Datenschutzgrundverordnung: Wie weit reicht der Auskunftsanspruch?

„Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können“, heißt es in Erwägungsgrund 63 zur Datenschutzgrundverordnung (DSGVO). Gemeint ist der Auskunftsanspruch gemäß Art. 15 DSGVO. Arbeitgeber können jederzeit mit einem Antrag auf Auskunft konfrontiert werden und vor der Frage stehen: Was genau wird eigentlich von diesem Auskunftsanspruch erfasst? Rechtsprechung hierzu gibt es einige. Doch leider lässt sich keine einheitliche Linie erkennen. Auch das aktuelle Urteil des Arbeitsgerichts Düsseldorf vom 5. März 2020 – 9 Ca 6557/18 – bringt kein Licht ins Dunkel.

Rechtlicher Hintergrund

Art. 15 Abs. 1 DSGVO enthält einen achtstelligen Katalog, der Arbeitnehmer berechtigt, einen Antrag auf Auskunft u. a. über die Kategorien, den Verarbeitungszweck, die Speicherdauer und die Empfänger ihrer personenbezogen Daten gegenüber dem Arbeitgeber zu stellen. Arbeitgeber müssen dabei zudem Kopien der personenbezogenen Daten zur Verfügung stellen, die Gegenstand der Verarbeitung sind. Die Auskunft hat „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ zu erfolgen (Art. 12 Abs. 3 S. 1 DSGVO). Diese Frist kann um maximal weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung von Komplexität und Anzahl von Anträgen erforderlich ist; wobei derzeit umstritten ist, ob die beiden Kriterien kumulativ oder alternativ vorliegen müssen. Über die Fristverlängerung muss der Arbeitnehmer jedoch unter Nennung der Gründe innerhalb der Monatsfrist unterrichtet werden. Überwiegend wird gestützt auf den Erwägungsrund 63 S. 7 DSGVO angenommen, vom Arbeitnehmer könne eine Präzisierung der Auskunft verlangt werden, wenn der Arbeitgeber „eine große Menge an Informationen über die betroffene Person verarbeitet“ (so auch LG Heidelberg vom 6. Februar 2020 – 4 O 6/19).

Bedürfnis nach Konkretisierung

Es bestehen große Unsicherheiten in der praktischen Handhabung des Auskunftsanspruchs und viele offene Fragen, etwa: Müssen Auskünfte über jegliche Daten erteilt werden, unabhängig davon, ob sie dem Betroffenen bereits bekannt sind oder nicht? Wann liegt eine „große Menge an Informationen“ vor und welche „Kopien“ werden überhaupt vom Auskunftsanspruch erfasst? Fasst man darunter alle E-Mails, Notizen und Vermerke, kann dies abhängig vom Einzelfall und der Beschäftigungsdauer zu einem unverhältnismäßigen und kaum überschaubaren Aufwand führen. Und damit noch nicht genug: Macht ein Arbeitnehmer den Auskunftsanspruch geltend, bestehen für den Arbeitgeber auch schadensersatzrechtliche Risiken. Ihm bleibt aber nur ein Monat, um den beinahe uferlosen Auskunftsanspruch zu erfüllen. Eine Konkretisierung der Reichweite des Auskunftsanspruchs ist mithin dringend geboten. Bisher können Arbeitgeber gem. Art 12 Abs. 5 S. 2 lit. b) DSGVO lediglich dann untätig bleiben, wenn das Auskunftsbegehren offenkundig unbegründet ist oder exzessiv betrieben wird.

Uneinheitliche Rechtsprechung

Eine höchstrichterliche Entscheidung zur Konkretisierung der Reichweite des Auskunftsanspruchs fehlt leider bisher. Wenn etwa das LG Köln in seinem Urteil vom 18. März 2019 eine eher restriktive Auslegungslinie vertrat (wir haben darüber bereits hier berichtet), so hat das LAG Baden-Württemberg in seinem Urteil vom 20. Dezember 2018 – 17 Sa 11/18 – die Reichweite des Auskunftsanspruchs keineswegs eingegrenzt (Revision anhängig beim BAG – 5 AZR 66/19). Auch das OLG Köln (Urteil vom 26. Juli 2019 – 20 U 75/18) legte einen weit gefassten Datenbegriff zugrunde und zählte Aussagen der betroffenen Person selbst bzw. Aussagen über die betroffene Person in Gesprächsvermerken oder Telefonnotizen zu den vom Auskunftsanspruch umfassten personenbezogenen Daten. Das LG Heidelberg hat mit Urteil vom 6. Februar 2020 (a.a.O.) zumindest einen Auskunftsanspruch bezogen auf Backup-Dateien eines E-Mail-Kontos wegen des unverhältnismäßigen Aufwandes in der Wiederherstellung abgelehnt. Zuletzt hat das ArbG Düsseldorf (a.a.O.) festgestellt, es bestehe kein Anspruch auf Herausgabe von Datenkopien, wenn der damit verbundene Aufwand in grobem Missverhältnis zum Leistungsinteresse des Arbeitnehmers stehe.

Fazit

Der Auskunftsanspruch des Art. 15 DSGVO schwebt wie ein Damoklesschwert über jedem Arbeitsverhältnis. Arbeitnehmer sollen sich der Verarbeitung ihrer personenbezogenen Daten i. S. d. Art. 4 Nr. 1 DSGVO bewusst sein und deren Rechtmäßigkeit überprüfen können. Eine unzureichende Auskunft durch den Arbeitgeber kann dabei mit Geldbußen von bis zu EUR 20.000.000 bzw. von bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden (Art. 83 Abs. 5 DSGVO). Daneben drohen Schadenersatzansprüche des Betroffenen. Neben dem finanziellen Risiko sind schließlich bei einem derart sensiblen Bereich vor allem auch Imageschäden zu befürchten. Der Auskunftsanspruch sollte daher ernst genommen und mit der notwendigen Expertise bearbeitet werden. Es sollten insbesondere die aktuellen Entwicklungen in der Rechtsprechung beobachtet werden, um die Reichweite des Auskunftsbegehrens im Einzelfall richtig bestimmen zu können.