Arbeitgeber sehen sich vermehrt datenschutzrechtlichen Auskunfts- und Kopieansprüchen ihrer (ehemaligen) Beschäftigten ausgesetzt. Im Zentrum dieser Ansprüche steht Art. 15 Datenschutz-Grundverordnung (DSGVO). Die Norm gibt Betroffenen Auskunftsrechte bezüglich ihrer personenbezogenen Daten. Wir haben bereits im RITTERSHAUS-Blogbeitrag „Datenschutz als Druckmittel – Der Auskunftsanspruch nach Art. 15 DSGVO“  darüber berichtet. Aktuelle höchstrichterliche Entscheidungen erlauben jetzt, den durch die Auskunftsverlangen besonders belasteten Arbeitgebern konkrete Handlungsempfehlungen an die Hand zu geben.

In der arbeitsrechtlichen Praxis missbrauchen Arbeitnehmervertreter die als Schutz der informationellen Selbstbestimmung gedachte Regelung zunehmend für prozesstaktische Zwecke. Denn auf Verlangen muss der Arbeitgeber eine kostenlose Kopie dieser personenbezogenen Daten herausgeben. Bei mehrjährigen Beschäftigungsverhältnissen können so schnell einige tausend Seiten zusammenkommen. Aufgrund des damit verbundenen Aufwands beim Arbeitgeber, dem Druckpotential bei unterlassener oder mangelhafter Erfüllung des Anspruchs (Bußgeld bis zu EUR 20 Mio. oder 4 % des weltweiten Konzernumsatzes) und dem gleichzeitig verhältnismäßig geringen Aufwand bei der Geltendmachung der Ansprüche auf Betroffenenseite, sind Auskunftsverlangen nach Art. 15 DSGVO (ohne jegliches tatsächliches Interesse an den verlangten Informationen, die der Arbeitnehmer im Zweifel ohnehin bestens kennt) zu einer Art „Best-Practice-Methode“ arbeitsrechtlicher Beratung von Arbeitnehmern mutiert. Der Verbindung von Kündigungsschutzklagen oder Abfindungsforderungen mit entsprechenden Auskunfts- und Herausgabebegehren stehen prozesstaktische Erwägungen auf die Stirn geschrieben.

Entsprechend intensiv setzten sich zuletzt Gerichte und Datenschutzaufsicht mit dem Phänomen auseinander.

Zuletzt wich das Bundesarbeitsgericht (BAG) im Daimler-Urteil (v. 16.12.2021 – 2 AZR 235/21) einer materiellen Präzisierung aus, indem es einen umfassenden Klageantrag auf Auskunft und Datenkopie eines Arbeitnehmers als nicht hinreichend bestimmt und damit unzulässig abwies. Laut BAG müsse der Beschäftigte etwa über eine Stufenklage zunächst Auskunft über vorhandene personenbezogene Daten – z.B. konkrete E-Mail-Verläufe – einholen und in einem zweiten Schritt den Kopieanspruch präzisieren.

Für den Bundesgerichtshof (BGH) folgt dagegen – im nicht arbeitsrechtlichen Kontext – die nötige Präzisierung aus Art. 15 DSGVO selbst (vgl. Urteil vom 15.06.2021 – VI ZR 576/19): Auskunft und Kopie bezögen sich schlicht auf sämtliche beim Anspruchsgegner über den Betroffenen vorhandenen personenbezogenen Daten. Nach diesem weiten Verständnis müsste der Arbeitgeber prüfen, welche bei ihm vorhandenen Daten (z.B. E-Mail-Korrespondenz, Vermerke etc.) zugleich personenbezogene Daten des Arbeitnehmers darstellen. Dies dürfte aus Sicht des Arbeitgebers kaum zu einer handhabbaren Eingrenzung führen. Allerdings bleiben dem Arbeitgeber auch nach der BGH-Rechtsprechung mögliche Gegenargumente, wie der Verweis auf schützenswerte Betriebs- und Geschäftsgeheimnisse.

Neben der arbeitsgerichtlichen und zivilprozessualen Relevanz sind die Positionen der Datenschutzaufsicht zu beachten. Erfüllt der Arbeitgeber den Auskunftsanspruch nicht oder nicht ordnungsgemäß, kann der Arbeitnehmer parallel zum zivilrechtlichen Klageverfahren Beschwerde bei den Aufsichtsbehörden einlegen (Art. 77 DSGVO). Auch hier lässt sich bislang keine klare Linie erkennen: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg sieht Arbeitgeber grundsätzlich in der Pflicht, den datenschutzrechtlichen Anspruch umfassend zu erfüllen – allerdings vorbehaltlich entgegenstehender Rechte und Freiheiten Dritter. Der Bayerische Landesbeauftragte für den Datenschutz nennt dagegen Möglichkeiten einer restriktiven Auslegung „personenbezogener Daten“. Hiernach bezöge sich das Auskunftsrecht in der Regel auf das personenbezogene Datum „Beschäftigtenname“. Dokumentationen, in denen die betroffene Person als Bearbeiter genannt oder angesprochen werde, seien dagegen nicht als personenbezogene Daten zu werten.

Praxistipp

Aufgrund der vielen und unterschiedlichen gerichtlichen und behördlichen Hinweise sind Arbeitgeber gut beraten, sich gezielt und rechtzeitig auf einen geeigneten Umgang mit dem Thema vorzubereiten. Die nachfolgenden Punkte sollten dabei beachtet werden:

1. Präventive Koordinierung und Organisation unternehmensinterner Arbeitsabläufe zur Sichtung und Sammlung der Daten im Falle eines Auskunftsverlangens (insb. Erstellung eines Verarbeitungsverzeichnisses), ggf. unter Beteiligung des Betriebsrats
2. Konkrete, formal korrekte Auskunfts- und Kopieverlangen nicht ignorieren
3. Aufforderung an den (ehemaligen) Arbeitnehmer, sein Ersuchen zu präzisieren (ggf. Verweis auf Erwägungsgrund 63 Satz 7 DSGVO)
4. Bei umfangreichen Auskunfts- und Kopierersuchen erster Hinweis, dass Monatsfrist ausgeschöpft wird
5. Zusammenstellen von Daten gemeinsam mit dem Datenschutzbeauftragten und ggf. der Datenschutzaufsicht, Ausloten von Abwehrmöglichkeiten (z.B. auch Schwärzungen/Löschungen), insbesondere aufgrund überwiegender Interessen Dritter (z.B. von Whistleblowern) oder eigener entgegenstehender Urheberrechte (z.B. bei Zeichnungen, Quellcodes von Software mit personenbezogenen Informationen etc.)
6. Übermittlung der Auskunft und Datenkopie verbunden mit dem Hinweis auf den Zweck der Herausgabe (Schutz der informationellen Selbstbestimmung) sowie auf nachvertragliche Verschwiegenheitspflicht bzgl. aller Auskunftsinhalte
7. Umfassende unternehmensinterne Dokumentation der herausgegebenen Daten

Zu den Autoren

Rechtsanwalt Markus Spitz und Rechtsanwalt Julius Quicker stehen Ihnen bei Fragen zum Datenschutz- und Arbeitsrecht gerne zur Verfügung.