Kurz erklärt: Das LAG Düsseldorf sprach DSGVO-Schadensersatz nach Art. 82 in Höhe von 750 € wegen eines Verstoßes gegen Art. 15 DSGVO zu, betonte die Notwendigkeit einer konkreten Beeinträchtigung und verdeutlichte damit insbesondere im Beschäftigtendatenschutz, dass Unternehmen Auskunftsersuchen fristgerecht und vollständig beantworten müssen, um DSGVO-Verstöße zu vermeiden.
Der Fall: Bewerber fordert Auskunft und klagt auf DSGVO-Schadensersatz nach Art. 82
Das Landesarbeitsgericht (LAG) Düsseldorf hatte über einen außergewöhnlichen Streitfall zum DSGVO-Schadensersatz nach Art. 82 im Beschäftigtendatenschutz zu entscheiden: Ein Bewerber bewarb sich im August und Dezember 2022 zweimal auf dieselbe Stelle bei einem bundesweit tätigen Wohnungsunternehmen – ohne jegliche Reaktion. Als er im Mai 2023 gemäß Art. 15 DSGVO Auskunft über gespeicherte personenbezogene Daten und eine Kopie dieser Daten verlangte, blieb das Unternehmen auch hier stumm. Mehrfache Mahnungen und Fristsetzungen blieben unbeantwortet. Das Gericht musste nun über die Frage entscheiden, unter welchen Voraussetzungen Betroffene immateriellen Schadensersatz nach Art. 82 DSGVO verlangen können, wenn Unternehmen ihre Auskunftspflichten aus Art. 15 DSGVO verletzen.
Die Entscheidung hat nicht nur unmittelbare Folgen für die Parteien, sondern auch Signalwirkung für Unternehmen, die mit personenbezogenen Daten im Bewerbungs- und Beschäftigungskontext umgehen. Sie verdeutlicht, dass selbst „weiche“ Beeinträchtigungen wie Kontrollverlust, Misstrauen oder Frustration beim DSGVO-Schadensersatz rechtlich relevant sein können – sofern sie gut begründet sind.
Das LAG Düsseldorf stärkt die Betroffenenrechte nach der DSGVO und konkretisiert die Voraussetzungen des Schadensersatzanspruchs nach Art. 82 DSGVO. Unternehmen sollten daher ihre internen Prozesse im Beschäftigtendatenschutz DSGVO-konform gestalten, um einen rechtssicheren Datenschutz im Bewerbungsverfahren zu gewährleisten.
Wann besteht Anspruch auf DSGVO-Schadensersatz nach Art. 82?
Pflichtverletzung durch fehlende Auskunftserteilung
Der Kläger ist seit über zehn Jahren im Forderungsmanagement tätig. Im August und Dezember 2022 bewarb er sich auf Stellen bei einem bundesweit tätigen Wohnungsunternehmen. Seine Bewerbungsunterlagen waren vollständig: Anschreiben, Lebenslauf, Zeugnisse. Dennoch erhielt er keine Reaktion.
Im Mai 2023 forderte er das Unternehmen nach Art. 15 DSGVO auf, ihm Auskunft über die gespeicherten Daten zu erteilen und eine Kopie bereitzustellen. Die Vorschrift verpflichtet Unternehmen, transparent darzulegen, welche personenbezogenen Daten sie verarbeiten – ein Kernrecht der DSGVO, das nicht nur der Information, sondern auch der Durchsetzung weiterer Datenschutzrechte dient, etwa Berichtigung oder Löschung. Unternehmen sollten daher ihre internen Prozesse im Beschäftigtendatenschutz DSGVO-konform gestalten.
Entscheidung des Arbeitsgerichts Düsseldorf zum DSGVO-Schadensersatz nach Art. 82
Trotz mehrfacher Mahnschreiben reagierte das Unternehmen nicht. Der Kläger reichte daraufhin Klage beim Arbeitsgericht Düsseldorf ein. Dort erhielt er zwar die beantragte Auskunft zugesprochen, sein DSGVO-Schadensersatzbegehren von 5.000 Euro wurde jedoch abgewiesen.
