Recht auf Datenkopie: Erstes höchstrichterliches Urteil zum datenschutzrechtlichen Auskunftsanspruch nach Art. 15 III DSGVO ergangen (BAG vom 27. April 2021)

Seit Inkrafttreten der DSGVO herrscht Unsicherheit im Hinblick auf den Auskunfts- und Herausgabeanspruch betroffener Personen gemäß Art. 15 Abs. 1, 3 DSGVO – muss der für die Datenverarbeitung Verantwortliche auch Dokumente herausgeben, in denen personenbezogene Daten enthalten sind? Und wenn ja, in welchem Umfang? Letzteres hat das Bundesarbeitsgericht (BAG) in seinem heutigen Urteil nun beantwortet (Az. 2 AZR 342/20): Jedenfalls die Herausgabe sämtlicher ihn betreffender interner Dokumente an den Arbeitnehmer ist nicht erforderlich.

Dieser Artikel gibt einen Überblick darüber, was das Urteil des BAG für Arbeitgeber bedeutet und was künftig im Zusammenhang mit Anfragen von (ehemaligen) Arbeitnehmern zu beachten ist.

I. Aktuelle Sachlage

Gemäß Art. 15 Abs. 1 DSGVO kann jeder von einer Datenverarbeitung Betroffene von dem jeweiligen Verantwortlichen Auskunft über diese Datenverarbeitung verlangen. Eine solche Konstellation aus Verantwortlichem und Betroffenen gibt es auch im Arbeitsverhältnis. Hier verarbeitet der Arbeitgeber als Verantwortlicher im Sinne der DSGVO die Daten seiner Beschäftigten: Zum Beispiel im Rahmen der Personalbuchhaltung oder bei der Speicherung von Kontaktdaten. Folglich kann der Auskunftsanspruch auch durch den Arbeitnehmer gegenüber dem Arbeitgeber geltend gemacht werden. Dieser umfasst neben Informationen zu den weiteren Betroffenenrechten, der geplanten Speicherdauer und den Verarbeitungszwecken auch die Information über die Kategorien der verarbeiteten personenbezogenen Daten.

Neben dem Auskunftsanspruch kann der Betroffene gemäß Art. 15 Abs. 3 DSGVO die Herausgabe einer Kopie der ihn betreffenden personenbezogenen Daten durch den Verantwortlichen verlangen. Dieser Anspruch muss innerhalb eines Monats erfüllt werden (Art. 12 Abs. 3 DSGVO), ausnahmsweise ist eine Verlängerung auf bis zu drei Monate möglich.

Werden die Betroffenenrechte nicht, nicht in ausreichendem Umfang oder nicht fristgemäß erfüllt, kann der Betroffene gemäß Art. 82 DSGVO Schadensersatz verlangen – auch für die bloß immaterielle Beeinträchtigung seines Persönlichkeitsrechts. Außerdem können gemäß Art. 83 Abs. 5 DSGVO Bußgelder von bis zu 20 Mio. Euro bzw. bis zu 4 % des weltweiten Jahresumsatzes fällig werden.

Hinsichtlich des Anspruchs auf Erstellung einer Datenkopie herrscht Unsicherheit: In der Instanzenrechtsprechung ergingen zum Teil widersprüchliche Urteile zu der Frage, ob dem Betroffenen bloß die verarbeiteten personenbezogenen Daten zur Verfügung zu stellen sind (z. B. Name, E-Mail-Adresse, Kontaktdaten, laut dem OLG Köln, 20 U 75/18 auch Gesprächsvermerke etc.) oder ob auch die Dokumente ausgehändigt werden müssen, in denen die Daten enthalten sind (z. B. E-Mails, Personalakten etc.). Während sich einige Gerichte auf den Standpunkt stellten, der Umfang des Anspruchs auf Erstellung einer Kopie richte sich nach Art. 15 Abs. 1 DSGVO und es seien bloß Informationen zu den verarbeiteten Daten zur Verfügung zu stellen (so etwa LG Dresden, 6 O 76/20; ArbG Bonn, 3 Ca 2026/19), gewährten andere einen umfassenden Herausgabeanspruch (etwa OLG Köln, 20 U 75/18; AG Bonn, 118 C 315/19). Zu einer ähnlichen Einschätzung kommt im Hinblick auf das Angestelltenverhältnis auch der LfDI Hessen (ab S. 75). Ein höchstinstanzliches Urteil auf nationaler Ebene oder durch den EuGH stand bisher noch aus, ein entsprechendes Verfahren vor dem BAG endete 2020 mit einem außergerichtlichen Vergleich (Az. 5 AZR 66/19).

