Im Falle einer rechtswidrigen Verarbeitung von Beschäftigtendaten müssen Arbeitgebende Schadensersatzforderungen der Beschäftigten befürchten. Welche Anforderungen an die Geltendmachung solcher Schadensersatzansprüche zu stellen sind und wie sich die Höhe des Anspruchs bemisst, ist Gegenstand einer sich noch in der Entwicklung befindlichen Rechtsprechung.
Ein Verstoß gegen die Datenschutzregelungen der DSGVO hat gemäß Art. 82 DSGVO einen Schadensersatzanspruch gegen den Verantwortlichen zur Folge. Ein Verstoß kann beispielsweise in einer rechtswidrigen Weitergabe von Daten oder in der Nichterteilung einer datenschutzrechtlichen Auskunft liegen.
Inwieweit Beschäftigte einen Datenschutzverstoß bei der Geltendmachung eines Schadensersatzanspruchs darlegen und beweisen müssen, ist nicht abschließend geklärt. Insbesondere bei Datenverarbeitungen in internationalen Konzernen wissen die betroffenen Beschäftigten häufig nicht, ob und wie ihre Daten rechtswidrig verarbeitet wurden. Teilweise werden daher Beweiserleichterungen bis hin zu einer Beweislastumkehr angenommen.
Ein finanzieller Schaden entsteht Beschäftigten bei Datenschutzverstößen durch den Arbeitgebenden häufig nicht. Nach Art. 82 DSGVO ist jedoch auch ein sog. immaterieller Schaden ersatzfähig. Dieser kann beispielsweise in einer Rufschädigung oder einer sonstigen Beeinträchtigung des Persönlichkeitsrechts, z.B. durch die Offenlegung sensibler Gesundheitsdaten gegenüber dem persönlichen Umfeld des oder der Betroffenen, liegen.
Ohne finale Klärung ist auch die Frage, welche Anforderungen an den durch den Datenschutzverstoß entstandenen immateriellen Schaden zu stellen sind. Teilweise wird der bloße Kontrollverlust als ausreichend angesehen. Andere Instanzgerichte halten eine gewisse Erheblichkeit für erforderlich und fordern zumindest eine spürbare Beeinträchtigung. Die Frage, ob eine solche Bagatellgrenze anzuwenden ist, liegt derzeit dem Europäischen Gerichtshof vor, dessen Entscheidung jedoch noch aussteht.
Die Bemessung des Schadensersatzes erfolgt anhand einer Gesamtabwägung aller Umstände. Einzelheiten sind dabei noch weitgehend ungeklärt. Insbesondere liegt dem Europäischen Gerichtshof derzeit die Frage vor, inwieweit der Grad des Verschuldens des oder der Verantwortlichen oder ein spezial- bzw. generalpräventiver Charakter des Schadensersatzanspruchs zu berücksichtigen sind.