Aktuelle Entwicklungen zum Auskunftsrecht nach Art. 15 DSGVO

Das Thema

Nach Art. 15 DSGVO hat der Betroffene den Anspruch auf Auskunft und Kopie über die verarbeiteten personenbezogenen Daten zu erhalten. Da der Arbeitgeber als Verantwortlicher zahlreiche Daten der Beschäftigten verarbeitet, sieht er sich diesem Auskunftsanspruch immer öfter ausgesetzt. Erschwerend kommt hinzu, dass ein Verstoß gegen die Auskunftspflicht unter Umständen Schadensersatzansprüche des Betroffenen oder auch Bußgelder der Behörde nach sich ziehen kann.

Dieser Beitrag soll die Voraussetzungen des Auskunftsanspruches unter Berücksichtigung der aktuellen Rechtsprechung erläutern und Hilfestellung beim Umgang mit derartigen Anfragen leisten.

Arbeitsrechtliche Bedeutung des Art. 15 DSGVO

Im Kontext laufender Aufhebungsverhandlungen, Kündigungsschutzklagen oder Internal Investigations wird regelmäßig der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht. Während häufig direkt beschieden werden kann, ob Daten verarbeitet werden, stellt der Anspruch auf Kopie dieser Daten nach Art. 15 Abs. 3 DSGVO eine umfangreichere Aufgabe für Unternehmen dar. Oft wird der Anspruch deshalb genutzt, um den Druck auf den Arbeitgeber zu erhöhen, um an Beweismittel für den Prozess zu gelangen oder um die Vergleichsbereitschaft zu erhöhen.

Im Ergebnis hat daher der Auskunftsanspruch eine taktische Bedeutung gewonnen, welche seine eigentlichen Zwecke, die Rechtmäßigkeitskontrolle und die Vermittlung von Transparenz, konterkariert. Nichtsdestotrotz stellt dieses Vorgehen keinen Rechtsmissbrauch dar, sondern die zulässige Geltendmachung von wichtigen Betroffenenrechten. In jüngerer Vergangenheit wurden durch Gerichte immer wieder Schadensersatzansprüche von bis zu 10 000 Euro wegen Verstößen gegen diese Rechte verhängt. Somit sollte der oft als lästig empfundene Anspruch auf Auskunft bzw. Kopie immer ernstgenommen werden

Voraussetzungen und Inhalt von Art. 15 DSGVO

Nach Art. 15 DSGVO hat der Betroffene ein Auskunftsrecht gegenüber dem Verantwortlichen. Dieses Auskunftsrecht ist aufgeteilt in:

1. Die Information, ob personenbezogene Daten verarbeitet werden (Art. 15 Abs. 1 Hs. 1 DSGVO),
2. Auskunft über die verarbeiteten Daten (Art. 15 Abs. 1 Hs. 2 DSGVO) und
3. Recht auf Kopie (Art. 15 Abs. 3 DSGVO).

Durch diese Rechte soll der Betroffene die Möglichkeit haben, zu überprüfen, ob seine Daten rechtmäßig verarbeitet werden. Hintergrund ist, dass der Betroffene seine weiteren Betroffenenrechte (insb. Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung sowie Widerspruch gegen die Verarbeitung) gegenüber dem Verantwortlichen effektiv durchzusetzen können muss. Ohne eine nachvollziehbare und verständliche Auskunft über die verarbeiteten Daten, wird dem Betroffenen nur die Datenschutzerklärung des Unternehmens vorliegen, die deutlich weniger detailliert ist und daher deutlich weniger geeignet ist, die Rechte des Betroffenen zu gewährleisten.

