Auskunftsanspruch nach DSGVO – keine Ausforschung des Arbeitgebers!

Nach der Datenschutzgrundverordnung kann der Arbeitnehmer von seinem Arbeitgeber Auskunft über seine vom Arbeitgeber gespeicherten personenbezogenen Daten verlangen. Die Kodifizierung des bereits aus der EU-Datenschutzrichtlinie und dem Bundesdatenschutzgesetz bekannten Auskunftsrechts hat einmal mehr die Frage nach der Reichweite des Auskunftsrechts virulent werden lassen: Kann der Arbeitnehmer sein Auskunftsrecht etwa nutzen, um bei einem Rechtsstreit den Arbeitgeber zur Herausgabe von interner Korrespondenz und rechtlichen Begutachtungen zum Rechtsstreit zu zwingen? Ermöglicht das Auskunftsrecht damit eine Ausforschung des Arbeitgebers z.B. über seine Prozessstrategie? In einer neuen Entscheidung spricht sich das Landgericht Köln zu Recht gegen eine derart weite Auslegung des Auskunftsrechts aus.

Auskunftsrecht nach Art. 15 DSGVO

Nach Art. 15 Abs. 1 DSGVO hat die von einer Datenverarbeitung betroffene Person das Recht, von dem für die Datenverarbeitung Verantwortlichen Auskunft darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf weitere Informationen wie insbesondere die Verarbeitungszwecke, die Kategorien personenbezogener Daten, die Empfänger der personenbezogenen Daten und die geplante Dauer der Speicherung. Nach Art. 15 Abs. 3 DSGVO kann der Betroffene außerdem eine Kopie seiner personenbezogenen Daten verlangen, die Gegenstand der Verarbeitung sind. Eingeschränkt wird dieses Recht durch die Rechte und Freiheiten anderer Personen. Ein vergleichbares Auskunftsrecht war bereits auf Basis von Art. 12 der EU-Datenschutzrichtlinie 95/46/EG in § 34 BDSG a.F. geregelt. Weitere Einschränkungen des Auskunftsrechts aus Art. 15 DSGVO enthalten § 29 Abs. 1 Satz 3 und § 34 BDSG n.F.

Entscheidung des EuGH zur Richtlinie 95/46/EG

Eine deutliche Einschränkung der Reichweite des Auskunftsrechts nach der Richtlinie 95/46/EG hat bereits der EuGH in seiner Entscheidung vom 17. Juli 2014 (C-141/12 und C-372/12) vertreten: Ein Drittstaatsangehöriger verlangte von der niederländischen Ausländerbehörde die Zurverfügungstellung einer Kopie der Entwurfsschrift der (ablehnenden) Entscheidung über seinen Aufenthaltsantrag. Diese Entwurfsschrift enthielt nicht nur Angaben über den Antragsteller wie Name, Geburtsdatum, Staatsangehörigkeit usw., sondern auch eine rechtliche Analyse seines Antrags. Der EuGH entschied: Personenbezogene Daten seien nur die in der Entwurfsschrift enthaltenen Angaben wie Name, Geburtsdatum und Staatsangehörigkeit des Antragstellers, nicht indes die rechtliche Analyse. Bei einer solchen rechtlichen Analyse handele es sich nicht um eine Information über den Antragsteller, sondern nur darüber, wie die Behörde den Fall des Antragstellers rechtlich bewertet. Nach Sinn und Zweck der Richtlinie bestehe daher kein Auskunftsanspruch hinsichtlich der rechtlichen Analyse. Die Richtlinie sei nicht darauf gerichtet, Zugang zu internen Verwaltungsdokumenten zu sichern. Der Antragsteller könne daher nicht eine Kopie der Entwurfsschrift, sondern lediglich eine vollständige Übersicht über die in der Entwurfsschrift enthaltenen personenbezogenen Daten verlangen.

Unter Zugrundelegung der zur Richtlinie 95/46/EG ergangenen Entscheidung des EuGH könnte der Arbeitnehmer daher keine Herausgabe von interner Korrespondenz und rechtlichen Begutachtungen des Arbeitgebers zum Rechtsstreit verlangen, um so den Arbeitgeber zu seiner rechtlichen Einschätzung und zur Prozessstrategie auszuforschen.

Entscheidung des LG Köln zu Art. 15 DSGVO

In diese Richtung geht jetzt auch die Entscheidung des LG Köln vom 18. März 2019 (26 O 25/18) zu Art. 15 DSGVO: Das Gericht wies die Klage einer Versicherungsnehmerin gegen ihre Versicherung auf eine vollständige Datenauskunft über die bei der Versicherung zur Person der Versicherungsnehmerin gespeicherten Daten ab. Nachdem die Beklagte während des Rechtsstreits wiederholt Auskünfte erteilt hatte und der Rechtstreit insoweit übereinstimmend für erledigt erklärt worden war, stehe der Klägerin kein weitergehender Auskunftsanspruch zu. Nach Auffassung des LG Köln bezieht sich der Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO nicht auf sämtliche internen Vorgänge wie z.B. Vermerke der Beklagten. Auch rechtliche Bewertungen oder Analysen der Beklagten seien keine personenbezogenen Daten. Wörtlich das LG Köln:

„Der Anspruch aus Art. 15 DS-GVO dient nicht der vereinfachten Buchführung des Betroffenen, sondern soll sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann.“

Folgerichtig könne der Betroffene nach Art. 15 Abs. 3 DSGVO eine Kopie lediglich der personenbezogenen Daten verlangen, die Gegenstand der Verarbeitung sind, nicht dagegen – so können die Ausführungen des LG Köln ergänzt werden – auch eine Kopie von internen Vermerken und rechtlichen Bewertungen und Analysen des Verantwortlichen.

Bewertung und Ausblick

Diese restriktive Handhabung des Auskunftsrechts durch das LG Köln ist uneingeschränkt zu begrüßen, würde doch eine extensive Auslegung von Art. 15 DSGVO zu einem in der Praxis kaum handhabbaren Aufwand sowie zu nicht interessengerechten Ergebnissen führen. So könnten Arbeitnehmer in Fällen wie dem eingangs geschilderten eine unzulässige Ausforschung des Arbeitgebers betreiben. Auch betriebliche Hinweisgebersysteme, welche auf der Zusicherung von Anonymität gegenüber dem „Whistleblower“ basieren, würden praktisch ausgehebelt, wenn der Verdächtige in die ihn betreffenden Fallakten Einsicht verlangen könnte.

Auch das Bayerische Landesamt für Datenschutzaufsicht vertritt in seinem aktuellen Tätigkeitsbericht (Seiten 46 f.) eine restriktive Auslegung: Danach betrifft der Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO eine Auskunftserteilung über die personenbezogenen Daten, die vom Verantwortlichen verarbeitet werden. Das bedeute aber nicht regelmäßig die Herausgabe von allen Dokumenten, E-Mails usw., in denen z.B. der Name des Betroffenen und eventuelle weitere Informationen über dessen Person enthalten sind. Nach Art. 15 Abs. 3 DSGVO sei nur eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen. Es sei hier jedoch nicht die Rede von Kopien der betreffenden Akten, sonstigen Unterlagen usw.

Eine letztverbindliche Klärung zur Reichweite des Auskunftsrechts nach Art. 15 DSGVO wird freilich erst das BAG bzw. der EuGH bringen. Hierzu wird sich möglicherweise schon recht bald in dem Verfahren 5 AZR 66/19 erste Gelegenheit ergeben.