Neues zum Auskunftsanspruch (nicht nur) des Arbeitnehmers

Der Auskunftsanspruch nach Art. 15 DS-GVO ist ein beliebtes Instrument der Arbeitnehmerseite. In der Mehrzahl der Fälle in der Praxis drängt sich auf Arbeitgeberseite der Eindruck auf, dass hier nicht das reine Interesse am Schutz der eigenen Daten ausschlaggebender Beweggrund ist. Vielmehr wird der Auskunftsanspruch im Arbeitsverhältnis häufig dann geltend gemacht, wenn ohnehin Streit aufgekommen ist. Eine aktuelle Entscheidung des EuGH hat nun die bislang offene Frage entschieden, wie detailliert der Arbeitgeber auf Nachfrage über die Empfänger der Daten informieren muss.

Der datenschutzrechtliche Auskunftsanspruch

Nach Art. 15 DS-GVO muss der Verantwortliche (somit hier der Arbeitgeber) der betroffenen Person (dem Arbeitnehmer) auf deren Verlangen hin Auskunft erteilen (und ggf. eine Kopie herausgeben) über die von ihm verarbeiteten personenbezogenen Daten sowie über

a) die Zwecke der Verarbeitung,
b) die Kategorien der verarbeiteten Daten,
c) die Empfänger oder Kategorien von Empfängern dieser Daten,
d) die Speicherdauer oder die Kriterien für deren Bemessung,
e) und f) das Bestehen gewisser Schutzrechte,
g) ggf über die Herkunft der Daten und
h) ggf über die Durchführung einer automatisierten Entscheidungsfindung.

Hier relevant ist Buchstabe c), die Empfänger oder Kategorien von Empfängern. Es war bislang streitig, ob der Verantwortliche ein Wahlrecht hat, ob er nur die Kategorien von Empfängern oder jeden Empfänger einzeln nennen möchte. Diese Frage hat nun der EuGH am 12.01.2023 in der Entscheidung C-154/21, Österreichische Post, zugunsten der betroffenen Person entschieden. Danach hat nun die betroffene Person, im Arbeitsrecht somit der Arbeitnehmer, im Grundsatz ein Wahlrecht, ob er oder sie die Empfänger jeweils einzeln oder nur der Kategorie nach wissen möchte.

Der streitige Fall und die Entscheidung vom 12.01.2023

Geklagt hatte im konkreten Fall ein Nutzer der Österreichischen Post, der auf seinen Auskunftsanspruch vom 15.01.2019 hin von der Post nur die Antwort bekommen hatte, seine Daten seien, soweit gesetzlich zulässig, verarbeitet worden durch die Post bei der Veröffentlichung von Telefonbüchern, ferner seien die Daten an Geschäftspartner für Marketingzwecke weitergegeben worden. Im Gerichtsverfahren hatte die Post konkretisiert, es ginge um Kunden, die Werbung per Post betrieben, ferner um IT-Unternehmen, Anbieter von Mailinglisten und karitative Unternehmen sowie politische Parteien. Der Oberste Gerichtshof in Wien hatte daraufhin die Streitfrage dem EuGH vorgelegt, der die Frage nun am 12.01.2023 im Grundsatz zugunsten des Klägers entschieden hat.

Zur Begründung verweist der EuGH, für deutsche Juristen durchaus vertraut, auf Wortlaut, Systematik des Gesetzes, Zielsetzung der Norm und die Gesetzgebungsgeschichte. Während der Wortlaut von Art. 15 Abs. 1 c) DS-GVO keine klare Aussage dazu trifft, nach wessen Wahl die Empfänger (einzeln) oder (nur) die Kategorien von Empfängern anzugeben sind, ergibt sich dies aus der Abgrenzung zu Art. 13, 14 DS-GVO. Die dortigen Informationsverpflichtungen richten sich an den Verantwortlichen und zur Information Verpflichteten, während Art. 15 DS-GVO sich an die betroffene Person richtet und ihr ein genuin eigenes Recht auf Auskunft zu den über sie gespeicherten Daten geben soll. Sie soll daher wählen können, ob die Empfänger einzeln genannt werden. Als weitere Argumente nennt das Gericht die generelle Zielsetzung der DS-GVO, Transparenz zu schaffen (Art. 5 Abs. 1 S. 1 DS-GVO) und das Recht der betroffenen Person, auch die Rechtmäßigkeit der Datenverarbeitung prüfen zu können und damit auch, ob die Daten nur an autorisierte Empfänger weitergegeben wurden (vgl. EuGH, Urt. V. 7.5.2009, Rijkeboer, C-553/07). Neben diversen weiteren Aspekten nennt der EuGH zuletzt auch den Zweck der DS-GVO selbst, ein hohes Datenschutzniveau in der EU sicherzustellen (vgl. EG 10 DS-GVO, vgl. EuGH, 6.10.2020, La Quadrature du Net and Others, C-511/18 u.a.).

Auswirkungen für deutsche Arbeitgeber und Praxisempfehlung

Diese Entscheidung ist für deutsche Arbeitgeber unmittelbar relevant. Die DS-GVO ist seit dem 18.05.2018 unmittelbar und EU-weit anwendbar. Der EuGH ist zur Auslegung der DS-GVO berufen, Art. 256, 267 AEUV. Auch eine Entscheidung des EuGH in einem aus Österreich stammenden Verfahren ist daher in Deutschland für die Auslegung der DS-GVO heranzuziehen. Wie schon erwähnt, erfreuen sich Auskunftsansprüche von Arbeitnehmern wachsender Beliebtheit. Etwaige im Unternehmen verwendete Musterschreiben für die Beantwortung von arbeitnehmerseitigen Auskunftsansprüchen sind entsprechend anzupassen. Als „Empfänger“ im datenschutzrechtlichen Sinne (Art. 4 Nr. 9 DS-GVO) gelten sog. Auftragsverarbeiter (die Daten im Auftrag und damit nach Weisung des Arbeitgebers verarbeiten, z.B. Payroll Provider, zentralisierte HR-Abteilung im Konzern, externer IT-Dienstleister) ebenso wie sog. Dritte (externe Stellen, z.B. Behörden, Krankenkasse, Arbeitsagentur).

In der Praxis empfiehlt es sich für die Arbeitgeberseite, die Ausführungen des Gerichts zu den Ausnahmen von dem klägerfreundlichen Grundsatz genau zu studieren. Danach ist der Datenschutz kein absolutes Recht, vgl. EG 4 DS-GVO. Nach dem Grundsatz der Proportionalität müssen Datenschutzrechte der betroffenen Person mit den Grundrechten Dritter abgewogen werden. Daraus ergibt sich: Wenn es unmöglich ist, genauere Informationen über die Empfänger zu erteilen, kann der Verantwortliche dazu auch nicht verpflichtet werden. Das gilt etwa, wenn ein konkreter Empfänger noch gar nicht bekannt ist. Auch ist der Verantwortliche berechtigt, Auskunftsansprüche zurückzuweisen, wenn diese überzogen oder missbräuchlich sind (Art. 12 Abs. 4 DS-GVO).