Umfang des Auskunftsanspruchs und des Rechts auf Kopie

Der Umfang des Auskunftsanspruchs ist bisher nicht abschließend geklärt. Dem Wortlaut der DSGVO zufolge soll der Verantwortliche dem Anspruchsteller Auskunft über die in Art. 15 Abs. 1 Hs. 2 lit. a-h DSGVO genannten Informationen erteilen. Hier erklärte der EuGH in seiner Entscheidung (Urt. v. 4.5.2023 – C-487/21), dass die personenbezogenen Daten so mitzuteilen sind, dass es der betroffenen Person möglich ist, ihre Rechte aus den Art. 16 ff. DSGVO auszuüben und im Schadensfall auch ihren Anspruch aus Art. 82 DSGVO geltend zu machen. Die Informationen müssen dem EuGH zufolge präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache abgefasst sein. Die Auskunft soll schriftlich oder elektronisch erfolgen, es sei denn, dass der Anspruchsteller eine mündliche Auskunft wünscht.

Neben dem Recht auf Auskunft nach Art. 15 Abs. 1 Hs. 2 DSGVO kann der Betroffene vom Verantwortlichen nach Art. 15 Abs. 3 DSGVO eine Kopie der personenbezogenen Daten verlangen. In seinem Urteil hat der EuGH festgestellt, dass Art. 15 Abs. 3 DSGVO die praktischen Modalitäten für die Erfüllung des Auskunftsanspruch festlegt. Somit gewähre Art. 15 Abs. 3 DSGVO kein anderes Recht als das aus Art. 15 Abs. 1 DSGVO. Das bedeutet, dass das Recht auf Auskunft und das Recht auf Kopie deckungsgleich sind. Die Kopie muss also die Informationen enthalten, die Art. 15 Abs. 1 DSGVO nennt.

Daneben muss es laut EuGH dem Anspruchsteller möglich sein, anhand der Informationen seine weiteren Rechte geltend zu machen. Daraus ergibt sich, dass der Verantwortliche im Einzelfall auch mit den Daten in Zusammenhang stehende Informationen herausgeben muss, wenn die Daten nur in Verbindung mit diesen Informationen verständlich sind. Es müssen unter Umständen Auszüge aus Dokumenten oder ganze Dokumente sowie Auszüge aus Datenbanken, die die Daten enthalten, kopiert werden. (Anm. der Redaktion: Ein weiteres Urteil des EuGH vom 12.01.2023 (C-154/21) befasste sich ebenfalls mit dem datenschutzrechtlichen Auskunftsanspruch gemäß Art. 15 DSGVO. Der EuGH hatte dort entschieden, dass im Rahmen der Beantwortung des Auskunftsersuchens konkrete Angaben über den bzw. die Empfänger der personenbezogenen Daten des Betroffenen gemacht werden müssen. Ergänzend zum Urteil des EuGH vom 4. Mai 2023 auch ein weiterer Beitrag hier im #EFAR.)

Allgemeine Beschreibung von Daten reicht nicht aus

Damit ist eine „rein allgemeine Beschreibung der Daten, die Gegenstand der Verarbeitung sind, oder ein Verweis auf Kategorien personenbezogener Daten“ zur Erfüllung des Anspruchs auf Kopie nach Art. 15 Abs. 3 DSGVO nicht mehr ausreichend. Eine solche aggregierte Form der Datenkopie erfüllt nicht die vom EuGH aufgestellten Anforderungen. Der Antragsteller muss also künftig eine ausführliche Auskunft darüber erhalten, welche personenbezogenen Daten von ihm verarbeitet werden. Die Kopie muss eine originalgetreue Darstellung der Daten beinhalten.

Diese Daten können auch interne Vermerke umfassen. So urteilte der BGH, dass ein Versicherungsnehmen auch eine Kopie von Telefon-, Gesprächs- und Bewertungsvermerke erhalten muss (Urt. v. 15.6.2021 – VI ZR 567/19). Dass es sich dabei um interne Vorgänge handelt, spielt für Art. 15 DSGVO keine Rolle. Überträgt man diese Entscheidung auf das Arbeitsverhältnis, wird klar, dass interne Vermerke zu Leistungen einzelner Arbeitnehmer auch Inhalt des Auskunftsanspruches sein können.

