DSGVO: Auskunftsanspruch muss für das Arbeitsrecht angepasst werden

RA/FAArbR Klaus Thönißen, LL.M. (San Francisco)

Seit Inkrafttreten der Datenschutzgrundverordnung am 25.05.2018 können Arbeitnehmer eine Kündigung zum Anlass nehmen, um einen Auskunftsanspruch nach Art. 15 DSGVO gegenüber dem Arbeitgeber geltend zu machen. Die DSGVO wurde beschlossen, um den Schutz von natürlichen Personen bei der Verarbeitung personenbezogener Daten zu stärken. Dies geschah insb. vor dem Hintergrund von Unternehmen wie Google, Facebook oder sonstigen Anbietern, bei denen die Verarbeitung von personenbezogenen Daten zum Kern des Geschäftsmodells gehört.

Christian Kuß, LL.M.

Im Beschäftigungsverhältnis können sich durch Art. 15 DSGVO jedoch erhebliche Probleme ergeben: Stellt man sich ein Unternehmen mit 25.000 Mitarbeitern vor, welches nun unzählige Auskunftsanfragen abarbeiten und alle Personalakten kopieren muss, zeigt sich der erhebliche bürokratische Aufwand, der geschaffen wird. Denn in der wirklichen Praxis gibt es etliche Unternehmen, die noch nicht alle Daten digital bzw. auf Knopfdruck verfügbar haben.

Die DSGVO misst einer natürlichen Person im Falle der Verarbeitung ihrer personenbezogenen Daten umfassende Rechte bei. Um diese Rechte jedoch überhaupt ausüben zu können, muss der Betroffene zunächst Kenntnis darüber erlangen, dass seine personenbezogenen Daten verarbeitet werden. Gemeinsam mit den Informationspflichten gemäß Art. 13f. DSGVO wird dieser Zweck durch Art. 15 DSGVO erfüllt, der dem Betroffenen ein weitreichendes Auskunftsrecht zuspricht. Zu diesem gehört gem. Art. 15 Abs. 3 Satz 1 DSGVO auch die Pflicht des Verantwortlichen, dem Betroffenen eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen. Die erste Kopie hat dabei unentgeltlich zu erfolgen, die weiteren Kopien muss der Betroffene selbst tragen.

Zunächst kann der Betroffene im Rahmen des Auskunftsanspruchs feststellen, ob seine personenbezogenen Daten Gegenstand der Verarbeitung sind.

Aus Art. 15 Abs. 1 und Abs. 2 DSGVO ergibt sich der Umfang des Auskunftsanspruchs. Demnach muss der Verantwortliche Auskunft darüber geben, welche personenbezogenen Daten verarbeitet werden sowie den Verarbeitungszweck, die Datenkategorisierung, den Empfänger oder die Kategorien von Empfängern der Daten, die geplante Dauer der Speicherung, Betroffenen- und Beschwerderechte, die Herkunft der Daten, Informationen über eine automatisierte Entscheidungsfindung und Profiling und die Übermittlung in Drittländer und der Übermittlung zu Grunde liegenden Schutzmaßnahmen.

Interpretiert man das Recht auf Herausgabe der Kopien als Parallelrecht zum Auskunftsanspruch, steht dem Betroffenen auch im selben Umfang eine Kopie der personenbezogenen Daten zu. Gem. Art. 15 Abs. 4 DSGVO kann der Verantwortliche die Auskunft bzw. Herausgabe der Kopien nur verweigern, um seine Geschäftsgeheimnisse oder berechtigte Interessen Dritter zu schützen. Die Versagungsgründe müssen jedoch in Hinblick auf den Zweck der Vorschrift restriktiv ausgelegt werden. Denn die betroffene Person soll die Möglichkeit bekommen, Art und Umfang der sie betreffenden Datenverarbeitung nachvollziehen zu können. Die Datenschutzbehörden empfehlen dabei, „organisatorische Vorkehrungen“ zu treffen, um die Auskunftsanfragen vollständig und rechtzeitig beantworten zu können. Wie genau diese Vorkehrungen aussehen sollen, wird jedoch nicht weiter konkretisiert.

Durch ein Urteil des LAG Baden-Württemberg vom 20.12.2018 hat der Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO und der Anspruch auf Herausgabe der Kopien aus Art. 15 Abs. 3 Satz 1 DSGVO in der Rechtsprechung in einem arbeitsrechtlichen Sachverhalt Relevanz gefunden. Erstmals wurde von der Rechtsprechung eine Aussage getroffen, wie weit der Auskunftsanspruch im Beschäftigungsverhältnis reichen kann.

