Die Datenschutz-Grundverordnung sieht einen Auskunftsanspruch vor, der den Arbeitnehmer berechtigt, Kopien aller personenbezogenen Daten anzufordern, die Gegenstand einer Datenverarbeitung beim Arbeitgeber sind. Über Umfang und Inhalt dieses Anspruchs gibt es immer wieder Streit. Am 27. April 2021 hatte das Bundesarbeitsgericht erstmals über einen solchen Fall zu entscheiden. Was die Entscheidung bedeutet, erläutert Rechtsanwalt Dr. Philipp Byers im Interview.
Haufe Online Redaktion: Das Bundesarbeitsgericht (BAG) hat die Klage eines Arbeitnehmers gegen seinen ehemaligen Arbeitgeber auf Überlassung von Kopien seiner im Arbeitsverhältnis versandten E-Mails abgelehnt. In der Sache ging es um die Reichweite des datenschutzrechtlichen Anspruchs auf Auskunft über die gespeicherten personenbezogenen Daten aus Art. 15 Abs. 3 Datenschutzgrundverordnung (DSGVO). Dieser sieht einen Anspruch auf Überlassung einer Kopie dieser Daten vor. Warum hat das BAG der Klage des Beschäftigten trotzdem nicht stattgegeben?
Philipp Byers: Das BAG wies die Klage des Mitarbeiters aus "formellen" Gründen ab. Der Arbeitnehmer hatte in seiner Klage pauschal die Vorlage sämtlicher E-Mail-Korrespondenz durch den Arbeitgeber verlangt, die mit dem Mitarbeiter oder über ihn durch Dritte geführt wurde. Letztlich wollte der Mitarbeiter, dass ihm alle E-Mails vorgelegt werden, in der sein Name auftaucht. Dies fand das BAG zu pauschal und wies die Klage wegen eines zu unbestimmten Klageantrags ab. Das BAG hat dabei ausdrücklich festgestellt, dass sich der Auskunftsanspruch eines Arbeitnehmers nicht auf eine unbestimmte Anzahl von E-Mails beziehen kann. Damit nach dem BAG ein Anspruch auf Vorlage bestimmter Unterlagen überhaupt in Betracht kommen kann, müsste sich das Auskunftsbegehren auf bestimmte Dokumente oder E-Mails konkretisieren.
Trotz BAG-Urteil bleiben zum Auskunftsanspruch Fragen offen
Haufe Online Redaktion: Ist damit der pauschale Anspruch auf Kopien aller personenbezogenen Daten, die Gegenstand der Verarbeitung beim Arbeitgeber sind - inklusive aller E-Mails, in denen ein Beschäftigter namentlich genannt wird -, vom Tisch?
Byers: Leider ließ das BAG die Grundsatzfrage offen, ob über den Auskunftsanspruch nach Art. 15 Abs. 3 DSGVO die Herausgabe von Kopien – wie zum Beispiel ganze Personalakten oder konkrete E-Mail-Nachrichten – durch den Mitarbeiter verlangt werden kann. Örtliche Arbeits- und Zivilgerichte sowie die Aufsichtsbehörden beurteilen diese Frage teilweise ganz unterschiedlich. So legen Gerichte wie das LG Köln (vgl. Urteil vom 18.3.2019 – Az.: 26 O 25/18) oder die Bayerische Landesdatenschutzbehörde den Auskunftsanspruch nach Art. 15 DSGVO eher restriktiv aus. Danach erstreckt sich Art. 15 Abs. 3 DSGVO nicht auf die Vorlage von Emails, sondern nur auf Informationen, die zur Geltendmachung der Datenschutzrechte des Betroffenen erforderlich sind.
Dagegen legen zum Beispiel das LAG Baden-Württemberg (vgl. Urteil vom 20.12.2018 – Az.: 17 Sa 11/18) oder die Landesdatenschutzbehörde Baden-Württemberg den Auskunftsanspruch relativ weit aus. Demnach erfasst Art. 15 Abs. 3 DSGVO grundsätzlich sämtliche Daten, die über den Betroffenen verarbeitet wurden. Nach dieser Ansicht wäre es dem Mitarbeiter möglich, sich über den Auskunftsanspruch E-Mails oder Dokumente vorlegen zu lassen, solange das Auskunftsbegehren hinreichend konkret erfolgt.
