Datenschutzrechtlicher Auskunftsanspruch im Arbeitsverhältnis
Der datenschutzrechtliche Auskunftsanspruch beschäftigt derzeit die deutschen Arbeitsgerichte. Jüngst hat das Landesarbeitsgericht Baden-Württemberg mit Urteil vom 20. Dezember 2018 (17 Sa 11/18) einen großen deutschen Automobilkonzern zur Erteilung einer Auskunft nach Art. 15 Abs. 1 DSGVO und einer Datenkopie im Sinne von Art. 15 Abs. 3 DSGVO verurteilt.
Diese Entscheidung ist aus zwei Gründen bemerkenswert. Zum einen, weil der Kläger – eine hochrangige Führungskraft – die Auskunft und die Datenkopie im Rahmen eines Kündigungsschutzprozesses beansprucht hat. Und zum anderen, weil der Kläger Auskunft über eine spezielle Datenkategorie beansprucht hat, der im Arbeitsverhältnis regelmäßig eine besondere Sensibilität beigemessen wird: Seine persönlichen Leistungs- und Verhaltensdaten.
Daran wird deutlich, dass die datenschutzrechtliche Auskunft und das Recht auf Erteilung einer Datenkopie auch im Arbeitsverhältnis ein weites Anwendungsfeld besitzen. Anlass genug, sich mit dem Spannungsfeld „Arbeitsverhältnis – datenschutzrechtliche Auskunft“ näher zu befassen.
Geltung des Auskunftsrechts im Arbeitsverhältnis
Arbeitnehmer können sich gegenüber Arbeitgebern auf Art. 15 DSGVO nur innerhalb des Geltungsbereichs der DSGVO berufen. Nach Art. 2 Abs. 1 DSGVO sind davon ausschließlich die ganz oder teilweise automatisierte Verarbeitung von personenbezogenen Daten sowie die nicht automatisierte Verarbeitung von personenbezogenen Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen umfasst. Analoge Formen der Datenverarbeitung, wie die mündliche Abfrage von Informationen oder handschriftliche Notizen sind demnach vom Geltungsbereich der DSGVO ausgenommen. Folgerichtig besteht insoweit auch kein Auskunftsrecht der betroffenen Personen.
Letzteres gilt auch im Verhältnis zwischen Arbeitnehmer und Arbeitgeber. Zwar findet das nunmehr in § 26 BDSG n.F. verankerte deutsche Beschäftigtendatenschutzrecht wegen § 26 Abs. 7 BDSG n.F. auch auf alle Formen der nicht automatisierten Verarbeitung von personenbezogenen Arbeitnehmerdaten Anwendung. Allerdings bezieht sich diese Ausweitung des datenschutzrechtlichen Geltungsbereichs lediglich auf die bereichsspezifischen Erlaubnistatbestände für die Verarbeitung von personenbezogenen Beschäftigtendaten im Beschäftigungskontext und auf die in Art. 5 DSGVO genannten Grundsätze. Den Geltungsbereich der Art. 15 ff. DSGVO lässt § 26 Abs. 7 BDSG n.F. unberührt.
Das Recht auf Auskunft
Der „originäre“ Auskunftsanspruch in Art. 15 Abs. 1 DSGVO ist zweistufig aufgebaut.
Auf der ersten Stufe können Betroffene Auskunft darüber verlangen, ob ihre personenbezogenen Daten vom Anspruchsgegner überhaupt (automatisiert) verarbeitet werden. Das ist bei Arbeitnehmern regelmäßig der Fall. In einem laufenden Arbeitsverhältnis stellt sich die Frage nach dem „Ob“ wohl nur in seltenen Ausnahmekonstellationen. Entsprechendes gilt für das laufende Bewerbungsverfahren, zumal Bewerbungsunterlagen mit zunehmender Häufigkeit per E-Mail oder über vom Arbeitgeber betriebene Online-Bewerbungsportale übermittelt werden.
