Müssen Verantwortliche betroffenen Personen auf Anfrage umfangreiche Datensätze zur Verfügung stellen?

Von Tim Wybitul

Art. 15 Abs. 1 DSGVO gibt natürlichen Personen ein Auskunftsrecht über die Verarbeitung ihrer personenbezogenen Daten. Das für eine Datenverarbeitung verantwortliche Unternehmen muss betroffene Personen auf deren Antrag hin umfassend über die verarbeiteten Daten informieren. Dieses Auskunftsrecht betrifft beispielsweise die Zwecke und Empfänger sowie weitere Einzelheiten der Verarbeitung. Weiterhin muss der Verantwortliche nach Art. 15 Abs. 3 DSGVO auch eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung“ stellen. Das Landesarbeitsgericht (LAG) Baden-Württemberg hat dieses Recht auf Auskunft und Kopie in einer aktuellen Entscheidung (Urt. v. 20.12.2018 – 17 Sa 11/18) weit ausgelegt. Dies kann Unternehmen vor große Herausforderungen stellen. Allerdings können Unternehmen bei der Erteilung von Auskünften durchaus auch eine andere Rechtsauffassung vertreten. Denn zum einen ist das Urteil des LAG Baden-Württemberg nicht rechtskräftig und wird gegebenenfalls noch vom Bundesarbeitsgericht korrigiert. Zum anderen  hat das Landgericht (LG) Köln in einer hier abrufbaren aktuellen Entscheidung das Recht auf Auskunft und Kopie deutlich restriktiver – und damit unternehmensfreundlicher – ausgelegt als ihre Baden-Württemberger Kollegen. Der vorliegende Überblick zeigt, wie Unternehmen auf Auskunftsansprüche reagieren können – und mit welchen Argumenten sie exzessiven Informationsersuchen entgegen treten können.

Worum geht es in der Entscheidung des LAG Baden-Württemberg?

Ein Arbeitnehmer verlangte von seiner Arbeitgeberin unter anderem Auskunft (Art. 15 Abs. 1 DSGVO) über die von ihr verarbeiteten personenbezogenen Leistungs- und Verhaltensdaten, welche nicht in der Personalakte gespeichert sind. Weiterhin forderte der klagende Arbeitnehmer einer Kopie (Art. 15 Abs. 3 DSGVO) dieser Daten.

Das LAG Baden-Württemberg verurteilte die Arbeitgeberin, dem Arbeitnehmer die geforderten Auskünfte und „eine Kopie seiner personenbezogenen Leistungs- und Verhaltensdaten, die Gegenstand der von ihr vorgenommenen Verarbeitung sind, zur Verfügung zu stellen“. Wie umfangreich die zu erteilende Auskunft genau sein muss, und von welchen Daten die Arbeitgeberin eine Kopie zur Verfügung stellen soll, lassen die Stuttgarter Richter offen. Der vage Wortlaut des Urteils lässt vermuten, dass die beklagte Arbeitgeberin auch Rohdaten und Dateien aus einzelnen Anwendungen – z.B. den Arbeitnehmer betreffende E-Mails – als Kopie herausgeben muss.

Was bedeutet das Urteil für die Praxis?

Eine so weite Auslegung des Rechts auf Kopie wäre für Unternehmen sehr aufwändig. Unternehmen bräuchten zum einen die notwendige IT-Infrastruktur, um zeitnah und systemübergreifend die geforderten Datensätze zusammenstellen zu können. Zum anderen müssten Unternehmen genau prüfen, ob diese Kopien personenbezogene Daten Dritter enthalten und diese ggf. entfernen. Beispielsweise müssten Unternehmen alle herauszugebenden E-Mails in Hinblick auf dritte Personen anonymisieren. Solche Maßnahmen wären für Unternehmen sowohl finanziell als auch personell sehr aufwändig.

Bewertung

Datenschutzexperten sind sich über die Reichweite von Art. 15 Abs. 3 DSGVO bislang nicht einig. Im Ergebnis sprechen die überzeugenderen Argumente für ein restriktives Verständnis des Rechts auf Kopie. Beispielsweise dient das Recht auf Kopie dazu, dass betroffene Personen die Rechtmäßigkeit der Verarbeitung ihrer Daten überprüfen können (vgl. ErwGr 63 S. 1). Dazu ist es ausreichend, wenn der Verantwortliche eine Übersicht über die von ihm verarbeiteten Daten zur Verfügung stellt. Eine Kopie aller verarbeiteten Daten ist in diesem Fall nicht erforderlich. Solche Kopien wären auch regelmäßig sehr umfangreich und wären nicht unbedingt hilfreich, wenn betroffene Personen sich einen Überblick über die Rechtmäßigkeit von Datenverarbeitungen verschaffen wollen.

Die deutschen Datenschutzbehörden verstehen das Recht auf Kopie teilweise ebenfalls eher restriktiv. Beispielsweise hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in seinem aktuellen Tätigkeitsbericht 2017/2018 (S. 46 f.) bestätigt, dass Art. 15 DSGVO keinen allgemeinen Anspruch auf Kopien oder Akten begründet.

Lösungsansatz: Gestuftes Vorgehen

Unternehmen sollten für den Umgang mit Auskunftsverlangen einen Ansatz wählen, den sie gegenüber Aufsichtsbehörden gut vertreten können. Vor allem wenn Verantwortliche zahlreiche personenbezogenen Daten von Betroffenen verarbeiten, kann sich ein gestuftes Vorgehen anbieten. Dabei stellen Unternehmen betroffenen Personen auf Anfrage zunächst die in Art. 15 Abs. 1 DSGVO genannten Informationen und eine Kopie mit aussagekräftigen Daten zur Verfügung. Sofern betroffene Personen weitere Informationen oder umfangreichere Kopien verlangen, können Verantwortliche sie bei Bedarf auffordern, ihre Ansprüche zu konkretisieren. So kann der Verantwortliche auch prüfen, ob ein gegebenenfalls Auskunftsverlangen exzessiv und daher unbegründet ist (vgl. Art. 12 Abs. 5 DSGVO).

Eine ausführliche Analyse der Entscheidung und weitere Empfehlungen zum Umgang mit Auskunftsverlangen in der Praxis finden sie in der Neuen Zeitschrift für Arbeitsrecht (NZA) 2019, S. 672. Den Überblick können sie hier unter dem Reiter „Thought Leadership – Art. 15 DSGVO: LAG Baden-Württemberg verlangt umfangreiche Auskünfte und Kopien“ gratis abrufen. Zudem finden Sie hier auch noch eine umfangreiche Materialsammlung zum Recht auf Auskunft und Kopie.