open search
close
Datenschutz Individualarbeitsrecht Neueste Beiträge

Neues zum Auskunftsanspruch (nicht nur) des Arbeitnehmers

Print Friendly, PDF & Email

Der Auskunftsanspruch nach Art. 15 DS-GVO ist ein beliebtes Instrument der Arbeitnehmerseite. In der Mehrzahl der Fälle in der Praxis drängt sich auf Arbeitgeberseite der Eindruck auf, dass hier nicht das reine Interesse am Schutz der eigenen Daten ausschlaggebender Beweggrund ist. Vielmehr wird der Auskunftsanspruch im Arbeitsverhältnis häufig dann geltend gemacht, wenn ohnehin Streit aufgekommen ist. Eine aktuelle Entscheidung des EuGH hat nun die bislang offene Frage entschieden, wie detailliert der Arbeitgeber auf Nachfrage über die Empfänger der Daten informieren muss.

 

Der datenschutzrechtliche Auskunftsanspruch

Nach Art. 15 DS-GVO muss der Verantwortliche (somit hier der Arbeitgeber) der betroffenen Person (dem Arbeitnehmer) auf deren Verlangen hin Auskunft erteilen (und ggf. eine Kopie herausgeben) über die von ihm verarbeiteten personenbezogenen Daten sowie über

a) die Zwecke der Verarbeitung,
b) die Kategorien der verarbeiteten Daten,
c) die Empfänger oder Kategorien von Empfängern dieser Daten,
d) die Speicherdauer oder die Kriterien für deren Bemessung,
e) und f) das Bestehen gewisser Schutzrechte,
g) ggf über die Herkunft der Daten und
h) ggf über die Durchführung einer automatisierten Entscheidungsfindung.

Hier relevant ist Buchstabe c), die Empfänger oder Kategorien von Empfängern. Es war bislang streitig, ob der Verantwortliche ein Wahlrecht hat, ob er nur die Kategorien von Empfängern oder jeden Empfänger einzeln nennen möchte. Diese Frage hat nun der EuGH am 12.01.2023 in der Entscheidung C-154/21, Österreichische Post, zugunsten der betroffenen Person entschieden. Danach hat nun die betroffene Person, im Arbeitsrecht somit der Arbeitnehmer, im Grundsatz ein Wahlrecht, ob er oder sie die Empfänger jeweils einzeln oder nur der Kategorie nach wissen möchte.

Der streitige Fall und die Entscheidung vom 12.01.2023

Geklagt hatte im konkreten Fall ein Nutzer der Österreichischen Post, der auf seinen Auskunftsanspruch vom 15.01.2019 hin von der Post nur die Antwort bekommen hatte, seine Daten seien, soweit gesetzlich zulässig, verarbeitet worden durch die Post bei der Veröffentlichung von Telefonbüchern, ferner seien die Daten an Geschäftspartner für Marketingzwecke weitergegeben worden. Im Gerichtsverfahren hatte die Post konkretisiert, es ginge um Kunden, die Werbung per Post betrieben, ferner um IT-Unternehmen, Anbieter von Mailinglisten und karitative Unternehmen sowie politische Parteien. Der Oberste Gerichtshof in Wien hatte daraufhin die Streitfrage dem EuGH vorgelegt, der die Frage nun am 12.01.2023 im Grundsatz zugunsten des Klägers entschieden hat.

Zur Begründung verweist der EuGH, für deutsche Juristen durchaus vertraut, auf Wortlaut, Systematik des Gesetzes, Zielsetzung der Norm und die Gesetzgebungsgeschichte. Während der Wortlaut von Art. 15 Abs. 1 c) DS-GVO keine klare Aussage dazu trifft, nach wessen Wahl die Empfänger (einzeln) oder (nur) die Kategorien von Empfängern anzugeben sind, ergibt sich dies aus der Abgrenzung zu Art. 13, 14 DS-GVO. Die dortigen Informationsverpflichtungen richten sich an den Verantwortlichen und zur Information Verpflichteten, während Art. 15 DS-GVO sich an die betroffene Person richtet und ihr ein genuin eigenes Recht auf Auskunft zu den über sie gespeicherten Daten geben soll. Sie soll daher wählen können, ob die Empfänger einzeln genannt werden. Als weitere Argumente nennt das Gericht die generelle Zielsetzung der DS-GVO, Transparenz zu schaffen (Art. 5 Abs. 1 S. 1 DS-GVO) und das Recht der betroffenen Person, auch die Rechtmäßigkeit der Datenverarbeitung prüfen zu können und damit auch, ob die Daten nur an autorisierte Empfänger weitergegeben wurden (vgl. EuGH, Urt. V. 7.5.2009, Rijkeboer, C-553/07). Neben diversen weiteren Aspekten nennt der EuGH zuletzt auch den Zweck der DS-GVO selbst, ein hohes Datenschutzniveau in der EU sicherzustellen (vgl. EG 10 DS-GVO, vgl. EuGH, 6.10.2020, La Quadrature du Net and Others, C-511/18 u.a.).