Anders aber, wenn im Anschluss an das Bewerbungsverfahren kein Arbeitsverhältnis zustande kommt oder das Arbeitsverhältnis beendet ist. Dann haben Bewerber und ausgeschiedene Arbeitnehmer regelmäßig ein Interesse zu erfahren, ob der Arbeitgeber erhobene Daten nach Ablauf einschlägiger Aufbewahrungsfristen wieder gelöscht hat. Auch ein solcher Negativtest ist von der ersten Stufe des Auskunftsrechts umfasst.
Steht außer Zweifel, dass der Arbeitgeber personenbezogene Daten des Bewerbers oder Arbeitnehmers verarbeitet, kann auf der zweiten Stufe Auskunft verlangt werden über
• die Verarbeitungszwecke,
• die Kategorien der personenbezogenen Daten, die verarbeitet werden,
• die Empfänger oder Kategorien von Empfängern,
• die Dauer der Speicherung,
• bestehende Rechte,
• die Herkunft der Daten, und
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling.
Dieser Katalog der zu erteilenden Einzelauskünfte stimmt in vielen Punkten dem Inhalt der Informationspflicht des Arbeitgebers gemäß Art. 13 Abs. 1 DSGVO überein.
In der Praxis besteht die Herausforderung für Arbeitgeber oftmals darin, sich selbst einen Überblick über die Zwecke zu verschaffen, zu denen personenbezogene Arbeitnehmerdaten in ihrem Unternehmen verarbeitet werden. Hat der Arbeitgeber darüber keine Kenntnis, ist ihm eine ordnungsgemäße Auskunftserteilung nicht möglich. Diese Problematik betrifft vor allem mittelständische und große Unternehmen mit einer umfangreichen IT-Infrastruktur. Dort kommen unter anderem moderne HR-Softwaresysteme zum Einsatz, die Arbeitgebern umfangreiche Kennzahlen-Analysen und Reportings zu unterschiedlichsten Zwecken auf Knopfdruck ermöglichen. Neben solchen betriebs- oder unternehmensweit eingesetzten Systemen sind in einzelnen Fachabteilungen oder auf den Arbeitsplätzen einzelner Arbeitnehmer häufig zusätzliche Sonderanwendungen oder Tools installiert, die etwa für die Ausübung spezieller Tätigkeiten erforderlich sein können. Arbeitgebern ist deshalb dringend zu raten, sich ein umfassendes Bild über die Verarbeitung von personenbezogenen Arbeitnehmerdaten in ihren Betrieben zu verschaffen. Das kann beispielsweise mithilfe von Fragebögen gelingen, in denen die erforderlichen Informationen abgefragt werden und die von den Fachabteilungen auszufüllen sind. Die so gewonnenen Informationen dienen zugleich als Grundlage für die Erstellung eines Verarbeitungsverzeichnisses im Sinne von Art. 30 DSGVO. Zur Vorbereitung auf den Ernstfall kann außerdem ein Testlauf hilfreich sein, bei dem das Auskunftsbegehren eines stichprobenartig ausgewählten Mitarbeiters simuliert wird.
Das Recht auf Herausgabe einer Datenkopie
Nach Art. 15 Abs. 3 S. 1 DSGVO haben Arbeitnehmer seit dem 25. Mai 2018 erstmals das Recht, von ihrem Arbeitgeber eine Kopie ihrer personenbezogenen Daten zu verlangen. Das Recht auf Erteilung einer Datenkopie wird in der Fachliteratur wahlweise als „besondere Form der Auskunft“ oder als ein das Auskunftsrechtrecht nach Abs. 1 „ergänzendes, gleichrangig neben diesem Recht“ stehendes Rechtsinstitut qualifiziert.
