AGG-Hopping treibt Personalabteilungen und Arbeitgeber bereits seit Jahren um. Daneben tritt aktuell eine neue Methode, die sich nicht mehr auf das Diskriminierungsrecht stützt, sondern auf die Datenschutz-Grundverordnung. Der Ansatzpunkt: Auskunftsansprüche nach Art. 15 Abs. 1 DSGVO, gefolgt von Schadensersatzklagen nach Art. 82 Abs. 1 DSGVO. Das Vorgehen ist systematisch und es funktioniert, weil das Gesetz dem Arbeitgeber in dieser Konstellation nur schlechte Optionen lässt.
Was dabei unterschätzt wird: Schon die Ablehnungsgründe selbst sind personenbezogene Daten im Sinne der DSGVO. Nicht nur der Lebenslauf oder die Bewerbungsunterlagen. Auch die interne Notiz, dass jemand im Gespräch „keinen überzeugenden Eindruck“ gemacht hat. Auch die E-Mail an die Fachabteilung, der Kandidat sei „kulturell kein Fit“. All das fällt unter den Auskunftsanspruch. Und genau hier liegt das Problem: Je ehrlicher die Absagenotiz, desto größer die Angriffsfläche für eine AGG-Klage. Je vager sie formuliert ist, desto leichter lässt sich die Auskunft als unvollständig angreifen. Personalabteilungen stecken also schon beim Formulieren der Absagegründe in einem Dilemma, das die meisten erst bemerken, wenn die Klage bereits eingegangen ist.
Vom Regen in die Traufe
Art. 82 Abs. 1 DSGVO gewährt Schadensersatz bei jedem Verstoß gegen die Verordnung, der kausal einen Schaden verursacht. Das Verschulden wird nach Abs. 3 vermutet. Der typische Angriffspunkt ist eine Verletzung des Auskunftsanspruchs nach Art. 15 Abs. 1 DSGVO. Die Auskunft muss nach Art. 12 Abs. 3 Satz 1 DSGVO binnen eines Monats erteilt werden und vollständig sein. In der Praxis scheitert beides regelmäßig, schlicht weil Bewerbungsprozesse selten mit Blick auf spätere Auskunftspflichten dokumentiert werden.
Der Europäische Gerichtshof hat das bestätigt: Schon die Verletzung des Auskunftsrechts selbst kann einen ersatzfähigen Schaden auslösen, ohne dass es einer darüber hinausgehenden Datenverarbeitung bedarf. Im Kern reicht also eine verspätete oder lückenhafte Antwort.
Spät antworten oder falsch antworten: Der entscheidende Unterschied
Kontrollverlust über die eigenen Daten genügt nach Art. 82 Abs. 1 DSGVO als immaterieller Schaden, aber nur wenn er tatsächlich vorliegt. Eine bloße Befürchtung reicht nicht; sie muss unter den konkreten Umständen begründet sein.
Spät antworten allein ist noch kein Schaden. Das hat das Bundesarbeitsgericht klargestellt: Eine verspätete Auskunft begründet für sich genommen keinen Kontrollverlust, weil sonst jeder Verstoß gegen Art. 15 DSGVO automatisch einen Schaden auslösen würde und das eigenständige Tatbestandsmerkmal des Schadens leerliefe. Anders sieht es aus, wenn die Antwort inhaltlich falsch oder widersprüchlich ist. Das Arbeitsgericht Düsseldorf hat einen Schaden bejaht, als ein Unternehmen zunächst erklärte, Bewerberdaten blieben intern, dann aber einräumen musste, dass Daten ins Ausland geflossen waren.
Der eigentliche Hebel ist nicht die Rechtslage
Selbst wenn die Klage in der Sache unbegründet ist, bleibt der Arbeitgeber nach § 12a ArbGG auf seinen eigenen Kosten sitzen, egal wie der Rechtsstreit ausgeht. Ein zügiger Vergleich ist deshalb häufig billiger als ein Sieg vor Gericht. Genau darauf spekuliert die Methode.