Zwar wird das Recht auf Herausgabe einer Datenkopie auch durch die Rechte und Freiheiten anderer Personen gemäß Art. 15 Abs. 4 DSGVO begrenzt, allerdings fehlt es hierzu ebenfalls an einheitlicher Rechtsprechung. Außerdem ist diese Einschränkung im Zusammenhang mit juristischen Personen häufig nicht einschlägig.

II. Das Urteil des BAG

Das BAG hat sich in der aktuellen Entscheidung mit dem Anspruch eines ausgeschiedenen Arbeitnehmers auf Auskunft und auf Erstellung einer Kopie der ihn betreffenden personenbezogenen Daten gemäß Art. 15 Abs. 1, 3 DSGVO auseinandergesetzt. Nachdem ihm gekündigt worden war, hatte ein Arbeitnehmer diese Ansprüche geltend gemacht. Der Wirtschaftsjurist hatte sich parallel gegen seine Kündigung durch den Verantwortlichen gewandt. Nachdem das Unternehmen den Auskunftsanspruch erfüllte, ohne dem Arbeitnehmer jede einzelne E-Mail, die dessen Namen enthielt, zur Verfügung zu stellen, erhob dieser Klage.

Das ArbG Hameln (Az. 3 Ca 24/19) hatte die Klage im Hinblick auf die Datenkopie zunächst aus prozessualen Gründen als unzulässig abgelehnt. In zweiter Instanz lehnte auch das LAG Niedersachsen (Az. 9 Sa 608/19) einen Anspruch auf Herausgabe von Kopien vollständiger E-Mail-Verkehre ab. Es stellte sich dabei auf den Standpunkt, dass Art. 15 Abs. 3 DSGVO sich nur auf Daten beziehe, die auch vom Auskunftsrecht gemäß Art. 15 Abs. 1 DSGVO erfasst sind. Die Daten müssten demnach eine gewisse Aussagekraft über die betroffene Person haben. Das LAG Niedersachsen verlangte deshalb, dass der Betroffene sein Verlangen jedenfalls bei der Verarbeitung einer großen Menge an Daten ausreichend präzisiert. Grund des Anspruchs aus Art. 15 Abs. 3 DSGVO sei nicht etwa die Erstellung einer Datenkopie, sondern die Ermöglichung der Überprüfung der Verarbeitung. Im Hinblick auf das ebenfalls bestehende Recht auf Datenübertragbarkeit (Art. 20 DSGVO) scheint diese Einschätzung naheliegend.

III. Inhalte des Urteils

In seinem Urteil hat sich das BAG nun zumindest teilweise dem LAG Niedersachsen angeschlossen. Laut dem BAG musste der Arbeitgeber lediglich die personenbezogenen Daten des Arbeitnehmers zur Verfügung stellen. Ein Anspruch des Arbeitnehmers auf Erstellung einer umfassenden Datenkopie unter Bereitstellung sämtlicher ihn betreffenden Dokumente besteht demnach jedenfalls nicht. Leider ließ das Gericht dabei offen, ob das Recht auf Überlassung einer Datenkopie gemäß Art. 15 Abs. 3 DSGVO auch die Bereitstellung von Duplikaten einzelner E-Mails erfasst. Jedenfalls der Geltendmachung eines Anspruches auf Herausgabe einer Kopie sämtlicher E-Mails wurde ein Riegel vorgeschoben. Vielmehr müsse der Anspruch bzw. das Klagebegehren auf bestimmte E-Mails oder Dokumente konkretisiert werden.

