr Interesse an seinen Daten hat als andere ehemalige Mitarbeiter, spielt für die Rechte des Klägers keine Rolle. Es bleibt jedem Dateninhaber selbst überlassen, wieviel Kontrolle er über seine Daten ausüben möchte. Das liegt nicht im Entscheidungsspielraum der Beklagten. Wenig hilfreich ist in diesem Zusammenhang auch der mehrfache Hinweis der Beklagten darauf, dass die Parteien lediglich einige Tage in einem Arbeitsverhältnis verbunden waren und dass dieses kurze Arbeitsverhältnis bereits seit Jahren beendet sei. Die Beklagte scheint der Auffassung zu sein, dass der Kläger besonders wenig Anspruch auf beschleunigte und umfassende Auskunftserteilung habe, da ja schließlich das sehr kurze Arbeitsverhältnis bereits lange beendet sei. Nach Auffassung der Kammer ist das Gegenteil der Fall: Denn obwohl die Parteien nur sehr kurz und vor mehreren Jahren in einem Vertragsverhältnis verbunden waren, verarbeitet die Beklagte noch immer eine nicht unerhebliche Anzahl relevanter personenbezogener Daten des Klägers wie Bankverbindung, Adresse, Sozialversicherungsnummer etc etc. Warum sollte der Kläger ohne Kontrolle einfach so darauf vertrauen müssen, dass die Beklagte die personenbezogenen Daten verantwortungsvoll und im Sinne der DSGVO verarbeitet, obwohl die Parteien innerhalb des zeitlich kurz bemessenen Arbeitsverhältnisses kaum ein gegenseitiges Vertrauen in die Redlichkeit des jeweils anderen aufbauen konnten. Mit anderen Worten: Warum sollte eine kurze Vertragsbeziehung das Interesse des Vertragspartners an der ordnungsgemäßen Verarbeitung und Löschung seiner Daten mindern? Umgekehrt wäre die Argumentation stringent: Je länger das Vertragsverhältnis beendet ist, desto größer ist das berechtigte Interesse des Dateninhabers, dass der Verwender der Daten diese (endlich) löscht. Jedenfalls führt die Kürze der Vertragsbeziehung und der in der Vergangenheit liegende Zeitpunkt derselben auf keinen Fall zu einer Minderung des Schadenersatzanspruchs des Klägers.

Unter Berücksichtigung all dessen hat die Kammer für die beiden inhaltlichen Verstöße gegen Art. 15 Abs. 1 DSGVO jeweils 2500,-€ Entschädigung angesetzt und für die vorsätzliche verspätete Auskunft 5000,-€.

Der Anspruch auf die geltend gemachten Zinsen ergibt sich aus §§ 291, 288 Abs. 1 BGB.

III.

Der Streitwert wurde in eingeklagter Höhe festgesetzt, §§ 46 Abs. 2 ArbGG, 3 ZPO. Richtigerweise hätte in ausgeurteilter Höhe festgesetzt werden müssen, da sich der Wert an dem angemessenen Betrag und nicht an der Mindestvorstellung des Klägers orientiert, worauf die Beklagte in Anlehnung an den Beschluss des OLG Stuttgart v. 21.1.2021 - 2 W 7/20 hinweist. Für den hier festgesetzten Rechtsmittelstreitwert ist dies jedoch ohne Belang, da die Berufung wegen Erreichens des Berufungswertes, § 64 Abs. 2 Ziff. b) per Gesetz statthaft ist.

Die Beklagte hat als unterliegende Partei die Kosten des Rechtsstreits zu tragen, 88 46 Abs. 2 ArbGG, 91 Abs. 1 S. 1 ZPO.

Da ein Fall des § 64 Abs. 3 ArbGG nicht vorliegt, wurde die Berufung nicht gesondert zugelassen.