Zudem entschied der BGH in diesem Urteil, dass eine mögliche Kenntnis des Betroffenen über den Inhalt einzelner Dokumente, nicht geeignet ist, die Auskunft zu diesen Dokumenten zu verweigern. Daher sind wohl auch Schreiben, die der Betroffene erhalten oder verschickt hat, von einem Auskunftsanspruch umfasst. Sonst wäre der Betroffene nicht in die Lage, zu überprüfen, ob diese Schreiben beim Anspruchsgegner noch vorhanden sind.

Beschränkungen des Rechts auf Kopie

Demgegenüber sind aber gem. Art. 15 Abs. 4 DSGVO auch die Rechte und Freiheiten Dritter zu berücksichtigen. Da sich die Kopie aus Art. 15 Abs. 3 S. 1 DSGVO auf Art. 15 Abs. 1 DSGVO bezieht, gilt die Beschränkung auch für die Auskunft. So enthalten z.B. E-Mail-Korrespondenzen oft auch Geschäftsgeheimnisse, Rechte des geistigen Eigentums oder personenbezogene Daten Dritter. Diese Rechte muss der Arbeitgeber schützen und daher E-Mails (teilweise) schwärzen, wenn die Rechte überwiegen. Diese darf im Ergebnis zwar nicht zur Verweigerung der Auskunft oder Kopie führen, kann deren Umfang aber so beeinflussen, dass entweder nur eine Teilauskunft erfolgt oder drittbezogene Bereiche in der Kopie geschwärzt werden müssen. Praktisch sollten daher E-Mails nur in den seltensten Fällen ungeschwärzt herausgegeben werden.

Rechtsfolgen bei Verstoß gegen Art. 15 DSGVO: Anspruch auf Schadenersatz aus Art. 82 Abs. 1 DSGVO?

Als Rechtsfolge eines Verstoßes gegen die DSGVO kann der Betroffene grundsätzlich Schadensersatz nach Art. 82 Abs. 1 DSGVO verlangen. Doch zum einen zweifeln Gerichte an, dass ein Verstoß gegen Art. 15 DSGVO überhaupt zu einem Schadensersatz führen kann, da keine Datenverarbeitung vorliege, und zum anderen hat der EuGH nun entschieden, dass ein Datenschutzverstoß nur dann zu Schadensersatz führt, wenn ein Schaden vorliegt.

Datenverarbeitung als Voraussetzung für Art. 82 Abs. 1 DSGVO?

Nach Erwägungsgrund 146 S. 1 zur DSGVO muss der Verantwortliche Schäden, die einer Person aufgrund einer Verarbeitung entstehen, die mit der DSGVO nicht im Einklang steht, ersetzen. Daher muss eine Auskunft nach Art. 15 DSGVO eine Datenverarbeitung darstellen, damit ein Schadensersatzanspruch für einen Verstoß gegen Art. 15 DSGVO vorliegen kann.

Dies hat jüngst das LAG Nürnberg (Urt. v. 25.1.2023 – 4 Sa 201/22) abgelehnt (so auch LG Bonn, Urt. v. 1.7.2021 – 15 O 372/20). Nach Ansicht des Gerichts handle es sich bei der Erfüllung der Auskunftsverpflichtung um keine Datenverarbeitung im Sinne der Legaldefinition des Art. 4 Nr. 2 DSGVO. Diese sei aber Voraussetzung für einen Schadensersatzanspruch (so zu schließen aus Erwägungsgrund 146 S. 1 zur DSGVO). Deshalb scheide ein Verstoß gegen Art. 15 DSGVO als haftungsrelevante Handlung bereits dem Grunde nach aus. Somit bestünde kein Anspruch aus Art. 82 Abs. 1 DSGVO. Ob der BGH oder der EuGH dieser Meinung folgen, bleibt abzuwarten. Weder BGH noch EuGH haben sich hierzu bisher nicht geäußert.

