Arbeitgeberseitiges Konkretisierungsverlangen
Das Unternehmen kann zudem verlangen, dass der Arbeitnehmer sein Auskunftsersuchen auf bestimmte Informationen oder Verarbeitungsvorgänge präzisiert, wenn der Datenverarbeitende eine große Menge von Informationen über die betroffene Person verarbeitet (Erwägungsgrund 63 zur DSGVO). Dies dürfte im Arbeitsverhältnis zweifellos mit Blick auf die Datenmenge der Fall sein.
Teils wird hierzu jedoch vertreten, dass der Mitarbeiter sein Auskunftsersuchen auf „sämtliche verarbeiteten Daten“ zulässig präzisieren kann, wovon im Zweifel auszugehen sei (Specht in: Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 15 DSGVO Rdnr. 2). Begründet wird dies damit, dass der Betroffene diejenigen Informationen, die erst durch die Anfrage offengelegt werden sollen, nicht genau bezeichnen könne. Mit Blick auf den Erwägungsgrund sprechen die besseren Argumente aber für eine Einschränkungsmöglichkeit bzw. ein arbeitgeberseitiges Recht auf Präzisierung (in diese Richtung wohl auch LAG Baden-Württemberg v. 20.12.2018, a. a. O., Rdnr. 169).
Praxistipp
Es empfiehlt sich eine entsprechende Aufforderung zur Konkretisierung, welche dann aber zeitnah, jedenfalls binnen der Monatsfrist des Art. 12 Abs. 3 Satz 1 DSGVO, erfolgen muss.
Zumutbarkeitsgrenze und Rechtsmissbrauch
In Fällen offensichtlichen Missbrauchs kann das Unternehmen die Auskunftserteilung verweigern (Art. 12 Abs. 5 Satz 2 lit. b] DSGVO) oder für die Kopie ein Entgelt verlangen (Art. 12 Abs. 5 Satz 2 lit. a] DSGVO). Für das Vorliegen eines solchen Missbrauchs ist es allerdings beweispflichtig (Schmidt-Wudy in: BeckOK Datenschutzrecht, 27. Ed., Stand: 1.2.2019, Art. 15 DSGVO Rdnr. 48). Allein der Umstand, dass eine Anfrage im Rahmen einer Kündigungsschutzklage oder bei Beendigung des Arbeitsverhältnisses erfolgt, dürfte daher ohne Hinzutreten weiterer Umstände nicht reichen, um rechtsmissbräuchliches Verhalten annehmen zu können (s. a. Fuhlrott, GWR 2019, S. 157 m. w. N.).
Hinsichtlich der Erteilung einer Kopie sämtlicher personenbezogener Daten wird man ebenfalls mit Blick auf Zumutbarkeitserwägungen eine Begrenzung des Auskunftsverlangens annehmen können (so auch Härting, CR 2019, S. 219). Andernfalls müsste der Arbeitgeber ggf. unzählige, Hunderte oder Tausende E-Mails sichten und vor deren Übergabe prüfen, ob die jeweilige E-Mail personenbezogene Daten Dritter enthält, die vor Aushändigung zu schwärzen wären. Dieser Aufwand wäre offensichtlich unzumutbar.
Geheimhaltungsinteresse und Rechte Dritter Art. 15 Abs. 4 DSGVO erlaubt Begrenzungen des Auskunftsverlangens, soweit Rechte Dritter beeinträchtigt würden. Mit §§ 29, 34 BDSG hat der deutsche Gesetzgeber hierzu Regelungen geschaffen, die das Geheimhaltungsinteresse des Unternehmens als per se berechtigtes und schützenswertes Interesse anerkennen. Allerdings ist zwischen dem arbeitnehmerseitigen Auskunfts- und dem arbeitgeberseitigen Geheimhaltungsinteresse abzuwägen. Nach dem derzeitigen Rechtsprechungsstand (LAG Baden-Württemberg v. 20.12.2018, a. a. O.) muss der Arbeitgeber hierzu im Streitfall genau vortragen, aus welchen konkreten Gründen eine Offenbarung der Informationen nicht möglich ist.