Das Gericht stützt sich nach ersten Erkenntnissen jedoch nicht auf eine Auslegung von Art. 15 Abs. 3 DSGVO, sondern vielmehr auf prozessuale Argumente: Eine Klage auf „sämtliche“ Daten / Dokumente / E-Mails genüge nicht den Anforderungen an die Bestimmtheit des Klagebegehrens gemäß § 253 Abs. 2 Nr. 2 ZPO. Das Begehren des Arbeitnehmers müsse entweder ausreichend bestimmt sein oder im Wege einer Stufenklage nach § 254 ZPO geltend gemacht werden. Außerdem sei eine Versicherung des Schuldners, er habe die Herausgabe „aller“ Dokumente vollständig erbracht im Zwangsvollstreckungsrecht nicht vorgesehen, sodass es sich nicht um ein taugliches Klagebegehren handelt. Aufgrund der bislang uneinheitlichen Auslegung von Art. 15 Abs. 3 DSGVO durch die Instanzengerichte wäre eine Vorlage zur Vorabentscheidung an den EuGH gemäß Art. 267 Abs. 3 AEUV wünschenswert gewesen. Stattdessen hat das Gericht den Umfang des Herausgabeanspruchs bewusst offengelassen und sich lediglich auf prozessuale Erwägungen gestützt. Eine höchstinstanzliche Auslegung von Art. 15 Abs. 3 DSGVO bleibt also weiterhin aus. Zumindest umfassenden Herausgabeverlangen muss nun aber nicht mehr stattgegeben werden. Hinsichtlich der Details der Datenkopie besteht leider weiterhin Unsicherheit.

IV. Vorgehensweise für Unternehmen

Die Entscheidung des BAG dürfte bei vielen Arbeitgebern zumindest für etwas Erleichterung sorgen. Auch wenn langjährige Mitarbeiter ihren Anspruch auf Erstellung einer Datenkopie geltend machen, droht bei Erfüllung dieses Anspruchs jedenfalls kein unverhältnismäßig hoher Aufwand, der innerhalb der kurzen einmonatigen Frist nach Art. 12 Abs. 3 DSGVO kaum zu bewältigen ist.

Trotzdem ist davon auszugehen, dass (ehemalige) Mitarbeiter auch in Zukunft von ihrem Auskunftsrecht Gebrauch machen werden. Damit keine Risiken durch die Offenlegung interner Daten oder durch die Verletzung von Vorschriften der DSGVO entstehen, sollten die folgenden Punkte befolgt werden:

• Intern sollten klare Zuständigkeiten zur schnellen Beantwortung von Betroffenenanfragen definiert werden;
• Es bedarf außerdem Verfahren zur schnellen internen Abfrage von personenbezogenen Daten und zur schnellen Verifizierung der Identität der anfragenden Betroffenen;
• Es sollte zudem ein Leitfaden zum Erkennen entgegenstehender Rechte und Freiheiten natürlicher Personen gemäß Art. 15 Abs. 4 DSGVO vorliegen, wobei dies nicht dazu führen darf, dass jegliche Auskunft verweigert wird (siehe Kurzpapier Nr. 6 der Datenschutzkonferenz);
• Dokumente sollten schon bei Speicherung kategorisiert werden, um dem Betroffenen mitteilen zu können, in welchen Kategorien von Speicherorten sich seine personenbezogenen Daten befinden. Betroffenenanfragen auf Herausgabe sämtlicher Dokumente oder E-Mails, die ihre personenbezogenen Daten beinhalten, können nun beschränkt werden auf einen bestimmbaren Umfang;
• Die Bereitstellung der Daten gemäß Art. 15 Abs. 3 DSGVO sollte laut der Vorinstanz in einem gängigen, durch den Betroffenen lesbaren Format erfolgen. Zwar ist auch eine Bereitstellung per Fernzugriff grundsätzlich möglich (vgl. Erwägungsgrund 63), diese sollte wegen der damit verbundenen technischen Hürden jedoch nur erfolgen, wenn sich der Betroffene hiermit einverstanden erklärt hat. Dies gilt auch für die Bereitstellung als ZIP-Datei;
• Außerdem sollten alle Prozesse im Zusammenhang mit Betroffenenanfragen dokumentiert werden, falls dies nicht bereits erfolgt.