Hier sind viele praxisrelevante Fragen noch ungeklärt. So ordnet Art. 15 Abs. 3 S. 3 DSGVO zwar an, dass die Datenkopie in einem „gängigen elektronischen Format“ erteilt werden muss, wenn schon der Antrag in elektronischer Form gestellt wird. Für das elektronische Format genügt nach überzeugender Auffassung die Textform des § 126b BGB. Offen ist aber, welche elektronischen Formate als „gängig“ bezeichnet werden dürfen. Das DSK Kurzpapier Nr. 6 nennt – ohne Begründung – beispielhaft das PDF-Format. Im Ergebnis muss jedes derzeit allgemein gebräuchliche Dateiformat genügen, das ohne größeren (Beschaffungs-)Aufwand typischerweise von der überwiegenden Anzahl der Betroffenen mithilfe eines durchschnittlich ausgestatteten Desktop-Computers geöffnet und gelesen werden kann. Neben dem PDF-Format sind dies aktuell insbesondere die weit verbreiteten Microsoft Office Formate (unter anderem .docx).
Geltendmachung und Erfüllung
Die Geltendmachung einer Auskunft oder einer Datenkopie unterliegt keiner Formvorgabe. Es genügt deshalb, wenn der Arbeitnehmer mündlich erklärt, er wolle eine Auskunft und/oder eine Datenkopie im Sinne von Art. 15 DSGVO erhalten.
Dann liegt es ausschließlich in der Verantwortung des Arbeitgebers, wie er die gesetzlichen Anforderungen an eine Auskunft innerhalb der Regelfrist von einem Monat nach Eingang des Antrags gemäß Art. 12 Abs. 3 S. 1 DSGVO erfüllt. Der Arbeitgeber darf das Auskunftsbegehren nicht unbeantwortet lassen. Selbst wenn er keine Auskunft oder Datenkopie erteilen möchte, muss er dem Antragssteller wegen Art. 12 Abs. 4 DSGVO innerhalb eines Monats nach Eingang des Antrags die Gründe dafür offenlegen und ihn über sein Beschwerderecht bei der Aufsichtsbehörde und die Möglichkeit eines gerichtlichen Rechtsbehelfs informieren.werderecht bei der Aufsichtsbehörde und die Möglichkeit eines gerichtlichen Rechtsbehelfs informieren.
Erteilt der Arbeitgeber die Auskunft oder die Datenkopie, kann er nach Art. 12 Abs. 5 S. 1 DSGVO dafür grundsätzlich kein Entgelt bzw. keine Gebühr verlangen. Art. 15 Abs. 3 S. 2 DSGVO macht davon eine Ausnahme für jede weitere Datenkopie. Hier kann ein angemessenes Entgelt verlangt werden.
Beschränkungen des Auskunftsrechts
Damit ist zugleich die Frage angesprochen, unter welchen Umständen der Arbeitgeber die Erteilung einer Auskunft oder einer Datenkopie ganz oder teilweise verweigern darf.
1. Schutz vor Rechtsmissbrauch
Ein Verweigerungsrecht steht dem Arbeitgeber in Missbrauchskonstellationen zu.
Bestehen begründete Zweifel an der Identität des Antragsstellers kann der Arbeitgeber die Erteilung der Auskunft oder Datenkopie bis zur Klärung der Identität des Antragsstellers verweigern. Dazu kann der Arbeitgeber gemäß Art. 12 Abs. 6 DSGVO vom Antragssteller zusätzliche Informationen anfordern, die zur Bestätigung seiner Identität erforderlich sind. Die Möglichkeit zur Identitätsfeststellung soll insbesondere den Missbrauch durch unberechtigte Dritte verhindern.
Bei Art. 12 Abs. 5 S. 2 b) DSGVO steht der Missbrauch durch den berechtigten Antragssteller im Vordergrund, der Anträge in exzessiver Anzahl oder in offenkundig unbegründeter Form stellt. Voraussetzung ist, dass es sich um einen „offenkundig unbegründeten“ Antrag handelt oder der Antragssteller „exzessive Anträge“, also insbesondere sich häufig wiederholende Anträge stellt. Anstelle einer Verweigerung der Auskunft kann sich der Arbeitgeber aber auch auf Art. 15 Abs. 5 S. 2 a) berufen und ein angemessenes Entgelt für die Erteilung der Auskunft oder der Datenkopie verlangen. Die Vorschrift durchbricht den in Art. 15 Abs. 5 S. 1 verankerten Grundsatz der Unentgeltlichkeit. In beiden Fällen trägt der Arbeitgeber wegen Art. 15 Abs. 5 S. 3 DSGVO im Streitfall die Darlegungs- und Beweislast für das Vorliegen entsprechender Tatsachen.