Hierbei ist allerdings darauf zu achten, dass die Anforderungen an die unternehmensseitige Darlegung nicht überspannt werden. Keinesfalls darf man verlangen, dass der Vortrag so detailliert erfolgen muss, dass der Beschäftigte auf diesem Wege erfährt, welche Informationen der Arbeitgeber aus berechtigten Gründen – etwa zum Schutz der Wahrung der Anonymität von Hinweisgebern – nicht offenbaren wollte. Bei laufenden und verdeckten Ermittlungen besteht ohnehin keine Pflicht zur Information des Betroffenen, da ansonsten der Zweck der Untersuchung vereitelt würde (Fuhlrott, GWR 2018, S. 388, 389; Kort, RdA 2018, S. 23, 27).
Fazit
Der Auskunftsanspruch wird Personalabteilungen künftig beschäftigen. Die Einführung entsprechender Abläufe und Routinen ist zwingend, um die engen Fristen wahren und die Anträge ordnungsgemäß abarbeiten zu können. Halten Unternehmen derartige Abläufe vor, verliert der arbeitnehmerseitige Auskunftsanspruch schnell an Drohpotenzial und kann nicht genutzt werden, um das eigene Ausscheiden unter Berufung auf die DSGVO zu „versilbern“.
Mit freundlicher Genehmigung der HUSS-MEDIEN GMBH aus AuA 6/19, S. 336ff.
Gesetzliche Regelung
Nach einem Urteil des LAG Baden-Württemberg soll der Mitarbeiter Auskunft über sämtliche personenbezogenen Daten aus dem Beschäftigungsverhältnis verlangen können. In Rede steht auch die Herausgabe einer entsprechenden Kopie sämtlicher Daten. Was aber sind die genauen Anforderungen, welche Fristen sind zu beachten und hat eine ungenügende Auskunftserteilung nachteilige Folgen?
Die DSGVO sieht in Art. 15 einen umfangreichen Auskunftsanspruch vor, der auch von Arbeitnehmern als Betroffenen der Datenverarbeitung gegenüber dem Arbeitgeber als Verantwortlichen geltend gemacht werden kann:
Was personenbezogene Daten sind, definiert die DSGVO in Art. 4 Nr. 1 als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Davon umfasst sind nicht nur tatsächlich überprüfbare Eigenschaften oder sachliche Angaben, wie das Geburtsdatum oder Angaben über formale Abschlüsse, sondern auch Einschätzungen und Werturteile, z. B. die Einschätzung zum Arbeits- oder Leistungsverhalten (Klabunde in: Ehmann/Selmayr, DSGVO, 2. Aufl., 2018, Art. 4 Rdnr. 9). Auch die Speicherart oder das Speicherformat sind für die Qualifizierung als personenbezogene Daten unerheblich. Umfasst sind also E-Mails, Fotos, Videos, Mitschriften etc., sofern eine Identifikation des Mitarbeiters möglich ist (EuGH, Urt. v. 11.12.2014 – C-212/13, NJW 2015, S. 463).
Weitere Ansprüche
Zwar geht der gesetzliche Anspruch zunächst auf Erteilung einer Auskunft dahingehend, ob personenbezogene Daten verarbeitet werden. Im Arbeitsverhältnis ist dies aber immer der Fall und es sind keine Konstellationen denkbar, bei denen nicht irgendwelche personenbezogenen Daten des Beschäftigten zur Begründung, Durchführung oder Abwicklung des Arbeitsverhältnisses verarbeitet werden. Regelmäßig erfasst der Arbeitgeber zudem auch besonders sensible Daten, z. B. Gesundheitsdaten i. S. v. Art. 4 Nr. 15 DSGVO. Dies ist nicht erst dann der Fall, wenn das Unternehmen ein betriebliches Eingliederungsmanagement durchführt, sondern bereits dann, wenn es für die Lohnabrechnung Arbeitsunfähigkeitsbescheinigungen entgegennimmt und mit Blick auf die Lohnfortzahlungspflicht prüft.