Schaden als Voraussetzung für Schadensersatz nach Art. 82 Abs. 1 DSGVO

Daneben war lange Zeit streitig, ob für einen Anspruch nach Art. 82 Abs. 1 DSGVO ein konkreter Schaden vorliegen muss. Hier hat der EuGH (Urt. v. 4.5.2023 – C-300/21) nun klargestellt, dass Art. 82 Abs. 1 DSGVO einen kausal auf dem Verstoß gegen die DSGVO beruhenden Schaden voraussetzt. Dieser Schaden müsste auch vom Betroffenen nachgewiesen werden, auch wenn der Schaden nicht erheblich sein muss.

Ein reiner Verstoß gegen Datenschutzvorschriften, wie das ArbG Duisburg (Urt. v. 23.3.2023 – 3 Ca 44/23), das ArbG Oldenburg (Urt. v. 9.2.2023 – 3 Ca 150/21), das LAG Niedersachsen (Urt. v. 22.10.2021 – 16 Sa 761/20) und auch schon das ArbG Düsseldorf (Urt. v. 5.3.2020 – 9 Ca 6557/18) angenommen haben, reicht damit nicht mehr aus.

Ob ein solcher Schaden vorliegt, müssen nach Auffassung des EuGH nun die nationalen Gerichte nach nationalen Regelungen entscheiden. Für einen Schadensersatzanspruch aufgrund eines Verstoßes gegen Art. 15 DSGVO wird dies bedeuten, dass der Betroffene einen konkreten Schaden darlegen muss. Der reine Verstoß gegen Art. 15 DSGVO, der immer auch eine Beschneidung der Betroffenenrechte darstellt, ist nicht mehr ausreichend. Daher wird auch Ärger oder Zorn über die Nichterteilung einer Auskunft, der zurzeit von Klägern geltend gemacht wird, nicht ausreichend sein. Nur in Ausnahmefällen wird daher eine verspätete Auskunft noch zu einem Schadensersatz führen können. Beispielsweise könnte ein Schaden vorliegen, wenn die betroffene Person aufgrund einer verspäteten Auskunft Zeit und Ressourcen aufwenden muss, um anderweitig an die geforderten Daten zu kommen oder Schäden durch falsche Daten abzuwenden.

Unabhängig davon kann ein Verstoß gegen Art. 15 DSGVO aber immer zu Sanktionen wie Bußgeldern, Untersagungen und Anordnungen der Aufsichtsbehörden führen, vgl. Art. 83 Abs. 5 lit. b DSGVO. So können beispielsweise Datenverarbeitungsverbote verhängt oder explizite Datenlöschungen angeordnet werden. Des Weiteren besteht nach Art. 80 DSGVO die Möglichkeit der Verbandsklage, bei der sich Betroffene von den in der Norm genannten Organisationen vertreten lassen können.

Zusammenfassung und Ausblick

Zum einen hilft der EuGH dem Verantwortlichen, also dem Arbeitgeber. Sollte der Betroffene nun den Verantwortlichen wegen eines Verstoßes gegen Datenschutz verklagen, muss nun der Betroffene einen Schaden nachweisen. Damit bestätigt das Gericht die bisherige Annahme, dass ein sog. Strafschadensersatz, wie er aus dem angelsächsischen Bereich („punitive damages“) bekannt ist, in der DSGVO nicht vorgesehen ist.

Zum anderen stärken EuGH und BGH aber auch die Datenschutzrechte der Betroffenen. Der Umfang des Rechts auf Kopie wurde nun konkretisiert und erweitert. Dies wird zu einem erheblichen Mehraufwand für Arbeitgeber führen, wenn diese nicht zeitnah effektive Prozesse für die Beantwortung solcher Anfragen erstellen. Ansonsten wird der Arbeitgeber nicht rechtzeitig innerhalb der Monatsfrist die Anfrage beantworten können, was wiederum aber nur in Ausnahmefällen zu Schadensersatz führen wird.