Löschen, schweigen, abwarten: Drei Wege, drei Fallen
Auskunft verweigern geht nur bei offenkundig unbegründeten oder exzessiven Anträgen, Art. 12 Abs. 5 Buchst. b DSGVO. Die Beweislast liegt beim Arbeitgeber. Rechtsmissbrauch einwenden? Greift in aller Regel nicht. Ein Bewerber, der Auskunft verlangt, um die Einhaltung der DSGVO zu prüfen und gegebenenfalls Ansprüche geltend zu machen, übt schlicht ein Recht aus. Das ist kein Missbrauch, das ist Rechtsgebrauch. Etwas anderes gilt nur, wenn das Auskunftsersuchen den Zweck des Art. 15 Abs. 1 DSGVO systematisch verfehlt und ausschließlich auf Schadensersatz abzielt. Die Darlegungs- und Beweislast dafür trägt auch hier das Unternehmen.
Sofort löschen klingt naheliegend, verschiebt das Risiko aber nur. Eine frühzeitige Löschung ermöglicht zwar eine Negativauskunft, und der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 Buchst. c DSGVO spricht sogar dafür. Nur: Nach der EuGH-Rechtsprechung in der Rechtssache Meister kann schon die Verweigerung jeder Information über das Auswahlverfahren ein Diskriminierungsindiz sein. Und nach § 22 AGG trägt der Arbeitgeber die Beweislast, sobald der Bewerber solche Indizien vorbringt. Wer löscht, um sich datenschutzrechtlich abzusichern, schwächt damit möglicherweise genau die Verteidigung, die er gegen eine Diskriminierungsklage braucht.
Abwarten und erst bei Eingang eines Auskunftsverlangens löschen ist noch riskanter. Das Arbeitsgericht Düsseldorf hat rechtskräftig entschieden, dass eine Löschung in Kenntnis eines laufenden Auskunftsantrags selbst einen Kontrollverlust begründen kann. Wer in diesem Moment löscht, statt zu antworten, schafft den Schaden, den er vermeiden wollte.
Der richtige Zeitpunkt ist jetzt, nicht nach der Absage
Eine Patentlösung gibt es nicht. Schnelles Löschen senkt das Datenschutzrisiko, erhöht aber das AGG-Risiko. Längeres Aufbewahren sichert die AGG-Verteidigung, setzt aber voraus, dass eine Auskunft nach Art. 15 Abs. 1 DSGVO jederzeit vollständig, fristgerecht und widerspruchsfrei erteilt werden kann.
Der entscheidende Fehler passiert nicht bei der Reaktion auf ein Auskunftsverlangen, sondern lange vorher. Wer erst dann rekonstruiert, welche Daten wo verarbeitet und an wen weitergegeben wurden, hat den Moment verpasst, in dem sich das Problem noch hätte vermeiden lassen. Die Lösung liegt nicht in einer einzelnen Verteidigungsstrategie. Sie liegt in einem Bewerbungsprozess, der von Anfang an auf Auskunftsfähigkeit angelegt ist.
Dieses Risiko wird perspektivisch nicht weniger
Die Zahl der auf Art. 82 DSGVO gestützten Klagen wird weiter steigen, solange § 12a ArbGG einen Vergleich billiger macht als einen Sieg. Gleichzeitig drängt das Antidiskriminierungsrecht auf Transparenz, während das Datenschutzrecht Zurückhaltung verlangt. Diese Spannung löst sich nicht durch eine einzelne Gerichtsentscheidung auf. Sie bleibt Teil jedes Bewerbungsprozesses. Und Unternehmen, die das für ein abstraktes Compliance-Thema halten, merken es spätestens dann, wenn die erste Klage kommt.
Für Fragen zur datenschutz- und diskriminierungsrechtlichen Gestaltung von Bewerbungsprozessen sowie zur Verteidigung gegen entsprechende Ansprüche stehe ich Ihnen gerne zur Verfügung.