Art. 15 DSGVO besteht systematisch aus drei Teilen:
- Zunächst steht dem Beschäftigten das Recht zu, eine Bestätigung zu erhalten, ob personenbezogene Daten verarbeitet werden (Abs. 1 Satz 1, 1. Halbsatz).
- Sodann hat er Anspruch auf umfangreiche Informationen (Abs. 1 Satz 1 a – h sowie Abs. 2).
- Zudem kann der Mitarbeiter eine kostenlose Erstkopie der verarbeiteten Daten (Abs. 3 Satz 1) sowie ggf. weitere kostenpflichtige Folgekopien (Abs. 3 Satz 2) verlangen.
Unberührt und neben Art. 15 DSGVO stehen zudem noch weitere Auskunftsansprüche des Arbeitnehmers, die zumeist einen spezifischen Zusammenhang zum Arbeitsverhältnis haben bzw. mit der Erfüllung bestimmter arbeitgeberseitiger Pflichten verbunden sind. Zu denken ist hierbei etwa an
- das Recht auf Einsicht in die Personalakte (§ 83 BetrVG),
- das Recht auf Mitteilung etwaiger Kündigungsgründe (§ 626 Abs. 2 Satz 3 BGB, § 1 Abs. 3 Satz 1 KSchG) oder
- hinsichtlich der Lohngleichheit der Geschlechter nach dem Entgelttransparenzgesetz (§ 10 EntgTranspG).
Zudem kann in bestimmten Konstellationen ein Auskunftsanspruch des Beschäftigten als Ausfluss einer arbeitsvertraglichen Nebenpflicht (§§ 611a, 241 Abs. 2 BGB) oder mit Blick auf die Grundsätze von Treu und Glauben (§ 242 BGB) bestehen. Die Rechtsprechung hat einen solchen allgemeinen Auskunftsanspruch etwa angenommen, wenn der Arbeitgeber eine an Umsatzzahlen variable Vergütung gewährt und der Mitarbeiter zur Nachprüfbarkeit die entsprechenden betrieblichen Kennzahlen erfahren möchte (BAG, Urt. v. 21.11.2000 – 9 AZR 665/99, NZA 2001, S. 1093; LAG Rheinland- Pfalz, Urt. v. 14.7.2015 – 6 Sa 409/14).
Der aktuelle Fall zum Auskunftsanspruch
Die Regelung des Art. 15 DSGVO zur Auskunft fand sich in inhaltlich ähnlicher Form bereits in § 34 BDSG a. F., führte bis zu einem aktuellen Urteil des LAG Baden-Württemberg (v. 20.12.2018 – 17 Sa 11/18, NZA-RR 2019, S. 242, m. Anm. Fuhlrott) aber faktisch ein Schattendasein.
Der Entscheidung lag ein bereits seit einigen Jahren andauernder Rechtsstreit zwischen zwei Arbeitsvertragsparteien zugrunde, die sich u. a. über die vertragsgerechte Beschäftigung, erteilte Abmahnungen und verschiedene Kündigungen stritten. Der Kläger, ein Unternehmensjurist beim beklagten Automobilkonzern, machte in der Berufungsinstanz den Auskunftsanspruch gem. Art. 15 DSGVO geltend. Das Unternehmen war der Auffassung, dass infolge einer laufenden und noch nicht abgeschlossenen internen Ermittlung, die auch den Kläger betreffe, insoweit keine Informationen erteilt werden könnten. Schutzwürdige Interessen des Arbeitgebers stünden der Bekanntgabe entgegen, zumal insbesondere auch durch eine Einsicht anonyme Hinweisgeber des internen Whistleblowing-Systems enttarnt werden könnten.
