Search
Close this search box.

Tyskland: Registrerad får 750 euro i skadestånd efter att personuppgiftsansvarig svarat 19 dagar för sent på begäran om tillgång

Arbeitsgericht Duisburg (ArbG Duisburg) anser att en försening på 19 kalenderdagar i svaret på en begäran om tillgång orsakat en registrerad en tillfällig förlust av kontrollen över sina personuppgifter, och tillerkände denne skadestånd med 750 euro i enlighet med dataskyddsförordningen (GDPR).

Av domen framgår att en registrerad sökte en ledig tjänst hos ett kreditinstitut 2017. Den 18 maj 2023 lämnade den registrerade in en begäran om tillgång enligt artikel 15 GDPR och gav den personuppgiftsansvarige en tidsfrist på två veckor för att svara. Den personuppgiftsansvarige svarade inte inom tidsfristen och den registrerade påminde den personuppgiftsansvarige om sin begäran om tillgång. Den 5 juni 2023 svarade den personuppgiftsansvarige på begäran och uppgav att denne inte behandlade några av den registrerades personuppgifter. Den registrerade kontaktade därefter den personuppgiftsansvarige och frågade varför det tog så lång tid att svara på hans begäran om tillgång och den personuppgiftsansvarige svarade att det var lagligt att svara inom den tidsfrist som anges i artikel 12.3 GDPR.

Den registrerade ansåg dock att den personuppgiftsansvarige hade brutit mot kravet i artikel 12.3 GDPR att personuppgiftsansvariga utan onödigt dröjsmål ska tillhandahålla information om de registrerades förfrågningar. Den registrerade hävdade att han hade rätt till immateriell skada enligt artikel 82.1 GDPR, eftersom han tillfälligt förlorat kontrollen över sina personuppgifter och inte visste om personuppgifter som rörde honom höll på att behandlas, och han kunde inte heller veta om den personuppgiftsansvarige lagligen behandlade hans uppgifter eller inte. Den registrerade hävdade vidare att han hade lidit känslomässig skada. Av dessa skäl begärde han ersättning från den personuppgiftsansvarige med 1 000 euro, vilket den personuppgiftsansvarige vägrade att betala.

Den registrerade väckte därefter talan vid ArbG Duisburg för att erhålla ersättning på minst 2 000 euro från den personuppgiftsansvarige.

ArbG Duisburg konstaterade först att personuppgiftsansvariga enligt artikel 12.3 GDPR ska lämna ett svar utan onödigt dröjsmål och under alla omständigheter inom en månad från mottagandet av begäran. Detta innebär enligt ArbG att personuppgiftsansvariga måste behandla en begäran om tillgång skyndsamt. Tidsfristen på en månad ska inte ses som en rutinmässig tidsfrist, utan endast som en tidsfrist som gäller när komplicerade omständigheter föreligger. ArbG Duisburg tolkade “utan onödigt dröjsmål mot bakgrund av den tyska civillagen, varför en försening kan sägas börja efter mer än en vecka, om inga särskilda omständigheter motiverar en längre tidsperiod.

I det aktuella fallet svarade den personuppgiftsansvarige efter 19 kalenderdagar och inga särskilda omständigheter angavs som skulle motivera en försening av svaret. Vidare ansåg ArbG Duisburg att begäran inte var komplicerad eftersom den avsåg en gammal jobbansökan och eftersom uppgifterna ändå skulle raderas krävde tillhandahållandet av information inte en lång efterforskningsprocess. Det faktum att den personuppgiftsansvarige hanterar många förfrågningar om information var inte en relevant faktor att ta hänsyn till. Dessutom fastställde ArbG Duisburg att det faktum att begäran avsåg en sex år gammal jobbansökan inte ändrade något när det gällde hur brådskande det var att behandla begäran, eftersom objektiv brådska inte är ett krav enligt artikel 12.3 GDPR. Dessutom ansåg ArbG Duisburg att den personuppgiftsansvariges påstående att denne inte kan förvänta sig att en enskild anställd ska veta att begäran måste behandlas inom två veckor var irrelevant, eftersom det är upp till den personuppgiftsansvarige att tillhandahålla en organisationsstruktur som möjliggör behandling av begäran inom de lagstadgade tidsfristerna. Mot bakgrund av ovanstående fann ArbG Duisburg att den personuppgiftsansvarige handlat i strid med artikel 12.3 GDPR.

Vidare konstaterade ArbG Duisburg att den registrerade lidit immateriell skada. ArbG Duisburg angav, med hänvisning till skäl 75 GDPR, att en immateriell skada uppstår när en registrerad hindras från att utöva kontroll över personuppgifter som rör honom. Genom det försenade svaret på begäran om tillgång orsakade den personuppgiftsansvarige att den registrerade tillfälligt förlorade kontrollen över sina personuppgifter, eftersom den registrerade under denna tid inte visste om och hur hans personuppgifter behandlades av den personuppgiftsansvarige.

ArbG Duisburg drog därför slutsatsen att den registrerade lidit en immateriell skada och hade rätt till en ersättning på 750 euro enligt artikel 82.1 GDPR. Vid beräkningen av skadeståndet beaktade ArbG Duisburg å ena sidan den personuppgiftsansvariges ekonomiska resurser och å andra sidan det faktum att den personuppgiftsansvarige inte överskred tidsramen i artikel 12.3 GDPR i någon betydande utsträckning.

Mer information

Myndighet: Arbeitsgericht Duisburg (ArbG Duisburg)

Land: Tyskland

Lagrum: Art. 12 GDPR, art. 15 GDPR, art. 82 GDPR, § 121 BGB

Ersättning : 750 euro

Mottagare: N/A

Beslutsnummer: 5 Ca 877/23

Beslutsdatum: 2023-11-03

Källa: Dom

Relaterade nyheter

Områden

I fokus

Länder

Taggar

Populära kurser

Expertis

Gå kurs med oss

07 MAR

AI – Introduktion till artificiell intelligens

Kursen ger dig de rättsliga förutsättningarna för utveckling, upphandling och användning av AI.

14 MAR

Cybersäkerhet - Introduktion till NIS2-direktviet

En genomgång av de viktigaste reglerna i NIS2-direktivet och kompletterande svensk lagstiftning.

21 MAR

AI - Introduktion till AI-förordningen

En genomgång av de viktigaste reglerna i den nya AI-förordningen och hur du kan använda AI-system på ett lagenligt sätt.