Eine weite Auslegung des Auskunftsanspruchs kann für Unternehmen gravierende Folgen haben. So wäre es nicht ausgeschlossen, dass der Mitarbeiter mittels Auskunftsbegehren gezielte Informationen abfragt, die er dann in einer gerichtlichen Auseinandersetzung mit dem Arbeitgeber zu seinem Vorteil verwertet. Auch würde das Risiko bestehen, dass der Arbeitnehmer zwar ein hinreichend bestimmtes Auskunftsverlangen stellt, sich der Anspruch aber dennoch auf eine Vielzahl an E-Mails oder Dokumenten bezieht. Dies könnte das Unternehmen vor erhebliche Probleme hinsichtlich der Auskunftsbearbeitung stellen, sodass dann ein Risiko wegen der Begehung eines Datenschutzverstoßes besteht. Es ist bedauerlich, dass das BAG die Frage, ob sich Art. 15 DSGVO auch auf die Vorlage von E-Mails oder sonstiger Unterlagen erstrecken kann, nicht beantwortet hat. Die Rechtsunsicherheit bleibt weiterhin bestehen.
Haufe Online Redaktion: Wie sollten Arbeitgeber jetzt reagieren, wenn ein Arbeitnehmer den Anspruch aus Art. 15 Abs. 3 DSGVO auf Überlassung einer Kopie aller seiner personenbezogenen Daten geltend macht?
Byers: Sofern der Mitarbeiter pauschal die Vorlage sämtlicher E-Mails oder nicht näher bestimmter Unterlagen fordert, kann der Arbeitgeber dies rechtmäßig verweigern. Unternehmen können sich hier auf das aktuelle BAG-Urteil berufen. Komplizierter wird es, wenn der Arbeitnehmer die Vorlage von konkreten E-Mails oder zumindest bestimmten Kategorien von E-Mail-Nachrichten (z. B. auf einem konkreten Zeitraum oder bestimmte Stichwörter gerichtet) verlangt. Die Rechtslage ist hier nicht höchstrichterlich geklärt. Bei einer Verweigerung der Vorlage solcher Kopien trägt der Arbeitgeber das Risiko, einen bußgeldbewährten Datenschutzverstoß zu begehen.
Aus Gründen der Vorsicht sollten Unternehmen bis zu einer Klärung der Rechtslage konkret benannte Dokumente grundsätzlich vorlegen. Liegt ein hinreichend konkretisierter Auskunftsanspruch des Mitarbeiters vor, der sich allerdings auf eine große Menge an Dokumenten erstreckt, sollte der Arbeitgeber die Eingrenzung des Auskunftsersuchens unter Verweis auf Erwägungsgrund 63 zur DSGVO verlangen. Wollen Unternehmen die Vorlage bestimmter Kopien generell verweigern, muss geprüft werden, ob ein rechtmäßiger Verweigerungsgrund vorliegt wie z. B. Wahrung von Geschäftsgeheimnissen oder die Beeinträchtigung von Rechten Dritter. Ebenfalls muss geprüft werden, ob nicht mildere Mittel – wie das Schwärzen von Textpassagen – in Betracht zu ziehen sind. In jedem Fall müssen die Ablehnungsgründe dem Arbeitnehmer konkret mitgeteilt werden.
Aktuelles Urteil bringt Erleichterungen für die Praxis
Haufe Online Redaktion: Bisher stand die Gefahr im Raum, dass hoher Schadensersatz droht, wenn der Arbeitgeber seine Auskunftspflichten nicht oder nicht innerhalb eines angemessenen Zeitraums erfüllt. Ist diese Gefahr durch das Urteil geringer geworden?
