Verspätete DSGVO-Auskunft: Kein Anspruch auf Schadensersatz – Was Arbeitgeber und Arbeitnehmer wissen müssen

Das Bundesarbeitsgericht (BAG) hat am 20. Februar 2025 (Az. 8 AZR 61/24) entschieden, dass eine verspätet erteilte Auskunft nach Art. 15 DSGVO keinen Schadensersatz nach Art. 82 DSGVO auslöst, wenn der betroffenen Person kein konkreter immaterieller Schaden entstanden ist. Das Urteil hat unmittelbare Bedeutung sowohl für Arbeitgeber als auch für Arbeitnehmer.

Worum ging es in dem Fall?

Ein ehemaliger Arbeitnehmer hatte von seinem früheren Arbeitgeber Auskunft über die Verarbeitung seiner personenbezogenen Daten verlangt. Die Auskunft erfolgte zwar, jedoch mit Verzögerung. Der Kläger fühlte sich dadurch in seinem Recht auf informationelle Selbstbestimmung verletzt und verlangte eine Entschädigung in Höhe von mindestens 2.000 € – wegen Kontrollverlusts über seine Daten und emotionaler Belastung.

Das Arbeitsgericht gab dem Kläger zunächst Recht und sprach ihm 10.000 € zu. Das Landesarbeitsgericht (LAG) hob diese Entscheidung jedoch auf. Der Fall landete schließlich vor dem Bundesarbeitsgericht – mit einem klaren Ergebnis: Kein Schadensersatz bei bloßer Verzögerung der Auskunftserteilung ohne nachweisbaren immateriellen Schaden.

Was sagt das Bundesarbeitsgericht konkret?

Das BAG stellte in seiner Entscheidung klar:

„Ein Verstoß gegen die Datenschutz-Grundverordnung allein – etwa durch verspätete Auskunft – begründet nicht automatisch einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO.“

Stattdessen müssen drei Voraussetzungen vorliegen:

• Ein Verstoß gegen die DSGVO,

• ein konkreter immaterieller Schaden,

• ein ursächlicher Zusammenhang zwischen beiden.

Der Kläger konnte keinen nachvollziehbaren immateriellen Schaden darlegen. Weder vage Gefühle der Unsicherheit noch pauschale Aussagen wie „Kontrollverlust“ oder „emotionaler Stress“ reichen nach Ansicht des Gerichts aus, um einen Schadensersatzanspruch zu begründen.

Was bedeutet das Urteil für Arbeitgeber?

✅ Erleichterung bei Auskunftsersuchen

Das Urteil bringt eine wichtige Entlastung für Arbeitgeber:
Nicht jeder Verstoß gegen DSGVO-Formalien zieht automatisch Schadensersatzforderungen nach sich.

🕒 Aber: Fristen einhalten bleibt Pflicht

Trotzdem bleibt die rechtzeitige und vollständige Beantwortung von Auskunftsersuchen zwingend – denn:

• Ein Verstoß liegt auch bei bloßer Verspätung vor.

• Die Einhaltung der Monatsfrist nach Art. 12 Abs. 3 DSGVO muss dokumentiert werden.

• Eine verspätete Auskunft kann unter Umständen zu Bußgeldern durch Aufsichtsbehörden führen – auch ohne Schadensersatzpflicht.

📝 Praxistipp für Arbeitgeber

• Richten Sie klare Prozesse für DSGVO-Auskunftsersuchen ein.

• Dokumentieren Sie Fristen, Zuständigkeiten und Inhalte der Auskunft.

• Beantworten Sie auch Wiederholungsanfragen ernsthaft und umfassend.

• Rechtsberatung ist bei Unsicherheiten über Umfang oder Pflicht zur Auskunft empfehlenswert.

Was bedeutet das Urteil für Arbeitnehmer?

⚠️ Schadensersatz nicht automatisch – Beweislast liegt beim Betroffenen

Arbeitnehmer, die DSGVO-Schadensersatz verlangen, müssen künftig:

• mehr als nur einen Verstoß darlegen,

• sondern konkrete negative Folgen glaubhaft machen, z. B.:

  • massive seelische Belastung,

  • begründete Angst vor Datenmissbrauch,

  • soziale oder berufliche Nachteile.

📣 Emotionaler Stress reicht nicht pauschal aus

Das BAG macht deutlich:
Allgemeine Unzufriedenheit oder Nervosität über die verzögerte Auskunft sind keine Grundlage für eine Entschädigung.

🧾 Praxistipp für Arbeitnehmer

• Wenn Sie Auskunft nach Art. 15 DSGVO verlangen:

  • Setzen Sie eine klare Frist von einem Monat,

  • dokumentieren Sie Ihre Anfrage nachweisbar (z. B. per Einschreiben oder E-Mail mit Lesebestätigung).

• Sollte die Auskunft verspätet, unvollständig oder gar nicht erfolgen:

  • Sammeln Sie Beweise, warum Ihnen ein konkreter Schaden entstanden ist.

  • Beziehen Sie frühzeitig rechtlichen Rat ein, bevor Sie Schadensersatz geltend machen.

Fazit: DSGVO-Auskunftsverzögerung allein begründet keinen Geldanspruch

Die Entscheidung des BAG schafft Klarheit:

• Für Arbeitgeber: Kein Automatismus bei Schadensersatz – aber Pflicht zur ordnungsgemäßen Auskunft bleibt.

• Für Arbeitnehmer: Schadensersatz gibt es nur bei nachweisbarem, spürbarem Schaden – bloßer Unmut reicht nicht.

Damit stärkt das BAG die sachliche Trennung zwischen Datenschutzverstoß und Schaden – ein wichtiger Schritt für mehr Rechtssicherheit auf beiden Seiten.

FAQ – Häufige Fragen zur BAG-Entscheidung vom 20. Februar 2025 (8 AZR 61/24)

❓ Was bedeutet die Entscheidung für die Praxis?

Ein Verstoß gegen die DSGVO – etwa eine verspätete Auskunft – reicht nicht automatisch für Schadensersatz aus. Es muss zusätzlich ein konkreter, individueller immaterieller Schaden nachgewiesen werden.

❓ Wann liegt ein immaterieller Schaden im Sinne der DSGVO vor?

Nur dann, wenn ernsthafte Beeinträchtigungen wie etwa Angst, Scham, sozialer Druck oder seelische Belastungen nachweislich durch den Verstoß verursacht wurden. Reine Ungewissheit oder Ärger reichen nicht.

❓ Können auch bloße Formalverstöße folgenlos bleiben?

Nein. Auch wenn kein Schadensersatz geschuldet ist, können Verstöße (z. B. verspätete Auskunft) Bußgelder durch die Datenschutzaufsicht nach sich ziehen.

❓ Welche Fristen gelten bei Auskunftsersuchen nach Art. 15 DSGVO?

Die Auskunft muss grundsätzlich binnen eines Monats nach Eingang des Antrags vollständig und verständlich erteilt werden (Art. 12 Abs. 3 DSGVO). Nur in begründeten Ausnahmefällen kann diese Frist um zwei Monate verlängert werden.

❓ Wie sollte ein Arbeitgeber mit wiederholten oder umfangreichen Auskunftsersuchen umgehen?

Jedes Ersuchen ist einzelfallbezogen zu prüfen. Bei Missbrauch kann unter bestimmten Voraussetzungen die Auskunft eingeschränkt oder verweigert werden (Art. 12 Abs. 5 DSGVO). Eine juristische Prüfung ist in solchen Fällen ratsam.

✅ Checkliste für Arbeitgeber: DSGVO-Auskunft rechtssicher bearbeiten