Darüber hinaus kann der Arbeitgeber die Erteilung einer Auskunft oder Datenkopie im Einzelfall auch dann verweigern, wenn der Bewerber oder Arbeitnehmer durch die Geltendmachung gegen den Grundsatz von Treu und Glauben verstößt. Der Grundsatz von Treu und Glauben gilt wegen Art. 8 Abs. 2 S. 1 GRCh und Art. 5 Abs. 1 Buchst. a) DSGVO und auch im Datenschutzrecht. Die Hürden für den Einwand treuwidrigen Verhaltens sind hier jedoch besonders hoch. Weil Arbeitnehmer kein besonderes Interesse an der Geltendmachung der sich aus Art. 15 DSGVO ergebenden Rechte vorweisen müssen, ist selbst eine willkürliche Geltendmachung ohne Hinzutreten weiterer unbilliger Motive zulässig. Als unbilliges Motiv in diesem Sinne zählt aber nicht schon die Absicht, die im Zuge der Auskunft gewonnenen Erkenntnisse zu datenschutzfremden Zwecken zu verwenden. Wird – wie in dem eingangs genannten Rechtsstreit vor dem LAG Baden-Württemberg – eine Kopie von personenbezogenen Leistungsdaten auf Grundlage von Art. 15 Abs. 3 S. 1 DSGVO verlangt, dürfen diese also beispielsweise auch zur anschließenden Geltendmachung einer leistungsabhängigen variablen Vergütung verwendet werden.
2. Einwand von Rechten Dritter
Von besonderer Praxisrelevanz ist der nach Art. 15 Abs. 4 DSGVO zulässige Einwand, dass die Erteilung einer Datenkopie Rechte oder Freiheiten anderer Personen beeinträchtigen würde.
ErwGr 63 S. 5 zur DSGVO zeigt, dass hiervon nicht nur entgegenstehende Persönlichkeitsrechte von anderen Personen umfasst sind, sondern auch Betriebs- und Geschäftsgeheimnisse sowie Urheberrechte des Arbeitgebers. Die Darlegungs- und Beweislast für das Bestehen einer Beeinträchtigung liegt im Streitfall beim Arbeitgeber. Die prozessuale Konsequenz ist, dass Arbeitgeber im arbeitsgerichtlichen Verfahren unter Umständen für eine riesige Vielzahl von personenbezogenen Daten substantiiert vortragen müssen. Der pauschale Einwand, dass Rechte Dritter oder Betriebsgeheimnisse betroffen seien, genügt regelmäßig nicht. Ebenso wenig genügt die bloß abstrakte Gefahr einer Beeinträchtigung.
Auch wenn die Voraussetzungen des Art. 15 Abs. 4 DSGVO im Einzelfall erfüllt sind, besteht nicht ohne Weiteres ein umfassendes Recht zur Verweigerung der Datenkopie. Es muss vielmehr geprüft werden, ob und inwieweit Teilauskünfte in Betracht kommen. Der Arbeitgeber muss kritische Passagen schwärzen, wenn dies zur Auflösung der Konfliktsituation führt.
Auch wenn die Voraussetzungen des Art. 15 Abs. 4 DSGVO im Einzelfall erfüllt sind, besteht nicht ohne Weiteres ein umfassendes Recht zur Verweigerung der Datenkopie. Es muss vielmehr geprüft werden, ob und inwieweit Teilauskünfte in Betracht kommen. Der Arbeitgeber muss kritische Passagen schwärzen, wenn dies zur Auflösung der Konfliktsituation führt.