Ein Mitarbeiter hatte die Ansprüche geltend gemacht, um Auskunft über die von seiner Arbeitgeberin verarbeiteten, nicht in der Personalakte gespeicherten personenbezogenen Leistungs- und Verhaltensdaten zu erlangen. Gerade Leistungs- und Verhaltensdaten sind im Beschäftigungsverhältnis besonders sensibel. Von diesen Daten verlangte der klagende Mitarbeiter Kopien nach Art. 15 Abs. 3 Satz 1 DSGVO. Der Mitarbeiter hatte mit seiner Klage Erfolg. Die DSGVO enthalte auch für den Beschäftigtendatenschutz eine Vollregelung, sodass dem Arbeitnehmer ein Anspruch auf Auskunft und Herausgabe von Kopien gegen den Arbeitgeber zustehe. Der Auskunftsanspruch erstrecke sich u.a. auch auf die Offenlegung der personenbezogenen Daten aus dem hauseigenen Hinweisgebersystem.

Ein Auskunftsanspruch erscheint vor dem Hintergrund des Transparenzgebotes zwar sinnvoll, damit eine natürliche Person nachvollziehen kann, ob personenbezogene Daten verarbeitet werden.

Problematisch ist jedoch die Weite des Auskunftsanspruchs, worunter sich unter anderem alle E-Mails fassen lassen, die der Betroffene jemals verfasst oder empfangen hat, sowie Meta-Daten, z.B. Logfiles aus der IT. Ist dies der Fall, wird es für ein Unternehmen bereits zu einer Herausforderung herauszufinden, in welchem Umfang und an welchen Stellen überhaupt personenbezogene Daten verarbeitet werden.

Sollte dies dem Unternehmen dennoch gelingen, stellt sich die Frage, ob die Daten dem Betroffenen offengelegt werden müssen. Dies ist gerade vor dem Hintergrund von Geschäftsgeheimnissen problematisch. Im Rahmen einer Interessenabwägung, die dann erforderlich ist, wird der Arbeitgeber häufig keine Chance haben, sodass er dazu verpflichtet wird, die Daten herauszugeben. Denn die Interessen des Arbeitgebers müssen für jede Verarbeitung jedes einzelnen personenbezogenen Datums überwiegen.

Auch ist die Offenlegung in Hinblick auf die Interessen der Hinweisgeber problematisch. Nach Auffassung des LAG sei der Arbeitgeber zwar gegenüber den Hinweisgebern verpflichtet, deren Anonymität zu wahren, wenn er diese versprochen habe. Gleichzeitig könne der Auskunftsanspruch des Antragsstellers aber nicht mit Blick auf eine unterlassene Anonymisierung abgelehnt werden. Insoweit standen dem Recht auf Auskunft nach Auffassung des Gerichts keine Interessen Dritter entgegen. Arbeitgeber müssen also sicherstellen, dass Hinweise nur anonymisiert zur Personalakte genommen werden. Anderenfalls säßen sie zwischen zwei Stühlen und würden entweder in die Rechte des Betroffenen oder in die Rechtsposition des Hinweisgebers eingreifen.

Die Einführung der DSGVO und des Auskunftsanspruchs erscheinen im Hinblick auf eine europaweit einheitliche Regelung sinnvoll – gerade im Hinblick auf Unternehmen, die sich im Kerngeschäft mit der Datenverarbeitung beschäftigen.

Doch im Beschäftigungsverhältnis sind die Auskunftsersuche für den Arbeitgeber allerdings kaum zumutbar. Dennoch ist der Arbeitgeber gezwungen, Auskunft zu erteilen, denn ansonsten riskiert er nach der aktuellen Rechtslage im Falle des Versagens der Auskunft Ausgleichsansprüche.

Vor Inkrafttreten der DSGVO reichte für einen effektiven Schutz des Arbeitnehmers die Möglichkeit der Einsichtnahme in die Personalakte gem. § 83 BetrVG. Eine Erweiterung dieses Auskunftsrechts ist somit im Arbeitsrecht unverständlich, insb. der Einblick in das Hinweisgebersystem.

Daher ist der europäische Gesetzgeber aufgefordert, diese Gefahr im Beschäftigungsverhältnis zu erkennen und eine zwingend notwendige Bereichsausnahme zu schaffen.