Nach Artikel 15 DSGVO muss der Verantwortliche (Arbeitgeber) der betroffenen Person (Arbeitnehmer) auf deren Verlangen hin Auskunft über die von ihm verarbeiteten personenbezogenen Daten erteilen sowie über

• die Zwecke der Verarbeitung,
• die Kategorien der verarbeiteten Daten,
• die Empfänger oder Kategorien von Empfängern dieser Daten,
• die Speicherdauer oder die Kriterien für deren Bemessung,
• das Bestehen von Schutzrechten,
• über die Herkunft der Daten und
• über die Durchführung einer automatisierten Entscheidungsfindung.

Unter Umständen muss der Arbeitgeber auch eine Kopie herausgeben. Wird der Auskunftsanspruch nicht rechtzeitig und/oder nicht vollständig vom Arbeitgeber erfüllt, stellt dies einen bußgeldbewehrten Datenschutzverstoß nach Art. 83 Abs. 5 DSGVO dar. Außerdem können vom Arbeitnehmer Schmerzensgeldansprüche wegen einer nicht ordnungsgemäß erfüllten Auskunft nach Art. 82 DSGVO geltend gemacht werden.

‍

Was tun im Fall der Fälle?

Wie reagiere ich aber richtig, wenn ein Mitarbeiter pauschal die Vorlage sämtlicher E-Mails, in denen sein Name vorkommt, zeitnah verlangt und bei Nichtvorlage ein Schmerzensgeldanspruch androht?

Das BAG hat in seinem Urteil vom 27.04.2021 (Az. 2 AZR 342/2) entschieden, dass eine Herausgabe der Kopien sämtlicher E-Mails von einem ehemaligen Mitarbeiter nicht ohne Weiteres gefordert werden kann. Dem BAG war in diesem Fall der Klageantrag des klagenden Mitarbeiters zu unbestimmt (nicht hinreichend bestimmt im Sinne von § 253 Abs. 2 Nr. 2 ZPO). Der Kläger hätte vielmehr die begehrten E-Mails so genau bezeichnen müssen, dass eine spätere Vollstreckung eines etwaigen Urteils möglich wäre.

Nach dem Wortlaut dieses BAG-Urteils ist ein Auskunftsanspruch also nicht mehr pauschal und ohne Weiteres durchsetzbar. Denn der Arbeitgeber kann ein solch weitgehendes Auskunftsverlangen in der Praxis nicht erfüllen, da dies das Screening sämtlicher E-Mails bedeuten würde, die auf dem jeweiligen Unternehmensserver gespeichert sind. Auch haben derartige Auskunftsverlangen regelmäßig mehr oder minder das Ziel, dem Arbeitgeber eine rechtzeitige und vollständige Auskunftserteilung faktisch unmöglich zu machen.

‍

‍

Datenschutz ist kein absolutes Recht

Eine Entscheidung des EuGH bezieht sich auf die Fragestellung, wie detailliert vom Arbeitgeber auf Nachfrage informiert werden muss, insbesondere über die Empfänger von Daten. Die Entscheidung des EuGH vom 12.01.2023 (Entscheidung C-154/21, Österreichische Post) thematisiert zwar nicht auf einen regulären Arbeitnehmer-Fall, allerdings wird eine weitere Eingrenzung getroffen: Die betroffene Person hat ein Wahlrecht, ob sie die Empfänger jeweils einzeln oder nur der Kategorie nach benennt. Im konkreten Fall hatte ein Nutzer der österreichischen Post seinen Auskunftsanspruch geltend gemacht. Er erhielt von der Post lediglich die Antwort, seine Daten seien, soweit gesetzlich zulässig, verarbeitet worden, dies beträfe die Veröffentlichung von Telefonbüchern, außerdem seien Daten an Geschäftspartner für Marketingzwecke weitergegeben worden. Im folgenden gerichtlichen Verfahren wurden diese Angaben weiter konkretisiert, der Oberste Gerichtshof in Wien legte daraufhin die Streitfrage dem EuGH vor. Zwar hat der Arbeitgeber die Pflicht zur Auskunftserteilung, jedoch stellt der Datenschutz kein absolutes Recht dar, Art. 4 DSGVO. Nach dem Grundsatz der Proportionalität müssen Datenschutzrechte der betroffenen Person mit den Grundrechten Dritter abgewogen werden.

Als Empfänger im datenschutzrechtlichen Sinne (Art. 4 Nr. 9 DSGVO) gelten sogenannte Auftragsverarbeiter, die Daten im Auftrag und damit nach Weisung des Arbeitgebers verarbeiten (Payroll Provider, Personalabteilung, externe IT-Dienstleister) und Dritte (externe Stellen, Behörden, Krankenkasse, Agentur für Arbeit etc.). Wenn es unmöglich ist, genauere Informationen über die Empfänger zu erteilen, kann der Verantwortliche dazu auch nicht verpflichtet werden. Der Verantwortliche ist berechtigt, Auskunftsansprüche zurückzuweisen, wenn diese überzogen oder missbräuchlich sind, Art. 12 Abs. 4 DSGVO.

Im Ergebnis bedeutet dies: Pauschale Auskunftsverlangen können als rechtsmissbräuchlich zurückgewiesen werden, ebenso die Auskunft über vertrauliche Daten und über Daten, die dem Anspruchsteller ohnehin bekannt sind (z. B. dessen persönliche Daten). Es ist jedoch darauf zu achten, die gewünschten Auskünfte zeitnah innerhalb der Frist des Art. 15 DSGVO – 1 Monat – zu erteilen, oder aber in komplexeren Fällen mit einer Begründung die Frist zu verlängern. Nach EG* 63  zur DSGVO kann der Verantwortliche außerdem verlangen, dass der Anspruchsteller auf Auskunft seinen Antrag weiter präzisiert. Präventiv sollte eine Struktur geschaffen werden, welche eine zügige Auswertung von Daten für ein Auskunftsverlangen ermöglicht. Außerdem sollte in Kündigungsschutzverfahren bei Vergleichen ein Verzicht auf den Auskunftsanspruch explizit vereinbart werden.