Das LAG Düsseldorf änderte diese Entscheidung teilweise ab und verurteilte das Unternehmen zu 750 Euro Schadensersatz nebst Zinsen nach Art. 82 DSGVO. Ausschlaggebend war die Feststellung, dass Verstöße gegen die DSGVO-Auskunftspflicht grundsätzlich ersatzpflichtig sein können, wenn der Betroffene einen konkreten immateriellen Schaden nachweisen kann.
Auskunftspflicht nach Art. 15 DSGVO und Haftungsrisiken
Art. 15 DSGVO ist ein zentrales Betroffenenrecht. Er verpflichtet Unternehmen, präzise und vollständige Informationen über gespeicherte personenbezogene Daten bereitzustellen. Dies umfasst:
- Die Kategorien der verarbeiteten Daten
- Die Zwecke der Verarbeitung
- Die Empfänger oder Kategorien von Empfängern
- Die geplante Speicherdauer
- Informationen über die Rechte des Betroffenen
Im vorliegenden Fall stellte das LAG Düsseldorf klar: Ein Verstoß gegen Art. 15 DSGVO löst nicht automatisch Schadensersatz nach Art. 82 DSGVO aus. Es bedarf einer substantiierten Darlegung, dass der Pflichtverstoß zu einer konkreten Beeinträchtigung geführt hat. Damit konkretisierte das Gericht die Voraussetzungen für einen Schadensersatzanspruch nach der DSGVO.
Immaterieller Schaden nach DSGVO
Art. 82 DSGVO gewährt Schadensersatz für materielle und immaterielle Schäden. Unter immateriellen Schäden versteht man nicht-ökonomische Nachteile, etwa:
- Gefühlter Kontrollverlust über personenbezogene Daten
- Nachvollziehbare negative Emotionen wie Angst, Frustration oder Ärger
- Sorge vor Missbrauch der Daten
Der Kläger machte glaubhaft, er sei durch die Intransparenz erheblich verunsichert gewesen und habe eine unsachgemäße Verarbeitung seiner Bewerberdaten befürchtet.. Außerdem sei er vom Verhalten der Beklagten genervt.
Das LAG Düsseldorf sah hierin einen ausreichend belegten immateriellen Schaden und sprach ihm 750 Euro DSGVO-Schadensersatz nach Art. 82 zu. Diese Summe sollte den Nachteil ausgleichen, ohne Strafcharakter zu haben.
Bedeutung des LAG-Düsseldorf-Urteilsfür Unternehmen
Bemerkenswert ist, dass sich die 11. Kammer des LAG Düsseldorf bewusst gegen die restriktivere Rechtsprechung anderer Kammern und Instanzgerichten bezüglich des DSGVO-Schadensersatzes nach Art. 82 lehnte.
So hatte etwa die 3. Kammer desselben Gerichts 2023 entschieden, dass ohne tatsächliche Verarbeitung kein Anspruch bestehe. Das LAG Düsseldorf stellte nun klar: Entscheidend ist nicht die Art des DSGVO-Verstoßes, sondern ob der Verstoß ursächlich für den immateriellen Schaden war.
Das Gericht stellte außerdem heraus, dass der in Art. 4 Nr. 2 DSGVO definierte Begriff der „Verarbeitung“ bewusst sehr weit gefasst ist. Er umfasst nicht nur klassische Verarbeitungsschritte wie Erhebung, Speicherung oder Änderung personenbezogener Daten, sondern ausdrücklich auch deren „Offenlegung durch Übermittlung“. Damit wird deutlich, dass auch die Pflicht zur Erteilung einer Auskunft nach Art. 15 DSGVO unter diesen Verarbeitungsbegriff fällt. Ein Verstoß gegen diese Auskunftspflicht kann somit grundsätzlich als Datenschutzverstoß gewertet werden und – bei entsprechendem Nachweis eines immateriellen Schadens – einen Schadensersatzanspruch nach Art. 82 DSGVO begründen.