Byers: Erfüllt der Arbeitgeber einen Auskunftsanspruch nicht rechtzeitig und/oder nicht vollständig, stellt dies einen bußgeldwährten Datenschutzverstoß nach Art. 83 Abs. 5 DSGVO dar. Ein solcher Verstoß kann grundsätzlich mit dem maximalen Bußgeldrahmen von 20 Millionen Euro oder bis zu 4 Prozent des weltweit erzielten Unternehmensgruppenumsatz sanktioniert werden. Daneben kann der betroffene Arbeitnehmer Schmerzensgeldansprüche wegen nicht ordnungsgemäß erfüllte Auskunft nach Art. 82 DSGVO geltend machen. Das BAG-Urteil ändert an den Sanktionsmitteln der DSGVO nichts.
Haufe Online Redaktion: Der Auskunftsanspruch ist zuletzt von Arbeitnehmern häufiger in Kündigungsschutzprozessen aus Prozess-taktischen Erwägungen geltend gemacht worden. Wie sollte ein Arbeitgeber bzw. sein Prozessbevollmächtigter damit sinnvollerweise umgehen?
Byers: In der Praxis wird das BAG-Urteil Erleichterungen für Unternehmen bringen und Haftungsrisiken minimieren. Die Geltendmachung von Auskunftsansprüchen, die nur den Zweck haben, Arbeitgeber unter Druck zu setzen und damit "Verhandlungsmasse" für eine höhere Abfindung zu schaffen, ist nur noch beschränkt möglich. Ein Mitarbeiter kann nicht mehr pauschal die Vorlage sämtlicher E-Mail-Korrespondenz, in der sein Name genannt wird, verlangen. Letztlich kann der Arbeitgeber ein solch weitgehendes Auskunftsverlangen nicht praxisgerecht erfüllen, da dies das Screening sämtlicher E-Mails bedeuten würde, die auf dem gesamten Unternehmensserver gespeichert sind.
Oftmals bezwecken solche extensiven Auskunftsbegehren nur, dem Arbeitgeber die rechtzeitige und/oder vollständige Auskunftserteilung faktisch unmöglich zu machen und daraus einen angeblichen DSGVO-Verstoß zu begründen. Diese "Taktik" scheidet nach dem BAG-Urteil zukünftig aus, da der Mitarbeiter allenfalls die Vorlage konkret benannter Dokumente verlangen kann. Dies begrenzt den Auskunftsanspruch für den Arbeitgeber auf ein handhabbares Maß. Mit einem vernünftigen Datenschutz-Management-System können Unternehmen ordnungsgemäß Auskunft erteilen und das Druckmittel "Auskunftsanspruch" scheidet damit weitgehend aus.
Auskunftsanspruch: gesetzliche Nachjustierung wäre wünschenswert
Haufe Online Redaktion: Sehen Sie den europäischen Gesetzgeber in der Pflicht, hier einzugreifen und das Auskunftsrecht aus Art. 15 DSGVO zu konkretisieren bzw. es beispielsweise um einen gesetzlich normierten Unverhältnismäßigkeitseinwand zu ergänzen?
Byers: Es wäre wünschenswert, wenn es in Art. 15 DSGVO eine aussagekräftige Regelung geben würde, die schon nach ihrem Wortlaut den Umfang des Auskunftsanspruchs auf ein praxisgerechtes Maß begrenzt. Insbesondere ist es notwendig, die rechtsmissbräuchliche Verwendung des Auskunftsanspruchs durch klare Regelungen zu verhindern. Der Auskunftsanspruch soll der unmittelbaren Sicherstellung der Datenschutzrechte des Betroffenen dienen und nicht als Druckmittel im Rahmen arbeitsgerichtlicher Verfahren zweckentfremdet genutzt werden.
Zum Interviewpartner: Dr. Philipp Byers ist Rechtsanwalt, Fachanwalt für Arbeitsrecht sowie Partner bei Watson Farley & Williams.
Das könnte Sie auch interessieren:
DSGVO: Was heute für Unternehmen gilt
Anpassungen zum Datenschutz in Kraft getreten
Urteil: Unwirksame Kündigung einer Datenschutzbeauftragten