3. Aufforderung zur Konkretisierung
Arbeitgeber haben die Möglichkeit, die Konkretisierung bzw. Präzisierung eines umfassenden Auskunftsbegehrens vom Arbeitnehmer zu verlangen.
Dieses Recht erschließt sich aus dem ErwGr 63 S. 7 zur DSGVO. Hier heißt es:
„Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.“
Sinn und Zweck einer Präzisierung ist es allerdings nicht, den Auskunftsanspruch des Betroffenen einzuschränken. Es soll lediglich vermieden werden, dass der Verantwortliche einen unnötigen Aufwand betreiben muss, wenn der Betroffene nur an bestimmten Informationen oder Verarbeitungsvorgängen interessiert ist. Das Recht des Arbeitnehmers, auch eine umfassende Auskunft oder Datenkopie zu verlangen ist also auch dann nicht eingeschränkt, wenn der Arbeitgeber eine große Menge seiner personenbezogenen Daten verarbeitet.
Nach dem Wortlaut des ErwGr kommen wenigstens eine Präzisierung auf bestimmte Datenkategorien („auf welche Information“) und auf die Verarbeitungszwecke („welche Verarbeitungsvorgänge“) in Betracht. Eine Präzisierung auf persönliche Leistungs- und Verhaltensdaten im Sinne ist deshalb zulässig. Daneben kann die Auskunft nach Art. 15 Abs. 1 DSGVO auch auf einzelne der in den Buchstaben a) bis h) genannten Informationen beschränkt werden.
4. Der Einwand der Unverhältnismäßigkeit
In der Fachliteratur wird vereinzelt darüber diskutiert, ob sich Arbeitgeber im Einzelfall darauf berufen können, dass die Erteilung einer Auskunft oder Datenkopie einen unverhältnismäßig großen Aufwand erfordern würde.
Franck verweist zur Begründung auf § 275 Abs. 2 BGB. Ein Schuldner könne die Leistung danach verweigern, soweit diese einen Aufwand erfordert, der unter Beachtung des Inhalts des Schuldverhältnisses und der Gebote von Treu und Glauben in einem groben Missverhältnis zu dem Leistungsinteresse des Gläubigers steht. Franck stellt zugleich klar, dass für den Einwand der Unverhältnismäßigkeit aber sehr strenge Maßstäbe anzulegen seien.
Diese Argumentation ist kritikwürdig. Der Art. 14 Abs. 5 b) DSGVO belegt, dass der europäische Gesetzgeber die Problematik der Unverhältnismäßigkeit erkannt hat. Dennoch hat er davon abgesehen, einen entsprechenden Ausschlusstatbestand in Art. 15 DSGVO aufzunehmen. Hinzu kommt, dass der deutsche Gesetzgeber von der Öffnungsklausel des Art. 23 Abs. 1 DSGVO Gebrauch gemacht hat und in § 34 Abs. 1 BDSG n.F. weitere Ausnahmen vom Auskunftsrecht nach Art. 15 DSGVO statuiert. Danach führt ein unverhältnismäßiger Aufwand nur dann zu einem Ausschluss des Auskunftsrechts, wenn die weiteren Voraussetzungen in Art. 34 Abs. 1 Nr. 1 und 2 BDSG n.F. ebenfalls erfüllt sind. Ein unverhältnismäßiger Aufwand allein berechtigt also nach dem Willen des Deutschen Gesetzgebers also noch nicht zur Verweigerung der Auskunft. Für eine Anwendung des § 275 Abs. 2 BGB ist deshalb kein Raum.
Zusammenfassung und Ausblick
Viele praktisch wichtige Fragen im Zusammenhang mit Art. 15 DSGVO bleiben vorerst ungeklärt. Arbeitgeber sind gut beraten, organisatorische Maßnahmen zu ergreifen, um sich bis zum Vorliegen einer belastbaren Rechtsprechung behelfen zu können.
Der Autor Dr. Tassilo Rouven-König ist Rechtsanwalt in der Stuttgarter Kanzlei Naegele Rechtsanwälte, die den Kläger im vorbezeichneten Rechtsstreit vertreten hat.