Einfluss der EuGH-Rechtsprechung auf den DSGVO-Schadensersatz nach Art. 82
Voraussetzungen für immateriellen DSGVO-Schadensersatz
Der Europäische Gerichtshof (EuGH) hat am 4. Mai 2023 (C-300/21 – Österreichische Post) einen zentralen Prüfungsmaßstab für Art. 82 DSGVO geschaffen. Nach dieser Entscheidung begründet ein bloßer Verstoß gegen die DSGVO keinen automatischen Anspruch auf immateriellen Schadensersatz. Entscheidend ist, dass ein konkreter, nachweisbarer Nachteil vorliegt, der über den reinen Gesetzesverstoß hinausgeht. Hierzu zählen etwa ein spürbarer Kontrollverlust über personenbezogene Daten, eine begründete Sorge vor missbräuchlicher Verwendung oder eine messbare psychische Beeinträchtigung. Ziel dieser restriktiven Linie ist es, die Rechte der Betroffenen zu schützen, gleichzeitig aber eine Inflation von Schadensersatzforderungen zu verhindern.
Abweichende Linie des LAG Düsseldorf zur EuGH-Rechtsprechung zum DSGVO-Schadenersatz nach Art. 82
Das LAG Düsseldorf erkennt diese Grundsätze zwar an, interpretiert sie aber zugunsten der Betroffenen. Bereits plausibel geschilderte Beeinträchtigungen im Zusammenhang mit einem Verstoß gegen Art. 15 DSGVO können genügen, um einen DSGVO-Anspruch zu begründen. Kritiker bemängeln, dass das Gericht sich nicht umfassend mit restriktiveren Urteilen anderer Instanzgerichte – etwa des LAG Rheinland-Pfalz oder LAG Nürnberg – auseinandergesetzt hat. Gleichwohl verdeutlicht die Entscheidung zum immateriellen DSGVO-Schadensersatz nach Art. 82, dass nationale Gerichte Spielraum haben, den immateriellen Schaden weiter zu fassen, als es die EuGH-Linie vorgibt. Für Unternehmen bedeutet das ein erhöhtes Risiko, selbst bei vermeintlich geringfügigen DSGVO-Auskunftsverstößen haftbar gemacht zu werden.
Signalwirkung des LAG-Düsseldorf-Urteils für HR, Unternehmen und DSGVO-Datenschutzpraxis
Kontrollverlust und Verunsicherung als Schaden
Das Urteil des LAG Düsseldorf entfaltet eine deutliche Signalwirkung für die Praxis, da es den Beweismaßstab für immaterielle Schäden im Rahmen der DSGVO senkt. Es bestätigt, dass auch subjektiv empfundene Beeinträchtigungen wie Ärger, Frustration oder ein Gefühl des Kontrollverlusts als ersatzfähiger immaterieller Schaden nach der DSGVO anerkannt werden können, sofern diese nachvollziehbar begründet sind. Damit senkt das Urteil die Schwelle für Schadensersatzansprüche wegen Datenschutzverstößen.
Besonders betroffen sind Branchen, in denen umfangreiche personenbezogene Daten verarbeitet werden:
- Personalwesen und Recruiting-Prozesse
- Gesundheitswesen mit sensiblen Patientendaten
- Finanzdienstleistungen mit strengen Compliance-Anforderungen
Für Arbeitgeber bedeutet dies, dass Auskunftsersuchen nach Art. 15 DSGVO nicht nur formal, sondern auch inhaltlich vollständig und fristgerecht beantwortet werden müssen. Bereits kleine Versäumnisse können zu einem Verfahren führen, das nicht nur finanzielle, sondern auch reputationsschädigende Folgen hat. Ein Verstoß gegen die DSGVO-Auskunftspflicht kann somit einen Schadensersatzanspruch wegen Datenschutzverstoßes auslösen. Für Betroffene eröffnet das Urteil des LAG Düsseldorf hingegen neue Möglichkeiten, ihre Rechte effektiv wahrzunehmen, auch wenn kein wirtschaftlicher Schaden entstanden ist. Es verschiebt den Fokus stärker auf die individuelle Betroffenheit und macht deutlich, dass DSGVO-Verstöße nicht ausschließlich an messbaren Vermögenseinbußen gemessen werden.