Auswirkungen für deutsche Arbeitgeber und Praxisempfehlung

Diese Entscheidung ist für deutsche Arbeitgeber unmittelbar relevant. Die DS-GVO ist seit dem 18.05.2018 unmittelbar und EU-weit anwendbar. Der EuGH ist zur Auslegung der DS-GVO berufen, Art. 256, 267 AEUV. Auch eine Entscheidung des EuGH in einem aus Österreich stammenden Verfahren ist daher in Deutschland für die Auslegung der DS-GVO heranzuziehen. Wie schon erwähnt, erfreuen sich Auskunftsansprüche von Arbeitnehmern wachsender Beliebtheit. Etwaige im Unternehmen verwendete Musterschreiben für die Beantwortung von arbeitnehmerseitigen Auskunftsansprüchen sind entsprechend anzupassen. Als „Empfänger“ im datenschutzrechtlichen Sinne (Art. 4 Nr. 9 DS-GVO) gelten sog. Auftragsverarbeiter (die Daten im Auftrag und damit nach Weisung des Arbeitgebers verarbeiten, z.B. Payroll Provider, zentralisierte HR-Abteilung im Konzern, externer IT-Dienstleister) ebenso wie sog. Dritte (externe Stellen, z.B. Behörden, Krankenkasse, Arbeitsagentur).

In der Praxis empfiehlt es sich für die Arbeitgeberseite, die Ausführungen des Gerichts zu den Ausnahmen von dem klägerfreundlichen Grundsatz genau zu studieren. Danach ist der Datenschutz kein absolutes Recht, vgl. EG 4 DS-GVO. Nach dem Grundsatz der Proportionalität müssen Datenschutzrechte der betroffenen Person mit den Grundrechten Dritter abgewogen werden. Daraus ergibt sich: Wenn es unmöglich ist, genauere Informationen über die Empfänger zu erteilen, kann der Verantwortliche dazu auch nicht verpflichtet werden. Das gilt etwa, wenn ein konkreter Empfänger noch gar nicht bekannt ist. Auch ist der Verantwortliche berechtigt, Auskunftsansprüche zurückzuweisen, wenn diese überzogen oder missbräuchlich sind (Art. 12 Abs. 4 DS-GVO).

Dr. Jessica Jacobi 

Rechtsanwältin
Fachanwältin für Arbeitsrecht
Partner
Dr. Jessica Jacobi ist seit 2003 Partnerin der Sozietät. Gemeinsam mit ihrem Team berät sie nationale und internationale Arbeitgeber in allen Fragen des deutschen Arbeitsrechts, wie z.B. bei der Reorganisation von Unternehmen, bei Massenentlassungen und in schwierigen Individualstreitigkeiten inklusive interner Ermittlungen. Sie ist ein aktives Mitglied der International Practice Group für Data Privacy bei unserem internationalen Kanzleinetzwerk Ius Laboris und berät häufig z.B. bei der Einführung neuer technischer Systeme und deren Verhandlung mit dem Betriebsrat, bei Auskunftsansprüchen von Arbeitnehmern nach Art. 15 DS-GVO und bei internationalen Datenübertragungen. Sie ist Autorin einer Vielzahl von Veröffentlichungen und tritt regelmäßig als Referentin auf. Sie ist Mitglied der Fokusgruppe "Datenschutz".
Verwandte Beiträge
Arbeitszeit & Arbeitszeiterfassung Individualarbeitsrecht Neueste Beiträge Vergütung

Wann zählt Duschen nach der Arbeit als vergütungspflichtige Arbeitszeit?

Spätestens seit der Entscheidung des BAG zur Pflicht zur Arbeitszeiterfassung und der dazu erfolgten Diskussion ist klar: Arbeitszeit ist nicht gleich Arbeitszeit. Nicht jede erfasste Arbeitsstunde muss auch (gleichermaßen) vergütet werden (vgl. hierzu unseren Blogbeitrag vom 8. März 2023). Mit der Frage der Vergütung von Arbeitszeit hatte sich kürzlich auch das LAG Nürnberg im Zusammenhang mit Wege- und Umkleide- sowie Körperreinigungszeiten zu befassen (Az. 7…
Datenschutz Digitalisierung in Unternehmen Neueste Beiträge

Schadensersatz nach der DSGVO für Bagatellen?

Der Schadensersatzanspruch nach Art. 82 DSGVO setzt keine Erheblichkeit des Schadens voraus. Dies hat der EuGH am 4.5.2023 (Az: C-300/21) entschieden. Wenngleich die Entscheidung in der juristischen Argumentation nachvollziehbar ist, hat der EuGH doch die Gelegenheit verpasst, den Ersatz von Bagatellschäden auszuschließen. Jedoch hat das Gericht die Kriterien für die Schadensbemessung in die Hände der nationalen Gerichte gelegt. Das gibt Anlass zur Hoffnung, dass ausufernden…
Digitalisierung Neueste Beiträge

Auskunftsanspruch nach Art. 15 DS-GVO: Zusammenfassung der personenbezogenen Daten genügt nicht als „Kopie“

Auskunftsansprüche gegen den Arbeitgeber sind zunehmend üblich, nicht nur im Rahmen von Kündigungsschutzstreitigkeiten. Bislang war die Frage ungeklärt, wie in diesem Zusammenhang die Verpflichtung des Arbeitgebers auszulegen ist, dem Arbeitnehmer eine „Kopie“ der personenbezogenen Daten, welche Gegenstände der Verarbeitung sind, zur Verfügung zu stellen.  Eine aktuelle Entscheidung des EuGH schafft hier etwas mehr Klarheit, lässt aber noch einige Fragen offen. Geklagt hatte ein österreichischer Bürger…
Abonnieren Sie den KLIEMT-Newsletter.
Jetzt anmelden und informiert bleiben.

Die Abmeldung ist jederzeit möglich.