Mit Beschluss vom 24. Juni 2025 (8 AZR 4/25 (A)) hat das BAG ein Revisionsverfahren zum immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO ausgesetzt, um eine parallele Entscheidung des EuGH zur Frage, wann ein immaterieller Schaden durch eine Verletzung der Auskunftspflicht vorliegt, abzuwarten. Kern des Verfahrens ist die Frage nach dem Bestehen eines immateriellen Schadens wegen gelöschter Bewerberdaten.

Hintergrund: Schadensersatzforderungen in Bewerbungsverfahren

Immer häufiger fordern Bewerber (nach einer Absage) Auskunft darüber, was mit ihren personenbezogenen Daten geschehen ist. Nach Mitteilung des Arbeitgebers, die Unterlagen seien „gemäß den Vorgaben der DSGVO“ gelöscht worden, werden vermehrt Schadensersatzansprüche geltend gemacht. Begründet werden diese regelmäßig mit einem Kontrollverlust über die eigenen Daten, der zu einem immateriellen Schaden geführt habe.

Eine dieser Konstellationen liegt dem Verfahren vor dem Bundesarbeitsgericht (BAG, Beschluss vom 24.06.2025 – 8 AZR 4/25) zugrunde. Das BAG hat das Verfahren ausgesetzt, bis der EuGH im Rahmen eines vom BGH eingeleiteten Vorabentscheidungsverfahrens über die Auslegung von Art. 82 Abs. 1 und Abs. 2 Satz 1 DSGVO entscheidet. Konkret geht es um die Frage, ob bereits eine Verletzung des Auskunftsrechts nach Art. 15 DSGVO einen Anspruch auf Schadensersatz für einen hierdurch entstandenen immateriellen Schaden begründen kann – insbesondere im Hinblick auf verspätete oder unvollständige Auskünfte.

Das aktuelle Verfahren – BAG, Beschluss vom 24.06.2025 – 8 AZR 4/25

Der Kläger hatte sich im August 2023 auf eine Stelle als Sachbearbeiter im Forderungsmanagement beworben, erhielt jedoch keine Rückmeldung. Auf eine spätere Nachfrage reagierte die Beklagte nicht. Daraufhin zog der Kläger seine Bewerbung zurück und verlangte nach Art. 15 DSGVO Auskunft über die Verarbeitung seiner personenbezogenen Daten. Auch diese Anfrage blieb zunächst unbeantwortet. Erst nach einer weiteren Nachfrage teilte die Beklagte mit, sämtliche Bewerbungsunterlagen – einschließlich der Auskunftsanfrage – gelöscht zu haben.

Der Kläger erhob daraufhin Klage vor dem Arbeitsgericht Düsseldorf und forderte eine Entschädigung in Höhe von mindestens 2.000 €. Er machte geltend, die Löschung stelle einen vorsätzlichen Verstoß gegen die DS-GVO dar und habe bei ihm einen Kontrollverlust sowie einen immateriellen Schaden verursacht. Die Beklagte argumentierte, sie habe lediglich ihrer datenschutzrechtlichen Pflicht zur Löschung entsprochen, nachdem der Kläger die Bewerbung zurückgezogen hatte. Zudem zweifelte sie die Ernsthaftigkeit der Bewerbung an und unterstellte dem Kläger rechtsmissbräuchliches Verhalten, da er bereits mehrfach vergleichbare Verfahren betrieben habe.

Das Arbeitsgericht wies die Klage ab. Es sah keinen ersatzfähigen immateriellen Schaden im Sinne von Art. 82 DSGVO, da der Kläger lediglich pauschal von einem „emotionalen Ungemach“ und einem Kontrollverlust gesprochen, jedoch keine konkreten Beeinträchtigungen dargelegt habe. Die hiergegen eingelegte Berufung wies das Landesarbeitsgericht zurück. Das LAG stellte klar, dass weder ein bloßer Kontrollverlust noch das abstrakte Risiko eines künftigen Datenmissbrauchs ausreichen, um einen immateriellen Schaden zu begründen. Zwar sei keine Erheblichkeitsschwelle erforderlich, jedoch müsse der Schaden nachvollziehbar und individuell dargelegt werden – was im vorliegenden Fall nicht erfolgt sei. Das vom Kläger eingeleitete Revisionsverfahren ist derzeit beim BAG anhängig, wurde jedoch bis zur Entscheidung des EuGH über die relevanten Fragen ausgesetzt.

Relevante Fragen des anhängigen Verfahrens

Der EuGH ist nun mit einem über das mit Beschluss vom 06. Mai 2025 (BGH, Beschl. v. 6.5.2025 – VI ZR 53/23) eingeleitete Vorabentscheidungsersuchen befasst, in dem es um zentrale Fragen zur Auslegung von Art. 82 Abs. 1 und Abs. 2 Satz 1 DSGVO geht. Im Mittelpunkt steht die Frage, ob ein Schadensersatzanspruch auch dann bestehen kann, wenn ausschließlich das Auskunftsrecht nach Art. 15 DSGVO verletzt wurde, etwa durch eine verspätete oder unvollständige Antwort. Weiterhin wird geprüft, ob bereits die daraus resultierende Ungewissheit über die Verarbeitung personenbezogener Daten sowie die eingeschränkte Möglichkeit, die Rechtmäßigkeit der Datenverarbeitung zu prüfen und Rechte wahrzunehmen, als immaterieller Schaden im Sinne von Art. 82 DSGVO zu qualifizieren ist.

