DSGVO-Auskunftsanspruch im Arbeitsverhältnis

Der Auskunftsanspruch nach Art. 15 DSGVO beschäftigt aufgrund seiner Praxisrelevanz mittlerweile viele Gerichte und Unternehmen. Hierbei stellt sich stets die Frage nach dem Inhalt, Umfang und den Grenzen des Anspruchs. Anhand eines exemplarischen Auskunftsbegehrens innerhalb eines Arbeitsverhältnisses greift der folgende Beitrag diese Probleme auf.

Wer kann einen Auskunftsanspruch stellen?

In einem Arbeitsverhältnis speichert der Arbeitgeber als Verantwortlicher nach Art. 4 Nr. 7 DSGVO regelmäßig personenbezogene Daten seiner Arbeitnehmer. Letztere gelten deshalb als betroffene Personen gemäß

Möchte ein Arbeitnehmer nun wissen, welche Daten über ihn gespeichert sind, gibt es mehrere rechtliche Möglichkeiten. Zum einen besteht ein Recht zur Einsicht in die Personalakte nach § 83 I 1 BetrVG. Ein solches Recht besteht auch (allerdings aus einer anderen rechtlichen Begründung [§ 241 II BGB iVm. Art. 2 I, 1 I GG]), sofern kein Betriebsrat besteht und ebenfalls, sofern das Arbeitsverhältnis bereits beendet wurde. Nicht nur klassische Arbeitnehmer können diesen Anspruch geltend machen, sondern auch Organpersonen (wie Geschäftsführer oder Vorstandsmitglieder).

Zum anderen kann ein Arbeitnehmer vom Arbeitgeber nach Maßgabe des Art. 15 DSGVO Auskunft über die ihn betreffenden personenbezogenen Daten, die der Arbeitgeber verarbeitet sowie Information nach Art. 15 I, II DSGVO verlangen. Darüber hinaus ergibt sich aus Art. 15 III DSGVO das Recht auf eine Kopie der entsprechenden personenbezogenen Daten.

Wie reagiert man auf den Auskunftsanspruch?

Der Verantwortliche ist grundsätzlich nach Art. 12 III DSGVO verpflichtet, unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags, die Auskunft zu erteilen. Ausnahmsweise kann die Frist mit ausreichender Begründung um zwei Monate verlängert werden (Art. 12 III 2, 3 DSGVO).

Außerdem gilt regelmäßig Folgendes hinsichtlich der Auskunftserteilung:

• Sie ist unentgeltlich,
• in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie
• in einer klaren und einfachen Sprache zu erbringen.
• Die Übermittlung erfolgt schriftlich; ggf. auch elektronisch oder mündlich (Art. 12 I DSGVO [mündlich nur auf Verlangen]).

Umfang des Auskunftsanspruchs

Wie in der Einleitung angedeutet, besteht bezüglich der Voraussetzungen und der Reichweite des Art. 15 DSGVO Uneinigkeit, da es bislang an einer höchstrichterlichen Rechtsprechung mangelt. Trotzdem können an dieser Stelle einige Tendenzen aufgezeigt werden.

Insoweit ist zunächst davon auszugehen, dass der Tatbestand von Art. 15 DSGVO bewusst weit gefasst ist. Denn angesichts bestehender Missbrauchsrisiken und enormer Datenmengen sollte eine Begrenzung nicht bereits auf tatbestandlicher Ebene erfolgen. Dementsprechend hat ein Verantwortlicher (in diesem Falle also der Arbeitgeber) grundsätzlich über alle personenbezogenen Daten eine Auskunft zu erteilen. Paradigmatisch – aber nicht abschließend – sind hierbei E-Mail-Korrespondenzen, Vermerke, Telefon- und Gesprächsnotizen, Schriftverkehr, rechtliche Bewertungen und auch anderweitige Analysen zu nennen.

Grenzen des Auskunftsanspruchs

Klar ist, dass ein etwaiger Anspruch nicht grenzenlos existieren kann. Die Praxis zeigt, dass vor allem folgende Beschränkungen in Betracht kommen:

• Im Spannungsverhältnis mit Rechten und Freiheiten anderer Personen,
• auf der Grundlage von Art. 23 DSGVO iVm. § 29 I 2 BDSG bei Informationen, die einem gewissen Geheimhaltungsinteresse unterliegen,
• bei der Unmöglichkeit einer Auskunftserteilung (etwa bei Identifizierungsproblemen) und
• bei Rechtsmissbrauch, wenn also mit der Auskunft sachfremde Ziele ausschließlich oder ganz überwiegend verfolgt werden sollen.

Die widerstreitenden Interessen sind dann unter Berücksichtigung des Grundrechtscharakters des Auskunftsrechts und der Umstände des Einzelfalls in einen rechtlichen Ausgleich zu bringen. Eben weil ein Ausgleich verlangt wird, bleibt die Nichterteilung der Auskunft auch insoweit das letzte Mittel. Vorrangig ist die Auskunft etwa mit stellenweisen Unkenntlichmachungen oder ähnlichen Mitteln zu erteilen.

Rechtsfolgen bei Verstößen

Ein Verstoß gegen Art. 15 DSGVO kann mit einer Geldbuße bis zu 20 Millionen EUR oder bis zu 4% des weltweiten Jahresumsatzes geahndet werden. Zunächst waren die zuständigen Behörden diesbezüglich zwar eher zurückhaltend. Jedoch zeigen aktuelle Entwicklungen wie etwa im Fall von „Deutsche Wohnen“, dass die vorherige „Schonzeit“ wohl eher der Vergangenheit angehört.

Falls Sie weitere Fragen haben, kontaktieren Sie uns!