Neues zur Darlegungslast beim Schaden nach Art. 82 DSGVO

In unserem Newsletter Juli 2024 berichteten wir über die Rechtsprechung des EuGH zum Schadensersatz bei Verstoß gegen die Auskunftspflicht nach Art. 15 DSGVO. Grundsätzlich kann bei unterbliebener oder verspäteter Auskunft bereits der bloße Verlust der Kontrolle über personenbezogene Daten einen Schadensersatzanspruch der betroffenen Person auslösen. Allein der Verstoß gegen Art. 15 DSGVO reicht allerdings nicht aus. Vielmehr muss die betroffene Person konkret darlegen, inwiefern ein Kontrollverlust zu befürchten war oder eingetreten ist. Nunmehr hat sich auch das Bundesarbeitsgericht in zwei Entscheidungen mit dieser Thematik befasst (BAG v. 20.6.2024 – 8 AZR 91/22 und 8 AZR 124/23). Auch nach dem BAG ist unter Anwendung eines objektiven Maßstabs zu prüfen, ob die vorgetragene Befürchtung eines Daten- bzw. Kontrollverlusts nach den konkreten Umständen als begründet angesehen werden kann. Dabei sei u.a. die objektive Bestimmung des Missbrauchsrisikos der Daten von Bedeutung. Zudem stellte das BAG klar, dass allein die Befürchtung weiterer Verstöße gegen die DSGVO nicht für die Annahme eines Schadens ausreicht. Damit werden – zugunsten des datenverarbeitenden Arbeitgebers – strengere Anforderungen an die Darlegung eines konkreten Schadens gestellt.

In Konfliktsituationen – insbesondere in Trennungsszenarien – kommt es nicht selten dazu, dass sich Arbeitnehmer mehr oder weniger postwendend krankmelden. Lange Zeit standen Arbeitgeber diesem Phänomen hilflos gegenüber: Die ausgestellte Arbeitsunfähigkeitsbescheinigung hat einen hohen Beweiswert, der Arbeitgeber aber regelmäßig keine Kenntnis darüber, ob der Arbeitnehmer tatsächlich erkrankt ist. Die bloße Vermutung, dass der Mitarbeiter in Wirklichkeit gar nicht krank ist, nützt ihm wenig. Jedoch gibt die Rechtsprechung bereits seit einiger Zeit vermehrt (für Arbeitgeber positive) Antworten auf die Frage, welche Indizien den Beweiswert der Arbeitsunfähigkeitsbescheinigung erschüttern können.

Es mag aus praktischer Sicht naheliegend sein, sich bei der Suche nach dem besten Kandidaten für eine vakante Position nicht nur auf die Bewerbungsunterlagen zu verlassen, sondern darüber hinaus eine kurze Internetrecherche anzustellen. Ob und in welchen Grenzen dies rechtlich zulässig ist, ist allerdings umstritten und in dieser Allgemeinheit noch nicht entschieden worden.

Aus der betrieblichen Praxis sind sie nicht wegzudenken: Bonuszahlungen, deren Höhe an die Erreichung bestimmter Ziele geknüpft ist (sog. Zielboni). Dabei kann es sich um Unternehmensziele wie Umsatz oder Gewinn handeln, aber auch um persönliche Ziele. Probleme können hier insbesondere auf zwei Ebenen entstehen: bezüglich der Frage, welche Ziele überhaupt vereinbart werden, sowie – nach Ablauf der Bonusperiode – bei der Frage, ob und in welchem Umfang diese Ziele erreicht worden sind.

Das Bundesministerium für Arbeit und Soziales und das Bundesministerium des Innern und für Heimat haben einen Referentenentwurf für ein neues Gesetz zum Beschäftigtendatenschutz (BeschDG) vorgelegt. Der Datenschutz ist in Deutschland im Wesentlichen europäisch – nämlich durch die DSGVO – geregelt. Diese sieht zwar vor, dass Mitgliedstaaten im Beschäftigungskontext spezifischere nationale Vorschriften erlassen dürfen. Eine solche nationale Regelung in Deutschland existiert bis dato jedoch nur in Form einer knappen „Generalklausel“, deren konkreten Ausformung der Rechtsprechung überlassen blieb. Die genannte deutsche Regelung ist noch dazu im letzten Jahr vom EuGH – zumindest indirekt – für unwirksam erklärt worden, was zu weiterer Rechtsunsicherheit bei diesem wichtigen Thema gesorgt hat. Bestrebungen, einen einheitlichen deutschen Rechtsrahmen im Beschäftigungskontext zu schaffen, bestehen bereits seit Jahrzehnten, konkrete Versuche in der Vergangenheit sind jedoch gescheitert. Umso spannender ist es, dass das Vorhaben nun neuen Schub bekommt und zum ersten Mal seit vielen Jahren wieder ein konkreter Vorschlag vorliegt.