Handlungsempfehlungen für Unternehmen zur DSGVO-Compliance und Auskunftspflicht-Erfüllung
Unternehmen, die regelmäßig personenbezogene Daten verarbeiten – insbesondere im Bewerbungs- und Beschäftigungskontext –, sollten dieses Urteil des LAG Düsseldorf als Anlass nehmen, ihre interne DSGVO-Compliance zu prüfen. Ein klar definierter Workflow für Auskunftsersuchen gemäß Art. 15 DSGVO ist unverzichtbar. Dieser sollte folgende Elemente enthalten:
- Schnelle Erfassung eingehender Anfragen
- Klare Zuständigkeiten für die Bearbeitung
- Fristgerechte Antwort innerhalb eines Monats
- Vollständige Dokumentation aller Bearbeitungsschritte
Ein hohes Risiko besteht in der vollständigen Nichtreaktion auf Anfragen – selbst wenn keine Daten gespeichert sind. In diesem Fall ist eine formgerechte Negativauskunft gemäß der DSGVO zwingend erforderlich, um nicht den Eindruck einer bewussten Missachtung von Betroffenenrechten zu erwecken. So, wie es vorliegend der Fall war. Unternehmen, die standardisierte Antwortvorlagen nutzen, ihre Datenschutzbeauftragten schulen und die Abläufe regelmäßig auditieren, minimieren nicht nur die Gefahr eines DSGVO-Verstoßes und Schadensersatzanspruchs nach Art. 82 DSGVO, sondern stärken zugleich ihr Image als verantwortungsbewusster Arbeitgeber. In Zeiten zunehmender Sensibilisierung für Datenschutzverletzungen kann dieser Präventionsansatz sogar einen Wettbewerbsvorteil darstellen.
Auswirkungen auf Bewerbungs- und Beschäftigtendatenschutz
Für Bewerber und Arbeitnehmer bietet das Urteil des LAG Düsseldorf eine wichtige Orientierung, wie sich DSGVO-Schadensersatzansprüche bei Auskunftsverstößen nach Art. 15 DSGVO erfolgreich durchsetzen lassen. Betroffene sollten ihre Schritte systematisch dokumentieren:
- Kopien aller Schreiben und Mahnungen aufbewahren
- Fristen im Blick behalten (grundsätzlich 1 Monat, in Ausnahmefällen 3 Monate mit Begründung)
- Eigene Empfindungen wie Ärger, Verunsicherung oder Misstrauen glaubhaft darlegen
Diese Dokumentation kann im Gerichtsverfahren als Beweis für den immateriellen Schaden nach Art. 82 DSGVO dienen. Zudem ist es ratsam, frühzeitig anwaltlichen Rat einzuholen, um die Erfolgsaussichten und mögliche Anspruchshöhen zu prüfen. Besonders im Bewerbungsprozess, wo sensible personenbezogene Daten im Rahmen des Bewerbungsprozesses verarbeitet werden, ist ein bewusster Umgang mit dem Auskunftsrecht nach Art. 15 DSGVO entscheidend. Das Urteil des LAG Düsseldorf zeigt, dass auch moderat ausgeprägte, aber gut belegte Beeinträchtigungen ausreichen können, um erfolgreich einen Anspruch auf immateriellen Schadensersatz gemäß Art. 82 DSGVO geltend zu machen. Wer seine Rechte kennt und konsequent durchsetzt, kann so nicht nur eine Entschädigung erreichen, sondern auch zu einer besseren Datenschutzpraxis in Unternehmen beitragen.
Das Urteil stärkt die Betroffenenrechte nach der DSGVO und verdeutlicht die Bedeutung einer DSGVO-konformen Verarbeitung von Bewerberdaten.
Fragen zum DSGVO-Schadensersatz nach Art. 82, Auskunftsansprüchen oder Datenschutzverstößen?
Wenn Sie unsicher sind, ob in Ihrem Unternehmen ein Anspruch auf DSGVO-Schadensersatz nach Art. 82 droht – etwa wegen verspäteter oder unterbliebener Auskunft nach Art. 15 DSGVO –, unterstützen wir Sie gerne. Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht prüfen Auskunftsersuchen, interne Prozesse und mögliche Datenschutzverstöße.
Vereinbaren Sie jetzt einen Beratungstermin bei uns!