Diese Argumente überzeugten das LAG nicht. Es sprach dem Arbeitnehmer den Auskunftsanspruch vollumfänglich zu. Jede E-Mail, die Aussagen über den Kläger enthalte, stelle personenbezogene Daten i. S. v. Art. 4 Nr. 1 DSGVO dar. Diese Informationen müssten dem Kläger zugänglich gemacht werden. Das Berufen des Unternehmens auf berechtigte Interessen in Form des Geheimnisschutzes sei zwar per se ein berechtigtes und geschütztes Interesse des Arbeitgebers gem. Art. 15 Abs. 4 DSGVO i. V. m. §§ 34 Abs. 1, 29 Abs. 1 Satz 2 BDSG. Allerdings müsse dieser dafür konkret darlegen, welche Informationen geheimhaltungsbedürftig seien. Da er dies nicht getan hatte, sprach die erkennende Kammer dem Beschäftigten den geltend gemachten Auskunftsanspruch zu.
Infolge dieser Entscheidung sehen sich Unternehmen verstärkt mit entsprechenden Auskunftsverlangen konfrontiert.
Die Bearbeitung dieser Verlangen sollte ernst genommen werden, da bei einem Verstoß gegen die Pflicht des Art. 15 DSGVO gem. Art. 83 Abs. 5 b) DSGVO eine Geldbuße bis zu 20.000.000 Euro denkbar ist. Die Verhängung derartiger Bußgelder, die ansatzweise in eine solche Höhe gehen, dürfte wohl nur bei erheblichsten Datenschutzverstößen von Konzernen in Betracht kommen. Gleichwohl zeigt der drakonische Strafrahmen, welches Risiko von solchen Verstößen ausgehen kann.
Frist für Auskunftserteilung
Die Beantwortung des Auskunftsverlangens ist gem. Art. 12 Abs. 3 Satz 1 DSGVO unverzüglich, spätestens aber binnen eines Monats nach Antragseingang zu erfüllen.
Die Frist zur Beantwortung lässt sich gem. Art. 12 Abs. 3 Satz 2 DSGVO um maximal zwei Monate verlängern. Voraussetzung ist,
- dass das auskunftspflichtige Unternehmen einerseits binnen Monatsfrist den Betroffenen informiert und
- andererseits die Fristverlängerung aufgrund einer Vielzahl eingegangener Anträge oder der Komplexität des Auskunftsbegehrens notwendig ist (s. a. Fuhlrott, GWR 2019, S. 157).
Ist eine solche Verlängerung beabsichtigt, so muss der Mitarbeiter hierüber aber unter Angabe der Gründe binnen Monatsfrist nach Eingang seines Antrags informiert werden.
Praxistipp
Man muss beachten, dass das Auskunftsverlangen nicht formgebunden ist und insoweit auch mündlich oder in anderer Art und Weise (über soziale Medien o. Ä.) durch vom Arbeitgeber eröffnete Kommunikationswege geltend gemacht werden kann (Bäcker in: Kühling/Buchner, DSGVO/BDSG, 2. Aufl. 2018, Art. 15 Rdnr. 30; Dausend, ZD 2019, S. 103, 104). Daher ist zunächst eine Sensibilisierung der Mitarbeiter sinnvoll, ein entsprechend an sie herangetragenes Auskunftsverlangen zeitnah an die Personalabteilung weiterzuleiten.
Form der Auskunftserteilung
Die erfragte Auskunft i. S. v. Art. 15 Abs. 1 DSGVO muss nicht zwingend schriftlich erfolgen. Dem Arbeitnehmer steht aber gem. Art. 15 Abs. 3 DSGVO das Recht zu, auch eine Kopie der arbeitgeberseitig verarbeiteten eigenen personenbezogenen Daten zu erhalten. Die Erteilung der ersten Kopie muss zudem gem. Art. 15 Abs. 5 Satz 1 DSGVO unentgeltlich erfolgen. Der Mitarbeiter kann weitere Kopien verlangen, wofür aber der Arbeitgeber ein angemessenes Entgelt fordern kann.
Ebenfalls ist der Beschäftigte bei der Beantwortung unaufgefordert über die weiteren Rechte nach der DSGVO zu informieren. Hinzuweisen ist auf die Rechte auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Widerspruch gegen die Verarbeitung (Art. 21) sowie Beschwerde bei einer Aufsichtsbehörde (Art. 79).