Bisherige Einordnung der Sachverhalte durch die Rechtsprechung

Sowohl der EuGH als auch die nationale Rechtsprechung verlangen eine nachvollziehbare Darlegung des erlittenen Schadens oder zumindest eine plausibel begründete konkrete Schadensgefahr. So entschied etwa das BAG in seinem Urteil vom 20. Juni 2024 (Az.: 8 AZR 91/22), dass zur Begründung eines immateriellen Schadens konkrete Darlegungen erforderlich sind, die über ein bloß hypothetisches Risiko hinausgehen und ein objektiv erhöhtes Missbrauchsrisiko aufzeigen. Ein bloßer Kontrollverlust über die eigenen personenbezogenen Daten reicht demnach nicht aus.

Im Gegensatz dazu hat der EuGH in jüngsten Urteilen klargestellt, dass bereits der Kontrollverlust über personenbezogene Daten oder die begründete Befürchtung eines künftigen Datenmissbrauchs einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen kann. Damit löst der EuGH die frühere Annahme ab, dass ein konkreter Folgeschaden erforderlich sei, und erkennt den bloßen Kontrollverlust – vorausgesetzt er wird plausibel und nachvollziehbar dargelegt – als eigenständigen Schaden an.

Die jeweilige Schadenshöhe solcher Fälle von Kontrollverlusten kann im Einzelfall jedoch sehr niedrig ausfallen, wie z.B. aus dem Scraping Urteil des BGH (vgl. unseren Blog-Beitrag hierzu) hervorgeht.

Das Phänomen der „Datenschutz-Hopper“

In der datenschutzrechtlichen Praxis mehren sich derartige Fälle, in denen die Schwierigkeit der Gefahr rechtsmissbräuchlicher Klagen besteht. Die Kläger, die sich wiederholt bei verschiedenen Arbeitgebern bewerben und anschließend Auskunfts- und Schadensersatzansprüche geltend machen, erinnern an die aus taktischen Gründen Diskriminierungsklagen erhebenden „AGG-Hopper“.

Vor dem Hintergrund der zunehmenden Zahl solcher Klagen stellt sich die Frage, ob der Rechtsmissbrauchseinwand gemäß § 242 BGB als Abwehrinstrument gegenüber missbräuchlichen Ansprüchen herangezogen werden kann. Rechtsmissbrauch liegt vor, wenn ein Recht in einer Weise ausgeübt wird, die erkennbar nur dazu dient, andere zu schädigen oder unangemessen zu belasten, ohne dass ein schutzwürdiges Interesse besteht. Auskunftsersuchen werden dann als rechtsmissbräuchlich eingestuft, wenn der Antragsteller arglistig oder schikanös handelt, besonders wenn Auskunftsanfragen hauptsächlich dazu dienen, dem Verantwortlichen unnötigen Aufwand zu machen oder ihn zu behindern.

Ob eine substantiierte Darlegung dessen möglich ist, bleibt einzelfallabhängig – die Rechtsprechung wird sich jedenfalls in Zukunft voraussichtlich verstärkt mit der Abgrenzung zwischen legitimer Rechtsausübung und rechtsmissbräuchlichen Klageverfahren im Datenschutzbereich beschäftigen, insbesondere im Kontext von Schadensersatzansprüchen gemäß Art. 82 DS-GVO.

Ausblick und Praxishinweise

Ungeachtet der noch ausstehenden Entscheidung des EuGH über die Reichweite von Schadensersatzansprüchen bei Verstößen gegen Auskunftsrechte nach Art. 15 DSGVO sollten Arbeitgeber im Bewerbungsprozess besondere Sorgfalt walten lassen, um datenschutzrechtliche Risiken zu minimieren. Mit folgenden präventiven Maßnahmen sind Arbeitgeber gut beraten:

• Die fristgerechte und vollständige Beantwortung von Auskunftsersuchen gemäß Art. 12 Abs. 3 und Art. 15 DSGVO, um Verzugsschäden und daraus resultierende Haftungsrisiken zu vermeiden.
• Eine umfassende und revisionssichere Dokumentation der Bearbeitung von Auskunftsersuchen sowie der Löschvorgänge gemäß Art. 17 DS-GVO, um im Streitfall die ordnungsgemäße Umsetzung der datenschutzrechtlichen Pflichten nachweisen zu können.
• Die Implementierung klarer interner Prozesse und Verantwortlichkeiten für die datenschutzkonforme Verarbeitung von Bewerberdaten, einschließlich regelmäßiger Schulungen der zuständigen Mitarbeiter.
• Die transparente Information der Bewerber über Zwecke, Rechtsgrundlagen, Speicherdauer und Rechte im Zusammenhang mit der Datenverarbeitung, um die Anforderungen des Art. 13 und 14 DSGVO zu erfüllen.
• Eine besondere Sensibilisierung für den Umgang mit personenbezogenen Daten im Bewerbungsverfahren, um eine unbefugte Weitergabe oder Missbrauch und auch eine zu frühe – oder zu späte – Löschung von Daten zu verhindern.

Diese Maßnahmen dienen nicht nur der Einhaltung der DSGVO, sondern auch der Prävention von Schadensersatzklagen und dem Schutz des Arbeitgebers vor potenziellen Reputationsschäden.