❓ FAQ zum DSGVO-Schadensersatz nach Art. 82 und LAG Düsseldorf Urteil
Das LAG Düsseldorf sprach einem Bewerber 750 Euro DSGVO-Schadensersatz nach Art. 82 zu, weil das Unternehmen gegen seine Auskunftspflicht nach Art. 15 DSGVO verstoßen hatte. Bereits plausibel geschilderte immaterielle Beeinträchtigungen wie Kontrollverlust oder Verunsicherung reichten für den Anspruch aus.
Ein immaterieller Schaden liegt vor, wenn Betroffene nachvollziehbar unter Kontrollverlust, Angst oder Verunsicherung durch einen DSGVO-Verstoß leiden, auch ohne finanziellen Schaden – dies kann DSGVO-Schadensersatz nach Art. 82 auslösen.
Nein. Nach EuGH und LAG Düsseldorf ist zusätzlich eine konkrete Beeinträchtigung erforderlich, die plausibel dargelegt wird – erst dann kommt DSGVO-Schadensersatz nach Art. 82 in Betracht.
Ja. Auch Bewerber können DSGVO-Schadensersatz nach Art. 82 verlangen, wenn Auskunftspflichten verletzt werden.
Die Beträge reichen von wenigen Hundert Euro bis zu mehreren Tausend Euro – abhängig von Schwere und Dauer der Beeinträchtigung; maßgeblich für die Höhe des DSGVO-Schadensersatzes nach Art. 82 sind die konkreten Umstände des Einzelfalls.
DSGVO-Schadensersatz nach Art. 82 kann verlangt werden, wenn ein DSGVO-Verstoß vorliegt und daraus ein konkreter, nachvollziehbarer immaterieller Schaden entsteht – etwa bei fehlender oder verspäteter Auskunft nach Art. 15 DSGVO.
Das Urteil zeigt, dass DSGVO-Schadensersatz nach Art. 82 bereits bei Auskunftsversäumnissen drohen kann, wenn Betroffene eine plausible Beeinträchtigung darlegen – Unternehmen sollten deshalb Auskunftsprozesse und Datenschutzorganisation konsequent prüfen.
Betroffene sollten Fristen und Kommunikation dokumentieren, Erinnerungen sichern und Belastungen konkret beschreiben, um DSGVO-Schadensersatz nach Art. 82 schlüssig begründen zu können – anwaltlicher Rat kann die Durchsetzung erleichtern.
Die Antwortfrist beträgt grundsätzlich einen Monat und kann nur mit Begründung um bis zu zwei Monate verlängert werden – bei Fristversäumnissen steigt das Risiko von DSGVO-Schadensersatz nach Art. 82.
Klare Zuständigkeiten, Fristenkontrolle, standardisierte Abläufe und interne Audits senken das Risiko von DSGVO-Schadensersatz nach Art. 82, insbesondere bei Auskunftsersuchen nach Art. 15 DSGVO.
Ja – auch dann ist eine Negativauskunft erforderlich, denn ohne formelle Bestätigung kann ein Verstoß vorliegen, der DSGVO-Schadensersatz nach Art. 82 auslösen kann.
Weiterführende Themen
Art. 82 DSGVO: EuGH konkretisiert Anspruch auf immateriellen Schadensersatz
Schadensersatz bei Datenschutzverstößen bleibt möglich – aber nur unter klaren Voraussetzungen. Der EuGH konkretisiert die Anforderungen an Art. 82 DSGVO.
EuGH-Urteil zu Schadensersatz nach Art. 82 DSGVO
Der EuGH hat mit seinem Urteil vom 4. Mai 2023 erstmals klargestellt, wann ein Schadensersatz nach Art. 82 DSGVO möglich ist. Ein bloßer DSGVO-Verstoß reicht nicht aus – Betroffene müssen einen konkreten materiellen oder immateriellen Schaden nachweisen.
OLG Hamm Facebook-Datenleck und Art. 82 DSGVO
Das OLG Hamm verneint einen DSGVO-Schadensersatz beim Facebook-Datenleck. Trotz Datenschutzverstoß fehlt ohne konkreten immateriellen Schaden ein Anspruch nach Art. 82 DSGVO. Das Urteil ist richtungsweisend für Scraping-Fälle und Klagen gegen Meta.